Datenschutzerklärung

1. Verantwortlicher

NG IT-Projekte, Inhaber Nikolas Gottschalk, Sonnenhof 150, 53119 Bonn, Deutschland. E-Mail: kontakt@1stlevel.tech.

Ein Datenschutzbeauftragter ist nicht bestellt, weil die gesetzlichen Voraussetzungen für eine Benennung derzeit nicht vorliegen. Datenschutzanfragen können an die vorstehende E-Mail-Adresse gerichtet werden.

2. Rollenverteilung

Für Konto-, Vertrags-, Abrechnungs-, Sicherheits- und Kommunikationsdaten ist NG IT-Projekte Verantwortlicher. Für Ticketinhalte und personenbezogene Daten, die ein Kunde in 1stlevel verarbeitet, ist grundsätzlich der Kunde Verantwortlicher; NG IT-Projekte verarbeitet diese Daten als Auftragsverarbeiter nach dem AV-Vertrag.

Der Kunde muss betroffene Anfragende und Beschäftigte über seine Verarbeitung informieren und die in 1stlevel bereitgestellte Möglichkeit für einen eigenen Datenschutzhinweis im Supportformular nutzen, soweit dies erforderlich ist.

3. Daten und Zwecke

• Kontodaten: Firmenname, Name, E-Mail-Adresse, Passwort-Hash, Rolle, Sprache sowie Version und Zeitpunkt der Vertragsannahme zur Einrichtung, Authentifizierung und Vertragsdurchführung.
• Supportdaten: Absender- und Empfängerdaten, Betreff, Nachrichten, interne Notizen, Anhänge, Status, Zuständigkeit und Zeitangaben zur Bereitstellung des Ticketsystems im Auftrag des Kunden.
• Abrechnungsdaten: Rechnungsanschrift, Land, Umsatzsteuer-ID und Stripe-Referenzen zur Abrechnung, Zahlungsabwicklung und Buchführung. Vollständige Kartendaten werden unmittelbar von Stripe verarbeitet und nicht auf unseren Systemen gespeichert.
• Technische Daten: IP-Adresse, Zeitstempel, Browser- und Geräteinformationen, Sitzungs- und Sicherheitsereignisse sowie Serverprotokolle, soweit dies für Auslieferung, Missbrauchsschutz, Fehleranalyse und Sicherheit erforderlich ist.
• Integrationsdaten: API-Token-Hashes, Webhook-Ziele und Zustellstatus sowie E-Mail-Metadaten zur Ausführung der vom Kunden eingerichteten Funktionen.
• Kontaktdaten: Name, E-Mail-Adresse, Betreff und Nachricht zur Bearbeitung von Anfragen über das öffentliche Kontaktformular.
• DSA-Meldedaten: betroffener Inhalt oder genaue Fundstelle, Begründung der behaupteten Rechtswidrigkeit, Richtigkeitserklärung sowie freiwillig Name und E-Mail-Adresse zur Prüfung und Bearbeitung einer Meldung.

4. Rechtsgrundlagen

Wir verarbeiten Vertrags-, Kontakt- und Kontodaten zur Durchführung vorvertraglicher Maßnahmen und des Vertrags (Art. 6 Abs. 1 lit. b DSGVO), Abrechnungs- und Buchungsdaten zur Vertragsabwicklung und zur Erfüllung gesetzlicher Aufbewahrungspflichten (Art. 6 Abs. 1 lit. b und c DSGVO) sowie technische Sicherheits-, Zustell- und Missbrauchsdaten aufgrund unseres berechtigten Interesses an einem sicheren, stabilen und wirtschaftlichen Betrieb sowie an der Abwehr und Aufklärung von Missbrauch (Art. 6 Abs. 1 lit. f DSGVO).

Angaben aus dem Kontaktformular verarbeiten wir zur Beantwortung vorvertraglicher oder vertraglicher Anfragen nach Art. 6 Abs. 1 lit. b DSGVO, in sonstigen Fällen aufgrund unseres berechtigten Interesses an der Bearbeitung geschäftlicher Kommunikation nach Art. 6 Abs. 1 lit. f DSGVO.

Meldedaten zu mutmaßlich rechtswidrigen Inhalten verarbeiten wir zur Erfüllung unserer Pflichten aus Art. 16 und 17 DSA nach Art. 6 Abs. 1 lit. c DSGVO sowie zur Prüfung, Abwehr und Dokumentation rechtswidriger Nutzung nach Art. 6 Abs. 1 lit. f DSGVO.

Soweit wir Ticketdaten im Auftrag verarbeiten, bestimmt der jeweilige Kunde die einschlägige Rechtsgrundlage. 1stlevel ist nicht für die Rechtmäßigkeit der Datenerhebung durch den Kunden verantwortlich.

5. Hosting, Speicher und E-Mail

Anwendung, PostgreSQL-Datenbank, Warteschlange, Sitzungen und privater Objektspeicher werden über Laravel Cloud (Laravel Holdings Inc., USA) in der Region Frankfurt betrieben. Laravel Cloud setzt hierfür weitere Infrastruktur-Anbieter ein, insbesondere Amazon Web Services. Es gilt das Data Processing Agreement von Laravel; mögliche Drittlandzugriffe werden über die dort vorgesehenen Garantien, insbesondere EU-Standardvertragsklauseln und – soweit anwendbar – das EU-US Data Privacy Framework abgesichert.

Für Ein- und Ausgang von E-Mails wird Hostinger International Ltd., Zypern, einschließlich der in deren Data Processing Addendum genannten verbundenen Unternehmen und Unterauftragsverarbeiter eingesetzt. Nachrichten und Metadaten durchlaufen daneben die E-Mail-Infrastruktur des Kunden und der jeweiligen Absender oder Empfänger. Mit den als Auftragsverarbeiter eingesetzten Anbietern bestehen Datenschutzvereinbarungen.

Informationen zu den eingesetzten Garantien und eine Kopie der maßgeblichen Datenschutzklauseln können unter kontakt@1stlevel.tech angefordert werden. Geschäftsgeheimnisse und sicherheitsrelevante Angaben dürfen dabei geschwärzt werden.

6. Stripe und Umsatzsteuer-ID

Für Checkout, Abonnements, Zahlungen und Rechnungen nutzen wir Stripe Payments Europe, Limited, Irland. Stripe verarbeitet je nach Tätigkeit Daten als Auftragsverarbeiter und als eigener Verantwortlicher, insbesondere für Zahlungsabwicklung, Betrugsprävention und gesetzliche Pflichten. Es gelten das Stripe Data Processing Agreement und die Datenschutzhinweise von Stripe. Mögliche Drittlandübermittlungen werden über das EU-US Data Privacy Framework und/oder EU-Standardvertragsklauseln abgesichert.

Eine angegebene EU-Umsatzsteuer-ID wird zunächst lokal auf Format und Länderbezug geprüft. Vor einer Stripe-Buchung mit Umsatzsteuer-ID wird sie über den VIES-Dienst der Europäischen Kommission validiert; dabei werden Umsatzsteuer-ID, Land und die für den Nachweis erforderlichen Anfragedaten verarbeitet. Kann VIES nicht verlässlich antworten, wird die Buchung nicht als steuerlich bestätigt behandelt.

7. Vom Kunden bestimmte Empfänger

Richtet der Kunde Webhooks, API-Zugriffe, E-Mail-Weiterleitungen oder andere Integrationen ein, werden die dafür ausgewählten Daten an die vom Kunden bestimmten Empfänger übermittelt. Für Auswahl, Rechtsgrundlage und Absicherung dieser Empfänger ist der Kunde verantwortlich.

8. Cookies und Reichweitenmessung

Wir verwenden nur technisch erforderliche Cookies beziehungsweise vergleichbare Speicherungen für Anmeldung, Sitzung, CSRF-Schutz und eine ausdrücklich gewählte dauerhafte Anmeldung. Sitzung und CSRF-Schutz sind grundsätzlich auf die Sitzung beziehungsweise die konfigurierte Inaktivitätsdauer begrenzt; die dauerhafte Anmeldung endet durch Abmeldung, Widerruf der Sitzung oder Ablauf des technisch gesetzten Tokens. Diese Speicherungen sind zur Bereitstellung der ausdrücklich gewünschten Funktionen erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Das öffentliche Supportformular wird ohne Umgebungssitzung ausgeliefert. Wir verwenden keine Werbe-, Profiling- oder Analyse-Cookies und benötigen deshalb derzeit kein Einwilligungsbanner.

9. Speicherdauer und Löschung

Konten und Supportinhalte werden für die Vertragsdauer gespeichert. Nach Ende der Test- oder Vertragslaufzeit bleibt das Konto höchstens 60 Tage schreibgeschützt, damit der Kunde Daten exportieren oder reaktivieren kann. Eine sofortige Kontolöschung kann ein Administrator in den Kontoeinstellungen auslösen.

Vor einer endgültigen Mandantenlöschung wird zur Absicherung gegen Fehlbedienung ein verschlüsselungs- und zugriffsgeschützter privater Lösch-Export erstellt. Dieser vollständige Lösch-Export wird nach 30 Tagen automatisch entfernt. Infrastruktur-Backups werden nur für die Wiederherstellung verarbeitet und nach den Zyklen des Anbieters überschrieben. Abrechnungs- und Buchungsbelege werden getrennt davon regelmäßig acht Jahre ab Ende des Entstehungsjahres aufbewahrt; längere Fristen können im Einzelfall gesetzlich erforderlich sein.

Anwendungs-, Server- und Sicherheitsprotokolle werden nur so lange gespeichert, wie sie für Betrieb, Fehleranalyse und Missbrauchsschutz erforderlich sind. Die konkrete Dauer richtet sich nach dem gebuchten Infrastruktur-Tarif und der technischen Protokollart; Laravel Cloud sieht hierfür tarifabhängig kurze feste Aufbewahrungsfenster vor. Für einen konkreten Sicherheits- oder Rechtsfall erforderliche Auszüge können bis zu dessen Abschluss und dem Ablauf einschlägiger Verjährungsfristen gesondert aufbewahrt werden.

Kontaktanfragen werden gelöscht, sobald die Anfrage abschließend bearbeitet ist und keine vertraglichen, gesetzlichen oder beweisbezogenen Gründe eine weitere Speicherung erfordern. Rein allgemeine Anfragen werden regelmäßig spätestens sechs Monate nach Abschluss entfernt; vertrags- oder rechtsrelevante Korrespondenz kann bis zum Ablauf der gesetzlichen Aufbewahrungs- und Verjährungsfristen gespeichert bleiben.

Meldungen nach Art. 16 DSA und die dazugehörige Entscheidung werden regelmäßig zwölf Monate nach Abschluss des Verfahrens gelöscht. Soweit sie für ein behördliches oder gerichtliches Verfahren, die Abwehr von Ansprüchen oder eine gesetzliche Nachweispflicht erforderlich sind, bleiben sie bis zu dessen Abschluss beziehungsweise bis zum Ablauf der maßgeblichen Frist gesperrt gespeichert.

10. Rechte betroffener Personen

Betroffene Personen haben nach Maßgabe der DSGVO Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Sie können einer Verarbeitung aufgrund von Art. 6 Abs. 1 lit. f DSGVO aus Gründen ihrer besonderen Situation widersprechen. Eine Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden; die Rechtmäßigkeit der vorherigen Verarbeitung bleibt unberührt. Für Ticketinhalte sollte die Anfrage zunächst an den jeweiligen 1stlevel-Kunden als Verantwortlichen gerichtet werden; wir unterstützen ihn bei der Bearbeitung.

Beschwerden können bei einer Datenschutzaufsichtsbehörde eingereicht werden. Für unseren Sitz ist insbesondere die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf, zuständig.

Anfragen können formlos an kontakt@1stlevel.tech gerichtet werden. Wir antworten grundsätzlich innerhalb eines Monats; bei komplexen oder zahlreichen Anträgen kann die Frist nach Art. 12 Abs. 3 DSGVO um bis zu zwei Monate verlängert werden. Über eine Verlängerung und ihre Gründe informieren wir innerhalb des ersten Monats.

11. Pflichtangaben und automatisierte Entscheidungen

Die als erforderlich gekennzeichneten Konto- und Abrechnungsdaten werden für Vertragsschluss und Leistungserbringung benötigt. Ohne sie kann das Konto oder eine kostenpflichtige Buchung nicht bereitgestellt werden. Es findet keine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung und kein Profiling statt.

12. Herkunft von Daten und Änderungen

Kontodaten erhalten wir von der registrierenden Person und eingeladenen Nutzern. Abrechnungsdaten erhalten wir vom Kunden und von Stripe. Ticket- und Kommunikationsdaten gelangen unmittelbar über Formulare und E-Mails oder durch Weiterleitung und Eingabe des Kunden in den Dienst. Soweit wir diese Daten nur im Auftrag verarbeiten, obliegen Informationen nach Art. 13 und 14 DSGVO dem jeweiligen Kunden.

Wir passen diese Datenschutzerklärung an, wenn sich Verarbeitung, Anbieter oder Rechtslage ändern. Maßgeblich ist die auf dieser Seite veröffentlichte Fassung mit dem angegebenen Stand; wesentliche Änderungen für Bestandskunden werden zusätzlich in geeigneter Form mitgeteilt.