Source: http://openim.de/datenschutz.html
Timestamp: 2019-01-20 05:46:27+00:00

Document:
OpenIM.de - Instant Messaging based on XMPP/Jabber
Sven Ellwanger
Im Unterfeld 3d,
Tel.: +49 (0) 175 – 75 555 33
E-Mail: datenschutz@openim.de
Soweit wir für Verarbeitungsvorgänge personenbezogener Daten eine Einwilligung der betroffenen Person einholen, dient Art. 6 Abs. 1 lit. a EU-Datenschutzgrundverordnung (DSGVO) als Rechtsgrundlage. Bei der Verarbeitung von personenbezogenen Daten, die zur Erfüllung eines Vertrages, dessen Vertragspartei die betroffene Person ist, erforderlich ist, dient Art. 6 Abs. 1 lit. b DSGVO als Rechtsgrundlage. Dies gilt auch für Verarbeitungsvorgänge, die zur Durchführung vorvertraglicher Maßnahmen erforderlich sind. Soweit eine Verarbeitung personenbezogener Daten zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der wir unterliegen, dient Art. 6 Abs. 1 lit. c DSGVO als Rechtsgrundlage. Für den Fall, dass lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person eine Verarbeitung personenbezogener Daten erforderlich machen, dient Art. 6 Abs. 1 lit. d DSGVO als Rechtsgrundlage. Ist die Verarbeitung zur Wahrung eines berechtigten Interesses unseres Unternehmens oder eines Dritten erforderlich und überwiegen die Interessen, Grundrechte und Grundfreiheiten des Betroffenen das erstgenannte Interesse nicht, so dient Art. 6 Abs. 1 lit. f DSGVO als Rechtsgrundlage für die Verarbeitung.
Der Betreiber des XMPP-Servers behält sich vor, sämtliche vom Server gespeicherten Daten in Form von Backups für bis zu einem halben Jahr auf externen Systemen vorzuhalten.
Eine Kontaktaufnahme über die bereitgestellte E-Mail-Adresse und/oder das Kontaktformular ist möglich und freiwillig. In diesem Fall werden die mit übermittelten personenbezogenen Daten des Nutzers gespeichert.
Indem der Nutzer uns eine E-Mail sendet bzw. das Kontaktformular nutzt, willigt er in die Übermittlung seiner Daten ein. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO. Für die Bearbeitung der Nutzeranfrage ist Rechtsgrundlage Art 6 Abs. 1 lit. f DSVO. Zielt der E-Mail-Kontakt auf den Abschluss eines Vertrages ab, so ist zusätzliche Rechtsgrundlage für die Verarbeitung Art. 6 Abs. 1 lit. b DSGVO.
Die Speicherdauer von Daten, die über das Kontaktformular oder via E-Mail (z.B. als Anfrage zum Zurücksetzen des Passwortes) übermittelt werden, hängt von der Dauer der Erfüllung der Aufgaben und Pflichten ab.
Bereitstellung des XMPP Dienstes
Bei der Registrierung und Nutzung des XMPP-Dienstes werden folgende Daten erfasst:
PEP-Accountinformationen, falls eingerichtet
XMPP-Kontakte (XMPP-IDs) und zugeordnete Namen
Onlinestatus (Status, Zeitpunkt der letzten Änderung)
Technische Informationen über den verwendeten Client (unterstützte (Protokoll-/) Versionen)
Zeitpunkt des letzten Logins / Logouts
Die IP-Adresse wird bei fehlerhaften Loginversuchen in einer Logdatei hinterlegt. Die längerfristige Protokollierung von Nachrichten ist standardmäßig aktiviert, um dem Benutzer das bestmögliche Nutzungserlebnis bieten zu können. Über eine Clientfunktion kann die Nachrichtenprotokollierung (MAM) dauerhaft abgeschaltet werden, sodass keine Nachrichten dauerhaft auf dem Server verbleiben und nur temporär zu Übermittlungszwecken gespeichert werden.
Benutzername, PEP-Accountinformationen, Status, Dateiuploads und Nachrichten werden mit anderen XMPP-Server geteilt, sofern der hiesige Nutzer unseres Servers mit einem Benutzer eines anderen Servers kommuniziert.
Die oben genannten Informationen dienen der Bereitstellung des Dienstes und müssen gespeichert werden, um dem Benutzer den Service anbieten zu können. Die Speicherung von PEP-Accountinformationen und Dateiuploads geschieht nur, wenn der Benutzer explizit Funktionen des Dienstes nutzt, die diese zwingend erfordern (Ausfüllen der Profilinformationen, austauschen von Dateien im Chat).
Logdateien inkl. gespeicherter IP-Adressen werden nach spätestens 14 Tagen gelöscht. Die Löschung von Dateiuploads erfolgt nach ebenfalls nach spätestens 14 Tagen.
Auskunftsrecht gem. Art 15 DSGVO
Sie können von dem Verantwortlichen eine Bestätigung darüber verlangen, ob personenbezogene Daten, die Sie betreffen, von uns verarbeitet werden. Liegt eine solche Verarbeitung vor, haben Sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf die in Art. 15 DSGVO weiter genannten Informationen.
Sofern die Sie betreffenden personenbezogenen Daten unrichtig oder unvollständig sind, haben Sie gegenüber dem Betreiber des Servers ein Recht auf Berichtigung und/oder Vervollständigung dieser Daten.
Sie können von dem Verantwortlichen verlangen, dass die Sie betreffenden personenbezogenen Daten unverzüglich gelöscht werden, sofern die Voraussetzungen des Art. 17 DSGVO vorliegen und keine Ausnahme des Art. 17 Abs. 3 DSGVO greift.
Unter den Voraussetzungen des Art. 18 DSGVO können Sie die Einschränkung (Sperrung) der Verarbeitung der Sie betreffenden personenbezogenen Daten verlangen.
Recht auf Unterrichtung gem. Art. 19 DSGVO
Sie können verlangen, vom Verantwortlichen über die Empfänger der Mitteilungspflicht im Rahmen des Art. 19 DSGVO unterrichtet zu werden.
Recht auf Datenübertragbarkeit gem. Art 20 DSGVO
Sie haben das Recht, die Sie betreffenden personenbezogenen Daten, die Sie dem Verantwortlichen bereitgestellt haben, im Rahmen der Vorgaben des Art. 20 DSGVO in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten sowie diese Daten einem anderen Verantwortlichen ohne Behinderung durch den Verantwortlichen, dem die personenbezogenen Daten bereitgestellt wurden, zu übermitteln
Sie haben nach Art. 21 DSGVO das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung der Sie betreffenden personenbezogenen Daten, die aufgrund von Art. 6 Abs. 1 lit. e oder f DSGVO erfolgt, Widerspruch einzulegen. Der Verantwortliche verarbeitet die Sie betreffenden personenbezogenen Daten nicht mehr, es sei denn, er kann zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
Bei einem Widerspruch und/oder Beseitigungsanspruch bzgl. der Nutzung des XMMP Dienstes kann der Benutzer die erfassten Daten zum persönlichen XMPP-Account jederzeit auf Anfrage löschen lassen. Eine Weiternutzung des Angebots ist dann ggf. aus technischen Gründen nicht mehr möglich.
XMPP / Datenschutz
openim.de nimmt den Schutz persönlichen Daten sehr ernst und hält sich strikt an die Regeln der Datenschutzgesetze. Personenbezogene Daten werden auf diesem Server nur im technisch notwendigen Umfang erhoben. In keinem Fall werden die erhobenen personenbezogenen Daten verkauft oder aus anderen Gründen an Dritte weitergegeben.
Wir bemühen uns einen “Daten-sparsamen” Server als WhatsApp Alternative anzubieten. Dennoch gibt es ein paar Dinge, die zu beachten sind:
IP-Adressen von Nutzern werden standardmäßig nicht protokolliert. Ausnahme: Bei fehlerhaften Login-Versuchen wird die IP-Adresse protokolliert, um Angriffe auf Accounts abzuwehren.
Die Jabber-ID (JID) bestehend aus Benutzername und Domain zur Identifikation des Benutzerkontos.
Das Passwort für den Jabber-Account zur Identifikation bei der Anmeldung des Jabber-Clients an den Server (Verschlüsselt gespeichert!).
Die in der Aufstellung gespeicherten Kontakte eines Nutzers zusammen mit der Information, in welche Richtung(en) die Sichtbarkeit mit diesem Kontakt existiert. Dies wird gespeichert, damit man sich von verschiedenen Clients anmelden kann und immer die gleichen Kontakte hat.
Datum und Uhrzeit wann das Benutzerkonto angelegt wurde und wann es das letzte Mal benutzt wurde. Dies geschieht, damit unbenutzte Benutzerkonten automatisch gelöscht werden können.
Zur Registrierung ist keine Eingabe von personenbezogenen Daten notwendig. Dies erschwert leider den Nachweis des Accountsbesitzes, falls das Passwort durch den Betreiber zurückgesetzt werden muss. Tipp: Erstelle einen Phantasie-Kontakt, dessen geheime ID nur Du kennst. So kannst du beweisen, dass Du der Besitzer Deines Accounts bist.
Um Nachrichten über mehrere Geräte hinweg synchron zu halten und Nachrichten auch austauschen zu können, wenn zwei Teilnehmer nicht gleichzeitig online sind, werden Nachrichten bis zu 4 Wochen lang auf dem Server zwischengespeichert.
Diese Funktion heißt “MAM” (XEP-0313 Message Archive Management) und ist sowohl für Einzelkonversationen als auch MUCs (Multi User Chats, Chatrooms), standardmäßig deaktiviert.
Wenn MAM aktiviert wurde (z.B. mit Conversations) kannst du OMEMO-Verschlüsselung / End-to-End-Verschlüsselung einsetzen, um Deine Konversationen auch bei einem Einbruch in meine Serversysteme sicher zu halten.
via http_upload hochgeladene Inhalte bleiben 7 Tage lang auf dem Server gespeichert
Die Daten des Jabber-Servers werden wöchentlich zu einem Server an einem anderen Ort gesichert. Die Daten werden verschlüsselt auf dem Backup-Server übertragen und gesichert. Die Backups werden für 4 Wochen aufbewahrt und danach im Rotationsprinzip gelöscht.
Wir verwenden Google reCaptcha zur Anmeldungssciherung – die Datenschutzerklärung von Google findet hier unterhalb des Captchas oder hier.
Übersicht der gespeicherten Daten
IP-Adressen (z.B. fehlerhafter Login-Versuche) 14 Tage lang (Firewallregelwerk)
Nachrichtenverlauf (4 Wochen lang. Optional: MAM deaktivieren.)
HTTP_Upload Dateien werden für 7 Tage auf dem Server gespeichert
Zeitpunkt des letzten Logins (um inaktive Benutzer zu erkennen)
Profilangaben (VCard) und Avatar
Zum Account hinzugefügte Kontakte und MUCs
Du kannst Deine persönlichen Nachrichten schützen, indem du Ende-zu-Ende-Verschlüsselung (z.B. OMEMO) aktivierst.
Der Server der Webseiten erhebt und speichert automatisch Informationen in so genannten Server-Log Files, die Ihr Browser automatisch an uns übermittelt. Dies sind:
Die über einen Nutzer gespeicherten Daten werde nicht kommerziell genutzt. Sie werden auch nicht an dritte Personen verkauft. Es wird keinerlei Werbung an die Nutzer dieses Services verschickt, auch nicht in eigener Sache. Die Daten werden ausschließlich für den Betrieb, Instandhaltung und Sicherung dieses Server/Dienstes eingesetzt.
Folgende Ausnahmen hierzu existieren: Werden Daten des Benutzers von diesem oder seinem Nutzerprogramm dazu gespeichert veröffentlich zu werden (hierunter fällt insbesondere eine abgespeicherte vCard oder http_upload), so sind diese Informationen durch andere Nutzer einzeln abrufbar.
Der Betreiber dieses Servers untersagt ausdrücklich die Nutzung dieses Dienstes zum Versand von unerwünschter (das heißt nicht ausdrücklich angeforderter) Werbung, kann dies jedoch nicht in allen Fällen durchsetzen.
Nachrichten, die von einem Nutzer an einen anderen Nutzer verschickt werden, können auf andere Server zugestellt werden. Die dortige Behandlung unterliegt nicht unbedingt den Zusicherungen für diesen Server. Desgleichen gilt für Informationen, die der Benutzer für die Weitergabe an andere Nutzer oder alle Nutzer bestimmt hat (z. B. Informationen über den Online-Status/die Presence an Benutzer denen er die Erlaubnis erteilt hat sowie technisch bedingt die Server, die von diesen Nutzern verwendet werden).
IP-Adressen der Nutzer werden von diesem Server nicht an andere Nutzer weitergegeben. Alle Kommunikation über das Jabber-Protokoll erfolgt über den Server. Jabber-Clients können sich jedoch innerhalb von Nachrichten gegenseitig ihre IP-Adresse zuschicken um z. B. eine Dateiübertragung zu starten. Der Server überprüft diese IP-Adresse jedoch nicht und gibt selbst keine IP-Adresse eines Nutzers an eine dritter Person weiter.

References: Art. 6
 Art. 6
 Art. 6
 Art. 6
 Art. 6
 Art. 6
 Art. 6
 Art. 15
 Art. 17
 Art. 17
 Art. 18
 Art. 19
 Art. 19
 Art. 20
 Art. 21
 Art. 6