Datenschutzerklärung

1. Verantwortlicher und Datenschutzkontakt

Verantwortlich für die in dieser Erklärung beschriebenen eigenen Verarbeitungstätigkeiten ist die /dev/null GmbH, Rosa-Luxemburg-Straße 37, 14482 Potsdam, Deutschland. Die Gesellschaft wird vertreten durch die Geschäftsführer Gregor Bigalke und Maximilian Arzberger.

Für Datenschutzanfragen und die Ausübung Ihrer Rechte erreichen Sie uns unter abuse@d0.eu. Ansprechpartner ist Gregor Bigalke. Postalische Anfragen können Sie mit dem Zusatz „Datenschutz“ an die oben genannte Anschrift richten. Für allgemeine Produkt- und Supportanfragen verwenden Sie support@d0.eu oder +49 171 7525811.

2. Geltungsbereich und Herkunft der Daten

Diese Hinweise betreffen den Besuch unserer Website, die Registrierung und Anmeldung über unsere Identitätsdienste, die Verwaltung von Kundenkonten und Organisationen, Bestellungen, Abrechnung sowie die Kommunikation über unsere Produkte und IT-Dienstleistungen.

Daten erhalten wir überwiegend von Ihnen und bei der Nutzung unserer Dienste. Wenn eine Organisation Sie als Mitglied, Ansprechpartner oder Domaininhaber angibt, stammen Ihre Kontakt- und Zuordnungsdaten von dieser Organisation. Zahlungs- und Domainstatus erhalten wir auch von den jeweils eingebundenen Zahlungs- und Registrierungsdiensten.

Für personenbezogene Inhalte, die Kunden in ihren Anwendungen, Buckets oder Buchhaltungsmandanten verarbeiten, kann der jeweilige Kunde Verantwortlicher und /dev/null Auftragsverarbeiter sein. Maßgeblich sind die tatsächliche Aufgabenverteilung und die Vereinbarung zur Auftragsverarbeitung. Diese Erklärung ersetzt weder diese Vereinbarung noch die Datenschutzhinweise des Kunden.

3. Website, Auslieferung und Sicherheit

Beim Abruf unserer Seiten verarbeiten unsere Server Ihre IP-Adresse und technische Angaben zur Anfrage, insbesondere Zeitpunkt, angeforderte Adresse, HTTP-Methode sowie vom Browser übermittelte Verbindungs- und Browserinformationen. Die Server verarbeiten außerdem den Antwortstatus. Dies ermöglicht die Auslieferung der Website, die Erkennung von Fehlern und den Schutz vor unberechtigten Zugriffen und Angriffen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unsere berechtigten Interessen sind ein funktionsfähiges Angebot, die Sicherheit unserer Systeme und die Aufklärung von Störungen. Unsere Löschregeln begrenzen die Aufbewahrung normaler technischer Protokolle auf sieben Tage. Die Regeln für einzelne Datenarten und Ausnahmen beschreibt Abschnitt 10.

Schriften, Logos und Stylesheets der Website werden von uns selbst ausgeliefert. Die öffentlichen Informationsseiten enthalten keine Analyse- oder Werbetracker und laden keine Schriften von Google Fonts. Externe Links öffnen Angebote des jeweiligen Anbieters; die Verarbeitung auf diesen Angeboten richtet sich nach dessen Datenschutzhinweisen.

4. Cookies und lokale Einstellungen

Für die Anmeldung und eine von Ihnen gewählte Darstellung verwenden wir die folgenden Speichermechanismen auf d0.eu. Sie dienen nicht der werblichen Wiedererkennung über andere Websites hinweg.

d0-theme · lokaler Browserspeicher

Speichert nach Ihrer Auswahl „hell“ oder „dunkel“. Es ist kein automatisches Ablaufdatum gesetzt. Sie können den Wert durch eine neue Auswahl ändern oder durch Löschen der Websitedaten in Ihrem Browser entfernen. Ohne gespeicherte Auswahl verwenden wir die Farbpräferenz Ihres Browsers.

__Host-d0-oidc-flow · Anmelde-Cookie

Ordnet einen von Ihnen gestarteten Anmeldevorgang sicher zu und schützt dessen Rückleitung. Es enthält verschlüsselte technische Zustandsdaten, läuft nach höchstens fünf Minuten ab und wird beim Verarbeiten der Rückleitung entfernt.

__Host-d0-bff-session · Sitzungs-Cookie

Enthält eine zufällige Kennung zur Zuordnung Ihrer serverseitigen Sitzung. Die Gültigkeit endet spätestens mit dem ursprünglichen Ablauf der Anmeldung, nach dem aktuellen Anmeldeverfahren innerhalb von höchstens 24 Stunden. Bei erfolgreicher Abmeldung wird es entfernt. Browser-Skripte können dieses Cookie nicht auslesen.

Soweit das Speichern oder Auslesen für die ausdrücklich angeforderte Anmeldung bzw. die gewählte Darstellung unbedingt erforderlich ist, erfolgt es auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG. Die Verarbeitung personenbezogener Daten zur Kontonutzung richtet sich nach dem folgenden Abschnitt; Sicherheitszwecke beruhen auf Art. 6 Abs. 1 lit. f DSGVO. Löschen oder blockieren Sie notwendige Anmelde-Cookies, kann eine erneute Anmeldung erforderlich oder die Anmeldung nicht möglich sein.

Der Identitätsdienst verwendet zusätzlich __Host-d0-session zur Zuordnung seiner Anmeldung und __Host-d0-session-csrf zum Schutz vor fremd ausgelösten Aktionen. Beide sind auf höchstens 24 Stunden begrenzt. Weitere kurzlebige Cookies ordnen die Passkey-Anmeldung, E-Mail-Verifikation und Passkey-Registrierung zu und schützen deren einzelne Schritte. Ihre technische Laufzeit beträgt höchstens fünf Minuten. Diese Zustände dienen den von Ihnen gestarteten Identitätsvorgängen und ihrem Missbrauchsschutz.

Bei einer Organisationseinladung hält __Host-d0-invitation deren Zuordnung über Registrierung und Anmeldung hinweg für höchstens sieben Tage vor. Das Cookie allein gewährt keinen Zugriff auf die Organisation; dafür werden die Einladung und Ihre bestätigte E-Mail-Adresse erneut geprüft.

Die Cookies des Identitätsdienstes werden auf auth.d0.eu beziehungsweise id.d0.eu verwendet. Auf Zahlungsseiten wird die im Abschnitt „Zahlungen“ beschriebene Mollie-Komponente eingebunden.

5. Anmeldung, Konto und Organisationen

Registrierung und Identitätsprüfung erfolgen über id.d0.eu; an der Anmeldung ist auch auth.d0.eu beteiligt. Wir verarbeiten Ihre E-Mail-Adresse, die Identitätskennung, den Kontostatus sowie Zuordnungen und Berechtigungen innerhalb Ihrer Organisation. Für Passkeys werden insbesondere die Kennung und der öffentliche Schlüssel des Zugangsmittels sowie technische Authentifikator-Metadaten verarbeitet. Diese ermöglichen die Prüfung der Anmeldung und die Erkennung eines missbräuchlichen Einsatzes.

Ein gegebenenfalls verwendeter Fingerabdruck oder Gesichtsscan dient der lokalen Freigabe durch Ihr Gerät. Wir erhalten dadurch weder Ihren Fingerabdruck noch ein Gesichtsbild. Berechtigungsinformationen werden benötigt, damit Sie nur auf die für Sie freigegebenen Organisationen und Ressourcen zugreifen können.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung für einen Vertrag mit Ihnen oder von Ihnen gewünschte vorvertragliche Schritte erforderlich ist. Handeln Sie für ein Unternehmen, stützen wir die Verwaltung Ihrer geschäftlichen Zugriffs- und Kontaktdaten auf Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist die sichere Durchführung der Geschäftsbeziehung mit dieser Organisation. Missbrauchsschutz und Prüfung von Zugriffsrechten beruhen ebenfalls auf Art. 6 Abs. 1 lit. f DSGVO.

6. Kontakt, Support und Projektarbeit

Unsere Kontaktseite öffnet Ihr E-Mail-Programm. Sie übermittelt selbst kein Kontaktformular. Wenn Sie uns schreiben, verarbeiten wir Absender- und Kontaktdaten, Betreff, Nachrichteninhalt, Anhänge sowie die zur Zustellung notwendigen technischen Daten. Unsere Mailserver und Postfächer betreiben wir auf unserer eigenen Infrastruktur in Deutschland. Zugriff auf die Support- und Datenschutzpostfächer haben Gregor Bigalke und Maximilian Arzberger.

Bei telefonischen Anfragen verarbeiten wir Ihre Rufnummer, soweit sie übermittelt wird, und die von Ihnen mitgeteilten Kontakt- und Sachangaben, soweit dies für die Bearbeitung Ihres Anliegens erforderlich ist.

Wir verwenden diese Daten, um Anfragen zu beantworten, Angebote zu erstellen, Support zu leisten und vereinbarte Leistungen durchzuführen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei eigenen Vertrags- oder vorvertraglichen Anliegen. Bei Anfragen für ein Unternehmen oder allgemeinen Rückfragen gilt Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist eine sachgerechte Kommunikation und Betreuung unserer Geschäftskontakte.

Bei Softwareentwicklung, Migrationen und Sicherheitsprüfungen können zusätzlich Systemdaten, Protokolle, Nutzerkennungen und Prüfbelege aus den beauftragten Systemen betroffen sein. Der Umfang richtet sich nach dem konkreten Auftrag. Soweit wir dabei im Auftrag des Kunden dessen personenbezogene Daten verarbeiten, gelten dessen Weisungen und die dafür getroffenen Datenschutzvereinbarungen. Bitte senden Sie Zugangsdaten oder personenbezogene Prüfbelege nur über den dafür vereinbarten Übermittlungsweg.

7. Domains, DNS, Cloud-Ressourcen und devacc

Domains und DNS: Für Verfügbarkeitsabfragen und Bestellungen verarbeiten wir den gewünschten Domainnamen. Zur Registrierung und Verwaltung kommen Inhaber- und Kontaktdaten wie Name, Organisation, Anschrift, E-Mail-Adresse und Telefonnummer sowie Bestell- und Statusdaten hinzu. Bei Transfers verarbeiten wir den erforderlichen Transfercode. DNS-Einträge verarbeiten wir zur Veröffentlichung der von Ihnen konfigurierten Namensauflösung; die darin enthaltenen Werte sind im öffentlichen DNS abrufbar.

Für die Registrierung werden erforderliche Daten an den eingebundenen Registrar und die für die Domainendung zuständige Registry übermittelt. Unsere technische Anbindung nutzt Openprovider, eine Marke der Hosting Concepts B.V. in den Niederlanden. Welche Angaben dort weitergegeben, aufbewahrt oder über WHOIS/RDAP zugänglich gemacht werden, richtet sich auch nach der Domainendung und den einschlägigen Registrierungsregeln. Informationen zu den Registrierungs- und Datenschutzregeln stellt Openprovider in seinen Richtlinien für Domainregistrierungen bereit. Auskunft zu den Empfängern einer konkreten Domain erhalten Sie auch unter abuse@d0.eu.

Kubernetes und Object Storage: Wir verarbeiten Organisations- und Ressourcenkennungen, Konfigurationen, Berechtigungen, Bereitstellungs- und Statusdaten sowie Daten, die zur Abrechnung der vereinbarten Leistung erforderlich sind. Die Verarbeitung personenbezogener Inhalte innerhalb Ihrer Workloads oder gespeicherten Objekte richtet sich nach dem jeweiligen Leistungs- und Auftragsverarbeitungsverhältnis.

devacc: Die Nutzung umfasst insbesondere Mandanten- und Zugriffszuordnungen, Buchungseinträge, Belege und E-Rechnungsdaten. Diese Inhalte können personenbezogene Daten Ihrer Geschäftspartner enthalten. Soweit Sie die Zwecke und Mittel dieser Verarbeitung bestimmen und wir sie nach Ihren Weisungen ausführen, bleiben Sie hierfür verantwortlich. Unsere eigenen Kontoverwaltungs-, Support- und Abrechnungsdaten sind davon getrennt zu betrachten.

Art. 6 Abs. 1 lit. b DSGVO gilt, soweit die Verarbeitung für einen Vertrag mit Ihnen oder vorvertragliche Schritte auf Ihre Anfrage erforderlich ist. Für die Verwaltung geschäftlicher Ansprechpartner und Berechtigungen gilt das in Abschnitt 5 beschriebene berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO. Gesetzlich erforderliche Aufbewahrung erfolgt nach Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit der jeweiligen Aufbewahrungsvorschrift. Diese Grundlagen ersetzen keine Rechtsgrundlage des Kunden für dessen eigene Inhaltsdaten.

8. Zahlungen mit Mollie

Zur Zahlungsabwicklung verwenden wir Mollie. Dabei werden insbesondere Bestellbezug, Zahlbetrag, Währung, Zahlerangaben und technische Zahlungsinformationen verarbeitet. Auf Kartenzahlungsseiten lädt Ihr Browser eine Komponente von Mollie. Die dort eingegebenen Kartendaten gehen unmittelbar an Mollie; d0 erhält einen kurzlebigen Zahlungstoken und Statusinformationen. Bank- oder 3-D-Secure-Bestätigungen können Sie zu Mollie oder Ihrer Bank weiterleiten. Mollie verarbeitet dabei auch Verbindungs- und Gerätedaten.

Für vereinbarte wiederkehrende Zahlungen verarbeiten wir außerdem die Zahlungsautorisierung und die zugehörigen Kunden-, Mandats- und Transaktionsreferenzen. Unsere Verarbeitung dient der Durchführung und Zuordnung der Zahlung auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO bzw. bei Unternehmensansprechpartnern Art. 6 Abs. 1 lit. f DSGVO. Gesetzliche Nachweispflichten beruhen auf Art. 6 Abs. 1 lit. c DSGVO.

Mollie verarbeitet Zahlungsdaten für eigene Zahlungs-, Sicherheits- und gesetzliche Compliance-Zwecke als eigener Verantwortlicher. Angaben zu diesen Zwecken, Empfängern, Speicherdauern und möglichen internationalen Übermittlungen finden Sie in der Datenschutzerklärung von Mollie.

9. Empfänger und Verarbeitungsorte

Je nach Vorgang können die mit Kundenbetreuung, technischem Betrieb und Abrechnung befassten Personen sowie Hosting- und Infrastrukturunternehmen Daten erhalten. Bei Domainleistungen kommen Registrar und Registry, bei Zahlungen Mollie und die beteiligten Zahlungsinstitute hinzu. Gesetzlich erforderliche Offenlegungen können gegenüber zuständigen Behörden oder Gerichten erfolgen.

Unsere Server, internen Systeme und selbst betriebenen Maildienste werden in Deutschland gehostet. Infrastrukturprovider ist Netrouting B.V., Niederlande. Die Verarbeitung durch Registrar, Registries und Zahlungsdienste richtet sich nach dem jeweiligen Vorgang und kann andere Verarbeitungsorte einschließen.

Bei internationalen Domainendungen können die zuständige Registry und weitere am Registrierungsverfahren beteiligte Stellen außerhalb des Europäischen Wirtschaftsraums liegen. Auch Mollie beschreibt internationale Verarbeitungen in seinen Datenschutzhinweisen. Für Übermittlungen in Drittländer gelten die Anforderungen der Art. 44 ff. DSGVO: In Betracht kommen insbesondere ein Angemessenheitsbeschluss der Europäischen Kommission oder geeignete Garantien wie Standardvertragsklauseln. Auskünfte zur jeweiligen Übermittlung und eine Kopie der einschlägigen Garantien können Sie unter abuse@d0.eu anfordern.

10. Speicherdauer und Löschung

Die Laufzeiten des Browserspeichers auf d0.eu sind in Abschnitt 4 angegeben. Für die übrigen Daten richten sich die Aufbewahrungsfristen nach dem Verarbeitungszweck, gesetzlichen Pflichten und den folgenden Löschregeln. Eine längere Aufbewahrung betrifft nur die Daten, die für den jeweiligen Ausnahmezweck erforderlich sind.

• Technische Protokolle: Für normale Website-, Anwendungs-, Netzwerk- und Mailzustellprotokolle gilt eine Aufbewahrungsfrist von höchstens sieben Tagen ab Erhebung.
• Routineanfragen: Erledigte Kontakt- und Supportanfragen werden spätestens sechs Monate nach der letzten inhaltlichen Bearbeitung gelöscht, soweit sie nicht für einen fortbestehenden Vertrag, eine gesetzliche Aufbewahrung oder einen konkreten Rechtsanspruch benötigt werden.
• Kontodaten: Nach Beendigung des Kontos werden nicht mehr erforderliche Profil- und Zugriffszuordnungen unverzüglich, spätestens innerhalb von 30 Tagen gelöscht. Eine erforderliche Vertragsabwicklung und die unten genannten Aufbewahrungspflichten betreffen nur die jeweils dafür benötigten Daten. Berechtigte Löschanträge werden ohne unangemessene Verzögerung bearbeitet; die Frist ist keine Wartefrist.
• Kundeninhalte außerhalb einer Auftragsverarbeitung: Nicht mehr erforderliche Inhalte werden nach Ende des Speicherzwecks unverzüglich, spätestens innerhalb von 30 Tagen gelöscht. Bei einem Anbieterwechsel gehört hierzu zunächst die erforderliche Übergangsphase und anschließend eine Abruffrist von mindestens 30 Tagen für exportierbare Daten. Eine Kündigung löst deshalb nicht automatisch eine sofortige Löschung aus. Nach Ablauf der Abruffrist löschen wir die hierfür vorgehaltenen Inhalte ohne zusätzliche allgemeine Wartefrist. Eine weitere Speicherung beschränkt sich auf gesetzlich erforderliche Daten oder konkrete Rechtsansprüche.
• Sicherungskopien: Soweit personenbezogene Daten in Sicherungskopien enthalten sind, gilt für jede Kopie eine Höchstfrist von 30 Tagen ab Erstellung. Bereits aus aktiven Systemen gelöschte Daten dürfen darin bis zum Ablauf dieser Frist verbleiben, sind jedoch von der laufenden Nutzung ausgeschlossen. Bei einer Wiederherstellung sind erfolgte Löschungen erneut anzuwenden. Bei einem Anbieterwechsel richten sich Abruf und abschließende Löschung nach den Vertragsbedingungen und der gegebenenfalls vereinbarten Auftragsverarbeitung. Nach Ende der Abruffrist dürfen keine neuen Sicherungen der zu löschenden Inhalte angelegt werden.
• Konkrete Vorfälle und Rechtsansprüche: Benötigte Belege werden getrennt und zugriffsbeschränkt aufbewahrt. Zweck und Erforderlichkeit werden bei Abschluss des Vorgangs und mindestens vierteljährlich geprüft. Sobald der Nachweiszweck entfällt und keine Aufbewahrungspflicht entgegensteht, werden sie gelöscht. Dies verlängert nicht die Speicherung aller übrigen Protokolle oder Kundendaten.

Gesetzliche Aufbewahrungspflichten unterscheiden nach Dokumentart: Nach § 257 HGB und § 147 AO sind Buchungsbelege grundsätzlich acht Jahre, Handels- und Geschäftsbriefe sechs Jahre und die dort genannten Bücher bzw. Jahresabschlüsse zehn Jahre aufzubewahren. Der Beginn richtet sich nach dem Ende des jeweiligen maßgeblichen Kalenderjahres; gesetzliche Verlängerungen, etwa wegen offener steuerlicher Verfahren, bleiben zu beachten. Diese Fristen gelten für die jeweils aufbewahrungspflichtigen Unterlagen und rechtfertigen keine pauschale Speicherung sämtlicher Konto- oder Nutzungsdaten für denselben Zeitraum.

Für Daten, die wir ausschließlich im Auftrag eines Kunden verarbeiten, richten sich Rückgabe und Löschung nach dessen Weisungen, der Datenschutzvereinbarung und entgegenstehenden gesetzlichen Pflichten. Das gilt auch für Belege und Buchungsdaten in einem devacc-Mandanten. Die eigenverantwortliche Aufbewahrung durch Zahlungsdienste und Registrare richtet sich nach deren eigenen Pflichten und Datenschutzhinweisen.

11. Ihre Rechte

• Auskunft über die Verarbeitung Ihrer personenbezogenen Daten und eine Kopie nach Art. 15 DSGVO.
• Berichtigung unrichtiger und Vervollständigung unvollständiger Daten nach Art. 16 DSGVO.
• Löschung nach Art. 17 DSGVO, soweit die Voraussetzungen vorliegen und keine Ausnahme greift.
• Einschränkung der Verarbeitung unter den Voraussetzungen des Art. 18 DSGVO.
• Datenübertragbarkeit nach Art. 20 DSGVO bei den dort erfassten automatisierten Verarbeitungen auf Grundlage einer Einwilligung oder eines Vertrags.

Widerspruch: Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, können Sie nach Art. 21 DSGVO aus Gründen, die sich aus Ihrer besonderen Situation ergeben, widersprechen. Wir verarbeiten die Daten dann nicht weiter, sofern wir keine zwingenden schutzwürdigen Gründe nachweisen können, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dient. Einer Verarbeitung für Direktwerbung können Sie jederzeit ohne Angabe solcher Gründe widersprechen.

Soweit eine Verarbeitung auf Ihrer Einwilligung beruht, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt. Eine Zahlungsautorisierung ist nicht automatisch eine datenschutzrechtliche Einwilligung in sämtliche Verarbeitungsvorgänge.

Richten Sie Ihre Anfrage an abuse@d0.eu. Falls berechtigte Zweifel an Ihrer Identität bestehen, können wir für die Bearbeitung erforderliche zusätzliche Informationen anfordern. Bitte übersenden Sie nicht vorsorglich Ausweiskopien oder Zugangsdaten.

Sie können sich nach Art. 77 DSGVO bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere am Ort Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder eines vermuteten Verstoßes. Für unseren Unternehmenssitz ist die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg zuständig.

12. Erforderliche Angaben und automatisierte Entscheidungen

Der Besuch der Informationsseiten erfordert kein Kundenkonto. Technische Verbindungsdaten sind für deren Auslieferung erforderlich. Für Registrierung, Domainaufträge, Berechtigungen und Zahlungen benötigen wir die jeweils dafür erforderlichen Angaben; ohne diese können wir das betreffende Konto oder die gewünschte Leistung nicht bereitstellen. Freiwillige Angaben in Anfragen können Sie weglassen.

Unsere Systeme prüfen Anmeldungen, Berechtigungen, Ressourcengrenzen und Zahlungsstatus automatisch. Diese Prüfungen bestimmen, ob ein Zugriff oder eine angeforderte technische Aktion ausgeführt werden kann. Bei einer aus Ihrer Sicht unzutreffenden Ablehnung können Sie uns unter support@d0.eu um Prüfung bitten. Zahlungsanbieter führen eigene Sicherheits- und Zahlungsprüfungen durch; Mollie erläutert diese Verarbeitung in seinen Datenschutzhinweisen.