Datenschutzerklärung

Einleitung

Ich, Thomas Wien, möchte Ihnen darstellen, welche Daten, wie lange und zu welchem Zweck ermittelt, gespeichert und genutzt werden.

Dabei bin ich bestrebt, im Rahmen der Datenminimierung (Datenvermeidung, Datensparsamkeit) auf die Speicherung von Daten weitest gehend zu verzichten.

Diese Datenschutzerklärung können Sie jederzeit unter dem Link https://thwien.de/datenschutz/ aufrufen.

Ansprechpartner und Verantwortlicher für den Datenschutz

Verantwortlich für die Umsetzung des Datenschutzes ist:

Thomas Wien
Am Gierath 20a
40885 Ratingen

02102 - 307 62 01

Erhebung, Speicherung und Nutzung personenbezogener Daten

Sie können diese Internetseite ohne Angabe von personenbezogener Daten besuchen.

Ich speichere zum Zwecke der Angebotserstellung, der Auftragsausführung und der Abrechnung folgende personenbezogene Daten der Auftraggeber:

  • Vor- und Nachname
  • Straße und Hausnummer
  • Telefonnummer(n)
  • E-Mail-Adresse(n)

Die Erfassung dieser Daten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO, der die Verarbeitung von Daten zur Erfüllung eines Vertrags oder vorvertraglicher Maßnahmen gestattet.

Im Falle eines Erstkontakts werden Sie gemäß Art. 12, 13 DSGVO im ersten Antwortschreiben auf die datenschutzrechtliche Verarbeitung hingewiesen.

Es werden keine personenbezogene Daten auf Servern dritter Unternehmen gespeichert (z.B. Cloud-Anbieter).

Alle personenbezogenen Daten werden ausschließlich auf Servern von thwien.de gespeichert und Zugriff obliegt ausschließlich Herrn Thomas Wien und seiner datenschutzrechtlich unterwiesenen Büro-Assistentin.

Über die Verarbeitung aller personenbezogener Daten werden intern Dokumente zur "Datenschutzfolgenabschätzung", ein "Verzeichnis der Verarbeitungstätigkeiten" und "Technisch organisatorische Maßnahmen" gepflegt. Diese Dokumente sind nicht öffentlich und werden bei Anfrage den Datenschutzaufsichtsbehörden zur Verfügung gestellt oder ist Teil der Auftragsdatenverarbeitungsverträge mit Auftragsgebern.

Verwendung von Cookies

Die Internetseite www.thwien.de und die Status-Seite verwenden keine Cookies.

Online-Dienste (wie Verwaltung von Support-Tickets, File-Server, Monitoring und Web-Konferenz-Server), die Kunden von thwien.de zur Verfügung stehen, verwenden für eine sichere Anmeldung sogenannte Session-Cookies. Darüber hinaus werden Einstellung oder die aktuelle Auswahl von Optionen innerhalb der Dienste als Cookies abgespeichert. Keine dieser Cookies enthält personenbezogene Daten oder wird zum Tracking oder für Werbezwecke verwendet. Diese Cookies werden nur bei verschlüsselten Verbindungen im Browser gesetzt und beim Monitoring-Dienst ist das Auto-Login deaktiviert, so dass Cookies nur bis zum Schließen des Browser gespeichert werden.

Die Verwendung dieser Cookies ist für die Funktion und der Sicherheit dieser Dienste technisch notwendig. Die Verarbeitung dieser Daten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Es besteht ein berechtigtes Interesse an der technisch fehlerfreien Darstellung und der Funktion dieser Dienste.

Webseiten-Analyse

Allgemein

Es wird im Interesse des Datenschutzes auf eine Webseitenanalyse (z.B. mit Google Analytics, Matomo, Webalizer, etc.) verzichtet.

Google Webmastertools / Search Console

Die Google Webmastertools sind aktiviert, um Optimierungsvorschläge und über Fehler auf der Webseite informiert zu werden.

Dieses Tool speichert Informationen zu den Suchbegriffen und angeklickten Links auf dieser Internetseite, nur wenn Sie Google als Suchmaschine verwenden, um diese Internetseite zu besuchen.

Die Erfassung dieser Daten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Es besteht ein berechtigtes Interesse an der technisch fehlerfreien Darstellung und der Optimierung dieser Internetseiten.

Verwendung von Fonts

Auf dieser Internetseite werden nur lokale Fonts/Schriften eingebunden.

Logdateien

Webseiten/Dienste von thwien.de speichern die IP-Adressen, von welcher auf den Dienst zugegriffen wird, Loginnamen, Browser-Signaturen in den Zugriffs- und Fehlerlogs.

Die Logdateien werden auf den operativen Servern maximal für 2 Tage gespeichert und dienen ausschließlich der automatisieren Einbruchserkennung und -abwehr.

Fehlerhafte, nicht autorisierte Zugriffe und Angriffsversuche werden von der automatischen Einbruchserkennung detektiert und zeitweise oder dauerhaft blockiert. Dafür werden die entsprechenden IP-Adressen der verdächtigten Zugriffe durch die Firewall blockiert, um weitere Angriffsversuche zu unterbinden.

Eine Zusammenführung dieser Logdaten mit anderen Daten wird nicht vorgenommen.

Die Erfassung dieser Daten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Es besteht ein berechtigtes Interesse an der technischen Verfügbarkeit der Internetdienste und Durchführung von Maßnahmen gegen Angriffsversuche.

Geoblocking-Verordnung

Die Quell-IP-Adressen werden auf der Firewall gegen eine lokal gespeicherte Geo-Datenbank geprüft und somit einem Land zugeordnet.

Gemäß der Europäischen Verordnung 2018/302 über "Maßnahmen gegen ungerechtfertigtes Geoblocking" werden auf Servern von thwien.de keine IP-Adressen aus Ländern der Europäischen Union blockiert.

thwien.de behält sich im Rahmen notwendiger IT-Sicherheitsmaßnahmen das Recht vor, insbesondere Länder mit repressiven und autokraten Regierungen vollständig und dauerhaft zu blockieren.

Die Erfassung/Blockierung dieser Zugriffe erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Es besteht ein berechtigtes Interesse an der technischen Verfügbarkeit der Internetdienste und Durchführung von Maßnahmen gegen Angriffsversuche.

Auszug aus den "Technisch-organisatorischen Maßnahmen"

Alle Schutzmaßnahmen werden in einem Dokument "Technisch-organisatorische Maßnahmen" dokumentiert. Dieses Dokument ist nicht öffentlich und wird bei Anfrage den Datenschutzaufsichtsbehörden zur Verfügung gestellt oder ist Teil der Auftragsdatenverarbeitungsverträge mit Auftragsgebern.

Die hier angegebenen technisch-organisatorischen Maßnahmen sind ein Auszug aus den umfangreichen Sicherheitsmaßnahmen.

Datenschutz

Um Datenschutzvorschriften umzusetzen, werden folgende Maßnahmen angewendet:

  • Volle Festplatten-Verschlüsselung aller virtueller Server mit AES256-XTS
  • Volle Festplatten-Verschlüsselung von Arbeitsplatzrechnern und Notebooks mit AES512-XTS und Serpent512-XTS
  • Verschlüsselung von Auslagerungspartitionen (Swap) mit AES256-XTS
  • Data-At-Rest-Encryption unter MySQL/MariaDB, wenn personenbezogene Daten gespeichert werden
  • Restriktive Firewallregeln für Zugriffe auf sicherheitsrelevante Dienste

Verfügbarkeit

Um die Verfügbarkeit zu erhöhen, werden folgende Maßnahmen angewendet:

  • Verwendung einer Failover-IP
  • Die Failover-IP befindet sich in einem anderen Rechenzentrum als die Produktivserver
  • Die operativen Server sind über VLAN (Layer 2) miteinander verbunden
  • Die Routen der Host-Systeme werden über das VLAN per OSPF verteilt
  • Durch OSPF werden bei Migration/Restore von virtuellen Server die Routen dynamisch angepasst
  • Die Kommunikation der OSPF-Knoten untereinander ist verschlüsselt
  • Eine virtuelle MAC-Adresse wird zwischen allen Server im VLAN via VRRP vermittelt
  • Diese virtuelle MAC-Adresse wird bei Ausfall eines Server automatisch auf einen anderen Server übertragen
  • Die Kommunikation der VRRP-Knoten untereinander ist kryptografisch authentisiert
  • MySQL-Datenbanken generieren neben der täglichen SQL-Datensicherung inkrementelle Binlogs, um Datenverluste im Falle einer Wiederherstellung gering zu halten

Backup

Die Speicherung von Backups aller Server geschieht auf zwei physikalisch getrennten dedizierten Server, welche nur zum Zwecke der Datensicherung betrieben werden.

Zugriff auf die Backupserver hat ausschließlich Herr Thomas Wien.

Es sind mehrere Maßnahmen getroffen, um den Zugriffsschutz auf die Backup-Server zu gewährleisten:

  • Hardware-Firewall
  • Software-Firewall
  • Zugriff auf nur wenige IP-Adressen beschränkt
  • SSH mit 2-Faktor-Authentifizierung
  • SSH-Zugriff ausschließlich mit Publickey-Authentifizierung
  • Monitoring
  • Automatisiertes Installieren von Sicherheitsupdates
  • Automatisierter SSH-Zugriff zur Datensicherung geht immer vom Backup-Server aus und nicht umgekehrt
  • Daten auf ausgebauten Festplatten werden durch eine Software unlesbar gemacht
  • Daten auf defekten Festplatten werden durch einen Degausser oder Schredder vernichtet
  • Unautorisierter Austausch von Festplatten würde über das Monitoring erkannt
  • Der Backup-Server befindet sich physikalisch in einem anderen Rechenzentrum
  • Die Rechenzentren sind nach ISO 27001 zertifiziert
  • Ein zusätzlicher Backupserver befindet sich zur Geo-Redundanz in einem Rechenzentrum in Finnland
  • Redundante Datenspeicherung auf mehreren Festplatten
  • Dateisystem mit Prüfsummen zur Sicherstellung der Integrität der Daten
  • Dortige Speicherung der Backups erfolgt auf verschlüsselten Partitionen
  • Auch für das Rechenzentrum in Finnland gelten die gleichen Anforderungen wie am Standort in Deutschland
  • Mit dem Rechenzentrumsbetreiber der dedizierten Server wurde ein Vertrag zur Auftragsverarbeitung abgeschlossen

Der Zeitraum für die Speicherung der Backups ist auf maximal 6 Monate begrenzt.

Dokumente

Nicht mehr benötigte vertrauliche Papierdokumente, CDs/DVDs und Smartcards werden mit Aktenvernichter gemäß DIN 66399 nach Sicherheitsklasse P-4, O-4 und E-4 vernichtet.

Betreiber

Betreiber der Rechenzentren, in welchen thwien.de dedizierte Server, virtuelle Server, Mail-Server und DNS-Server betreibt:

  • Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen*
  • Hetzner Finland Oy, Huurrekuja 10, 04360 Tuusula, Finnland**
  • Symgenius GmbH & Co. KG, Am Plan 1, 37581 Bad Gandersheim mit Rechenzentren in Düsseldorf*

* Mit diesem Betreiber besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO

** Es besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO zwischen Hetzner Online GmbH und Hetzner Finland Oy

Zugangsdaten

Von Auftraggeber zum Zwecke der Auftragsausführung zur Verfügung gestellten Zugangsdaten werden in einem Passwortmanager verwaltet.

Die Speicherung erfolgt in einer AES256-verschlüsselten Datei.

Zugriff auf diese Datei obliegt ausschließlich Herrn Thomas Wien.

Zugriffsschutz

Der Zugriff auf dedizierte wie auch virtuelle Server von thwien.de erfolgt ausschließlich über Publickey-Authentifizierung.

Die Passwort-Authentifizierung ist deaktiviert.

Darüber hinaus werden mittels SSH-ACLs und Firewallregeln die Zugriffe auf bestimmte IP-Adressen oder IP-Netze eingeschränkt.

Zusätzlich werden neben Software-Firewallregeln auch Hardware-Firewallregeln genutzt, um Zugriffe zu beschränken.

Des weiteren wird, wenn möglich, eine 2-Faktor-Authentifizierung genutzt.

Verbindungssicherheit

Der Zugriff auf diese Internetseite ist mit TLS verschlüsselt. Dabei ist auch Forward Secrecy aktiviert, um das Entschlüsseln mitgeschnittenen TLS-Datenverkehrs über das Internet zu erschweren. Die Server werden mit externen Audit-Systemen auf sichere Konfigurationen überprüft.

Kommunikation

Allgemein

Es werden keine Newsletter versendet, keine Blogs veröffentlicht, die kommentiert werden können oder Kontaktformulare auf dieser Internetseite genutzt.

E-Mail

Zur Sicherstellung von Datenschutzmaßnahmen betreibt thwien.de einen eigenen Mail-Server auf dedizierter Hardware. Administrativer Zugriff auf diesen Mail-Server obliegt ausschließlich Herrn Thomas Wien.

Wenn Sie mich per E-Mail kontaktieren, werden die von Ihnen übertragenen personenbezogenen Daten nur zur Bearbeitung Ihres Anliegens verwendet und vertraulich behandelt.

Sie können per GnuPG/PGP verschlüsselte E-Mails senden. Dafür finden Sie den aktuellen PGP-Schlüssel unter Kontakt.

Telefon

Per Telefon über 02102 - 307 62 01 erreichen Sie mich über einen VoIP-Anschluss des Betreibers sipgate GmbH, Gladbacher Str. 74, 40219 Düsseldorf.

Gespeichert werden Anrufe auf dem Anrufbeantworter, welche als MP3-Datei per E-Mail an Thomas Wien gesendet werden.

Der Betreiber speichert Anrufe wie auch Ihre angezeigte Rufnummer.

Es besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO mit dem Betreiber Sipgate GmbH, Düsseldorf.

Web-Konferenz

Zur Sicherstellung von Datenschutzmaßnahmen betreibt thwien.de einen eigenen Webkonferenz-Server auf dedizierter Hardware. Administrativer Zugriff auf diesen Webkonferenz-Server obliegt ausschließlich Herrn Thomas Wien.

Die Teilnahme an einer Web-Konferenz mit thwien.de ist freiwillig und ohne Registrierung möglich.

Vor der Teilnahme müssen Sie der Datenschutzerklärung zustimmen.

Zur Nutzung des Webkonferenz-Servers ist nur ein aktueller Browser notwendig. Mikrofon-, Webcam- und Bildschirmfreigaben werden dann von Ihnen erfragt, wenn Sie von Ihnen explizit in der Webkonferenz verwendet werden sollen.

Die Verbindung zwischen dem Browser und dem Webkonferenz-Server sind verschlüsselt. TLS-Verschlüsselung des Webserverzugriffs (starke Verschlüsselung mit RSA4096-Schlüssel) und Verschlüsselung aller Datenstreams (wie Audio, Webcam, Bildschirmfreigaben, Chats).

Vor dem Betreten des Web-Konferenzraumes werden Sie gebeten, Ihren Namen anzugeben. Die Angaben sind freiwillig und können auch Phantasienamen, Firmennamen, Initialien oder reine Vornamen sein. Ihr verwendeter Name ist allen Teilnehmern der Web-Konferenz sichtbar und wird in Logdateien gespeichert. Die Logdateien werden nicht länger als 1 Tag gespeichert.

Wenn Sie ein personalisiertes Konto auf dem Web-Konferenz-Server einrichten oder für Sie eingerichtet wird, werden folgende Daten erhoben:

  • Vollständiger Name
  • E-Mail-Adresse
  • Datum und Uhrzeit der Registrierung

Sie können Ihr Profil freiwillig um weitere Daten, wie Sprache, Land und Profilfoto, ergänzen. Das Kennwort wird mit einem Hashalgorithmus plus Salt-Wert verschlüsselt in der Datenbank gespeichert.

Die Web-Konferenz-Software speichert Bild-, Ton-, Bildschirmfreigaben, Folien und Chat-Verläufe temporär auf dem Server. Da die Web-Konferenz-Software auf einem dedizierten Server von thwien.de betrieben wird, kann höchstens ein Administrator aber kein Teilnehmer auf diese Dateien zugreifen. Administrativer Zugriff auf den Server obliegt ausschließlich Thomas Wien. Die temporären Daten werden nicht länger als 24 Stunden auf dem Server gespeichert. Ein generelles Deaktivieren der temporären Speicherung sieht die Web-Konferenz-Software wohl leider nicht vor.

Eine Web-Konferenz kann aufgezeichnet werden, wird aber i.d.R. nicht aufgezeichnet. Eine etwaige Aufzeichnung setzt Ihre Einwilligung voraus. Sie werden vor der Aufzeichnung der Web-Konferenz gefragt. Wenn Sie zustimmen, wird danach Ihre Zustimmung noch einmal aufgezeichnet. Wenn eine Weitergabe / Veröffentlichung der aufgezeichneten Web-Konferenz beabsichtigt ist, werden Sie auch explizit um Einwilligung gebeten. Die Einwilligung in die Aufzeichnung ist freiwillig. Sollte eine Aufzeichnung erfolgen können alle Teilnehmer dieses an einen Aufzeichnungssymbol leicht erkennen. Sie können jederzeit während oder nach der Aufzeichnung Ihre Einwilligung widerrufen und die Löschung der Aufzeichnung verlangen. Teilnehmer*innen ist der Mitschnitt einer Webkonferenz untersagt.

Aufgezeichnete Web-Konferenzen werden nach 14 Tagen automatisch gelöscht. Logdateien, History-Dateien und temporäre Web-Konferenzen werden täglich automatisch gelöscht.

Wenn sich Ihr WebRTC-Client hinter einem Router/NAT-Firewall befindet, so ist für die Vermittlung zwischen WebRTC-Client und Web-Konferenz-Server technisch ein Vermittlungsserver notwendig. Dafür ist ein STUN-Server notwendig, der die Quell-IP-Adresse des Routers/NAT-Firewall kennen muss. Die Übertragung dieser Daten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Es besteht ein berechtigtes Interesse an der technischen Verwendbarkeit des Web-Konferenz-Servers. Damit Datenschutz gewährleistet werden kann, wird ein eigener STUN/TURN-Server verwendet, für welchen dieselben Datenschutzmaßnahmen ergriffen werden, wie für den Webkonferenz-Server selbst.

Weitergabe personenbezogener Daten

Personenbezogene Daten werden nicht ohne Ihr ausdrückliches Einverständnis an Dritte weitergegeben.

Dieses trifft dann nicht zu, wenn ich zur Auskunft z.B. gegenüber öffentlichen Behörden wie Strafverfolgungsbehörden, Gerichten, Sozialversicherungs- oder Finanzbehörden) gesetzlich verpflichtet bin.

Widerruf Ihrer Einwilligung zur Datenverarbeitung

Sie können eine bereits erteilte Einwilligung zur Datenverarbeitung jederzeit widerrufen. Dazu reicht eine formlose Nachricht per E-Mail an . Die Rechtmäßigkeit der bis zum Widerruf erfolgten Datenverarbeitung bleibt vom Widerruf unberührt.

Auskunft, Berichtigung, Löschung und Sperrung

Sie können jederzeit auf Anfrage eine Auskunft über Ihre bei mir gespeicherten Daten anfordern.

Sie haben jederzeit das Recht, auf Berichtigung, Löschung und Sperrung Ihrer bei mir gespeicherten personenbezogenen Daten.

Eine Löschung der Daten wird eventuell erst nach Ablauf von steuer- und handelsrechtlichen Fristen umgesetzt.

Recht auf Beschwerde

Sollten Sie der Ansicht sein, dass meine Datenverarbeitung rechtswidrig ist oder ich die oben beschriebenen Rechte nicht in dem notwendigen Umfang gewährt haben sollte, haben Sie das Recht, bei jeder deutschen oder europäischen Datenschutzaufsichtsbehörde Beschwerde einzulegen.

Die für Nordrhein-Westfalen zuständige Datenschutzaufsichtsbehörde:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Kavalleriestraße 2-4
40213 Düsseldorf

Telefon: 02 11/384 24-0
Telefax: 02 11/384 24-10

E-Mail: poststelle@ldi.nrw.de
https://www.ldi.nrw.de/

Stand

Diese Datenschutzerklärung wurde am 28.8.2022 aktualisiert und ersetzt vorherige Versionen der Datenschutzerklärung.