Datenschutz

Stand: 25.09.2026

Mit dieser Datenschutzerklärung informieren wir Sie nach Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO) darüber, welche personenbezogenen Daten wir verarbeiten, wenn Sie unsere Website besuchen, ein Konto anlegen, unsere Dienste nutzen oder mit uns in Kontakt treten.

1. Verantwortlicher

gh0stservice GmbH
Else-Lang-Str. 10
50858 Köln, Deutschland
Telefon: +49 152 59647188
E-Mail für Datenschutzanfragen: datenschutz@gh0stservice.com

Wir sind nicht verpflichtet, einen Datenschutzbeauftragten zu benennen (§ 38 BDSG, Art. 37 DSGVO), und haben keinen benannt. Ihre Anfragen bearbeitet die Geschäftsführung.

2. Unsere Rollen

Als Verantwortliche verarbeiten wir Daten für unsere Website, Ihr Kundenkonto, die Abrechnung, den Support, die Sicherheit unserer Systeme und die Erfüllung gesetzlicher Pflichten. Darauf bezieht sich diese Datenschutzerklärung.

Als Auftragsverarbeiterin verarbeiten wir die Daten, die unsere Kundinnen und Kunden in ihren Anwendungen, Datenbanken und Speichern auf unserer Plattform verarbeiten. Dafür ist der jeweilige Kunde verantwortlich. Grundlage ist unser Auftragsverarbeitungsvertrag. Wenn Sie eine Anwendung nutzen, die ein Kunde bei uns betreibt, wenden Sie sich mit Fragen bitte an diesen Kunden.

3. Hosting und Infrastruktur

Wir betreiben unsere Website, das Kundenportal, die Anmeldung (Keycloak), unseren E-Mail-Server, unsere DNS-Server, unsere Code-Verwaltung, Überwachung, Support- und Kundenverwaltungssysteme selbst. Alle Systeme laufen in Rechenzentren der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, an Standorten in Deutschland. Hetzner verarbeitet Daten als unsere Auftragsverarbeiterin; mit Hetzner besteht ein Auftragsverarbeitungsvertrag.

4. Aufruf der Website und des Portals

Beim Aufruf unserer Website und unseres Portals verarbeiten unsere Server technisch notwendige Verbindungsdaten und speichern sie in Protokollen:

• IP-Adresse
• Datum und Uhrzeit der Anfrage
• aufgerufene Adresse, Methode und Statuscode
• übertragene Datenmenge
• Referrer-URL
• Browser- und Betriebssystemkennung (User-Agent)

Aus der IP-Adresse leiten wir das Land ab, aus dem die Anfrage stammt. Dafür nutzen wir eine lokal gespeicherte Geodatenbank; dabei werden keine Daten an Dritte übermittelt.

Zweck: Auslieferung der Inhalte, Stabilität, Fehleranalyse, Erkennung und Abwehr von Angriffen und Missbrauch.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und stabilen Betrieb unserer Dienste.
Speicherdauer: 14 Tage. Protokolleinträge, die zu einem konkreten Sicherheitsvorfall gehören, bewahren wir bis zu dessen Aufklärung auf.

5. Cookies und Speicherung auf Ihrem Endgerät

Wir speichern Informationen auf Ihrem Endgerät oder greifen auf dort gespeicherte Informationen nur zu, wenn dies für einen von Ihnen gewünschten Dienst unbedingt erforderlich ist (§ 25 Abs. 2 Nr. 2 TDDDG) oder wenn Sie eingewilligt haben (§ 25 Abs. 1 TDDDG).

Unbedingt erforderlich (keine Einwilligung nötig):

Rechtsgrundlage der weiteren Verarbeitung: Art. 6 Abs. 1 lit. b und lit. f DSGVO.

Nur mit Einwilligung: Reichweitenmessung und Sitzungsaufzeichnung (Ziffer 6).

Ihre Entscheidung können Sie jederzeit über "Datenschutz-Einstellungen" im Seitenfuß ändern.

6. Reichweitenmessung und Fehleranalyse mit Rybbit (nur mit Einwilligung)

Wenn Sie mit "Alle erlauben" eingewilligt haben, nutzen wir eine von uns selbst betriebene Instanz der Open-Source-Software Rybbit. Dabei werden keine Daten an den Hersteller oder an Dritte übermittelt.

Statistik: aufgerufene Seiten und Navigationspfade, Referrer und Kampagnenparameter aus der aufgerufenen Adresse, Browser, Betriebssystem, Gerätetyp, Bildschirmgröße und Sprache, ungefährer Standort (Land und Region, abgeleitet aus der IP-Adresse), Ladezeiten (Web Vitals), JavaScript-Fehler und Klicks auf ausgehende Links. Rybbit bildet aus IP-Adresse und Browserkennung eine pseudonyme Kennung; die vollständige IP-Adresse wird nicht gespeichert.

Sitzungsaufzeichnung: Aufzeichnung von Seitenaufbau, Mausbewegungen, Klicks und Scrollen während Ihres Besuchs, um Bedienprobleme und Fehler nachzuvollziehen. Eingaben in Formularfelder werden dabei nicht aufgezeichnet.

Zweck: Verbesserung von Inhalten, Bedienbarkeit, Stabilität und Ladezeiten.
Rechtsgrundlage: Ihre Einwilligung, § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO.
Speicherdauer: Statistikdaten höchstens 13 Monate, Sitzungsaufzeichnungen höchstens 30 Tage.
Widerruf: Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft über "Datenschutz-Einstellungen" im Seitenfuß widerrufen.

7. Registrierung und Kundenkonto

Bei der Registrierung verarbeiten wir: Kontotyp (Privatperson oder Organisation), Name der Organisation, Vorname, Nachname, E-Mail-Adresse, Benutzername, Land und Rechnungsland, Ihre Zustimmungen zu AGB und Datenschutzhinweisen sowie bei Verbrauchern Ihr Verlangen nach sofortigem Leistungsbeginn, jeweils mit Version und Zeitpunkt. Zum Schutz vor automatisierten Registrierungen berechnet Ihr Browser eine kleine Aufgabe; wir speichern davon nur einen Prüfwert. Anschließend senden wir Ihnen eine E-Mail mit einem Bestätigungslink, der 24 Stunden gültig ist.

Im Konto verarbeiten wir zusätzlich Rechnungs- und Kontaktdaten (zum Beispiel Anrede, Anschrift, Telefonnummer, bei Unternehmen die Umsatzsteuer-Identifikationsnummer) sowie freiwillige Angaben zu Ihrer Erfahrung und Rolle, mit denen wir Hinweise im Portal anpassen.

Zweck: Abschluss und Durchführung des Vertrags, Nachweis erteilter Zustimmungen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für Nachweise Art. 6 Abs. 1 lit. c und lit. f DSGVO.
Speicherdauer: Nicht bestätigte Registrierungen löschen wir nach 30 Tagen. Kontodaten speichern wir für die Dauer des Vertrags; Nachweise über Zustimmungen bis zum Ablauf von drei Jahren nach Vertragsende. Gesetzliche Aufbewahrungspflichten (Ziffer 12) bleiben unberührt.

8. Anmeldung

Für die Anmeldung an Portal und gh0stcli nutzen wir die selbst betriebene Software Keycloak. Verarbeitet werden Benutzerkennung, E-Mail-Adresse, Name, Organisationszugehörigkeit, Rollen und Anmeldeereignisse (Zeitpunkt, IP-Adresse, Ergebnis).

Zweck: sichere Anmeldung, Schutz vor unberechtigtem Zugriff.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.
Speicherdauer: Anmeldeereignisse 90 Tage; Kontodaten für die Dauer des Vertrags. Inaktive Sitzungen enden nach 60 Minuten, Sitzungen spätestens nach 48 Stunden.

gh0stcli: Die Anmeldung erfolgt über Ihren Browser. gh0stcli speichert Zugangstokens im Schlüsselbund Ihres Betriebssystems. gh0stcli übermittelt keine Nutzungsstatistiken oder Absturzberichte an uns.

9. Nutzung der Plattform

Wenn Sie die Plattform über Portal, gh0stcli oder Git nutzen, verarbeiten wir Protokolle über Anfragen und Änderungen, zum Beispiel Benutzer- und Organisationskennung, ausgelöste Aktion, Zeitpunkt, Ergebnis und technische Metadaten. Für jede Anfrage an die Programmierschnittstellen unserer Kubernetes-Cluster schreiben wir Auditprotokolle mit Metadaten (wer, wann, welche Aktion, auf welche Ressource), ohne Anfrageinhalte.

Zweck: Betrieb, Fehleranalyse, Nachvollziehbarkeit von Änderungen, Erkennung von Angriffen und Missbrauch.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO. Unser berechtigtes Interesse liegt in der Sicherheit der Plattform und der Aufklärung von Vorfällen, die sich oft erst lange nach ihrem Beginn zeigen.
Speicherdauer: Anwendungsprotokolle der Plattform 30 Tage, Sicherheitsprotokolle 90 Tage, Auditprotokolle 12 Monate.

Protokolle und Daten Ihrer eigenen Anwendungen verarbeiten wir im Auftrag nach dem Auftragsverarbeitungsvertrag.

10. Zahlungen über Mollie

Zahlungen (Aufladungen, Zahlungsmethoden, Lastschriftmandate, Erstattungen) wickeln wir über die Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Niederlande, ab. Als Zahlungsarten bieten wir Kredit- und Debitkarte, Apple Pay, PayPal und SEPA an: für einzelne Zahlungen Karte, Apple Pay, PayPal und SEPA-Überweisung, für den automatischen Einzug eine hinterlegte Karte (auch über Apple Pay), PayPal oder die SEPA-Lastschrift. Wir übermitteln an Mollie Ihren Namen, Ihre E-Mail-Adresse, den Betrag und interne Referenzen zu Kunde, Organisation und Zahlungsart.

Karte, PayPal und Überweisung: Ihre Zahlungsdaten geben Sie direkt bei Mollie beziehungsweise PayPal ein. Wir erhalten nur den Status und eine Referenz der Zahlung. Hinterlegen Sie eine Karte für den automatischen Einzug, speichern wir von Mollie zusätzlich die Kartenmarke, die letzten vier Stellen der Kartennummer und den Ablaufmonat, damit Sie im Portal sehen, welche Karte hinterlegt ist. Die vollständige Kartennummer und die Prüfnummer erhalten und speichern wir nicht.

Apple Pay: Mit Apple Pay bestätigen Sie die Zahlung auf Ihrem Apple-Gerät. Apple übermittelt die Zahlungsdaten verschlüsselt an Mollie; wir erhalten von Apple keine Daten. Nutzen Sie Apple Pay für den automatischen Einzug, speichern wir wie bei einer Karte die Kartenmarke, die letzten vier Stellen und den Ablaufmonat sowie den Hinweis, dass die Karte über Apple Pay hinterlegt wurde. Für die Verarbeitung durch Apple gilt die Datenschutzerklärung von Apple.

SEPA-Lastschrift: Für ein SEPA-Lastschriftmandat geben Sie Kontoinhaber, IBAN und BIC im Portal ein. Diese Angaben leiten wir über unsere Plattform an Mollie weiter, damit Mollie das Mandat anlegt. Wir speichern davon nur den Ländercode und die letzten vier Stellen der IBAN. Außerdem speichern wir den Nachweis Ihrer Zustimmung zum Mandat: Mandatsreferenz, Datum der Unterschrift, Version des Mandatstextes und das Benutzerkonto, das das Mandat erteilt hat. Zahlungsempfänger der Lastschrift ist die Stichting Mollie Payments (Gläubiger-Identifikationsnummer NL08ZZZ502057730000) im Auftrag der gh0stservice GmbH.

Mollie verarbeitet die Daten als eigenständige Verantwortliche, auch zur Erfüllung eigener gesetzlicher Pflichten (zum Beispiel Geldwäscheprävention). Näheres finden Sie in der Datenschutzerklärung von Mollie.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

11. E-Mails

Transaktionale E-Mails (zum Beispiel Bestätigungslinks, Rechnungen, Hinweise zum Kontostatus, Eingangsbestätigungen) versenden wir über unseren selbst betriebenen E-Mail-Server. Werbe-E-Mails versenden wir nicht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. c DSGVO.
Speicherdauer: Versandprotokolle 30 Tage; Inhalte von Rechnungen und rechtlich relevanten Bestätigungen nach Ziffer 12 und 13.

12. Rechnungen, Buchhaltung und Steuern

Für Rechnungsstellung, Buchhaltung und Steuererklärungen verarbeiten wir Rechnungs-, Vertrags- und Zahlungsdaten.

• Haufe-Lexware GmbH & Co. KG, Munzinger Straße 9, 79111 Freiburg, Deutschland (Lexware Office): Buchhaltungssoftware, als Auftragsverarbeiterin
• Bontax GmbH Steuerberatungsgesellschaft, Alfter, Deutschland: Steuerberatung und Buchführung, als eigenständige Verantwortliche nach den berufsrechtlichen Vorschriften
• DATEV eG, Paumgartnerstr. 6-14, 90429 Nürnberg, Deutschland: Rechenzentrum und Software unserer Steuerberatung

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. c DSGVO in Verbindung mit § 147 AO, § 257 HGB und § 14b UStG.
Speicherdauer: Rechnungen und Buchungsbelege 8 Jahre, Bücher und Jahresabschlüsse 10 Jahre, Handels- und Geschäftsbriefe 6 Jahre, jeweils ab dem Ende des Kalenderjahres. Während dieser Fristen schränken wir die Verarbeitung auf die Erfüllung der Aufbewahrungspflichten ein.

13. Kontakt, Support und Kundenbeziehung

Wenn Sie uns per E-Mail, Telefon oder über unser Supportsystem kontaktieren, verarbeiten wir Ihre Angaben und den Verlauf der Kommunikation. Für Support und Kundenbeziehungen nutzen wir selbst betriebene Systeme (Zammad, Twenty).

Zweck: Bearbeitung Ihres Anliegens, Anbahnung und Durchführung von Verträgen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; bei Anfragen ohne Vertragsbezug Art. 6 Abs. 1 lit. f DSGVO.
Speicherdauer: drei Jahre nach dem letzten Kontakt oder dem Ende der Geschäftsbeziehung, sofern keine gesetzliche Aufbewahrungspflicht besteht.

14. Online-Kündigung und Online-Widerruf

Über die Seiten "Verträge hier kündigen" und "Vertrag widerrufen" verarbeiten wir die Angaben, die Sie dort machen (bei der Kündigung Vertragsreferenz, Name, Anschrift, E-Mail-Adresse, Art und Grund der Kündigung, gewünschter Termin; beim Widerruf Name, Vertragsbezeichnung und E-Mail-Adresse), den Wortlaut Ihrer Erklärung und den Zeitpunkt des Eingangs. Sie erhalten eine Eingangsbestätigung per E-Mail; unser Team erhält eine interne Benachrichtigung.

Zweck: Entgegennahme, Bestätigung und Umsetzung Ihrer Erklärung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 312k und § 356a BGB sowie Art. 6 Abs. 1 lit. b DSGVO.
Speicherdauer: drei Jahre ab dem Ende des Jahres, in dem die Erklärung eingegangen ist.

15. Meldungen zu Inhalten und Sicherheitslücken

Wenn Sie uns rechtswidrige Inhalte oder Sicherheitslücken melden, verarbeiten wir Ihre Kontaktdaten, den Inhalt der Meldung und unsere Kommunikation dazu.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 16 der Verordnung (EU) 2022/2065 und Art. 14 der Verordnung (EU) 2024/2847; im Übrigen Art. 6 Abs. 1 lit. f DSGVO.
Speicherdauer: drei Jahre nach Abschluss des Vorgangs.

16. TLS-Zertifikate

Für die verschlüsselte Erreichbarkeit unserer Dienste und der Anwendungen unserer Kunden beziehen wir TLS-Zertifikate von Let's Encrypt (Internet Security Research Group, San Francisco, USA). Dabei werden ausschließlich die Hostnamen der zu sichernden Adressen übermittelt. Ausgestellte Zertifikate und damit diese Hostnamen werden, wie bei allen öffentlich vertrauenswürdigen Zertifikaten, in öffentlichen Certificate-Transparency-Protokollen veröffentlicht. Enthält ein Hostname, den ein Kunde wählt, personenbezogene Daten, werden diese dadurch öffentlich.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO. Die Übermittlung in die USA erfolgt, soweit Hostnamen personenbezogen sind, auf Grundlage von Art. 49 Abs. 1 lit. b DSGVO, weil sie zur Erfüllung des Vertrags auf Ihren Wunsch erforderlich ist.

17. Empfänger und Übermittlungen in Drittländer

Personenbezogene Daten erhalten innerhalb unseres Unternehmens nur die Personen, die sie für ihre Aufgaben benötigen. Externe Empfänger sind die in dieser Erklärung genannten Stellen: Hetzner Online GmbH, Mollie B.V., Haufe-Lexware GmbH & Co. KG, Bontax GmbH Steuerberatungsgesellschaft, DATEV eG und, beschränkt auf Hostnamen, Let's Encrypt. Behörden und Gerichten übermitteln wir Daten nur, wenn wir dazu gesetzlich verpflichtet sind.

Außer den Hostnamen nach Ziffer 16 übermitteln wir keine personenbezogenen Daten in Länder außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums.

18. Automatisierte Entscheidungen

Den Status Ihres Kontos (zum Beispiel das Anhalten von Anwendungen bei aufgebrauchtem Startguthaben oder eine Sperrung bei offenen Rechnungen) ermitteln unsere Systeme automatisiert aus Guthaben, Zahlungsstatus und Fristen. Diese Entscheidungen sind für die Durchführung des Vertrags erforderlich (Art. 22 Abs. 2 lit. a DSGVO). Sie können jederzeit verlangen, dass eine Person die Entscheidung überprüft, Ihren Standpunkt darlegen und die Entscheidung anfechten. Profiling zu Werbezwecken findet nicht statt.

19. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).

Widerspruchsrecht (Art. 21 DSGVO): Verarbeiten wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Für die Ausübung Ihrer Rechte genügt eine Nachricht an datenschutz@gh0stservice.com.

20. Beschwerderecht

Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren. Für uns zuständig ist:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Kavalleriestraße 2-4, 40213 Düsseldorf
www.ldi.nrw.de

21. Pflicht zur Bereitstellung

Die Angaben bei Registrierung, im Kundenkonto und für die Abrechnung sind für den Abschluss und die Durchführung des Vertrags erforderlich. Ohne sie können wir den Vertrag nicht schließen. Freiwillige Angaben sind als solche gekennzeichnet.

22. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich unsere Verarbeitung oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.