Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen hierfür (§ 38 BDSG) nicht vorliegen.

2. Grundsätze der Datenverarbeitung

Wir verarbeiten personenbezogene Daten auf folgenden Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. a DSGVO: Einwilligung, wo wir ausdrücklich darum bitten (etwa die Discord-Benachrichtigung, Ziffer 9c)
• Art. 6 Abs. 1 lit. b DSGVO: Vertragserfüllung und vorvertragliche Maßnahmen (Registrierung, Bestellung, Support)
• Art. 6 Abs. 1 lit. c DSGVO: Erfüllung rechtlicher Pflichten (Steuer- und Handelsrecht, GoBD, Digital Services Act)
• Art. 6 Abs. 1 lit. f DSGVO: berechtigte Interessen (IT-Sicherheit, Missbrauchsprävention, Betriebsstabilität)

3. Bereitstellung der Website und Server-Logfiles

Bei jedem Aufruf unserer Website und unseres Kundenbereichs erfassen wir automatisch technische Informationen: IP-Adresse, Datum und Uhrzeit, angeforderte URL, HTTP-Statuscode, User-Agent und Referrer. Die Verarbeitung dient der Auslieferung der Seite, der Abwehr von Angriffen und der Aufklärung von Missbrauchsfällen (Art. 6 Abs. 1 lit. f DSGVO). Diese Zugriffsprotokolle des Webservers werden nach spätestens 30 Tagen gelöscht, sofern kein sicherheitsrelevanter Vorfall eine längere Aufbewahrung erfordert. Was unsere Anwendung selbst protokolliert, steht unter Ziffer 11.

Website, Kundenbereich und Programmierschnittstelle erreichen Sie über das Netz von Cloudflare, Inc. (101 Townsend St, San Francisco, CA 94107, USA). Cloudflare schützt sie vor Überlastungsangriffen (DDoS) und stellt die verschlüsselte Verbindung her. Dafür laufen alle Anfragen über Server von Cloudflare, einschließlich Ihrer IP-Adresse und der Inhalte, die Sie im Kundenbereich eingeben oder abrufen. Cloudflare verarbeitet diese Daten in unserem Auftrag (Art. 28 DSGVO) und nur, um sie an uns weiterzuleiten und Angriffe abzuwehren. Grundlage ist Art. 6 Abs. 1 lit. f DSGVO (Verfügbarkeit und Sicherheit des Angebots). Zur Übermittlung in die USA siehe Ziffer 10a. Der Datenverkehr Ihrer gebuchten Server läuft nicht über Cloudflare.

4. Registrierung und Kundenkonto

Für die Nutzung unserer Server- und Domain-Produkte ist ein Kundenkonto erforderlich. Wir verarbeiten dafür: Benutzername, E-Mail-Adresse, Passwort (als Hash, niemals im Klartext), sowie: bei Bestellung kostenpflichtiger Leistungen: Rechnungsanschrift samt Land und Bestelldaten; freiwillig außerdem Telefonnummer und Discord-Name. Grundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Für die Anmeldung bieten wir zusätzlich Zwei-Faktor-Authentisierung (TOTP) und Passkeys (WebAuthn) an. Passkey-Schlüsselmaterial verbleibt auf Ihrem Gerät bzw. in Ihrem Passwortmanager; wir speichern nur den öffentlichen Schlüssel zur Verifikation, keine Drittanbieter sind daran beteiligt.

4a. Abgleich mit Sanktionslisten

Die Sanktionsverordnungen der Europäischen Union verbieten es, gelisteten Personen und Organisationen Leistungen oder Gelder bereitzustellen. Deshalb gleichen wir die Namen und Firmen, die Sie als Kontakt- oder Rechnungsdaten hinterlegen, mit der konsolidierten Sanktionsliste der EU ab, auch erneut, wenn die Liste aktualisiert wird. Der Abgleich läuft ausschließlich bei uns; Ihre Daten werden dafür an niemanden übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den EU-Sanktionsverordnungen.

Nur bei einem genauen Namenstreffer entsteht ein Eintrag: der auslösende Name, die betroffene Liste und später das Ergebnis der Prüfung. Über einen Treffer entscheidet immer ein Mensch, eine automatische Sperre gibt es nicht. Entschiedene Einträge löschen wir fünf Jahre nach der Entscheidung; so lange muss sich belegen lassen, dass wir unsere Pflichten erfüllt haben.

4b. Widerruf, Kündigung und Meldung rechtswidriger Inhalte

Erklären Sie einen Widerruf oder eine Kündigung, ob im Kundenbereich oder über die Formulare auf dieser Website, speichern wir Ihre Angaben, den Eingangszeitpunkt und für 90 Tage Ihre IP-Adresse, um den Zugang der Erklärung nachweisen zu können (§ 356a Abs. 4, § 312k Abs. 4 und 5 BGB). Meldungen rechtswidriger Inhalte nach Art. 16 DSA speichern wir mit Name, E-Mail-Adresse (bei Meldungen zu Kindesmissbrauch freiwillig), beanstandeter Adresse und Begründung, um sie zu bearbeiten und Ihnen die Entscheidung mitzuteilen; an die gemeldete Person geben wir Ihre Angaben nicht weiter, außer das Gesetz verlangt es. Rechtsgrundlage ist jeweils Art. 6 Abs. 1 lit. c DSGVO. Zu einer DSA-Meldung speichern wir außerdem für 90 Tage die IP-Adresse, von der sie abgeschickt wurde, um einen Missbrauch des Formulars (etwa massenhafte oder vorgetäuschte Meldungen) erkennen und abwehren zu können (Art. 6 Abs. 1 lit. f DSGVO); bei Meldungen zu sexuellem Missbrauch von Kindern speichern wir sie nicht. Missbraucht jemand das Formular, melden wir diese IP-Adresse mit der Art des Missbrauchs an die Datenbank AbuseIPDB (Marathon Studios, Inc., USA), damit andere Betreiber sich davor schützen können (Art. 6 Abs. 1 lit. f DSGVO); Name, E-Mail-Adresse und Inhalt der Meldung gehen nicht dorthin.

Wir löschen diese Einträge drei Jahre nach Ablauf des Jahres, in dem die Erklärung einging bzw. über die Meldung entschieden wurde; so lange können Ansprüche daraus geltend gemacht werden (§§ 195, 199 BGB).

5. Zahlungsabwicklung

Guthaben-Aufladungen wickeln wir über unseren Zahlungsdienstleister Mollie B.V., Keizersgracht 313, 1016 EE Amsterdam, Niederlande, ab. Dabei übermitteln wir Mollie den Betrag, das gewählte Zahlungsmittel und einen Verwendungszweck mit Ihrer Kundennummer; Ihre Zahlungsdaten (etwa Karten- oder Kontodaten) geben Sie direkt auf der Seite von Mollie ein, sie erreichen uns nicht. Grundlage ist Art. 6 Abs. 1 lit. b DSGVO. Es besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Weitere Informationen:mollie.com/de/privacy.

Laden Sie Guthaben per Überweisung auf unser Geschäftskonto auf, teilt uns unsere kontoführende Bank zu jeder eingehenden Zahlung Name und gekürzte IBAN des Auftraggebers, Betrag, Verwendungszweck und Zeitpunkt mit. Anhand der Kundennummer im Verwendungszweck schreiben wir den Betrag Ihrem Konto gut; ohne erkennbare Kundennummer ordnen wir die Zahlung von Hand zu oder überweisen sie zurück. Grundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Aufbewahrung als Buchungsbeleg Art. 6 Abs. 1 lit. c DSGVO mit § 147 AO und § 257 HGB (bis zu zehn Jahre). Die Bank handelt dabei als eigener Verantwortlicher.

5a. Identitätsprüfung bei Auszahlungen

Bitten Sie uns um die Auszahlung von Guthaben, erstatten wir grundsätzlich auf die Zahlungswege zurück, über die Sie aufgeladen haben: dabei fallen keine zusätzlichen Daten an. Nur wenn das nicht mehr möglich ist und begründete Zweifel bestehen, ob die Auszahlung an die berechtigte Person geht (etwa weil der angegebene Kontoinhaber von Ihren hinterlegten Daten abweicht), bitten wir Sie um einen Identitätsnachweis.

Zweck ist ausschließlich, Ihr Guthaben nicht an eine unberechtigte Person auszuzahlen: Wir werden von unserer Schuld nur frei, wenn wir an den tatsächlich Berechtigten leisten (§ 362 BGB). Rechtsgrundlage sind Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Rückzahlungsanspruchs) und lit. f (berechtigtes Interesse an der Betrugsabwehr). Eine gesetzliche Identifizierungspflicht nach dem Geldwäschegesetz besteht für uns nicht wir gehören nicht zu den dort genannten Verpflichteten.

Wir benötigen dafür nur Name, Anschrift, Geburtsdatum und die Gültigkeit des Dokuments. Schwärzen Sie alle übrigen Angaben, insbesondere Ausweis- und Seriennummer sowie die Zugangsnummer; diese dürfen wir nach § 20 Abs. 2 des Personalausweisgesetzes ohnehin nicht verwenden.Den Nachweis löschen wir unmittelbar nach der Prüfung: er ist kein Buchungsbeleg, die Auszahlung selbst belegen Betrag, Datum und Überweisung. Festgehalten wird lediglich, dass und wann eine Prüfung stattgefunden hat.

6. Domainregistrierung

Bei Bestellung einer Domain übermitteln wir die für die Registrierung erforderlichen Inhaber- und Kontaktdaten (Whois-Daten) an unseren Domain-Registrar-Dienstleister (DomainRobot / InterNetX GmbH) sowie an die jeweils zuständige Vergabestelle (Registry) der gewählten Domainendung. Diese Stellen verarbeiten die Daten als eigenständig Verantwortliche entsprechend ihrer eigenen Registrierungsbedingungen. Grundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Die Vergabestellen führen öffentliche Verzeichnisdienste (WHOIS bzw. RDAP). Je nach Endung und Ihrer Rolle als Inhaber können dort Name, Anschrift, E-Mail-Adresse und Telefonnummer öffentlich abrufbar sein; bei .de werden Inhaberdaten derzeit nicht öffentlich angezeigt, sind aber bei berechtigtem Interesse abrufbar. Umfang und Dauer richten sich nach den Vorgaben der jeweiligen Vergabestelle und der ICANN: darauf haben wir keinen Einfluss. Die Angaben sind für die Registrierung zwingend erforderlich; ohne sie kann eine Domain nicht registriert werden (Art. 6 Abs. 1 lit. b DSGVO).

Wer Domains registriert oder vermittelt, muss die Registrierungsdaten richtig und vollständig vorhalten und berechtigten Stellen, etwa Strafverfolgungs- und Cybersicherheitsbehörden, auf begründeten Antrag Zugang geben (Art. 28 der Richtlinie (EU) 2022/2555, NIS-2, und die deutschen Umsetzungsvorschriften). Solche Anfragen beantworten wir nur im gesetzlich vorgesehenen Umfang. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO.

7. Bot- und Spam-Schutz (Cloudflare Turnstile)

Zum Schutz von Login, Registrierung und Formularen (auch der Unterstützungsseite, Ziffer 9m) vor automatisiertem Missbrauch setzen wir Cloudflare Turnstile ein, einen Dienst der Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA. Dabei werden Ihre IP-Adresse und Browser-Charakteristiken verarbeitet, um automatisierte Zugriffe von menschlicher Nutzung zu unterscheiden. Grundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch). Zur Übermittlung in die USA siehe Ziffer 10a. Weitere Informationen: cloudflare.com/privacypolicy.

8. E-Mail-Versand

Transaktions- und Support-E-Mails (Bestellbestätigungen, Rechnungen, Sicherheitshinweise, Ticket-Antworten) versenden und empfangen wir über einen Mailserver, den wir selbst betreiben. Er läuft auf einem angemieteten Server bei einem Hosting-Dienstleister in der Europäischen Union, der für uns als Auftragsverarbeiter tätig ist (Art. 28 DSGVO; Name auf Anfrage, siehe Ziffer 9). Eine Weitergabe an E-Mail-Marketing-Dienstleister findet nicht statt.

9. Server- und Hosting-Infrastruktur

Die von Ihnen gebuchten Server betreiben wir im Rechenzentrum von SkyLink in Eygelshoven (Niederlande). Website, Kundenbereich und unsere Datenbank laufen auf einem angemieteten Server bei einem Hosting-Dienstleister in der Europäischen Union; die Sicherungskopien dieses Servers einschließlich der Datenbank liegen bei einem weiteren Hosting-Dienstleister in der Europäischen Union. Beide sind für uns als Auftragsverarbeiter tätig (Art. 28 DSGVO). Die konkreten Namen dieser Dienstleister teilen wir Ihnen auf formlose Anfrage an die in Ziffer 12 genannte Adresse mit. Für Inhalte, die Sie selbst auf einem gebuchten Server speichern, sind Sie als Kunde datenschutzrechtlich verantwortlich; wir verarbeiten diese Inhalte ausschließlich zur Erbringung der Hosting-Leistung.

9a. Technischer Zugriff auf Ihre Server und Löschung

Sie erhalten auf gebuchten Servern vollen Administratorzugriff (root). Damit ein Server überhaupt bereitgestellt werden kann, erzeugen wir ein Erstpasswort und legen es verschlüsselt ab; Sie können es jederzeit ändern. Technisch besteht darüber hinaus über die Virtualisierungsebene (Proxmox/QEMU Guest Agent) die Möglichkeit, auf den Server zuzugreifen das ist bei jeder Form von virtuellem Hosting so und lässt sich nicht abschalten.

Wir nutzen diesen Zugriff ausschließlich für Bereitstellung, Wartung und Störungsbeseitigung, zur Abwehr von Missbrauch oder auf Grundlage einer rechtlichen Verpflichtung. Zugriffe durch unsere Mitarbeitenden werden protokolliert. Auf Inhalte Ihrer virtuellen Maschine sehen wir dabei nicht routinemäßig; wer besonders schützenswerte Daten verarbeitet, sollte sie zusätzlich selbst verschlüsseln.

Endet ein Server, werden die virtuelle Maschine, die zugehörigen Datenträger und die Sicherungen auf dem Speichersystem gelöscht und der belegte Speicherbereich zur Wiederverwendung freigegeben. Die bei uns geführte Zuordnung des Servers zu Ihrem Konto bleibt als Buchungsbeleg erhalten (§ 147 AO), ohne technische Zugangsdaten.

Getrennt davon halten wir fest, welche IP-Adressen Ihr Server von wann bis wann hatte. IP-Adressen werden nach dem Ende eines Servers an andere Kunden weitergegeben; Missbrauchsmeldungen und Anfragen von Behörden beziehen sich aber oft auf einen zurückliegenden Zeitpunkt. Ohne diesen Verlauf könnten wir sie nicht dem richtigen Vertrag zuordnen, und der heutige Inhaber derselben Adresse geriete zu Unrecht in Verdacht. Gespeichert werden nur Adresse, Server, Kundenkonto und die beiden Zeitpunkte. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Wir löschen den Eintrag ein Jahr nach der Freigabe der Adresse, auch wenn Sie Ihr Kundenkonto vorher löschen (Art. 17 Abs. 3 lit. e DSGVO).

9b. Sicherheitsbenachrichtigungen

Bei sicherheitsrelevanten Vorgängen an Ihrem Konto: Anmeldung von einem neuen Gerät, Passwortänderung, Anlage eines API-Schlüssels: senden wir Ihnen eine Benachrichtigung, die Zeitpunkt und IP-Adresse des Vorgangs nennt. Das dient Ihrer eigenen Kontrolle und beruht auf Art. 6 Abs. 1 lit. f DSGVO (Sicherheit der Verarbeitung, Art. 32 DSGVO). Die zugrunde liegenden Protokolleinträge unterliegen der unter Ziffer 11 genannten Frist.

9c. Traffic-Messung Ihres Servers

Für jeden Server messen wir das übertragene Datenvolumen. Erfasst werden ausschließlich die Summen der ein- und ausgehenden Bytes je Server und Abrechnungszeitraum sowie der Zeitpunkt der Messung. Inhalte, Ziele oder Gegenstellen Ihrer Verbindungen werten wir dafür nicht aus: die Werte stammen aus den Zählern des Hypervisors, nicht aus dem Datenverkehr selbst. Zur Erkennung von Angriffen, die von einem Server ausgehen, siehe Ziffer 9d.

Die Messung dient der Erfüllung des Hostingvertrags: sie weist Ihren Verbrauch gegenüber einem vereinbarten Traffic-Kontingent nach und ist Grundlage einer etwaigen Drosselung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Messung läuft auf unserer eigenen Infrastruktur (Ziffer 9); ein externer Dienstleister ist nicht beteiligt.

Die Zählerstände werden zu Beginn jedes Abrechnungszeitraums zurückgesetzt. Aufzeichnungen darüber, wann eine Traffic-Schwelle erreicht und was daraufhin veranlasst wurde, löschen wir nach 90 Tagen.

Verbrauch beim Widerruf. Widerrufen Sie einen Serververtrag, halten wir vor der Löschung fest, wie viel Datenvolumen im genutzten Zeitraum übertragen wurde und wie viel davon zeitanteilig auf diesen Zeitraum entfällt. Liegt der Verbrauch deutlich darüber, wird der Vorgang markiert und von einem Mitarbeiter geprüft (§ 8c AGB); eine Entscheidung trifft immer ein Mensch, der Wertersatz bleibt zeitanteilig. Aus einer solchen Prüfung kann sich eine Sperre für weitere Bestellungen ergeben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch des Widerrufsrechts). Die Angaben löschen wir drei Jahre nach Schluss des Jahres, in dem sie erhoben wurden: dieselbe Frist wie für die Widerrufserklärung selbst (Ziffer 11).

Benachrichtigung über Discord (freiwillig). Sie können in der Verwaltung Ihres Servers eine Discord-Webhook-Adresse hinterlegen. Tun Sie das, übermitteln wir bei Erreichen einer Traffic-Schwelle den Namen Ihres Servers, den gemessenen Verbrauch und eine etwaige Drosselung an Discord (Discord Netherlands B.V., Amsterdam; Konzernmutter in den USA). Diese Übermittlung erfolgt ausschließlich, weil Sie sie durch das Hinterlegen der Adresse selbst veranlassen: Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Sie können die Adresse jederzeit entfernen; damit endet die Übermittlung für die Zukunft. Ohne hinterlegte Adresse findet keine Übermittlung statt.

9d. Erkennung von Angriffen, die von Ihrem Server ausgehen

Damit von unseren Servern keine Angriffe auf fremde Systeme ausgehen, läuft auf jedem Virtualisierungsknoten ein Prüfprogramm. Es zählt je Server alle 30 Sekunden die gesendeten und empfangenen Pakete und Bytes und wertet die Verbindungstabelle des Knotens aus: Ziel-IP-Adresse, Ziel-Port, ob eine Verbindung zustande kam und wie viele Pakete sie trug; bei Anfragen, die per UDP an Ihren Server gehen, auch die Absenderadresse. Inhalte Ihrer Verbindungen werten wir nicht aus. Die Auswertung geschieht automatisch. Gespeichert wird nur, wenn ein Muster erkannt wird, das auf einen Angriff hindeutet: eine Überlastungsattacke (DoS), die Nutzung eines offenen Dienstes auf Ihrem Server als Verstärker, ein Portscan, massenhafte Anmeldeversuche (Brute Force), Massen-E-Mail-Versand oder Anzeichen von Krypto-Mining (Verbindungen zu Mining-Pools, aber nur zusammen mit dauerhaft fast voller Prozessorauslastung aus der Messung nach Ziffer 9e). Dann speichern wir die gemessenen Werte, das hauptsächlich betroffene Ziel (IP-Adresse und Port), den Zeitraum und die Begründung.

Zweck ist die Sicherheit unseres Netzes und der Schutz Dritter. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO: die Abwehr von Überlastungsangriffen ist ein anerkanntes berechtigtes Interesse (Erwägungsgrund 49 DSGVO): sowie die Durchsetzung von § 8 unserer AGB (Art. 6 Abs. 1 lit. b DSGVO). Die IP-Adressen angegriffener Systeme verarbeiten wir auf derselben Grundlage.

Je nach Standort kann ein erkannter Angriff automatisch dazu führen, dass wir den ausgehenden Verkehr Ihres Servers blockieren, ihn vom Netz trennen, stoppen oder seine Bedienung vorübergehend sperren (§ 8 AGB), und dass wir Sie per E-Mail anschreiben oder in Ihrem Kundenkonto ein Ticket dazu eröffnen. Anzeichen von Krypto-Mining führen nie zu einer automatischen Sperre, sondern nur zu einer Meldung an Sie. Soweit darin eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO liegt, ist sie für die Erfüllung des Vertrags erforderlich (Art. 22 Abs. 2 lit. a DSGVO): sie beendet einen laufenden Angriff, bevor Dritte Schaden nehmen und das Rechenzentrum unser Netz abschaltet. Sie erhalten unverzüglich eine Nachricht mit Begründung und können jederzeit verlangen, dass ein Mitarbeiter die Sperre überprüft, Ihren Standpunkt darlegen und die Sperre anfechten (Art. 22 Abs. 3 DSGVO): am einfachsten über ein Support-Ticket.

Zusätzlich fragen wir regelmäßig bei der Datenbank AbuseIPDB (Marathon Studios, Inc., USA) ab, ob Adressen aus unseren Netzen dort von Dritten als Quelle von Angriffen gemeldet wurden. Dabei übermitteln wir nur unsere Netze und, wenn eine Adresse gemeldet ist, diese Adresse; Name, Kundennummer oder andere Angaben, mit denen AbuseIPDB die Adresse Ihnen zuordnen könnte, gehen nicht dorthin. Ist eine Adresse Ihres Servers gemeldet, speichern wir als Befund wie oben, wie viele Meldungen von wie vielen verschiedenen Meldern wann und in welchen Kategorien eingegangen sind; die Freitexte der Melder sehen nur unsere Mitarbeiter. Gezählt werden nur Meldungen aus der Zeit, seit Ihr Server die Adresse trägt. Eine einzelne Meldung führt nur zu einem Hinweis an Sie. Melden mindestens zwei verschiedene Stellen innerhalb kurzer Zeit (höchstens sieben Tage) oder erkennt unser Prüfprogramm zur selben Zeit selbst einen Angriff, können dieselben Maßnahmen wie oben folgen; eine solche Sperre hebt nur ein Mitarbeiter wieder auf. Zweck ist, dass ein einzelner betroffener Server nicht dazu führt, dass unser Netzanbieter das ganze Netz und damit alle Kunden darin sperrt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO und die Durchsetzung von § 8 unserer AGB (Art. 6 Abs. 1 lit. b DSGVO); für Art. 22 DSGVO gilt der vorige Absatz.

Befunde löschen wir ein Jahr nach dem letzten Treffer; Messwerte ohne Befund werden nicht gespeichert. Die Auswertung läuft auf unserer eigenen Infrastruktur; außer der Abfrage bei AbuseIPDB ist kein externer Dienst beteiligt.

9e. Messung der Auslastung Ihres Servers

Alle fünf Minuten erfassen wir automatisch, wie stark Ihr Server die zugeteilten Ressourcen nutzt: Prozessor- und Arbeitsspeicherauslastung, Belegung des Datenträgers sowie die Menge der übertragenen und der gelesenen oder geschriebenen Daten. Die Werte stammen aus den Zählern des Hypervisors. Was auf Ihrem Server läuft und welche Inhalte er verarbeitet, erfassen wir dabei nicht.

Die Messung dient dem stabilen Betrieb der geteilten Hardware und dem Nachweis, falls eine Nutzung nach § 8c unserer AGB andere Kunden beeinträchtigt; auf Verlangen legen wir Ihnen die Werte vor. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Hostingvertrags) und lit. f DSGVO (störungsfreier Betrieb für alle Kunden). Die Einzelmessungen löschen wir nach 48 Stunden, die daraus gebildeten Stundenwerte nach 90 Tagen. Die Messung läuft auf unserer eigenen Infrastruktur.

9f. Herunterladen von ISO-Dateien

Binden Sie im Kundenbereich eine ISO-Datei über einen Link ein, lädt unser System sie nicht direkt herunter, sondern über einen zwischengeschalteten Proxy-Server. So erfährt die Gegenstelle weder die Adresse Ihres Servers noch die unserer Infrastruktur. Der Betreiber des Proxys sieht, welche Adresse abgerufen wird, bei verschlüsselten https://-Links nur den Namen des Servers. Wer Sie sind, erfährt er nicht. Neben eigenen Proxys nutzen wir frei zugängliche Proxy-Server Dritter, die auch außerhalb der EU stehen können; über diese laden wir ausschließlich verschlüsselte Links.

Den Link speichern wir zusammen mit der ISO-Datei und löschen ihn mit ihr. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Geben Sie keine Links an, die Zugangsdaten oder persönliche Kennungen enthalten; Links mit Benutzername und Passwort nehmen wir nicht an.

9g. Gameserver

Buchen Sie einen Gameserver, läuft er in einem abgeschotteten Container auf einem unserer Game-Hosts im selben Rechenzentrum wie unsere übrigen Server (Ziffer 9). Für den Betrieb speichern wir in unserer Datenbank die Zuordnung zu Ihrem Kundenkonto, Name, Spiel und Variante, Host und Ports, die gebuchten Grenzen, Laufzeit und gegebenenfalls einen Sperrgrund sowie die von Ihnen gesetzten Startparameter. Die Inhalte des Servers: Dateien, Spielwelten, Konsolenausgabe, liegen nur auf dem Game-Host. Sicherungen liegen ebenfalls dort, soweit der Kundenbereich bei den Backups nicht einen getrennten S3-Speicher nennt; dessen Anbieter steht in der Liste der Unterauftragsverarbeiter (AVV § 7). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Aktivitätsprotokoll. Für jeden Gameserver führen wir ein Protokoll, das Sie im Kundenbereich einsehen: Starten und Stoppen, gesendete Konsolenbefehle, Datei- und SFTP-Aktionen, Sicherungen, Änderungen an Einstellungen und Unterbenutzern: jeweils mit Zeitpunkt, dem auslösenden Konto und bei Anmeldungen und Dateiaktionen der IP-Adresse. Handeln unsere Mitarbeitenden auf Ihrem Server, steht dort „Support“. Zweck ist die Nachvollziehbarkeit von Änderungen für Sie und für uns sowie die Abwehr von Missbrauch; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Einträge werden nach90 Tagen gelöscht.

Unterbenutzer. Laden Sie eine andere Person zu Ihrem Gameserver ein, muss sie ein eigenes Kundenkonto haben; Sie sehen ihren Benutzernamen und ihre E-Mail-Adresse, sie sieht den Gameserver mit den Rechten, die Sie vergeben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Ihr Vertrag und die Nutzung durch die eingeladene Person). Die Einladung endet, wenn Sie sie entfernen, die Person austritt oder der Gameserver endet.

Zugang und Datenbanken. Für SFTP vergeben Sie ein eigenes Passwort je Server; wir speichern es nur als Hashwert, Ihr Kontopasswort gilt dort nicht. MySQL-Datenbanken, die Sie anlegen, liegen auf einem Datenbank-Server im Netz des Game-Hosts; deren Zugangsdaten speichern wir verschlüsselt. Technisch können wir über die Verwaltungssoftware des Hosts (Pterodactyl Wings) auf Dateien und Konsole Ihres Gameservers zugreifen; wir nutzen das wie in Ziffer 9a beschrieben nur für Bereitstellung, Wartung, Störungsbeseitigung, Missbrauchsabwehr oder auf rechtlicher Grundlage.

Daten von Spielern, die sich mit Ihrem Gameserver verbinden (etwa Spielernamen oder IP-Adressen in Ihren Server-Logs), verarbeiten Sie als Verantwortlicher; wir speichern sie für Sie als Auftragsverarbeiter (Auftragsverarbeitungsvertrag). Endet ein Gameserver mit Ablauf der Laufzeit, wird er gestoppt und nach sieben Tagen mit seinen Dateien, Sicherungen und Datenbanken gelöscht; bei Widerruf, Kündigung mit Erstattung oder Löschung des Kundenkontos sofort.

9h. DNS und Reverse-DNS

Liegt Ihre Domain auf unseren Nameservern, speichern wir die DNS-Einträge, die Sie im Kundenbereich setzen, und verteilen sie an unsere Nameserver; dasselbe gilt für den Reverse-DNS-Namen (PTR), den Sie für eine IP-Adresse Ihres Servers setzen. Diese Einträge sind bestimmungsgemäß öffentlich: jeder kann sie im DNS abfragen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Ein PTR gilt nur, solange Ihr Server die Adresse trägt. Danach wird er nicht mehr ausgeliefert und gelöscht. Zieht Ihre Domain von unseren Nameservern weg oder endet der Vertrag, bleibt die Zone noch zwei Tage abrufbar (damit Ihre Domain beim Wechsel erreichbar bleibt) und wird dann gelöscht.

Dynamisches DNS. Richten Sie es für einen Hostnamen ein, setzen wir die IP-Adresse, die Ihr Router meldet (bzw. von der aus er uns aufruft), als DNS-Eintrag dieses Namens, sie ist damit wie jeder DNS-Eintrag öffentlich abrufbar. Wir speichern den Zeitpunkt der letzten Aktualisierung und das Zugangskennwort nur als Prüfwert (Hash). Entfernen Sie den Eintrag, gilt das Kennwort nicht mehr.

Weiterleitungen und MTA-STS. Richten Sie eine Weiterleitung oder MTA-STS ein, beantworten unsere Nameserver-Hosts die Aufrufe dieser Namen und leiten weiter bzw. liefern die Richtlinie aus; ein Zugriffsprotokoll führen wir dabei nicht. Für HTTPS holen wir ein Zertifikat bei Let's Encrypt; dabei wird der Hostname übermittelt und, wie bei jedem öffentlichen Zertifikat, in den öffentlichen Certificate-Transparency-Logs eingetragen.

9i. Statusbot

Buchen Sie den Statusbot, speichern wir in unserer Datenbank die Zuordnung Ihres Statusbots zu Ihrem Kundenkonto, Ihre Monitore (Name, Art, Ziel, also Adresse, Domain oder URL -, Port, Prüfabstand und Einstellungen, etwa ein gesuchtes Schlüsselwort), die Messergebnisse je Standort (Zeitpunkt, erreichbar oder nicht, Antwortzeit, kurze Meldung wie der HTTP-Status), den daraus abgeleiteten Verlauf, Ihre Vorfälle und Wartungen, Ihre Statusseiten sowie Ihre Benachrichtigungswege (E-Mail-Adresse, ntfy-Thema, Webhook-Adressen, Telegram-Zugangsdaten; diese verschlüsselt). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Messpunkte. Damit ein Ziel geprüft werden kann, erhalten die zugeordneten Messpunkte Ziel, Port und Einstellungen des Monitors, nie Ihren Namen, Ihre E-Mail-Adresse oder andere Kontodaten, und melden nur das Ergebnis zurück. Die Messpunkte sind Server an verschiedenen Standorten, die wir zum Teil bei anderen Anbietern betreiben; diese stehen mit Land in der Liste der Unterauftragsverarbeiter (AVV § 7). Das Ziel erfährt bei jeder Prüfung die Adresse des Messpunkts, nicht Ihre. Datenbanken prüfen wir ohne Zugangsdaten.

Benachrichtigungen. Meldungen enthalten den Namen des Monitors, den Zustand, den Zeitpunkt und eine kurze Begründung (etwa „nicht erreichbar von Paris“). Wir schicken sie an die Wege, die Sie einrichten: per E-Mail über unseren Mailserver, an andere Dienste (ntfy, Discord, Slack, Telegram oder Ihren Webhook) nach Ihrer Weisung. Für die Verarbeitung dort gelten die Bedingungen dieser Dienste. Meldungen an ntfy, Discord, Slack und Webhooks sowie den Abruf fremder Statusseiten führt einer unserer Messpunkte aus (siehe oben); der Empfänger sieht dessen Adresse. Tragen Sie eine E-Mail-Adresse ein, die nicht die Ihres Kundenkontos ist, schicken wir zuerst eine Bestätigungsmail mit einem Link; Meldungen gehen erst nach der Bestätigung durch den Empfänger dorthin. Gesendete Meldungen protokollieren wir (Weg, Zeitpunkt, Ergebnis der Zustellung), damit Sie und wir Zustellprobleme sehen.

Statusseiten. Ihre Statusseiten sind ohne Anmeldung öffentlich und zeigen nur, was Sie auf die Seite legen, Anzeigename, Zustand, Verfügbarkeit, Vorfälle und Wartungen, auf Wunsch Antwortzeiten und Zustand je Standort, nie Ziele oder Ports. Die Seite setzt keine Cookies und bindet nichts von Dritten ein; ihre Daten lädt sie von unserer API. Beim Abruf fallen nur die Zugriffsdaten nach Ziffer 3 an, unter einer eigenen Domain auf dem Webdienst unserer Nameserver (Ziffer 9h), der sie an uns weiterreicht. Für eine eigene Domain prüfen wir regelmäßig über einen öffentlichen DNS-Dienst (Cloudflare), ob sie auf unsere Server zeigt; übermittelt wird dabei nur der Name.

Updates einer Statusseite abonnieren. Auf einer Statusseite kann jeder ohne Konto „Updates abonnieren“, per E-Mail oder in einen Discord-Kanal (Webhook-Adresse). Wir speichern dazu die Adresse bzw. den Webhook (verschlüsselt), die gewählten Komponenten, den Zeitpunkt der Anmeldung und der Bestätigung sowie ein Protokoll der gesendeten Meldungen (Zeitpunkt, Ergebnis der Zustellung). Zuerst schicken wir eine Bestätigung mit Link an die Adresse bzw. in den Kanal; erst nach dem Klick darauf senden wir Meldungen, neue Störungen, deren Updates und angekündigte Wartungen der Seite. Rechtsgrundlage ist die Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); sie lässt sich jederzeit über den Link „Abbestellen“ in jeder Nachricht widerrufen, die Anmeldung wird dann sofort gelöscht. Unbestätigte Anmeldungen löschen wir nach sieben Tagen, das Protokoll nach 30 Tagen, alles Übrige mit der Abmeldung oder der Statusseite. Mails gehen über unseren Mailserver, Nachrichten an Discord über einen unserer Messpunkte (siehe oben); dort gelten die Bedingungen von Discord. Gehört die Statusseite einem unserer Kunden, ist dieser verantwortlich, und wir verarbeiten die Daten in seinem Auftrag (Auftragsverarbeitungsvertrag); er sieht Adressen und Webhooks nur gekürzt und kann Anmeldungen entfernen.

Statusnachricht in Discord. Verbinden Sie einen Discord-Server, laden Sie unseren Bot über die Einladung von Discord in diesen Server ein; Discord teilt uns dabei Kennung, Namen und Bild des Servers mit. Ihr Discord-Konto und die Mitglieder des Servers erfahren wir nicht, das Zugangstoken aus der Einladung speichern wir nicht. Wir speichern die Zuordnung des Servers zu Ihrem Kundenkonto sowie Kanal (Kennung und Name) und Kennung der Statusnachricht. Die Nachricht zeigt nur, was die Statusseite ohnehin öffentlich zeigt, und wird alle fünf Minuten aktualisiert. Wir senden sie nach Ihrer Weisung direkt von unserer API an Discord (Discord Netherlands B.V., Amsterdam; Konzernmutter in den USA); dort gelten die Bedingungen von Discord. Das Bild mit dem Verlauf lädt Discord von unserer API. Lösen Sie den Server oder löschen Sie die Statusseite bzw. den Statusbot, löschen wir die Nachrichten in Discord und die Zuordnung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Enthalten Ihre Ziele personenbezogene Daten Dritter (etwa die Adresse eines Servers einer Privatperson), verarbeiten wir sie für Sie als Auftragsverarbeiter (Auftragsverarbeitungsvertrag). Einzelne Messwerte löschen wir nach 48 Stunden, den zusammengefassten Verlauf nach der Dauer Ihres Pakets, das Protokoll der Meldungen nach 90 Tagen. Endet die Laufzeit Ihres Statusbots, ruhen die Prüfungen; nach sieben Tagen löschen wir Monitore, Verlauf, Statusseiten, Vorfälle und Benachrichtigungswege, bei Widerruf, Kündigung mit Erstattung oder Löschung des Kundenkontos sofort.

9j. Discord-Verknüpfung, Support-Tickets und Mitteilungen über Discord

Sie können Ihr Kundenkonto freiwillig mit Ihrem Discord-Konto verknüpfen (Konto → Verknüpfungen). Daran erkennt Sie unser Bot („TryNxt-Bot“) in unserem Discord-Server; wir nutzen die Verknüpfung, um Support-Tickets auch dort zu führen und Ihnen auf Wunsch Mitteilungen als Direktnachricht zu schicken. Bei der Verknüpfung über die Anmeldung von Discord teilt uns Discord die Kennung, den Benutzer- bzw. Anzeigenamen und die eingestellte Sprache Ihres Discord-Kontos mit. Wir speichern die Zuordnung zu Ihrem Kundenkonto und die Sprache (für die Texte unseres Bots). Das Zugangstoken aus der Anmeldung nutzen wir nur einmal, um Sie unserem Discord-Server hinzuzufügen, und speichern es nicht.

Solange die Verknüpfung besteht, legen wir für jedes offene Ticket in unserem Discord-Server einen Kanal an, den nur Sie und unser Support-Team sehen, und übertragen Titel, Beschreibung, Kategorie und alle Antworten dorthin. Was Sie oder unser Team im Kanal schreiben, übernehmen wir ins Ticket: den Text, die Namen erwähnter Personen und die Dateinamen von Anhängen. Die Anhänge selbst bleiben bei Discord. Antwortet ein Mitarbeiter in Discord, sehen Sie dort sein Discord-Konto. Discord ist Discord Netherlands B.V., Amsterdam (Konzernmutter in den USA); für die Verarbeitung bei Discord gelten dessen Bedingungen und Datenschutzerklärung.

Wird ein Ticket geschlossen, löschen wir seinen Kanal in Discord; der Verlauf bleibt wie jedes Ticket in Ihrem Kundenkonto. Trennen Sie die Verknüpfung oder löschen Sie Ihr Kundenkonto, löschen wir die Zuordnung und die Kanäle Ihrer offenen Tickets. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (der von Ihnen gewünschte Support über Discord).

Mitteilungen per Direktnachricht: Solange die Verknüpfung besteht, schickt Ihnen der Bot zu den Themen, die Sie unter Konto → Benachrichtigungen eingeschaltet haben (Ablauf und Verlängerung, Störungen und Sperren, Bestellungen und Zahlungen, Sicherheit), zusätzlich zur E-Mail eine kurze Direktnachricht in Discord. Sie enthält nur, was für den Hinweis nötig ist, etwa den Namen des Dienstes, ein Datum oder einen Betrag, und einen Link in Ihr Kundenkonto; Codes, Bestätigungslinks, IP-Adressen und E-Mail-Adressen schicken wir nie über Discord. Für den Versand speichern wir die Nachricht mit diesen Angaben, den Zustand der Zustellung und den Direktnachrichten-Kanal zu Ihrem Discord-Konto; die Nachrichten löschen wir nach 30 Tagen, Ihre Themenwahl, bis Sie Ihr Kundenkonto löschen. Lässt Ihr Discord-Konto keine Direktnachrichten zu, vermerken wir das und zeigen es Ihnen im Kundenbereich. Die Themen lassen sich jederzeit ausschalten; Fristen und gesetzlich geschuldete Mitteilungen erhalten Sie weiterhin per E-Mail. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (der von Ihnen gewählte Benachrichtigungsweg).

E-Mails an uns: Schreiben Sie an eine unserer Adressen, kann sich ein Administrator unseres Teams über den Eingang per Direktnachricht unseres Bots in Discord benachrichtigen lassen. Die Nachricht enthält die Adresse, an die Sie geschrieben haben, Ihren Absendernamen und Ihre Absenderadresse sowie die Eingangszeit, nicht den Betreff und nicht den Inhalt; gelesen wird die E-Mail auf unserem eigenen Mailserver. Die Nachricht speichern wir für den Versand höchstens 30 Tage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse, Anfragen zügig zu bemerken und zu beantworten).

9k. Kostenlose Tools auf unserer Website

Auf trynxt.com/tools bieten wir ohne Anmeldung einen Gameserver-Status, einen Website-Check, einen Port-Check, „Meine IP“, eine IP-Info, einen DNS- und Mail-Check, einen Domain-Check, einen SSL-Check, einen Blacklist-Check und einen Subnetz-Rechner an. Nutzen Sie eines davon, verarbeiten wir Ihre IP-Adresse und Ihre Eingaben (etwa Spiel, Hostname, IP-Adresse, Port, Adresse einer Website, Domain, DKIM-Selektor). Der Subnetz-Rechner läuft vollständig in Ihrem Browser und sendet nichts. Gegen Missbrauch zählen wir die Abfragen je IP-Adresse (bei IPv6 je /64-Netz) für eine Minute und für einen Tag sowie die Abfragen je Ziel für eine Minute; die Zähler löschen wir nach Ablauf des Zeitraums. Das Ergebnis einer Abfrage halten wir je nach Werkzeug bis zu zehn Minuten im Arbeitsspeicher (Gameserver 20 Sekunden, Website 30 Sekunden, DNS und SSL eine Minute, Domain fünf Minuten, IP-Info und Sperrlisten zehn Minuten), damit erneutes Laden das Ziel nicht noch einmal abfragt. Darüber hinaus speichern wir Ihre Eingaben und Ergebnisse nicht.

Den Gameserver-Status und den Port-Check führt ein Messpunkt unseres Statusbots aus (Ziffer 9i): Er fragt den genannten Server ab bzw. baut eine einzelne TCP-Verbindung zu Ihrer eigenen IP-Adresse auf andere Adressen prüft der Port-Check nicht. Das Ziel sieht dabei die Adresse des Messpunkts, nicht Ihre. Spielernamen fragen wir nicht ab. Für „Meine IP“ ermitteln wir den Reverse-DNS-Namen Ihrer Adresse über den öffentlichen DNS-Dienst von Cloudflare (DNS über HTTPS); Cloudflare erfährt dabei Ihre IP-Adresse als Gegenstand der Abfrage. Der DNS- und Mail-Check fragt die eingegebene Domain bei den öffentlichen DNS-Diensten von Cloudflare, Google und Quad9 ab und ruft eine MTA-STS-Richtlinie über einen Messpunkt ab; Ihre IP-Adresse geht dabei nicht an diese Dienste.

Den Website-Check führen alle unsere Messpunkte gleichzeitig aus, den SSL-Check einer davon; die abgefragte Website sieht nur deren Adressen. Für „Meine IP“ ruft Ihr Browser außerdemip4.trynxt.com bzw. ip6.trynxt.com auf, Server unserer eigenen Nameserver, die nur Ihre Adresse zurückgeben und nichts speichern -, damit Sie IPv4- und IPv6-Adresse zugleich sehen. Die IP-Info fragt die eingegebene Adresse bei RIPEstat ab (RIPE NCC, Amsterdam; Netz, Betreiber, Standort aus MaxMind GeoLite, Abuse-Kontakt), den Reverse-DNS-Namen über Cloudflare. Der Domain-Check fragt die Domain bei der zuständigen Registry über RDAP (Verzeichnis der IANA) bzw. über die DNS-Dienste von Cloudflare ab. Der Blacklist-Check fragt die Adresse über den DNS-Dienst von Google bei elf öffentlichen Sperrlisten ab (SpamCop, Barracuda, PSBL, Mailspike, DroneBL, s5h.net, UCEPROTECT, 0spam, anonmails.de, InterServer, blocklist.de). Geben Sie dort Ihre eigene Adresse ein oder lassen das Feld leer, erfahren diese Stellen Ihre IP-Adresse als Gegenstand der Abfrage, nicht aber, dass Sie dahinterstehen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO: unser berechtigtes Interesse, die von Ihnen aufgerufene Funktion bereitzustellen und vor Missbrauch zu schützen. Die Messpunkte betreiben wir zum Teil bei anderen Anbietern, die als Auftragsverarbeiter für uns tätig sind (siehe Liste der Unterauftragsverarbeiter in unserem AV-Vertrag).

Sprachvorschlag beim ersten Besuch. Haben Sie noch keine Sprache gewählt, fragen Website und Kundenbereich unsere API nach einem Vorschlag: Aus Deutschland Deutsch, sonst Englisch. Die API liest dafür nur das Land, das unser Dienstleister Cloudflare (siehe Ziffer 3) aus Ihrer IP-Adresse ableitet und jeder Anfrage beifügt, und speichert davon nichts. Sie sehen den Vorschlag in einem Fenster und können die Sprache dort oder jederzeit später ändern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Seite in einer für Sie verständlichen Sprache).

9l. Anleitungen im Hilfe-Center

Schreiben Sie im Kundenbereich eine Anleitung für unser Hilfe-Center (AGB § 7d), verarbeiten wir den Text, das gewählte Thema und die Sprache, den von Ihnen angegebenen Anzeigenamen, Ihren Wunsch zur Belohnung (bei „Laufzeit“ den gewählten Dienst), die Zeitpunkte von Einreichung und Einräumung der Nutzungsrechte sowie unsere Hinweise an Sie. Veröffentlicht werden nur der Text und der Anzeigename (ohne Angabe „Community“), nie Ihr Benutzername, Ihre E-Mail-Adresse oder Ihre Kundennummer. Über das Ergebnis der Prüfung informieren wir Sie per E-Mail.

Nicht veröffentlichte Anleitungen löschen wir, wenn Sie sie löschen oder Ihr Kundenkonto gelöscht wird. Veröffentlichte Anleitungen bleiben auf Grundlage des eingeräumten Nutzungsrechts bestehen; mit der Löschung Ihres Kundenkontos entfernen wir den Bezug zu Ihrem Konto und den Anzeigenamen, die Namensnennung entfernen wir auf Wunsch auch früher. Eine gebuchte Belohnung bewahren wir als Buchungsbeleg nach den handels- und steuerrechtlichen Fristen auf (Ziffer 11). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Einreichung, Prüfung und Belohnung auf Ihren Wunsch) und für die Aufbewahrung der Buchung Art. 6 Abs. 1 lit. c DSGVO.

9m. Unterstützungslink

Erstellen Sie einen Unterstützungslink (AGB § 7e), verarbeiten wir die Seite (Überschrift, Text, Monatsziel, an/aus) und die eingegangenen Unterstützungen zu Ihrem Konto. Die Seite ist unter der Adresse des Links öffentlich; sie zeigt Überschrift (ohne eigene Angabe Ihren Benutzernamen), Text, den Stand des Monatsziels und die letzten Unterstützungen, mit Namen und Nachricht nur, wenn der Zahler es gewählt hat. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Mit der Löschung Ihres Kundenkontos löschen wir den Link sowie Namen und Nachrichten der Zahler zu Ihrem Konto.

Zahlen Sie über einen Unterstützungslink, verarbeiten wir Ihre E-Mail-Adresse (Bestätigung, Widerrufsbelehrung, Rechnung, Bearbeitung eines Widerrufs), freiwillig Ihren Namen und eine Nachricht an den Kontoinhaber, Betrag, Zahlungsart, Zeitpunkte und den Stand der Zahlung. Der Kontoinhaber sieht Ihren Namen und Ihre Nachricht, nie Ihre E-Mail-Adresse; öffentlich erscheinen Name und Nachricht nur, wenn Sie es wählen. An unseren Zahlungsdienstleister Mollie (Ziffer 5) übermitteln wir nur Betrag, Zahlungsart und die Kundennummer des Kontoinhabers; Ihre Zahlungsdaten geben Sie dort direkt ein. Zum Schutz vor Kartentests begrenzen wir die Zahlungen je Zahler und Tag; dafür speichern wir eine aus Ihrer IP-Adresse gebildete Kennung (HMAC), nicht die Adresse selbst, und setzen Cloudflare Turnstile ein (Ziffer 7). Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Vertrag), lit. c (Aufbewahrung von Buchung und Rechnung) und lit. f (Schutz vor Missbrauch).

E-Mail-Adresse, Name, Nachricht und Kennung leeren wir sechs Monate nach Ende der Wartezeit von 15 Tagen; nie bezahlte Vorgänge löschen wir nach 90 Tagen. Buchung und Rechnung bewahren wir nach den handels- und steuerrechtlichen Fristen auf (Ziffer 11); die Rechnung ist eine Kleinbetragsrechnung ohne Ihre Daten.

10. Cookies und lokale Speicherung

Wir verwenden ein Cookie und einige Einträge im lokalen Speicher Ihres Browsers (LocalStorage). Alle sind technisch notwendig oder speichern eine Einstellung, die Sie selbst vorgenommen haben; eine Einwilligung ist dafür nicht erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Über die oben genannten hinaus setzen wir keine Cookies oder Speichereinträge ein. Es gibt keine Analyse-, Reichweitenmessungs- oder Marketing-Dienste. Weil sämtliche Speicherung technisch notwendig ist (§ 25 Abs. 2 Nr. 2 TDDDG), ist dafür keine Einwilligung erforderlich; der Hinweis beim ersten Besuch dient allein Ihrer Information. Sollten wir künftig eine Reichweitenmessung einsetzen, holen wir dafür vorher Ihre Einwilligung ein und ergänzen die Tabelle oben.

10a. Übermittlung in Drittländer

Unsere Server und die Dienste, mit denen wir Ihre Daten verarbeiten, stehen grundsätzlich in der Europäischen Union. Eine Übermittlung in ein Land außerhalb der EU und des EWR findet nur dort statt, wo wir einen Dienst einsetzen, dessen Anbieter seinen Sitz in einem Drittland hat. Betroffen ist vor allem Cloudflare, Inc. (USA) für den Schutz der Website (Ziffer 3) und den Bot-Schutz (Ziffer 7).

Daneben kann eine Übermittlung in ein Drittland in zwei Fällen stattfinden, die Sie selbst auslösen: beim Herunterladen einer ISO-Datei über einen Proxy-Server außerhalb der EU (Ziffer 9f; übermittelt wird nur der Name des angefragten Servers, nicht Ihre Identität) und bei der freiwilligen Discord-Benachrichtigung (Ziffer 9c), deren Anbieter zu einem US-Konzern gehört. Grundlage ist dort Art. 49 Abs. 1 lit. b DSGVO (Erfüllung des von Ihnen gewünschten Vorgangs) bzw. Ihre Einwilligung.

Bei Tickets über Discord (Ziffer 9j) gilt dasselbe für die Übertragung an Discord. Beim Statusbot (Ziffer 9i) gilt dasselbe für Benachrichtigungswege, die Sie selbst bei Anbietern außerhalb der EU einrichten (etwa Discord, Slack oder Telegram). Steht ein Messpunkt, den Sie einem Monitor zuordnen, außerhalb der EU, erhält er nur Ziel und Einstellungen des Monitors; Land und Garantie nennt die Liste der Unterauftragsverarbeiter.

Cloudflare ist nach dem EU-US Data Privacy Frameworkzertifiziert. Für diese Übermittlung besteht damit ein Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 (Art. 45 Abs. 1 DSGVO); ein zusätzliches Garantieinstrument ist neben einem Angemessenheitsbeschluss nicht erforderlich. Ergänzend und für den Fall, dass die Zertifizierung entfällt oder der Beschluss aufgehoben wird, haben wir mit Cloudflare dieStandardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914) vereinbart: Art. 46 Abs. 2 lit. c DSGVO.

Welche weiteren Dienstleister wir einsetzen, in welchem Land sie verarbeiten und worauf eine etwaige Drittlandübermittlung gestützt ist, können Sie jederzeit der Liste der Unterauftragsverarbeiter imAuftragsverarbeitungsvertragentnehmen; sie wird laufend aktuell gehalten.

11. Aufbewahrungsfristen

Unsere Buchungsaufzeichnungen (Kontobuch, Bestellungen) bewahren wir zehn Jahre auf, Rechnungen und andere Buchungsbelege acht Jahre (§ 147 Abs. 3 AO, § 257 Abs. 4 HGB, § 14b UStG), Geschäftsbriefe einschließlich des E-Mail-Versandarchivs sechs Jahre (§ 257 Abs. 4 HGB), jeweils ab Schluss des Kalenderjahres. Protokolle über Eingriffe unserer Mitarbeitenden (Änderungen an Konten, Buchungen, Rechten und Einstellungen) bewahren wir ebenfalls 10 Jahre auf, damit Änderungen an buchführungsrelevanten Daten nachvollziehbar bleiben (§ 146 Abs. 4 AO), und löschen sie danach automatisch.

Unabhängig von diesen Fristen löschen wir personenbezogene Zusatzangaben früher, sobald ihr Zweck erfüllt ist (Art. 5 Abs. 1 lit. e DSGVO):

• IP-Adressen und Gerätekennungen in Protokoll- und Buchungsdaten werden nach 90 Tagen automatisch gelöscht. Das betrifft auch die IP-Adresse, die bei einer Bestellung oder Zahlung erfasst wurde: Der Beleg selbst bleibt für die gesetzliche Frist erhalten, die IP nicht.
• Nie bezahlte Aufladungen (abgebrochen oder abgelaufen) sind kein Buchungsbeleg und werden nach 90 Tagen gelöscht.
• Anwendungsprotokolle, die Aktionsprotokolle Ihrer Server (Start, Stopp, Neuinstallation und Ähnliches) und dieAktivitätsprotokolle Ihrer Gameserver (Ziffer 9g) werden nach 90 Tagen gelöscht, Änderungsprotokolle zu Domains, Systemereignisse, Befunde der Angriffserkennung (Ziffer 9d) und Mitteilungen im Kundenbereich nach einem Jahr, der Verlauf der IP-Zuordnungen (Ziffer 9a) ein Jahr nach der Freigabe der Adresse.
• Auslastungsmessungen (Ziffer 9e): Einzelwerte nach 48 Stunden, Stundenwerte nach 90 Tagen. Messwerte des Statusbots(Ziffer 9i): Einzelwerte nach 48 Stunden, Verlauf nach der Dauer Ihres Pakets, Protokoll der Meldungen nach 90 Tagen, unbestätigte Abonnements einer Statusseite nach sieben Tagen, das Protokoll der Meldungen an Abonnenten nach 30 Tagen. Entschiedene Treffer des Sanktionslisten-Abgleichs (Ziffer 4a) nach fünf Jahren,Widerrufs- und Kündigungserklärungen sowie DSA-Meldungen(Ziffer 4b) drei Jahre nach Ablauf des Eingangs- bzw. Entscheidungsjahres.
• Das Sicherheitsprotokoll Ihres Kontos (Anmeldungen, Passwort- und Zwei-Faktor-Änderungen, siehe Ziffer 9b) sowie die Nachweise zum Hinweis beim ersten Besuch löschen wir nach drei Jahren so lange können Ansprüche aus einem unberechtigten Zugriff geltend gemacht werden (§ 195 BGB). IP-Adresse und Gerätekennung darin entfallen bereits nach 90 Tagen.
• Abgeschlossene Support-Tickets werden gelöscht, sobald die regelmäßige Verjährungsfrist abgelaufen ist: drei Jahre ab dem Schluss des Jahres der letzten Bearbeitung (§ 195 i. V. m. § 199 Abs. 1 BGB). Offene Tickets werden nicht automatisch gelöscht.
• Bei Löschung Ihres Kundenkontos entfernen oder anonymisieren wir Ihre personenbezogenen Daten sofort, einschließlich der von Ihnen verfassten Ticket-Texte. Erhalten bleiben allein die Daten, für die eine gesetzliche Aufbewahrungspflicht besteht, bis zum Ablauf ihrer Fristen die Widerrufs- und Kündigungserklärungen (Ziffer 4b und 9c) und die Befunde der Angriffserkennung ohne Bezug zu Ihrem Konto (Ziffer 9d) sowie der Verlauf der IP-Zuordnungen (Ziffer 9a).

12. Ihre Rechte

Ihnen stehen nach der DSGVO folgende Rechte zu:

• Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO), soweit keine Aufbewahrungspflicht entgegensteht
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft

Ihre Kontaktdaten und Ihre E-Mail-Adresse können Sie im Kundenbereich unter Konto selbst berichtigen. Den Benutzernamen ändern wir auf Anfrage per E-Mail für Sie.

Ein direktes Export-Werkzeug für Ihre Kontodaten finden Sie im Kundenbereich unter Konto → Datenschutz; es liefert Ihre Stamm-, Bestell-, Rechnungs- und Protokolldaten als JSON-Datei. Ihr Konto können Sie dort ebenfalls selbst löschen, sofern keine Domain mehr aktiv ist und kein offener Betrag besteht. Vorhandenes Guthaben und bezahlte Restlaufzeit zahlen wir vorher auf Anfrage aus; alternativ verzichten Sie im Löschdialog ausdrücklich darauf.

Alle übrigen Rechte: insbesondere die Einschränkung der Verarbeitung nach Art. 18 DSGVO und der Widerspruchnach Art. 21 DSGVO: üben Sie formlos per E-Mail aus; wir setzen sie manuell um und antworten Ihnen innerhalb eines Monats (Art. 12 Abs. 3 DSGVO). Das gilt auch für die Löschung eines gesperrten Kontos: eine Sperrung verhindert die Anmeldung und damit die Selbstlöschung: Ihr Recht auf Löschung bleibt davon unberührt, schreiben Sie uns einfach.

Auf Wunsch erhalten Sie zusätzlich zur Datenkopie die Angaben nach Art. 15 Abs. 1 DSGVO in Textform: Verarbeitungszwecke, Datenkategorien, Empfänger, geplante Speicherdauer und die Herkunft der Daten.

Für all das erreichen Sie uns unter:

E-Mail:

13. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist in der Regel die Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts oder die für uns zuständige Behörde:

Hinweis: Anbieteradresse und Aufsichtsbehörde stehen noch auf Platzhalter: bitte im Admin-Panel unter Firmen­einstellungen ergänzen.