Datenschutzhinweise für die iDeployed-Anwendung

Fassung: 2026-10-24.v2

1. Verantwortlicher und Abgrenzung

Verantwortlicher für die hier beschriebene eigene Verarbeitung ist die ideployed UG (haftungsbeschränkt), Torgauer Straße 231–233, 04347 Leipzig, Deutschland, vertreten durch Geschäftsführer Hamid Wakili. Den Datenschutzkontakt erreichen Sie unter [email protected], telefonisch unter +49 172 6282363 oder postalisch unter dieser Anschrift. Support und technische Sicherheitsmeldungen: [email protected]. Der Datenschutzkontakt ist kein als solcher benannter Datenschutzbeauftragter.

Diese Hinweise gelten für Plattformkonten, das Dashboard, Bereitstellungen und den Betrieb der Plattform. Sie ergänzen die gesonderten Datenschutzhinweise der Marketing-Website. Wenn Kunden personenbezogene Daten in eigenen Anwendungen verarbeiten, bestimmen sie grundsätzlich deren Zwecke. Soweit wir Auftragsverarbeiter sind, verarbeiten wir diese Daten nach ihren Weisungen und der AVV. Nutzer einer gehosteten Anwendung wenden sich für deren Verarbeitung zunächst an ihren Betreiber. Unsere Kontoverwaltung, Missbrauchsabwehr und gesetzlichen Pflichten sind davon zu unterscheiden.

2. Datenquellen und Datenarten

Wir erhalten Angaben von Ihnen, aus Ihrer Nutzung und aus von Ihnen autorisierten Diensten. Dazu gehören:

• E-Mail-Adresse, optionaler Anzeigename, Konto- und Organisationszuordnung, Bestätigungs- und Vertragsnachweise, ausgewählter Tarif sowie freiwillige Einwilligungen;
• Passwort-Hash, Sitzungs- und Verifikationsdaten, gegebenenfalls Mehrfaktor-Authentifizierung und Wiederherstellungscodes; Passwörter werden nicht als Klartext-Passwörter gespeichert;
• Projekt-, App-, Build- und Bereitstellungskennungen, Ressourcenanforderungen, Kapazitätsreservierungen, Domains, Image- und Versionsangaben, Status und technische Fehlermeldungen;
• bei GitHub-Verbindungen freigegebene Repository- und Installationsangaben, Commit-Informationen, Webhooks und für Builds erforderlicher Quellcode;
• Kommunikationsdaten bei Support- und Sicherheitsanfragen sowie technische Verbindungsdaten, etwa IP-Adresse, Browserinformationen und Zeitpunkte, soweit sie an den jeweiligen Netzwerk-, Sicherheits- oder Anwendungsschichten anfallen;
• Anwendungs- und Build-Logs, Messwerte und gespeicherte Fehlerprotokollauszüge. Deren Inhalt hängt auch von Ihrer Anwendung ab und kann personenbezogene Daten enthalten.

Eingegebene Geheimnisse dürfen nicht absichtlich in Logs oder öffentliche Supportmeldungen geschrieben werden. Eine technische Begrenzung einzelner Protokollfelder beseitigt nicht jedes Risiko, dass Kundensoftware personenbezogene Daten protokolliert.

3. Zwecke und Rechtsgrundlagen

Auftragsverarbeitung von Kundendaten richtet sich nach der AVV und der Rechtsgrundlage des Kunden; wir verwenden hierfür nicht pauschal ein eigenes berechtigtes Interesse.

4. Cookies, Gerätespeicher und Turnstile

Für die Anmeldung wird ein Sitzungscookie verwendet. Im Browser werden außerdem Einstellungen und laufende Erstellungsversuche gespeichert, um doppelte Ressourcen nach verlorenen Antworten zu vermeiden, Daten zur sicheren exakten Wiederherstellung einer Online-Widerrufserklärung sowie ein nicht geheimer Hinweis auf einen abgelaufenen ungeklärten Widerrufsversuch, damit nicht unbemerkt mit einem neuen Schlüssel gesendet wird. Die bloße Auswahl eines Tarifs ist kein Zahlungsvorgang. Die Plattform verwendet folgende eigene Speichereinträge:

Der Stern steht für Konto-/Projekt-/Release-Kennungen. Browserdaten können über die Browserfunktionen entfernt werden. Ist eine Erstellung unklar, prüfen Sie zunächst vorhandene Ressourcen oder kontaktieren Sie den Support; durch Löschen gespeicherter Versuche und erneutes Absenden kann die zur Abklärung benötigte Referenz verloren gehen.

Technisch erforderlicher Zugriff auf Informationen im Endgerät erfolgt im Rahmen der gesetzlichen Ausnahme für ausdrücklich gewünschte Dienste; nicht erforderliche Zugriffe benötigen, soweit vorgeschrieben, vorherige Einwilligung. Die datenschutzrechtliche Grundlage der anschließenden Verarbeitung ist hiervon getrennt zu beurteilen.

Cloudflare Turnstile wird bei der Registrierung und – soweit die Funktion aktiviert ist – vor dem Anlegen eines neuen Empfangs für eine Online-Widerrufserklärung zur Erkennung automatisierten Missbrauchs eingesetzt. Das im Browser geladene Prüfmodul kommuniziert direkt mit Cloudflare. Nach Angaben von Cloudflare verarbeitet es insbesondere die IP-Adresse, den TLS-Fingerabdruck, den User-Agent, den Sitekey und die zugehörige Herkunft sowie weitere technische Browser-/Gerätesignale und erzeugt ein kurzlebiges Prüfungstoken, das nur einmal validiert werden kann. Von den Formulardaten übermittelt unser Server nur dieses Token zur Validierung an Cloudflares Siteverify-Schnittstelle; er sendet die IP-Adresse nicht zusätzlich als remoteip und in diesem Prüfschritt weder Name, Vertragskennung, Empfangs-E-Mail-Adresse noch aus einem Plattformkonto gelesene Angaben. Für die Widerrufsfunktion prüft der Server das zurückgemeldete Ergebnis lokal auf die Aktion withdrawal und einen zugelassenen Hostnamen. Diese Missbrauchsprüfung ist keine Identitäts-, Konto- oder Rechtswirksamkeitsprüfung; sie sucht kein Plattformkonto und ordnet die Erklärung keinem Konto zu. Das Token wird vor der Fingerabdruckbildung entfernt und nicht als Teil der Erklärung, des Empfangs oder der Browser-Wiederherstellung gespeichert. Nach einem unklaren Versuch kann für eine erneute Validierung ein frisches Token erforderlich sein; dabei bleiben derselbe private Anfrageschlüssel und dieselben Erklärungsangaben maßgeblich. Ist unter diesem Schlüssel bereits ein Empfang vorhanden, wird er ohne erneute Turnstile-Prüfung wiedergegeben. Cloudflare beschreibt für Turnstile sowohl Verarbeitung in unserem Auftrag als auch eigene Verantwortlichkeit für die Verbesserung der Bot-Erkennung. Einzelheiten stehen in Cloudflares Turnstile-Datenschutzhinweisen (öffnet in einem neuen Tab).

5. Empfänger und internationale Verarbeitung

Wir nutzen insbesondere folgende Dienste. Das Dienstleisterverzeichnis erläutert Zwecke, Rollen und verfügbare Anbieterinformationen:

• Scaleway: Rechenleistung, Datenbanken, Registry, Speicher sowie selbst betriebene Logs und Metriken; unsere primäre Infrastruktur befindet sich in Frankreich.
• Cloudflare: Proxy-, TLS- und Sicherheitsfunktionen für die Plattform und die über Cloudflare geleiteten Anwendungsadressen sowie Turnstile. Dabei können HTTP-Inhalte, Domains, IP-Adressen und Verbindungsdaten verarbeitet werden. Verarbeitung kann weltweit, einschließlich in den USA, stattfinden. Der Verkehrsweg eigener Kundendomains kann abweichen.
• Resend: Versand von Konto- und Sicherheits-E-Mails mit E-Mail-Adresse und Nachrichteninhalt. Laut Anbieter werden Daten in den USA gespeichert; eine europäische Versandregion ändert dies nicht.
• Zoho Mail: Empfang, Versand und Speicherung von Korrespondenz an unsere Kontaktpostfächer, insbesondere [email protected] und [email protected]. Dies umfasst Absender, Empfänger, Nachrichten, Anhänge und Verbindungsdaten. Wir nutzen die EU-Umgebung über mail.zoho.eu. Nach Zoho-Angaben ist die Speicherung in der EU von möglichen Supportzugriffen aus Indien zu unterscheiden; diese werden nicht durch die EU-Postfachadresse ausgeschlossen. Senden Sie nur für Ihren Vorgang erforderliche Daten und keine Passwörter oder vollständigen Kundendatenbanken per E-Mail.
• Slack: technische Fehlermeldungen mit Ereignis-, Ressourcen- und Supportreferenzen sowie Dashboardlinks. Das vorgesehene Ereignisformat enthält keine rohen Anwendungslogs, Passwörter, Umgebungsvariablen oder Registry-Zugangsdaten. Verknüpfbare Kennungen können trotzdem personenbezogen sein.
• Better Stack: Erreichbarkeitsüberwachung öffentlicher Plattform-Endpunkte und Betriebsbenachrichtigungen; keine allgemeine Sammlung von Kunden-Anwendungslogs.
• GitHub und ausgewählte Registries: Datenübermittlung im Rahmen der von Ihnen eingerichteten Verbindungen und Image-Abrufe; deren eigene Rollen und Datenschutzhinweise sind zusätzlich relevant.

Öffentliche Anwendungsadressen, Domains und Zertifikatsinformationen können öffentlich sichtbar sein. Behörden oder andere Empfänger erhalten Daten nur bei entsprechender rechtlicher Grundlage. Kostenpflichtiger Checkout und Live-Abrechnung sind deaktiviert; es werden in diesem Angebot keine Zahlungskartendaten für eine aktive Stripe-Abrechnung erhoben. Vor Einführung eines Zahlungsdienstes ergänzen wir die Informationen.

Europäisches Hosting bedeutet nicht, dass jede Verarbeitung im EWR bleibt. Für Übermittlungen außerhalb des EWR ist je nach Empfänger ein anwendbarer Angemessenheitsbeschluss oder eine andere zulässige Garantie erforderlich, insbesondere die EU-Standardvertragsklauseln mit gegebenenfalls ergänzenden Maßnahmen. Die verlinkten Anbieterunterlagen beschreiben die jeweils vorgesehenen Mechanismen; sie behaupten keine ausschließliche EU-Verarbeitung. Informationen zu den auf eine konkrete Übermittlung angewendeten Garantien und eine Kopie können Sie unter [email protected] anfordern.

6. Aufbewahrung und Löschung

Wir richten die Aufbewahrung nach dem jeweiligen Zweck, einer bestehenden vertraglichen Rückgabephase und gesetzlichen Pflichten aus. Ist eine genaue Dauer nicht im Voraus bestimmbar, sind insbesondere der Abschluss eines Support- oder Sicherheitsfalls, eine noch laufende Ressourcenabklärung und die Erforderlichkeit konkreter Rechtsnachweise maßgeblich. Eine bloße technische Speicherung begründet keine unbegrenzte Aufbewahrung.

Sie können unter [email protected] Auskunft über die für Ihre Daten maßgebliche Aufbewahrung sowie deren Löschung oder Einschränkung beantragen. Für erforderliche Ausnahmen sind der konkrete Zweck, die betroffenen Daten und die einschlägige Pflicht oder Anspruchsfrist maßgeblich.

Abgelaufene Sitzungen und kurzlebige Authentifizierungsdaten werden nach ihren jeweiligen Ablaufregeln periodisch bereinigt. Ausstehende Konto-E-Mail-Inhalte sind zeitlich begrenzt und verschlüsselt; abgeschlossene Inhalte werden entfernt und Metadaten abgeschlossener Konto-E-Mails nach sieben Tagen bereinigt. Dies bestimmt nicht automatisch die Speicherdauer beim E-Mail-Anbieter.

Für allgemeine Volumes gilt die 30-tägige, von iDeployed finanzierte Rückgabephase aus Abschnitt 6 der Nutzungsbedingungen. Sie beginnt am Tag nach dem wirksamen Ende der zugehörigen Speicherleistung, frühestens am Tag nach Zugang der Mitteilung über Fristbeginn und Löschtermin. Die Kündigungsankündigung oder das bloße Stoppen einer App beginnt diese Frist nicht. Längere gesetzliche Rückgabe- und Wechselfristen bleiben bestehen. Für die JTL-Aktion gelten die gesonderten Testbedingungen.

Nach Kontobeendigung werden Zugangsmittel entwertet und nicht mehr benötigte direkte Kontodaten entfernt. Innerhalb einer bestehenden Rückgabephase erfolgt der Abruf über [email protected] nach angemessener Berechtigungsprüfung; ein aktiver Kontozugang ist dafür nicht erforderlich. Ressourcenabhängigkeiten und erforderliche Nachweise werden zugeordnet, beschränkt und nur für einen konkreten zulässigen Zweck aufbewahrt. Kontobeendigung bedeutet nicht, dass alle Kopien sofort verschwinden. Sicherungskopien dürfen gelöschte Daten bei einer Wiederherstellung nicht dauerhaft wieder in die aktive Nutzung zurückführen; Löschvorgaben sind erneut anzuwenden. Technische Abhängigkeiten oder unbestimmte Schutzsperren rechtfertigen keine pauschale Ablehnung von Löschanträgen.

7. Sicherheit

Die Plattform verwendet Zugriffskontrollen, Passwort-Hashing, optionale Mehrfaktor-Authentifizierung, getrennte Ressourcen und Netzwerkregeln sowie verschlüsselte Speicherung ausgewählter Authentifizierungsgeheimnisse. Sicherheits-Auditdaten behandeln IP-/Browserangaben teilweise als Hashwerte; dies garantiert keine Anonymität. Schutzmaßnahmen werden dem Risiko entsprechend weiterentwickelt.

Diese Hinweise behaupten weder vollständige Ende-zu-Ende-Verschlüsselung noch eine bestätigte Verschlüsselung sämtlicher Disks und Backups, Zertifizierungen oder garantierte Wiederherstellungszeiten. Konkret vereinbarte Maßnahmen stehen in der AVV-Anlage.

8. Ihre Rechte und Beschwerde

Nach den gesetzlichen Voraussetzungen haben Sie Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Eine erteilte Einwilligung können Sie jederzeit für die Zukunft widerrufen; die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt. Wir können angemessene Angaben zur sicheren Identitätsprüfung verlangen, ohne unnötige Daten zu erheben. Kontakt: [email protected].

Ihr Widerspruchsrecht

Sie können jederzeit aus Gründen Ihrer besonderen Situation gegen die Verarbeitung Ihrer personenbezogenen Daten auf Grundlage von Art. 6 Abs. 1 lit. e oder f DSGVO Widerspruch einlegen; dies gilt auch für ein darauf gestütztes Profiling. Wir verarbeiten diese Daten dann nicht weiter, es sei denn, wir weisen zwingende schutzwürdige Gründe nach, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Gegen die Verarbeitung für Direktwerbung können Sie jederzeit ohne Angabe besonderer Gründe Widerspruch einlegen. Das gilt auch für damit verbundenes Profiling. Danach werden Ihre Daten nicht mehr für diese Zwecke verarbeitet. Der Widerspruch ist kostenfrei und kann insbesondere an [email protected] gerichtet werden.

Beschwerden und weitere Informationen

Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere an Ihrem Aufenthaltsort, Arbeitsplatz oder Ort des vermuteten Verstoßes. Für unseren Sitz in Sachsen erreichen Sie die Sächsische Datenschutz- und Transparenzbeauftragte (öffnet in einem neuen Tab); ihre Beschwerdeseite (öffnet in einem neuen Tab) erläutert die Einreichung. Ihr Recht, eine andere zuständige Behörde anzusprechen, bleibt bestehen.

Notwendige Konto- und Sicherheitsangaben sind Voraussetzung für den gewünschten Dienst; ohne sie können bestimmte Funktionen nicht bereitgestellt werden. Optionale Angaben und Marketing-Einwilligungen sind keine Voraussetzung für Hobby. Technische Kapazitäts- und Missbrauchsprüfungen können Aktionen ablehnen. Sie können eine menschliche Überprüfung verlangen, Ihren Standpunkt darlegen und ein Ergebnis anfechten; gesetzliche Rechte bei automatisierten Entscheidungen bleiben unberührt.

9. Änderungen und weitere Dokumente

Bei wesentlichen Änderungen informieren wir in angemessener Weise und stellen die aktuelle sowie frühere Fassungen bereit. Änderungen einer Information ersetzen keine erforderliche Einwilligung oder Vertragsvereinbarung.

Nutzungsbedingungen · JTL-Testbedingungen · AVV · Dienstleisterverzeichnis