Datenschutz

Diese Datenschutzerklärung beschreibt, welche personenbezogenen Daten wir auf www.twosteps.net und bei der Bestellung unserer Leistungen verarbeiten, wozu und auf welcher Rechtsgrundlage. Für die Verarbeitung von Daten, die Sie als Kunde in Ihren Webseiten, Postfächern oder Datenbanken bei uns speichern, gilt zusätzlich der Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO), den Sie im Kundenmenü auf Ihren Namen abrufen können.

1. Verantwortlicher

twosteps GmbH
Postfach 230 304
70623 Stuttgart-Flughafen
Deutschland

Telefon: +49 711 489 657 40
E-Mail: support [at] twosteps.net

Vertreten durch den Geschäftsführer Ralf Kayser. Weitere Angaben finden Sie im Impressum.

Einen Datenschutzbeauftragten haben wir nicht bestellt, da die gesetzlichen Voraussetzungen dafür nicht vorliegen. Fragen zum Datenschutz richten Sie bitte an die oben genannte Adresse.

2. Das Wichtigste in Kürze

• Die Webseite läuft auf unseren eigenen Servern in europäischen Rechenzentren.
• Für die Reichweitenmessung nutzen wir Matomo auf unserem eigenen Server – ohne Cookies, mit gekürzter IP-Adresse und ohne Weitergabe an Dritte. Werbe-Cookies, Social-Media-Plugins, fremde Tracking-Dienste oder extern geladene Schriften setzen wir nicht ein.
• Cookies setzen wir nur, wenn Sie selbst ein Land oder die Preisanzeige (netto/brutto) auswählen – damit Ihre Auswahl erhalten bleibt.
• Daten, die Sie uns über Formulare senden, nutzen wir nur für den jeweiligen Zweck und geben sie nicht zu Werbezwecken weiter.

3. Aufruf der Webseite und Server-Protokolle

Beim Aufruf der Webseite übermittelt Ihr Browser automatisch technische Daten, die unser Webserver in Protokolldateien speichert:

• IP-Adresse
• Datum und Uhrzeit des Abrufs
• aufgerufene Adresse, Statuscode und übertragene Datenmenge
• zuvor besuchte Seite (Referrer), sofern Ihr Browser sie übermittelt
• Browser und Betriebssystem (User-Agent)

Wir benötigen diese Daten, um die Webseite auszuliefern, ihre Sicherheit zu gewährleisten (z. B. Abwehr von Angriffen) und Fehler zu finden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren und stabilen Betrieb. Die Protokolle werden nach 7 Tagen automatisch gelöscht, es sei denn, ein konkreter Sicherheitsvorfall erfordert eine längere Aufbewahrung zur Aufklärung. Eine Zusammenführung mit anderen Daten oder eine Auswertung zu Werbezwecken findet nicht statt.

Die Verbindung zur Webseite ist durchgehend per TLS (HTTPS) verschlüsselt.

4. Cookies

Die Webseite funktioniert ohne Cookies. Nur wenn Sie über die Auswahl auf der Seite ein Land (für die Umsatzsteuer) oder die Anzeige von Netto- bzw. Bruttopreisen wählen, speichern wir diese Auswahl in zwei Cookies:

• ts_land – das gewählte Land, z. B. „DE“
• ts_preise – „netto“ oder „brutto“

Die Cookies enthalten keine Kennung, mit der wir Sie wiedererkennen könnten, werden nur von unserem Server gelesen und laufen nach einem Jahr ab. Sie sind für die von Ihnen ausdrücklich gewünschte Funktion unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); Rechtsgrundlage für die weitere Verarbeitung ist Art. 6 Abs. 1 lit. f DSGVO. Sie können die Cookies jederzeit in Ihrem Browser löschen.

Reichweitenmessung mit Matomo

Um zu verstehen, welche Seiten genutzt werden und wo Besucher hängen bleiben, setzen wir die Open-Source-Software Matomo ein. Sie läuft auf unserem eigenen Server; die Daten verlassen unser Haus nicht. Matomo setzt bei uns keine Cookies und speichert nichts auf Ihrem Endgerät.

Verarbeitet werden: die um zwei Bytes gekürzte IP-Adresse (z. B. 192.168.xxx.xxx), aufgerufene Seiten und Zeitpunkt, die zuvor besuchte Seite, Browser, Betriebssystem, Bildschirmgröße und Spracheinstellung sowie Klicks auf Schaltflächen wie „Bestellen“ oder „Beratung vereinbaren“. Eine Zuordnung zu Ihrer Person oder ein Zusammenführen mit anderen Daten findet nicht statt. Die Rohdaten löschen wir nach 6 Monaten; danach bleiben nur zusammengefasste Statistiken.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, die Webseite zu verbessern. Haben Sie in Ihrem Browser „Do Not Track“ aktiviert, wird Ihr Besuch nicht erfasst. Sie können der Verarbeitung außerdem jederzeit widersprechen (Abschnitt 11).

5. Kontaktformular, E-Mail und Telefon

Wenn Sie uns über das Kontaktformular schreiben, verarbeiten wir Anlass, Name, Firma (freiwillig), E-Mail-Adresse, Telefonnummer (freiwillig, beim Rückruf erforderlich), das gewählte Produkt und Ihre Nachricht. Die Anfrage wird in unserer Datenbank gespeichert und per E-Mail an unser Support-Team weitergeleitet.

Zum Schutz vor Missbrauch speichern wir statt Ihrer IP-Adresse nur einen nicht umkehrbaren, verschlüsselten Prüfwert (HMAC), mit dem wir die Zahl der Anfragen je Absender in kurzer Zeit begrenzen. Außerdem wird der Inhalt automatisiert auf typische Merkmale unerwünschter Werbung geprüft; erkannte Werbung wird nicht weitergeleitet.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage auf einen Vertrag zielt, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (Beantwortung von Anfragen, Schutz vor Missbrauch). Die im Formular gespeicherten Anfragen löschen wir nach 180 Tagen; entsteht daraus ein Auftrag, gelten die Fristen aus Abschnitt 8.

Für Anfragen per E-Mail oder Telefon gilt Entsprechendes. Für Terminvereinbarungen bieten wir eine Buchungsseite unter termine.twosteps.net an, die wir ebenfalls selbst betreiben; dort verarbeiten wir die von Ihnen eingegebenen Daten zur Vereinbarung und Durchführung des Termins.

6. Newsletter „Sicherheitsupdates“

Für den Newsletter benötigen wir Ihre E-Mail-Adresse; dazu speichern wir die gewählte Sprache, den Zeitpunkt der Anmeldung und der Bestätigung, die IP-Adresse bei der Anmeldung sowie die Seite, von der aus Sie sich angemeldet haben. Diese Angaben dienen dem Nachweis Ihrer Einwilligung. Die Anmeldung wird erst wirksam, wenn Sie den Link in der Bestätigungsmail anklicken (Double-Opt-in).

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie können sie jederzeit widerrufen, z. B. über den Abmeldelink in jeder Ausgabe. Nach der Abmeldung speichern wir Ihre Adresse nur noch in einer Sperrliste, damit Sie keine weiteren Mails erhalten (Art. 6 Abs. 1 lit. f DSGVO). Unbestätigte Anmeldungen löschen wir nach 7 Tagen.

Die Verteilerliste verwalten wir mit der Software Sendy auf unserem eigenen Server (lists.newsversand.email). Für den technischen Versand der Mails nutzen wir den Dienst Amazon Simple Email Service (SES) der Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg, als Auftragsverarbeiter. Dabei werden die Empfängeradresse und der Inhalt der Mail verarbeitet. Eine Übermittlung an die Amazon Web Services, Inc. in den USA kann nicht ausgeschlossen werden; das Unternehmen ist unter dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission, Art. 45 DSGVO), ergänzend gelten Standardvertragsklauseln.

7. Bestellung

Für die Bestellung und Erfüllung des Vertrags verarbeiten wir:

• Name, ggf. Firma, Anschrift, E-Mail-Adresse und Telefonnummer
• gewähltes Produkt, Laufzeit und ggf. die gewünschte Domain
• Zahlungsdaten: bei SEPA-Lastschrift die IBAN und den Kontoinhaber zur Erteilung des Mandats; bei Zahlung über Stripe die Angaben, die Sie auf der Zahlungsseite von Stripe eingeben (siehe unten)
• Zeitpunkt der Bestellung, IP-Adresse und Quellport bei Bestellung und Freischaltung (siehe unten) sowie einen verschlüsselten Prüfwert der IP-Adresse zur Begrenzung von Missbrauch

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag und vorvertragliche Maßnahmen) sowie Art. 6 Abs. 1 lit. c DSGVO, soweit wir gesetzlich zur Aufbewahrung verpflichtet sind.

Verbindungsdaten für Behördenauskünfte

Als Anbieter von Hosting- und Telekommunikationsdiensten müssen wir Behörden, etwa dem Bundesamt für Sicherheit in der Informationstechnik (BSI), auf Anfrage mitteilen können, von welcher IP-Adresse aus ein Dienst bestellt und freigeschaltet wurde. Deshalb speichern wir bei der Bestellung und bei der Freischaltung IP-Adresse, Quellport und Zeitpunkt – ausschließlich verschlüsselt, wie Ihre Bankverbindung (siehe unten). Auf dem Webserver sind diese Daten nicht lesbar; wir öffnen sie nur, wenn eine Behörde sie berechtigt anfordert oder wir den Vertragsschluss nachweisen müssen. Wir speichern sie zusammen mit der Bestellung (Abschnitt 8). Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO, soweit wir zur Auskunft gesetzlich verpflichtet sind, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (Aufklärung von Missbrauch, Nachweis des Vertragsschlusses).

Schutz Ihrer Bankverbindung

Die IBAN wird unmittelbar bei der Bestellung mit einem öffentlichen Schlüssel verschlüsselt. Der zugehörige private Schlüssel liegt nicht auf dem Webserver; auf dem Webserver kann die IBAN daher nicht wieder lesbar gemacht werden. Für die Bearbeitung ist dort nur eine gekürzte Darstellung gespeichert (Ländercode und die letzten vier Stellen).

Kontrollanruf

Bei Webhosting- und WordPress-Bestellungen rufen wir Sie unter der angegebenen Telefonnummer an und lassen uns zur Bestätigung Ihrer Identität die letzten vier Stellen Ihrer IBAN nennen. Erst danach senden wir den Freischaltcode. Das dient dem Schutz vor Betrug und Missbrauch unserer Dienste, auch zu Ihrem Schutz (Art. 6 Abs. 1 lit. b und f DSGVO). Vor dem Anruf prüfen wir die Angaben auf Plausibilität: Wir gleichen sie mit früheren Bestellungen ab – die IBAN dabei nur über einen nicht umkehrbaren Prüfwert und die Bankkennung ohne Kontonummer – und suchen bei Bedarf in öffentlich zugänglichen Quellen, ob Angaben missbräuchlich verwendet werden, etwa eine von einer fremden Webseite übernommene Bankverbindung. Gesprächsinhalte werden nicht aufgezeichnet; wir vermerken nur, dass und von wem die Prüfung durchgeführt wurde.

Zahlung über Stripe

Für Zahlungen per Kreditkarte und andere Online-Zahlungsarten nutzen wir Stripe. Anbieter für Kunden im Europäischen Wirtschaftsraum ist die Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland. Sie geben Ihre Zahlungsdaten direkt auf der Zahlungsseite von Stripe ein; wir erhalten diese Daten nicht, sondern nur die Bestätigung, ob die Zahlungsart hinterlegt wurde. An Stripe übermitteln wir Name bzw. Firma, Ansprechpartner, E-Mail-Adresse, Telefonnummer, Kunden- und Bestellnummer. Abgebucht wird erst mit der Rechnung. Stripe verarbeitet die Daten auch in eigener Verantwortung, etwa zur Betrugsprävention und zur Erfüllung gesetzlicher Pflichten. Eine Übermittlung an die Stripe, Inc. in den USA ist möglich; Stripe ist unter dem EU-US Data Privacy Framework zertifiziert, ergänzend gelten Standardvertragsklauseln. Weitere Informationen: stripe.com/de/privacy.

Prüfung der Domain

Wenn Sie im Bestellformular eine Domain eingeben, prüfen wir über öffentliche Abfragedienste der zuständigen Registry (RDAP, Whois, DNS), ob sie frei ist. Dabei wird nur der Domainname abgefragt. Das Ergebnis speichern wir zusammen mit einem verschlüsselten Prüfwert Ihrer IP-Adresse für höchstens einen Tag, um Mehrfachabfragen zu begrenzen.

8. Vertragsabwicklung, Kundenkonto und Aufbewahrung

Nach der Freischaltung richten wir die bestellten Leistungen auf unseren eigenen Systemen ein (Webserver, Mailserver, Nameserver, Kundenmenü) und übernehmen Ihre Daten in unsere Kundenverwaltung und Abrechnung. Ihre gespeicherten Kontaktdaten können Sie im Kundenmenü jederzeit einsehen und ändern.

Wir speichern Ihre Vertragsdaten für die Dauer des Vertrags. Die Angaben aus Ihrer Bestellung bewahren wir darüber hinaus auf, solange wir den Vertragsschluss und seinen Inhalt nachweisen müssen – bis zum Ablauf der Verjährungsfristen für mögliche Ansprüche (Art. 17 Abs. 3 lit. e DSGVO). Danach löschen wir sie, soweit keine gesetzlichen Aufbewahrungspflichten bestehen. Rechnungen, Buchungsbelege und Handelsbriefe müssen wir nach Handels- und Steuerrecht bis zu zehn Jahre aufbewahren (§ 257 HGB, § 147 AO); in dieser Zeit sind die Daten für andere Zwecke gesperrt.

Den Einzug per SEPA-Lastschrift kündigen wir Ihnen mit der Rechnung mindestens drei Tage vor Fälligkeit an. Zum Einzug übermitteln wir Kontoinhaber, IBAN, Mandatsreferenz und Betrag an unsere Bank. Bei Zahlungsrückständen können wir die zur Forderung erforderlichen Daten an ein Inkassounternehmen übermitteln (siehe Impressum); Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO.

9. Domainregistrierung

Zur Registrierung einer Domain müssen wir die Daten des Domaininhabers (Name, ggf. Organisation, Anschrift, E-Mail-Adresse, Telefonnummer) an die für die Endung zuständige Vergabestelle (Registry) übermitteln – bei .de-Domains an die DENIC eG, Theodor-Stern-Kai 1, 60596 Frankfurt am Main, bei anderen Endungen über einen Registrierungsdienstleister (Registrar) an die jeweilige Registry, die auch außerhalb der EU sitzen kann. Ohne diese Übermittlung ist eine Registrierung nicht möglich (Art. 6 Abs. 1 lit. b DSGVO).

.de-Domains: Die DENIC veröffentlicht seit dem 25. Mai 2018 keine Daten des Domaininhabers mehr. Die öffentliche Domainabfrage zeigt nur, ob eine Domain vergeben ist, technische Daten (z. B. Nameserver) und allgemeine Kontaktadressen der DENIC. Inhaberdaten gibt die DENIC nur in gesetzlich vorgesehenen Fällen und nach Einzelfallprüfung heraus, etwa an Behörden oder an Personen, die ein berechtigtes Interesse nachweisen (z. B. bei einer möglichen Namens- oder Markenrechtsverletzung).

Andere Endungen: Ob und welche Daten öffentlich abrufbar sind, bestimmt die jeweilige Registry. Bei den meisten Endungen werden personenbezogene Daten von Privatpersonen nicht mehr veröffentlicht; teilweise werden Organisation, Land oder Region angezeigt.

Registries sind gesetzlich verpflichtet, die Richtigkeit der Inhaberdaten sicherzustellen (u. a. nach der NIS-2-Richtlinie). Dafür können wir oder die Registry Sie bitten, Ihre Angaben zu bestätigen oder nachzuweisen (Art. 6 Abs. 1 lit. c DSGVO).

10. Empfänger

Ihre Daten erhalten innerhalb unseres Unternehmens nur die Mitarbeiter, die sie für ihre Aufgaben benötigen. Außerhalb unseres Unternehmens erhalten Daten nur:

• Registries und Registrare für Domainregistrierungen (Abschnitt 9)
• Stripe für Online-Zahlungen (Abschnitt 7)
• unsere Bank für den Einzug von Lastschriften und ggf. ein Inkassounternehmen (Abschnitt 8)
• Amazon Web Services für den Versand des Newsletters (Abschnitt 6)
• Hersteller von Software, die Sie bei uns bestellen (z. B. Lizenzen für ESET oder Microsoft 365), soweit für die Lizenzierung erforderlich
• unser Steuerberater im Rahmen der Buchhaltung sowie Behörden, wenn wir gesetzlich dazu verpflichtet sind

Eine Weitergabe zu Werbezwecken findet nicht statt. Auskünfte an Dritte in Ihrem Auftrag (z. B. an Ihren Steuerberater) erteilen wir nur mit einer schriftlichen Vollmacht.

11. Ihre Rechte

Sie haben das Recht auf Auskunft über Ihre bei uns gespeicherten Daten (Art. 15 DSGVO), auf Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Wenden Sie sich dazu formlos an die in Abschnitt 1 genannte Adresse.

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart, www.baden-wuerttemberg.datenschutz.de.

12. Pflicht zur Angabe und automatisierte Entscheidungen

Die als Pflichtfelder gekennzeichneten Angaben benötigen wir, um Ihre Anfrage zu beantworten oder den Vertrag zu schließen; ohne sie ist das nicht möglich. Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt. Die automatische Prüfung von Kontaktanfragen auf Werbung (Abschnitt 5) betrifft nur deren Weiterleitung; Sie können uns in diesem Fall jederzeit telefonisch oder per E-Mail erreichen.

13. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich unsere Leistungen oder die Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung.