Datenschutz
für MyMFA.

1. Wer wir sind und wofür diese Erklärung gilt

Entwickler von MyMFA und Betreiber der Websites mymfa.cz, mymfa.eu, mymfa.de und mymfa.at ist MyOffice s.r.o., Unternehmens-ID 29188997, U viaduktu 881/21f, Chrlice, 643 00 Brno, Tschechische Republik. Kontakt für Datenschutzfragen und Löschanträge: info@myoffice.cz.

Diese Erklärung gilt für MyMFA unter Android und iOS, den zugehörigen Authentifizierungsdienst und diese Website. iOS ist über TestFlight zum Testen verfügbar; dieser Text kündigt keine Veröffentlichung im App Store an. Beide Plattformen unterstützen lokale OTP- und QR-Codes. iOS unterstützt auch den verschlüsselten Export und Import von Sicherungen sowie APNs-Mitteilungen. Android implementiert FCM-Mitteilungen; die Verfügbarkeit hängt von der installierten Version und der Serverkonfiguration ab. Vor Änderungen der Datenverarbeitung aktualisieren wir diese Erklärung.

Bei geschäftlichen Anmeldungen legt in der Regel Ihre Organisation als Verantwortlicher die Zwecke und Regeln der Verarbeitung fest. MyOffice kann den Betrieb und Support als Auftragsverarbeiter auf Grundlage eines Vertrags und entsprechender Weisungen übernehmen. Für die eigene Website, die Kommunikation mit Ihnen und den eigenen Testbetrieb ist MyOffice Verantwortlicher. Die konkreten Regeln Ihrer Unternehmensumgebung erläutert Ihnen deren Administrator.

2. Welche Daten verarbeitet werden

OTP-Codes auf dem Smartphone — Android und iOS

Wenn Sie ein OTP-Konto hinzufügen, speichert die App dessen Bezeichnung, gegebenenfalls Namen oder E-Mail-Adresse, Anbieter, Geheimnis und Codeparameter im geschützten lokalen Speicher. Codes werden auf dem Smartphone berechnet; diese Daten werden weder an unsere Server noch an den Kontoanbieter gesendet. Eine Ausnahme von der lokalen Speicherung ist der von Ihnen veranlasste Export einer verschlüsselten Sicherung, wie unten beschrieben. Für die Anmeldung bei anderen Diensten gelten deren Regeln.

Dienstsymbole und Anbieterkatalog

In Versionen mit Dienstsymbolen gleicht die App Kontobezeichnung oder Anbieter lokal mit einem Katalog ab und kann ein Symbol automatisch direkt von der öffentlichen HTTPS-Website des erkannten Dienstes oder einer von Ihnen angegebenen Website laden. Der gesamte Katalog wird von der festen Adresse https://mymfa.cz/data/providers.v1.json aktualisiert; Ihre Konten werden nicht auf einem Server gesucht. Die Dienstwebsite und der DNS-Betreiber können IP-Adresse, angefragte Domain, Zeitpunkt und technische Anfragedaten erkennen. Die gewählte Domain kann bereits ein Interesse an diesem Dienst erkennen lassen. OTP-Geheimnisse, Codes, Kontonamen, E-Mail-Adressen und biometrische Daten werden dabei nicht gesendet; die App fügt weder Cookies noch Referrer hinzu. Symbole und Katalog werden in einem privaten lokalen Cache gespeichert. Ist ein Symbol nicht verfügbar, wird lokale Grafik verwendet; TOTP funktioniert weiterhin offline. Für Protokolle fremder Websites und DNS gelten deren eigene Regeln; für unsere Kataloganfragen gelten die unten genannten Speicherfristen für Webprotokolle.

Gerätekopplung und geschäftliche Authentifizierung

Bei der Kopplung sendet die App einen einmaligen Kopplungscode, eine Gerätebezeichnung und einen öffentlichen kryptografischen Schlüssel. Der Server erstellt eine Gerätekennung und ein Zugriffstoken; die App schützt das Token im lokalen Speicher, der Server speichert dessen Prüfhash. iOS verwendet für jedes gekoppelte Geschäftskonto eine eigene mTLS-Clientidentität; der Server verarbeitet auch die zur Geräteauthentifizierung erforderlichen Clientzertifikatsdaten. Private Signatur- und mTLS-Schlüssel bleiben geschützt auf dem Gerät.

Bei der Authentifizierung erhält die App vom Server die Organisations- und Benutzeridentität, Kennungen für das Geschäftskonto, Zielsystem, Gerät, die Anfrage, den Versuch und die Sitzung sowie die Gültigkeitsdauer und Sicherheitsparameter der Anfrage. Sie sendet die Anfragekennung, Bestätigung oder Ablehnung, die eingegebene Kontrollzahl und eine digitale Signatur zurück. Der Server verarbeitet den Authentifizierungsstatus und Sicherheitsereignisse. Die mobile App fordert das Passwort Ihres Geschäftskontos weder an noch übermittelt sie es.

Kamera und Biometrie

Android und iOS fragen nach Kamerazugriff zum Scannen von QR-Codes. Bilder werden lokal dekodiert; MyMFA speichert sie nicht als Fotos und sendet sie nicht an einen Server. Der Inhalt eines Kopplungscodes kann anschließend zur Kopplung verwendet werden. Sie können die Kameraberechtigung in den Systemeinstellungen ablehnen oder entziehen und den Link manuell eingeben.

Die biometrische Authentifizierung übernimmt das Betriebssystem. MyMFA erhält weder Fingerabdrücke noch Gesichtsbilder oder biometrische Vorlagen. Das System erlaubt geschützte Vorgänge nach erfolgreicher Authentifizierung gemäß den Geräte- und App-Regeln. iOS nutzt die systemeigene Benutzerauthentifizierung; Android verlangt unterstützte starke Biometrie für Funktionen, die diese voraussetzen.

APNs- und FCM-Mitteilungen

Bei aktivierten Mitteilungen nutzt iOS den Apple Push Notification service (APNs); Android-Versionen mit Push-Unterstützung verwenden Google Firebase Cloud Messaging (FCM). Der Anbieter verarbeitet ein Zustellungstoken und technisch erforderliche Zustelldaten, bei FCM auch eine Firebase-Installations-ID. Die App registriert Token, Plattform, App- und Umgebungskennung sowie Mitteilungssprache beim Authentifizierungsserver. Eine Mitteilung enthält eine allgemeine Aufforderung zum Öffnen von MyMFA, Ereignis- und Gerätekennungen sowie eine Ablaufzeit. Sie enthält keine OTP-Geheimnisse, biometrischen Daten, Passwörter, Kontonamen oder Berechtigung zur Anmeldefreigabe. Details werden über eine authentifizierte Verbindung zu unserem Server geladen; eine Mitteilung allein gibt keinen Zugriff frei. Mitteilungen lassen sich in den Systemeinstellungen deaktivieren. Dies löscht weder die Serverregistrierung noch die Datensätze des Anbieters.

Zustellregistrierungen werden während aktiver Kopplung und aktivierter Mitteilungen verwendet. Meldet die App das Deaktivieren von Mitteilungen, entfernt der Server die Zustellregistrierung; ungültige Tokens können auch nach einer Anbieterantwort entfernt werden. Ein Gerätewiderruf blockiert weitere Zustellungen. Zugehörige Auditprotokolle und betriebliche Sicherungen unterliegen den unten genannten Fristen. Für direkt bei Apple oder Google gespeicherte Daten gelten deren eigene Bedingungen, nicht die Speicherfristen unserer Serverprotokolle.

Informationen zur Datenverarbeitung und Speicherung bei Firebase.

Benutzersicherungen unter iOS

Sie können den Export oder Import einer passwortgeschützten Sicherung veranlassen. Sie enthält OTP-Konten einschließlich ihrer Geheimnisse sowie beschreibende Geschäftskontodaten, etwa Organisation, Kontobezeichnung und Serveradressen. Private Signatur- oder mTLS-Schlüssel und Zugriffstoken sind nicht enthalten; Geschäftszugänge müssen nach der Wiederherstellung neu gekoppelt werden. Die Datei wird auf dem Gerät verschlüsselt, bevor sie an Dateien übergeben wird. Den Speicherort wählen Sie selbst: Smartphone, iCloud Drive oder einen anderen Anbieter. Dieser erhält die verschlüsselte Datei und zugehörige Metadaten nach seinen eigenen Regeln. MyOffice erhält weder Sicherung noch Passwort automatisch und kann das Passwort nicht wiederherstellen. Es handelt sich weder um eine automatische Kopplungssynchronisierung noch um eine betriebliche Serversicherung.

Betriebsdaten, Website und Support

Bei einer Netzwerkverbindung verarbeitet der Server die IP-Adresse und technische Daten der HTTP-Anfrage. Betriebs- und Sicherheitsprotokolle können Zeitpunkt, angeforderte Adresse, Ergebnis der Anfrage und Clientinformationen enthalten. Wenn Sie den Support kontaktieren, verarbeiten wir Ihre E-Mail-Adresse, Ihre Nachricht und die von Ihnen bereitgestellten Angaben.

Die Websites mymfa.cz, mymfa.eu, mymfa.de und mymfa.at verwenden keine Analyse- oder Werbe-Cookies und keine Tracking-Pixel. Schriftarten und Bilder werden vom eigenen Webserver geladen. MyMFA verwendet keine Werbe-, Analyse- oder automatischen Absturzbericht-SDKs. Kontakte, SMS, Mikrofon, Standort und Werbe-ID werden nicht ausgelesen. Vertriebsplattformen und Betriebssysteme können Diagnosedaten nach ihren eigenen Regeln und Ihren Einstellungen verarbeiten; APNs- und FCM-Mitteilungen werden gesondert beschrieben.

3. Warum wir Daten verwenden

Die Daten dienen der Erstellung und Verwaltung von Kopplungen, der Berechnung lokaler OTP-Codes, der Prüfung und Absicherung von Anmeldungen, der Missbrauchsprävention, der Behebung von Betriebsproblemen und der Bearbeitung Ihrer Anfragen. Wir verwenden sie nicht für Werbeprofile und verkaufen sie nicht.

Die eigene Verarbeitung durch MyOffice beruht je nach Situation auf der Erfüllung eines Vertrags oder vorvertraglichen Maßnahmen, berechtigten Interessen an der Sicherheit des Dienstes und der Bearbeitung von Anfragen oder einer rechtlichen Verpflichtung. Für Geschäftskonten bestimmt Ihre Organisation die einschlägige Rechtsgrundlage. Eine Betriebssystemberechtigung ersetzt für sich genommen keine Rechtsgrundlage nach der DSGVO.

Das Authentifizierungssystem prüft automatisch die Richtigkeit und Gültigkeit einer Bestätigung und kann den Zugriff verweigern. Bei Problemen wenden Sie sich an den Administrator Ihrer Organisation. Dieser kann den Vorgang prüfen und ein anderes zugelassenes Anmeldeverfahren bereitstellen. Der Dienst erstellt keine Werbe- oder Verhaltensprofile.

4. Wer Zugriff auf Daten hat

Daten zur geschäftlichen Authentifizierung stehen autorisierten Administratoren Ihrer Organisation sowie Betriebs- und Supportmitarbeitern im für ihre Aufgaben erforderlichen Umfang zur Verfügung. Ist ein vertraglicher Dienstleister beteiligt, darf er Daten nur für den vereinbarten Zweck, mit angemessenem Schutz, unter Wahrung der Vertraulichkeit und nach Weisung des Verantwortlichen verarbeiten. Zuständige Behörden können Daten erhalten, soweit dies gesetzlich vorgeschrieben ist.

Google Play, Apple App Store und TestFlight verarbeiten Daten zu Konten, Vertrieb, Tests und Nutzung ihrer Dienste eigenständig nach den Datenschutzbestimmungen von Google und den Datenschutzbestimmungen von Apple. Apple (APNs) und Google (FCM) stellen Mitteilungen im oben beschriebenen Umfang zu. Exportierte Sicherungen werden vom gewählten Speicherdienst verarbeitet. Diese Dienste können eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums nach den Bedingungen und Garantien des jeweiligen Anbieters umfassen.

Bei Unternehmensbereitstellungen informiert Sie der Verantwortliche Ihrer Organisation über das konkrete Hosting, Dienstleister und mögliche Übermittlungen außerhalb des Europäischen Wirtschaftsraums. Veranlasst der Verantwortliche solche Übermittlungen, muss er die Voraussetzungen der DSGVO erfüllen, etwa durch einen Angemessenheitsbeschluss oder geeignete vertragliche Garantien.

Schutz bei Übertragung und Speicherung

Die App kommuniziert mit zugelassenen Authentifizierungsservern über HTTPS mit Zertifikatsprüfung; iOS verwendet für Geschäftskonten zusätzlich mTLS. Schlüssel werden durch den Systemspeicher geschützt, unter iOS durch Keychain und je nach Schlüsseltyp Secure Enclave. Unter Android ist die automatische Sicherung der App-Daten deaktiviert. iOS synchronisiert Kopplungen nicht automatisch über iCloud; das manuelle Speichern eines verschlüsselten Exports in iCloud Drive ist eine gesonderte Nutzerentscheidung. Serverdaten sind nur für berechtigte Personen zugänglich.

5. Wie lange wir Daten speichern

• Lokale OTP-Konten: bis zur Löschung in der App; unter Android auch bis zum Löschen der App-Daten. Unter iOS löscht eine Deinstallation allein die Keychain nicht zuverlässig. Manuell exportierte Sicherungen bleiben am gewählten Speicherort bis zur Löschung gemäß dessen Regeln; die unten genannte Frist für Serversicherungen gilt dafür nicht.
• Kopplung: lokale Daten während der Nutzung der Kopplung; die Serverregistrierung muss durch einen Administrator widerrufen werden. Die Deinstallation allein widerruft die Serverregistrierung nicht. Unter iOS kann nicht davon ausgegangen werden, dass eine Deinstallation alle Keychain-Einträge entfernt.
• Authentifizierungsanfragen im aktuellen Pilotbetrieb: eine Anfrage ist 90 Sekunden gültig. Ihr Datensatz kann 24 Stunden nach Ablauf aus dem aktiven Zustand entfernt werden und wird bei der nächsten Serververarbeitung gelöscht. Diese Regel gilt nicht für separate Auditprotokolle oder Sicherungen.
• Sicherheits-Auditprotokolle: die Standardfrist beträgt 90 Tage ab dem Ereignis zur Prüfung unbefugter Zugriffe und zur Bearbeitung von Vorfällen.
• Allgemeine Betriebs- und Webprotokolle: 30 Tage ab Erstellung, sofern sie nicht zur Bearbeitung eines konkreten Sicherheitsvorfalls benötigt werden oder unter das unten beschriebene regulierte Regime fallen.
• Betriebliche Sicherungen von MyMFA-Daten: höchstens 30 Tage ab Erstellung der Sicherung. Nach der Löschung aus dem aktiven System können Daten bis zum Ende dieser Frist in einer getrennten Sicherung verbleiben. Sicherungen dienen ausschließlich der Wiederherstellung; dabei werden bereits erfolgte Löschungen und Zugriffswiderrufe erneut angewendet. Für ein Archiv von Sicherheitsprotokollen gilt dessen eigene Speicherfrist, nicht die Frist betrieblicher Sicherungen.
• Supportkommunikation: während der Bearbeitung und 12 Monate nach Abschluss der Anfrage.

Diese Standardfristen legen wir für den von MyOffice bereitgestellten MyMFA-Betrieb fest. Bei Bereitstellungen, die dem Regime höherer Pflichten nach tschechischem Cybersicherheitsrecht unterliegen, werden Sicherheits- und relevante Betriebsprotokolle im vorgeschriebenen Umfang 18 Monate ab dem Ereignis gespeichert, sofern kein Grund für eine längere Speicherung dokumentiert ist. Dies ist eine besondere Regel nach § 22 Abs. 5 Buchst. c der tschechischen Verordnung Nr. 409/2025 Slg.; sie gilt nicht automatisch für alle Daten, Sicherungen oder MyMFA-Bereitstellungen. Bei einem anderen betrieblichen Anbieter legt die zuständige Organisation die konkreten Fristen fest und teilt sie mit.

Nach Ablauf der jeweiligen Frist werden Daten gelöscht oder unumkehrbar anonymisiert. Nur Daten, die für einen konkreten Vorfall, Rechtsanspruch oder eine gesetzliche Verpflichtung erforderlich sind, dürfen länger gespeichert werden, im notwendigen Umfang und solange der jeweilige Grund besteht. Die Erforderlichkeit einer solchen Speicherung wird laufend überprüft.

Bei einem Löschantrag berücksichtigt der Verantwortliche auch zugehörige Datensätze und Sicherungen. Müssen bestimmte Daten weiter gespeichert werden, teilt er Ihnen den Grund und die betreffende Dauer oder die Kriterien zur Bestimmung dieser Dauer mit. Der Widerruf eines Geräts löscht nicht automatisch alle historischen Datensätze.

6. Daten löschen und Kopplung aufheben

MyMFA erstellt kein separates Verbraucherkonto bei MyOffice. Die App speichert lokale OTP-Konten und ermöglicht die Registrierung eines Geräts für einen bestehenden geschäftlichen Zugang. Gehen Sie je nach den zu löschenden Daten wie folgt vor:

1. OTP-Konto unter Android und iOS: wählen Sie in der App die Löschfunktion für das betreffende OTP-Konto und bestätigen Sie. Unter Android können Sie alle lokalen Daten auch in den Systemeinstellungen der App löschen. Exportierte Sicherungen müssen Sie gesondert in Dateien oder beim gewählten Anbieter löschen, einschließlich Papierkorb und weiterer Kopien. Das Löschen eines OTP-Kontos entfernt keine zuvor exportierten Dateien. Stellen Sie zuvor einen alternativen Zugang zu den betroffenen Diensten sicher.
2. Geschäftliche Geräteregistrierung und zugehörige Serverdaten: bitten Sie den Administrator Ihrer Organisation um Widerruf der Registrierung und Löschung der MyMFA-Daten. Sie können sich auch wenden an info@myoffice.cz mit dem Betreff „MyMFA — Löschantrag“. Ein Antrag ist auch ohne installierte App möglich.

Nennen Sie Ihre Organisation, Kontokennung oder Kontakt-E-Mail und geben Sie an, ob Sie die Kopplung aufheben, Daten löschen oder beides möchten. Senden Sie kein Passwort, OTP-Geheimnis, Kopplungs-QR-Code oder Zugriffstoken. Falls erforderlich, überprüfen wir Ihre Identität in angemessener Weise. Anträge zu Daten unter der Verantwortung Ihrer Organisation bearbeiten wir gemeinsam mit deren Verantwortlichem. Das Aufheben der Kopplung löscht weder Ihr Geschäftskonto beim Arbeitgeber noch ein Konto bei einem anderen Dienst.

Wir beantworten Anträge nach der DSGVO unverzüglich, in der Regel spätestens innerhalb eines Monats. Erlaubt das Gesetz wegen der Komplexität oder Anzahl der Anträge eine Verlängerung, teilen wir Ihnen die Gründe innerhalb dieser Frist mit.

7. Ihre weiteren Rechte

Unter den Voraussetzungen der DSGVO können Sie Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit verlangen. Einer Verarbeitung aufgrund berechtigter Interessen können Sie widersprechen. Beruht die Verarbeitung auf einer Einwilligung, können Sie diese widerrufen, ohne die Rechtmäßigkeit der bisherigen Verarbeitung zu berühren. Senden Sie Ihren Antrag an den Verantwortlichen Ihrer Organisation oder an info@myoffice.cz.

Sie haben außerdem das Recht, Beschwerde einzulegen bei der tschechischen Datenschutzbehörde oder einer anderen zuständigen Aufsichtsbehörde.

8. Kinder und Änderungen dieser Erklärung

MyMFA dient der Kontosicherheit und geschäftlichen Nutzung und richtet sich nicht an Kinder. Ändern sich Funktionen, verarbeitete Daten oder Empfänger, aktualisieren wir diese Erklärung und das Änderungsdatum. Über wesentliche Änderungen informieren wir entsprechend ihrer Art in der App oder über den Administrator des Dienstes.