Datenschutzerklärung

Stand: 30.10.2026 · Version 1.2

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Draxento UG (haftungsbeschränkt)
Am Schwemmbach 6
99099 Erfurt, Deutschland
Vertreten durch: Adrian Petzold
Telefon: +49 (0) 361 21868683
E-Mail: [email protected]

Weitere Angaben finden Sie im Impressum.

2. Allgemeines zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten unserer Kunden und der Besucher dieser Website nur, soweit dies zur Bereitstellung unserer Hosting-Dienste, zur Vertragserfüllung oder aufgrund gesetzlicher Pflichten erforderlich ist. Rechtsgrundlagen sind je nach Verarbeitung:

• Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Hosting-Vertrags und vorvertragliche Maßnahmen (z. B. Registrierung, Bestellung, Support),
• Art. 6 Abs. 1 lit. c DSGVO — gesetzliche Pflichten (z. B. steuerrechtliche Aufbewahrung von Rechnungen),
• Art. 6 Abs. 1 lit. f DSGVO — berechtigte Interessen (z. B. IT-Sicherheit, Missbrauchsabwehr, Nachweisführung),
• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung, sofern wir diese im Einzelfall einholen.

3. Hosting und Infrastruktur

Unsere Dienste werden auf eigener Server-Infrastruktur in einem Rechenzentrum in Erfurt (Deutschland) betrieben. Eine Weitergabe von Kundendaten an externe Rechenzentrumsbetreiber zur eigenständigen Verarbeitung findet nicht statt.

Cloudflare (Reverse-Proxy/CDN): Der Datenverkehr dieser Website wird zum Schutz vor Angriffen (z. B. DDoS) über das Netzwerk der Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA, geleitet. Dabei verarbeitet Cloudflare technisch notwendig Ihre IP-Adresse und Verbindungsdaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Sicherheit und Verfügbarkeit der Systeme). Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend bestehen Standardvertragsklauseln (Art. 46 DSGVO). Weitere Informationen: Datenschutzerklärung von Cloudflare.

4. Server-Logfiles und Request-Protokollierung

Bei jedem Aufruf unserer Website verarbeiten wir automatisiert: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite/Ressource, HTTP-Statuscode und den User-Agent Ihres Browsers. Diese Daten dienen der Störungsanalyse, der Abwehr von Angriffen und der Sicherstellung des Betriebs (Art. 6 Abs. 1 lit. f DSGVO). Die Protokolle werden nach 14 Tagen automatisch gelöscht.

5. Registrierung und Kundenkonto

Für die Nutzung unserer Dienste ist ein Kundenkonto erforderlich. Bei der Registrierung erheben wir: Vorname, Nachname, Geburtsdatum (Prüfung des Mindestalters), E-Mail-Adresse und Passwort (gespeichert ausschließlich als kryptographischer Hash). Für die Rechnungsstellung erheben wir später zusätzlich Ihre Anschrift und optional eine Telefonnummer. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Zum Nachweis Ihrer Zustimmung zu unseren AGB und der Kenntnisnahme dieser Datenschutzerklärung speichern wir Zeitpunkt, Dokumentversion und IP-Adresse der Registrierung (Art. 7 Abs. 1 DSGVO).

6. Bot-Schutz (Cloudflare Turnstile)

Zum Schutz des Registrierungs- und des Kontaktformulars vor automatisiertem Missbrauch setzen wir Cloudflare Turnstile ein. Dabei werden technische Daten (u. a. IP-Adresse, Browser-Merkmale) an Cloudflare, Inc. (USA) übermittelt und dort ausgewertet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Missbrauchsabwehr); zum Drittlandtransfer siehe Abschnitt 3. Turnstile setzt keine Tracking-Cookies zu Werbezwecken.

7. Cookies

Wir verwenden ausschließlich technisch notwendige Cookies: einen Authentifizierungs-Cookie, der Sie nach der Anmeldung im Kundenbereich angemeldet hält, und – sobald Sie in der Navigation ein Projekt auswählen – einen Cookie, der sich diese Auswahl für bis zu 30 Tage merkt. Es findet kein Tracking statt, es werden keine Analyse- oder Marketing-Cookies gesetzt und keine Daten zu Werbezwecken verarbeitet. Für technisch notwendige Cookies besteht keine Einwilligungspflicht (§ 25 Abs. 2 Nr. 2 TDDDG).

8. Vertragsdurchführung, Rechnungen und Zahlungen (Qonto)

Für Rechnungsstellung und Zahlungsabwicklung nutzen wir die Dienste der Qonto (Olinda SAS), 18 rue de Navarin, 75009 Paris, Frankreich (EU). Dabei übermitteln wir Name, Anschrift und E-Mail-Adresse sowie die Rechnungsdaten an Qonto; die Zahlung selbst erfolgt über einen von Qonto bereitgestellten Zahlungslink. Zahlungsinstrumente (z. B. Kartendaten, IBAN) werden bei uns nicht gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Rechnungen und die darin enthaltenen Pflichtangaben bewahren wir aufgrund handels- und steuerrechtlicher Vorschriften (§ 147 AO, § 257 HGB) 10 Jahre auf (Art. 6 Abs. 1 lit. c DSGVO).

9. E-Mail-Versand (Microsoft 365)

Transaktionale E-Mails (z. B. Registrierungsbestätigung, Rechnungen, Support-Antworten) versenden wir über Microsoft 365 / Exchange Online der Microsoft Ireland Operations Ltd., One Microsoft Place, Dublin, Irland. Mit Microsoft besteht ein Auftragsverarbeitungsvertrag; soweit dabei Übermittlungen in die USA stattfinden können, stützen sich diese auf das EU-US Data Privacy Framework und Standardvertragsklauseln. Über versendete E-Mails protokollieren wir ausschließlich Metadaten (Empfänger, Zeitpunkt, Nachrichtentyp, Zustellstatus), keine Inhalte; diese Protokolle werden nach 90 Tagen gelöscht.

10. Domainregistrierung (Dynadot)

Wenn Sie über uns eine Domain bestellen, übermitteln wir die für die Registrierung erforderlichen Inhaberdaten (Name, Anschrift, E-Mail-Adresse, ggf. Telefonnummer) an den Registrar Dynadot LLC, 210 S Ellsworth Ave #345, San Mateo, CA 94401, USA, sowie an die zuständige Vergabestelle (Registry). Ohne diese Übermittlung ist eine Domainregistrierung nicht möglich (Art. 6 Abs. 1 lit. b DSGVO; Übermittlung in die USA auf Grundlage von Standardvertragsklauseln bzw. Art. 49 Abs. 1 lit. b DSGVO).

11. Support-Tickets und Feedback

Support-Anfragen (Tickets) und deren Inhalte werden in unserem System gespeichert und ausschließlich zur Bearbeitung Ihres Anliegens verwendet (Art. 6 Abs. 1 lit. b DSGVO). Über das Feedback-Formular übermittelte Angaben (Titel, Text, Kontext-URL, Benutzername) werden in unserem selbst betriebenen Issue-Tracker (GitLab, eigene Infrastruktur in Deutschland) verarbeitet.

12. Projekte und Projektmitglieder

Kunden können ihre Dienste in Projekten bündeln und ein Projekt mit anderen Draxento-Konten teilen. Dabei verarbeiten wir folgende Daten:

• Einladung: Lädt ein Projekteigentümer eine Person ein, speichern wir die von ihm eingegebene E-Mail-Adresse und den Zeitpunkt und senden an diese Adresse eine Einladung mit dem Namen des Eigentümers und dem Projektnamen. Rechte, die der Eigentümer vorab festlegt, speichern wir zur Einladung; sie gelten erst ab dem Beitritt. Die Einladung ist 7 Tage gültig und wird 30 Tage nach Ablauf, Annahme oder Rücknahme gelöscht. Ob zu der Adresse bereits ein Kundenkonto besteht, erfährt der Eigentümer dabei nicht; er sieht bis zur Annahme nur die eingegebene Adresse. Rechtsgrundlage ist unser berechtigtes Interesse und das des Eigentümers an der gemeinsamen Verwaltung seiner Dienste (Art. 6 Abs. 1 lit. f DSGVO).
• Mitgliedschaft: Mitglied wird nur, wer die Einladung selbst mit einem Kundenkonto unter genau dieser Adresse bestätigt. Ab dann sieht der Eigentümer Name und E-Mail-Adresse des Mitglieds, dessen Rechte und den Beitrittszeitpunkt. Mitglieder sehen vom Eigentümer nur den Projektnamen und – in der Einladung und im Aktivitätsprotokoll – dessen Namen, jedoch keine Anschrift, Rechnungen oder Zahlungsdaten. Rechtsgrundlage ist die Durchführung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO).
• Vollmacht für Bestellungen: Erteilt der Eigentümer einem Mitglied das Recht, in seinem Namen und auf seine Rechnung zu bestellen und zu kündigen, speichern wir den bestätigten Wortlaut, den Zeitpunkt und die IP-Adresse des Eigentümers als Nachweis der Vollmacht, solange sie besteht, und darüber hinaus im Aktivitätsprotokoll für die unten genannte Frist (Art. 6 Abs. 1 lit. b und f, Art. 17 Abs. 3 lit. e DSGVO).
• Benachrichtigungen: Löst ein Mitglied eine Aktion aus, über die wir per E-Mail informieren (z. B. Bestellung, Kündigung, Ticket), erhalten der Eigentümer und das Mitglied jeweils eine Mail. Die Mail an den Eigentümer nennt Name und E-Mail-Adresse des Mitglieds; die Mail an das Mitglied enthält keine Daten des Eigentümers außer dem Projektnamen. Rechnungen und Zahlungserinnerungen gehen ausschließlich an den Eigentümer.
• Aktivitätsprotokoll: Aktionen in einem Projekt (z. B. Starten und Stoppen von Diensten, Bestellungen, Kündigungen, Änderungen an Mitgliedern und Rechten) protokollieren wir mit Zeitpunkt, handelndem Konto, IP-Adresse und User-Agent. Der Eigentümer und Mitglieder mit dem Recht „Aktivität einsehen“ sehen davon Zeitpunkt, Namen des Handelnden, Aktion und Dienst – nicht aber IP-Adresse oder User-Agent. Zweck ist die Nachvollziehbarkeit der Nutzung gemeinsam verwalteter Dienste (Art. 6 Abs. 1 lit. f DSGVO); die Einträge werden wie geschäftsrelevante Ereignisse nach 3 Jahren ab Jahresende gelöscht (Abschnitt 14).
• Tickets: Tickets zu einem Dienst eines Projekts sehen auch der Eigentümer und Mitglieder mit dem Ticket-Recht dieses Projekts.

Mitglieder können ein Projekt jederzeit verlassen; der Eigentümer kann Mitglieder jederzeit entfernen. Mit dem Ende der Mitgliedschaft erlöschen Zugriff und Vollmacht sofort, und die persönlichen SSH-Schlüssel des Mitglieds werden aus der Serverkonfiguration des Projekts entfernt. Löscht der Eigentümer sein Kundenkonto, werden seine Projekte samt Mitgliedschaften und Einladungen gelöscht; Tickets, die Mitglieder eröffnet haben, verbleiben bei diesen.

13. Audit-Protokollierung im Kundenkonto

Sicherheitsrelevante Ereignisse (z. B. An- und Abmeldungen, fehlgeschlagene Anmeldeversuche, Passwortänderungen) protokollieren wir mit Zeitpunkt, IP-Adresse und User-Agent zur Missbrauchserkennung und zum Schutz Ihres Kontos (Art. 6 Abs. 1 lit. f DSGVO); diese Einträge werden nach 90 Tagen gelöscht. Geschäftsrelevante Ereignisse (z. B. Bestellungen, Vertragsänderungen) bewahren wir zur Nachweisführung und wegen zivilrechtlicher Verjährungsfristen (§§ 195, 199 BGB) 3 Jahre ab Ende des jeweiligen Kalenderjahres auf (Art. 6 Abs. 1 lit. f, Art. 17 Abs. 3 lit. e DSGVO).

14. Speicherdauer und Löschkonzept

Es gelten folgende Aufbewahrungsfristen; die Löschung erfolgt automatisiert:

Im Einzelfall können Daten länger aufbewahrt werden, soweit dies zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist (Art. 17 Abs. 3 lit. e DSGVO).

15. Ihre Rechte

Sie haben gegenüber uns folgende Rechte hinsichtlich Ihrer personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO),
• Berichtigung (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO),
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Zur Ausübung genügt eine formlose Mitteilung an [email protected].

16. Selbstlöschung und Datenexport im Kundenkonto

In Ihrem Kundenkonto können Sie jederzeit einen maschinenlesbaren Export Ihrer bei uns gespeicherten personenbezogenen Daten herunterladen (Art. 20 DSGVO) sowie Ihr Konto selbst löschen. Bei der Löschung werden Ihre personenbezogenen Daten entfernt bzw. anonymisiert; hiervon ausgenommen sind Daten, die gesetzlichen Aufbewahrungspflichten unterliegen (insbesondere Rechnungen, siehe Abschnitt 14).

17. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist: Thüringer Landesbeauftragter für den Datenschutz und die Informationsfreiheit (TLfDI), Häßlerstraße 8, 99096 Erfurt, www.tlfdi.de.

18. Datensicherheit und Änderungen

Wir sichern unsere Systeme durch technische und organisatorische Maßnahmen nach dem Stand der Technik (u. a. TLS-Verschlüsselung sämtlicher Verbindungen, gehashte Passwortspeicherung, Zwei-Faktor-Authentifizierung, Zugriffskontrollen und Protokollierung). Wir passen diese Datenschutzerklärung an, wenn sich unsere Verarbeitungen oder die Rechtslage ändern; es gilt die jeweils hier veröffentlichte Fassung.