Datenschutzerklärung

1. Verantwortlicher

Verantwortlich im Sinne der DSGVO ist:
5OFFICE GmbH, Nordring 107, 90409 Nürnberg, vertreten durch den Geschäftsführer Sven Grundmann.
E-Mail: id@pivicon.de

Ein Datenschutzbeauftragter ist gesetzlich nicht bestellt. Für Anliegen zum Datenschutz wenden Sie sich bitte an den oben genannten Verantwortlichen.

2. Gegenstand und Zweck

„pivicon" ist der zentrale Anmelde- und Kontodienst (Single-Sign-On) für die pivicon-Dienste. Wir verarbeiten personenbezogene Daten ausschließlich, um die Authentifizierung, die Verwaltung des Benutzerkontos und die Sicherheit des Dienstes zu ermöglichen.

3. Verarbeitete Daten, Zwecke und Rechtsgrundlagen

• Kontodaten (Vorname, Nachname, E-Mail-Adresse, Arbeitgeber, optional Kürzel, Telefonnummer, Branche, Anschrift (Straße, PLZ, Ort, Land), Profilbild): Einrichtung und Verwaltung Ihres Kontos. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsverhältnis).
• Authentifizierungsdaten (Passwort – ausschließlich als Hash –, Faktoren der Zwei-Faktor-Authentifizierung): sichere Anmeldung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO (Sicherheit).
• Protokoll-/Nutzungsdaten (IP-Adresse, Zeitpunkt, angefragte Ressource, Browser-/Geräteangaben, Anmeldeereignisse): technischer Betrieb, Abwehr von Missbrauch, Nachvollziehbarkeit sicherheitsrelevanter Vorgänge. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).
• Technisch notwendiges Session-Cookie (PIVICONIDSESS): hält Ihre Anmeldung während der Sitzung aufrecht. Das Cookie wird als httpOnly und Secure gesetzt (kein Zugriff durch JavaScript, Übertragung nur über HTTPS). Es dient ausschließlich diesem Zweck und ist einwilligungsfrei (§ 25 Abs. 2 Nr. 2 TDDDG). Das Cookie selbst endet mit dem Schließen des Browsers; serverseitig wird die Sitzung nach 12 Stunden ohne Aktivität beendet, spätestens jedoch 7 Tage nach der Anmeldung.

4. Empfänger und Auftragsverarbeiter

• Auth0 / Okta (Okta, Inc. bzw. verbundene Unternehmen) – technische Durchführung der Authentifizierung und sichere Speicherung der Anmeldedaten. Unser Auth0-Mandant wird in der EU-Region betrieben. Verarbeitung auf Basis eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO); für etwaige Übermittlungen in Drittländer gelten geeignete Garantien (EU-Standardvertragsklauseln bzw. EU-US Data Privacy Framework).
• Hetzner Online GmbH, Deutschland – Hosting der Server-Infrastruktur; Auftragsverarbeitung (Art. 28 DSGVO). Die Server stehen in Rechenzentren in Deutschland (Nürnberg, Falkenstein) und Finnland (Helsinki) – ausschließlich innerhalb der EU. In Helsinki wird eine gespiegelte Kopie der Datenbank zur Ausfallsicherheit vorgehalten.
• 1&1 IONOS SE, Deutschland – Versand von System-E-Mails (Anmeldebestätigung, Passwort-Zurücksetzen) über den SMTP-Dienst. Auftragsverarbeitung (Art. 28 DSGVO).
• Site24x7 (Zoho Corporation) – technische Verfügbarkeitsüberwachung der Dienste. Verarbeitet werden dabei technische Aufrufdaten (u. a. IP-Adresse, Zeitpunkt, Statuscode), keine Kontoinhalte.

5. Speicherdauer

Kontodaten werden gespeichert, solange Ihr Konto besteht. Nach Löschung des Kontos werden sie unverzüglich aus den aktiven Systemen entfernt, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Das schließt Ihre Anmeldung bei unserem Identitätsdienstleister, Ihr Profilbild, Ihre Rollen und alle noch offenen Sitzungen auf sämtlichen Geräten ein.

Eine Ausnahme ist das Sicherheitsprotokoll: Es muss uns als Nachweis erhalten bleiben (Art. 5 Abs. 2 DSGVO), etwa um eine Kontoübernahme mit anschließender Löschung noch belegen zu können. Wir löschen die Einträge deshalb nicht sofort, entfernen bei der Kontolöschung aber alle Angaben, die zu Ihnen zurückführen — Kennung des Anmeldewegs, IP-Adresse und Browserkennung. Zurück bleibt nur, welcher Vorgang wann mit welchem Ergebnis stattgefunden hat; auch dieser Rest verfällt nach 90 Tagen.

Für Protokolldaten gelten unterschiedliche Fristen, je nachdem, wo sie anfallen:

• Sicherheitsprotokoll (Anmeldungen, Rechteänderungen, Kontolöschungen, jeweils mit IP-Adresse und Browserkennung): 90 Tage
• Server-Zugriffsprotokolle (IP-Adresse, Zeitpunkt, angefragte Ressource): 7 Tage
• System- und Dienstprotokolle: 14 Tage
• Anmeldeprotokolle unseres Identitätsdienstleisters Auth0: Die Aufbewahrung richtet sich nach dessen Leistungsumfang und liegt derzeit deutlich unter den vorgenannten Fristen. Auf die Dauer dieser Speicherung haben wir keinen gestaltenden Einfluss.

Datensicherungen: Aus technischen Gründen können gelöschte Daten für die Dauer der Sicherungsaufbewahrung von bis zu 14 Tagen in verschlüsselten Sicherungskopien fortbestehen. Dazu zählen auch die Datenbank-Änderungsprotokolle (binäre Transaktionsprotokolle), die für eine zeitpunktgenaue Wiederherstellung bis zu 7 Tage aufbewahrt werden. Diese Kopien werden ausschließlich zur Wiederherstellung im Störungsfall verwendet. Muss eine Sicherung eingespielt werden, werden zwischenzeitlich erfolgte Löschungen erneut vollzogen.

6. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie auf Widerspruch (Art. 21 DSGVO). Zur Ausübung genügt eine Nachricht an den Verantwortlichen. Einen Teil dieser Rechte können Sie direkt im Konto-Portal wahrnehmen (z. B. Daten ändern, Konto löschen).

7. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für die 5OFFICE GmbH zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Ansbach.

8. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.

Privacy Policy

This English text is a non-binding translation. Only the German version is legally binding.

1. Controller

The controller within the meaning of the GDPR is:
5OFFICE GmbH, Nordring 107, 90409 Nürnberg, represented by the Managing Director Sven Grundmann.
Email: id@pivicon.de

A data protection officer is not required to be appointed by law. For data protection matters, please contact the controller named above.

2. Subject matter and purpose

„pivicon“ is the central sign-in and account service (single sign-on) for the pivicon services. We process personal data solely in order to enable authentication, the management of the user account and the security of the service.

3. Data processed, purposes and legal bases

• Account data (first name, last name, email address, employer, optionally abbreviation, phone number, industry, address (street, postal code, city, country), profile picture): setting up and managing your account. Legal basis: Article 6(1)(b) GDPR (use relationship).
• Authentication data (password – exclusively as a hash –, two-factor authentication factors): secure sign-in. Legal basis: Article 6(1)(b) and (f) GDPR (security).
• Log / usage data (IP address, timestamp, requested resource, browser/device information, sign-in events): technical operation, prevention of abuse, traceability of security-relevant events. Legal basis: Article 6(1)(f) GDPR (legitimate interest).
• Technically necessary session cookie (PIVICONIDSESS): keeps you signed in during the session. The cookie is set as httpOnly and Secure (no access by JavaScript, transmission only over HTTPS). It serves this purpose exclusively and does not require consent (Section 25(2) no. 2 TDDDG). The cookie itself ends when the browser is closed; on the server side the session is ended after 12 hours without activity, at the latest 7 days after sign-in.

4. Recipients and processors

• Auth0 / Okta (Okta, Inc. or affiliated companies) – technical performance of authentication and secure storage of the sign-in data. Our Auth0 tenant is operated in the EU region. Processing is carried out on the basis of a data processing agreement (Article 28 GDPR); for any transfers to third countries, appropriate safeguards apply (EU standard contractual clauses or the EU-US Data Privacy Framework).
• Hetzner Online GmbH, Germany – hosting of the server infrastructure; processing (Article 28 GDPR). The servers are located in data centres in Germany (Nürnberg, Falkenstein) and Finland (Helsinki) – exclusively within the EU. A mirrored copy of the database is kept in Helsinki for failover resilience.
• 1&1 IONOS SE, Germany – sending of system emails (sign-up confirmation, password reset) via the SMTP service. Processing (Article 28 GDPR).
• Site24x7 (Zoho Corporation) – technical availability monitoring of the services. Technical request data is processed in this context (including IP address, timestamp, status code), no account content.

5. Storage period

Account data is stored for as long as your account exists. After the account is deleted, it is removed from the active systems without delay, unless statutory retention obligations conflict. This includes your sign-in with our identity provider, your profile picture, your roles and all sessions still open on all devices.

An exception is the security log: it must be retained as evidence for us (Article 5(2) GDPR), for example in order to still be able to demonstrate an account takeover followed by deletion. We therefore do not delete the entries immediately, but on account deletion we remove all information that leads back to you — the identifier of the sign-in path, IP address and browser identifier. What remains is only which event took place when and with what result; this remainder too expires after 90 days.

Different periods apply to log data depending on where it arises:

• Security log (sign-ins, permission changes, account deletions, each with IP address and browser identifier): 90 days
• Server access logs (IP address, timestamp, requested resource): 7 days
• System and service logs: 14 days
• Sign-in logs of our identity provider Auth0: retention depends on its scope of service and is currently significantly below the periods mentioned above. We have no influence over the duration of this storage.

Backups: For technical reasons, deleted data may persist for the duration of the backup retention of up to 14 days in encrypted backup copies. This also includes the database change logs (binary transaction logs), which are retained for up to 7 days for point-in-time recovery. These copies are used exclusively for restoration in the event of a fault. If a backup has to be restored, deletions that took place in the meantime are carried out again.

6. Your rights

You have the right to access (Article 15), rectification (Article 16), erasure (Article 17), restriction of processing (Article 18), data portability (Article 20) and to object (Article 21 GDPR). A message to the controller is sufficient to exercise them. Some of these rights you can exercise directly in the account portal (e.g. change data, delete account).

7. Right to lodge a complaint

You have the right to lodge a complaint with a data protection supervisory authority. The authority responsible for 5OFFICE GmbH is the Bavarian State Office for Data Protection Supervision (BayLDA), Ansbach.

8. Changes

We adapt this privacy policy when the processing or the legal situation changes. The version published here at the time applies.