Datenschutz

Verantwortlicher

Verantwortlicher ist Marvin Leonhardt. Die vollständigen Kontaktdaten stehen im Impressum.

Zwecke und Datenkategorien

Verarbeitet werden nur Daten, die für Betrieb, Vertragserfüllung, Abrechnung, Support, Sicherheit, Missbrauchsprävention und gesetzliche Pflichten erforderlich sind. Dazu gehören insbesondere Identifikations- und Kontaktdaten, Kontodaten, Zahlungs- und Rechnungsdaten, Server- und Konfigurationsdaten, Verbindungs- und Sicherheitsdaten sowie Mitteilungen an den Support.

Eine Nutzung für personalisierte Werbung oder der Verkauf personenbezogener Daten findet nach aktuellem Systemstand nicht statt.

Registrierung, Login und Konto

Bei Registrierung und Login werden Benutzername, E-Mail-Adresse, Passwort-Hash, Kundennummer, Kontotyp, Zeitpunkte, E-Mail-Bestätigung und die Zustimmung zur AGB-Fassung verarbeitet. Passwörter werden nicht im Klartext gespeichert. Zur E-Mail-Bestätigung werden zeitlich begrenzte, gehashte Einmal-Token und zur Missbrauchsbegrenzung pseudonymisierte Versanddaten verarbeitet.

Wird ein Passkey hinterlegt, werden der öffentliche Berechtigungsnachweis, die Credential-ID, vom Gerät gemeldete Transport- und Backup-Eigenschaften, der Signaturzähler sowie Erstellungs- und letzter Nutzungszeitpunkt gespeichert. Biometrische Daten und der private Passkey verbleiben auf dem Gerät oder beim Passkey-Anbieter und werden nicht an MarvinMC Hosting übertragen.

Bei einer E-Mail-Änderung werden die bisherige und die neue Adresse sowie ein gehashter Einmal-Token verarbeitet. An die bisherige Adresse wird ein Sicherheitshinweis gesendet. Der Rücknahmelink ist 24 Stunden gültig; verbrauchte oder abgelaufene Token werden anschließend automatisiert bereinigt.

Wird die E-Mail-Adresse eines neu registrierten Kontos nicht innerhalb von 30 Tagen bestätigt, werden das Konto und die reinen Registrierungsdaten automatisch gelöscht. Geschäftliche Unterlagen, Zahlungs-, Rechnungs-, Widerrufs- oder vergleichbare Nachweisdaten werden nicht entgegen gesetzlichen Aufbewahrungs- oder Nachweispflichten gelöscht.

Hosting, Server und Inhalte

Für die Bereitstellung des Hostings werden Servername, gebuchter Tarif, Laufzeit, Ressourcen, IP-/Port-Zuweisungen, Subdomains, FTPS-Zugangsdaten, Datenbankdaten, Dateien, Backups, Konsolen- und Betriebsdaten verarbeitet und auf den jeweils eingesetzten Nodes gespeichert. Der Zugriff erfolgt zur Vertragserfüllung, Verwaltung, Fehlerbehebung, Sicherheit und zur Bearbeitung von Support- oder Rechtsverletzungsmeldungen.

Inhalte werden nicht zu Werbezwecken ausgewertet. Eine Prüfung oder Sicherung von Inhalten kann erforderlich sein, wenn dies zur Sicherheit, zur Abwehr von Missbrauch, aufgrund einer Meldung oder einer behördlichen bzw. gerichtlichen Verpflichtung notwendig ist.

Zahlungen, Guthaben und Rechnungen

Je nach Aktivierung können PayPal, Stripe und PaysafeCard als Zahlungsdienstleister eingesetzt werden. Zahlungsdaten werden grundsätzlich beim ausgewählten Zahlungsdienstleister verarbeitet. MarvinMC Hosting erhält insbesondere Zahlungsart, Zahlungsreferenz, Betrag, Währung, Status, Zeitpunkte und die für Gutschrift, Rückerstattung und Rechnungsstellung erforderlichen Daten. Guthabenbuchungen, Serverbuchungen und Rechnungen werden im Panel dokumentiert.

In den Einstellungen können freiwillig Firma, vollständiger Name, Rechnungsanschrift und Umsatzsteuer-Identifikationsnummer hinterlegt werden. Diese Angaben werden für neue Abrechnungsbelege verwendet. Bei Monatsrechnungen über 250 Euro werden vor der endgültigen Erstellung vollständiger Empfängername und Anschrift nachgefordert. Das Profil und neue Belegkopien mit diesen Angaben werden im privaten Panelspeicher verschlüsselt gespeichert. Zugriff auf die Belege haben der Kontoinhaber und berechtigte Abrechnungsmitarbeiter; das Profil wird weder veröffentlicht noch an Server-Mitverwalter, Besucher von Spendenseiten oder OAuth-Anwendungen weitergegeben.

Das Profil kann geändert oder geleert werden. Bereits in endgültige Abrechnungsbelege aufgenommene Angaben bleiben für die jeweils geltenden gesetzlichen Aufbewahrungsfristen Bestandteil dieser Belege. Änderungen wirken für zukünftige Belege, nicht rückwirkend. Soweit für die Buchführung oder gesetzliche Pflichten erforderlich, können Abrechnungsdaten an berechtigte Steuerberater und Behörden weitergegeben werden.

Hosting-Unterstützung und Spendenseiten

Aktiviert ein Kontoinhaber eine Spendenseite, sind deren Titel, Beschreibung, Wunschlink, gewähltes Design, hochgeladene Bilder, eigene Inhalte und öffentlicher Benutzername für Personen mit dem Link sichtbar. Eine Unterstützung kann ohne eigenen Account bezahlt werden. Wir verarbeiten das Empfängerkonto, den Betrag, den ausgewählten Zahlungsanbieter, Zahlungsreferenz und -status, Zeitpunkte, die akzeptierte AGB-Version und bei angemeldeten Spendern deren Kontokennung. Eine freiwillig angegebene E-Mail-Adresse dient Zahlungs- und Erstattungsbestätigungen; soweit für diese Zahlung relevant, wird sie auch an den ausgewählten Zahlungsanbieter übermittelt. Dem Empfänger wird sie nicht angezeigt.

Die Sicherheitsprüfungen verwenden eine PHP-Session, eine sessiongebundene Anfragekennung und pseudonymisierte Netzwerk- und E-Mail-Kennungen, um wiederholte Zahlungsversuche einzuschränken. Verbundene Accounts dürfen sich gegenseitig unterstützen. Affiliate-Prämien basieren auf tatsächlichem Hosting-Verbrauch aus echtem Guthaben, nicht auf Spenden oder Einzahlungen. Private Zahlungsbestätigungslinks sind durch zufällige Zugriffstoken geschützt; das Token wird als Hash und als verschlüsseltes Geheimnis gespeichert. Diese Links dürfen nicht geteilt werden. Für Finanzunterlagen gelten die unten beschriebenen Aufbewahrungsregeln; vorübergehende Ratelimit-Einträge werden nach Ablauf ihrer Gültigkeit entfernt.

Elektronische Widerrufsfunktion

Bei Nutzung der elektronischen Widerrufsfunktion werden Name, Vertragsreferenz, Bestätigungs-E-Mail-Adresse, Eingangszeitpunkt, eine pseudonymisierte IP-Kennung und ein Hash der Browserkennung verarbeitet. Dies dient der Entgegennahme, Eingangsbestätigung, Bearbeitung und dem Nachweis der Widerrufserklärung auf Grundlage von Art. 6 Abs. 1 Buchstaben b, c und f DSGVO. Die Eingangsbestätigung wird per E-Mail versendet; eine Kopie wird an die im Impressum genannte Kontaktadresse übermittelt.

Die Angaben werden für die Bearbeitung und bis zum Ablauf einschlägiger Nachweis-, Aufbewahrungs- und Verjährungsfristen gespeichert und anschließend gelöscht, sofern kein laufender Streit oder keine gesetzliche Pflicht eine längere Speicherung erfordert.

Cookies und Authentifizierung

Das Panel verwendet technisch notwendige Sitzungs-, Authentifizierungs- und CSRF-Cookies, um Logins zu schützen, Sitzungen zu verwalten und missbräuchliche Anfragen zu verhindern. Diese Cookies sind für den ausdrücklich angeforderten Kundenbereich erforderlich. Nach aktuellem Systemstand werden keine nicht erforderlichen Analyse- oder Werbe-Cookies gesetzt.

Die Speicherung und der Zugriff auf Informationen in Endeinrichtungen richten sich, soweit anwendbar, nach § 25 TDDDG. Nicht erforderliche Einwilligungen können jederzeit mit Wirkung für die Zukunft widerrufen werden.

Sicherheitsprüfung

Bei Login, Registrierung, Widerruf und je nach Serveraktion wird eine eigene Sicherheitsprüfung eingesetzt. Abhängig vom ermittelten Missbrauchsrisiko kommt ein Bildcode oder eine lokale Proof-of-Work-Berechnung zum Einsatz. Dafür werden die angezeigte Aufgabe, die übermittelte Lösung, technische Prüfdaten, verkürzte Risikosignale und die zur Missbrauchsprävention erforderliche Sitzung verarbeitet. Zur Bereitstellung und Prüfung wird der Dienst marvinmc.dev

Discord-Verknüpfung

Bei der optionalen Discord-Verknüpfung werden Discord-ID, Benutzername, Anzeigename, Avatar-Kennung und verschlüsselte OAuth-Zugangsdaten verarbeitet. Für Linked Roles werden Hosting-Benutzername, Status als zahlender Kunde und aktive Serveranzahlen je Pakettyp an Discord übermittelt. Ist ein globaler oder serverspezifischer Ereignis-Webhook aktiv, werden Serveraktion, Servername, interne Server-ID, Node, Zeitpunkt und handelnder Nutzer an Discord gesendet. Gespeicherte Webhook-URLs sind verschlüsselt und werden im Panel nicht offengelegt.

Bei Nutzung des Supportsystems werden Ticketnummer, Betreff, Nachrichten, übermittelte Anhänge sowie der Hosting-Benutzername und die für Rückfragen erforderlichen Kontaktdaten in einen nicht öffentlich zugänglichen Discord-Forumskanal übertragen. Dies ermöglicht autorisierten Supportmitarbeitern die Bearbeitung und die Rückübertragung ihrer Antworten in das Webpanel. Bitte übermittle in Supportnachrichten keine Daten, die für die Bearbeitung nicht erforderlich sind.

Anmeldung bei anderen Anwendungen

Zugriffsprotokolle

Beim Aufruf und bei der Nutzung können IP-Adresse, Zeitpunkt, angeforderte URL, Referrer, Browser- und Geräteinformationen, HTTP-Methode, Anfrageergebnis sowie Sicherheits- und Fehlerdaten verarbeitet werden. Dies dient Betrieb, Sicherheit, Fehleranalyse, Missbrauchsprävention und der Abwehr von Angriffen.

Empfänger und Auftragsverarbeiter

Empfänger können die für den Betrieb eingesetzten Hosting- und Node-Infrastrukturen, E-Mail- und Support-Dienstleister, Zahlungsdienstleister, Discord bei aktivierter Verknüpfung oder aktivierten Webhooks sowie Behörden und Gerichte sein, soweit dies erforderlich oder gesetzlich vorgeschrieben ist. Mit Auftragsverarbeitern werden, soweit erforderlich, Verträge nach Art. 28 DSGVO geschlossen.

Drittlandübermittlungen

Je nach eingesetztem Zahlungs-, Kommunikations- oder Integrationsdienst können Daten in Staaten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums verarbeitet werden. Eine Übermittlung erfolgt nur bei Vorliegen der Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses, geeigneter Garantien wie Standarddatenschutzklauseln oder einer wirksamen gesetzlichen Ausnahme.

Rechtsgrundlagen

Kontoverwaltung, Bestellungen, Hosting, Abrechnung und angeforderter Support werden zur Durchführung vorvertraglicher Maßnahmen und zur Vertragserfüllung nach Art. 6 Abs. 1 Buchstabe b DSGVO verarbeitet. Steuer-, handels- und behördenbezogene Pflichten beruhen auf Art. 6 Abs. 1 Buchstabe c DSGVO. Sicherheitsprotokolle, Missbrauchsprävention, Fehleranalyse sowie die Abwehr und Durchsetzung von Ansprüchen beruhen auf Art. 6 Abs. 1 Buchstabe f DSGVO; berechtigte Interessen sind der sichere, stabile und wirtschaftliche Betrieb sowie der Schutz von Nutzern, Infrastruktur und Rechtspositionen. Soweit eine freiwillige Funktion eine Einwilligung erfordert, gilt Art. 6 Abs. 1 Buchstabe a DSGVO.

Als Pflichtfelder gekennzeichnete Vertrags- und Kontodaten sind für Kontoeröffnung oder Leistungserbringung erforderlich. Ohne diese Daten kann die jeweilige Funktion oder der Vertrag nicht bereitgestellt werden. Eine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne des Art. 22 DSGVO findet nach aktuellem Systemstand nicht statt.

Speicherdauer

Reine Registrierungsdaten eines Kontos, bei dem noch nie eine E-Mail-Adresse bestätigt wurde, werden 30 Tage nach der Registrierung gelöscht. Eine spätere Änderung der E-Mail-Adresse setzt diese Löschung für ein zuvor bestätigtes Konto nicht in Gang. Kontodaten werden im Übrigen gespeichert, solange das Konto besteht oder Ansprüche und gesetzliche Pflichten eine weitere Speicherung erfordern. Rechnungen, Buchungsbelege und vergleichbare Geschäftsunterlagen werden entsprechend den steuer- und handelsrechtlichen Aufbewahrungspflichten, je nach Dokument regelmäßig sechs, acht oder zehn Jahre, aufbewahrt. Sicherheits- und Protokolldaten werden gelöscht oder anonymisiert, sobald sie für Betrieb, Sicherheit oder Nachweis nicht mehr erforderlich sind.

Nach Vertragsende werden Serverinhalte und Zugangsdaten im Rahmen der in den AGB beschriebenen Fristen gelöscht, sofern keine gesetzliche Pflicht oder ein berechtigter Grund für eine längere Aufbewahrung besteht.

Betroffenenrechte

Betroffene Personen haben nach Maßgabe der DSGVO insbesondere Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 Buchstabe f DSGVO kann aus Gründen, die sich aus der besonderen Situation ergeben, Widerspruch nach Art. 21 DSGVO eingelegt werden. Einwilligungen können jederzeit mit Wirkung für die Zukunft widerrufen werden. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Beschwerderecht

Es besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde. Für den Sitz in Hessen ist insbesondere der Hessische Beauftragte für Datenschutz und Informationsfreiheit zuständig.