Datenschutzerklärung

A. Allgemeine Informationen

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten auf dieser Website und im Dienst PiPort ist:

ELEVAYTE Systems UG (haftungsbeschränkt)
vertreten durch den Geschäftsführer Jonas Trettin
Rüdigerstraße 16
40472 Düsseldorf

Telefon: +49 211 54553000
E-Mail: [email protected]
Internet: www.elevayte.de

2. Ansprechpartner für Datenschutz

Bei Fragen zum Datenschutz oder zur Ausübung deiner Rechte kannst du dich an Jonas Trettin wenden. Du erreichst ihn unter den oben genannten Kontaktdaten. Einen Datenschutzbeauftragten haben wir nicht bestellt, weil die gesetzlichen Voraussetzungen hierfür derzeit nicht vorliegen.

3. Deine Rechte

Wenn die jeweiligen gesetzlichen Voraussetzungen erfüllt sind, hast du insbesondere das Recht,

• Auskunft über deine von uns verarbeiteten personenbezogenen Daten zu erhalten (Art. 15 DSGVO),
• unrichtige Daten berichtigen und unvollständige Daten vervollständigen zu lassen (Art. 16 DSGVO),
• die Löschung deiner Daten zu verlangen (Art. 17 DSGVO),
• die Verarbeitung deiner Daten einschränken zu lassen (Art. 18 DSGVO),
• deine bereitgestellten Daten in einem übertragbaren Format zu erhalten (Art. 20 DSGVO) und
• einer Verarbeitung auf Grundlage berechtigter Interessen aus Gründen, die sich aus deiner besonderen Situation ergeben, zu widersprechen (Art. 21 DSGVO).

Du kannst dich außerdem bei einer Datenschutzaufsichtsbehörde beschweren. Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf, www.ldi.nrw.de.

4. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie sie für den jeweiligen Zweck benötigt werden. Anschließend löschen oder anonymisieren wir sie, sofern keine gesetzlichen Aufbewahrungspflichten oder berechtigten Interessen – etwa die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen – entgegenstehen. Konkrete Fristen findest du bei den jeweiligen Verarbeitungen.

5. Empfänger und Übermittlungen in Drittländer

Wir setzen Dienstleister ein, soweit dies für den Betrieb der Website und des Dienstes erforderlich ist. Mit Auftragsverarbeitern schließen wir die erforderlichen Verträge nach Art. 28 DSGVO. Sofern Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet werden, stützen wir die Übermittlung auf einen Angemessenheitsbeschluss, insbesondere das EU-US Data Privacy Framework, oder auf die Standardvertragsklauseln der Europäischen Kommission. Einzelheiten nennen wir bei dem jeweiligen Dienst.

B. Diese Website

1. Aufruf der Website und Hosting

Beim Aufruf dieser Website überträgt dein Browser technisch notwendige Verbindungsdaten, insbesondere IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse und Angaben zu Browser und Betriebssystem. Die Verarbeitung ist erforderlich, um die Website auszuliefern sowie ihre Stabilität und Sicherheit zu gewährleisten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und zuverlässigen Betrieb unseres Internetauftritts.

Unser Webserver protokolliert Zeitpunkt, aufgerufene Adresse, Statuscode, übertragene Datenmenge und Browserkennung, aber keine IP-Adresse. Die Website läuft in einem von uns betriebenen Kubernetes-Cluster in deutschen Rechenzentren der Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen. Unabhängig davon verarbeitet Cloudflare als vorgeschalteter Sicherheits- und Auslieferungsdienst Verbindungsdaten wie nachfolgend beschrieben.

2. Cloudflare

Wir nutzen Dienste der Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA, für DNS, TLS-Verschlüsselung, die schnelle Auslieferung zwischengespeicherter Inhalte sowie zum Schutz vor Angriffen und missbräuchlichen Zugriffen. Cloudflare verarbeitet dabei insbesondere IP-Adresse, angefragte Adresse, Datum und Uhrzeit sowie Angaben zu Browser, Gerät und Verbindung. Anfragen können über Cloudflare-Server außerhalb des Europäischen Wirtschaftsraums geleitet werden.

Über Cloudflare erreichst du diese Website (piport.io, piport.dev), das Dashboard (dash.), die API (api.) und unsere Plausible-Instanz (stats.elevayte.systems). Dazu gehört auch, was der PiPort-Agent und die Kommandozeile an die API senden: Registrierung, Messwerte, Anmeldung und Verbindungsanfragen. Die Fernverbindungen selbst (der Tunnel des Agents zum Relay und deine Zugriffe per SSH, Portweiterleitung und Terminal im Browser) laufen direkt zu unserem Relay: Für dessen Adressen stellt Cloudflare nur die DNS-Auflösung bereit, und dieser Verkehr läuft nicht über Cloudflare.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht in einer sicheren, belastbaren und schnellen Bereitstellung von Website und Dienst. Für Übermittlungen in die USA stützt sich Cloudflare auf seine Zertifizierung nach dem EU-US Data Privacy Framework und, soweit erforderlich, auf Standardvertragsklauseln. Weitere Informationen findest du in der Datenschutzerklärung von Cloudflare.

3. Cookies und ähnliche Technologien

Diese Website setzt keine Cookies und speichert nichts im Local Storage deines Browsers. Auch unsere Reichweitenmessung mit Plausible setzt keine Cookies. Ihr kleines Skript ist das einzige JavaScript auf dieser Website; Schriften, Bilder und Stylesheets kommen von unserem eigenen Server, Inhalte Dritter werden nicht geladen. Cloudflare kann im Rahmen seiner Sicherheitsfunktionen technisch notwendige Cookies oder vergleichbare Informationen auf deinem Endgerät verwenden, ausschließlich soweit es für die Bereitstellung und Absicherung der von dir aufgerufenen Website erforderlich ist. Rechtsgrundlage für den Zugriff auf dein Endgerät ist § 25 Abs. 2 Nr. 2 TDDDG; die anschließende Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.

4. Reichweitenmessung mit Plausible Analytics

Wir nutzen Plausible Analytics, um zu verstehen, wie diese Website und das Dashboard genutzt werden. Wir betreiben die Software selbst, in unserem eigenen Cluster in Deutschland. Erfasst werden die aufgerufene Seite, verweisende Website, Browser, Betriebssystem, Gerätetyp, ungefährer Standort auf Stadt- oder Regionsebene, Nutzungsdauer, Seitenaufrufe und Klicks auf „Anmelden“. Im Dashboard ersetzen wir IDs in Adressen, etwa von Geräten, Gruppen und Einladungen, durch Platzhalter, bevor ein Seitenaufruf erfasst wird.

Plausible verwendet keine Cookies und erstellt keine dauerhaften oder websiteübergreifenden Nutzerprofile. Die IP-Adresse und der User-Agent werden zur Bildung einer täglich wechselnden Kennung verwendet und nicht als Rohdaten gespeichert. Die Auswertung läuft in unserem Cluster in Deutschland; die Messdaten erreichen ihn wie diese Website über Cloudflare (Abschnitt B.2). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der datensparsamen Messung und Verbesserung von Website und Dienst. Analysedaten löschen wir, sobald sie für diesen Zweck nicht mehr erforderlich sind.

C. Der Dienst PiPort

1. Konto und Anmeldung im Dashboard

Für ein PiPort-Konto verarbeiten wir deinen Namen, deine E-Mail-Adresse, dein Passwort (nur als Hash), deine Sprache sowie deine Organisationen und Rollen. Für deine Anmeldungen speichern wir pro Browser eine Sitzung mit IP-Adresse (erste und letzte), Browserkennung (User-Agent) und daraus abgeleitetem Browser und Betriebssystem, Zeitpunkt der ersten Anmeldung und der letzten Aktivität sowie einem Hash des Sitzungstokens. Du siehst deine Sitzungen im Dashboard und kannst sie dort beenden; das sichert dein Konto ab.

Ist der Upload aktiviert, kannst du optional ein Profilbild hochladen. Es wird in einem Objektspeicher abgelegt und ist über seine Adresse öffentlich abrufbar, damit es im Dashboard angezeigt werden kann. Derzeit ist der Upload nicht aktiviert; bevor wir ihn einschalten, nennen wir hier Anbieter und Standort des Speichers.

Das Dashboard setzt die technisch notwendigen httpOnly-Cookies token (15 Minuten) und refreshToken (30 Tage), die dich angemeldet halten, sowie deviceId (ein Jahr), das deinen Browser als bekannte Sitzung wiedererkennt. Dazu kommt sidebar_state (sieben Tage), das sich merkt, ob die Seitenleiste ein- oder ausgeklappt ist. Im Local Storage deines Browsers speichert es die eingeblendeten Tabellenspalten und pro Gerät den Benutzernamen, den du zuletzt im Terminal im Browser verwendet hast. Darstellung (hell oder dunkel) und Sprache speichern wir in deinem Konto. Tracking- oder Werbe-Cookies setzt das Dashboard nicht; die Reichweitenmessung mit Plausible (Abschnitt B.4) kommt ohne Cookies aus. Rechtsgrundlage für den Zugriff auf dein Endgerät ist § 25 Abs. 2 Nr. 2 TDDDG, für die Verarbeitung Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags).

2. Einladungen in Organisationen

Lädst du jemanden in deine Organisation ein, verarbeiten wir die E-Mail-Adresse und, falls angegeben, den Namen der eingeladenen Person, die vorgesehene Rolle und wer eingeladen hat, und schicken ihr eine E-Mail mit einem Einladungslink. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO gegenüber dir und Art. 6 Abs. 1 lit. f DSGVO gegenüber der eingeladenen Person; unser berechtigtes Interesse liegt darin, die gemeinsame Nutzung einer Organisation zu ermöglichen.

3. Geräte und Telemetrie

Der PiPort-Agent auf deinem Gerät meldet sich regelmäßig bei unserer API. Dabei übermittelt er Hostname, Betriebssystem, Modell, Agent-Version, Uptime, CPU-Auslastung und -Temperatur, Arbeitsspeicher- und Speicherplatzbelegung sowie die Relay-Region, mit der er verbunden ist. Wir zeigen diese Werte im Dashboard an und speichern den Verlauf für 30 Tage.

Um geklonte SD-Karten zu erkennen, bindet der Agent seine Identität an die Hardware: Er sendet einen Hash (SHA-256) aus einer Hardware-Kennung, etwa der Seriennummer des Boards, und einem zufälligen Wert, der nur auf dem Gerät gespeichert ist. Die Kennung selbst wird nicht übertragen, und wir können sie aus dem Hash nicht zurückgewinnen. Gerätezugangsdaten und Enrollment-Tokens speichern wir nur als Hash.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

4. Fernzugriff über das Relay

Verbindungen per piport ssh und piport forward laufen über unser Relay (Region eu-de-1). Das Relay leitet die Daten weiter, ohne ihren Inhalt zu speichern oder auszuwerten; SSH-Verbindungen bleiben zwischen deinem ssh-Client und dem Gerät Ende-zu-Ende verschlüsselt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Im Terminal im Browser läuft die SSH-Verbindung in deinem Browser-Tab. Passwort oder Schlüssel, die du dort eingibst, verwendet nur dieser Tab; die Verbindung zum Gerät ist Ende-zu-Ende verschlüsselt, und PiPort erhält und speichert dein Passwort oder deinen Schlüssel nicht. Den SSH-Host-Schlüssel des Geräts speichern wir beim Gerät, zusammen damit, wer ihm wann vertraut hat, damit das Terminal dich warnen kann, wenn er sich ändert.

5. Anmeldung der Kommandozeile

Wenn du dich mit piport login anmeldest, speichern wir für die Freigabe im Dashboard Rechnername und Betriebssystem des anfragenden Computers sowie dessen IP-Adresse, damit du die Anfrage prüfen kannst. Diese Angaben löschen wir spätestens etwa 70 Minuten nach der Anfrage. Das ausgestellte Zugriffstoken speichern wir nur als Hash, zusammen mit dem Rechnernamen als Bezeichnung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

6. Server-Protokolle

Um den Dienst zu betreiben, Fehler zu finden und Missbrauch zu erkennen, protokollieren API und Relay technische Ereignisse. Die Protokolle der API enthalten aufgerufene Adresse, Statuscode und die internen IDs von Konto und Organisation, beim E-Mail-Versand auch die Empfängeradresse. Das Relay protokolliert jede Verbindung mit den internen IDs von Konto, Organisation und Gerät sowie dem Zielport, abgelehnte Verbindungsversuche mit der IP-Adresse des Absenders. Ausstehende E-Mails liegen bis zum Versand in einer Warteschlange (Redis) und werden danach nach einem Tag, nach einem Fehlschlag nach sieben Tagen gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und zuverlässigen Betrieb des Dienstes.

7. E-Mail-Versand über Resend

E-Mails des Dienstes – etwa zur Bestätigung deiner E-Mail-Adresse, für Einladungen in eine Organisation und zum Zurücksetzen des Passworts – versenden wir über Resend, einen Dienst der Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA. Dabei werden Empfängeradresse, Name, Inhalt der E-Mail und technische Versanddaten in den USA verarbeitet. Resend speichert E-Mail-Inhalte und Versandprotokolle nach eigenen Angaben bei Standardtarifen bis zu 30 Tage; Sicherungskopien können weitere sieben Tage bestehen bleiben. Für die Übermittlung stützt sich Resend auf das EU-US Data Privacy Framework und Standardvertragsklauseln. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Weitere Informationen findest du in der Datenschutzerklärung von Resend.

8. Fehlerüberwachung mit Sentry

Um Fehler in API und Dashboard zu erkennen und zu beheben, nutzen wir Sentry, einen Dienst der Functional Software, Inc., 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA. Tritt ein Fehler auf, übermitteln Server oder Browser einen Fehlerbericht mit Fehlermeldung, technischem Ablauf, aufgerufener Adresse, Browser und Betriebssystem sowie der internen ID deines Kontos und deiner Organisation. Passwörter, Tokens und Cookie-Inhalte werden vor dem Versand entfernt, von deinem Konto wird nur die interne ID übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in einem stabilen und sicheren Dienst. Weitere Informationen findest du in der Datenschutzerklärung von Sentry.

9. Hosting des Dienstes

API, Dashboard, Relay, Datenbank (MongoDB), Redis und unsere Plausible-Instanz laufen in einem von uns betriebenen Kubernetes-Cluster in deutschen Rechenzentren der Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen.

D. Sonstiges

1. Automatisierte Entscheidungen

Wir treffen keine ausschließlich automatisierten Entscheidungen, die dir gegenüber rechtliche Wirkung entfalten oder dich in ähnlicher Weise erheblich beeinträchtigen. Ein Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

2. Sicherheit und Aktualisierung dieser Erklärung

Wir setzen angemessene technische und organisatorische Maßnahmen ein, um personenbezogene Daten vor Verlust, Manipulation und unbefugtem Zugriff zu schützen. Die Übertragung zu Website, Dashboard, API und Relay ist TLS-verschlüsselt. Kein Verfahren zur Datenübertragung oder Speicherung bietet jedoch absolute Sicherheit.

Wir aktualisieren diese Datenschutzerklärung, wenn sich die Website, der Dienst, eingesetzte Dienstleister oder rechtliche Anforderungen ändern. Stand: 4. November 2026.