Datenschutzerklärung

Stand: 10.10.2026

In dieser Datenschutzerklärung informieren wir Sie über die Verarbeitung Ihrer personenbezogenen Daten im froxlor Marketplace unter packages.froxlor.org („Marketplace“). Sie gilt für Besucher, Kunden (Nutzer von Paketen) und Maintainer.

1. Verantwortlicher

froxlor GmbH, Wilhelm-Busch-Str. 54, 60431 Frankfurt am Main, Deutschland
E-Mail: team@froxlor.com · Telefon: +49 69 348688970

2. Server-Log-Dateien

Zum Zweck der Überwachung der technischen Funktion und zur Erhöhung der Betriebssicherheit werden bei jedem Aufruf Verbindungsdaten (insbesondere IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode und Browserkennung) verarbeitet. Die Dauer der Verarbeitung ist auf 4 Tage beschränkt.

Rechtsgrundlage ist das berechtigte Interesse (unbedingte technische Notwendigkeit eines Server-Log-Files als Datenbasis zur Fehleranalyse und für Sicherheitsmaßnahmen) gemäß Art. 6 Abs. 1 lit. f DSGVO.

3. Benutzerkonto und Registrierung

Für die Registrierung verarbeiten wir Name, E-Mail-Adresse und ein verschlüsselt (gehasht) gespeichertes Passwort sowie den Zeitpunkt der E-Mail-Bestätigung. Wir verwenden diese Daten, um Ihr Konto bereitzustellen, Sie zu authentifizieren und Ihnen Mitteilungen zu Ihrem Konto zu senden.

Rechtsgrundlage ist die Durchführung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO). Die Daten werden gelöscht, wenn Sie Ihr Konto löschen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

4. Zugangs-Token und Nutzung per Composer

Für den Zugriff auf geschützte Pakete erzeugen Sie Zugangs-Token. Wir speichern ausschließlich einen Hash des Tokens, dessen Bezeichnung, die letzten Zeichen, Ablaufdatum sowie den Zeitpunkt der letzten Nutzung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

5. Käufe, Lizenzen und Zahlungsabwicklung

Beim Erwerb eines Pakets verarbeiten wir Bestell- und Lizenzdaten (Paket, Plan, Betrag, Zahlungsstatus, Lizenzlaufzeit) sowie Ihre Kontodaten. Der Kaufvertrag kommt mit dem jeweiligen Maintainer zustande; wir geben diesem die für die Vertragsabwicklung erforderlichen Daten (insbesondere Name, E-Mail-Adresse und Lizenzstatus) weiter.

Die Zahlung wird über Stripe abgewickelt (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland). Zahlungsdaten (z. B. Kartendaten) geben Sie direkt bei Stripe ein; wir erhalten sie nicht. Stripe verarbeitet diese Daten in eigener Verantwortung nach seiner Datenschutzerklärung (https://stripe.com/privacy).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Bestell- und Rechnungsdaten bewahren wir entsprechend den handels- und steuerrechtlichen Aufbewahrungsfristen (bis zu zehn Jahre) auf (Art. 6 Abs. 1 lit. c DSGVO).

5a. Bewertungen

Angemeldete Nutzer können Pakete und Anbieter (Teams) mit 1 bis 5 Sternen bewerten (ohne Freitext). Gespeichert werden Bewertung, Ziel, Zeitpunkt und Ihre Konto-Kennung, damit pro Nutzer nur eine Bewertung möglich ist und Missbrauch erkannt werden kann. Veröffentlicht werden ausschließlich der Durchschnitt und die Anzahl der Bewertungen. Rechtsgrundlage ist unser berechtigtes Interesse an einer vertrauenswürdigen Bewertungsfunktion (Art. 6 Abs. 1 lit. f DSGVO). Ihre Bewertungen werden gelöscht, wenn Sie Ihr Konto löschen oder die Bewertung selbst entfernen.

6. Teams und Maintainer

Für Teams verarbeiten wir Teamname, Website, Mitglieder und deren Rollen sowie das Ergebnis der Prüfung durch unsere Administratoren (Freigabe, Ablehnung, Sperrung, Kennzeichen „verified by froxlor“). Name und Website eines Teams sowie die Angaben zu den angebotenen Paketen werden im Marketplace und in der öffentlich abrufbaren Paketliste veröffentlicht. Bei kostenpflichtigen Paketen werden zudem Name bzw. Firma, Anschrift, Kontakt-E-Mail-Adresse und USt-IdNr. des Teams als Anbieterangaben auf der Produktseite veröffentlicht (Anbieterkennzeichnung).

Rechtsgrundlage ist die Durchführung der Marketplace-Vereinbarung (Art. 6 Abs. 1 lit. b DSGVO) sowie unser berechtigtes Interesse an der Missbrauchsvermeidung und Qualitätssicherung (Art. 6 Abs. 1 lit. f DSGVO). Die Zustimmung zur Marketplace-Vereinbarung wird mit Version, Zeitpunkt, IP-Adresse und Browserkennung dokumentiert, um sie nachweisen zu können.

7. Steuerliche Angaben und USt-IdNr.-Prüfung

Maintainer hinterlegen Rechtsform, Firmen- bzw. Klarname, Anschrift, Rechnungs-E-Mail, USt-IdNr. und/oder Steuernummer. Wir prüfen diese Angaben bei Bedarf, insbesondere über das EU-Mehrwertsteuer-Informationsaustauschsystem (VIES) und das Bundeszentralamt für Steuern.

Rechtsgrundlage sind steuerrechtliche und sonstige gesetzliche Pflichten (Art. 6 Abs. 1 lit. c DSGVO), die Durchführung der Marketplace-Vereinbarung (Art. 6 Abs. 1 lit. b DSGVO) sowie Ihre Einwilligung in die Prüfung (Art. 6 Abs. 1 lit. a DSGVO). Soweit wir gesetzlich zu Meldungen verpflichtet sind (z. B. nach dem Plattformen-Steuertransparenzgesetz), übermitteln wir die erforderlichen Daten an die zuständigen Behörden.

8. Ergänzung: Identitätsprüfung (KYC) für Maintainer

Bevor ein Team bezahlte Pakete verkaufen und Auszahlungen erhalten kann, wird eine Identitätsprüfung (Know Your Customer, KYC) durchgeführt. Hierzu gilt ergänzend:

Zweck. Die Prüfung dient der Feststellung Ihrer Identität bzw. der Identität und der wirtschaftlich Berechtigten Ihres Unternehmens, der Betrugs- und Geldwäscheprävention, der Einhaltung gesetzlicher und aufsichtsrechtlicher Vorgaben der Zahlungsabwicklung sowie der sicheren Durchführung von Auszahlungen.

Verarbeitete Daten. Je nach Rechtsform und Land insbesondere Vor- und Nachname, Geburtsdatum und -ort, Staatsangehörigkeit, Anschrift, Ausweisdokumente (einschließlich Lichtbild), Handelsregisterauszüge, Angaben zu vertretungsberechtigten Personen und wirtschaftlich Berechtigten, Steuer- und Identifikationsnummern sowie Bankverbindung.

Wer verarbeitet die Daten. Die Erhebung und Prüfung der Ausweisdokumente und Bankdaten erfolgt grundsätzlich unmittelbar durch unseren Zahlungsdienstleister Stripe (Stripe Payments Europe, Ltd., Dublin, Irland) im Rahmen von „Stripe Connect“. Stripe verarbeitet diese Daten in eigener datenschutzrechtlicher Verantwortung nach seiner Datenschutzerklärung (https://stripe.com/privacy); dies kann – nach den Hinweisen von Stripe und ggf. auf Grundlage einer gegenüber Stripe erteilten ausdrücklichen Einwilligung – auch den Abgleich biometrischer Merkmale (z. B. Ausweisbild und Selfie) umfassen. Wir selbst erhalten und speichern von Stripe nur das Ergebnis und den Status der Prüfung (z. B. „verifiziert“, „in Prüfung“, „Maßnahmen erforderlich“), die Konto-Kennung, die Freigabe für Zahlungen und Auszahlungen sowie ggf. den von Stripe mitgeteilten Sperrgrund. Soweit wir im Einzelfall Nachweise selbst anfordern (z. B. USt-IdNr., Steuernummer oder Handelsregisterauszug), verarbeiten wir diese Daten selbst.

Rechtsgrundlagen. Ihre Einwilligung in die Prüfung, die Sie bei der Anlage des Teams erteilen (Art. 6 Abs. 1 lit. a DSGVO), die Durchführung der Marketplace-Vereinbarung und der Auszahlungen (Art. 6 Abs. 1 lit. b DSGVO), gesetzliche Pflichten, insbesondere zur Betrugs- und Geldwäscheprävention und zu steuerlichen Meldungen (Art. 6 Abs. 1 lit. c DSGVO), sowie unser berechtigtes Interesse an der Missbrauchs- und Betrugsvermeidung (Art. 6 Abs. 1 lit. f DSGVO).

Freiwilligkeit und Folgen. Die Teilnahme an der Identitätsprüfung ist freiwillig. Ohne erfolgreiche Prüfung können jedoch keine bezahlten Pakete verkauft und keine Auszahlungen vorgenommen werden. Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt. Ein Widerruf kann dazu führen, dass Auszahlungen nicht mehr möglich sind.

Speicherdauer. Wir speichern den Prüfstatus und die zugehörigen Kennungen für die Dauer des Vertragsverhältnisses und darüber hinaus, soweit gesetzliche Aufbewahrungspflichten bestehen (bis zu zehn Jahre). Für die bei Stripe gespeicherten Daten gelten die Fristen von Stripe.

9. Empfänger und Übermittlung in Drittländer

Empfänger Ihrer Daten sind – soweit zur Vertragserfüllung erforderlich – der jeweilige Maintainer (bei Käufen), Stripe als Zahlungsdienstleister sowie unsere technischen Dienstleister, die uns bei Betrieb und E-Mail-Versand unterstützen und als Auftragsverarbeiter an unsere Weisungen gebunden sind. Stripe kann Daten in Drittländer, insbesondere die USA, übermitteln. Die Übermittlung stützt sich nach den Angaben von Stripe auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework bzw. auf EU-Standardvertragsklauseln.

10. Cookies und lokale Speicherung

Der Marketplace verwendet ausschließlich technisch erforderliche Cookies (Sitzungs- und Sicherheits-Cookie) für Anmeldung und Formularschutz (§ 25 Abs. 2 Nr. 2 TDDDG). Zusätzlich speichert Ihr Browser die gewählte Darstellung (hell/dunkel) lokal. Es gibt kein Tracking, keine Werbe- oder Drittanbieter-Cookies, und Schriftarten werden von unseren eigenen Servern geladen.

11. Nutzungsstatistiken

Zur Verbesserung des Marketplace und damit Maintainer und Administratoren die Nutzung ihrer Pakete nachvollziehen können, erfassen wir anonymisierte Nutzungsereignisse: Aufrufe von Paketseiten (ohne Aufrufe durch Suchmaschinen-Bots), das Starten eines Kaufvorgangs, Downloads von Paketdateien sowie von Composer gemeldete erfolgreiche Installationen. Gespeichert werden Zeitpunkt, Paket und Version, die Art des Clients (z. B. Composer oder Browser), die Composer- und PHP-Version (nur Haupt- und Nebenversion), das Betriebssystem, – sofern von unserer Infrastruktur übermittelt – das Land sowie, bei Zugriffen mit Zugangs-Token, die Verknüpfung mit Konto und Token.

Die IP-Adresse und die vollständige Browserkennung werden dafür nicht gespeichert. Zur Zählung eindeutiger Clients wird die IP-Adresse mit einem täglich wechselnden Schlüssel in einen nicht umkehrbaren Hashwert umgewandelt, der keine tagesübergreifende Wiedererkennung erlaubt. Maintainer sehen ausschließlich aggregierte Zahlen zu ihren eigenen Paketen, Administratoren aggregierte Zahlen der gesamten Plattform. Die Rohereignisse werden nach 24 Monaten gelöscht.

Rechtsgrundlage ist unser berechtigtes Interesse an Betrieb, Weiterentwicklung und Missbrauchserkennung sowie am Nachweis der Nutzung gegenüber Maintainern (Art. 6 Abs. 1 lit. f DSGVO). Bei Zugriffen mit Zugangs-Token ist die Zuordnung zum Konto zur Vertragsdurchführung erforderlich (Art. 6 Abs. 1 lit. b DSGVO). Sie können der Verarbeitung nach Abschnitt „Widerspruchsrecht“ widersprechen.

12. Widerspruchsrecht

Sofern die Verarbeitung Ihrer personenbezogenen Daten auf Grundlage des berechtigten Interesses erfolgt, haben Sie das Recht, dieser Verarbeitung zu widersprechen. Sofern keine zwingenden schutzwürdigen Gründe für die Verarbeitung unsererseits vorliegen, wird die Verarbeitung Ihrer Daten auf Basis dieser Rechtsgrundlage eingestellt.

Zudem haben Sie das Recht, der Verarbeitung Ihrer personenbezogenen Daten zum Zweck der Direktwerbung zu widersprechen. Im Fall des Widerspruchs werden Ihre personenbezogenen Daten nicht mehr zum Zweck der Direktwerbung verarbeitet. Die Rechtmäßigkeit der bis zum Widerspruch verarbeiteten Daten wird durch den Widerspruch nicht berührt.

13. Widerrufsrecht

Sie haben das Recht, eine bereits erteilte Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen, z. B. per E-Mail an team@froxlor.com. Die Rechtmäßigkeit der bis zum Widerruf verarbeiteten Daten wird durch den Widerruf nicht berührt.

14. Betroffenenrechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung und Einschränkung der Verarbeitung der personenbezogenen Daten. Soweit die Rechtsgrundlage der Verarbeitung in Ihrer Einwilligung oder in einem mit Ihnen abgeschlossenen Vertrag besteht, haben Sie überdies das Recht auf Datenübertragbarkeit.

Sie haben außerdem das Recht auf Beschwerde bei einer Aufsichtsbehörde. Für uns zuständig ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Postfach 3163, 65021 Wiesbaden (https://datenschutz.hessen.de). Informationen zu den Aufsichtsbehörden in der Europäischen Union finden Sie auf der Website des Europäischen Datenschutzausschusses.

15. Änderungen dieser Datenschutzerklärung

Um zu gewährleisten, dass unsere Datenschutzerklärung stets den aktuellen gesetzlichen Vorgaben entspricht, behalten wir uns jederzeit Änderungen vor. Das gilt auch, wenn die Datenschutzerklärung aufgrund neuer oder überarbeiteter Leistungen angepasst werden muss. Die neue Datenschutzerklärung gilt ab Ihrem nächsten Besuch.

16. Sprache

Diese Datenschutzerklärung steht auch in englischer Sprache zur Verfügung. Rechtlich verbindlich ist ausschließlich die deutsche Fassung.