Datenschutzerklärung

1. Verantwortlicher

Boxshop
Inhaber: Erwin Boxberger
Wiesenweg 10, 74424 Bühlertann, Deutschland
E-Mail: info@boxshopde.de
USt-IdNr.: DE458856018

2. Allgemeines zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten nur, soweit das für unsere Dienste nötig ist, wir dazu gesetzlich verpflichtet sind oder du eingewilligt hast. Die Rechtsgrundlage nennen wir bei jedem Abschnitt: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), lit. b (Vertrag und Anfragen vor einem Vertrag), lit. c (gesetzliche Pflicht, etwa die Aufbewahrung von Rechnungen) und lit. f (berechtigte Interessen – dagegen kannst du widersprechen, siehe „Widerspruchsrecht“ unten).

Ohne Anmeldung mit Discord kannst du das Dashboard nicht nutzen, und ohne E-Mail-Adresse können wir dir Rechnungen und Bestätigungen nicht per E-Mail schicken. Darüber hinaus bist du nicht verpflichtet, uns Daten zu geben. Daten verkaufen wir nicht.

3. Anmeldung mit Discord

Im Dashboard meldest du dich mit deinem Discord-Konto an (OAuth2). Discord übermittelt uns dabei:

• deine Discord-ID, deinen Nutzernamen und dein Profilbild (Avatar)
• deine E-Mail-Adresse (wir fordern sie immer an)
• die Liste deiner Discord-Server mit deinen Berechtigungen dort
• Spracheinstellung deines Discord-Clients – nur, wenn du bei uns etwas gekauft oder abonniert hast, und nur als Angabe „Deutsch“ oder „Englisch“ (Zweck siehe Abschnitt 7)

Wir verwenden diese Daten zur Anmeldung, zur Anzeige im Dashboard, um dir die Server zu zeigen, die du verwalten darfst, zur Verwaltung deiner Bot-Einstellungen, für Kauf-, Rechnungs- und Abo-Mails sowie zur Zuordnung von Kündigungen und Widerrufen. Die Zugangsberechtigung, die Discord uns bei der Anmeldung erteilt, nutzen wir nur in diesem Moment (Liste deiner Server, Beitritt zum Support-Server, siehe Abschnitt 3a) und speichern sie nicht. Die IDs der Server, die du verwalten darfst, merken wir uns, damit das Dashboard sie schneller findet; bei jeder Anmeldung ersetzen wir sie, spätestens 90 Tage nach deiner letzten Anmeldung löschen wir sie. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Meldest du dich auf der Seite „Vertrag widerrufen“ an, fragen wir bei Discord nur deine Discord-ID, deinen Nutzernamen, dein Profilbild und deine E-Mail-Adresse ab – ohne die Liste deiner Server und ohne Beitritt zum Support-Server (Abschnitt 3a); die gemerkten Server-IDs bleiben dann unverändert.

Discord (für Nutzer im Europäischen Wirtschaftsraum: Discord Netherlands BV) verarbeitet deine Daten bei der Anmeldung in eigener Verantwortung. Die Datenschutzerklärung von Discord findest du unter https://discord.com/privacy.

Profilbilder und Server-Symbole lädt dein Browser direkt von Discord (cdn.discordapp.com). Dabei erhält Discord deine IP-Adresse und Angaben zu deinem Browser. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer vertrauten, gut erkennbaren Darstellung deiner Server).

3a. Support-Server und Plan-Rolle

Bei jeder Anmeldung im Dashboard nutzen wir die Discord-Berechtigung „Servern für dich beitreten“ und fügen dein Konto unserem Support-Server hinzu, falls du dort noch nicht Mitglied bist. Dort erhältst du eine Rolle, die deinem Plan entspricht (Free, Basic, Premium oder Lifetime). Diese Rolle sehen andere Mitglieder des Support-Servers; sie lässt erkennen, welchen Plan du nutzt. Zweck: ein einfacher Zugang zum Support und zu Vorteilen für die Community. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Du kannst dem jederzeit widersprechen: mit dem Schalter „Automatisch dem Support-Server beitreten“ in deinem Konto im Dashboard (Konto › Datenschutz) oder mit einer formlosen E-Mail an info@boxshopde.de. Dann fügen wir dich bei späteren Anmeldungen nicht mehr automatisch hinzu und ändern deine Plan-Rolle dort nicht mehr. Den Support-Server kannst du jederzeit selbst verlassen.

Deinen Widerspruch speichern wir mit deiner Discord-ID und dem Zeitpunkt – getrennt vom Konto-Eintrag (Abschnitt 5) und ohne dessen Löschfrist, damit er dauerhaft gilt. Stellst du den Schalter wieder an, löschen wir diese Angaben; bei deiner nächsten Anmeldung fügen wir dich dann wieder hinzu. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 21 DSGVO (wir müssen deinen Widerspruch beachten).

4. Cookies und lokaler Speicher

Wir setzen nur Cookies, die für die Anmeldung und das Einladen des Bots technisch nötig sind:

Alle vier sind Cookies unserer eigenen Seite. Sie sind für JavaScript nicht lesbar (httpOnly) und werden nur über verschlüsselte Verbindungen übertragen. Sie sind unbedingt erforderlich, damit wir die von dir gewünschte Anmeldung und das Einladen des Bots bereitstellen können; eine Einwilligung ist dafür nicht nötig (§ 25 Abs. 2 Nr. 2 TDDDG). Rechtsgrundlage für die damit verbundene Verarbeitung: Art. 6 Abs. 1 lit. b DSGVO. Meldest du dich ab, löschen wir das Anmelde-Cookie und machen das Token ungültig.

Außerdem speichert dein Browser im lokalen Speicher (localStorage bzw. sessionStorage) Einstellungen und Zwischenstände, die du selbst auslöst: Sprache, Erscheinungsbild, den zuletzt gewählten Server, Entwürfe von Formularen im Dashboard sowie ausgeblendete oder zurückgestellte Hinweise. Diese Einträge liest nur die Seite in deinem Browser; wir speichern sie nicht bei uns. Du kannst sie jederzeit in deinem Browser löschen. Auch dafür gilt § 25 Abs. 2 Nr. 2 TDDDG.

Cookies zu Werbe- oder Analysezwecken setzen wir nicht. Nur auf der Kaufseite eines Einmalkaufs lädt dein Browser die Zahlungsknöpfe von PayPal; PayPal kann dabei eigene Cookies setzen (siehe Abschnitt 7).

5. Dein Konto-Eintrag

Wenn du dich anmeldest, legen wir einen Konto-Eintrag in unserer Datenbank auf unserem Server an (mit einer Kopie als Datei, damit wir ihn nach einer Störung wiederherstellen können). Er enthält:

• deine Discord-ID, deinen Nutzernamen und dein Profilbild
• deine E-Mail-Adresse – die zuletzt von Discord bei der Anmeldung übermittelte; ist keine gültige gespeichert, die von PayPal übermittelte oder die Adresse, die du bei einer Kündigung im Dashboard angibst (bis Discord wieder eine übermittelt). Im Dashboard unter Konto siehst du sie; ändern kannst du sie dort nicht.
• die von PayPal übermittelte E-Mail-Adresse, nur damit wir eine Kündigung ohne Anmeldung oder einen Widerruf deinem Konto zuordnen können (Abschnitte 8a und 8b); angezeigt oder angeschrieben wird sie nicht
• einen gekürzten Hash-Wert deiner IP-Adresse (zur Abwehr von Missbrauch; die IP-Adresse selbst speichern wir nicht)
• den Zeitpunkt deiner ersten und deiner letzten Anmeldung
• gegebenenfalls Vermerke wie eine Sperre oder die Teilnahme am Partnerprogramm

Deinen Plan und deine Käufe speichern wir getrennt davon (Abschnitte 7 und 7c). Der Konto-Eintrag wird 90 Tage nach deiner letzten Anmeldung automatisch gelöscht, bei laufendem Abo frühestens 90 Tage nach dessen Ende; bei einem pausierten Abo zählt das Ende der bezahlten Zeit. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (dein Konto und deine Verträge) und lit. f (Schutz vor Missbrauch).

6. Nutzungsereignisse im Dashboard und beim Einladen (pseudonym)

Um zu erkennen, an welcher Stelle die Einrichtung des Bots abbricht und über welche Wege neue Nutzer und Server zu uns finden, halten wir einzelne Ereignisse fest – zum Beispiel „Bot eingeladen“, „Bot dem Server beigetreten“, „Übersicht ohne verbundenen Server angezeigt“, „Server verbunden“ oder „Assistent abgebrochen“. Gespeichert werden dabei ausschließlich:

• die Art des Ereignisses und der Zeitpunkt
• ein Pseudonym deines Kontos (ein mit einem geheimen Schlüssel gebildeter Hash-Wert, keine Discord-ID), sofern du angemeldet bist
• gegebenenfalls die betroffene Discord-Server-ID
• wenige technische Zusatzangaben zum jeweiligen Ereignis (höchstens 512 Zeichen, z. B. das Ergebnis einer Einladung, die Anzahl gefundener Server oder der erreichte Schritt im Einrichtungsassistenten)
• die Herkunft: eine feste, für alle Besucher gleiche Bezeichnung des Weges, über den du gekommen bist (z. B. „topgg“, „discord-app“ oder „website“) – aus unserem Link oder, wenn dein Browser es mitschickt, aus der Art der vorherigen Seite (z. B. top.gg oder unsere Website; deren Adresse speichern wir nicht) – sowie deine Antwort auf die freiwillige Frage „Woher kennst du uns?“ (nur feste Antworten, kein Freitext)
• wenn der Bot einem Server beitritt, ohne Pseudonym: die Mitgliederzahl, ob es ein Community-Server ist, ob der Bot Administratorrechte erhalten hat und ob ihn der Inhaber des Servers eingeladen hat

Die Bezeichnung des Weges lesen wir nur aus der aufgerufenen Adresse bzw. der vom Browser mitgeschickten vorherigen Seite; wir speichern dafür nichts auf deinem Gerät, auch kein Cookie. Während des Einladens und Anmeldens halten wir sie höchstens 5 Minuten auf unserem Server beim laufenden Vorgang fest. Bist du beim Einladen nicht angemeldet, speichern wir das Einladeereignis ohne Pseudonym. Die Frage „Woher kennst du uns?“ sehen nur Konten in den ersten 14 Tagen nach der ersten Anmeldung und nur, bis sie beantwortet oder übersprungen ist. Ausgewertet wird nur zusammengefasst: wie viele Server und Konten über welchen Weg kommen und wie viele davon bleiben.

Nutzername, Discord-ID, E-Mail-Adresse und IP-Adresse werden dabei nicht gespeichert. Es kommen weder Cookies noch Analyse-Dienste Dritter zum Einsatz; die Daten verlassen unseren Server in Deutschland nicht. Die Einträge werden nach 90 Tagen automatisch gelöscht. Du kannst die zu deinem Pseudonym gespeicherten Einträge jederzeit vorab löschen lassen (Kontakt siehe Abschnitt 1). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer verständlichen Einrichtung, an der Verbesserung des Dienstes und daran, zu erkennen, über welche Wege unser Dienst gefunden wird, um unsere Werbung danach auszurichten).

7. Bezahlung (PayPal), Kaufbestätigungen und Rechnungen

Auf unserer Website wird ausschließlich über PayPal bezahlt (Käufe direkt in Discord: Abschnitt 7c). PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg, verarbeitet deine Zahlungsdaten in eigener Verantwortung; die Datenschutzerklärung von PayPal findest du unter https://www.paypal.com/de/webapps/mpp/ua/privacy-full. Karten- oder Kontodaten erhalten wir nicht.

Für ein Abo leiten wir dich zu PayPal weiter. Auf der Kaufseite eines Einmalkaufs lädt dein Browser die Zahlungsknöpfe direkt von PayPal; dabei erhält PayPal deine IP-Adresse und Angaben zu deinem Browser und kann eigene Cookies setzen.

Von PayPal erhalten wir beim Kauf und danach über automatische Benachrichtigungen (etwa bei einer Verlängerung, Kündigung oder Rückerstattung) die Transaktions- bzw. Abo-Nummer, den Betrag, den Zahlungsstatus und die bei PayPal hinterlegte E-Mail-Adresse. Wir speichern deinen Plan, dessen Laufzeit, die Abo- und Transaktionsnummern und deine Käufe; die E-Mail-Adresse speichern wir in deinem Konto-Eintrag, wenn dort keine gültige gespeichert ist, und merken sie uns daneben nur zur Zuordnung einer Kündigung ohne Anmeldung oder eines Widerrufs (Abschnitt 5). Wir nutzen diese Angaben, um deinen Plan freizuschalten, dein Abo zu verwalten und dir Kaufbestätigungen, Rechnungen und abo-bezogene Mitteilungen (z. B. zu Verlängerung, Kündigung oder Rückerstattung) per E-Mail zu schicken. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Damit diese Mails in deiner Sprache ankommen, speichern wir außerdem nur die Angabe „Deutsch“ oder „Englisch“ – abgeleitet aus deiner Spracheinstellung im Dashboard, aus deiner Sprachwahl bzw. der Sprache deines Browsers beim Kauf und, wenn du bereits Kunde bist, aus der Spracheinstellung deines Discord-Clients beim Login; fehlt all das, aus dem Land, das PayPal uns zu deiner Zahlung nennt (das Land selbst speichern wir nicht). Wir nutzen sie ausschließlich für die Sprache dieser Mails (Art. 6 Abs. 1 lit. b DSGVO); du kannst ihre Löschung jederzeit verlangen (Kontakt siehe Abschnitt 1).

Wir speichern, welcher Fassung unserer AGB du zugestimmt hast – beim Kauf und, wenn du geänderten AGB über den Knopf im Dashboard zustimmst (AGB § 10 Abs. 5) –, jeweils mit Stand, Sprache der Fassung und Zeitpunkt der Zustimmung. So wissen wir, welche Bedingungen für deinen Vertrag gelten, und können das belegen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO und unser berechtigtes Interesse am Nachweis des Vertragsinhalts (Art. 6 Abs. 1 lit. f DSGVO). Diese Angaben bewahren wir so lange auf wie die übrigen Angaben zu deinen Käufen (siehe unten).

Zu jedem Kauf und jeder Abbuchung erstellen wir eine Rechnung, bei einer Rückerstattung eine Gutschrift – mit deinem Nutzernamen, deiner Discord-ID, deiner E-Mail-Adresse, dem Produkt, dem Betrag und der PayPal-Transaktionsnummer – und legen sie in unserem Rechnungsarchiv ab; im Dashboard kannst du deine Rechnungen herunterladen. Rechnungen bewahren wir acht Jahre ab dem Ende des Kalenderjahres, in dem die Rechnung ausgestellt wurde, auf (§ 14b Abs. 1 UStG, § 147 Abs. 1 Nr. 4, Abs. 3 und 4 AO); danach löschen wir sie. Die übrigen Angaben zu deinen Käufen bewahren wir auf, solange dein Vertrag läuft, und danach so lange, wie wir sie als Buchungsbeleg aufbewahren müssen. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO.

7a. E-Mail-Versand (Brevo)

Alle E-Mails, die wir verschicken – Kaufbestätigungen, Rechnungen, Mitteilungen zu deinem Abo, Eingangsbestätigungen von Kündigungen und Widerrufen, die E-Mails an den Kontoinhaber (Abschnitt 8a) und Meldungen an uns –, versenden wir über den E-Mail-Dienst Brevo (Sendinblue SAS, Sitz in Frankreich). Brevo verarbeitet dabei die Empfängeradresse, den Namen und den Inhalt der E-Mail in unserem Auftrag (Auftragsverarbeiter, Art. 28 DSGVO). Rechtsgrundlage: dieselbe wie für den Anlass der jeweiligen E-Mail.

7b. Fehlerüberwachung (Sentry)

Damit wir technische Fehler erkennen und beheben können, senden unser Server und unser Discord-Bot Fehlerberichte an den Dienst Sentry (Functional Software, Inc., 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA). Ein Fehlerbericht enthält die Art des Fehlers und die Fehlermeldung, die Stellen im Programm, an denen er auftrat, die aufgerufene Adresse, den Zeitpunkt, technische Angaben zum Server und die letzten Protokollzeilen vor dem Fehler; er kann Discord-IDs sowie Namen von Nutzern und Servern enthalten. Für einen kleinen Teil der Anfragen senden wir außerdem Messwerte zur Antwortzeit. Cookies, deine IP-Adresse, die Inhalte von Formularen und Anfragen sowie die Werte, die das Programm beim Fehler gerade verarbeitet, übermitteln wir nicht. E-Mail-Adressen und IP-Adressen, die in einer Fehlermeldung oder Protokollzeile vorkommen, sowie Zugangsdaten wie Tokens in aufgerufenen Adressen schwärzen wir automatisch, bevor der Bericht unseren Server verlässt. Über neue Fehler benachrichtigt uns eine Nachricht in einem internen Discord-Kanal.

Sentry speichert die Daten in seiner EU-Region in Frankfurt am Main und verarbeitet sie in unserem Auftrag (Auftragsverarbeiter, Art. 28 DSGVO). Weil Sentry ein US-Unternehmen ist, ist ein Zugriff aus den USA nicht ausgeschlossen; Sentry ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission, Art. 45 DSGVO). Sentry löscht die Fehlerberichte nach Ablauf der Speicherfrist unseres Tarifs automatisch, höchstens 90 Tage nach dem Eingang. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem stabilen, fehlerfreien Betrieb).

7c. Käufe im Discord-Store

Basic und Premium kannst du auch direkt in Discord kaufen („Über Discord kaufen“). Bestellung, Zahlung und Verlängerung wickelt dann Discord ab; dafür gilt die Datenschutzerklärung von Discord (https://discord.com/privacy). Zahlungsdaten erhalten wir dabei nicht.

Discord teilt uns zu jedem Kauf und später bei jeder Verlängerung, Kündigung oder Erstattung mit: die Kennung des Kaufs, deine Discord-ID, das gekaufte Produkt, Beginn und Ende deiner Berechtigung und die Kennung des Abos. Wir speichern diese Angaben in unserer Datenbank auf unserem Server, um deinen Plan freizuschalten, solange Discord die Berechtigung meldet, und um Kündigungen und Widerrufe deinem Kauf zuzuordnen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. 90 Tage nach dem Ende deiner Berechtigung löschen wir die Angaben automatisch.

8. Kontaktformular

Wenn du unser Kontaktformular nutzt, verarbeiten wir folgende Daten:

• Name
• E-Mail-Adresse
• Discord-Name oder Discord-ID (freiwillig)
• Nachrichteninhalt
• Zeitpunkt der Übermittlung
• einen gekürzten Hash-Wert deiner IP-Adresse (Schutz vor massenhaften Anfragen)

Wir verwenden die Daten nur, um deine Anfrage zu bearbeiten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, wenn deine Anfrage einen Vertrag mit uns betrifft oder vorbereitet, sonst Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen); den Hash-Wert der IP-Adresse verarbeiten wir nach Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch). Wir löschen deine Anfrage, sobald sie abschließend bearbeitet ist, spätestens aber automatisch 90 Tage nach dem Eingang.

8a. Kündigung („Verträge hier kündigen“ und im Dashboard)

Wenn du über „Verträge hier kündigen“ kündigst, verarbeiten wir folgende Daten:

• Art der Kündigung (normal oder fristlos) und, bei einer fristlosen Kündigung, den Grund, wenn du ihn angibst
• den Vertrag, den du kündigst
• den gewünschten Zeitpunkt des Vertragsendes
• deinen Namen und deine E-Mail-Adresse
• wenn du ihn angibst: deinen Discord-Namen oder deine Discord-ID (freiwillig, nur zur Zuordnung)
• Datum und Uhrzeit des Eingangs
• wenn du gleichzeitig im Dashboard angemeldet bist: deine Discord-ID aus der Anmeldung (zur Zuordnung)
• ohne Anmeldung, wenn deine Angaben zu genau einem Konto passen: die Discord-ID dieses Kontos, woran wir es erkannt haben (E-Mail-Adresse, Discord-ID oder Discord-Name) und ob die E-Mail an den Kontoinhaber verschickt wurde

Wir verwenden diese Daten, um die Kündigung deinem Vertrag zuzuordnen, sie umzusetzen und dir den Eingang zu bestätigen. Dazu gleichen wir deine E-Mail-Adresse und, wenn du ihn angibst, deinen Discord-Namen oder deine Discord-ID mit den Angaben in unseren Konten ab. Bist du angemeldet, beenden wir dein Abo über PayPal gleich automatisch zum Ende der bezahlten Zeit.

Ohne Anmeldung sichern wir die Umsetzung zusätzlich ab: Passen die Angaben zu genau einem Konto, schicken wir eine E-Mail an die Adresse, die in diesem Konto gespeichert ist. Damit kann der Kontoinhaber die Kündigung bestätigen oder mit „Das war ich nicht“ stoppen. Klickt er nicht, setzen wir die Kündigung vor der nächsten Abbuchung automatisch um – in der Regel drei Tage vorher, frühestens 24 Stunden nach dem Eingang; liegt die nächste Abbuchung näher, sofort – und teilen ihm danach per E-Mail mit, dass sie umgesetzt ist, sofern wir ihn auf diesem Weg erreichen. Die Links in diesen E-Mails enthalten nur eine zufällige Kennung der Kündigung und eine Prüfsumme, keinen Namen und keine E-Mail-Adresse. Deinen Namen und deine E-Mail-Adresse erfährt der Kontoinhaber nicht. Stoppt er die Kündigung mit „Das war ich nicht“, stoppen wir auch weitere offene Kündigungen für sein Konto, prüfen den Fall und schreiben dich gegebenenfalls über die angegebene Adresse an. Hat der Kontoinhaber in den letzten 30 Tagen schon bei einer Kündigung „Das war ich nicht“ gemeldet, setzen wir eine weitere Kündigung ohne Anmeldung nur um, wenn er sie bestätigt – über den Link in der E-Mail oder mit einer eigenen Kündigung im Dashboard –, und prüfen sie zusätzlich von Hand. Kündigt der Kontoinhaber selbst – angemeldet oder mit „Kündigung bestätigen“ –, schließen wir offene Kündigungen für dieselben Verträge ab. Wir speichern, ob und wann der Kontoinhaber bestätigt oder abgelehnt hat. So schützen wir Kunden davor, dass jemand anderes ihr Abo beendet. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO (Abwicklung des Vertrags, Schutz vor Missbrauch).

Die Eingangsbestätigung an dich, die E-Mails an den Kontoinhaber und eine Meldung an uns verschicken wir über den E-Mail-Dienst Brevo (Abschnitt 7a). Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 312k BGB (gesetzliche Pflicht zur Kündigungsschaltfläche und zur Bestätigung) und Art. 6 Abs. 1 lit. b DSGVO (Abwicklung des Vertrags). Wir bewahren die Kündigung als Nachweis bis zum Ablauf der regelmäßigen Verjährungsfrist auf: drei Jahre ab dem Ende des Jahres, in dem der Vertrag endete (§§ 195, 199 BGB). Eine mit „Das war ich nicht“ gestoppte Kündigung bewahren wir drei Jahre ab dem Ende des Jahres ihres Eingangs auf. Danach löschen wir sie.

Kündigst du angemeldet im Dashboard unter Konto › Abo kündigen, verarbeiten wir dieselben Angaben. Name, E-Mail-Adresse und Discord-ID nehmen wir dabei aus deinem Konto. Ist dort keine gültige E-Mail-Adresse gespeichert, gibst du auf der Seite eine an; wir speichern sie bei dieser Kündigung und als E-Mail-Adresse deines Kontos, damit wir dir künftige Bestätigungen schicken können (Abschnitt 5). Übermittelt Discord bei einer späteren Anmeldung wieder eine Adresse, gilt diese. Es ist immer eine ordentliche Kündigung zum nächstmöglichen Zeitpunkt. Die Eingangsbestätigung schicken wir an diese E-Mail-Adresse; außerdem steht sie auf der Seite zum Speichern bereit.

Zum Schutz vor Missbrauch zählen wir, wie viele Kündigungen von einer IP-Adresse bzw. – wenn du angemeldet bist, auf dieser Seite und im Dashboard – von deinem Konto kommen, wie viele Bestätigungen an eine E-Mail-Adresse gehen und wie oft eine IP-Adresse die Bestätigungsseite aus der E-Mail an den Kontoinhaber aufruft. Dafür speichern wir nur einen gekürzten Hash der IP-Adresse, der Discord-ID bzw. der E-Mail-Adresse, nicht in der Kündigung selbst, und löschen ihn nach spätestens zwei Tagen (bei der Bestätigungsseite eine Stunde nach dem letzten Aufruf). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch).

Freiwillig kannst du uns sagen, warum du kündigst (Auswahl und ein kurzer Text): bei „Verträge hier kündigen“ nach dem Absenden, im Dashboard auf derselben Seite zusammen mit der Kündigung. Das ist keine Voraussetzung für die Kündigung. Wir speichern die Angaben zusammen mit der Kündigung und nutzen sie nur, um unser Angebot zu verbessern. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (deine Einwilligung durch das Absenden); du kannst sie jederzeit per E-Mail widerrufen.

8b. Widerruf („Vertrag widerrufen“)

Wenn du über „Vertrag widerrufen“ einen Vertrag widerrufst, verarbeiten wir folgende Daten:

• den Vertrag, den du widerrufst – wählst du Käufe aus deinem Konto, mit Datum, Betrag und PayPal-Transaktions- bzw. Abo-Nummer
• deinen Namen und deine E-Mail-Adresse
• wenn du sie angibst: das Bestelldatum, deinen Discord-Namen oder deine Discord-ID und einen Grund (alles freiwillig)
• Datum und Uhrzeit des Eingangs
• deine Discord-ID aus der Anmeldung

Wir verwenden diese Daten, um dir den Eingang sofort zu bestätigen (per E-Mail, auf der Seite und zum Speichern), den Widerruf deinem Vertrag zuzuordnen, zu prüfen, ob er wirksam ist, und ihn umzusetzen: Wir beenden das Abo und zahlen dir deine Zahlungen über PayPal zurück. Wählst du keinen Kauf aus deinem Konto, gleichen wir deine E-Mail-Adresse und, wenn du sie angibst, deine Discord-Angabe mit den Angaben in unseren Konten ab. Bist du angemeldet, stoppen wir die Verlängerung der gewählten Abos gleich automatisch über PayPal und beenden den Zugang aus dem Vertrag. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit §§ 355, 356a und 357 BGB (gesetzliche Pflicht zur Widerrufsfunktion, zur Eingangsbestätigung und zur Rückzahlung) und Art. 6 Abs. 1 lit. b DSGVO (Rückabwicklung des Vertrags).

Über die Seite widerrufst du nur angemeldet. Widerrufst du per E-Mail, bearbeiten wir den Widerruf von Hand: Wir verarbeiten deine Absender-Adresse und den Inhalt deiner E-Mail und ordnen den Widerruf anhand dieser Angaben deinem Konto zu. Rechtsgrundlage: dieselbe wie oben.

Die Eingangsbestätigung und weitere E-Mails an dich sowie Meldungen an uns verschicken wir über den E-Mail-Dienst Brevo (Abschnitt 7a); die Rückzahlung läuft über PayPal (Abschnitt 7). Wir bewahren den Widerruf als Nachweis bis zum Ablauf der regelmäßigen Verjährungsfrist auf: drei Jahre ab dem Ende des Jahres, in dem er eingegangen ist (§§ 195, 199 BGB). Danach löschen wir ihn.

Zum Schutz vor Missbrauch zählen wir, wie viele Widerrufe von einem Konto kommen und wie viele Eingangsbestätigungen an eine E-Mail-Adresse gehen. Dafür speichern wir nur einen gekürzten Hash der Discord-ID bzw. der E-Mail-Adresse, nicht im Widerruf selbst, und löschen ihn nach spätestens zwei Tagen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch).

8c. Feedback im Dashboard

Schickst du uns über das Dashboard Feedback, speichern wir die Kategorie, deinen Text, ein freiwillig angehängtes Bild, deine Discord-ID, deinen Nutzernamen und den Zeitpunkt. Außerdem benachrichtigen wir uns darüber in einem internen Discord-Kanal (Discord, siehe Abschnitt 3) mit Kategorie, Text, Bild und Nutzernamen. Wir nutzen das Feedback, um Fehler zu beheben und unser Angebot zu verbessern. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Das Feedback samt Bild und die Benachrichtigung im Discord-Kanal löschen wir 12 Monate nach dem Eingang automatisch.

8d. Abstimmungen auf Top.gg

Stimmst du auf top.gg für unseren Bot ab, teilt uns Top.gg (Sitz in den USA, eigenständig verantwortlich) deine Discord-ID, die Art der Stimme und die Angabe mit, ob sie an einem Wochenende abgegeben wurde; den Zeitpunkt halten wir selbst fest. Damit vergeben wir dir auf unserem Support-Server für 12 Stunden die Voter-Rolle und zeigen dir, wie oft du abgestimmt hast. Mit dem Befehl /voteleaderboard kann auf einem Server mit unserem Bot jeder die zehn Nutzer mit den meisten Stimmen samt Anzahl anzeigen lassen. Wir löschen die Angaben 12 Monate nach der Abstimmung automatisch. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, Unterstützer zu belohnen). Die Datenschutzerklärung von Top.gg findest du unter https://top.gg/legal/privacy.

9. Daten auf Discord-Servern (Bot und Bot-Einstellungen)

Setzt ein Server-Betreiber unseren Bot auf seinem Discord-Server ein, verarbeitet der Bot je nach den Funktionen, die der Betreiber im Dashboard einschaltet, Daten der Mitglieder dieses Servers, zum Beispiel:

• Discord-ID, Name, Profilbild, Rollen und Zeitpunkt des Beitritts
• Nachrichten – zur Auto-Moderation, für XP und Level und für Protokolle der Server-Ereignisse
• Tickets und ihre Verläufe samt Anhängen, dazu die Sprache des Erstellers (nur „Deutsch“ oder „Englisch“, aus der Spracheinstellung seines Discord-Clients), damit die Nachricht beim Schließen in seiner Sprache ankommt
• Bewerbungen und Antworten auf Formulare
• Verwarnungen, Stummschaltungen, Bans und andere Moderationsvermerke
• Ban-Einsprüche samt Anhängen – auch von Personen ohne Konto bei uns, die den Einspruchslink nutzen
• Geburtstage, Einladungen (wer wen eingeladen hat), Stimmen in Umfragen, Teilnahmen an Gewinnspielen, Vorschläge und Erinnerungen
• Stempeluhr-Zeiten sowie Personal-, Mitarbeiter-, Abgaben-, Kassen- und Lagerlisten (Rollenspiel-Server)

Für diese Daten verantwortlich ist der Betreiber des jeweiligen Servers: Er entscheidet, welche Funktionen laufen. Wir verarbeiten die Daten nur in seinem Auftrag als Auftragsverarbeiter (Art. 28 DSGVO) nach unserem Auftragsverarbeitungsvertrag. Fragen und Anträge zu diesen Daten richtest du am besten an den Betreiber des Servers; erreichen sie uns, leiten wir sie an ihn weiter.

Die Einstellungen eines Servers (z. B. Ticket-Panels, Reaktionsrollen, Twitch-Kanäle) und die Daten der Funktionen speichern wir in unserer Datenbank auf unserem Server (mit einer Kopie als Datei), gebunden an die ID des Discord-Servers. Für Benachrichtigungen über Twitch, YouTube und Instagram fragt der Bot die öffentlichen Angaben der eingetragenen Kanäle bei diesen Diensten ab. Entfernst du den Bot von deinem Server, bleiben die Einstellungen und Daten zunächst gespeichert, damit du ihn ohne neue Einrichtung wieder einladen kannst. Fügst du ihn nicht innerhalb von 6 Monaten wieder hinzu, löschen wir sie nach Ablauf dieser Frist automatisch. Ein eigener Bot, der im Dashboard mit Asward-Helper verknüpft ist, zählt dabei wie unser Bot: Die Frist beginnt erst, wenn keiner von beiden mehr auf dem Server ist. Wurde der Bot schon vor dem 30. September 2026 entfernt, beginnt die Frist an diesem Tag. Solange der Server in den Server-Slots eines Kontos mit laufendem kostenpflichtigen Plan eingetragen ist, löschen wir seine Daten auch nach Ablauf der Frist nicht. Auf Wunsch löschen wir sie auch früher: Eine E-Mail an info@boxshopde.de genügt, dann löschen wir sie unverzüglich. Rechtsgrundlage gegenüber dir als Server-Betreiber: Art. 6 Abs. 1 lit. b DSGVO.

10. Hosting, Server-Protokolle und Sicherungen

Unsere Dienste laufen auf einem Server in einem Rechenzentrum in Deutschland. Den Server stellt ein Hosting-Dienstleister in Deutschland bereit, der dabei in unserem Auftrag tätig ist (Auftragsverarbeiter, Art. 28 DSGVO). Datenbank und Zwischenspeicher laufen auf demselben Server und sind von außen nicht erreichbar.

Bei jedem Aufruf verarbeitet unser Server technisch nötige Angaben: IP-Adresse, Zeitpunkt, aufgerufene Adresse, übertragene Datenmenge sowie Angaben zu Browser und Betriebssystem. Zugriffe und Fehler halten wir in Protokollen fest. Wir nutzen sie nur, um den Betrieb abzusichern, Fehler zu finden und Angriffe abzuwehren; gelöscht werden sie mit der regelmäßigen, automatischen Rotation der Protokolle. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Einmal täglich sichern wir Datenbank und Dateien auf unserem Server. Die Sicherungen sind nur für die Verwaltung des Servers zugänglich und werden nach 30 Tagen gelöscht; gelöschte Daten können deshalb noch bis zu 30 Tage in einer Sicherung enthalten sein. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Datenverlust).

11. Empfänger und Übermittlung in Drittländer

In unserem Auftrag (Auftragsverarbeiter nach Art. 28 DSGVO) arbeiten:

• ein Hosting-Dienstleister in Deutschland – Server und Speicherung (Abschnitt 10)
• Brevo (Sendinblue SAS, Frankreich) – E-Mail-Versand (Abschnitt 7a)
• Sentry (Functional Software, Inc., USA; Speicherung in der EU) – Fehlerberichte (Abschnitt 7b)

In eigener Verantwortung verarbeiten Daten:

• Discord – Anmeldung, Betrieb des Bots, Support-Server, Käufe im Discord-Store, Profilbilder und Server-Symbole (Abschnitte 3, 3a, 7c, 9)
• PayPal – Zahlungen (Abschnitt 7)
• Top.gg – Abstimmungen (Abschnitt 8d)

Einen Auftragsverarbeiter mit Sitz außerhalb der EU setzen wir nur mit Sentry ein (Zugriff aus den USA nicht ausgeschlossen, Angemessenheitsbeschluss nach Art. 45 DSGVO). Discord, PayPal und Top.gg können Daten in eigener Verantwortung auch in die USA übermitteln; Einzelheiten stehen in deren Datenschutzerklärungen.

12. Deine Rechte

Du hast gemäß DSGVO folgende Rechte:

• Auskunft (Art. 15 DSGVO): Welche Daten wir über dich gespeichert haben.
• Berichtigung (Art. 16 DSGVO): Korrektur unrichtiger Daten.
• Löschung (Art. 17 DSGVO): Löschung deiner Daten.
• Einschränkung (Art. 18 DSGVO): Einschränkung der Verarbeitung.
• Datenübertragbarkeit (Art. 20 DSGVO): Übertragung deiner Daten.
• Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO): jederzeit, mit Wirkung für die Zukunft.
• Widerspruch (Art. 21 DSGVO): siehe den Kasten „Widerspruchsrecht“.

Zur Wahrnehmung deiner Rechte wende dich an: info@boxshopde.de

Du hast außerdem das Recht, dich bei der zuständigen Datenschutzaufsichtsbehörde zu beschweren (in Baden-Württemberg: Landesbeauftragter für den Datenschutz und die Informationsfreiheit Baden-Württemberg).

13. Änderungen dieser Erklärung

Wir behalten uns vor, diese Datenschutzerklärung bei Bedarf zu aktualisieren. Die jeweils aktuelle Version ist stets unter asward-helper.store/datenschutz abrufbar.