Datenschutz

Ihr Verzeichnis bleibt bei Ihnen

Datenschutzhinweise für DirectoryOps: was die Konsole, diese Website und das Kundenkonto verarbeiten, wer daran beteiligt ist und wie lange wir Daten aufbewahren.

Version 1.0 · Stand 28.10.2026

AGB und Lizenzbedingungen

0 Byte Verzeichnisdaten an unsDie Konsole liest und zeigt Ihr AD nur auf Ihrem Rechner.
Keine Telemetrie, kein TrackingKeine Analyse-Cookies, keine fremden Skripte, keine Schriften von Dritten.
Nur, was Lizenz und Rechnung brauchenIm Kundenkonto: Firma, Microsoft-Mandant, Namen und E-Mail der angemeldeten Personen.

An English convenience translation is available:

1 Verantwortlicher und Geltungsbereich#

Kurz gesagt

Verantwortlich ist die TOMORIS GmbH. Diese Hinweise gelten für DirectoryOps; allgemeine Themen regelt die Datenschutzerklärung auf tomoris.com.

Verantwortlich für die Verarbeitung ist die TOMORIS GmbH, Saturnstraße 1, 4614 Marchtrenk, Österreich, E-Mail contact@tomoris.com, Telefon +43 7243 53091.
Diese Hinweise gelten für die Website directoryops.tomoris.com (Produktseite, Download, Update-Prüfung), das Kundenkonto mit Kauf, Bestellung, Angebot und Testlizenz sowie für die Verbindungen, die die Konsole DirectoryOps zu uns aufbaut. Für die Website tomoris.com, für Kontaktaufnahmen auf anderen Wegen und für alles Übrige gilt die Datenschutzerklärung der TOMORIS GmbH.

2 Die Konsole DirectoryOps#

Kurz gesagt

Was die Konsole aus Ihrem Active Directory liest, bleibt auf Ihrem Rechner. Uns erreicht nur die Frage „Gibt es ein Update?“ und einmal am Tag der Abruf der Widerrufsliste. Beides lässt sich abschalten.

Die Konsole verarbeitet Verzeichnisdaten (Benutzer, Gruppen, Computer, Rechte, Einstellungen) ausschließlich lokal auf dem Rechner, auf dem sie läuft. Sie überträgt keine Verzeichnisdaten, Benutzerdaten, Berichte oder Nutzungsstatistiken an TOMORIS. Telemetrie gibt es nicht; lokale Nutzungszähler gibt es nur, wenn Sie sie einschalten, und sie bleiben auf Ihrem Rechner. Für diese lokale Verarbeitung ist Ihre Organisation verantwortlich, nicht TOMORIS.
Update-Prüfung. Ist sie eingeschaltet, ruft die Konsole eine signierte Versionsdatei von directoryops.tomoris.com ab und lädt ein Update erst nach Ihrem Klick aus dem TOMORIS-Download-Speicher (Microsoft Azure, Region Westeuropa). Dabei fallen die üblichen Verbindungsdaten an: IP-Adresse, Zeitpunkt, abgerufene Adresse und Programmkennung mit Version. Die Update-Prüfung lässt sich in den Einstellungen oder per Gruppenrichtlinie abschalten; Updates gibt es dann als Offline-Paket.
Widerrufsliste. Ist eine Lizenzdatei importiert, ruft die Konsole höchstens einmal täglich die öffentliche, signierte Liste widerrufener Lizenzen von directoryops.tomoris.com ab. Die Anfrage enthält keine Angaben über Lizenz, Benutzer oder Verzeichnis; es fallen nur die Verbindungsdaten wie bei der Update-Prüfung an. Die Lizenz selbst wird offline geprüft.
Rechtsgrundlage für die Verbindungsdaten ist unser berechtigtes Interesse, sichere Updates bereitzustellen und missbräuchlich verbreitete Lizenzen zu sperren (Art. 6 Abs. 1 lit. f DSGVO), bei Kunden mit Lizenz auch die Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO).

3 Diese Website#

Kurz gesagt

Keine Analyse, keine Werbung, keine fremden Inhalte. Der Server protokolliert Zugriffe für Betrieb und Sicherheit. Ihre Wahl von Sprache und Darstellung merkt sich nur Ihr Browser.

Die Website wird bei Hostinger in der EU betrieben. Beim Aufruf verarbeitet der Server technisch nötige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Statuscode, übertragene Datenmenge, verweisende Seite und Browserkennung. Sie dienen der Auslieferung, der Fehlersuche und der Abwehr von Angriffen (Art. 6 Abs. 1 lit. f DSGVO).
Die Website lädt keine Inhalte von Dritten: keine Schriften, Skripte oder Bilder fremder Anbieter, keine Analyse- oder Werbewerkzeuge, keine Social-Media-Einbindungen. Auf den Inhaltsseiten werden keine Cookies gesetzt.
Ihre Wahl von Sprache und Darstellung (hell oder dunkel) speichert Ihr Browser im lokalen Speicher, damit sie beim nächsten Besuch gilt. Während der Anmeldung im Kaufvorgang merkt sich der Browser Ihre Eingaben im Bestellformular kurz im Sitzungsspeicher und löscht sie danach. Diese Daten verlassen Ihren Browser nicht. Sie sind für die von Ihnen gewünschte Funktion unbedingt erforderlich (§ 165 Abs. 3 TKG 2021).
Um Missbrauch zu verhindern, zählt der Kontodienst Anfragen je IP-Adresse und Bereich (Ratenbegrenzung). Die IP-Adresse liegt dafür nur im Arbeitsspeicher des Servers und wird verworfen, sobald sie nicht mehr gebraucht wird, spätestens nach einer Stunde. Sie wird nicht auf Datenträger geschrieben.

4 Kundenkonto und Anmeldung mit Microsoft#

Kurz gesagt

Sie melden sich mit Ihrem Microsoft-Geschäftskonto an; ein Kennwort sehen wir nie. Wir speichern Ihre Organisation, Firmen- und Rechnungsdaten, Lizenzen und Bestellungen sowie Name und E-Mail der Personen, die sich angemeldet haben.

Anmeldung. Die Anmeldung läuft über Microsoft Entra ID. Ihr Kennwort geben Sie nur bei Microsoft ein. Wir erhalten von Microsoft ein Anmeldetoken mit der Kennung Ihrer Organisation (Mandanten-ID), Ihrer Objektkennung, Ihrem Namen und Ihrer E-Mail-Adresse bzw. Ihrem Anmeldenamen; daraus leiten wir die Domäne Ihrer Organisation ab. Wir fragen keine weiteren Berechtigungen an und lesen nichts aus Ihrem Microsoft-365-Mandanten.
Gespeicherte Daten. Im Kundenkonto speichern wir:
- zur Organisation: Mandanten-ID, Domäne(n), Firma, UID-Nummer, Land, Rechnungs-E-Mail, Abo-Stand und letzten Kaufvorgang (Plan, Menge, Zeitpunkt), bei MSP die Namen der betreuten Mandanten;
- zu jeder Person, die sich angemeldet hat: Objektkennung, Name, E-Mail-Adresse und Zeitpunkt der letzten Anmeldung (höchstens 50 Personen je Organisation; die am längsten nicht angemeldeten fallen weg);
- Lizenzen (Edition, Staffel, Laufzeit, gebundene Gesamtstrukturen, die signierte Lizenzdatei mit Firma, Mandanten-ID und Domänen), Bestellungen und Testlizenzen;
- die Zustimmung zu den AGB: Version, Zeitpunkt und die zustimmende Person.
Keine Kennwörter, keine Zugriffstoken, keine Zahlungsdaten.
Cookies. Das Kundenkonto setzt nur technisch notwendige Cookies: __Host-do_sitzung (Anmeldesitzung, versiegelt, 8 Stunden), __Host-do_anmeldung (Schutz des Anmeldevorgangs, 10 Minuten) und __Host-do_csrf (Schutz vor gefälschten Anfragen, bis zum Schließen des Browsers).
Rechtsgrundlagen. Die Verarbeitung dient der Anbahnung und Erfüllung des Vertrags mit Ihrer Organisation (Art. 6 Abs. 1 lit. b DSGVO). Für die Daten der Personen, die für eine Organisation handeln, stützen wir uns auf unser berechtigtes Interesse, das Vertragsverhältnis mit dieser Organisation abzuwickeln und abzusichern (Art. 6 Abs. 1 lit. f DSGVO). Rechnungs- und Buchhaltungsdaten bewahren wir auf, weil das Gesetz es verlangt (Art. 6 Abs. 1 lit. c DSGVO, § 132 BAO, § 212 UGB).
Die Angaben sind für Lizenz und Rechnung erforderlich. Ohne Anmeldung können wir keine Lizenz im Kundenkonto ausstellen; Angebote und Bestellungen per E-Mail bleiben möglich.

5 Kauf und Zahlung#

Kurz gesagt

Bezahlt wird bei Stripe; Karten- und Kontodaten sehen wir nicht. Unser Abrechnungsdienst TOMORIS Commerce erstellt Abo und Rechnung und meldet uns den Abo-Stand zurück.

Beim Online-Kauf übergibt das Kundenkonto Plan, Menge, Mandanten-ID, Firma, Rechnungs-E-Mail, UID-Nummer und Land an unseren Abrechnungsdienst TOMORIS Commerce. Er betreibt Abo und Rechnung, legt bei Stripe eine Bezahlseite an und meldet uns Änderungen des Abos (Status, Laufzeit, Menge) zurück, damit wir die Lizenz ausstellen. TOMORIS Commerce läuft auf Servern der TOMORIS GmbH.
Auf der Bezahlseite von Stripe geben Sie Zahlungsdaten (Karte oder IBAN) und Rechnungsadresse ein. Stripe verarbeitet die Zahlungsdaten zur Zahlungsabwicklung, Betrugsvorbeugung und Erfüllung gesetzlicher Pflichten in eigener Verantwortung; es gilt die Datenschutzerklärung von Stripe. Wir erhalten nur Zahlungsstatus, Rechnungsdaten und eine Kundenreferenz, keine vollständigen Karten- oder Kontodaten.
Rechnungen erstellen und buchen wir in Microsoft Dynamics 365 Business Central und senden sie per E-Mail von rechnung@tomoris.com.
Rechtsgrundlagen sind die Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO) und gesetzliche Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO).

6 Angebotsanfragen, Bestellungen und Testlizenzen#

Kurz gesagt

Was Sie im Formular angeben, speichern wir im Kontodienst und schicken es per E-Mail an unseren Vertrieb, damit wir antworten können.

Bei einer Angebotsanfrage speichern wir Plan, Menge, Firma, UID-Nummer, Land, E-Mail-Adresse und, wenn angegeben, Name, Telefon und Nachricht sowie die akzeptierte AGB-Version und den Zeitpunkt. Bei Bestellungen auf Rechnung und Testlizenzen speichern wir die Angaben aus dem Formular mit Ihrer Organisation (Abschnitt 4).
Wir leiten Anfragen und Bestellungen per E-Mail über Microsoft 365 (Exchange Online, Microsoft Graph) an das Vertriebspostfach von TOMORIS weiter.
Rechtsgrundlage sind vorvertragliche Maßnahmen und die Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO) und, für die Kontaktdaten der handelnden Personen, unser berechtigtes Interesse an der Bearbeitung der Anfrage (Art. 6 Abs. 1 lit. f DSGVO).

7 Beteiligte Dienste und Empfänger#

Kurz gesagt

Drei Anbieter helfen uns: Hostinger (Server), Microsoft (Anmeldung, E-Mail, Download, Buchhaltung) und Stripe (Zahlung). Wir verkaufen keine Daten und geben sie nicht für Werbung weiter.

Anbieter	Wofür	Rolle
Hostinger International Ltd., Zypern	Betrieb der Website und des Kontodienstes, Server in der EU	Auftragsverarbeiter
Microsoft Ireland Operations Ltd., Irland	Anmeldung (Entra ID), E-Mail (Exchange Online, Graph), Download-Speicher (Azure, Westeuropa), Rechnung (Dynamics 365 Business Central)	Auftragsverarbeiter
Stripe Payments Europe, Limited, Irland	Bezahlseite, Zahlungsabwicklung, Kundenportal für Abo und Rechnungen	für Zahlungsdaten eigener Verantwortlicher, im Übrigen Auftragsverarbeiter

Darüber hinaus geben wir Daten nur weiter, wenn das Gesetz es verlangt, etwa an Finanzbehörden, oder an zur Verschwiegenheit verpflichtete Berater (etwa Steuerberatung).

8 Übermittlung in Drittländer#

Kurz gesagt

Wir wählen Anbieter mit Sitz in der EU. Weil Microsoft und Stripe Konzerne aus den USA sind, sind Zugriffe aus den USA nicht ausgeschlossen; dafür gelten die Schutzmechanismen der EU.

Microsoft und Stripe gehören zu Konzernen mit Sitz in den USA. Soweit Daten dabei in die USA gelangen können, stützt sich das auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework, unter dem beide Konzerne zertifiziert sind, und ergänzend auf Standardvertragsklauseln der EU-Kommission.

9 Speicherdauer#

Kurz gesagt

So kurz wie möglich, so lang wie das Gesetz es verlangt. Was mit einer Rechnung zusammenhängt, bewahren wir sieben Jahre auf.

Daten	Dauer
Anmeldesitzung, Anmelde- und Schutz-Cookies	8 Stunden, 10 Minuten, bis zum Schließen des Browsers
IP-Adresse für die Ratenbegrenzung	nur im Arbeitsspeicher, höchstens eine Stunde
Zugriffsprotokolle des Servers (Hostinger)	so lange, wie Hostinger es für den Betrieb braucht; eine feste Frist nennt Hostinger nicht
Personen im Kundenkonto (Name, E-Mail, letzte Anmeldung)	solange das Kundenkonto besteht; auf Wunsch löschen wir einzelne Personen sofort
Kundenkonto, Lizenzen, Bestellungen, AGB-Zustimmung	Dauer der Geschäftsbeziehung, danach sieben Jahre ab Ende des Kalenderjahres (§ 132 BAO, § 212 UGB)
Angebotsanfragen ohne Vertrag	bis zur Erledigung, höchstens drei Jahre
Kennungen von Abrechnungsereignissen	45 Tage
Sprache und Darstellung im Browser	bis Sie den Browserspeicher löschen

10 Ihre Rechte#

Kurz gesagt

Eine E-Mail an contact@tomoris.com genügt. Wir antworten innerhalb eines Monats.

Sie haben das Recht auf Auskunft, Berichtigung, Löschung und Einschränkung der Verarbeitung, auf Datenübertragbarkeit sowie das Recht, einer Verarbeitung auf Grundlage berechtigter Interessen zu widersprechen (Art. 15 bis 21 DSGVO). Wenden Sie sich dafür an contact@tomoris.com.
Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen das Datenschutzrecht verstößt, können Sie sich bei einer Aufsichtsbehörde beschweren. In Österreich ist das die Datenschutzbehörde (Barichgasse 40–42, 1030 Wien, dsb.gv.at).
Eine automatisierte Entscheidungsfindung einschließlich Profiling findet nicht statt.

11 Änderungen#

Wir passen diese Hinweise an, wenn sich Funktionen oder beteiligte Dienste ändern. Es gilt die jeweils hier veröffentlichte Fassung. Version 1.0, Stand 28.10.2026.

Convenience translation. This English text is provided for information only. In case of any difference, the German version prevails.

1 Controller and scope#

In short

TOMORIS GmbH is responsible. This notice covers DirectoryOps; general topics are covered by the privacy policy on tomoris.com.

The controller is TOMORIS GmbH, Saturnstraße 1, 4614 Marchtrenk, Austria, email contact@tomoris.com, phone +43 7243 53091.
This notice applies to the website directoryops.tomoris.com (product site, download, update check), the customer account with purchase, order, quote and trial licence, and to the connections the DirectoryOps console makes to us. For the website tomoris.com, for contact through other channels and for everything else, the TOMORIS GmbH privacy policy applies.

2 The DirectoryOps console#

In short

What the console reads from your Active Directory stays on your computer. All we receive is the question "is there an update?" and, once a day, the request for the revocation list. Both can be switched off.

The console processes directory data (users, groups, computers, permissions, settings) exclusively locally on the computer it runs on. It does not transmit directory data, user data, reports or usage statistics to TOMORIS. There is no telemetry; local usage counters only exist if you switch them on, and they stay on your computer. Your organisation, not TOMORIS, is responsible for this local processing.
Update check. If enabled, the console fetches a signed version file from directoryops.tomoris.com and downloads an update only after your click from the TOMORIS download storage (Microsoft Azure, West Europe region). The usual connection data is processed: IP address, time, requested address and program identifier with version. The update check can be switched off in the settings or by group policy; updates are then available as an offline package.
Revocation list. If a licence file is imported, the console fetches the public, signed list of revoked licences from directoryops.tomoris.com at most once a day. The request contains no information about licence, user or directory; only connection data as with the update check is processed. The licence itself is checked offline.
The legal basis for the connection data is our legitimate interest in providing secure updates and blocking improperly distributed licences (Art. 6(1)(f) GDPR), and for licensed customers also the performance of the contract (Art. 6(1)(b) GDPR).

3 This website#

In short

No analytics, no advertising, no third-party content. The server logs access for operation and security. Only your browser remembers your choice of language and appearance.

The website is operated by Hostinger in the EU. When you visit, the server processes technically necessary data: IP address, date and time, requested address, status code, amount of data transferred, referring page and browser identifier. This is used for delivery, troubleshooting and defence against attacks (Art. 6(1)(f) GDPR).
The website does not load any third-party content: no fonts, scripts or images from other providers, no analytics or advertising tools, no social media embeds. No cookies are set on the content pages.
Your browser stores your choice of language and appearance (light or dark) in local storage so that it applies on your next visit. During sign-in in the purchase process, the browser briefly keeps your order form entries in session storage and then deletes them. This data never leaves your browser. It is strictly necessary for the function you requested (section 165(3) of the Austrian Telecommunications Act 2021).
To prevent misuse, the account service counts requests per IP address and area (rate limiting). The IP address is held only in the server's memory for this purpose and is discarded as soon as it is no longer needed, at the latest after one hour. It is not written to disk.

4 Customer account and sign-in with Microsoft#

In short

You sign in with your Microsoft work account; we never see a password. We store your organisation, company and billing data, licences and orders, and the name and email of the people who have signed in.

Sign-in. Sign-in uses Microsoft Entra ID. You only enter your password at Microsoft. We receive a sign-in token from Microsoft with the identifier of your organisation (tenant ID), your object identifier, your name and your email address or sign-in name; from this we derive your organisation's domain. We do not request any further permissions and do not read anything from your Microsoft 365 tenant.
Data stored. In the customer account we store:
- for the organisation: tenant ID, domain(s), company name, VAT ID, country, billing email, subscription status and the last purchase (plan, quantity, time), for MSPs the names of the managed tenants;
- for each person who has signed in: object identifier, name, email address and time of last sign-in (at most 50 people per organisation; those who have not signed in for longest drop off);
- licences (edition, tier, term, bound forests, the signed licence file with company name, tenant ID and domains), orders and trial licences;
- acceptance of the Terms: version, time and the person who accepted.
No passwords, no access tokens, no payment data.
Cookies. The customer account only sets technically necessary cookies: __Host-do_sitzung (sign-in session, sealed, 8 hours), __Host-do_anmeldung (protection of the sign-in flow, 10 minutes) and __Host-do_csrf (protection against forged requests, until the browser is closed).
Legal bases. The processing serves the preparation and performance of the contract with your organisation (Art. 6(1)(b) GDPR). For the data of people acting for an organisation, we rely on our legitimate interest in handling and securing the contractual relationship with that organisation (Art. 6(1)(f) GDPR). We keep invoicing and accounting data because the law requires it (Art. 6(1)(c) GDPR, section 132 of the Austrian Federal Fiscal Code BAO, section 212 UGB).
The information is required for licence and invoice. Without sign-in we cannot issue a licence in the customer account; quotes and orders by email remain possible.

5 Purchase and payment#

In short

You pay at Stripe; we do not see card or account details. Our billing service TOMORIS Commerce creates subscription and invoice and reports the subscription status back to us.

For an online purchase, the customer account passes plan, quantity, tenant ID, company name, billing email, VAT ID and country to our billing service TOMORIS Commerce. It runs subscription and invoicing, creates a payment page at Stripe and reports changes to the subscription (status, term, quantity) back to us so that we can issue the licence. TOMORIS Commerce runs on servers of TOMORIS GmbH.
On the Stripe payment page you enter payment details (card or IBAN) and billing address. Stripe processes payment data for payment processing, fraud prevention and compliance with legal obligations under its own responsibility; Stripe's privacy policy applies. We only receive payment status, billing data and a customer reference, not complete card or account details.
We create and book invoices in Microsoft Dynamics 365 Business Central and send them by email from rechnung@tomoris.com.
The legal bases are performance of the contract (Art. 6(1)(b) GDPR) and statutory retention obligations (Art. 6(1)(c) GDPR).

6 Quote requests, orders and trial licences#

In short

What you enter in the form is stored in the account service and sent by email to our sales team so that we can reply.

For a quote request we store plan, quantity, company name, VAT ID, country, email address and, if provided, name, phone and message, as well as the accepted version of the Terms and the time. For orders on invoice and trial licences we store the form data with your organisation (section 4).
We forward requests and orders by email via Microsoft 365 (Exchange Online, Microsoft Graph) to the TOMORIS sales mailbox.
The legal basis is pre-contractual measures and performance of the contract (Art. 6(1)(b) GDPR) and, for the contact details of the people acting, our legitimate interest in handling the request (Art. 6(1)(f) GDPR).

7 Services involved and recipients#

In short

Three providers help us: Hostinger (servers), Microsoft (sign-in, email, download, accounting) and Stripe (payment). We do not sell data or pass it on for advertising.

Provider	Purpose	Role
Hostinger International Ltd., Cyprus	Operation of the website and the account service, servers in the EU	Processor
Microsoft Ireland Operations Ltd., Ireland	Sign-in (Entra ID), email (Exchange Online, Graph), download storage (Azure, West Europe), invoicing (Dynamics 365 Business Central)	Processor
Stripe Payments Europe, Limited, Ireland	Payment page, payment processing, customer portal for subscription and invoices	Independent controller for payment data, otherwise processor

Beyond that, we only pass on data where the law requires it, for example to tax authorities, or to advisers bound by confidentiality (for example tax advisers).

8 Transfers to third countries#

In short

We choose providers based in the EU. Because Microsoft and Stripe are US groups, access from the US cannot be ruled out; the EU safeguards apply.

Microsoft and Stripe belong to groups headquartered in the USA. To the extent that data may reach the USA, this is based on the European Commission's adequacy decision for the EU-US Data Privacy Framework, under which both groups are certified, and additionally on the European Commission's standard contractual clauses.

9 Retention#

In short

As short as possible, as long as the law requires. Anything related to an invoice is kept for seven years.

Data	Period
Sign-in session, sign-in and protection cookies	8 hours, 10 minutes, until the browser is closed
IP address for rate limiting	in memory only, at most one hour
Server access logs (Hostinger)	as long as Hostinger needs them for operation; Hostinger does not state a fixed period
People in the customer account (name, email, last sign-in)	as long as the customer account exists; on request we delete individual people immediately
Customer account, licences, orders, acceptance of the Terms	duration of the business relationship, then seven years from the end of the calendar year (section 132 BAO, section 212 UGB)
Quote requests without a contract	until handled, at most three years
Identifiers of billing events	45 days
Language and appearance in the browser	until you clear browser storage

10 Your rights#

In short

An email to contact@tomoris.com is enough. We reply within one month.

You have the right of access, rectification, erasure and restriction of processing, the right to data portability and the right to object to processing based on legitimate interests (Art. 15 to 21 GDPR). Please contact contact@tomoris.com.
If you believe that the processing of your data infringes data protection law, you can lodge a complaint with a supervisory authority. In Austria this is the Data Protection Authority (Datenschutzbehörde, Barichgasse 40–42, 1030 Vienna, dsb.gv.at).
There is no automated decision-making, including profiling.

11 Changes#

We update this notice when features or the services involved change. The version published here applies. Version 1.0, as of 28 October 2026.