OPNctrl

Privacy

Verbindlich ist die deutsche Fassung; die englische Fassung darunter ist eine Übersetzung zur Orientierung. The German text is binding; the English text below it is a translation for convenience. English · Deutsch

Diese Erklärung informiert nach Art. 13 DSGVO darüber, welche personenbezogenen Daten dieser Dienst verarbeitet. Stand: 2026-11-03.

1. Verantwortlicher

Verantwortlich ist der im Impressum genannte Anbieter. Anfragen zum Datenschutz: [email protected].

2. Welche Daten zu welchem Zweck verarbeitet werden

  • Besuch der Website. Beim Aufruf verarbeitet der Server die IP-Adresse, den Zeitpunkt, die angeforderte Adresse und den Antwortstatus. Das ist für den sicheren Betrieb erforderlich; die Zugriffsprotokolle sind in ihrer Größe begrenzt und werden automatisch überschrieben. Zusätzlich zählt der Server Anfragen je IP-Adresse kurzzeitig im Arbeitsspeicher, um Missbrauch (z. B. Passwort-Raten, Massenregistrierung) zu begrenzen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Sicherheit und Missbrauchsabwehr).
  • Konto. E-Mail-Adresse (zugleich Benutzername), ein Hash des Passworts (nie das Passwort selbst), Zeitpunkt der Registrierung sowie Zeitpunkt und Version der akzeptierten Bedingungen. Zweck: Bereitstellung des Kontos. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
  • Anmeldung. Ein zufälliges Sitzungskennzeichen in einem Cookie (__Host-opnmgmt_session), das nötig ist, um angemeldet zu bleiben. Es ist das einzige Cookie; es gibt keine Tracking- oder Werbe-Cookies, keine Analysewerkzeuge und keine von anderen Servern geladenen Schriften oder Skripte. Das Cookie ist technisch erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); eine Einwilligungsabfrage ist deshalb nicht nötig.
  • Ihre Firewalls. Adressen, API-Schlüssel (die Geheimnisse werden verschlüsselt gespeichert), die von Ihnen bearbeitete Konfiguration, verschlüsselte Kopien von Konfigurationsdateien und der Verlauf der Änderungen. Zweck: Erbringung des Dienstes. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
  • Änderungsprotokoll. Wer wann was geändert hat (mit Benutzername). Zweck: Nachvollziehbarkeit und Sicherheit Ihres Kontos. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.
  • E-Mails. Mails zur Bestätigung der Adresse, zum Zurücksetzen des Passworts und für Einladungen. Sie werden über den eigenen Mailserver des Anbieters versendet. Der Text einer Mail wird gelöscht, sobald sie versendet oder aufgegeben wurde; der Vermerk über eine fehlgeschlagene Mail wird nach einer Woche gelöscht.
  • Bezahlte Tarife. Rechnungs- und Zahlungsdaten, die zur Abwicklung und zur Erfüllung gesetzlicher Aufbewahrungspflichten nötig sind (Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO). Zahlungen erfolgen per Banküberweisung (Konto bei der ING Deutschland, ING-DiBa) oder über PayPal (PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg); diese Anbieter verarbeiten die Zahlungsdaten in eigener Verantwortung nach ihren eigenen Datenschutzerklärungen.

3. Empfänger und Auftragsverarbeiter

  • Hetzner Online GmbH, Gunzenhausen, Deutschland: Server, auf dem der Dienst läuft (Auftragsverarbeitung nach Art. 28 DSGVO).
  • Backblaze, Inc.: Speicher für Sicherungskopien. Die Sicherungen werden vor der Übertragung verschlüsselt; der Schlüssel liegt nur beim Anbieter. Der Speicher befindet sich in einem Rechenzentrum in der EU. Weil Backblaze ein Unternehmen mit Sitz in den USA ist, stützt sich die Übermittlung auf Standardvertragsklauseln (Art. 46 DSGVO).
  • Außer den oben genannten Zahlungsdienstleistern gibt es keine weiteren Empfänger. Daten werden nicht verkauft und nicht zu Werbezwecken verwendet.

4. Speicherdauer und Löschung

Daten werden gespeichert, solange das Konto besteht. Sie können Ihr Konto jederzeit selbst löschen; dabei werden Ihr Benutzer, Ihre Mandanten (Tenant) mit allem darin und deren Einträge im Änderungsprotokoll gelöscht, und Ihre Adresse wird in übrigen Protokolleinträgen durch „gelöschtes Konto“ ersetzt. Sicherungskopien des Dienstes enthalten die Daten noch eine begrenzte Zeit: die täglichen Sicherungen auf dem Server bis zu 30 Tage, die verschlüsselten Kopien im externen Speicher bis zu sechs Monate. Danach sind die Daten auch dort gelöscht. Nicht bestätigte Konten werden nach sieben Tagen gelöscht. Gesetzliche Aufbewahrungsfristen (derzeit bis zu acht Jahre für Buchungsbelege, § 147 AO) bleiben unberührt.

5. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20); alles, was Sie konfiguriert haben, können Sie im Dienst jederzeit exportieren. Sie können der Verarbeitung auf Grundlage berechtigter Interessen widersprechen (Art. 21). Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, z. B. beim Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg. Wenden Sie sich für Ihre Anliegen an die oben genannte Adresse.

6. Pflicht zur Bereitstellung, automatisierte Entscheidungen

E-Mail-Adresse und Passwort sind erforderlich, um ein Konto zu führen; ohne sie ist der Dienst nicht nutzbar. Es gibt keine automatisierte Entscheidungsfindung und kein Profiling.

7. Daten Dritter in Ihren Firewalls

Konfigurationen können personenbezogene Daten Dritter enthalten (z. B. Benutzernamen oder IP-Adressen). Soweit Sie den Dienst geschäftlich nutzen, verarbeitet der Anbieter diese Daten in Ihrem Auftrag. Einen Vertrag nach Art. 28 DSGVO stellt der Anbieter auf Anfrage zur Verfügung.

This statement informs you under Art. 13 GDPR which personal data this service processes. Version: 2026-11-03.

1. Controller

The controller is the provider named in the imprint. Data protection requests: [email protected].

2. What is processed, and why

  • Visiting the website. The server processes the IP address, time, requested address and response status. This is needed to run the service securely; access logs are limited in size and overwritten automatically. The server also counts requests per IP address for a short time in memory to limit abuse (for example password guessing and mass registration). Legal basis: Art. 6(1)(f) GDPR (security and abuse prevention).
  • Account. E-mail address (also the user name), a hash of the password (never the password), the time of registration, and the time and version of the terms accepted. Purpose: providing the account. Legal basis: Art. 6(1)(b) GDPR.
  • Signing in. A random session token in a cookie (__Host-opnmgmt_session), needed to stay signed in. It is the only cookie; there are no tracking or advertising cookies, no analytics, and no fonts or scripts loaded from other servers. The cookie is technically necessary (§ 25(2) no. 2 TDDDG), so no consent banner is needed.
  • Your firewalls. Addresses, API keys (the secrets are stored encrypted), the configuration you edit, encrypted copies of configuration files and the history of changes. Purpose: providing the service. Legal basis: Art. 6(1)(b) GDPR.
  • Audit log. Who changed what and when (with user name). Purpose: traceability and the security of your account. Legal basis: Art. 6(1)(b) and (f) GDPR.
  • E-mail. Messages to confirm your address, reset your password and send invitations, sent through the provider's own mail server. The text of a message is deleted as soon as it was sent or given up; the record of a failed message is deleted after one week.
  • Paid plans. Billing and payment data needed to process the payment and to meet statutory retention duties (Art. 6(1)(b) and (c) GDPR). Payments are made by bank transfer (account at ING Deutschland, ING-DiBa) or through PayPal (PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxembourg); these providers process payment data as independent controllers under their own privacy statements.

3. Recipients and processors

  • Hetzner Online GmbH, Gunzenhausen, Germany: the server the service runs on (processor under Art. 28 GDPR).
  • Backblaze, Inc.: storage for backup copies. Backups are encrypted before they are transferred, and only the provider holds the key. The storage is in a data centre in the EU. Because Backblaze is a company based in the USA, the transfer relies on standard contractual clauses (Art. 46 GDPR).
  • Apart from the payment providers named above there are no other recipients. Data is not sold and not used for advertising.

4. Retention and deletion

Data is kept as long as the account exists. You can delete your account yourself at any time; this deletes your user, your tenants with everything in them and their audit entries, and replaces your address in other audit entries by "deleted account". Backup copies of the service still hold the data for a limited time: the daily backups on the server for up to 30 days, the encrypted copies in external storage for up to six months. After that the data is gone there too. Unconfirmed accounts are deleted after seven days. Statutory retention periods (currently up to eight years for accounting records, § 147 AO) are unaffected.

5. Your rights

You have the right of access (Art. 15 GDPR), rectification (Art. 16), erasure (Art. 17), restriction of processing (Art. 18) and data portability (Art. 20); everything you configured can be exported in the service at any time. You may object to processing based on legitimate interests (Art. 21). You have the right to lodge a complaint with a data protection supervisory authority, for example the State Commissioner for Data Protection and Freedom of Information of Baden-Württemberg. Please send requests to the address above.

6. Obligation to provide data, automated decisions

An e-mail address and a password are required to keep an account; without them the service cannot be used. There is no automated decision-making and no profiling.

7. Third-party data in your firewalls

Configurations can contain personal data of third parties (for example user names or IP addresses). Where you use the service for business, the provider processes this data on your behalf. The provider supplies a contract under Art. 28 GDPR on request.

Start / Back to the start page