Datenschutzerklärung

1. Verantwortlicher

Verantwortlich im Sinne der DSGVO ist:
FS/CS GmbH
Mühlstr. 13–15
63667 Nidda
Telefon +49 6043 57590-50
E-Mail xdsb@xdsb.eu

2. Datenschutz-Ansprechpartner

Für die FS/CS GmbH besteht keine gesetzliche Pflicht zur Benennung eines Datenschutzbeauftragten (§ 38 Abs. 1 BDSG, unterhalb der Schwelle). Ansprechpartner für Fragen zum Datenschutz im eigenen Unternehmen ist der Geschäftsführer Falk Schmidt, LL.M., erreichbar unter xdsb@xdsb.eu. Für PGP- verschlüsselte Nachrichten finden Sie den Fingerprint im Kontakt.

Hinweis: Soweit die FS/CS GmbH für ihre Mandanten als externe Datenschutzbeauftragte tätig ist, ist davon die Verarbeitung durch die GmbH selbst zu unterscheiden. Diese Erklärung betrifft nur die Verarbeitung auf xdsb.eu.

3. Diese Website im Überblick

xdsb.eu ist der operative Zugangspunkt für die DSB-Mandate der FS/CS GmbH. Außer den Server-Logs des Reverse-Proxys und einer bewusst gesetzten Theme-Präferenz im Browser verarbeiten wir personenbezogene Daten nur, wenn Sie uns aktiv welche schicken — über eines der Formulare, per E-Mail oder im angemeldeten Mandantenbereich. Jeder dieser Pfade ist unten einzeln beschrieben.

4. Aufruf der Website (Server-Logs)

Beim Aufruf einer Seite schreibt der Reverse-Proxy folgende Angaben in sein Access-Log:

IP-Adresse des Aufrufenden
Datum und Uhrzeit
aufgerufene URL, HTTP-Statuscode, übertragene Datenmenge
Referer (sofern vom Browser gesendet)
User-Agent (Browserkennung)

Zweck: Betrieb, Fehleranalyse und Abwehr missbräuchlicher Zugriffe.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am stabilen und sicheren Betrieb).
Speicherdauer: 14 Tage, danach automatische Rotation.
Erforderlichkeit: Technisch zwingend; ohne Access-Log lässt sich die Seite nicht sinnvoll betreiben.

Ausnahme: vertrauliche Meldung. Für den Pfad /vertrauliche-meldung/ und den zugehörigen API-Endpunkt ist das Access-Log ausdrücklich abgeschaltet — weder der äußere Reverse-Proxy noch der innere nginx schreiben dort eine Zeile. Rate-Limiting läuft rein im Arbeitsspeicher des Anwendungsprozesses und ist nach einem Neustart weg. Siehe Abschnitt 7.

5. Cookies, localStorage und Tracking

Wir setzen keine Analyse-Cookies, kein Tracking, keine Werbepixel, keine externen Schriften, keine eingebetteten Inhalte Dritter.

Technisch notwendig sind nur zwei Einträge im localStorage Ihres Browsers:

Theme-Präferenz (hell/dunkel) — gesetzt, wenn Sie den Umschalter benutzt haben. Bleibt lokal auf Ihrem Gerät.
Zuletzt verwendete Login-E-Mail(xdsb_default_login) — wird nur gesetzt, wenn Sie im Login-Formular den Haken „Auf diesem Gerät merken" aktivieren. Bleibt lokal auf Ihrem Gerät.

Nach Anmeldung im Mandantenbereich setzt der Server das Session-Cookie xdsb_session (HttpOnly, Secure, SameSite=Lax). Siehe Abschnitt 11.

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich für den vom Nutzer gewünschten Dienst). Deshalb ohne Einwilligungsbanner.

6. Anfrage-Formular (Betroffenenrechte)

Über /anfrage/ leiten wir Anfragen von Betroffenen (Auskunft, Berichtigung, Löschung, Verarbeitungsübersicht, Widerspruch) an die verantwortliche Stelle weiter, für die wir als externer DSB bestellt sind.

Verarbeitete Daten: Vor- und Nachname, E-Mail-Adresse, verantwortliche Stelle und Art des geltend gemachten Rechts (Pflichtfelder); Telefonnummer, Anschrift, Geburtsdatum und ein bekanntes Aktenzeichen (optional, helfen der Stelle bei der Zuordnung). Zusätzlich einen Bestätigungstoken für den Magic-Link, einen SHA-256-gekürzten Hash der aufrufenden IP (16 Stellen) und die ersten 200 Zeichen der Browserkennung — beides nur zur Rate-Limit-Erkennung und Dedup-Prüfung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 38 Abs. 4 und Art. 39 DSGVO (gesetzliche Aufgabe als bestellter Datenschutzbeauftragter der jeweiligen verantwortlichen Stelle, deren Betroffene sich an uns wenden dürfen). Für Anfragen zu Stellen, für die keine Bestellung besteht: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer funktionierenden Anlaufstelle).
Empfänger: die von Ihnen genannte verantwortliche Stelle — mit der Weiterleitung wird Ihre Identität ihr gegenüber offengelegt. Das Pflicht-Häkchen im Formular dient der Kenntnisnahme dieser Offenlegung.
Speicherdauer: bis zum Abschluss der Bearbeitung durch die verantwortliche Stelle, danach drei Jahre zum Nachweis der ordnungsgemäßen Bearbeitung (Art. 5 Abs. 2 DSGVO; Dauer entsprechend der regelmäßigen Verjährungsfrist §§ 195, 199 BGB).
Erforderlichkeit: ohne Vor- und Nachname, E-Mail und Angabe der Stelle können wir die Anfrage nicht weiterleiten. Alle übrigen Felder sind optional.

Identitätsnachweis: ein Ausweisdokument fordern wir im Formular nicht an. Nur wenn die verantwortliche Stelle begründete Zweifel an Ihrer Identität hat (Art. 12 Abs. 6 DSGVO), fragt sie nach einem Nachweis — und dann auf gesondertem Weg, mit Hinweisen zu § 20 Abs. 2 PAuswG (Schwärzung nicht benötigter Daten, Kopie als Kopie erkennbar machen). Details auf /betroffenenrechte/.

7. Vertrauliche Meldung an den DSB

/vertrauliche-meldung/ ist ein Meldekanal für Hinweise auf Datenschutzverstöße bei Mandanten der FS/CS GmbH — wahlweise anonym oder mit Rückkanal.

Verarbeitete Daten:

Sachverhalt (Pflichtfeld), Meldekategorie, optional die betroffene verantwortliche Stelle, optional Datei-Anhänge (max. 5 Dateien, je 20 MB).
Im Modus Mit Kontaktmöglichkeit: mindestens eine der Angaben Pseudonym, E-Mail, Telefon oder Postanschrift.

Was wir ausdrücklich NICHT verarbeiten: keine IP-Adresse, keinen IP-Hash, keine Browserkennung. Der Reverse-Proxy und der innere nginx schreiben für diesen Pfad kein Access-Log. Rate-Limiting läuft rein im Arbeitsspeicher und ist nach einem Prozess-Neustart weg. Es entsteht an keiner Stelle in unserem System eine persistente Verbindung zwischen Melder-IP und Meldung.

Zweck: vertraulicher Zugang zum DSB nach Art. 38 Abs. 4 DSGVO (Betroffene und Beschäftigte können sich jederzeit und unmittelbar an den DSB wenden).
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer funktionierenden, vertraulichen DSB-Anlaufstelle). Zur Verschwiegenheit über Ihre Identität sind wir verpflichtet nach § 38 Abs. 2 i. V. m. § 6 Abs. 5 BDSG, § 37 Abs. 2 i. V. m. § 43 Abs. 9 KDG, bzw. § 42 Abs. 6 DSG-EKD, abhängig vom Rechtsregime der verantwortlichen Stelle.
Empfänger: die Mitglieder des DSB-Teams der FS/CS GmbH; die Meldung geht per SMTP an das separate Postfach dsb-vertraulich@xdsb.eu.
Speicherdauer: die Anwendung speichert nichts auf Datenträger. Die Nachricht lebt im RAM, bis der Mail-Versand bestätigt ist, und existiert danach nur noch im Postfach. Dateianhänge gehen direkt als Mail-Anhang raus und werden nicht lokal abgelegt.
Erforderlichkeit: ohne Sachverhalt und Meldekategorie kein Vorgang. Alle übrigen Felder bestimmen Sie selbst.

Grenzen der Vertraulichkeit: bei einer meldepflichtigen Datenpanne (Art. 33 DSGVO) stößt der DSB den Verantwortlichen zur Prüfung an — Ihre Identität bleibt geschützt. Strafrechtliche Aussagepflichten und aufsichtsbehördliche Anordnungen können die Verschwiegenheit überlagern.

7a. Daten Dritter in der Meldung (Art. 14 DSGVO)

In einer Meldung werden regelmäßig Angaben zu dritten Personen verarbeitet, von denen wir die Daten nicht direkt erhoben haben — etwa Namen von Verantwortlichen, Beschäftigten oder Betroffenen eines gemeldeten Vorgangs. Für diese Verarbeitung gilt Folgendes:

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Aufklärung eines möglichen Datenschutzverstoßes).
Zur Informationspflicht nach Art. 14 DSGVO:wir sehen in der Regel von einer Benachrichtigung der betroffenen Dritten ab, soweit die Information den Zweck des vertraulichen Meldekanals vereiteln würde oder einen unverhältnismäßigen Aufwand bedeutet (Art. 14 Abs. 5 lit. b DSGVO); bei Hinweisen auf strafrechtlich relevante Sachverhalte gilt § 29 Abs. 1 Satz 2 BDSG. Die Abwägung wird im jeweiligen Vorgang dokumentiert.

8. Beratungsanfrage

/beratung/ ist das Formular für allgemeine datenschutzrechtliche Fragen, meist aus dem Haus eines Mandanten.

Verarbeitete Daten: Kontext (Mandanten-, Interessent- oder Allgemein), Thema, Anliegen, Kontaktangaben (Name, E-Mail, optional Rolle und Telefon), gewünschter Rückkanal (E-Mail, Telefon, Videokonferenz auf unserer eigenen Jitsi-Instanz meet.fsx.one). Zusätzlich IP-Hash und gekürzte Browserkennung zum Zweck des Rate-Limitings und der Dedup- Prüfung.
Zweck: Beantwortung Ihrer Anfrage.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des DSB-Vertrags, soweit Sie bei einem unserer Mandanten tätig sind); Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung, soweit kein Vertragsbezug besteht).
Empfänger: keine — die Antwort gibt der DSB.
Speicherdauer: bis zum Abschluss des Vorgangs, danach drei Jahre entsprechend der regelmäßigen Verjährung (§§ 195, 199 BGB), damit Beratung und Rückfragen nachweisbar bleiben (Art. 5 Abs. 2 DSGVO).
Erforderlichkeit: ohne Anliegen, Name und E-Mail keine Beratung möglich.

9. Angebot-Formular

/angebot/ dient der Anfrage eines DSB-Mandats oder einer punktuellen Beratung.

Verarbeitete Daten: Firma, Kontaktperson, E-Mail, optional Telefon, grober Zuschnitt des Vorhabens. Plus IP-Hash und gekürzte Browserkennung wie oben.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anbahnung eines Vertragsverhältnisses).
Speicherdauer: Kommt kein Vertrag zustande, löschen wir sechs Monate nach dem letzten Kontakt. Kommt einer zustande, geht der Vorgang in die Mandantenakte über und unterliegt dann den dort geltenden Fristen (handels- und steuerrechtliche Aufbewahrungspflichten § 257 HGB, § 147 AO, soweit einschlägig).
Erforderlichkeit: ohne Firma, Name und E-Mail kein Angebot.

10. Terminbuchung

Die Buchung läuft über /termin/ und /termin/buchen/. Technisch wird die Buchungs-API an unser Schwestersystem auf falkschmidt.pro weitergeleitet; dort liegt die Terminverwaltung samt Kalenderanbindung.

Verarbeitete Daten: Name, E-Mail, optional Telefon, kurze Beschreibung des Anliegens, gewünschtes Format (Videokonferenz, Telefon, vor Ort). Bei einer Videokonferenz bekommen Sie mit der Bestätigung einen Link auf unsere eigene Jitsi-Instanz meet.fsx.one.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Terminkoordination zur Vertragsanbahnung oder -durchführung); Art. 6 Abs. 1 lit. f DSGVO (sonst).
Empfänger: die Terminverwaltung läuft im Backend von falkschmidt.pro, einer weiteren Website der FS/CS GmbH; es handelt sich nicht um einen externen Verarbeiter. Das Backend ist in der dortigen Datenschutzinformation beschrieben.
Speicherdauer: siehe falkschmidt.pro. xdsb.eu selbst speichert keinen Termin-Datensatz.
Erforderlichkeit: ohne Name, E-Mail und gewähltes Zeitfenster keine Buchung.

11. Mandantenbereich (Login)

Nach Anmeldung auf /login/ bekommen Sie Zugang zu Vorgängen, Wissensbasis, Textvorlagen und Dokumenten-Downloads Ihres Mandanten.

Verarbeitete Daten:

Login-Credentials nach Ihrer Wahl: E-Mail + Passwort, Magic-Link, TOTP (Authenticator-App) oder Passkey nach dem WebAuthn-Standard.
Sitzungs-Token in Form des HttpOnly-Cookies xdsb_session (JWT, signiert mit serverseitigem Schlüssel, Gültigkeit konfigurierbar). Zusätzlich im Zwei-Faktor-Flow kurzzeitig ein xdsb_magic_mfa-Cookie, bis der zweite Faktor bestätigt ist.
Vorgangsbezogene Daten: Betreff, Beschreibung, Zuordnung zu Mandant und Bearbeiter, Anhänge (lokal oder in der Nextcloud-Instanz des Mandanten), Verlauf mit Zeitstempeln und Aktoren.
Audit-Log mit Login, Logout, Passwort- und MFA-Änderungen, Rollen-Änderungen und Download-Protokollierung. Zu jeder Zeile schreiben wir einen SHA-256-Hash der IP (16 Stellen) und die ersten 200 Zeichen der Browserkennung — keine volle IP, keine volle UA.

Rechtsgrundlage:Art. 6 Abs. 1 lit. b DSGVO (Durchführung des DSB-Mandats) für die Vorgangsinhalte; Art. 6 Abs. 1 lit. f DSGVO (Zugriffsschutz und Nachweisbarkeit der Verarbeitung, Art. 5 Abs. 2 DSGVO) für Session und Audit-Log.
Empfänger: Mitglieder des DSB-Teams der FS/CS GmbH, bei bestimmten Vorgängen die beteiligten Personen im Haus des jeweiligen Mandanten. Dokumenten-Downloads sind pro Nutzer mit einem Wasserzeichen versehen.
Speicherdauer: Vorgangsdaten für die Dauer des Mandats; nach Mandatsende Übergabe oder Löschung entsprechend der Vereinbarung. Das Audit-Log läuft tagesgenau aus (Standard 180 Tage, projektspezifisch konfigurierbar).
Erforderlichkeit: ohne Login kein Zugang.

12. E-Mail-Kontakt

Wenn Sie uns per E-Mail schreiben (xdsb@xdsb.eu oder eine andere unserer Adressen), verarbeiten wir Absender, Betreff, Inhalt und etwaige Anhänge zur Bearbeitung Ihres Anliegens.

Rechtsgrundlage:Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche oder vertragliche Kommunikation) bzw. lit. f (berechtigtes Interesse an der Beantwortung).
Speicherdauer: bis zum Abschluss des Anliegens; danach entsprechend den gesetzlichen Aufbewahrungspflichten (§ 257 HGB, § 147 AO), soweit sie greifen.
Erforderlichkeit: ohne Ihre Angaben keine Antwort möglich.

13. Empfänger und Auftragsverarbeiter

Die Website und ihr Backend laufen bei der Hetzner Online GmbH, Gunzenhausen (Rechenzentrum Deutschland). E-Mail- Versand und -Empfang laufen über unsere eigene Mailcow- Instanz auf demselben Hosting-Umfeld. Für Videokonferenzen betreiben wir die Jitsi-Instanz meet.fsx.one selbst. Mit Hetzner besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; die übrigen Dienste betreiben wir in eigener Verantwortung — keine Auftragsverarbeitung durch Dritte.

Übermittlungen in Drittländer finden nicht statt.

14. Ihre Rechte

Sie haben uns gegenüber die Rechte aus Art. 15 bis Art. 22 DSGVO:

Auskunft über Ihre bei uns gespeicherten Daten (Art. 15)
Berichtigung unrichtiger Daten (Art. 16)
Löschung (Art. 17)
Einschränkung der Verarbeitung (Art. 18)
Datenübertragbarkeit, soweit anwendbar (Art. 20)

Eine Anfrage genügt formlos per E-Mail an xdsb@xdsb.eu. Wir antworten innerhalb der Monatsfrist nach Art. 12 Abs. 3 DSGVO.

15. Widerspruchsrecht nach Art. 21 DSGVO

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen eine Verarbeitung Ihrer personenbezogenen Daten einzulegen, die auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) erfolgt.

Das betrifft insbesondere die Server-Logs (Abschnitt 4), die vertrauliche Meldung (Abschnitt 7), die Beratungsanfrage soweit lit. f einschlägig (Abschnitt 8), das Audit-Log im Mandantenbereich (Abschnitt 11) und den E-Mail-Kontakt (Abschnitt 12).

Legen Sie Widerspruch ein, verarbeiten wir Ihre Daten nicht weiter — es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihren Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung oder Verteidigung von Rechtsansprüchen. Formlos an xdsb@xdsb.eu.

16. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichts- behörde zu beschweren (Art. 77 DSGVO). Für die FS/CS GmbH zuständig ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Postfach 3163, 65021 Wiesbaden.

Stand: 2026-10-15