Datenschutz­erklärung

1. Wer ist verantwortlich?

Verantwortlich für die Datenverarbeitung auf dieser Website und in den Diensten von OranienCloud ist Maximilian Francke, OranienCloud, Bernauer Straße 93, 16515 Oranienburg, E-Mail: info@oraniencloud.de, Telefon: 03301 2086425.

Einen Datenschutzbeauftragten müssen wir nicht benennen. Für alle Fragen zum Datenschutz erreichst du uns direkt unter der genannten E-Mail-Adresse.

2. Das Wichtigste in Kürze

• Deine Dateien, Fotos und Dokumente liegen auf unseren eigenen Servern in Brandenburg, nicht bei einem großen Cloud-Anbieter.
• Wir verwenden keine Werbung, kein Tracking und keine Analysedienste und verkaufen keine Daten.
• Diese Website setzt keine Cookies und lädt keine Inhalte von fremden Servern.
• Bei Tresor, Momente, Senden und Workspace Tresor werden Inhalte auf deinem Gerät verschlüsselt. Diese Inhalte können wir nicht lesen.
• Bei den übrigen Diensten (Drive, Memories, Workspace) könnten wir technisch auf gespeicherte Daten zugreifen. Wir tun das nur, wenn du uns im Einzelfall darum bittest oder das Gesetz es verlangt. Jeder solche Zugriff wird automatisch protokolliert.

3. Besuch dieser Website

Wenn du www.oraniencloud.de aufrufst, verarbeitet unser Server technisch notwendige Angaben: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge sowie Angaben zu Browser und Betriebssystem. Das ist nötig, um dir die Seite auszuliefern und den Betrieb sicher zu halten (Abwehr von Angriffen, Fehlersuche).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren und funktionierenden Website). Eine dauerhafte Zugriffsstatistik führen wir nicht. Technische Server-Protokolle werden durch eine feste Größenbegrenzung automatisch überschrieben. Wir sehen sie nur bei Störungen oder Angriffen ein.

Keine Cookies, kein Tracking: Die Website setzt keine Cookies und verwendet keine Analyse- oder Werbedienste. Schriften, Bilder und alle übrigen Dateien kommen von unserem eigenen Server. Ein Cookie-Banner ist deshalb nicht nötig.

4. Kontakt und Eröffnungsrabatt

Wenn du uns per E-Mail oder Telefon kontaktierst oder dich per E-Mail für den Eröffnungsrabatt anmeldest, verarbeiten wir deine Angaben (z. B. Name, E-Mail-Adresse, gewünschtes Paket, deine Nachricht), um deine Anfrage zu beantworten und dich zum Start zu informieren.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anfrage vor einem möglichen Vertrag) bzw. lit. f (Beantwortung allgemeiner Anfragen). Anfragen ohne anschließenden Vertrag löschen wir spätestens sechs Monate nach dem letzten Kontakt; Anmeldungen zum Eröffnungsrabatt spätestens sechs Monate nach dem Verkaufsstart. Du kannst jederzeit verlangen, dass wir sie früher löschen.

E-Mails an uns liegen im Postfach bei unserem E-Mail-Anbieter IONOS SE (Deutschland), siehe Ziffer 11.

5. Kundenkonto und Anmeldung

Für jeden Dienst meldest du dich über unsere zentrale, geschützte Anmeldung (login.oraniencloud.de) an. Dabei verarbeiten wir Name, E-Mail-Adresse, Benutzername, dein Passwort (nur als nicht umkehrbarer Prüfwert), gegebenenfalls deine Geräte für die Zwei-Faktor-Anmeldung sowie Paket, Familie bzw. Firma und Zugehörigkeit zu Diensten.

Zum Schutz deines Kontos protokollieren wir Anmeldungen und sicherheitsrelevante Ereignisse (IP-Adresse, Zeitpunkt, Browser, Art des Ereignisses). Diese Protokolle löschen wir automatisch nach 90 Tagen.

Wenn du ein Passwort festlegst, prüfen wir, ob es aus bekannten Datenlecks stammt. Dazu wird nur ein kurzer Teil eines Prüfwerts (die ersten fünf Zeichen eines SHA-1-Hashes) an den Dienst „Have I Been Pwned“ übermittelt, nie dein Passwort und nie deine E-Mail-Adresse.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und lit. f (Sicherheit des Dienstes). Kontodaten speichern wir bis zum Vertragsende und der Löschfrist nach Ziffer 13.

Für die Anmeldung setzen unsere Dienste technisch notwendige Cookies (z. B. damit du angemeldet bleibst). Dafür ist keine Einwilligung nötig (§ 25 Abs. 2 Nr. 2 TDDDG).

6. OranienCloud Privat

Drive

Deine Dateien, Ordner, Dateinamen, Freigaben, Versionen, Kalender, Kontakte und Aktivitäten. Zweck: Speicherung, Synchronisierung und Teilen in deinem Auftrag. Aktivitätsprotokolle werden nach 90 Tagen gelöscht.

Memories (Komfort)

Fotos, Videos und ihre Metadaten (z. B. Aufnahmezeit, Kamera, Ort aus der Datei), Alben und Freigaben. Für die Suche werten wir Bildinhalte automatisch auf unserem Server aus (z. B. „Strand“), erkennen Text in Fotos, bestimmen Ortsnamen aus GPS-Daten und finden Duplikate. Die Gesichtserkennung berechnet aus Gesichtern biometrische Merkmale, um Personen zu gruppieren. Sie läuft nur mit deiner ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), die du jederzeit widerrufen kannst. Nach einem Widerruf löschen wir die Gesichtsdaten.
Öffnest du die Kartenansicht, lädt dein Gerät Kartenbilder direkt vom Kartendienst des Immich-Projekts (tiles.immich.cloud). Dieser Dienst erhält dabei deine IP-Adresse und den Kartenausschnitt, aber keine Fotos.

Memories Privat

Wie Memories, aber ohne automatische Auswertung: keine Gesichtserkennung, keine Bildinhaltssuche, keine Texterkennung, keine Ortsnamen und keine Karte.

Tresor

Deine Dateien werden auf deinem Gerät verschlüsselt, bevor sie zu uns kommen; auch die Dateinamen. Für uns sichtbar sind nur dein Konto, die Anzahl, Größe und Zeitpunkte der Dateien, der Name des obersten verschlüsselten Ordners, dein öffentlicher Schlüssel und dein privater Schlüssel in verschlüsselter Form (geschützt mit deinen Wiederherstellungswörtern). Den Inhalt können wir nicht lesen.

Momente

Deine Fotos, Videos, Albennamen und Beschreibungen werden in der App auf deinem Gerät verschlüsselt; die Fotoanalyse läuft dort lokal. Für uns sichtbar sind dein Konto (E-Mail-Adresse), Anzahl, Größe und Zeitpunkte der Dateien. Den Inhalt können wir nicht lesen. Momente nutzt die App „Ente Photos“ aus dem App Store bzw. Google Play; die App überträgt deine Inhalte verschlüsselt an unseren Server.

Senden

Die Datei wird in deinem Browser verschlüsselt; Inhalt und Dateiname sind für uns nicht lesbar. Wir speichern Größe, Ablaufzeit, erlaubte Downloads und einen Zähler. Die Datei wird nach Ablauf oder nach dem letzten erlaubten Download gelöscht und ist nie in unseren Sicherungen.

Familienübersicht

Name und E-Mail-Adresse der Familienmitglieder sowie der belegte Speicher je Person, damit die verwaltende Person Zugänge und Speicher im Blick behält. Inhalte sieht sie dabei nicht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag), für die Gesichtserkennung Art. 9 Abs. 2 lit. a DSGVO (Einwilligung). Inhalte speichern wir, bis du sie löschst oder der Vertrag endet. Gelöschtes liegt 30 Tage im Papierkorb.

7. Du hast einen Senden-Link bekommen?

Dann hat dir eine Person, die OranienCloud nutzt, eine Datei geschickt. Die Datei ist verschlüsselt; der Schlüssel steht nur im Link hinter dem Zeichen „#“ und wird nie an unseren Server übertragen. Wir können die Datei nicht öffnen.

Beim Abruf verarbeitet unser Server technisch notwendige Angaben (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browserangaben) und zählt den Download. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Auslieferung im Auftrag des Absenders und sicherer Betrieb). Du brauchst kein Konto, es gibt kein Tracking. Fragen zum Inhalt richtest du bitte an den Absender.

8. OranienCloud Business

Workspace

Gemeinsame Firmendateien, Ordner, Freigaben, Versionen und Aktivitäten der Firma und ihrer Mitglieder.

Workspace Tresor

Zusätzlich Ende-zu-Ende-verschlüsselte Ordner: Inhalte und Dateinamen werden auf den Geräten der Nutzer verschlüsselt und sind für uns nicht lesbar.

OranienCloud Office

Wenn die Firma Office gebucht hat, öffnet unser eigener Dokumentenserver die bearbeiteten Dokumente während der Bearbeitung im Browser. Office funktioniert nur in unverschlüsselten Ordnern.

Firmenverwaltung

Firmenname, Ansprechpartner, gebuchtes Paket, Nutzerplätze und Speicher sowie Name, E-Mail-Adresse und Status der Mitglieder.

Für die Inhalte unserer Geschäftskunden (Dateien, Dokumente, Mitgliederdaten) handeln wir als Auftragsverarbeiter nach Art. 28 DSGVO. Verantwortlich ist dann die Firma; dafür schließen wir mit ihr einen Auftragsverarbeitungsvertrag. Für Vertrag, Abrechnung und Sicherheit der Konten sind wir selbst verantwortlich (Art. 6 Abs. 1 lit. b, c und f DSGVO).

9. Bestellung, Zahlung und Rechnungen

Für Bestellung und Abrechnung verarbeiten wir Name, Anschrift, E-Mail-Adresse, gebuchtes Paket, Laufzeit, Zahlungsart, Zahlungsstatus und Rechnungen. Rechnungen erstellen wir mit einem eigenen Rechnungssystem auf unserem Server.

Die Zahlung wickelt Mollie B.V. (Amsterdam, Niederlande) ab (lizenziertes Zahlungsinstitut unter Aufsicht der niederländischen Zentralbank). Mollie erhält dafür Name, E-Mail-Adresse, Betrag und deine Zahlungsdaten. Karten- und PayPal-Zugangsdaten gibst du nur bei Mollie bzw. PayPal ein; sie erreichen uns nie. Mollie ist für diese Verarbeitung selbst verantwortlich und verarbeitet die Daten auch zur Betrugsvorbeugung und für gesetzliche Pflichten (z. B. Geldwäschegesetz). Mehr dazu in der Datenschutzerklärung von Mollie auf mollie.com. Bei Zahlung mit PayPal ist zusätzlich PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg, eigener Verantwortlicher.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und lit. c (gesetzliche Aufbewahrungspflichten). Rechnungen und Buchungsbelege bewahren wir so lange auf, wie Handels- und Steuerrecht es verlangen (derzeit 8 bzw. 10 Jahre).

10. E-Mails von uns und Support

Wir schicken dir E-Mails, die zum Vertrag gehören: Willkommen und Einrichtung, Links zum Festlegen des Passworts, Rechnungen, Erinnerungen vor einer Jahresabbuchung, Hinweise zu Kündigung und Vertragsende sowie Informationen bei längeren Störungen. Werbe-Newsletter verschicken wir nicht.

Wenn du uns um Hilfe bittest, verarbeiten wir deine Nachricht und die nötigen Kontodaten. Einblick in deine Dateien nehmen wir nur mit deiner ausdrücklichen Zustimmung und nur so weit, wie es für die Hilfe nötig ist. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, für den Einblick in Inhalte lit. a (Einwilligung).

11. Wer bekommt Daten?

Deine Inhalte geben wir an niemanden weiter. Für einzelne Aufgaben nutzen wir wenige Dienstleister:

• IONOS SE (Montabaur, Deutschland): Domain, DNS sowie Versand und Empfang unserer E-Mails. IONOS verarbeitet dabei E-Mail-Adressen und Inhalte der E-Mails in unserem Auftrag (Auftragsverarbeitungsvertrag).
• Mollie B.V. und gegebenenfalls PayPal für Zahlungen (Ziffer 9), jeweils als eigene Verantwortliche.
• Have I Been Pwned (Passwortprüfung, Ziffer 5): erhält nur einen anonymen Teil eines Prüfwerts.
• Kartendienst des Immich-Projekts: nur bei Memories (Komfort), wenn du die Karte öffnest (Ziffer 6).
• Let's Encrypt (Internet Security Research Group, USA): stellt unsere Sicherheitszertifikate aus und erhält dabei nur unsere Domainnamen, keine Daten von dir.
• App-Stores (Apple, Google): Wenn du unsere empfohlenen Apps herunterlädst, gelten deren eigene Datenschutzbestimmungen.
• Steuerberatung, sofern wir eine beauftragen: Rechnungs- und Buchungsdaten im Rahmen der gesetzlichen Pflichten.

Behörden erhalten Daten nur, wenn wir gesetzlich dazu verpflichtet sind.

12. Übermittlung in Drittländer

Deine Inhalte verlassen Deutschland nicht. Ein Bezug zu Ländern außerhalb der EU kann nur entstehen bei Let's Encrypt (nur Domainnamen), bei Zahlungsdienstleistern nach deren eigenen Datenschutzbestimmungen, bei den App-Stores sowie beim Kartendienst, wenn du die Karte in Memories nutzt.

13. Wann löschen wir?

• Papierkorb: Gelöschtes bleibt 30 Tage wiederherstellbar und wird dann endgültig entfernt.
• Sicherungen: Wir sichern alle 4 Stunden verschlüsselt. Endgültig gelöschte Daten verschwinden nach spätestens rund 60 Tagen auch aus allen Sicherungen.
• Vertragsende: Du hast danach 14 Tage Zeit, deine Daten herunterzuladen. Dann sperren wir die Konten und löschen alle Inhalte und Konten nach weiteren 7 Tagen.
• Protokolle: Anmelde- und Sicherheitsprotokolle nach 90 Tagen, Drive-Aktivitäten nach 90 Tagen.
• Senden: nach Ablauf oder dem letzten erlaubten Download; nie in Sicherungen.
• Rechnungen: nach den gesetzlichen Aufbewahrungsfristen.

14. Wie schützen wir deine Daten?

Verschlüsselte Verbindungen (HTTPS) für alle Dienste; zentrale Anmeldung mit Schutz gegen Passwort-Raten; Zwei-Faktor-Anmeldung (für Tresor, Senden und Administratoren Pflicht, sonst empfohlen); getrennte Konten und Instanzen; Ende-zu-Ende-Verschlüsselung bei Tresor, Momente, Senden und Workspace Tresor; Protokollierung und sofortige Meldung jedes manuellen Zugriffs auf Kundendaten am Server; verschlüsselte Sicherung alle 4 Stunden mit verschlüsselter Kopie außer Haus; Überwachung rund um die Uhr; regelmäßige Sicherheitsupdates.

15. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20; deine Dateien und Fotos kannst du jederzeit selbst herunterladen) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Eine Einwilligung, z. B. für die Gesichtserkennung, kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Schreib uns dazu einfach an info@oraniencloud.de.

Beschwerde: Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg, Stahnsdorfer Damm 77, 14532 Kleinmachnow.

16. Pflicht zur Angabe und automatisierte Entscheidungen

Für Vertrag und Konto brauchen wir Name und E-Mail-Adresse, für die Abrechnung zusätzlich die Zahlungsangaben. Ohne diese Angaben können wir keinen Zugang einrichten. Alles andere entscheidest du selbst.

Automatisierte Einzelentscheidungen oder Profilbildung im Sinne von Art. 22 DSGVO finden nicht statt. Die Gesichtserkennung sortiert nur deine eigenen Fotos für dich.

17. Änderungen

Wenn sich unsere Dienste oder die Rechtslage ändern, passen wir diese Datenschutzerklärung an. Es gilt die jeweils hier veröffentlichte Fassung.