Datenschutzerklärung

1. Wer wir sind (Verantwortlicher)

Diese Website (und zugehörige Dienste) wird von ELSOUL LABO B.V. (Amsterdam, Niederlande) betrieben („wir“, „uns“, „unser“).

Handelskammernummer (KvK): 80297625
Datenschutzkontakt: [email protected]

Wir fallen nicht unter die Kategorien von Organisationen, für die die Benennung eines Datenschutzbeauftragten (DPO) gemäß Artikel 37 DSGVO verpflichtend ist. Diese Einschätzung überprüfen wir jährlich gemäß Artikel 37 Absatz 1 DSGVO.

2. Geltungsbereich dieser Datenschutzerklärung

Diese Datenschutzerklärung gilt, wenn Sie:

unsere öffentlichen Websites besuchen, ohne sich anzumelden, und
nur für Mitglieder verfügbare Funktionen nutzen, die eine Authentifizierung erfordern (z. B. ERPC-Dashboards / Kontofunktionen).

3. Von uns verarbeitete Daten

Auf öffentlichen Seiten verwenden wir Google Analytics 4 (GA4), um in aggregierter Form zu verstehen, wie die Website genutzt wird, damit wir sie verbessern können. Analytics ist eine unabhängige, optionale Entscheidung und läuft nur mit Ihrer Einwilligung: Im Rahmen des Google Consent Mode v2 ist die Analytics-Speicherung standardmäßig verweigert, sodass keine Analytics-Cookies oder Kennungen gesetzt werden, bis Sie ausdrücklich zustimmen. Wenn Sie Ablehnen wählen, werden keine Analytics-Cookies gesetzt. Wir nutzen Analytics zur Produktverbesserung, verkaufen Ihre Daten niemals und anonymisieren IP-Adressen. Sie können Ihre Auswahl jederzeit über „Cookie-Einstellungen“ ändern oder widerrufen.

Die Werbemessung und -optimierung mit Google und mit OpenAI sind separate optionale Entscheidungen; beide sind standardmäßig deaktiviert. Mit Ihrer ausdrücklichen Zustimmung zu einem Anbieter verwenden wir pseudonyme Conversion-Messung, um Werbung zu messen und zu verbessern. Die Einwilligung in Analytics allein, einschließlich einer früheren Analytics-Auswahl, autorisiert keinen der beiden Anbieter. Ihre Auswahl gilt für die ERPC-Produkte auf dieser Website, einschließlich Shreds und Bundle. Die Auswahl für Website und Dashboard erfolgt auf erpc.global und dashboard.erpc.global jeweils getrennt. Sie können Ihre Einwilligung jederzeit über „Cookie-Einstellungen“ widerrufen. Notwendige Dienstfunktionen bleiben auch ohne Werbeeinwilligung nutzbar. Eine gespeicherte Auswahl kann noch auf Bestätigung warten.

Wenn der automatische erweiterte Abgleich von OpenAI (AAM) aktiviert ist, kann das OpenAI Pixel unterstützte Kundeninformationen aus erkennbaren Formularen und anderen Quellen auf der Website erfassen. Das Pixel normalisiert diese Informationen und bildet daraus mit SHA-256 Hashwerte in Ihrem Browser. Anschließend werden die Hashwerte zusammen mit Conversion-Ereignissen an OpenAI gesendet, um Conversions mit Anzeigen zu verknüpfen. Unverarbeitete Kundeninformationen werden im Rahmen dieses automatischen Abgleichs nicht an OpenAI gesendet.

Allerdings können Infrastrukturanbieter wie Hosting-/CDN-Anbieter zur Bereitstellung der Website technische Zugriffsprotokolle für Sicherheitszwecke und zur Reaktion auf Sicherheitsvorfälle verarbeiten, zum Beispiel:

IP-Adresse und User-Agent (Browser/OS usw.)
Zeitstempel, angeforderte URL, Referrer
Antwortstatus und sicherheitsrelevante Metadaten

Wir nutzen Cloudflare als Hosting- und CDN-Anbieter, verwenden aber keine Produkte von Cloudflare zur Verhaltensanalyse. Die Rolle von Cloudflare beschränkt sich auf den Betrieb der Infrastruktur; Verhaltenstracking gehört nicht dazu.

Wir zählen Klicks auf Kurzlinks (erpc.global/go/) ohne Cookies. Wir speichern nur Klickzahlen, aufgeschlüsselt nach Link, Datum, Land, verweisender Website und danach, ob der Klick von einem Bot stammt; zusammen mit ihnen werden keine IP-Adresse, keine Browser-Informationen und kein Wert gespeichert, der eine Person identifiziert.

3.2 Kontakt

Wenn Sie uns per E-Mail kontaktieren, verarbeiten wir die von Ihnen zur Verfügung gestellten Informationen (z. B. Ihre E-Mail-Adresse und Nachricht), um zu antworten.

3.3 Mitgliederkonten / loginpflichtige Dienste

Wenn Sie ein Konto erstellen oder sich anmelden (z. B. über Discord), können wir Folgendes verarbeiten, um den Dienst bereitzustellen:

Kontokennungen (z. B. E-Mail-Adresse, Discord-Nutzer-ID, Benutzername)
Authentifizierungs-/Sitzungsinformationen (z. B. Token, API-Schlüssel)
Dienstkonfiguration und Nutzungsdaten, soweit zur Bereitstellung des Dienstes erforderlich (z. B. Plan, Abonnementstatus, erlaubte IP-Adressen, Protokolle zu Rate-Limits und zur Missbrauchsprävention)
Supportverlauf und Kommunikation

Nutzungsanalyse (Kundensupport und Servicequalität)

Zweck: Um die Servicequalität zu verbessern und Kundensupport zu leisten, erfassen wir Protokolle über Seitennavigation, Funktionsnutzung und Interaktionsereignisse, die Sie auslösen, während Sie bei den Mitgliederdiensten angemeldet sind, und werten diese intern aus.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — unsere berechtigten Interessen an einem zuverlässigen Kundensupport und an der Verbesserung des Dienstes. Wir haben eine Interessenabwägung (LIA) durchgeführt, in der diese Interessen gegen Ihre Rechte und Freiheiten abgewogen werden; die LIA ist auf Anfrage erhältlich.

Was wir erfassen:

Seitenwechsel (Navigationspfade im Dashboard, normalisiert, sodass Ressourcenkennungen entfernt werden — z. B. /user/baremetal/:id statt /user/baremetal/<actual-id>)
Kategorien der Funktionsnutzung (Ressourcenverwaltung, Änderungen an Einstellungen, Authentifizierung usw. — die vollständige Liste wird zusammen mit dieser Klausel gepflegt)
Interne Ressourcenkennungen (z. B. Baremetal-/VPS-/RPC-Instanz-IDs), wenn Sie eine Aktion an einer bestimmten Ressource ausführen; sie werden als interne Pseudonyme für dieselbe Aufbewahrungsdauer gespeichert wie die Seitenwechsel-Ereignisse
Zeitstempel der Vorgänge
Gerätefamilie + Hauptversion, Browserfamilie + Hauptversion und Gebietsschema
IP-Adressen, ausschließlich als gesalzener Hash gespeichert (das Salt wird nie rotiert und als Geheimnis der Stufe 1 verwahrt)

Was wir NICHT erfassen:

Inhalte von Anfragen (Request-Bodys)
Zeichenfolgen von Suchanfragen
API-Schlüssel oder Authentifizierungstoken
IP-Adressen im Klartext

Empfänger / Auftragsverarbeiter: Cloudflare, Inc. (Vereinigte Staaten) ist unser Auftragsverarbeiter für die Speicherung und Verarbeitung dieser Protokolle, auf Grundlage eines Auftragsverarbeitungsvertrags und der EU-Standardvertragsklauseln (SCCs). Für diese Übermittlung ist eine Transfer-Folgenabschätzung (TIA) dokumentiert. Weitere Einzelheiten zu internationalen Übermittlungen finden Sie in Abschnitt 7.

Keine automatisierte Entscheidungsfindung mit rechtlicher oder ähnlich erheblicher Wirkung: Wir können KI-gestützte Analysen nutzen, um Verhaltensmuster für interne Support-Mitarbeitende zusammenzufassen, es wird jedoch keine automatisierte Entscheidung getroffen, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt (Art. 22 DSGVO).

Aufbewahrung: Für diesen Zweck erfasste Protokolle werden grundsätzlich innerhalb von 30 Tagen gelöscht (siehe Abschnitt 8).

Widerspruchsrecht: Sie können dieser Verarbeitung gemäß Art. 21 DSGVO jederzeit widersprechen, indem Sie sich an [email protected] wenden. Wir stellen die Verarbeitung Ihrer Daten für diesen Zweck ein, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Rechte überwiegen.

Recht auf Löschung: Auf einen Löschantrag nach Art. 17 DSGVO hin löschen wir alle mit Ihnen verknüpften Ereignisse und Sitzungen sowie Ihren Präsenzstatus. Zu Sicherheits- und Rechenschaftszwecken bewahren wir gemäß Art. 6 Abs. 1 lit. f DSGVO bis zu 12 Monate lang einen pseudonymisierten Datensatz (HMAC-SHA256 Ihrer Nutzerkennung mit einem separaten Schlüssel) in unserem Audit-Log auf. Dieser pseudonymisierte Datensatz zählt weiterhin zu den personenbezogenen Daten im Sinne von Art. 4 Nr. 1 DSGVO.

Datenschutz-Folgenabschätzung (DPIA): Für diese Verarbeitung wurde eine DPIA durchgeführt (Art. 35 DSGVO). Sie ist auf Anfrage unter [email protected] erhältlich.

3.4 Zahlungen (Stripe)

Zahlungen für kostenpflichtige Pläne werden von Stripe verarbeitet. Wir speichern keine Zahlungskartendaten.

Stripe verarbeitet zahlungsbezogene personenbezogene Daten als unabhängiger Verantwortlicher. Soweit für das Abrechnungs- und Vertragsmanagement erforderlich, können wir von Stripe Informationen wie Kunden-IDs, Abonnementstatus, Rechnungen/Belege und Zahlungsmetadaten erhalten.

4. Zwecke und Rechtsgrundlagen (DSGVO)

Wir verarbeiten personenbezogene Daten nur, wenn wir eine Rechtsgrundlage nach geltendem Recht (einschließlich der DSGVO) haben, wie zum Beispiel:

Vertrag: Bereitstellung von Mitgliederleistungen, Kontoverwaltung und Support
Berechtigte Interessen: Betrieb und Pflege unserer Websites/Dienste, Sicherheit, Betrugs-/Missbrauchsprävention und Fehlerbehebung
Rechtliche Verpflichtung: Buchhaltung, Steuerpflichten und sonstige gesetzliche Anforderungen
Einwilligung: Analyse-/Messcookies (Google Analytics 4), unabhängige optionale Werbemessung und -optimierung mit Google und mit OpenAI sowie gegebenenfalls optionale Kommunikation (z. B. Marketing). Sie können Ihre Einwilligung jederzeit widerrufen (für optionale Cookie-Zwecke über „Cookie-Einstellungen“)

5. Cookies und ähnliche Technologien

Analytics (optional, einwilligungsbasiert): Mit Ihrer Einwilligung setzt Google Analytics 4 Analytics-Cookies (z. B. _ga, _ga_<id>). Analytics ist eine unabhängige Entscheidung und standardmäßig deaktiviert (Consent Mode v2 — verweigert, bis Sie ausdrücklich zustimmen); Ablehnen wird genauso hervorgehoben wie Akzeptieren, und Sie können Ihre Einwilligung jederzeit über „Cookie-Einstellungen“ widerrufen. Analytics-Daten werden aggregiert und IP-anonymisiert und niemals verkauft.
Google Ads-Messung (optional): standardmäßig deaktiviert; mit Ihrer ausdrücklichen Zustimmung wird Google für pseudonyme Conversion-Messung und Werbeoptimierung verwendet.
OpenAI Ads-Messung (optional): standardmäßig deaktiviert; mit Ihrer ausdrücklichen Zustimmung wird OpenAI für pseudonyme Conversion-Messung und Werbeoptimierung verwendet.

Diese Entscheidungen sind unabhängig voneinander. Die Einwilligung in Analytics autorisiert keine der beiden Werbeoptionen. Sie können Ihre Auswahl jederzeit über „Cookie-Einstellungen“ ändern oder widerrufen. Die Auswahl für Website und Dashboard erfolgt auf erpc.global und dashboard.erpc.global jeweils getrennt und wird nicht automatisch synchronisiert.

Mitgliederfunktionen: Wir verwenden strikt notwendige Cookies (z. B. Sitzungen), um Sie angemeldet zu halten. Wenn Sie diese deaktivieren, können einzelne Funktionen nicht mehr funktionieren.
Drittanbieter: Stripe und Discord können eigene Cookies/Technologien verwenden (außerhalb unserer Kontrolle).

6. Weitergabe und Auftragsverarbeiter

Wir verkaufen keine personenbezogenen Daten.

Wir können personenbezogene Daten im erforderlichen Umfang an Dienstleister weitergeben (z. B. Hosting/Infrastruktur (Cloudflare, Inc.), E-Mail-Zustellung, Zahlungen (Stripe), Authentifizierung (Discord) und Analytics (Google)). Mit diesen Anbietern schließen wir gemäß geltendem Recht Auftragsverarbeitungsverträge (DPAs) ab. Google und OpenAI können außerdem für Werbemessung und -optimierung eingesetzt werden, wenn Sie für den jeweiligen Anbieter ausdrücklich eingewilligt haben.

7. Internationale Übermittlungen

Wir haben unseren Sitz im Europäischen Wirtschaftsraum (EWR), aber unsere Dienstleister (z. B. Stripe, Discord, Google, OpenAI) und Infrastrukturstandorte können eine Verarbeitung außerhalb des EWR umfassen (z. B. in den Vereinigten Staaten).

In solchen Fällen verwenden wir geeignete Garantien wie Standardvertragsklauseln (SCCs) und minimieren die übermittelten Daten. Wir setzen keine Dienstleister zu dem Zweck ein, personenbezogene Daten absichtlich in Rechtsräume zu übermitteln oder dort zu speichern, die als hochriskant gelten.

Für die in Abschnitt 3.3 beschriebene neue Nutzungsanalyse ist Cloudflare, Inc. (mit Hauptsitz in den Vereinigten Staaten) unser Auftragsverarbeiter. Obwohl Cloudflare Edge-Infrastruktur in der EU-Region bereitstellt, behandeln wir den Zugriff der US-Muttergesellschaft nach geltendem US-Recht (z. B. CLOUD Act) als internationale Übermittlung.

Ein Teil der Verarbeitung ist mit einer Übermittlung in die Vereinigten Staaten (Cloudflare) verbunden. Diese Übermittlungen sind durch den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795 der Kommission vom 10. Juli 2023) abgedeckt und zusätzlich durch Standardvertragsklauseln geschützt. Als primären Mechanismus für diese Übermittlung stützen wir uns auf die Standardvertragsklauseln 2021/914 der Europäischen Kommission, Modul 2 (Verantwortlicher an Auftragsverarbeiter), die in das Cloudflare Data Processing Addendum einbezogen sind; der Angemessenheitsbeschluss zum EU-US Data Privacy Framework von 2023 dient als sekundäres Sicherheitsnetz. Wir haben eine Transfer-Folgenabschätzung (TIA) durchgeführt, die ergänzende technische Maßnahmen dokumentiert (Verschlüsselung im Ruhezustand und bei der Übertragung, Zugriffsprüfung, kein öffentlicher Bucket-Zugriff).

8. Aufbewahrung

Wir bewahren personenbezogene Daten nur so lange auf, wie dies für die oben beschriebenen Zwecke erforderlich ist:

technische Protokolle: für einen begrenzten Zeitraum für Sicherheit/Fehlerbehebung aufbewahrt
Analytics-Daten: von Google Analytics für einen begrenzten Zeitraum aufbewahrt (gemäß unserer GA4-Aufbewahrungseinstellung) und ausschließlich in aggregierter Form verwendet
Kontodaten: solange Ihr Konto aktiv ist; gegebenenfalls nach Schließung gelöscht oder anonymisiert
Buchhaltung/Abrechnung: für den nach niederländischem Recht vorgeschriebenen Zeitraum (in der Regel 7 Jahre) usw.
Nutzungsanalyse-Protokolle (Abschnitt 3.3): werden grundsätzlich innerhalb von 30 Tagen gelöscht.
Tägliche aggregierte Nutzungszusammenfassungen (Abschnitt 3.3): werden bis zu 90 Tage aufbewahrt und für interne Trendanalysen verwendet.
Audit-Logs (Aufzeichnungen über Löschanträge und Zugriffsprüfungen; Nutzerkennungen als HMAC-Pseudonyme gespeichert — pseudonymisierte personenbezogene Daten, nicht anonym): werden bis zu 12 Monate aufbewahrt (berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO).
Prüf-Bucket für die Dead-Letter-Queue (Abschnitt 3.3): wird bis zu 7 Tage aufbewahrt; der Zugriff ist auf benannte Administratoren beschränkt.

9. Ihre Rechte

Je nach Standort und geltendem Recht (einschließlich DSGVO) können Sie das Recht haben, Folgendes zu verlangen:

Auskunft, Berichtigung, Löschung
Einschränkung der Verarbeitung, Widerspruch
Datenübertragbarkeit
Widerruf der Einwilligung (wenn die Verarbeitung auf Einwilligung beruht)

Um Ihre Rechte auszuüben, kontaktieren Sie uns unter [email protected]. Sie haben außerdem das Recht, eine Beschwerde bei der niederländischen Aufsichtsbehörde (Autoriteit Persoonsgegevens) oder bei Ihrer örtlichen Aufsichtsbehörde einzureichen.

Wir führen keine automatisierte Entscheidungsfindung und kein Profiling durch, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen.

10. Änderungen

Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren, indem wir eine neue Version auf dieser Seite veröffentlichen.

Letzte Aktualisierung: 2026-10-21