Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen hierfür (§ 38 BDSG) nicht vorliegen.

2. Grundsätze der Datenverarbeitung

Wir verarbeiten personenbezogene Daten auf folgenden Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung, wo wir ausdrücklich darum bitten (etwa die Discord-Benachrichtigung, Ziffer 9c)
• Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung und vorvertragliche Maßnahmen (Registrierung, Bestellung, Support)
• Art. 6 Abs. 1 lit. c DSGVO — Erfüllung rechtlicher Pflichten (Steuer- und Handelsrecht, GoBD, Digital Services Act)
• Art. 6 Abs. 1 lit. f DSGVO — berechtigte Interessen (IT-Sicherheit, Missbrauchsprävention, Betriebsstabilität)

3. Bereitstellung der Website und Server-Logfiles

Bei jedem Aufruf unserer Website und unseres Kundenbereichs erfassen wir automatisch technische Informationen: IP-Adresse, Datum und Uhrzeit, angeforderte URL, HTTP-Statuscode, User-Agent und Referrer. Die Verarbeitung dient der Auslieferung der Seite, der Abwehr von Angriffen und der Aufklärung von Missbrauchsfällen (Art. 6 Abs. 1 lit. f DSGVO). Diese Zugriffsprotokolle des Webservers werden nach spätestens 30 Tagen gelöscht, sofern kein sicherheitsrelevanter Vorfall eine längere Aufbewahrung erfordert. Was unsere Anwendung selbst protokolliert, steht unter Ziffer 11.

Website, Kundenbereich und Programmierschnittstelle erreichen Sie über das Netz von Cloudflare, Inc. (101 Townsend St, San Francisco, CA 94107, USA). Cloudflare schützt sie vor Überlastungsangriffen (DDoS) und stellt die verschlüsselte Verbindung her. Dafür laufen alle Anfragen über Server von Cloudflare, einschließlich Ihrer IP-Adresse und der Inhalte, die Sie im Kundenbereich eingeben oder abrufen. Cloudflare verarbeitet diese Daten in unserem Auftrag (Art. 28 DSGVO) und nur, um sie an uns weiterzuleiten und Angriffe abzuwehren. Grundlage ist Art. 6 Abs. 1 lit. f DSGVO (Verfügbarkeit und Sicherheit des Angebots). Zur Übermittlung in die USA siehe Ziffer 10a. Der Datenverkehr Ihrer gebuchten Server läuft nicht über Cloudflare.

4. Registrierung und Kundenkonto

Für die Nutzung unserer Server- und Domain-Produkte ist ein Kundenkonto erforderlich. Wir verarbeiten dafür: Benutzername, E-Mail-Adresse, Passwort (als Hash, niemals im Klartext), sowie — bei Bestellung kostenpflichtiger Leistungen — Rechnungsanschrift samt Land und Bestelldaten; freiwillig außerdem Telefonnummer und Discord-Name. Grundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Für die Anmeldung bieten wir zusätzlich Zwei-Faktor-Authentisierung (TOTP) und Passkeys (WebAuthn) an. Passkey-Schlüsselmaterial verbleibt auf Ihrem Gerät bzw. in Ihrem Passwortmanager; wir speichern nur den öffentlichen Schlüssel zur Verifikation, keine Drittanbieter sind daran beteiligt.

4a. Abgleich mit Sanktionslisten

Die Sanktionsverordnungen der Europäischen Union verbieten es, gelisteten Personen und Organisationen Leistungen oder Gelder bereitzustellen. Deshalb gleichen wir die Namen und Firmen, die Sie als Kontakt- oder Rechnungsdaten hinterlegen, mit der konsolidierten Sanktionsliste der EU ab, auch erneut, wenn die Liste aktualisiert wird. Der Abgleich läuft ausschließlich bei uns; Ihre Daten werden dafür an niemanden übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den EU-Sanktionsverordnungen.

Nur bei einem genauen Namenstreffer entsteht ein Eintrag: der auslösende Name, die betroffene Liste und später das Ergebnis der Prüfung. Über einen Treffer entscheidet immer ein Mensch, eine automatische Sperre gibt es nicht. Entschiedene Einträge löschen wir fünf Jahre nach der Entscheidung; so lange muss sich belegen lassen, dass wir unsere Pflichten erfüllt haben.

4b. Widerruf, Kündigung und Meldung rechtswidriger Inhalte

Erklären Sie einen Widerruf oder eine Kündigung, ob im Kundenbereich oder über die Formulare auf dieser Website, speichern wir Ihre Angaben, den Eingangszeitpunkt und für 90 Tage Ihre IP-Adresse, um den Zugang der Erklärung nachweisen zu können (§ 356a Abs. 4, § 312k Abs. 4 und 5 BGB). Meldungen rechtswidriger Inhalte nach Art. 16 DSA speichern wir mit Name, E-Mail-Adresse (bei Meldungen zu Kindesmissbrauch freiwillig), beanstandeter Adresse und Begründung, um sie zu bearbeiten und Ihnen die Entscheidung mitzuteilen; an die gemeldete Person geben wir Ihre Angaben nicht weiter, außer das Gesetz verlangt es. Rechtsgrundlage ist jeweils Art. 6 Abs. 1 lit. c DSGVO.

Wir löschen diese Einträge drei Jahre nach Ablauf des Jahres, in dem die Erklärung einging bzw. über die Meldung entschieden wurde; so lange können Ansprüche daraus geltend gemacht werden (§§ 195, 199 BGB).

5. Zahlungsabwicklung

Guthaben-Aufladungen wickeln wir über unseren Zahlungsdienstleister Mollie B.V., Keizersgracht 313, 1016 EE Amsterdam, Niederlande, ab. Dabei übermitteln wir Mollie den Betrag, das gewählte Zahlungsmittel und einen Verwendungszweck mit Ihrer Kundennummer; Ihre Zahlungsdaten (etwa Karten- oder Kontodaten) geben Sie direkt auf der Seite von Mollie ein, sie erreichen uns nicht. Grundlage ist Art. 6 Abs. 1 lit. b DSGVO. Es besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Weitere Informationen:mollie.com/de/privacy.

Laden Sie Guthaben per Überweisung auf unser Geschäftskonto auf, teilt uns unsere kontoführende Bank zu jeder eingehenden Zahlung Name und gekürzte IBAN des Auftraggebers, Betrag, Verwendungszweck und Zeitpunkt mit. Anhand der Kundennummer im Verwendungszweck schreiben wir den Betrag Ihrem Konto gut; ohne erkennbare Kundennummer ordnen wir die Zahlung von Hand zu oder überweisen sie zurück. Grundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Aufbewahrung als Buchungsbeleg Art. 6 Abs. 1 lit. c DSGVO mit § 147 AO und § 257 HGB (bis zu zehn Jahre). Die Bank handelt dabei als eigener Verantwortlicher.

5a. Identitätsprüfung bei Auszahlungen

Bitten Sie uns um die Auszahlung von Guthaben, erstatten wir grundsätzlich auf die Zahlungswege zurück, über die Sie aufgeladen haben — dabei fallen keine zusätzlichen Daten an. Nur wenn das nicht mehr möglich ist und begründete Zweifel bestehen, ob die Auszahlung an die berechtigte Person geht (etwa weil der angegebene Kontoinhaber von Ihren hinterlegten Daten abweicht), bitten wir Sie um einen Identitätsnachweis.

Zweck ist ausschließlich, Ihr Guthaben nicht an eine unberechtigte Person auszuzahlen: Wir werden von unserer Schuld nur frei, wenn wir an den tatsächlich Berechtigten leisten (§ 362 BGB). Rechtsgrundlage sind Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Rückzahlungsanspruchs) und lit. f (berechtigtes Interesse an der Betrugsabwehr). Eine gesetzliche Identifizierungspflicht nach dem Geldwäschegesetz besteht für uns nicht — wir gehören nicht zu den dort genannten Verpflichteten.

Wir benötigen dafür nur Name, Anschrift, Geburtsdatum und die Gültigkeit des Dokuments. Schwärzen Sie alle übrigen Angaben, insbesondere Ausweis- und Seriennummer sowie die Zugangsnummer; diese dürfen wir nach § 20 Abs. 2 des Personalausweisgesetzes ohnehin nicht verwenden.Den Nachweis löschen wir unmittelbar nach der Prüfung — er ist kein Buchungsbeleg, die Auszahlung selbst belegen Betrag, Datum und Überweisung. Festgehalten wird lediglich, dass und wann eine Prüfung stattgefunden hat.

6. Domainregistrierung

Bei Bestellung einer Domain übermitteln wir die für die Registrierung erforderlichen Inhaber- und Kontaktdaten (Whois-Daten) an unseren Domain-Registrar-Dienstleister (DomainRobot / InterNetX GmbH) sowie an die jeweils zuständige Vergabestelle (Registry) der gewählten Domainendung. Diese Stellen verarbeiten die Daten als eigenständig Verantwortliche entsprechend ihrer eigenen Registrierungsbedingungen. Grundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Die Vergabestellen führen öffentliche Verzeichnisdienste (WHOIS bzw. RDAP). Je nach Endung und Ihrer Rolle als Inhaber können dort Name, Anschrift, E-Mail-Adresse und Telefonnummer öffentlich abrufbar sein; bei .de werden Inhaberdaten derzeit nicht öffentlich angezeigt, sind aber bei berechtigtem Interesse abrufbar. Umfang und Dauer richten sich nach den Vorgaben der jeweiligen Vergabestelle und der ICANN — darauf haben wir keinen Einfluss. Die Angaben sind für die Registrierung zwingend erforderlich; ohne sie kann eine Domain nicht registriert werden (Art. 6 Abs. 1 lit. b DSGVO).

Wer Domains registriert oder vermittelt, muss die Registrierungsdaten richtig und vollständig vorhalten und berechtigten Stellen, etwa Strafverfolgungs- und Cybersicherheitsbehörden, auf begründeten Antrag Zugang geben (Art. 28 der Richtlinie (EU) 2022/2555, NIS-2, und die deutschen Umsetzungsvorschriften). Solche Anfragen beantworten wir nur im gesetzlich vorgesehenen Umfang. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO.

7. Bot- und Spam-Schutz (Cloudflare Turnstile)

Zum Schutz von Login, Registrierung und Formularen vor automatisiertem Missbrauch setzen wir Cloudflare Turnstile ein, einen Dienst der Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA. Dabei werden Ihre IP-Adresse und Browser-Charakteristiken verarbeitet, um automatisierte Zugriffe von menschlicher Nutzung zu unterscheiden. Grundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch). Zur Übermittlung in die USA siehe Ziffer 10a. Weitere Informationen: cloudflare.com/privacypolicy.

8. E-Mail-Versand

Transaktions- und Support-E-Mails (Bestellbestätigungen, Rechnungen, Sicherheitshinweise, Ticket-Antworten) versenden und empfangen wir über einen Mailserver, den wir selbst betreiben. Er läuft auf einem angemieteten Server bei einem Hosting-Dienstleister in der Europäischen Union, der für uns als Auftragsverarbeiter tätig ist (Art. 28 DSGVO; Name auf Anfrage, siehe Ziffer 9). Eine Weitergabe an E-Mail-Marketing-Dienstleister findet nicht statt.

9. Server- und Hosting-Infrastruktur

Die von Ihnen gebuchten Server betreiben wir im Rechenzentrum von SkyLink in Eygelshoven (Niederlande). Website, Kundenbereich und unsere Datenbank laufen auf einem angemieteten Server bei einem Hosting-Dienstleister in der Europäischen Union; die Sicherungskopien dieses Servers einschließlich der Datenbank liegen bei einem weiteren Hosting-Dienstleister in der Europäischen Union. Beide sind für uns als Auftragsverarbeiter tätig (Art. 28 DSGVO). Die konkreten Namen dieser Dienstleister teilen wir Ihnen auf formlose Anfrage an die in Ziffer 12 genannte Adresse mit. Für Inhalte, die Sie selbst auf einem gebuchten Server speichern, sind Sie als Kunde datenschutzrechtlich verantwortlich; wir verarbeiten diese Inhalte ausschließlich zur Erbringung der Hosting-Leistung.

9a. Technischer Zugriff auf Ihre Server und Löschung

Sie erhalten auf gebuchten Servern vollen Administratorzugriff (root). Damit ein Server überhaupt bereitgestellt werden kann, erzeugen wir ein Erstpasswort und legen es verschlüsselt ab; Sie können es jederzeit ändern. Technisch besteht darüber hinaus über die Virtualisierungsebene (Proxmox/QEMU Guest Agent) die Möglichkeit, auf den Server zuzugreifen — das ist bei jeder Form von virtuellem Hosting so und lässt sich nicht abschalten.

Wir nutzen diesen Zugriff ausschließlich für Bereitstellung, Wartung und Störungsbeseitigung, zur Abwehr von Missbrauch oder auf Grundlage einer rechtlichen Verpflichtung. Zugriffe durch unsere Mitarbeitenden werden protokolliert. Auf Inhalte Ihrer virtuellen Maschine sehen wir dabei nicht routinemäßig; wer besonders schützenswerte Daten verarbeitet, sollte sie zusätzlich selbst verschlüsseln.

Endet ein Server, werden die virtuelle Maschine, die zugehörigen Datenträger und die Sicherungen auf dem Speichersystem gelöscht und der belegte Speicherbereich zur Wiederverwendung freigegeben. Die bei uns geführte Zuordnung des Servers zu Ihrem Konto bleibt als Buchungsbeleg erhalten (§ 147 AO), ohne technische Zugangsdaten.

Getrennt davon halten wir fest, welche IP-Adressen Ihr Server von wann bis wann hatte. IP-Adressen werden nach dem Ende eines Servers an andere Kunden weitergegeben; Missbrauchsmeldungen und Anfragen von Behörden beziehen sich aber oft auf einen zurückliegenden Zeitpunkt. Ohne diesen Verlauf könnten wir sie nicht dem richtigen Vertrag zuordnen, und der heutige Inhaber derselben Adresse geriete zu Unrecht in Verdacht. Gespeichert werden nur Adresse, Server, Kundenkonto und die beiden Zeitpunkte. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Wir löschen den Eintrag ein Jahr nach der Freigabe der Adresse, auch wenn Sie Ihr Kundenkonto vorher löschen (Art. 17 Abs. 3 lit. e DSGVO).

9b. Sicherheitsbenachrichtigungen

Bei sicherheitsrelevanten Vorgängen an Ihrem Konto — Anmeldung von einem neuen Gerät, Passwortänderung, Anlage eines API-Schlüssels — senden wir Ihnen eine Benachrichtigung, die Zeitpunkt und IP-Adresse des Vorgangs nennt. Das dient Ihrer eigenen Kontrolle und beruht auf Art. 6 Abs. 1 lit. f DSGVO (Sicherheit der Verarbeitung, Art. 32 DSGVO). Die zugrunde liegenden Protokolleinträge unterliegen der unter Ziffer 11 genannten Frist.

9c. Traffic-Messung Ihres Servers

Für jeden Server messen wir das übertragene Datenvolumen. Erfasst werden ausschließlich die Summen der ein- und ausgehenden Bytes je Server und Abrechnungszeitraum sowie der Zeitpunkt der Messung. Inhalte, Ziele oder Gegenstellen Ihrer Verbindungen werten wir dafür nicht aus — die Werte stammen aus den Zählern des Hypervisors, nicht aus dem Datenverkehr selbst. Zur Erkennung von Angriffen, die von einem Server ausgehen, siehe Ziffer 9d.

Die Messung dient der Erfüllung des Hostingvertrags: sie weist Ihren Verbrauch gegenüber einem vereinbarten Traffic-Kontingent nach und ist Grundlage einer etwaigen Drosselung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Messung läuft auf unserer eigenen Infrastruktur (Ziffer 9); ein externer Dienstleister ist nicht beteiligt.

Die Zählerstände werden zu Beginn jedes Abrechnungszeitraums zurückgesetzt. Aufzeichnungen darüber, wann eine Traffic-Schwelle erreicht und was daraufhin veranlasst wurde, löschen wir nach 90 Tagen.

Verbrauch beim Widerruf. Widerrufen Sie einen Serververtrag, halten wir vor der Löschung fest, wie viel Datenvolumen im genutzten Zeitraum übertragen wurde und wie viel davon zeitanteilig auf diesen Zeitraum entfällt. Liegt der Verbrauch deutlich darüber, wird der Vorgang markiert und von einem Mitarbeiter geprüft (§ 8c AGB); eine Entscheidung trifft immer ein Mensch, der Wertersatz bleibt zeitanteilig. Aus einer solchen Prüfung kann sich eine Sperre für weitere Bestellungen ergeben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch des Widerrufsrechts). Die Angaben löschen wir drei Jahre nach Schluss des Jahres, in dem sie erhoben wurden — dieselbe Frist wie für die Widerrufserklärung selbst (Ziffer 11).

Benachrichtigung über Discord (freiwillig). Sie können in der Verwaltung Ihres Servers eine Discord-Webhook-Adresse hinterlegen. Tun Sie das, übermitteln wir bei Erreichen einer Traffic-Schwelle den Namen Ihres Servers, den gemessenen Verbrauch und eine etwaige Drosselung an Discord (Discord Netherlands B.V., Amsterdam; Konzernmutter in den USA). Diese Übermittlung erfolgt ausschließlich, weil Sie sie durch das Hinterlegen der Adresse selbst veranlassen — Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Sie können die Adresse jederzeit entfernen; damit endet die Übermittlung für die Zukunft. Ohne hinterlegte Adresse findet keine Übermittlung statt.

9d. Erkennung von Angriffen, die von Ihrem Server ausgehen

Damit von unseren Servern keine Angriffe auf fremde Systeme ausgehen, läuft auf jedem Virtualisierungsknoten ein Prüfprogramm. Es zählt je Server alle 30 Sekunden die gesendeten und empfangenen Pakete und Bytes und wertet die Verbindungstabelle des Knotens aus: Ziel-IP-Adresse, Ziel-Port, ob eine Verbindung zustande kam und wie viele Pakete sie trug; bei Anfragen, die per UDP an Ihren Server gehen, auch die Absenderadresse. Inhalte Ihrer Verbindungen werten wir nicht aus. Die Auswertung geschieht automatisch. Gespeichert wird nur, wenn ein Muster erkannt wird, das auf einen Angriff hindeutet — eine Überlastungsattacke (DoS), die Nutzung eines offenen Dienstes auf Ihrem Server als Verstärker, ein Portscan, massenhafte Anmeldeversuche (Brute Force), Massen-E-Mail-Versand oder Anzeichen von Krypto-Mining (Verbindungen zu Mining-Pools, aber nur zusammen mit dauerhaft fast voller Prozessorauslastung aus der Messung nach Ziffer 9e). Dann speichern wir die gemessenen Werte, das hauptsächlich betroffene Ziel (IP-Adresse und Port), den Zeitraum und die Begründung.

Zweck ist die Sicherheit unseres Netzes und der Schutz Dritter. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO — die Abwehr von Überlastungsangriffen ist ein anerkanntes berechtigtes Interesse (Erwägungsgrund 49 DSGVO) — sowie die Durchsetzung von § 8 unserer AGB (Art. 6 Abs. 1 lit. b DSGVO). Die IP-Adressen angegriffener Systeme verarbeiten wir auf derselben Grundlage.

Je nach Standort kann ein erkannter Angriff automatisch dazu führen, dass wir den ausgehenden Verkehr Ihres Servers blockieren, ihn vom Netz trennen, stoppen oder seine Bedienung vorübergehend sperren (§ 8 AGB), und dass wir Sie per E-Mail anschreiben oder in Ihrem Kundenkonto ein Ticket dazu eröffnen. Anzeichen von Krypto-Mining führen nie zu einer automatischen Sperre, sondern nur zu einer Meldung an Sie. Soweit darin eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO liegt, ist sie für die Erfüllung des Vertrags erforderlich (Art. 22 Abs. 2 lit. a DSGVO): sie beendet einen laufenden Angriff, bevor Dritte Schaden nehmen und das Rechenzentrum unser Netz abschaltet. Sie erhalten unverzüglich eine Nachricht mit Begründung und können jederzeit verlangen, dass ein Mitarbeiter die Sperre überprüft, Ihren Standpunkt darlegen und die Sperre anfechten (Art. 22 Abs. 3 DSGVO) — am einfachsten über ein Support-Ticket.

Befunde löschen wir ein Jahr nach dem letzten Treffer; Messwerte ohne Befund werden nicht gespeichert. Die Auswertung läuft auf unserer eigenen Infrastruktur, ein externer Dienstleister ist nicht beteiligt.

9e. Messung der Auslastung Ihres Servers

Alle fünf Minuten erfassen wir automatisch, wie stark Ihr Server die zugeteilten Ressourcen nutzt: Prozessor- und Arbeitsspeicherauslastung, Belegung des Datenträgers sowie die Menge der übertragenen und der gelesenen oder geschriebenen Daten. Die Werte stammen aus den Zählern des Hypervisors. Was auf Ihrem Server läuft und welche Inhalte er verarbeitet, erfassen wir dabei nicht.

Die Messung dient dem stabilen Betrieb der geteilten Hardware und dem Nachweis, falls eine Nutzung nach § 8c unserer AGB andere Kunden beeinträchtigt; auf Verlangen legen wir Ihnen die Werte vor. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Hostingvertrags) und lit. f DSGVO (störungsfreier Betrieb für alle Kunden). Die Einzelmessungen löschen wir nach 48 Stunden, die daraus gebildeten Stundenwerte nach 90 Tagen. Die Messung läuft auf unserer eigenen Infrastruktur.

9f. Herunterladen von ISO-Dateien

Binden Sie im Kundenbereich eine ISO-Datei über einen Link ein, lädt unser System sie nicht direkt herunter, sondern über einen zwischengeschalteten Proxy-Server. So erfährt die Gegenstelle weder die Adresse Ihres Servers noch die unserer Infrastruktur. Der Betreiber des Proxys sieht, welche Adresse abgerufen wird, bei verschlüsselten https://-Links nur den Namen des Servers. Wer Sie sind, erfährt er nicht. Neben eigenen Proxys nutzen wir frei zugängliche Proxy-Server Dritter, die auch außerhalb der EU stehen können; über diese laden wir ausschließlich verschlüsselte Links.

Den Link speichern wir zusammen mit der ISO-Datei und löschen ihn mit ihr. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Geben Sie keine Links an, die Zugangsdaten oder persönliche Kennungen enthalten; Links mit Benutzername und Passwort nehmen wir nicht an.

9g. Gameserver

Buchen Sie einen Gameserver, läuft er in einem abgeschotteten Container auf einem unserer Game-Hosts im selben Rechenzentrum wie unsere übrigen Server (Ziffer 9). Für den Betrieb speichern wir in unserer Datenbank die Zuordnung zu Ihrem Kundenkonto, Name, Spiel und Variante, Host und Ports, die gebuchten Grenzen, Laufzeit und gegebenenfalls einen Sperrgrund sowie die von Ihnen gesetzten Startparameter. Die Inhalte des Servers — Dateien, Spielwelten, Konsolenausgabe — liegen nur auf dem Game-Host. Sicherungen liegen ebenfalls dort, soweit der Kundenbereich bei den Backups nicht einen getrennten S3-Speicher nennt; dessen Anbieter steht in der Liste der Unterauftragsverarbeiter (AVV § 7). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Aktivitätsprotokoll. Für jeden Gameserver führen wir ein Protokoll, das Sie im Kundenbereich einsehen: Starten und Stoppen, gesendete Konsolenbefehle, Datei- und SFTP-Aktionen, Sicherungen, Änderungen an Einstellungen und Unterbenutzern — jeweils mit Zeitpunkt, dem auslösenden Konto und bei Anmeldungen und Dateiaktionen der IP-Adresse. Handeln unsere Mitarbeitenden auf Ihrem Server, steht dort „Support“. Zweck ist die Nachvollziehbarkeit von Änderungen für Sie und für uns sowie die Abwehr von Missbrauch; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Einträge werden nach90 Tagen gelöscht.

Unterbenutzer. Laden Sie eine andere Person zu Ihrem Gameserver ein, muss sie ein eigenes Kundenkonto haben; Sie sehen ihren Benutzernamen und ihre E-Mail-Adresse, sie sieht den Gameserver mit den Rechten, die Sie vergeben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Ihr Vertrag und die Nutzung durch die eingeladene Person). Die Einladung endet, wenn Sie sie entfernen, die Person austritt oder der Gameserver endet.

Zugang und Datenbanken. Für SFTP vergeben Sie ein eigenes Passwort je Server; wir speichern es nur als Hashwert, Ihr Kontopasswort gilt dort nicht. MySQL-Datenbanken, die Sie anlegen, liegen auf einem Datenbank-Server im Netz des Game-Hosts; deren Zugangsdaten speichern wir verschlüsselt. Technisch können wir über die Verwaltungssoftware des Hosts (Pterodactyl Wings) auf Dateien und Konsole Ihres Gameservers zugreifen; wir nutzen das wie in Ziffer 9a beschrieben nur für Bereitstellung, Wartung, Störungsbeseitigung, Missbrauchsabwehr oder auf rechtlicher Grundlage.

Daten von Spielern, die sich mit Ihrem Gameserver verbinden (etwa Spielernamen oder IP-Adressen in Ihren Server-Logs), verarbeiten Sie als Verantwortlicher; wir speichern sie für Sie als Auftragsverarbeiter (Auftragsverarbeitungsvertrag). Endet ein Gameserver mit Ablauf der Laufzeit, wird er gestoppt und nach sieben Tagen mit seinen Dateien, Sicherungen und Datenbanken gelöscht; bei Widerruf, Kündigung mit Erstattung oder Löschung des Kundenkontos sofort.

9h. DNS und Reverse-DNS

Liegt Ihre Domain auf unseren Nameservern, speichern wir die DNS-Einträge, die Sie im Kundenbereich setzen, und verteilen sie an unsere Nameserver; dasselbe gilt für den Reverse-DNS-Namen (PTR), den Sie für eine IP-Adresse Ihres Servers setzen. Diese Einträge sind bestimmungsgemäß öffentlich: jeder kann sie im DNS abfragen. Bevor wir einen PTR übernehmen, prüfen wir, ob der Name auf dieselbe Adresse zeigt; dazu fragen wir den Namen über den DNS-Dienst von Cloudflare ab (übermittelt wird nur der Name). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Ein PTR gilt nur, solange Ihr Server die Adresse trägt — danach wird er nicht mehr ausgeliefert und gelöscht. Zieht Ihre Domain von unseren Nameservern weg oder endet der Vertrag, bleibt die Zone noch zwei Tage abrufbar (damit Ihre Domain beim Wechsel erreichbar bleibt) und wird dann gelöscht.

Dynamisches DNS. Richten Sie es für einen Hostnamen ein, setzen wir die IP-Adresse, die Ihr Router meldet (bzw. von der aus er uns aufruft), als DNS-Eintrag dieses Namens — sie ist damit wie jeder DNS-Eintrag öffentlich abrufbar. Wir speichern den Zeitpunkt der letzten Aktualisierung und das Zugangskennwort nur als Prüfwert (Hash). Entfernen Sie den Eintrag, gilt das Kennwort nicht mehr.

Weiterleitungen und MTA-STS. Richten Sie eine Weiterleitung oder MTA-STS ein, beantworten unsere Nameserver-Hosts die Aufrufe dieser Namen und leiten weiter bzw. liefern die Richtlinie aus; ein Zugriffsprotokoll führen wir dabei nicht. Für HTTPS holen wir ein Zertifikat bei Let's Encrypt; dabei wird der Hostname übermittelt und — wie bei jedem öffentlichen Zertifikat — in den öffentlichen Certificate-Transparency-Logs eingetragen.

10. Cookies und lokale Speicherung

Wir verwenden ein Cookie und einige Einträge im lokalen Speicher Ihres Browsers (LocalStorage). Alle sind technisch notwendig oder speichern eine Einstellung, die Sie selbst vorgenommen haben; eine Einwilligung ist dafür nicht erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Über die oben genannten hinaus setzen wir keine Cookies oder Speichereinträge ein. Es gibt keine Analyse-, Reichweitenmessungs- oder Marketing-Dienste. Weil sämtliche Speicherung technisch notwendig ist (§ 25 Abs. 2 Nr. 2 TDDDG), ist dafür keine Einwilligung erforderlich; der Hinweis beim ersten Besuch dient allein Ihrer Information. Sollten wir künftig eine Reichweitenmessung einsetzen, holen wir dafür vorher Ihre Einwilligung ein und ergänzen die Tabelle oben.

10a. Übermittlung in Drittländer

Unsere Server und die Dienste, mit denen wir Ihre Daten verarbeiten, stehen grundsätzlich in der Europäischen Union. Eine Übermittlung in ein Land außerhalb der EU und des EWR findet nur dort statt, wo wir einen Dienst einsetzen, dessen Anbieter seinen Sitz in einem Drittland hat. Betroffen ist vor allem Cloudflare, Inc. (USA) für den Schutz der Website (Ziffer 3) und den Bot-Schutz (Ziffer 7).

Daneben kann eine Übermittlung in ein Drittland in zwei Fällen stattfinden, die Sie selbst auslösen: beim Herunterladen einer ISO-Datei über einen Proxy-Server außerhalb der EU (Ziffer 9f; übermittelt wird nur der Name des angefragten Servers, nicht Ihre Identität) und bei der freiwilligen Discord-Benachrichtigung (Ziffer 9c), deren Anbieter zu einem US-Konzern gehört. Grundlage ist dort Art. 49 Abs. 1 lit. b DSGVO (Erfüllung des von Ihnen gewünschten Vorgangs) bzw. Ihre Einwilligung.

Cloudflare ist nach dem EU-US Data Privacy Frameworkzertifiziert. Für diese Übermittlung besteht damit ein Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 (Art. 45 Abs. 1 DSGVO); ein zusätzliches Garantieinstrument ist neben einem Angemessenheitsbeschluss nicht erforderlich. Ergänzend und für den Fall, dass die Zertifizierung entfällt oder der Beschluss aufgehoben wird, haben wir mit Cloudflare dieStandardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914) vereinbart — Art. 46 Abs. 2 lit. c DSGVO.

Welche weiteren Dienstleister wir einsetzen, in welchem Land sie verarbeiten und worauf eine etwaige Drittlandübermittlung gestützt ist, können Sie jederzeit der Liste der Unterauftragsverarbeiter imAuftragsverarbeitungsvertragentnehmen; sie wird laufend aktuell gehalten.

11. Aufbewahrungsfristen

Unsere Buchungsaufzeichnungen (Kontobuch, Bestellungen) bewahren wir zehn Jahre auf, Rechnungen und andere Buchungsbelege acht Jahre (§ 147 Abs. 3 AO, § 257 Abs. 4 HGB, § 14b UStG), Geschäftsbriefe einschließlich des E-Mail-Versandarchivs sechs Jahre (§ 257 Abs. 4 HGB), jeweils ab Schluss des Kalenderjahres. Protokolle über Eingriffe unserer Mitarbeitenden (Änderungen an Konten, Buchungen, Rechten und Einstellungen) bewahren wir ebenfalls 10 Jahre auf, damit Änderungen an buchführungsrelevanten Daten nachvollziehbar bleiben (§ 146 Abs. 4 AO), und löschen sie danach automatisch.

Unabhängig von diesen Fristen löschen wir personenbezogene Zusatzangaben früher, sobald ihr Zweck erfüllt ist (Art. 5 Abs. 1 lit. e DSGVO):

• IP-Adressen und Gerätekennungen in Protokoll- und Buchungsdaten werden nach 90 Tagen automatisch gelöscht. Das betrifft auch die IP-Adresse, die bei einer Bestellung oder Zahlung erfasst wurde: Der Beleg selbst bleibt für die gesetzliche Frist erhalten, die IP nicht.
• Nie bezahlte Aufladungen (abgebrochen oder abgelaufen) sind kein Buchungsbeleg und werden nach 90 Tagen gelöscht.
• Anwendungsprotokolle, die Aktionsprotokolle Ihrer Server (Start, Stopp, Neuinstallation und Ähnliches) und dieAktivitätsprotokolle Ihrer Gameserver (Ziffer 9g) werden nach 90 Tagen gelöscht, Änderungsprotokolle zu Domains, Systemereignisse, Befunde der Angriffserkennung (Ziffer 9d) und Mitteilungen im Kundenbereich nach einem Jahr, der Verlauf der IP-Zuordnungen (Ziffer 9a) ein Jahr nach der Freigabe der Adresse.
• Auslastungsmessungen (Ziffer 9e): Einzelwerte nach 48 Stunden, Stundenwerte nach 90 Tagen. Entschiedene Treffer des Sanktionslisten-Abgleichs (Ziffer 4a) nach fünf Jahren,Widerrufs- und Kündigungserklärungen sowie DSA-Meldungen(Ziffer 4b) drei Jahre nach Ablauf des Eingangs- bzw. Entscheidungsjahres.
• Das Sicherheitsprotokoll Ihres Kontos (Anmeldungen, Passwort- und Zwei-Faktor-Änderungen, siehe Ziffer 9b) sowie die Nachweise zum Hinweis beim ersten Besuch löschen wir nach drei Jahren — so lange können Ansprüche aus einem unberechtigten Zugriff geltend gemacht werden (§ 195 BGB). IP-Adresse und Gerätekennung darin entfallen bereits nach 90 Tagen.
• Abgeschlossene Support-Tickets werden gelöscht, sobald die regelmäßige Verjährungsfrist abgelaufen ist — drei Jahre ab dem Schluss des Jahres der letzten Bearbeitung (§ 195 i. V. m. § 199 Abs. 1 BGB). Offene Tickets werden nicht automatisch gelöscht.
• Bei Löschung Ihres Kundenkontos entfernen oder anonymisieren wir Ihre personenbezogenen Daten sofort, einschließlich der von Ihnen verfassten Ticket-Texte. Erhalten bleiben allein die Daten, für die eine gesetzliche Aufbewahrungspflicht besteht, bis zum Ablauf ihrer Fristen die Widerrufs- und Kündigungserklärungen (Ziffer 4b und 9c) und die Befunde der Angriffserkennung ohne Bezug zu Ihrem Konto (Ziffer 9d) sowie der Verlauf der IP-Zuordnungen (Ziffer 9a).

12. Ihre Rechte

Ihnen stehen nach der DSGVO folgende Rechte zu:

• Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO), soweit keine Aufbewahrungspflicht entgegensteht
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft

Ihre Kontaktdaten und Ihre E-Mail-Adresse können Sie im Kundenbereich unter Konto selbst berichtigen. Den Benutzernamen ändern wir auf Anfrage per E-Mail für Sie.

Ein direktes Export-Werkzeug für Ihre Kontodaten finden Sie im Kundenbereich unter Konto → Datenschutz; es liefert Ihre Stamm-, Bestell-, Rechnungs- und Protokolldaten als JSON-Datei. Ihr Konto können Sie dort ebenfalls selbst löschen, sofern keine Domain mehr aktiv ist und kein offener Betrag besteht. Vorhandenes Guthaben und bezahlte Restlaufzeit zahlen wir vorher auf Anfrage aus; alternativ verzichten Sie im Löschdialog ausdrücklich darauf.

Alle übrigen Rechte — insbesondere die Einschränkung der Verarbeitung nach Art. 18 DSGVO und der Widerspruchnach Art. 21 DSGVO — üben Sie formlos per E-Mail aus; wir setzen sie manuell um und antworten Ihnen innerhalb eines Monats (Art. 12 Abs. 3 DSGVO). Das gilt auch für die Löschung eines gesperrten Kontos: eine Sperrung verhindert die Anmeldung und damit die Selbstlöschung — Ihr Recht auf Löschung bleibt davon unberührt, schreiben Sie uns einfach.

Auf Wunsch erhalten Sie zusätzlich zur Datenkopie die Angaben nach Art. 15 Abs. 1 DSGVO in Textform: Verarbeitungszwecke, Datenkategorien, Empfänger, geplante Speicherdauer und die Herkunft der Daten.

Für all das erreichen Sie uns unter:

E-Mail:

13. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist in der Regel die Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts oder die für uns zuständige Behörde:

Hinweis: Anbieteradresse und Aufsichtsbehörde stehen noch auf Platzhalter — bitte im Admin-Panel unter Firmen­einstellungen ergänzen.