Rechtliches

Datenschutzerklärung Domain-Portal und chnet.domains

Stand: 24. Oktober 2026 (Version 2026-10-24)

1. Verantwortlicher

CHnet Solutions Plus UG (haftungsbeschränkt), vertreten durch den Geschäftsführer Christian Holbein Bahnhofstr. 2, 37339 Breitenworbis, Deutschland E-Mail: hello@chnet.solutions · Telefon: 030 2201269 80 Amtsgericht Jena, HRB 518247

Datenschutzbeauftragter: keiner benannt; eine Pflicht nach § 38 BDSG besteht nicht, weil weniger als 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Für Datenschutzanfragen: privacy@chnet.domains.

2. Geltungsbereich

Diese Erklärung gilt für:

Die übrigen Inhalte von chnet.solutions (Profil, Kontaktformular, Chatbot, Google Analytics) beschreibt die eigene Website-Datenschutzerklärung. Suchfeld und Landingpage verlinken diese Erklärung.

3. Verarbeitungen im Einzelnen

3.1 Aufruf der Landingpage chnet.domains

• Hosting: statische Seite in Amazon S3 und Amazon CloudFront. CloudFront liefert über weltweite Edge-Standorte aus. Dabei verarbeitet AWS die IP-Adresse und die Anfragedaten technisch notwendig. Wir speichern keine Zugriffsprotokolle: Für diese Distribution ist kein CloudFront-Logging konfiguriert.
• Schriftarten: Die Schriften (Mulish, Rogan) liegen auf unserem eigenen Server; es gibt keine Anfrage an Google Fonts oder andere Schriftdienste.
• Speicher im Browser: localStorage chnet-theme (Hell/Dunkel) und chnet-domain-cart (Domainnamen + Preise, keine personenbezogenen Daten). Siehe Abschnitt 7.
• Keine Analyse: kein Google Analytics, kein Tracking auf der Landingpage. Optional ein Search-Console-Bestätigungs-Tag ohne Datenübermittlung.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Bereitstellung der Website).

3.2 Domainsuche und Verfügbarkeitsprüfung

• Daten: der eingegebene Domainname bzw. Suchbegriff, ein Cloudflare-Turnstile-Token.
• Verfügbarkeit: Unsere Server fragen die zuständigen RDAP-Dienste ab, z. B. DENIC für .de sowie Verisign und Identity Digital für andere Endungen, über die IANA-Liste. Außerdem fragen sie öffentliche DNS-Resolver ab: 1.1.1.1 (Cloudflare) und 8.8.8.8 (Google). Übermittelt wird nur der Domainname, nicht Ihre IP-Adresse; die Abfrage läuft auf unserem Server.
• Zwischenspeicher: Ergebnis je Domainname ohne Angaben zur anfragenden Person: vergebene Namen 24 Stunden, freie 5 Minuten. DynamoDB löscht abgelaufene Einträge mit bis zu 48 Stunden Verzögerung.
• Missbrauchsschutz: Cloudflare Turnstile (Abschnitt 3.13 / 4) und Ratenbegrenzung. Für die Begrenzung bilden wir aus der IP-Adresse (IPv4 vollständig, IPv6 nur das /64-Präfix) einen Hash mit täglich wechselndem Schlüssel. Die IP-Adresse selbst speichern wir dafür nicht. Die Zähler verfallen nach 2 Minuten bzw. 2 Tagen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anfrage vor Vertragsschluss), für Turnstile und Ratenbegrenzung lit. f (Schutz vor Missbrauch).

3.3 KI-Domainvorschläge

• Daten: Modus (ähnliche Namen | Kurzbeschreibung | eigenes Profil), Ihre Eingabe (Freitext höchstens 300 Zeichen), Sprache. Der Modus „eigenes Profil“ setzt Ihre ausdrückliche Bestätigung voraus.
• Vorverarbeitung: Bevor die Eingabe unseren Server verlässt, ersetzen wir E-Mail-Adressen, Links und Telefonnummern durch Platzhalter. Zusätzlich anonymisiert ein Guardrail von Amazon Bedrock personenbezogene Daten in der Eingabe: E-Mail, Telefon, Name, Anschrift, URL, Benutzername, Passwort, IP-Adresse, Karten- und Kontonummern.
• Empfänger: Amazon Bedrock (AWS EMEA SARL) mit Modellen von Anthropic (Claude). Die Verarbeitung läuft über ein EU-Inferenzprofil, beschränkt auf AWS-Regionen in der EU: Frankfurt, Stockholm, Mailand, Spanien, Irland, Paris. AWS verwendet Eingaben nach den Bedrock- Bedingungen nicht zum Training. Ein kontoweites Protokoll der Modellaufrufe („Model invocation logging“) ist nicht eingeschaltet; damit gilt „Ihre Eingabe speichern wir nicht“. Die KI-Vorschläge sind derzeit nicht freigeschaltet; dieser Abschnitt gilt, sobald sie angeboten werden.
• Zwischenspeicher: nur die erzeugten Vorschläge, unter einem HMAC-Schlüssel, ohne Ihre Eingabe, 24 Stunden. Protokolle enthalten Modus und Anzahl, nie die Eingabe. Vorgeschlagene Namen prüfen wir wie in 3.2 auf Verfügbarkeit.
• Kennzeichnung: Die Vorschläge sind als KI-erzeugt gekennzeichnet.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (auf Ihre Anfrage), Ratenbegrenzung lit. f. Hinweis an Nutzer: keine Daten Dritter und keine besonderen Kategorien eingeben.

3.4 Registrierung (Neukunden)

• E-Mail-Bestätigung: Sie geben Ihre E-Mail-Adresse an; wir senden einen Bestätigungslink. Dieser ist 1 Tag gültig. Die Adresse liegt kurz in einer Warteschlange für den Versand, verschlüsselt und höchstens 1 Tag.
• Vertragsdaten (Inhaberdaten): Kundenart (Verbraucher/Unternehmer, Pflichtangabe nach AGB § 1 Abs. 3), bei Unternehmen Firma, Rechtsform und optional USt-IdNr.; Anrede, Vor- und Nachname, Straße (kein Postfach), PLZ, Ort, Land (derzeit nur DE), Telefon sowie die bestätigte E-Mail-Adresse. Kein Geburtsdatum.
• Speicherdauer der Registrierung:
  • nicht bestätigt: 1 Tag;
  • bestätigt, Bezahlung oder Prüfung: 15 Tage;
  • abgebrochen oder fehlgeschlagen: 30 Tage;
  • verlängert bis 30 Tage nach Ende des Reservierungsfensters.
  • Nach Abschluss werden die Vertragsdaten und die E-Mail-Adresse aus dem Registrierungsdatensatz entfernt; die Daten liegen dann im Kundenkonto.
  • Sobald eine Zahlung oder ein Zahlungsmandat vorliegt, verfällt der Datensatz nicht mehr automatisch.
  • Eine tägliche Bereinigung löscht abgelaufene Registrierungen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung und -schluss).

3.5 Kundenkonto und Anmeldung

• Anmeldedienst: Amazon Cognito in Irland (eu-west-1). Gespeichert werden E-Mail-Adresse, optional Name, das Passwort (nur als Hash bei AWS) und das TOTP-Geheimnis für die verpflichtende Zwei-Faktor-Anmeldung per Authenticator-App. SMS nutzen wir nicht.
• Konten: Wir legen Konten nur selbst an, keine Selbstregistrierung. Das Einmalpasswort der Einladung ist 7 Tage gültig.
• Anmeldetoken: Access- und ID-Token gelten 15 Minuten, das Refresh-Token 1 Tag. Die Token liegen im localStorage Ihres Browsers und werden beim Abmelden gelöscht.
• Risikoerkennung von Cognito (Threat Protection) ist aus.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Zugang zum Vertrag), Zwei-Faktor-Anmeldung auch lit. f / Art. 32 DSGVO.
• Löschung: Nach Vertragsende löscht der Administrator das Kundenkonto über „Kunde löschen“: den Anmeldezugang (Cognito), Domains, DNS-Einträge, Zusatzleistungen, Anfragen und die hinterlegten Zahlungsarten bei Stripe und PayPal; die Stammdaten (Name, Firma, Anschrift, Telefon, E-Mail, Inhaber-Handle, KAS-Login) werden entfernt. Rechnungen, Gutschriften, Bestellungen, Kündigungsnachweise und Zahlungsbelege bleiben für die Aufbewahrungsfristen, mit der Kundennummer.

3.6 Domainregistrierung und -verwaltung

• Registrar-Partner: ALL-INKL.COM – Neue Medien Münnich, Friedersdorf, über deren Bestellsystem (soap.domain-bestellsystem.de) und die Verwaltungsschnittstelle KAS (kasapi.kasserver.com).
• Inhaberdaten an den Registrar: Für jede Domain wird ein Inhaber-Kontakt (Handle) mit Name/Firma, Anschrift, Telefon und E-Mail angelegt; heute legt ihn der Administrator von Hand im Bestellsystem an. Änderungen von Anschrift, Telefon und E-Mail übermitteln wir automatisch. Die Domain wird mit diesem Inhaber registriert.
• Vergabestellen: Registrar und Vergabestelle, z. B. DENIC eG für .de, sind für die Registrierung eigenständig verantwortlich. Sie können Inhaberdaten nach ihren Regeln in Whois/RDAP veröffentlichen; DENIC veröffentlicht keine Inhaberdaten natürlicher Personen. Bei Änderungen kann die Vergabestelle eine Bestätigung verlangen.
• KAS-Unterkonto: Für Hosting-Kunden legen wir bei ALL-INKL ein Unterkonto an. Als Kommentar erhält es eine interne Kundenkennung, keine Kontaktdaten. Kunden ohne eigenes Unterkonto teilen sich ein technisches DNS-Konto bei ALL-INKL; es enthält nur die Domain und die interne Kundenkennung, keine Kontaktdaten.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; Übermittlung an Vergabestellen auch lit. c (Registrierungsregeln).

3.7 Domain-Einstellungen (DNS, Weiterleitung, Nameserver)

• Ihre DNS-Einträge und Weiterleitungsziele übermitteln wir an ALL-INKL (KAS bzw. Bestellsystem).
• Nachvollziehbarkeit: Zu jeder Änderung speichern wir Zeitpunkt, Benutzerkennung und IP-Adresse. Wir behalten die letzten 10 Stände einer Zone.
• Weiterleitungsziele prüfen: Unser Server baut eine TLS-Verbindung zum angegebenen Ziel auf.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; IP-Protokoll lit. f (Nachweis und Missbrauchsabwehr).

3.8 Bestellungen im Kundenbereich

Bestandskunden bestellen ohne neue Personendaten: Gespeichert werden der Warenkorb, die Zustimmungen und die Bestellung selbst. Die Inhaberdaten kommen aus dem Konto. Domainreservierungen verfallen 30 Tage nach Ende der Reservierung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.9 Abrechnung und Buchhaltung

• lexoffice (Lexware, Haufe-Lexware GmbH & Co. KG, Freiburg): Wir übermitteln Firma bzw. Name, Ansprechpartner, E-Mail und Rechnungsanschrift. Telefon, USt-IdNr. und Rechtsform übermitteln wir nicht. Dazu kommen die Rechnungsdaten: Positionen mit Zeitraum und Domainnamen, Beträge, USt. Den Zahlungsstatus lesen wir zurück; Rechnungs-PDFs rufen wir bei Bedarf direkt bei lexoffice ab.
• Abrechnungslauf am 1. jeden Monats als Sammelrechnung (AGB § 6).
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Abrechnung), lit. c (§ 147 AO, § 257 HGB).

3.10 Zahlungen

Die Zahlungsarten regelt AGB § 6a Abs. 3 (PayPal), Abs. 4 (SEPA über Stripe) und Abs. 5 (Karte über Stripe).

PayPal (PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg) ist eigenständig verantwortlich:

• An PayPal senden wir: Betrag, eine interne Bestell- bzw. Rechnungsreferenz und die Rücksprungadressen. Name und E-Mail senden wir nicht.
• Wir speichern: Zahlungs- und Rückerstattungskennungen, Status und für wiederkehrende Abbuchungen (AGB § 6a) die Kennung des hinterlegten PayPal-Zugangs (Vault). Nicht gespeichert werden Name, E-Mail oder Kontodaten des PayPal-Kontos.
• Benachrichtigungen von PayPal halten wir 30 Tage ohne den Rohinhalt vor.
• Unterlagen zu Zahlungsstreitigkeiten (Dispute): 10 Jahre nach Abschluss.

SEPA-Lastschrift und Karte über Stripe (Stripe Payments Europe, Ltd., Dublin):

• Eingabe bei Stripe: IBAN bzw. Kartendaten geben Sie auf der Seite von Stripe ein (Stripe Checkout); wir sehen sie nicht. Die Kartenprüfung (3-D Secure) läuft ebenfalls bei Stripe.
• An Stripe senden wir: eine interne Kundenkennung, den Zweck, Beträge und die Abrechnungsreferenz. Name und E-Mail senden wir nicht.
• Wir speichern:
  • SEPA: Stripe-Kennungen, Mandatsreferenz, die letzten 4 Stellen der IBAN, Status. Keine IBAN, kein Name.
  • Karte: Marke, letzte 4 Ziffern, Ablaufdatum, Kartenart, Status. Keine Kartennummer, kein Name.
• Ereignisse von Stripe: Status von Zahlungen, Mandaten und Widersprüchen erhalten wir über Amazon EventBridge. Wir lesen jedes Objekt bei Stripe nach. Doppel-Erkennungsmarken halten wir 35 Tage.
• SEPA-Vorabankündigung: Stripe kündigt die Abbuchung per E-Mail an.
• Rolle von Stripe: Für die Zahlungsabwicklung ist Stripe nach seinen Bedingungen eigenständig verantwortlich (wie PayPal); für einzelne Dienste handelt Stripe als Auftragsverarbeiter (Stripe DPA). Auf dem Kontoauszug erscheint die Abbuchung mit der Kurzbezeichnung „CHNET DOMAINS“.

Gemeinsam: Den Zeitpunkt und den Wortlaut Ihrer Zustimmung zu wiederkehrenden Abbuchungen speichern wir als Version mit Text-Prüfsumme (Abschnitt 3.14). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; Aufbewahrung lit. c.

Zahlungsart beenden (AGB § 6a Abs. 7): SEPA-Mandat, Karte und PayPal beenden Sie im Kundenbereich unter „Zahlungsart“. Bei PayPal löschen wir den hinterlegten Zugang (Vault) bei PayPal und vermerken das Mandat als widerrufen, mit Zeitpunkt und Auslöser. Für jeden Widerruf speichern wir einen Protokolleintrag mit Zeitpunkt und IP-Adresse. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, IP-Protokoll lit. f (Nachweis).

3.11 Kündigung

Kündigungswege nach AGB § 7 Abs. 1.

• Im Kundenbereich: Jede Kündigung belegen wir zuerst als Kündigungserklärung mit sekundengenauem Zeitpunkt, Art, Grund, Domains, akzeptierter AGB-Version und der IP-Adresse der Anmeldung. Aufbewahrung: 3 Jahre nach Ende des Jahres des Vertragsendes.
• Kündigungsbutton ohne Anmeldung (§ 312k BGB): Gespeichert werden Name, E-Mail-Adresse, optional Kundennummer, Domains, Art und Grund (höchstens 500 Zeichen) und der Eingangszeitpunkt, ohne IP-Adresse. Die Eingangsbestätigung geht an die angegebene Adresse; Anträge werden 13 Monate nach Eingang gelöscht. Ordnet der Administrator den Antrag einem Vertrag zu, entsteht daraus eine Kündigungserklärung wie oben (ohne IP-Adresse).
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO (§ 312k BGB, Nachweis).

3.12 E-Mails

• Versand über Amazon SES in Irland. Wir versenden nur vertragsbezogene Mails: Bestätigung der Registrierung, Einladung und Codes der Anmeldung, Bestellbestätigung, Zahlungslinks und Mandatsbestätigungen, Verlängerungs-Erinnerung, Sammelrechnung, Zahlungserinnerung und Mahnung, Hinweise zu Kündigung, Domain-Einstellungen und Inhaberdaten, „Karte läuft ab“. Keine Werbung, kein Newsletter. Kontodaten stehen nicht in Mails; die Karte nur mit Marke und letzten 4 Ziffern.
• Zustellprobleme: Bei dauerhafter Unzustellbarkeit oder einer Spam-Beschwerde sperren wir die Adresse für 1 Jahr für Bestätigungsmails. Dafür speichern wir einen Hash der Adresse, nicht die Adresse.
• Support-Mails an hello@chnet.solutions laufen über Microsoft Exchange Online (Microsoft Ireland Operations Ltd.).
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, Sperrliste lit. f.

3.13 Sicherheit, Protokolle, Missbrauchsabwehr

• Firewall (AWS WAF) vor dem Kundenbereich: Regeln gegen Angriffe und eine Ratenbegrenzung je IP-Adresse. Es gibt keine WAF-Protokolle; AWS hält Stichproben der Anfragen höchstens 3 Stunden vor.
• Cloudflare Turnstile (Cloudflare, Inc., USA) schützt Suche, Vorschläge, Warenkorb und Registrierung vor Bots. Das Skript lädt erst bei der ersten Interaktion und verarbeitet Browsermerkmale und die IP-Adresse bei Cloudflare. An Cloudflare senden wir zur Prüfung nur das Token, nicht Ihre IP-Adresse. Im Kundenbereich gibt es kein Turnstile.
• Serverprotokolle (CloudWatch):
  • öffentliche Schnittstellen und Vorschläge: 14 Tage, ohne IP-Adresse;
  • übrige Portalfunktionen: 3 Monate, mit interner Benutzerkennung.
  • Keine Zugriffsprotokolle von CloudFront oder API Gateway.
  • Laufzeit-Traces: 30 Tage (AWS-Standard).
• Änderungsprotokoll (Audit): Administrative Aktionen und sicherheitsrelevante Kundenaktionen protokollieren wir unveränderbar. Dazu gehören DNS-, Weiterleitungs-, Nameserver- und Moduswechsel sowie Widerrufe von SEPA oder Karte. Zu jedem Eintrag speichern wir die IP-Adresse. Jede Zeile wird 3 Jahre nach dem Eintrag vollständig gelöscht.
• Betriebsmeldungen: Fehlermeldungen und Admin-Hinweise gehen per E-Mail an den Betreiber, über Microsoft Exchange Online. Sie können Kundenkennung, Domain und Name/E-Mail enthalten.
• Beanstandungen Dritter an abuse@chnet.domains (AGB § 9 Abs. 3): Wir verarbeiten die Angaben der meldenden Person und leiten substantiierte Beanstandungen an den Kunden weiter. Die Meldungen löschen wir 12 Monate nach Abschluss des Vorgangs.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sicherer Betrieb, Missbrauchsabwehr), Art. 32 DSGVO.

3.14 Zustimmungen und Nachweise

• Gespeichert werden Version und Zeitpunkt Ihrer Zustimmungen: AGB, diese Datenschutzerklärung, bei Verbrauchern die Widerrufsbelehrung und der Beginn vor Fristablauf, die Mandate für PayPal, SEPA und Karte (je mit Text-Prüfsumme) und die Bedingungen für Zusatzleistungen (AGB § 8a).
• Ohne IP-Adresse im Zustimmungsdatensatz.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. c und f DSGVO (Nachweis).

4. Empfänger und Auftragsverarbeiter

5. Übermittlung in Drittländer

• AWS: Verarbeitung in der EU (Irland; KI-Vorschläge nur in EU-Regionen). CloudFront liefert über weltweite Edge-Standorte aus; Zertifikate und Firewall-Regeln von CloudFront werden technisch in der AWS-Region us-east-1 verwaltet. Zugriffe aus Drittländern sind nicht ausgeschlossen: EU-US Data Privacy Framework (Art. 45 DSGVO) und Standardvertragsklauseln (Art. 46 Abs. 2 lit. c).
• Cloudflare (USA): Data Privacy Framework + Standardvertragsklauseln.
• Stripe, PayPal, Microsoft: jeweils EU-Gesellschaft; Übermittlung an verbundene Unternehmen in den USA nach deren Bedingungen auf Grundlage des EU-US Data Privacy Framework bzw. von Standardvertragsklauseln. Stripe, PayPal und Microsoft sind unter dem EU-US Data Privacy Framework zertifiziert.

6. Speicherdauer

7. Speicher im Endgerät (§ 25 TDDDG)

Keine Analyse- oder Werbe-Cookies. Der Kundenbereich setzt selbst keine Cookies.

8. Ihre Rechte

• Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17, soweit keine Aufbewahrungspflicht), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen nach lit. f (Art. 21).
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3). Ein hinterlegtes Zahlungsmandat (SEPA, Karte oder PayPal) beenden Sie im Kundenbereich unter „Zahlungsart“ oder per E-Mail (Abschnitt 3.10).
• Beschwerde bei einer Aufsichtsbehörde (Art. 77), z. B. beim Thüringer Landesbeauftragten für den Datenschutz und die Informationsfreiheit (TLfDI), Erfurt.
• Datenexport: Im Kundenbereich laden Sie unter „Ihre Daten“ Ihre gespeicherten Daten als JSON-Datei herunter (Art. 15 und 20 DSGVO; einmal pro Stunde). Enthalten sind Konto- und Vertragsdaten, Domains, DNS-Einträge, Rechnungen, Anträge und Zahlungsart, ohne interne Kennungen. Das Änderungsprotokoll erhalten Sie auf Anfrage.
• Anfragen an privacy@chnet.domains. Löschung nach Vertragsende über „Kunde löschen“.

9. Pflicht zur Bereitstellung, keine automatisierte Entscheidung

Inhaberdaten und E-Mail-Adresse sind für den Vertrag und die Registrierung erforderlich; ohne sie können wir keine Domain registrieren. Eine automatisierte Entscheidung mit rechtlicher Wirkung (Art. 22 DSGVO) findet nicht statt. Turnstile und die Ratenbegrenzung blockieren nur automatisierte Zugriffe; wer betroffen ist, erreicht uns per E-Mail.

10. Änderungen

Version und Datum dieser Erklärung entsprechen der AGB-Version.