Hay,
Der Wohnort vom Betreiber ist da ausschlaggebend oder?
Nein, eher der Standort der Niederlassungen.
Du unterliegst auch der DGSVO wenn Du personenbezogene Daten von EU-Bürgern von EU-Bürgern verarbeitest - dazu ist noch nicht einmal eine Niederlassung notwendig. Freilich wird es dann schwer sein, Dich juristisch zu "greifen" - aber es wird sicherlich ein Weg gefunden werden, Deine Geschäfte innerhalb der EU zu beeinträchtigen.
CU, Peter
Hay,
Handelsbriefe
Anruf an der Hotline ein Handelsbrief? Aber selbst wenn die Supportanfrage schriftlich vorliegt - so lange sie nicht zur Anbahnung, Durchführung oder Beendigung eines Geschäftes dient, ist es kein Handelsbrief. Und es sind 6 Jahre, keine 10. Wenn ich eine Supportanfrage habe "Wo kommt Stecker xyz rein?", dann ist es kein Handelsbrief. Wenn mir jemand schreibt "Wenn Sie mir jetzt nicht gleich schreiben, wo Stecker xyz reingehört, dann storniere ich das Geschäft" ist es ein Handelsbrief.
Bitte immer auch bedenken, dass es um grundlose Erhebung von persönlichen Daten geht
Der Grundsatz lautet "Personenbezogene Daten dürfen nicht verarbeitet werden". Gestattet sind die Verarbeitung von explizit erlaubten Daten (rechtliche Bestimmungen; Erforderungen zur Abwicklung eines Auftrages) oder Daten, für die eine explizite Einwilligung erfasst wurde (Einwilligung per AGB zählt nicht). Ein "Grund" lässt sich immer finden - er muss an eine erlaubte Anforderung gebunden sein.
Dann gibt es nach der Erhebung auch noch eine Speicherung. Wenn ich mit einem Kunden einen Termin vereinbare, darf ich dessen Daten behalten so lange, bis der Termin stattgefunden hat. Wenn kein Follow-Up vereinbart wurde oder wenn er mir keinen Zettel unterschrieben hat, dass ich seine Daten behalten und ihn wieder kontaktieren darf, sind alle Daten im Zusammenhang mit diesem Termin "unverzüglich" - (siehe anderer Beitrag) zu löschen.
Tut mir leid, dass ich so darauf rumreite. Aber ich beschäftige mich seit 15 Jahren u.a. mit UWG, BDSG und in meiner (Haupt-)Beschäftigung neben der IT habe ich (bzw. hatte ich bis März) mit 60.000 Anwälten in der Kundschaft zu tun und juristische Fachinformation verkauft - das färbt ab.
CU, Peter
Hay,
1:1 Relation Produkt - Person.
Die Teile, die wir verkaufen, sind extrem personengebunden - sie werden zur Abrechnung der individuellen Einkommenssteuer eingesetzt. Personenbezogener geht es eigentlich kaum 
Aber daran sieht man, wie unterschiedlich die Anforderungen sind.
CU, Peter
Hay,
Welches Bauteil nun wie verbaut ist und welche Anschlüsse bietet sind unabhängig davon keine personenbezogenen Daten
Naja, da es bei jedem Kunden anders verbaut ist und es schon für den weiteren Supportfall entscheidend ist, wie es bei genau dem Kunden und mit welcher Firmware... ist es schon eine deutliche Verknüpfung mit Personenbezogenen Daten 
However... persönliche Meinung ist, dass im Regelfall nicht so heiß gegessen wird, wie es gekocht wird, aber wer einen Abmahnanwalt abbekommt, der ist immer der Gekniffene. Hatte ich letzten Oktober in einem Fall - der bundesweit bekannte Abmahnwalt hatte streng genommen noch nicht einmal recht (aber man geht auch nicht das Wagnis ein, es einem Richter vorzutragen, der im schlimmsten Fall nicht weiß, was er tut {Häufer als man denkt! Gerade UWG und BDSG!}), trotzdem hat der Abmahnanwalt in ein und demselben, speziellen Fall vier Firmen in Unterlassung genommen und Geld gefordert. Wir haben die Unterlassung unterschrieben, aber seine Rechnung (erfolgreich) bestritten und nicht bezahlt. Doch unser Anwalt wollte selbstverständlich Geld sehen... hat insgesamt (alle vier Firmen) 2.000 Euro gekostet.
CU, Peter
Hay,
übrigens in einem Forum letzt zwei nützliche Links gefunden:
https://www.haendlerbund.de/de/downloads/ebook-dsgvo.pdf
https://lawlikes.de/dsgvo-kompakt/
CU, Peter
Hay,
das war vielleicht falsch ausgedrückt. Die 24 Monate bezogen sich eig. auf Kundendaten zu verkaufter Ware, die man (ausnahmsweise, Artikel 17 Abs. 3) so lange behalten darf, um Gewährleistungsansprüche zu erfüllen.
Streng genommen müssten (ohne weitere Vereinbarung) sogar die reine Supportanfrage und (sofern abschließend beantwortet) die Antwort sofort gelöscht werden (Artikel 17 Abs. 1). Nicht immer ist auch etwas in einer Norm geregelt (z.B. für die Abstandsregel "halber Tacho" gibt es auch keine Norm), hier wird noch sehr viel "Richterrecht" folgen. So lange geiert der Abmahnanwalt.
Dazu kommen Gummibegriffe:
... der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft:
1) Die personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig."unverzüglich" -nach 1 Sekunde, 5 Minuten, einem Tag, zwei Wochen?
"notwendig" - was ist notwendig? Gerade hier sind viele Konstruktionen möglich, die vor Gericht scheitern werden oder bestehen bleiben.
Nehmen wir mal das Beispiel "zeitnah" aus dem Steuerrecht (um die zeitliche Dimension bei solchen Begriffen wie etwa "unverzüglich") aufzuzeigen. Die Finanzgerichte haben "zeitnah" teils mit "unter einem Jahr" definiert. Gefühlt ist "zeitnah" für mich aber ein Begriff, der deutlich darunter liegt. Ich bin gespannt auf Rechtsprechung zu "unverzüglich"...
Also z.B. die Anfrage nach einem Angebot kommt rein, das Angebot wird erstellt und "senden-Knopf" und ab mit der kompletten Kommunikation in den Mülleimer, Ordner "gelöschte Objekte" leeren und die Maillogs bereinigen, sofern man wagt, noch welche zu generieren - alles ein bißchen pervers... wehe man startet hier den Rechner nicht neu, weil ja die Daten des Anfragers noch in irgend einem Ramriegel rumgeistern können. Sarkasmus... oder?
Schon hier müsste man streng genommen zu Tricks greifen, also irgendwie ein Datum ins Angebot hineinsetzen, bis wann man Fragen dazu beantworten möchte oä.
CU, Peter
Hay,
naja, es gibt einiges, was sehr viel schwieriger wird.
Ich organisiere z.B. Supporthotlines, wo sich derselbe (fachfremde) Kunde über mehrere Jahre mit derselben Frage rumschlägt und wir sie ihm regelmäßig neu beantworten müssen. Spätestens, wenn er nach 4 Jahre umbaut. Mit der DGSVO müssten wir (eng gefasst) aber nach 24 Monaten alle Informationen löschen, die wir ihm vorher mühsam abringen mussten, teils unter Einsatz von fremden Fachpersonal (zB Teil im Auto: "Wie ist es eingebaut - OBD, CAN-Bus oder Pulsinstallation").
Ich weiß jetzt schon, dass der Kunde sich darüber zu recht beschweren wird und die Aussage "Hallo? DSGVO?" wird ihn da nicht beschwichtigen. Er wird vielleicht zu einem Anbieter wechseln, der es nicht so genau nimmt. Da muss man sich schon Gedanken machen, wie man dies gestaltet. Wenn wir ihm eine E-Mail schicken, wo er das bestätigt und er sie nicht zurückschickt? Selber schuld. Wenn sie aber aus irgend einem Grund gar nicht bei ihm ankommt - z.B. weil er einen Outlook-Account hat <grin>?
Wie dem auch sei, das neue Recht kommt und wir müssen uns alle damit arrangieren. Auch Facebook und Google. Aber die letzten beiden haben mehr Anwälte als ich Freunde bei Facebook 
CU, Peter
Hay,
das ist in der Tat die schlechteste aller Möglichkeiten. Ich hoffe Euer Admin hat nicht zu lange Urlaub und danach gibt es folgende Zusatzaufgabe:
- einen zweiten root-User generieren, welches nur im Notfall benutzt werden darf, auf ein Blatt Papier notieren und in den Safe sperren.
Es sei denn... ist es denn ein Linux-Server oder ist da Windows drauf? Bei Windows bin ich sofort raus, aber hast Du denn im scp das hier:
Heißt: Server herunterfahren, root-Passwort hier ändern und dann kann man einloggen.
Außerdem Achtung: Bei mir ist es so, dass die "Tastatur" (grafisch oder in real) der VNC-Konsole nicht immer richtig arbeitet. Ich habe Tastaturlayout auf Deutsch gestellt, trotzdem (auch nach reboot) bleibt die Tastaturbelegung gemischt Deutsch-Englisch. Tipp mal Dein Passwort ins Login (ohne Enter natürlich) - kommt da das raus, was Du erwartest oder kommen Zeichen, die nicht zur Taste gehören?
CU, Peter
Hay,
wenn Euer Admin alles richtig gemacht hat, dann verlängert sich das automatisch alle drei Monate. Gibt die Webseite einen Fehler aus, dass das Cert nicht gültig ist oder wie kommst Du zu der Annahme, dass da Handlungsbedarf ist?
Da Du ein Login für das scp hast, denke ich, da steht ein root- oder managed-Server dahinter. Da gibt es zwei Alternativen - entweder es ist alles "per Hand" gemacht, dann kann Dir in dem Moment wirklich niemand weiterhelfen (außer er bekommt das login). Oder es ist eine Konfigurationoberfläche installiert, wie z.B. Plesk - falls Du dazu Logindaten hast, Du erreichst diese in der Regel über den Port 8443, also http://www.meinedomain.tld:8443/ und dann gibt es in der Regel ein Lets Encrypt Plugin, welches man aufrufen kann um das Cert einzurichten.
CU, Peter
Hay,
sofern es sich um ein Webhosting-Zertifikat handelt, einfach mal oben aufs Schloss in der entsprechenden WEbseite drücken...
CU, Peter
Ich habe mich zwar auch gewundert, dass man (System-)Devices so einfach killen kann... aber dafür ist man halt root und der weiß, was er toot.
Hay,
Hecke29 da hat Dein Linux einen Platten; 'cat /dev/null' liefert NIE etwas - wenn es korrekt implementiert ist ...
ist schon logisch so. Hecke29 hätte dasselbe Ergebnis bekommen wie Du, hätte er vorher das /dev/null nicht durch den Move durch ein File ersetzt. Dann ist es nicht mehr wirklich /dev/null, sondern heißt nur noch so.
CU, Peter
Hay,
sorry, aber ich musste gerade lachen. Wenn der User "Joke" heißt und so eine Frage stellt, stellt sich mir die Frage, wer dieser Troll ist
Niemals im Leben ist die Frage ernst gemeint.
CU, Peter
Hay,
klar, logisch - ich sollte so spät keine Beiträge mehr schreiben. Wobei /dev/null als Device ... aber egal. Ich mache mir auch keine Installation für diese theoretische Frage kaputt
Cu, Peter
Hay,
Der VPS benutzt aber die Nameserver von netcup, womit doch eigentlich direkt aufgelöst werden können sollte.
Neee Logisch ja, aber meiner Erfahrung nach war der Netcup DNS bislang der letzte, der von den neuen DNS-Einträgen wusste. Beim letzten Mal hat die telekom nach 6 Stunden die neue Namen auflösen können aber auf dem Host selbst war die IP erst nach weiteren 15 Stunden verfügbar. Es war auch nicht das erste Mal, dass ich genau diese Erfahrung gemacht habe ... warum auch immer
CU, Peter
Hay,
Den hatte ich zu diesem Zeitpunkt noch nicht gesehen
ha, dachte schon ... alles gut
mit etwas Phantasie - auch endlich erkennen
da ich seit über 30 Jahren mit technischem Kundenservice zu tun habe und seit über 20 Jahren entsprechende Teams/Abteilungen aufbaue und coache, habe ich den unschätzbaren Vorteil, auch mit sehr "unscharfen" Fragen etwas anfangen zu können 
... was nicht immer heißt, dass meine Lösung wirklich die richtige ist, deswegen mag ich es sehr wohl, an diesen Stelle hinterfragt zu werden.
CU, Peter
Hay,
Der A-Record von setoy.eu zeigt doch auf die gleiche IP-Adresse die Du "weiterleiten" möchtest. Insofern würde das am Weiterleitungs-Ziel nichts ändern, und lediglich eine Endlos-Weiterleitung ergeben.
das sollte eigentlich durch die RewriteCond abgefangen sein... wenn die Hostadresse die IP-Adresse ist, dann ersetze diese durch den richtigen Domainnamen. Wenn der richtige Domainname direkt eingegeben wird, greift die Rule nicht, da die Condition nicht stimmt.
Aber wie bei so vielen: einfach mal ausprobieren, schauen was kommt und im Idealfall funktioniert es, weil draußen so ein schönes Wetter ist
CU, Peter
Hay,
DNS-Validierung via TXT-Record!
Ja korrekt - ich vergaß, danke. Musste ich letzt mit der Postmaster-Zertifizierung für Google so machen - ist aber ein ganz anderes Thema lol.
CU, Peter
Hay,
ja, ich hätte auch den kompletten Traffic über das tun Interface genommen. Habe heute erst daran gedacht, dass ich eine ähnliche Konfiguration in der Firma habe, wobei da das tun-Interface sogar in der internen Zone liegt und damit komplett unbeschränkt ist. Nur einen Port dranzubinden (für Deinen Bedarf) ist natürlich die bessere Variante.
CU, Peter
