Datenschutzerklärung

Wer wir sind

Vonvon ist eine Identitätsplattform, die von Dupuu („wir“) betrieben wird. Diese Erklärung beschreibt, wie personenbezogene Daten verarbeitet werden, wenn Sie vonvon.id besuchen oder sich über eine Vonvon-Anmeldeseite anmelden, ein Konto erstellen oder verwalten.

Vonvon wird auch von Organisationen und Anwendungen genutzt, um ihre eigenen Nutzer anzumelden. Wenn Sie sich bei einer Anwendung oder Organisation anmelden, die Vonvon einsetzt, entscheidet diese Organisation über Zweck und Mittel der Verarbeitung Ihrer Daten, und wir verarbeiten sie in ihrem Auftrag. Bitte lesen Sie auch deren Datenschutzerklärung.

Welche Daten wir erheben

Je nach Nutzung von Vonvon verarbeiten wir die folgenden Kategorien von Daten.

• Kontodaten: E-Mail-Adressen, ggf. eine Telefonnummer, Benutzername, Name, Anzeigename, Adresse des Profilbilds, Sprache und Zeitzone sowie Ihre Organisationsmitgliedschaften und Rollen.
• Zugangsdaten: ein gesalzener Argon2id-Hash Ihres Passworts (nie das Passwort selbst), der öffentliche Teil Ihrer Passkeys (der private Schlüssel verlässt Ihr Gerät nie), verschlüsselte Secrets von Authenticator-Apps sowie gehashte Backup-Codes, Einmalcodes und Anmeldelinks.
• Verknüpfte Konten: Wenn Sie sich über einen Social-Anbieter wie Google oder Apple anmelden, erhalten wir die Profilangaben, die dieser Anbieter an uns übermittelt, etwa Kennung, E-Mail-Adresse, Name und Bild. Anbieter-Tokens werden verschlüsselt gespeichert.
• Sitzungen und Geräte: Bei jeder Anmeldung speichern wir Ihre IP-Adresse, den Browser-User-Agent, den Gerätenamen, eine ungefähre Ortsangabe, die verwendeten Anmeldemethoden und Zeitstempel, damit Sie Ihre Sitzungen einsehen und beenden können.
• Sicherheitsprotokolle: ein nur anfügbares Audit-Log sicherheitsrelevanter Ereignisse wie Anmeldungen, Passwort- und Faktoränderungen und Verwaltungsaktionen, mit handelndem Konto, Ziel, Zeitpunkt und IP-Adresse.
• Einwilligungsnachweise: Wenn eine Organisation Sie um Zustimmung zu Bedingungen oder Marketingpräferenzen bittet, speichern wir die Entscheidung, den Zeitpunkt und die IP-Adresse.
• Nachrichten: die E-Mails, SMS oder WhatsApp-Nachrichten, mit denen wir Codes, Links und Einladungen zustellen.
• Daten zur Missbrauchsabwehr: auf IP-Adressen und Konten bezogene Zähler für die Ratenbegrenzung sowie das Ergebnis der Cloudflare-Turnstile-Prüfungen in Anmeldeformularen.
• Nutzungsdaten der gehosteten Anmelde- und Kontoseiten: Seiten- und Ereignisinformationen, Browser- und Geräteeigenschaften sowie ein aus der IP-Adresse abgeleiteter ungefährer Standort, erhoben über Google Analytics.
• Technische Protokolle: kurzlebige Betriebsprotokolle unserer Cloudflare Workers. Zugangsdaten, Cookies und Request-Bodys halten wir aus diesen Protokollen heraus.

Die öffentliche Website unter vonvon.id (Startseite und diese Erklärung) setzt keine Cookies und verwendet keine Analyse- oder Werbe-Tracker. Cloudflare verarbeitet Ihre IP-Adresse dennoch, um die Seiten auszuliefern.

Cookies und ähnliche Technologien

Die gehosteten Anmelde- und Kontoseiten verwenden Erstanbieter-Cookies, die zwingend erforderlich sind, um Sie angemeldet zu halten und mehrstufige Anmeldungen abzuschließen. Ihre Namen beginnen mit __Host-vonvon, und andere Websites können sie nicht lesen. Ihre Sprach- und Anzeigeeinstellungen werden im lokalen Speicher Ihres Browsers abgelegt.

Diese Seiten laden außerdem Google Analytics, das eigene Cookies zur Nutzungsmessung setzen kann, und Cloudflare Turnstile, das den Browser-Speicher nutzen kann, um Menschen von Bots zu unterscheiden. Sie können diese in Ihren Browsereinstellungen blockieren oder löschen.

Wie und warum wir Daten verwenden

• Um Anmeldung, Kontoverwaltung und Zugriffskontrolle bereitzustellen (Vertragserfüllung oder unser berechtigtes Interesse am Betrieb des Dienstes im Auftrag der Organisation, bei der Sie sich anmelden).
• Um Konten und Dienst vor Betrug, Missbrauch und Angriffen zu schützen, einschließlich Ratenbegrenzung und Prüfung auf Datenlecks (berechtigte Interessen).
• Um Servicenachrichten wie Bestätigungscodes, Anmeldelinks und Einladungen zu senden (Vertrag, berechtigte Interessen).
• Um die gehosteten Seiten zu messen und zu verbessern (berechtigte Interessen oder, wo gesetzlich erforderlich, Einwilligung).
• Um rechtliche Pflichten zu erfüllen und Rechtsansprüche geltend zu machen, auszuüben oder zu verteidigen (rechtliche Verpflichtung, berechtigte Interessen).

Soweit wir uns auf Ihre Einwilligung stützen, können Sie sie jederzeit widerrufen, ohne dass frühere Verarbeitungen berührt werden. Wir verkaufen keine personenbezogenen Daten und nutzen sie nicht für Werbung.

Weitergabe und Dienstleister

Wir geben personenbezogene Daten nur weiter, soweit es für den Betrieb von Vonvon erforderlich ist.

• Die Organisation oder Anwendung, bei der Sie sich anmelden; deren Administratoren können Kontodaten, Mitgliedschaften, Sitzungen und Audit-Ereignisse ihrer Mitglieder einsehen.
• Cloudflare, das Vonvon hostet und ausliefert und Workers, Speicher, Warteschlangen, E-Mail-Versand, Bot-Schutz und Netzwerksicherheit bereitstellt.
• Ein Anbieter einer verwalteten PostgreSQL-Datenbank, in der Konto- und Konfigurationsdaten gespeichert werden.
• Google, für die Analyse der gehosteten Seiten und für die Anmeldung, wenn Sie Google wählen, sowie Apple, wenn Sie sich mit Apple anmelden.
• SMS- und WhatsApp-Zustellanbieter wie Twilio oder Vonage, nur wenn eine Organisation Codes per Telefon aktiviert.
• Have I Been Pwned, das nur die ersten fünf Zeichen des SHA-1-Hashs eines Passworts erhält, um es mit bekannten Datenlecks abzugleichen.
• Ein Fehlerüberwachungsdienst, der technische Fehlerberichte ohne Request-Bodys, Cookies oder Nutzerdaten erhält.

Wir können Daten außerdem offenlegen, wenn das Gesetz es verlangt oder um Rechte, Sicherheit und Schutz zu wahren.

Internationale Übermittlungen

Vonvon läuft im globalen Netzwerk von Cloudflare, daher können Ihre Daten in anderen Ländern als Ihrem eigenen verarbeitet werden. Soweit gesetzlich erforderlich, stützen wir uns bei Übermittlungen aus dem Europäischen Wirtschaftsraum, dem Vereinigten Königreich oder der Schweiz auf gesetzlich anerkannte Garantien wie Standardvertragsklauseln oder einen Angemessenheitsbeschluss.

Speicherdauer

• Kontodaten werden aufbewahrt, solange Ihr Konto aktiv ist.
• Sitzungsdaten werden gelöscht, nachdem die Sitzung endet oder abläuft. Einmalcodes und Anmeldelinks verfallen nach wenigen Minuten, abgelaufene werden automatisch entfernt.
• Datenexport-Dateien stehen 48 Stunden zur Verfügung und werden danach gelöscht.
• Wenn Ihre Löschanfrage abgeschlossen ist, löschen wir Ihre Zugangsdaten, Profilangaben, Mitgliedschaften und Identitätsverknüpfungen und behalten nur einen minimalen Platzhaltereintrag des Kontos.
• Das Audit-Log ist nur anfügbar, damit Manipulationen erkannt werden können. Seine Einträge werden beim Löschen eines Kontos weder umgeschrieben noch gelöscht; sie können eine pseudonyme Kontokennung und eine IP-Adresse behalten, und das gelöschte Konto wird als gelöscht angezeigt.
• Betriebsprotokolle werden nur kurz aufbewahrt, nämlich einige Tage.

Ihre Rechte

Je nach Wohnort haben Sie möglicherweise das Recht auf Auskunft, Berichtigung, Löschung und Übertragbarkeit Ihrer personenbezogenen Daten, auf Einschränkung der Verarbeitung oder Widerspruch, auf Widerruf der Einwilligung und auf Beschwerde bei Ihrer Datenschutzbehörde.

Angemeldete Nutzer können auf den Kontoseiten ihre Sitzungen einsehen, eine Kopie ihrer Daten herunterladen (Datenexport) und die Löschung beantragen. Ein Löschantrag wartet 30 Tage, in denen Sie ihn widerrufen können, und wird danach automatisch ausgeführt. Die Löschung wird abgelehnt, wenn dadurch eine Organisation keinen Inhaber oder eine Vonvon-Instanz keinen Manager mehr hätte; übertragen Sie diese Rolle zuvor.

Wenn Sie Vonvon über eine Organisation oder Anwendung nutzen, richten Sie Anfragen bitte auch an diese, denn sie entscheidet über die Verwendung Ihrer Daten. Sie können uns auch unter hello@dupuu.com schreiben; wir antworten innerhalb der gesetzlichen Fristen.

Sicherheit

Passwörter werden mit Argon2id und einem serverseitigen Secret gehasht, Signatur- und Verschlüsselungsschlüssel werden verschlüsselt gespeichert, der Datenverkehr ist per TLS geschützt, und die Daten jedes Mandanten sind auf Anwendungsebene getrennt. Kein System ist vollkommen sicher; sollte eine Verletzung Ihre personenbezogenen Daten betreffen, informieren wir Sie und die Behörden, wie es das Gesetz verlangt.

Kinder

Vonvon richtet sich nicht an Kinder unter 16 Jahren, und wir erheben wissentlich keine personenbezogenen Daten von ihnen. Wenn Sie glauben, dass ein Kind uns personenbezogene Daten übermittelt hat, kontaktieren Sie uns, und wir löschen sie.

Änderungen dieser Erklärung

Wir können diese Erklärung aktualisieren. Das oben genannte Datum bezeichnet die aktuelle Fassung, und wesentliche Änderungen machen wir auf dieser Seite sichtbar.

Kontakt

Dupuu betreibt Vonvon. Bei Fragen oder Anliegen zum Datenschutz schreiben Sie an hello@dupuu.com.