Datenschutzerklärung

1. Verantwortliche

Bytekontor GmbH
Bleicherwiesen 14
31224 Peine
Deutschland

E-Mail: hey@mobilejoe.dev
Datenschutzkontakt: privacy@mobilejoe.dev

2. Geltungsbereich und Rollen

Diese Datenschutzerklärung gilt für die Website, die Verwaltungsoberfläche für Mobile-Joe-Kunden („Dashboard“), Kundenkonten, Abonnements, Support und Geschäftskontakte. Bytekontor entscheidet bei diesen Verarbeitungen über Zwecke und Mittel.

3. Website und technische Bereitstellung

Beim Aufruf von Website oder Dashboard verarbeiten die eingesetzten Systeme technische Anfragedaten. Dazu können IP-Adresse, Zeitpunkt, Zieladresse, HTTP-Methode, Statuscode, übertragene Datenmenge, Referrer, User-Agent, Request-ID und Sicherheitsereignisse gehören.

Bytekontor verarbeitet diese Daten, um Website und Dashboard auszuliefern, Angriffe abzuwehren, Fehler zu untersuchen und den sicheren Betrieb nachzuweisen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die berechtigten Interessen liegen im sicheren und zuverlässigen Betrieb des Dienstes.

Cloudflare verarbeitet Netzwerkdaten, darunter IP-Adressen und daraus abgeleitete Sicherheitsbewertungen, auch für eigene Sicherheits- und Betriebszwecke in eigener Verantwortung. Weitere Angaben einschließlich der Aufbewahrungskriterien enthält die Datenschutzerklärung von Cloudflare.

Zur Reichweitenmessung der Website setzt Bytekontor Plausible Analytics der Plausible Insights OÜ als Auftragsverarbeiter ein. Plausible verarbeitet aufgerufene Seite, Referrer, aus dem User-Agent abgeleitete Browser-, Betriebssystem- und Gerätetypangaben, einen aus der IP-Adresse abgeleiteten ungefähren Standort, Scrolltiefe und aktive Verweildauer sowie Klicks auf externe Links, Downloads und Formularabsendungen ohne Formularinhalte. Zur Zählung von Besuchern bildet Plausible aus IP-Adresse und User-Agent einen täglich wechselnden Hashwert; IP-Adresse und User-Agent werden nicht gespeichert. Plausible setzt keine Cookies. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt in der Auswertung der Websitenutzung in zusammengefasster Form.

4. Kundenkonto und Anmeldung

Bei Registrierung und Nutzung des Dashboards verarbeitet Bytekontor:

• E-Mail-Adresse;
• Passwort-Hash und E-Mail-Verifizierungsstatus;
• Konto-, Tarif- und Zeitangaben;
• Sitzungskennung, IP-Adresse und User-Agent;
• App-Titel, Website-Adresse, Konfigurationen und API-Schlüssel-Metadaten.

Ist die betroffene Person selbst Vertragspartei, dient die Verarbeitung dem Vertragsschluss und der Vertragserfüllung nach Art. 6 Abs. 1 lit. b DSGVO. Bei Beschäftigten oder sonstigen Vertretern eines Unternehmenskunden beruht sie auf Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt in Abschluss, Verwaltung und Durchführung des Vertrags mit dem Kunden.

E-Mail-Adresse und Passwort sind für die Kontoerstellung erforderlich. Ohne diese Angaben kann Bytekontor kein Kundenkonto bereitstellen.

Zum Schutz vor automatisierten und missbräuchlichen Registrierungen setzt Bytekontor Cloudflare Turnstile der Cloudflare, Inc. ein. Rechtsgrundlage ist das entsprechende berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO. Cloudflare verarbeitet IP-Adressen sowie Browser- und Gerätemerkmale im Auftrag Bytekontors und zur Verbesserung der Bot-Erkennung in eigener Verantwortung. Erforderliche Endgerätezugriffe beruhen auf § 25 Abs. 2 Nr. 2 TDDDG. Ohne erfolgreiche Sicherheitsprüfung ist keine Registrierung möglich. Weitere Angaben enthält das Turnstile Privacy Addendum.

5. Abonnement und Zahlung

Bytekontor verarbeitet Tarif, Testzeitraum, Abonnementstatus sowie Stripe-Kunden- und Abonnementkennungen. Für Abonnement und Zahlung übermittelt Bytekontor Stripe Name, E-Mail-Adresse, Kundenkennung und gewählten Tarif. Zahlungsdaten werden im Stripe Checkout, Billing Portal oder bei Link erhoben. Bytekontor erhält von Stripe nur die für Abonnement, Rechnung und Zahlungsstatus erforderlichen Angaben.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn die betroffene Person Vertragspartei ist. Für Vertreter eines Unternehmenskunden gilt Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt in der Vertragsabrechnung und Zahlungsabwicklung. Steuer- und handelsrechtliche Verarbeitung beruht auf Art. 6 Abs. 1 lit. c DSGVO.

Stripe verarbeitet Daten im Rahmen von Managed Payments insbesondere zur Bestellverwaltung, Steuerabwicklung, Betrugsprävention und zum Zahlungssupport in eigener Verantwortung. Soweit Stripe Daten nach Weisung Bytekontors verarbeitet, handelt Stripe als Auftragsverarbeiter. Weitere Informationen enthält die Datenschutzerklärung von Stripe.

6. E-Mail, Kontaktformular, Support und Geschäftskontakte

Bytekontor verarbeitet Kontaktangaben, Inhalt, Anhänge und Versandmetadaten, wenn eine Person Support anfragt, eine Geschäftsbeziehung anbahnt oder eine Service-E-Mail erhält. Im Kontaktformular sind E-Mail-Adresse und Nachricht erforderlich, damit Bytekontor die Anfrage bearbeiten und beantworten kann.

Bei Anfragen zur Anbahnung oder Durchführung eines Vertrags mit der betroffenen Person gilt Art. 6 Abs. 1 lit. b DSGVO. In anderen Fällen beruht die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO; die berechtigten Interessen liegen in der Beantwortung von Anfragen, Kundenbetreuung, Fehlerbehebung und Geschäftskommunikation. Gesetzlich erforderliche Mitteilungen beruhen auf Art. 6 Abs. 1 lit. c DSGVO.

Transaktionale E-Mails werden über Amazon SES in Frankfurt (Deutschland) versendet.

7. Newsletter und Produktinformationen

Für Newsletter und werbliche Produktinformationen verarbeitet Bytekontor die E-Mail-Adresse, Angaben zur Anmeldung oder Kundenbeziehung sowie Versand-, Abmelde- und Zustellfehlerdaten. EmailOctopus verwaltet die Verteiler und Kampagnen; Amazon SES übernimmt den Versand.

EmailOctopus kann einen aus der E-Mail-Adresse gebildeten Prüfwert an Unternehmen der Automattic-Gruppe übermitteln, um ein bei Gravatar öffentlich hinterlegtes Kontaktbild anzuzeigen. Soweit dieser Abgleich personenbezogen ist, beruht er auf Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt in der übersichtlichen Verwaltung des Verteilers.

Der Versand erfolgt mit vorheriger freiwilliger und ausdrücklicher Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 7 Abs. 2 Nr. 2 UWG. Die Anmeldung ist unabhängig von einem kostenpflichtigen Abonnement möglich, auch während der Testphase und nach Ende eines Abonnements. Daneben informiert Bytekontor Bestandskunden auf Grundlage von § 7 Abs. 3 UWG über eigene ähnliche Produkte oder Dienstleistungen. Dafür muss Bytekontor die Adresse im Zusammenhang mit einem Verkauf erhalten haben; ein Widerspruch darf nicht vorliegen. Auf die Widerspruchsmöglichkeit wird bei Erhebung der Adresse und in jeder Nachricht hingewiesen.

Empfänger können ihre Einwilligung jederzeit widerrufen oder der Bestandskundenwerbung widersprechen, etwa über den Abmeldelink in jeder Nachricht oder per E-Mail an hey@mobilejoe.dev. Die Abmeldung ist kostenlos.

Einwilligungs- und Widerrufsnachweise dienen den Nachweispflichten nach Art. 5 Abs. 2 und Art. 7 in Verbindung mit Art. 6 Abs. 1 lit. c DSGVO. Weitere Nachweise zur Versandberechtigung und zu Abmeldungen beruhen, soweit zur Durchsetzung oder Abwehr von Rechtsansprüchen erforderlich, auf Art. 6 Abs. 1 lit. f DSGVO; darin liegt das berechtigte Interesse. Zur Beachtung eines Werbewiderspruchs speichert Bytekontor die E-Mail-Adresse und den Umfang der Sperre ausschließlich zu diesem Zweck (Art. 6 Abs. 1 lit. c in Verbindung mit Art. 21 Abs. 3 DSGVO und § 7 UWG).

8. Cookies und ähnliche Speicherung

Website und Dashboard verwenden Speicherungen für Anmeldung, Sicherheit und die vom Nutzer aufgerufenen Funktionen.

Die Speicherung der Anmeldekennung, der Anwendungssitzung, von __cf_bm und cf_clearance beruht auf § 25 Abs. 2 Nr. 2 TDDDG. Soweit die gespeicherten Werte personenbezogen sind, gelten die in den Abschnitten 3 und 4 genannten Rechtsgrundlagen.

Stripe kann im eigenen Checkout und Billing Portal Cookies setzen. Dafür gelten die Hinweise von Stripe.

9. App-Icons von Google

Bytekontor ruft anhand der vom Kunden angegebenen Website-Domain ein App-Icon bei Google ab. Beim serverseitigen Abruf erhält Google die Domain und technische Anfragedaten des Servers. Soweit dabei personenbezogene Daten verarbeitet werden, beruht dieser Abruf auf Art. 6 Abs. 1 lit. f DSGVO. Die berechtigten Interessen liegen in der automatischen Zuordnung von App-Icons und dem sicheren Abruf von Website-Symbolen.

Empfänger sind Google Ireland Limited, Irland, und Google LLC, USA. Google verarbeitet Abrufdaten in eigener Verantwortung. Weitere Informationen enthalten die Datenschutzerklärung und die Aufbewahrungshinweise von Google. Für die bei Bytekontor gespeicherten App-Icons gilt Abschnitt 13.

10. Endnutzerdaten aus Kunden-Apps

Bytekontor verarbeitet Endnutzerdaten aus Kunden-Apps nach dem AVV im Auftrag des Kunden. Maßgebliche Informationen enthält die Datenschutzerklärung der jeweiligen App. Endnutzer richten Anfragen zu diesen Daten an den App-Anbieter.

11. Empfänger

Bytekontor übermittelt personenbezogene Daten nur, soweit dies für die genannten Zwecke erforderlich ist. Empfänger können sein:

• Anbieter für Hosting, Datenbank, Netzwerk, Objektspeicher, Sicherheit und Fehlerdiagnose; soweit sie Daten im Auftrag eines Mobile-Joe-Kunden verarbeiten, stehen sie in der aktuellen Liste der Unterauftragsverarbeiter;
• Stripe Payments Europe, Limited, Stripe Technology Europe, Limited und Stripe Technology Company Limited (Irland) sowie Stripe, LLC und Sold through Link, LLC (USA) für Abonnement und Zahlung;
• Amazon Web Services für E-Mail-Versand;
• Plausible Insights OÜ, Estland, für die Reichweitenmessung der Website;
• Three Hearts Digital Ltd, Vereinigtes Königreich (EmailOctopus), für Newsletter und Produktinformationen;
• Unternehmen der Automattic-Gruppe in Irland und den USA für den möglichen Kontaktbildabgleich nach Abschnitt 7;
• Google für die in Abschnitt 9 beschriebenen Abrufe;
• Rechts-, Steuer- und sonstige Berater, soweit eingesetzt;
• Behörden und Gerichte bei einer gesetzlichen Pflicht.

12. Übermittlungen in Drittländer

Einzelne der in Abschnitt 11 genannten Empfänger haben Unternehmen, Infrastruktur oder Zugriffe außerhalb des Europäischen Wirtschaftsraums, insbesondere in den USA. Verarbeitungsorte und vorgesehene Übermittlungsmechanismen der Unterauftragsverarbeiter stehen in der aktuellen Liste der Unterauftragsverarbeiter.

Übermittlungen an EmailOctopus im Vereinigten Königreich beruhen auf dem Angemessenheitsbeschluss der EU-Kommission nach Art. 45 DSGVO. Für erfasste Übermittlungen an Stripe, LLC, Google LLC und Cloudflare, Inc. in den USA gilt der EU-US Data Privacy Framework; mit Stripe sind ersatzweise die im Zusatz zu Datenübermittlungen enthaltenen EU-Standardvertragsklauseln vereinbart. Automattic beschreibt für Übermittlungen aus dem EWR in nicht angemessene Drittländer den Einsatz von EU-Standardvertragsklauseln. Für sonstige Übermittlungen in Länder ohne Angemessenheitsbeschluss nutzt Bytekontor EU-Standardvertragsklauseln und erforderliche ergänzende Maßnahmen. Bei weiteren zertifizierten US-Empfängern kann Bytekontor den EU-US Data Privacy Framework nutzen.

Für Weiterübermittlungen durch Stripe, LLC an Sold through Link, LLC gelten die Schutzvorgaben des Data Privacy Framework beziehungsweise der vereinbarten Standardvertragsklauseln.

Eine Kopie der vereinbarten Schutzregelungen für Datenübermittlungen in Drittländer (insbesondere EU-Standardvertragsklauseln) kann unter privacy@mobilejoe.dev angefordert werden.

13. Aufbewahrung und Löschung

Für die Aufbewahrung und Löschung gelten folgende Fristen und Kriterien:

• Kundenkonten und operative Kundendaten: während der Vertragslaufzeit einschließlich des unentgeltlichen Basisdienstes. Nach Vertragsende bleiben nur Daten gespeichert, die für gesetzliche Aufbewahrungspflichten oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sind;
• Sitzungen sind nach den in Abschnitt 8 angegebenen Fristen nicht mehr gültig; zugehörige serverseitige Sitzungsdaten werden im täglichen Löschlauf nach Ablauf von 90 Tagen gelöscht;
• Anwendungslogs bei Render: sieben Tage;
• Sicherheitsereignisse in Cloudflare Security Events: 24 Stunden;
• Anfragedaten in Cloudflare Security Analytics: sieben Tage;
• Ereignisdaten der Reichweitenmessung bei Plausible: solange sie für die Auswertung der Websitenutzung benötigt werden, längstens bis zum Ende der Nutzung von Plausible;
• Sentry-Ereignisse: nach aktueller Konfiguration 30 Tage;
• Kontakt- und Supportkommunikation: bis zum Abschluss der Bearbeitung; darüber hinaus nur, soweit gesetzliche Aufbewahrungspflichten oder die Durchsetzung beziehungsweise Abwehr von Rechtsansprüchen dies erfordern. Aufbewahrungspflichtige Geschäftsbriefe werden grundsätzlich sechs Jahre ab Ende des Empfangs- oder Versandjahres aufbewahrt;
• Versanddaten: bei Einwilligung bis zum Widerruf oder zur Abmeldung; bei Bestandskundenwerbung solange die Voraussetzungen des § 7 Abs. 3 UWG vorliegen, längstens bis zum Widerspruch;
• Nachweise zur Versandberechtigung: während ihrer Nutzung und anschließend grundsätzlich bis zum Ende des dritten Kalenderjahres nach ihrer letzten Verwendung; Abmeldenachweise: grundsätzlich bis zum Ende des dritten Kalenderjahres nach der Abmeldung. Eine längere Aufbewahrung erfolgt jeweils nur, soweit laufende Verfahren oder abweichende gesetzliche Verjährungsfristen dies erfordern;
• Werbesperreintrag: solange erforderlich, um den Widerspruch bei künftiger Werbung zu beachten;
• Rechnungen und Buchungsbelege: grundsätzlich acht Jahre ab Ende des Ausstellungs- beziehungsweise Entstehungsjahres;
• Kundendaten im Auftrag: nach dem AVV.

14. Rechte betroffener Personen

Betroffene Personen können nach Maßgabe der DSGVO verlangen:

• Auskunft;
• Berichtigung;
• Löschung;
• Einschränkung der Verarbeitung;
• Datenübertragbarkeit;
• Widerruf einer Einwilligung mit Wirkung für die Zukunft; die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt.

Widerspruchsrecht: Bei Verarbeitungen auf Grundlage berechtigter Interessen besteht ein Widerspruchsrecht aus Gründen der besonderen Situation der betroffenen Person. Gegen Direktwerbung kann jederzeit Widerspruch eingelegt werden.

Anfragen können an hey@mobilejoe.dev gesendet werden.

Betroffene Personen können sich bei einer Datenschutzaufsichtsbehörde beschweren. Für Bytekontor ist regelmäßig der Landesbeauftragte für den Datenschutz Niedersachsen zuständig.