Rechtliches

Datenschutzerklärung

Was Drumlin über Sie speichert, warum, wie lange, und was Sie dagegen tun können. Informationen nach Artikel 13 und 14 DSGVO.

Verantwortlicher

Verantwortlich im Sinne der DSGVO ist:
DALLMANN Einzelunternehmen, Inhaber Jonas Dallmann-Höke,
c/o COCENTER, Koppoldstr. 1, 86551 Aichach, Deutschland
E-Mail: [email protected]

Ein Datenschutzbeauftragter ist nicht bestellt. Die Voraussetzungen des § 38 Abs. 1 BDSG liegen nicht vor: mit der automatisierten Verarbeitung personenbezogener Daten sind bei uns nicht mindestens zwanzig Personen ständig beschäftigt, und es findet weder eine Verarbeitung statt, die einer Datenschutz-Folgenabschätzung unterliegt, noch eine geschäftsmäßige Verarbeitung zum Zweck der Übermittlung oder der Markt- und Meinungsforschung. Fragen zum Datenschutz beantworten wir unter [email protected].

Grundsatz

Drumlin verarbeitet zwei sehr verschiedene Arten von Daten, und die Unterscheidung zieht sich durch alles Weitere:

• Ihre Kontodaten. Wer Sie sind, wie Sie sich anmelden, was Sie auf der Plattform getan haben. Dafür sind wir Verantwortlicher.
• Die Daten in Ihren Anwendungen. Alles, was Ihre auf Drumlin laufende Software verarbeitet, einschließlich der Daten Ihrer eigenen Nutzerinnen und Nutzer. Dafür sind Sie Verantwortlicher und wir Auftragsverarbeiter. Siehe Auftragsverarbeitung.

Beim Besuch der Website

Diese Website setzt keine Cookies, bindet keine Schriften, Skripte oder Bilder von fremden Servern ein und enthält keine Analyse- oder Trackingwerkzeuge. Es gibt deshalb auch kein Cookie-Banner: es gäbe nichts einzuwilligen.

Beim Abruf werden die technisch notwendigen Verbindungsdaten verarbeitet (IP-Adresse, Zeitpunkt, angeforderte Adresse, Statuscode, übertragene Datenmenge, User-Agent). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse ist der Betrieb und die Absicherung des Dienstes. Diese Protokolle werden nach 30 Tagen gelöscht.

Der Abruf läuft über Cloudflare als Content-Delivery-Netzwerk. Cloudflare verarbeitet dabei Verbindungsdaten in unserem Auftrag.

Konto und Nutzung

Für ein Konto verarbeiten wir:

• E-Mail-Adresse
• Vor- und Nachname sowie die vollständige Anschrift. Beides ist bei der Registrierung erforderlich, weil jede Rechnung sie nach § 14 UStG tragen muss und weil die umsatzsteuerliche Behandlung vom Land abhängt, in dem Sie sitzen.
• ein Passwort, ausschließlich als Argon2id-Hash; im Klartext ist er uns nie bekannt
• falls aktiviert, den Schlüssel für die Zwei-Faktor-Anmeldung, verschlüsselt
• Anmeldungen: Zeitpunkt, IP-Adresse und Browserkennung der Sitzung
• ein Protokoll Ihrer Handlungen auf der Plattform (wer hat wann was geändert)

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie für das Handlungsprotokoll und die Anmeldedaten Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse ist die Nachvollziehbarkeit sicherheits­rele­vanter Vorgänge in einem System mit mehreren Mandanten.

Drumlin befindet sich in einer geschlossenen Beta. Registrierungen werden von einer Person geprüft und freigeschaltet. Dabei sehen wir Ihre E-Mail-Adresse und Ihren Namen; die Entscheidung wird mit dem Namen der entscheidenden Person protokolliert.

Abrechnung und Zahlung

Was Ihre Dienste verbrauchen, wird stündlich gemessen und am Monatsende zu einer Rechnung zusammengefasst. Gemessen werden Prozessorzeit, Arbeitsspeicher und Speicherplatz. Keine Inhalte und keine Zugriffe Ihrer eigenen Nutzerinnen und Nutzer.

Für die Rechnung verarbeiten wir Ihren Namen, Ihre Anschrift, Ihr Land, eine etwaige Umsatzsteuer-Identifikationsnummer und das Ergebnis ihrer Prüfung. Diese Angaben werden mit dem Abschluss des Monats auf der Rechnung festgeschrieben und danach nicht mehr verändert: eine Rechnung ist ein Beweisstück, und ein Umzug im nächsten Jahr darf nicht ändern, was im letzten Jahr galt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und, für die Aufbewahrung, Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 14b UStG.

Bleibt eine Rechnung offen, erinnern wir per E-Mail, sperren die Dienste nach Ablauf der Zahlungsfrist und löschen sie nach einer weiteren Frist. Jeder dieser Schritte wird vorher per E-Mail angekündigt. Die Fristen stehen in Abschnitt 5 der AGB.

Missbrauchsmeldungen

Über drumlin.cloud/abuse kann jede Person einen Rechtsverstoß auf einer bei uns betriebenen Anwendung melden. Wir verarbeiten dabei die Angaben der meldenden Person (Name und E-Mail-Adresse, soweit angegeben) sowie die Beschreibung des Vorwurfs, um die Meldung prüfen und das Ergebnis mitteilen zu können.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den Artikeln 16 und 17 der Verordnung (EU) 2022/2065 über digitale Dienste, die uns zu einem solchen Verfahren und zu einer begründeten Entscheidung verpflichten. Eine Meldung kann ohne Namen abgegeben werden; dann können wir das Ergebnis allerdings nicht mitteilen.

Die betroffene Kundin oder der betroffene Kunde wird über den Inhalt der Meldung informiert, soweit das zur Stellungnahme erforderlich ist. Die Identität der meldenden Person geben wir dabei nicht weiter, außer wir sind gesetzlich dazu verpflichtet.

Ihre Anwendungen und Daten

Was Ihre Anwendungen verarbeiten, entscheiden Sie. Wir führen den Code aus, den Sie hochladen, speichern die Daten, die er schreibt, und sehen ihn uns nicht an. Zugriff auf laufende Container ist nur über eine Konsolensitzung möglich, die authentifiziert ist, ablauft und im Aktivitätsprotokoll Ihres Dienstes erscheint, auch dann, wenn wir sie öffnen.

Logausgaben Ihrer Anwendung werden gespeichert, damit Sie sie lesen können. Wenn Ihre Anwendung personenbezogene Daten in ihre Logs schreibt, liegen diese Daten damit auch bei uns. Das ist eine Entscheidung Ihrer Anwendung, nicht unsere.

Empfänger und Auftragsverarbeiter

Wir setzen folgende Dienstleister ein:

• Cloudflare: Content-Delivery-Netzwerk und DNS-Verwaltung für die öffentlichen Adressen der Plattform.
• Hetzner: Auslagerung der Datenbanksicherungen in ein Rechenzentrum in Nürnberg. Die Übertragung ist mit TLS verschlüsselt, die Ablage erfolgt serverseitig verschlüsselt beim Anbieter.
• Let’s Encrypt: Ausstellung der TLS-Zertifikate. Dabei wird der Domainname öffentlich in den Certificate-Transparency-Logs veröffentlicht; das ist eine Eigenschaft des Systems und keine Entscheidung von uns.
• Stripe: Abwicklung der Kartenzahlungen. Vertragspartner ist die Stripe Payments Europe Ltd. in Irland. Die Zahlungsdaten selbst (Kartennummer, Prüfziffer) geben Sie unmittelbar bei Stripe ein; uns werden sie nicht übermittelt und wir speichern sie nicht. Wir erhalten eine Zahlungskennung und das Ergebnis.
• SevDesk (SevDesk GmbH, Offenburg): Buchhaltung. Dort wird die Rechnung erstellt, nummeriert und für die Dauer der steuerlichen Aufbewahrungsfrist geführt. Übermittelt werden Ihr Name, Ihre Anschrift, Ihre Umsatzsteuer-Identifikationsnummer und die Rechnungsposten.

Die Transaktions-E-Mails (Bestätigung der Adresse, Zurücksetzen des Passworts, Rechnungen und Benachrichtigungen) versenden wir über einen von uns selbst betriebenen Mailserver. Ein Mailanbieter als Auftragsverarbeiter ist dabei nicht beteiligt.

Mit allen genannten Stellen bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO.

Cloudflare und Stripe sind Tochtergesellschaften von Unternehmen mit Sitz in den Vereinigten Staaten. Soweit dabei personenbezogene Daten in die USA übermittelt werden, erfolgt das auf Grundlage der Standardvertragsklauseln der Europäischen Kommission sowie, soweit die Empfänger zertifiziert sind, des EU-US Data Privacy Framework. Alle übrigen genannten Stellen verarbeiten ausschließlich innerhalb der Europäischen Union.

Wo die Daten liegen

Die Region NL01, die einzige, die es derzeit gibt, steht in den Niederlanden. Die Server sind von uns selbst betrieben und nicht weiterverkauft. Ihre Anwendungen, deren Datenbanken und die Datenbank der Plattform selbst liegen dort.

Die Sicherungen der Plattformdatenbank werden nach Nürnberg ausgelagert, damit ein Ausfall des niederländischen Standorts nicht auch die Sicherungen mitnimmt. Sie verlassen die Europäische Union nicht.

Speicherdauer

• Konto: bis Sie es schließen. Danach wird es gelöscht, zusammen mit jeder Organisation, die niemandem sonst gehört.
• Anwendungsdaten: bis Sie den Dienst oder die Datenbank löschen.
• Logausgaben Ihrer Anwendungen: 30 Tage.
• Zugriffsprotokolle der Website: 30 Tage.
• Abgelaufene Anmeldesitzungen: 30 Tage. Sie werden über ihre Gültigkeit hinaus aufbewahrt, weil „wann hat sich dieses Gerät zuletzt angemeldet“ eine Frage ist, die nach einem Vorfall gestellt wird.
• Beobachtungen aus dem Cluster: 14 Tage. Die daraus abgeleitete Zeitleiste Ihrer Deployments wird gesondert gespeichert und bleibt.
• Sicherungen der Plattformdatenbank: 40 Tage. Die Löschung erledigt eine Regel des Speicherdienstes selbst; vor Ablauf von 30 Tagen kann eine Sicherung auch von uns nicht gelöscht werden, weil sie bis dahin gegen Veränderung gesperrt ist.
• Aktivitätsprotokoll der Organisation: solange die Organisation besteht. Es ist fortschreibend und wird nicht gekürzt: ein Protokoll, dessen Anfang verschwindet, beantwortet die Frage nicht mehr, für die es geführt wird.
• Rechnungen und Buchungsbelege: zehn Jahre, gerechnet ab dem Ende des Jahres, in dem die Rechnung ausgestellt wurde. Das ist keine Entscheidung von uns: § 147 Abs. 3 AO und § 14b UStG verlangen es. Diese Unterlagen werden deshalb auch dann nicht gelöscht, wenn Sie Ihr Konto schließen; sie liegen in der Buchhaltung, nicht in der Plattform.
• Missbrauchsmeldungen: drei Jahre nach der Entscheidung über die Meldung, damit ein wiederkehrender Verstoß als wiederkehrend erkennbar bleibt.

Ihre Rechte

Sie haben das Recht auf

• Auskunft (Art. 15 DSGVO),
• Berichtigung (Art. 16),
• Löschung (Art. 17),
• Einschränkung der Verarbeitung (Art. 18),
• Datenübertragbarkeit (Art. 20) und
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21).

Ihr Konto und alles, was nur ihm gehört, können Sie selbst löschen: Account → Security → Close this account. Die Seite zeigt vorher, was dabei verschwindet. Für alles Übrige genügt eine E-Mail an [email protected].

Sie haben außerdem das Recht, sich bei einer Aufsichtsbehörde zu beschweren. Zuständig ist die Datenschutzaufsichtsbehörde des Landes, in dem wir unseren Sitz haben. Das ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 27, 91522 Ansbach, www.lda.bayern.de.

Auftragsverarbeitung

Für die Daten, die Ihre Anwendungen verarbeiten, sind wir Ihr Auftragsverarbeiter. Den dafür erforderlichen Vertrag nach Art. 28 DSGVO können Sie in Ihrem Konto ausfüllen und herunterladen: Organisation → Settings → Auftragsverarbeitung. Er wird mit den Angaben Ihrer Organisation vorausgefüllt.

Stand: 7. Oktober 2026