Datenschutzerklärung

Für die Verbindung ins Internet nutzen wir [Anbieter der Internetanbindung]. Zusätzlich leiten wir den Datenverkehr über einen gemieteten virtuellen Server bei [Anbieter und Sitz des vorgeschalteten virtuellen Servers], damit die Website unter einer festen Adresse erreichbar ist. Die Verbindung dorthin ist verschlüsselt, und die HTTPS-Verschlüsselung endet erst auf unserem eigenen Server. Diese Dienstleister sehen deshalb nur technisch notwendige Verbindungsdaten wie IP-Adressen und Zeitpunkte, aber keine Inhalte. [Mit dem Anbieter des virtuellen Servers haben wir einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen.]

Auch unser Mailserver läuft auf diesem eigenen Server. E-Mails an uns leitet der virtuelle Server an ihn weiter, und E-Mails von uns gehen über dessen feste Adresse hinaus. Ob E-Mails auf diesem Weg verschlüsselt sind, hängt auch vom Mailserver der Gegenseite ab – heute nutzen fast alle Transportverschlüsselung (STARTTLS).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO – unser berechtigtes Interesse, die Website sicher und zuverlässig bereitzustellen.

Zweck: die Website ausliefern, Fehler finden sowie Angriffe erkennen und abwehren. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Die Logfiles werden nach 14 Tagen automatisch gelöscht. Wir führen sie nicht mit anderen Daten zusammen und bilden daraus keine Profile. Nur wenn ein konkreter Sicherheitsvorfall aufgeklärt werden muss, bewahren wir die betroffenen Einträge so lange auf, wie das dafür nötig ist.

• Beim Aufruf einer Seite schickt ein kleines Skript eine Meldung an unseren eigenen Server: den Pfad der Seite, die Adresse der vorherigen Seite (davon speichern wir nur den Domainnamen), die Breite des Browserfensters (daraus und aus der Browser-Kennung leiten wir nur eine grobe Geräteklasse wie „Handy“ oder „Desktop“ ab) und gegebenenfalls Kampagnen-Angaben aus der Adresse (utm_source, utm_medium, utm_campaign).
• Unser Server bildet daraus eine Tages-Kennung: Er verknüpft deine IP-Adresse und die Browser-Kennung (User-Agent) mit einem Zufallswert, der nur einen Tag gilt, und berechnet daraus einen gekürzten Einweg-Hash. Die IP-Adresse selbst wird nicht gespeichert.
• Der Zufallswert wird täglich gewechselt und der alte gelöscht. Danach kann niemand – auch wir nicht – die Kennung einer IP-Adresse zuordnen oder dich an einem anderen Tag wiedererkennen.
• Wir speichern nichts auf deinem Gerät (keine Cookies, kein Local Storage) und nutzen kein Fingerprinting.
• Hast du in deinem Browser „Do Not Track“ oder „Global Privacy Control“ aktiviert, sendet das Skript gar nichts. Ohne JavaScript findet ebenfalls keine Zählung statt.

Offensichtliche Bots und ungewöhnlich viele Aufrufe filtern wir heraus. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO – unser berechtigtes Interesse, unser Angebot anhand zusammengefasster Nutzungszahlen zu verbessern. Die Einzeldaten löschen wir nach 400 Tagen automatisch.

Kartenöffnungen: Öffnest du eine Anbieter-Karte im Text, zählen wir das als Tagessumme je Karte und Seite – ohne Cookies, ohne Kennung in der Datenbank und gar nicht bei „Do Not Track“ oder „Global Privacy Control“. Gegen Doppelzählung prüft unser Server kurz die oben beschriebene Tages-Kennung, nur im Arbeitsspeicher. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO – unser berechtigtes Interesse zu erkennen, welche Karten hilfreich sind.

Was wir beim Klick speichern

• eine zufällige Klick-Nummer
• den Partner sowie Datum und Uhrzeit
• die Seite und die Stelle, an der der Link stand, und die Sprache
• die Geräteklasse und den Domainnamen der vorherigen Seite
• die Tages-Kennung wie bei der Reichweitenmessung – ohne IP-Adresse
• ob der Klick gültig ist: Bots, doppelte Klicks und veränderte Links zählen wir nicht als gültig

Wir setzen dabei kein Cookie.

Was an den Anbieter geht

Wir leiten dich an die Adresse des Anbieters weiter. Hat der Anbieter ein Partnerprogramm, enthält diese Adresse unsere Partnerkennung und die zufällige Klick-Nummer. Dein Browser teilt dem Anbieter außerdem mit, dass du von blockchain21.net kommst – nicht, von welcher Seite genau. Name, E-Mail-Adresse oder andere persönliche Angaben geben wir nicht weiter; wir kennen sie gar nicht.

Was uns der Anbieter zurückmeldet

Kommt über den Klick ein Abschluss zustande, etwa eine Kontoeröffnung oder ein Kauf, meldet uns der Anbieter oder sein Partnernetzwerk die Klick-Nummer, die Art des Abschlusses, die Höhe unserer Provision und deren Status. Namen, Kontaktdaten oder Einzelheiten deiner Käufe erhalten wir nicht.

Was beim Anbieter passiert

Sobald du auf der Website des Anbieters bist, gilt dessen Datenschutzerklärung. Anbieter und Partnernetzwerke (derzeit zum Beispiel FirstPromoter, Impact, Oshi) setzen dort in der Regel eigene Cookies oder ähnliche Techniken ein, um zu erkennen, dass du über uns gekommen bist, und fragen dafür gegebenenfalls deine Einwilligung ab. Dafür sind sie selbst verantwortlich. Welche Anbieter unsere Partner sind, steht auf der Seite So finanzieren wir uns.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO – unser berechtigtes Interesse, Provisionen korrekt und manipulationssicher abzurechnen und damit unser kostenloses Angebot zu finanzieren. Klickdaten löschen wir nach 400 Tagen. Klicks, zu denen ein Abschluss gemeldet wurde, bewahren wir zusammen mit den Abrechnungsdaten so lange auf, wie Steuer- und Handelsrecht es verlangen (Art. 6 Abs. 1 lit. c DSGVO).

Double-Opt-in: Nach der Anmeldung schicken wir dir eine E-Mail mit einem Bestätigungslink, der 7 Tage gültig ist. Erst wenn du die Anmeldung damit bestätigst, bist du angemeldet. So kann niemand fremde Adressen eintragen. Unbestätigte Anmeldungen löschen wir nach 30 Tagen.

Schutz vor Missbrauch: Das Formular enthält ein unsichtbares Feld und eine Zeitprüfung. Außerdem begrenzen wir die Zahl der Anmeldeversuche; dafür speichern wir einen mit einem geheimen Schlüssel gebildeten Hash deiner IP-Adresse – nicht die IP-Adresse selbst – und löschen ihn nach spätestens 24 Stunden.

Kein Tracking: Unsere E-Mails enthalten keine Zählpixel. Wir messen nicht, ob oder wann du eine E-Mail öffnest oder welche Links du anklickst. Links zu Partnern laufen wie auf der Website über unsere Weiterleitung – ohne Bezug zu deiner E-Mail-Adresse.

Inhalt: neue Artikel und Werkzeuge, wichtige Änderungen etwa bei Regulierung und Steuern, Sicherheitstipps und gelegentlich Hinweise auf Angebote unserer Partner – immer als Werbung gekennzeichnet.

Versand: Wir verschicken die E-Mails über unseren eigenen Mailserver, der auf unserem Server neben der Website läuft.

Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Die Protokollierung der Anmeldung dient dem Nachweis deiner Einwilligung (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO).

Abmelden kannst du dich jederzeit über den Link in jeder E-Mail oder mit einer kurzen Nachricht an support@blockchain21.net. Danach bekommst du keinen Newsletter mehr, und wir löschen deine Adresse innerhalb von 30 Tagen vollständig. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt.

Anmeldung per Link statt Passwort

Du gibst deine E-Mail-Adresse ein, und wir schicken dir einen Anmeldelink. Er gilt 15 Minuten und nur einmal; beim ersten Einlösen legen wir das Konto an. Die E-Mail enthält nur den Link – keine Werbung, keine Partnerlinks. Hast du den Link nicht angefordert, ignoriere die E-Mail einfach: Ohne Einlösen entsteht kein Konto. Angeforderte Links löschen wir nach einem Tag.

Gegen Missbrauch begrenzen wir die Zahl der Anmeldelinks je Adresse, je Anschluss und insgesamt pro Tag. Dafür speichern wir einen mit geheimem Schlüssel gebildeten Hash deiner IP-Adresse – nicht die IP-Adresse selbst – und löschen ihn nach spätestens 24 Stunden. Auch ein solcher Hash ist nach der DSGVO noch ein personenbezogenes Datum.

Was wir speichern

• deine E-Mail-Adresse, auf Wunsch einen Anzeigenamen, deine Sprache
• die Zeitpunkte von Registrierung, Bestätigung der Adresse und letzter Anmeldung
• die Fassung dieser Datenschutzhinweise, die dir bei der Registrierung angezeigt wurde
• deine Merkliste und deinen Lernfortschritt (Etappen, Checks, Ziel, Ausrüstung, Checklisten), soweit du sie abgleichst
• registrierte Nachweise (Urkunden) mit Prüfcode – deinen Namen darauf nur, wenn du das ausdrücklich möchtest
• ein Sitzungs-Cookie (__Host-b21_konto), das dich 30 Tage angemeldet hält

Keine Verknüpfung mit Werbung: Dein Konto verbinden wir weder mit der Reichweitenmessung noch mit Klicks auf Partnerlinks oder Provisionsdaten. Wir bilden keine Profile und schicken dir über das Konto keine Werbung.

Abgleich zwischen deinen Geräten

Dein Browser bleibt die Hauptquelle. Bist du angemeldet, gleicht die Seite Merkliste und Fortschritt mit unserem Server ab. Hat ein Browser schon Fortschritt gespeichert, fragen wir beim ersten Abgleich, ob er in dein Konto übernommen werden soll.

Öffentlich prüfbare Urkunde

Die Urkunde zum Lernpfad entsteht nur in deinem Browser. Registrierst du sie freiwillig, kann jede Person mit dem Prüfcode sehen, welche Art von Urkunde wann ausgestellt wurde und ob sie noch gilt. Deinen Namen zeigen wir dort nur, wenn du ausdrücklich einwilligst. Die Einwilligung kannst du jederzeit widerrufen; dann entfernen wir den Namen.

Löschen

Du kannst dein Konto jederzeit selbst löschen. Wir löschen es dann sofort mit Merkliste, Fortschritt und Sitzungen; registrierte Urkunden werden widerrufen und der Name entfernt. Vorher kannst du alle Daten als Datei herunterladen. Hast du dich 24 Monate nicht angemeldet, schicken wir dir einen Hinweis und löschen das Konto 30 Tage später. In unseren verschlüsselten Sicherungskopien bleiben die Daten höchstens 12 Monate erhalten; müssten wir eine Sicherung zurückspielen, löschen wir inzwischen gelöschte Konten erneut.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO – der Nutzungsvertrag über das freiwillige Konto (Nutzungsbedingungen). Das Sitzungs-Cookie ist für die Anmeldung, die du nutzt, unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Missbrauchsschutz: Art. 6 Abs. 1 lit. f DSGVO. Name auf der Urkunde: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Diese Daten verlassen dein Gerät nicht. Sie werden weder an uns noch an Dritte übertragen, und wir können sie nicht einsehen – es sei denn, du hast ein Leserkonto und bist angemeldet: Dann gleichen wir Merkliste und Lernfortschritt mit unserem Server ab. Du kannst die Daten im Browser jederzeit löschen: über die Zurücksetzen-Schaltflächen oder indem du die Websitedaten für blockchain21.net in deinem Browser löschst.

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG – die Speicherung ist unbedingt erforderlich, damit die Funktion arbeitet, die du ausdrücklich nutzt, zum Beispiel eine abhakbare Checkliste.

Wie wir die Daten unserer Team-Mitglieder verarbeiten (Anmeldung, Postfächer, Protokolle der Einsicht), beschreibt eine interne Richtlinie, die jedes Team-Mitglied vor dem ersten Postfachzugriff erhält und bestätigt.

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG für das Cookie; Art. 6 Abs. 1 lit. b und f DSGVO für Anmeldung, Schutz und Protokolle.

Unser eigener Mailserver

E-Mails an Adressen bei blockchain21.net empfängt und verschickt unseren eigenen Mailserver, der auf unserem Server neben der Website läuft – wir nutzen keinen externen E-Mail-Anbieter. Dabei verarbeitet der Mailserver neben dem Inhalt auch Absender- und Empfängeradresse, Zeitpunkte, technische Kopfzeilen sowie IP-Adresse und Namen des einliefernden Mailservers. Seine Protokolle (Verbindungen, Zustellungen, Zugriffe der Anwendung) löschen wir nach 30 Tagen. Neue E-Mails meldet der Mailserver unserer Website nur mit technischen Kennungen, damit das Team sie angezeigt bekommt.

Schutz vor Spam und Betrug

Jede eingehende E-Mail prüft der Mailserver automatisch: ob sie wirklich von der angegebenen Domain stammt (SPF, DKIM, DMARC – dafür fragt er das DNS der Absender-Domain ab), ob der einliefernde Server auf öffentlichen Sperrlisten steht ([abgefragte Sperrlisten und Sitz ihrer Betreiber]; übermittelt wird nur die Adresse bzw. Domain des einliefernden Servers) und ob Inhalt und Aufbau auf Spam hindeuten. Als Spam erkannte E-Mails landen in einem Spam-Ordner und werden nach [Anzahl] Tagen automatisch gelöscht. Für unsere Domain erstellt und empfängt der Mailserver außerdem technische Zustellberichte (DMARC- und TLS-Berichte) mit IP-Adressen von Mailservern und Nachrichtenzahlen, aber ohne Inhalte. Bilder aus dem Internet in empfangenen E-Mails laden wir nicht automatisch.

Wer deine E-Mail liest

Deine E-Mail lesen die Team-Mitglieder, die das jeweilige Postfach bearbeiten. Sie melden sich nur über unsere Website an, mit Passwort und – bei Team-Konten immer – einem zweiten Faktor. Unsere Postfächer dürfen ausschließlich dienstlich genutzt werden. Ist ein Team-Mitglied abwesend oder muss ein Vorgang geklärt werden, kann die Administration ein Postfach einsehen – nur aus festgelegten Anlässen (Vertretung, konkreter Geschäftsvorfall, Compliance, Technik, rechtliche Pflicht), mit schriftlichem Grund, zeitlich begrenzt und lückenlos protokolliert. Diese Protokolle bewahren wir 3 Jahre nach Ende des Kalenderjahres auf.

Aufbewahrung

Geschäftliche E-Mails sind Handels- und Geschäftsbriefe, die wir nach Steuer- und Handelsrecht aufbewahren müssen. Wir archivieren deshalb ein- und ausgehende E-Mails – außer Spam – unveränderbar: Geschäftsbriefe 6 Jahre, Buchungsbelege wie Rechnungen und Provisionsabrechnungen 8 Jahre, automatische Berichte und Benachrichtigungen 1 Jahr, jeweils ab Ende des Kalenderjahres. Möchtest du, dass wir deine E-Mail vorher löschen, schränken wir die Verarbeitung ein: Sie ist dann für Suche und Anzeige gesperrt und nur noch für eine Betriebsprüfung oder einen Rechtsstreit abrufbar; nach Fristende löschen wir sie (Art. 17 Abs. 3 lit. b, Art. 18 DSGVO). E-Mails, die nicht aufbewahrt werden müssen, löschen wir, wenn dein Anliegen erledigt ist.

Unsere Antworten

Antworten wir dir, geht die E-Mail von unserem Mailserver an den Mailserver deines E-Mail-Anbieters, der dafür selbst verantwortlich ist. Unsere E-Mails enthalten keine Zählpixel und keine Lesebestätigungen. Unsere Signatur verweist auf diese Datenschutzhinweise.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. f DSGVO – unser berechtigtes Interesse, Anfragen zu beantworten, mit Partnern zusammenzuarbeiten, Vertretung und Fortführung der Geschäfte sicherzustellen und uns vor Spam, Betrug und Angriffen zu schützen; geht es um einen Vertrag, Art. 6 Abs. 1 lit. b DSGVO; für die Aufbewahrung Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB.

Wir übermitteln keine Daten in Länder außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums – mit Ausnahme der Sperrlisten-Abfragen, soweit deren Betreiber dort sitzen [Betreiber und Grundlage der Übermittlung]. Eine automatisierte Entscheidungsfindung oder Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

Wir sichern die Daten des Servers täglich. Die Sicherungskopien sind verschlüsselt, der Schlüssel zum Entschlüsseln liegt nicht auf dem Server. Wir bewahren sie höchstens 12 Monate auf und prüfen regelmäßig, ob sie sich wiederherstellen lassen.

Vor allem aber erheben wir so wenige Daten wie möglich: Daten, die es nicht gibt, können auch nicht verloren gehen.