Stand: 7. November 2026
BS Hosting UG (haftungsbeschränkt)
Forsthauswinkel 6
45891 Gelsenkirchen
Deutschland
Vertreten durch: Björn Schleyer
E-Mail für Datenschutzanfragen: privacy-policy@bs-hosting.de
Weitere Angaben: Impressum
BoltLayer ist eine Marke der BS Hosting UG (haftungsbeschränkt). Die BS Hosting UG (haftungsbeschränkt) betreibt mehrere Hosting-Marken auf einer gemeinsamen technischen Plattform. Kundenkonten werden je Marke getrennt geführt; Daten eines Kundenkontos sind für andere Marken nicht sichtbar. Unser Team verwaltet alle Marken zentral.
Wir verarbeiten personenbezogene Daten nur, soweit es für die Bereitstellung unserer Website, unseres Kundenbereichs und unserer Leistungen erforderlich ist oder Sie eingewilligt haben. Rechtsgrundlagen sind:
Verarbeitete Datenarten: Bestandsdaten (Name, Anschrift, Firma, Geburtsdatum soweit angegeben), Kontaktdaten (E-Mail, Telefon), Vertragsdaten (Produkte, Laufzeiten, Preise), Zahlungsdaten (Guthaben, Transaktionen, Bankverbindung bei Lastschrift), Inhaltsdaten (Tickets, Anhänge, Daten auf gebuchten Produkten), Nutzungs- und Protokolldaten (IP-Adressen, Zeitpunkte, Browserangaben). Eine automatisierte Entscheidungsfindung nach Art. 22 DSGVO findet nicht statt.
Die Website und der Kundenbereich laufen auf eigenen Servern in Rechenzentren in Deutschland (Frankfurt am Main und Düsseldorf). Beim Aufruf verarbeiten unsere Server die IP-Adresse, Datum und Uhrzeit, die aufgerufene Seite, den Referrer und die Browserkennung, um die Seiten auszuliefern und Angriffe abzuwehren (Art. 6 Abs. 1 lit. f DSGVO). Server-Protokolle löschen wir spätestens nach 14 Tagen, sofern sie nicht zur Aufklärung eines Sicherheitsvorfalls benötigt werden.
Angriffe auf unser Netz (z. B. DDoS) wehren wir mit Filtersystemen in unseren Rechenzentren ab; dabei werden Verbindungsdaten nur automatisiert und kurzzeitig ausgewertet.
Schriften, Skripte und Symbole der Website laden wir von unseren eigenen Servern; es werden keine Inhalte von Google Fonts oder ähnlichen Diensten nachgeladen. Wir setzen keine Analyse- oder Werbetracker Dritter ein.
Um zu verstehen, welche Seiten und Produkte gefragt sind, zählen wir Seitenaufrufe selbst auf unseren Servern, ohne Cookies und ohne Dienste Dritter (Art. 6 Abs. 1 lit. f DSGVO). Gespeichert werden die aufgerufene Seite, Datum und Uhrzeit, die Domain der verweisenden Seite, Kampagnen-Angaben aus der Adresse, Sprache, Gerätetyp, Browser und Betriebssystem sowie Land, Region und Stadt, die wir aus der IP-Adresse mit einer lokalen Datenbank ableiten. Die IP-Adresse selbst speichern wir dafür nicht. Um Besuche zu zählen, bilden wir aus IP-Adresse und Browserkennung zusammen mit einem täglich neu erzeugten Zufallswert einen Kurzwert; der Zufallswert wird am nächsten Tag gelöscht, danach lässt sich der Kurzwert niemandem mehr zuordnen. Die Auswertung sieht nur unser Team als Gesamtzahlen.
Wir verwenden nur technisch notwendige Cookies (§ 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. b und f DSGVO):
Alle Anmelde-Cookies sind gegen den Zugriff durch Skripte geschützt und werden nur verschlüsselt übertragen.
Für das Kundenkonto verarbeiten wir die Angaben aus Registrierung und Profil, Ihr Passwort (nur als sicherer Hash) und bei aktivierter Zwei-Faktor-Anmeldung das zugehörige Geheimnis und die Wiederherstellungscodes (Art. 6 Abs. 1 lit. b DSGVO). Bei der Registrierung senden wir eine Bestätigungs-E-Mail. Die Sprache, in der Sie sich registriert oder zuletzt angemeldet haben, speichern wir am Konto, damit E-Mails und Benachrichtigungen in dieser Sprache ankommen.
Zu jeder Anmeldung speichern wir IP-Adresse, Zeitpunkt und Browserkennung, damit Sie aktive Sitzungen sehen und beenden können und wir Missbrauch erkennen. Für die Übersicht der Sitzungen im Kundenbereich leiten wir aus der Browserkennung Browser, Betriebssystem und Gerätetyp ab, ermitteln aus der IP-Adresse über eine lokale Datenbank ungefähr Stadt und Land (die IP-Adresse geht dafür an niemanden) und speichern den Anmeldeweg (Passwort, Passkey oder verknüpftes Konto) sowie den Zeitpunkt der letzten Aktivität. Diese Anmeldeprotokolle löschen wir nach 7 Tagen, beim Abmelden einer Sitzung sofort. Fehlgeschlagene Anmelde- und Passwort-Zurücksetzen-Versuche speichern wir mit IP-Adresse kurzzeitig (bis zu 24 Stunden), um Angriffe durch Ausprobieren von Passwörtern zu begrenzen (Art. 6 Abs. 1 lit. f DSGVO).
Wichtige Aktionen in Ihrem Konto protokollieren wir mit Zeitpunkt, Kundennummer und teilweise der IP-Adresse, damit wir sie bei Rückfragen, Streitfällen oder Missbrauch nachvollziehen können (Art. 6 Abs. 1 lit. b und f DSGVO). Dazu gehören Änderungen an Anmeldung und Sicherheit (Passwort, Zwei-Faktor-Anmeldung, E-Mail-Adresse, verknüpfte Konten, Profil), Aktionen an Ihren Produkten (z. B. Bestellung, Neuinstallation, Paketwechsel, Sperrung) und Änderungen unseres Teams an Ihrem Konto. Sie sehen diese Einträge im Kundenbereich. Einträge zu Anmeldung und Sicherheit löschen wir nach 1 Jahr, die übrigen nach 3 Jahren.
Wenn Sie einen Passkey hinzufügen, speichern wir dessen öffentlichen Schlüssel, eine Kennung des Schlüssels, die von Ihnen gewählte Bezeichnung, die Domain, für die er gilt, eine Typkennung des Geräts (AAGUID, ohne Bezug zu Ihrer Person), einen Signaturzähler sowie die Zeitpunkte der Einrichtung und der letzten Nutzung (Art. 6 Abs. 1 lit. b DSGVO). Fingerabdruck, Gesichtsbild, Geräte-PIN und der private Schlüssel verlassen Ihr Gerät nicht und werden von uns weder empfangen noch gespeichert. Entfernen Sie einen Passkey im Profil, löschen wir ihn sofort.
Bei der Registrierung, beim Ändern oder Zurücksetzen des Passworts und bei der Anmeldung prüfen wir, ob Ihr Passwort in bekannten Datenleaks vorkommt, um Ihr Konto vor Übernahme zu schützen (Art. 6 Abs. 1 lit. b und f DSGVO). Dazu bilden wir auf unserem Server einen Hashwert des Passworts und senden nur dessen erste 5 Zeichen an den Dienst „Pwned Passwords“ von Have I Been Pwned (Superlative Security Pty Ltd, Australien). Der Dienst antwortet mit allen bekannten Hashwerten, die so beginnen, den Abgleich machen wir selbst. Passwort, vollständiger Hashwert, Ihre IP-Adresse und Angaben zu Ihrem Konto gehen dabei nicht an den Dienst; aus den 5 Zeichen lässt sich weder Ihr Passwort noch Ihre Person ermitteln. Wir speichern nur, ob ein Treffer vorlag (als Hinweis in Ihrem Kundenbereich).
Formulare schützen wir mit einem eigenen Captcha ohne externe Dienste.
Wechselt ein Teammitglied zur Unterstützung oder zur Bereitstellung von Produkten in Ihr Konto, wird dies protokolliert.
Sie können Ihr Kundenkonto mit einem Konto bei Google (Google Ireland Limited, Irland), GitHub (GitHub, Inc., USA), Facebook (Meta Platforms Ireland Limited, Irland) oder Discord (Discord Inc., USA) verknüpfen und sich darüber anmelden. Dabei werden Sie zum Anbieter weitergeleitet; wir erhalten von dort Ihre Konto-Kennung, E-Mail-Adresse und gegebenenfalls Ihren Namen und speichern die Kennung zur Zuordnung. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie durch Trennen der Verknüpfung im Kundenbereich widerrufen können. Ist die Zwei-Faktor-Anmeldung aktiv, fragen wir den Code auch bei dieser Anmeldung ab. Ihr Profilbild beim Anbieter ruft unser Server ab und speichert es zwischen; Ihr Browser verbindet sich dafür nicht mit dem Anbieter.
Bei Anbietern in den USA erfolgt die Übermittlung auf Grundlage des EU-US Data Privacy Framework, soweit der Anbieter zertifiziert ist, und im Übrigen auf Grundlage von Standardvertragsklauseln. Für die Verarbeitung beim Anbieter gelten dessen Datenschutzhinweise: Google, GitHub, Facebook, Discord.
Wenn Sie Ihr Discord-Konto über unseren Discord-Bot mit dem Kundenkonto verknüpfen, speichern wir Ihre Discord-ID, um Ihnen auf unserem Discord-Server passende Rollen zuzuweisen und Supportanfragen zuzuordnen (Art. 6 Abs. 1 lit. a DSGVO). Sie können die Verknüpfung jederzeit lösen. Auf dem Discord-Server selbst gelten zusätzlich die Datenschutzhinweise von Discord.
Für interne Benachrichtigungen unseres Teams (z. B. neue Bestellungen, Zahlungen, Mahnungen) nutzen wir Discord. Dabei übermitteln wir überwiegend Kunden- und Produktnummern und, soweit für die Bearbeitung nötig, einzelne Angaben wie Domain, Betreff oder E-Mail-Adresse. Diese Nachrichten sind nur für unser Team sichtbar.
Für Bestellungen, Verlängerungen und die Bereitstellung verarbeiten wir Bestand-, Vertrags- und Zahlungsdaten (Art. 6 Abs. 1 lit. b DSGVO). Bestellungen sind auch über unsere Programmierschnittstelle (API) möglich; dabei protokollieren wir die Anfragen mit Zeitpunkt, verwendetem API-Schlüssel und IP-Adresse zur Abrechnung, Fehlersuche und Missbrauchsabwehr.
Je nach Produkt geben wir die erforderlichen Daten an folgende Stellen weiter:
Reseller können über die API Webhooks einrichten. Wir senden dann Ereignisse zu ihren Produkten (z. B. Produkt eingerichtet, gesperrt, Guthaben niedrig) an die vom Reseller angegebene Adresse. Für die Verarbeitung dort ist der Reseller verantwortlich. Im Testmodus (Sandbox) der API werden keine echten Bestellungen oder Daten an Dritte weitergegeben.
Schließen Unternehmer den Vertrag zur Auftragsverarbeitung im Kundenbereich ab, speichern wir den unterschriebenen Text mit Prüfsumme, Name, Unterschrift (als Bild), IP-Adresse, Browserkennung und Zeitpunkt als Nachweis (Art. 6 Abs. 1 lit. c und f DSGVO), solange der Vertrag gilt und danach bis zum Ablauf der Verjährung (3 Jahre).
Daten, die Sie selbst auf gebuchten Produkten speichern, verarbeiten wir nur in Ihrem Auftrag. Für Unternehmer gilt dafür der Vertrag zur Auftragsverarbeitung (AVV), den Sie im Kundenbereich unter Einstellungen → AVV abschließen können.
Zahlungen und Aufladungen wickeln wir über Zahlungsdienstleister ab, die die Zahlungsdaten als eigene Verantwortliche verarbeiten (Art. 6 Abs. 1 lit. b DSGVO). Wir erhalten nur die für die Zuordnung nötigen Angaben (z. B. Transaktionsnummer, Betrag, Status, bei Lastschrift Name und IBAN des Kontoinhabers):
Die Zahlungsdienstleister können zur Betrugsvorbeugung eigene Prüfungen durchführen. Welche Zahlungsarten Ihre Marke anbietet, sehen Sie im Kundenbereich.
Rechnungen erstellen und verwalten wir mit einer Buchhaltungssoftware, je nach Marke Lexware Office (Haufe Service Center GmbH, Freiburg) oder orgaMAX (Deltra Business Software GmbH & Co. KG, Paderborn). Dafür übermitteln wir Rechnungsanschrift, Kontaktdaten und Rechnungspositionen als Auftragsverarbeitung (Art. 6 Abs. 1 lit. b und c DSGVO). Rechnungen und Buchungsbelege bewahren wir nach § 147 AO und § 257 HGB acht bis zehn Jahre auf.
Geben Unternehmer aus einem anderen EU-Mitgliedstaat eine Umsatzsteuer-Identifikationsnummer an, prüfen wir sie über das Mehrwertsteuer-Informationsaustauschsystem (VIES) der Europäischen Kommission und speichern das Ergebnis (Art. 6 Abs. 1 lit. c DSGVO).
Offene Rechnungen gleichen wir mit eingegangenen Zahlungen ab. Bleibt eine Rechnung offen, senden wir Zahlungserinnerungen und Mahnungen und sperren gegebenenfalls die betroffenen Produkte (Art. 6 Abs. 1 lit. b und f DSGVO). Bei Resellern und Geschäftskunden mit Kreditrahmen verarbeiten wir den vereinbarten Kreditrahmen. Bei stündlich abgerechneten Produkten speichern wir die Nutzung je Stunde zur Abrechnung.
Lösen Sie einen Gutschein oder Aktionscode ein, speichern wir die Einlösung mit Ihrem Kundenkonto, um die Einlösebedingungen zu prüfen.
Rufen Sie unsere Website über einen Partnerlink auf, speichern wir die Kennung des werbenden Kunden in Ihrem Sitzungs-Cookie und den Aufruf mit Ihrer IP-Adresse, um Mehrfachzählungen zu vermeiden. Registrieren Sie sich danach, ordnen wir Ihr Konto dem werbenden Kunden zu, damit dieser seine Gutschrift erhält; er sieht dabei nicht Ihre Kontaktdaten (Art. 6 Abs. 1 lit. f DSGVO).
Kooperationspartner erscheinen mit Projektname, Logo, Webseite, Social-Media-Links und den von ihnen hinterlegten Texten öffentlich auf unserer Partnerseite (Art. 6 Abs. 1 lit. b DSGVO). Diese Angaben kann der Partner im Kundenbereich ändern; mit dem Ende der Partnerschaft nehmen wir das Profil von der Seite.
Wenn Sie uns per Kontaktformular, E-Mail, Telefon oder Ticket kontaktieren, verarbeiten wir Ihre Angaben und hochgeladene Anhänge zur Bearbeitung Ihres Anliegens (Art. 6 Abs. 1 lit. b oder f DSGVO). Ticket-Anhänge speichern wir auf unseren eigenen Servern. Bei Kontaktanfragen speichern wir zusätzlich die Sprache der Seite, damit unsere Antwort in Ihrer Sprache ankommt.
E-Mails versenden wir über unseren eigenen Mailserver. Systemnachrichten zu Ihrem Vertrag (z. B. Bestellbestätigungen, Rechnungen, Ablaufhinweise, Mahnungen) erhalten Sie, solange Sie Produkte bei uns haben.
Wenn Sie bei der Registrierung oder im Kundenbereich den Newsletter bestellen, senden wir Ihnen Neuigkeiten, Angebote und Aktionen von BoltLayer per E-Mail (Art. 6 Abs. 1 lit. a DSGVO). Die Anmeldung wird erst wirksam, wenn Sie sie über den Link in unserer Bestätigungsmail bestätigen (Double-Opt-in); bei der Registrierung geschieht das mit dem Link zur Aktivierung des Kundenkontos.
Als Nachweis Ihrer Einwilligung speichern wir zu jeder An- und Abmeldung den Zeitpunkt, Ihre IP-Adresse, die Browserkennung und den Wortlaut der Einwilligung (Art. 6 Abs. 1 lit. c und f DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO). Den Newsletter versenden wir über unseren eigenen Mailserver; wir werten nicht aus, ob Sie ihn öffnen oder Links anklicken.
Sie können die Einwilligung jederzeit für die Zukunft widerrufen: im Kundenbereich unter Profil, über den Abmeldelink in jedem Newsletter oder die Abmeldefunktion Ihres E-Mail-Programms. Mails zu Ihren Verträgen erhalten Sie unabhängig davon.
Im Kundenbereich erfassen wir technische Fehler mit einer selbst betriebenen Sentry-Instanz. Dabei werden Fehlermeldung, aufgerufene Seite, Browserangaben und gekürzte Verbindungsdaten auf unseren Servern gespeichert und nach spätestens 90 Tagen gelöscht (Art. 6 Abs. 1 lit. f DSGVO).
Schlägt im Kundenbereich eine Aktion bei einem unserer Dienstleister fehl, zeigen wir Ihnen eine Fehlernummer und speichern unter dieser Nummer die technische Fehlermeldung, Ihre Kundennummer und die aufgerufene Seite, damit unser Support den Fehler nachvollziehen kann (Art. 6 Abs. 1 lit. b und f DSGVO).
Für unsere Statusseite nutzen wir LIVCK; dort werden keine Kundendaten übermittelt.
Nutzen Sie unsere Formulare zum Widerruf oder zur Kündigung eines Vertrags, zur Meldung rechtswidriger Inhalte (Digital Services Act) oder übermittelt eine Behörde eine Entfernungsanordnung, speichern wir Ihre Angaben (Name, E-Mail-Adresse, betroffener Vertrag oder Inhalt, Ihre Nachricht), die IP-Adresse und den Zeitpunkt des Eingangs als Vorgang, bestätigen den Eingang per E-Mail und informieren unser Team (Art. 6 Abs. 1 lit. b, c und f DSGVO). Bei Meldungen nach dem Digital Services Act erfährt der betroffene Kunde die Gründe einer Entscheidung, nicht aber Name und Kontaktdaten der meldenden Person, außer die Angabe ist für die Prüfung unerlässlich oder gesetzlich vorgeschrieben. Die Vorgänge bewahren wir bis zum Ablauf der Verjährung (3 Jahre nach Abschluss) auf; entfernte terroristische Inhalte sichern wir nach Art. 6 der Verordnung (EU) 2021/784 sechs Monate.
Bewerben Sie sich auf eine ausgeschriebene Stelle, erhalten wir Ihre Unterlagen per E-Mail an die in der Stellenanzeige genannte Adresse. Wir verwenden sie nur für das Bewerbungsverfahren (§ 26 BDSG, Art. 6 Abs. 1 lit. b DSGVO) und löschen sie spätestens sechs Monate nach dessen Abschluss, sofern Sie nicht in eine längere Aufbewahrung eingewilligt haben oder ein Arbeitsverhältnis zustande kommt.
Damit unser Team sich zuerst um Konten mit offenen Problemen kümmern kann, berechnen wir intern einen Kundenstatus aus Zahlungsverhalten (offene oder überfällige Rechnungen, Guthaben), Anzahl der Produkte, offenen Tickets und dem Zeitpunkt der letzten Anmeldung (Art. 6 Abs. 1 lit. f DSGVO). Der Status ist nur für unser Team sichtbar und dient als Hinweis; Entscheidungen mit rechtlicher Wirkung, etwa Sperren oder Kündigungen, trifft immer ein Mensch. Für Kennzahlen unseres Geschäfts (z. B. Umsatz, Zahl der Produkte) werten wir nur zusammengefasste Werte aus.
Wir unterhalten Profile in sozialen Netzwerken. Links dorthin führen über eine Zwischenseite (/go/…), die vor dem Verlassen unserer Website auf den Wechsel hinweist; wir geben dabei keine Daten an das Netzwerk weiter. Auf den Profilen gelten die Datenschutzhinweise des jeweiligen Netzwerks.
Unsere Leistungen richten sich an Personen ab 14 Jahren. Bei Minderjährigen können wir die Zustimmung der Erziehungsberechtigten und einen Altersnachweis anfordern; diese Nachweise verwenden wir nur zur Prüfung und löschen sie danach. Hinweise für Eltern finden Sie auf unserer Seite Elterninformationen.
Neben den oben genannten Stellen setzen wir Auftragsverarbeiter für Rechenzentrum und Infrastruktur ein, mit denen Verträge nach Art. 28 DSGVO bestehen. Eine Übermittlung in Länder außerhalb der EU bzw. des EWR erfolgt nur, wenn ein Angemessenheitsbeschluss (z. B. EU-US Data Privacy Framework), geeignete Garantien (Standardvertragsklauseln) oder eine Ausnahme nach Art. 49 DSGVO vorliegt. Wir verkaufen keine personenbezogenen Daten.
Wir löschen personenbezogene Daten, sobald sie für den Zweck nicht mehr benötigt werden. Insbesondere gilt:
Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Erteilte Einwilligungen können Sie jederzeit für die Zukunft widerrufen. Eine Auskunft über Ihre Daten können Sie im Kundenbereich auch selbst als Export herunterladen. Anfragen richten Sie an privacy-policy@bs-hosting.de.
Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts oder bei der für uns zuständigen Behörde: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf.
Wir passen diese Datenschutzerklärung an, wenn sich unsere Verarbeitungen oder die Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung.