Privacy Policy — V6Direct

1. Verantwortlicher

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist:

NextServ UG (haftungsbeschränkt)

Randstraße 1
22525 Hamburg
Deutschland

Vertreten durch den Geschäftsführer: Justin Franke
Amtsgericht Hamburg, HRB 200588 · EUID: DEK1101R.HRB200588

E-Mail: privacy@v6direct.org
Telefon: +49 151 51503174

V6::Direct ist eine Marke der NextServ UG (haftungsbeschränkt). Diese Erklärung gilt für die unter v6direct.org und den zugehörigen Subdomains erreichbaren Websites sowie für unsere IPv6-Tunnel-, Transit- und Netzdienste (zusammen die „Dienste“).

2. Datenschutzbeauftragter

Wir haben keinen Datenschutzbeauftragten bestellt, da die Voraussetzungen des Art. 37 DSGVO und des § 38 BDSG bei uns nicht vorliegen. Sämtliche datenschutzrechtlichen Anfragen richten Sie bitte an privacy@v6direct.org.

3. Verarbeitungstätigkeiten im Einzelnen

3.1 Registrierung und Kundenkonto

Daten: Name, E-Mail-Adresse, ggf. Firma und Anschrift, Zugangsdaten (Passwörter ausschließlich als Hash), technische Konfigurationsangaben (z. B. Tunnel-Endpunkte, ASN, zugewiesene Präfixe)
Zweck: Einrichtung und Verwaltung des Kundenkontos, Authentifizierung, Bereitstellung der Dienste
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bzw. vorvertragliche Maßnahmen)
Speicherdauer: bis zur Löschung des Kontos zuzüglich sechs Monaten zur Abwicklung offener Ansprüche; danach Löschung, soweit keine gesetzliche Aufbewahrungspflicht besteht

3.2 Erbringung der Netzdienste

Daten: Quell- und Ziel-IP-Adressen, zugewiesene Präfixe, Routing- und Session-Informationen (BGP-Sessions, Tunnel-Status), Verbindungszeitpunkte, Datenvolumen, Netzperformance-Metriken
Zweck: technische Durchführung der Signalübertragung, Kapazitäts- und Qualitätssicherung
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO in Verbindung mit § 9 TDDDG und §§ 9 ff. TDDDG (Fernmeldegeheimnis); für die Auswertung in aggregierter Form Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem funktionsfähigen, planbaren Netz)
Speicherdauer: Verkehrsdaten werden nur für die Dauer der Verbindung und darüber hinaus höchstens sieben Tage gespeichert (§ 165 Abs. 4 TKG); aggregierte, nicht personenbeziehbare Statistiken können darüber hinaus aufbewahrt werden

3.3 Abrechnung und Zahlungen

Daten: Rechnungsanschrift, Umsatzsteuer-ID, Leistungs- und Zahlungsdaten, Zahlungsdienstleister-Referenzen
Zweck: Entgeltermittlung, Rechnungsstellung, Buchführung
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die Aufbewahrung Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit §§ 147 AO, 257 HGB
Speicherdauer: zehn Jahre nach Ablauf des Kalenderjahres, in dem die Rechnung ausgestellt wurde (handels- und steuerrechtliche Aufbewahrungsfristen)

3.4 Netzbetrieb, Störungsbeseitigung und Missbrauchsabwehr

Daten: Verkehrs- und Verbindungsdaten, Abuse-Meldungen, Angriffs- und Anomalie-Signaturen (z. B. bei DDoS-Ereignissen), Sperrlisten
Zweck: Erkennung, Eingrenzung und Beseitigung von Störungen; Abwehr von Missbrauch, Angriffen und rechtswidriger Nutzung; Schutz der Netzintegrität
Rechtsgrundlage: § 165 Abs. 1 und 4 TKG sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Netz- und Informationssicherheit, vgl. Erwägungsgrund 49 DSGVO)
Speicherdauer: grundsätzlich sieben Tage; im konkreten Missbrauchs- oder Störungsfall so lange, wie es zur Aufklärung und Beseitigung erforderlich ist, längstens bis zum Abschluss des Vorgangs einschließlich etwaiger rechtlicher Auseinandersetzungen

3.5 Website und Server-Logfiles

Daten: IP-Adresse, Datum und Uhrzeit des Zugriffs, abgerufene Ressource, Referrer, User-Agent, übertragene Datenmenge, HTTP-Statuscode
Zweck: Auslieferung der Website, Stabilität und Sicherheit des Systems
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb unseres Onlineangebots)
Speicherdauer: sieben Tage, sofern nicht ein konkreter Sicherheitsvorfall eine längere Aufbewahrung erfordert

3.6 Cookies und ähnliche Technologien

Wir setzen ausschließlich technisch erforderliche Cookies ein, die für den Betrieb der Website und des Kundenportals unbedingt notwendig sind (z. B. Session- und Sicherheits-Cookies).

Rechtsgrundlage für die Speicherung auf Ihrem Endgerät: § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich zur Bereitstellung des ausdrücklich gewünschten Dienstes)
Rechtsgrundlage für die anschließende Verarbeitung: Art. 6 Abs. 1 lit. f DSGVO

Sollten wir künftig nicht erforderliche Cookies, Analyse- oder Reichweitenmessdienste einsetzen, geschieht dies ausschließlich auf Grundlage Ihrer vorherigen Einwilligung nach § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO, die Sie jederzeit mit Wirkung für die Zukunft widerrufen können.

3.7 Kommunikation und Support

Daten: Inhalt und Metadaten Ihrer Anfragen per E-Mail, Ticketsystem, Telefon oder Discord
Zweck: Bearbeitung Ihres Anliegens
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bei bestehendem oder angebahntem Vertragsverhältnis, sonst Art. 6 Abs. 1 lit. f DSGVO
Speicherdauer: bis zur abschließenden Bearbeitung, danach nach Maßgabe gesetzlicher Aufbewahrungspflichten

3.8 Erfüllung rechtlicher Verpflichtungen

Wir verarbeiten personenbezogene Daten, soweit dies zur Erfüllung gesetzlicher Verpflichtungen erforderlich ist, insbesondere gegenüber Steuer-, Strafverfolgungs- und Aufsichtsbehörden sowie im Rahmen von Auskunftsersuchen auf gesetzlicher Grundlage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO. Auskünfte an Behörden erteilen wir nur, soweit wir hierzu gesetzlich verpflichtet sind und die Anfrage eine tragfähige Rechtsgrundlage benennt.

4. Empfänger und Auftragsverarbeiter

Wir geben personenbezogene Daten nur weiter, soweit dies zur Leistungserbringung erforderlich ist oder eine gesetzliche Grundlage besteht. Kategorien von Empfängern:

Rechenzentrums- und Colocation-Betreiber sowie Betreiber der von uns genutzten Infrastruktur
Upstream-Carrier, Transit- und Peering-Partner sowie Internet-Austauschknoten (dabei werden ausschließlich IP-Adressen und Routing-Informationen im Rahmen der technischen Signalübertragung verarbeitet)
Regionale Internet-Registries und Registrare, soweit für die Verwaltung von IP-Ressourcen und Domains erforderlich
Zahlungsdienstleister und Kreditinstitute
Steuerberatung und externe Buchhaltung
IT-Dienstleister für Hosting, Monitoring, Backup und Support-Werkzeuge
Behörden und Gerichte im Rahmen gesetzlicher Verpflichtungen

Soweit Dienstleister in unserem Auftrag und nach unseren Weisungen tätig werden, haben wir mit ihnen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen.

Wir verkaufen Ihre personenbezogenen Daten nicht und geben sie nicht zu Werbezwecken an Dritte weiter.

Im Fall einer Umstrukturierung, Verschmelzung oder Veräußerung von Unternehmensteilen können personenbezogene Daten an den Erwerber übergehen; Rechtsgrundlage ist insoweit Art. 6 Abs. 1 lit. f DSGVO.

5. Übermittlung in Drittländer

Unsere Dienste werden grundsätzlich in der Europäischen Union erbracht. Soweit im Einzelfall Daten an Empfänger außerhalb des Europäischen Wirtschaftsraums übermittelt werden, stützen wir diese Übermittlung auf:

einen Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO – für Empfänger in den USA insbesondere den EU-U.S. Data Privacy Framework, sofern der Empfänger entsprechend zertifiziert ist, oder
die Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO, ergänzt um eine Prüfung der Rechtslage im Empfängerland und erforderlichenfalls zusätzliche technische Schutzmaßnahmen (insbesondere Verschlüsselung), oder
eine Ausnahme nach Art. 49 DSGVO, etwa wenn die Übermittlung zur Erfüllung eines Vertrags mit Ihnen erforderlich ist.

Eine Kopie der jeweils herangezogenen Garantien stellen wir Ihnen auf Anfrage zur Verfügung.

6. Datensicherheit

Wir treffen dem Stand der Technik entsprechende technische und organisatorische Maßnahmen nach Art. 32 DSGVO, insbesondere:

Transportverschlüsselung (TLS 1.2 oder höher) für Website und Kundenportal
segmentierte Netzarchitektur mit Filterung an den Netzgrenzen
rollenbasierte Zugriffskontrolle und Mehr-Faktor-Authentifizierung für administrative Zugänge
regelmäßige Aktualisierung und Überprüfung der eingesetzten Systeme

Trotz sorgfältiger Absicherung kann kein System vollständigen Schutz gewährleisten. Ein Restrisiko verbleibt bei jeder Datenübertragung über das Internet.

7. Ihre Rechte

Sie haben uns gegenüber folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

Auskunft (Art. 15 DSGVO)
Berichtigung (Art. 16 DSGVO)
Löschung (Art. 17 DSGVO)
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO)
Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Ausübung genügt eine Nachricht an privacy@v6direct.org. Wir antworten innerhalb der Fristen des Art. 12 Abs. 3 DSGVO.

Widerspruchsrecht nach Art. 21 DSGVO

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten Widerspruch einzulegen, die auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO erfolgt. Wir verarbeiten die betroffenen Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns allgemein zuständig ist:

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit
Ludwig-Erhard-Straße 22, 20459 Hamburg
datenschutz-hamburg.de

Soweit die Verarbeitung das Fernmeldegeheimnis und Verkehrsdaten im Rahmen unserer Telekommunikationsdienste betrifft, ist die Bundesbeauftragte bzw. der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) zuständig (bfdi.bund.de).

8. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt. Automatisierte Filter- und Mitigationsmaßnahmen im Netz (z. B. bei DDoS-Angriffen) beziehen sich auf Datenverkehr und Netzressourcen, nicht auf die Bewertung persönlicher Aspekte natürlicher Personen.

9. Erforderlichkeit der Bereitstellung

Die Angabe der zur Vertragsdurchführung erforderlichen Daten ist für den Abschluss und die Erfüllung des Vertrages notwendig. Ohne diese Daten können wir die Dienste nicht bereitstellen. Die Verarbeitung von Verkehrsdaten ist technisch zwingende Folge der Signalübertragung und nicht abwählbar.

10. Änderungen dieser Datenschutzerklärung

Wir passen diese Erklärung an, wenn sich unsere Dienste oder die Rechtslage ändern. Die jeweils aktuelle Fassung ist unter v6direct.org/privacy abrufbar. Bei wesentlichen Änderungen informieren wir angemeldete Kundinnen und Kunden zusätzlich per E-Mail.

This is a courtesy translation. In case of discrepancies, the German version prevails.

1. Controller

The controller within the meaning of Art. 4 (7) GDPR is:

NextServ UG (haftungsbeschränkt)

Randstrasse 1
22525 Hamburg
Germany

Represented by the managing director: Justin Franke
Local Court (Amtsgericht) of Hamburg, HRB 200588 · EUID: DEK1101R.HRB200588

E-mail: privacy@v6direct.org
Phone: +49 151 51503174

V6::Direct is a brand of NextServ UG (haftungsbeschränkt). This policy covers the websites available at v6direct.org and its subdomains as well as our IPv6 tunnel, transit and network services (together, the “Services”).

2. Data protection officer

We have not appointed a data protection officer because the conditions of Art. 37 GDPR and Sec. 38 BDSG do not apply to us. Please direct all data protection enquiries to privacy@v6direct.org.

3. Processing activities in detail

3.1 Registration and customer account

Data: name, e-mail address, company and address where applicable, credentials (passwords stored as hashes only), technical configuration data (e.g. tunnel endpoints, ASN, assigned prefixes)
Purpose: creation and administration of the customer account, authentication, provision of the Services
Legal basis: Art. 6 (1) (b) GDPR (performance of a contract or pre-contractual measures)
Retention: until the account is closed plus six months to settle outstanding claims; deleted thereafter unless statutory retention obligations apply

3.2 Provision of network services

Data: source and destination IP addresses, assigned prefixes, routing and session information (BGP sessions, tunnel status), connection timestamps, traffic volume, network performance metrics
Purpose: technical transmission of signals, capacity and quality management
Legal basis: Art. 6 (1) (b) GDPR in conjunction with Sec. 9 et seq. TDDDG (telecommunications secrecy); for aggregated evaluation, Art. 6 (1) (f) GDPR (legitimate interest in an operable, capacity-planned network)
Retention: traffic data are stored for the duration of the connection and for no more than seven days thereafter (Sec. 165 (4) TKG); aggregated, non-identifiable statistics may be kept beyond that

3.3 Billing and payments

Data: billing address, VAT ID, service and payment records, payment provider references
Purpose: determination of charges, invoicing, accounting
Legal basis: Art. 6 (1) (b) GDPR; for retention, Art. 6 (1) (c) GDPR in conjunction with Sec. 147 AO and Sec. 257 HGB
Retention: ten years from the end of the calendar year in which the invoice was issued

3.4 Network operations, fault clearance and abuse prevention

Data: traffic and connection data, abuse reports, attack and anomaly signatures (e.g. during DDoS events), block lists
Purpose: detection, containment and elimination of faults; prevention of abuse, attacks and unlawful use; protection of network integrity
Legal basis: Sec. 165 (1) and (4) TKG and Art. 6 (1) (f) GDPR (legitimate interest in network and information security, cf. Recital 49 GDPR)
Retention: seven days as a rule; in a specific abuse or fault case, as long as necessary to investigate and resolve it, at the latest until the matter including any legal proceedings is concluded

3.5 Website and server log files

Data: IP address, date and time of access, requested resource, referrer, user agent, volume transferred, HTTP status code
Purpose: delivery of the website, system stability and security
Legal basis: Art. 6 (1) (f) GDPR (legitimate interest in the secure operation of our online offering)
Retention: seven days, unless a specific security incident requires longer retention

3.6 Cookies and similar technologies

We use strictly necessary cookies only, i.e. those required to operate the website and the customer portal (e.g. session and security cookies).

Legal basis for storage on your device: Sec. 25 (2) no. 2 TDDDG (strictly necessary to provide the service you expressly requested)
Legal basis for subsequent processing: Art. 6 (1) (f) GDPR

Should we introduce non-essential cookies or analytics services in future, we will do so solely on the basis of your prior consent under Sec. 25 (1) TDDDG and Art. 6 (1) (a) GDPR, which you may withdraw at any time with effect for the future.

3.7 Communication and support

Data: content and metadata of your enquiries by e-mail, ticket system, telephone or Discord
Purpose: handling your request
Legal basis: Art. 6 (1) (b) GDPR where a contractual relationship exists or is being initiated, otherwise Art. 6 (1) (f) GDPR
Retention: until the matter is concluded, thereafter subject to statutory retention obligations

3.8 Compliance with legal obligations

We process personal data where necessary to comply with legal obligations, in particular towards tax, law enforcement and supervisory authorities and in response to lawful requests for information. The legal basis is Art. 6 (1) (c) GDPR. We disclose information to authorities only where legally obliged to do so and where the request states a sound legal basis.

4. Recipients and processors

We disclose personal data only where necessary to provide the Services or where a legal basis exists. Categories of recipients:

data centre and colocation operators and operators of the infrastructure we use
upstream carriers, transit and peering partners and internet exchange points (processing IP addresses and routing information only, as part of the technical transmission of signals)
regional internet registries and registrars, where necessary to administer IP resources and domains
payment service providers and credit institutions
tax advisors and external accounting
IT service providers for hosting, monitoring, backup and support tooling
authorities and courts, within the scope of legal obligations

Where service providers act on our behalf and under our instructions, we have concluded data processing agreements with them pursuant to Art. 28 GDPR.

We do not sell your personal data and do not disclose it to third parties for advertising purposes.

In the event of a restructuring, merger or sale of parts of the business, personal data may pass to the acquirer; the legal basis in that case is Art. 6 (1) (f) GDPR.

5. Transfers to third countries

Our Services are provided within the European Union as a matter of principle. Where data are transferred to recipients outside the European Economic Area in individual cases, we base such transfers on:

an adequacy decision of the European Commission under Art. 45 GDPR — for recipients in the USA in particular the EU-U.S. Data Privacy Framework, provided the recipient is certified accordingly, or
the European Commission’s Standard Contractual Clauses under Art. 46 (2) (c) GDPR, supplemented by an assessment of the legal situation in the recipient country and, where necessary, additional technical safeguards (in particular encryption), or
a derogation under Art. 49 GDPR, for example where the transfer is necessary to perform a contract with you.

We will provide a copy of the safeguards relied upon on request.

6. Data security

We implement technical and organisational measures in line with the state of the art pursuant to Art. 32 GDPR, in particular:

transport encryption (TLS 1.2 or higher) for the website and customer portal
a segmented network architecture with filtering at the network edge
role-based access control and multi-factor authentication for administrative access
regular patching and review of the systems in use

Despite careful protection, no system can offer complete security. A residual risk remains with any transmission of data over the internet.

7. Your rights

You have the following rights in respect of your personal data:

access (Art. 15 GDPR)
rectification (Art. 16 GDPR)
erasure (Art. 17 GDPR)
restriction of processing (Art. 18 GDPR)
data portability (Art. 20 GDPR)
withdrawal of consent with effect for the future (Art. 7 (3) GDPR)

A message to privacy@v6direct.org is sufficient. We respond within the periods set out in Art. 12 (3) GDPR.

Right to object under Art. 21 GDPR

You have the right to object at any time, on grounds relating to your particular situation, to processing of your personal data based on Art. 6 (1) (f) GDPR. We will then no longer process the data concerned unless we can demonstrate compelling legitimate grounds that override your interests, rights and freedoms, or the processing serves the establishment, exercise or defence of legal claims.

Right to lodge a complaint

You have the right to lodge a complaint with a data protection supervisory authority (Art. 77 GDPR). The authority generally competent for us is:

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit
Ludwig-Erhard-Strasse 22, 20459 Hamburg, Germany
datenschutz-hamburg.de

Insofar as processing concerns telecommunications secrecy and traffic data in the context of our telecommunications services, the German Federal Commissioner for Data Protection and Freedom of Information (BfDI) is competent (bfdi.bund.de).

8. No automated decision-making

We do not carry out automated decision-making including profiling within the meaning of Art. 22 GDPR. Automated filtering and mitigation measures in the network (e.g. during DDoS attacks) relate to traffic and network resources, not to the evaluation of personal aspects of natural persons.

9. Necessity of providing data

Providing the data required to perform the contract is necessary for its conclusion and performance. Without these data we cannot provide the Services. The processing of traffic data is a technically unavoidable consequence of signal transmission and cannot be opted out of.

10. Changes to this policy

We update this policy when our Services or the legal framework change. The current version is available at v6direct.org/privacy. We additionally notify registered customers by e-mail of material changes.

Datenschutzerklärung / Privacy Policy