Datenschutzerklärung

Stand: 22.10.2026

Der Schutz Ihrer personenbezogenen Daten ist uns wichtig. Mit dieser Erklärung informieren wir Sie nach Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO) darüber, welche Daten wir beim Besuch unserer Website https://www.hessen-server.de und bei der Nutzung unseres Kundenportals verarbeiten, wofür wir sie nutzen und welche Rechte Sie haben.

1. Verantwortlicher

Hessen-Server.de
Geschäftsleitung: Alexander Krenik
An der Kirche 4
35260 Stadtallendorf
Deutschland
E-Mail: info@hessen-server.de

Einen Datenschutzbeauftragten haben wir nicht benannt, weil dafür keine gesetzliche Pflicht besteht. Fragen zum Datenschutz richten Sie bitte an die oben genannte Adresse.

2. Überblick und Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten nur, wenn dafür eine Rechtsgrundlage besteht. Je nach Zweck sind das:

• Vertragserfüllung und vorvertragliche Maßnahmen, Art. 6 Abs. 1 lit. b DSGVO (z. B. Bestellung, Kundenkonto, Bereitstellung der gebuchten Leistungen),
• rechtliche Verpflichtung, Art. 6 Abs. 1 lit. c DSGVO (z. B. handels- und steuerrechtliche Aufbewahrung),
• berechtigte Interessen, Art. 6 Abs. 1 lit. f DSGVO (z. B. Sicherheit und Stabilität des Betriebs, Betrugsschutz, Bearbeitung von Anfragen),
• Einwilligung, Art. 6 Abs. 1 lit. a DSGVO (z. B. Newsletter, Veröffentlichung von Domaininhaberdaten).

Wo wir uns auf berechtigte Interessen stützen, nennen wir diese jeweils dazu.

3. Hosting und Serverstandort

Unsere Website und unser Kundenportal (Software WHMCS) betreiben wir auf eigenen Servern. Auch die Webhosting-Leistungen für unsere Kunden laufen auf einem eigenen Server. Alle Server stehen in Rechenzentren der IONOS SE in Berlin, Deutschland. IONOS stellt uns die Rechenzentrumsinfrastruktur bereit und verarbeitet Daten nur in unserem Auftrag und nach unseren Weisungen (Auftragsverarbeitung nach Art. 28 DSGVO).

4. Server-Logdateien

Bei jedem Aufruf unserer Website verarbeitet der Webserver technisch notwendige Verbindungsdaten und speichert sie in Logdateien. Dazu gehören IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite bzw. Datei, übertragene Datenmenge, Statuscode, Referrer-URL sowie Browser- und Betriebssysteminformationen (User-Agent).

Zweck ist die Auslieferung der Seiten, die Stabilität und Sicherheit des Betriebs sowie die Abwehr und Aufklärung von Angriffen und Missbrauch. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und störungsfreien Betrieb unserer Systeme.

Speicherdauer:

• Zugriffsprotokolle des Webservers: 14 Tage, danach automatische Löschung.
• System-, Anmelde- und Mail-Protokolle der Server: rund vier Wochen.
• Anwendungsprotokolle des Kundenportals: bis zu acht Wochen. Das Aktivitätsprotokoll des Kundenportals, das auch IP-Adressen enthalten kann, behält die jeweils letzten 10.000 Einträge.

Ein konkreter Sicherheitsvorfall kann eine längere Aufbewahrung der betroffenen Einträge zur Aufklärung erfordern.

5. Cookies und lokale Speicherung

Auf unserer Website setzen wir selbst nur ein technisch notwendiges Cookie ein: das Sitzungs-Cookie von WHMCS (der Name beginnt mit "WHMCS"). Es ordnet Ihre Sitzung im Kundenportal zu (Anmeldung, Warenkorb, Sicherheitsmerkmale), gilt nur für die Dauer der Sitzung und ist als httpOnly, secure und SameSite Lax gekennzeichnet.

Der Zugriff auf Informationen in Ihrem Endgerät ist hier nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung zulässig, weil er unbedingt erforderlich ist, damit wir den von Ihnen ausdrücklich gewünschten Dienst (Kundenportal, Bestellung) bereitstellen können. Die zugehörige Datenverarbeitung beruht auf Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO.

Wir setzen keine Cookies für Reichweitenmessung, Analyse oder Werbung ein. Wir verwenden keine Tracking- oder Analysedienste und keine Werbepixel.

Beim Laden von Google reCAPTCHA (Abschnitt 14), von Stripe auf Warenkorb, Domainsuche im Bestellbereich und Kasse sowie von PayPal und einem Google-Rahmen im Zahlungsfeld von Stripe in der Kasse (Abschnitt 7) können die jeweiligen Anbieter eigene Cookies und lokale Speicher in Ihrem Browser anlegen, die Cookies von Stripe zum Teil auch unter der Domain www.hessen-server.de. Diese sind dort beschrieben.

6. Kundenkonto, Bestellung und Vertragsabwicklung

Wenn Sie ein Kundenkonto anlegen oder bei uns bestellen, verarbeiten wir die Daten, die Sie uns angeben oder die bei der Nutzung anfallen: Name, Firma (falls angegeben), Anschrift, E-Mail-Adresse, Telefonnummer (falls angegeben), ggf. Umsatzsteuer-Identifikationsnummer, die bestellten Leistungen, Rechnungs- und Zahlungsdaten sowie Ihre Zugangsdaten. Das Passwort speichern wir nur in verschlüsselter Form.

Wir verarbeiten diese Daten, um den Vertrag mit Ihnen zu schließen und zu erfüllen, Leistungen bereitzustellen, Rechnungen zu erstellen, Zahlungen zu verwalten und mit Ihnen zu kommunizieren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Soweit wir Rechnungs- und Buchführungsdaten aufgrund gesetzlicher Pflichten erheben und aufbewahren (insbesondere Rechnungsangaben nach dem Umsatzsteuergesetz, Aufbewahrung nach § 147 AO und § 257 HGB), ist Rechtsgrundlage Art. 6 Abs. 1 lit. c DSGVO. Die Umsatzsteuer-Identifikationsnummer verarbeiten wir zur steuerlich korrekten Rechnungsstellung (Art. 6 Abs. 1 lit. c DSGVO).

Bei ausbleibender Zahlung versenden wir automatisch Zahlungserinnerungen und Mahnungen und sperren die betroffenen Leistungen vorübergehend, bis die Zahlung eingegangen ist. Das dient der Durchführung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO).

Ohne die erforderlichen Angaben können wir keinen Vertrag schließen (siehe Abschnitt 21).

7. Zahlung über Stripe und PayPal

Zahlungen wickeln wir über die Zahlungsdienstleister Stripe und PayPal ab. In der Kasse können Sie mit Kreditkarte oder per SEPA-Lastschrift (über Stripe) oder mit PayPal (direkt über PayPal) zahlen. Anbieter von Stripe für Kunden im Europäischen Wirtschaftsraum ist Stripe Payments Europe, Limited, One Wilton Park, Wilton Place, Dublin 2, D02 FX04, Irland. Je nach Dienst können daneben Stripe Technology Company, Limited und Stripe Technology Europe, Limited (beide Dublin, Irland) sowie als Konzernmutter Stripe, LLC (USA) beteiligt sein.

Welche Daten Stripe erhält. Wenn Sie mit Kreditkarte oder per SEPA-Lastschrift zahlen, übermitteln wir Stripe die für die Zahlung erforderlichen Daten, insbesondere Rechnungsbetrag, Rechnungsnummer und Angaben zu Ihrer Person aus dem Kundenkonto (z. B. Name und E-Mail-Adresse). Ihre Kartennummer bzw. IBAN geben Sie direkt in ein Zahlungsfeld ein, das Stripe in unsere Seite einbindet. Diese Zahlungsdaten gehen an Stripe; wir speichern sie nicht. In unserem Kundenportal bleibt nur ein Verweis (Token) auf das Zahlungsmittel gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Gespeichertes Zahlungsmittel für Verlängerungen bei Stripe. Mit der Angabe Ihrer Kartendaten bzw. Ihrer IBAN erklären Sie sich einverstanden, dass wir Ihr Zahlungsmittel für zukünftige Zahlungen belasten. Fällige Verlängerungen und weitere Rechnungen aus Ihrem Vertrag buchen wir dann automatisch über das bei Stripe gespeicherte Zahlungsmittel ab. Den Verweis darauf speichern wir für die Dauer der Geschäftsbeziehung (siehe Abschnitt 20). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Laden von Stripe beim Aufruf von Warenkorb, Domainsuche und Kasse. Sobald Sie den Warenkorb, die Domainsuche im Bestellbereich oder die Kasse aufrufen, lädt Ihr Browser die Zahlungsfunktion von Stripe (Stripe.js). Das geschieht schon vor Ihrer Wahl der Zahlungsart, damit die Zahlungsarten angeboten werden können und Stripe Zahlungen gegen Betrug und Missbrauch absichern kann. Dabei verbindet sich Ihr Browser mit Servern von Stripe (js.stripe.com, m.stripe.network und m.stripe.com, in der Kasse zusätzlich r.stripe.com, api.stripe.com, merchant-ui-api.stripe.com und b.stripecdn.com). Außerdem kann ein unsichtbarer hCaptcha-Rahmen geladen werden, den js.stripe.com ausliefert und der Stripe zusätzliche Risikosignale zur Betrugserkennung liefert.

Dabei legt Stripe diese Cookies in Ihrem Browser an: __stripe_mid (auf www.hessen-server.de, Laufzeit 365 Tage), __stripe_sid (auf www.hessen-server.de, Sitzungsdauer bzw. kurze Laufzeit) und m (auf m.stripe.com, Laufzeit 400 Tage). Stripe erfasst außerdem Geräte- und Aktivitätsmerkmale, etwa Eigenschaften von Browser, Bildschirm und Gerät, Mausaktivität und die Verweildauer auf Seiten, und übermittelt sie regelmäßig an m.stripe.com. Nach Angaben von Stripe dienen diese Daten nur der Betrugserkennung und Sicherheit, werden nicht für Werbung genutzt oder weitergegeben, und die Aktivitätsmerkmale werden nicht über verschiedene Einkaufssitzungen, Websites oder Apps hinweg verknüpft.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO; unser berechtigtes Interesse liegt in einer sicheren und reibungslosen Zahlungsabwicklung und im Schutz vor Zahlungsbetrug. Den Zugriff auf Ihr Endgerät halten wir nach § 25 Abs. 2 Nr. 2 TDDDG für unbedingt erforderlich, damit wir die von Ihnen gewünschte Bestellung samt Zahlung sicher bereitstellen können. Sie können der Verarbeitung nach Art. 21 DSGVO widersprechen (siehe Abschnitt 24).

Rollen von Stripe. Stripe verarbeitet Daten teils in unserem Auftrag als Auftragsverarbeiter, nämlich zum Betrieb der Zahlungsplattform und zur Bereitstellung der Dienste. Teils verarbeitet Stripe Daten als eigener Verantwortlicher, etwa zur Auswahl von Banken und Zahlungsanbietern, zur Betrugsprävention, zur Erfüllung rechtlicher Pflichten (z. B. Prüfungen zur Geldwäscheverhinderung) sowie zur Analyse und Weiterentwicklung seiner Produkte. Bei regulierten Zahlungsdiensten können mehrere Stripe-Gesellschaften gemeinsam verantwortlich sein. Für die Verarbeitung als eigener Verantwortlicher gilt die Datenschutzerklärung von Stripe (abrufbar auf stripe.com unter "Datenschutz"); den Datenschutzbeauftragten von Stripe erreichen Sie unter dpo@stripe.com, zuständige Aufsichtsbehörde für Stripe ist nach dessen Angaben die irische Datenschutzkommission. Stripe kann Daten an Gesellschaften in den USA und weltweit übermitteln (siehe Abschnitt 19). Zum Betrugsschutz von Stripe siehe Abschnitt 8.

Zahlung mit PayPal. Wenn Sie PayPal wählen, zahlen Sie direkt über PayPal; Stripe ist an dieser Zahlung nicht beteiligt. Wir sind dafür mit einem eigenen PayPal-Geschäftskonto an PayPal angebunden, und die Zahlung wird dem PayPal-Guthaben dieses Kontos gutgeschrieben. Wir übermitteln PayPal die für die Zahlung erforderlichen Daten, insbesondere den Rechnungsbetrag und Angaben zur Rechnung. Die Anmeldung bei PayPal und die Freigabe der Zahlung erfolgen bei PayPal. Anbieter für Kunden in der EU ist PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Gespeichertes PayPal-Zahlungsmittel für Verlängerungen. Damit wir fällige Verlängerungen und weitere Rechnungen aus Ihrem Vertrag über PayPal einziehen können, kann Ihr PayPal-Zahlungsmittel bei PayPal gespeichert werden (PayPal Vault). Nach der Dokumentation des von uns eingesetzten WHMCS-Moduls versucht PayPal, das Zahlungsmittel bei einer Zahlung mit PayPal automatisch zu speichern. Eingezogen wird nur, soweit Sie PayPal gegenüber die dafür nötige Freigabe (Abbuchungsvereinbarung) erteilt haben; diese können Sie nach den Nutzungsbedingungen von PayPal jederzeit in Ihrem PayPal-Konto oder durch Kontakt mit PayPal kündigen. In unserem Kundenportal legen wir nur verschlüsselte Verweisdaten zu diesem Zahlungsmittel ab, und zwar für die Dauer der Geschäftsbeziehung (siehe Abschnitt 20). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Laden von PayPal beim Aufruf der Kasse. Sobald Sie die Kasse aufrufen, lädt Ihr Browser die Zahlungsfunktion von PayPal. Das geschieht schon vor Ihrer Wahl der Zahlungsart, damit PayPal in der Kasse angeboten werden kann. Dabei verbindet sich Ihr Browser mit Servern von PayPal (www.paypal.com), und PayPal legt Daten im lokalen Speicher Ihres Browsers ab (__paypal_storage__). Nach unseren Feststellungen setzt PayPal beim bloßen Aufruf der Kasse keine Cookies. Wenn Sie PayPal nutzen, kann PayPal nach eigenen Angaben Cookies und ähnliche Technologien einsetzen, um unter anderem Geräteinformationen und Informationen zur Internetaktivität zu erfassen, etwa um Risiken zu mindern und Betrug zu verhindern; Einzelheiten stehen in der Erklärung zu Cookies und Tracking-Technologien von PayPal (abrufbar auf paypal.com). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO; unser berechtigtes Interesse liegt in einer sicheren und reibungslosen Zahlungsabwicklung. Den Zugriff auf Ihr Endgerät halten wir nach § 25 Abs. 2 Nr. 2 TDDDG für unbedingt erforderlich, damit wir die von Ihnen gewünschte Bestellung samt Zahlung bereitstellen können. Sie können der Verarbeitung nach Art. 21 DSGVO widersprechen (siehe Abschnitt 24).

Rolle von PayPal. PayPal verarbeitet Ihre Daten als eigener Verantwortlicher nach den Datenschutzbestimmungen von PayPal (abrufbar auf paypal.com unter "Datenschutz"). Wir und PayPal sind jeweils unabhängig voneinander Verantwortliche, nicht gemeinsam Verantwortliche. PayPal kann Daten an Konzerngesellschaften und Partnerunternehmen auch in Drittländern übermitteln (siehe Abschnitt 19). Zum Betrugsschutz bei PayPal siehe Abschnitt 8.

Verbindung zu Google beim Aufruf der Kasse. Google Pay bieten wir nicht an. Es ist in unserem Stripe-Konto ausgeschaltet und erscheint in der Kasse nicht als Zahlungsart. Trotzdem lädt das Zahlungsfeld von Stripe beim Aufruf der Kasse einen Rahmen, der die Google-Pay-Funktion von Google nachlädt. Ihr Browser verbindet sich dabei mit Servern von Google (pay.google.com und play.google.com), und mindestens die üblichen Verbindungsdaten wie Ihre IP-Adresse und Browserangaben gehen an Google. Das geschah bei unseren Messungen, ohne dass eine Wallet angeboten wurde; Cookies von Google haben wir dabei nicht festgestellt. Nach den Angaben von Stripe erkennt Stripe.js anhand des Zustands Ihres Geräts und Browsers, welche Wallets nutzbar sind. Warum der Google-Rahmen auch bei ausgeschaltetem Google Pay geladen wird, beschreibt Stripe nicht; welche Daten Google im Einzelnen verarbeitet und zu welchen Zwecken, können wir deshalb nicht abschließend angeben. In den Bedingungen für die Google Pay API bezeichnet Google sich und den jeweiligen Händler als unabhängige Verantwortliche; für diese Verbindung gehen wir deshalb davon aus, dass Google die Daten nicht in unserem Auftrag verarbeitet. Es gelten die Datenschutzhinweise von Google. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einer reibungslosen und sicheren Zahlungsabwicklung mit dem Zahlungsfeld von Stripe, das wir in der Kasse einsetzen. Soweit dabei auf Informationen in Ihrem Endgerät zugegriffen wird, halten wir dies nach § 25 Abs. 2 Nr. 2 TDDDG für unbedingt erforderlich, damit wir die von Ihnen gewünschte Bestellung samt Zahlung bereitstellen können. Sie können der Verarbeitung nach Art. 21 DSGVO widersprechen (siehe Abschnitt 24).

8. Betrugsschutz bei Bestellungen

Bei einer Bestellung protokollieren wir Ihre IP-Adresse zusammen mit Datum und Uhrzeit. Wir tun das, um Betrug und Missbrauch (z. B. Bestellungen mit gestohlenen Zahlungsdaten) zu erkennen und aufzuklären und um eigene Rechtsansprüche durchzusetzen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Vermeidung von Zahlungsausfällen und Missbrauch. Die IP-Adresse wird als Teil der Bestelldaten behandelt und so lange gespeichert wie Ihre übrigen Kundendaten (siehe Abschnitt 20).

Stripe Radar. Zahlungen über Stripe, also mit Kreditkarte und SEPA-Lastschrift, prüft Stripe automatisiert mit seinem Betrugsschutz Radar (Plan "Radar Standard"). Radar bewertet nach Angaben von Stripe mit Verfahren des maschinellen Lernens in Echtzeit das Betrugsrisiko einer Zahlung und blockiert Zahlungen mit hohem Risiko. Dazu wertet Stripe Zahlungsdaten sowie die Geräte- und Aktivitätsmerkmale aus, die Stripe.js in Ihrem Browser erfasst (Abschnitt 7). Die Risikomodelle trainiert Stripe mit Daten aus seinem gesamten Netzwerk, und Stripe kann Daten zu Zahlungsversuchen an Unternehmen und Finanzpartner weitergeben, die Betrugspräventionsdienste von Stripe nutzen. Stripe verarbeitet die Daten hierfür als eigener Verantwortlicher (siehe Abschnitt 7). Rechtsgrundlage auf unserer Seite ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im Schutz vor Zahlungsbetrug, Kartentests und Zahlungsausfällen. Zu den Folgen einer Ablehnung siehe Abschnitt 22.

Betrugsschutz bei PayPal. Zahlungen mit PayPal laufen nicht über Stripe und werden daher nicht von Stripe Radar geprüft. PayPal prüft sie nach eigenen Angaben selbst auf Risiken und Betrug, auch mit automatisierter Entscheidungsfindung, und verarbeitet die Daten hierfür als eigener Verantwortlicher (siehe Abschnitte 7 und 22).

9. Domainregistrierung

Wenn Sie über uns eine Domain registrieren, übertragen oder verwalten, leiten wir die dafür erforderlichen Daten (Name bzw. Firma, Anschrift, E-Mail-Adresse, Telefonnummer, Domainname, ggf. Nachweise zur Berechtigung) an unseren Registrar weiter. Das ist Hosting Concepts B.V. (Openprovider) in den Niederlanden. Der Registrar übermittelt die Daten an die jeweilige Registrierungsstelle (z. B. DENIC eG für .de-Domains oder die Registry der jeweiligen Endung), die sie zur Registrierung und Verwaltung der Domain benötigt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Registrierungsstellen und Registrar sind für ihre eigene Verarbeitung teilweise selbst verantwortlich. Sie speichern Registrierungsdaten nach den Vorgaben der jeweiligen Registry und der ICANN teilweise auch nach Ablauf oder Löschung der Domain für einen bestimmten Zeitraum (siehe Abschnitt 20). Einzelne Registrierungsstellen sitzen außerhalb des EWR (siehe Abschnitt 19).

Eine Veröffentlichung von Inhaberdaten im öffentlichen Domainverzeichnis (WHOIS bzw. RDAP) erfolgt, soweit die jeweilige Registry dies vorsieht, nur mit Ihrer Einwilligung. Bei generischen Endungen holen wir dafür im Bestellvorgang ein Zustimmungsfeld ein; ohne Ihre Zustimmung werden Ihre personenbezogenen Daten nicht veröffentlicht. Rechtsgrundlage ist insoweit Art. 6 Abs. 1 lit. a DSGVO. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (siehe Abschnitt 24).

10. Kontaktaufnahme und Supporttickets

Wenn Sie uns per E-Mail, Kontaktformular oder über das Ticketsystem im Kundenportal kontaktieren, verarbeiten wir Ihre Angaben (Name, E-Mail-Adresse, ggf. Kundennummer, Inhalt Ihrer Nachricht und mitgesandte Dateien sowie Zeitpunkt), um Ihre Anfrage zu bearbeiten und mögliche Anschlussfragen zu klären. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn Ihre Anfrage mit einem Vertrag oder dessen Anbahnung zusammenhängt, sonst Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen).

Tickets und Anhänge speichern wir für die Dauer der Geschäftsbeziehung und danach, soweit gesetzliche Aufbewahrungsfristen es verlangen oder wir sie zur Abwehr oder Durchsetzung von Ansprüchen benötigen (siehe Abschnitt 20).

11. Kündigungs- und Widerrufsformular

Auf unserer Website bieten wir öffentliche Formulare an, mit denen Sie einen Vertrag kündigen oder widerrufen können. Die dort eingegebenen Daten (insbesondere Name, E-Mail-Adresse, Bezeichnung des Vertrags und Ihre Erklärung) verarbeiten wir, um Ihre Kündigung bzw. Ihren Widerruf zu bearbeiten und um den Eingang und Inhalt Ihrer Erklärung nachweisen zu können. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO. Die Speicherdauer entspricht der Ihrer Kundendaten (siehe Abschnitt 20).

12. E-Mail-Versand

Systemnachrichten (z. B. Bestellbestätigung, Rechnung, Zahlungserinnerung, Passwort-Zurücksetzung, Ticketbenachrichtigungen) versenden wir über einen von uns selbst betriebenen Mailserver (Postfix, mit Spamfilter Rspamd). Die Verarbeitung dient der Vertragsabwicklung (Art. 6 Abs. 1 lit. b DSGVO) und der Sicherheit des Mailverkehrs (Art. 6 Abs. 1 lit. f DSGVO). Dabei werden Absender, Empfänger, Zeitpunkt und technische Verbindungsdaten protokolliert (Speicherdauer siehe Abschnitt 4); eingehende Nachrichten werden automatisiert auf Spam und Schadsoftware geprüft.

13. Newsletter

Wenn Sie bei der Registrierung oder in der Kasse den entsprechenden Haken setzen, senden wir Ihnen Informationen zu unseren Angeboten per E-Mail. Dafür verarbeiten wir Ihre E-Mail-Adresse und Ihren Namen. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Ohne Haken senden wir Ihnen keinen Newsletter.

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen und den Newsletter abbestellen, etwa in Ihrem Kundenkonto oder per E-Mail an info@hessen-server.de. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt. Vertragsbezogene Systemnachrichten (Abschnitt 12) sind davon nicht betroffen.

14. Schutz vor Missbrauch mit Google reCAPTCHA

Auf einzelnen Formularen unserer Website setzen wir den Dienst reCAPTCHA von Google ein, derzeit bei der Domainsuche, im Kontaktformular, bei der Registrierung, bei der Eröffnung eines Tickets und nach mehreren Versuchen beim Zurücksetzen des Passworts. Angemeldete Kunden sehen es nicht. Er soll automatisierte Zugriffe und Missbrauch (Spam, Bots, Angriffe auf Registrierung und Formulare) erkennen.

Anbieter ist Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA, für Nutzer im EWR Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.

reCAPTCHA prüft im Hintergrund, ob ein Zugriff von einem Menschen oder von einem automatischen Programm kommt. Dazu lädt Ihr Browser beim Aufruf einer Seite mit reCAPTCHA Inhalte von Servern von Google (google.com, gstatic.com, ggf. csp.withgoogle.com), und Google legt in Ihrem Browser das Cookie _GRECAPTCHA (Domain google.com, Laufzeit 180 Tage) ab. An Google werden dabei Daten übertragen und ausgewertet, etwa Ihre IP-Adresse, Browser- und Geräteinformationen und Angaben zur Nutzung der Seite. Google legt nicht abschließend offen, welche Daten im Einzelnen einfließen.

Nach Angaben von Google verarbeitet Google diese Daten seit dem 2. April 2026 ausschließlich in unserem Auftrag als Auftragsverarbeiter auf Grundlage des Google Cloud Data Processing Addendum und nur zur Bereitstellung und Absicherung des Dienstes, nicht für eigene Zwecke. Verantwortlicher im Sinne der DSGVO sind wir.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im Schutz unserer Formulare und Systeme vor automatisiertem Missbrauch und in der Aufrechterhaltung eines sicheren Betriebs. Soweit dabei auf Informationen in Ihrem Endgerät zugegriffen wird, halten wir dies nach § 25 Abs. 2 Nr. 2 TDDDG für unbedingt erforderlich, damit wir die von Ihnen angeforderten Formularfunktionen sicher bereitstellen können. Sie können der Verarbeitung nach Art. 21 DSGVO widersprechen (siehe Abschnitt 24); wenn Sie das tun, erreichen Sie uns für Anfragen und Bestellungen stattdessen per E-Mail an info@hessen-server.de.

Bei der Nutzung von reCAPTCHA können Daten in die USA gelangen. Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert (siehe Abschnitt 19). Weitere Informationen finden Sie in den Datenschutzhinweisen von Google.

15. Schriftarten

Die auf unserer Website verwendeten Schriftarten sind lokal auf unserem Server eingebunden. Beim Seitenaufruf wird dafür keine Verbindung zu Servern von Google oder anderen Schriftenanbietern aufgebaut. Eine Ausnahme sind Seiten mit Google reCAPTCHA: Dort lädt das reCAPTCHA-Element eigene Schriften von Google (fonts.gstatic.com), siehe Abschnitt 14.

16. Datensicherungen

Wir sichern unsere Systeme und Daten regelmäßig, um sie nach Störungen oder Ausfällen wiederherstellen zu können. Die Sicherungen werden verschlüsselt auf einem Speicherdienst (Storage Box) der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, in Deutschland abgelegt. Hetzner verarbeitet die Daten in unserem Auftrag. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Betriebssicherheit und Wiederherstellbarkeit) sowie unsere Pflichten nach Art. 32 DSGVO.

Sicherungen bewahren wir höchstens 12 Monate auf und löschen sie danach automatisch. Bis dahin können Daten, die Sie zwischenzeitlich bei uns löschen lassen, noch in Sicherungen vorhanden sein.

17. Daten auf Kundenwebsites (Hosting-Kunden)

Wenn Sie bei uns Webhosting, E-Mail-Postfächer oder ähnliche Leistungen buchen und dort Daten Dritter verarbeiten (z. B. Besucher Ihrer Website, Kunden Ihres Unternehmens), sind Sie dafür selbst verantwortlich. Wir verarbeiten diese Daten dann als Auftragsverarbeiter nach Art. 28 DSGVO in Ihrem Auftrag. Die Einzelheiten regeln wir in einem gesonderten Auftragsverarbeitungsvertrag. Diese Datenschutzerklärung betrifft diese Daten nicht.

18. Empfänger Ihrer Daten

Wir geben Ihre Daten nur weiter, soweit dies für die genannten Zwecke erforderlich ist, eine gesetzliche Pflicht besteht oder Sie eingewilligt haben. Empfänger können sein:

• IONOS SE als Rechenzentrumsdienstleister (Auftragsverarbeiter),
• Hetzner Online GmbH für Sicherungen (Auftragsverarbeiter),
• Stripe Payments Europe, Limited (Irland) mit weiteren Stripe-Gesellschaften als Zahlungsdienstleister für Kreditkarte und SEPA-Lastschrift (je nach Zweck Auftragsverarbeiter und eigener Verantwortlicher, siehe Abschnitt 7),
• PayPal (Europe) S.à r.l. et Cie, S.C.A. als Zahlungsdienstleister für PayPal-Zahlungen, schon beim Aufruf der Kasse und nicht erst, wenn Sie PayPal wählen (eigener Verantwortlicher, siehe Abschnitt 7),
• Google, schon beim Aufruf der Kasse durch das Zahlungsfeld von Stripe (nach unserer Einschätzung eigener Verantwortlicher, siehe Abschnitt 7),
• Hosting Concepts B.V. (Openprovider) und die jeweiligen Registrierungsstellen bei Domainaufträgen,
• Google für reCAPTCHA (Auftragsverarbeiter, siehe Abschnitt 14),
• Steuerberater, Buchhaltung und Banken, soweit wir diese für Buchführung und Zahlungsabwicklung einsetzen,
• Behörden und Gerichte, soweit wir gesetzlich dazu verpflichtet sind.

Mit unseren Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO.

19. Übermittlung in Drittländer

Wir verarbeiten Ihre Daten grundsätzlich in Deutschland und im Europäischen Wirtschaftsraum. Eine Übermittlung in Länder außerhalb des EWR (Drittländer) findet nur in folgenden Fällen statt:

• Google reCAPTCHA (USA): Die Übermittlung stützt sich auf den Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795 vom 10. Juli 2023). Google LLC hat sich nach eigener Angabe nach diesem Rahmenwerk zertifiziert. Der Beschluss erlaubt Übermittlungen an zertifizierte US-Unternehmen ohne weitere Garantien. Sollte er aufgehoben werden, prüfen wir die Übermittlung neu.
• Stripe (USA und weltweit): Stripe überträgt Daten an die Stripe, LLC in den USA und kann sie weltweit an verbundene Unternehmen und Unterauftragnehmer übermitteln. Nach Angaben von Stripe stützt sich die Übermittlung an Stripe, LLC vorrangig auf deren Zertifizierung nach dem EU-US Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795) und hilfsweise, falls die Zertifizierung endet oder der Beschluss aufgehoben wird, auf die EU-Standardvertragsklauseln der Europäischen Kommission. Wir prüfen die Übermittlung neu, sollte der Beschluss aufgehoben werden.
• PayPal: PayPal (Europe) S.à r.l. et Cie, S.C.A. hat ihren Sitz in Luxemburg. Soweit PayPal Daten von Personen in der EU an Konzerngesellschaften und Partnerunternehmen in Drittländern übermittelt, geschieht dies in der Verantwortung von PayPal, nach dessen Angaben auf Grundlage von den zuständigen Aufsichtsbehörden genehmigter verbindlicher interner Datenschutzvorschriften (Binding Corporate Rules). Für andere Übermittlungen in Drittländer nennt PayPal unter anderem Angemessenheitsbeschlüsse und Standardvertragsklauseln der Europäischen Kommission. Das kann schon gelten, wenn Ihr Browser beim Aufruf der Kasse PayPal lädt.
• Google (Verbindung beim Aufruf der Kasse, USA): Wenn Ihr Browser beim Aufruf der Kasse den Google-Rahmen im Zahlungsfeld von Stripe lädt (Abschnitt 7), können Daten an Google in den USA gelangen. Für Google LLC gilt die Zertifizierung nach dem EU-US Data Privacy Framework wie oben bei reCAPTCHA beschrieben. Zu weiteren Gesellschaften der Google-Gruppe, an die Daten bei dieser Verbindung gehen können, liegen uns keine Angaben von Google vor; es gelten die Datenschutzhinweise von Google.
• Domainregistrierung: Je nach Endung liegt die Registrierungsstelle außerhalb des EWR (siehe Abschnitt 9). Die Übermittlung ist zur Vertragserfüllung erforderlich (Art. 49 Abs. 1 lit. b DSGVO) bzw. durch geeignete Garantien abgesichert. Openprovider nennt als Garantien Standardvertragsklauseln und, wo anwendbar, das Data Privacy Framework.

Eine Kopie der jeweiligen Garantien erhalten Sie auf Anfrage unter den Kontaktdaten in Abschnitt 1.

20. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Pflichten es verlangen.

• Kundendaten, Bestell-IP-Adresse und Supporttickets: für die Dauer der Geschäftsbeziehung und danach bis zum Ablauf der gesetzlichen Aufbewahrungsfristen. Danach löschen wir sie.
• Rechnungen und Buchungsbelege: acht Jahre (§ 147 Abs. 3 AO, § 257 Abs. 4 HGB). Empfangene und abgesandte Handels- und Geschäftsbriefe: sechs Jahre. Bücher, Jahresabschlüsse und Inventare: zehn Jahre. Die Fristen beginnen jeweils mit dem Ende des Kalenderjahres, in dem das Dokument entstanden ist bzw. der Brief gesendet oder empfangen wurde. Sie enden nicht, solange die Unterlagen für laufende Steuerfestsetzungen von Bedeutung sind.
• Kündigungs- und Widerrufserklärungen: wie Kundendaten.
• Domainregistrierung: Registrar und Registrierungsstellen speichern Registrierungsdaten nach den ICANN- und Registry-Vorgaben teilweise für mindestens zwei Jahre über das Ende der Domain hinaus (nach Angaben von Openprovider).
• Server-Logdateien: 14 Tage (Webserver), rund vier Wochen (System- und Mail-Protokolle), bis zu acht Wochen (Anwendungsprotokolle), siehe Abschnitt 4.
• Sicherungen: höchstens 12 Monate, siehe Abschnitt 16.
• Newsletter: bis zu Ihrem Widerruf.

21. Pflicht zur Bereitstellung

Sie müssen uns nur die Daten bereitstellen, die für den Vertragsschluss und die Vertragsdurchführung erforderlich sind oder zu deren Erhebung wir gesetzlich verpflichtet sind. Das sind insbesondere Name, Anschrift und E-Mail-Adresse, bei Domains zusätzlich die Inhaberdaten, bei Zahlungen die Zahlungsdaten. Ohne diese Daten können wir den Vertrag nicht schließen oder durchführen. Einwilligungen (z. B. Newsletter, Veröffentlichung von Domaindaten) sind freiwillig.

22. Keine automatisierte Entscheidungsfindung durch uns

Wir selbst treffen keine ausschließlich automatisierte Entscheidung im Einzelfall einschließlich Profiling nach Art. 22 DSGVO, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie erheblich beeinträchtigt. Die in Abschnitt 6 beschriebenen Zahlungserinnerungen, Mahnungen und vorübergehenden Sperrungen laufen nach festen Fristen ab; eine Bewertung Ihrer Person erfolgt dabei nicht.

Bei Zahlungen über Stripe gilt eine Besonderheit: Stripe bewertet jede Zahlung automatisiert mit dem Betrugsschutz Radar und blockiert Zahlungen mit hohem Risiko (Abschnitt 8). Diese Bewertung erfolgt nach Kriterien von Stripe und beruht auf der Auswertung personenbezogener Daten; wir können sie im Einzelfall nicht einsehen oder ändern. Ob eine solche Ablehnung im Einzelfall als Entscheidung nach Art. 22 DSGVO einzuordnen ist, ist rechtlich nicht abschließend geklärt. Wird Ihre Zahlung abgelehnt, können Sie eine andere Zahlungsart wählen oder sich an uns unter den Kontaktdaten in Abschnitt 1 wenden; wir klären den Fall dann persönlich mit Ihnen. Ihre Rechte gegenüber Stripe können Sie über den Datenschutzbeauftragten von Stripe (dpo@stripe.com) geltend machen.

Bei Zahlungen mit PayPal gilt Entsprechendes: PayPal nutzt nach eigenen Angaben automatisierte Entscheidungsfindung unter anderem zu Risiken und Betrug und entscheidet dabei als eigener Verantwortlicher. Wir können diese Bewertung im Einzelfall nicht einsehen oder ändern. Wird Ihre Zahlung abgelehnt, gilt das zu Stripe Gesagte: Sie können eine andere Zahlungsart wählen oder sich an uns wenden. Ihre Rechte gegenüber PayPal können Sie nach den Datenschutzbestimmungen von PayPal bei PayPal geltend machen.

23. Ihre Rechte

Sie haben nach der DSGVO folgende Rechte gegenüber uns:

• Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung Ihrer Daten, soweit keine Aufbewahrungspflichten entgegenstehen (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit, also Erhalt der von Ihnen bereitgestellten Daten in einem strukturierten, gängigen und maschinenlesbaren Format (Art. 20 DSGVO),
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO, siehe Abschnitt 24),
• Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO, siehe Abschnitt 24).

Zur Ausübung Ihrer Rechte genügt eine Nachricht an die Kontaktdaten in Abschnitt 1. Um Ihre Anfrage zu bearbeiten, müssen wir uns ggf. von Ihrer Identität überzeugen.

24. Widerspruchsrecht und Widerruf von Einwilligungen

Widerspruchsrecht nach Art. 21 DSGVO: Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit der Verarbeitung Ihrer personenbezogenen Daten zu widersprechen, die auf Art. 6 Abs. 1 lit. f DSGVO beruht. Wir verarbeiten Ihre Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Werben wir Sie direkt an (Direktwerbung), können Sie dem jederzeit ohne Angabe von Gründen widersprechen.

Widerruf von Einwilligungen: Eine einmal erteilte Einwilligung (z. B. Newsletter, Veröffentlichung von Domaindaten) können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Der Widerruf ist an die Kontaktdaten in Abschnitt 1 oder, soweit vorgesehen, über die genannten Funktionen möglich.

25. Beschwerderecht bei einer Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen Datenschutzrecht verstößt. Für uns zuständig ist:

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI)
Postfach 31 63
65021 Wiesbaden
Telefon: 0611 1408-0
E-Mail: poststelle@datenschutz.hessen.de
Beschwerdeformular: https://datenschutz.hessen.de/service/beschwerde-uebermitteln

(Dienstsitz: Wilhelmstraße 7, 65185 Wiesbaden.)

Sie können sich auch an die Aufsichtsbehörde an Ihrem Wohnort wenden.

26. Änderungen dieser Datenschutzerklärung

Wir passen diese Erklärung an, wenn sich unsere Angebote, die eingesetzten Dienste oder die Rechtslage ändern. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.

Stand: 22.10.2026