Datenschutzerklärung

Verantwortlich für die Datenverarbeitung auf dieser Website ist:

GoodFlare IT, Inhaber Arne Heidrich, Huthain 1, 09437 Börnichen, Deutschland.

E-Mail: [email protected]. Weitere Angaben entnehmen Sie bitte unserem Impressum.

Ihnen stehen bezüglich Ihrer bei uns verarbeiteten personenbezogenen Daten insbesondere folgende Rechte zu:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Recht auf Widerruf einer erteilten Einwilligung (Art. 7 Abs. 3 DSGVO)
• Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO), etwa bei der für uns zuständigen Sächsischen Datenschutz- und Transparenzbeauftragten, Maternistraße 17, 01067 Dresden

Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) verarbeiten, können Sie dieser Verarbeitung jederzeit aus Gründen, die sich aus Ihrer besonderen Situation ergeben, widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Ihren Widerspruch können Sie formlos an [email protected] richten.

Rufen Sie den Kundenbereich auf, protokolliert unser Webserver jede Anfrage: Ihre IP-Adresse in gekürzter Form (bei IPv4 ohne die letzte Zahl, bei IPv6 nur die ersten 48 Bit), Datum und Uhrzeit, die Methode und die aufgerufene Adresse ohne Abfrageparameter, den Statuscode, die übertragene Datenmenge, die Bearbeitungszeit und die Browserkennung. Die verweisende Seite (Referrer) speichern wir nicht. Aufrufe dieser Website beantwortet Cloudflare, ohne dass sie unseren Webserver erreichen (siehe „Hosting und Cloudflare“).

Die Protokolle löschen wir nach sieben Tagen. Sie werden nicht mit anderen Datenquellen zusammengeführt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im technisch fehlerfreien, stabilen und sicheren Betrieb der Website.

Diese Website (goodflare.io) liefert für uns die Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA, aus (Cloudflare Pages). Der Kundenbereich (my.goodflare.io) und unsere Server laufen auf eigener Hardware in Deutschland, die der Inhaber selbst betreibt; Cloudflare ist ihnen als Netzwerk vorgeschaltet: Ihre Anfragen gehen zuerst an Cloudflare, das sie an unsere Server weiterleitet und dabei Angriffe wie Überlastungsangriffe abwehrt. Eine Kopie unserer Statusseite (status.goodflare.io) liegt ebenfalls bei Cloudflare, damit sie erreichbar bleibt, wenn unsere eigenen Systeme gestört sind; sie setzt keine Cookies, liest nur Ihre Einstellungen für Sprache und Farbschema, und eigene Protokolle führen wir dort nicht.

Dabei verarbeitet Cloudflare die Daten, die jeder Aufruf mit sich bringt: Ihre IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, die übertragenen Inhalte, die Browserkennung und weitere technische Angaben Ihrer Anfrage. Auch Ihre Eingaben im Kundenbereich gehen über Cloudflare; die Verbindung ist auf dem ganzen Weg verschlüsselt, Cloudflare entschlüsselt sie aber auf seinen Servern, um sie prüfen und weiterleiten zu können. Im Cloudflare-Konto sehen wir zusammengefasste Statistiken und zu abgewehrten Anfragen deren Einzelheiten einschließlich der IP-Adresse.

Cloudflare arbeitet für uns als Auftragsverarbeiter nach Art. 28 DSGVO; Grundlage ist der Auftragsverarbeitungsvertrag von Cloudflare (Customer Data Processing Addendum), der Teil unseres Vertrags mit Cloudflare ist. Cloudflare beantwortet Anfragen in der Regel aus dem Rechenzentrum, das Ihnen am nächsten liegt, für Besucherinnen und Besucher aus Deutschland meist in der EU; Daten können aber auch in den USA und anderen Ländern verarbeitet werden. Cloudflare, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission, Art. 45 DSGVO); zusätzlich enthält der Auftragsverarbeitungsvertrag die Standardvertragsklauseln der EU-Kommission.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einer schnellen und zuverlässigen Auslieferung, im Schutz unserer Systeme und Ihrer Daten vor Angriffen und darin, dass die Statusseite auch bei einer Störung erreichbar bleibt. Weitere Informationen: https://www.cloudflare.com/de-de/privacypolicy/

Das Kontaktformular, das Formular „Missbrauch melden“, die Anmeldung per E-Mail-Link (auch die erste, die Ihr Kundenkonto anlegt) und das Abonnement der Statusseite schützen wir mit Cloudflare Turnstile vor Spam und automatisierten Angriffen. Erst wenn Sie beginnen, eines dieser Formulare auszufüllen, lädt Ihr Browser Turnstile von challenges.cloudflare.com. Turnstile prüft dann, meist ohne dass Sie etwas tun müssen, ob ein Mensch das Formular nutzt; nur in Zweifelsfällen bittet es Sie, ein Kästchen anzukreuzen. Dafür verarbeitet Cloudflare Ihre IP-Adresse, die Browserkennung, technische Merkmale der Verbindung (etwa einen TLS-Fingerabdruck) und Signale aus Ihrem Browser, die bei der Prüfung entstehen. Beim Absenden schickt unser Server das Ergebnis der Prüfung und Ihre IP-Adresse an Cloudflare, um es bestätigen zu lassen; erst danach bearbeiten wir das Formular.

Für den Schutz unserer Formulare arbeitet Cloudflare als unser Auftragsverarbeiter (siehe „Hosting und Cloudflare“, auch zum Ort der Verarbeitung und zur Übermittlung in die USA). Nach eigenen Angaben nutzt Cloudflare diese Daten außerdem, um die Erkennung von Bots zu verbessern; dafür ist Cloudflare selbst verantwortlich (https://www.cloudflare.com/turnstile-privacy-policy/). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, die Formulare und die Empfänger unserer E-Mails vor massenhaftem Missbrauch zu schützen. Soweit Turnstile dabei Informationen aus Ihrem Browser ausliest, ist das für den von Ihnen gewünschten Versand des Formulars unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Möchten Sie Turnstile nicht nutzen, erreichen Sie uns per E-Mail an [email protected]; anmelden können Sie sich auch mit einem Passkey.

Prüfen Sie auf der Startseite, ob eine Domain noch frei ist, geht der eingegebene Name an unseren Kundenbereich und von dort über das Abfrageprotokoll RDAP an die Registrierungsstelle der jeweiligen Endung (etwa die DENIC eG für .de, Verisign für .com oder die Betreiber von .io, .ch und .dev). Übermittelt wird nur der Domainname, nicht Ihre IP-Adresse. Wir speichern weder den Namen noch das Ergebnis; Ihre IP-Adresse zählen wir nur für wenige Minuten im Arbeitsspeicher, damit die Abfrage nicht massenhaft missbraucht wird. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, Ihnen auf Ihre Anfrage zu zeigen, ob die Domain frei ist.

Diese Website setzt keine Tracking- oder Marketing-Cookies ein. Technisch notwendige Cookies setzen wir nur im Kundenbereich: ein Sitzungs-Cookie, solange Sie angemeldet sind, und ein Cookie, das Ihren Warenkorb wiedererkennt (30 Tage). Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. b DSGVO. Auf den Zahlungsseiten setzt Stripe eigene Cookies zur Betrugsvorbeugung (siehe „Zahlungsabwicklung“). Zum Schutz vor Angriffen kann Cloudflare technisch notwendige Cookies setzen, etwa __cf_bm zur Erkennung automatisierter Zugriffe (30 Minuten) oder cf_clearance nach einer bestandenen Prüfung (siehe „Hosting und Cloudflare“); Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG.

Ihre Anzeige-Einstellungen (Farbschema hell/dunkel sowie Sprachauswahl) speichern wir im lokalen Speicher („localStorage“) Ihres Browsers und zusätzlich in je einem kleinen Cookie, damit Website und Kundenbereich dieselbe Einstellung zeigen. Solange Sie im Kundenbereich angemeldet sind, setzen wir außerdem ein Cookie mit einem pseudonymen Kennwert (kein Name, keine E-Mail-Adresse), an dem die Website erkennt, dass sich Ihre Anmeldung geändert hat. Diese Cookies werden bei Seitenaufrufen an unsere Server übertragen, dienen nur der Darstellung und nicht dem Tracking und werden nicht an Dritte weitergegeben. Sie können sie jederzeit über die Einstellungen Ihres Browsers löschen.

Außerdem merkt sich Ihr Browser im lokalen Speicher, ob Sie die kurze Eingangsanimation der Website schon gesehen und welche Statushinweise Sie geschlossen haben, und, solange Sie angemeldet sind, Name, E-Mail-Adresse und Kundennummer Ihres Kontos, damit die Website Ihr Konto in der Kopfzeile ohne Verzögerung anzeigen kann. Diese Angaben bleiben in Ihrem Browser; die Kontoangaben werden entfernt, sobald die Website feststellt, dass Sie abgemeldet sind.

Diese Website nutzt zur einheitlichen Darstellung von Schriftarten lokal eingebundene Schriftarten. Die Schriftdateien werden mit der Website selbst ausgeliefert; eine Verbindung zu Servern Dritter (z. B. Google Fonts) findet dabei nicht statt, und es werden hierdurch keine personenbezogenen Daten an Dritte übertragen.

Wenn Sie uns per E-Mail, über das Kontaktformular oder über ein Ticket im Kundenbereich kontaktieren, werden Ihre Angaben, die Nachricht und angehängte Dateien zur Bearbeitung der Anfrage und für Anschlussfragen bei uns gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche bzw. vertragliche Kommunikation) bzw. Art. 6 Abs. 1 lit. f DSGVO (Bearbeitung von Anfragen). Dateien aus dem Kontaktformular, die nicht mit einer Anfrage abgeschickt werden, löschen wir nach spätestens einem Tag.

Wie wir Meldungen rechtswidriger Inhalte über das Formular „Missbrauch melden“ oder per E-Mail verarbeiten, steht unten unter „Meldungen rechtswidriger Inhalte“.

Für Bestellungen und die Verwaltung Ihrer Server legen wir ein Kundenkonto an. Gespeichert werden Ihre E-Mail-Adresse, Ihr Name und, sofern angegeben, Firma, USt-IdNr. und Rechnungsanschrift, außerdem Ihre Bestellungen, Rechnungen, Server und Tickets. Die Anmeldung erfolgt über einen Link per E-Mail oder mit einem Passkey; ein Passwort speichern wir nicht. Richten Sie einen zweiten Faktor (Authenticator-App) ein, speichern wir dessen geheimen Schlüssel verschlüsselt. Zur Sicherheit speichern wir zu jeder Anmeldung die IP-Adresse und den Browser, die Sie unter „Angemeldete Geräte“ einsehen und beenden können; eine Anmeldung gilt bis zu 30 Tage nach ihrer letzten Nutzung. Um Sie bei einer Anmeldung von einem neuen Gerät, beim Ein- oder Ausschalten des zweiten Faktors, bei neuen Passkeys oder API-Tokens, neuen Team-Mitgliedern und einer geänderten E-Mail-Adresse per E-Mail warnen zu können, merken wir uns zu jeder Anmeldung 90 Tage lang die Art des Browsers und Betriebssystems (etwa „Chrome · Linux“) und das Netz, aus dem sie kam (bei IPv4 die ersten drei Zahlen, bei IPv6 die ersten 48 Bit, nie die vollständige Adresse). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (unser und Ihr Interesse, fremde Zugriffe auf Ihr Konto zu bemerken).

Von Passkeys speichern wir nur den öffentlichen Schlüssel, von SFTP- und SSH-Schlüsseln, die Sie hinterlegen, nur den öffentlichen Teil. API-Schlüssel speichern wir nur als Hashwert mit ihren letzten vier Zeichen, dazu wann und von welcher IP-Adresse ein Schlüssel zuletzt benutzt wurde, damit Sie Missbrauch erkennen können. Sie können jeden Schlüssel im Konto jederzeit löschen.

Sofern angeboten und von Ihnen gewählt, können Sie sich auch mit einem Google- oder Discord-Konto anmelden; der jeweilige Anbieter erfährt dabei, dass Sie sich bei uns anmelden, und übermittelt uns Ihre E-Mail-Adresse und Ihren Namen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag) sowie für die Rechnungsdaten Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den steuerrechtlichen Aufbewahrungspflichten (acht Jahre, siehe „Speicherdauer“).

Sie können anderen Personen Zugriff auf Ihr Konto geben, auf Ihre Server, auf Ihre Rechnungen oder auf beides. Dazu geben Sie die E-Mail-Adresse der Person an; wir schicken ihr eine Einladung per E-Mail. Sie sehen im Konto Name und E-Mail-Adresse der Eingeladenen und ein Protokoll, wer wann eingeladen, angenommen, abgelehnt, Rechte geändert oder entfernt hat und was Mitglieder an Ihrer Abrechnung getan haben (etwa Guthaben eingezahlt). Was Mitglieder an einem Server tun, steht unter ihrem Namen im Aktivitätsprotokoll dieses Servers. Mitglieder mit Zugriff auf die Abrechnung sehen Ihre Rechnungen, Zahlungsarten und Ihr Guthaben.

Rechtsgrundlage ist für Sie Art. 6 Abs. 1 lit. b DSGVO und für die eingeladenen Personen Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse ist, dass Sie als Kontoinhaberin oder Kontoinhaber nachvollziehen können, wer in Ihrem Konto was geändert hat. Entfernen Sie ein Mitglied, endet sein Zugriff sofort; das Protokoll bleibt bestehen, solange Ihr Konto besteht.

Unter „Konto“ können Sie Ihr Kundenkonto löschen, sobald keine Verträge mehr laufen und nichts mehr offen ist. Wir löschen dann alles, was Sie betrifft: Name, E-Mail-Adresse, Rechnungsanschrift im Konto, Profilbild-Einstellung, Sitzungen, Passkeys, den zweiten Faktor, verknüpfte Google- oder Discord-Konten, API-, SFTP- und SSH-Schlüssel, Benachrichtigungen, Ihr Team, Ihre Firewalls, Adresslisten und privaten Netzwerke sowie Bestellungen, die nie bezahlt wurden und zu denen es keine Rechnung gibt. Was wir gesetzlich aufbewahren müssen, bleibt bis zum Ende der jeweiligen Frist (siehe „Speicherdauer“): Rechnungen, Gutschriften und Zahlungsbelege mit der darauf gedruckten Anschrift, Kündigungen, Widerrufe und Tickets, dazu Ihre Kundennummer, damit diese Unterlagen auffindbar bleiben. Die Bestätigung der Löschung schicken wir Ihnen per E-Mail.

Eine Kopie der Daten, die wir zu Ihrem Kundenkonto speichern (Art. 15 und 20 DSGVO), laden Sie jederzeit selbst unter „Konto → Meine Daten“ herunter: eine ZIP-Datei mit einer maschinenlesbaren JSON-Datei (Profil, Rechnungsanschrift, Bestellungen und Zustimmungen, Rechnungen, Server und Dienste, Tickets mit Nachrichten, Anmeldungen und Sicherheitsereignisse, Team, API-Token ohne das Token selbst, Zahlungsarten mit Art und letzten Ziffern, Guthaben, Einstellungen) und einer Erklärung. Zugangsdaten wie Sitzungen, Passwörter oder Schlüssel und interne Notizen unserer Mitarbeitenden sind nicht enthalten. Vor dem Herunterladen bestätigen Sie kurz, dass Sie es sind; danach schicken wir Ihnen eine E-Mail. Die Inhalte Ihrer Gameserver laden Sie mit „Alles exportieren“ herunter. Auf Anfrage per E-Mail an [email protected] erhalten Sie die Kopie auch von uns.

Vor dem Bezahlen geben Sie per Häkchen eine Erklärung ab, ohne die eine Bestellung nicht möglich ist: dass Sie mit der Geltung der AGB einverstanden sind, dass Sie ausdrücklich verlangen, dass wir vor Ablauf der Widerrufsfrist mit der Leistung beginnen, dass Ihnen bekannt ist, dass Sie Ihr Widerrufsrecht mit vollständiger Erbringung der Leistung verlieren, und dass Sie bis dahin innerhalb von 14 Tagen widerrufen können und nur den Anteil für die bereits genutzte Zeit zahlen. Den Wortlaut dieser Erklärung, wie er Ihnen angezeigt wurde, den Zeitpunkt und die Fassung der AGB und der Widerrufsbelehrung, die Sie damit annehmen, speichern wir mit jeder Bestellung, damit nachweisbar bleibt, was Sie wann erklärt haben. Diese Datenschutzerklärung ist neben dem Häkchen verlinkt; sie ist eine Information und nicht Teil der Erklärung, Sie müssen ihr weder zustimmen noch bestätigen, sie gelesen zu haben.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, den Inhalt des Vertrags und den Beginn der Leistung im Streitfall belegen zu können. Wir bewahren diesen Nachweis mit der Bestellung auf, also acht Jahre (siehe „Speicherdauer“).

Zahlungen wickeln wir über Stripe ab (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland). Ihre Zahlungsdaten (z. B. Kartennummer oder IBAN) geben Sie direkt in ein Formular von Stripe ein; sie erreichen unsere Server nicht. Wir erhalten von Stripe nur die Art der Zahlungsmethode, die letzten vier Ziffern und das Ablaufdatum, damit Sie sie im Kundenbereich wiedererkennen.

Damit Verlängerungen Ihrer Server automatisch bezahlt werden, speichert Stripe die Zahlungsmethode mit Ihrer Zustimmung für künftige Zahlungen; Sie können sie im Kundenbereich unter „Konto → Zahlungsart“ jederzeit ändern oder entfernen. Stripe verarbeitet Daten auch zur Betrugsvorbeugung und kann sie dafür in Drittländer (insbesondere die USA) übermitteln; Grundlage sind die EU-Standardvertragsklauseln bzw. das EU-US Data Privacy Framework. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Weitere Informationen: https://stripe.com/de/privacy

Wenn Sie Ihre Rechnungsanschrift eintippen, schlägt der Kundenbereich passende Anschriften vor. Dazu fragt unser Server, nicht Ihr Browser, den Dienst Photon ab, den die komoot GmbH [Anschrift prüfen] auf Grundlage von OpenStreetMap betreibt. Übermittelt wird nur der eingegebene Text, weder Ihre IP-Adresse noch Ihr Name. Die Vorschläge speichern wir nicht; erst die Anschrift, die Sie absenden, wird Teil Ihres Kontos. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Über die Seite „Vertrag widerrufen“ (goodflare.io/withdraw) können Sie einen Vertrag mit oder ohne Anmeldung widerrufen. Dabei verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse, die Angabe, welchen Vertrag Sie widerrufen (Bestell- oder Rechnungsnummer, Server oder die von Ihnen eingegebene Beschreibung), und den Zeitpunkt, zu dem Ihre Erklärung bei uns eingegangen ist. Sind Sie angemeldet, ordnen wir die Erklärung Ihrem Kundenkonto zu.

Wir nutzen diese Angaben, um den Widerruf zu bearbeiten, den Vertrag rückabzuwickeln und Ihnen den Eingang der Erklärung unverzüglich per E-Mail zu bestätigen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 356a BGB (Pflicht zur Eingangsbestätigung) sowie Art. 6 Abs. 1 lit. b DSGVO (Rückabwicklung des Vertrags).

Die Eingangsbestätigung versenden wir über unseren E-Mail-Dienstleister (siehe „E-Mail“); eine Erstattung läuft über den Zahlungsweg der Bestellung (siehe „Zahlungsabwicklung“). Weitere Empfänger gibt es nicht. Die Erklärung bewahren wir sechs Jahre auf (siehe „Speicherdauer“).

Als Profilbild zeigen wir im Kundenbereich und, solange Sie angemeldet sind, in der Kopfzeile der Website Ihre Initialen. Sie entstehen in Ihrem Browser aus Ihrem Namen; dabei wird nichts an Dritte übermittelt.

Nur wenn Sie unter „Konto → Profilbild“ ausdrücklich „Gravatar“ wählen, lädt Ihr Browser stattdessen Ihr Bild von Gravatar (Automattic Inc., 60 29th Street #343, San Francisco, CA 94110, USA). Dabei werden auf jeder Seite, die das Bild zeigt, Ihre IP-Adresse und ein Hashwert Ihrer E-Mail-Adresse an Automattic in den USA übermittelt. [Grundlage der Übermittlung in die USA prüfen, etwa die Zertifizierung von Automattic nach dem EU-US Data Privacy Framework.] Gibt es zu Ihrer Adresse kein Bild, zeigen wir Ihre Initialen und fragen in diesem Browser-Tab bis zu einen Tag lang nicht erneut.

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie können sie jederzeit widerrufen, indem Sie unter „Konto → Profilbild“ wieder „Initialen“ wählen; danach baut Ihr Browser keine Verbindung zu Gravatar mehr auf.

Wenn Sie auf einem Ihrer Server Spieler verwalten, zeigt der Kundenbereich deren Namen und Bilder. Dazu fragt unser Server, nicht Ihr Browser, die öffentlichen Profildaten der Spieler ab: für Minecraft bei Mojang (Mojang AB, Schweden, ein Unternehmen der Microsoft Corporation), für Valheim bei Steam (Valve Corporation, USA). Übermittelt werden nur die Spieler-ID oder der Profilname, die Sie eingeben oder die der Server meldet, keine Daten über Sie selbst. Die Antworten speichern wir bis zu sechs Stunden zwischen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Verwaltungsfunktionen Ihres Servers und Art. 6 Abs. 1 lit. f DSGVO für die Profildaten der Spieler; unser berechtigtes Interesse liegt darin, Spieler erkennbar anzuzeigen.

Damit Sie und alle, mit denen Sie einen Server teilen, sehen, wer wann was geändert hat, protokollieren wir Aktionen an Ihren Servern: Ein- und Ausschalten, Einstellungen, Backups, Befehle in der Konsole sowie Anmeldungen über SFTP und hochgeladene, geänderte oder gelöschte Dateien. Dazu gehören der Zeitpunkt, wer gehandelt hat, und bei SFTP-Anmeldungen und Dateiänderungen die IP-Adresse. Personen, mit denen Sie einen Server teilen, sehen keine E-Mail- oder IP-Adressen anderer. Die vom Spielserver gemeldeten Einträge (SFTP, Dateien, Konsole) löschen wir nach 90 Tagen, und sofort, wenn der Server gelöscht wird. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und lit. f DSGVO (unser und Ihr Interesse, Änderungen nachvollziehen und Missbrauch erkennen zu können).

In der Konsole Ihres Servers können Sie den angezeigten Log als Link teilen, etwa für eine Supportanfrage. Nur wenn Sie das ausdrücklich bestätigen, speichern wir den Text bei uns und machen ihn unter einer zufälligen Adresse für jeden lesbar, der den Link kennt. Vorher entfernen wir IP-Adressen, Passwörter, Zugangsschlüssel und Benutzernamen in Dateipfaden; andere Inhalte, etwa Spielernamen, bleiben lesbar. Suchmaschinen schließen wir aus. Nach 90 Tagen wird der Log gelöscht, Sie können ihn jederzeit früher löschen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Ihre Einwilligung durch die Bestätigung) bzw. lit. b DSGVO.

Daten, die Sie auf Ihren Gameservern, VPS oder Websites speichern, etwa Daten Ihrer Spieler oder Besucher, verarbeiten wir nur in Ihrem Auftrag. Verantwortlicher dafür sind Sie; die Einzelheiten regelt unser Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (goodflare.io/dpa).

Backups Ihrer Gameserver, Bots und Websites, ob von Ihnen angelegt, nach Zeitplan oder als Sicherheitskopie vor einer riskanten Änderung, enthalten alle Dateien des Servers. Sie liegen derzeit auf dem Serverknoten, auf dem Ihr Server läuft, also auf unseren eigenen Systemen; bei VPS und Containern gibt es Snapshots auf dem Speicher des Servers. Wo die Backups eines Servers liegen, steht in seinem Backups- oder Snapshots-Tab unter „Speicherort“.

Sicherheitskopien löschen wir nach sieben Tagen. Die übrigen Backups bleiben, bis Sie sie löschen oder ein Zeitplan das älteste ersetzt. Endet der Vertrag, löschen wir alle Backups des Servers 30 Tage danach, und wenn Sie Ihr Kundenkonto löschen, sofort. Für die Inhalte gilt der Abschnitt zur Auftragsverarbeitung oben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag).

Rufen Sie eine Website auf, die bei uns gehostet wird, protokolliert unser vorgeschalteter Webserver die Anfrage: IP-Adresse, Zeitpunkt, Methode und aufgerufene Adresse, Statuscode, übertragene Datenmenge, Bearbeitungszeit, Referrer, Browserkennung und die übrigen Kopfzeilen der Anfrage außer Cookies und Zugangsdaten. Steht die Website hinter Cloudflare, gilt als Ihre IP-Adresse die von Cloudflare übermittelte, aber nur bei Anfragen aus den veröffentlichten Adressbereichen von Cloudflare. Verantwortlich ist der Betreiber der Website; wir verarbeiten diese Daten in seinem Auftrag, für die Auslieferung, die Fehlersuche, die Abwehr von Angriffen und die Statistik des Betreibers.

Die Rohprotokolle löschen wir nach sieben Tagen. Für die Statistik des Betreibers („Zugriffe & Fehler“) zählen wir daraus Stundenwerte: Anfragen, Seitenaufrufe, Besuche, Statuscodes, Datenmenge und Antwortzeiten, die aufgerufenen Seiten ohne Abfrageparameter, die verweisende Website nur als Name (etwa „Google“), das Land und die Kennung bekannter Programme wie Suchmaschinen. Das Land ermitteln wir beim Zählen aus der IP-Adresse, mit einer Datenbank auf unserem eigenen Server (DB-IP); dabei wird nichts an Dritte übermittelt. Besuche zählen wir über einen Hashwert aus IP-Adresse und Browserkennung, dessen Zufallswert täglich wechselt. Hashwerte und Zufallswert liegen nur im Arbeitsspeicher und sind nach spätestens zwei Tagen gelöscht, sodass niemand über mehrere Tage wiedererkannt wird. Die Stundenwerte enthalten weder IP-Adressen noch Hashwerte und bleiben gespeichert, solange die Website besteht. Cookies oder Skripte setzen wir dafür nicht ein. Wie der Betreiber selbst mit Ihren Daten umgeht, steht in seiner Datenschutzerklärung.

Fügen Sie eine Domain hinzu, speichern wir ihren Namen, ihren DNS-Anbieter, die Einträge, die Sie über uns ändern, und ein Aktivitätsprotokoll dieser Änderungen. Um zu prüfen, ob Einträge öffentlich sichtbar sind, fragt unser Server die öffentlichen DNS-Resolver von Cloudflare (1.1.1.1) und Quad9 (9.9.9.9) ab; dabei werden nur Domainnamen und Eintragstypen übermittelt.

Verbinden Sie eine Domain bei Cloudflare, hinterlegen Sie ein Zugangstoken aus Ihrem Cloudflare-Konto. Wir speichern es mit AES-256-GCM verschlüsselt, zeigen davon nur die letzten vier Zeichen und nutzen es ausschließlich, um auf Ihre Veranlassung Einträge dieser Zone zu lesen und zu schreiben. Sie können es jederzeit entfernen; zieht die Domain von Cloudflare weg, löschen wir es automatisch. Cloudflare verarbeitet diese Anfragen auf Grundlage Ihres eigenen Vertrags mit Cloudflare.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Registrieren Sie eine Domain über uns, übermitteln wir die Inhaberdaten (Name oder Firma, Anschrift, E-Mail-Adresse, Telefonnummer) an unseren Registrar INWX GmbH, Berlin, und an die zuständige Registrierungsstelle, etwa die DENIC eG in Frankfurt am Main für .de oder EURid in Belgien für .eu. Die Registrierungsstellen sind dafür eigene Verantwortliche und können die Daten prüfen; die DENIC veröffentlicht im Whois Daten von juristischen Personen, nicht von natürlichen Personen.

Bei Endungen, deren Registrierungsstelle außerhalb der EU sitzt, werden die Daten dorthin übermittelt, auf Grundlage eines Angemessenheitsbeschlusses der EU-Kommission oder, wo keiner besteht, weil die Übermittlung für die von Ihnen gewünschte Registrierung erforderlich ist (Art. 49 Abs. 1 lit. b DSGVO).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO und, soweit Registrierungsstellen zur Erhebung und Prüfung verpflichtet sind, Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit §§ 49 und 50 BSIG.

Melden Sie uns Inhalte nach Art. 16 DSA, verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse, den Inhalt der Meldung und die genannten Adressen, um die Meldung zu prüfen, Ihnen den Eingang und unsere Entscheidung mitzuteilen und den Vorgang zu dokumentieren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 16 und 17 DSA. Ihre Identität teilen wir der betroffenen Kundin oder dem betroffenen Kunden nur mit, wenn das für die Begründung unbedingt erforderlich ist. Besteht der Verdacht einer Straftat gegen Leben oder Sicherheit, übermitteln wir die nötigen Angaben an die Strafverfolgungsbehörden (Art. 18 DSA). Ihre IP-Adresse speichern wir dabei nicht; damit das Formular nicht massenhaft missbraucht wird, zählen wir Anfragen je Adresse nur für wenige Minuten im Arbeitsspeicher.

Jede Meldung liest und prüft der Inhaber, Arne Heidrich, persönlich. KI-Dienste oder andere automatisierte Mittel setzen wir dabei nicht ein.

Die Unterlagen zu einer Meldung bewahren wir bis zum Abschluss des Vorgangs auf und danach, solange sie zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen nötig sind, in der Regel bis zum Ende der regelmäßigen Verjährungsfrist von drei Jahren (§§ 195, 199 BGB).

Wenn Sie es im Kundenbereich einschalten, schicken wir Hinweise zu Ihren Servern und Rechnungen zusätzlich an einen von Ihnen hinterlegten Discord-Webhook oder per WhatsApp an Ihre bestätigte Telefonnummer. Ohne Ihre Einwilligung geschieht beides nicht.

Für WhatsApp nutzen wir die WhatsApp Business Platform von Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, Irland. Übermittelt werden Ihre Telefonnummer und der Inhalt der jeweiligen Nachricht. Meta kann dabei Daten auch in Drittländer übertragen; Grundlage sind die Standardvertragsklauseln der EU-Kommission. Discord-Nachrichten gehen an Discord Inc., USA.

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie können sie jederzeit im Kundenbereich widerrufen oder per WhatsApp mit „STOPP“ beenden; Ihre Nummer löschen wir dann aus diesem Dienst.

Schalten Sie im Konto Benachrichtigungen im Browser ein, erzeugt Ihr Browser eine Empfangsadresse beim Push-Dienst seines Herstellers (etwa Google, Mozilla, Apple oder Microsoft). Diese Adresse und ihre Schlüssel speichern wir verschlüsselt, mit einer Bezeichnung des Geräts (etwa „Chrome auf Windows“), und schicken unsere Hinweise über diesen Dienst. Der Inhalt ist Ende-zu-Ende verschlüsselt; der Push-Dienst sieht nur, dass eine Nachricht an Ihren Browser geht.

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie können sie jederzeit im Konto oder in den Einstellungen Ihres Browsers widerrufen. Die Empfangsadresse löschen wir, wenn Sie das Gerät im Konto entfernen oder der Push-Dienst meldet, dass es sie nicht mehr gibt.

Sie können die Statusseite ohne Kundenkonto abonnieren. Per E-Mail speichern wir Ihre E-Mail-Adresse; das Abonnement wird erst wirksam, wenn Sie den Link in unserer Bestätigungs-E-Mail anklicken, und nicht bestätigte Anmeldungen löschen wir nach 48 Stunden. Für Discord oder Slack speichern wir die Webhook-Adresse, die Sie angeben; die Nachrichten verarbeitet dann Discord oder Slack als Betreiber Ihres Kanals. Ihre IP-Adresse speichern wir dabei nicht.

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Abmelden können Sie sich jederzeit über den Link in jeder Nachricht; die Anmeldung und ihr Versandprotokoll löschen wir dann.

Unsere E-Mail-Postfächer (etwa [email protected]) betreibt für uns Zoho Mail der Zoho Corporation B.V., Beneluxlaan 4B, 3527 HT Utrecht, Niederlande, als Auftragsverarbeiter nach Art. 28 DSGVO. Schreiben Sie uns eine E-Mail oder antworten wir Ihnen, liegen die Nachrichten mit Ihren Angaben dort, in Rechenzentren in der EU. Nach der Datenschutzerklärung von Zoho können Daten innerhalb der Zoho-Gruppe auch in Länder außerhalb der EU übermittelt werden, etwa für Betrieb und Support; Grundlage dafür sind die Standardvertragsklauseln der EU-Kommission. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche und vertragliche Kommunikation) bzw. Art. 6 Abs. 1 lit. f DSGVO (Bearbeitung von Anfragen).

Anmeldelinks, Bestellbestätigungen, Eingangsbestätigungen für Widerrufe sowie Rechnungs- und Ticketbenachrichtigungen versendet der Kundenbereich automatisch über unseren E-Mail-Dienstleister. [Anbieter für den Versand der automatischen E-Mails noch festzulegen und hier mit Anschrift und Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO zu nennen.] Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Damit bei einem Ausfall nichts verloren geht, sichern wir die Datenbank des Kundenbereichs stündlich, mit allen darin gespeicherten Daten, und einmal täglich die hochgeladenen Dateien (etwa Anhänge von Tickets). Die Sicherungen liegen auf unseren eigenen Systemen; einen externen Speicherdienst nutzen wir dafür nicht.

Wir bewahren die stündlichen Sicherungen 48 Stunden, die täglichen 14 Tage und die wöchentlichen acht Wochen auf. Daten, die wir löschen, verschwinden deshalb spätestens nach neun Wochen auch aus den Sicherungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein sicherer Betrieb ohne Datenverlust (Art. 32 DSGVO).

Eine automatisierte Entscheidung im Einzelfall einschließlich Profiling (Art. 22 DSGVO) treffen wir nicht. Stripe prüft Zahlungen automatisch auf Betrugsrisiken und kann eine Zahlung dabei ablehnen (siehe „Zahlungsabwicklung“); Sie können die Zahlung dann mit einer anderen Zahlungsart wiederholen oder sich an uns wenden. [Anwaltlich prüfen: ob die Betrugsprüfung von Stripe hier näher zu beschreiben ist.]

Wir speichern Daten nur so lange, wie es für den jeweiligen Zweck nötig ist oder das Gesetz es verlangt. Die Fristen nach Jahren laufen jeweils ab dem Ende des Kalenderjahres, in dem die Unterlage entstanden ist; danach löschen wir sie.

• Rechnungen, Gutschriften, Zahlungsbelege und die Bestellungen, zu denen eine Rechnung geschrieben wurde, mit Ihren Erklärungen beim Kauf und der Fassung der AGB und der Widerrufsbelehrung: acht Jahre (§ 147 AO, § 14b UStG). Bestellungen, die nie bezahlt wurden und zu denen es keine Rechnung gibt, löschen wir mit Ihrem Kundenkonto.
• Kündigungen und Widerrufe: sechs Jahre (§ 147 AO, Geschäftsbriefe).
• Tickets: drei Jahre nach dem Ende des Jahres ihrer letzten Nachricht, der regelmäßigen Verjährungsfrist (§§ 195, 199 BGB). [Anwaltlich prüfen: ob Tickets, die einen Vertrag vorbereiten oder abwickeln, als Geschäftsbriefe sechs Jahre aufzubewahren sind.]
• Meldungen rechtswidriger Inhalte: bis zum Abschluss des Vorgangs und danach in der Regel drei Jahre (siehe dort).
• Ihr Kundenkonto: bis Sie es löschen; danach bleiben nur die oben genannten Unterlagen.
• Daten eines beendeten Servers einschließlich seiner Backups: 30 Tage nach dem Vertragsende.
• Sicherheitskopien vor riskanten Änderungen an einem Server: sieben Tage.
• Anmeldungen: bis zu 30 Tage nach der letzten Nutzung; Browser-Art und Netz der Anmeldungen für die Warnungen 90 Tage. Das Protokoll der Anmeldungen und das Aktivitätsprotokoll Ihrer Server im Kundenbereich: [Frist festlegen]; die vom Spielserver gemeldeten Einträge 90 Tage.
• Server-Logfiles unserer Website und des Kundenbereichs: sieben Tage; Rohprotokolle der Websites unserer Kundinnen und Kunden: sieben Tage.
• Geteilte Server-Logs: 90 Tage, wenn Sie sie nicht früher löschen.
• Abonnements der Statusseite und Browser-Benachrichtigungen: bis Sie sie beenden; nicht bestätigte Anmeldungen zur Statusseite 48 Stunden.
• Sicherungskopien unserer Datenbank: höchstens neun Wochen.

Diese Seite nutzt aus Sicherheitsgründen und zum Schutz der Übertragung vertraulicher Inhalte eine SSL- bzw. TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie an „https://“ in der Adresszeile Ihres Browsers.

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder um Änderungen unserer Leistungen umzusetzen. Für Ihren erneuten Besuch gilt dann die neue Datenschutzerklärung.