Datenschutz der OrbitOne-Plattform

1. Verantwortlicher

Vertreten durch David Wright und David Nacke. Kontaktdaten und Registerangaben enthält das Impressum.

2. Verarbeitete Daten

Je nach Nutzung verarbeiten wir insbesondere Stammdaten und Kontaktdaten, Account- und Authentifizierungsdaten, Mandanten- und Rolleninformationen, Einstellungen, Geräte- und Tokenkennungen, Nutzungs- und Sicherheitsprotokolle, Supportkommunikation sowie Vertrags-, Abrechnungs- und Zahlungsstatusdaten.

Inhalte in Workspaces – etwa Dokumente, Notizen, Aufgaben, Termine, Dateien, Kommentare, Repositories und Vault-Metadaten – werden zur Bereitstellung der gewählten Funktionen verarbeitet. Geheimnisse können je nach Funktion zusätzlich verschlüsselt sein.

3. Zwecke und Rechtsgrundlagen

• Registrierung, Authentifizierung und Vertragserfüllung: Art. 6 Abs. 1 lit. b DSGVO,
• Sicherheit, Missbrauchsabwehr, Fehleranalyse und stabiler Betrieb: Art. 6 Abs. 1 lit. f DSGVO,
• Rechnungslegung und gesetzliche Aufbewahrung: Art. 6 Abs. 1 lit. c DSGVO,
• optionale Kommunikation oder Funktionen, soweit erforderlich: Art. 6 Abs. 1 lit. a DSGVO.

Eine für den Vertrag notwendige Verarbeitung wird nicht als freiwillige Einwilligung dargestellt. Erteilte Einwilligungen können mit Wirkung für die Zukunft widerrufen werden.

4. Verantwortlichkeit in Mandanten

Organisationen bestimmen innerhalb ihrer Mandanten, welche Nutzer eingeladen, welche Rechte vergeben und welche Inhalte verarbeitet werden. Soweit OrbitOne personenbezogene Inhalte ausschließlich nach Weisung eines Geschäftskunden verarbeitet, ist dieser regelmäßig Verantwortlicher und OrbitOne Auftragsverarbeiter. Eine Vereinbarung zur Auftragsverarbeitung kann abgeschlossen werden.

5. Hosting und Entwicklung in Deutschland

Die Kernplattform wird in Deutschland entwickelt und betrieben; primäre Anwendungs- und Speichersysteme werden in deutschen Rechenzentrumsstandorten betrieben. Transportwege werden über HTTPS verschlüsselt. Rollen, Mandantentrennung, Protokollierung und abgestufte Zugriffsrechte unterstützen den datenschutzgerechten Betrieb.

„Hosted in Germany“ bedeutet nicht, dass jede optionale Integration ausschließlich in Deutschland verarbeitet: Bei aktivierten Drittanbietern gelten zusätzlich deren Standorte und Datenschutzhinweise.

6. Empfänger, Zahlungen und optionale Dienste

Technische Hosting-, E-Mail- und Infrastruktur-Dienstleister erhalten Daten nur, soweit dies für den jeweiligen Zweck erforderlich ist und auf einer geeigneten rechtlichen Grundlage beruht. Für Zahlungen kann Stripe eingesetzt werden. Für Push-Mitteilungen oder freiwillige Anmeldedienste können Apple, Google, Microsoft oder andere aktivierte Anbieter Daten verarbeiten.

Drittlandübermittlungen erfolgen nur nach Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses oder geeigneter Garantien. Optionale Integrationen werden erst auf Veranlassung des Nutzers oder Mandanten aktiviert.

7. Speicherdauer und Löschung

Account- und Vertragsdaten werden für die Vertragsdauer gespeichert. Nach Vertragsende werden Inhalte entsprechend den angekündigten Export-, Karenz- und Löschfristen entfernt, soweit keine gesetzlichen Pflichten oder berechtigten Sicherheitsinteressen entgegenstehen. Rechnungsunterlagen werden nach gesetzlichen Vorgaben aufbewahrt. Sicherheitsprotokolle, Gerätekennungen und ungenutzte Tokens werden nach den jeweils vorgesehenen Aufbewahrungs- und Bereinigungsfristen gelöscht.

8. Rechte betroffener Personen

Im Rahmen der gesetzlichen Voraussetzungen bestehen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch nach Art. 15 bis 21 DSGVO. Anfragen können an support@orbitone.io gerichtet werden.

Es besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde. Zuständig ist grundsätzlich der Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover.

9. Sicherheit und Eigenverantwortung

Wir treffen angemessene technische und organisatorische Maßnahmen. Nutzer schützen Passwörter, Passkeys, Wiederherstellungsschlüssel und Tokens und vergeben Rechte nach dem Erforderlichkeitsprinzip. Kein internetbasierter Dienst kann absolute Sicherheit garantieren.

10. Änderungen

Diese Hinweise werden angepasst, wenn sich Funktionen, Dienstleister oder Rechtslage ändern. Bei wesentlichen Änderungen informieren wir angemessen. Die dokumentierte Version der Kenntnisnahme wird bei der Registrierung gespeichert.