Datenschutzerklärung
Veröffentlichungsfassung für EchoSeiten
Stand: 9. August 2026
1. Geltungsbereich
Diese Datenschutzerklärung gilt für die von der Echo-Msg. UG (haftungsbeschränkt), nachfolgend „Echo-Msg.“, unter der Bezeichnung EchoSeiten betriebenen öffentlich zugänglichen Webseiten sowie für geschützte Login-, Kundenbackend- und Administrationsbereiche. Sie erläutert, welche personenbezogenen Daten beim Besuch, bei der Nutzung der Plattform und im Rahmen der Geschäftsbeziehung verarbeitet werden.
Öffentliche Besucher können Inhalte ansehen. Sie können auf den öffentlichen Inhaltsseiten keine Benutzerkonten anlegen, keine Kommentare verfassen und keine Dateien hochladen. Ein allgemeines Kontaktformular ist nach der derzeitigen Ausgestaltung nicht vorgesehen.
2. Verantwortlicher
Echo-Msg. UG (haftungsbeschränkt)
Beim unteren Tor 2
72525 Münsingen
Deutschland
Vertreten durch den Geschäftsführer Rainer Kloker
Telefon: 07381/4020084
E-Mail: kontakt@echoseiten.de
Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist Echo-Msg., soweit Daten für eigene Zwecke verarbeitet werden, insbesondere Betrieb und Sicherheit der Plattform, Vertragsverwaltung, Abrechnung, Geschäftskommunikation, Missbrauchsabwehr, Rechtsverteidigung und Bearbeitung konkreter Rechts- oder Missbrauchsmeldungen.
3. Datenschutzbeauftragter
Ein Datenschutzbeauftragter ist derzeit nicht bestellt. Datenschutzanfragen können unmittelbar an die oben genannten Kontaktdaten gerichtet werden. Die gesetzlichen Voraussetzungen für eine Benennung werden bei Änderungen der Organisation oder Verarbeitung erneut geprüft.
4. Rollenverteilung bei Kundendaten und Kundeninhalten
Die Kunden von EchoSeiten bestimmen insbesondere, welche Benutzerkonten eingerichtet und welche Absender-E-Mail-Adressen zugelassen sind, welche Beiträge, Texte, Bilder oder Dokumente eingereicht werden und welche Inhalte wann veröffentlicht werden. Für diese Daten und Veröffentlichungsentscheidungen ist grundsätzlich der jeweilige Kunde datenschutzrechtlich verantwortlich.
Echo-Msg. verarbeitet Benutzer-, Beitrags-, Bild-, Dokument- und Veröffentlichungsdaten insoweit grundsätzlich als Auftragsverarbeiter nach Art. 28 DSGVO und nach den Weisungen des jeweiligen Kunden. Betroffene Personen sollten sich bei Fragen zu einem bestimmten Kundenbeitrag zunächst an die im Beitrag oder auf der betreffenden Kundenseite genannte Organisation wenden. Echo-Msg. unterstützt den Kunden bei der Bearbeitung datenschutzrechtlicher Anfragen, soweit dies erforderlich ist.
Die öffentlich-rechtliche oder private Rechtsform eines Kunden ändert diese technische Rollenverteilung nicht. Eigene gesetzliche Aufgaben und Rechtsgrundlagen des jeweiligen Kunden bleiben dessen Verantwortung.
5. Hosting und technische Infrastruktur
Die Plattform, Domains, E-Mail-Dienste und technische Infrastruktur werden nach derzeitiger Konfiguration bei der netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, betrieben. Die produktiv eingesetzten Server befinden sich nach der derzeit dokumentierten Konfiguration in Nürnberg, Deutschland. netcup verarbeitet Daten, soweit erforderlich, als technischer Dienstleister und Auftragsverarbeiter.
Eine von Echo-Msg. beabsichtigte Übermittlung von Plattform-Auftragsdaten an Empfänger außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums findet nach der derzeitigen Konfiguration nicht statt. Soweit technische Dienstleister im Einzelfall weitere Stellen einsetzen, gelten die mit ihnen vereinbarten Datenschutz- und Übermittlungsregelungen. Die tatsächlich eingesetzten Unterauftragsverarbeiter werden vertraglich dokumentiert.
6. Aufruf der Webseiten und Serverprotokolle
Beim Aufruf der Webseiten übermittelt der Browser technisch bedingt Daten an die Server. In Webserver-Protokollen können insbesondere IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse einschließlich Pfad und gegebenenfalls URL-Parameter, HTTP-Methode, Statuscode, übertragene Datenmenge, Referrer-Adresse sowie Angaben zu Browser, Betriebssystem und Endgerät gespeichert werden.
Die Verarbeitung dient Auslieferung, Stabilität und Sicherheit der Webseiten, Erkennung automatisierter Angriffe, Fehleranalyse und Missbrauchsabwehr. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse besteht im sicheren und funktionsfähigen Betrieb der Plattform und im Schutz der Systeme und Daten.
Nach der derzeitigen Betriebskonfiguration werden Zugriffs- und Fehlerprotokolle auf dem vorgeschalteten NGINX-System täglich rotiert und ungefähr 14 Tage zuzüglich des laufenden Tages gespeichert. Domain-Protokolle auf dem Anwendungsserver können durch wöchentliche Rotation ungefähr 35 Tage vorhanden sein. Systemd-Journale sind auf eine maximale Aufbewahrung von 14 Tagen auszurichten. Weitere System-, Sicherheits- und Mailprotokolle können entsprechend der eingerichteten Rotation bis zu ungefähr 35 Tage gespeichert werden. Die tatsächlich eingerichteten Fristen werden regelmäßig technisch überprüft.
Eine längere Speicherung einzelner Protokolldaten erfolgt nur, wenn ein konkreter Sicherheitsvorfall, Missbrauchsfall, eine Störungsanalyse, gesetzliche Pflicht oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dies erfordert. Nach Wegfall des Zwecks werden die Daten gelöscht oder anonymisiert.
7. Cookies und Browser-Speicher
Die statische Startseite und öffentlich zugänglichen Inhaltsseiten setzen bei normalem Besuch nach derzeitiger Ausgestaltung keine Cookies. Dort werden weder Local Storage noch Session Storage für Tracking-, Analyse- oder Werbezwecke verwendet.
Beim Aufruf der Loginseite, des Passwort-Setup-Bereichs oder eines geschützten Backends wird ein technisch erforderliches Sitzungs-Cookie gesetzt: Name PHPSESSID; Zweck Sitzungsverwaltung, Authentifizierung und Schutz des Login- und Backendablaufs; Laufzeit grundsätzlich bis zum Ende der Browsersitzung; Eigenschaften Secure, HttpOnly, SameSite=Lax.
Die Speicherung ist für den ausdrücklich aufgerufenen Login- und Backenddienst unbedingt erforderlich und erfolgt daher ohne Einwilligung auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG. Soweit dabei personenbezogene Daten verarbeitet werden, beruht die Verarbeitung auf Art. 6 Abs. 1 lit. b DSGVO, soweit die betroffene Person selbst Vertrags- oder Nutzungspartei ist, und im Übrigen auf Art. 6 Abs. 1 lit. f DSGVO zum Schutz von Anmeldung, Sitzungen und Plattform beziehungsweise zur sicheren Bereitstellung eines vom jeweiligen Kunden veranlassten Zugangs.
Beim erfolgreichen Login wird die Sitzungskennung erneuert. Beim Logout wird die angemeldete Sitzung beendet; eine zuvor verwendete Sitzungskennung kann danach nicht mehr für den Zugriff auf geschützte Inhalte verwendet werden.
8. Benutzerkonten, Login und Passwort-Setup
Benutzerkonten für das Kundenbackend werden nur auf Veranlassung oder mit Zustimmung des jeweiligen Kunden eingerichtet. Verarbeitet werden je nach Ausgestaltung Name, E-Mail-Adresse, Organisation, Rolle oder Berechtigungen, technische Anmeldeinformationen, Passwort-Hashes, Zeitpunkte sicherheitsrelevanter Vorgänge und Kontostatus.
Passwörter werden nicht im Klartext gespeichert. Für die erstmalige Passwortvergabe kann ein zeitlich begrenzter und nur einmal nutzbarer Setup-Link verwendet werden. Nach erfolgreicher Verwendung oder Ablauf ist der Link ungültig.
Soweit Echo-Msg. diese Daten für den Kunden verarbeitet, erfolgt dies als Auftragsverarbeiter. Soweit Echo-Msg. Anmelde- und Sicherheitsdaten zur Abwehr von Angriffen, Missbrauchserkennung oder eigenen Rechtsverteidigung verarbeitet, ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO.
9. Einreichung und Bearbeitung von Beiträgen per E-Mail
Kunden können zugelassene Absender-E-Mail-Adressen festlegen. Von diesen Adressen eingehende Nachrichten können automatisiert abgerufen und in einen Beitrags- oder Bearbeitungsvorgang überführt werden. Dabei werden insbesondere Absender- und Empfängeradresse, Zeitstempel, Betreff, Nachrichtentext, technische E-Mail-Kopfzeilen und beigefügte Dateien verarbeitet.
Die Verarbeitung erfolgt zur Umsetzung der vom Kunden gewünschten Beitrags-, Änderungs- oder Löschvorgänge. Echo-Msg. verarbeitet diese Daten grundsätzlich im Auftrag des jeweiligen Kunden. E-Mail-Server und Sicherheitsdienste können technische Protokolle und Metadaten für die unter Ziffer 6 genannten Sicherheits- und Betriebszwecke speichern.
10. Kundenbeiträge, Bilder, Dokumente und Veröffentlichung
Die Kunden entscheiden eigenverantwortlich über Inhalt, Rechtsgrundlage, Freigabe und Veröffentlichungszeitraum ihrer Beiträge. Personenbezogene Daten Dritter dürfen nur veröffentlicht werden, wenn eine geeignete Rechtsgrundlage besteht und die erforderlichen Informations-, Schutz- und Betroffenenrechte beachtet werden. Dies kann je nach Kunde und Sachverhalt insbesondere Namen, Bilder, Funktionsangaben, Kontaktdaten oder personenbezogene Angaben in Dokumenten betreffen.
Nach Freigabe durch den Kunden kann die Veröffentlichung automatisiert erfolgen. Öffentlich freigegebene Inhalte sind für Internetnutzer abrufbar. Echo-Msg. führt keine allgemeine inhaltliche oder redaktionelle Vorabkontrolle durch, sondern prüft insbesondere technische Verarbeitbarkeit, Dateiformat, Dateigröße, Funktionsfähigkeit und Sicherheitsrisiken.
11. Löschung, Quarantäne, Legal Hold und Audit-Nachweise
Wird ein Beitrag gelöscht, wird er sofort aus der öffentlichen Anzeige entfernt. Zugehörige Dateien werden in eine nicht öffentliche Quarantäne verschoben. Die reguläre Quarantänefrist beträgt 30 Tage. Anschließend werden Beitrag und Dateien endgültig gelöscht, sofern kein Legal Hold oder eine andere Rechtsgrundlage besteht.
Ein Legal Hold kann gesetzt werden, wenn Daten zur Klärung eines konkreten Rechts-, Sicherheits- oder Missbrauchsfalls, zur Erfüllung gesetzlicher Pflichten oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt werden. Solange der Legal Hold besteht, wird die endgültige Löschung ausgesetzt. Nach Beendigung gilt eine zusätzliche Sicherheitsfrist von mindestens sieben Tagen.
Nach endgültiger Löschung kann ein reduzierter Audit-Nachweis verbleiben. Administrative und systemseitige Vorgänge können mit Zeitpunkt, Akteurstyp, Organisations- oder Objektbezug, Aktionsart, Quelle und kurzer Meldung protokolliert werden. Vollständige alte oder neue Beitragsinhalte sollen in reduzierten Audit-Nachweisen nicht gespeichert werden; IP-Adressen werden dort nach derzeitiger Ausgestaltung nicht protokolliert.
Audit-Nachweise werden regelmäßig bis zu drei Jahre nach Abschluss des jeweiligen Vorgangs aufbewahrt und anschließend gelöscht oder anonymisiert, soweit keine gesetzlichen Pflichten, laufenden Verfahren, konkreten Rechtsansprüche oder Legal Holds eine längere Speicherung erfordern.
12. Meldungen zu mutmaßlich rechtswidrigen Inhalten
Meldungen zu konkreten Inhalten können elektronisch an kontakt@echoseiten.de gerichtet werden. Verarbeitet werden insbesondere Kontaktdaten der meldenden Person, beanstandete URL oder Fundstelle und Inhalte, Begründung, Nachweise, Kommunikation, Stellungnahmen, Entscheidung und technische Maßnahmen.
Die Verarbeitung dient der Erfüllung gesetzlicher Pflichten, sorgfältigen Prüfung von Meldungen, Kommunikation, Gefahrenabwehr, Missbrauchsschutz und Rechtsverteidigung. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. c und lit. f DSGVO in Verbindung mit dem Digital Services Act und sonstigem anwendbaren Recht.
Meldedaten werden regelmäßig drei Jahre nach Abschluss des Vorgangs gelöscht. Eine längere Aufbewahrung erfolgt nur bei laufenden Verfahren, gesetzlichen Pflichten, konkreten Rechtsansprüchen oder Legal Hold. Daten können an den betroffenen Kunden, Behörden, Gerichte, Polizei oder Rechtsberater übermittelt werden, soweit dies erforderlich und rechtlich zulässig ist.
13. Kontaktaufnahme und Geschäftskommunikation
Bei Kontaktaufnahme per E-Mail, Telefon oder auf anderem Weg verarbeitet Echo-Msg. die mitgeteilten Kontaktdaten, den Inhalt der Anfrage, Zeitpunkte und gegebenenfalls weitere zur Bearbeitung erforderliche Angaben.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die betroffene Person selbst Vertragspartei ist oder die Anfrage auf einen Vertrag mit ihr zielt. Handelt eine Person als Ansprechpartner einer Organisation oder betrifft die Anfrage keinen eigenen Vertrag der betroffenen Person, erfolgt die Verarbeitung regelmäßig auf Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt in der sachgerechten Bearbeitung und Dokumentation der geschäftlichen Kommunikation. Art. 6 Abs. 1 lit. c DSGVO bleibt für gesetzliche Pflichten unberührt.
Daten werden gelöscht, wenn die Anfrage abschließend erledigt ist und keine gesetzlichen Aufbewahrungspflichten oder berechtigten Dokumentations- und Rechtsverteidigungsinteressen mehr bestehen.
14. Vertragsverwaltung, Abrechnung und Kundenbetreuung
Im Rahmen der Anbahnung und Durchführung von Kundenverträgen verarbeitet Echo-Msg. insbesondere Organisations- und Firmendaten, Namen und geschäftliche Kontaktdaten von Ansprechpartnern, Vertrags- und Leistungsdaten, Rechnungsdaten, Zahlungsinformationen, Kommunikation und Supportvorgänge.
Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO, soweit die betroffene Person selbst Vertragspartei ist, Art. 6 Abs. 1 lit. c DSGVO für gesetzliche Pflichten sowie Art. 6 Abs. 1 lit. f DSGVO für die Kommunikation und Vertragsabwicklung über Ansprechpartner juristischer Personen oder sonstiger Organisationen, interne Organisation, Kundenbetreuung, Forderungsmanagement und Rechtsverteidigung.
Steuer- und handelsrechtlich relevante Unterlagen werden entsprechend den gesetzlichen Vorgaben aufbewahrt. Je nach Dokumentart gelten insbesondere sechs Jahre für Handels- und Geschäftsbriefe, acht Jahre für Buchungsbelege und Rechnungen sowie zehn Jahre für bestimmte Bücher, Aufzeichnungen und Abschlüsse, soweit keine abweichende gesetzliche Frist greift.
15. Empfänger und Weitergabe von Daten
Personenbezogene Daten erhalten nur Stellen, die sie für die genannten Zwecke benötigen. Empfänger können insbesondere netcup als Hosting-, Server-, Domain-, DNS- und E-Mail-Dienstleister, der jeweils verantwortliche EchoSeiten-Kunde, Steuerberater, Banken, Rechtsberater, Gerichte, Behörden, Polizei oder sonstige öffentliche Stellen sein, soweit eine gesetzliche Verpflichtung besteht oder die Übermittlung zur Vertragsabwicklung, Gefahrenabwehr oder Rechtsverfolgung erforderlich ist.
Eine Weitergabe zu Werbe-, Adresshandels- oder Profilbildungszwecken findet nicht statt.
16. Keine Analyse-, Tracking- oder Werbedienste
EchoSeiten setzt nach derzeitiger Ausgestaltung keine Analyse- oder Trackingdienste, keine extern geladenen Schriftarten, keine sozialen Netzwerk-Plugins, keine Werbenetzwerke, keine Captcha-Dienste, kein Content Delivery Network und keine externen Anwendungs-APIs auf den öffentlichen EchoSeiten ein. Es findet kein nutzerbezogenes Marketingtracking statt. Wird dies geändert, wird die Datenschutzerklärung vor oder mit Inbetriebnahme angepasst und erforderlichenfalls ein Einwilligungsmechanismus eingerichtet.
17. Automatisierte Entscheidungen und Profiling
Es findet keine ausschließlich automatisierte Entscheidungsfindung mit rechtlicher oder vergleichbar erheblicher Wirkung im Sinne von Art. 22 DSGVO statt. Ein Profiling zu Werbe-, Bonitäts- oder Verhaltenszwecken findet nicht statt.
18. Bereitstellung personenbezogener Daten
Beim normalen Aufruf der Webseiten werden die für die technische Verbindung erforderlichen Daten automatisch übermittelt. Ohne diese Daten kann die Webseite nicht ausgeliefert werden. Für die Nutzung eines geschützten Zugangs sind die vom Kunden vorgesehenen Benutzer- und Anmeldedaten erforderlich. Für Kontaktanfragen oder Vertragsdurchführung müssen die zur Bearbeitung oder Leistungserbringung benötigten Angaben bereitgestellt werden. Eine darüber hinausgehende Bereitstellung ist grundsätzlich freiwillig.
19. Rechte betroffener Personen
Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen insbesondere Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Erteilte Einwilligungen können mit Wirkung für die Zukunft widerrufen werden. Bei Verarbeitungen im Auftrag eines Kunden kann die Anfrage an den jeweils verantwortlichen Kunden weitergeleitet werden.
20. Widerspruchsrecht
Soweit personenbezogene Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeitet werden, kann aus Gründen, die sich aus der besonderen Situation der betroffenen Person ergeben, jederzeit Widerspruch eingelegt werden. Echo-Msg. verarbeitet die Daten dann nicht mehr, sofern keine zwingenden schutzwürdigen Gründe oder Rechtsansprüche entgegenstehen.
21. Beschwerderecht
Betroffene Personen können sich bei einer Datenschutzaufsichtsbehörde beschweren. Für den Sitz von Echo-Msg. ist insbesondere der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg zuständig. Aktuelle Kontaktdaten können über die offizielle Internetpräsenz der Aufsichtsbehörde abgerufen werden.
22. Datensicherheit
Echo-Msg. trifft angemessene technische und organisatorische Maßnahmen, um personenbezogene Daten gegen Verlust, Manipulation, unbefugten Zugriff und sonstige Risiken zu schützen. Dazu gehören insbesondere verschlüsselte Übertragung, rollenbezogene Zugriffsrechte, abgesicherte administrative Zugänge, technische Dateiprüfungen, Protokollierung sicherheitsrelevanter Vorgänge sowie getrennte Entwicklungs- und Produktivumgebungen.
23. Änderungen dieser Datenschutzerklärung
Diese Datenschutzerklärung wird angepasst, wenn sich Rechtslage, Funktionen, eingesetzte Dienste oder technische Verarbeitungsabläufe ändern. Maßgeblich ist die jeweils veröffentlichte Fassung.