XR4.worldXR4.worldLogin

Datenschutzerklärung

Diese Erklärung informiert dich nach Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO) darüber, wie wir personenbezogene Daten verarbeiten, wenn du die XR4-Plattform nutzt (xr4.world und zugehörige Subdomains, einschließlich aller über das Kundenportal angebotenen Produkte, des Community-Forums und von XR4 Social).

1. Verantwortlicher

Tino Höhne, handelnd unter „XR4“
c/o Block Services, Stuttgarter Str. 106, 70736 Fellbach, Deutschland
E-Mail: info@tinohox.de

Ein Datenschutzbeauftragter ist nicht bestellt, weil die Voraussetzungen von Art. 37 DSGVO und § 38 BDSG nicht vorliegen. Für alle Fragen zum Datenschutz erreichst du uns unter der genannten Adresse.

2. Grundsätze und Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten nur, soweit es für den jeweiligen Zweck erforderlich ist. Rechtsgrundlagen sind:

  • Art. 6 Abs. 1 lit. b DSGVO: Abschluss und Erfüllung des Vertrags über die Nutzung der Plattform und ihrer Produkte, einschließlich vorvertraglicher Maßnahmen;
  • Art. 6 Abs. 1 lit. c DSGVO: rechtliche Pflichten, insbesondere handels- und steuerrechtliche Aufbewahrung;
  • Art. 6 Abs. 1 lit. f DSGVO: unsere berechtigten Interessen an einem sicheren, funktionsfähigen und wirtschaftlichen Betrieb, die wir jeweils bei der einzelnen Verarbeitung nennen;
  • Art. 6 Abs. 1 lit. a DSGVO: deine Einwilligung, wo wir ausdrücklich um sie bitten.

Für ein Konto und einen Vertrag brauchen wir deine E-Mail-Adresse und deinen Namen, bei kostenpflichtigen Produkten zusätzlich die Angaben für Rechnung und Zahlung. Ohne diese Angaben können wir keinen Vertrag schließen. Weitere Angaben sind freiwillig.

Die Plattform läuft auf eigener Hardware in Deutschland. Identitätsverwaltung, Datenbanken, Dateiablage, Abrechnungssystem, Ticketsystem, lokale KI-Modelle, Spracherkennung, Sprachausgabe und Videokonferenzen betreiben wir selbst. Externe Anbieter setzen wir nur dort ein, wo diese Erklärung sie ausdrücklich nennt. Eine automatisierte Entscheidung im Einzelfall nach Art. 22 DSGVO, die dir gegenüber rechtliche Wirkung entfaltet oder dich ähnlich erheblich beeinträchtigt, findet nicht statt.

3. Aufruf der Plattform, Server-Protokolle und Angriffsabwehr

Beim Aufruf jeder Seite verarbeiten wir technisch notwendige Zugriffsdaten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Statuscode, übertragene Datenmenge und Browser-Kennung (User-Agent). Ohne diese Daten kann der Server keine Seite ausliefern.

Die Zugriffsprotokolle des zentralen Webservers speichern wir zur Aufklärung und Abwehr von Sicherheitsvorfällen 30 Tage und löschen sie danach automatisch. Sie fließen nicht in Datensicherungen. Geheimnisartige Angaben in Adressen (z. B. Anmelde-Codes, Zugriffsschlüssel, Suchbegriffe) machen wir dabei unkenntlich. Sicherheitsrelevante Ereignisse der Anmeldung (z. B. erfolgreiche oder fehlgeschlagene Anmeldung, jeweils mit IP-Adresse) speichern wir ebenfalls bis zu 30 Tage. Sonstige Betriebsprotokolle der einzelnen Dienste werden nach kurzer Zeit, in der Regel nach wenigen Tagen, überschrieben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Sicherheit und Stabilität der Plattform.

Zur Abwehr von Angriffen setzen wir die Software CrowdSec ein. Sie erkennt auffällige Anfragen anhand allgemein bekannter Angriffsmuster und kann die betreffende IP-Adresse vorübergehend sperren. Erkennt sie einen Angriff nach einem dieser Muster, übermitteln wir IP-Adresse, Art des Angriffs und Zeitpunkt an die CrowdSec SAS (Paris, Frankreich). Dort fließen die Angaben in eine gemeinsame Sperrliste ein, die wir im Gegenzug beziehen. Selbst gesetzte oder manuelle Sperren teilen wir nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der Schutz der Plattform und ihrer Nutzer vor Angriffen.

4. Konto und Anmeldung

Für dein Nutzerkonto verarbeiten wir die von dir angegebenen Daten (E-Mail-Adresse, Name, Passwort, gegebenenfalls einen zweiten Anmeldefaktor) in unserer selbst betriebenen Identitätsverwaltung (Keycloak, auth.xr4.world). Passwörter speichern wir ausschließlich als kryptografische Prüfwerte (Hashes). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Öffnest du ein Produkt, prüft unser Zugangsdienst deine Berechtigung. Danach gibt er dem Produkt deine Konto-Kennung, deine E-Mail-Adresse, deinen Namen und gegebenenfalls deine Firma, deine Kundenkennung und deine Rolle weiter. Diese Weitergabe bleibt innerhalb der Plattform. Sie dient dazu, dir deine Daten zuzuordnen und sie von den Daten anderer Kunden getrennt zu halten.

5. Firmenkonten, Mitglieder und Einladungen

Legst du eine Firma an oder trittst du einer bei, verarbeiten wir die Zugehörigkeit (Firma, Rolle, freigegebene Produkte) und protokollieren Änderungen daran, etwa wer wen hinzugefügt oder entfernt hat. Einladungen erfolgen per Link oder QR-Code; davon speichern wir nur einen nicht umkehrbaren Prüfwert sowie Zeitpunkt und Person der Einlösung. Firmen können KI-Mitglieder anlegen, also technische Konten ohne natürliche Person; diese sind als solche gekennzeichnet. Innerhalb einer Firma sehen Inhaber und Administratoren die Mitglieder mit Name, E-Mail-Adresse und Rolle. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Protokollierung zusätzlich lit. f (Nachvollziehbarkeit von Rechteänderungen).

6. Cookies und lokale Speicherung

Wir verwenden ausschließlich technisch notwendige Cookies. Sie dienen der Anmeldung und der Sitzungsverwaltung (Identitätsverwaltung, Kundenportal und ein plattformweites Sitzungs-Cookie, über das die Produkte deine Anmeldung erkennen), dem Schutz vor gefälschten Anfragen und kurzzeitig dem Abschluss einer Einladung. Einzelne Produkte setzen eigene, ebenfalls technisch notwendige Sitzungs-Cookies. Deine Design-Einstellung (hell/dunkel) speichern wir nur lokal in deinem Browser. Rechtsgrundlage für das Speichern und Auslesen ist § 25 Abs. 2 Nr. 2 TDDDG, für die anschließende Verarbeitung Art. 6 Abs. 1 lit. b DSGVO. Tracking-, Analyse- oder Marketing-Cookies setzen wir nicht, und wir binden keine Reichweitenmessung ein. Das Kundenportal und die Startseite xr4.world laden keine Schriften, Skripte oder sonstigen Inhalte von fremden Servern.

7. Vertragsschluss, Zahlung und Rechnungen

Beim Kauf oder der Aktivierung eines Produkts speichern wir, welcher Fassung unserer AGB und, bei Verbrauchern, welcher Fassung der Widerrufsbelehrung du wann zugestimmt hast, zusammen mit deiner Konto-Kennung und dem Produkt. Das dient dem Nachweis des Vertragsinhalts (Art. 6 Abs. 1 lit. b und lit. c DSGVO).

Kostenpflichtige Leistungen wickeln wir über den Zahlungsdienstleister Stripe ab (Stripe Payments Europe, Ltd., Dublin, Irland; mit Stripe, LLC, USA). Zahlungsdaten gibst du direkt bei Stripe ein; Kartendaten verarbeiten wir nicht selbst. Für Abonnements und nutzungsabhängige Abrechnung hinterlegt Stripe dein Zahlungsmittel für spätere Abbuchungen. Stripe verarbeitet die Daten zur Zahlungsabwicklung und für eigene gesetzliche Pflichten (z. B. Geldwäscheprävention, Betrugserkennung) teilweise in eigener Verantwortung; dafür gilt die Datenschutzerklärung von Stripe. Zu Übermittlungen in die USA siehe Ziffer 15.

Rechnungen und Abrechnungsdaten, einschließlich der gemessenen Verbrauchsmengen der gebuchten Produkte, führen wir in unserem selbst betriebenen Abrechnungssystem (Lago). Wir bewahren sie aus handels- und steuerrechtlichen Gründen auf (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB). Soweit wir einen Steuerberater beauftragen, erhält er die dafür erforderlichen Buchungs- und Rechnungsdaten.

8. Inhalte in den Produkten

Die Produkte verarbeiten die Inhalte, die du oder deine Firma dort einstellt oder erzeugt, etwa Chatverläufe, hochgeladene Dokumente, Bilder, Audio- und Videodateien, Projektdateien, Webseiten-Projekte, Podcast-Skripte und erzeugte Audiodateien, Sequenz- und Projektdaten oder Forenbeiträge. Wir verarbeiten diese Inhalte, um den jeweiligen Dienst zu erbringen (Art. 6 Abs. 1 lit. b DSGVO), und speichern sie je Nutzer bzw. je Firma getrennt. Einige Produkte bieten zusätzlich:

  • Anbindungen an deine Datenquellen (z. B. Nextcloud/WebDAV, E-Mail-Postfächer per IMAP, Webseiten). Die von dir hinterlegten Zugangsdaten speichern wir verschlüsselt und lesen die freigegebenen Inhalte regelmäßig ein, bei Postfächern einschließlich Nachrichten und Anhängen.
  • Auswertung öffentlicher Webseiten (z. B. im Marken-Kit). Dabei rufen wir die von dir angegebenen Seiten ab und speichern deren Inhalte und Bildschirmfotos.
  • Zusammenarbeit und Dateiablage über unsere selbst betriebene Nextcloud (cloud.xr4.world) mit Talk für Chat, Audio- und Videogespräche. Eine Live-Transkription läuft, wenn du sie nutzt, auf unseren eigenen Servern.
  • Veröffentlichung, etwa von Webseiten, gehosteten Anwendungen, Social-Beiträgen oder Forenbeiträgen. Diese Inhalte sind dann für den von dir gewählten Personenkreis oder öffentlich sichtbar.

Soweit du oder deine Firma in diesen Inhalten personenbezogene Daten Dritter verarbeitet (z. B. von Kunden, Beschäftigten oder Absendern von E-Mails), seid ihr dafür Verantwortlicher; wir handeln insoweit als Auftragsverarbeiter nach Art. 28 DSGVO. Den Vertrag zur Auftragsverarbeitung findest du unter xr4.world/avv.

9. KI-Funktionen

Viele Produkte nutzen KI-Modelle über unser zentrales LLM-Gateway. Deine Eingaben (Texte, Dateien, Bilder, Sprache) und die erzeugten Antworten werden dafür verarbeitet. Je Zugang erfassen wir zur Abrechnung und Kontingentierung den Verbrauch (Modell, Anzahl der Token, Zeitpunkt, Kosten), nicht aber die Inhalte. Wo du mit einem KI-System kommunizierst, ist das im Produkt erkennbar.

  • Lokale Modelle (z. B. Qwen, Spracherkennung, Sprachausgabe) laufen ausschließlich auf unserer eigenen Hardware in Deutschland. Dabei werden keine Daten an Dritte übermittelt.
  • Externe Modelle von OpenAI (OpenAI Ireland Ltd., Dublin, Irland, mit OpenAI OpCo, LLC, USA) und Anthropic (Anthropic Ireland, Ltd., Dublin, Irland, mit Anthropic, PBC, USA). Wählst du ein solches Modell oder ist es in einem Produkt voreingestellt (z. B. im Web-Studio), übermitteln wir deine Eingaben an den jeweiligen Anbieter, der sie auch in den USA verarbeitet. Welches Modell verwendet wird, siehst du im jeweiligen Produkt; wo angeboten, kannst du ein lokales Modell wählen.
  • Ausweichmodelle: Ist ein externes Modell vorübergehend nicht erreichbar, kann die Anfrage automatisch an ein vergleichbares Modell des jeweils anderen der beiden genannten Anbieter oder an ein lokales Modell gehen. An andere Anbieter geht sie dabei nicht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Anbieter verarbeiten die Daten nach ihren Vertragsbedingungen für die API-Nutzung in unserem Auftrag, verwenden sie nicht zum Training ihrer Modelle und speichern sie nur begrenzte Zeit zur Missbrauchserkennung. Bitte gib keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO, z. B. Gesundheitsdaten) ein, wenn du externe Modelle nutzt. KI-Ausgaben können fehlerhaft sein; prüfe sie vor der Verwendung.

10. App-Hosting und Web-Studio

Buchst du App-Hosting, verarbeiten wir die von dir angegebene Repository-Adresse und gegebenenfalls ein Zugriffs-Token, um deine Anwendung bereitzustellen und zu aktualisieren, außerdem die Daten, die deine Anwendung speichert, und ein Protokoll der Freigaben und Zugriffsänderungen. Wählst du für deine Anwendung eine eigene externe Datenbank (z. B. dein eigenes Supabase-Projekt), liegen diese Daten bei deinem Anbieter. Für Inhalt und Rechtmäßigkeit der von dir gehosteten oder veröffentlichten Anwendungen und Webseiten, einschließlich deren eigener Datenschutzhinweise, bist du verantwortlich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

11. Community-Forum

Im Community-Forum (forum.xr4.world) verarbeiten wir deine Anmeldedaten (Anmeldung über dein XR4-Konto), deinen Anzeigenamen und deine Beiträge. Beiträge sind für andere Mitglieder sichtbar. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

12. Soziales Netzwerk (XR4 Social) und Föderation

Buchst du XR4 Social (social.xr4.world) oder nutzt du es als Mitglied einer Firma, verarbeiten wir für die Anmeldung die Angaben deines XR4-Kontos (Name, E-Mail-Adresse, Konto-Kennung, Gruppenzugehörigkeit), dein Profil (Spitzname, Anzeigename, Profilbild und alles, was du dort einträgst), deine Beiträge, Kommentare, Fotos, Termine, Nachrichten, Kontakte und Gruppen sowie technische Daten wie Anmeldezeitpunkte und Zustellprotokolle. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Föderation. XR4 Social gehört zum „Fediverse“, einem Verbund unabhängiger Server (z. B. Mastodon, Friendica), die über offene Protokolle (ActivityPub, Diaspora) Daten austauschen. Dein Profil (name@social.xr4.world) und alles, was du öffentlich oder an Kontakte auf anderen Servern veröffentlichst, übertragen wir an diese Server; deren Betreiber speichern und zeigen es in eigener Verantwortung an, auch außerhalb der EU. Welche Server das sind, bestimmst du über deine Kontakte und die Sichtbarkeit deiner Beiträge. Öffentliche Beiträge und Profile kann jeder Server abrufen und durchsuchen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, denn der Austausch mit anderen Servern ist Kern der gebuchten Leistung; Übermittlungen an Server außerhalb der EU erfolgen auf deine Veranlassung zur Erfüllung des Vertrags (Art. 49 Abs. 1 lit. b DSGVO). Mit Servern, von denen nach unserer Einschätzung Missbrauch ausgeht, tauschen wir keine Daten aus; dafür nutzen wir eine öffentlich gepflegte Sperrliste, die auf der Seite „Informationen zu dieser Instanz“ einsehbar ist.

Firmenräume und eigene Instanzen. Firmenräume sind private Gruppen. Ihre Inhalte sehen nur die Mitglieder; sie werden nicht an andere Server übertragen. Bucht eine Firma eine eigene Instanz, verarbeiten wir die Daten dieser Instanz im Auftrag der Firma; verantwortlich ist dann die Firma, und es gilt der Vertrag zur Auftragsverarbeitung.

Mobil-Apps. Nutzt du eine Mobil-App eines Drittanbieters (z. B. Tusky, Fedilab), verbindet sie sich direkt mit unserem Server. Für die App selbst gilt die Datenschutzerklärung ihres Anbieters.

Bluesky-Brücke. Die Brücke ist ab Werk ausgeschaltet. Verbindest du dein Konto freiwillig mit deinem Bluesky-Konto, speichern wir dein dafür hinterlegtes App-Passwort und übertragen die von dir dafür vorgesehenen Beiträge an Bluesky Social, PBC (USA). Bluesky verarbeitet sie dort in eigener Verantwortung nach seinen eigenen Bedingungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; die Übermittlung in die USA erfolgt auf deinen Wunsch zur Erfüllung des Vertrags (Art. 49 Abs. 1 lit. b DSGVO), weil für Bluesky kein Angemessenheitsbeschluss greift. Du kannst die Brücke jederzeit trennen.

Löschung. Endet dein Zugang (Kündigung oder Entzug durch deine Firma), sperren wir dein Konto sofort und löschen es nach 30 Tagen. In dieser Zeit kannst du über info@tinohox.de eine Wiederherstellung oder einen Export deiner Daten verlangen; exportiere wichtige Daten am besten schon vor der Kündigung. Mit der Löschung senden wir allen uns bekannten Servern eine Löschmitteilung; ob und wann sie diese umsetzen, liegt bei deren Betreibern. Aus unserer Datenbank sind die Daten 7 Tage nach der Löschung endgültig entfernt, aus Datensicherungen nach Ziffer 16. Deinen Spitznamen (die Adresse name@social.xr4.world) bewahren wir ohne weitere Daten auf, solange XR4 Social betrieben wird, damit er nicht neu vergeben wird; andere Server könnten einen neuen Inhaber sonst mit dir verwechseln. Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der Schutz vor Verwechslung und Identitätsmissbrauch.

13. E-Mail-Versand

System-E-Mails (z. B. Kontobestätigung, Passwort zurücksetzen, Zahlungsbestätigungen, Forums- oder Produktbenachrichtigungen) verschicken wir über den E-Mail-Dienst der Hetzner Online GmbH (Gunzenhausen, Deutschland) als Auftragsverarbeiter. Verarbeitet werden Empfängeradresse und Inhalt der Nachricht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

14. Interne Verwaltung, Betrieb und Problemmeldungen

Für Betrieb, Wartung und Verwaltung der Plattform setzen wir auch KI-gestützte Werkzeuge der in Ziffer 9 genannten Anbieter Anthropic und OpenAI ein. Dabei können im Einzelfall Konto-, Vertrags- und Abrechnungsdaten sowie technische Protokolle verarbeitet werden, etwa bei Fehlersuche, Support oder Buchhaltung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO; unser berechtigtes Interesse ist ein effizienter und sicherer Betrieb. Für Texte ohne jeden Bezug zu Kunden nutzen wir zusätzlich Modelle über OpenRouter, Inc. (USA); personenbezogene Daten übermitteln wir dorthin nicht.

Externe Entwickler, die Produkte für die Plattform beisteuern, reichen ihren Quellcode über GitHub (GitHub, Inc., USA) ein. Dabei verarbeiten wir ihr GitHub-Konto und ihre Einreichungen (Art. 6 Abs. 1 lit. b DSGVO).

Problemmeldungen. Meldest du über „Problem melden“ im Kundenportal ein Problem oder einen Vorschlag, verarbeiten wir deine Beschreibung, die gewählte Kategorie und das Produkt sowie automatisch erhobene technische Angaben: Status des Produkts in deinem Konto, Kundenart und Rolle, Portal-Version, Zeitpunkt, Browser-Kennung, Fenstergröße, Zeitzone, Sprache und, falls du von einem Produkt kommst, die Adresse dieser Seite ohne Parameter. Wir speichern die Meldung zusammen mit deiner Konto-Kennung in unserem selbst betriebenen Ticketsystem, auf das nur berechtigte Personen Zugriff haben. Ein KI-gestützter Assistent (Anthropic) sortiert die Meldung vor. Er erhält dafür eine Meldungsnummer, Produkt, Kategorie, Kundenart, deine Beschreibung und die technischen Angaben, nicht aber deine Konto-Kennung, deinen Namen oder deine E-Mail-Adresse; bitte schreibe solche Angaben auch nicht in die Beschreibung. Der Assistent kann dem zuständigen Produktteam eine Zusammenfassung in eigenen Worten weitergeben. Entschieden und geantwortet wird von Menschen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Unterstützung bei der Nutzung der gebuchten Dienste) und lit. f DSGVO (unser berechtigtes Interesse, Fehler zu finden und zu beheben).

Inhalte und Bildschirmfotos, die du nur mit gesonderter Einwilligung mitschickst (Art. 6 Abs. 1 lit. a DSGVO), sehen ausschließlich berechtigte Personen. Sie werden nicht an KI-Werkzeuge weitergegeben. Bildschirmfotos speichern wir neu und ohne eingebettete Metadaten (z. B. Standort). Deine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen; dann löschen wir diese Inhalte. Meldungen bewahren wir auf, solange es für ihre Bearbeitung und die Nachverfolgung wiederkehrender Fehler erforderlich ist.

15. Empfänger und Übermittlung in Drittländer

Empfänger personenbezogener Daten außerhalb unseres eigenen Betriebs sind nur die in dieser Erklärung genannten Stellen. Daten werden in die USA übermittelt bei Nutzung von Stripe, externen KI-Modellen (OpenAI, Anthropic), in den Fällen der Ziffer 14, bei GitHub (nur externe Entwickler), bei der freiwilligen Bluesky-Brücke und bei der Föderation mit Servern außerhalb der EU (Ziffer 12). Grundlagen sind:

  • Stripe, GitHub: der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), soweit der Empfänger danach zertifiziert ist, ergänzend EU-Standardvertragsklauseln;
  • OpenAI, Anthropic: EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), die Bestandteil der Auftragsverarbeitungsbedingungen dieser Anbieter sind;
  • Bluesky und Fediverse-Server außerhalb der EU: Art. 49 Abs. 1 lit. b DSGVO, weil du die Übermittlung selbst veranlasst und sie zur Erfüllung des Vertrags erforderlich ist.

In den USA können Behörden unter Umständen auf Daten zugreifen, ohne dass dir dagegen dieselben Rechtsbehelfe zustehen wie in der EU. Eine Kopie der vereinbarten Garantien erhältst du auf Anfrage an info@tinohox.de.

16. Speicherdauer und Datensicherung

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungsfristen es vorschreiben:

  • Rechnungen und Buchungsbelege: 8 bzw. 10 Jahre nach § 147 AO und § 257 HGB, gerechnet ab Ende des Kalenderjahres;
  • Nachweise über Zustimmungen zu Vertragsbedingungen: für die Dauer des Vertrags und der anschließenden Verjährungsfrist (in der Regel drei Jahre ab Jahresende);
  • Widerrufs- und Kündigungserklärungen, die du über die entsprechenden Funktionen abgibst (Name, E-Mail-Adresse, betroffener Vertrag, Zeitpunkt des Eingangs): zehn Jahre ab Ende des Kalenderjahres des Eingangs, als Beleg für die Beendigung des Vertrags und für etwaige Erstattungen (Art. 6 Abs. 1 lit. c und lit. f DSGVO);
  • Inhalte eines gekündigten Produkts: in der Regel 30 Tage nach Vertragsende, damit du sie sichern kannst, danach Löschung;
  • Konto- und Nutzungsdaten: bis zur Löschung des Kontos, soweit keine Aufbewahrungspflicht entgegensteht;
  • Fristen für Protokolle, Social und Problemmeldungen: siehe Ziffern 3, 12 und 14.

Zum Schutz vor Datenverlust sichern wir die Datenbanken laufend (Wiederherstellung auf einen Zeitpunkt bis zu 30 Tage zurück) und erstellen zusätzlich regelmäßige Vollsicherungen auf eigenen Datenträgern, die wir in Deutschland aufbewahren, einen davon an einem zweiten Ort. Vollsicherungen bewahren wir höchstens zwölf Monate auf. Gelöschte Daten können in Sicherungen bis zu deren Ablauf noch enthalten sein. Wir entfernen sie daraus nicht einzeln, verwenden Sicherungen aber nur zur Wiederherstellung nach einem Ausfall und sperren sie für jede andere Nutzung.

17. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3); die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Widerspruchsrecht: Verarbeiten wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit Widerspruch einlegen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Zur Ausübung deiner Rechte genügt eine Nachricht an info@tinohox.de. Verarbeiten wir Daten im Auftrag deiner Firma (Ziffern 8 und 12), wende dich bitte an deine Firma; wir leiten Anfragen, die uns erreichen, an sie weiter.

18. Beschwerderecht bei einer Aufsichtsbehörde

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat deines gewöhnlichen Aufenthalts, deines Arbeitsplatzes oder des mutmaßlichen Verstoßes. Für uns zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (Lautenschlagerstraße 20, 70173 Stuttgart, www.baden-wuerttemberg.datenschutz.de).

19. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich Rechtslage oder Dienste ändern. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung. Ältere Fassungen stellen wir auf Anfrage zur Verfügung.

Siehe auch unser Impressum.

Fassung 6 · Stand: 12. November 2026