Datenschutzerklärung

§ 1 Verantwortlicher

Verantwortlicher im Sinne der DSGVO für die Verarbeitung personenbezogener Daten im Rahmen des Betriebs von Backup Guardian Desktop und der Website backup-guardian.de ist Backup Guardian Solutions. Name und Anschrift stehen im Impressum, die Kontakt-E-Mail-Adresse lautet [email protected]. Ein Datenschutzbeauftragter ist nicht benannt.

Bei Fragen zum Datenschutz wende dich bitte an die im Impressum angegebene Kontaktadresse.

§ 2 Erhobene Daten

Wir verarbeiten folgende personenbezogenen Daten:

§ 3 Zweck und Rechtsgrundlage der Verarbeitung

• · Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Nutzerkonto, Lizenzausstellung, Zahlungsabwicklung, BGC-Bereitstellung.
• · Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Missbrauchserkennung, Sicherheit, Server-Logging, HWID-Bindung zur Verhinderung von Lizenzmissbrauch.
• · Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): E-Mails zu Kontoereignissen (Lizenzausstellung, Passwortrücksetzung, Kündigungsbestätigung).
• · Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): optionale Telegram-Benachrichtigungen. Du kannst die Einwilligung jederzeit in der App mit Wirkung für die Zukunft widerrufen.
• · Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO): Aufbewahrungspflichten für Zahlungsnachweise (§ 147 AO: 10 Jahre).

§ 4 Drittanbieter und Auftragsverarbeiter

§ 4c Weitere Empfänger

Für den Betrieb der Website und der Dienste setzen wir Dienstleister ein, mit denen Auftragsverarbeitungsverträge nach Art. 28 DSGVO bestehen: IONOS SE (Server, Deutschland), Hetzner Online GmbH (Speicher, Deutschland) und Cloudflare, Inc. (USA; Auslieferung, Schutz vor Angriffen und die Bot-Abwehr „Turnstile" bei Anmeldung und Registrierung). Cloudflare verarbeitet dabei technisch notwendige Verbindungsdaten wie die IP-Adresse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (sicherer und stabiler Betrieb). Die Übermittlung in die USA stützt sich auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework, soweit der Empfänger zertifiziert ist, im Übrigen auf Standardvertragsklauseln. E-Mails versenden wir über unseren eigenen Mailserver. Aktivierst du Telegram-Benachrichtigungen, übermitteln wir deine Chat-ID und die Nachrichten an Telegram (Drittland); Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Für die Bereitstellung der Dienste ist die Angabe von E-Mail-Adresse und Benutzername erforderlich; ohne diese Angaben können wir kein Konto anlegen. Zuständige Aufsichtsbehörde ist der Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover (Postanschrift: Postfach 221, 30002 Hannover), [email protected], https://www.lfd.niedersachsen.de.

§ 4a Browser-Erweiterung „Backup Guardian Tresor"

Die optionale Browser-Erweiterung füllt Logins aus dem lokalen Passwort-Tresor der Desktop-App im Browser automatisch aus (Auto-Fill) und bietet an, neue Logins zu speichern (Auto-Save). Sie erhebt, speichert und überträgt keine personenbezogenen Daten an uns oder Dritte.

§ 4b Google Drive (optional)

Wenn du Google Drive als Ziel für deine Backups verbindest, greift Backup Guardian Desktop auf deinen Google-Drive-Speicher zu. Die Nutzung ist freiwillig. Ohne Verbindung wird kein Google-Dienst angesprochen.

Die App verwendet dafür ausschließlich den Berechtigungsumfang drive.file. Damit sieht und verändert sie nur Dateien, die sie selbst in deinem Drive angelegt hat oder die du ihr ausdrücklich freigibst. Auf den übrigen Inhalt deines Drive hat sie keinen Zugriff.

Welche Daten verarbeitet werden: die Dateien, die du zum Sichern ausgewählt hast, sowie die Zugriffs- und Aktualisierungstoken, die Google für die Verbindung ausstellt. Dein Google-Passwort erhalten wir nicht. Backup Guardian Desktop speichert keine Google-Kontodaten.

Zweck: Die gesicherten Dateien werden in deinem Google Drive abgelegt, damit du sie dort wiederfindest. Eine andere Verwendung findet nicht statt.

Keine Werbung, keine Weitergabe: Daten, die aus deinem Google-Konto oder Google Drive stammen, werden nicht für Werbung verwendet. Wir geben sie an niemanden weiter, verkaufen sie nicht und übermitteln sie nicht an Dritte. Es gibt keinen Empfänger außerhalb der eigenen Systeme von Backup Guardian Desktop, der diese Daten erhält.

Keine Nutzung für KI-Training: Daten, die über die Google-Drive-API verarbeitet werden, nutzen wir nicht, um KI- oder maschinelle Lernmodelle zu entwickeln, zu verbessern oder zu trainieren, auch nicht in allgemeiner, nicht personenbezogener Form.

Schutz der Daten: Die Verbindung zu Google läuft verschlüsselt über TLS. Die Zugriffs- und Aktualisierungstoken werden auf deinem Gerät verschlüsselt gespeichert, nicht im Klartext. Auf unserem Server liegen sie nie dauerhaft, sondern höchstens für die kurze Dauer der Anmeldung (siehe „Zwischenspeicher auf dem Server" unten).

Speicherdauer und Löschung: Die verschlüsselten Zugangsdaten bleiben auf deinem Gerät gespeichert, bis du die Verbindung trennst oder sie nach 30 Tagen Inaktivität automatisch getrennt wird; danach werden sie gelöscht. Die Backup-Dateien selbst liegen in deinem eigenen Google Drive und bleiben dort, bis du sie dort selbst löschst. Wir haben darauf keinen fortlaufenden Zugriff und können sie nicht für dich löschen. Eine Löschung deiner bei uns kurzfristig zwischengespeicherten Anmeldedaten erreichst du jederzeit, indem du die Verbindung trennst.

Verschlüsselung: Die Sicherungen werden so in dein Drive hochgeladen, wie sie auf deinem Gerät liegen. Ist im Profil die Verschlüsselung AES-256-GCM mit Passwort eingeschaltet, sind die Dateien verschlüsselt. Läuft ein Drive-Profil ohne Verschlüsselung, weist die App darauf hin und empfiehlt, die Verschlüsselung einzuschalten. Erzwungen wird sie nicht.

Anfragen an Google: Die Website sendet Anfragen an Google nur, um die Anbindung einzurichten und den Zugang zu erneuern. Die App spricht Google an, um die Backup-Dateien in deinem Drive hochzuladen und um die Freigabe bei einer Trennung zu widerrufen.

Zwischenspeicher auf dem Server: Bei der Anmeldung über Google nimmt unser Server die Zugangsdaten entgegen und hält sie höchstens 10 Minuten zwischen, bis die App sie abholt. Danach werden sie sofort gelöscht oder laufen automatisch ab. Deine Google-Zugangsdaten speichern wir auf dem Server nicht dauerhaft.

Verbinden und Trennen: Du entscheidest selbst, ob du Google Drive verbindest. Wird die Verbindung 30 Tage lang nicht genutzt, trennt die App sie automatisch. Dabei widerruft sie die Freigabe bei Google und löscht die gespeicherten Zugangsdaten auf deinem Gerät. Den Zugriff kannst du außerdem jederzeit unter myaccount.google.com/permissions entziehen. Dateien, die bereits in deinem Drive liegen, löschst du dort selbst.

Anmeldung: Die Anmeldung erfolgt auf den Seiten von Google. Die Verwendung von Google-Nutzerdaten durch die App folgt der Richtlinie für Google-API-Dienste zur eingeschränkten Verwendung (Limited Use): developers.google.com/terms/api-services-user-data-policy

§ 5 Cookies und lokale Speicherung

Die Website verwendet technisch notwendige Session-Cookies zur Verwaltung der Anmeldesitzung. Darüber hinaus wird im Browser-LocalStorage ein JWT-Token gespeichert, der zur Authentifizierung gegenüber API-Endpunkten dient. Es werden keine Tracking- oder Marketing-Cookies eingesetzt.

Eine Cookie-Banner-Einwilligung ist für die technisch notwendigen Cookies nicht erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

§ 5a Keine Reichweitenmessung, kein Tracking

Diese Website setzt keine Analyse-, Tracking- oder Werbedienste ein. Es sind weder Google Analytics noch Matomo, Plausible, Hotjar, Microsoft Clarity, das Facebook-Pixel noch vergleichbare Werkzeuge eingebunden. Es findet keine Reichweitenmessung, kein Profiling und keine geräteübergreifende Wiedererkennung statt.

Alle Ressourcen werden vom eigenen Server ausgeliefert. Die Website bindet keine externen Inhalte ein – insbesondere keine Schriftarten von Google Fonts und keine Skripte von fremden Content-Delivery-Netzwerken. Die verwendete Schriftart Inter (SIL Open Font License 1.1) liegt lokal auf diesem Server. Dadurch wird beim Aufruf der Seite keine IP-Adresse an Dritte übermittelt.

Serverseitig werden lediglich die technisch erforderlichen Zugriffsprotokolle des Webservers geführt (siehe § 2). Eine Auswertung zu Analysezwecken erfolgt nicht.

§ 6 Speicherdauer

• · Kontodaten: bis zur Löschung des Accounts durch den Nutzer (Funktion „Konto endgültig löschen" im Kundenbereich) oder auf Anfrage. Bei der Selbstlöschung werden Konto, Lizenzen und BGC-Cloud-Daten sofort und unwiderruflich gelöscht; die 30-Tage-Frist unten gilt nur bei Ende des Abonnements.
• · BGC-Cloud-Daten: 30 Tage nach Ende des Abonnements, danach unwiderrufliche Löschung (siehe Hinweis unten)
• · Zahlungsnachweise: 10 Jahre (gesetzliche Aufbewahrungspflicht)
• · Nachweis der Zustimmung zum vorzeitigen Leistungsbeginn (Zeitpunkt und Wortlaut): wie der zugehörige Zahlungsnachweis, 10 Jahre
• · Server-Logdaten: maximal 30 Tage
• · App-Sitzungen (verbundene Geräte): bis zum Widerruf durch den Nutzer oder Konto-Löschung
• · Support-Tickets: 30 Tage nach Schließung des Tickets

Zur 30-Tage-Frist bei BGC: Endet dein Abonnement, durch Kündigung oder weil eine Zahlung nicht eingezogen werden konnte, löschen wir deine Cloud-Daten nicht sofort. Sie bleiben 30 Tage erhalten, damit du sie in Ruhe herunterladen kannst. Erst danach werden sie unwiderruflich gelöscht. Buchst du innerhalb dieser Frist erneut, sind deine Daten unverändert vorhanden. Die Inhalte liegen dabei ausschließlich Ende-zu-Ende-verschlüsselt vor; der Schlüssel verbleibt auf deinem Gerät und ist uns nicht bekannt.

§ 7 Rechte der betroffenen Person

Gemäß DSGVO hast du folgende Rechte:

• · Auskunft über gespeicherte Daten (Art. 15 DSGVO)
• · Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• · Löschung personenbezogener Daten, soweit keine Aufbewahrungspflicht besteht (Art. 17 DSGVO)
• · Einschränkung der Verarbeitung (Art. 18 DSGVO)
• · Datenübertragbarkeit (Art. 20 DSGVO)
• · Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• · Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO), z. B. dem Landesbeauftragten für den Datenschutz Niedersachsen (Prinzenstraße 5, 30159 Hannover, Postfach 221, 30002 Hannover, [email protected], https://www.lfd.niedersachsen.de)

Anfragen kannst du per E-Mail an die im Impressum genannte Adresse richten.

§ 8 Datensicherheit

Die Kommunikation zwischen Browser/App und Server erfolgt ausschließlich über HTTPS/TLS (Let's Encrypt). Passwörter werden mit bcrypt gehasht und nie im Klartext gespeichert. Der Server ist durch eine Firewall abgesichert, und nicht öffentliche Dienste sind ausschließlich intern erreichbar.