Datenschutzerklärung

1. Verantwortlicher

hoverOS ist eine Marke der diehingucker GmbH. Nach unserer Einschätzung sind wir nicht verpflichtet, einen Datenschutzbeauftragten zu benennen (Art. 37 DSGVO, § 38 BDSG). Fragen zum Datenschutz richtest du an die genannte Adresse.

2. Website hoveros.de

Server-Logs

Beim Aufruf der Website verarbeitet der Webserver technisch notwendig IP-Adresse, Zeitpunkt, aufgerufene Seite, Referrer, Browser und Betriebssystem. Die Logs dienen dem sicheren Betrieb und der Fehlersuche und werden nach spätestens 14 Tagen gelöscht. Rechtsgrundlage ist unser berechtigtes Interesse an einem stabilen und sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Reichweitenmessung ohne Cookies

Wie oft die Seiten der Website aufgerufen werden, zählen wir auf unserem eigenen Server, ohne Cookies, ohne Skript eines Drittanbieters und ohne etwas in deinem Browser zu speichern oder auszulesen. Gespeichert werden nur Tagessummen: aufgerufene Seite, Domain der Website, von der du kommst, Gerätetyp (Computer, Handy oder Tablet) und Kampagnenangaben, wenn der Link welche enthält (utm-Parameter). IP-Adresse und Browserkennung werden dafür nur im Moment des Aufrufs ausgewertet und nicht gespeichert; einzelne Besuche oder Besucher lassen sich aus den Summen nicht erkennen. Rechtsgrundlage ist unser berechtigtes Interesse, die Website zu verbessern (Art. 6 Abs. 1 lit. f DSGVO).

Cookies

Website und Instanzen setzen ausschließlich technisch notwendige Cookies: ein Sitzungs-Cookie, das dich angemeldet hält und Formulare zuordnet, und ein Cookie zum Schutz vor Cross-Site-Request-Forgery. Beide werden nach zwei Stunden ohne Aktivität ungültig. Das Speichern dieser Cookies auf deinem Gerät ist nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung zulässig, weil der von dir gewünschte Dienst ohne sie nicht funktioniert; die Verarbeitung der damit verbundenen Daten stützen wir auf Art. 6 Abs. 1 lit. f DSGVO. Es gibt keine Analyse-, Marketing- oder Drittanbieter-Cookies, deshalb auch kein Cookie-Banner.

Schriften und Bilder

Schriften, Bilder und Skripte werden von unseren eigenen Servern ausgeliefert. Es werden keine Inhalte von Google Fonts, Content-Delivery-Netzwerken oder sozialen Netzwerken nachgeladen.

Kontakt, Anfrage und Wunsch

Die Website hat drei Formulare. Wir verarbeiten genau die Angaben, die du dort einträgst:

• Kontakt: Name, E-Mail-Adresse, Nachricht, optional Firma.
• Anfrage zu einem Tarif: Name, E-Mail-Adresse, Organisation, gewünschter Tarif, optional Anzahl der Firmen und der Nutzer, ob die Organisation gemeinnützig ist, und eine Nachricht.
• Wunsch nach einer Erweiterung oder Integration: Name, E-Mail-Adresse, Art des Wunsches und der Wunsch selbst, optional Organisation und das gewünschte Werkzeug.

Um Wegwerf-Adressen abzuweisen, prüfen wir beim Absenden, ob die Domain deiner E-Mail-Adresse E-Mails empfangen kann; dafür fragen wir nur das öffentliche DNS ab. Die Nachricht wird uns per E-Mail zugestellt und in unserem Support-Postfach gespeichert, bis die Anfrage erledigt ist und keine Aufbewahrungspflichten mehr bestehen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit es um einen möglichen Vertrag geht, sonst unser berechtigtes Interesse, Anfragen zu beantworten (Art. 6 Abs. 1 lit. f DSGVO).

3. Registrierung und Betrieb einer Instanz

Vertragsdaten

Bei der Registrierung verarbeiten wir Firmenname, gewünschte Adresse der Instanz, Name und E-Mail-Adresse der anlegenden Person, ein Passwort (nur als Hash gespeichert), den gewählten Tarif und einen etwaigen Rabattcode. Später kommen Rechnungsanschrift, Umsatzsteuer-ID und Zahlungsart hinzu. Diese Daten brauchen wir zur Durchführung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO) und bewahren sie für die Dauer des Vertrags sowie danach im Rahmen handels- und steuerrechtlicher Aufbewahrungsfristen (bis zu zehn Jahre für Rechnungen) auf.

Daten in der Instanz

Die Belege, Projekte, Kunden, Personen und Notizen, die du in deiner Instanz erfasst, verarbeiten wir ausschließlich in deinem Auftrag als Auftragsverarbeiter nach Art. 28 DSGVO. Verantwortlich für diese Daten ist der Inhaber der Instanz. Jede Instanz hat einen eigenen, von anderen Instanzen getrennten Datenbereich. In die Anwendung einer Instanz gelangen wir nur über eine Support-Freigabe, die ein Admin der Instanz erteilt; sie gilt 24 Stunden, wird in der Instanz protokolliert und kann jederzeit beendet werden. Darüber hinaus greifen wir nur zu, soweit es für Fehlerbehebung oder Sicherung technisch erforderlich ist; solche Zugriffe auf die Datenbank werden protokolliert. Notizen, Aufgaben und Kontaktdaten werden in der Datenbank verschlüsselt gespeichert. Die Einzelheiten regelt der Vertrag zur Auftragsverarbeitung, der mit dem Anlegen der Instanz zustande kommt.

Protokolle in der Instanz

Um nachvollziehen zu können, wer was geändert hat, protokolliert die Instanz Anmeldungen, Einladungen, Änderungen an Zugängen, Tarif und Erweiterungen sowie jede Support-Freigabe und jede Änderung durch den Support mit Zeitpunkt und handelnder Person. Diese Protokolle sind für Admins der Instanz einsehbar und werden mit der Instanz gelöscht.

Sicherung und Löschung

Jede Instanz wird täglich gesichert. Die Sicherungen sind verschlüsselt, werden zusätzlich auf einem getrennten Speicher desselben Anbieters abgelegt und nach 14 Tagen gelöscht; Schnappschüsse dieses Speichers spätestens nach weiteren zehn Tagen. Nach einer Kündigung läuft die Instanz bis zum Ende des bezahlten Zeitraums weiter. Danach ist sie 30 Tage lang nur noch lesbar, damit die Daten exportiert oder die Kündigung zurückgenommen werden kann, und wird anschließend endgültig gelöscht; Sicherungen mit Ablauf ihrer Aufbewahrung. Rechnungsdaten bleiben davon unberührt und werden gemäß den gesetzlichen Fristen aufbewahrt.

4. Zahlungsabwicklung

Zahlungen per Karte oder SEPA-Lastschrift wickelt die Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland, ab. Stripe erhält dafür Name, E-Mail-Adresse, Rechnungsanschrift, Zahlungsdaten und die Beträge; Kartendaten und Kontonummern werden ausschließlich bei Stripe gespeichert, wir sehen nur die letzten Ziffern und den Zahlungsstatus. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Stripe ist nach dem EU-US Data Privacy Framework zertifiziert; Einzelheiten unter stripe.com/de/privacy. Bei Zahlung auf Rechnung findet keine Übermittlung an Stripe statt.

5. E-Mails

hoverOS verschickt Systemmails: Einladungen, Bestätigungen, Rechnungen, Zahlungserinnerungen, auf Wunsch den Digest mit den Kennzahlen deiner Instanz, und Antworten des Supports. Dafür verarbeiten wir die E-Mail-Adresse und die jeweiligen Inhalte. Es gibt keine Newsletter und kein Öffnungs-Tracking.

Den Versand übernimmt die Sendinblue SAS (Brevo), Paris, Frankreich. Unser Postfach, in dem Nachrichten an uns und die Formulare der Website eingehen, liegt bei der IONOS SE, Elgendorfer Straße 57, 56410 Montabaur. Beide sind für uns als Auftragsverarbeiter nach Art. 28 DSGVO tätig. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für Antworten auf allgemeine Anfragen lit. f.

6. Integrationen auf Wunsch

Wenn du eine Integration zu einem anderen Dienst aktivierst, etwa zu deiner Buchhaltung oder deinem Projektwerkzeug, hinterlegst du dafür Zugangsdaten dieses Dienstes. Mit ihnen ruft deine Instanz dort Belege, Zahlungen, Projekte oder Zeiten ab. Die Zugangsdaten werden verschlüsselt gespeichert und nur für diese Abfragen verwendet. Welche Daten die Anbieter dabei verarbeiten, regeln deren eigene Datenschutzhinweise.

7. Hosting

Die Anwendung, die Datenbank und die Sicherungen laufen auf Servern der Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, in deren Rechenzentren in Deutschland. Hetzner ist für uns als Auftragsverarbeiter nach Art. 28 DSGVO tätig.

8. Übermittlung außerhalb der EU

Wir selbst übermitteln keine personenbezogenen Daten in Länder außerhalb der EU. Hetzner, Brevo und IONOS haben ihren Sitz in der EU. Stripe Payments Europe sitzt in Irland, kann Daten aber an die Stripe, Inc. in den USA weitergeben; das stützt Stripe auf das EU-US Data Privacy Framework und auf Standardvertragsklauseln der EU-Kommission.

Die Daten der Instanzen liegen auf Servern in Deutschland, bei einem Anbieter mit Sitz in Deutschland. Verlangt eine Behörde außerhalb der EU Zugriff darauf, geben wir nur heraus, wozu uns das Recht der EU oder Deutschlands verpflichtet, etwa über ein Rechtshilfeabkommen. Wir prüfen jede Anfrage, beschränken uns auf das Nötigste und informieren den Inhaber der Instanz vorher, soweit uns das nicht gesetzlich untersagt ist.

9. Pflichtangaben und automatisierte Entscheidungen

Für die Registrierung und die Abrechnung brauchen wir die als Pflichtfeld markierten Angaben; ohne sie können wir keine Instanz anlegen und keinen Vertrag durchführen. In den Formularen der Website sind die Pflichtfelder ebenfalls markiert; ohne sie können wir nicht antworten. Eine automatisierte Entscheidung im Einzelfall einschließlich Profiling (Art. 22 DSGVO) findet nicht statt.

10. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21, siehe unten). Wende dich dafür an die unter Punkt 1 genannte Adresse. Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel bei der Berliner Beauftragten für Datenschutz und Informationsfreiheit.

Für Daten, die in einer Instanz erfasst sind, ist der Inhaber der Instanz verantwortlich; Anfragen dazu leiten wir an ihn weiter.

11. Widerspruchsrecht

12. Änderungen

Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert. Die jeweils aktuelle Fassung findest du hier.

Stand: Oktober 2026