Datenschutzerklärung

Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist Dr. Maximilian Bucher, Kontaktdaten siehe Impressum.

Server-Logfiles

Beim Aufruf dieser Seite werden durch den Hostinganbieter automatisch Zugriffsdaten in Logfiles gespeichert: IP-Adresse, Datum und Uhrzeit, abgerufene Datei, übertragene Datenmenge, Meldung über erfolgreichen Abruf sowie Browsertyp und Betriebssystem. Die Verarbeitung erfolgt nach Art. 6 Abs. 1 lit. f DSGVO zum Zweck des sicheren und störungsfreien Betriebs. Die Daten werden nach kurzer Zeit automatisch gelöscht.

Hosting

Diese Website wird bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, gehostet. Es besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Die Server stehen in Deutschland.

Nutzerkonto

Beim Anlegen eines Kontos werden Vor- und Nachname, E-Mail-Adresse und ein Passwort verarbeitet. Das Passwort wird ausschließlich als Hash gespeichert (Argon2id) und ist auch für den Betreiber nicht lesbar. Name und E-Mail-Adresse werden verschlüsselt abgelegt; für die Anmeldung wird die Adresse zusätzlich als pseudonymer Suchwert (HMAC) gespeichert. Nach der Registrierung, bei einer Änderung der Adresse und beim Zurücksetzen des Passworts erhält der Nutzer eine E-Mail mit einem Bestätigungslink (24 Stunden gültig); diese Nachrichten werden über den Mailserver des Hosters versendet. Zu den Fristen eines Titels — eigene Wiedervorlagen sowie die aus Titel und Maßnahmen berechneten Fristen (etwa Verjährung, erneute Vermögensauskunft) — erhält der Nutzer Erinnerungen per E-Mail, nur an eine bestätigte Adresse: Wiedervorlagen am Tag, andere Fristen bis zu dreimal (vier Wochen, zwei Wochen und drei Tage vorher beziehungsweise vier Wochen vorher und am Tag). Jede Frist lässt sich im Portal verschieben oder aussetzen. Die Erinnerung nennt die Bezeichnung des Titels, das Aktenzeichen, die Maßnahme, die eigene Notiz dazu und was das Gesetz an das Datum knüpft. Damit der tägliche Lauf fällige Termine findet, ohne Inhalte zu entschlüsseln, werden Datum, Art, Erinnerungsstufe und ein Schlüssel aus Art und zufälliger Kennung der Maßnahme unverschlüsselt gespeichert — kein Name, kein Betrag. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Dienstes). Das Konto besteht, bis es gelöscht wird.

Team (Organisation)

Jedes Konto gehört zu genau einer Organisation; bei privater Nutzung ist das Konto allein Mitglied und merkt davon nichts. Inhaber können weitere Personen per E-Mail einladen. Dazu speichern wir die eingeladene Adresse verschlüsselt und als pseudonymen Suchwert, die Rolle, den einladenden Nutzer und einen Hashwert der Kennung aus dem Link (sieben Tage gültig); die Einladungsmail nennt Name des Einladenden und Bezeichnung des Betriebs. Mitglieder eines Teams sehen gegenseitig Vor- und Nachname, E-Mail-Adresse, Rolle und Beitrittsdatum. Alle Fachdaten der Organisation (Titel, Schuldner, Gläubiger, Maßnahmen, Dokumente, Fristen, Freischaltungen) sind allen Mitgliedern zugänglich; sie liegen mit einem Datenschlüssel der Organisation verschlüsselt. Für die Business-Flat speichern wir außerdem Firma oder Name und die Rechnungsanschrift des Betriebs (Pflichtangaben beim Abschluss, sie stehen auf jeder Monatsrechnung, § 34a UStDV) sowie, wenn eingetragen, eine Rechnungsadresse. Erinnerungsmails zu Wiedervorlagen gehen an jedes Mitglied mit bestätigter Adresse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Sitzungscookie

Mit der Anmeldung setzt Forderly ein technisch notwendiges Sitzungscookie („forderly_sitzung“). Es enthält nur eine zufällige Kennung, dient ausschließlich dazu, die Anmeldung aufrechtzuerhalten, und ermöglicht keine Auswertung des Nutzungsverhaltens. Es ist gegen Auslesen durch Skripte geschützt (HttpOnly) und wird nur über HTTPS übertragen. Beim Abmelden wird es gelöscht; serverseitig endet die Sitzung spätestens acht Stunden nach der letzten Aktivität. Das Speichern dieses Cookies ist für den vom Nutzer gewünschten Dienst unbedingt erforderlich und bedarf daher keiner Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG); die Verarbeitung der Sitzungsdaten erfolgt nach Art. 6 Abs. 1 lit. b DSGVO. Weitere Cookies setzt diese Website nicht.

Gespeicherte Inhalte: Titel, Schuldner, Forderungen

Im Portal erfasst der Nutzer Angaben zu seinen Vollstreckungstiteln und Forderungen. Dazu gehören auch personenbezogene Daten Dritter, nämlich der Schuldner (Name, Anschrift, gegebenenfalls Geburtsdatum oder Registernummer, Angaben zu Forderung und Vollstreckungsverlauf). Diese Inhalte werden auf dem Server verschlüsselt gespeichert (XChaCha20-Poly1305); der Schlüssel liegt außerhalb der Datenbank. Die Berechnungen — etwa Zinsen und Forderungsstände — laufen im Browser des Nutzers; der Server wertet die Inhalte nicht aus. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO gegenüber dem Nutzer sowie Art. 6 Abs. 1 lit. f DSGVO im Hinblick auf die Daten der Schuldner: Das berechtigte Interesse liegt in der Verwaltung und Durchsetzung titulierter Forderungen des Nutzers. Die Inhalte bleiben gespeichert, bis der Nutzer sie oder sein Konto löscht.

Hochgeladene Dokumente und Fallmappe

Der Nutzer kann Dokumente zu seinen Titeln hochladen — etwa den Titel selbst, Protokolle des Gerichtsvollziehers, Vermögensverzeichnisse, Beschlüsse oder Schriftwechsel. Diese Dateien werden mit dem Datenschlüssel des Kontos verschlüsselt außerhalb des Webverzeichnisses gespeichert (XChaCha20-Poly1305); Dateiname und Zuordnung liegen ebenfalls verschlüsselt vor. Sie können personenbezogene Daten des Schuldners und Dritter enthalten; Rechtsgrundlage ist wie bei den übrigen Inhalten Art. 6 Abs. 1 lit. b und lit. f DSGVO. Der Nutzer kann jedes Dokument jederzeit endgültig löschen; mit dem Konto werden alle Dokumente gelöscht. Die Fallmappe (Zusammenfassung des Falls mit gewählten Dokumenten) wird auf Anforderung des Nutzers erzeugt und an ihn ausgeliefert; sie wird nicht auf dem Server aufbewahrt. Für die Weitergabe an Dritte — etwa einen Rechtsanwalt oder einen KI-Dienst — ist der Nutzer verantwortlich.

Zahlungsabwicklung (Freischaltung eines Titels, Business-Flat)

Die bezahlte Freischaltung eines Titels und die Business-Flat wickelt die Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland, ab. Beim Kauf leiten wir den Nutzer auf die Zahlungsseite von Stripe; dort gibt er seine Zahlungsdaten direkt bei Stripe ein. Forderly erhält keine Karten- oder Kontodaten. An Stripe übermitteln wir die E-Mail-Adresse des Kontos (für den Zahlungsbeleg), eine interne Kennung des Kaufs und des Titels sowie den Betrag; keine Inhalte des Titels, keine Namen von Schuldnern. Stripe meldet uns anschließend den Zahlungsstatus über eine signierte Schnittstelle. Wir speichern zum Kauf: Kennung des Titels, Betrag, Stripe-Kennungen der Zahlung, Zeitpunkt der beiden Zustimmungen (Zahlungspflicht, sofortiger Beginn) samt Fassung des Textes sowie den Status (offen, bezahlt, erstattet). Zu jeder Zahlung stellen wir eine Rechnung aus (fortlaufende Nummer, Name und E-Mail-Adresse des Kontos, Betrag, Datum, Zahlungsreferenz) und schicken sie per E-Mail an das Konto sowie als Kopie an unser Postfach; bei einer Erstattung folgt eine Stornorechnung. Rechnungen bewahren wir acht Jahre auf (§ 147 AO, § 14b UStG), verschlüsselt und getrennt vom Konto — sie bleiben auch nach Löschung des Kontos erhalten, dann ohne Verknüpfung zu einem Nutzer. Für die Business-Flat legt Stripe ein Kundenkonto und ein Abo an; wir speichern deren Kennungen, den Status, die Zahl der Sitze (Mitglieder), die Laufzeit des Abrechnungsmonats, den Zeitpunkt einer Kündigung und die Zustimmungen beim Abschluss, und stellen je Abrechnungsmonat eine Rechnung mit Name und Rechnungsanschrift der Organisation aus, die an die Inhaber und eine hinterlegte Rechnungsadresse geht. Ändert sich die Mitgliederzahl, melden wir Stripe die neue Sitzzahl. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); die Aufbewahrung folgt Art. 6 Abs. 1 lit. c DSGVO. Stripe ist eigener Verantwortlicher für die Zahlungsabwicklung; Einzelheiten unter stripe.com/de/privacy. Auf der Zahlungsseite kann Stripe eigene Cookies setzen; auf forderly.de selbst wird kein Stripe-Skript geladen.

Widerrufsfunktion („Vertrag widerrufen“)

Über die Schaltfläche „Vertrag widerrufen“ auf der Seite Widerrufsbelehrung kann ein Widerruf online erklärt werden (§ 356a BGB); eine Anmeldung ist dafür nicht nötig. Wir speichern dazu Name, E-Mail-Adresse, die Angabe zum Vertrag, ein optionales Datum, den Zeitpunkt des Eingangs, eine fortlaufende Kennung sowie einen Hashwert der IP-Adresse (Schutz vor Missbrauch: höchstens fünf Erklärungen je Stunde und Verbindung). Der Inhalt liegt verschlüsselt und getrennt vom Konto; besteht ein Konto mit dieser Adresse, ordnen wir den Widerruf dem Kauf zu. Die Eingangsbestätigung geht per E-Mail an die angegebene Adresse, eine Kopie an unser Postfach. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflicht zur Eingangsbestätigung) in Verbindung mit lit. b (Abwicklung des Widerrufs). Wir bewahren die Erklärung so lange auf wie die zugehörige Rechnung, acht Jahre.

Kündigungsschaltfläche („Verträge hier kündigen“)

Über die Schaltfläche „Verträge hier kündigen“ auf der Seite kuendigen.html lässt sich die Business-Flat ohne Anmeldung kündigen (§ 312k BGB). Wir speichern dazu Art der Kündigung, bei außerordentlicher Kündigung den Grund, Name, E-Mail-Adresse, die Bezeichnung des Vertrags, den gewünschten Zeitpunkt, den Zeitpunkt des Eingangs, eine fortlaufende Kennung und einen Hashwert der IP-Adresse (Missbrauchsschutz: höchstens fünf Erklärungen je Stunde und Verbindung, drei je Adresse und Tag). Über die E-Mail-Adresse ordnen wir die Kündigung dem Konto und der Business-Flat seiner Organisation zu; eine ordentliche Kündigung merken wir sofort bei Stripe zum Ende des Abrechnungsmonats vor. Die Bestätigung mit Inhalt, Datum, Uhrzeit und Zeitpunkt der Beendigung geht per E-Mail an die angegebene Adresse, eine Kopie an unser Postfach. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit lit. b. Aufbewahrung wie beim Widerruf, acht Jahre.

Support-Formular im Portal

Angemeldete Nutzer können uns über den Punkt „Support“ im Portal eine Nachricht schreiben. Übermittelt werden die Angaben des Formulars (Art des Anliegens, Betreff, Text) sowie Vor- und Nachname, die E-Mail-Adresse und die Kennung des Kontos, Name, Kennung und Rolle in der Organisation, die zuletzt geöffnete Ansicht des Portals, die Version der Portalsoftware, die Browserkennung und die Fensterbreite. Die Inhalte Ihrer Titel, Schuldner, Forderungen und Dokumente werden nicht übermittelt; sie bleiben verschlüsselt gespeichert. Die Nachricht geht per E-Mail an unser Postfach, damit wir antworten können; eine Kopie erhalten Sie an die Adresse Ihres Kontos. In der Datenbank wird die Nachricht nicht gespeichert, nur ein Protokolleintrag über den Versand (siehe Zugriffsprotokoll), der auch dem Schutz vor Missbrauch dient (höchstens zehn Nachrichten je Konto und Tag). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsverhältnisses) sowie unser berechtigtes Interesse an der Fehlersuche und Verbesserung des Dienstes (lit. f). Die E-Mails bewahren wir so lange auf, wie es für die Bearbeitung und etwaige Rückfragen erforderlich ist.

Zugriffsprotokoll

Anmeldungen, Fehlversuche, Registrierungen und Änderungen an Datensätzen werden als Ereignisse protokolliert — ohne Inhalte, mit pseudonymisierter IP-Adresse (HMAC). Das dient der Missbrauchserkennung und der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Einträge werden nach 90 Tagen gelöscht.

Löschung

Vom Nutzer gelöschte Titel und Schuldner werden umgehend aus der Verwaltung entfernt und nach 30 Tagen endgültig gelöscht; abgelaufene Einladungen, Kennungen und Sitzungen räumt ein täglicher Lauf auf. Das Konto löscht der Nutzer selbst im Portal unter „Konto“. Ist er das einzige Mitglied seiner Organisation, werden damit alle gespeicherten Inhalte, Gläubigerprofile, Dokumente und eine laufende Business-Flat sofort und endgültig gelöscht beziehungsweise beendet; gehört er zu einem Team, endet nur seine Mitgliedschaft und die Daten bleiben beim Team. Alternativ genügt eine E-Mail an hallo@forderly.de. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

Reichweitenmessung

Diese Website nutzt Cloudflare Web Analytics der Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA. Der Dienst arbeitet ohne Cookies und ohne Wiedererkennung einzelner Besucher; erfasst werden aggregierte Angaben wie aufgerufene Seite, Herkunftsseite, ungefähre Region, Gerätetyp und Ladezeit. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an der Auswertung der Reichweite. Dabei können Daten in die USA übermittelt werden; die Übermittlung stützt sich auf die Standardvertragsklauseln der EU-Kommission und die Teilnahme von Cloudflare am EU-US Data Privacy Framework. Datenschutzhinweise: cloudflare.com/privacypolicy

Kontaktaufnahme per E-Mail

Wenn Sie mich per E-Mail kontaktieren, werden Ihre Angaben zur Bearbeitung der Anfrage und für mögliche Anschlussfragen gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO. Die Daten werden gelöscht, sobald sie nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Verschlüsselte Übertragung und Speicherung

Die Website wird ausschließlich über HTTPS ausgeliefert; auch die Verbindung zur Datenbank ist verschlüsselt. Inhalte des Portals liegen zusätzlich verschlüsselt auf dem Server, wie oben beschrieben. Externe Schriftarten oder sonstige Drittskripte werden nicht eingebunden; das genannte Analytics-Skript ist die einzige Ausnahme.

Keine automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO statt.

Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit sowie Widerspruch gegen die Verarbeitung. Das gilt auch für Schuldner, deren Daten ein Nutzer im Portal erfasst hat. Zudem können Sie sich bei einer Aufsichtsbehörde beschweren, zuständig ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Postfach 3163, 65021 Wiesbaden.