Datenschutzerklärung

Das Portal läuft auf einem eigenen virtuellen Server, den wir bei der Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaka, Zypern, mieten. Der Server steht in einem Rechenzentrum in Düsseldorf. Dort liegt auch die Datenbank des Portals mit Ihren Kundendaten, Verträgen und Rechnungen.

Hostinger verarbeitet die Daten nur in unserem Auftrag. Dafür haben wir einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen.

Die Datenbank sichern wir jede Nacht und vor jeder Aktualisierung des Portals auf dem Server. Diese Sicherungen löschen wir nach 14 Tagen. Kundendaten, Verträge, Rechnungen und Buchungen sichern wir außerdem täglich auf einen eigenen Rechner in Deutschland: Die Stände der letzten 30 Tage bleiben vollständig erhalten, danach je Monat einer für 24 Monate und je Kalenderjahr einer bis zum Ende der gesetzlichen Aufbewahrungsfrist für Buchungsunterlagen (10 Jahre). Zusätzlich sichert Hostinger den ganzen Server einmal pro Woche; jede neue Sicherung ersetzt die älteste, es bleiben höchstens die Stände der letzten zwei Wochen.

Bei jedem Aufruf des Portals speichert unser Webserver (nginx) automatisch: Ihre IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, den Statuscode der Antwort, die übertragene Datenmenge, die zuvor besuchte Seite (Referrer), die Kennung Ihres Browsers (User-Agent) und die Antwortzeit.

Wir brauchen diese Angaben, um den Betrieb zu sichern, Fehler zu finden und Angriffe zu erkennen und abzuwehren. Die Protokolle löschen wir nach 14 Tagen.

Ihren Zugang zum Portal richten wir für Sie ein, selbst registrieren können Sie sich nicht. Dafür verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse und die Zuordnung zu Ihrem Kundenkonto. Ihr Passwort speichern wir nur als Hash. Niemand kann es im Klartext lesen, auch wir nicht. Ohne diese Angaben können wir Ihnen keinen Zugang einrichten.

Im Portal zeigen wir Ihnen, was wir für unsere Geschäftsbeziehung ohnehin führen: Ihre Kundendaten, Ihre Verträge mit den vereinbarten Leistungen und Ihre Rechnungen.

Wenn Sie sich anmelden, speichern wir eine Sitzung mit Ablaufzeit und der Kennung Ihres Browsers. Sie gilt 30 Tage und verlängert sich, solange Sie das Portal nutzen. Beim Abmelden endet sie.

Damit niemand Passwörter durch Ausprobieren errät, zählen wir Anmeldeversuche. Dafür speichern wir nur Prüfwerte (Hashes) von IP-Adresse und E-Mail-Adresse, nicht die Adressen selbst.

Das Portal setzt nur das Cookie, das Sie nach der Anmeldung angemeldet hält (Sitzungs-Cookie, der Name beginnt mit „mounten-portal“). Es enthält keine Angaben über Sie, nur eine zufällige Kennung der Sitzung.

Wenn Sie die Darstellung wählen (Hell, Dunkel oder System), merkt sich Ihr Browser die Wahl im lokalen Speicher (localStorage, Eintrag „mounten-theme“). Dieser Eintrag bleibt auf Ihrem Gerät und wird nicht an uns übertragen.

Einen Cookie-Hinweis gibt es deshalb nicht: Beides ist unbedingt erforderlich, damit das Portal so funktioniert, wie Sie es nutzen möchten (§ 25 Abs. 2 Nr. 2 TDDDG). Dafür ist keine Einwilligung nötig. Wir setzen keine Werkzeuge für Statistik, Werbung oder Tracking ein und laden keine Inhalte von anderen Anbietern.

Wir schicken Ihnen E-Mails, die zum Portal und zu Ihren Verträgen gehören: die Einladung, über die Sie Ihr Passwort selbst festlegen, auf Ihre Anfrage einen Link zum Zurücksetzen Ihres Passworts, Angebote, Vertrags- und Kündigungsbestätigungen, neue Rechnungen, die Ankündigung jedes Einzugs, Bestätigungen und Hinweise zu Zahlungen, Zahlungserinnerungen und Mahnungen. Dafür verarbeiten wir Ihren Namen bzw. Firmennamen, die Anrede Ihres Ansprechpartners, Ihre E-Mail-Adresse für Rechnungen und die Angaben zur jeweiligen Rechnung oder Zahlung. Links zum Festlegen eines Passworts gelten nur für begrenzte Zeit.

Wir verschicken diese E-Mails über unser eigenes E-Mail-Postfach bei der Hostinger International Ltd. (siehe Hosting), ohne weiteren Versanddienst. Die Mails liegen dort in Rechenzentren in der Europäischen Union. Ihre Antworten erreichen uns unter info@mounten.dev.

Schließen Sie im Portal einen Vertrag ab oder kündigen Sie ihn dort, halten wir als Nachweis fest: wer gehandelt hat (Name und E-Mail-Adresse des Zugangs), wann, das angenommene Angebot mit Preisen und Bedingungen, die Fassung der AGB und des Vertrags zur Auftragsverarbeitung, Ihre Erklärungen, die IP-Adresse und die Kennung Ihres Browsers (User-Agent). Daraus entstehen die Vertrags- bzw. Kündigungsbestätigung als PDF.

Wir brauchen diese Angaben, um den Vertrag zu schließen und durchzuführen und um den Abschluss oder die Kündigung im Streitfall belegen zu können. Wir bewahren sie für die Dauer des Vertrags auf und danach, solange Ansprüche aus dem Vertrag geltend gemacht werden können oder Aufbewahrungspflichten für Geschäftsbriefe bestehen (in der Regel sechs Jahre nach Ende des Kalenderjahres).

IP-Adresse und Browserkennung löschen wir automatisch, sobald diese Frist nach dem Ende des Vertrags abgelaufen ist. Angebote, die Sie nicht angenommen haben, löschen wir ein Jahr nach Ablauf der Annahmefrist samt Angebot als PDF.

Sie können im Portal eine Zahlungsart hinterlegen (SEPA-Lastschrift, Karte oder PayPal), damit wir die Rechnungen Ihrer Verträge einziehen. Das übernimmt der Zahlungsdienstleister Stripe Payments Europe, Ltd., Dublin, Irland. Dazu leiten wir Sie auf eine Seite von Stripe weiter. Ihre Konto- oder Kartendaten geben Sie dort direkt bei Stripe ein.

Stripe erhält von uns Ihren Namen oder Firmennamen, Ihre E-Mail-Adresse und Ihre Kundennummer, bei jedem Einzug außerdem Rechnungsnummer und Betrag. Bei uns speichern wir nur einen Verweis auf die Zahlungsart bei Stripe, ihre Art mit einer kurzen Beschreibung (zum Beispiel „IBAN endet auf 3000“) und den Stand jeder Zahlung.

Wählen Sie PayPal, leitet Stripe Sie zur Bestätigung an PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg, weiter. PayPal erhält dabei die Angaben, die für die Zahlung nötig sind, und verarbeitet sie auch in eigener Verantwortung. Näheres steht in der Datenschutzerklärung von PayPal.

Stripe erhält Daten von Ihnen nur, wenn Sie eine Zahlungsart hinterlegen oder eine Rechnung im Portal bezahlen, auch die erste Rechnung direkt nach einem Vertragsabschluss. Überweisen Sie, erhält Stripe nichts. Bei SEPA-Lastschriften kündigen wir jeden Einzug vorher per E-Mail an. Stripe verarbeitet Daten auch in eigener Verantwortung, etwa um Betrug zu verhindern und gesetzliche Pflichten zu erfüllen, und kann sie dabei auch in die USA übermitteln. Näheres steht in der Datenschutzerklärung von Stripe.

• Art. 6 Abs. 1 lit. b DSGVO (Vertrag): Zugang zum Portal, Angebote, Vertragsabschluss und Kündigung, Anzeige von Verträgen und Rechnungen, E-Mails zum Zugang, zu Rechnungen und Zahlungen, Zahlung über Stripe, Erinnerungen und Mahnungen.
• Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflicht): Aufbewahrung von Rechnungen und Buchungsbelegen.
• Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, stabilen Betrieb und am Nachweis von Erklärungen): Server-Protokolle, Schutz der Anmeldung, Sicherungen, IP-Adresse und Browserkennung beim Abschluss und bei der Kündigung.

• Ihren Zugang zum Portal speichern wir, solange die Geschäftsbeziehung besteht.
• Sitzungen enden beim Abmelden oder nach 30 Tagen ohne Nutzung.
• Rechnungen und andere Buchungsbelege bewahren wir 8 Jahre auf, Bücher und Jahresabschlüsse 10 Jahre (§ 147 AO, § 257 HGB). Die Frist beginnt mit dem Ende des Kalenderjahres, in dem die Unterlage entstanden ist.
• Server-Protokolle und Sicherungen: wie oben bei Hosting und Server-Protokollen.

Alles andere löschen wir, sobald wir es für den jeweiligen Zweck nicht mehr brauchen und keine Pflicht zur Aufbewahrung besteht.

Sie haben das Recht auf

• Auskunft über die Daten, die wir über Sie verarbeiten (Art. 15 DSGVO),
• Berichtigung falscher Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO).

Verarbeiten wir Daten aufgrund eines berechtigten Interesses, können Sie dem aus Gründen, die sich aus Ihrer besonderen Situation ergeben, widersprechen (Art. 21 DSGVO). Schreiben Sie uns dafür einfach an info@mounten.dev.

Automatisierte Entscheidungen im Sinne von Art. 22 DSGVO treffen wir nicht.

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist: