Datenschutzerklärung

Stand: 07.11.2026

1. Verantwortlicher und Kontakt

Verantwortlich für die hier beschriebenen eigenen Verarbeitungen auf backuphaus.de und app.backuphaus.de ist:

Deschalet UG (haftungsbeschränkt)
August-Hanken-Straße 24
26125 Oldenburg
Vertreten durch: Friedrich Stenschke
E-Mail: support@backuphaus.de
Telefon: +49 (0) 441 55974990

Backuphaus ist ein Produkt von Deschalet. Du kannst Dich mit Datenschutzfragen an die genannte E-Mail-Adresse wenden.

2. Welche Rolle wir haben

Wir unterscheiden zwei Verarbeitungsbereiche:

1. Eigene Verantwortlichkeit: Websitebetrieb, Kontaktanfragen, Verwaltung von Kundenkonten, Vertragsabwicklung, Abrechnung sowie die hierfür erforderliche Betriebssicherheit.
2. Auftragsverarbeitung: Sicherung, Aufbewahrung, Suche, Vorschau, Export und Wiederherstellung der von Deinem Unternehmen beauftragten Google-Workspace-Daten einschließlich der dazugehörigen personenbezogenen Sicherungsmetadaten. Hier handelt Deschalet nach dokumentierten Weisungen des Kunden. Maßgeblich ist ein gesonderter Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit technischen und organisatorischen Maßnahmen und einer Liste der eingesetzten Unterauftragsverarbeiter.

Ist Dein Unternehmen seinerseits Auftragsverarbeiter, ist die weitere Verarbeitungskette im AVV abzubilden. Allein der Speicherort oder die Speicherung in unserer Datenbank macht uns nicht zum Verantwortlichen für fremde Workspace-Inhalte. Diese Erklärung ersetzt weder den AVV noch die Informationspflichten Deines Unternehmens gegenüber Beschäftigten und anderen betroffenen Personen.

Unser Vertragsangebot richtet sich ausschließlich an Unternehmer nach § 14 BGB. Natürliche Personen behalten unabhängig davon ihre Rechte nach der DSGVO.

3. Rechtsgrundlagen und erforderliche Angaben

• Art. 6 Abs. 1 lit. b DSGVO: vorvertragliche Schritte und Vertragserfüllung, soweit Du selbst Vertragspartner bist, etwa als Einzelunternehmer.
• Art. 6 Abs. 1 lit. f DSGVO: Kommunikation mit Ansprechpartnern und Beschäftigten eines Unternehmenskunden, sichere Kontoverwaltung, IT-Sicherheit und erforderliche Anspruchsverteidigung. Unsere Interessen sind ein funktionierender, sicherer Geschäftsbetrieb und die Kommunikation mit unseren Kunden.
• Art. 6 Abs. 1 lit. c DSGVO: gesetzliche Pflichten, insbesondere handels- und steuerrechtliche Aufbewahrung.
• Art. 6 Abs. 1 lit. a DSGVO: eine ausdrücklich eingeholte Einwilligung für einen konkret benannten freiwilligen Zweck. Aktuell setzen wir keine eigenen Analyse- oder Werbedienste ein.

Art. 28 DSGVO regelt unsere Beauftragung als Auftragsverarbeiter. Er ersetzt nicht die Rechtsgrundlage, die der Kunde für seine Workspace-Daten benötigt. Bei besonderen Datenkategorien oder strafrechtlichen Daten sind zusätzlich Art. 9 beziehungsweise Art. 10 DSGVO zu beachten.

Ohne technische Verbindungsdaten kann eine Website nicht ausgeliefert werden. Ohne die zur Anmeldung, Zuordnung und Abrechnung erforderlichen Angaben können wir kein funktionsfähiges Kundenkonto und keinen kostenpflichtigen Vertrag bereitstellen. Die Erteilung optionaler Einwilligungen ist dagegen freiwillig.

4. Hosting und technische Protokolle

Website, Anwendung, API und die PostgreSQL-Datenbank werden auf einem IONOS Cloud Cube in Berlin, Deutschland, betrieben. Infrastruktur- und Speicheranbieter ist IONOS SE, Deutschland. Soweit IONOS personenbezogene Daten in unserem Auftrag verarbeitet, besteht eine Vereinbarung nach Art. 28 DSGVO.

Für Verbindungsaufbau, Auslieferung, Fehleranalyse und Missbrauchsschutz fallen technische Daten an. Webserver-Protokolle über Caddy können die IP-Adresse, Zeitpunkt, angeforderte Adresse, HTTP-Methode und Status, Datenmenge, Browserkennung sowie einen vom Browser übermittelten Referrer enthalten. Nicht jedes Feld wird bei jeder Anfrage übermittelt. Anwendungs- und Sicherheitsprotokolle können zusätzlich Mandantenkennung, Ereignisart und Fehlermeldungen enthalten. Wir verwenden diese Protokolle nicht für Werbung oder personenbezogene Reichweitenprofile.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht in sicherer Bereitstellung, Störungsbehebung und Abwehr unbefugter Zugriffe. Die regelmäßige Aufbewahrung beträgt höchstens 14 Tage. Bei einem konkreten Sicherheitsvorfall können die hierfür benötigten Auszüge getrennt und zugriffsbeschränkt bis zur Aufklärung beziehungsweise erforderlichen Rechtsverfolgung aufbewahrt werden. Das betrifft keine pauschale Verlängerung aller Protokolle.

5. Cookies, Einwilligungsbanner und lokale Speicherung

Für das Speichern oder Auslesen von Informationen auf Deinem Endgerät gilt § 25 TDDDG, früher TTDSG. Eine Ausnahme von der Einwilligungspflicht nach § 25 Abs. 2 Nr. 2 TDDDG besteht nur, soweit dies für einen von Dir ausdrücklich gewünschten digitalen Dienst unbedingt erforderlich ist. Die anschließende Verarbeitung personenbezogener Daten richtet sich zusätzlich nach der DSGVO.

5.1 Notwendige Funktionen

Die Anmeldung setzt nur nach dem von Dir angeforderten Login eine Sitzung. Die Speicherung Deiner Cookie-Auswahl ermöglicht es, gerade auch eine Ablehnung zu beachten. Rechtsgrundlage der Endgerätespeicherung ist, soweit unbedingt erforderlich, § 25 Abs. 2 Nr. 2 TDDDG. Personenbezogene Sitzungsdaten verarbeiten wir gemäß Abschnitt 3 zur Kontobereitstellung und Kontosicherheit; die erforderliche Auswahlverwaltung beruht auf Art. 6 Abs. 1 lit. f DSGVO, gegebenenfalls zusammen mit den gesetzlichen Nachweispflichten für tatsächlich eingeholte Einwilligungen.

5.2 Keine Analyse und keine Werbung

Wir betreiben derzeit kein Google Analytics, keine Werbepixel und keine sonstige eigene Reichweitenmessung. Eine Auswahl „Alle akzeptieren“ darf daher nicht als pauschale Zustimmung zu unbenannten zukünftigen Diensten genutzt werden.

Der eigene Banner bietet eine gleichwertige Ablehnung und Zustimmung sowie Einstellungen an. Optionale Technologien und Fremdinhalte dürfen erst nach einer dafür spezifischen vorherigen Einwilligung geladen werden. Bevor solche Dienste eingeführt werden, ergänzen wir deren Anbieter, Zwecke, Rechtsgrundlagen, Laufzeiten und mögliche Drittlandübermittlungen und holen erforderliche neue Einwilligungen ein. Du kannst Deine Auswahl jederzeit über „Cookie-Einstellungen“ im Footer ändern oder eine Einwilligung für die Zukunft widerrufen, ohne Nachteile für die bereits rechtmäßige Verarbeitung.

Google-Anmeldung und Stripe-Checkout sind von Dir aktiv angeforderte externe Funktionen. Der bloße Besuch unserer Website soll diese Anbieter nicht bereits kontaktieren. Auf den von Dir geöffneten Anbieterseiten gelten deren eigene Hinweise und erforderlichen Einwilligungsmechanismen. Eine Cookie-Auswahl bei Backuphaus ist keine automatische Zustimmung zu Werbetechnologien dieser Anbieter.

6. Kontakt und E-Mail

Wenn Du uns kontaktierst, verarbeiten wir Deine Absender- und Kontaktdaten, gegebenenfalls Unternehmensdaten, den Nachrichteninhalt und erforderliche Kommunikationsmetadaten, um Dein Anliegen zu bearbeiten. Die Rechtsgrundlage ergibt sich je nach Kontakt aus Abschnitt 3. Reine Anfragen ohne Vertrag werden grundsätzlich spätestens 12 Monate nach Abschluss der Bearbeitung gelöscht, soweit keine dokumentierte andere Erforderlichkeit oder gesetzliche Pflicht besteht. Vertragsbezogene Geschäftsbriefe unterliegen den Fristen in Abschnitt 11.

7. Anmeldung und Kundenkonto

7.1 Google-Anmeldung

Du meldest Dich über eine aktiv ausgelöste Weiterleitung zu Google mit Deinem Google-Workspace-Konto an. Dabei werden für den Authentifizierungsvorgang Verbindungsdaten an Google übermittelt. Wir erhalten insbesondere Deine Google-Nutzerkennung, E-Mail-Adresse, Deinen Namen und die Workspace-Domain. Der geprüfte Code speichert kein Profilbild. Zur Zuordnung speichern wir eine interne Nutzerkennung, Mandantenzuordnung, Rolle sowie Erstellungs- und Anmeldezeitpunkte.

Wir verwenden OpenID Connect und einen Authorization-Code-Ablauf mit PKCE. Kurzlebige Anmeldestatusdaten schützen diesen Ablauf vor Missbrauch. Sie gelten höchstens 15 Minuten und dürfen nur für den Anmeldevorgang verwendet werden. Die Sitzung kann außerdem IP-Adresse und Browserkennung enthalten, um Zugriffe abzusichern. Rechtsgrundlagen sind die in Abschnitt 3 genannten Vertrags- beziehungsweise Sicherheitszwecke. Für Sitzungen gilt Abschnitt 5.

Anbieter im EWR ist regelmäßig Google Ireland Limited; je nach Funktion und Vertragsbeziehung können Google LLC und weitere Google-Gesellschaften beteiligt sein. Weitere Informationen: Google-Datenschutzerklärung.

7.2 Vertrags- und Abrechnungsverwaltung

Wir verarbeiten Firmenname, Workspace-Domain, Ansprechpartner, Kontorollen, Tarif, gebuchte Nutzerzahl, Speicherverbrauch, Abonnementstatus und Abrechnungszeitraum. Hinzu kommen Stripe-Kunden- und Abonnementkennungen sowie Informationen zum Zahlungsverlauf. Diese Daten dienen Kontobetrieb, Berechtigungsverwaltung und Abrechnung. Die Rechtsgrundlagen und Speicherfristen stehen in den Abschnitten 3 und 11.

7.3 Verbindungs- und Sicherungsmetadaten

Für die beauftragte Workspace-Anbindung werden insbesondere Administrator-Adresse, Domain, freigegebene Scopes, Verbindungsstatus und erforderliche verschlüsselte OAuth-Zugangstokens verarbeitet. Das Dienstkonto für domainweite Delegation wird serverseitig geschützt. Sicherungsmetadaten umfassen unter anderem Workspace-Nutzer und geteilte Ablagen, Objektkennungen, Namen und Pfade, Prüfsummen, Größen, Versionszeitpunkte, Berechtigungsinformationen, Sicherungsstatus und Fehlermeldungen. Metadaten können selbst personenbezogene Informationen enthalten, beispielsweise E-Mail-Betreffzeilen oder Dateinamen. Soweit sie Workspace-Inhalte beschreiben, unterliegen sie wie diese dem AVV und werden nicht für eigene Werbezwecke verwendet.

8. Zahlungsabwicklung mit Stripe

Wir nutzen Stripe Payments Europe, Ltd., Irland, für Zahlungsabwicklung, Abonnements, Rechnungsbereitstellung und das Kundenportal. Bei der Nutzung des gehosteten Checkouts verarbeiten Stripe und beteiligte Zahlungsdienstleister insbesondere Kontaktdaten, Rechnungsadresse, gegebenenfalls Steuer-ID, Zahlungsmitteldaten, Transaktionsbetrag und technische Sicherheitsdaten. Notwendige Konto- und Bestelldaten sowie die Mandantenzuordnung übermitteln wir an Stripe. Wir speichern Stripe-Referenzen und erforderliche Zahlungs- und Abrechnungsinformationen, nicht die vollständige Kartennummer oder Kartenprüfnummer.

Die Verarbeitung dient Vertragserfüllung beziehungsweise unserer Geschäftsbeziehung und den gesetzlichen Abrechnungspflichten, entsprechend Abschnitt 3. Stripe kann je nach Leistung als Auftragsverarbeiter und für eigene gesetzliche oder Sicherheitszwecke als eigenständig Verantwortlicher handeln. Stripe ist kein Empfänger der gesicherten Workspace-Inhalte zur Zahlungsabwicklung. Weitere Informationen: Stripe-Datenschutzerklärung.

9. Workspace-Sicherungen im Auftrag des Kunden

9.1 Umfang und Datenarten

Der beauftragte Vollumfang erfasst Gmail, Google Drive einschließlich Shared Drives, Google Kalender und Google Kontakte aller vom Kunden in die Sicherung einbezogenen Nutzer seiner Workspace-Organisation. Die Datenquelle ist der eigene Google Workspace des Kunden. Die Google-OAuth-App und die vom Workspace-Administrator eingerichtete domainweite Delegation erlauben nur den freigegebenen Zugriff. Anmeldung allein erteilt keine pauschale Befugnis zur Sicherung fremder Organisationen.

Dabei können E-Mail-Inhalte und Anlagen, Absender und Empfänger, Dateien, Freigaben, Termine einschließlich Teilnehmern und Beschreibungen sowie Kontaktinformationen verarbeitet werden. Die Daten können Beschäftigte, Kunden, Lieferanten und sonstige Kommunikationspartner betreffen und auch besondere Kategorien personenbezogener Daten enthalten.

Wir verwenden die Daten ausschließlich für den vereinbarten Sicherungsdienst und dokumentierte Weisungen. Wir verkaufen sie nicht und verwenden sie nicht für Werbung oder zum Training allgemeiner KI-Modelle. Für über Google-APIs erhaltene Daten sind die Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen maßgeblich. Deren tatsächliche Einhaltung muss technisch und organisatorisch sichergestellt sein.

9.2 Speicherorte und Sicherheit

• Workspace-Sicherungsobjekte: verschlüsselt in IONOS Cloud Object Storage, Berlin, eu-central-3, ein eigener Bucket je Kunde.
• Produktivdatenbank: PostgreSQL auf dem IONOS Cube in Berlin. Sie enthält Verwaltungs-, Verbindungs- und Sicherungsmetadaten, nicht ausschließlich anonyme technische Informationen.
• Betriebliche Datenbanksicherungen: verschlüsselt in IONOS Object Storage, Frankfurt, eu-central-4. Diese können auch personenbezogene Workspace-Metadaten und geschützte Verbindungsdaten enthalten. Deshalb ist die Aussage „alle Kundendaten liegen ausschließlich in Berlin“ nicht richtig.

Übertragungen sind durch TLS geschützt. Der geprüfte Code sieht unter anderem AES-256-GCM für Sicherungsobjekte, geschützte Zugangstokens und Mandantentrennung vor. Eine Ende-zu-Ende-Verschlüsselung, bei der auch Deschalet keinerlei Entschlüsselungsmöglichkeit hat, wird nicht zugesichert. Für Verarbeitung und angeforderte Wiederherstellung müssen Daten auf dem Berliner Server entschlüsselt werden können. Details zu Zugriffen, Schlüsselverwaltung, Wiederherstellung und Kontrollen regelt der AVV mit den TOMs.

9.3 Empfänger und Rollen

IONOS SE ist Infrastruktur- und Speicheranbieter und insoweit Unterauftragsverarbeiter für die beauftragten Sicherungsdaten. Die verbindliche AVV-Liste muss alle tatsächlich beteiligten juristischen Personen und Leistungen erfassen.

Google ist Datenquelle sowie Anbieter von Anmeldung und Workspace-APIs. Für die Workspace-Quelldaten besteht die eigene Vertrags- und Datenschutzbeziehung zwischen dem Kunden und Google. Google wird nicht allein dadurch zum von Deschalet neu beauftragten Unterauftragsverarbeiter der IONOS-Sicherung.

Stripe ist Zahlungsdienstleister für Vertragsdaten gemäß Abschnitt 8, nicht pauschal Unterauftragsverarbeiter für sämtliche Workspace-Inhalte. Entsprechendes gilt für einen erst noch festzulegenden E-Mail-Anbieter: Nur tatsächlich notwendige Daten dürfen an ihn gehen.

Befugte Mitarbeitende erhalten Zugriff nur soweit für Vertrag und Weisung erforderlich und unter Vertraulichkeitspflichten. Weitere Empfänger können Behörden, Gerichte sowie rechtliche oder steuerliche Berater sein, soweit dies auf einer gesetzlichen Pflicht oder einer rechtlich zulässigen, erforderlichen Anspruchsbearbeitung beruht. Gesetzlich unzulässige Offenlegungen werden nicht durch diese Erklärung legitimiert.

10. Drittlandbezug

Die von uns eingerichteten Speicherorte für Sicherungsobjekte, Produktivdatenbank und betriebliche Datenbanksicherungen liegen in Deutschland. Damit wird keine vollständige Abwesenheit von Drittlandbezügen zugesichert. Die Quelldienste bei Google, Google-Anmeldung, Zahlungsdienste bei Stripe und deren zulässige Support- oder Konzernverarbeitungen können einen Bezug insbesondere zu den USA haben.

Soweit wir selbst personenbezogene Daten in ein Drittland übermitteln oder einen entsprechenden Zugriff ermöglichen, müssen zusätzlich zu einer Rechtsgrundlage nach Art. 6 DSGVO die Anforderungen der Art. 44 ff. DSGVO erfüllt sein. In Betracht kommen ein tatsächlich einschlägiger Angemessenheitsbeschluss nach Art. 45 DSGVO oder geeignete Garantien nach Art. 46 DSGVO, insbesondere die EU-Standardvertragsklauseln mit erforderlicher Transferprüfung und ergänzenden Maßnahmen. Eine Berufung auf das EU-US Data Privacy Framework setzt voraus, dass der konkrete Empfänger für die betreffende Verarbeitung aktuell erfasst ist. Wir behaupten keine ungeprüfte Zertifizierung.

Informationen zu den tatsächlich vereinbarten Garantien und eine zugängliche Kopie der einschlägigen Klauseln kannst Du über unseren Datenschutzkontakt erhalten, vorbehaltlich rechtlich zulässiger Schwärzungen. Den eigenen Workspace-Vertrag und die Verarbeitung bei Google beurteilt der Kunde zusätzlich selbst.

Ein deutscher Speicherort allein macht US-Rechtsinstrumente wie den CLOUD Act nicht generell unanwendbar und ist keine Garantie gegen jede behördliche Zugriffsmöglichkeit. Wir prüfen Herausgabeverlangen auf ihre Rechtsgrundlage und berücksichtigen Art. 48 DSGVO. Eine pauschale Aussage „CLOUD-Act-sicher“ wird nicht getroffen.

11. Aufbewahrung und Löschung

Das nachstehende Modell gilt identisch zu den AGB. Unterschiedliche Fristen betreffen unterschiedliche Datenarten und sind keine austauschbaren Alternativen.

Gesetzliche Aufbewahrungsfristen beginnen grundsätzlich mit Ablauf des jeweils maßgeblichen Kalenderjahres; gesetzliche Verlängerungstatbestände bleiben unberührt. Gesetzliche Pflichten rechtfertigen nur die Aufbewahrung der tatsächlich betroffenen Unterlagen, nicht beliebiger Workspace-Sicherungsinhalte. Für weisungsgebundene Inhalte sind AVV und zulässige Kundenweisungen maßgeblich. Wo eine gesetzliche Pflicht eine Weisung hindert, informieren wir den Kunden, soweit rechtlich erlaubt.

Wichtig bei Kündigung und Kontolöschung: Eine ordentliche Kündigung ist nicht dieselbe Handlung wie eine ausdrücklich bestätigte sofortige Löschweisung. Eine sofortige unwiderrufliche Löschung muss gesondert angefordert und mit ihren Folgen bestätigt werden. Dann entfällt die weitere Abrufmöglichkeit im zulässigen Umfang. Die Fristen bereits bestehender isolierter Datenbanksicherungen bleiben wie oben beschrieben.

12. Deine Rechte

Soweit die gesetzlichen Voraussetzungen vorliegen, hast Du folgende Rechte:

• Auskunft und Kopie Deiner Daten, Art. 15 DSGVO;
• Berichtigung, Art. 16 DSGVO;
• Löschung, Art. 17 DSGVO;
• Einschränkung der Verarbeitung, Art. 18 DSGVO;
• Datenübertragbarkeit bei den Voraussetzungen des Art. 20 DSGVO;
• Widerruf einer Einwilligung jederzeit für die Zukunft, Art. 7 Abs. 3 DSGVO. Die Rechtmäßigkeit der bisherigen Verarbeitung bleibt unberührt.

Widerspruch nach Art. 21 DSGVO: Du kannst aus Gründen Deiner besonderen Situation jederzeit gegen eine Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO widersprechen. Wir verarbeiten die Daten dann nicht weiter, es sei denn, wir weisen zwingende schutzwürdige Gründe nach, die Deine Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Gegen Direktwerbung kannst Du jederzeit ohne besondere Begründung widersprechen.

Wende Dich an support@backuphaus.de. Wir beantworten Anträge nach den gesetzlichen Fristen des Art. 12 DSGVO, grundsätzlich innerhalb eines Monats. Erforderliche Identitätsprüfungen begrenzen wir auf das notwendige Maß.

Soweit es um weisungsgebundene Workspace-Inhalte geht, ist Dein Unternehmen der primäre Ansprechpartner. Erreichen solche Anfragen uns, unterstützen wir den zuständigen Kunden nach dem AVV; wir entscheiden nicht eigenmächtig über dessen Daten.

13. Beschwerderecht

Du kannst Dich nach Art. 77 DSGVO bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere am Ort Deines gewöhnlichen Aufenthalts, Deines Arbeitsplatzes oder des mutmaßlichen Verstoßes. Für Deschalet ist insbesondere erreichbar:

Der Landesbeauftragte für den Datenschutz Niedersachsen
Postanschrift: Postfach 221, 30002 Hannover
Besucheranschrift: Prinzenstraße 5, 30159 Hannover
Kontakt und Beschwerdezugang

14. Keine automatisierten Einzelentscheidungen

Deschalet trifft im hier beschriebenen Dienst keine ausschließlich automatisierten Entscheidungen einschließlich Profiling im Sinne des Art. 22 DSGVO, die Dir gegenüber rechtliche Wirkung entfalten oder Dich ähnlich erheblich beeinträchtigen. Eine technische Sitzungsprüfung oder ein Sicherungsstatus ist keine solche Entscheidung. Die eigenständigen Verarbeitungen externer Zahlungsanbieter richten sich ergänzend nach deren Hinweisen.

15. Änderungen

Wir aktualisieren diese Erklärung bei Änderungen unserer Verarbeitung oder der Rechtslage. Sie ist unter backuphaus.de/datenschutz/ auch für die App zugänglich. Für neue einwilligungspflichtige Zwecke genügt die bloße Veröffentlichung eines geänderten Textes nicht.