Datenschutz. Ihre Daten, Ihre Rechte.

Fideno GmbH (i.G.) · Datenschutzerklärung

Für die FidenoVault-Dienste und die Website fideno.io

Stand: 05.06.2026

1. Verantwortlicher und Datenschutz-Kontakt

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist:

Fideno GmbH

Bahnhofstraße 23-25

53879 Euskirchen

Deutschland

Geschäftsführer: Marcel Blettner

E-Mail: contact@fideno.io

Website: https://fideno.io

Datenschutz-Kontakt:

E-Mail: datenschutz@fideno.io

Unser Datenschutzbeauftragter ist Rechtsanwalt Oliver Niederjohann; er ist über die vorstehende E-Mail-Adresse erreichbar.

Rolle der Fideno GmbH:

Für die Inhalte des Vaults und die Sub-Account-Verwaltung unserer Business-Kunden agieren wir als Auftragsverarbeiter im Sinne des Art. 28 DSGVO (siehe separater AVV). Verantwortlicher ist in diesen Fällen der jeweilige Geschäftskunde.
Für die eigene Vertragsabwicklung mit dem Auftraggeber (Stammdaten, Abrechnung, Newsletter, Website-Nutzung) agieren wir als eigenständiger Verantwortlicher.
Für Einzelkunden (Free, Basic, Professional) agieren wir vollumfänglich als Verantwortlicher.

2. Allgemeine Hinweise zur Datenverarbeitung

2.1 Umfang der Verarbeitung personenbezogener Daten

Wir verarbeiten personenbezogene Daten unserer Nutzer grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen Website sowie unserer Inhalte und Leistungen erforderlich ist. Die Verarbeitung erfolgt regelmäßig nur nach Einwilligung des Nutzers oder auf Grundlage einer gesetzlichen Erlaubnisnorm.

2.2 Rechtsgrundlagen der Datenverarbeitung

Soweit wir für Verarbeitungsvorgänge eine Einwilligung einholen, dient Art. 6 Abs. 1 lit. a DSGVO als Rechtsgrundlage.

Bei der Verarbeitung zur Erfüllung eines Vertrages, dessen Vertragspartei die betroffene Person ist, dient Art. 6 Abs. 1 lit. b DSGVO als Rechtsgrundlage. Dies gilt auch für Verarbeitungsvorgänge zur Durchführung vorvertraglicher Maßnahmen.

Soweit eine Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der die Fideno GmbH unterliegt, dient Art. 6 Abs. 1 lit. c DSGVO als Rechtsgrundlage.

Ist die Verarbeitung zur Wahrung eines berechtigten Interesses unseres Unternehmens oder eines Dritten erforderlich und überwiegen die Interessen, Grundrechte und Grundfreiheiten des Betroffenen das erstgenannte Interesse nicht, so dient Art. 6 Abs. 1 lit. f DSGVO als Rechtsgrundlage.

2.3 Speicherort

Alle Daten unserer Cloud-Variante werden auf Servern in Karlsruhe, Deutschland (IONOS SE) gespeichert. Off-Site-Backups erfolgen verschlüsselt nach Schaffhausen, Schweiz (Acronis). Zahlungsabwicklung und transaktionaler E-Mail-Versand erfolgen über Anbieter mit Sitz in der EU (Dublin/Irland) sowie den USA (siehe Abschnitt 13 + 14).

3. Ihre Rechte als betroffene Person

Werden personenbezogene Daten von Ihnen verarbeitet, sind Sie Betroffener im Sinne der DSGVO und es stehen Ihnen folgende Rechte gegenüber dem Verantwortlichen zu:

3.1 Auskunftsrecht (Art. 15 DSGVO)

Sie können vom Verantwortlichen eine Bestätigung darüber verlangen, ob personenbezogene Daten, die Sie betreffen, von uns verarbeitet werden.

3.2 Recht auf Berichtigung (Art. 16 DSGVO)

Sie haben das Recht auf Berichtigung und/oder Vervollständigung gegenüber dem Verantwortlichen, sofern die verarbeiteten personenbezogenen Daten, die Sie betreffen, unrichtig oder unvollständig sind.

3.3 Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)

Sie können die Einschränkung der Verarbeitung Sie betreffender personenbezogener Daten verlangen.

3.4 Recht auf Löschung (Art. 17 DSGVO)

Sie können vom Verantwortlichen verlangen, dass die Sie betreffenden personenbezogenen Daten unverzüglich gelöscht werden, sofern einer der gesetzlich geregelten Gründe zutrifft und soweit die Verarbeitung nicht erforderlich ist.

Hinweis bei Vault-Inhalten: Aufgrund unserer Zero-Knowledge-Architektur sind die Klartext-Inhalte Ihres Vaults für uns technisch nicht einsehbar. Eine Löschung Ihrerseits über die Self-Service-Funktion des Kontos sowie eine Löschung des Kontos durch uns sind möglich; eine selektive Löschung einzelner Klartext-Einträge ohne Ihr Master-Passwort ist uns nicht möglich.

3.5 Recht auf Unterrichtung (Art. 19 DSGVO)

Haben Sie das Recht auf Berichtigung, Löschung oder Einschränkung der Verarbeitung gegenüber dem Verantwortlichen geltend gemacht, ist dieser verpflichtet, allen Empfängern, denen die Sie betreffenden personenbezogenen Daten offengelegt wurden, diese Berichtigung oder Löschung der Daten oder Einschränkung der Verarbeitung mitzuteilen.

3.6 Recht auf Datenübertragbarkeit (Art. 20 DSGVO)

Sie haben das Recht, die Sie betreffenden personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten. Wir bieten hierzu eine Export-Funktion in der Software an, die ein JSON-Format produziert.

3.7 Widerspruchsrecht (Art. 21 DSGVO)

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung der Sie betreffenden personenbezogenen Daten, die aufgrund von Art. 6 Abs. 1 lit. e oder f DSGVO erfolgt, Widerspruch einzulegen.

3.8 Recht auf Widerruf der datenschutzrechtlichen Einwilligungserklärung (Art. 7 Abs. 3 DSGVO)

Sie haben das Recht, Ihre datenschutzrechtliche Einwilligungserklärung jederzeit zu widerrufen. Durch den Widerruf der Einwilligung wird die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt.

3.9 Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs steht Ihnen das Recht auf Beschwerde bei einer Aufsichtsbehörde zu. Die zuständige Aufsichtsbehörde für die Fideno GmbH ist:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)

Kavalleriestraße 2-4

40213 Düsseldorf

E-Mail: poststelle@ldi.nrw.de

Tel.: 0211/38424-0

3.10 Wahrnehmung Ihrer Rechte

Zur Wahrnehmung Ihrer Rechte wenden Sie sich bitte an datenschutz@fideno.io. Wir werden Anfragen grundsätzlich innerhalb von 30 Tagen (Art. 12 Abs. 3 DSGVO) bearbeiten. Vor Beantwortung können wir geeignete Identifikationsmaßnahmen verlangen.

4. Datenverarbeitung beim Besuch der Website

4.1 Bereitstellung der Website und Erstellung von Logfiles

Bei jedem Aufruf unserer Website erfasst unser System automatisiert Daten und Informationen vom Computersystem des aufrufenden Rechners. Folgende Daten werden hierbei erhoben:

IP-Adresse des Nutzers (gekürzt nach 7 Tagen, vollständige Löschung nach 30 Tagen)
Datum und Uhrzeit des Zugriffs
Aufgerufene URL bzw. Endpoint
Übertragene Datenmenge (Bytes)
HTTP-Statuscode
Referrer (sofern übermittelt)
User-Agent (Browser, Betriebssystem)

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht im technischen Betrieb der Website, der Gewährleistung der Sicherheit (Erkennung und Abwehr von Angriffen) und der Fehleranalyse.

Speicherdauer: 30 Tage; danach automatisierte Löschung. Bei konkretem Sicherheitsvorfall verlängerbar bis zur Aufklärung.

4.2 Reverse-Proxy / TLS-Terminierung

Wir setzen Traefik als Reverse-Proxy ein, der TLS-Verbindungen terminiert und Lasten zwischen unseren App-Servern verteilt. Hierbei werden technisch erforderliche Verbindungsdaten verarbeitet (siehe Abschnitt 4.1).

4.3 Reichweitenmessung mit Google Analytics (nur mit Einwilligung)

Auf unserer Marketing-Website (fideno.io) setzen wir Google Analytics 4 ein, um die Nutzung pseudonym auszuwerten. Die Einbindung erfolgt über den Google Tag Manager. Anbieter: Google Ireland Ltd. (Irland), Verarbeitung durch Google LLC (USA) möglich. Google Analytics wird ausschließlich nach Ihrer Einwilligung über unseren Cookie-Banner geladen; ohne Einwilligung werden keine Analyse-Cookies gesetzt und keine Daten an Google übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TTDSG. Widerruf jederzeit über die Cookie-Einstellungen. Drittland USA abgesichert über EU-US Data Privacy Framework bzw. Standardvertragsklauseln. In der eingeloggten Anwendung (Vault) findet kein Tracking statt.

5. Datenverarbeitung im Rahmen der Registrierung und Vertragsabwicklung

5.1 Registrierung eines Accounts

Bei der Registrierung erheben wir folgende Daten:

E-Mail-Adresse
Vorname, Nachname (optional, sofern angegeben)
Spracheinstellung (Default: Deutsch)
Hash des Master-Passworts (Argon2id), Encryption-Salt
bei Geschäftskunden: Firmenbezeichnung, Steuerinformationen für die Rechnungsstellung (über Stripe, siehe Abschnitt 10)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung), für die Einrichtung des Zugangs.

E-Mail-Verifizierung: Im Rahmen der Registrierung versenden wir einen 6-stelligen Verifizierungscode per E-Mail über unseren Dienstleister Resend (siehe Abschnitt 11). Der Code ist 15 Minuten gültig.

5.2 Vertragsabwicklung

Zur Durchführung des Hauptvertrags speichern und verarbeiten wir Stammdaten, Abrechnungspositionen, Vertragslaufzeit, Plan-Wechsel und Kommunikation mit dem Kunden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Speicherdauer: für die Dauer der Vertragslaufzeit zzgl. handels- und steuerrechtlicher Aufbewahrungsfristen (typischerweise 10 Jahre nach § 257 HGB / § 147 AO).

5.3 Sub-Account-Verwaltung im Geschäftskunden-Plan

In Plans mit Mehrnutzer-Funktion können Admins weitere Nutzer hinzufügen. Hierbei werden die unter Abschnitt 5.1 genannten Daten der Sub-Accounts erhoben, allerdings agiert die Fideno GmbH hier als Auftragsverarbeiter des Geschäftskunden (siehe separaten AVV).

6. Datenverarbeitung im Vault (Zero-Knowledge-Architektur)

6.1 Funktionsweise

FidenoVault speichert Ihre sensitiven Daten (Passwörter, Notizen, Karten, sicherheitsrelevante Felder) als clientseitig verschlüsseltes Blob in unserer Datenbank. Die Verschlüsselung erfolgt mit AES-256-GCM, der Schlüssel wird mit Argon2id aus Ihrem Master-Passwort abgeleitet. Wir speichern lediglich:

den verschlüsselten Blob (für uns nicht lesbar);
Metadaten wie Erstellungs- und Änderungsdatum, Ordner-Zuordnung, Favoriten-Status, Eintragsname (zur Anzeige und Suche);
ggf. eine Pflicht-Markierung für Felder, die als „sensitive" markiert sind (z. B. Passwort-Felder; Inhalt verschlüsselt).

Der Klartext-Inhalt Ihres Vaults wird zu keinem Zeitpunkt an unsere Server übertragen und ist für uns technisch nicht einsehbar.

6.2 Eintragsname als Metadatum

Beachten Sie: Der Name eines Eintrags (z. B. „Gmail Login") wird in unserer Cloud-Variante nicht verschlüsselt, um Such- und Sortierfunktionen serverseitig zu ermöglichen. Bitte vermeiden Sie es daher, sensitive Daten direkt im Namen eines Eintrags zu hinterlegen — diese gehören in die verschlüsselten Felder.

6.3 Ordner-Struktur

Ordner-Namen, Hierarchie und Zugriffsberechtigungen werden ebenfalls als Metadaten gespeichert, um die Funktionalität (Sortierung, Sharing, Berechtigungen) zu ermöglichen.

6.4 Recovery-Key

Optional bietet die Software die Erstellung eines clientseitig generierten Recovery-Keys. Dieser wird nicht in lesbarer Form an uns übertragen; lediglich ein Hash dient zur Validierung. Bewahren Sie den Recovery-Key sicher auf — geht das Master-Passwort verloren und kein Recovery-Key wurde gesichert, können wir den Zugang nicht wiederherstellen.

6.5 Rechtsgrundlage und Speicherdauer

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Speicherdauer: für die Dauer des Vertrags. Bei Kontoauflösung erfolgt eine Löschung der Vault-Daten (siehe Abschnitt 15).

7. Authentifizierung und Zwei-Faktor-Sicherheit

7.1 Login-Verfahren

Der Login erfolgt über E-Mail + Master-Passwort. Hierbei wird das Master-Passwort niemals an unsere Server übertragen, sondern lediglich der hieraus mittels Argon2id abgeleitete Auth-Hash.

7.2 Trust-Device-Token

Optional können Sie ein Endgerät als „vertrauenswürdig" markieren. In diesem Fall wird ein Hardware-spezifisches, signiertes Token im Browser hinterlegt (localStorage), das Folge-Logins für 30 Tage vereinfacht. Sie können Trust-Tokens jederzeit unter „Sicherheit → Vertrauenswürdige Geräte" widerrufen.

7.3 Zwei-Faktor-Authentisierung (2FA)

Wir unterstützen folgende 2FA-Verfahren:

TOTP (z. B. via Google Authenticator, Authy);
FIDO2 / Hardware-Sicherheitsschlüssel (z. B. YubiKey);
Passkeys nach WebAuthn.

Verarbeitet werden:

TOTP-Secret (zur Generierung der 6-stelligen Codes);
FIDO2-Public-Key + Credential-ID;
Passkey-Public-Key + Credential-ID, Transport-Hinweise (USB, NFC, BLE, internal).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Sicherheits-Vertragsbestandteil) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Account-Sicherheit).

8.1 Folder-Sharing (Zero-Knowledge)

In Geschäftskunden-Plans können Berechtigte Ordner für andere Team-Mitglieder freigeben. Das Teilen erfolgt kryptografisch im Zero-Knowledge-Prinzip, ohne dass wir Klartext-Schlüssel oder Klartext-Inhalte sehen:

Jedem Nutzer ist ein clientseitig erzeugtes asymmetrisches Schlüsselpaar (RSA-OAEP-4096) zugeordnet. Wir speichern den öffentlichen Schlüssel (public_key) im Klartext und den privaten Schlüssel ausschließlich in einer mit dem Vault-Schlüssel des Nutzers verschlüsselten Form (encrypted_private_key).
Jeder geteilte Ordner besitzt einen eigenen symmetrischen Ordner-Schlüssel (AES-256-GCM), mit dem die Einträge dieses Ordners verschlüsselt werden.
Beim Einladen eines Mitglieds wird der Ordner-Schlüssel mit dessen öffentlichem Schlüssel verschlüsselt und in dieser Form gespeichert (tbl_folder_access.encrypted_folder_key). Das eingeladene Mitglied kann die geteilten Einträge so clientseitig im Klartext entschlüsseln.

Für uns als Anbieter bleiben sowohl die Klartext-Inhalte als auch die zugrunde liegenden Klartext-Schlüssel zu keinem Zeitpunkt einsehbar. Persönliche, keinem geteilten Ordner zugeordnete Einträge bleiben mit dem Vault-Schlüssel des jeweiligen Nutzers verschlüsselt und sind für andere Nutzer — einschließlich des Admins — nicht einsehbar.

8.2 Rollensystem und Sichtbarkeit

Wir verarbeiten Rolleninformationen (Admin, Editor, Viewer) zur Steuerung der Zugriffsrechte. Eine Einsicht in fremde Ordner oder Einträge ist ausschließlich über eine bewusste Ordner-Freigabe (geteilter Ordner-Schlüssel, siehe 8.1) möglich. Eine implizite Vollsicht eines Admins über sämtliche Inhalte der Company besteht nicht.

8.3 Sub-Account-Status

Status-Daten wie is_active, last_login werden zur Administration und Benutzerverwaltung verarbeitet.

8.4 Bedingungen bei Lizenz-Entfernung (Enterprise)

Wird eine Enterprise-Lizenz im laufenden Betrieb entfernt, werden alle Sub-Accounts mit dem Status is_active=false markiert und die ursprünglichen Lizenz-Daten (Original-Gültigkeitsdatum, Anzahl deaktivierter Nutzer) gespeichert, um eine spätere Re-Aktivierung zu ermöglichen.

9. Audit-Log und Sicherheitsmaßnahmen

9.1 Audit-Log

Wir erfassen sicherheitsrelevante Aktionen in einem Audit-Log, insbesondere:

Login-/Logout-Events
Login-Fehlversuche (zur Brute-Force-Erkennung)
2FA-Aktivierungen und -Änderungen
Plan-Wechsel
Hinzufügen/Entfernen von Sub-Accounts
Lizenz-Aktivierung/-Entfernung
Passwort-Reset-Anfragen
Trust-Device-Hinzufügungen und -Widerrufe

Erfasst werden: Zeitpunkt, Akteur (User-ID), Aktionstyp, Ziel-ID, IP-Adresse, User-Agent.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit und Nachvollziehbarkeit).

Speicherdauer: 12 Monate, danach automatisierte Anonymisierung bzw. Löschung. Bei laufenden Untersuchungen verlängerbar.

9.2 Rate-Limiting und Anti-Abuse

Zur Abwehr von Brute-Force-Angriffen und automatisiertem Missbrauch erfolgt eine kurze Speicherung von IP-Adressen und User-Agents in einer Anti-Abuse-Datenbank.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Speicherdauer: 24 Stunden bis 7 Tage, je nach Schwere des Vorfalls.

10. Zahlungsabwicklung über Stripe

10.1 Verwendung von Stripe

Für die Zahlungsabwicklung kostenpflichtiger Plans nutzen wir den Dienst Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland (Konzern-Muttergesellschaft: Stripe, Inc., 354 Oyster Point Boulevard, South San Francisco, CA 94080, USA).

10.2 Verarbeitete Daten

Im Rahmen der Zahlungsabwicklung übermitteln wir:

E-Mail-Adresse
Stripe-Customer-ID (intern generierte Kennung)
Plan- und Subscription-Informationen
Rechnungsempfänger-Daten (sofern eingegeben)

Die eigentlichen Zahlungsdaten (Kreditkartennummer, IBAN etc.) werden direkt durch Stripe verarbeitet und niemals an die Fideno GmbH übermittelt.

10.3 Rolle von Stripe

Stripe agiert für die Zahlungsabwicklung als eigenständiger Verantwortlicher im Sinne des Art. 6 DSGVO. Es gilt die Datenschutzerklärung von Stripe: https://stripe.com/de/privacy

10.4 Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

10.5 Speicherdauer

Stripe speichert Daten nach eigenen Speicherfristen. Wir selbst speichern die mit Stripe ausgetauschten Metadaten (Customer-ID, Subscription-ID) für die Dauer des Vertrags und anschließend gemäß handelsrechtlicher Aufbewahrungspflichten (max. 10 Jahre).

10.6 Drittland-Übermittlung

Da Stripe Konzern-Verbindungen in die USA hat, kann eine Datenübermittlung in die USA erfolgen. Stripe ist nach dem EU-US Data Privacy Framework (DPF) zertifiziert und hat zusätzlich Standardvertragsklauseln (SCC) abgeschlossen.

11.1 Transaktionale E-Mails

Wir versenden Verifizierungscodes, Passwort-Reset-Mails und sicherheitsrelevante Benachrichtigungen über den Dienstleister Resend, Inc. (San Francisco, CA, USA).

11.2 Verarbeitete Daten

Übermittelt werden:

Empfänger-E-Mail-Adresse
Anrede / Vorname (falls vorhanden)
E-Mail-Inhalt (Code, Link, Benachrichtigungstext)

11.3 Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — die Verifizierung ist Bestandteil der Registrierung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Benachrichtigung über sicherheitsrelevante Ereignisse).

11.4 Newsletter (Marketing)

Soweit Sie sich für unseren Newsletter angemeldet haben, erfolgt die Anmeldung im Double-Opt-In-Verfahren (DOI). Nach Anmeldung erhalten Sie eine Bestätigungs-E-Mail mit einem Aktivierungslink. Erst durch Anklicken des Links wird Ihre Anmeldung aktiv.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

Widerruf: Sie können den Newsletter jederzeit über den Abmelde-Link in jeder Newsletter-E-Mail oder per E-Mail an datenschutz@fideno.io abbestellen.

11.5 Drittland-Übermittlung

Da Resend seinen Sitz in den USA hat, erfolgt eine Übermittlung in die USA. Resend ist nach dem EU-US Data Privacy Framework (DPF) zertifiziert und es gelten Standardvertragsklauseln (SCC).

11.6 Warteliste und Early-Access-Formulare (Pre-Launch-Website)

Auf unserer Website können Sie sich über Formulare für den Produkt-Start (Early Access) oder für Webinare vormerken lassen. Verarbeitet werden Name, E-Mail-Adresse sowie optional Telefonnummer und Unternehmen. Die technische Entgegennahme und Weiterleitung an unseren E-Mail-Dienstleister Resend erfolgt über eine Funktion des Anbieters Vercel Inc. (USA), die die Daten ausschließlich durchleitet und nicht dauerhaft speichert. Die Anmeldung erfolgt im Double-Opt-In-Verfahren.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Widerruf jederzeit über den Abmelde-Link oder per E-Mail an datenschutz@fideno.io.

12. Backup und Disaster-Recovery

12.1 Backup-Verfahren

Zur Sicherstellung der Datenintegrität nutzen wir ein vier-schichtiges Backup-System:

L1: Lokales pgBackRest (kontinuierlich, WAL-basiert);
L2: Acronis Cyber Protect Cloud — verschlüsselte VM-Snapshots, Datacenter Schweiz;
L3: Verschlüsselte pgBackRest-Daten auf IONOS Object-Storage (Deutschland);
L4: Restic-basierter Backup über VPN auf separates verschlüsseltes Off-Site-Medium.

12.2 Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Verfügbarkeit der Daten) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Datensicherheit).

12.3 Speicherdauer von Backups

Backups werden im Rotationsverfahren maximal 30 Tage vorgehalten. Bei Kontoauflösung wird die Datenlöschung im Live-System unmittelbar wirksam; bestehende Backups werden mit dem Ablauf der Rotationsperiode endgültig überschrieben.

13. Empfänger und Subprozessoren

Folgende Auftragsverarbeiter / Subprozessoren erhalten Zugriff auf personenbezogene Daten zur Erbringung der Dienste:

IONOS SE

Sitz: Karlsruhe (DE)
Zweck: VPS-Hosting (4 Server), Object-Storage für Backups
Drittland-Garantie: EU/EWR

Stripe Payments Europe, Ltd.

Sitz: Dublin (IE), Konzern USA
Zweck: Zahlungsabwicklung
Drittland-Garantie: EU-US Data Privacy Framework (DPF) + EU-SCC

Resend, Inc.

Sitz: San Francisco (US)
Zweck: Transaktionaler E-Mail-Versand und Newsletter
Drittland-Garantie: EU-US Data Privacy Framework (DPF) + EU-SCC

Acronis International GmbH

Sitz: Schaffhausen (CH)
Zweck: Off-Site-Backup-Service
Drittland-Garantie: Schweiz (Angemessenheitsbeschluss EU-Kommission)

Eine vollständige und aktuelle Übersicht erhalten Sie auf Anfrage an datenschutz@fideno.io sowie im AVV (Anlage 1).

Vercel Inc.

Sitz: USA
Zweck: Technische Durchleitung der Website-Warteliste-Formulare (Early Access / Webinare) an Resend – keine dauerhafte Speicherung
Drittland-Garantie: EU-Standardvertragsklauseln (SCC)

Google Ireland Ltd.

Dublin (IE), Konzern USA

Reichweitenmessung (Google Analytics / Tag Manager), nur nach Einwilligung

EU-US Data Privacy Framework (DPF) + EU-SCC

14. Datenübermittlung in Drittländer

Eine Übermittlung in Drittländer außerhalb des EWR erfolgt insbesondere im Zusammenhang mit:

USA (Stripe, Resend, Vercel und Google) : Übermittlung ist abgesichert durch EU-US Data Privacy Framework und Standardvertragsklauseln. Es kann nicht ausgeschlossen werden, dass US-Behörden im Rahmen ihrer gesetzlichen Befugnisse auf Daten zugreifen können (Schrems-II-Problematik). Wir minimieren diese Risiken, indem:
Vault-Klartext-Inhalte aufgrund unserer Zero-Knowledge-Architektur nie an US-Server gelangen können;
Stripe nur die für die Zahlungsabwicklung notwendigen Stammdaten erhält;
Resend nur den temporären E-Mail-Inhalt zur Zustellung erhält.
Schweiz (Acronis): Die Schweiz wird von der EU-Kommission als Land mit angemessenem Datenschutzniveau anerkannt (Angemessenheitsbeschluss).
Vercel die Formulardaten der Website-Warteliste ausschließlich durchleitet und nicht speichert.

15. Speicherdauer und Löschung

Logfiles (Webserver): 30 Tage
Audit-Log (sicherheitsrelevant): 12 Monate
Anti-Abuse-Daten: 24 Stunden bis 7 Tage
Vault-Inhalte (verschlüsselt): für die Dauer des Vertrags
Stammdaten und Vertragsdaten: für die Dauer des Vertrags + handels-/steuerrechtliche Aufbewahrungspflichten
Rechnungsdaten: 10 Jahre (§ 147 AO)
Stripe-Customer-/Subscription-Daten: für die Dauer des Vertrags + steuerrechtliche Pflichten
Newsletter-Daten: bis zum Widerruf
Trust-Device-Tokens: 30 Tage Inaktivität oder manueller Widerruf
Reset-Tokens: 15 Minuten
Backups: maximal 30 Tage Rotation

15.1 Konto-Löschung

Sie können Ihr Konto jederzeit über die Self-Service-Funktion löschen. Dabei werden:

die verschlüsselten Vault-Inhalte unwiderruflich gelöscht;
die Stammdaten gelöscht oder eingeschränkt verarbeitet, falls Aufbewahrungspflichten bestehen;
Backups innerhalb der Rotationsperiode überschrieben.

Eine Wiederherstellung ist nach der Löschung nicht möglich.

16. On-Premise-Variante (Enterprise)

16.1 Eigenständige Verantwortlichkeit des Kunden

In der On-Premise-Variante installiert der Kunde die Software auf eigener Infrastruktur. Die Fideno GmbH hat in dieser Konstellation keinen Zugriff auf die Daten des Kunden und ist nicht Auftragsverarbeiter im Sinne des Art. 28 DSGVO.

16.2 Lizenz-Aktivierung

Bei der initialen Lizenz-Aktivierung wird eine offline-signierte Lizenz-Datei verwendet (Ed25519). Es findet keine automatische Übermittlung von Nutzerdaten an die Fideno GmbH statt.

16.3 Support-Anfragen

Bei Support-Anfragen werden ggf. die vom Kunden bereitgestellten Logs verarbeitet (Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Support-Vertrag).

16.4 Updates und Sicherheits-Patches

Updates der Software werden über unsere Container-Registry bereitgestellt. Beim Pullen der Images werden technisch notwendige Verbindungsdaten (IP-Adresse, Container-Image-Tag) durch die Registry verarbeitet.

17. Cookies und ähnliche Technologien

17.1 Technisch notwendige Cookies und localStorage-Einträge

Wir setzen ausschließlich technisch notwendige Cookies und localStorage-Einträge ein:

Session-Cookie / JWT-Refresh-Token

Zweck: Aufrechterhalten der Login-Sitzung
Dauer: bis Logout / 30 Tage

**fideno_trust_token**

Zweck: Trust-Device-Funktion
Dauer: 30 Tage

**fideno_removed_snooze_until**

Zweck: Snooze-Funktion für Lizenz-Reminder-Popup
Dauer: 24 Stunden

**fideno_lang**

Zweck: Spracheinstellung
Dauer: dauerhaft, bis manuell entfernt

**fideno_theme**

Zweck: Theme-Präferenz (Light/Dark)
Dauer: dauerhaft, bis manuell entfernt

**fideno_recently_viewed**

Zweck: Liste zuletzt geöffneter Einträge
Dauer: dauerhaft, bis manuell entfernt

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO und § 25 Abs. 2 Nr. 2 TTDSG (technische Notwendigkeit).

17.2 Analyse-Cookies nur mit Einwilligung, kein Profiling

Auf der Marketing-Website setzt Google Analytics Cookies (z. B. _ga) erst, nachdem Sie im Cookie-Banner eingewilligt haben. Ohne Einwilligung werden diese nicht gesetzt. Ein kanalübergreifendes Werbe-Tracking oder Profiling findet nicht statt.

18. Automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO statt. Die Verarbeitung dient ausschließlich der Bereitstellung der Dienste.

19. Datensicherheit

19.1 Technische und organisatorische Maßnahmen

Wir treffen umfangreiche technische und organisatorische Maßnahmen im Sinne des Art. 32 DSGVO. Hierzu gehören insbesondere:

Zero-Knowledge-Architektur der Vault-Inhalte;
TLS 1.3 für sämtliche Verbindungen, HSTS aktiv;
AES-256-GCM für die Verschlüsselung von Vault-Inhalten;
Argon2id zur sicheren Schlüsselableitung;
Hochverfügbarkeits-Setup mit redundanten App- und DB-Servern;
Datenbank-Replikation zwischen Primary und Sync-Standby;
Vier-schichtiges Backup-System (siehe Abschnitt 12);
Hardware-Sicherheitsschlüssel (FIDO2) und MFA für administrativen Zugriff;
Audit-Log für sicherheitsrelevante Aktionen;
Penetrationstests mindestens jährlich;
Sicherheits-Patches zeitnah bei High/Critical-CVEs.

Detaillierte TOMs sind im AVV (Anlage 2) dokumentiert.

19.2 Meldung von Datenschutzverletzungen

Sollte es zu einer Datenschutzverletzung kommen, melden wir diese gemäß Art. 33 DSGVO innerhalb von 72 Stunden an die zuständige Aufsichtsbehörde. Betroffene Personen werden, sofern erforderlich, gemäß Art. 34 DSGVO benachrichtigt.

20. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder um Änderungen unserer Leistungen in der Datenschutzerklärung umzusetzen. Für Ihren erneuten Besuch gilt dann die neue Datenschutzerklärung.

Wesentliche Änderungen (insbesondere Hinzufügung neuer Subprozessoren oder Änderungen der Rechtsgrundlage) kommunizieren wir vor Inkrafttreten per E-Mail an die registrierte Adresse mit einer angemessenen Frist.