Datenschutzerklärung

1. Zwecke, Daten und Erhebungsmethoden

Das Unternehmen verarbeitet nur die zur Leistungserbringung erforderlichen Mindestdaten.

Zur Authentifizierung werden E-Mail, Lizenzschlüssel, Gerätekennung und Softwarename empfangen. Die Kennung des ersten erfolgreich authentifizierten Geräts wird registriert und mit Folgeanfragen verglichen. Sie unterscheidet Geräte; Dateiinhalte und Dokumente werden dafür nicht übertragen.

Zahlungsdaten wie Kartennummer, PIN und Sicherheitscode verarbeitet der gewählte Anbieter; sie werden nicht in Bestell-/Lizenzdatenbanken gespeichert. Eximbay erhält die E-Mail und den Teil vor @ als Anzeigenamen; der bürgerliche Name wird nicht gesondert abgefragt.

Daten werden nicht zweckfremd verwendet. Bei Zweckänderungen erfolgen erforderliche Maßnahmen einschließlich gesonderter Einwilligung nach Artikel 18.

2. Aufbewahrungs- und Nutzungsfristen

Daten bleiben nur solange erforderlich und werden nach Zweckerreichung oder Fristablauf unverzüglich vernichtet. Gesetzlich aufzubewahrende Daten bleiben bis zum Ende der Pflicht erhalten.

Handelsunterlagen werden wie folgt aufbewahrt, beschränkt auf erforderliche E-Mail-, Bestell-, Zahlungs-, Bereitstellungs-, Anfrage- und Bearbeitungsdaten.

Gesetzliche Unterlagen werden von anders genutzten Daten getrennt oder im Zugriff/in der Nutzung beschränkt und nur zum Aufbewahrungszweck verwendet.

3. Weitergabe an Dritte

Das Unternehmen verkauft Daten nicht und gibt sie nicht für fremde Werbung/Marketing weiter. Notwendige Weitergabe erfolgt nur nach Artikel 17 und 18, etwa bei Einwilligung oder besonderen gesetzlichen Vorschriften.

Zur Zahlungsfreigabe und Transaktionsprüfung werden Daten mit dem ausgewählten Anbieter gemäß Abschnitt 4 ausgetauscht. Direkt vom Anbieter erhobene Daten und Zwecke richten sich nach dessen Erklärung und Zahlungshinweisen.

Bei rechtmäßigen Herausgabeersuchen prüft das Unternehmen Grundlage und Umfang und gibt gegebenenfalls nur notwendige Mindestdaten weiter. Sonstige Weitergabe folgt gesetzlichen Verfahren nach Information über Empfänger, Zweck, Daten und Frist.

4. Auftragsverarbeitung und Zahlungsintegration

Folgende Anbieter verarbeiten Daten für Website, E-Mail und Zahlungen.

Nach Artikel 26 regeln Verträge Zweckbindung, technische/organisatorische Maßnahmen, Unterauftragsgrenzen, Kontrolle und Haftung. Das Unternehmen überwacht sichere Verarbeitung und veröffentlicht Änderungen von Aufgaben oder Auftragnehmern unverzüglich hier.

Es werden nur notwendige Daten an den gewählten Zahlungsanbieter übermittelt, nicht pauschal an alle.

Anbieterfristen richten sich nach deren Erklärungen; vom Unternehmen empfangene/gespeicherte Daten nach Abschnitt 2.

5. Internationale Datenübermittlung

Website- und Datenbankserver stehen in Seoul, Republik Korea. Für E-Mail und internationale Zahlungen übermittelte Daten können im Ausland verarbeitet werden.

Grundlage ist Artikel 28-8 Absatz 1 Nummer 3: zur Anbahnung/Erfüllung der Verträge über Softwarelizenzen und Hinweis-E-Mails notwendige Auftragsverarbeitung/Speicherung. Die Veröffentlichung von Daten, Staaten, Zeitpunkt/Methode, Empfängern/Kontakten, Zweck, Fristen sowie Ablehnungswegen und Folgen erfüllt die gesetzlichen Informationspflichten.

Google-Mail und PayPal/Telegram verarbeiten Daten nur innerhalb der übertragenen Aufgaben. Zur eigenen Kontoführung beim direkten Bezahlen erhobene Daten sind keine Unternehmensübermittlung und unterliegen deren Erklärungen.

Das Unternehmen vereinbart Schutzmaßnahmen, etwa Datenverarbeitungsnachträge, und überwacht gesetzesgleichwertigen Schutz nach Artikel 28-8 Absatz 4. Zusätzliche zustimmungspflichtige Übermittlungen werden erläutert und eingewilligt; Veröffentlichung ersetzt keine Einwilligung.

Über Abschnitt 9 kann die Einstellung der Übermittlung verlangt werden. Dies kann Auslandszahlungsarten oder externe E-Mail-Hinweise einschränken; Folgen und Möglichkeiten werden erläutert. Abmeldung beendet künftige Newsletter.

6. Vernichtungsverfahren

Bei Abmeldung, Einwilligungswiderruf, Fristablauf oder Zweckerreichung werden nicht gesetzlich aufzubewahrende Daten unverzüglich vernichtet. Gesetzliche Unterlagen bleiben in gesonderter Datenbank/Speicher und werden nach Fristablauf vernichtet.

Elektronische Dateien werden technisch unwiederherstellbar gelöscht, Papier geschreddert oder verbrannt. Unbezahlte Bestellungen und Betriebsprotokolle werden nach Abschnitt 2 automatisch gelöscht. Auftragsdaten werden gemäß Vertrag und Recht ebenfalls der Vernichtung zugeführt.

7. Cookies, lokaler Speicher und externe Ressourcen

Browserspeicher erhält Sprache, Thema und Zahlungsfortschritt. Die Website enthält keine Werbetracking-Cookies oder Erhebungscodes externer Analysewerkzeuge wie Google Analytics.

Unabhängig vom Browserspeicher werden unvollständige Serverbestellungen nach Abschnitt 2 nach 7 Tagen vernichtet.

Cookies lassen sich blockieren und Cookies/lokale Daten in Browser-Datenschutzeinstellungen löschen. Blockierung kann Präferenzen und Bestellprüfung nach externen Zahlungen beeinträchtigen. Browserlöschung löscht keine serverseitigen Kauf-, Lizenz- oder Abonnementdaten; hierfür gilt Abschnitt 8.

Website und Hinweis-E-Mails laden Schriftarten von jsDelivr. Abruf beim Besuch/Öffnen kann IP, angeforderte Ressource und Browser-/Mailprogramm-Verbindungsdaten an den Anbieter übertragen. Zahlungsfunktionen kommunizieren mit externem SDK oder Zahlungsseite des gewählten Anbieters. Deren Datenverarbeitung folgt eigenen Erklärungen.

• Google-Datenschutzerklärung
• Toss-Payments-Datenschutzerklärung
• Eximbay-Datenschutzerklärung
• PayPal-Datenschutzerklärung
• Telegram-Datenschutzerklärung
• jsDelivr-Datenschutzerklärung
• Vultr-Datenschutzerklärung

8. Nutzerrechte und Ausübung

Nutzer können jederzeit Auskunft, Berichtigung/Löschung, Verarbeitungsaussetzung und Einwilligungswiderruf verlangen. Gesetzliche oder rechtmäßig bevollmächtigte Vertreter können mit Vollmacht nach Formblatt 11 der Durchführungsregeln zum Datenschutzgesetz handeln. Nach nötiger Identitäts-/Vollmachtsprüfung werden Anträge binnen 10 Tagen bearbeitet und Ergebnisse mitgeteilt.

Anträge sind per E-Mail/Telefon aus Abschnitt 9 möglich. Kauf-/Abonnementadresse und Antragsinhalt erleichtern schnelle Bearbeitung.

Abmeldung und Werbewiderspruch erfolgen über den E-Mail-Fußlink oder mit Abonnementadresse und Wunsch an toiu@toiucorp.com. Nach Bearbeitung endet Werbung. Antworten an die reine Versandadresse noreply@toiucorp.com werden nicht bearbeitet.

Abonnements und Werbung sind freiwillig. Ablehnung/Abmeldung beeinträchtigen weder Websitebesuch noch Lizenzkauf/-authentifizierung. Dafür notwendige E-Mail und Gerätekennung nicht bereitzustellen oder zu löschen kann Lizenzzustellung/-authentifizierung einschränken. Kaufadressen werden nicht automatisch Newsletter-Abonnenten.

Abmeldung löscht keine Käufe/Lizenzen. Notwendige Zahlungs- und Lizenzhinweise einschließlich Schlüssel kommen unabhängig von Newsletter-Zustimmung. Gesetzliche Pflichten können Löschung/Aussetzung begrenzen; Gründe werden erläutert.

9. Datenschutzverantwortlicher und Kontakt

Folgende verantwortliche Person überwacht die Verarbeitung und bearbeitet Datenschutzanfragen, Beschwerden und Abhilfe.

Datenschutzverletzungen oder Beratung können auch hier gemeldet/angefragt werden:

• Meldestelle für Datenschutzverletzungen (Korea Internet & Security Agency): in Korea 118, https://privacy.kisa.or.kr
• Schlichtungsausschuss für Datenschutzstreitigkeiten: 1833-6972, https://www.kopico.go.kr
• Cyberermittlungsabteilung der Obersten Staatsanwaltschaft: in Korea 1301, https://www.spo.go.kr
• Cyberermittlungsbüro der koreanischen Polizei: in Korea 182, https://ecrm.police.go.kr

10. Sicherheitsmaßnahmen

Nach Artikel 29 und den Standards zur Gewährleistung der Sicherheit personenbezogener Daten bestehen folgende Maßnahmen:

• Transportverschlüsselung: HTTPS für Website/Lizenzanfragen und TLS für Zahlungs-APIs und E-Mail-Versand.
• Gespeicherte Daten: Bestellprüfdaten liegen als Hash statt Klartext vor und werden bei Prüfanfragen verifiziert.
• Zugriffskontrolle: Datenbanken/Protokolle mit Personendaten und Schlüsseln sind auf notwendiges Personal mit verwalteten Rechten beschränkt.
• Zugriffsprotokolle: Zugriffe auf personenbezogene Informationssysteme werden mindestens 1 Jahr protokolliert und aufbewahrt.
• Fristenverwaltung: Nach Abschnitt 2 abgelaufene Daten werden automatisch gelöscht.

Nutzer sollten auch E-Mail, Schlüssel und Bestellprüfdaten vor Weitergabe schützen.

11. Änderungen

Diese Erklärung gilt ab Wirksamkeit. Änderungen an Zwecken/Daten, Fristen, Aufträgen, Weitergabe oder Auslandsübermittlung wegen Gesetzen, Richtlinien oder Diensten werden samt Datum mindestens 7 Tage vorher angekündigt. Wesentliche Auswirkungen auf Nutzerrechte erfordern 30 Tage Vorankündigung und gegebenenfalls gesonderte Zustimmung.

• Veröffentlichungsdatum: 18. Oktober 2026
• Wirksamkeitsdatum: 18. Oktober 2026

12. Mitgliedskonten und Anmeldung

Für Registrierung, Anmeldung, Identifizierung und Missbrauchsschutz verarbeiten wir E-Mail, Passwort-Hash, interne Nutzer-ID, Sprache, Registrierungs- und letzte Anmeldezeit sowie akzeptierte AGB-Version und Zustimmungszeit. Die E-Mail-Registrierung erfolgt durch Eingabe und E-Mail-Bestätigung zur Anbahnung und Erfüllung des Mitgliedschaftsvertrags nach Artikel 15 Absatz 1 Nummer 4 des Gesetzes. Klartextpasswörter werden nicht gespeichert.

Bei Google-Anmeldung erhalten wir nach Googles Einwilligungs- und Authentifizierungsdialog die Google-Kennung (sub), bestätigte E-Mail, den Anzeigenamen und die Profilbild-URL und speichern oder aktualisieren sie in users. Google-Passwörter erhalten wir nicht. Zugriffstoken dienen nur vorübergehend der Kontoprüfung und werden nicht in der Datenbank gespeichert. Für Googles eigene Verarbeitung gilt dessen Datenschutzerklärung.

Zur E-Mail-Bestätigung speichern wir vorübergehend E-Mail, Hashes des sechsstelligen Codes und Browser-Prüftokens, Ablaufzeit und Fehlversuche. Der Code gilt 10 Minuten, ist nach 60 Sekunden erneut anforderbar und muss nach fünf Fehlern ersetzt werden. Nach erfolgreicher Registrierung wird der Prüfeintrag gelöscht. Abschnitte 4 und 5 zu Google Gmail SMTP und Auslandsübermittlungen gelten auch für Bestätigungs-E-Mails.

Das HttpOnly-Cookie toiu_session gilt 30 Tage; toiu_verification und toiu_oauth_state jeweils 10 Minuten. Der Server speichert Sitzungstoken-Hashes, Nutzer-IDs, Ablaufzeiten und Prüfdaten zur Anmeldung. Abmelden widerruft die aktuelle Sitzung. Gehashte IP-Adressen und Anfragezähler werden bis zu 15 Minuten zur Missbrauchsabwehr genutzt. Abgelaufene Prüf-, Sitzungs- und Limitdaten werden beim Serverstart oder der nächsten Authentifizierungsanfrage gelöscht. Blockierte Cookies können Registrierung und Anmeldung verhindern.

Kontodaten werden bis zum Austritt aufbewahrt. Austritt, Auskunft, Berichtigung oder Löschung können unter toiu@toiucorp.com beantragt werden. Nach Identitätsprüfung löschen wir Konto und Sitzungen; gesetzlich erforderliche Kauf- oder Streitfalldaten bleiben nach Abschnitt 2 getrennt gespeichert. Registrierung oder Google-Anmeldung abonnieren weder Newsletter noch Werbung.