Datenschutzhinweise für Phorum360 Vault

Datenschutzhinweise für Phorum360 Vault Version: p01-vault-privacy-20261111-r5 Stand: 11. November 2026 Vorgesehene Adresse: https://cv-itsolutions.de/phorum360-vault/datenschutz 1. Verantwortlicher und Kontakt Verantwortlich für den hier beschriebenen persönlichen Vault-Dienst ist die CV IT-Solutions UG (haftungsbeschränkt), In der Rossbach 4a, 55595 Roxheim, Deutschland. Kontakt für Datenschutzanliegen und die Ausübung Ihrer Rechte: info@cv-itsolutions.de, Telefon 0671 / 92079906. Phorum360 ist die Softwaremarke der CV IT-Solutions UG (haftungsbeschränkt). Diese Hinweise beschreiben den Kauf und die Nutzung des persönlichen Phorum360 Vault über cv-itsolutions.de, die Phorum360-Kontoaktivierung, die Anmeldung und den Einstieg über die Suite. Andere Produkte sowie zusätzliche Website-Dienste werden nicht allein durch den Kauf von Vault aktiviert. Die allgemeinen Hinweise zum bestehenden CV-Shop finden Sie unter https://cv-itsolutions.de/cv/datenschutz. 2. Welche Daten wofür verarbeitet werden Kauf, Rechnung und Vertrag: Der bestehende CV-Shop verarbeitet Ihre Registrierungs- und Kontaktdaten, Rechnungsanschrift, gegebenenfalls Firmen- und Steuerangaben, gewählten Abonnementplan, Preise, Steuern, Bestell- und Rechnungsnummern, Zahlungsstatus, Leistungszeiträume und Kündigungserklärungen. Die Zahlungsabwicklung erfolgt mit der im Checkout gewählten Zahlungsart. Die für die Bereitstellung benötigten Produkt-, Vertrags-, Zahlungs- und Kundenreferenzen werden an die Phorum360 Platform weitergegeben. Die Platform erhält dadurch keine allgemeine Berechtigung, andere CV-Verträge als Vault-Lizenzen auszuwerten. Grundlage ist die Durchführung des gewünschten Kaufs und Vertrags nach Art. 6 Abs. 1 Buchstabe b DSGVO; gesetzlich erforderliche Buchführung und Aufbewahrung beruhen auf Buchstabe c. Identität und Zugang: Für das Phorum360-Konto werden insbesondere Ihre E-Mail-Adresse, die bestätigte Identitätskennung, der E-Mail-Verifikationsstatus, die zur Anmeldung erforderlichen Authentifizierungsdaten und Faktoren sowie Sitzungs- und Sicherheitszustände verarbeitet. Die zentrale Anmeldung verwaltet Passwort, Mehrfaktorauthentifizierung und die vorgesehenen Verfahren zur Wiederherstellung des Kontozugangs. Das Odoo-Shopkonto und die Phorum360-Identität werden nicht allein wegen einer gleichen E-Mail-Adresse gleichgesetzt. Die bestätigte Kauf- und Identitätszuordnung dient der sicheren Kontoaktivierung; Rechtsgrundlagen sind Art. 6 Abs. 1 Buchstaben b und f DSGVO. Unser berechtigtes Interesse besteht darin, Kontoübernahmen und die Zuordnung fremder Käufe zu verhindern. Organisation und persönliche Lizenz: Die Platform führt die kaufgebundene Organisation, die bestätigte Mitgliedschaft, die Zuordnung der persönlichen Lizenz, deren bezahlte Gültigkeit sowie die zugehörigen Zustands- und Verarbeitungsschritte. Dafür werden technische Identifikatoren, Rollen, Einladungs-/Aktivierungszustände, Vertragsreferenzen, Zeitpunkte und Versionsstände gespeichert. Wiederholte Nachrichten werden anhand dieser Nachweise erkannt, damit derselbe Kauf nicht mehrfach bereitgestellt wird. Grundlage ist Art. 6 Abs. 1 Buchstabe b DSGVO; die Sicherung gegen Missbrauch und die nachvollziehbare Fehlerbearbeitung stützen sich ergänzend auf Buchstabe f. Vault und Geräte: Im Vault werden verschlüsselte Einträge und verschlüsselte Vault-Metadaten sowie die technisch erforderlichen Organisations-, Benutzer-, Vault-, Eintrags-, Versions- und Gerätekennungen verarbeitet. Hinzu kommen beispielsweise Größen, Zeitpunkte, kryptografische Formatangaben, öffentliche Geräteschlüssel, Freigabe- und Widerrufszustände und verschlüsselte Schlüsselhüllen. Der Server kann diese technischen Daten zuordnen, auch wenn er den Inhalt eines verschlüsselten Eintrags nicht lesen kann. Das dient Speicherung, Synchronisation, Versionsschutz und sicherem Gerätezugriff nach Art. 6 Abs. 1 Buchstabe b DSGVO sowie dem Schutz vor unberechtigten Zugriffen nach Buchstabe f. Kommunikation und Betrieb: Für Aktivierungs-, Verifikations-, Einladungs-, Sicherheits- und Vertragsnachrichten verarbeiten wir Empfängeradresse, Nachrichteninhalt, Vorgangskennung sowie Versand-, Fehler- und Wiederholungsstatus. Technische Nachrichten werden über die vorgesehene Phorum360-Mailinfrastruktur verschickt; Kontoaktionsmails verwenden accounts@phorum360.app. Kaufmännische Mitteilungen werden über den bestehenden CV-/Odoo-Prozess versandt. Support verarbeitet die von Ihnen mitgeteilten Angaben. Bitte senden Sie niemals Master-Passphrasen, geheime Recovery-Faktoren oder Vault-Passwörter an den Support. Zweckgebundene Betriebsdaten, etwa IP-Adresse, angefragter Dienst, Zeit, Ergebnis, Browser-/Protokollangaben und Sicherheitsereignisse, dienen der Auslieferung, Fehleranalyse, Missbrauchserkennung und Absicherung. Rechtsgrundlagen sind je nach Vorgang Art. 6 Abs. 1 Buchstaben b, c oder f DSGVO. Die beschriebenen Interessen sind ein verlässlicher Betrieb, sichere Konten und die Klärung von Störungen. 3. Verschlüsselung und ihre Grenzen Die Inhalte Ihrer Vault-Einträge werden auf Ihrem Gerät verschlüsselt und dort wieder entschlüsselt. Im vorgesehenen Ablauf werden weder Ihre Master-Passphrase noch unverschlüsselte Vault-Inhalte an den Vault-Server übertragen. Der Server speichert verschlüsselte Inhalte und geschützte Schlüsselhüllen; die zur Entschlüsselung erforderlichen privaten Mittel verbleiben unter Ihrer Kontrolle. Dies ist keine Aussage, dass sämtliche Daten des Dienstes verschlüsselt oder anonym wären. E-Mail-Adresse, Kontozuordnung, Lizenzstatus, Geräte- und Verarbeitungsmetadaten sind für den Betrieb erforderlich. Auch die Verschlüsselung verhindert keinen Zugriff auf ein bereits entsperrtes, kompromittiertes Endgerät. Schutz und Aktualisierung des Endgeräts bleiben deshalb wichtig. Die Wiederherstellung des zentralen Logins und die Wiederherstellung verschlüsselter Vault-Daten sind getrennte Vorgänge. Ein Passwort-Reset der Anmeldung ersetzt keine gültigen kryptografischen Wiederherstellungsmittel. Wenn alle geeigneten Geräte und Recovery-Mittel verloren sind, kann der Zugriff auf vorhandene verschlüsselte Daten unmöglich werden. Ein Anspruch auf Klartextentschlüsselung durch den Anbieter wird damit nicht zugesagt. 4. Cookies und lokaler Gerätespeicher Shop, Anmeldung und Suite verwenden für die gewünschte Sitzung, den Warenkorb, die Absicherung von Formularen und den Anmelderückweg notwendige Cookies beziehungsweise Sitzungskennungen. Die Vault-Webanwendung speichert außerdem konten- und gerätegebundene verschlüsselte Daten und den Zustand unterbrochener Vorgänge im lokalen Browser-Speicher, insbesondere IndexedDB. Darstellungspräferenzen können im Local Storage abgelegt werden. Die Entschlüsselung findet während der Nutzung im Arbeitsspeicher Ihres Geräts statt. Notwendige Speicherung und Zugriffe zur Erbringung des von Ihnen angeforderten Dienstes stützen sich auf § 25 Abs. 2 TDDDG; eine daneben stattfindende Verarbeitung personenbezogener Daten auf die vorstehend genannten DSGVO-Grundlagen. Nicht erforderliche Analyse- oder Werbetechniken sind davon nicht erfasst. Etwaige zusätzliche Dienste des bestehenden Shops richten sich nach dessen gesonderten Informationen und einer erforderlichen gesonderten Einwilligung. Lokale Daten können länger als eine einzelne Anmeldung bestehen. Eine Abmeldung ist deshalb nicht mit dem Löschen sämtlicher Browserdaten oder einer Kontolöschung gleichzusetzen. Das Löschen von Website-Daten oder ein neues Browserprofil kann den gespeicherten Gerätezustand entfernen und eine erneute autorisierte Geräteaufnahme beziehungsweise Recovery erforderlich machen. 5. Herkunft und Empfänger Die meisten Daten stammen von Ihnen und Ihrem Browser. Verifizierungs- und Anmeldestatus stammen aus der zentralen Phorum360-Anmeldung; kaufmännische Daten und bestätigte Zahlungszustände aus dem CV-Shop beziehungsweise dem gewählten Zahlungsweg. Support- und Sicherheitsinformationen können aus der Bearbeitung Ihres Anliegens oder eines konkreten Vorfalls entstehen. Innerhalb des Betriebs erhalten nur für ihren jeweiligen Zweck befugte Personen und Dienste Zugriff. Technische Betreiber können dabei auf erforderliche Konto- und Betriebsmetadaten und gespeicherte verschlüsselte Inhalte zugreifen; daraus folgt keine Berechtigung und kein regulärer Weg zur Entschlüsselung Ihrer Vault-Inhalte. Externe Empfänger können beauftragte Infrastruktur-/Hosting- und IT-Dienstleister, der im Checkout verwendete Zahlungsdienstleister, der von Ihnen gewählte E-Mail-Anbieter sowie bei gesetzlicher Grundlage Behörden oder beruflich zur Vertraulichkeit verpflichtete Berater sein. Auftragsverarbeiter werden entsprechend ihrer Aufgabe vertraglich gebunden. Für das Hosting wird nach der bestätigten Betreiberzuordnung Hetzner-Infrastruktur am Standort HEL1 in Finnland eingesetzt. Odoo, Keycloak, Platform Core, Suite und Vault sind eigene betriebene Dienste. Der Name eines eingesetzten Softwareprodukts bedeutet nicht, dass dessen Hersteller Ihre Kundendaten als Cloudanbieter erhält. Sicherungen erfolgen auf einer eigenen Synology-Infrastruktur in Deutschland über IPsec; Synology ist damit zunächst der Gerätehersteller und nicht automatisch Empfänger in einem Synology-Clouddienst. Mit der Hetzner Online GmbH besteht ein Auftragsverarbeitungsvertrag. Für den Serverstandort Finnland ist darin die Hetzner Finland Oy als Unterauftragsverarbeiter für Gebäudevermietung und technischen Support benannt. Für gewählte EU-Serverstandorte sieht der Vertrag die Verarbeitung der Serverdaten und die Supportleistungen innerhalb der EU vor. Für den Kauf von Phorum360 Vault ist PayPal der angebotene Zahlungsweg. Bei Auswahl dieses Zahlungswegs werden die zur Zahlungsabwicklung erforderlichen Bestell-, Kontakt- und Transaktionsdaten an PayPal übermittelt. PayPal verarbeitet Daten für seine Zahlungsdienste auch in eigener Verantwortlichkeit. Für Nutzer im EWR ist die zugehörige europäische Gesellschaft PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg. PayPal beschreibt internationale Verarbeitung und dafür eingesetzte Garantien in seiner Datenschutzerklärung: https://www.paypal.com/de/legalhub/paypal/privacy-full. Eine ausschließliche Speicherung aller Zahlungsdaten in Finnland oder im EWR wird nicht zugesagt. Aktivierungs- und Sicherheitsnachrichten werden über die eigene Phorum360-Mailinfrastruktur versandt. Auf der Empfängerseite verarbeitet auch der von Ihnen gewählte Postfachanbieter die Nachricht. Für die geprüfte persönliche Vault-Kette ist kein externer Support-SaaS-Dienst nachgewiesen. Ein solcher wird deshalb nicht vorsorglich als tatsächlicher Empfänger aufgeführt. Die Schriftdateien für die Vault-Kundenstrecke werden lokal über unsere eigenen Dienste ausgeliefert. Für diese Schriften sind keine Abrufe von Google-Fonts-Servern oder entsprechende Verbindungsvorbereitungen im Kundenbrowser vorgesehen. Die bloße Verwendung einer frei lizenzierten Schrift begründet dadurch keine Übermittlung an Google. Beim Versand einer von Ihnen veranlassten Nachricht an Ihre E-Mail-Adresse erreicht sie auch die Infrastruktur Ihres gewählten Postfachanbieters. Dessen Verarbeitung richtet sich zusätzlich nach dessen Bedingungen. Aktivierungslinks und Sicherheitsnachrichten sollten Sie vertraulich behandeln. 6. Speicherdauer und Vertragsende Für laufende Konten und Verträge speichern wir die für ihre Durchführung erforderlichen Daten. Ein Vertragsende beendet die Berechtigung zur weiteren regulären Produktnutzung entsprechend dem bezahlten Zeitraum. Es löst nicht automatisch eine Löschung der organisationsübergreifenden Phorum360-Identität, aller kryptografischen Schlüssel oder sämtlicher Daten aus. Nach Wegfall des jeweiligen Zwecks werden Daten gelöscht oder, soweit eine weitere Aufbewahrung erforderlich ist, auf diese Zwecke beschränkt. Maßgeblich sind die Vertragsabwicklung, offene Herausgabe- oder Löschungsanträge, ein konkret zu untersuchender Sicherheitsvorfall, gesetzliche Aufbewahrungspflichten und die erforderliche Geltendmachung oder Abwehr von Ansprüchen. Eine bloße mögliche spätere Nützlichkeit rechtfertigt keine unbegrenzte Aufbewahrung. Für kaufmännische Unterlagen gelten je nach Dokument insbesondere gesetzliche Fristen von acht Jahren für Buchungsbelege, sechs Jahren für Handels-/Geschäftsbriefe und zehn Jahren für bestimmte Buchführungs- und Abschlussunterlagen; gesetzliche Verlängerungen bleiben möglich. Diese Fristen sind keine pauschale Aufbewahrungsfrist für alle Vault-Inhalte oder sämtliche technischen Protokolle. Abgelaufene Sitzungsberechtigungen werden nicht weiter als gültig akzeptiert. Die physische Entfernung einzelner Datensätze, die Bereinigung von Verarbeitungsjournalen und das Ausscheiden von Daten aus Sicherungen sind davon getrennte Vorgänge. Ein Gerätewiderruf sperrt den weiteren autorisierten Zugriff, kann aber bereits lokal angefertigte Kopien auf einem fremden Gerät nicht aus der Ferne garantieren zu löschen. Reguläre technische Zugriffsprotokolle der Phorum360-Kundenstrecke werden spätestens nach 30 Tagen gelöscht. Routinemäßige Sicherheits- und Authentifizierungsprotokolle werden spätestens nach 90 Tagen gelöscht. Soweit Nachweise für die Untersuchung eines konkreten Sicherheitsvorfalls erforderlich sind, werden die dafür benötigten Daten gesondert, zugriffsbeschränkt und zweckgebunden aufbewahrt. Der weitere Bedarf wird geprüft; nach Wegfall des Zwecks werden sie gelöscht oder nach einschlägigen gesetzlichen Pflichten behandelt. Es gibt derzeit keine nachgewiesene, alle Vault-Kundendaten nach Vertragsende automatisch entfernende Funktion. Herausgabe- und Löschanträge werden deshalb einzeln zugeordnet, auf entgegenstehende Pflichten geprüft und durch den Betreiber bearbeitet. Eine Lizenzkündigung allein löst keine Identitäts-, Schlüssel- oder Datenlöschung aus. Eine Löschung aktiver Daten und das spätere Ausscheiden aus gesonderten Sicherungen werden getrennt dokumentiert. Bei einer Wiederherstellung müssen bereits abgeschlossene Löschungen erneut berücksichtigt werden. Reguläre Vault-Datensicherungen werden rollierend für höchstens 30 Tage aufbewahrt. Erforderliche Zahlungs-, Vertrags-, Lizenz- und Widerrufsnachweise sind von diesen technischen Löschfristen ausgenommen. Für sie gelten die erforderliche Vertragsabwicklung und die jeweils einschlägigen gesetzlichen Aufbewahrungspflichten; sie werden getrennt von regulären Zugriffsprotokollen und Vault-Datensicherungen behandelt. Die besonderen Nachweise rechtfertigen keine pauschale Verlängerung der Speicherung aller Vault-Inhalte. Bei einer Wiederherstellung werden dokumentierte Löschungen erneut berücksichtigt, bevor Daten wieder regulär genutzt werden. 7. Ihre Rechte Nach Maßgabe der DSGVO können Sie Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit verlangen. Gegen eine auf Art. 6 Abs. 1 Buchstabe f DSGVO gestützte Verarbeitung können Sie aus Gründen Ihrer besonderen Situation Widerspruch einlegen. Eine gegebenenfalls gesondert erteilte Einwilligung können Sie für die Zukunft widerrufen. Die für den Vertrag oder eine gesetzliche Pflicht notwendige Verarbeitung beruht nicht allein auf einer solchen Einwilligung. Wenden Sie sich dazu an info@cv-itsolutions.de. Zum Schutz Ihrer Daten kann eine angemessene Identitäts- und Zuordnungsprüfung erforderlich sein. Wir verlangen hierfür keine Master-Passphrase und keine geheimen Recovery-Faktoren. Rechte an verschlüsselten Inhalten werden im Rahmen der vorhandenen technischen Möglichkeiten und gesetzlichen Vorgaben erfüllt; eine Offenlegung Ihrer privaten Schlüssel ist dafür keine allgemeine Voraussetzung. Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere an Ihrem gewöhnlichen Aufenthaltsort, Ihrem Arbeitsplatz oder am Ort eines vermuteten Verstoßes. Für Rheinland-Pfalz: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz, Postfach 30 40, 55020 Mainz; https://www.datenschutz.rlp.de/service/kontakt. 8. Erforderliche Daten und automatische Prüfungen Ohne die erforderlichen Kauf-, Zahlungs-, E-Mail-, Authentifizierungs- und Sicherheitsdaten können wir die gewünschte persönliche Lizenz nicht sicher zuordnen und bereitstellen. Freiwillige zusätzliche Angaben sind davon zu unterscheiden. Die Bereitstellung fremder Passwörter oder der Master-Passphrase an den Support ist nicht erforderlich. Zahlungsstatus, Identitätsnachweise, MFA, individuelle Lizenz und Gerätezustand werden automatisiert auf die vertraglichen Voraussetzungen geprüft. Unvollständige oder widersprüchliche Nachweise können eine Aktivierung oder einen Zugriff blockieren. Es wird dabei kein Bonitäts- oder Werbeprofil aus Ihren Vault-Inhalten erstellt. Für die Klärung einer fehlerhaften Zuordnung oder technischen Ablehnung können Sie eine menschliche Prüfung über den Support verlangen. Sicherheitsfaktoren und Zahlungsvoraussetzungen werden dadurch nicht umgangen. 9. Kenntnisnahme und Änderungen Die Bestätigung dieser Datenschutzhinweise dokumentiert deren Bereitstellung und Kenntnisnahme mit Versions- und Inhaltsbindung. Sie ist keine pauschale Einwilligung in beliebige weitere Verarbeitung und keine Werbeeinwilligung. Die Annahme der Nutzungsbedingungen ist ein gesonderter Vorgang. Wesentliche Änderungen der Datenverarbeitung werden transparent mit einer neuen Version mitgeteilt. Neue Zwecke oder einwilligungsbedürftige Zusatzfunktionen werden nicht allein durch das Ersetzen dieser Hinweise legitimiert.