Datenschutzerklärung

Stand: 5. November 2026 · Version 2026-11-05

1. Überblick

EOLARO ist eine Software-as-a-Service-Anwendung, mit der Unternehmen und Organisationen die Technologien ihrer Projekte erfassen und mit öffentlichen Quellen auf bekannte Schwachstellen, das Ende des Supports (End of Life) und verfügbare Updates abgleichen. EOLARO ist im Browser unter app.eolaro.com und als Android-App nutzbar und richtet sich ausschließlich an Unternehmen und Organisationen. Auf unserer Website eolaro.com informieren wir über EOLARO, seine Funktionen und Preise.

Diese Datenschutzerklärung beschreibt, welche personenbezogenen Daten wir beim Besuch der Website eolaro.com und bei der Nutzung von EOLARO verarbeiten, zu welchen Zwecken, auf welcher Rechtsgrundlage und wie lange. Sie unterscheidet dabei zwischen Daten, für die wir selbst verantwortlich sind, und Daten, die wir im Auftrag der Organisationen verarbeiten, die EOLARO nutzen.

Kurz zusammengefasst:

• EOLARO läuft auf einem von uns selbst betriebenen Server in Wien (Österreich), dessen Datenträger vollständig verschlüsselt sind. Datenbank und Server-Software betreiben wir selbst; an den Hersteller der Software werden keine Daten übermittelt.
• Wir setzen keine Cookies oder vergleichbaren Techniken zur Wiedererkennung, Reichweitenmessung oder Werbung ein. Schriften und sonstige Ressourcen liefern wir selbst aus; Ihr Gerät baut bei der Nutzung keine Verbindungen zu Google oder anderen Drittanbietern auf – mit Ausnahme von Fehlerberichten an Sentry (Abschnitt 12) und des Bezahlvorgangs auf den Seiten von Stripe (Abschnitt 11).
• Den Abgleich mit öffentlichen Schwachstellen-Datenbanken führt unser Server durch. Dabei werden ausschließlich Paket- und Produktnamen sowie Versionsnummern übermittelt, keine personenbezogenen Daten und keine Zuordnung zu Ihrer Organisation.
• Wir verkaufen keine Daten, betreiben keine Profilbildung und nutzen Ihre Daten nicht zum Training von KI-Modellen.

2. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten nach Art. 4 Nr. 7 der Datenschutz-Grundverordnung (DSGVO) ist:

LSN-Studios – Leon Schneider
c/o Postflex #7697
Emsdettener Str. 10
48268 Greven
Deutschland

E-Mail: privacy [at] eolaro.com

Für alle Fragen zum Datenschutz und zur Ausübung Ihrer Rechte erreichen Sie uns unter dieser Adresse. Ein Datenschutzbeauftragter ist nicht benannt, da hierzu keine gesetzliche Pflicht besteht.

3. Rollen: Verantwortlicher und Auftragsverarbeiter

Wie wir datenschutzrechtlich einzuordnen sind, hängt von der Art der Daten ab.

Wir als Verantwortlicher. Für Konto- und Anmeldedaten, die Vertragsbeziehung, die Abrechnung, die Kommunikation mit Ihnen, die Sicherheit des Dienstes und die Server-Protokolle sind wir selbst Verantwortlicher. Diese Verarbeitungen beschreiben die Abschnitte 4 bis 7 sowie 11 bis 13.

Wir als Auftragsverarbeiter. Inhalte, die eine Organisation in EOLARO anlegt – Kunden, Projekte, Technologien, Findings, Zuweisungen, Integrationen und die Daten aus dem automatischen Abgleich –, verarbeiten wir im Auftrag dieser Organisation nach Art. 28 DSGVO. Verantwortlich ist insoweit die Organisation. Die Einzelheiten regelt der Vertrag zur Auftragsverarbeitung, der Bestandteil der Nutzungsbedingungen ist. Abschnitt 8 beschreibt diese Verarbeitung zu Ihrer Information.

Sind Sie Mitglied einer Organisation, entscheidet die Organisation, ob Sie Zugang erhalten und welche Rolle Sie haben. Anfragen zu den Inhalten der Organisation richten Sie bitte an die Organisation selbst; bei uns eingehende Anfragen leiten wir an sie weiter.

4. Aufruf der Website, der Anwendung und Server-Protokolle

Beim Aufruf der Website eolaro.com, der Web-App und bei jeder Anfrage an unsere Schnittstelle verarbeitet unser Server technisch notwendige Verbindungsdaten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, übertragene Datenmenge, Statuscode, Browser- und Betriebssystemkennung sowie die verweisende Seite.

Website und Web-App liegen auf unserem eigenen Server in Wien. Die Website lädt keine Inhalte von Drittanbietern, setzt keine Cookies und verwendet keine Analyse- oder Werbedienste.

Diese Daten benötigen wir, um Website und Anwendung auszuliefern, die Stabilität und Sicherheit des Dienstes zu gewährleisten und Angriffe sowie Missbrauch abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren und funktionsfähigen Betrieb. Die Protokolle werden nicht mit anderen Datenquellen zusammengeführt und nach spätestens 14 Tagen gelöscht, sofern sie nicht im Einzelfall zur Aufklärung eines Sicherheitsvorfalls länger benötigt werden.

5. Konto und Anmeldung

5.1 Anmeldung per Einmal-Code

Die Anmeldung erfolgt ohne Passwort über einen sechsstelligen Einmal-Code, den wir an Ihre E-Mail-Adresse senden. Ihre E-Mail-Adresse ist zugleich Ihre Anmeldekennung. Der Code ist 15 Minuten gültig. Stellen Sie bitte sicher, dass nur Sie Zugriff auf das Postfach haben.

5.2 Verarbeitete Daten

• E-Mail-Adresse und Name
• Zeitpunkt der Kontoerstellung und letzten Aktivität
• Sitzungen: Zeitpunkt, IP-Adresse, Browser, Betriebssystem, Gerätetyp und ein aus der IP-Adresse abgeleitetes Land. Das Land wird auf unserem Server mit einer lokalen Datenbank ermittelt; die IP-Adresse wird dafür an niemanden übermittelt.
• Sicherheitsprotokoll zu kontobezogenen Vorgängen (z. B. Anmeldung, Abmeldung, Änderung der E-Mail-Adresse) mit Zeitpunkt, IP-Adresse und Browserkennung
• Ihre Einstellungen zu Benachrichtigungen (Kategorien und Mindest-Schweregrad)

5.3 Zwecke, Rechtsgrundlagen und Speicherdauer

Wir verarbeiten diese Daten, um Ihnen Zugang zu EOLARO zu geben und den Nutzungsvertrag zu erfüllen (Art. 6 Abs. 1 lit. b DSGVO). Sitzungsdaten und das Sicherheitsprotokoll dienen zusätzlich dem Schutz Ihres Kontos und der Abwehr von Missbrauch (Art. 6 Abs. 1 lit. f DSGVO); Sie können Ihre aktiven Sitzungen jederzeit durch Abmelden beenden.

Kontodaten speichern wir, solange Ihr Konto besteht. Sitzungen enden mit der Abmeldung oder ihrem Ablauf. Das Sicherheitsprotokoll wird nach 14 Tagen automatisch gelöscht. Zähler, mit denen wir die Zahl von Anfragen je Konto begrenzen (Schutz vor Missbrauch), werden spätestens nach einer Stunde ungültig und täglich gelöscht.

5.4 Änderung der E-Mail-Adresse und Löschung des Kontos

Eine neue E-Mail-Adresse bestätigen Sie mit einem Code, den wir an die neue Adresse senden. Ihr Konto können Sie jederzeit in den Einstellungen löschen. Sind Sie der letzte Admin einer Organisation, wird mit Ihrem Konto die gesamte Organisation gelöscht – alle Inhalte, alle Mitgliedschaften und die Konten der übrigen Mitglieder, soweit diese keiner anderen Organisation angehören; die Mitglieder informieren wir vorher per E-Mail. Läuft noch ein bezahltes Abonnement, ist zuvor die Kündigung erforderlich.

5.5 Herkunft neuer Konten

Kommen Sie über einen Link mit Kampagnen-Kennzeichnung (UTM-Parameter, z. B. aus einer Anzeige oder einem Newsletter) zu uns, reicht unsere Website diese Angaben an die Anmeldeseite weiter. Legen Sie dabei ein neues Konto an, speichern wir einmalig Quelle, Medium, Kampagne, Begriff und Inhalt des Links sowie den Zeitpunkt an Ihrem Konto. Im Browser wird dafür nichts gespeichert; ohne solchen Link oder nach einem Neuladen der Seite wird nichts erfasst.

Wir werten diese Angaben nur zusammengefasst aus (Anzahl neuer Konten je Kampagne), um den Erfolg unserer Werbung zu beurteilen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Auswertung unserer Werbemaßnahmen. Die Angaben werden nach 12 Monaten automatisch gelöscht. Sie können der Verarbeitung jederzeit widersprechen (Abschnitt 17).

6. Organisation, Rollen und Einladungen

Jede Person kann eine Organisation anlegen und weitere Personen per E-Mail-Adresse hinzufügen. Dabei verarbeiten wir den Namen der Organisation, die Mitgliedschaften und die Rollen (Admin, Kundenbetreuung, Developer). Für eine eingeladene Person legen wir ein Konto mit der angegebenen E-Mail-Adresse an und informieren sie per E-Mail; sie meldet sich anschließend selbst per Einmal-Code an.

Beim Anlegen einer Organisation speichern wir, wer den Nutzungsbedingungen und dem Vertrag zur Auftragsverarbeitung in welcher Fassung zu welchem Zeitpunkt zugestimmt hat. Das dient dem Nachweis des Vertragsschlusses (Art. 6 Abs. 1 lit. b und lit. f DSGVO). Wird die Organisation gelöscht, bewahren wir diesen Nachweis – Fassung, Zeitpunkt, Konto-ID und E-Mail-Adresse der zustimmenden Person, Name der Organisation und Kundennummer bei Stripe – getrennt von allen übrigen Daten bis zum Ende der regelmäßigen Verjährungsfrist auf (drei Jahre ab Ende des Jahres der Löschung, §§ 195, 199 BGB). Rechtsgrundlage ist unser berechtigtes Interesse, Ansprüche aus dem Vertrag nachweisen und abwehren zu können (Art. 6 Abs. 1 lit. f, Art. 17 Abs. 3 lit. e DSGVO).

Rechtsgrundlage für die Verwaltung von Organisation und Mitgliedschaften ist Art. 6 Abs. 1 lit. b DSGVO, gegenüber eingeladenen Personen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse der Organisation an der gemeinsamen Nutzung). Die Daten speichern wir, solange die Mitgliedschaft besteht.

7. E-Mails

Wir versenden ausschließlich E-Mails, die für die Nutzung erforderlich sind oder die Sie in Ihren Einstellungen ausgewählt haben:

• Anmelde-Codes und Codes zur Bestätigung einer neuen E-Mail-Adresse
• Hinweise, dass Sie einer Organisation hinzugefügt wurden
• Benachrichtigungen über neue Findings, Zuweisungen und Statusänderungen entsprechend Ihren Einstellungen; im Tarif Free als wöchentliche Zusammenfassung
• Hinweise zur Abrechnung, etwa zu fehlgeschlagenen Zahlungen oder überschrittenen Tarifgrenzen (an die Admins der Organisation)
• einmalige Informationen, etwa wenn eine Organisation aufgelöst wurde

Werbe-E-Mails oder Newsletter versenden wir nicht. Benachrichtigungen können Sie in den Einstellungen jederzeit anpassen oder abschalten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Für den Versand nutzen wir einen E-Mail-Dienstleister mit Sitz und Servern in der Europäischen Union (Abschnitt 13). Eine Kopie jeder versendeten E-Mail bleibt zur Klärung von Zustellproblemen 30 Tage in unserem System gespeichert und wird danach automatisch gelöscht.

Wenn Sie uns schreiben. Schreiben Sie uns, etwa an support [at] eolaro.com oder privacy [at] eolaro.com, verarbeiten wir Ihre Kontaktdaten und den Inhalt der Nachricht, um Ihr Anliegen zu bearbeiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn es um Ihren Vertrag geht, bei Anfragen zu Ihren Datenschutzrechten lit. c und im Übrigen lit. f (unser Interesse, Anfragen zu beantworten). Wir löschen die Nachrichten drei Jahre nach Erledigung des Anliegens, sofern keine gesetzliche Aufbewahrungspflicht besteht.

Kontaktformular. Über das Formular auf eolaro.com bzw. unter Einstellungen › Support kontaktieren in der Anwendung übermitteln Sie uns Ihre E-Mail-Adresse, optional Ihren Namen (in der Anwendung: Name und E-Mail-Adresse Ihres Kontos sowie Ihre Nutzer-ID), das gewählte Thema und Ihre Nachricht. Wir leiten die Anfrage über unseren Server als E-Mail an unser Support-Postfach weiter und verarbeiten sie wie oben beschrieben; Rechtsgrundlagen und Speicherdauer sind dieselben. Zum Schutz vor Missbrauch zählen wir die Anfragen je IP-Adresse; die Adresse geht dabei nur als Hash in einen Zähler ein, der nach einer Stunde gelöscht wird (Art. 6 Abs. 1 lit. f DSGVO, unser Interesse an einem funktionsfähigen, spamfreien Support).

8. Inhalte der Organisationen (Auftragsverarbeitung)

Diesen Abschnitt stellen wir zur Information bereit; verantwortlich für diese Daten ist die jeweilige Organisation (Abschnitt 3).

8.1 Verarbeitete Inhalte

• Kunden der Organisation (Bezeichnungen) und Projekte (Name, Domain, zugeordnete Personen)
• Technologien mit Name, Version, Paket- oder Produktkennung und Quelle der Version
• Findings: Angaben zu Schwachstellen, End of Life und Updates aus öffentlichen Quellen, ihr Status mit Zeitpunkt und auslösender Person sowie Zuweisungen an Mitglieder
• Integrationen: Webhook-Adressen, Format, Signaturschlüssel und optionale Zugangsdaten für das Ziel
• Automatischer Abgleich: Abgleich-Token (gespeichert wird nur ein Hashwert), Abruf-Adresse, Ergebnis und Fehlermeldung des letzten Abgleichs sowie optionale Zugangsdaten für geschützte Versions-Endpunkte. Diese Zugangsdaten werden verschlüsselt gespeichert und sind nur für unseren Server lesbar, nicht für Mitglieder.
• Übermittelte Versionsangaben: Lockfiles (z. B. composer.lock, package-lock.json, pubspec.lock) und Versionslisten, die ein Skript der Organisation an EOLARO sendet oder die EOLARO von einer von der Organisation angegebenen Adresse abruft. Lockfiles können weitere Angaben enthalten, etwa Adressen privater Paket-Registries. Die Dateien werden nur ausgewertet und nicht gespeichert; übernommen werden ausschließlich Paketnamen und Versionen.

8.2 Speicherdauer

Die Inhalte bleiben gespeichert, solange die Organisation sie nicht löscht oder die Organisation besteht. Erledigte Findings löscht ein täglicher Wartungslauf automatisch: Update-Hinweise 90 Tage und Schwachstellen sowie End-of-Life-Hinweise 24 Monate nach ihrer Erledigung. Ignorierte Findings bleiben bestehen, solange die Quelle sie meldet. Mit dem Löschen einer Technologie, eines Projekts oder der Organisation werden die zugehörigen Daten gelöscht.

8.3 Integrationen der Organisation

Richtet eine Organisation Webhooks ein, senden wir Benachrichtigungen über Findings an die angegebenen Adressen – etwa an Slack, Microsoft Teams, Discord oder eigene Systeme. Die Nachrichten enthalten Angaben zu Technologien, Findings und Projekten. Empfänger und Zweck bestimmt die Organisation.

Für den automatischen Abgleich ruft unser Server die von der Organisation angegebenen Adressen ab bzw. nimmt Daten von ihren Skripten entgegen. Die Anfragen unseres Servers sind kryptografisch signiert, damit die Website der Organisation nur EOLARO antwortet.

8.4 KI-Prompt

Auf Wunsch erzeugt EOLARO zu einem Finding einen Text (Prompt), den Sie in einen KI-Assistenten Ihrer Wahl einfügen können. Der Text wird in der App erzeugt und in Ihre Zwischenablage kopiert. EOLARO übermittelt dabei keine Daten an KI-Anbieter. Ob und wo Sie den Text verwenden, entscheiden Sie selbst.

9. Abgleich mit öffentlichen Quellen

Um Schwachstellen, End-of-Life-Daten und neue Versionen zu ermitteln, fragt unser Server öffentliche Datenbanken und Paket-Verzeichnisse ab, insbesondere OSV.dev, die GitHub Advisory Database, deps.dev, endoflife.date, die KEV-Kataloge der CISA und von VulnCheck, VulnCheck NVD++ (Sicherheitslücken nach Produktname), die EPSS-Werte von FIRST sowie Paket-Verzeichnisse wie Packagist und pub.dev. Auch die Produktsuche beim Anlegen einer Technologie läuft über unseren Server.

Übermittelt werden dabei ausschließlich Paket- und Produktnamen sowie Versionsnummern. Die Anfragen gehen von unserem Server aus, sind nicht Ihrer Organisation zugeordnet und enthalten keine personenbezogenen Daten von Ihnen oder Ihrer Organisation. Antworten speichern wir in einem gemeinsamen Zwischenspeicher, der keine Kundendaten enthält.

10. Speicherungen auf Ihrem Endgerät

Die Website eolaro.com speichert nichts auf Ihrem Gerät. Für die Anmeldung legt EOLARO einen Sitzungsschlüssel auf Ihrem Gerät ab: im Browser im lokalen Speicher und als Cookie unserer Schnittstelle, in der Android-App im App-Speicher. Der lokale Speicher ist im Browser nötig, weil die Schnittstelle unter einer anderen Adresse erreichbar ist als die Anwendung. Ohne diese Speicherung wäre eine Anmeldung nicht möglich. Sie ist nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung zulässig; die anschließende Verarbeitung beruht auf Art. 6 Abs. 1 lit. b DSGVO. Mit dem Abmelden wird die Sitzung beendet.

Weitere Speicherungen setzen wir nicht ein; insbesondere keine Cookies oder vergleichbaren Techniken zur Wiedererkennung, Reichweitenmessung oder Werbung. Auch die Fehlerüberwachung (Abschnitt 12) legt auf Ihrem Gerät nichts ab. Ein Einwilligungsbanner ist daher nicht erforderlich. Zur Speicherung durch Stripe auf den Bezahlseiten von Stripe siehe Abschnitt 11.

11. Tarife und Zahlung über Stripe

Bezahlte Tarife und Zusatzpakete verkaufen wir über Stripe Managed Payments. Stripe ist dabei für alle Bestellungen der Händler (Merchant of Record) und tritt Ihnen gegenüber unter der Marke Link auf („Sold through Link“): Stripe schließt den Kaufvertrag mit Ihnen, wickelt die Zahlung ab, stellt die Rechnung aus, führt die Umsatzsteuer ab und bearbeitet Anfragen zu Zahlungen und Erstattungen.

Anbieter: Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland.

Was wir an Stripe übermitteln. Wenn der Inhaber einer Organisation einen Tarif bucht, übermitteln wir Stripe die E-Mail-Adresse und den Namen der bestellenden Person, eine interne Kennung der Organisation zur Zuordnung sowie die gewählten Produkte und Mengen.

Was Stripe selbst erhebt. Zahlungsdaten (z. B. Karte oder Bankverbindung), Rechnungsanschrift, Land, gegebenenfalls Umsatzsteuer-Identifikationsnummer sowie Daten zur Betrugsprävention erhebt Stripe unmittelbar auf seiner Bezahlseite. Diese Daten erreichen unsere Systeme nicht vollständig. Stripe verarbeitet sie als eigener Verantwortlicher nach seiner Datenschutzerklärung und der Datenschutzerklärung von Link.

Was wir von Stripe erhalten. Kunden- und Abonnement-Kennung, Status, gebuchte Produkte und Mengen, Abrechnungszeitraum, gegebenenfalls das Datum einer Kündigung und fehlgeschlagene Zahlungen. Damit schalten wir die gebuchten Leistungen frei. Für unsere Buchführung erhalten wir von Stripe Abrechnungen über die Auszahlungen.

Bezahlseite und Kundenportal. Zum Bezahlen und zum Verwalten des Abos (Zahlungsart, Rechnungen, Kündigung) leitet die Web-App auf Seiten von Stripe weiter (checkout.stripe.com, billing.stripe.com); Bestellungen können Sie außerdem auf link.com verwalten. Erst dann baut Ihr Browser eine Verbindung zu Stripe auf; Stripe kann dabei für den Bezahlvorgang und die Betrugsprävention Daten auf Ihrem Gerät speichern (§ 25 Abs. 2 Nr. 2 TDDDG, unbedingt erforderlich für den gewünschten Bezahlvorgang). Verantwortlich hierfür ist Stripe. Die Web-App selbst lädt keine Skripte von Stripe. In der Android-App gibt es keinen Bezahlvorgang.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Stripe verarbeitet Daten auch durch die Stripe, Inc. in den USA; hierfür ist Stripe verantwortlich. Stripe ist nach dem EU-U.S. Data Privacy Framework zertifiziert (Art. 45 DSGVO) und setzt ergänzend Standardvertragsklauseln ein.

Die Tarifdaten in EOLARO speichern wir, solange die Organisation besteht. Rechnungen und Zahlungsbelege bewahrt Stripe nach den für Stripe geltenden Pflichten auf. Unsere eigenen Buchungsbelege (z. B. Auszahlungsübersichten von Stripe) bewahren wir nach § 147 AO und § 257 HGB bis zu zehn Jahre auf.

12. Fehlerüberwachung mit Sentry

Um technische Fehler schnell zu erkennen und zu beheben, setzen wir Sentry ein. Tritt in der App oder auf unserem Server ein Fehler auf, wird ein Fehlerbericht an Sentry übermittelt.

• Anbieter: Functional Software, Inc. (Sentry), 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA. Wir nutzen die EU-Region; Fehlerberichte werden in Frankfurt am Main gespeichert. Verwaltungsdaten unseres Sentry-Kontos speichert Sentry in den USA.
• Übermittelt werden nur Fehlermeldung, technischer Ablauf bis zum Fehler, Version der App, Browser, Betriebssystem und Gerätetyp sowie pseudonyme Kennungen des Kontos und der Organisation.
• Nicht übermittelt werden E-Mail-Adressen, Namen, Inhalte Ihrer Organisation, Bildschirmaufnahmen oder Aufzeichnungen von Eingaben. Ihre IP-Adresse ist für die Übertragung technisch erforderlich; Sentry speichert sie aufgrund unserer Einstellungen nicht.
• Sentry legt auf Ihrem Gerät keine Daten ab und setzt keine Cookies.
• Fehlerberichte werden bei Sentry nach spätestens 90 Tagen gelöscht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einem stabilen und sicheren Dienst. Mit Sentry besteht ein Vertrag zur Auftragsverarbeitung, der die EU-Standardvertragsklauseln einschließt. Functional Software, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert; Übermittlungen in die USA beruhen auf dem Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO), hilfsweise auf den Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Weitere Informationen enthält die Datenschutzerklärung von Sentry.

13. Empfänger und Dienstleister

Wir geben personenbezogene Daten nur weiter, soweit dies für die beschriebenen Zwecke erforderlich ist. Folgende Dienstleister verarbeiten Daten in unserem Auftrag; mit allen besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO:

Stripe verarbeitet Daten als eigener Verantwortlicher (Abschnitt 11). Die Server- und Datenbanksoftware betreiben wir selbst; an deren Hersteller werden keine Daten übermittelt. Darüber hinaus geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind, etwa an Behörden oder Gerichte (Art. 6 Abs. 1 lit. c DSGVO).

14. Übermittlung in Drittländer

EOLARO und sämtliche Inhalte werden in der Europäischen Union betrieben und gespeichert: der Server in Österreich, die Datensicherungen bei Hetzner in der EU. Eine Übermittlung in Drittländer findet nur statt bei Stripe (USA, Data Privacy Framework, ergänzend Standardvertragsklauseln; hierfür ist Stripe als eigener Verantwortlicher zuständig, Abschnitt 11) und bei Sentry, soweit Sentry Verwaltungsdaten unseres Kontos in den USA speichert oder von dort auf Fehlerberichte zugreift, etwa im Support (USA, Data Privacy Framework, hilfsweise Standardvertragsklauseln). Eine Kopie der jeweiligen Garantien erhalten Sie auf Anfrage unter privacy [at] eolaro.com.

15. Speicherdauer im Überblick

Wir sichern die Daten täglich. Die Sicherungen werden verschlüsselt, bevor sie unseren Server verlassen, und nach einem festen Schema nach höchstens sechs Monaten gelöscht. Bereits gelöschte Daten bleiben bis dahin nur in diesen Sicherungen erhalten; wir verwenden sie ausschließlich zur Wiederherstellung nach einem Störfall.

16. Sicherheit

Wir schützen Ihre Daten mit technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Dazu gehören insbesondere die durchgehend verschlüsselte Übertragung (TLS), die vollständige Verschlüsselung der Datenträger des Servers (Verschlüsselung ruhender Daten), verschlüsselte Datensicherungen, die strikte Trennung der Daten verschiedener Organisationen, ein Rollen- und Rechtekonzept, die verschlüsselte Speicherung von Zugangsdaten, die Speicherung von Abgleich-Tokens nur als Hashwert, signierte Webhooks und Abrufe, eine Begrenzung der Anfragen je Konto sowie regelmäßige Sicherheitsupdates. Einzelheiten beschreibt Anlage 5 des Vertrags zur Auftragsverarbeitung.

17. Ihre Rechte

Sie haben nach Maßgabe der DSGVO das Recht auf

• Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit in einem gängigen, maschinenlesbaren Format (Art. 20 DSGVO),
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Widerspruchsrecht (Art. 21 DSGVO). Verarbeiten wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Name und E-Mail-Adresse können Sie in den Einstellungen selbst ändern, Ihr Konto dort selbst löschen. Für alle anderen Anliegen genügt eine E-Mail an privacy [at] eolaro.com; wir antworten innerhalb eines Monats. Betreffen Ihre Anliegen die Inhalte einer Organisation, wenden Sie sich bitte an die Organisation (Abschnitt 3).

Beschwerderecht. Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz
Hintere Bleiche 34
55116 Mainz

18. Pflicht zur Bereitstellung und automatisierte Entscheidungen

Die Angabe einer E-Mail-Adresse ist für die Nutzung erforderlich, weil sie der Anmeldung dient; ohne sie ist eine Nutzung nicht möglich. Alle weiteren Angaben machen Sie freiwillig im Rahmen der Nutzung. Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt.

19. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitung, die eingesetzten Dienste oder die rechtlichen Anforderungen ändern. Maßgeblich ist die oben genannte Fassung. Über wesentliche Änderungen informieren wir die Admins der Organisationen rechtzeitig per E-Mail.

Diese Erklärung liegt auf Deutsch und Englisch vor; bei Abweichungen geht die deutsche Fassung vor.