Datenschutzerklärung

zyntix UG (haftungsbeschränkt), Torstraße 105–107, 10119 Berlin, vertreten durch die Geschäftsführer Sascha Braun und Sebastian Haggenmiller. Erreichbar unter info@kustix.de und +49 30 9210 6601.

Einen Datenschutzbeauftragten haben wir nicht bestellt, weil die Voraussetzungen des § 38 BDSG bei uns nicht vorliegen. Fragen zum Datenschutz beantworten die Geschäftsführer unter der genannten Adresse.

Diese Website setzt keine Cookies, bindet keine Analyse- oder Werbedienste ein und lädt keine Inhalte von fremden Servern. Keine Schriftarten von Google, kein CDN, keine eingebetteten Videos, keine Karten. Ihr Browser spricht ausschließlich mit unserem Server. Deshalb gibt es hier auch kein Einwilligungsbanner: Es gäbe nichts, worin Sie einwilligen könnten.

Beim Abruf entstehen technisch bedingt Zugriffsprotokolle. Darin stehen IP-Adresse, Zeitpunkt, aufgerufene Adresse, übertragene Datenmenge, Statuscode sowie die von Ihrem Browser gemeldete Kennung und gegebenenfalls die verweisende Seite. Wir nutzen diese Einträge, um die Seite auszuliefern und Angriffe zu erkennen. Außerdem zählen wir daraus aus, wie oft welche Seite abgerufen wurde. Diese Auszählung läuft auf einem eigenen Server in Deutschland, allein aus diesen Protokolleinträgen: Ihr Browser sendet dafür nichts zusätzlich und speichert nichts. Ihre IP-Adresse wird dabei um zwei Blöcke gekürzt, und die Zähldaten werden nach 90 Tagen gelöscht. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Betrieb und an der Kenntnis, wie die Seite genutzt wird (Art. 6 Abs. 1 lit. f DSGVO). Die Protokolldateien werden fortlaufend rotiert, ältere Einträge dabei automatisch überschrieben und nicht archiviert. Eine Zusammenführung mit anderen Daten findet nicht statt.

Damit mehrere Abrufe als ein Besuch gezählt werden, bildet die Auszählung aus IP-Adresse und Browserkennung einen Prüfwert (Hash). Darin fließt ein Zufallswert ein, der täglich wechselt, sodass Sie an einem anderen Tag nicht wiedererkannt werden. Ihre vollständige IP-Adresse wird dabei nicht gespeichert.

Die Übertragung ist durchgehend verschlüsselt (TLS). Aufrufe über www.kustix.de werden auf die Hauptadresse umgeleitet.

Website und Dienst laufen auf eigenen Servern, die wir bei der netcup GmbH, Karlsruhe, im Rechenzentrum Nürnberg angemietet haben. netcup ist dabei unser Auftragsverarbeiter nach Art. 28 DSGVO. Die Sicherungen der Datenbank liegen bei der Hetzner Online GmbH, Gunzenhausen, verschlüsselt und mit einem Schlüssel, der unseren Server nie verlässt. Hetzner liegen damit ausschließlich unlesbare Daten vor. Beide Standorte sind in Deutschland.

Schreiben Sie uns an info@kustix.de, verarbeiten wir Ihre Nachricht samt Absenderangaben, um sie zu beantworten (Art. 6 Abs. 1 lit. b und lit. f DSGVO). Unser Mailserver ist ein eigener, Ihre Nachricht geht nicht durch einen fremden Maildienst. Geschäftskorrespondenz bewahren wir so lange auf, wie es die handels- und steuerrechtlichen Fristen verlangen, und löschen sie danach.

Der Dienst ist noch nicht im Betrieb. Heute ist kein Gerät eingeschrieben, und es werden keine Gerätedaten verarbeitet, weil die dafür nötige Freigabe von Google aussteht. Was hier steht, beschreibt also nicht, was wir tun, sondern was gelten wird, sobald ein Betrieb Kustix einsetzt. Wir schreiben es trotzdem jetzt auf, damit man uns daran messen kann.

Setzt ein Betrieb Kustix ein, verarbeiten wir die dabei anfallenden Daten in seinem Auftrag (Art. 28 DSGVO). Verantwortlich im Sinne der DSGVO ist der Betrieb als Arbeitgeber. Wir handeln auf seine Weisung und schließen mit ihm einen schriftlichen Vertrag zur Auftragsverarbeitung, in dem Google als Unterauftragsverarbeiter benannt ist.

Verarbeitet werden Geräteangaben, keine Inhalte. Dazu gehören die von Google vergebene Gerätekennung, Hersteller, Modell, Android-Version und Sicherheitspatchstand, die Frage, ob das Gerät den vom Betrieb gesetzten Vorgaben entspricht und seit wann nicht, der Zeitpunkt der letzten Meldung, die auf dem Gerät zugelassenen Apps sowie die Aufträge, die ein Verwalter erteilt hat. Dazu kommen die Angaben, die der Betrieb selbst vergibt: eine Bezeichnung für das Gerät, eine Inventarnummer und der Name der Person, die es benutzt. Nicht verarbeitet werden Inhalte: keine Nachrichten, keine Fotos, keine Anrufliste, kein Browserverlauf, keine privaten Dateien.

Damit eine Meldung von Google nachvollziehbar bleibt, bewahren wir sie zusätzlich in ihrer ursprünglichen Form auf, also so, wie Google sie geschickt hat, bevor wir sie auswerten. Das ist der Beleg dafür, was zu welchem Zeitpunkt gemeldet wurde, und geht im Umfang nicht über das hinaus, was oben aufgezählt ist.

Wie lange. Gerätedaten bewahren wir für die Dauer des Vertrags mit dem Betrieb auf und löschen sie danach, sobald der Betrieb es verlangt, spätestens drei Monate nach Vertragsende. Eine Ausnahme gilt für den Prüfpfad über erteilte Aufträge. Er ist der Nachweis, wer wann ein Gerät gelöscht hat, und wird deshalb zehn Jahre aufbewahrt. Genau dafür existiert er, und er wäre wertlos, wenn er mit dem Vorgang verschwände. Rohmeldungen werden nach der Auswertung nicht dauerhaft benötigt und regelmäßig gelöscht.

Keine Standortdaten. Kustix nutzt weder Googles Lost Mode noch das Abonnement der Nutzungsprotokolle (USAGE_LOGS). Es gibt in der Anwendung keine Ansicht, in der ein Verwalter sehen könnte, wo sich ein Gerät befindet. Nicht, weil sie abgeschaltet wäre, sondern weil diese Daten uns nicht erreichen.

Ein Verwalter des Betriebs kann ein Gerät sperren, das Passwort zurücksetzen sowie das Arbeitsprofil oder das gesamte Gerät zurücksetzen. Die beiden löschenden Aktionen sind an eine Freigabe gebunden: entweder durch eine zweite Person oder, wo es die nicht gibt, mit erneuter Anmeldung und fünfzehn Minuten Wartezeit, in denen der Auftrag abgebrochen werden kann. Jeder dieser Schritte wird protokolliert, samt Zeitpunkt, handelnder Person und Begründung. Die Einträge sind zu einer Kette verknüpft, in der jeder Eintrag den vorherigen absichert. Eine nachträgliche Änderung lässt sich damit nicht verbergen, sie wird bei der Prüfung sichtbar. Der Betrieb kann diese Prüfung selbst anstoßen.

Beschäftigte, deren Diensthandy verwaltet wird, können sich an ihren Arbeitgeber wenden, um zu erfahren, was über ihr Gerät gespeichert ist. Fragt uns ein Beschäftigter direkt, leiten wir die Anfrage an den verantwortlichen Betrieb weiter und unterstützen bei der Auskunft.

Die Verwaltung von Android-Geräten läuft technisch über die Android Management API von Google. Auf dem Gerät selbst setzt Googles Android Device Policy die Vorgaben durch, ein Bestandteil des Systems und keine Software von uns. Google verarbeitet dabei Gerätedaten als Unterauftragsverarbeiter unter seinen Bedingungen für Android Enterprise. Daten können dabei auch außerhalb der EU verarbeitet werden, abgesichert über die Standardvertragsklauseln der EU-Kommission und die Zertifizierung nach dem EU-US Data Privacy Framework.

Soweit wir Daten auf Grundlage unseres berechtigten Interesses verarbeiten (Art. 6 Abs. 1 lit. f DSGVO), also die Zugriffsprotokolle dieser Website und die Bearbeitung Ihrer E-Mail, haben Sie das Recht, dieser Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit zu widersprechen (Art. 21 Abs. 1 DSGVO). Legen Sie Widerspruch ein, verarbeiten wir die betreffenden Daten nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung oder Verteidigung von Rechtsansprüchen.

Eine formlose Nachricht an info@kustix.de genügt. Eine Begründung hilft uns bei der Abwägung, ist aber keine Voraussetzung dafür, dass wir den Widerspruch bearbeiten.

Sie können Auskunft über die zu Ihnen gespeicherten Daten verlangen (Art. 15 DSGVO) sowie Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine Anfrage an info@kustix.de genügt, eine Form ist nicht vorgeschrieben.

Sie können sich außerdem bei einer Aufsichtsbehörde beschweren. Für uns zuständig ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit, datenschutz-berlin.de.

Eine automatisierte Entscheidungsfindung oder ein Profiling im Sinne von Art. 22 DSGVO findet nicht statt. Sie sind nicht verpflichtet, uns Daten bereitzustellen. Ohne Kontaktangaben können wir eine Anfrage allerdings nicht beantworten.

Ändert sich der Dienst, ändern wir diese Erklärung mit. Maßgeblich ist die hier veröffentlichte Fassung mit dem oben genannten Stand.