Informationen nach der Datenschutz-Grundverordnung für Webseite, Konto und Software 1. Verantwortlicher SBJ Digital GbR Eisenstr. 29 50825 Köln Deutschland E-Mail: kontakt@inboxprofi.de Vertreten durch Benjamin Sonntag, Simon Sean Hoffmann und Julius Ernst Maximilian Zehme gemeinschaftlich. 2. Geltungsbereich und Rollenverteilung Diese Datenschutzerklärung gilt für die Webseite, die Registrierung, das Kundenkonto, die Vertrags- und Zahlungsabwicklung, den Support sowie die Nutzung von Inboxprofi. Für Konto-, Vertrags-, Abrechnungs-, Support- und Sicherheitsdaten ist SBJ grundsätzlich selbst datenschutzrechtlich Verantwortlicher. Soweit SBJ Mitspielerdaten, Inhalte verbundener Postfächer, Freitextangaben, Buchungen, Reloads und daraus erzeugte Auswertungen ausschließlich nach Weisung eines Kunden verarbeitet, ist der Kunde Verantwortlicher und SBJ Auftragsverarbeiter. Für diese Verarbeitung gilt zusätzlich der Vertrag zur Auftragsverarbeitung. Der Kunde ist insbesondere für die Rechtsgrundlage, seine Informationspflichten gegenüber betroffenen Personen und die Rechtmäßigkeit seiner Weisungen verantwortlich. 3. Aufruf der Webseite und technische Protokolldaten Beim Aufruf der Webseite und der Anwendung können technisch erforderliche Daten verarbeitet werden. Dazu können IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Statuscode, Browser- und Betriebssystemangaben, Referrer sowie sicherheitsrelevante Ereignisse gehören. Die Verarbeitung dient der Auslieferung, Stabilität, Fehleranalyse und Abwehr von Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO. Das berechtigte Interesse liegt im sicheren und funktionsfähigen Betrieb des Dienstes. Technische Protokolldaten werden nur im für Betrieb, Fehleranalyse und Sicherheit erforderlichen Umfang gespeichert. Sie werden gelöscht, sobald sie für diese Zwecke und für erforderliche Nachweise nicht mehr benötigt werden. 4. Registrierung, Kundenkonto und Vertrag Bei der Registrierung erhebt SBJ nur eine E-Mail-Adresse und ein Passwort, das ausschließlich als Passwort-Hash gespeichert wird. Bei der Vertragsdurchführung verarbeitet SBJ darüber hinaus insbesondere Konto- und Vertragskennungen, Zugriffsberechtigungen, Beginn und Ende von Zeiträumen, Kündigungsstatus, aktive und archivierte Mitspielerzahlen, Preisstufe, Kommunikationsinhalte sowie erforderliche Nachweise zu Zustimmung, Kündigung und Widerruf. Zwecke sind die Kontoerstellung, Authentifizierung, Vertragsdurchführung, Abrechnung, Kundenkommunikation, Missbrauchsverhinderung und Erfüllung gesetzlicher Pflichten. Rechtsgrundlagen sind Art. 6 Abs. 1 Buchst. b DSGVO, Art. 6 Abs. 1 Buchst. c DSGVO und, soweit erforderlich, Art. 6 Abs. 1 Buchst. f DSGVO. Die Bereitstellung der für Registrierung und Vertrag gekennzeichneten Pflichtangaben ist erforderlich. Ohne sie kann das Konto oder der Vertrag nicht bereitgestellt werden. 5. Verarbeitung in Inboxprofi im Auftrag des Kunden Je nach Nutzung können insbesondere folgende Daten im Auftrag des Kunden verarbeitet werden: - verschlüsselt gespeicherte Zugangsdaten oder Verbindungsschlüssel für freigegebene Postfächer - E-Mail-Header und E-Mail-Inhalte aus den verbundenen Postfächern, jedoch keine Anhänge - Namen, E-Mail-Adressen und sonstige Angaben zu Mitspielern - vom Kunden eingegebene Freitexte - Buchungen, Kontostände, Bonusinformationen, Berechnungen, Reloads und Bearbeitungsstände - Archivierungs- und Aktivierungszeitpunkte sowie technische Zuordnungen Betroffen sein können der Kunde, seine freigegebenen Mitarbeiter, Mitspieler, Absender und Empfänger von E-Mails sowie weitere Personen, deren Angaben in den verarbeiteten Inhalten vorkommen. Inboxprofi kann E-Mails empfangen, anzeigen und zur Erstellung von Einträgen verwenden. Über verbundene Postfächer können keine E-Mails versendet werden. Anhänge werden nicht gespeichert. Eine Übermittlung dieser Daten an externe KI-Dienste findet derzeit nicht statt; sollte sich das ändern, wird diese Datenschutzerklärung vor dem Einsatz aktualisiert. Alle drei Gesellschafter von SBJ können bei einem konkreten Support-, Sicherheits- oder Betriebsbedarf auf die jeweils erforderlichen Daten zugreifen. Zugriffe müssen auf den notwendigen Umfang beschränkt und durch ein Berechtigungskonzept abgesichert sein. 6. Zahlung, Rechnungen und Stripe Für Zahlungen, Abonnements, Rechnungen und gegebenenfalls Steuerermittlungen nutzt SBJ Stripe. Dabei können Name, E-Mail-Adresse, Anschrift, Land, Steuerstatus, Unternehmensangaben, Zahlungsart, Transaktionsdaten, Betrag, Abostatus, Rückerstattungen und Betrugsindikatoren verarbeitet werden. Zahlungsdaten werden in der Regel unmittelbar bei Stripe eingegeben. Rechtsgrundlagen sind Art. 6 Abs. 1 Buchst. b DSGVO, Art. 6 Abs. 1 Buchst. c DSGVO und Art. 6 Abs. 1 Buchst. f DSGVO. Stripe kann für bestimmte Zahlungs-, Sicherheits- und Compliance-Zwecke eigenständig Verantwortlicher sein. Es gelten ergänzend die Datenschutzhinweise von Stripe unter https://stripe.com/de/privacy. Stripe kann die freiwillige Schnellzahlfunktion Link anbieten. Link speichert Zahlungs- und Kontaktdaten nur, wenn der Nutzer die Funktion verwendet. Eine Nutzung von Link ist für den Vertragsabschluss mit SBJ nicht erforderlich. Stripe kann Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten. Nach eigenen Angaben nutzt Stripe unter anderem Angemessenheitsbeschlüsse, das EU-US Data Privacy Framework und EU-Standardvertragsklauseln. 7. Hosting bei Hetzner Inboxprofi wird auf Servern der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, betrieben. Nach der derzeitigen Konfiguration erfolgt das Hosting auf einem Serverstandort in Deutschland. Hetzner verarbeitet Daten als Auftragsverarbeiter auf Grundlage eines Vertrags nach Art. 28 DSGVO. 8. Support und betriebliche Kommunikation Bei einer Kontaktaufnahme verarbeitet SBJ Name, Kontaktdaten, Kontozuordnung, Zeitpunkt und Inhalt der Anfrage sowie für die Lösung erforderliche technische Angaben. Zweck ist die Bearbeitung der Anfrage und die Vertragsbetreuung. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO, vor einem Vertrag Art. 6 Abs. 1 Buchst. b DSGVO und bei allgemeinen Anliegen Art. 6 Abs. 1 Buchst. f DSGVO. SBJ versendet keine allgemeinen Werbe- oder Newsletter-E-Mails. Möglich sind erforderliche Vertrags-, Zahlungs-, Sicherheits-, Wartungs- und Produktinformationen. Informationen über wesentliche Funktionsänderungen dienen der Vertragsdurchführung. Vertrags-, System- und Support-E-Mails werden über die E-Mail-Infrastruktur der Hetzner Online GmbH versendet. Hetzner verarbeitet dabei die erforderlichen Kontaktdaten und Nachrichteninhalte als Auftragsverarbeiter. 9. Cookies und lokale Speicherung Inboxprofi verwendet nur technisch erforderliche Cookies oder vergleichbare lokale Speicherungen, insbesondere für Anmeldung, Sitzung, Sicherheit und Spracheinstellungen. Diese Vorgänge sind erforderlich, um den ausdrücklich gewünschten Dienst bereitzustellen. Rechtsgrundlage für die nachfolgende Verarbeitung personenbezogener Daten ist Art. 6 Abs. 1 Buchst. b oder f DSGVO. Analyse-, Werbe- oder Trackingdienste werden nicht eingesetzt. Falls künftig nicht notwendige Technologien hinzukommen, werden diese Datenschutzerklärung und die Einwilligungssteuerung vor ihrem Einsatz angepasst. 10. Empfänger und Zugriffsberechtigte Daten erhalten nur Stellen, die sie für einen festgelegten Zweck benötigen. Dazu können gehören: - die drei Gesellschafter von SBJ bei konkretem Bedarf - Hetzner als Auftragsverarbeiter für Hosting, Infrastruktur und E-Mail-Versand - Stripe, Banken, Kartenorganisationen und Zahlungsanbieter für Zahlung und Abrechnung - Steuerberater, Rechtsberater und Behörden, soweit dies gesetzlich zulässig oder erforderlich ist Robethood oder andere Werbepartner erhalten nach derzeitiger Planung keine personenbezogenen Kundendaten. Provisionsabrechnungen sollen nur auf aggregierten oder nicht personenbezogenen Angaben beruhen. 11. Speicherdauer und Löschung SBJ speichert personenbezogene Daten nur so lange, wie sie für den jeweiligen Zweck benötigt werden oder gesetzliche Aufbewahrungs-, Nachweis- oder Verjährungsfristen bestehen. - Konto- und Vertragsdaten werden grundsätzlich für die Vertragsdauer gespeichert. Nach Vertragsende werden Kundeninhalte drei Monate zur Wiederherstellung vorgehalten und anschließend gelöscht oder irreversibel anonymisiert, sofern keine gesetzlichen Gründe entgegenstehen. - Eine sofortige Löschung von Kundeninhalten kann auf Wunsch erfolgen, soweit keine gesetzlichen Pflichten oder berechtigten Nachweiszwecke entgegenstehen. - Roh-E-Mails werden 28 Tage gespeichert und anschließend automatisch gelöscht. - Abgeschlossene Reloads, Buchungen und Berechnungen können während des laufenden Vertrags sichtbar bleiben, auch wenn die zugrunde liegende Roh-E-Mail bereits gelöscht wurde. - Rechnungen und Buchungsbelege werden grundsätzlich acht Jahre aufbewahrt. Andere steuer- oder handelsrechtlich relevante Unterlagen können je nach Art sechs oder zehn Jahre aufzubewahren sein. - Vertrags- und Einwilligungsnachweise können bis zum Ablauf der einschlägigen Verjährungs- und Nachweisfristen gespeichert werden. - Sicherheits- und Zugriffsprotokolle werden gelöscht, sobald sie für den sicheren Betrieb, die Fehleranalyse und erforderliche Nachweise nicht mehr benötigt werden. 12. Datensicherheit SBJ setzt technische und organisatorische Maßnahmen ein, die dem Risiko der Verarbeitung angemessen sind. Dazu gehören nach der derzeitigen Umsetzung insbesondere verschlüsselte Verbindungen, verschlüsselte Postfachzugangsdaten, gehashte Kontopasswörter, rollenbezogene Zugriffe und getrennte Kundenbereiche. Zur Sicherung der Verfügbarkeit setzt SBJ angemessene Sicherungs- und Wiederherstellungsverfahren ein. Eine bestimmte unterbrechungsfreie Verfügbarkeit oder sofortige Umschaltung auf ein Ersatzsystem wird nicht zugesagt. 13. Keine automatisierte Entscheidung und keine externe Analyse SBJ trifft keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO. Es findet kein personenbezogenes Tracking oder Profiling zu Werbezwecken statt. Externe Analysen sollen nur mit zuvor vollständig anonymisierten Daten durchgeführt werden. Anonymisierte Daten lassen sich keiner Person mehr zuordnen und fallen nicht unter die DSGVO. 14. Rechte betroffener Personen Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen insbesondere das Recht auf: - Auskunft nach Art. 15 DSGVO - Berichtigung nach Art. 16 DSGVO - Löschung nach Art. 17 DSGVO - Einschränkung der Verarbeitung nach Art. 18 DSGVO - Datenübertragbarkeit nach Art. 20 DSGVO - Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen nach Art. 21 DSGVO - Widerruf einer Einwilligung mit Wirkung für die Zukunft nach Art. 7 Abs. 3 DSGVO Anfragen zu Daten, die SBJ nur im Auftrag eines Kunden verarbeitet, werden an den verantwortlichen Kunden weitergeleitet oder in Abstimmung mit ihm bearbeitet. 15. Beschwerderecht Betroffene Personen können sich bei einer Datenschutzaufsichtsbehörde beschweren. Für SBJ ist regelmäßig zuständig: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen Kavalleriestr. 2 bis 4 40213 Düsseldorf https://www.ldi.nrw.de/beschwerde 16. Änderungen dieser Datenschutzerklärung SBJ passt diese Datenschutzerklärung an, wenn sich Funktionen, Dienstleister oder Rechtsgrundlagen ändern. Die jeweils aktuelle Fassung wird auf der Webseite bereitgestellt. Wesentliche Änderungen werden den Kunden in geeigneter Form mitgeteilt. Gültig ab: 01.09.2026