T.H.G.S. Systems License Server
Impressum Datenschutz AGB

Datenschutzerklärung

Entwurf, Stand 2026

Entwurf – noch nicht vollständig. Die technischen Beschreibungen (welche Daten dieser License Server verarbeitet) sind bewusst konkret gehalten. Die rot–gestrichelt markierten Stellen (Anbieter, Hosting, Fristen) müssen ausgefüllt und die gesamte Seite vor Veröffentlichung von einer Rechtsanwältin/einem Rechtsanwalt geprüft werden. Die Angaben werden im Admin unter Einstellungen → Rechtstexte gepflegt.

1. Verantwortlicher

Verantwortlich im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
T.H.G.S. Systems
[Straße Hausnummer, PLZ Ort]
E-Mail: [Kontaktadresse]

Weitere Angaben im Impressum.

Falls ein/e Datenschutzbeauftragte:r bestellt ist (ab 20 Personen, die ständig mit automatisierter Verarbeitung befasst sind, oder je nach Kerntätigkeit auch früher): hier Namen und Kontakt ergänzen.

2. Übersicht: welche Daten wir verarbeiten

Dieser License Server verwaltet Kundenzugänge (Tenants), API-Keys, den Verkauf von Nutzungskontingenten („Uses") sowie deren Verbrauch über eine API. Konkret verarbeiten wir dabei:

  • E-Mail-Adresse und Passwort (gehasht) der Login-Konten Ihrer Mitarbeitenden
  • Technisch notwendige Session-Cookies für den eingeloggten Bereich
  • Bestell- und Zahlungsreferenzen von PayPal (keine Kreditkarten- oder Kontodaten — diese verbleiben bei PayPal)
  • Nutzungsprotokolle Ihrer API-Zugriffe (Zeitpunkt, aufgerufener Dienst, technische Vorgangs-ID)
  • Rechnungsdaten zu bezahlten Bestellungen

Wir setzen keine Analyse- oder Marketing-Cookies, kein Tracking und keine Werbenetzwerke ein.

3. Konto- und Zugangsdaten

Für den Zugang zum Kundenportal bzw. Admin-Bereich erheben wir E-Mail-Adresse und Passwort. Passwörter werden ausschließlich als gesalzener PBKDF2-Hash gespeichert — wir können Ihr Passwort im Klartext weder einsehen noch wiederherstellen. Erzeugte API-Keys werden ebenfalls nur als Hash gespeichert; der vollständige Schlüssel wird Ihnen einmalig bei der Erstellung angezeigt und ist danach nicht mehr abrufbar.

Zweck: Bereitstellung und Absicherung des Kundenzugangs (Vertragserfüllung).

4. Cookies

Wir setzen ein einziges Cookie ein: ein signiertes, ausschließlich technisch notwendiges Session-Cookie zur Aufrechterhaltung Ihres Logins. Es wird mit den Attributen HttpOnly, Secure und SameSite=Lax gesetzt, ist also per JavaScript nicht auslesbar und wird nur über eine verschlüsselte Verbindung übertragen. Ohne dieses Cookie funktioniert der Login-Bereich nicht; ein Opt-out ist damit technisch nicht sinnvoll möglich, eine gesonderte Einwilligung ist nach § 25 Abs. 2 Nr. 2 TTDSG/TDDDG nicht erforderlich, da es sich um ein unbedingt erforderliches Cookie handelt.

5. Zahlungsabwicklung über PayPal

Zahlungen wickeln wir über PayPal ab (PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxembourg). Bei einer Bestellung übermitteln wir PayPal die zur Zahlungsabwicklung erforderlichen Daten (u. a. Betrag, Bestellreferenz). Die Verarbeitung Ihrer eigentlichen Zahlungsdaten (z. B. Kontoverbindung, Kreditkarte) erfolgt ausschließlich durch PayPal gemäß deren eigener Datenschutzerklärung: paypal.com/de/webapps/mpp/ua/privacy-full. Wir speichern von PayPal lediglich die Order- und Capture-ID sowie den Zahlungsstatus zur Zuordnung Ihrer Bestellung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

6. Nutzungs- und API-Daten

Jeder Abruf Ihrer Client-Software über die API wird protokolliert: Zeitpunkt, aufgerufener Dienst, Ihr Tenant, eine von Ihnen mitgesendete Vorgangs-ID (GUID) sowie der Status (verbucht, Duplikat, kein Guthaben). Die letzten Vorgangs-IDs je Tenant speichern wir zusätzlich kurzfristig, um doppelte Abbuchungen bei technisch wiederholten Anfragen (z. B. Netzwerk-Retries) zu verhindern.

Zweck: korrekte Abrechnung des Verbrauchs Ihres Nutzungskontingents und Missbrauchs-/Doppelbuchungsschutz.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie lit. f DSGVO (berechtigtes Interesse an korrekter Abrechnung und Missbrauchsschutz).

7. Rechnungsdaten

Zu jeder bezahlten Bestellung erstellen wir eine Rechnung (PDF) mit Firmenname, Bestellpositionen und Betrag. Diese unterliegt den gesetzlichen Aufbewahrungspflichten (siehe „Speicherdauer").

8. Empfänger und Drittlandtransfer

Empfänger Ihrer Daten sind:

  • PayPal zur Zahlungsabwicklung (siehe oben) — dabei ist eine Übermittlung in die USA nicht ausgeschlossen; PayPal stützt sich hierfür auf die EU-Standardvertragsklauseln.
  • [Hosting-Anbieter bzw. eigene Infrastruktur eintragen], auf dessen Servern diese Anwendung betrieben wird.

Falls ein externer Hoster genutzt wird: hier Name, Sitz und ggf. Verweis auf den Auftragsverarbeitungsvertrag (AVV) ergänzen. Falls Eigenbetrieb in der EU: kurzen Hinweis „Server befinden sich in der EU, kein Drittlandtransfer" aufnehmen.

9. Speicherdauer

  • Konto- und Zugangsdaten: für die Dauer der Geschäftsbeziehung, danach [Frist festlegen]
  • Session-Cookie: bis zum Logout bzw. Ablauf der Sitzung
  • Nutzungsprotokolle (API-Aufrufe): [Aufbewahrungsfrist festlegen, z. B. 12 Monate]
  • Rechnungs- und Buchhaltungsunterlagen: 10 Jahre gemäß § 147 AO / § 257 HGB

10. Rechtsgrundlagen im Überblick

  • Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Vertrags über die Bereitstellung des License Servers
  • Art. 6 Abs. 1 lit. c DSGVO — Erfüllung rechtlicher Pflichten (z. B. Aufbewahrung von Rechnungen)
  • Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an Missbrauchsschutz, Systemsicherheit und korrekter Abrechnung

11. Ihre Rechte als betroffene Person

Sie haben im Rahmen der gesetzlichen Vorgaben das Recht auf:

  • Auskunft über die von uns verarbeiteten Daten (Art. 15 DSGVO)
  • Berichtigung unrichtiger Daten (Art. 16 DSGVO)
  • Löschung Ihrer Daten (Art. 17 DSGVO), soweit keine Aufbewahrungspflichten entgegenstehen
  • Einschränkung der Verarbeitung (Art. 18 DSGVO)
  • Datenübertragbarkeit (Art. 20 DSGVO)
  • Widerspruch gegen Verarbeitungen auf Grundlage berechtigten Interesses (Art. 21 DSGVO)
  • Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO)

Zur Ausübung dieser Rechte wenden Sie sich an [Kontaktadresse].

12. Datensicherheit

Die Verbindung zu diesem Server ist durchgehend TLS-verschlüsselt (HTTPS). Passwörter werden mit PBKDF2-HMAC-SHA256 und individuellem Salt gehasht, API-Keys ausschließlich als SHA-256-Hash gespeichert. Sitzungs- und Bestätigungs-Tokens sind kryptographisch signiert und fälschungssicher. Wir setzen dem Stand der Technik entsprechende technische und organisatorische Maßnahmen (Art. 32 DSGVO) ein, um Ihre Daten vor unbefugtem Zugriff, Verlust oder Manipulation zu schützen.

13. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, sobald sich die Datenverarbeitung oder die Rechtslage ändert. Es gilt jeweils die auf dieser Seite veröffentlichte Fassung.