Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf BuildBioz ist:

Name

Jan Kerber

Anschrift

c/o IP-Management#8388
Ludwig-Erhard-Str. 18, 20459 Hamburg
Deutschland

E-Mail (auch für Datenschutzanfragen)

support@buildbioz.xyz

2. Ihre Rechte

Sie haben uns gegenüber jederzeit folgende Rechte:

• Auskunft über die zu Ihnen gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Basis berechtigter Interessen (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Ausübung genügt eine Nachricht an support@buildbioz.xyz. Unabhängig davon steht Ihnen ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu (Art. 77 DSGVO), in der Regel bei der Behörde Ihres Wohnsitzes oder unseres Sitzes.

3. Hosting und Infrastruktur

Wir betreiben die Server von BuildBioz selbst. Die Hardware steht in einem Rechenzentrum in Deutschland; der Anbieter stellt Stellfläche, Strom und Netzanbindung bereit und hat keinen Zugriff auf die Inhalte unserer Systeme.

• Rechenzentrum und Netz: dataforest GmbH, Taunusstr. 52, 65830 Kriftel, Deutschland, Datenschutzhinweise
• Vergabe der IP-Adressen: HASEWERK UG (haftungsbeschränkt), Albert-Einstein-Str. 1, 49076 Osnabrück, Deutschland, Datenschutzhinweise

Zusätzlich setzen wir folgende Dienste ein:

• DNS: Die Namensauflösung der Domain buildbioz.xyz erfolgt über Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA. Ihre Aufrufe unserer Seiten laufen nicht über Cloudflare, sondern direkt zu unseren Servern. Datenschutzhinweise
• E-Mail-Postfächer und Domain: STRATO GmbH, Otto-Ostrowski-Str. 7, 10249 Berlin, Deutschland. Datenschutzhinweise
• E-Mail-Versand der Website (z. B. Passwort-Reset): OVH SAS, 2 rue Kellermann, 59100 Roubaix, Frankreich. Dabei werden Empfängeradresse und Inhalt der E-Mail verarbeitet. Datenschutzhinweise
• TLS-Zertifikate: Let's Encrypt (Internet Security Research Group, USA). Dabei werden nur Domainnamen übermittelt, keine Daten von Besucherinnen und Besuchern. Datenschutzhinweise

4. Server-Logfiles

Beim Aufruf der Seiten werden automatisch folgende Zugriffsdaten protokolliert: IP-Adresse und Port, Datum und Uhrzeit, aufgerufener Host, Methode und Pfad (einschließlich Parametern in der Adresse), Protokoll, HTTP-Statuscode, übertragene Datenmenge, Bearbeitungsdauer sowie die verwendete TLS-Version. Browserkennung (User-Agent) und Herkunftsseite (Referrer) werden nicht protokolliert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im technisch fehlerfreien Betrieb und in der Abwehr von Angriffen. Die Zugriffsprotokolle werden nach 14 Tagen gelöscht; das gilt auch für die Kopie in unserem internen Monitoring.

Technische Protokolle unserer Anwendung (Fehler- und Betriebsmeldungen, in Einzelfällen mit gekürzter E-Mail-Adresse) werden in ihrer Größe begrenzt und fortlaufend überschrieben, in der Regel nach wenigen Wochen.

Angriffserkennung

Zum Schutz vor Angriffen werten wir die Zugriffsdaten mit der Software CrowdSec aus. Fällt eine IP-Adresse durch typische Angriffsmuster auf, wird sie für einige Stunden gesperrt oder muss eine Sicherheitsabfrage bestehen. Erkannte Vorfälle speichern wir 7 Tage. IP-Adresse, Art des Angriffs und Zeitpunkt werden an die CrowdSec SAS (Frankreich) übermittelt, die daraus eine gemeinsame Sperrliste bildet. Datenschutzhinweise

Die Sicherheitsabfrage wird nur auffällig gewordenen Adressen angezeigt und stammt von Cloudflare Turnstile (Cloudflare, Inc., USA); dabei werden Daten Ihres Browsers an Cloudflare übermittelt. Rechtsgrundlage ist jeweils Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Sicherheit unserer Systeme.

5. Datensicherung

Wir sichern unsere Server täglich. Aufbewahrt werden die Sicherungen der letzten 7 Tage, 4 Wochen und 3 Monate. Gelöschte Daten können daher bis zu etwa 3 Monate in Sicherungen enthalten sein; die Änderungsprotokolle der Datenbank halten sie bis zu 30 Tage. Die Sicherungen liegen auf unseren eigenen Systemen in Deutschland, sind nur für uns zugänglich und werden ausschließlich zur Wiederherstellung nach einem Ausfall verwendet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Art. 32 DSGVO.

6. Umfang der Verarbeitung

Wir verarbeiten personenbezogene Daten nur, soweit dies erforderlich ist. Das betrifft insbesondere die Vertragsdurchführung der BuildBioz-Dienste, die Zahlungsabwicklung und die Kundenkommunikation. Verarbeitet werden dabei Name, E-Mail-Adresse, Zahlungsdaten, IP-Adresse sowie Server- und Kontoinformationen.

7. Registrierung und Nutzerkonto

Für ein Konto verarbeiten wir Benutzername, E-Mail-Adresse und Passwort. Das Passwort wird ausschließlich als kryptografischer Hash gespeichert und ist für uns nicht im Klartext einsehbar. Hinzu kommen der Kontostatus (z. B. Pro oder Business) sowie die Rolle im System. Nutzen Sie die Zwei-Faktor-Anmeldung, speichern wir das zugehörige Geheimnis verschlüsselt und die Wiederherstellungscodes als Hash, bis Sie die Funktion abschalten.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Daten werden für die Dauer des Kontos gespeichert. Löschen Sie Ihr Konto, entfernen wir sie sofort; in Sicherungen verbleiben sie bis zu 3 Monate (Abschnitt 5).

Passwort zurücksetzen

Fordern Sie einen Reset an, versenden wir eine E-Mail mit einem Link, der 1 Stunde gültig ist. Aus Sicherheitsgründen geben wir dabei nicht preis, ob zu einer eingegebenen Adresse ein Konto existiert.

Schutz vor Missbrauch

Um Anmeldeversuche, Registrierungen und Formulare gegen Missbrauch zu begrenzen, speichern wir IP-Adresse beziehungsweise E-Mail-Adresse und Zeitpunkt der Anfrage für höchstens 24 Stunden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

8. Öffentliche Profilseite

Inhalte, die Sie in Ihrem Profil hinterlegen - Benutzername, Bio, Statusnachricht, Links, Farben, Avatar-, Banner- und Hintergrundmedien sowie optionale Module wie Discord-Widgets, Gameserver oder Streaming-Verknüpfungen - sind über Ihre öffentliche URL für jedermann abrufbar und können von Suchmaschinen erfasst werden.

Sie entscheiden selbst, welche Angaben Sie veröffentlichen. Veröffentlichen Sie keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO und keine Daten Dritter ohne deren Einwilligung. Rechtsgrundlage für die Bereitstellung ist Art. 6 Abs. 1 lit. b DSGVO. Hochgeladene Medien löschen wir zusammen mit dem Konto.

Aufrufzähler und Likes

Für jede öffentliche Profilseite zählen wir Aufrufe und Likes. Diese Zähler sind aggregiert und dienen der Anzeige gegenüber der Profilinhaberin oder dem Profilinhaber. Damit ein Aufruf innerhalb kurzer Zeit nicht mehrfach zählt, speichern wir einen nicht umkehrbaren Prüfwert aus IP-Adresse, Browserkennung und Profilseite für 30 Minuten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Damit ein Like einmal und nicht mehrfach zählt und Sie ihn zurücknehmen können, speichern wir zu jedem Like einen Prüfwert. Dieser wird aus Ihrer IP-Adresse, Ihrer Browserkennung und der Profilseite mit einem geheimen Schlüssel berechnet (HMAC-SHA-256); die Ausgangswerte selbst sind darin nicht enthalten und lassen sich daraus nicht zurückrechnen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse ist die korrekte Zählung.

Nur wenn Sie im Cookie-Banner dem Zweck Statistik zugestimmt haben, speichern wir zusätzlich zu einem Like Ihre IP-Adresse, Ihre vollständige Browserkennung, die daraus abgeleitete Geräte- und Browserklasse, die Herkunftsseite und den Zeitpunkt Ihrer Einwilligung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO. Die Einwilligung ist freiwillig: ohne sie zählt Ihr Like genauso. Sie können sie jederzeit über den Link „Cookies“ im Footer mit Wirkung für die Zukunft widerrufen; bereits gespeicherte Angaben löschen wir auf Anfrage (Abschnitt 2).

Prüfwert und Zusatzangaben bleiben gespeichert, bis Sie den Like zurücknehmen, die Profilinhaberin oder der Profilinhaber die Zähler zurücksetzt oder das Profil gelöscht wird.

Newsletter-Anmeldungen auf Profilseiten

Profilinhaberinnen und Profilinhaber können auf ihrer Seite eine Newsletter-Anmeldung anbieten. Tragen Sie dort Ihre E-Mail-Adresse ein, speichern wir sie für die jeweilige Profilinhaberin oder den jeweiligen Profilinhaber, bis diese sie löschen oder das Profil gelöscht wird. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie gegenüber der Profilinhaberin oder dem Profilinhaber jederzeit widerrufen können.

Eingebettete Inhalte Dritter

Profilseiten können Inhalte folgender Anbieter einbetten. Sie werden erst geladen, wenn Sie im Cookie-Banner dem Zweck Externe Inhalte zugestimmt oder den einzelnen Inhalt per Klick freigegeben haben (Art. 6 Abs. 1 lit. a DSGVO). Beim Laden erhält der Anbieter Ihre IP-Adresse und Browserdaten und kann Cookies setzen.

• YouTube (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland), im erweiterten Datenschutzmodus (youtube-nocookie.com), Datenschutzhinweise
• Spotify AB, Regeringsgatan 19, 111 53 Stockholm, Schweden, Datenschutzhinweise
• SoundCloud Global Limited & Co. KG, Rheinsberger Str. 76/77, 10115 Berlin, Deutschland, Datenschutzhinweise
• Discord-Widget (Discord Netherlands BV, Schiphol Boulevard 195, 1118 BG Schiphol, Niederlande), Datenschutzhinweise
• Steam-Widget (Valve Corporation, P.O. Box 1688, Bellevue, WA 98009, USA). Dabei werden Daten in die USA übermittelt; Valve ist nach dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO), Datenschutzhinweise

9. Kontakt- und Supportformular

Wenn Sie uns über das Kontakt- oder Supportformular schreiben, verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse, den Betreff, den Inhalt Ihrer Nachricht und Ihre IP-Adresse, um die Anfrage zu bearbeiten und zu beantworten. Wir speichern die Anfrage in unserer Datenbank und benachrichtigen unser Team gleichzeitig per E-Mail an unser Postfach (STRATO, Abschnitt 3) und in einem nicht öffentlichen Kanal unseres Discord-Servers (Discord Netherlands BV; dabei ist eine Übermittlung an Discord Inc. in den USA möglich).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage der Anbahnung oder Durchführung eines Vertrags dient, im Übrigen Art. 6 Abs. 1 lit. f DSGVO aufgrund unseres berechtigten Interesses an der Beantwortung von Anfragen. Das Formular setzt keine Cookies und bindet kein Captcha ein; zur Abwehr automatisierter Einsendungen werden lediglich ein verstecktes Formularfeld und der Zeitpunkt des Seitenaufrufs ausgewertet.

Die IP-Adresse entfernen wir nach 7 Tagen; sie dient nur der Abwehr von Missbrauch. Die Anfrage selbst löschen wir automatisch nach 12 Monaten, die Kopien im Postfach und im Discord-Kanal spätestens nach derselben Frist.

10. Meldungen von Inhalten

Über die Meldefunktion können Sie uns Profile melden. Verarbeitet werden das gemeldete Profil, der Meldegrund, Ihre Beschreibung und - sofern Sie ihn freiwillig angeben - Ihr Kontakt für Rückfragen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO sowie unsere Pflichten als Hostingdiensteanbieter nach Art. 16 Digital Services Act. Meldungen bleiben gespeichert, bis das gemeldete Profil gelöscht wird, damit wiederholte Verstöße erkennbar bleiben.

11. Zahlungsdienstleister Stripe

Für Zahlungen nutzen wir den Dienstleister Stripe. Anbieter für Nutzer im EWR ist die Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland. Stripe verarbeitet personenbezogene Daten in eigener Verantwortung.

Beim Checkout werden Sie auf eine Seite von Stripe weitergeleitet. Ihre vollständigen Kartendaten werden dort direkt von Stripe erhoben; wir erhalten sie zu keinem Zeitpunkt. An uns zurückgemeldet werden Zahlungsstatus, Tarif und Vertragslaufzeit.

Vor dem Checkout bestätigen Sie, dass wir vor Ablauf der Widerrufsfrist mit der Leistung beginnen. Als Nachweis dieser Erklärung speichern wir ihren Wortlaut, den Zeitpunkt, Ihre IP-Adresse und Ihre Browserkennung für die Dauer des Kontos (Art. 6 Abs. 1 lit. c und f DSGVO).

Rechtsgrundlage der Zahlungsabwicklung ist Art. 6 Abs. 1 lit. b DSGVO. Im Rahmen der Zahlung können Daten in Drittländer (z. B. die USA) übermittelt werden. Es gelten ergänzend die Datenschutzhinweise von Stripe unter stripe.com/de/privacy.

Partnerprogramm und Empfehlungen

Kommen Sie über den Link eines Partners (/r/CODE oder ?ref=CODE), speichern wir dessen Empfehlungscode bei der Registrierung oder, falls Ihr Konto noch keinen hat, beim ersten Kauf an Ihrem Konto. Solange der Code aktiv ist, erhalten Sie darüber den Rabatt des Partners, und der Partner erhält eine Provision auf Ihre Zahlungen. Dazu verarbeiten wir Rechnungsbetrag, Währung und Zahlungszeitpunkt. Den Code können Sie jederzeit in den Kontoeinstellungen ändern oder entfernen; sonst bleibt er bis zur Löschung des Kontos gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Rabatt) und Art. 6 Abs. 1 lit. f DSGVO (Abrechnung der Provision mit dem Partner).

Provisionen zahlen wir über Stripe Connect aus. Partner legen dafür bei Stripe ein eigenes Konto an; die dort angegebenen Daten erhebt Stripe in eigener Verantwortung.

12. Discord und Anmeldung mit Google

Wir nutzen Discord (Discord Netherlands BV, Schiphol Boulevard 195, 1118 BG Schiphol, Niederlande) als Support- und Kommunikationsplattform für BuildBioz. Bei der Nutzung von Discord gilt die Datenschutzerklärung von Discord.

Sie können sich wahlweise über Discord anmelden. Dabei fragen wir bei Discord ausschließlich die Berechtigungen identify und email ab und verarbeiten die folgenden Daten, um Ihr Nutzerkonto anzulegen oder einem bestehenden Konto zuzuordnen:

• Ihre Discord-ID (dauerhaft gespeichert, sie verknüpft beide Konten miteinander)
• Ihren Discord-Benutzernamen
• Ihr Avatarbild
• Ihre bei Discord hinterlegte E-Mail-Adresse samt deren Bestätigungsstatus

Die E-Mail-Adresse dient der Zuordnung zu einem bereits bestehenden Konto. Ist sie bei Discord nicht bestätigt, lehnen wir die Anmeldung ab, damit niemand über eine lediglich behauptete Adresse Zugriff auf ein fremdes Konto erhält. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsverhältnisses). Ein Zugriffstoken von Discord speichern wir nicht; es wird ausschließlich einmalig zum Abruf der genannten Daten verwendet.

Anmeldung mit Google

Sie können sich wahlweise auch über Ihr Google-Konto anmelden. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Die Anmeldung findet nur statt, wenn Sie sie selbst auswählen. Dabei fragen wir bei Google ausschließlich die Berechtigungen openid, email und profile ab und verarbeiten die folgenden Daten, um Ihr Nutzerkonto anzulegen oder einem bestehenden Konto zuzuordnen:

• Ihre Google-Konto-ID (dauerhaft gespeichert, sie verknüpft beide Konten miteinander)
• Ihre bei Google hinterlegte E-Mail-Adresse samt deren Bestätigungsstatus
• Ihren Namen, aus dem bei einem neuen Konto der Benutzername abgeleitet wird
• Ihr Profilbild, das bei einem neuen Konto als Avatar übernommen wird; das Bild selbst bleibt bei Google gespeichert und wird von dort geladen

Die E-Mail-Adresse dient der Zuordnung zu einem bereits bestehenden Konto. Ist sie bei Google nicht bestätigt, lehnen wir die Anmeldung ab. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsverhältnisses). Ein Zugriffstoken von Google speichern wir nicht; es wird ausschließlich einmalig zum Abruf der genannten Daten verwendet. Es gelten ergänzend die Datenschutzhinweise von Google.

13. Cookies und lokale Speicherung

Wir binden keine Tracking-Dienste Dritter ein. Bis auf das Empfehlungs-Cookie dienen die eingesetzten Speichervorgänge ausschließlich der technischen Funktionalität und der Nutzerverwaltung und sind für den ausdrücklich gewünschten Dienst unbedingt erforderlich, sodass keine Einwilligungspflicht nach § 25 Abs. 1 TDDDG besteht (§ 25 Abs. 2 Nr. 2 TDDDG). Einwilligungspflichtig sind allein die eingebetteten Inhalte Dritter, die Statistik zu Likes (Abschnitt 8) und das Empfehlungs-Cookie (Abschnitt 11); darüber entscheiden Sie im Cookie-Banner.

Session-Cookie

Signiertes Cookie zur Aufrechterhaltung Ihrer Anmeldung. Es wird ausschließlich nach dem Login gesetzt, ist httpOnly und sameSite=lax, im Produktivbetrieb zusätzlich secure, und läuft nach 30 Tagen ab. Beim Logout wird es gelöscht.

bioz_ref (Cookie, nur mit Einwilligung)

Speichert den Empfehlungscode eines Partners, über dessen Link Sie gekommen sind, damit eine Registrierung oder ein Kauf in den folgenden Wochen diesem Partner zugeordnet wird. Es wird nur gesetzt, wenn Sie im Cookie-Banner dem Zweck Partner-Empfehlungen zugestimmt haben, ist httpOnly und sameSite=lax und läuft nach 90 Tagen ab. Gelöscht wird es mit dem Widerruf der Einwilligung, nach der Registrierung, beim Ändern des Empfehlungscodes in den Kontoeinstellungen und sobald der Bezahlvorgang gestartet ist. Rechtsgrundlage ist Ihre Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO).

bioz:consent (Local Storage)

Speichert Ihre Entscheidung aus dem Cookie-Banner in Ihrem Browser, damit wir Sie nicht bei jedem Besuch erneut fragen und eine Ablehnung dauerhaft beachten können. Der Wert wird nicht an uns übertragen.

bioz-lang (Local Storage)

Speichert die von Ihnen gewählte Anzeigesprache in Ihrem Browser. Der Wert wird nicht an uns übertragen und kann jederzeit über die Browsereinstellungen gelöscht werden.

14. Speicherdauer im Überblick

Personenbezogene Daten werden nur so lange gespeichert, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungsfristen bestehen.

• Konto- und Profildaten, hochgeladene Medien: bis zur Löschung des Kontos
• Server-Zugriffsprotokolle: 14 Tage
• Technische Anwendungsprotokolle: größenbegrenzt, in der Regel wenige Wochen
• Erkannte Angriffe (CrowdSec): 7 Tage
• Missbrauchsschutz bei Anmeldung und Formularen: 24 Stunden
• Prüfwert gegen doppelt gezählte Aufrufe: 30 Minuten
• Link zum Zurücksetzen des Passworts: 1 Stunde gültig
• Kontakt- und Supportanfragen: 12 Monate, die IP-Adresse 7 Tage
• Likes und Newsletter-Anmeldungen: siehe Abschnitt 8
• Meldungen: bis zur Löschung des gemeldeten Profils
• Nachweis der Erklärung zum Widerrufsrecht: für die Dauer des Kontos
• Empfehlungs-Cookie bioz_ref: 90 Tage, der Empfehlungscode am Konto bis zur Änderung oder Löschung des Kontos
• Datensicherungen: bis zu 3 Monate, Änderungsprotokolle der Datenbank 30 Tage
• Rechnungs- und Buchungsbelege: 8 Jahre nach § 147 AO, handelsrechtliche Unterlagen 10 Jahre nach § 257 HGB

15. Empfänger und Übermittlung in Drittländer

Eine Weitergabe Ihrer Daten erfolgt nur, soweit dies zur Vertragserfüllung erforderlich ist, Sie eingewilligt haben oder eine gesetzliche Verpflichtung besteht. Empfänger sind die in den Abschnitten 3, 4, 8, 9, 11 und 12 genannten Anbieter.

Einige dieser Anbieter haben ihren Sitz in den USA oder übermitteln Daten dorthin (Cloudflare, Let's Encrypt, Stripe, Discord, Google). Soweit der Empfänger nach dem EU-US Data Privacy Framework zertifiziert ist, stützt sich die Übermittlung auf den Angemessenheitsbeschluss der EU-Kommission, im Übrigen auf die Standardvertragsklauseln der EU-Kommission.

Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt.

16. Pflicht zur Bereitstellung

Die Bereitstellung von Benutzername, E-Mail-Adresse und Passwort ist für den Vertragsschluss erforderlich. Ohne diese Angaben können wir kein Konto anlegen. Alle übrigen Angaben sind freiwillig.