Datenschutz

Kurz gesagt

Dieses Angebot kommt ohne Tracking, ohne Werbung und ohne Analysedienste aus. Es werden keine Schriftarten, Skripte oder Bilder von fremden Servern nachgeladen, und es gibt keine Cookies zu Analyse- oder Werbezwecken – deshalb auch kein Einwilligungsbanner.

Wer nur die Startseite aufruft, hinterlässt nichts außer einem Eintrag im Server-Protokoll. Alles Weitere fällt erst an, wenn eine der Anwendungen tatsächlich genutzt wird; die Abschnitte unten sind deshalb nach Bereichen geordnet.

Verantwortlicher

Eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten muss ich für dieses Angebot nicht benennen.

Hosting

Das Angebot läuft auf einem virtuellen Server der STRATO GmbH, Pascalstraße 10, 10587 Berlin. Der Standort des Rechenzentrums liegt in Deutschland. STRATO verarbeitet die anfallenden Daten ausschließlich in meinem Auftrag und nach meinen Weisungen; Grundlage ist ein Vertrag über Auftragsverarbeitung nach Art. 28 DSGVO.

Server-Logdateien

Beim Abruf jeder Seite speichert der Webserver automatisch einen Eintrag in einer Protokolldatei. Erfasst werden:

• IP-Adresse des anfragenden Geräts
• Datum und Uhrzeit des Zugriffs
• aufgerufene Adresse und übertragene Datenmenge
• Statuscode der Antwort
• zuvor besuchte Seite (Referrer), sofern der Browser sie sendet
• Browser- und Betriebssystemkennung (User-Agent)

Zweck und Rechtsgrundlage

Diese Daten sind zum Betrieb und zur Absicherung des Servers erforderlich – etwa um Störungen zu finden und Angriffe zu erkennen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; mein berechtigtes Interesse liegt im stabilen und sicheren Betrieb.

Speicherdauer

Die Protokolldateien werden täglich gewechselt und nach 14 Tagen automatisch gelöscht. Eine Zusammenführung mit anderen Daten findet nicht statt.

Startseite

Die Startseite besteht aus einer einzigen Datei. Sie lädt nichts nach, führt kein JavaScript aus, setzt keine Cookies und speichert nichts in deinem Browser. Über die oben genannten Protokolleinträge hinaus fallen hier keine Daten an.

Nextcloud

Unter /nextcloud/ läuft eine selbst betriebene Nextcloud-Instanz für einen begrenzten, persönlich bekannten Nutzerkreis. Die Nutzung setzt ein Konto voraus, das ich vergebe; eine offene Registrierung gibt es nicht.

Kontodaten

Zum Konto gehören Benutzername, Anzeigename, E-Mail-Adresse und das Passwort. Das Passwort wird ausschließlich als kryptografischer Hashwert gespeichert und ist mir im Klartext nicht zugänglich. Ergänzend hält Nextcloud technische Angaben wie den Zeitpunkt der letzten Anmeldung, aktive Sitzungen und angelegte Geräte-Passwörter vor.

Inhalte

Verarbeitet werden die Daten, die Nutzerinnen und Nutzer selbst einstellen: hochgeladene Dateien einschließlich ihrer Metadaten, Kalender- und Kontakteinträge, Freigaben, Kommentare sowie Chat- und Gesprächsverläufe. Über welche Inhalte das sind, entscheidet allein die jeweilige Person.

Als Betreiber habe ich technisch die Möglichkeit, auf gespeicherte Daten zuzugreifen. Ich tue das nicht anlasslos, sondern nur, soweit es für den Betrieb, die Fehlersuche oder eine ausdrückliche Bitte um Hilfe erforderlich ist.

Protokolle innerhalb der Cloud

Nextcloud führt eine Aktivitätenliste (etwa: Datei angelegt, geteilt, geändert) sowie ein technisches Fehlerprotokoll. Beides dient der Nachvollziehbarkeit im eigenen Konto und der Fehlersuche.

Cookies und lokale Speicherung

Nextcloud setzt für die Anmeldung ein Sitzungscookie und speichert Oberflächeneinstellungen im Browser. Diese Speicherung ist für den von dir angeforderten Dienst unbedingt erforderlich und daher nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei. Cookies zu Analyse- oder Werbezwecken werden nicht gesetzt.

Audio- und Videogespräche (Talk)

Für Gespräche kommt Nextcloud Talk zum Einsatz. Die Gesprächsinhalte laufen über einen Signalisierungs- und Vermittlungsdienst, der auf demselben Server betrieben wird.

Zum Verbindungsaufbau greift Talk zusätzlich auf einen sogenannten STUN-Server zurück, um die öffentliche IP-Adresse der Beteiligten zu ermitteln. Voreingestellt ist dafür stun.nextcloud.com, betrieben von der Nextcloud GmbH, Hauptstr. 3, 70563 Stuttgart. Dabei wird die IP-Adresse des Geräts an diesen Server übermittelt; Gesprächsinhalte werden nicht übertragen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse am Zustandekommen der Verbindung.

Dokumentbearbeitung

Das Bearbeiten von Text- und Tabellendokumenten läuft über eine auf demselben Server installierte Komponente. Dokumente verlassen den Server dafür nicht; eine Übermittlung an einen externen Office-Dienst findet nicht statt.

E-Mail-Versand

Für Systemnachrichten – etwa Einladungen, Freigabe-Benachrichtigungen und das Zurücksetzen von Passwörtern – versendet die Cloud E-Mails über den Dienstleister Brevo (Brevo GmbH, Köln). Übermittelt werden dabei die Empfängeradresse und der Inhalt der jeweiligen Nachricht. Brevo verarbeitet diese Daten in meinem Auftrag nach Art. 28 DSGVO.

Rechtsgrundlage und Speicherdauer

Rechtsgrundlage für Konto und Inhalte ist Art. 6 Abs. 1 lit. b DSGVO: Die Verarbeitung ist zur Erfüllung des Nutzungsverhältnisses erforderlich, in dessen Rahmen ich den Speicherplatz zur Verfügung stelle.

Die Daten bleiben gespeichert, solange das Konto besteht. Auf Wunsch lösche ich ein Konto samt zugehöriger Inhalte; eine kurze E-Mail genügt. Nach der Löschung sind die Daten nicht wiederherstellbar. Sicherungskopien können die Daten technisch bedingt noch für kurze Zeit enthalten und werden turnusmäßig überschrieben.

Bitte lade keine Daten hoch, deren Verlust dich empfindlich träfe, ohne eine eigene Sicherungskopie zu behalten. Es handelt sich um ein privat betriebenes Angebot ohne zugesicherte Verfügbarkeit.

Auswertungswerkzeuge

Die beiden Werkzeuge unter /tradebot_value/ und /tradingbot_momentum/ sind durch eine Zugangsabfrage geschützt und ausschließlich für meinen eigenen Gebrauch bestimmt. Es gibt dort keine Benutzerkonten und keinen Publikumsverkehr; über die Server-Logdateien und die übermittelten Zugangsdaten hinaus fallen keine personenbezogenen Daten an.

Zur Auswertung ruft der Server im Hintergrund öffentlich zugängliche Kurs- und Unternehmensdaten von externen Quellen ab. Diese Abrufe gehen vom Server aus; Daten von Besucherinnen und Besuchern werden dabei nicht übermittelt.

Spiele

Für den Spielebereich unter /spiele/ gilt eine eigene, auf die dortigen Funktionen zugeschnittene Erklärung – sie beschreibt Spielernamen, Bestenlisten, die Speicherung im Browser und das Formular zum Melden von Fehlern im Einzelnen.

Zur Datenschutzerklärung des Spielebereichs →

Mitbringen (Einkaufslisten)

Unter /mitbringen/ können Nutzerinnen und Nutzer Einkaufslisten mit einem Trinkgeld aufgeben, sich als Fahrer eintragen und miteinander schreiben. Die Listen sind ohne Konto lesbar; wer etwas aufgibt, übernimmt oder schreibt, braucht ein Konto.

Was gespeichert wird

• Konto: der selbst gewählte Name, das Passwort ausschließlich als gesalzener Hash (PBKDF2), Zeitpunkt der Anlage und der letzten Nutzung, die Bestätigung der Volljährigkeit. Optional: Telefonnummer, Adresse und ein ungefährer Ort (PLZ/Ort), wenn du sie selbst einträgst. Telefonnummer und Adresse sieht niemand außer dir; sie werden nirgends angezeigt und nicht weitergegeben.
• Anzeigen: was du einträgst – Einkaufsliste, Betrag, ungefährer Ort, Datum, Notiz. Aus PLZ bzw. Ort wird der ungefähre Mittelpunkt dieses Ortes bestimmt, damit andere nach Entfernung sortieren können (angezeigt wird nur die gerundete Entfernung, nie Koordinaten). Die Tabelle dafür liegt auf diesem Server; es wird kein Kartendienst abgefragt. Sie sind für alle sichtbar, zusammen mit deinem Anzeigenamen.
• Nachrichten zwischen zwei Personen, und wer welche Nachricht schon gelesen hat. Was du in den Chat schreibst – auch eine Telefonnummer oder Adresse –, sieht dein Gegenüber.
• Meldungen: wer was gemeldet hat, der Grund und eine Kopie des gemeldeten Textes.
• Ein Sitzungs-Cookie (mb), technisch notwendig, um dich angemeldet zu halten; in der Datenbank liegt davon nur ein Hash. Sprache, gewählter Reiter, Suchbegriff, Sortierung, die PLZ für die Entfernung und ob der Hinweiston an ist, liegen nur im Speicher deines Browsers.

Zweck und Rechtsgrundlage

Die Verarbeitung dient allein dazu, die Funktion bereitzustellen, die du nutzt (Art. 6 Abs. 1 lit. b DSGVO). Die Bearbeitung von Meldungen und der Schutz vor Missbrauch beruhen auf dem berechtigten Interesse an einem sicheren Angebot und der Pflicht zur Bearbeitung von Hinweisen auf rechtswidrige Inhalte (Art. 6 Abs. 1 lit. c und f DSGVO, Art. 16 DSA). Es werden keine Daten an Dritte übermittelt.

Chats liest der Betreiber nicht. Ausnahme: eine Nachricht wird gemeldet – dann wird genau diese Nachricht zur Prüfung gespeichert.

Sicherheit

Nachrichten, Telefonnummer, Adresse und gemeldete Texte werden verschlüsselt gespeichert (AES-256-GCM). Der Schlüssel liegt getrennt von der Datenbank und ist nur für diesen Dienst lesbar; der Dienst läuft unter einem eigenen Benutzerkonto, getrennt von den übrigen Anwendungen dieses Servers. Gerät die Datenbankdatei allein in falsche Hände, sind diese Inhalte nicht lesbar. Eine Ende-zu-Ende-Verschlüsselung ist das nicht: Wer den Server selbst vollständig übernimmt, könnte mitlesen. Teile Bankdaten deshalb nur, wenn es nötig ist, und lösch den Verlauf danach – das geht im Chat mit „Verlauf jetzt löschen“, für beide Seiten.

Speicherdauer

• Einkaufslisten werden 14 Tage nach dem Einstellen automatisch gelöscht, Fahrer-Angebote nach einem Monat (ab dem letzten Speichern). Drei Tage vorher steht ein Hinweis auf der Seite. Selbst gelöschte Anzeigen sind sofort nicht mehr sichtbar und werden nach 30 Tagen endgültig entfernt, vom Betreiber entfernte ebenso.
• Ein Gesprächsverlauf wird 30 Tage nach der letzten Nachricht gelöscht – oder sofort, wenn eine der beiden Seiten ihn löscht; Benachrichtigungen nach 60 Tagen, erledigte Meldungen nach 180 Tagen.
• Dein Konto bleibt, bis du es löschst. Unter „Ich → Konto löschen“ verschwinden Konto, Anzeigen, Chats und Benachrichtigungen sofort. Unter „Meine Daten herunterladen“ bekommst du alles, was zu deinem Konto gespeichert ist, als Datei (Art. 15 und 20 DSGVO).

Verschlüsselung

Alle Seiten werden ausschließlich über HTTPS ausgeliefert; ein Aufruf über HTTP wird automatisch umgeleitet. Die Verbindung zwischen deinem Gerät und dem Server ist damit verschlüsselt, ebenso die Echtzeitverbindungen (WebSocket).

Was nicht stattfindet

• keine Analyse- oder Statistikdienste (kein Google Analytics, kein Matomo)
• keine Werbenetzwerke, kein Profiling, keine automatisierte Entscheidungsfindung
• keine Social-Media-Plugins und keine eingebetteten fremden Inhalte
• keine Schriftarten oder Skripte von fremden Servern
• kein Verkauf und keine Weitergabe von Daten zu Werbezwecken
• keine Verarbeitung in Ländern außerhalb der EU beziehungsweise des EWR

Empfänger von Daten sind ausschließlich die oben ausdrücklich genannten Auftragsverarbeiter sowie – beim Verbindungsaufbau von Gesprächen – der genannte STUN-Server.

Deine Rechte

Dir stehen gegenüber mir folgende Rechte hinsichtlich deiner personenbezogenen Daten zu:

• Auskunft über die gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)

Eine formlose E-Mail an ata.kaan.cengiz@outlook.de genügt. Wer ein Cloud-Konto oder ein Konto bei Mitbringen hat, kann seine Daten außerdem jederzeit selbst herunterladen.

Beschwerderecht

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren. Zuständig ist für mich:

Änderungen

Wenn sich das Angebot ändert – etwa durch neue Funktionen –, passe ich diese Erklärung an. Es gilt jeweils die hier veröffentlichte Fassung mit dem oben genannten Stand.