Datenschutzerklärung

Stand: 25. September 2026

Kurz gesagt

1. Verantwortlicher

Björn Platte (Panda-Network)
Hinterdohr 30, 42349 Wuppertal, Deutschland
Telefon: +49 (0) 202 52741589
E-Mail: info@imagicx.de

Eine Pflicht, eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten zu benennen, besteht nicht. Bei Fragen zum Datenschutz schreib uns direkt.

2. Hosting und Server-Protokolle

ImagicX läuft auf einem Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, in Rechenzentren in der EU. Dort liegen die Website, die Datenbank, die hochgeladenen Bilder und die Sicherungen. Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Bei jedem Aufruf speichert der Webserver: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Statuscode, übertragene Datenmenge, die vorher besuchte Seite (Referrer) und die Browserkennung (User-Agent). Wir brauchen diese Daten, um den Dienst sicher zu betreiben, Fehler zu finden und Angriffe abzuwehren. Rechtsgrundlage ist unser berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO. Die Protokolle werden nach spätestens 90 Tagen gelöscht.

Zum Schutz vor Angriffen werten wir die Protokolle mit der Software CrowdSec aus. Erkennt sie ein Angriffsmuster (zum Beispiel massenhafte Login-Versuche), wird die angreifende IP-Adresse gesperrt und an die CrowdSec SAS in Paris, Frankreich, gemeldet, die daraus eine gemeinsame Sperrliste erstellt. Das betrifft nur IP-Adressen, von denen ein Angriff ausging. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Um Missbrauch zu bremsen, etwa zu viele Anmeldeversuche, Registrierungen oder Meldungen, merken wir uns kurzzeitig, wie oft eine IP-Adresse eine Aktion ausgeführt hat. Die IP-Adresse speichern wir dafür nur als Hashwert, ausgewertet wird jeweils die letzte Stunde (Art. 6 Abs. 1 lit. f DSGVO).

Sicherungen des gesamten Servers bewahren wir verschlüsselt höchstens etwa zwei Monate auf. Gelöschte Daten verschwinden danach auch aus den Sicherungen.

3. Cookies und Speicherung auf deinem Gerät

Wir speichern nur, was für den Dienst technisch nötig ist (§ 25 Abs. 2 Nr. 2 TDDDG). Eine Einwilligung ist dafür nicht erforderlich, und es gibt deshalb auch kein Cookie-Banner.

CaptureX Desktop speichert seine Anmeldung im Schlüsselbund deines Betriebssystems, nicht im Browser.

4. Konto

Für ein Konto speichern wir Benutzernamen, E-Mail-Adresse, das Passwort als nicht umkehrbaren Hash, das Registrierungsdatum und deine Einstellungen. Nutzt du die Zwei-Faktor-Anmeldung, speichern wir den dafür nötigen geheimen Schlüssel. Zur Bestätigung deiner E-Mail-Adresse und zum Zurücksetzen des Passworts schicken wir dir E-Mails.

Für jede Anmeldung in einem Browser speichern wir eine Sitzung: Browser und Betriebssystem (aus der Browserkennung), die zuletzt genutzte IP-Adresse, wann du dich angemeldet hast und wann du zuletzt aktiv warst. Die Schlüssel dazu stehen nur verschlüsselt (als Hash) in der Datenbank. Du siehst deine Sitzungen im Profil unter Sicherheit und kannst jede einzelne abmelden. Wir löschen eine Sitzung beim Abmelden, bei einer Passwortänderung oder nach 30 Tagen ohne Aktivität (Art. 6 Abs. 1 lit. b und f DSGVO).

Legst du einen Passkey an, speichern wir seinen öffentlichen Schlüssel, eine Kennung, den von dir vergebenen Namen, wann er angelegt und zuletzt genutzt wurde und ob er zwischen deinen Geräten synchronisiert wird. Der private Schlüssel und deine biometrischen Daten (Fingerabdruck, Gesicht) verlassen dein Gerät nie und erreichen uns nicht. Passkeys bleiben, bis du sie im Profil entfernst oder dein Konto löschst (Art. 6 Abs. 1 lit. b DSGVO).

Änderst du deine E-Mail-Adresse, speichern wir die neue Adresse zunächst nur vorgemerkt und schicken einen Bestätigungslink an sie. Bis du ihn anklickst, bleibt die alte Adresse aktiv. Eine unbestätigte neue Adresse löschen wir nach 7 Tagen. Nach der Bestätigung ersetzt sie die alte, die dann noch eine Hinweismail bekommt und nicht weiter gespeichert wird.

Bestätigst du deine E-Mail-Adresse nicht innerhalb von 7 Tagen, löschen wir das Konto automatisch. Wir merken uns, wann du ImagicX zuletzt genutzt hast (Anmeldung, Uploads, CaptureX). Nutzt du dein Konto ein Jahr lang nicht, kündigen wir dir die Löschung per E-Mail an und erinnern dich eine Woche vor dem Termin. Meldest du dich innerhalb von 30 Tagen nicht an, löschen wir das Konto mit allen Daten.

Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO). Die Daten bleiben, bis du dein Konto löschst. Das geht jederzeit im Profil, dabei entfernen wir auch alle Bilder, Upload-Zugänge, verbundenen Geräte, eigenen Domains und Protokolle. Verwarnungen durch das Team speichern wir, solange das Konto besteht.

5. Bilder hochladen

Wenn du ein Bild hochlädst, speichern wir die Bilddatei, ein Vorschaubild, Zeitpunkt, gewählte Speicherdauer und Link-Domain, beim Konto die Zuordnung zu dir und in jedem Fall deine IP-Adresse. Metadaten wie EXIF (mit Kamera, Aufnahmezeit und GPS-Standort) entfernen wir vor dem Speichern.

Wer den Link kennt, kann das Bild ansehen. Wir zählen die Aufrufe, ohne dabei Daten über die Betrachtenden zu speichern. Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO), für die IP-Adresse unser berechtigtes Interesse an der Missbrauchsabwehr (Art. 6 Abs. 1 lit. f DSGVO).

Lade bitte keine Bilder anderer Menschen ohne deren Einwilligung hoch. Für den Inhalt deiner Bilder bist du selbst verantwortlich.

6. Aktivitätsprotokoll

Zu deinem Konto protokollieren wir Anmeldungen, fehlgeschlagene Anmeldeversuche mit IP-Adresse, Änderungen am Konto, Uploads und Löschungen. Du siehst die Einträge in deinem Profil. Sie dienen der Sicherheit deines Kontos und der Missbrauchsabwehr (Art. 6 Abs. 1 lit. f DSGVO) und werden nach 90 Tagen gelöscht. Was die automatischen Hintergrundaufgaben erledigen (gelöschte Bilder mit Bild-ID, Konto, Ablaufdatum und Größe, getrennte Geräte, Hinweise und Löschungen von Konten, Ergebnisse der Domain-Prüfung), halten wir für das Team ebenfalls 90 Tage fest.

7. CaptureX Desktop, Upload-Zugänge und Updates

Meldest du CaptureX Desktop an, speichern wir pro Gerät den von dir vergebenen Gerätenamen, einen Zugangsschlüssel (nur als Hash), wann das Gerät verbunden und zuletzt genutzt wurde, und die zuletzt genutzte IP-Adresse. Diese IP-Adresse entfernen wir nach 30 Tagen ohne Nutzung. Unter „Uploader“ siehst und trennst du deine Geräte. Ein Gerät, das 90 Tage nicht genutzt wurde, trennen wir automatisch und löschen seine Daten.

Lässt du CaptureX seine Einstellungen mit dem Konto abgleichen (in CaptureX abschaltbar), speichern wir deine Tastenkürzel im Editor und die zuletzt gewählten Werkzeug-Werte wie Farben, Schrift und Größen, damit sie auf deinen anderen Geräten gleich sind. Die Daten bleiben, bis du dein Konto löschst (Art. 6 Abs. 1 lit. b DSGVO).

Für ShareX und eigene Programme legst du Upload-Zugänge an. Wir speichern dazu Beschreibung, Domain, Speicherdauer und zufällige Zugangswerte.

CaptureX fragt regelmäßig bei dl.imagicx.de nach Updates. Dabei entstehen die in Abschnitt 2 genannten Server-Protokolle, weitere Daten sendet das Programm nicht.

Rechtsgrundlage ist jeweils die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).

8. Eigene Domains

Reichst du eine eigene Domain ein, speichern wir die Domain, ob sie privat oder öffentlich sein soll, den Stand der Prüfung und wer sie freigegeben hat. Zur Prüfung fragen wir die öffentlichen DNS-Einträge der Domain ab. Bei öffentlichen Domains zeigen wir anderen Nutzerinnen und Nutzern deinen Benutzernamen als „bereitgestellt von“. Die Daten bleiben, bis du die Domain entfernst oder dein Konto löschst (Art. 6 Abs. 1 lit. b DSGVO).

Zusätzlich führen wir einen Verlauf jeder eigenen Domain: wer sie wann eingereicht, bestätigt, freigegeben, gesperrt oder entfernt hat, und wann du die Zusicherung zu den Rechten an der Domain abgegeben hast. Diesen Verlauf brauchen wir, um bei Beschwerden von Rechteinhabern oder Anfragen von Behörden nachweisen zu können, wer eine Domain betrieben hat (Art. 6 Abs. 1 lit. c und f DSGVO). Er bleibt nach dem Entfernen der Domain oder dem Löschen des Kontos noch 365 Tage erhalten und wird dann gelöscht.

9. Kontakt

Schreibst du uns über das Kontaktformular oder per E-Mail, verarbeiten wir Name, E-Mail-Adresse und deine Nachricht, um dein Anliegen zu bearbeiten (Art. 6 Abs. 1 lit. b oder f DSGVO). Die Nachricht geht als E-Mail über den Mailserver von Hetzner an uns. Wir löschen sie, wenn dein Anliegen erledigt ist und keine Aufbewahrungspflicht besteht.

10. Meldungen von Inhalten

Meldest du ein Bild, speichern wir die gewählte Kategorie, deine Begründung, das Datum, bei Anmeldung dein Konto sowie deinen Namen und deine E-Mail-Adresse (Pflicht, außer bei Darstellungen von Kindesmissbrauch). An die E-Mail-Adresse schicken wir die Eingangsbestätigung und unsere Entscheidung. Wird das Bild entfernt, informieren wir den Uploader mit Begründung, aber ohne deinen Namen oder deine E-Mail-Adresse.

Rechtsgrundlage ist die Erfüllung unserer Pflichten aus dem Digital Services Act (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 16 und 17 DSA). Entschiedene Meldungen löschen wir nach 365 Tagen.

11. Empfänger und Übermittlung in Drittländer

Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken weiter. Empfänger sind nur Hetzner als Auftragsverarbeiter (Server, E-Mail), CrowdSec für Angriffs-IP-Adressen (Abschnitt 2) und, wenn wir dazu gesetzlich verpflichtet sind, Behörden. Eine Übermittlung in Länder außerhalb der EU findet nicht statt.

Links zu anderen Diensten (zum Beispiel unserem Support-Discord) sind einfache Links. Erst wenn du sie anklickst, gilt der Datenschutz des jeweiligen Anbieters.

12. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Im Profil kannst du deine Daten jederzeit als Datei herunterladen und dein Konto selbst löschen. Für alles andere schreib an info@imagicx.de.

Widerspruchsrecht (Art. 21 DSGVO): Verarbeiten wir Daten auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO), kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf, www.ldi.nrw.de.

13. Pflicht zur Angabe und automatisierte Entscheidungen

Für ein Konto brauchen wir Benutzernamen, E-Mail-Adresse und Passwort, sonst können wir es nicht anlegen. Bilder kannst du auch ohne Konto hochladen. Automatisierte Entscheidungen im Sinne von Art. 22 DSGVO treffen wir nicht. Über Meldungen und Sperren entscheidet unser Team.