Datenschutzerklärung

Informative Übersetzung. Die rechtsverbindliche Fassung ist das spanische Original unter /legal/privacidad.html. Bei Abweichungen hat die spanische Version Vorrang.

1. Datenschutzphilosophie

ULOX ist nach dem Prinzip Privacy by Design und Privacy by Default konzipiert. Der von ITRION betriebene Server ist technisch blind für den Inhalt der Kommunikation und für die vom Nutzer gespeicherten Inhalte: Er besitzt nicht die kryptografischen Schlüssel, die zum Entschlüsseln dieser Daten erforderlich sind; er kann Nachrichten, Dateien, Notizen, gespeicherte Passwörter oder andere Nutzerinformationen nicht lesen.

Diese Eigenschaft ist keine Rhetorik: Sie ist strukturell. Sie wird durch Ende-zu-Ende-Verschlüsselung im Messaging, kryptografische Ableitung von Pseudonymen, die die Verbindung zwischen Basiskonto und Universen unterbrechen, und Serverspeicherung ausschließlich als undurchsichtige, clientseitig verschlüsselte Blobs realisiert.

2. Verantwortlicher

3. Datenschutzbeauftragter (DSB)

Wenn die Benennung eines DSB nach Artikel 37 DSGVO obligatorisch ist oder ITRION ihn freiwillig benennt, lauten seine Kontaktdaten wie folgt:

4. Welche Daten wir verarbeiten

Die Menge der personenbezogenen Daten, die ITRION im Zusammenhang mit dem Dienst verarbeiten kann, ist bewusst minimal:

4.1. Kontodaten

• ULOX-ID: alphanumerische Kennung, die vom Nutzer gewählt wird. Es ist nicht erforderlich, dass sie identifizierend ist. Sie ist nicht mit E-Mail oder Telefonnummer verknüpft.
• Hauptschlüssel (Hash): ITRION speichert nur den kryptografischen Hash (Argon2id) des Schlüssels, nicht den Schlüssel selbst.
• Kryptografische öffentliche Schlüssel, die auf dem Client generiert werden.
• Abgeleitete Pseudonyme: undurchsichtige Identifikatoren in jedem LOX, kryptografisch erzeugt. Sie geben dem Server nicht preis, zu welchem Basiskonto sie gehören.

4.2. Technische und Nutzungsdaten

• IP-Adressen, die bei Verbindungen empfangen werden und in technischen Logs für kurze Zeiträume zu Sicherheits- und Diagnosezwecken vorhanden sind.
• Zeitstempel der letzten Aktivität und Präsenz (last seen, online_until), die mit dem Konto oder dem Pseudonym verknüpft sind. Diese Daten sind das Minimum, das für die Präsenzfunktionalität erforderlich ist.
• User-Agent-Informationen (Browser, Betriebssystem) in Verbindungslogs, ausschließlich zu technischen Zwecken.
• Push-Benachrichtigungsabonnements, sofern der Nutzer sie aktiviert, in Form eines undurchsichtigen Endpunkts, der vom Browser/System bereitgestellt wird.

4.3. Verschlüsselte Daten

• Verschlüsselte Nachrichten und Dateien in der Übertragung und im Ruhezustand, als undurchsichtige Bytes gespeichert.
• Verschlüsselte Metadaten (meta_blob) der Elemente des privaten Universums.
• Verschlüsselte Binärdateien, die im Objektspeicher abgelegt sind.

ITRION erkennt an, dass diese verschlüsselten Daten persönliche Nutzerinformationen enthalten können, verfügt aber nicht über die Schlüssel zum Entschlüsseln. Daher verarbeitet es ihren Inhalt nicht über die Speicherung, Übertragung und Auslieferung an den berechtigten Empfänger gemäß dem Serviceprotokoll hinaus.

5. Welche Daten wir NICHT verarbeiten

Konstruktionsbedingt erhebt und speichert ITRION nicht die folgenden Daten im Klartext:

• Realer Name, Nachnamen, Geburtsdatum, Geschlecht, Nationalität oder eine andere bürgerliche Kennung.
• E-Mail-Adresse oder Telefonnummer des Nutzers.
• Kontaktverzeichnis des Geräts.
• Genaue Geolokalisierung.
• Inhalt von Nachrichten, Dateien, Fotos, Videos, Audios, Notizen oder vom Nutzer gespeicherten Passwörtern.
• LOX-Strings im Klartext, weder auf dem Server noch auf dem Gerät. Die Schlüssel werden dynamisch aus dem LOX auf dem Client abgeleitet.
• Verknüpfung zwischen Basiskonto und den Pseudonymen, die der Nutzer innerhalb jedes LOX annimmt.

6. Zwecke und Rechtsgrundlagen der Verarbeitung

7. Aufbewahrungsfristen

• Kontodaten: solange das Konto aktiv ist. Nach der Abmeldung Löschung innerhalb von maximal 30 Kalendertagen, vorbehaltlich gesetzlicher Aufbewahrungspflicht.
• Verschlüsselte Nachrichten: bis zur Zustellung an den Empfänger und gegebenenfalls während des im Client vom Nutzer konfigurierten Aufbewahrungszeitraums. Die technische Serverrichtlinie sieht eine automatische Löschung nach angemessenen Fristen nach der Zustellung vor.
• Sicherheits- und Verbindungslogs (IP, Zeitstempel, User-Agent): bis zu neunzig (90) Kalendertage. Dieser Zeitraum ermöglicht die Zusammenarbeit mit legitimen rechtlichen Anfragen der Behörden innerhalb der üblichen Prozesszeiten (Gerichtsbeschluss, Polizeiersuchen) und gilt als verhältnismäßig zum verfolgten Zweck. Nach Ablauf dieses Zeitraums werden die Logs automatisch gelöscht, außer wenn eine ordnungsgemäß formalisierte offene Untersuchung vorliegt; in diesem Fall werden nur die Daten aufbewahrt, die direkt mit der Untersuchung verbunden sind.
• Daten, die einer gesetzlichen Verpflichtung unterliegen: die entsprechende gesetzliche Frist (z. B. Buchhaltungsdaten bis zu 6 Jahre für zahlende Kunden, Daten zu gerichtlichen Anzeigen bis zum Abschluss des Verfahrens).

8. Empfänger und Auftragsverarbeiter

ITRION teilt oder überträgt personenbezogene Daten nicht an Dritte zu Werbe- oder Geschäftszwecken. ITRION erstellt keine Nutzerprofile, segmentiert nicht für Werbetreibende und nimmt nicht an Werbenetzwerken teil.

Die einzigen Dritten, die technischen Zugriff auf Servicedaten haben können, sind Auftragsverarbeiter, die wesentliche Infrastruktur bereitstellen und durch einen Auftragsverarbeitungsvertrag gemäß Artikel 28 DSGVO gebunden sind:

• Hosting-Anbieter: die Server, auf denen der Dienst läuft. Zugängliche Daten: undurchsichtige verschlüsselte Blobs, Kontokennungen, technische Logs. Kein Zugriff auf Klartextinhalte.
• DNS- und Content-Delivery-Netzwerkanbieter (CDN): für Namensauflösung und Auslieferung der Webanwendung. Zugängliche Daten: Verbindungsmetadaten.
• Push-Benachrichtigungsanbieter: Dienste der Betriebssystem- oder Browserhersteller (Apple, Google, Mozilla, Microsoft), die Benachrichtigungen an das Gerät liefern. Zugängliche Daten: Endpunkt und undurchsichtige verschlüsselte Nutzlast oder Nutzlast ohne sensible Inhalte.
• E-Mail-Anbieter für die Kanäle *@ulox.org: derzeit ein eigener Mailserver (Mailcow), der von ITRION betrieben und in der Europäischen Union angesiedelt ist.

Die vollständige und aktualisierte Liste der Auftragsverarbeiter ist für jeden Interessierten unter privacy@ulox.org verfügbar.

9. Internationale Datenübermittlungen

Die Hauptinfrastruktur des Dienstes befindet sich in der Europäischen Union. ITRION ist bestrebt, die gesamte Verarbeitung im Europäischen Wirtschaftsraum zu halten.

Sofern internationale Übermittlungen personenbezogener Daten in Länder außerhalb des EWR erfolgen (z. B. zu Push-Benachrichtigungsanbietern von Apple oder Google), wird ITRION sicherstellen, dass solche Übermittlungen unter einer der in der DSGVO (Artikel 44 ff.) vorgesehenen Garantien erfolgen: Angemessenheitsbeschlüsse, Standardvertragsklauseln (SCC) oder verbindliche interne Datenschutzvorschriften (BCR), je nach Fall.

10. Rechte der betroffenen Person

Als Inhaber personenbezogener Daten hat der Nutzer die folgenden Rechte, die jederzeit ausgeübt werden können:

• Auskunft: zu wissen, welche personenbezogenen Daten von ihm ITRION verarbeitet.
• Berichtigung: ungenaue oder unvollständige Daten zu korrigieren.
• Löschung („Recht auf Vergessenwerden"): die Löschung seiner Daten zu erwirken, vorbehaltlich gesetzlicher Aufbewahrungspflicht.
• Widerspruch: gegen Verarbeitungen auf der Grundlage berechtigter Interessen Widerspruch einzulegen.
• Einschränkung: die Aussetzung der Verarbeitung zu beantragen, während eine Streitigkeit überprüft wird.
• Datenübertragbarkeit: die Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten, sofern technisch möglich.
• Widerruf der Einwilligung: zuvor erteilte Einwilligungen zu widerrufen (z. B. Push-Benachrichtigungen).
• Nicht Gegenstand individueller automatisierter Entscheidungen sein: ITRION trifft keine automatisierten Entscheidungen mit erheblichen rechtlichen Auswirkungen auf den Nutzer.

Die Ausübung erfolgt durch Senden eines Antrags an privacy@ulox.org, gegebenenfalls unter Angabe der zur Identifizierung des Inhabers und des Antrags erforderlichen Mindestdaten. ITRION wird innerhalb von maximal einem (1) Monat antworten, verlängerbar um bis zu zwei (2) zusätzliche Monate in komplexen Fällen.

11. Minderjährige

Der Dienst richtet sich nicht an Minderjährige unter dem in der Minderjährigen-Richtlinie festgelegten Mindestalter. ITRION sammelt nicht wissentlich personenbezogene Daten von Minderjährigen unter diesem Alter. Sollte eine solche Sammlung festgestellt werden, werden die Daten sofort gelöscht und das Konto geschlossen.

12. Sicherheitsmaßnahmen

ITRION wendet geeignete technische und organisatorische Maßnahmen an, um ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten (Art. 32 DSGVO), darunter:

• Ende-zu-Ende-Verschlüsselung der Nutzerkommunikation (XSalsa20-Poly1305, X25519).
• Clientseitige Verschlüsselung der in privaten Universen gespeicherten Inhalte.
• Kryptografische Schlüsselableitung aus Passwörtern mit Argon2id (MODERATE-Parameter: 256 MiB, 3 Iterationen).
• Ausschließlich HTTPS/TLS-Kommunikation.
• Dienstisolierung in Containern und segmentierten Netzwerken.
• Verschlüsselte Backups mit Schlüssel, der nicht am selben Ort wie die Daten aufbewahrt wird.
• Protokollierung administrativer Zugriffe und rollenbasierte Zugriffskontrolle.
• Regelmäßige Audits und interne Überprüfungsprozesse.

13. Sicherheitsverletzungen

Im Falle einer Sicherheitsverletzung, die ein Risiko für die Rechte und Freiheiten des Nutzers darstellen kann, wird ITRION die Meldepflichten gegenüber der Aufsichtsbehörde innerhalb von maximal 72 Stunden (Art. 33 DSGVO) erfüllen und gegebenenfalls die Verletzung an betroffene Nutzer (Art. 34 DSGVO) über die verfügbaren Kanäle kommunizieren.

14. Zusammenarbeit mit Behörden

ITRION arbeitet mit gesetzlich zuständigen Justiz-, Verwaltungs- und Strafverfolgungsbehörden im Rahmen des anwendbaren Rechts und der internationalen Kooperationsabkommen zusammen.

Bei einer verbindlichen rechtlichen Anfrage liefert ITRION die Daten, über die es tatsächlich verfügt, innerhalb der erforderlichen Fristen und mit der gebotenen Sorgfalt, und leistet den Behörden die technische Unterstützung, die vernünftigerweise möglich ist. ITRION verfügt nicht über die technische Fähigkeit, die verschlüsselten Inhalte des Nutzers zu entschlüsseln, da die kryptografischen Schlüssel nicht in seinem Besitz sind; diese Einschränkung ergibt sich aus dem Privacy-by-Design-Modell des Dienstes und wird in gutem Glauben in jeder Antwort auf Anfragen festgehalten, ohne dass dies eine Weigerung zur Zusammenarbeit bedeutet.

Der Kanal für die Zusammenarbeit mit Behörden ist law-enforcement@ulox.org.

15. Spezifische Bestimmungen nach Region

15.1. Europäische Union und EWR

Nutzer mit Wohnsitz in der EU/im EWR können eine Beschwerde bei der zuständigen Aufsichtsbehörde einreichen. In Spanien ist die Behörde die Spanische Datenschutzagentur (AEPD), zugänglich unter www.aepd.es. In Deutschland und Österreich sind die jeweiligen nationalen oder Landesdatenschutzbehörden zuständig.

15.2. Vereinigtes Königreich

Nutzer mit Wohnsitz im Vereinigten Königreich können eine Beschwerde beim Information Commissioner's Office (ICO) unter ico.org.uk einreichen. Es gelten UK GDPR und Data Protection Act 2018.

15.3. USA — Kalifornien (CCPA/CPRA)

Einwohner Kaliforniens haben entsprechende Rechte: Recht auf Auskunft, Löschung, Berichtigung und Widerspruch gegen den Verkauf oder die Weitergabe personenbezogener Daten. ITRION verkauft oder teilt keine personenbezogenen Daten im Sinne der Definitionen des CCPA/CPRA. Anfragen an privacy@ulox.org.

15.4. USA — andere Bundesstaaten

Einwohner anderer Bundesstaaten mit anwendbaren Datenschutzbestimmungen (Virginia, Colorado, Connecticut, Utah, Texas usw.) können die in ihrer Gesetzgebung vorgesehenen Rechte durch Anfragen an privacy@ulox.org ausüben.

15.5. Brasilien (LGPD)

Einwohner Brasiliens können die in der Lei Geral de Proteção de Dados Pessoais (Gesetz 13.709/2018) vorgesehenen Rechte ausüben, einschließlich Bestätigung, Auskunft, Berichtigung, Anonymisierung, Übertragbarkeit, Löschung und Widerruf der Einwilligung. Die Aufsichtsbehörde ist die Autoridade Nacional de Proteção de Dados (ANPD).

15.6. Kanada (PIPEDA/provinziell)

Einwohner Kanadas können die in PIPEDA und anwendbaren provinziellen Vorschriften vorgesehenen Rechte ausüben. Die Bundesbehörde ist das Office of the Privacy Commissioner of Canada (OPC).

15.7. Rest der Welt

ITRION wird die Grundsätze und Rechte der DSGVO als Mindeststandard auf alle Nutzer anwenden. Beschwerden können an privacy@ulox.org gerichtet werden.

16. Änderungen dieser Richtlinie

ITRION kann diese Datenschutzerklärung aktualisieren, um rechtliche, technische oder Serviceänderungen widerzuspiegeln. Aktualisierungen werden auf dieser Seite mit Angabe des Überarbeitungsdatums veröffentlicht. Bei wesentlichen Änderungen wird der Nutzer mit angemessener Vorlaufzeit über den Dienst informiert.

17. Kontakt und Beschwerden

Für Anfragen oder die Ausübung von Rechten:

• Allgemeiner Datenschutz: privacy@ulox.org
• Datenschutzbeauftragter: dpo@ulox.org
• Post: ITRION SOFTWARE, S.L. — „Datenschutzabteilung", Calle Francisco Silvela, 110, 2. Etage, 28028 Madrid, Spanien.

Unbeschadet des Vorstehenden hat der Nutzer das Recht, eine Beschwerde bei der zuständigen Aufsichtsbehörde seiner Gerichtsbarkeit einzureichen, wenn er der Auffassung ist, dass die Verarbeitung seiner personenbezogenen Daten gegen die geltenden Vorschriften verstößt.