1. Verantwortlicher und Kontakt
Verantwortlich für die Verarbeitung von Kundenkonto-, Abrechnungs- und eigenen Betriebsdaten ist die Vexura UG (haftungsbeschränkt), Lerchenweg 8, 91555 Feuchtwangen, Deutschland. Geschäftsführer: Julien Michell Herwig. Datenschutzanfragen: [email protected], Telefon +49 151 20932377.
Für Inhalte, die Hostingkunden in eigener Verantwortung verarbeiten, ist grundsätzlich der jeweilige Kunde verantwortlich. Soweit wir diese Daten in dessen Auftrag verarbeiten, regelt ein Vertrag nach Art. 28 DSGVO die Aufgaben. Die Haushaltsausnahme bei rein persönlicher oder familiärer Nutzung ist im Einzelfall zu beurteilen; sie befreit Vexura nicht von den eigenen Pflichten als gewerblicher Anbieter.
2. Zwecke und Rechtsgrundlagen
Wir verarbeiten Daten zur Vertragsanbahnung und -erfüllung nach Art. 6 Abs. 1 Buchst. b DSGVO, zur Erfüllung gesetzlicher Pflichten nach Buchst. c, aufgrund einer Einwilligung nach Buchst. a sowie zur Wahrung berechtigter Interessen nach Buchst. f. Zu unseren berechtigten Interessen zählen der sichere Betrieb, Missbrauchsabwehr, Fehleranalyse und die Durchsetzung oder Abwehr von Ansprüchen. Wir berücksichtigen dabei die Rechte der betroffenen Personen.
Erforderliche Konto-, Kontakt-, Vertrags- und Zahlungsangaben werden benötigt, damit wir den Vertrag durchführen und gesetzlichen Pflichten nachkommen können. Ohne diese Angaben können betroffene Leistungen nicht bereitgestellt werden. Optionale Angaben und Einwilligungen werden als solche gekennzeichnet.
3. Webseitenaufruf und Sicherheit
Beim Aufruf werden insbesondere IP-Adresse, Zeitpunkt, angefragte Adresse, HTTP-Status sowie Browser- und Geräteinformationen verarbeitet. Diese Daten dienen der Auslieferung, Fehleranalyse und Abwehr von Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO; bei vertraglichen Verwaltungsfunktionen zusätzlich Buchst. b.
Cloudflare wird als vorgeschalteter Reverse-Proxy sowie für Verkehrs- und Sicherheitsfunktionen eingesetzt. Dabei kann Cloudflare Verbindungsdaten und abhängig von der geschalteten Funktion Inhalte der darüber übertragenen Anfragen verarbeiten. Informationen des Anbieters: https://www.cloudflare.com/privacypolicy/.
Schriftdateien werden von unserer eigenen Website ausgeliefert. Für die Darstellung dieser Schriften ist kein Abruf bei einem externen Schriftendienst erforderlich.
Technische Betriebs- und Sicherheitsprotokolle werden nur so lange benötigt, wie dies für die genannten Zwecke erforderlich ist. Für konkrete Störungen, Angriffe oder Rechtsansprüche können betroffene Protokolle bis zum Abschluss der Untersuchung beziehungsweise der Anspruchsklärung aufbewahrt werden.
4. Kundenkonto, Teams und Anmeldung
Wir verarbeiten Namen, Kontaktdaten, E-Mail-Adresse, Kontoeinstellungen, Teamzugehörigkeiten, Berechtigungen und Authentifizierungsdaten. Passwörter werden als Hash gespeichert. Bei Nutzung zusätzlicher Sicherheitsfunktionen kommen etwa öffentliche Passkey-Schlüssel, Zwei-Faktor-Daten oder Geräte- und Sitzungsinformationen hinzu. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b und f DSGVO.
Teaminhaber und berechtigte Mitglieder können die für ihre Rolle vorgesehenen Team-, Produkt- und Abrechnungsinformationen einsehen. Einladungen und Teamverwaltung richten sich nach den vergebenen Berechtigungen.
Bei einer freiwillig gewählten Anmeldung über Google oder Apple werden die zur Anmeldung erforderlichen Kennungen und vom jeweiligen Dienst freigegebenen Profilangaben verarbeitet. Der jeweilige Anmeldedienst erfährt dabei, dass eine Anmeldung bei Vexura erfolgt. Eine Anmeldung ohne diesen Dienst bleibt möglich. Für die Verarbeitung durch Google beziehungsweise Apple gelten deren eigene Datenschutzhinweise.
5. Hosting und Domains
Für Bereitstellung, Verlängerung und Verwaltung verarbeiten wir Bestellkonfigurationen, Produktkennungen, Laufzeiten, IP-Adressen, Ressourcen- und Betriebsdaten sowie erforderliche Zugangsinformationen. Dafür nutzen wir ResellingProvider, eine von derselben Vexura UG (haftungsbeschränkt) betriebene technische Bereitstellungs- und Verwaltungsplattform. Die Nutzung dieser eigenen Plattform begründet keine Übermittlung an einen anderen Rechtsträger. Soweit externe Infrastrukturbetreiber, Rechenzentren sowie Backup- und Netzwerkdienstleister personenbezogene Daten verarbeiten, werden diese entsprechend ihrer tatsächlichen datenschutzrechtlichen Rolle eingebunden.
Unsere eigene Hosting-Infrastruktur betreiben wir in Deutschland, den Niederlanden und Österreich. Der für das jeweilige Produkt vereinbarte Standort ergibt sich aus Angebot und Produktverwaltung. Kunden können bei Produkten mit entsprechender Backupfunktion Sicherungen selbst erstellen und automatisierte Sicherungsaufgaben planen. Diese Kundenbackups liegen auf eigener, geografisch redundant betriebener Backup-Infrastruktur in Deutschland und den Niederlanden. Die Länderübersicht der eigenen Hosting-Infrastruktur trifft keine pauschale Aussage über die Verarbeitung durch ergänzende Dienste wie Zahlungsanbieter, E-Mail oder KI-Support.
Zur Wiederherstellung nach schwerwiegenden Infrastruktur- oder Hardwareausfällen erstellen wir zusätzlich alle zwei Stunden interne Notfallsicherungen mit einer Aufbewahrungsdauer von sieben Tagen. Diese dienen der Betriebssicherheit und sind kein kundenseitiges Downloadarchiv oder regulärer Dienst zur Wiederherstellung einzelner Dateien. Soweit sie personenbezogene Hostinginhalte enthalten, bleiben sie Bestandteil der Verarbeitung im Kundenauftrag und unterliegen gegebenenfalls dem AVV. Für eigene Konto- und Betriebsdaten richtet sich die Verarbeitung nach den hierfür einschlägigen Rechtsgrundlagen, insbesondere Art. 6 Abs. 1 Buchst. b und f DSGVO.
Bei Domains werden die zur Registrierung, Verwaltung, Prüfung der Berechtigung und zum Transfer notwendigen Inhaber- und Kontaktdaten über unsere Plattform ResellingProvider an zuständige externe Registrare und Vergabestellen übermittelt. Die interne Abwicklung über ResellingProvider ändert weder diese Empfänger noch deren tatsächliche datenschutzrechtliche Rolle. Welche Daten veröffentlicht oder nur zur Verwaltung verarbeitet werden, richtet sich nach der jeweiligen Domainendung, den Vergaberegeln und dem geltenden Datenschutzrecht. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b und gegebenenfalls c DSGVO.
Inhalte von Kundenwebseiten, Datenbanken, Dateien und Nutzerkonten werden entsprechend dem Hostingvertrag und gegebenenfalls dem AVV verarbeitet. Hostingkunden müssen ihre eigenen Nutzer über ihre Verarbeitung informieren.
Ergänzende Informationen zu der für Vexura eingesetzten Infrastruktur, den beteiligten Dienstleistern und Verarbeitungsstandorten führen wir zentral in den Datenschutzhinweisen unserer eigenen Plattform ResellingProvider. Die dort ausdrücklich für Vexura ausgewiesenen Angaben ergänzen diese Datenschutzerklärung. Verantwortlicher und Ansprechpartner bleibt die Vexura UG (haftungsbeschränkt). Für die Auftragsverarbeitung von Kundeninhalten sind zusätzlich die konkreten Anlagen des jeweiligen AVV maßgeblich.
6. Zahlungen und Buchhaltung
Wir verarbeiten Rechnungsanschrift, gebuchte Leistungen, Preise, Steuerangaben, Zahlungsstatus, Transaktionsreferenzen sowie erforderliche Zahlungs- und Erstattungsinformationen. Rechtsgrundlagen sind Art. 6 Abs. 1 Buchst. b und c DSGVO.
Abhängig von der gewählten Zahlungsart erhalten Stripe, Mollie, Revolut beziehungsweise beteiligte Banken die zur Zahlungsabwicklung und Betrugsprävention erforderlichen Daten. Der ausgewählte Anbieter wird vor Zahlung angezeigt. Dessen Verarbeitung kann auch in eigener datenschutzrechtlicher Verantwortung erfolgen. Informationen: https://stripe.com/de/privacy, https://www.mollie.com/de/legal/privacy und https://www.revolut.com/legal/privacy/.
Für die Buchhaltung und Erstellung von Rechnungen wird SevDesk eingesetzt. Übermittelt werden insbesondere Name, Rechnungsanschrift, Rechnungspositionen, Steuerbeträge und Zahlungszuordnung. Zahlungs- und Rechnungsdaten verbleiben außerdem im Kundencenter, soweit sie für Abrechnung, Nachweise und gesetzliche Aufbewahrung erforderlich sind. Kartenprüfnummern werden nicht als Kundendaten im Panel gespeichert.
7. Support, E-Mail und KI
Bei Supportanfragen verarbeiten wir Kontaktdaten, Nachrichten, freiwillig übermittelte Anhänge und die zur Bearbeitung erforderlichen Produktinformationen. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO, bei allgemeinen Anfragen Buchst. f. Bitte übermitteln Sie nur für die Anfrage erforderliche Daten und keine unnötigen Zugangsdaten oder fremden personenbezogenen Daten.
Für unsere E-Mail-Kommunikation einschließlich des Versands von System- und Supportnachrichten nutzen wir Proton Mail (Proton AG, Schweiz). Dabei werden insbesondere Absender- und Empfängeradressen, Betreff, Zeitpunkte und die zur Übermittlung erforderlichen Nachrichteninhalte verarbeitet. Die Mailanbieter unserer Kommunikationspartner sind an der Zustellung beteiligt. Eine Ende-zu-Ende-Verschlüsselung sämtlicher E-Mails an beliebige Empfänger wird nicht zugesagt. Weitere Informationen: https://proton.me/mail/privacy-policy.
Soweit der als KI-Assistent gekennzeichnete Support genutzt wird, können Gesprächsinhalte, ausgewählte Produktinformationen und zur Anfrage gehörende Anhänge über die Inferenzschnittstelle unserer eigenen Plattform ResellingProvider verarbeitet werden. Für den Vexura-KI-Support verwenden wir selbst gehostete Modelle, die innerhalb unserer von der Vexura UG (haftungsbeschränkt) betriebenen Infrastruktur ausgeführt werden. Die Verarbeitung über ResellingProvider erfolgt damit innerhalb desselben Rechtsträgers. Eine Kontaktaufnahme mit menschlichem Support ist über [email protected] möglich.
Der KI-Assistent dient der Bearbeitung von Anfragen und technischen Hilfestellung. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b beziehungsweise f DSGVO, soweit dies für die jeweilige Bearbeitung erforderlich und zulässig ist. Entscheidungen mit rechtlicher oder vergleichbar erheblicher Wirkung werden nicht allein auf eine KI-Antwort gestützt.
Für interne Betriebsbenachrichtigungen setzen wir Discord ein. Dabei werden Vorgangskennungen, Ereignisarten und gegebenenfalls Beträge übermittelt; Kundenadressen, Nachrichtentexte, Zugangsdaten und Fehlerdetails werden nicht in diese Benachrichtigungen aufgenommen. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO, unser Interesse an einer zeitnahen Betriebsüberwachung. Hinweise des Anbieters: https://discord.com/privacy.
10. Mobile App und Push
Die mobile App verarbeitet die für Anmeldung, Gerätezuordnung, Produktverwaltung und Sicherheit erforderlichen Angaben. Wenn Sie Push-Benachrichtigungen aktivieren, werden Push-Token und Zustellinformationen über den Expo Push Service sowie die Push-Dienste von Apple beziehungsweise Google verarbeitet. Diese Anbieter können Mitteilungsinhalte erhalten. Rechtsgrundlage für optionale Push-Mitteilungen ist Art. 6 Abs. 1 Buchst. a DSGVO.
Sie können Push-Mitteilungen in den Geräteeinstellungen deaktivieren. Dadurch wird die Zustellung unterbunden; eine sofortige Löschung aller serverseitigen Token allein durch diese Betriebssystemeinstellung wird nicht zugesagt. Token werden bei Abmeldung der Funktion in der App oder erkannter Ungültigkeit entfernt. Für Zugriffe auf Kamera, Fotos oder biometrische Funktionen gelten zusätzlich die von Ihnen erteilten Geräteberechtigungen.
11. Empfänger und Übermittlung in Drittländer
Daten erhalten innerhalb von Vexura nur Personen mit einer entsprechenden Aufgabe. Weitere Empfängerkategorien sind Hosting- und Infrastrukturbetreiber, Zahlungs- und Buchhaltungsdienste, Kommunikations- und Supportanbieter sowie erforderlichenfalls Steuerberatung, Rechtsberatung, Behörden und Gerichte. Auftragsverarbeiter werden nach Art. 28 DSGVO eingebunden; andere Empfänger können für ihre Verarbeitung selbst verantwortlich sein.
Bei international tätigen Anbietern können Daten außerhalb der EU und des EWR verarbeitet werden, insbesondere in den USA und – abhängig vom Dienst – in der Schweiz oder im Vereinigten Königreich. Eine Übermittlung setzt die Voraussetzungen der Art. 44 ff. DSGVO voraus. Dazu gehören ein einschlägiger Angemessenheitsbeschluss oder geeignete Garantien, insbesondere Standardvertragsklauseln und erforderliche ergänzende Maßnahmen. Eine DPF-Zertifizierung eines US-Anbieters ist nur relevant, wenn sie die konkrete Übermittlung tatsächlich abdeckt. Informationen und Kopien einschlägiger Garantien können unter [email protected] angefordert werden.
12. Speicherdauer und Löschung
Konto- und Vertragsdaten werden während des Vertragsverhältnisses verarbeitet und danach nur weiter aufbewahrt, soweit dies für gesetzliche Pflichten oder konkrete Ansprüche erforderlich ist. Für einzelne Datensätze gelten unterschiedliche Zwecke und Fristen; eine Kontolöschung entfernt daher nicht automatisch aufbewahrungspflichtige Rechnungen.
Rechnungen und Buchungsbelege werden grundsätzlich acht Jahre aufbewahrt, Handels- und Geschäftsbriefe regelmäßig sechs Jahre, gesetzlich erfasste Bücher und Abschlüsse regelmäßig zehn Jahre. Fristbeginn, Übergangsregeln und Verlängerungen etwa bei laufenden Steuerverfahren richten sich nach den einschlägigen Vorschriften, insbesondere § 147 AO, § 257 HGB und § 14b UStG.
Supportvorgänge werden für die Bearbeitung und erforderlichenfalls für Gewährleistung oder konkrete Rechtsansprüche aufbewahrt. Maßgeblich sind Abschluss des Vorgangs, Art des Vertrags und einschlägige Verjährungsfristen; laufende Streitfälle können eine längere Speicherung erfordern. Hosting-Produktdaten werden nach den jeweiligen Vertrags- und Exportfristen gelöscht. Die Löschung produktiver Daten und das Auslaufen vorhandener Sicherungskopien sind technisch unterschiedliche Vorgänge.
Interne Notfallsicherungen werden sieben Tage nach ihrer Erstellung im Rahmen der Sicherungsrotation gelöscht oder überschrieben. Die Rotation ist keine eigenständige Rechtsgrundlage zur weiteren Nutzung oder Aufbewahrung personenbezogener Daten. Gesetzliche Löschpflichten und wirksame Löschweisungen bleiben maßgeblich. Für Kundenbackups richten sich Aufbewahrung und Löschung nach dem gebuchten Leistungsumfang, den verfügbaren Einstellungen und den einschlägigen Vertrags- und Datenschutzpflichten.
13. Ihre Rechte
Sie haben nach Maßgabe der DSGVO Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Einwilligungen können jederzeit mit Wirkung für die Zukunft widerrufen werden. Anfragen richten Sie an [email protected]; zur Vermeidung unbefugter Auskünfte können angemessene Nachweise Ihrer Identität erforderlich sein.
Soweit eine Verarbeitung auf Art. 6 Abs. 1 Buchst. e oder f DSGVO beruht, können Sie aus Gründen Ihrer besonderen Situation Widerspruch einlegen. Gegen Direktwerbung einschließlich damit verbundenem Profiling können Sie jederzeit ohne Begründung widersprechen.
Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere an Ihrem Aufenthaltsort, Arbeitsplatz oder Ort des vermuteten Verstoßes. Für Vexura ist grundsätzlich das Bayerische Landesamt für Datenschutzaufsicht, Promenade 18, 91522 Ansbach, https://www.lda.bayern.de, zuständig.