Horváth Digital Solutions™ (Inhaber Semjon Horváth), Eichborndamm 90B, 13403 Berlin, Deutschland. Kein Datenschutzbeauftragter bestellt — Kontakt über die Angaben in §2 oder das Kontaktformular.
Betrieb und Absicherung unserer Websites und Produkte; Bearbeitung von Anfragen sowie Missbrauchs-/Sicherheitsmeldungen; Verwaltung von Portal-Konten und Abrechnung; Versand von HDS Broadcast™ (unserem Newsletter) an Abonnentinnen und Abonnenten, die eingewilligt haben; Bereitstellung von Verify, Sentinel, DNS, E-Mail, Hosting und verwandten Leistungen — je nach Tätigkeit als Verantwortlicher oder Auftragsverarbeiter (§4). Systemjournale werden bewusst bis zu 365 Tage für Sicherheitsanalyse und Vorfalluntersuchung aufbewahrt.
Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch (Art. 21) sowie Widerruf einer Einwilligung, soweit die Verarbeitung darauf beruht — Einzelheiten in §6. Außerdem Beschwerderecht bei einer Aufsichtsbehörde (§7).
Auf den Marketing-Websites setzen wir keine HTTP-Cookies und keine Marketing-Cookies. Die Sprachpräferenz liegt im localStorage unter hds_lang. Wesentliche Cookies und Speicherung des Kundenportals stehen in §4 (Cookies und lokale Speicherung).
Vor allem Hetzner (Hosting DE). Daneben Mollie (eigenständiger PSP), Lexware Office (Art. 28; Überweisungsdaten über Lexware — Art. 14), OAuth-IdPs (ggf. Verarbeitung in den USA), Let’s Encrypt für TLS sowie DNS-Anycast-Partner (Drittland-PoPs soweit einschlägig) — siehe §5 und die Unterauftragsverarbeiter-Seite.
1. Was diese Erklärung abdeckt
Diese Datenschutzerklärung erläutert, wie Horváth Digital Solutions™ („HDS“, „wir“) personenbezogene Daten im Zusammenhang mit unseren Online-Angeboten, Produktangeboten und unserem Kundenportal für die nachstehend genannten Domains (jeweils einschließlich aller Subdomains) verarbeitet.
Wir setzen keine Analyse-, Heatmap-, Werbe-Tracking-Dienste oder Marketing-Cookies auf unseren Marketing-Websites ein. Webschriften werden von unseren eigenen Websites ausgeliefert.
horvath-digital.solutions
hdsio.eu
hdsio.de
hds-ns.com
hds-dev.cloud
2. Verantwortlicher und Kontakt
Verantwortlicher im Sinne von Art. 4 Nr. 7 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung — DSGVO) und des Bundesdatenschutzgesetzes (BDSG) ist:
Horváth Digital Solutions™
Inhaber: Semjon Horváth
Eichborndamm 90B
13403 Berlin
Deutschland
HDS hat keinen Datenschutzbeauftragten bestellt. Für Datenschutzanfragen und Rechte nach Art. 15–22 DSGVO können Sie auch unser Kontaktformular nutzen.
3. Verantwortlicher, Auftragsverarbeiter und Art. 28
Wir ordnen Rollen als Verantwortliche bzw. Auftragsverarbeiter zweckbezogen zu. Soweit wir Zwecke und Mittel selbst bestimmen — Website und Formulare, Kontoverwaltung, Abrechnung, Plattformintegrität, Sicherheit und Missbrauchsabwehr — handeln wir als Verantwortliche. Soweit wir personenbezogene Daten nach dokumentierten Kundenweisungen verarbeiten (beispielsweise Kunden-Postfach- oder Hosting-Inhalte, Kunden-Verify-Einbettungen, Kunden-Sentinel-Monitore oder Kunden-DNS-Zoneneinträge), handeln wir als Auftragsverarbeiter nach Art. 4 Nr. 8 DSGVO.
Die Auftragsverarbeitung beginnt erst, nachdem ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (oder eine sonstige rechtlich bindende Vereinbarung) über das Kundenportal, DocuSeal oder den jeweiligen Vertrag vereinbart wurde. Der Standardtext nach Art. 28 steht auf der Seite Auftragsverarbeitungsvertrag; die Veröffentlichung dieser Seite begründet für sich genommen keinen Art.-28-Vertrag. Diese Art.-28-Vereinbarung — zusammen mit den AGB — regelt Weisungen, Vertraulichkeit, Sicherheit, Unterauftragsverarbeiter, Unterstützung bei Betroffenenrechten, Löschung oder Rückgabe am Ende der Leistung sowie Audits. Unsere Richtlinie zur zulässigen Nutzung regelt, wie Dienste genutzt werden dürfen; sie ist kein Art.-28-Instrument. Service-Level stehen im Service Level Agreement. Das gesetzliche Widerrufsrecht im Fernabsatz ist in der Widerrufsbelehrung beschrieben.
Die Rolle der Kundin bzw. des Kunden hängt von ihren bzw. seinen tatsächlichen Zwecken und Mitteln für die jeweilige Tätigkeit ab und kann Verantwortliche bzw. Verantwortlicher oder Auftragsverarbeiter sein. Soweit wir als Auftragsverarbeiter handeln, ersetzt diese Erklärung nicht die Informationspflichten der Kundin bzw. des Kunden nach Art. 13 und Art. 14 DSGVO gegenüber Endnutzerinnen und Endnutzern. Bei manchen Produkten besteht eine Doppelrolle: Auftragsverarbeiter für weisungsgebundene Kundeninhalte und Verantwortliche nur für kurzlebige Plattform-Sicherheits- und Betriebsdaten — Einzelheiten in den Tätigkeitsblöcken unter §4.
Wir treffen geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO (Zugangskontrolle, TLS bei der Übertragung, Protokollierung privilegierter Zugriffe auf Kundeninhalte, Umgebungstrennung, Backup/Wiederherstellung und dem Risiko angemessene Vorfallbehandlung). Weitere Sicherheitsdetails für Auftragsverhältnisse ergeben sich aus dem Auftragsverarbeitungsvertrag.
4. Wie wir personenbezogene Daten verarbeiten
Die folgenden Blöcke beschreiben unsere wesentlichen Verarbeitungstätigkeiten in kurzer Frage-Antwort-Form (Daten, Zweck und Rechtsgrundlage, Empfänger, Speicherdauer und Rolle bei Doppelrollen). Speicherdauern sind Höchstfristen; eine frühere Löschung kann erfolgen, sobald die Verarbeitung nicht mehr erforderlich ist. Rechtsgrundlagen nach Art. 6 DSGVO gelten nur für die unabhängige Verantwortlichen-Verarbeitung von HDS. Soweit HDS ausschließlich als Auftragsverarbeiter handelt, bestimmt die Kundin bzw. der Kunde Zwecke und Rechtsgrundlage; Art. 28 DSGVO rahmt das Auftragsverhältnis und ist keine Art.-6-Rechtsgrundlage. Soweit Art. 6 Abs. 1 lit. f genannt wird, ist das konkrete berechtigte Interesse in der jeweiligen Tätigkeit angegeben.
Personenbezogene Daten erhalten wir unmittelbar von Ihnen, erheben sie automatisch bei der Nutzung unserer Online-Dienste oder empfangen sie von Identitätsanbietern (GitHub oder Google) bei OAuth-Anmeldung. Kontodaten von GitHub/Google werden durch diese Erklärung und unsere erste Kontomitteilung abgedeckt (Art.-14-Frist; Art. 14 Abs. 5 lit. a kann greifen, soweit Sie die Information bereits haben). Soweit Kundinnen und Kunden HDS per Banküberweisung zahlen, können zugehörige Verwendungszweck- und Transaktionsdaten auf unserem Geschäftskonto über die Lexware-Bankanbindung bezogen werden (Name der zahlenden Person, IBAN, Beträge, Zeitpunkte, Verwendungszweck wie auf dem Konto sichtbar — die meisten zahlen über Mollie). Die Art.-14-Informationen erteilen wir über diese Erklärung nach den beiden Auslösern des Art. 14 Abs. 3: (a) innerhalb eines Monats nach Erhebung der Daten; und (b) zum Zeitpunkt der ersten Mitteilung, wenn wir die Daten zur Kontaktaufnahme mit Ihnen verwenden. Soweit wir lediglich Bank-Verwendungszweckdaten ohne weitere Kontaktdaten speichern, kann die individuelle Information nach Art. 14 Abs. 5 eingeschränkt sein, soweit sie unverhältnismäßig wäre. Einzelheiten: Buchhaltung (Lexware). Wir beziehen personenbezogene Daten nicht systematisch aus öffentlich zugänglichen Quellen für Profiling oder Scraping.
Für unsere eigenen Verantwortlichen-Tätigkeiten erheben wir besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) über gewöhnliche Formulare und Dienste nicht gezielt. Bitte übermitteln Sie solche Daten nicht, sofern dies nicht erforderlich ist. Soweit wir als Auftragsverarbeiter handeln, können Kundeninhalte je nach Nutzung besondere Kategorien enthalten; die Kundin bzw. der Kunde bestimmt die Art.-9-Grundlage.
Handels- und steuerrechtliche Aufbewahrung nach deutschem Recht (§ 257 HGB; § 147 AO), geltende Fassung ab 1. Januar 2025: typischerweise 10 Jahre für Handelsbücher, Inventare, Eröffnungsbilanzen, Jahresabschlüsse und zugehörige Organisationsunterlagen; 8 Jahre für Buchungsbelege; und 6 Jahre für Handelsbriefe. Die Fristen beginnen in der Regel mit dem Schluss des Kalenderjahres, in dem das Dokument entstanden, empfangen oder abgesandt wurde. Soweit personenbezogene Daten in unseren Unterlagen diesen Pflichten unterliegen, gilt die gesetzliche Frist und kann die produktspezifischen Fristen unten verlängern.
Daten: IP-Adresse, Zeitstempel, angeforderte Ressource, Referrer, User-Agent und Fehler-Metadaten in Server- und Anwendungsprotokollen auf Hetzner-Servern in Deutschland, die wir konfigurieren und betreiben. Ratenbegrenzung kann IP-Adressen und kurzlebige technische Signale nutzen (typischerweise Minutenbereich oder kürzer).
Zweck und Rechtsgrundlage: Bereitstellung und Absicherung der Website, Störungsdiagnose und Missbrauchsabwehr — Art. 6 Abs. 1 lit. f (Bereitstellung einer sicheren, funktionsfähigen Website und Abwehr von Missbrauch); Art. 6 Abs. 1 lit. b, soweit vorvertraglich. Ratenbegrenzung: Art. 6 Abs. 1 lit. f (Schutz der Infrastruktur vor Überlast und automatisiertem Missbrauch).
Empfänger: Hetzner (Deutschland).
Speicherdauer: Web-Zugriffs-/Fehlerprotokolle max. 14 Tage; Syslog-Klasse max. 28 Tage; Systemjournal (nur IP, Anfragedaten, Zeitstempel) bis zu 365 Tage als bewusste Höchstgrenze für Sicherheitsanalyse, Vorfalluntersuchung und betriebliches Verständnis, mit früherer Löschung, sobald nicht mehr erforderlich. Ratenlimit-Signale: kurzlebig (Minutenbereich oder kürzer).
Rolle: Verantwortliche.
Marketing-Websites: Wir verwenden und setzen keine HTTP-Cookies. Die Sprachpräferenz wird im localStorage des Browsers unter dem Schlüssel hds_lang gespeichert (Werte de oder en). Unsere Websites schreiben diese Präferenz automatisch, wenn Sie eine Seite mit Sprachpräfix aufrufen oder die Sprache wechseln. Diese Speicherung ist unbedingt erforderlich, um den von Ihnen gewünschten Telekommunikationsdienst bzw. die Endgerätefunktion gemäß § 25 TDDDG (und entsprechenden ePrivacy-Vorgaben) bereitzustellen. Für hds_lang setzen wir kein Einwilligungsbanner ein. Die Präferenz verbleibt auf Ihrem Gerät, wird nicht zu Analysezwecken an HDS übermittelt und nicht für Werbung genutzt.
Das Kundenportal verwendet ausschließlich die nachstehend aufgeführten wesentlichen Cookies und den localStorage für Authentifizierung/Sitzung, CSRF-Schutz und UI-Sprache — nicht für Werbung oder Analyse. Mollie kann Cookies oder ähnliche Technologien für Zahlungssitzungen, Betrugsprävention und Sicherheit unter Mollies eigenen Datenschutzinformationen einsetzen (https://www.mollie.com/de/legal/privacy). Das HDS Verify™-embed.js setzt keine Cookies und nutzt keinen Browser-Local-Storage.
Zweck und Rechtsgrundlage: Bereitstellung und Absicherung des von Ihnen angeforderten Dienstes — Art. 6 Abs. 1 lit. b für Portal-Sitzungs-/Sicherheitsspeicherung; § 25 TDDDG für unbedingt erforderliches hds_lang / wesentliche Portal-Speicherung.
Empfänger: Speicherung auf Ihrem Gerät; Portal-Sitzungsdaten auf Hetzner (Deutschland). Mollie als unabhängiger PSP, soweit Sie online zahlen.
Speicherdauer: Wie in der Tabelle unten; Portal-Token werden rotiert oder widerrufen, wenn nicht mehr erforderlich.
Rolle: Verantwortliche (HDS-Speicherung). Mollie ist unabhängige Verantwortliche für die eigenen Zahlungstechnologien.
Cookies und lokale Speicherung
Name
Zweck
Dauer
Speicherung
Flags
hds_accessToken
Sitzung / angemeldet bleiben
1 Stunde
HTTP-Cookie
HttpOnly, Secure, SameSite=Strict
hds_refreshToken
Sitzung erneuern
7 Tage
HTTP-Cookie
HttpOnly, Secure, SameSite=Strict
hds_csrfToken
CSRF-Schutz (Double-Submit; Portal-JavaScript muss den Wert lesen)
1 Stunde (am Access-Token ausgerichtet)
HTTP-Cookie
Secure, SameSite=Strict — nicht HttpOnly (JS-lesbar für Double-Submit)
hds_lang
UI-Sprachpräferenz (Marketing-Websites und Portal)
Bis zur Löschung oder Änderung
localStorage
Unbedingt erforderlich nach § 25 TDDDG; kein HTTP-Cookie
Zweck und Rechtsgrundlage: Beantwortung von Anfragen und vorvertragliche Maßnahmen — Art. 6 Abs. 1 lit. f (Beantwortung allgemeiner Anfragen und Organisation der Nachverfolgung); Art. 6 Abs. 1 lit. b, soweit klar vorvertraglich; Art. 6 Abs. 1 lit. a bei optionaler Einwilligung.
Empfänger: Hetzner (Deutschland). Formulare können durch HDS Verify™ geschützt sein.
Speicherdauer: Gewöhnliche Anfragen max. 30 Tage nach Erfüllung, danach Löschung, sofern nicht Missbrauchs-/Sicherheits- oder Rechtsanspruchs-Aufbewahrung greift. Gesetzliche HGB/AO-Fristen gelten gesondert, soweit Unterlagen unter handels- oder steuerrechtliche Aufbewahrung fallen.
Rolle: Verantwortliche.
Daten: E-Mail, optional Name, Meldeinhalt, von Ihnen angegebene URLs/IPs, Belegdateien (OpenPGP-verschlüsselte Nutzlast), Verify-Token; ein kurzer Klartext-Umschlag (Betreff/E-Mail/Locale) kann für das Routing unverschlüsselt bleiben. Beschreibung und Belegdateien werden im Browser mit OpenPGP verschlüsselt, bevor sie hochgeladen werden.
Zweck und Rechtsgrundlage: Bearbeitung von Missbrauchs- und Schwachstellenmeldungen; Schutz von Systemen und Rechtsansprüchen — Art. 6 Abs. 1 lit. f (Schutz von Systemen, Kundinnen und Kunden sowie Rechtsansprüchen und Bearbeitung von Sicherheitsmeldungen); Art. 6 Abs. 1 lit. c, soweit gesetzlich erforderlich; Art. 6 Abs. 1 lit. a bei optionaler Einwilligung.
Empfänger: Hetzner (Deutschland).
Speicherdauer: In der Regel Löschung, sobald nicht mehr erforderlich; bis zu 2 Jahre, soweit vernünftigerweise erforderlich zur Untersuchung, Dokumentation, Verhinderung, Korrelation oder Sicherheits-Nachverfolgung; länger nur für Rechtsansprüche oder gesetzliche Aufbewahrung.
Rolle: Verantwortliche.
Daten: SiteKey-Konfiguration; Redis-Challenge/PoW/Token-Lebenszyklus; IP in Ratenlimit-Zählern; optionale anfragezeitige Attestation, die in der Anfrage ausgewertet und nicht als Fingerprint gespeichert wird. HDS empfängt über Verify keine Passwörter oder sonstigen Anmeldedaten. embed.js setzt weder Cookies noch Browser-Local-Storage.
Zweck und Rechtsgrundlage: Bot-Schutz für Formulare, APIs und Anmeldung; Betrieb von Verify. Verantwortlichen-Verarbeitung: Art. 6 Abs. 1 lit. f (Schutz von Formularen, APIs und Anmeldung vor Bots und automatisiertem Missbrauch); Art. 6 Abs. 1 lit. b, soweit Verify vertragliche Leistung ist. Auftragsverarbeitung: Kundin bzw. Kunde bestimmt Zwecke und Rechtsgrundlage; HDS verarbeitet nach dokumentierten Weisungen gemäß Art. 28.
Empfänger: Hetzner Deutschland (von HDS betrieben). Keine Wiederverwendung von Verifizierungsergebnissen, kein Fingerprinting, keine kundenübergreifende Wiederverwendung, keine Werbung und kein Profiling.
Speicherdauer: Challenge ca. 5 Min.; PoW ca. 2 Min.; Einmal-Token ca. 10 Min. (Löschung bei Verwendung); IP-Ratenlimit-Zähler ca. 1 Min.; SiteKey solange konfiguriert.
Rolle: Verantwortliche, wenn Verify HDS-Seiten schützt; Auftragsverarbeiter, wenn eine Kundin bzw. ein Kunde Verify für den eigenen Bot-Schutz einbettet (Art.-28-Vereinbarung vor Verarbeitung). Verantwortlichen-Verarbeitung beschränkt sich auf kurzlebige IP-basierte Ratenlimit-Zähler und gewöhnliche Infrastruktur-Sicherheits-/Betriebsdaten.
Daten: Monitor-Ziele, Prüfergebnisse, Alarm-Empfänger-E-Mails; Statusseiten-Betrieb. Öffentliche Statusseiten setzen für gewöhnliche Aufrufe keine Cookies; Besuchenden-IPs werden für normale Statusseitenaufrufe nicht dauerhaft gespeichert.
Zweck und Rechtsgrundlage: Uptime-Monitoring und Statusseiten. Verantwortlichen-Verarbeitung für Plattformsicherheit/-betrieb: Art. 6 Abs. 1 lit. b; Art. 6 Abs. 1 lit. f (Sicherung und Betrieb der Monitoring-/Statusplattform). Auftragsverarbeitung für Kundenmonitore und Alarmlisten: Kundin bzw. Kunde bestimmt Zwecke und Rechtsgrundlage gemäß Art. 28.
Empfänger: Hetzner Deutschland (von HDS betrieben). Keine Werbung oder Profiling von Kunden-Monitordaten.
Speicherdauer: Prüfhistorie max. 365 Tage je Konfiguration.
Rolle: Auftragsverarbeiter für Kundenmonitore und Alarmlisten; Verantwortliche nur für Statusplattform-Sicherheit und -betrieb (kurzlebige IP-/Ratenlimit-Signale und Dienstsicherheitsereignisse).
Zweck und Rechtsgrundlage: Autoritative Zonenauslieferung nach Weisung; HDS-Infrastruktursicherheit und echt anonymisierte/aggregierte Kapazitätsstatistiken. Verantwortlichen-Verarbeitung: Art. 6 Abs. 1 lit. f (Sicherung der DNS-Infrastruktur und Betrieb echt anonymisierter/aggregierter Kapazitätsstatistiken). Auftragsverarbeitung für Zoneninhalt: Kundin bzw. Kunde bestimmt Zwecke und Rechtsgrundlage gemäß Art. 28.
Empfänger: Primär bei Hetzner (Deutschland). Nur Zonendatei-Inhalt wird an Vultr-/iFog-Anycast-PoPs zur Edge-Auslieferung synchronisiert — keine Querier-IPs in der Zonensynchronisation, keine Rückübermittlung abgefragter Namen an HDS. Länder und Transferinstrumente: siehe unsere Unterauftragsverarbeiter-Seite.
Speicherdauer: Betriebs-/Sicherheitsdaten auf Hetzner-/HDS-Systemen wie bei Website-Protokollen; Zonendaten für die Vertragsdauer. Keine Werbe- oder Analyse-Wiederverwendung von DNS-Daten.
Rolle: Auftragsverarbeiter für Kunden-Zoneneinträge; Verantwortliche für kurzlebige Sicherheits-/Betriebsmetadaten und echt anonymisierte/aggregierte Kapazitätsstatistiken.
Daten: Postfachinhalte, Postfach-Nutzerdaten und Konto-Admin-Metadaten.
Zweck und Rechtsgrundlage: Bereitstellung professioneller E-Mail; Absicherung der Mail-Plattform. Verantwortlichen-Verarbeitung für Konto/Abrechnung/Plattformsicherheit: Art. 6 Abs. 1 lit. b; Art. 6 Abs. 1 lit. f (Absicherung der Mail-Plattform und Missbrauchsabwehr). Auftragsverarbeitung für Postfachinhalte: Kundin bzw. Kunde bestimmt Zwecke und Rechtsgrundlage gemäß Art. 28.
Empfänger: Hetzner Deutschland. Zugang zu Postfachinhalten ist beschränkt, protokolliert und nur nach dokumentierten Kundenweisungen / der Art.-28-Vereinbarung (oder zwingendem Recht) gestattet.
Speicherdauer: E-Mail-Backups max. 7 Tage, danach gelöscht. Kontodaten für die Vertragsdauer zuzüglich anwendbarer HGB/AO-Fristen.
Rolle: Auftragsverarbeiter für Postfachinhalte; Verantwortliche für Kontoverwaltung, Abrechnung und Plattformsicherheit.
Daten: Website-/App-Inhalte, Datenbanken, Endnutzerdaten in Kundensystemen und Admin-Metadaten.
Zweck und Rechtsgrundlage: Hosting von Kundensystemen; Absicherung der Infrastruktur. Verantwortlichen-Verarbeitung für Konten/Abrechnung/Plattformsicherheit: Art. 6 Abs. 1 lit. b; Art. 6 Abs. 1 lit. c, soweit rechtliche Pflichten greifen; Art. 6 Abs. 1 lit. f (Absicherung gehosteter Infrastruktur und Abwehr von Missbrauch). Auftragsverarbeitung für Kundeninhalte: Kundin bzw. Kunde bestimmt Zwecke und Rechtsgrundlage gemäß Art. 28.
Empfänger: Hetzner Deutschland. Zugang ist beschränkt, protokolliert und weisungsgebunden wie bei der E-Mail-Präsenz.
Speicherdauer: Datenbank-Backups sind tarifabhängig; soweit enthalten, Aufbewahrung bis zu 14 Tage, danach Löschung. Kontodaten für die Vertragsdauer zuzüglich anwendbarer HGB/AO-Fristen.
Rolle: Auftragsverarbeiter für Kundeninhalte; Verantwortliche für Plattformkonten, Abrechnung und Infrastruktursicherheit.
Daten: Unternehmens-/rechtlicher Name, Kontakte, Steuerkennzeichen und mit dem Portal verknüpfte Konto-/Rechnungsbezüge; OAuth-E-Mail und Anbieter-Nutzer-ID (GitHub/Google), Refresh-Token nur soweit zur Sitzungserhaltung erforderlich, TOTP-Geheimnisse/-Status bei aktivierter 2FA sowie kundenseitig konfigurierte CIDR-Allowlists. Wesentliche Portal-Cookies/-Speicherung: siehe Cookies und lokale Speicherung.
Zweck und Rechtsgrundlage: Verwaltung von Produkten und der Vertragsbeziehung; Authentifizierung und Absicherung von Portalkonten — Art. 6 Abs. 1 lit. b; Art. 6 Abs. 1 lit. c; Art. 6 Abs. 1 lit. f (Absicherung von Portalkonten; Stärkung der Kontosicherheit; Beschränkung des Portalzugangs auf kundenseitig freigegebene Netze).
OAuth (GitHub / Google): Zur Authentifizierung, zum Anlegen oder Verknüpfen des Kontos und zur Aufrechterhaltung der Sitzung. Kontodaten von GitHub/Google werden durch diese Erklärung und unsere erste Kontomitteilung abgedeckt (Art.-14-Frist; Art. 14 Abs. 5 lit. a kann greifen, soweit Sie die Information bereits haben). GitHub/Google handeln als Authentifizierungsanbieter für den eigenen Anmeldefluss und können Verarbeitung in den USA beinhalten; DPF nur, soweit die maßgebliche Stelle/Verarbeitung zertifiziert ist und unsere Unterauftragsverarbeiter-Seite DPF ausdrücklich ausweist, andernfalls Art. 46 (z. B. EU-SCC). Tokens werden rotiert oder widerrufen, wenn nicht mehr erforderlich; Kontodaten verbleiben auf Hetzner Deutschland.
Empfänger: Hetzner Deutschland; GitHub/Google als OAuth-IdPs; Let’s Encrypt / ISRG nur für TLS-Domain-/ACME-Daten.
Speicherdauer: Kontodaten für die Vertragsdauer zuzüglich anwendbarer HGB/AO-Fristen. OAuth-Token solange das Konto besteht (Rotation/Widerruf bei Nichtnutzung). 2FA- und CIDR-Daten solange aktiviert/konfiguriert.
Rolle: Verantwortliche für Portalkonten und Authentifizierung. Kundeninhalte in über das Portal verknüpften gehosteten Produkten: Auftragsverarbeiter wie in den jeweiligen Tätigkeitsblöcken. Zahlungen, Lexware-Buchhaltung und DocuSeal: siehe die gesonderten Tätigkeiten unten.
Daten: Zahlungsstatus, Transaktionskennungen, Angaben zur Zahlungsmethode und Abgleichsfelder im Austausch mit Mollie (keine Karten-PAN und keine Mollie-Zahlungs-IBANs auf HDS-Portalsystemen).
Zweck und Rechtsgrundlage: Einzug und Abgleich von Karten- und Onlinezahlungen für die Vertragsbeziehung — Art. 6 Abs. 1 lit. b; Art. 6 Abs. 1 lit. c; Art. 6 Abs. 1 lit. f (Verhinderung von Zahlungsbetrug).
Zahlungen (Mollie): Mollie B.V. (Niederlande) ist unabhängige zugelassene PSP/Verantwortliche für Karten- und Onlinezahlungen — kein Unterauftragsverarbeiter von HDS. Es gelten Mollies eigene Datenschutzinformationen (https://www.mollie.com/de/legal/privacy). HDS speichert keine Karten-PAN und keine Mollie-Zahlungs-IBANs auf HDS-Systemen; Banküberweisungs-IBANs über Lexware sind unter Buchhaltung (Lexware) beschrieben.
Empfänger: Mollie (unabhängiger PSP); Hetzner Deutschland für HDS-seitige Abgleichsmetadaten.
Speicherdauer: Zahlungs- und Abgleichsunterlagen für die Vertragsdauer zuzüglich anwendbarer HGB/AO-Fristen.
Rolle: Mollie ist unabhängige Verantwortliche für die Verarbeitung von Zahlungsinstrumentdaten. HDS ist Verantwortliche für HDS-seitige Rechnungs- und Abgleichsmetadaten.
Daten: Kundenverwaltung, Rechnungs-/Angebotserstellung, Buchhaltungsunterlagen; soweit Kundinnen und Kunden per Banküberweisung zahlen — Transaktionshistorie auf unserem Geschäftskonto über die Lexware-Bankanbindung (Name der zahlenden Person, IBAN, Beträge, Zeitpunkte, Verwendungszweck und vergleichbare auf dem Konto sichtbare Angaben; die meisten zahlen über Mollie).
Zweck und Rechtsgrundlage: HDS-Verwaltung, Rechnungsstellung, Buchhaltung und Zuordnung von Banküberweisungen — Art. 6 Abs. 1 lit. b; Art. 6 Abs. 1 lit. c; Art. 6 Abs. 1 lit. f (Zahlungsabgleich und Verhinderung von Zahlungsbetrug).
Lexware Office (Banküberweisung & Buchhaltung): Haufe Service Center GmbH, Munzinger Straße 9, 79111 Freiburg, als unser Auftragsverarbeiter nach Art. 28. Kern-Hosting von Lexware Office in Deutschland. Von Lexware freigegebene weitere Auftragsverarbeiter für ergänzende Funktionen können außerhalb des EWR unter Angemessenheit und/oder SCC (Art. 45/46) verarbeiten, wie in Lexwares Datenschutzerklärung (https://datenschutz.lexware.de/lexware-office) und Art.-28-AVV (https://avv.lexware.de/lexware-office) dargelegt. Lexware steht auf unserer Unterauftragsverarbeiter-Seite als HDS-Admin-Art.-28-Empfänger, nicht als Produkt-Hosting-Infrastruktur für Kundensysteme.
Art. 14 (Überweisungsdaten, die nicht bei Ihnen erhoben wurden): Die erforderlichen Informationen erteilen wir über diese Erklärung nach den beiden Auslösern des Art. 14 Abs. 3: (a) innerhalb eines Monats nach Erhebung der Daten; und (b) zum Zeitpunkt der ersten Mitteilung, wenn wir die Daten zur Kontaktaufnahme mit Ihnen verwenden. Soweit wir lediglich Bank-Verwendungszweckdaten ohne weitere Kontaktdaten außer der Zahlung speichern, kann die individuelle Information nach Art. 14 Abs. 5 eingeschränkt sein, soweit sie einen unverhältnismäßigen Aufwand erfordern würde.
Empfänger: Lexware Office / Haufe (Art. 28); Hetzner Deutschland für HDS-seitige Unterlagen.
Speicherdauer: Abrechnungs- und Buchhaltungsunterlagen für die Vertragsdauer zuzüglich anwendbarer HGB/AO-Fristen.
Rolle: Verantwortliche (HDS); Lexware handelt als Art.-28-Auftragsverarbeiter für HDS-Verwaltung und Buchhaltung.
Daten: Name der unterzeichnenden Person, E-Mail, Signaturbild, signiertes PDF, IP, Browser-User-Agent, Zeitstempel der Signaturereignisse und zugehörige Audit-Log-Metadaten.
Zweck und Rechtsgrundlage: Abschluss und Beweissicherung von Verträgen zwischen HDS und Kundinnen bzw. Kunden (oder bevollmächtigten Unterzeichnerinnen und Unterzeichnern) — Art. 6 Abs. 1 lit. b; Art. 6 Abs. 1 lit. f (Sicherstellung der Beweiskraft signierter Verträge und Verteidigung damit zusammenhängender Ansprüche); Art. 6 Abs. 1 lit. c, soweit HGB/AO-Aufbewahrung greift.
Elektronische Vertragssignatur (DocuSeal): Eigenbetriebenes DocuSeal auf Hetzner Deutschland, betrieben von HDS. Kundinnen und Kunden nutzen DocuSeal über HDS nicht für ihre Endnutzerinnen und Endnutzer. DocuSeal ist kein Dritt-SaaS-Unterauftragsverarbeiter.
Empfänger: Hetzner Deutschland (eigenbetrieben unter HDS-Kontrolle).
Speicherdauer: Bis zum Ende des zugehörigen Vertrags + 2 Jahre zu rechtlichen/beweissichernden und Missbrauchs-/Sicherheitszwecken; länger, soweit HGB/AO es verlangt.
Rolle: Verantwortliche für die DocuSeal-Signatur HDS↔Kundin/Kunde.
Daten: E-Mail-Adresse von Abonnentinnen und Abonnenten, die sich über die Newsletter-Anmeldung auf der Website mit Double-Opt-In (DOI) anmelden; Zustellmetadaten, soweit zum Versand erforderlich.
Zweck und Rechtsgrundlage: HDS Broadcast™ ist der eigene Newsletter von HDS an Abonnentinnen und Abonnenten (Kundinnen/Kunden und Website-Besucherinnen/-Besucher, die sich anmelden). Es ist kein Produkt, mit dem Kundinnen und Kunden eigene Newsletter versenden. Der Versand stützt sich auf Art. 6 Abs. 1 lit. a (Einwilligung per Double-Opt-In). Nach Abmeldung oder Widerruf der Einwilligung versenden wir keine weiteren Werbe-Newsletter. Die Aufbewahrung von DOI-/Einwilligungsnachweisen und einer Unterdrückungs-/Sperrliste, damit die Adresse nicht erneut angeschrieben wird, stützt sich auf Art. 6 Abs. 1 lit. f (Rechenschaft und Nachweis rechtmäßigen Versands; Geltendmachung, Ausübung oder Verteidigung von Ansprüchen aus Werbung und Datenschutz sowie Verhinderung erneuten Versands). Die Abmeldung ist jederzeit über den Abmeldelink in der Fußzeile jeder Newsletter-E-Mail möglich; Widerspruch nach Art. 21 ist ebenfalls möglich (siehe §6).
Empfänger: Hetzner-E-Mail-Infrastruktur in Deutschland.
Speicherdauer: Während des Abonnements speichern wir Abonnentendaten einschließlich DOI-/Einwilligungsnachweis zum Versand des Newsletters. Bei Abmeldung oder Widerruf wird die Adresse aus dem aktiven Verteiler entfernt und auf eine Unterdrückungs-/Sperrliste gesetzt, damit wir nicht erneut versenden. Einwilligungs- und Abmeldenachweise werden drei Jahre nach der Abmeldung aufbewahrt (Verjährungsfristen nach §§ 195, 199 BGB) und anschließend gelöscht. Die E-Mail-Adresse verbleibt dauerhaft auf der Unterdrückungs-/Sperrliste, damit wir diese Adresse nicht erneut anschreiben.
Rolle: Verantwortliche.
5. Empfänger und internationale Übermittlungen
Soweit wir als Auftragsverarbeiter für eine Kundin bzw. einen Kunden handeln, setzen wir Infrastruktur-Unterauftragsverarbeiter ein, soweit zur Leistungserbringung erforderlich. Die aktuelle Liste — einschließlich Standorten und Transferinstrumenten — finden Sie auf unserer Unterauftragsverarbeiter-Seite. HDS benachrichtigt die Kundin bzw. den Kunden über beabsichtigte Hinzuziehungen oder Ersetzungen von Unterauftragsverarbeitern per E-Mail von legal@horvath-digital.solutions mindestens 14 Tage vor Wirksamwerden der Änderung, sofern nicht aus dringendem Sicherheits-, Rechts- oder Betriebsbedarf eine kürzere Frist erforderlich ist. Widerspruch ist an legal@horvath-digital.solutions zu richten, soweit die Art.-28-Vereinbarung dies vorsieht.
Datenschutzsensible Hosting- und Mail-Systeme sowie Verify und Sentinel sind so ausgelegt, dass sie in Deutschland bzw. der EU/EWR auf von uns betriebenen Hetzner-Servern verbleiben. Karten- und Onlinezahlungen verarbeitet Mollie B.V. als unabhängige zugelassene PSP/Verantwortliche (kein Unterauftragsverarbeiter von HDS); siehe Mollies Datenschutzerklärung: https://www.mollie.com/de/legal/privacy. Lexware Office (Haufe Service Center GmbH, Munzinger Straße 9, 79111 Freiburg) ist unser Art.-28-Auftragsverarbeiter für HDS-Verwaltung, Rechnungsstellung und Buchhaltung einschließlich Überweisungsdaten bei Banküberweisung, soweit einschlägig — siehe Buchhaltung (Lexware); Lexware steht auf unserer Unterauftragsverarbeiter-Seite als HDS-Admin-Art.-28-Empfänger, nicht als Produkt-Hosting-Infrastruktur für Kundensysteme.
Let’s Encrypt / ISRG ist technische Zertifizierungsstelle für TLS auf HDS- sowie Kunden-Hosting-/Maildomains, die wir betreiben: sie erhält nur Domainnamen und ACME-Validierungsdaten; Postfach- oder App-Inhalt übermitteln wir nicht. Bei Kundendomains läuft ACME auf dokumentierter Weisung des Auftraggebers bzw. im beauftragten Hosting-/Mail-Setup (HDS als Auftragsverarbeiter). DocuSeal für die Vertragssignatur HDS↔Kundin/Kunde ist eigenbetriebene Software auf Hetzner unter unserer Kontrolle und kein Dritt-SaaS-Unterauftragsverarbeiter. Für DNS-Anycast-Zonensynchronisation und OAuth-Identitätsanbieter stehen Länder und Transferinstrumente auf unserer Unterauftragsverarbeiter-Seite. Informationen zu Garantien für eine Drittlandübermittlung können unter info@horvath-digital.solutions angefordert werden.
6. Ihre Rechte
Nach der DSGVO können Sie — vorbehaltlich der gesetzlichen Voraussetzungen — die nachstehenden Rechte unentgeltlich ausüben. Bei offensichtlich unbegründeten oder exzessiven Anträgen können wir gemäß Art. 12 Abs. 5 DSGVO ein angemessenes Entgelt verlangen oder uns weigern, tätig zu werden. Zur Ausübung Ihrer Rechte genügt eine E-Mail an info@horvath-digital.solutions oder die Kontaktdaten in §2. Wir können Angaben verlangen, die vernünftigerweise zur Identitätsprüfung erforderlich sind. Wir antworten unverzüglich und innerhalb eines Monats, vorbehaltlich Art. 12 Abs. 3 DSGVO. Unsere Dienste richten sich an Unternehmen und Erwachsene; sie sind nicht an Kinder gerichtet.
Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen eine Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO Widerspruch einzulegen; dies gilt auch für ein auf diese Bestimmungen gestütztes Profiling (Art. 21 Abs. 1). Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Werden personenbezogene Daten für Direktwerbung verarbeitet, können Sie jederzeit widersprechen; die Daten werden dann nicht mehr für diese Zwecke verarbeitet (Art. 21 Abs. 2 und Abs. 3). Für HDS Broadcast™ (den eigenen Newsletter von HDS an Abonnentinnen und Abonnenten) können Sie sich jederzeit über den Abmeldelink in der Fußzeile jeder Newsletter-E-Mail abmelden; Widerspruch nach Art. 21 ist außerdem unter info@horvath-digital.solutions möglich.
Wir treffen keine ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidungen, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen, im Sinne von Art. 22 DSGVO. Technische Kontrollen können den Verkehr zur Absicherung der Infrastruktur ratenbegrenzen, einer Prüfung/Herausforderung unterziehen oder blockieren; sie werden nicht zur Entscheidung über Eignung, Kreditwürdigkeit oder Beschäftigung genutzt.
Auskunft — Bestätigung und Kopie der Sie betreffenden personenbezogenen Daten (Art. 15).
Einschränkung — Einschränkung der Verarbeitung in den Fällen des Art. 18.
Datenübertragbarkeit — Erhalt bereitgestellter Daten in einem strukturierten, gängigen Format, soweit Art. 20 greift.
Widerspruch — Widerspruch gegen Verarbeitungen nach Art. 6 Abs. 1 lit. f und gegen Direktwerbung (Art. 21), wie oben beschrieben.
Widerruf der Einwilligung — jederzeit mit Wirkung für die Zukunft (Art. 7 Abs. 3), ohne die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung zu berühren.
7. Aufsichtsbehörde
Sie haben das Recht, Beschwerde bei einer Aufsichtsbehörde gemäß Art. 77 DSGVO einzulegen, insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.
Sie sind nicht gesetzlich verpflichtet, personenbezogene Daten bereitzustellen, wenn Sie unsere öffentlichen Websites lediglich besuchen. Bestimmte technische Zugriffsdaten werden bei Nutzung der Dienste automatisch verarbeitet.
Wenn Sie einen Vertrag schließen, ein Konto anlegen, ein Formular absenden oder ein Produkt nutzen möchten, das eine Identifizierung erfordert, sind die als erforderlich gekennzeichneten Daten nötig, damit wir den Vertrag erfüllen oder Ihre Anfrage bearbeiten können. Ohne diese Daten können wir den Dienst möglicherweise nicht erbringen, nicht antworten oder die Transaktion nicht abschließen.
9. Änderungen dieser Erklärung
Wir können diese Erklärung anpassen, wenn sich unsere Verarbeitung, Produkte oder rechtliche Anforderungen ändern. Das Datum der letzten Überarbeitung steht oben auf dieser Seite. Bei wesentlichen Änderungen benachrichtigt HDS registrierte Kundinnen und Kunden mindestens 14 Tage vor Wirksamwerden der Änderung über einen Hinweis im Kundenportal und per E-Mail von legal@horvath-digital.solutions. Widerspruch oder Rückfragen können per Antwort an diese Adresse erfolgen.
Beabsichtigen wir, personenbezogene Daten für einen anderen Zweck zu verarbeiten als den, für den sie erhoben wurden, informieren wir Sie vor Beginn dieser Weiterverarbeitung (Art. 13 Abs. 3 DSGVO). Registrierte Kundinnen und Kunden werden vor Beginn des neuen Zwecks über einen Hinweis im Kundenportal und per E-Mail von legal@horvath-digital.solutions benachrichtigt — über denselben Kanal wie bei wesentlichen Änderungen dieser Erklärung. Sonstige betroffene Personen informieren wir über den Kontaktkanal, der uns vernünftigerweise zur Verfügung steht (beispielsweise E-Mail).
Diese Erklärung wird auf Deutsch und Englisch bereitgestellt. Bei Widerspruch oder Unklarheit ist der deutsche Text maßgeblich. Der englische Text ist eine unverbindliche Übersetzung.
