Datenschutzerklärung

Stand: 27. Mai 2026

Maßgebliche Sprachfassung. Diese Fassung ist eine Übersetzung. Verbindlich ist die englische Fassung (privacy.en.md). Diese deutsche Fassung wird auf den deutschsprachigen Oberflächen der Website ausgespielt, um dem Erfordernis effektiver deutschsprachiger Zugänglichkeit nach § 5 DDG zu genügen. Bei Widersprüchen zwischen den Sprachfassungen ist die englische Fassung maßgeblich — außer bei Angelegenheiten, die ausschließlich dem deutschen Telemedienrecht unterliegen; dort ist die deutsche Formulierung die maßgebliche.

1. Einleitung

Diese Erklärung beschreibt, wie Uptimia („wir", „uns" oder „unser"), betrieben von JJ Online GmbH, Ihre personenbezogenen Daten im Zusammenhang mit https://uptimia.com (die „Website") und dem Uptimia-Monitoring-Dienst (der „Dienst") verarbeitet, im Einklang mit Art. 13 und Art. 14 DSGVO sowie gleichwertigem Datenschutzrecht. Sie dient Ihrer Information; soweit eine Verarbeitung auf Ihrer Einwilligung beruht, wird diese Einwilligung gesondert eingeholt. Für die Bedingungen, die Ihr Vertragsverhältnis mit uns regeln, siehe unsere Allgemeinen Geschäftsbedingungen.

Direkte und indirekte Erhebung (Art. 13 und Art. 14 DSGVO). Die meisten in § 3 beschriebenen personenbezogenen Daten werden uns direkt von Ihnen bereitgestellt, wenn Sie ein Konto anlegen, Monitore konfigurieren oder den Dienst anderweitig nutzen. Soweit ein Datum stattdessen von einem Dritten erhoben wird — konkret:

Zahlungsmittel-Metadaten, die Stripe oder PayPal im Zusammenhang mit Ihrem Abonnement zurückliefern;
PayPal-Instant-Payment-Notification-(IPN)-Daten, die wir von PayPal im Zusammenhang mit jeder Transaktion erhalten und die Transaktionskontextfelder enthalten können (Abwicklungswährung, Zahler-Status, Adressbestätigungsstatus), die Sie selbst ursprünglich nicht angegeben haben;
Identitätsattribute, die Google oder GitHub über die von Auth0 gehostete Anmeldeseite zurückliefern, wenn Sie sich für die Anmeldung über eine Social-Connection entscheiden (und die zugehörigen, von Auth0 ausgegebenen Tokens);
Adressnormalisierung, USt-IdNr.-Validierungsergebnisse und sonstige Rechnungs-Metadaten, die easybill im Zusammenhang mit der Erstellung Ihrer Rechnung zurückliefert (soweit easybill ein Feld zurückgibt — etwa eine normalisierte Postanschrift oder ein über das EU-VIES-System abgefragtes USt-IdNr.-Gültigkeitsflag —, das nicht wörtlich von Ihnen eingegeben wurde, ist dieses Feld indirekt erhoben);

— ist der Dritte, der die Quelle dieser Daten ist, im einschlägigen Eintrag in § 5 (Drittanbieter-Dienste) unten ausgewiesen, in Erfüllung unserer Pflicht aus Art. 14 Abs. 2 lit. f DSGVO, die Quelle zu benennen. Außerhalb dieser konkreten Datenflüsse erhalten wir keine personenbezogenen Daten über Sie als Kontoinhaber von Dritten.

2. Verantwortlicher

Verantwortlicher im Sinne der DSGVO (Art. 4 Nr. 7) und gleichwertiger Datenschutzgesetze für die Verarbeitung Ihrer personenbezogenen Daten als Uptimia-Kontoinhaber ist:

JJ Online GmbH (betreibt Uptimia)

Schönhauser Allee 163, 10435 Berlin

Deutschland

Eingetragen beim Amtsgericht Charlottenburg, HRB 235074 B

USt-IdNr.: DE351060880

Vertreten durch: Andrius Gecius, Geschäftsführer

Telefon: +49 151 12032902

E-Mail — allgemein / Impressum: admin@uptimia.com

E-Mail — Datenschutz und Betroffenenanfragen: privacy@uptimia.com

Die vollständige Anbieterkennzeichnung nach § 5 DDG finden Sie in unserem Imprint (Englisch) / Impressum (Deutsch).

Hinweis zu den Rollen. Soweit Sie Uptimia zur Überwachung von Ressourcen einsetzen, die Sie selbst betreiben, handeln Sie als Verantwortlicher in Bezug auf personenbezogene Daten, mit denen Ihr Monitoring in Berührung kommt — von Ihnen ausgespielte RUM-Skripte erfasste Besucher-IP-Adressen, in Transaktions-Monitoring-Screenshots erfasste Endkundendaten, Antwortinhalte authentifizierter Checks, die Nutzerinformationen enthalten. In diesem Szenario handelt Uptimia als Auftragsverarbeiter für Sie, geregelt durch unsere AV-Vereinbarung — siehe § 7 unten.

Diese Erklärung beschreibt unsere Verarbeitung als Verantwortlicher in Bezug auf Ihre eigenen Daten als Nutzer des Dienstes. Die Auftragsverarbeiter-Beziehung wird in § 7 und in der AV-Vereinbarung beschrieben.

3. Welche Informationen wir erheben

Wir erheben die folgenden Kategorien personenbezogener Daten über Nutzer des Dienstes.

Kontodaten

Identität: E-Mail-Adresse, Passwort (gespeichert als bcrypt-Hash; Legacy-Hashes werden bei der ersten erfolgreichen Anmeldung aktualisiert), vollständiger Name, ein undurchsichtiges Konto-Wiederherstellungs-Token
Postanschrift: Straße, Postleitzahl, Stadt, Bundesland, Land, Zeitzone
Geschäftsidentifikation: Firmenname, USt-Identifikationsnummer, Währung, Abrechnungsregion (zweistelliger ISO-Code)
Kontakt: Telefonnummer, Reporting-E-Mail, individuelle Absenderbezeichnung für ausgehende E-Mails
Netzwerk-Metadaten: die IP-Adresse, von der aus Sie sich registriert haben, und die IP-Adresse, von der aus Sie sich zuletzt angemeldet haben
Lebenszyklus-Daten: Registrierungsdatum, letztes Aktivitätsdatum, Abonnementbeginn, Verlängerungsdatum der Mitgliedschaft, Verlängerungsdatum des SMS-Guthabens
Sicherheit: Status der Zwei-Faktor-Authentifizierung, Voreinstellung für Anmelde-E-Mail-Benachrichtigung, Zeitstempel der letzten fehlgeschlagenen Anmeldung, Zähler fehlgeschlagener Anmeldungen, ein interner heuristischer Risikoscore (rein hinweisend; siehe § 8 und der Speicherhinweis in § 11)
Operative Einstellungen: Ihre Opt-in-Status für E-Mail- und SMS-Alarmierung, Abmeldestatus, Onboarding-Flags, „keine Alarme"-Tage, Ihr Alarmzeitfenster
Marketing / Lebenszyklus: der UTM- oder Referrer-Source-Code aus der URL, über die Sie uns erstmals erreicht haben

Abrechnungsdaten

Rechnungsmetadaten, Beträge, Referenzen und Verweise auf gespeicherte PDF-Dateien
Zahlungsmittel-Metadaten (Stripe-/PayPal-/Kreditkarten-Tokens — wir sehen niemals die vollständige Kartennummer)
Soweit Sie über PayPal zahlen, die PayPal-Instant-Payment-Notification-Daten, die wir von PayPal im Zusammenhang mit der Transaktion erhalten

Authentifizierungs- und Sitzungsdaten

Sitzungs-Cookies wie in unserer Cookie-Erklärung § 4 aufgeführt
Audit-Datensätze zur Zwei-Faktor-Anmeldung — Nutzer, Zeitstempel, IP-Adresse, User-Agent — werden bei jedem erfolgreich abgeschlossenen 2FA-Vorgang geschrieben
Datensätze zu Passwort-Zurücksetzungs-Anfragen — werden bei Bedarf erstellt, wenn Sie eine Passwort-Zurücksetzung anfordern
Persönliche API-Schlüssel, die Sie für den programmatischen Zugriff auf den Dienst erstellen — gespeichert ausschließlich als Einweg-Hashes; siehe § 12
Zähler fehlgeschlagener Anmeldungen und Zeitstempel der letzten fehlgeschlagenen Anmeldung auf Ihrem Nutzerdatensatz

Kanäle der Zwei-Faktor-Authentifizierung. Soweit Sie die Zwei-Faktor-Authentifizierung aktiviert haben, wird der Einmalcode entweder per E-Mail (über unseren transaktionalen Mailverarbeiter — AWS SES, siehe § 5.2) oder lokal von einer TOTP-Authentifizierungs-App auf Ihrem Gerät erzeugt (Google Authenticator, 1Password, Authy oder gleichwertig). Wir versenden 2FA-Codes nicht per SMS und übermitteln Ihre Telefonnummer im 2FA-Vorgang an keinen SMS-Anbieter. Soweit Sie das SMS-Alarmierungs-Feature gesondert für Monitoring-Alarme aktivieren, ist dieser Datenfluss in § 5 und § 7 (Twilio) dokumentiert.

Monitor-Konfigurationen, die Sie anlegen

Wenn Sie einen Monitor anlegen, wird die Konfiguration in unserer Anwendungsdatenbank gespeichert und zum Ausführungszeitpunkt an das Probe-Netzwerk weitergeleitet. Konfigurationen können personenbezogene Daten enthalten:

Authentifizierte HTTP-Checks: die URL, die HTTP-Authentifizierungs-Zugangsdaten (Basic-Zugangsdaten und/oder individuelle Request-Header, die Bearer-Tokens oder API-Schlüssel tragen können), ein etwaiger von Ihnen übergebener POST-Body und die von Ihnen konfigurierten Erwartungsmuster für den Inhalt
Transaktionsmonitore: die CSS-Selektoren und XPath-Ausdrücke, die zur Steuerung der User Journey verwendet werden, zusammen mit beliebigen literalen Werten (einschließlich Test-Zugangsdaten), die die Journey in jedem Schritt absendet

Zugangsdaten und Geheimnisse, die Sie in Monitor-Konfigurationen hinterlegen, werden mit spaltenweiser Envelope-Verschlüsselung unter gesondert verwalteten Schlüsseln gehalten, wie in § 12 beschrieben.

Check-Ergebnisse

Vom Probe-Netzwerk bei jedem Check erzeugt:

Uptime / HTTP: phasenbezogene Zeitmessungen, Status, Fehlertyp und der von der überwachten URL zurückgegebene Antworttext (Antworttexte werden 7 Tage vorgehalten und dann automatisch verworfen, gemäß § 11)
SSL: Zertifikatsaussteller, Gültigkeitsdaten und etwaige zertifikatsbezogene Fehler
Domain / WHOIS: Registrar, Nameserver, Lebenszyklus-Daten und die vollständige WHOIS-Antwort
Geschwindigkeit: Ladezeiten, ressourcenbezogene Aufschlüsselung, PageSpeed-Scores
Transaktion: Status, Dauer pro Schritt und ein gespeichertes Screenshot der Seite an jedem Schritt (der Screenshot kann zum Erfassungszeitpunkt sichtbare personenbezogene Daten enthalten)
Real User Monitoring (RUM): ausschließlich aggregierte Metriken — Seitenladezeit, Seitenaufrufe, JavaScript-Fehlerzahlen, geografische Herkunft, Browser- und Geräteklasse. Es werden keine Core Web Vitals (LCP / INP / CLS / TTFB) erhoben (entsprechend dem Produktumfang)
Viren / Malware: der vom Malware-Screening-Anbieter zurückgegebene Status; keine gescannten Inhalte werden vorgehalten
Server-Agent: CPU-, Speicher-, Festplatten- und Netzwerkmetriken, die der von Ihnen auf Ihren eigenen Servern eingesetzte Agent streamt. Diese Metriken beschreiben den Zustand eines Servers, nicht einer natürlichen Person. Sie sind jedoch mit Ihnen als Kontoinhaber verknüpfbar, weil der Agent gegen Ihr Uptimia-Konto registriert ist; auf dieser Verknüpfung behandeln wir sie für die Dauer des Vertragsverhältnisses als personenbezogene Daten von Ihnen als Kontoinhaber — verarbeitet auf Grundlage Art. 6 Abs. 1 lit. b DSGVO (Vertrag). Der Agent übermittelt keine Endkunden-Identifikatoren vom überwachten Server (keine Prozesslisten, keine Benutzerkontennamen, keine Umgebungsvariablen); die oben aufgeführten Kategorien sind abschließend.

Aufbewahrungsfristen für die einzelnen oben genannten Kategorien sind in § 11 geregelt.

Konfigurationen von Benachrichtigungskanälen

Wenn Sie einen Alarmkanal konfigurieren (Slack, Discord, Twilio SMS, Meta WhatsApp Cloud, PagerDuty, Atlassian Statuspage, Microsoft Teams, Mattermost, Telegram, X, generische Webhooks), speichern wir die Kanal-Zugangsdaten und die von Ihnen hinterlegten Kontaktdatensätze. Jeder wird bei jedem Alarm an den gewählten Kanal weitergeleitet.

Doppelrolle der Alarmkanäle. Alarmkanäle transportieren zwei verschiedene Datenkategorien unter zwei verschiedenen Rollencharakterisierungen, und derselbe Dritte (Slack, Twilio etc.) trägt beide Hüte:

Kontaktdatensätze und Zugangsdaten des Ops-Teams — die Telefonnummern, Slack-Workspace- und Kanal-Identifikatoren, PagerDuty-Integrationsschlüssel, Telegram-Bot-Tokens, Webhook-URLs etc., die Sie hinterlegen, plus die Alarm-Payload selbst, soweit sie an Ihr eigenes Ops-Team adressiert ist. Diese Datensätze identifizieren Ihr Personal (Ihre On-Call-Engineers, Ihr Incident-Response-Personal), nicht Besucher Ihrer überwachten Websites. Für diese Datenstrecke ist Uptimia Verantwortlicher in Bezug auf den Alarmkanal-Datenfluss, und die Alarmkanal-Drittanbieter sind Uptimias eigene Dienstleister; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung Ihres Abonnementvertrags — Alarmzustellung ist die geschuldete Leistung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse Ihrerseits als Kontoinhaber an einer Benachrichtigung). Diese Datenflüsse sind in § 5 als Teil von Uptimias Verantwortlichen-Stack inventarisiert.
Endkunden-/Besucherdaten, die ggf. zufällig in einer Alarm-Payload auftauchen — z. B. wenn Sie einen Transaktions-Monitoring-Schritt formuliert haben, dessen Fehlermeldung einen Endkunden-Identifikator enthält, oder wenn ein Antwortinhalts-Auszug eines authentifizierten Checks personenbezogene Daten eines Ihrer Besucher zutage fördert und in die Alarmzusammenfassung einfließt. Für diese zufällige Komponente handelt Uptimia als Auftragsverarbeiter für Sie (den Verantwortlichen), der Alarmkanal-Drittanbieter wird für diese Strecke Unter-Auftragsverarbeiter, und der Datenfluss fällt unter die Unter-Auftragsverarbeiter-Liste in Annex C.5 der AV-Vereinbarung. Auf diese Komponente bezieht sich § 7 unten.

Die beiden Charakterisierungen koexistieren, weil das Alarmereignis eine einzige Nachricht ist, die beide Arten von Inhalten transportiert. Die Verantwortlichen-Analyse in § 5 regelt die Kontaktdatensätze-und-Zugangsdaten-Strecke und die an Ihr Ops-Team adressierte Strecke; die Auftragsverarbeiter-Analyse in § 7 regelt ausschließlich die eingebettete-Besucherdaten-Strecke.

Supportdaten

Wenn Sie uns kontaktieren, erhalten und speichern wir den Inhalt der Interaktion zusammen mit den Kontaktidentifikatoren, die Sie angeben:

HelpCanvas-Chat-Widget-Konversationen — das Chat-Widget wird auf der Marketing-Site (https://uptimia.com) und, soweit Sie angemeldet sind, in der Anwendungsoberfläche geladen. Jede Konversation wird als Nachrichtenthread selbst, Ihrem Anzeigenamen und Ihrer E-Mail-Adresse (soweit von Ihnen angegeben) sowie den technischen Metadaten, die HelpCanvas zur Sitzung aufzeichnet (Zeitstempel, Browser-User-Agent, IP-Adresse, Seiten-URL, auf der die Konversation begonnen wurde), gespeichert. HelpCanvas ist ein JJ-Online-Produkt, das auf JJ Onlines eigener EU-Infrastruktur läuft (siehe § 5.7 unten); die Konversation verlässt die EU nicht und wird mit keinem Dritten geteilt, der nicht bereits ein Unter-Auftragsverarbeiter für HelpCanvas ist.
E-Mail-Korrespondenz an unsere Rollenadressen — admin@uptimia.com (allgemein), privacy@uptimia.com (Datenschutz und Betroffenenanfragen) und jede andere Rollenadresse, an die Sie schreiben. Wir empfangen und speichern die E-Mail-Header (Ihre Absenderadresse, unsere Empfängeradresse, Zeitstempel, Message-ID), den Nachrichtentext und beigefügte Anhänge. Ein- und ausgehende Mails werden über AWS SES eu-central-1 (siehe § 5.2) verarbeitet und auf JJ Onlines eigener EU-Mail-Infrastruktur gespeichert.

Kategorien. Identifikatoren (Name, E-Mail-Adresse), Freitext (Ihre Nachricht und beigefügte Anhänge) sowie technische Metadaten (Zeitstempel, IP, User-Agent, Seitenkontext für das Chat-Widget; SMTP-Header für E-Mail).

Rechtsgrundlage. Art. 6 Abs. 1 lit. b DSGVO, soweit die Korrespondenz die Durchführung des mit uns bestehenden Dienstvertrags betrifft (z. B. eine Feature-Frage zu einem kostenpflichtigen Konto); Art. 6 Abs. 1 lit. c DSGVO, soweit die Korrespondenz selbst die Erfüllung einer rechtlichen Verpflichtung darstellt (z. B. Bearbeitung einer Betroffenenanfrage nach Art. 12 bis 22 DSGVO); Art. 6 Abs. 1 lit. f DSGVO für eingehende Anfragen von Interessenten und sonstigen Korrespondenten, mit denen wir keinen Vertrag haben, wobei das berechtigte Interesse darin besteht, auf an unsere veröffentlichten Rollenadressen gerichtete eingehende Kommunikation zu antworten.

Empfänger. Intern: Mitarbeitende der JJ Online GmbH, die die einschlägige Support-, Abrechnungs- oder Datenschutz-Queue bearbeiten. Externe Unter-Auftragsverarbeiter: AWS SES eu-central-1 für den E-Mail-Transport (§ 5.2); der HelpCanvas-Anwendungsstack läuft auf JJ Onlines eigener EU-Infrastruktur und führt keinen dritten Empfänger ein (§ 5.7 und § 11 „HelpCanvas-gehostete Supportkonversationen"). Es werden keine Supportinhalte an Dritte weitergegeben, die über das hinausgehen, was zur Zustellung der E-Mail oder zur Erledigung Ihres konkreten Anliegens notwendig ist (z. B. wenn Sie uns bitten, eine Abrechnungsanfrage an Stripe weiterzuleiten, tun wir dies auf Ihre Weisung).

Aufbewahrung. Dauer des Supportvorgangs zuzüglich 3 Kalenderjahre, jeweils zum Jahresende verankert, gemäß der Zeile Supportkorrespondenz in § 11, auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO im Lichte der regelmäßigen Verjährungsfrist nach §§ 195 und 199 BGB. Die HelpCanvas-Plattform-Konversation und die E-Mail-Korrespondenz unterliegen derselben Aufbewahrung; siehe § 11 „HelpCanvas-gehostete Supportkonversationen" für die Plattform-of-Record-Analyse.

Serverseitig bei jedem Request gelesene Metadaten

Ihre IP-Adresse (zur Ratenbegrenzung und Missbrauchsabwehr)
Der User-Agent-String Ihres Browsers (zur Validierung der Sitzungs-Integrität; in den sitzungsbezogenen Integritäts-Hashprüfsumme einbezogen)

Die IP-Adresse wird auf Ihrem Kontodatensatz nur als die unter „Kontodaten" beschriebenen Werte „Registrierung" und „letzte Anmeldung" persistiert; im Übrigen wird sie nur transient gelesen und nicht vorgehalten. Der User-Agent-String wird über die Hashprüfsumme der Sitzungs-Integrität hinaus nicht vorgehalten.

Ob die Bereitstellung dieser Informationen erforderlich ist (Art. 13 Abs. 2 lit. e DSGVO)

Nach Art. 13 Abs. 2 lit. e DSGVO sind wir verpflichtet, Sie darüber zu informieren, ob die Bereitstellung Ihrer personenbezogenen Daten gesetzlich oder vertraglich erforderlich ist und welche Folgen eine Nichtbereitstellung hätte:

Gesetzlich erforderlich. Ihr Name, Ihre Rechnungsadresse, gegebenenfalls Ihre USt-IdNr. und Transaktionsdaten müssen zur Erfüllung deutscher steuerlicher und buchhalterischer Pflichten vorgehalten werden (§ 147 AO, § 257 HGB; § 14 UStG für die Pflichtinhalte einer USt-Rechnung). Ohne diese Daten können wir Sie nicht rechtmäßig fakturieren.
Vertraglich erforderlich. Ihre E-Mail-Adresse, Ihr Passwort, Ihr Abrechnungs-Zahlungsmittel-Identifikator und die Monitor-Konfigurationen, die Sie einreichen, sind zum Betrieb des Dienstvertrags nach Art. 6 Abs. 1 lit. b DSGVO erforderlich. Ohne sie können wir den Dienst nicht erbringen.
Erforderlich für Kontozugang und Sicherheit. Ihre IP-Adresse, Ihr User-Agent, Anmelde-Zeitstempel und 2FA-Status werden auf Grundlage Art. 6 Abs. 1 lit. f DSGVO verarbeitet, um Ihr Konto zu schützen.
Freiwillig. Marketing-Opt-in-Präferenzen, optionale Profilfelder und Feedback liegen in Ihrem Ermessen; eine Nichtbereitstellung berührt Ihren Zugang zum Dienst nicht.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO)

Wir verarbeiten wissentlich keine besonderen Kategorien personenbezogener Daten im Sinne von Art. 9 Abs. 1 DSGVO — also Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, genetische Daten, biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person. Uptimia ist ein Business-to-Business-Observability-Produkt; keine der in § 3 oben aufgeführten Kategorien (Konto-, Abrechnungs-, Authentifizierungs-, Monitor-Konfigurations-, Check-Ergebnis-, Benachrichtigungskanal-Konfigurations-, Support- und serverseitige Request-Metadaten) ist darauf ausgelegt oder dazu bestimmt, Art.-9-Daten zu erfassen.

Bitte übermitteln Sie uns keine Daten besonderer Kategorien — fügen Sie sie z. B. nicht in Monitor-URLs, Monitor-Header, Request-Bodies, Alarmkanal-Testnachrichten oder Support-Tickets ein und skripten Sie keine Transaktions-Monitoring-Journeys, die Daten besonderer Kategorien durch Uptimia leiten. Sollten Sie uns dennoch unbeabsichtigt solche Daten übermitteln — z. B. in einer Freitext-Supportbeschreibung —, behandeln wir dies als unbeabsichtigten Eingang: wir berufen uns auf keine Erlaubnisnorm nach Art. 9 Abs. 2 DSGVO, um diese Daten als besondere Kategorien weiter zu verarbeiten, verwenden sie zu keinem über das zur Bearbeitung des Support-Tickets unumgängliche hinausgehenden Zweck und werden das betreffende Feld auf Anforderung löschen, ohne den übrigen Support-Thread anzutasten. Soweit eine Bearbeitung des Feldes in der Zeitspanne zwischen Eingang und Löschung unumgänglich ist (z. B. liest der Mitarbeitende die Nachricht, um das Anliegen zu verstehen, bevor er es schwärzt), stützen wir uns auf Art. 9 Abs. 2 lit. f DSGVO (Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen — hier: die Bearbeitung des Support-Tickets, die ihrerseits auf Art. 6 Abs. 1 lit. f DSGVO sowie §§ 195 und 199 BGB beruht, wie unter § 11 „Supportkorrespondenz" dargestellt), nur insoweit dieser Tatbestand tatsächlich greift. Wir stützen uns nicht auf Art. 9 Abs. 2 lit. e DSGVO (von der betroffenen Person offensichtlich öffentlich gemachte Daten): die Eingabe persönlicher Informationen in ein nicht-öffentliches Support-Ticket ist keine an die Öffentlichkeit gerichtete bewusste Offenlegung im engen Sinne, den Lindqvist (EuGH C-101/01) und EDPB-Leitlinien für Art. 9 Abs. 2 lit. e fordern, und wir behandeln sie nicht als solche.

Soweit Sie als Verantwortlicher unser RUM-Skript oder Transaktions-Monitoring auf einer Oberfläche ausspielen, die Daten besonderer Kategorien Ihrer Besucher / Endkunden verarbeitet, ist dies Ihre eigene Verantwortlichen-Entscheidung und Ihre eigene Verantwortung nach Art. 9 DSGVO; nichts an unserem Dienst oder unserer AV-Vereinbarung autorisiert Sie, Daten besonderer Kategorien durch Uptimia zu leiten, und die Datenkategorien-Erklärung in Annex A der AV-Vereinbarung geht ausschließlich von gewöhnlichen Besucher-/Endkundendaten aus.

4. Wie wir Ihre Informationen verwenden

Wir verwenden die erhobenen Daten zu den unten aufgeführten Zwecken. Gemäß Art. 13 Abs. 1 lit. c DSGVO ist die Rechtsgrundlage neben jedem Zweck ausgewiesen.

Zweck	Rechtsgrundlage (Art. 6 DSGVO)
Betrieb, Wartung und Verbesserung des Dienstes und der Website	Art. 6 Abs. 1 lit. f — berechtigtes Interesse
Authentifizierung Ihrer Person, Aufrechterhaltung Ihrer Sitzung, Durchsetzung der 2FA, soweit von Ihnen aktiviert	Art. 6 Abs. 1 lit. b — Vertrag
Ausführung der von Ihnen angelegten Monitor-Konfigurationen und Bereitstellung der Check-Ergebnisse auf Ihrem Dashboard	Art. 6 Abs. 1 lit. b — Vertrag
Zustellung von Alarmen an die von Ihnen konfigurierten Kanäle (SMS, WhatsApp, Slack, Discord, Teams, Mattermost, Telegram, PagerDuty, Atlassian Statuspage, X, Webhooks)	Art. 6 Abs. 1 lit. b — Vertrag
Abwicklung der Abonnementzahlungen und Erstellung von Rechnungen	Art. 6 Abs. 1 lit. b — Vertrag
Führung steuerlicher und buchhalterischer Aufzeichnungen	Art. 6 Abs. 1 lit. c — rechtliche Verpflichtung (§ 147 AO, § 257 HGB)
Erkennung, Verhinderung und Behandlung von Betrug, Brute-Force-Angriffen auf Zugangsdaten und Missbrauch des Dienstes	Art. 6 Abs. 1 lit. f — berechtigtes Interesse an der Konto-Integrität
Ausführung Ihrer Monitore gegen die von Ihnen konfigurierten Ressourcen aus dem mehrregionalen Probe-Netzwerk	Art. 6 Abs. 1 lit. b — Vertrag
Übergreifende Mess-Qualitäts- und Probe-Netzwerk-Operationen — Aggregation von Probe-Ergebnissen über Kunden hinweg zur Erkennung probe-seitiger Anomalien, Kalibrierung von Zeitmessungen und Identifikation regionaler Vorfälle, die mehrere Kunden betreffen; das Ergebnis ist aggregiert und erzeugt kein Signal auf Einzelnutzerebene	Art. 6 Abs. 1 lit. f — berechtigtes Interesse an Dienstqualität, Probe-Anomalie-Erkennung und plattformweiter Zuverlässigkeit. Wir behaupten nicht, dass das aggregierte Ergebnis im strengen Drei-Test-Rahmen der (ehemaligen) Artikel-29-Datenschutzgruppe Stellungnahme 05/2014 zu Anonymisierungstechniken (Singling-out, Linkability, Inference, alle abgewehrt) „anonym" wäre; wir behandeln die übergreifende Aggregation für die Rechtsgrundlagen-Analyse als pseudonym und stützen sie entsprechend auf Art. 6 Abs. 1 lit. f. Auswertungsberichte werden nur auf einer regionalen Aggregations-Ebene veröffentlicht, die hinreichend ist, um eine Re-Identifizierung der Monitor-Konfiguration eines individuellen Verantwortlichen zu verhindern
Betrieb von Affiliate-Attribution-Tracking auf der Marketing-Site (FirstPromoter — wird nur ausgelöst, wenn die URL `?via=` trägt)	Art. 6 Abs. 1 lit. a + § 25 Abs. 1 TDDDG (in Kraft seit dem 14. Mai 2024 als Nachfolger des TTDSG) — Einwilligung über den Datriva-Banner
Versand transaktionaler Kommunikation (Konto, Abrechnung, Sicherheit)	Art. 6 Abs. 1 lit. b — Vertrag
Versand gesetzlich vorgeschriebener Benachrichtigungen (Datenschutz-/AGB-Aktualisierungen nach Art. 12 bis 14, Benachrichtigung über Verletzungen des Schutzes personenbezogener Daten nach Art. 34)	Art. 6 Abs. 1 lit. c — rechtliche Verpflichtung
Versand von Produkt-Update-Mitteilungen an bestehende Kontoinhaber (Uptimia-Feature-Releases, dienst-relevante Aktualisierungen und Ankündigungen zu ähnlichen JJ-Online-Diensten)	Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit § 7 Abs. 3 UWG (Bestandskundenwerbung). Die vier kumulativen Voraussetzungen des § 7 Abs. 3 UWG sind sämtlich erfüllt: (i) Ihre Adresse wurde im Zusammenhang mit dem Verkauf unserer Waren oder Dienstleistungen erlangt (Abonnement- oder Trial-Anmeldung); (ii) wir verwenden die Adresse nur zur Direktwerbung für unsere eigenen ähnlichen Waren oder Dienstleistungen; (iii) Sie haben dieser Verwendung nicht widersprochen — sobald Sie widersprechen, stoppen sämtliche weiteren derartigen Mailings unverzüglich; und (iv) Sie wurden klar und deutlich, sowohl bei der Erhebung der Adresse als auch in jeder nachfolgenden Nachricht, darauf hingewiesen, dass Sie jederzeit widersprechen können, ohne dass hierfür andere als die Übermittlungskosten nach den Basistarifen entstehen — d. h. nichts darüber hinaus, was der Empfänger zahlen würde, um eine Standardnachricht über das Übermittlungsmedium zurückzusenden. Ein Widerspruch nach Art. 21 DSGVO ist bedingungslos und wird bei Eingang ohne Nachteil für Ihren zugrundeliegenden Vertrag verarbeitet
Versand von Marketingmitteilungen, denen Sie zugestimmt haben	Art. 6 Abs. 1 lit. a — Einwilligung
Erfüllung gesetzlicher Verpflichtungen, Beantwortung rechtmäßiger Anfragen	Art. 6 Abs. 1 lit. c — rechtliche Verpflichtung

Für jeden auf berechtigtes Interesse gestützten Zweck sind die Zusammenfassung der Abwägung und Ihr Widerspruchsrecht nach Art. 21 DSGVO in § 15 beschrieben. Eine Legitimate Interests Assessment (LIA) für jede dieser Tätigkeiten ist auf Anfrage unter privacy@uptimia.com verfügbar.

5. Drittanbieter-Dienste, die wir als Verantwortlicher einsetzen

Die in diesem Abschnitt aufgeführten Dienste verarbeiten personenbezogene Daten von Ihnen als Uptimia-Kontoinhaber auf unsere Weisung als Verantwortlicher der Website und des Dienstes. Soweit Uptimia zusätzlich als Auftragsverarbeiter für Sie hinsichtlich personenbezogener Daten Ihrer eigenen Besucher / Endkunden tätig wird, sind die für diese eigenständige Rolle eingesetzten Unter-Auftragsverarbeiter in § 7 und in Annex C der AV-Vereinbarung aufgeführt.

Die vollständige Unter-Auftragsverarbeiter-Liste mit Anschriften, Datum der AV-Vereinbarungen und Übermittlungsmechanismen findet sich in Annex C der AV-Vereinbarung. Die untenstehende Zusammenfassung dient der Transparenz nach Art. 13 Abs. 1 lit. e DSGVO.

5.1 Zahlungen und Abrechnung

Anbieter	Rechtsträger	Standort	Funktion	Übermittlungsmechanismus
Stripe	Stripe Payments Europe Ltd.	Irland (+ US-Unterverarbeitung durch Stripe, Inc.)	Abwicklung von Abonnementzahlungen, Karten-Tokenisierung, Betrugserkennung	EU–US DPF + SCC als Auffanglösung
PayPal	PayPal (Europe) S.à r.l. et Cie, S.C.A.	Luxemburg (+ US-Unterverarbeitung)	Alternativer Checkout zur Zahlung	EU–US DPF + SCC als Auffanglösung
easybill	easybill GmbH	Deutschland	Rechnungserstellung, GoBD-konforme Rechnungsarchivierung	nicht relevant (nur EU)

5.2 Hosting und Kerninfrastruktur

Anbieter	Rechtsträger	Standort	Funktion	Übermittlungsmechanismus
OVH	OVH SAS	Frankreich	Haupt-Anwendungshosting (Dashboard, API, primäre MariaDB), Probe-Netzwerk (EU-Region), selbst gehostete ClickHouse	nicht relevant (EU)
AWS — EU	Amazon Web Services EMEA SARL	Luxemburg (eu-central-1 Frankfurt + S3)	Transaktionale E-Mail über SES an EU-Empfänger; Speicherung von Rechnungs-PDFs und Exporten in S3; Probe-Netzwerk (EU-Regionen)	nicht relevant (EU-Region Frankfurt)
AWS — US	Amazon Web Services, Inc.	USA (us-east-1 Virginia)	Transaktionale E-Mail über SES an Nicht-EU-Empfänger; Probe-Netzwerk (Nicht-EU-Regionen)	EU–US DPF + SCC als Auffanglösung

5.3 Probe-Netzwerk

Das Uptimia-Probe-Netzwerk ist über neun Anbieter geografisch verteilt. Wichtige Designeigenschaft: Probes verarbeiten das Check-Ergebnis nur transient im Speicher + Transit und löschen jede lokale Kopie sofort nach Weiterleitung des Ergebnisses an die EU-basierte Hauptinfrastruktur. Auf der Probe-Ebene werden keine Kunden-personenbezogenen-Daten dauerhaft gespeichert.

Anbieter	Rechtsträger	Standort	Übermittlungsmechanismus
OVH	OVH SAS	Frankreich	nicht relevant (EU)
GCore	G-Core Labs S.A.	Luxemburg + globale Regionen	nicht relevant in EU-Regionen; SCC für Nicht-EU
DigitalOcean	DigitalOcean, LLC	USA + Regionen	EU–US DPF + SCC als Auffanglösung
Linode / Akamai	Akamai Technologies, Inc.	USA + Regionen	EU–US DPF + SCC als Auffanglösung
EDIS	EDIS Telekommunikation GmbH (firmiert als EDIS.at)	Klagenfurt, Österreich	nicht relevant (EU)
Scaleway	Scaleway SAS (Iliad-Gruppe)	Frankreich — Probe-Regionen in Frankreich (Paris), den Niederlanden (Amsterdam) und Polen (Warschau); sämtlich EU	nicht relevant (EU)
AWS	wie oben (5.2)	EU + USA	nicht relevant in EU; DPF + SCC US
Contabo	Contabo GmbH	Deutschland (Hauptsitz München) — Probe-Regionen in der EU (Deutschland, Österreich, Spanien, Portugal) und außerhalb der EU (USA, UK, Singapur, Japan, Australien, Indien)	nicht relevant in EU-Regionen (Contabo GmbH ist die EU-Vertragspartei); SCC für Nicht-EU-Regionen, ergänzt durch die in § 7 (Anlage B.6 der AV-Vereinbarung) beschriebene Eigenschaft der ephemeren Verarbeitung, die die dauerhafte Speicherung Personenbezogener Kundendaten auf Probe-Hosts unabhängig von der Region verhindert
Vultr	Vultr Holdings, LLC (The Constant Company, LLC)	USA (Delaware) — 13 Probe-Standorte in den USA, Niederlanden, Deutschland, UK, Australien, Japan	Keine DPF-Zertifizierung — SCC + die oben beschriebene Eigenschaft der nur ephemeren Verarbeitung als zentrale ergänzende Maßnahme. Vultr stellt rohes IaaS bereit und garantiert vertraglich keine „keine-dauerhafte-Speicherung"-Eigenschaft für die Nutzung seiner Server durch einen bestimmten Kunden; die ephemere Verarbeitung ist daher eine technische und organisatorische Maßnahme auf JJ-Online-Deployment-Ebene (keine Persistenz auf Anwendungs-Ebene auf Vultr-Datenträgern; Check-Eingaben und -Ausgaben werden nur im Speicher und in Transit gehalten; die Probe-Binärdatei schreibt keine Kunden-personenbezogenen-Daten auf die lokale Platte), umgesetzt durch uns als Verantwortlicher, und ist in Annex B.6 der AV-Vereinbarung als solche dokumentiert. Wir verifizieren die Eigenschaft regelmäßig — mindestens vierteljährlich und bei jeder Änderung der Probe-Binärdatei oder ihrer Deployment-Konfiguration —, indem wir Probe-Hosts stichprobenartig prüfen, lokale Platten-Schreibvorgänge gegen eine Negativliste der vom Probe-Binary erlaubten Pfade abgleichen und bestätigen, dass keine Kunden-personenbezogenen-Daten auf die Platte geschrieben wurden; das Verifikationsprotokoll ist Teil der nach Art. 32 Abs. 1 lit. d zu führenden regelmäßigen Test-Dokumentation und kann auf Anforderung einer Aufsichtsbehörde vorgelegt werden. Die Vultr-AV-Vereinbarung selbst bleibt der Standard-Anbieter-AV und wird zum Nachweis dieser Maßnahme nicht herangezogen.

5.4 Authentifizierung

Anbieter	Rechtsträger	Standort	Funktion	Übermittlungsmechanismus
Auth0	Auth0 EMEA Limited (Okta-Gruppe)	Irland (+ US-Unterverarbeitung)	Identitätsmanagement, Anmeldevorgang, Orchestrierung der Social-Connection	EU–US DPF + SCC als Auffanglösung

Auth0-Social-Connection-Unter-Unter-Auftragsverarbeiter. Wenn Sie sich auf der von Auth0 gehosteten Anmeldeseite für die Anmeldung mit Google oder GitHub entscheiden, übergibt Auth0 den OAuth-Vorgang an diese Anbieter. Es besteht keine direkte OAuth-Integration zwischen Uptimia und Google oder GitHub; Auth0 hält die zugrundeliegende AV-Vereinbarung. Die Anbieter sind: Google Ireland Limited (mit US-Unterverarbeitung durch Google LLC) und GitHub, Inc. (Microsoft-Gruppe).

Cookies während des Anmeldevorgangs. Die von Auth0 gehostete Anmeldeseite setzt während der Authentifizierung ihre eigenen unbedingt erforderlichen Cookies auf der Auth0-Domain (nicht auf uptimia.com). Diese Cookies sind zur Durchführung der von Ihnen angeforderten Anmeldung notwendig und nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei. Die Schaltflächen „Mit Google anmelden" und „Mit GitHub anmelden" auf unseren Anmelde- und Registrierungsseiten verwenden ein Click-to-Load-Muster: bis Sie eine dieser Schaltflächen anklicken, werden keine Auth0-, Google- oder GitHub-Skripte geladen, und es werden keine Anfragen an diese Anbieter gestellt; vollständige Details und die Auth0-/Okta-Datenschutz-URL finden Sie in unserer Cookie-Erklärung § 4.8.

5.5 Sicherheit und Threat Intelligence

Anbieter	Rechtsträger	Standort	Funktion	Übermittlungsmechanismus
Google Web Risk API	Google Ireland Limited	Irland (+ US-Unterverarbeitung)	Malware-/Phishing-Prüfung überwachter URLs — übermittelt wird ausschließlich die URL	EU–US DPF + SCC als Auffanglösung
Google PageSpeed Insights	Google Ireland Limited	Irland (+ US-Unterverarbeitung)	Performance-Analyse für den Geschwindigkeits-Monitor — übermittelt wird ausschließlich die URL	EU–US DPF + SCC als Auffanglösung

5.6 Marketing-Seiten-Integrationen

Anbieter	Rechtsträger	Standort	Funktion	Übermittlungsmechanismus
FirstPromoter	Igil Webs SRL	Rumänien	Affiliate-Attribution auf den Marketing-Seiten von uptimia.com — wird nur ausgelöst, wenn die URL `?via=` trägt; gestützt durch Ihre Einwilligung über den Datriva-Cookie-Banner	nicht relevant (EU)

5.7 JJ-Online-interne produktübergreifende Dienste (gleicher Verantwortlicher — keine Art.-28-Unter-Auftragsverarbeiter)

Die folgenden Dienste werden von der JJ Online GmbH selbst betrieben und sind keine Unter-Auftragsverarbeiter nach Art. 28. Alle fünf laufen auf demselben EU-Footprint wie die Haupt-Uptimia-Anwendung — OVH Frankreich (Anwendungsdatenbank und selbst gehostete Dienste) und, soweit Blob-Speicher erforderlich ist, AWS Frankfurt eu-central-1 — unter denselben technischen und organisatorischen Maßnahmen nach Art. 32, wie in § 12 beschrieben. Keine Verarbeitung durch JJ-Online-Schwesterprodukte verlässt die EU.

Datriva-CMP-Banner — Cookie-Consent-Management auf der Marketing-Site (https://datriva.com/cdn/banner/uptimia.js). Gehostet auf OVH Frankreich.
HelpCanvas-Widget — In-App-Chat-Support auf der Marketing-Site. Die HelpCanvas-Anwendung und ihr Nachrichtenspeicher werden auf OVH Frankreich innerhalb des JJ-Online-Stacks gehostet; HelpCanvas-Chat-Transkripte verlassen die EU nicht.
ClickHouse — Zeitreihen-Datenbank für Monitoring-Metriken, auf JJ-Online-OVH-Frankreich-Infrastruktur selbst gehostet.
Altcha — Proof-of-Work-Captcha-Bibliothek, lokal auf Uptimia-Infrastruktur ausgeführt; kein Drittanbieter-Datenfluss.
ErrorHawk (Schwesterprodukt) — außerhalb des Produktionsbereichs: die DSN ist nur auf unserer internen Entwicklungsumgebung konfiguriert, nicht auf der Produktions-Infrastruktur uptimia.com. In der Produktion werden keine Kunden-personenbezogenen-Daten an ErrorHawk weitergeleitet. Auch der eigene Produktions-Stack von ErrorHawk, soweit für andere JJ-Online-Produkte relevant, läuft auf OVH Frankreich.

Offenlegung gegenüber Dritten — kein Weiterverkauf, kein KI-Training, kein Audience-Building. Wir legen Ihre personenbezogenen Daten gegenüber Dritten nicht für deren eigene kommerzielle Zwecke offen. Die Drittanbieter-Dienste in § 5.1–5.6 verarbeiten Ihre personenbezogenen Daten ausschließlich als unsere Auftragsverarbeiter, auf unsere dokumentierten Weisungen, unter schriftlichen AV-Vereinbarungen, die jedem Auftragsverarbeiter vertraglich untersagen, Ihre personenbezogenen Daten zu einem anderen als dem konkret für uns erbrachten Zweck zu verwenden. Die untersagten Sekundärnutzungen umfassen insbesondere:

Training von Künstlicher-Intelligenz-, Machine-Learning- oder Large-Language-Modellen — einschließlich Foundation-Modell-Vortraining, Fine-Tuning, Embedding-Extraktion, Retrieval-Augmented-Generation-Indexierung, Erstellung von Evaluationsdatensätzen oder einer sonstigen Einbeziehung Ihrer personenbezogenen Daten in abgeleitete Datensätze oder Modellgewichte, sei es durch den Auftragsverarbeiter oder durch einen Dritten, an den der Auftragsverarbeiter unterlizenziert
Werbung, Profilbildung, Look-Alike-Audience-Building, Anzeigen-Targeting oder Anreicherung von Audience-Segmenten
Weiterverkauf, Unterlizenzierung oder Syndikation Ihrer personenbezogenen Daten — sei es auf namentlicher, pseudonymisierter, gehashter oder aggregierter Basis — an Datenhändler-, Analytics-Netzwerk- oder Werbenetzwerk-Gegenparteien
Jede sonstige Sekundärnutzung, die zur Erbringung des für uns beauftragten Dienstes nicht erforderlich ist

Die Beschränkungen nach Art. 28 Abs. 3 in der AV-Vereinbarung jedes Auftragsverarbeiters sind der Durchsetzungsmechanismus für die obigen Verbote. Soweit die Standardbedingungen oder die AV-Vereinbarung eines Auftragsverarbeiters diese Verbote nicht ausreichend abdecken, verhandeln wir vor Beauftragung geänderte Bedingungen oder beauftragen den Anbieter nicht.

6. Weitere Empfänger — Steuern, Audit, Recht, M&A und rechtmäßige Anfragen

Über die laufenden Auftragsverarbeiter aus § 5 hinaus können wir, im Einklang mit Art. 13 Abs. 1 lit. e DSGVO und den EDPB-Transparenz-Leitlinien (WP260 rev. 01), personenbezogene Daten auch an die folgenden Empfängerkategorien offenlegen:

Empfängerkategorie	Wann	Rechtsgrundlage	Umfang
Steuerbehörden (Finanzamt; Gegenstücke in anderen Jurisdiktionen)	Periodische Steuererklärungen, Compliance-Prüfungen, rechtmäßige Auskunftsersuchen	Art. 6 Abs. 1 lit. c — § 147 AO, § 257 HGB	Begrenzt auf gesetzlich geforderte Transaktions-, Rechnungs- und Buchhaltungsdaten
Externe Prüfer (gesetzliche, freiwillige, käuferseitige Due Diligence)	Jahresabschluss, freiwillige Finanz- oder Sicherheitsaudits, Vorab-Akquisitions-Due-Diligence	Art. 6 Abs. 1 lit. c bei Gesetzespflicht; ansonsten Art. 6 Abs. 1 lit. f	Unter schriftlicher Berufsverschwiegenheit; auf den Auftragsumfang minimiert
Rechtsberater (externe Rechtsanwälte, Anwälte, Notare)	Anspruchsverteidigung, Vertragsstreitigkeiten, regulatorische Reaktion, transaktionsbezogene Beratung	Art. 6 Abs. 1 lit. f; § 203 StGB Berufsverschwiegenheit	Auf den Mandatsumfang minimiert
Potenzielle Erwerber und deren Berater (M&A, Investment, Asset Deal, Restrukturierung)	Unternehmenstransaktionen — Datenräume in der Due Diligence, Anteilskaufverträge, Asset Deals	Art. 6 Abs. 1 lit. f, ausgelegt im Einklang mit dem DSK-Beschluss „Datenschutz im Asset Deal" vom 11. September 2024 (der das ursprüngliche DSK-Papier vom 24. Mai 2019 ersetzte und erweiterte). Wir wenden konkret die phasenbezogene Struktur des Beschlusses an: in der Due-Diligence-Phase werden kundenbezogene personenbezogene Daten grundsätzlich nur in pseudonymisierter oder aggregierter Form bereitgestellt, eine Offenlegung identifizierender Daten beschränkt sich auf die enge spät-stufige Ausnahme nach Art. 6 Abs. 1 lit. f DSGVO, die der Beschluss anerkennt (unterzeichneter LOI / fortgeschrittene Verhandlungen, NDA vorhanden, Minimierung auf das für die verbleibenden Due-Diligence-Fragen des Erwerbers strikt Notwendige, kein breiter Daten-raum-Dump); in der Closing-/Übertragungsphase folgen wir dem von dem Beschluss vorgegebenen Rechtsgrundlagen-Pfad für die jeweilige Transaktionsstruktur, und insbesondere behandeln wir den Verkauf einer Kundendatenbank als eigenständiges Asset als den sensibleren Fall, der nach der Analyse des Beschlusses in der Regel entweder eine Einwilligung oder ein aussagekräftiges Informations- und Widerspruchsverfahren vor Übertragung erfordert, im Unterschied zum Fall, in dem Kundenbeziehungen lediglich beiläufig als Teil eines umfassenderen Going-Concern-Asset-Deals mitübergehen. Über beide Phasen hinweg spiegelt sich die im Beschluss vollzogene Abkehr von der reinen Post-Closing-Widerspruchslösung hin zu einer Information der Betroffenen vor Übertragung in der Spalte „Schutzmaßnahmen" wider	Schriftliche NDA, Minimierung des Datenraums, Pseudonymisierung oder Aggregation während der Due Diligence (mit Freigabe identifizierender Daten ausschließlich unter der engen spät-stufigen Ausnahme nach Art. 6 Abs. 1 lit. f, auf Need-to-know-Basis und erst, nachdem die LOI-/Fortgeschrittene-Verhandlungen-Schwelle überschritten ist), und Information der betroffenen Personen vor Übertragung gemäß dem Beschluss vom 11. September 2024 statt eines bloßen Opt-out nach Übertragung — wobei das eigenständige-Kundendatenbank-Szenario auf dem geschützteren Rechtsgrundlagen-Pfad behandelt wird, den der Beschluss für diesen Fall vorgibt
Strafverfolgungsbehörden, Gerichte, Aufsichtsbehörden	Rechtmäßiges Ersuchen — gerichtliche Anordnung, Vorladung, behördliche Ermittlung	Art. 6 Abs. 1 lit. c bei verbindlichem Ersuchen; Art. 6 Abs. 1 lit. f bei verifizierter freiwilliger Kooperation	Auf den Umfang des konkreten Ersuchens begrenzt; wir bestreiten überschießende Ersuchen, soweit rechtlich zulässig
Versicherer und Schadensregulierer	Berufshaftpflicht, Cyber-Versicherung, Ansprüche aus gewerblicher Haftpflicht	Art. 6 Abs. 1 lit. f	Auf die zur Bewertung und Bearbeitung des konkreten Anspruchs notwendigen personenbezogenen Daten minimiert

Keiner dieser Empfänger erhält personenbezogene Daten routinemäßig oder im großen Stil; jede Offenlegung wird durch ein konkretes Ereignis ausgelöst.

7. Uptimia als Auftragsverarbeiter für Daten Ihrer Besucher / Endkunden

Soweit Sie Uptimia zur Überwachung von Ressourcen einsetzen, die Sie betreiben, entstehen bestimmte Datenflüsse, in denen Sie der Verantwortliche der personenbezogenen Daten Ihrer Besucher oder Endkunden sind und Uptimia in Ihrem Auftrag Auftragsverarbeiter ist:

Datenfluss	Welche personenbezogenen Daten durch Uptimia fließen
Authentifizierte HTTP-Checks	Antworttexte aus von Ihnen konfigurierten URLs können Namen, E-Mail-Adressen oder sonstige personenbezogene Daten Ihrer Endkunden enthalten — in unseren Check-Response-Snapshots erfasst (TTL von 7 Tagen auf dem Antworttext-Feld)
Transaktions-Monitoring	An jedem Schritt eines Transaktions-Skripts erfasste Screenshots können personenbezogene Daten enthalten, die auf authentifizierten Seiten sichtbar sind (z. B. der Name eines angemeldeten Nutzers in der Navigationsleiste) — gespeichert nach der in § 11 festgelegten Aufbewahrungsfrist
Real User Monitoring (RUM)	Wenn Sie unser RUM-Skript auf von Ihnen ausgewählten URLs ausspielen, sendet es Seitenladezeiten, Browser- und Geräte-Metadaten, geografische Herkunft und JavaScript-Fehlerereignisse zurück; Besucher-IP-Adressen werden vor der Speicherung auf /24 für IPv4 und /48 für IPv6 gekürzt; Ereignisse werden nur in aggregierter Form persistiert — es gibt keine Pro-Beacon-Aufzeichnung eines individuellen Besuchers
Statuspage-Vorfalls-Abonnements	E-Mail-Adressen, die Ihre Besucher eingeben, um Vorfalls-Benachrichtigungen auf einer von Ihnen über Uptimia betriebenen Statusseite zu abonnieren

Verantwortlicher-/Auftragsverarbeiter-Abgrenzung — die Analyse zu wesentlichen und nicht-wesentlichen Mitteln. Art. 28 DSGVO verlangt, dass der Verantwortliche Zwecke und Mittel der Verarbeitung bestimmt und der Auftragsverarbeiter auf dokumentierte Weisungen des Verantwortlichen handelt. Die EDPB-Leitlinien 07/2020 zu den Begriffen Verantwortlicher und Auftragsverarbeiter (Rn. 38) ziehen eine scharfe Grenze zwischen wesentlichen Mitteln — welche Datenkategorien verarbeitet werden, welche Kategorien betroffener Personen, Speicherdauer, Datenempfänger — die der Verantwortliche bestimmen muss, und nicht-wesentlichen Mitteln — technische Umsetzungsentscheidungen wie Algorithmus, Format, Software, Hardware —, die der Auftragsverarbeiter frei bestimmen darf. Wir sind Auftragsverarbeiter der personenbezogenen Daten Ihrer Besucher / Endkunden nach folgender Analyse:

Zwecke liegen bei Ihnen. Sie entscheiden, ob Sie unser RUM-Skript ausspielen und auf welchen URLs, ob Sie einen authentifizierten Endpunkt überwachen, ob Sie eine Transaktions-Journey skripten und ob Sie eine öffentliche Statusseite betreiben, die Besucher-Abonnements entgegennimmt. Keine dieser Verarbeitungsvorgänge beginnt, bevor Sie sie initiieren.
Wesentliche Mittel liegen bei Ihnen. Ihre Deployment-Entscheidung bestimmt die Datenkategorie (RUM-Deployment = Seitenladevorgänge Ihrer Besucher; Konfiguration von Transaktions-Monitoring = Screenshots der von Ihnen skripteten Journey); die Kategorien betroffener Personen werden dadurch bestimmt, wer Ihre Sites besucht und für wen Sie die Journey skripten; die Speicherdauer wird durch Ihre Dienst-Tarifstufe bestimmt (siehe § 11 und die Tarif-Matrix auf uptimia.com); die Datenempfänger werden durch Ihre Konto-Isolierung und durch die in Annex C der AV-Vereinbarung dokumentierten Unter-Auftragsverarbeiter begrenzt, denen Sie durch die Bereitstellung zustimmen.
Nicht-wesentliche Mittel liegen bei uns. Die Kürzung von Besucher-IP-Adressen vor der Speicherung auf /24 (IPv4) und /48 (IPv6), die Aggregationslogik, die RUM-Ereignisse aus Pro-Beacon-Tabellen heraushält, die Wahl der EU-basierten Speicherinfrastruktur (OVH Frankreich für die Anwendungsdatenbank, AWS Frankfurt eu-central-1 für Screenshot-Blobs in S3) und die ephemere Verarbeitungseigenschaft auf der Probe-Schicht sind technische Umsetzungsentscheidungen, die wir als Auftragsverarbeiter treffen. Sie sind technische und organisatorische Maßnahmen nach Art. 32 DSGVO — sie verstärken Ihre Kontrolle über die wesentlichen Mittel, sie ersetzen sie nicht.

Auf dieser Analyse sind die vier obigen Datenflüsse saubere Art.-28-Verantwortlicher-zu-Auftragsverarbeiter-Beziehungen. Unsere AV-Vereinbarung enthält die nach Art. 28 Abs. 3 DSGVO erforderlichen Verantwortlicher-zu-Auftragsverarbeiter-Klauseln; die Bereitstellung des Dienstes (Skript-Ausspielung, Monitor-Konfiguration, Tarifwahl), die in der AV-Vereinbarung dokumentierten Weisungen und die kontobezogene Processing-Instructions-Summary, beschrieben in DPA § 6.1(e) und Annex A.8, bilden zusammen Ihre dokumentierten Weisungen im Sinne von Art. 28 Abs. 3 lit. a DSGVO. Die AV-Vereinbarung gilt automatisch durch Bezugnahme nach Uptimia-AGB § 17.2, sobald Sie mit der Nutzung von Monitoring-Funktionen beginnen, die personenbezogene Daten Ihrer Besucher / Endkunden verarbeiten; eine gesonderte Unterzeichnung zur Inkraftsetzung der AV-Vereinbarung ist nicht erforderlich.

Art. 28 Abs. 9 DSGVO — Schriftform / elektronische Form. Art. 28 Abs. 9 DSGVO verlangt, dass der Vertrag zwischen Verantwortlichem und Auftragsverarbeiter „schriftlich abgefasst sein, einschließlich in einem elektronischen Format" muss. Die Uptimia-AGB, in die die AV-Vereinbarung einbezogen ist, sind selbst in elektronischer Form, und der vollständige Text der AV-Vereinbarung ist unter einer stabilen, dauerhaften URL auf uptimia.com (derzeit https://uptimia.com/legal/dpa — derselben kanonischen Oberfläche, von der diese Datenschutzerklärung veröffentlicht wird) veröffentlicht und Ihnen im Zeitpunkt der Einbeziehung zugänglich, sowohl vor als auch während Ihrer Annahme der AGB. Ihre elektronische Annahme der AGB — durch Anmeldung, Zahlung oder sonstige Nutzung des Dienstes in einer Weise, die Monitoring-Funktionen aktiviert, die personenbezogene Daten Ihrer Besucher / Endkunden verarbeiten — stellt im Sinne von Art. 28 Abs. 9 DSGVO Ihre Unterzeichnung der AV-Vereinbarung dar. Die im nächsten Absatz erwähnte „gegen-unterzeichnete Ausfertigung auf Anforderung" ist daher eine Anpassung an beschaffungsbedingte Formpräferenzen, keine Voraussetzung für das Inkrafttreten der AV-Vereinbarung; die AV-Vereinbarung ist allein durch die elektronische Annahme nach Art. 28 Abs. 9 voll bindend.

Kontobezogene dokumentierte Weisungen. Sie können die kontobezogene Processing-Instructions-Summary jederzeit per E-Mail an privacy@uptimia.com anfordern. Die Summary wird zum Zeitpunkt der Anfrage aus dem Zustand Ihres Kontos erzeugt und listet für Ihr konkretes Konto auf: die aktiven Monitor-Typen, die URLs und Ressourcen, die Sie für die Überwachung ausgewählt haben, Ihre Dienst-Tarifstufe und die daraus folgenden Aufbewahrungsfristen, die von Ihnen aktivierten Alarmkanäle (und damit die auf Ihrem Konto aktiven Unter-Auftragsverarbeiter), die für Ihre Daten geltende EU-Speicherregion und alle nachfolgenden schriftlichen Weisungen, die wir von Ihnen angenommen haben. Wir liefern die Summary innerhalb von fünf (5) Geschäftstagen. Die Summary ist dokumentarisch — sie ändert die AV-Vereinbarung nicht — und soll Ihre Pflicht zur Führung des Verzeichnisses von Verarbeitungstätigkeiten nach Art. 30 Abs. 1 DSGVO und Ihre Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO unterstützen, soweit Sie personenbezogene Daten Ihrer Besucher / Endkunden durch den Dienst verarbeiten. Eine Selbstbedienungs-Generierung der Summary in Ihrem Dashboard steht auf der Produkt-Roadmap; bis dahin gilt der manuelle Prozess.

Gegen-unterzeichnete Ausfertigung der AV-Vereinbarung. Soweit Ihre Beschaffungs-, Audit- oder regulatorischen Prozesse eine gegen-unterzeichnete Ausfertigung unserer AV-Vereinbarung mit angehängter Processing-Instructions-Summary als Annex A.8 verlangen, fertigen wir eine solche auf Anforderung kostenfrei aus. Kontakt: privacy@uptimia.com.

Besucherseitige Unter-Auftragsverarbeiter. Die für die Auftragsverarbeiter-Rolle eingesetzten Unter-Auftragsverarbeiter sind in Annex C der AV-Vereinbarung aufgeführt. Sie sind eine Obermenge der Unter-Auftragsverarbeiter aus § 5 oben. Die zusätzlichen Einträge in Annex C.5 sind die Alarmkanäle, die Sie konfigurieren (Slack, Discord, Twilio, PagerDuty usw.), die nur insoweit Unter-Auftragsverarbeiter werden, als die Alarm-Payload personenbezogene Daten Ihrer Besucher / Endkunden enthält (wie unter § 3 „Konfigurationen von Benachrichtigungskanälen — Doppelrolle der Alarmkanäle" oben dargestellt), und nur, soweit Sie den Kanal tatsächlich aktivieren. Dieselben Dritten handeln zugleich als eigene Dienstleister von Uptimia in Bezug auf die Kontaktdatensätze und Zugangsdaten des Ops-Teams sowie die an Ihr Ops-Team adressierte Komponente desselben Datenflusses — diese Verantwortlichen-Strecke ist die in § 5 inventarisierte, nicht hier. Die Auflistung in Annex C.5 ist daher enger als die kanalweise Liste in § 5: sie ist die Auftragsverarbeiter-Rolle-Projektion derselben Gruppe Dritter.

Technische Schutzmaßnahmen für die Auftragsverarbeiter-Rolle-Datenflüsse.

RUM-Besucher-IP-Adressen werden vor der Aufnahme des Ereignisses in den Speicher auf /24 (IPv4) oder /48 (IPv6) gekürzt; die vollständige IP-Adresse wird nicht persistiert
RUM-Ereignisse werden nur in aggregierter Form persistiert — es gibt keine Pro-Beacon-Tabelle, und kein individueller Besucher lässt sich aus den gespeicherten Daten rekonstruieren
Transaktions-Screenshots und Check-Response-Snapshots werden auf AWS S3 (Frankfurt) unter unserem Konto gespeichert; der Zugriff ist durch die Authentifizierung des Konto-of-Record gesichert
Probe-Knoten verarbeiten Check-Eingaben und -Ausgaben nur ephemerer Natur; auf der Probe-Schicht werden keine Kunden-personenbezogenen-Daten dauerhaft gespeichert
Zugangsdaten und Geheimnisse, die Sie hinterlegen, damit der Dienst sich gegenüber Ihren Ressourcen authentifizieren kann (HTTP-Basic-Zugangsdaten, individuelle Request-Header, Integrations-Zugangsdaten, literale Werte in Transaktions-Schritten), werden mit spaltenweiser Envelope-Verschlüsselung unter gesondert verwalteten Schlüsseln gehalten, wie in § 12 beschrieben

Besucher-Einwilligung. Es liegt in Ihrer Verantwortung als Verantwortlicher, jede etwaige Einwilligung Ihrer Besucher einzuholen, bevor Sie unser RUM-Skript auf Ihrer Website ausspielen. Soweit § 25 TDDDG oder gleichwertiges nationales EU-Recht eine Einwilligung für die Speicherung von oder den Zugriff auf Informationen auf dem Endgerät des Besuchers verlangt, muss Ihren Besuchern eine § 25-konforme Einwilligungsmöglichkeit geboten werden, bevor unser RUM-Skript geladen wird. Wir stellen Dokumentation zur Integration einer Einwilligungs-Gate-Logik bereit; die Umsetzung obliegt Ihnen.

8. Profiling und automatisierte Entscheidungsfindung

Dieser Abschnitt legt die automatisierten Vorgänge offen, die den Begriff der Profilbildung nach Art. 4 Nr. 4 DSGVO erfüllen, wie nach Art. 13 Abs. 2 lit. f und Art. 15 Abs. 1 lit. h DSGVO erforderlich — einschließlich des einen Vorgangs, der den Begriff der automatisierten Entscheidung im Sinne von Art. 22 Abs. 1 DSGVO erfüllt.

Zahlungs-Betrugs-Entscheidung beim Checkout (Art. 22 Abs. 1 DSGVO). Wenn Sie eine Zahlung absenden, bewertet unser Zahlungsanbieter die Transaktion anhand von Signalen wie Zahlungsmittel, Geräte-Fingerabdruck, Rechnungsadresse, IP-Adresse, vorheriger Nutzungshistorie und Machine-Learning-Mustern aus dem weiteren Betrugs-Korpus des Anbieters, um einen Betrugs-Risikoscore zu erzeugen. Ein hinreichend erhöhter Score führt dazu, dass die Transaktion abgelehnt, zur manuellen Prüfung durch den Anbieter markiert oder zu zusätzlicher Verifikation wie 3-D Secure geleitet wird. Dies ist eine ausschließlich automatisierte Entscheidung, die durch die Verhinderung des Kaufabschlusses in Echtzeit Wirkungen für Sie entfaltet, die hinreichend bedeutsam sind, um unter Art. 22 Abs. 1 DSGVO zu fallen.

Die Analyse trennt zwischen (i) der Rechtsgrundlage für die zugrundeliegende Verarbeitung Ihrer Zahlungsdaten (Art. 6 DSGVO) und (ii) der Erlaubnisnorm nach Art. 22 Abs. 2 DSGVO, die die automatisierte Entscheidung selbst zulässt. Im Anschluss an die enge Lesart der „Vertragsnotwendigkeit" durch den EDPB in seinen Leitlinien zu Artikel 22 (und die Linie, die der EuGH-Kommentar nach SCHUFA Holding (C-634/21, 7. Dezember 2023) verstärkt) führen wir die statutarischen Grundlagen voran und behandeln die Vertragsnotwendigkeit nur als Auffanglösung.

Rechtsgrundlage für die zugrundeliegende Verarbeitung — Art. 6 Abs. 1 lit. c DSGVO (Hauptbasis). Die Verarbeitung ist erforderlich, damit der Zahlungsanbieter die PSD2-Vorgaben zur starken Kundenauthentifizierung (Richtlinie (EU) 2015/2366 und Delegierte Verordnung (EU) 2018/389), die Anti-Geldwäsche- / Terrorismusfinanzierungs-Regelungen (Richtlinie (EU) 2015/849 in der jeweils geänderten Fassung; die EU-AML-Verordnung; nationale Umsetzungsakte) sowie die Verpflichtung aus den EBA-Leitlinien EBA/GL/2017/17 zu den Sicherheitsmaßnahmen für operationelle und sicherheitsbezogene Risiken von Zahlungsdiensten erfüllt, Transaktionsüberwachungsmechanismen anzuwenden, die betrügerische Zahlungstransaktionen erkennen. Diese gesetzlichen Verpflichtungen binden den Zahlungsanbieter unmittelbar und reichen zu uns als Händler durch, in dessen Auftrag das Screening ausgeführt wird; sie machen die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung, der Uptimia (über den Anbieter) im Sinne von Art. 6 Abs. 1 lit. c DSGVO unterliegt, erforderlich.

Art. 6 Abs. 1 lit. f DSGVO — Alternativgrundlage für das residuale händlerseitige Betrugspräventions-Interesse. Soweit ein Element des Screenings über das gesetzlich strikt Geforderte hinausgeht und unser eigenes händlerseitiges Interesse an der Verhinderung von Card-not-present-Betrug, Chargebacks und Konto-Übernahme bei der Registrierung widerspiegelt, stützen wir uns auf Art. 6 Abs. 1 lit. f DSGVO. Die Abwägung für dieses residuale Element ist in § 15 („Zusammenfassung der Legitimate Interests Assessment") dokumentiert und behandelt das Interesse als erheblich (direkter Betrugsschaden + Bearbeitungslast bei Streitfällen), die Interessen der betroffenen Personen als durch die unten genannten Schutzmaßnahmen nach Art. 22 Abs. 3 gewahrt und die Verarbeitung als verhältnismäßig (transaktionsbezogene Signale, nicht als Profil vorgehalten).

Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllungsgrundlage, nur als Auffanglösung. Soweit weder die statutarische noch die Residual-Interesse-Rahmung ein konkretes Element der Verarbeitung erfasst, ist das Screening auch erforderlich, um uns den Abschluss des Zahlungsabschnitts des Vertrags zu ermöglichen, den Sie mit uns abschließen möchten — was Art. 6 Abs. 1 lit. b stützt. Wir führen dies als Auffanglösung an, weil wir die Auffassung des EDPB teilen, dass die „Erforderlichkeit" nach Art. 6 Abs. 1 lit. b eng zu lesen ist: Die operative Unverzichtbarkeit der Betrugsprüfung erfüllt für sich genommen den Test „kein milderes Mittel" nicht, und die obigen Art. 6 Abs. 1 lit. c und f-Grundlagen sind die sauberere Begründung.

Art. 22 Abs. 2 als Erlaubnisnorm für die automatisierte Entscheidung selbst. Art. 6 allein autorisiert nicht die automatisierte Entscheidung im Sinne von Art. 22 Abs. 1; diese Entscheidung benötigt eine Erlaubnisnorm nach Art. 22 Abs. 2 — (a) Vertragsnotwendigkeit, (b) eine Vorschrift des Unionsrechts oder des Rechts eines Mitgliedstaats, die angemessene Schutzmaßnahmen vorsieht, oder (c) ausdrückliche Einwilligung. Wir stützen uns hauptsächlich auf Art. 22 Abs. 2 lit. b DSGVO: Der PSD2-SCA-Rahmen (Richtlinie (EU) 2015/2366 i. V. m. Delegierter Verordnung (EU) 2018/389) und der oben zitierte AML-/CTF-Rahmen stellen eine ermächtigende Unionsrechtsvorschrift dar, die gerade die beim Checkout getroffenen Transaktionsüberwachungsentscheidungen verlangt und die selbst angemessene Schutzmaßnahmen für die betroffene Person vorsieht (PSD2-Verbraucherschutzkapitel in Titel IV; Beschwerde- und Überprüfungsmechanismen der AMLD in der nationalen Umsetzung; die parallel angewandten Schutzmaßnahmen für betroffene Personen nach Art. 22 Abs. 3 DSGVO). Die oben zitierten EBA-Leitlinien operationalisieren diese gesetzliche Regelung durch verbindliche aufsichtsrechtliche Erwartungen an Entscheidungen zur Zahlungsüberwachung. Wir behandeln Art. 22 Abs. 2 lit. a DSGVO (Vertragsnotwendigkeit) lediglich als Auffang-Erlaubnisnorm — eingreifend nur insoweit, als eine Aufsichtsbehörde die Erlaubnisnorm nach Art. 22 Abs. 2 lit. b eng auslegen sollte —, und wir stützen uns nicht auf Art. 22 Abs. 2 lit. c (ausdrückliche Einwilligung), die in einem Zahlungs-Checkout-Kontext nicht freiwillig erteilt würde.

Ihre Schutzmaßnahmen nach Art. 22 Abs. 3 DSGVO. Sie haben das Recht:

eine menschliche Intervention in die Entscheidung zu verlangen — schreiben Sie an privacy@uptimia.com und identifizieren Sie die abgelehnte Transaktion; wir leiten den Fall an das Manuelle-Prüfungs-Team des Zahlungsanbieters und an unseren eigenen Billing-Betrieb weiter, die das automatisierte Ergebnis nach Sachlage überschreiben können;
Ihren eigenen Standpunkt darzulegen — Sie können jeden Kontext einreichen, den Sie für relevant halten (z. B. Reisekontext bei einer Ablehnung wegen ausländischer IP, korrigierte Rechnungsdaten, Nachweis der Karteninhaberschaft);
die Entscheidung anzufechten — das Ergebnis der manuellen Prüfung ist selbst durch uns überprüfbar; sind Sie weiterhin unzufrieden, können Sie den alternativen Checkout-Pfad (Stripe ↔ PayPal) nutzen oder eine schriftliche Erklärung anfordern, die zur Weiterleitung an Ihren Karten-Aussteller geeignet ist.
den konkreten Ablehnungscode und, soweit anwendbar, den Stripe-Radar-Regelnamen zu erhalten — auf eine Anforderung nach Art. 22 Abs. 3 teilen wir Ihnen zusätzlich zu den oben beschriebenen Schritten der menschlichen Prüfung den vom Zahlungsanbieter für Ihre Transaktion zurückgegebenen Ablehnungscode und, soweit die Ablehnung auf einer konkreten Radar-Regel beruhte, die der Anbieter uns im Händler-Dashboard ausgewiesen hat (im Unterschied zu einer Ablehnung durch die ausstellende Bank), den Namen dieser Regel mit. Dies ist die unter „Aussagekräftige Informationen über die involvierte Logik" beschriebene transaktionsbezogene Hauptgründe-Offenlegung; wir machen die Zusage hier ausdrücklich, damit sie aus der Schutzmaßnahmenliste nach Art. 22 Abs. 3 erreichbar ist, ohne zunächst den SCHUFA-Umsetzungs-Absatz lesen zu müssen.

Wir beantworten Anfragen nach Art. 22 Abs. 3 innerhalb der Frist des Art. 12 Abs. 3 DSGVO (ein Monat, in komplexen Fällen um weitere zwei Monate verlängerbar mit Ihnen mitgeteilter Ankündigung).

Aussagekräftige Informationen über die involvierte Logik (Art. 15 Abs. 1 lit. h DSGVO; EuGH-Rechtssache C-634/21 SCHUFA Holding, 7. Dezember 2023). Der Betrugs-Risikoscore wird von einem von dem Zahlungsanbieter gepflegten Drittanbieter-Machine-Learning-Modell erzeugt (Stripe Radar; das entsprechende PayPal-Modell) und gegen den globalen Betrugs-Korpus dieses Anbieters trainiert. Die internen Gewichtungen dieser Modelle werden vom Anbieter nicht veröffentlicht und werden uns unter Standard-Händlerbedingungen nicht zugänglich gemacht — das Offenlegen der Gewichtungen würde es Betrügern ermöglichen, das Modell rückzuentwickeln, weshalb kein nennenswerter Kartenzahlungs-Anbieter sie offenlegt. Wir halten dieses Fehlen nicht für geeignet, Ihr Recht aus Art. 15 Abs. 1 lit. h zu vereiteln. SCHUFA Holding verlangt „aussagekräftige Informationen über die involvierte Logik", die ausreichen, damit die betroffene Person das Verfahren versteht, das zum Score geführt hat, und gegebenenfalls die konkrete Entscheidung in ihrem Fall anfechten kann — nicht den Algorithmus selbst. Auf diesem Maßstab legen wir Folgendes offen und bestätigen es Ihnen auf Anforderung schriftlich:

Die wesentlichen Faktorgruppen, die das Modell bewertet — Transaktionsbetrag und Währung; Zahlungsmittel-Metadaten (Karten-BIN, Ausgabeland, Marke, Funding-Typ); das AVS-Ergebnis der Rechnungsadresse; Geräte- und Browser-Fingerabdruck; IP-Adresse, IP-Geolokalisierung und IP-vs-Rechnungsland-Mismatch; frühere Ausgänge derselben Karte oder desselben Kontos im globalen Korpus des Anbieters und bei Uptimia (Ihre eigene Historie mit uns); netzwerkbezogene Reputations- und Blocklist-Signale; gegebenenfalls 3-D-Secure-Ergebnis.
Der Hauptgrund für Ihren konkreten Ausgang. Wenn Ihre Transaktion abgelehnt wurde, gibt der Anbieter einen konkreten Ablehnungscode zurück (z. B. do_not_honor, card_declined, fraudulent, lost_card, stolen_card, pickup_card, incorrect_cvc, expired_card) und, soweit die Ablehnung durch eine Radar-Regel statt durch die ausstellende Bank ausgelöst wurde, den Namen der ausgelösten Regel (für uns im Händler-Dashboard sichtbar). Wir reichen Ihnen diesen konkreten Code und, soweit verfügbar, den konkreten Regelnamen auf Anforderung weiter — das ist die nach SCHUFA Holding Rn. 54 bis 59 erforderliche Hauptgründe-Offenlegung.
Der von uns als Händler beherrschte Override-Pfad. Eine anbieterseitige Betrugs-Ablehnung sperrt Sie nicht aus dem Dienst aus. Wir können uns entscheiden, eine vom Modell abgelehnte Transaktion zu honorieren; schreiben Sie an privacy@uptimia.com mit Identifikation der Transaktion, übermitteln Sie jeden Kontext, den Sie für relevant halten (Reise, korrigierte Rechnungsdaten, Nachweis der Karteninhaberschaft), und wir werden (a) zur Manuelle-Prüfung-Stelle des Anbieters eskalieren, die das Modell nach Sachlage überschreiben kann, und (b) die Belastung nach dem Override von unserer Händlerseite aus erneut versuchen oder den alternativen Checkout-Pfad (Stripe ↔ PayPal) nutzen.
Bedeutung für Sie. Ein hinreichend erhöhter Score führt entweder zur Ablehnung der Transaktion beim Checkout, löst einen 3-D-Secure-Step-up aus oder leitet die Transaktion zur manuellen Prüfung beim Anbieter. Der Score wird nicht als Profil auf Ihrem Nutzerdatensatz vorgehalten; es handelt sich um ein transaktionsbezogenes Signal.

Anti-Missbrauchs-Ratenbegrenzungen und Signup-Bot-Scoring (keine Entscheidung im Sinne von Art. 22). Getrennt von der Zahlungsbetrugs-Erkennung wenden wir automatisierte Ratenbegrenzungs-Entscheidungen gegen die API- und Sign-up-Endpunkte basierend auf Request-Mustern, IP-Reputation und Konto-Alter an. Die Registrierung wird zusätzlich durch Altcha abgesichert, eine selbst gehostete Proof-of-Work-Challenge, die lokal auf Uptimia-Infrastruktur ausgeführt wird (kein Drittanbieter-Datenfluss). Ein interner heuristischer Score wird ebenfalls auf Ihrem Nutzerdatensatz erfasst. Diese Signale sind ausschließlich hinweisend — es gibt keine Auto-Sperr- oder Auto-Ablehnungs-Logik. Konten werden manuell durch einen Administrator nach menschlicher Prüfung deaktiviert. Die Registrierung ist auf 3 Versuche pro 15 Minuten pro IP beschränkt. Die Entscheidung ist durch Schreiben an privacy@uptimia.com umkehrbar.

Profiling-Transparenz für die hinweisende Heuristik (Art. 4 Nr. 4, Art. 13 Abs. 2 lit. f, Art. 14 Abs. 2 lit. g, Art. 15 Abs. 1 lit. h DSGVO). Der hinweisende heuristische Score auf Ihrem Nutzerdatensatz ist Profilbildung im Sinne von Art. 4 Nr. 4 DSGVO, auch wenn auf seiner Grundlage keine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung getroffen wird (Art. 22 Abs. 1 DSGVO ist nicht berührt). Die Transparenzpflichten nach Art. 13 Abs. 2 lit. f und Art. 14 Abs. 2 lit. g — und das entsprechende Auskunftsrecht zu „aussagekräftigen Informationen über die involvierte Logik" nach Art. 15 Abs. 1 lit. h — sind nach besserer Lesart nicht strikt auf Profilbildung im Sinne von Art. 22 Abs. 1 beschränkt; wir legen daher hier vorab und auf Auskunftsanfrage die wesentlichen Eingabe-Kategorien offen, die die Heuristik bewertet: Rate von Registrierungs- oder Anmeldeversuchen aus derselben IP und derselben E-Mail-Domain über ein definiertes Zeitfenster; Vorhandensein der IP auf internen und gängigen externen Reputationslisten (z. B. Open-Proxy / Tor-Exit / bekannte VPN-Listen); Signale zu Konto-Alter und Konto-Status (neu erstellt vs. langjährig, vorherige Support-Ticket-Historie); Ähnlichkeit mit bekannten Missbrauchs-Fingerabdrücken (Proof-of-Work-Fehlerquote über Altcha, Monitor-Erstellungsmuster in den Minuten nach der Registrierung). Auf eine Auskunftsanfrage nach Art. 15 Abs. 1 lit. h legen wir zusätzlich den auf Ihrem Konto erfassten Score, die wesentlichen Beitragsfaktoren zu diesem Score sowie die Abwesenheit einer auto-entscheidenden Regel offen, die an ihn geknüpft wäre.

Ihr Widerspruchsrecht nach Art. 21 DSGVO. Sie behalten das Recht, jeder Profilbildung zu widersprechen, die sich auf unsere berechtigten Interessen (Art. 6 Abs. 1 lit. f DSGVO) stützt. Dieses Recht erstreckt sich jedoch nicht auf die oben beschriebene Zahlungs-Betrugs-Entscheidung, soweit diese Entscheidung auf der Erlaubnisnorm nach Art. 22 Abs. 2 lit. b und auf der statutarischen Erfüllungsgrundlage nach Art. 6 Abs. 1 lit. c beruht — keine davon ist von Art. 21 berührt. Für das residuale Art. 6 Abs. 1 lit. f-Element des Screenings gilt Art. 21, jedoch würde die in § 15 dokumentierte Abwägung berechtigter Interessen in der Praxis einem Widerspruch im Hinblick auf einen aktiven Zahlungsversuch überlegen sein; für die Entscheidung selbst sind Ihre Schutzmaßnahmen die oben dargelegten Rechte nach Art. 22 Abs. 3.

9. Cookie-Einwilligung — erteilen und widerrufen

Der Cookie-Banner auf uptimia.com wird von Datriva betrieben (ebenfalls ein JJ-Online-GmbH-Produkt — wir verwenden unsere eigene Consent-Management-Plattform). Soweit wir Cookies oder vergleichbare Technologien einsetzen, die Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG erfordern, gelten für den Einwilligungs- und Widerrufsmechanismus die folgenden Regeln.

Wie wir die Einwilligung einholen. Bei Ihrem ersten Besuch der Marketing-Site erscheint der Datriva-Banner, bevor ein nicht unbedingt erforderliches Cookie gesetzt wird. Der Banner stellt die drei einwilligungspflichtigen Kategorien (Funktional, Analyse, Marketing) als Opt-in dar — jede Kategorie ist standardmäßig nicht angekreuzt. Sie können alle akzeptieren, alle ablehnen oder eine granulare Teilmenge akzeptieren, jeweils mit gleicher Anzahl an Klicks, in Übereinstimmung mit Art. 7 Abs. 2 DSGVO und den EDPB-Leitlinien 05/2020 zur Einwilligung. Strikt notwendige Cookies werden ohne Einwilligung auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG gesetzt.

Widerruf — so einfach wie die Erteilung. Art. 7 Abs. 3 DSGVO verlangt, dass der Widerruf der Einwilligung so einfach sein muss wie deren Erteilung. Nach den EDPB-Leitlinien 05/2020 zur Einwilligung (Rn. 117) bedeutet Parität hier dasselbe Medium und dieselbe Anzahl an Schritten wie das ursprüngliche Opt-in. Wir betreiben daher eine einzige Paritäts-Route nach Art. 7 Abs. 3:

Link „Cookie-Einstellungen" im Footer der Marketing-Site (Paritäts-Route nach Art. 7 Abs. 3). Im Footer jeder Marketing-Seite ist dauerhaft ein Link „Cookie-Einstellungen" vorhanden. Ein Klick öffnet denselben Datriva-Banner mit Ihren aktuellen Einstellungen wieder, wo Sie jede Kategorie deaktivieren — oder alle nicht unbedingt erforderlichen Cookies ablehnen — können, mit derselben Anzahl an Klicks, die zur Annahme erforderlich war. Da der Banner, der den Widerruf abwickelt, dasselbe UI-Element, im selben Medium, mit denselben Schaltern wie der Banner ist, der die ursprüngliche Einwilligung abgewickelt hat, ist der Widerrufsmechanismus identisch (nicht nur „so einfach wie") der Erteilungsmechanismus. Dies ist die stärkste Form der Parität nach Art. 7 Abs. 3, wie sie in den EDPB-Leitlinien 05/2020 zur Einwilligung Rn. 117 in Betracht gezogen wird, und auf sie stützen wir uns als Paritäts-Route.

Zwei weitere Routen stehen zu Ihrer Bequemlichkeit zur Verfügung, sind nicht gleichwertig zum ursprünglichen Opt-in und werden nicht zur Erfüllung der Parität nach Art. 7 Abs. 3 herangezogen:

E-Mail an privacy@uptimia.com. Wir registrieren und vollziehen den Widerruf manuell innerhalb der Frist des Art. 12 Abs. 3 DSGVO.
Löschen der Cookies in Ihrem Browser. Dadurch wird auch unsere lokal gespeicherte Einwilligungs-Aufzeichnung gelöscht, sodass der Banner bei Ihrem nächsten Besuch erneut erscheint; die hierfür erforderlichen Schritte sind nicht gleichwertig zum ursprünglichen Opt-in-Mechanismus.

Wirkung des Widerrufs. Nicht unbedingt erforderliche Cookies werden mit Widerruf sofort nicht mehr gesetzt. Der Widerruf berührt die Rechtmäßigkeit der vor dem Widerruf erfolgten Verarbeitung nicht (Art. 7 Abs. 3 DSGVO, zweiter Satz).

Für das Cookie-für-Cookie-Verzeichnis siehe die Cookie-Erklärung.

10. Cookies

Wir setzen Cookies und ähnliche Tracking-Technologien ein. Unsere Cookie-Erklärung legt dar: (i) die vier Kategorien (Strikt notwendig, Funktional, Analyse, Marketing — derzeit setzen wir keine Funktional-, keine Analyse- und nur einen Marketing-Drittanbieter ein, der ausschließlich beim Eintreffen über ?via= aktiv wird), (ii) jedes konkrete Cookie sowie jeden localStorage-/sessionStorage-Eintrag mit Anbieter und Dauer, (iii) Drittanbieter-Skripte, (iv) die Rechtsgrundlagen je Kategorie nach § 25 TDDDG und Art. 6 DSGVO und (v) die Einwilligungs- und Widerrufsmechanismen.

11. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die in dieser Erklärung dargestellten Zwecke erforderlich ist oder gesetzlich verlangt wird. Nach Art. 5 Abs. 1 lit. e DSGVO wenden wir eine kategoriebasierte Speicherbegrenzungs-Analyse an und keinen einheitlichen Pauschalzeitraum. Die untenstehenden Kategorien decken alle von uns verarbeiteten personenbezogenen Daten ab.

Kategorie	Speicherdauer	Rechtsgrundlage
Konto- und vertragsbezogene Nachweisdaten — gesetzlicher Name, Kontakt-E-Mail, Abrechnungsidentität, Bestell- und Abonnementhistorie, Vertragsänderungen, Kündigungserklärung, Streitkorrespondenz	Dauer Ihres Kontos + 3 Kalenderjahre nach Beendigung (zum Jahresende verankert)	Art. 6 Abs. 1 lit. f; § 195 und § 199 Abs. 1 BGB (Geltendmachung, Ausübung, Verteidigung von Rechtsansprüchen)
Rechnungen, Zahlungsbelege, Buchführungsunterlagen	6 bis 10 Jahre, je nach Belegart, zum Jahresende verankert — 10 Jahre für Bücher, Inventare und Jahresabschlüsse (§ 147 Abs. 1 Nr. 1 AO; § 257 Abs. 1 Nr. 1, Nr. 3 HGB i. V. m. Abs. 4); 8 Jahre für Buchungsbelege und Rechnungsaufzeichnungen nach § 14b UStG (§ 147 Abs. 1 Nr. 4 und Nr. 4a AO nach Bürokratieentlastungsgesetz IV, in Kraft seit 1. Januar 2025; § 257 Abs. 4 HGB nach BEG IV); 6 Jahre für Handelsbriefe (§ 147 Abs. 1 Nr. 2 und Nr. 3 AO; § 257 Abs. 1 Nr. 2 HGB)	Art. 6 Abs. 1 lit. c; § 147 AO, § 257 HGB, § 14 UStG
Operative Einstellungen — Benachrichtigungs- und Kommunikationspräferenzen, UI-Einstellungen, gespeicherte Filter, Dashboard-Layouts, Integrations-Tokens, API-Schlüssel, hochgeladene Dateien	Dauer des Vertragsverhältnisses	Art. 6 Abs. 1 lit. b
Authentifizierungs- und Sicherheits-Audit-Ereignisse — Anmelde-Datensätze, Zwei-Faktor-Ereignisse, IP-Audit, Zähler fehlgeschlagener Anmeldungen	180 Tage	Art. 6 Abs. 1 lit. f; BSI-IT-Grundschutz-Basis
Interner hinweisender heuristischer Risikoscore (beschrieben in § 3 „Sicherheit" und § 8 „Anti-Missbrauchs-Ratenbegrenzungen und Signup-Bot-Scoring") — eine einzelne hinweisende Ganzzahl pro Nutzerdatensatz	Dauer Ihres Kontos, bei jedem neuen Missbrauchssignal neu berechnet und in-place überschrieben (keine historische Score-Tabelle wird vorgehalten); mit dem Konto bei der Konten-Anonymisierung am Ende der Speicherdauer der Zeile „Konto- und vertragsbezogene Nachweisdaten" oben gelöscht	Art. 6 Abs. 1 lit. f (Missbrauchsabwehr; auf Grundlage dieses Scores wird keine Entscheidung nach Art. 22 Abs. 1 getroffen)
Anwendungs- und Zugriffsprotokolle — Routineverkehr, Fehlerprotokolle	30 Tage	Art. 6 Abs. 1 lit. f (operative Integrität)
Monitor-Konfigurationen, die Sie anlegen	Dauer des Monitors	Art. 6 Abs. 1 lit. b
Monitor-Ergebnisdaten — Uptime, SSL, Domain/WHOIS, Geschwindigkeit, Transaktion, RUM-Aggregate, Virus/Malware, Server-Agent-Metriken	Bis zu 13 Monate, tarifabhängig (siehe Tarif-Matrix auf uptimia.com)	Art. 6 Abs. 1 lit. b; Kunden-Nutzwert-Obergrenze
Uptime-HTTP-Antworttexte	7 Tage (automatisch verworfen)	Art. 6 Abs. 1 lit. b (rein operativ)
Transaktions-Screenshots	30 Tage	Art. 6 Abs. 1 lit. f; Datenminimierung nach Art. 5 Abs. 1 lit. c (personenbezogene Daten können auf authentifizierten Bildschirmen sichtbar sein)
Supportkorrespondenz	Dauer des Supportvorgangs + 3 Kalenderjahre (zum Jahresende verankert)	Art. 6 Abs. 1 lit. f; § 195 und § 199 BGB
Cookie-Einwilligungs-Aufzeichnungen	180 Tage für die Einwilligungs-Aufzeichnung + 12 Monate Audit-Log-Speicherung	Art. 7 Abs. 1 DSGVO (Nachweis der Einwilligung)
Backups	Rollierendes 14-Tage-Fenster	Art. 6 Abs. 1 lit. f (Disaster Recovery)

Nach Ablauf der oben genannten Frist werden personenbezogene Daten gelöscht oder — soweit eine Löschung die Audit-Integrität beeinträchtigen würde — so anonymisiert, dass eine Re-Identifizierung nicht mehr nach vernünftigem Ermessen möglich ist. Gesetzliche Aufbewahrungspflichten (die zweite Zeile oben) gehen einer früheren Löschung nach Art. 17 Abs. 3 lit. b DSGVO vor.

Verhalten bei Konto-Löschung (Art. 17 DSGVO). Wenn Sie Ihr Konto über die Einstellungen oder per Anfrage an privacy@uptimia.com löschen, werden Zahlungs-Integrationen, Statusseiten, Bearbeiter und aktive Sitzungen sofort entfernt; Monitor-Konfigurationen und Alarm-Einstellungen treten in den oben in der ersten Zeile beschriebenen Anspruchsverteidigungs-Nachlauf ein; Ihre Kontakt- und vertragsbezogene Nachweisidentität wird am Ende dieses Nachlaufs anonymisiert oder gelöscht, vorbehaltlich der für Rechnungen und Buchführungsunterlagen geltenden gesetzlichen Aufbewahrung. Backups laufen entsprechend dem rollierenden 14-Tage-Fenster aus: während dieses Fensters werden die Daten nicht aktiv verarbeitet und existieren nur als eingefrorener Disaster-Recovery-Snapshot. Die Kombination eines kurzen rollierenden Fensters, des Fehlens einer aktiven Verarbeitung während dieses Fensters und des unten beschriebenen erneuten-Löschungs-bei-Wiederherstellung-Schritts entspricht der etablierten Aufsichtsbehördenpraxis zu Backups nach Art. 17 Abs. 1 / Abs. 3 DSGVO. Wir führen ein internes Backup-Register, in dem die in Anwendung befindlichen Systeme (Anwendungs-MariaDB, ClickHouse-Zeitreihen, AWS S3 Frankfurt für Transaktions-Screenshots), die Rotationsrichtlinie, der Speicherort, die Zugriffskontrollen und das Wiederholungs-Löschung-Runbook dokumentiert sind. Stellen wir aus einem Backup wieder her, das vor einer Löschanfrage liegt, wird die ursprüngliche Löschung innerhalb von 72 Stunden nach Abschluss der Wiederherstellung erneut angewandt — und, sofern die Wiederherstellung das System für die aktive Verarbeitung wieder online stellt, bevor das wiederhergestellte System für den Nutzerverkehr geöffnet wird —, sodass die gelöschten personenbezogenen Daten nicht erneut in die aktive Verarbeitung gelangen. Die 72-Stunden-Obergrenze ist die externe Audit-Zusage; im Normalbetrieb läuft das erneute Löschungs-Replay als erster geskripteter Schritt nach der Wiederherstellung und ist in Minuten, nicht Stunden abgeschlossen. Das Backup-Register erfasst je produktiver Wiederherstellung (i) den Zeitstempel, zu dem die Wiederherstellung abgeschlossen wurde, (ii) den Zeitstempel, zu dem das Löschungs-Log-Replay abgeschlossen wurde, und (iii) die Bestätigung, dass zwischen (i) und (ii) kein Nutzerverkehr in das wiederhergestellte System gelangt ist.

Besucherdaten, die unter § 7 (Auftragsverarbeiter-Rolle) verarbeitet werden. Speicherung gemäß AV-Vereinbarung, grundsätzlich nach Ihrer Weisung als Verantwortlicher. Voreinstellungen entsprechen der jeweils zutreffenden Kategorie oben.

HelpCanvas-gehostete Supportkonversationen. HelpCanvas ist ein JJ-Online-Produkt, das auf JJ Onlines eigener EU-Infrastruktur läuft (§ 5.7) — keine Drittanbieter-Plattform —, sodass JJ Online für die Konversation unabhängig davon, auf welcher Oberfläche sie gelesen oder geschrieben wird, der einzige Verantwortliche ist. Die Speicherung folgt der obigen Zeile Supportkorrespondenz (Dauer des Supportvorgangs + 3 Kalenderjahre, zum Jahresende verankert; Art. 6 Abs. 1 lit. f; § 195 und § 199 BGB). Es gibt keine separate „Plattform-of-Record"-Aufbewahrung, an die anzuknüpfen wäre.

12. Datensicherheit

Wir setzen geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO ein, um Ihre personenbezogenen Daten vor unbefugtem Zugriff, Offenlegung, Veränderung oder Zerstörung zu schützen. In der Praxis:

TLS 1.2+ für alle kundenseitigen Schnittstellen und für alle Kommunikationen mit Unter-Auftragsverarbeitern
Rollenbasierte Zugriffskontrollen, die den Zugriff auf personenbezogene Daten auf Mitarbeitende beschränken, die ihn benötigen; Mehr-Faktor-Authentifizierung für alle operativen Mitarbeitenden
Schriftliche Vertraulichkeitsverpflichtungen der Mitarbeitenden
Festplattenverschlüsselung im Ruhezustand für die Anwendungsdatenbank und die Zeitreihen-Datenbank auf EU-Infrastruktur; verschlüsselte Backups unter einem gesondert verwalteten Schlüssel
Spaltenweise (Envelope-)Verschlüsselung für Zugangsdaten und Geheimnisse, die Sie hinterlegen, damit der Dienst in Ihrem Auftrag handeln kann — siehe den nachfolgenden eigenen Absatz; persönliche API-Schlüssel werden nur als Einweg-Hashes gespeichert
IP-Adressen-Kürzung für RUM-Ereignisse (/24 IPv4, /48 IPv6) vor Speicherung
Pro-Nutzer-logische Isolation auf der Anwendungsschicht
72-Stunden-Meldeprozess für Verletzungen des Schutzes personenbezogener Daten nach Art. 33 DSGVO
Periodisches Schwachstellen-Scanning, Abhängigkeits-Monitoring, Code-Review vor Merge

Zugangsdaten und Geheimnisse, die Sie uns anvertrauen. Soweit Sie Zugangsdaten hinterlegen, damit der Dienst sich in Ihrem Auftrag gegenüber Ihren Ressourcen authentifizieren kann — beispielsweise HTTP-Basic-Zugangsdaten, individuelle Request-Header (einschließlich Bearer-Tokens und API-Schlüssel), Integrations-Zugangsdaten für Alarmkanäle und literale Werte in Transaktions-Monitoring-Schritten —, werden diese Zugangsdaten zusätzlich zur Festplattenverschlüsselung, die für die Datenbank insgesamt gilt, mit spaltenweiser Verschlüsselung gehalten. Die Verschlüsselungs-Schlüssel werden getrennt von der Datenbank selbst verwaltet, sodass operatives Personal mit Datenbankzugriff die Zugangsdaten nicht im Klartext lesen kann. Eine Entschlüsselung erfolgt nur an dem Punkt, an dem das Probe-Netzwerk den Check gegen die von Ihnen konfigurierte Ressource ausführt, und der Klartext liegt ausschließlich für die Dauer der jeweiligen Check-Ausführung im Speicher vor. Persönliche API-Schlüssel, die Sie für den programmatischen Zugriff auf den Dienst erstellen, werden nur als Einweg-Hashes gespeichert; wir behalten nach der Ausgabe keine Klartextkopie — sollten Sie einen persönlichen API-Schlüssel verlieren, müssen Sie ihn über das Dashboard rotieren.

Keine Methode der Internet-Übermittlung oder elektronischen Speicherung ist vollständig sicher. Wenn Sie der Auffassung sind, dass Ihre Interaktion mit uns nicht mehr sicher ist, kontaktieren Sie privacy@uptimia.com.

13. Ihre Rechte

Als ein in der Europäischen Union niedergelassener Verantwortlicher unterliegen wir der DSGVO nach Art. 3 Abs. 1 für unsere gesamte Verarbeitung, unabhängig davon, wo sich die betroffene Person befindet. Die nachstehenden Rechte gelten daher für jede Person, deren personenbezogene Daten wir verarbeiten, nicht nur für Personen mit Wohnsitz in der EU / im EWR / im Vereinigten Königreich / in der Schweiz.

Sie haben die folgenden Rechte:

Auskunftsrecht (Art. 15 DSGVO) — eine Kopie der personenbezogenen Daten anzufordern, die wir über Sie speichern
Recht auf Berichtigung (Art. 16 DSGVO) — Korrektur unrichtiger oder unvollständiger Daten zu verlangen
Recht auf Löschung (Art. 17 DSGVO) — Löschung zu verlangen, vorbehaltlich der Ausnahmen in Art. 17 Abs. 3 (insbesondere: rechtliche Verpflichtung nach § 147 AO / § 257 HGB für Rechnungen)
Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
Recht auf Datenübertragbarkeit (Art. 20 DSGVO) — Erhalt Ihrer Daten in einem strukturierten, gängigen, maschinenlesbaren Format
Widerspruchsrecht (Art. 21 DSGVO) — Widerspruch gegen Verarbeitungen, die auf unseren berechtigten Interessen beruhen, einschließlich Profilbildung; der Widerspruch gegen Direktwerbung ist bedingungslos
Recht, nicht einer automatisierten Entscheidung im Einzelfall unterworfen zu werden (Art. 22 DSGVO) — am Checkout besteht eine Entscheidung im Sinne von Art. 22 Abs. 1 (Zahlungs-Betrugs-Screening); die zugrundeliegende Verarbeitung beruht hauptsächlich auf Art. 6 Abs. 1 lit. c DSGVO (PSD2-SCA + AML/CTF-Gesetzeskonformität), wobei Art. 6 Abs. 1 lit. f das residuale händlerseitige Betrugspräventions-Interesse abdeckt, und die Entscheidung nach Art. 22 Abs. 1 selbst ist über die Erlaubnisnorm nach Art. 22 Abs. 2 lit. b DSGVO (ermächtigende Unionsrechtsvorschrift) zulässig (Art. 22 Abs. 2 lit. a wird nur als Auffanglösung behandelt). Wir gewähren die Schutzmaßnahmen nach Art. 22 Abs. 3 (menschliche Intervention, Darlegung des Standpunkts, Anfechtung sowie die in § 8 beschriebene Stripe-Radar-Ablehnungscode-und-Regelname-Offenlegung). Alle anderen automatisierten Tätigkeiten in § 8 sind Profilbildung ohne damit verbundene ausschließlich automatisierte erheblich wirkende Entscheidung. Details in § 8.
Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO) — soweit wir uns auf Ihre Einwilligung stützen, können Sie diese jederzeit widerrufen, ohne dass die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung berührt würde
Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO) — Art. 77 Abs. 1 gibt Ihnen drei alternative Foren: die Aufsichtsbehörde (i) Ihres gewöhnlichen Aufenthaltsorts, (ii) Ihres Arbeitsplatzes oder (iii) des Orts des mutmaßlichen Verstoßes. Die zuständigen Behörden und das Verzeichnis der EWR-Aufsichtsbehörden finden Sie in § 15 unten.

Zur Ausübung dieser Rechte wenden Sie sich an privacy@uptimia.com. Nach Art. 12 Abs. 3 DSGVO antworten wir innerhalb eines Monats nach Eingang einer vollständigen Anfrage, verlängerbar um bis zu zwei weitere Monate bei komplexen oder zahlreichen Anfragen; bei Verlängerung informieren wir Sie über die Verlängerung und ihren Grund innerhalb des ersten Monats, wie es Art. 12 Abs. 3 verlangt.

Operative Bearbeitungswege.

Auskunftsrecht (Art. 15 DSGVO) und Recht auf Datenübertragbarkeit (Art. 20 DSGVO) — Konto-Daten-Export. Bis ein Selbstbedienungs-Pfad verfügbar ist, wird der Export auf E-Mail-Anfrage an privacy@uptimia.com manuell erstellt und zurückgesandt. Intern führen wir eine schriftliche SAR-(Subject-Access-Request-)Standard Operating Procedure, die eine angestrebte Lieferzeit von fünf (5) bis zehn (10) Geschäftstagen für ein normales Konto vorsieht, deutlich innerhalb der gesetzlichen Höchstfrist von einem Monat nach Art. 12 Abs. 3. Der Export wird als einzelnes ZIP-Archiv mit strukturierten JSON-Dateien je Datenkategorie ausgeliefert — Kontoprofil, Abrechnungshistorie, Monitor-Konfigurationen (Zugangsdaten als Einweg-Fingerabdrücke, niemals als Klartext; siehe § 12), Check-Ergebnis-Zusammenfassungen, Index der Supportkorrespondenz, Cookie-Einwilligungs-Aufzeichnung — über einen zeitlich begrenzten Download-Link. Ein Selbstbedienungs-Endpunkt /api/v1/me/export steht auf der Produkt-Roadmap; bis er ausgeliefert ist, ist die manuelle SOP die operative Zusage.
Recht auf Löschung (Art. 17 DSGVO). Die Konto-Löschung erfolgt per Selbstbedienung aus der Einstellungen-Seite (passwort-bestätigt) und löst den in § 11 beschriebenen Lösch-Cron aus; Steuer- und Buchführungs-Aufzeichnungen überleben gemäß § 11 / § 147 AO / § 257 HGB. Wenn Sie eine menschliche Bearbeitung bevorzugen, schreiben Sie an privacy@uptimia.com.
Recht auf Berichtigung (Art. 16 DSGVO). Die meisten Konto-Felder sind in der Einstellungen-Seite vom Nutzer editierbar; für Felder, die nicht vom Nutzer editierbar sind (z. B. der Rechnungs-Name auf bereits ausgestellten Steuerdokumenten), senden Sie eine E-Mail an privacy@uptimia.com.
Recht auf Einschränkung (Art. 18 DSGVO) und Widerspruchsrecht (Art. 21 DSGVO). Senden Sie eine E-Mail an privacy@uptimia.com mit Identifikation der Verarbeitung, die Sie einschränken oder gegen die Sie Widerspruch erheben möchten. Der Widerspruch gegen Direktwerbung wird bei Eingang ohne weitere Begründung verarbeitet (Art. 21 Abs. 2 und 3 DSGVO).
Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO). Für Cookies siehe § 9 (Link „Cookie-Einstellungen", einzige Paritäts-Route nach EDPB-Leitlinien 05/2020 Rn. 117). Für jede andere einwilligungsbasierte Verarbeitung senden Sie eine E-Mail an privacy@uptimia.com.

Alle Anfragen werden kostenfrei bearbeitet. Bei offensichtlich unbegründeten oder exzessiven Anfragen können wir nach Art. 12 Abs. 5 DSGVO ein angemessenes Bearbeitungsentgelt erheben oder die Bearbeitung ablehnen.

Identitätsprüfung. Unser Ansatz zur Identitätsprüfung ist verhältnismäßig zur Anfrage, wie nach Art. 12 Abs. 6 DSGVO und den EDPB-Leitlinien 01/2022 zum Recht auf Auskunft (Rn. 64 ff.) gefordert. Im Normalfall prüfen wir die Identität durch Abgleich der Absenderadresse Ihrer Anfrage mit der für Ihr Uptimia-Konto hinterlegten E-Mail-Adresse, und für Aktionen, die innerhalb der Anwendung erfolgen, durch Rückgriff auf Ihre authentifizierte Sitzung (Passwort + 2FA, soweit von Ihnen aktiviert). Soweit dieser Abgleich ausreicht, um vernünftige Zweifel auszuräumen, fordern wir keine weiteren Informationen — die routinemäßige Anforderung von Ausweisdokumenten bei jeder Routineanfrage würde selbst gegen den Grundsatz der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO verstoßen. Wo wir konkrete vernünftige Zweifel nach Art. 12 Abs. 6 DSGVO haben — etwa wenn die Anfrage von einer anderen als der hinterlegten Adresse eingeht, das Konto kürzlich den Inhaber gewechselt hat oder seine Kontakt-E-Mail aktualisiert wurde, die Anfrage sensible Kategorien wie Authentifizierungsprotokolle oder Zahlungs-Betrugs-Signale betrifft oder die angeforderte Aktion irreversibel ist (vollständiger Daten-Export, Konto-Löschung) —, können wir eine oder mehrere verhältnismäßige zusätzliche Prüfungen anwenden: Bestätigung von der hinterlegten E-Mail-Adresse, Ausführung einer Aktion aus dem authentifizierten Dashboard heraus oder ein Einmalcode über Ihren konfigurierten 2FA-Kanal. Wir fordern keine staatlich ausgestellten Ausweise, keine Kopien von Identitätsdokumenten und keine „Selfie"-Verifikation an — diese Maßnahmen wären für ein B2B-Observability-Produkt, dessen Konto-Bindung an eine E-Mail-Adresse, nicht an eine reale Identität, geknüpft ist, unverhältnismäßig und stünden in Widerspruch zur Mahnung der EDPB-Leitlinien 01/2022 Rn. 73 gegen die routinemäßige Erhebung von Ausweisdokumenten. Sollten nach verhältnismäßigen Prüfungen vernünftige Zweifel an Ihrer Identität fortbestehen, fordern wir in Übereinstimmung mit Art. 12 Abs. 6 DSGVO die minimal zusätzlichen Informationen an, die zur Ausräumung dieser Zweifel strikt erforderlich sind, und teilen Ihnen genau mit, was wir abfragen und warum.

14. Datenschutz für Kinder

Der Dienst ist nicht an Kinder unter 16 Jahren gerichtet, und wir erheben wissentlich keine personenbezogenen Daten von Kindern unter 16 Jahren. Wenn wir erfahren, dass wir personenbezogene Daten von einem Kind unter 16 Jahren ohne nachprüfbare elterliche Einwilligung erhoben haben, löschen wir diese sobald wie möglich.

Wir wenden 16 als unsere globale Untergrenze für einwilligungsbasierte Verarbeitung an, unabhängig von jedem niedrigeren nationalen Schwellenwert nach Art. 8 Abs. 1 DSGVO — und uns ist bewusst, dass mehrere Mitgliedstaaten ihr Wahlrecht nach Art. 8 Abs. 1 nach unten ausgeübt haben, einschließlich Spanien bei 14, Frankreich bei 15 und Italien bei 14. Die globale 16-Schwelle ist daher ein bewusst selbst auferlegter Standard, der schützender ist als die in diesen Märkten niedrigsten anwendbaren nationalen Schwellen, und wir akzeptieren als Sache der Geschäftspolitik, dass wir an ihr messbar sind: sollten wir je damit beginnen, einen dieser Märkte mit niedrigerer Schwelle direkt anzusprechen, halten wir weiterhin an der 16-Schwelle fest und gehen nicht auf das nationale Minimum herab; eine Änderung dieser Haltung wäre selbst eine wesentliche Änderung dieser Erklärung, die nach § 17 offenzulegen wäre. Unser Verifikationsansatz ist verhältnismäßig zu einem Dienst, der nicht an Kinder gerichtet ist, im Sinne des Art. 8 Abs. 2 DSGVO. Wir erheben bei der Registrierung kein Geburtsdatum — Uptimia ist ein Business-to-Business-Observability-Produkt, die Registrierungsoberfläche ist auf technische Administratoren ausgerichtet (Servernamen, Monitor-URLs, Alarmkanäle), und jeden Kontoinhaber nach dem Geburtsdatum zu fragen, würde selbst ein Datenminimierungs-Problem schaffen, das im Verhältnis zum Risiko unverhältnismäßig ist. Wir stützen uns stattdessen auf die Kombination aus: (i) der Dienst ist nicht an Kinder gerichtet, nicht an Kinder vermarktet und nicht für Kinder gestaltet; (ii) Kontoinhaber identifizieren sich durch die Konfiguration von Monitoren, die Annahme kostenpflichtiger Abonnements oder die Annahme der AGB als professionelle Nutzer; (iii) soweit wir aus einem Konto oder einer Support-Interaktion vernünftige Zweifel haben, dass ein Kontoinhaber unter 16 Jahre alt ist — beispielsweise eine Support-Korrespondenz, die zustimmend darauf hinweist, dass das Konto von einem Minderjährigen betrieben wird —, bitten wir den Kontoinhaber, schriftlich zu bestätigen, dass er 16 Jahre oder älter ist, und löschen das Konto, wenn die Bestätigung ausbleibt. Dies ist das von der Verhältnismäßigkeits-Sprache in Art. 8 Abs. 2 DSGVO für B2B-Dienste vorgesehene „Dienst nicht an Kinder gerichtet, mit Löschung bei vernünftigem Zweifel"-Modell.

Soweit Sie unser RUM-Skript auf einer Website ausspielen, die an Kinder gerichtet ist, ist dies Ihre eigene Entscheidung nach Art. 8 DSGVO und Ihre eigene Verantwortlichen-Verantwortung.

Eltern oder Sorgeberechtigte, die glauben, dass ein Kind personenbezogene Daten übermittelt hat, können privacy@uptimia.com für eine sofortige Löschung kontaktieren.

15. Anwendbare Regime, federführende Aufsichtsbehörde und grenzüberschreitende Übermittlungen

Anwendbare Regime

EU-DSGVO. Als ein in Deutschland niedergelassener Verantwortlicher gilt die Verordnung (EU) 2016/679 nach Art. 3 Abs. 1 für unsere gesamte Verarbeitung, unabhängig davon, wo sich die betroffene Person befindet.
UK GDPR. Wir richten unseren Dienst nicht an betroffene Personen im Vereinigten Königreich. Die territoriale-Anwendungsbereichs-Analyse nach EDPB-Leitlinien 3/2018 Rn. 2.1 / 2.2 beruht auf einer kumulativen Lesart der genannten Indikatoren — Währung, Top-Level-Domain, Sprache als Länder-Signal, Erwähnung lokaler Kunden, länderspezifische Marketing-Kampagnen, eigene lokale Telefon- oder Anschrift, Lieferbedingungen — und das Ergebnis wird durch Gesamtbetrachtung der Indikatoren ermittelt, nicht durch Ausschluss eines einzelnen. Auf einer kumulativen Lesart dieser Faktoren deutet keiner auf das Vereinigte Königreich: unsere Preise sind in EUR (und gegebenenfalls USD) ausgewiesen, nicht in GBP; unsere Domain ist uptimia.com ohne eine .co.uk-Oberfläche; wir veröffentlichen keine UK-Landingpages, keine UK-Fallstudien, keine UK-Kunden-Testimonials, keine UK-spezifischen Marketing-Kampagnen und keine UK-geozielgerichtete Werbung; wir betreiben keine UK-Sprach-SEO und keine UK-zielgerichtete Content-Produktion; und die Website ist in englischer Sprache veröffentlicht, weil Englisch die maßgebliche Sprache unserer Dokumentation und unseres Produkts ist (Englisch ist nach der Analyse der Leitlinien 3/2018 kein Länder-Signal, wenn es nicht mit einem der oben genannten weiteren Indikatoren gepaart ist). Auf diesen Sachverhalt halten wir Art. 3 Abs. 2 lit. a UK GDPR für nicht berührt: betroffene Personen aus dem UK, die sich für den Dienst registrieren, erreichen uptimia.com über organische englischsprachige Suche und nicht, weil wir ihnen den Dienst im Sinne von Art. 3 Abs. 2 lit. a im Vereinigten Königreich angeboten hätten. Wir überwachen auch nicht „das Verhalten" betroffener Personen aus dem UK im Sinne von Art. 3 Abs. 2 lit. b — das vom Verantwortlichen ausgespielte RUM-Skript läuft auf den eigenen Besuchern des Verantwortlichen auf dessen eigenen Websites und wird auf Weisung des Verantwortlichen verarbeitet, nicht von uns gegen eine UK-Bevölkerung gerichtet. Sollte Art. 3 Abs. 2 UK GDPR auf gelegentliche UK-Registrierungen dennoch anwendbar sein, erfüllt unsere Verarbeitung auch die Ausnahme nach Art. 27 Abs. 2 lit. a UK GDPR als gelegentlich (keine strukturierten UK-Operationen, keine UK-Akquisitionsaktivität, keine UK-Customer-Success-Motion) und risikoarm (keine Daten besonderer Kategorien, keine großflächige Profilbildung, keine großflächige Beobachtung betroffener Personen aus dem UK). Wir werden diese Haltung neu bewerten und einen UK-Vertreter benennen, sobald wir damit beginnen, das Vereinigte Königreich anzusprechen — etwa durch Aufnahme von GBP-Preisen, einer .co.uk-Domain oder eines Unterverzeichnisses, UK-Fallstudien oder -Testimonials, UK-spezifischen Landing- oder Vergleichsseiten, UK-geozielgerichtete bezahlte Akquise oder UK-sprachliche Content-Produktion. Betroffene Personen aus dem UK, die mit dem Dienst interagieren, behalten ihr gesetzliches Recht, nach Art. 77 UK GDPR Beschwerde beim Information Commissioner's Office (ICO) unter https://ico.org.uk einzureichen; wir kooperieren mit jeder ICO-Anfrage in der Sache unabhängig von unserer Position zum territorialen Anwendungsbereich.
Andere Jurisdiktionen (CCPA / CPRA, LGPD, PIPL und ähnliche extraterritoriale Regime). Wir verarbeiten derzeit keine personenbezogenen Daten von Verbrauchern aus Kalifornien, betroffenen Personen aus Brasilien, betroffenen Personen aus China oder anderen Nicht-EWR-/Nicht-UK-/Nicht-Schweiz-Personen in einem Umfang oder in einer Konfiguration, die die Schwellen für die extraterritoriale Anwendung des California Consumer Privacy Act (in der durch den California Privacy Rights Act geänderten Fassung), des brasilianischen Lei Geral de Proteção de Dados (LGPD), des chinesischen Personal Information Protection Law (PIPL) oder vergleichbarer Nicht-EU-Datenschutz-Regime auslösen würden. Insbesondere liegen wir unterhalb der US-Umsatz- und Kalifornien-Verbraucher-Schwellen für die Anwendbarkeit von CCPA / CPRA nach Cal. Civ. Code § 1798.140(d). Wir beobachten unsere Exponiertheit unter jedem dieser Regime, während sich unser Kundenstamm entwickelt, und werden diese Erklärung aktualisieren und lokale Vertreter oder designierte Bevollmächtigte benennen (z. B. einen US-„verified request"-Bevollmächtigten nach § 999.312 CCPA Regulations; einen encarregado (DSB) nach Art. 41 LGPD — wobei das LGPD selbst kein Gegenstück zu Art. 27 DSGVO enthält und eine etwaige Lokalvertretungsverpflichtung in Brasilien gesondert nach brasilianischem Gesellschaftsrecht entstehen würde (insbesondere Art. 1.134 des brasilianischen Bürgerlichen Gesetzbuchs und Art. 146 § 2 des Gesetzes 6.404/1976), nicht nach dem LGPD als solchem; einen PIPL-Lokalvertreter nach Art. 53 PIPL), wenn und sobald Schwellen überschritten sind.
Schweizer DSG. Anwendbar nach Art. 3 Abs. 1 DSG, soweit unsere Tätigkeit eine Auswirkung in der Schweiz hat. Die Targeting-Analyse entspricht hier der oben für das UK angewandten kumulativen-Lesart-Disziplin: die Frage ist, ob die genannten Länder-Indikatoren-Faktoren insgesamt betrachtet auf die Schweiz hindeuten — nicht, ob jeder einzelne Faktor für sich ausgeschlossen werden kann. Auf einer kumulativen Lesart tut dies keiner: wir betreiben keine .ch-Domain, keine CHF-Preisliste, keine Schweizer Landingpages und keine Schweiz-gezielten Kampagnen; und die Website ist in englischer Sprache veröffentlicht, nicht als Schweizer Länder-Signal, sondern weil Englisch unsere maßgebliche Dokumentationssprache ist. Art. 14 Abs. 1 DSG verlangt, dass ein im Ausland ansässiger privater Verantwortlicher einen Vertreter in der Schweiz benennt, soweit er personenbezogene Daten von Personen in der Schweiz bearbeitet und die Bearbeitung kumulativ vier Bedingungen erfüllt: (a) die Bearbeitung erfolgt im Zusammenhang mit dem Anbieten von Waren oder Dienstleistungen oder mit der Beobachtung des Verhaltens dieser Personen; (b) sie ist umfangreich (in großem Umfang); (c) sie erfolgt regelmäßig; und (d) sie birgt ein hohes Risiko für die Persönlichkeit der betroffenen Personen. Die Schwelle ist auf unseren Sachverhalt nicht erfüllt: Schweizer betroffene Personen, die sich für den Dienst registrieren, erreichen uptimia.com durch englischsprachige Suche nebenbei zu unserer EU-Tätigkeit, nicht durch ein Schweiz-Angebot unsererseits — sodass Bedingung (a) nicht eingreift — und das Volumen ist weder umfangreich im Sinne der Bedingung (b) noch regelmäßig im Sinne der Bedingung (c) im Verständnis der EDÖB-Leitlinien; wir halten zudem Bedingung (d) für nicht erfüllt, da der Dienst auf den Sachverhalt unserer typischen Schweiz-Inzident-Verarbeitung kein hohes Risiko für die Persönlichkeit der betroffenen Personen birgt. Schon das Nichtvorliegen einer der vier kumulativen Bedingungen genügt für sich genommen; auf unseren Sachverhalt scheitern die Bedingungen (a) bis (d) jeweils unabhängig voneinander. (Hinweis: hohes Risiko ist sowohl die Vertreter-Bestellungs-Voraussetzung nach Art. 14 Abs. 1 lit. d als auch, gesondert, der Auslöser für eine Datenschutz-Folgenabschätzung nach Art. 22 DSG — sie sind voneinander unabhängige Pflichten, die an dasselbe Tatbestandsmerkmal anknüpfen, und wir behandeln die DSFA-Analyse nach Art. 22 DSG gesondert.) Wir werden diese Haltung neu bewerten und einen Schweizer Vertreter benennen, wenn wir damit beginnen, die Schweiz anzusprechen (eine .ch-Oberfläche, CHF-Preise, Schweizer Fallstudien, Schweiz-zielgerichtete Werbung) oder wenn unsere Schweiz-Verarbeitung großflächig und regelmäßig wird.

Federführende Aufsichtsbehörde

Unsere federführende Aufsichtsbehörde nach dem One-Stop-Shop-Mechanismus der DSGVO ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI):

Alt-Moabit 59-61 10555 Berlin, Deutschland Webseite: https://www.datenschutz-berlin.de

EWR-Ansässige können nach Art. 77 Abs. 1 DSGVO wahlweise bei der Aufsichtsbehörde (i) ihres gewöhnlichen Aufenthaltsorts, (ii) ihres Arbeitsplatzes oder (iii) des Orts des mutmaßlichen Verstoßes Beschwerde erheben — oder direkt bei der BlnBDI als federführender Behörde. Das Verzeichnis der EWR-Aufsichtsbehörden findet sich unter https://edpb.europa.eu. UK-Ansässige können bei der Information Commissioner's Office (ICO) unter ico.org.uk nach Art. 77 UK GDPR Beschwerde erheben. Schweizer Ansässige können den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) unter edoeb.admin.ch nach Art. 49 DSG benachrichtigen.

Zusammenfassung der Legitimate Interests Assessment

Für jeden auf Art. 6 Abs. 1 lit. f gestützten Zweck:

Konto-Sicherheits-Signale (Ihre Registrierungs-IP, Ihre letzte Anmelde-IP, Ihr Zähler fehlgeschlagener Anmeldungen, Ihr 2FA-Audit-Log und ein interner heuristischer Risikoscore) — unser Interesse am Schutz Ihres Kontos gegen Credential-Stuffing, Brute-Force-Angriffe und Sign-up-Missbrauch, abgewogen gegen den begrenzten und konto-gebundenen Charakter der Signale; die Interessen der betroffenen Person sind durch Zugriffskontrollen und durch die Tatsache geschützt, dass die Daten an ein Vertragsverhältnis gebunden sind.
Dienstverbesserung und Probe-Netzwerk-Operationen — ausschließlich pseudonymisierte oder aggregierte Verarbeitung; keine individuelle Profilbildung.
Aggregierte serverseitige Mess-Qualitäts-Überwachung — keine individuelle Identifikation.
Produkt-Update-Kommunikation an bestehende Kontoinhaber (§ 7 Abs. 3 UWG Bestandskundenwerbung) — unser Interesse, zahlende Kunden über für ihren Kauf relevante Produktänderungen zu informieren, abgewogen gegen die Marketing-Belastung des Empfängers. Die Einhaltung der vier kumulativen Voraussetzungen des § 7 Abs. 3 UWG gilt als zentrale Schutzmaßnahme: (i) Adresse im Zusammenhang mit dem Verkauf unserer Waren oder Dienstleistungen erlangt; (ii) Inhalt beschränkt auf Direktwerbung für unsere eigenen ähnlichen Waren oder Dienstleistungen; (iii) der Empfänger hat nicht widersprochen; und (iv) der Empfänger wurde klar und deutlich über das Widerspruchsrecht informiert, sowohl bei der Erhebung als auch in jeder nachfolgenden Nachricht, ohne andere Kosten als die Übermittlungskosten nach den Basistarifen. Ein Widerspruch nach Art. 21 DSGVO ist bedingungslos und wird bei Eingang ohne weitere Begründung verarbeitet.
Antworten auf Nicht-Kunden-Anfragen — die Beantwortung eingehender Anfragen von Besuchern, die uns kontaktieren (Sales-Fragen, Partnerschaftsanfragen, Support-Fragen außerhalb eines aktiven Kontos), beruht auf der berechtigten Erwartung, dass wir auf die Adresse antworten, mit der sie uns geschrieben haben.

Eine vollständige LIA zu jeder dieser Tätigkeiten ist auf Anfrage unter privacy@uptimia.com verfügbar.

Automatisierte Entscheidungsfindung (Art. 22 DSGVO)

Eine automatisierte Entscheidung im Sinne von Art. 22 Abs. 1 DSGVO besteht am Punkt des Zahlungs-Betrugs-Screenings beim Checkout, beschrieben in § 8. Die Erlaubnisnorm nach Art. 22 Abs. 2, auf die wir uns stützen, ist hauptsächlich Art. 22 Abs. 2 lit. b DSGVO — der PSD2-SCA-Rahmen (Richtlinie (EU) 2015/2366 i. V. m. Delegierter Verordnung (EU) 2018/389) und der in § 8 zitierte AML/CTF-Rahmen stellen eine ermächtigende Unionsrechtsvorschrift dar, die gerade die beim Checkout getroffenen Transaktionsüberwachungsentscheidungen verlangt und die selbst angemessene Schutzmaßnahmen für die betroffene Person vorsieht; Art. 22 Abs. 2 lit. a DSGVO (Vertragsnotwendigkeit) wird nur als Auffanglösung herangezogen, in Übereinstimmung mit der engen Lesart der „Vertragsnotwendigkeit" durch den EDPB. Wir gewähren die Schutzmaßnahmen nach Art. 22 Abs. 3 DSGVO vollständig: ein wirksames Recht auf menschliche Intervention durch das Manuelle-Prüfungs-Team des Zahlungsanbieters und durch unseren Billing-Betrieb, ein Recht auf Darlegung des eigenen Standpunkts, ein Recht auf Anfechtung des Ergebnisses und — seit dem 27.05.2026 — Offenlegung auf eine Anforderung nach Art. 22 Abs. 3 des konkreten Ablehnungscodes und, soweit anwendbar, des Stripe-Radar-Regelnamens (siehe § 8 vierter Bulletpoint zu Art. 22 Abs. 3). Kontakt für derartige Anfragen ist privacy@uptimia.com; wir antworten innerhalb der Frist des Art. 12 Abs. 3 DSGVO. Der in § 8 beschriebene interne heuristische Score auf Ihrem Nutzerdatensatz ist ein hinweisender Input für die menschliche Prüfung, keine automatisierte Entscheidung.

Benachrichtigung über Verletzungen des Schutzes personenbezogener Daten (Art. 33–34 DSGVO)

Im Falle einer Verletzung des Schutzes personenbezogener Daten, die voraussichtlich ein Risiko für Ihre Rechte und Freiheiten zur Folge hat, benachrichtigen wir die BlnBDI unverzüglich und, soweit möglich, binnen 72 Stunden, nachdem uns die Verletzung bekannt geworden ist (Art. 33 DSGVO). Soweit die Verletzung voraussichtlich ein hohes Risiko zur Folge hat, benachrichtigen wir auch die betroffenen Nutzer unverzüglich nach Art. 34 DSGVO.

Benachrichtigungsmechanismus. Direkte E-Mail an die auf Ihrem Konto hinterlegte Adresse, mit einer Betreffzeile, die die Nachricht als Art.-34-DSGVO-Verletzungsbenachrichtigung kennzeichnet. Wir zeigen zudem einen In-Product-Hinweis im authentifizierten Dashboard bei Ihrer nächsten Sitzung an. Soweit eine direkte Benachrichtigung mit unverhältnismäßigem Aufwand im Sinne von Art. 34 Abs. 3 lit. c verbunden wäre, geben wir eine öffentliche Mitteilung auf der Website aus.

Internationale Datenübermittlungen

Wir übermitteln personenbezogene Daten an Empfänger außerhalb des EWR ausschließlich im Rahmen des normalen Betriebs der in § 5 und § 7 aufgeführten Drittanbieter-Dienste. Folgende Nicht-EWR-Empfangsorte sind beteiligt:

Empfangsort	Empfänger	Mechanismus
USA	Stripe, Inc. (Stripe-Unterverarbeitung); PayPal, Inc. (PayPal-Unterverarbeitung); Amazon Web Services, Inc. (SES Nicht-EU-Empfänger, Probe-Netzwerk Nicht-EU-Regionen); DigitalOcean, LLC (Probe-Netzwerk); Akamai Technologies, Inc. (Probe-Netzwerk); Vultr Holdings, LLC (Probe-Netzwerk); Contabo GmbH (Probe-Netzwerk — US-lokalisierte Probe-Regionen; Vertragspartei ist Contabo GmbH in München, die physische Verarbeitung erfolgt auf Contabos US-Infrastruktur); Okta, Inc. (Auth0-Unterverarbeitung); GitHub, Inc. (Auth0-Social-Connection); Google LLC (Web-Risk-, PageSpeed-Unterverarbeitung; Auth0-Social-Connection); Mattermost, Inc. (Alarme, soweit konfiguriert); PagerDuty, Inc. (Alarme, soweit konfiguriert); Microsoft Corporation (Teams-Alarm-Unterverarbeitung, soweit konfiguriert); Slack Technologies, LLC (Salesforce-Gruppe) (Slack-Alarm-Unterverarbeitung, soweit konfiguriert); Discord, Inc. (Discord-Alarm-Unterverarbeitung, soweit konfiguriert); X Corp. (X-Alarme, soweit konfiguriert); Twilio, Inc. (SMS-Unterverarbeitung); Meta Platforms, Inc. (WhatsApp-Cloud-Unterverarbeitung)	EU–US Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795), soweit der Empfänger DPF-zertifiziert ist, mit SCC (Durchführungsbeschluss (EU) 2021/914) als automatische Auffanglösung. Vultr ist nicht DPF-zertifiziert — SCC + die ephemere Verarbeitungseigenschaft auf der Probe-Schicht (siehe § 5.3) sind die herangezogenen ergänzenden Maßnahmen. Contabo wird über seine EU-Stelle (Contabo GmbH, München) vertraglich gebunden, sodass die SCC-Analyse für die physische Verarbeitung in Nicht-EU-Contabo-Regionen gilt; auf dieselbe ephemere Verarbeitungseigenschaft auf der Probe-Schicht (Anlage B.6 der AV-Vereinbarung) wird als ergänzende Maßnahme für Nicht-EU-Contabo-Regionen abgestellt. X Corp. ist derzeit nicht DPF-zertifiziert — SCC + ergänzende Maßnahmen; nur aktiviert, wenn Sie X als Alarmkanal konfigurieren.
VAE	Telegram FZ-LLC (Alarme, nur wenn Sie Telegram konfigurieren)	Kein Angemessenheitsbeschluss für die VAE, und Telegram FZ-LLC bietet keinen Standard-Übermittlungsmechanismus nach Art. 46 DSGVO an (keine veröffentlichten SCC, keine AV-Vorlage, keine Transfer-Impact-Materialien). Wir stützen uns daher, als Verantwortlicher, der die Übermittlung beim Versand eines Alarms initiiert, auf die Ausnahme nach Art. 49 Abs. 1 lit. b DSGVO — die Übermittlung ist für die Erfüllung des Vertrags zwischen Ihnen (als Kontoinhaber, der zugleich betroffene Person ist) und Uptimia erforderlich: indem Sie Telegram als Ihren gewählten Alarmzustellungs-Kanal in den Alarmkanal-Einstellungen konfiguriert haben, haben Sie die Zustellung des Alarms an Ihren Telegram-Chat zu einem objektiv notwendigen Element des von Ihnen beauftragten Monitoring-Dienstes gemacht. Die Art.-49-Abs.-1-lit.-b-Grundlage erfasst die personenbezogenen Daten des Kontoinhabers selbst (Ihre Telegram-User-ID, die Bot-Kanal-ID, die Sie angegeben haben, die an Sie adressierte Alarm-Payload). Soweit Sie Alarme an eine Telegram-Gruppe oder einen Kanal leiten würden, die / der Empfänger umfasst, die nicht Partei Ihres Uptimia-Vertrags sind, liegen diese Empfänger außerhalb des Anwendungsbereichs der Art.-49-Abs.-1-lit.-b-Grundlage — bitte nutzen Sie eine eigene Verantwortlicher-zu-Verantwortlicher-Vereinbarung (z. B. erlangen Sie eine ausdrückliche Einwilligung nach Art. 49 Abs. 1 lit. a von diesen Empfängern, bevor Sie sie hinzufügen, oder leiten Sie den Alarm über einen Vermittler, mit dem sie eine etablierte Beziehung haben), und stützen Sie sich für diese Strecke nicht auf Uptimias Art.-49-Abs.-1-lit.-b-Abdeckung. Die von uns ergänzend angewandten Maßnahmen sind Transportverschlüsselung (HTTPS zur Telegram-Bot-API), Payload-Minimierung (das Alarmereignis enthält ausschließlich Vorfalls-Metadaten — Monitor-Name, Statusänderung, Zeitstempel; wir übermitteln keine personenbezogenen Daten Ihrer Besucher), und der Kanal ist opt-in (konfigurierbar an, konfigurierbar aus). In Übereinstimmung mit EDPB-Leitlinien 2/2018 zu Ausnahmen nach Art. 49 Rn. III behandeln wir die Heranziehung von Art. 49 Abs. 1 lit. b als gelegentlich und erforderlich: sie greift nur auf Konten ein, die Telegram aktiv konfiguriert haben, die übermittelten Daten sind auf das zur Alarmzustellung strikt Erforderliche minimiert, und wir prüfen die Grundlage erneut, wenn Telegram-Alarme für ein bestimmtes Konto zu einem strukturell wiederholten Datenfluss über das zur Vertragserfüllung Erforderliche hinaus werden. Empfohlen nur für Ops-Team-Paging; skripten Sie keine personenbezogenen Daten von Endkunden in Telegram-Alarm-Payloads.
Australien (mit nachgelagerter Verarbeitung in den USA)	Atlassian Pty Ltd (Statuspage-Alarme und öffentliche Statusseiten, nur wenn Sie Statuspage als Alarmkanal oder Statusseiten-Oberfläche konfigurieren)	Kein Angemessenheitsbeschluss für Australien. Statuspage wird von Atlassian auf US-Infrastruktur (AWS) betrieben, sodass parallel zur Übertragung an die australische Vertragspartei eine Übermittlung in die USA entsteht. Wir stützen uns auf Atlassians veröffentlichten Data Processing Addendum und die EU-SCC (Durchführungsbeschluss (EU) 2021/914), die die australische-Verantwortlicher- und US-Unter-Auftragsverarbeiter-Datenflüsse abdecken, zusammen mit der Atlassian-Unter-Auftragsverarbeiter-Liste (die wir bei jeder Aktualisierung dieser Erklärung überwachen) für die nachgelagerte Kette. Ergänzende Maßnahmen: TLS 1.2+ bei jedem ausgehenden Alarm-/Statusseiten-Ereignis, Minimierung der Alarm-/Status-Payload auf Vorfalls-Metadaten (ein Alarm- oder Status-Posting ist Vorfalls-Status, Zeitpunkt und Zusammenfassung; in einem Statuspage-Ereignis sind keine personenbezogenen Endkundendaten erforderlich), und der Kanal / die Statusseiten-Oberfläche wird nur durch Ihre Konfiguration aktiviert. Die verantwortlichen-seitige Risikobewertung für die Wahl von Statuspage als Alarmkanal oder öffentliche Status-Oberfläche tragen Sie.

Für das parallele UK-GDPR-Regime wenden wir das UK International Data Transfer Agreement und das UK-Addendum zu den EU-SCC (ICO, März 2022) für gelegentliche UK-Kunden an. Für das Schweizer DSG-Regime wenden wir die EDÖB-anerkannten EU-SCC mit dem Schweizer Zusatz an.

Ein empfängerbezogenes Transfer Impact Assessment wird für jeden US-Empfänger und für die Atlassian-Zeile (Australien + US-nachgelagert) aktenkundig geführt. Kopien sind unter privacy@uptimia.com erhältlich. Die Zeile Telegram (VAE) beruht nicht auf Art. 46 DSGVO — stattdessen beruht sie auf der Ausnahme nach Art. 49 Abs. 1 lit. b DSGVO, mit der in der obigen Tabelle dargelegten operativen Reichweite. Die Heranziehung von Art. 49 wird in einem Art.-30-Abs.-1-lit.-e-DSGVO-Eintrag in unserem Verzeichnis von Verarbeitungstätigkeiten erfasst (konto-für-konto, da die Grundlage nur auf Konten greift, die den Kanal aktiv konfiguriert haben) und nicht in einem Übermittlungsmechanismus-TIA, was dem EDPB-Leitlinien-2/2018-Format für Art.-49-Heranziehung entspricht.

DPF-Status-Versionsstand. Der DPF-Zertifizierungsstatus jedes oben identifizierten US-Empfängers wird zum Stand: oben in dieser Erklärung verifiziert. DPF-Zertifizierungen können zwischen Erklärungsversionen erteilt, ausgesetzt oder widerrufen werden — X Corp. beispielsweise ist seit Inkrafttreten des Rahmens nach Durchführungsbeschluss (EU) 2023/1795 mehr als einmal auf der aktiven Liste erschienen und wieder verschwunden. Wir verifizieren die DPF-Liste bei jeder Aktualisierung dieser Erklärung erneut; in der Zwischenzeit werden die SCC (Durchführungsbeschluss (EU) 2021/914) für jeden US-Empfänger als automatische Auffanglösung vorgehalten, unabhängig vom aktuellen DPF-Status, sodass keine Übermittlung jemals allein von einem Status abhängt, den wir gerade nicht erneut geprüft haben. Das je Empfänger gewählte SCC-Modul, die ergänzenden Maßnahmen und die empfängerbezogenen Transfer Impact Assessment-Kopien werden intern versionsgeführt und neu ausgestellt, sobald sich die zugrundeliegenden Tatsachen ändern.

DPF-Streitbeilegungsmechanismen — Ihre Rechte gegenüber dem Empfänger. Empfänger, die unter dem EU–US Data Privacy Framework zertifiziert sind, sind als Voraussetzung der Zertifizierung verpflichtet, die DPF-Grundsätze einzuhalten, einen unabhängigen Rechtsbehelfs-Mechanismus für die betroffene Person kostenfrei bereitzustellen (jede zertifizierte Organisation benennt einen — typischerweise TRUSTe, BBB EU Privacy Shield, JAMS, AAA-ICDR, das Panel der EU-Datenschutzbehörden für HR-Daten oder einen anderen zugelassenen Anbieter) und, als verbindliche letzte Option, an der bindenden Schiedsgerichtsbarkeit vor dem DPF-Panel nach Anhang I zu den DPF-Grundsätzen teilzunehmen. Sie unterliegen den Ermittlungs- und Durchsetzungsbefugnissen der US Federal Trade Commission (oder, für bestimmte Sektoren, des US Department of Transportation) sowie der Aufsicht des US Department of Commerce. Sie können diese Wege unmittelbar gegen den zertifizierten Empfänger einschlagen, wenn Sie der Auffassung sind, dass dieser Empfänger seine DPF-Verpflichtungen in Bezug auf Ihre personenbezogenen Daten verletzt hat — typischerweise zunächst durch Beschwerde beim Empfänger, sodann durch Eskalation an den im DPF-Zertifizierungseintrag des Empfängers unter https://www.dataprivacyframework.gov bezeichneten unabhängigen Rechtsbehelfs-Mechanismus und schließlich durch Anrufung der FTC oder Inanspruchnahme der DPF-Panel-Schiedsgerichtsbarkeit. Der Empfänger ist verpflichtet, den anwendbaren unabhängigen Rechtsbehelfs-Mechanismus in seiner eigenen Datenschutzerklärung und im DPF-Zertifizierungseintrag auf dataprivacyframework.gov zu benennen; wir empfehlen, den Zertifizierungseintrag des Empfängers für die aktuelle Bezeichnung zu konsultieren. Dieser Absatz lässt Ihr Recht unberührt, nach Art. 77 DSGVO Beschwerde bei Ihrer zuständigen EU-/EWR-Aufsichtsbehörde einzulegen oder gerichtliche Rechtsbehelfe nach Art. 78–79 DSGVO zu verfolgen — diese Rechtsbehelfe stehen parallel zu den DPF-Wegen zur Verfügung.

Datenschutzbeauftragter

Wir haben die Kriterien des Art. 37 Abs. 1 DSGVO und des § 38 Abs. 1 BDSG geprüft. § 38 Abs. 1 BDSG verlangt die Bestellung eines Datenschutzbeauftragten auf drei unabhängigen Grundlagen: (a) die Mitarbeiterzahl-Grundlage — 20 oder mehr Personen sind in der Regel ständig mit der automatisierten Verarbeitung personenbezogener Daten befasst (Schwelle durch das 2. DSAnpUG-EU vom 20. November 2019 mit Wirkung zum 26. November 2019 von 10 auf 20 angehoben); (b) die DSFA-Grundlage — die Verarbeitung unterliegt unabhängig von der Mitarbeiterzahl einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO; und (c) die Übermittlungs-/Werbe-/Marktforschungs-Grundlage — gewerbsmäßige Verarbeitung personenbezogener Daten zum Zweck der Übermittlung, der anonymisierten Übermittlung oder der Markt- oder Meinungsforschung, ebenfalls unabhängig von der Mitarbeiterzahl. Wir erfüllen keine der drei Grundlagen. Zu (a) erreichen wir den Schwellenwert von 20 Personen nicht. Zu (b) unterliegt unsere Verarbeitung keiner DSFA: sie steht nicht auf der DSFA-Liste der BlnBDI nach Art. 35 Abs. 4 DSGVO, und unsere eigene Selbsteinschätzung nach Art. 35 Abs. 1 — kleiner B2B-Observability-Dienst, keine Daten besonderer Kategorien als Kerntätigkeit, keine umfangreiche systematische Überwachung natürlicher Personen in ihrem Privatleben, keine automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung außerhalb des engen, in § 8 beschriebenen Zahlungs-Betrugs-Datenflusses (der seinerseits über die Erlaubnisnorm nach Art. 22 Abs. 2 lit. b autorisiert ist, mit Art. 22 Abs. 2 lit. a als Auffanglösung) — kommt zu dem Ergebnis, dass kein einzelner Verarbeitungsvorgang die Schwelle „voraussichtlich ein hohes Risiko zur Folge hat" nach Art. 35 Abs. 1 erreicht. Zu (c) verarbeiten wir personenbezogene Daten nicht gewerbsmäßig zum Zweck der Übermittlung an Dritte, der anonymisierten Übermittlung oder der Markt- oder Meinungsforschung; der Dienst ist ein kostenpflichtiges Observability-Werkzeug, kein Datenhändler-, Listen-Vermietungs- oder Forschungs-Panel-Geschäft. Wir sind daher nicht verpflichtet, einen Datenschutzbeauftragten zu bestellen. Anfragen zu unserer Verarbeitung personenbezogener Daten können an privacy@uptimia.com gerichtet werden; Andrius Gecius (Geschäftsführer) ist der zuständige Ansprechpartner.

16. Links zu anderen Websites

Der Dienst kann Links zu Drittanbieter-Websites enthalten. Wir haben keine Kontrolle über die Datenschutzpraktiken oder Inhalte dieser Websites und übernehmen hierfür keine Verantwortung. Wir empfehlen, die Datenschutzerklärung jeder von Ihnen besuchten Website zu lesen.

17. Änderungen dieser Erklärung

Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren. In diesem Fall aktualisieren wir den Stand:-Wert oben in diesem Dokument und erhöhen die Versionsnummer. Bei wesentlichen Änderungen — insbesondere bei einer Änderung, die die Rechtsgrundlage der Verarbeitung, die Kategorien der Empfänger Ihrer personenbezogenen Daten oder internationale Übermittlungen betrifft — werden wir Sie mindestens 30 Tage vor Inkrafttreten der Änderung deutlich (z. B. per E-Mail-Benachrichtigung) informieren.

Sie verlieren keine Rechte und gewähren keine neuen Rechte, indem Sie den Dienst weiter nutzen.

18. Kontakt

Für Fragen, Anliegen oder zur Ausübung Ihrer Rechte nach dieser Erklärung wenden Sie sich an den in § 2 benannten Verantwortlichen:

JJ Online GmbH (betreibt Uptimia)

Schönhauser Allee 163, 10435 Berlin

Deutschland

Telefon: +49 151 12032902

E-Mail — allgemein: admin@uptimia.com

E-Mail — Datenschutz und Betroffenenanfragen: privacy@uptimia.com

Für Angelegenheiten der Auftragsverarbeiter-Rolle (Daten Ihrer Besucher / Endkunden, die durch Uptimia fließen) siehe die AV-Vereinbarung.

#1. Einleitung

#2. Verantwortlicher

#3. Welche Informationen wir erheben

#Kontodaten

#Abrechnungsdaten

#Authentifizierungs- und Sitzungsdaten

#Monitor-Konfigurationen, die Sie anlegen

#Check-Ergebnisse

#Konfigurationen von Benachrichtigungskanälen

#Supportdaten

#Serverseitig bei jedem Request gelesene Metadaten

#Ob die Bereitstellung dieser Informationen erforderlich ist (Art. 13 Abs. 2 lit. e DSGVO)

#Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO)

#4. Wie wir Ihre Informationen verwenden

#5. Drittanbieter-Dienste, die wir als Verantwortlicher einsetzen

#5.1 Zahlungen und Abrechnung

#5.2 Hosting und Kerninfrastruktur

#5.3 Probe-Netzwerk

#5.4 Authentifizierung

#5.5 Sicherheit und Threat Intelligence

#5.6 Marketing-Seiten-Integrationen

#5.7 JJ-Online-interne produktübergreifende Dienste (gleicher Verantwortlicher — keine Art.-28-Unter-Auftragsverarbeiter)

#6. Weitere Empfänger — Steuern, Audit, Recht, M&A und rechtmäßige Anfragen

#7. Uptimia als Auftragsverarbeiter für Daten Ihrer Besucher / Endkunden

#8. Profiling und automatisierte Entscheidungsfindung

#9. Cookie-Einwilligung — erteilen und widerrufen

#10. Cookies

#11. Speicherdauer

#12. Datensicherheit

#13. Ihre Rechte

#14. Datenschutz für Kinder

#15. Anwendbare Regime, federführende Aufsichtsbehörde und grenzüberschreitende Übermittlungen

#Anwendbare Regime

#Federführende Aufsichtsbehörde

#Zusammenfassung der Legitimate Interests Assessment

#Automatisierte Entscheidungsfindung (Art. 22 DSGVO)

#Benachrichtigung über Verletzungen des Schutzes personenbezogener Daten (Art. 33–34 DSGVO)

#Internationale Datenübermittlungen

#Datenschutzbeauftragter

#16. Links zu anderen Websites

#17. Änderungen dieser Erklärung

#18. Kontakt