Datenschutzerklärung – Glass Desktop Box™

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Michael Hans-Josef Höhne, handelnd unter der Geschäftsbezeichnung „Rangsdorfer Software Company“

Einzelunternehmen

Akazienweg 13

15834 Rangsdorf

Deutschland

E-Mail: support@glassdesktopbox.com

Website: https://glassdesktopbox.com ↗

Die jeweils aktuelle veröffentlichte Fassung dieser Datenschutzerklärung ist unter https://glassdesktopbox.com/privacy ↗ abrufbar.

2. Geltungsbereich

Diese Datenschutzerklärung gilt für:

• die Website glassdesktopbox.com einschließlich Download-, Preis-, Support-, FAQ-, P2P- und Widerrufs-/Kündigungsfunktionen;
• die Desktop-Anwendung Glass Desktop Box™ für die unterstützten Betriebssysteme;
• Lizenzaktivierung, Lizenzprüfung und nutzungsabhängige Kontingentverwaltung;
• Remote-Einladungen, Signalisierung, direkte Peer-to-Peer-Verbindungen sowie technisch erforderliche Relay-/TURN-Verbindungen;
• Support, Vertragsabwicklung, Widerruf, Kündigung und Rückerstattung.
• Desktop Experiences, öffentliche Experience-/Animationslinks und die Auswahl externer Teilen-Ziele;

Nicht erfasst sind Websites und Dienste Dritter, die lediglich verlinkt werden. Für diese gelten die Datenschutzhinweise des jeweiligen Anbieters.

3. Grundsätze und Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten zweckgebunden, transparent und auf das erforderliche Maß beschränkt. Je nach Verarbeitung stützen wir uns auf:

• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung;
• Art. 6 Abs. 1 lit. b DSGVO – Anbahnung oder Erfüllung eines Vertrags;
• Art. 6 Abs. 1 lit. c DSGVO – Erfüllung rechtlicher Pflichten;
• Art. 6 Abs. 1 lit. f DSGVO – berechtigte Interessen, insbesondere sicherer Betrieb, Fehleranalyse, Missbrauchs- und Betrugsabwehr sowie Rechtsverteidigung;
• § 25 TDDDG – Speicherung von Informationen oder Zugriff auf Informationen im Endgerät, soweit nicht unbedingt erforderlich oder ausdrücklich eingewilligt.

4. Bereitstellung der Website und Serverprotokolle

Die öffentliche Website glassdesktopbox.com wird bei Hostinger bereitgestellt und über das Hostinger Content Delivery Network (hCDN) ausgeliefert.

Beim Aufruf der Website verarbeiten Hostinger, das hCDN und die beteiligten Webserver insbesondere IP-Adresse, Datum und Uhrzeit, Zeitzone, angeforderte URL und HTTP-Methode, HTTP-Status, übertragene Datenmenge, Referrer, Browser-/User-Agent-Angaben, Betriebssystem-/Geräteinformationen, Cache- und Routinginformationen sowie sicherheitsrelevante Ereignisse. Die ausgelieferten HTTP-Antworten enthalten außerdem eine technische hCDN-Anfragekennung. Diese Daten werden zur Auslieferung, Lastverteilung, Stabilität, Fehlerdiagnose sowie zur Erkennung und Abwehr von Angriffen verarbeitet.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren, schnellen und störungsfreien Betrieb der Website. Hostinger beschreibt in seiner Datenschutzerklärung die Verarbeitung von IP-, Browser-, Geräte-, Referrer-/Exit-, Zeitstempel- und Clickstream-Daten sowie Sicherheits- und Missbrauchsdaten. Hostinger speichert Daten grundsätzlich nur so lange, wie dies zur Diensterbringung, Sicherheit, Erfüllung gesetzlicher Pflichten oder Rechtsverteidigung erforderlich ist; bestimmte Missbrauchsdaten können nach einer sicherheitsbedingten Kontosperre bis zu einem Jahr aufbewahrt werden. Für eigene Website-Analyse- oder Marketingprotokolle haben wir keine zusätzliche Speicherung eingerichtet.

Die öffentliche Website wird über die in Abschnitt 4 beschriebene Hostinger-Infrastruktur ausgeliefert. Lizenz-, Signalisierungs-, TURN/Relay- und Updatekomponenten nutzen daneben die in Abschnitt 5 beschriebene Hetzner-Infrastruktur.

5. Lizenz- und Verbindungsinfrastruktur bei Hetzner

Für Lizenz-, Signalisierungs-, TURN/Relay- und Updateleistungen wird nach aktuellem Stand Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, eingesetzt. Je nach Dienst verarbeitet Hetzner Daten als Auftragsverarbeiter; für eigene gesetzliche oder Sicherheitszwecke kann Hetzner selbst verantwortlich sein.

Betroffen sein können Verbindungs- und Serverprotokolle, IP-Adressen, Zeitstempel, technische Sitzungs- und Lizenzdaten sowie bei Relay-Verbindungen vorübergehend verschlüsselte Datenpakete. Grundlage sind Art. 6 Abs. 1 lit. b und f DSGVO; mit Auftragsverarbeitern werden, soweit erforderlich, Vereinbarungen nach Art. 28 DSGVO geschlossen.

Die konkrete technische Konfiguration des produktiven Hetzner-Projekts, die vertraglichen Auftragsverarbeitungsregelungen, Serverstandorte, Backups, Unterauftragsverarbeiter und Löschfristen werden im internen Verzeichnis von Verarbeitungstätigkeiten und in den technischen Sicherheitsunterlagen dokumentiert und bei Änderungen aktualisiert.

6. Technisch erforderliche Endgerätespeicherung, Cookies und ähnliche Technologien

Der vollständig geprüfte eigene Quellcode der neuen Next.js-Website setzt derzeit keine eigenen Cookies und verwendet weder `localStorage`, `sessionStorage` noch IndexedDB. Er enthält keine eigene Analytics-, Reichweitenmessungs-, Werbe-, Tracking- oder Marketingintegration. Der Nox-Supportdialog hält den sichtbaren Gesprächsverlauf nur vorübergehend im Arbeitsspeicher der aktuell geöffneten Browserseite; beim Schließen oder Neuladen der Seite geht dieser lokale Zustand verloren.

Das bloße Öffnen der neuen Next.js-Website erfordert nach dem geprüften Entwicklungsstand keinen Cookie-Consent für eigene Analyse-, Werbe- oder Marketingzwecke. Die in Abschnitt 7 genannten Schriftarten werden aus eigenen Website-Dateien ausgeliefert. Externe YouTube-Inhalte werden erst nach der in Abschnitt 8 beschriebenen ausdrücklichen Einwilligung geladen.

Sollte künftig eine neue Funktion Cookies oder andere Informationen im Endgerät speichern oder auslesen, wird sie vor Einsatz nach § 25 TDDDG und DSGVO bewertet. Nicht unbedingt erforderliche Technologien werden erst nach Einwilligung aktiviert; diese Erklärung wird dann um Name, Anbieter, Zweck und Laufzeit ergänzt.

7. Lokal bereitgestellte Schriftarten

Die neue Next.js-Website verwendet die Schriftarten „Inter“ und „Dancing Script“ über die integrierte Schriftverwaltung von Next.js. Die Schriftdateien werden beim Erstellen der Website in die eigenen Website-Dateien übernommen und anschließend vom eigenen Webserver ausgeliefert. Beim Besuch der fertigen Website wird deshalb keine Verbindung zu Google Fonts oder Google-Servern aufgebaut. Es werden für die Darstellung der Schriften keine IP-Adressen oder sonstigen Besucherdaten an Google übermittelt. Eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO bzw. § 25 Abs. 1 TDDDG ist hierfür nicht erforderlich.

8. YouTube-Videos

Auf einzelnen Seiten können Videos von YouTube eingebettet sein. Anbieter im EWR ist grundsätzlich Google Ireland Limited. Beim Laden eines eingebetteten Players können IP-Adresse, Geräte- und Browserdaten, aufgerufene Seite, Zeitpunkte, Cookie-Kennungen und bei angemeldeten Nutzern Kontodaten an Google übermittelt werden.

Die Einbettung erfolgt nur nach Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Die Einwilligung kann für die Zukunft widerrufen werden.

YouTube-Videos werden über eine Zwei-Klick-Lösung eingebunden. Vor einer ausdrücklichen Auswahl wird kein YouTube-Player geladen. Nach Zustimmung wird der Player von youtube-nocookie.com geladen; die Einwilligung kann für die Zukunft widerrufen werden.

Externe YouTube-Links stellen vor ihrer Auswahl keine Verbindung zu YouTube her. Eingebettete Player bleiben technisch blockiert und verwenden ein lokal bereitgestelltes Vorschaubild, bis eine freiwillige Einwilligung erteilt wird. Erst danach wird der Player zur Wiedergabe des gewünschten Videos von youtube-nocookie.com geladen. Google Ireland Limited kann dabei insbesondere IP-Adresse, Geräte- und Browserdaten, aufgerufene Seite, Zeitpunkt, Cookie-Kennungen und Nutzungsinformationen verarbeiten; Übermittlungen außerhalb des EWR können nicht ausgeschlossen werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO sowie bei einer Speicherung oder einem Auslesen von Endgeräteinformationen § 25 Abs. 1 TDDDG. Die Einwilligung kann jederzeit über die dauerhaft erreichbaren Datenschutzeinstellungen widerrufen werden. Weitere Informationen: https://policies.google.com/privacy ↗ · https://www.youtube.com/howyoutubeworks/user-settings/privacy/ ↗

9. Externe Links und Social-Media-Angebote

Links zu YouTube, LinkedIn, X oder anderen Drittseiten übertragen bei bloßer Darstellung grundsätzlich keine Daten an diese Anbieter. Erst beim Anklicken verlassen Nutzer unser Angebot; dann verarbeitet der Zielanbieter Daten in eigener Verantwortung. Wir setzen nach aktueller Prüfung keine Social-Plugins ein, die bereits beim Seitenaufruf Daten übertragen.

Externe Links aus der Software

Glass Desktop Box kann nach ausdrücklicher Bestätigung des Nutzers die offizielle Website https://glassdesktopbox.com ↗ im Standardbrowser öffnen. Vor der Bestätigung wird durch diese Funktion keine Verbindung zur Website hergestellt. Beim Öffnen des Hilfe-Links werden keine Dateien oder Dateiinhalte aus einer Box übertragen.

Beim Aufruf der Website übermittelt der Browser die technisch erforderlichen Verbindungsdaten an unseren Webserver und den Hosting-Anbieter. Dazu können insbesondere IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Browser- und Betriebssysteminformationen sowie gegebenenfalls eine Referrer-Information gehören. Es gelten die Angaben dieser Datenschutzerklärung zum Websitebetrieb und zu Server-Logdateien.

10. Nox-Supportassistent

Der Nox-Supportassistent verarbeitet die eingegebene Frage und gegebenenfalls die vorherige Frage, um eine Antwort aus einer lokalen Wissensbasis zu erzeugen. Es werden keine externen KI-Modelle oder KI-APIs angesprochen. Prompt-Inhalte, Fragen, IP-Zuordnungen, Antworten und Gesprächsverläufe werden von uns nicht dauerhaft gespeichert oder zu einem Nutzerprofil zusammengeführt. Die sichtbaren Nachrichten bestehen nur vorübergehend im Arbeitsspeicher der geöffneten Browserseite und werden beim Schließen oder Neuladen verworfen. Eingaben sind auf eine technische Maximallänge begrenzt.

Bitte geben Sie dort keine besonderen Kategorien personenbezogener Daten, Passwörter, Lizenzschlüssel oder vertraulichen Inhalte ein. Technische Webserver- und Sicherheitslogs können Metadaten der Anfrage erfassen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei produktbezogenen Anfragen, sonst Art. 6 Abs. 1 lit. f DSGVO.

10a. Keine KI-Verarbeitung in der ausgelieferten Anwendung

Glass Desktop Box™ und der Nox-Supportassistent verwenden nach dem gegenwärtig bestätigten Produktstand zur Laufzeit kein generatives KI-Modell, keine externe KI-API, keine Emotionserkennung und keine biometrische Kategorisierung. Nox beantwortet Fragen regel- beziehungsweise wissensbasiert aus lokal bereitgestellten Inhalten. Nutzerdateien, Chatnachrichten und Supportfragen werden nicht zum Training allgemeiner KI-Modelle verwendet.

Bei Entwicklung, Text-, Bild- und Videoerstellung wurden KI-gestützte Werkzeuge eingesetzt. Dies führt nicht dazu, dass Nutzerdaten innerhalb der ausgelieferten Anwendung durch KI verarbeitet werden. Für öffentlich bereitgestellte, maßgeblich KI-erzeugte oder KI-manipulierte Medien wird ab dem 2. August 2026 ein gesonderter Kennzeichnungs- und Provenienzprozess nach Art. 50 der Verordnung (EU) 2024/1689 eingerichtet. Künstlerische und fiktionale Inhalte werden in einer angemessenen, die Nutzung nicht beeinträchtigenden Weise gekennzeichnet.

Für mitgelieferte und öffentlich dargestellte Medien führt der Anbieter ein internes Medien- und Rechteinventar mit Erstellungszeitpunkt, eingesetztem Werkzeug, Bearbeitungsgrad, Freigabe und Rechtekette. Soweit Art. 50 der Verordnung (EU) 2024/1689 anwendbar ist, werden künstlich erzeugte oder manipulierte Inhalte ab dem 2. August 2026 in einer geeigneten sichtbaren und – soweit technisch erforderlich – maschinenlesbaren Form gekennzeichnet. Die Anwendung selbst verarbeitet keine Nutzerdaten mittels generativer KI.

11. Downloads und Updates

Die Anwendung kann beim Start, in festgelegten Intervallen oder auf ausdrücklichen Befehl eine öffentliche, über HTTPS bereitgestellte Versionsdatei abrufen. Dabei verarbeiten die beteiligten Webserver die für einen normalen HTTPS-Abruf erforderlichen Daten, insbesondere IP-Adresse, Datum und Uhrzeit, angeforderte URL und HTTP-Methode, HTTP-Status, übertragene Datenmenge, HTTP-Header beziehungsweise User-Agent sowie Routing- und Sicherheitsinformationen. Programmversion, Betriebssystem, Sprache, Gerätekennung, Benutzername, Lizenzschlüssel, Dateinamen, Box-Inhalte und Nutzerdateien werden bei dem beschriebenen Abruf nicht an den Updateserver übermittelt. Sollte eine spätere technische Fassung weitere Angaben übertragen, wird diese Erklärung vor deren Einsatz entsprechend aktualisiert. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO für die vertragsgemäße Bereitstellung, Art. 6 Abs. 1 lit. c DSGVO für gesetzlich erforderliche Aktualisierungen und Art. 6 Abs. 1 lit. f DSGVO für sicheren Betrieb, Fehleranalyse und Missbrauchsabwehr.

Die automatische Prüfung auf eine neue Version verschafft dem Anbieter keinen Zugriff auf die installierte Anwendung. Der Anbieter kann ein Update weder fernsteuern noch heimlich starten. Ein Installationspaket wird erst heruntergeladen, nachdem der Nutzer ausdrücklich „Installieren“ gewählt hat; bei „Später“ erfolgt kein Download und keine Installation. Boxnamen, Dateien, eigene Hintergründe, Sitzungszustände, Snapshots und Lizenzschlüssel gehören nicht zur Updateprüfung. Es werden keine zusätzliche Telemetrie und keine personenbezogene Updatehistorie für Werbung, Profilbildung oder Verhaltensanalyse erstellt.

Vor einer vom Nutzer bestätigten Installation prüft die Anwendung lokal Speicherplatz, Dateigröße, SHA-256-Prüfsumme und im produktiven Windows-Kanal die digitale Signatur. Anschließend speichert sie lokal Boxzustand, Organisation und Einstellungen und erstellt, soweit technisch vorgesehen, einen lokalen Pre-Update-Snapshot. Temporärer Installer, Snapshot, Nutzerdateien, eigene Medien, Boxdaten, Einstellungen und Lizenzdaten verbleiben auf dem Endgerät und werden im Rahmen des Updatevorgangs nicht an den Anbieter oder Updateserver übertragen. Ihre lokale Aufbewahrung und Löschung richtet sich nach der dokumentierten Update-, Wiederherstellungs- und Bereinigungslogik der jeweiligen Programmversion.

Nach Inbetriebnahme des Produktionskanals wird die öffentliche Versionsdatei über https://glassdesktopbox.com/updates/stable.json bereitgestellt. Sie kann Versionsnummer, Kanal, Veröffentlichungszeit, Änderungshinweise sowie plattformspezifische Installer-Metadaten mit Dateigröße und SHA-256-Prüfsumme enthalten. Ein Paket wird nur nach vollständigem Download und erfolgreicher Größen- und Prüfsummenprüfung ausgeführt; im produktiven Windows-Kanal wird zusätzlich eine gültige digitale Codesignatur verlangt. Schlägt eine Prüfung fehl, wird der Installer nicht gestartet. Solange kein geeignetes Codesignaturzertifikat eingerichtet ist, werden Aktualisierungen nur als ausdrücklich manuell herunterzuladende Testinstaller angeboten. Zugriffsprotokolle werden ausschließlich nach Abschnitt 4 für Auslieferung, Sicherheit und Fehleranalyse verarbeitet und nach den Kriterien aus Abschnitt 27 gelöscht; eine gesonderte nutzerbezogene Updatehistorie wird nicht geführt.

12. Lokale Verarbeitung in der Desktop-Anwendung

Boxzustände, Positionen, Darstellungsoptionen, Auswahl-Tabs, lokale Verweise, Wiederherstellungsinformationen, Transferjournale und temporäre Schutzkopien werden grundsätzlich auf dem Endgerät verarbeitet. Die Anwendung soll Dateien nicht ohne eine vom Nutzer ausgelöste Remote-Funktion in eine allgemeine Cloud hochladen.

Lokale Daten unterliegen der Kontrolle des jeweiligen Geräteinhabers. Bei gemeinsam oder betrieblich genutzten Geräten ist der Betreiber für Zugriffsrechte, Sicherungen und die Zulässigkeit der Inhalte verantwortlich.

Unter Windows liegen produktive benutzerbezogene Konfigurations-, Box-, Sitzungs-, Wiederherstellungs- und Lizenzdaten getrennt vom Programmordner in den Windows-Bereichen für Roaming- beziehungsweise lokale Anwendungsdaten unter dem Anwendungsnamen GlassDesktopBox; Testinstallationen verwenden einen getrennten Testbereich. Temporäre Updatepakete liegen nur im lokalen temporären Bereich. Eine Deinstallation der Programmdateien löscht Benutzerdaten nicht automatisch, sofern der Nutzer ihre Entfernung nicht ausdrücklich auswählt. macOS und Linux sind zum Stand dieser Erklärung noch nicht veröffentlicht; deren endgültige Speicherorte werden vor ihrer Bereitstellung in der jeweiligen Produktdokumentation und dieser Erklärung ergänzt.

12a. Desktop Experiences, Animationen und Teilen-Funktion

Desktop Experiences bestehen aus lokal mitgelieferten oder vom Nutzer ausgewählten Hintergründen, Farben, Box-Anordnungen und Animationen. Das Anwenden einer Experience erfolgt grundsätzlich lokal. Eigene Bilder und Videos des Nutzers werden nicht automatisch an Glass Desktop Box oder Social-Media-Plattformen übertragen.

Die Teilen-Funktion ist nach aktuellem Stand ausschließlich für mitgelieferte Desktop Experiences und mitgelieferte Animationen vorgesehen. Sie erzeugt einen öffentlichen, sprachbezogenen Link zu einer Seite auf glassdesktopbox.com und öffnet auf Wunsch die Freigabeoberfläche oder Webadresse eines vom Nutzer gewählten Drittanbieters, beispielsweise WhatsApp, Telegram, Facebook, LinkedIn, X oder E-Mail. Glass Desktop Box meldet den Nutzer dabei nicht bei der Plattform an, erhält keine Zugangstoken und übermittelt keine Empfängerliste. Welche Daten die ausgewählte Plattform verarbeitet, bestimmt deren eigener Dienst.

Beim Öffnen des öffentlichen Links entstehen auf glassdesktopbox.com die üblichen Serverdaten nach Abschnitt 4. Nach dem gegenwärtigen Stand werden keine personalisierten Share-Codes, Empfängerprofile, Öffnungs-, Download- oder Kaufzuordnungen angelegt. Eine spätere Reichweiten- oder Conversionmessung darf erst nach gesonderter Datenschutz- und Einwilligungsprüfung aktiviert werden.

Vom Nutzer selbst hochgeladene Bilder oder Videos werden weder mit Glass-Desktop-Box-Branding versehen noch über diese Marketing-Teilen-Funktion veröffentlicht. Der Nutzer kann Medien außerhalb der Anwendung nur mit den von ihm selbst gewählten Betriebssystem- oder Drittanbieterfunktionen teilen und bleibt hierfür verantwortlich.

Die derzeitige Teilen-Funktion öffnet nach einer bewussten Auswahl öffentliche Freigabewege von WhatsApp, Telegram, Facebook, LinkedIn und X, erstellt eine E-Mail oder verwendet die Zwischenablage beziehungsweise die verfügbare Betriebssystem-Freigabe. Übergeben werden der offizielle Experience- oder Animationslink und der vom Nutzer freigegebene Nachrichtentext. Es werden keine Plattform-Zugangsdaten, OAuth-Token oder Empfängerlisten an Glass Desktop Box übermittelt. Eigene Nutzerbilder und -videos sind von dieser offiziellen Empfehlungsfunktion ausgeschlossen.

12b. ProBox-Animationssynchronisierung

Bei einer gemeinsamen ProBox-Sitzung kann für eine mitgelieferte Animation eine technische Kennung zusammen mit Abspielgeschwindigkeit und Loop-Modus an die berechtigten Teilnehmer der Sitzung übertragen werden. Jeder Teilnehmer startet die bereits lokal mitgelieferte Mediendatei auf seinem eigenen Gerät; die große Videodatei wird dabei nicht über die Sitzung übertragen. Beim Beitritt kann der aktuelle Animationszustand erneut übermittelt werden.

Eigene hochgeladene Videos bleiben lokal und werden nicht an ProBox-Teilnehmer gestreamt oder kopiert. Der Host erhält hierzu einen Hinweis; andere Teilnehmer sehen je nach Version ein Standbild, den statischen Box-Hintergrund oder keine Animation. Änderungen und Entfernen einer mitgelieferten Animation können als Sitzungszustand an verbundene Teilnehmer übermittelt werden.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Verarbeitet werden nur die für den gemeinsamen Zustand erforderlichen technischen Angaben sowie Sitzungs- und Verbindungsdaten nach den Abschnitten 14 bis 18; eigene Videoinhalte werden nicht Bestandteil dieser Synchronisierung.

13. Lizenzaktivierung und dauerhafte Gerätebindung

Zur Aktivierung, Gerätebindung, Funktionsfreischaltung und Missbrauchsabwehr können verarbeitet werden:

• kryptografischer Hash und maskierte Darstellung des Lizenzschlüssels;
• interne Kunden- und Lizenzkennung, Tarif, Status und Gültigkeit;
• Gerätekennung und vom Gerät gemeldeter Gerätename;

Eine Einzelplatzlizenz wird bei der ersten erfolgreichen Aktivierung dauerhaft genau einem Gerät zugeordnet. Eine Übertragung auf ein anderes Gerät, eine parallele Nutzung oder eine eigenständige Deaktivierung zur erneuten Aktivierung ist derzeit nicht vorgesehen. Aktivierungs- und Prüfereignisse werden zum Missbrauchsschutz und zur Nachvollziehbarkeit des Lizenzstatus verarbeitet. Der Support kann eine nachweislich fehlerhafte technische Zuordnung prüfen; hieraus entsteht kein Anspruch auf einen Gerätewechsel oder einen zusätzlichen Geräteplatz.

• Aktivierungs-, Änderungs- und Prüfzeitpunkte;
• Softwareversion, Plattform und erforderliche technische Metadaten;
• IP-Adresse und sicherheitsrelevante Ereignisse;
• Aktivierungsereignisse und Zahl zulässiger Geräte.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht im Schutz vor Lizenzmissbrauch und der Integrität des Dienstes.

Die bei der Aktivierung verwendete Lizenzstufe und das zugehörige Kontingent werden als Vertrags- und Berechtigungsstatus geführt. Verarbeitet werden die für Aktivierung, Laufzeit, Gerätezuordnung, Funktionsfreigabe und Kontingent erforderlichen technischen Angaben. Eine Einzelplatzlizenz ist genau einem aktiven Gerät zugeordnet; Roh-Lizenzschlüssel werden serverseitig nicht gespeichert, sondern als Prüfsummenwert und maskierte Darstellung geführt.

14. Remote-Einladung und Signalisierung

Zur Herstellung einer Remote-Verbindung verarbeitet der Signalisierungsdienst je nach Funktion insbesondere:

• Sitzungskennung, Rolle als Host oder Gast und Ablaufzeit;
• gehashte PIN bzw. gehashten Sitzungstoken;
• Lizenz- und Berechtigungsstatus;
• Gerätekennung, Gerätename und optionaler Anzeigename;
• öffentliche IP-Adresse, Verbindungszeitpunkte und Socket-/Verbindungsstatus;
• angeforderte Funktion, Protokollmeldungen und Fehler-/Sicherheitsereignisse.

Die Daten dienen dem Aufbau, der Autorisierung, Aufrechterhaltung und Beendigung der Sitzung sowie der Missbrauchsabwehr. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und f DSGVO.

15. Direkte P2P-Verbindungen (WebRTC)

Soweit technisch möglich, werden Dateien und Zusammenarbeitsdaten direkt zwischen den beteiligten Endgeräten übertragen. Für WebRTC können ICE, STUN, TURN, SDP und RTCPeerConnection eingesetzt werden. Dabei wird die öffentliche IP-Adresse technisch bedingt dem Verbindungspartner bzw. dessen Endgerät bekannt und durch Signalisierungs-/STUN-Systeme verarbeitet.

Bei einer direkten Verbindung erhalten unsere Server grundsätzlich nicht den vollständigen Dateiinhalt. Signalisierungs-, Lizenz-, Mengen- und Sicherheitsmetadaten können gleichwohl serverseitig verarbeitet werden. Host und Gast entscheiden selbst, welche Inhalte sie miteinander teilen.

Website-, Lizenz-, Update- und Signalisierungsverbindungen werden über HTTPS beziehungsweise TLS geschützt. Unterstützte direkte Übertragungen verwenden die vom WebRTC-/P2P-Verfahren bereitgestellte Transportverschlüsselung; bei technisch erforderlichem Relay werden Datenpakete nur für die Weiterleitung verarbeitet. Damit ist keine allgemeine Zero-Knowledge- oder über alle Funktionen hinweg einheitliche Ende-zu-Ende-Verschlüsselung zugesagt. Der konkrete Schutz hängt von Funktion, Plattform und Verbindungsweg ab.

16. TURN/Relay als Ausweichverbindung

Ist eine direkte P2P-Verbindung nicht möglich oder instabil, können verschlüsselte Datenpakete vorübergehend über einen TURN-/Relay-Server geleitet werden. Dabei verarbeitet der Server IP-Adressen, Ports, Sitzungs- und Authentifizierungsdaten, Zeitpunkte, Datenmenge und vorübergehend die zu transportierenden Pakete. Eine dauerhafte Cloud-Dateiablage ist nicht Zweck dieser Funktion.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; Sicherheits- und Kapazitätsprotokolle beruhen zusätzlich auf Art. 6 Abs. 1 lit. f DSGVO.

Relay-/TURN-Puffer dienen ausschließlich der laufenden Übertragung und werden nach Weiterleitung bzw. spätestens mit Beendigung der Sitzung verworfen. Es werden keine vollständigen übertragenen Dateien oder Chat-Inhalte in Serverbackups übernommen. Caddy führt kein allgemeines Datei-Inhalts- oder Downloadprotokoll. Systemseitig können Verbindungs-, Fehler- und Sicherheitsmeldungen einschließlich IP-Adresse und Zeitstempel entstehen; sie werden für höchstens 14 Tage aufbewahrt und danach automatisch gelöscht, sofern sie nicht wegen eines konkreten Sicherheitsvorfalls oder Rechtsanspruchs noch benötigt werden. In diesem Ausnahmefall erfolgt die Speicherung nur bis zum Abschluss der Untersuchung oder bis zum Ablauf der einschlägigen regelmäßigen Verjährungsfrist nach §§ 195, 199 BGB. Traffic-Zähler enthalten Lizenz-/Abrechnungsmonat und Byte-Menge, nicht aber Dateinamen oder Dateiinhalte. Der Server ist nicht als dauerhafter Speicher oder Entschlüsselungsarchiv für Nutzerinhalte ausgestaltet.

17. Dateien, Chat, Arbeitsbereiche und Dateimetadaten

Bei Remote-Funktionen können zwischen Host und Gast Inhalte wie Dateien, Ordnerstrukturen, Dateinamen, Größen, Typen, Änderungszeiten, Hashwerte, Auswahl-Tabs, Nachrichten und Statusmeldungen übertragen werden. Inhalt und Rechtmäßigkeit bestimmen die beteiligten Nutzer. Wir verwenden diese Inhalte nicht zu Werbe-, Profiling- oder Inhaltsanalysezwecken.

Je nach Verbindungsart laufen Inhalte direkt P2P oder vorübergehend über Relay. Sie sind nicht zur dauerhaften Speicherung auf unseren Servern bestimmt.

Nutzer dürfen keine rechtswidrigen Inhalte, Schadsoftware, unbefugt erlangte personenbezogene Daten oder Inhalte übertragen, die Rechte Dritter verletzen.

18. Browserbasierte HTTPS-Übertragung und lokale Schutzfunktionen

Bei der derzeitigen browserbasierten HTTPS-Übertragung führen wir kein serverseitiges Transferjournal und speichern keine übertragenen Dateien, Dateinamen, Zielpfade oder Papierkorbinhalte dauerhaft. Übertragungsdaten werden nur für die technische Dauer der laufenden Verbindung verarbeitet und nach Abschluss oder Abbruch verworfen. Soweit die installierte Desktop-Anwendung lokale Wiederaufnahme-, Transferjournal- oder Papierkorbfunktionen verwendet, liegen diese Informationen ausschließlich auf dem jeweiligen Endgerät und werden nicht an uns übertragen. Ihre lokale Löschung richtet sich nach der vom Nutzer ausgelösten Bereinigung, Wiederherstellung oder Deinstallation.

19. Übertragungsvolumen und Kontingente

Zur Abrechnung bzw. Durchsetzung tarifabhängiger Übertragungsgrenzen können Lizenz-/Kundenkennung, Abrechnungsmonat, Tarif und übertragene Byte-Mengen verarbeitet werden. Es ist nicht erforderlich, Dateiinhalte oder Dateinamen für die reine Mengenmessung zu speichern.

Nach dem gegenwärtig geprüften Serverstand wird das lizenzabhängige Monatsvolumen ausschließlich anhand der über den Relay-/TURN-Dienst weitergeleiteten Byte-Mengen gezählt. Direkte P2P-Daten werden nicht an den Lizenzserver gemeldet und nicht auf dieses Relay-Volumen angerechnet. Vor Beginn eines Relay-Transfers kann die technisch benötigte Menge reserviert werden; reicht das verbleibende Volumen nicht aus, wird der Relay-Transfer nicht begonnen. Lokale Organisationsfunktionen bleiben unberührt.

20. Missbrauchs-, Betrugs- und Angriffserkennung

Zum Schutz der Nutzer, Systeme und Lizenzen verarbeiten wir erforderlichenfalls IP-Adressen, Zeitstempel, Sitzungs-, Geräte- und Lizenzkennungen, fehlgeschlagene Verbindungs- oder Aktivierungsversuche, auffällige Anfragefolgen, Datenmengen, Rate-Limit-Ereignisse, Blockierungen und technische Fehlerdaten.

Zwecke sind insbesondere:

• Erkennung und Abwehr automatisierter Angriffe, Brute-Force-Versuche und Denial-of-Service;
• Verhinderung unzulässiger Lizenzweitergabe, Manipulation und Umgehung von Kontingenten;
• Schutz vor Schadsoftwareübertragung und missbräuchlicher Nutzung der Remote-Funktionen;
• Aufklärung von Sicherheitsvorfällen und Sicherung von Beweisen;
• Durchsetzung oder Verteidigung rechtlicher Ansprüche.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; bei gesetzlichen Melde- oder Auskunftspflichten zusätzlich Art. 6 Abs. 1 lit. c DSGVO. Bei konkretem Verdacht können Daten im erforderlichen Umfang an Hosting-/Sicherheitsdienstleister, Rechtsberater, Gerichte oder zuständige Behörden übermittelt werden. Es findet keine allgemeine inhaltliche Überwachung privater Dateien statt.

21. Bestellungen und Paddle als Merchant of Record

Der Verkauf kostenpflichtiger Lizenzen erfolgt nach der vorgesehenen Checkout-Struktur über Paddle als Merchant of Record und Vertragspartner des Käufers für die Zahlung. Paddle verarbeitet in eigener Verantwortung insbesondere Name, E-Mail-Adresse, Rechnungsanschrift, Land, Steuer-/Umsatzsteuerangaben, Warenkorb, Preis, Währung, Zahlungsmethode, Transaktions-, Abonnement-, Kündigungs-, Widerrufs-, Erstattungs-, IP-, Geräte- und Betrugspräventionsdaten.

Wir erhalten von Paddle nur die für Vertrag, Lizenzbereitstellung, Kundendienst, Kontingent- und Anspruchsverwaltung erforderlichen Bestell-, Kunden-, Steuer-, Abonnement- und Statusdaten. Vollständige Karten- oder PayPal-Zugangsdaten erhalten wir nicht.

Maßgeblich ist die im konkreten Paddle Checkout, in der Bestellbestätigung und auf dem Zahlungsbeleg bezeichnete Paddle-Gesellschaft. Für Paddle gelten die dort verlinkten aktuellen Buyer Terms und die Paddle Privacy Notice. Rechtsgrundlagen für unsere Verarbeitung sind Art. 6 Abs. 1 lit. b und c DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO. Soweit Paddle Daten in eigener Verantwortung verarbeitet, entscheidet Paddle über die hierfür maßgeblichen Zwecke, Rechtsgrundlagen, Empfänger und internationalen Übermittlungen.

Beim Kauf werden Zahlungs- und Abrechnungsdaten innerhalb von Paddle Checkout verarbeitet. Paddle handelt als Merchant of Record und übernimmt nach den im Checkout angezeigten Bedingungen Zahlungseinzug, Steuerberechnung, Rechnungsstellung, Erstattungen und Rückbuchungen. Maßgeblich ist die im jeweiligen Checkout und Beleg bezeichnete Paddle-Gesellschaft. Glass Desktop Box erhält nur die zur Lizenzbereitstellung, Vertragsverwaltung, Supportzuordnung und Buchhaltung erforderlichen Transaktions-, Produkt-, Status- und Kundenreferenzen; vollständige Karten- oder PayPal-Zugangsdaten werden nicht auf eigenen Systemen verarbeitet.

22. Zahlung mit PayPal innerhalb des Paddle-Checkouts

Wählt der Käufer PayPal innerhalb des Paddle-Checkouts, verarbeitet PayPal die zur Zahlung, Identitäts-/Risikoprüfung und gesetzlichen Compliance erforderlichen Konto-, Geräte-, Finanz- und Transaktionsdaten in eigener Verantwortung. Maßgeblich ist die PayPal-Datenschutzerklärung. Wir erhalten keine PayPal-Passwörter und grundsätzlich keine vollständigen Zahlungsinstrumentdaten.

PayPal kann Daten weltweit verarbeiten und setzt hierfür nach eigener Erklärung unter anderem konzerninterne Vereinbarungen, Standardvertragsklauseln oder andere gesetzliche Transferinstrumente ein.

23. Widerrufs-, Kündigungs- und Erstattungsfunktionen

Bei Betätigung eines Widerrufs- oder Kündigungsbuttons bzw. bei einer Erstattungsanfrage verarbeiten wir und gegebenenfalls Paddle:

• Name, E-Mail-Adresse und Kunden-/Bestellnummer;
• betroffene Lizenz oder das Abonnement;
• Erklärung, gewählte Aktion und optional mitgeteilten Grund;
• Zeitpunkt, Bestätigungs- und Zustellstatus;
• technische Nachweise wie IP-Adresse und Protokolleintrag, soweit zur sicheren Zuordnung und zum Nachweis erforderlich;
• Erstattungs-, Deaktivierungs- und Kommunikationsstatus.

Zweck ist die Entgegennahme und Umsetzung der Erklärung, Lizenz-/Vertragsverwaltung, Erfüllung gesetzlicher Pflichten und Nachweisführung. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und c DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO.

Bei Verträgen über nicht auf einem körperlichen Datenträger befindliche digitale Inhalte erlischt das Widerrufsrecht eines zahlungspflichtigen Verbrauchers nach § 356 Abs. 6 BGB nur, wenn mit der Vertragserfüllung begonnen wurde, nachdem der Verbraucher dem Beginn vor Ablauf der Widerrufsfrist ausdrücklich zugestimmt und seine Kenntnis vom Erlöschen bestätigt hat, und wenn die Vertragsbestätigung nach § 312f BGB bereitgestellt wurde. Die bloße Zustimmung zu AGB oder EULA genügt nicht. Die hierfür erforderlichen Checkout- und Vertragsnachweise werden vom für den konkreten Kauf verantwortlichen Vertragspartner auf Grundlage von Art. 6 Abs. 1 lit. b und c DSGVO gespeichert. Der ausschließlich lokale EULA-Zustimmungsnachweis der Anwendung wird davon getrennt behandelt und nicht an den Anbieter übertragen.

Eine Kündigung beendet das Vertragsverhältnis zum rechtlich maßgeblichen Zeitpunkt; sie ist kein Widerruf. Gegenüber Verbrauchern beträgt die Kündigungsfrist nach Ablauf der Erstlaufzeit höchstens einen Monat. Bereits vorausbezahlte Beträge werden nach den gesetzlichen und vertraglichen Vorgaben abgerechnet; Beträge für Zeiträume nach Wirksamwerden der Kündigung werden nicht allein deshalb einbehalten, weil Paddle technisch einen längeren Abrechnungszeitraum verwendet.

Zum Nachweis des elektronischen Vertragsschlusses können Transaktions-ID, Vertragssprache, UTC-Zeitpunkt, Dokumentversionen, SHA-256-Prüfsummen sowie die einzelnen Zustimmungs- und Kenntnisnahmeereignisse gespeichert werden. Dabei werden keine Benutzerdateien, Boxnamen, Hintergründe oder Dateiinhalte verarbeitet. Datenschutzinformationen werden als Kenntnisnahme dokumentiert; eine freiwillige Marketingeinwilligung wird getrennt erfasst.

24. Support und E-Mail

Bei Kontaktaufnahme verarbeiten wir Absender- und Kontaktdaten, Inhalt und Zeitpunkt der Nachricht, zugehörige Kunden-/Lizenz-/Bestelldaten sowie freiwillig übermittelte Screenshots, Diagnose- oder Logdateien. Bitte entfernen Sie nicht erforderliche personenbezogene oder vertrauliche Daten vor der Übermittlung.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei Vertragsbezug, sonst Art. 6 Abs. 1 lit. f DSGVO. Soweit gesetzliche Nachweise betroffen sind, gilt Art. 6 Abs. 1 lit. c DSGVO.

Support- und Kontaktanfragen werden bis zur abschließenden Bearbeitung und anschließend grundsätzlich für die Dauer möglicher Rückfragen oder gesetzlicher Verjährungs- und Nachweispflichten aufbewahrt. Rein allgemeine Anfragen ohne Vertragsbezug werden regelmäßig spätestens zwölf Monate nach Abschluss gelöscht. Vertrags-, Gewährleistungs- und Rechtsverteidigungsunterlagen können bis zum Ablauf der regelmäßigen Verjährung, buchungs- oder steuerrelevante Kommunikation entsprechend den gesetzlichen Aufbewahrungsfristen länger gespeichert werden. Der produktiv eingesetzte E-Mail-Dienstleister wird im internen Empfänger- und Auftragsverarbeiterverzeichnis geführt.

24a. Barrierefreiheitsanfragen und Unterstützungsbedarf

Wenn Sie eine digitale Barriere melden oder eine zugängliche Alternative anfordern, verarbeiten wir Name oder Alias, Kontaktweg, betroffene Seite oder Funktion, Beschreibung des Hindernisses, Datum und Status der Bearbeitung sowie freiwillig mitgeteilte Angaben zu Gerät, Betriebssystem, Browser oder assistiver Technik. Screenshots, Aufzeichnungen und Diagnoseinformationen werden nur verarbeitet, wenn Sie diese freiwillig übermitteln und sie für die Prüfung erforderlich sind.

Zwecke sind die Entgegennahme und Behebung von Barrieren, die Bereitstellung einer zugänglichen Alternative, die Erfüllung gesetzlicher Nachweis- und Barrierefreiheitspflichten sowie die Verbesserung von Website, Checkout, Vertragsprozessen und Software. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit BFSG und BFSGV, Art. 6 Abs. 1 lit. b DSGVO bei Vertragsbezug und Art. 6 Abs. 1 lit. f DSGVO für Qualitätssicherung und Rechtsverteidigung.

Barrierefreiheitsanfragen werden bis zur abschließenden Bearbeitung und anschließend grundsätzlich zwölf Monate für Rückfragen und Qualitätskontrolle gespeichert. Soweit ein behördliches Verfahren, eine gesetzliche Dokumentationspflicht oder die Verteidigung von Rechtsansprüchen betroffen ist, können die erforderlichen Daten bis zum Abschluss des Verfahrens beziehungsweise Ablauf der gesetzlichen Verjährungsfrist aufbewahrt werden. Meldungen können an support@glassdesktopbox.com mit dem Betreff „Barrierefreiheit“ gerichtet werden.

25. Empfänger und Rollen

Empfänger können – jeweils nur soweit erforderlich – sein:

• Hetzner und weitere technische Auftragsverarbeiter;
• Paddle als Merchant of Record und eigenständig Verantwortlicher;
• PayPal, wenn als Zahlungsart gewählt;
• E-Mail-, Signatur-, Update- oder Sicherheitsdienstleister;
• Steuerberater, Rechtsberater, Wirtschaftsprüfer, Banken;
• Behörden und Gerichte bei gesetzlicher Pflicht oder zur Rechtsverteidigung;
• der vom Nutzer gewählte Remote-Kommunikationspartner.

Bei betrieblicher Nutzung ist regelmäßig das nutzende Unternehmen für seine Mitarbeiter-, Kunden- und Projektdaten verantwortlich. Host und Gast können für die von ihnen ausgewählten und übertragenen Inhalte jeweils eigene datenschutzrechtliche Verantwortung tragen. Soweit Glass Desktop Box personenbezogene Daten im Auftrag eines Geschäftskunden verarbeitet, ist vor dem Einsatz zu prüfen, ob eine Vereinbarung nach Art. 28 DSGVO erforderlich ist.

Für Geschäftskunden, die personenbezogene Daten Dritter in eigener Verantwortung verarbeiten, wird – soweit Glass Desktop Box dabei rechtlich als Auftragsverarbeiter tätig wird – eine Vereinbarung nach Art. 28 DSGVO einschließlich technischer und organisatorischer Maßnahmen sowie der eingesetzten Unterauftragsverarbeiter bereitgestellt. Wo Glass Desktop Box lediglich eine direkte P2P-Verbindung ermöglicht und keinen Zugriff auf die Inhalte erhält, bleiben Host und Gast für Auswahl, Rechtsgrundlage und Inhalt ihrer Übertragung verantwortlich.

26. Drittlandübermittlungen

Wir bevorzugen Verarbeitung in Deutschland bzw. im Europäischen Wirtschaftsraum. Bei Paddle, PayPal, Google/YouTube oder deren Unterauftragnehmern kann eine Übermittlung in das Vereinigte Königreich, die USA oder andere Drittländer stattfinden. Sie erfolgt nur bei Vorliegen der Voraussetzungen der Art. 44 ff. DSGVO, etwa aufgrund eines Angemessenheitsbeschlusses, geeigneter Garantien wie EU-Standardvertragsklauseln oder einer gesetzlichen Ausnahme. Details ergeben sich ergänzend aus den Datenschutzhinweisen des jeweiligen Empfängers.

27. Speicherdauer

Wir speichern Daten nur so lange, wie der jeweilige Zweck besteht und keine gesetzlichen oder berechtigten Gründe entgegenstehen:

Für die Löschung gelten folgende Fristen: flüchtige Sitzungs-, TURN- und Relay-Daten werden spätestens mit Sitzungsende gelöscht; technische Verbindungs-, Caddy-, Signalisierungs-, Fehler- und Sicherheitslogs grundsätzlich nach 14 Tagen; fehlgeschlagene Aktivierungs- und Missbrauchssperrdaten grundsätzlich nach 90 Tagen. Bei einem konkreten Sicherheitsvorfall dürfen erforderliche Daten bis zum Abschluss der Untersuchung oder Rechtsverteidigung gespeichert werden. Monatliche, inhaltsfreie Mengenzähler werden nach Vertragsende und Ablauf der erforderlichen Nachweisfrist gelöscht. Paddle-Webhook- und Vertragsstatusdaten werden für die Vertragsdauer und anschließend grundsätzlich drei Jahre zur Anspruchsverteidigung gespeichert. Handels- und Geschäftsbriefe werden sechs Jahre, Buchungsbelege acht Jahre und die in § 147 Abs. 1 Nr. 1 und 4a AO genannten Unterlagen zehn Jahre aufbewahrt. Supportvorgänge ohne Vertrags- oder Sicherheitsbezug sowie erledigte Barrierefreiheitsanfragen werden grundsätzlich zwölf Monate nach Abschluss gelöscht; Widerrufs-, Zustimmungs-, Kündigungs-, Erstattungs- und Vertragsbestätigungsnachweise werden für die Vertragsdauer und anschließend bis zum Ablauf der regelmäßigen Verjährungsfrist gespeichert.

28. Automatisierte Entscheidungen und Profiling

Wir treffen nach aktuellem Produktstand keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung und erstellen keine Werbeprofile. Technische Rate-Limits oder Sicherheitsblockierungen können automatisiert erfolgen; eine berechtigte Überprüfung kann über den Support verlangt werden.

Paddle oder PayPal können in eigener Verantwortung automatisierte Risiko-, Betrugs-, Compliance- oder Zahlungsentscheidungen treffen. Einzelheiten und Rechte ergeben sich aus deren Datenschutzhinweisen.

29. Datensicherheit

Wir setzen angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO ein. Dazu können Transportverschlüsselung, gehashte Lizenz-/Sitzungsgeheimnisse, kurzlebige Zugangsdaten, Zugriffsbeschränkungen, Protokollierung sicherheitsrelevanter Ereignisse, Rate-Limits, Updates und Sicherungsmaßnahmen gehören.

Keine Übertragung und kein System kann absolute Sicherheit garantieren. Nutzer sind für die Wahl ihrer Inhalte, Geräteschutz, Zugangsdaten, Betriebssystemupdates, Schadsoftwareabwehr und unabhängige Datensicherungen mitverantwortlich.

Zu den technischen und organisatorischen Maßnahmen gehören insbesondere rollen- und zweckbezogene Zugriffsrechte, getrennte Test- und Produktionsumgebungen, sichere Verwaltung von Umgebungsvariablen und Schlüsseln, TLS-geschützte Übertragung, Größen- und Missbrauchsbegrenzungen, Protokollierung sicherheitsrelevanter Ereignisse, Prüfsummen- und Signaturprüfung von Updates, gesicherte Wiederherstellungsabläufe, regelmäßige Aktualisierung eingesetzter Komponenten sowie ein Verfahren zur Entgegennahme, Bewertung und Behebung gemeldeter Schwachstellen. Einzelheiten werden risikobezogen in internen Sicherheitsunterlagen gepflegt.

30. Datenschutzverletzungen

Datenschutzverletzungen werden bewertet, dokumentiert und – soweit Art. 33 DSGVO dies verlangt – innerhalb der gesetzlichen Frist der zuständigen Aufsichtsbehörde gemeldet. Bei voraussichtlich hohem Risiko werden betroffene Personen nach Art. 34 DSGVO informiert. Meldungen zu vermuteten Sicherheitsvorfällen können an support@glassdesktopbox.com gerichtet werden.

30a. Sicherheitsmeldungen und Cyber Resilience Act

Für Meldungen zu Schwachstellen und Sicherheitsvorfällen können Name oder Alias, Kontaktdaten, betroffene Version und Plattform, technische Beschreibung, Zeitpunkte, Protokollauszüge und freiwillig übermittelte Nachweise verarbeitet werden. Bitte übermitteln Sie keine Nutzerdateien oder personenbezogenen Inhalte, sofern dies für die Prüfung nicht zwingend erforderlich ist.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. c DSGVO zur Erfüllung gesetzlicher Cybersicherheits-, Dokumentations- und Meldepflichten sowie Art. 6 Abs. 1 lit. f DSGVO für sichere Fehleranalyse, koordinierte Schwachstellenbehandlung, Schutz der Nutzer und Rechtsverteidigung. Soweit erforderlich, können Informationen an Hosting- oder Sicherheitsdienstleister, die zuständigen CSIRTs, ENISA, Marktüberwachungs- oder Strafverfolgungsbehörden übermittelt werden. Daten werden nur so lange gespeichert, wie dies für Behebung, Nachweis, gesetzliche Meldung und Verjährungsfristen erforderlich ist.

Die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle nach Art. 14 der Verordnung (EU) 2024/2847 gelten ab dem 11. September 2026; die weiteren Hauptpflichten der Verordnung gelten grundsätzlich ab dem 11. Dezember 2027. Die internen Prozesse werden vor den jeweiligen Stichtagen eingerichtet.

Sicherheitsmeldungen können an support@glassdesktopbox.com mit dem Betreff „Sicherheitsmeldung“ gerichtet werden. Der Anbieter dokumentiert Eingang, Kritikalität, betroffene Version, Abhilfemaßnahmen und erforderliche Benachrichtigungen. Die gesetzlichen Meldeabläufe für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle werden spätestens zu ihrem jeweiligen Geltungsbeginn in ein formelles Coordinated-Vulnerability-Disclosure- und Eskalationsverfahren überführt.

31. Rechte betroffener Personen

Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen das Recht auf:

• Auskunft (Art. 15 DSGVO);
• Berichtigung (Art. 16 DSGVO);
• Löschung (Art. 17 DSGVO);
• Einschränkung der Verarbeitung (Art. 18 DSGVO);
• Unterrichtung von Empfängern (Art. 19 DSGVO);
• Datenübertragbarkeit (Art. 20 DSGVO);
• Widerspruch (Art. 21 DSGVO);
• Widerruf einer Einwilligung für die Zukunft (Art. 7 Abs. 3 DSGVO);
• Schutz vor ausschließlich automatisierten Entscheidungen (Art. 22 DSGVO).

Anfragen richten Sie an support@glassdesktopbox.com. Zur Verhinderung unbefugter Auskünfte können wir einen angemessenen Identitätsnachweis verlangen. Die Rechte können gesetzlichen Einschränkungen unterliegen.

32. Besonderer Hinweis zum Widerspruch

Werden Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeitet, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht weiter, sofern keine zwingenden schutzwürdigen Gründe oder Gründe zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen bestehen. Direktwerbung findet nach aktuellem Stand nicht statt; einem etwaigen Einsatz kann jederzeit ohne Begründung widersprochen werden.

33. Beschwerderecht

Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren. Für den Verantwortlichen zuständig ist insbesondere:

Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg

Stahnsdorfer Damm 77

14532 Kleinmachnow

Telefon: +49 33203 356-0

E-Mail: Poststelle@LDA.Brandenburg.de

Website: https://www.lda.brandenburg.de ↗

34. Minderjährige

Das Angebot richtet sich nicht gezielt an Kinder. Verträge über kostenpflichtige Lizenzen dürfen nur von geschäftsfähigen Personen oder mit erforderlicher Zustimmung geschlossen werden. Erlangen wir Kenntnis von unzulässig verarbeiteten Kinderdaten, werden diese nach Prüfung gelöscht, sofern keine Aufbewahrungspflicht besteht.

35. Keine Veräußerung und keine Werbenutzung von Dateiinhalten

Wir verkaufen keine personenbezogenen Daten. Geteilte Datei-, Chat- oder Workspace-Inhalte werden nicht zum Aufbau von Werbeprofilen, zum Training allgemeiner KI-Modelle oder zur personalisierten Werbung verwendet.

36. Änderungen

Wir passen diese Erklärung an, wenn sich Funktionen, Dienstleister oder Rechtslage ändern. Wesentliche Änderungen werden in angemessener Form bekannt gegeben. Maßgeblich ist die veröffentlichte Fassung mit Datumsangabe.

37. Kontakt

Datenschutzanfragen: support@glassdesktopbox.com

Michael Hans-Josef Höhne

Rangsdorfer Software Company

Akazienweg 13

15834 Rangsdorf

Deutschland