Datenschutzerklärung

Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist die Silvio Lindstedt und Maik Gräfendorf GbR, Pappelweg 27, 39576 Stendal, Deutschland. E-Mail: [email protected]. Weitere Angaben im Impressum.

Grundsatz

Das Board verarbeitet nur, was für ein Forum mit Konten nötig ist: deine Kontodaten, deine Beiträge, technische Protokolle zur Missbrauchsabwehr und E-Mails, die du bekommst. Es gibt keine Werbung, keine Profilbildung und keine Weitergabe deiner Daten zu Werbezwecken. Lesen kannst du ohne Konto.

Hosting (netcup)

Das Board läuft auf einem Server der netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe, Deutschland. Dort liegen die Datenbank, die Anwendung und die Backups; auch die E-Mails des Boards werden über netcup versendet. Mit netcup besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Rechtsgrundlage für den technischen Betrieb: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und stabilen Betrieb) sowie, soweit es dein Konto betrifft, Art. 6 Abs. 1 lit. b DSGVO.

Cloudflare (Proxy und Turnstile)

Alle Aufrufe des Boards laufen über das Netz der Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA (in der EU vertreten durch Cloudflare Portugal, Lda.). Cloudflare leitet die Anfragen weiter, schützt vor Angriffen und sieht dabei deine IP-Adresse und technische Merkmale deines Browsers.

Bei der Registrierung, beim Zurücksetzen des Passworts, beim DSA-Meldeformular und nach fehlgeschlagenen Anmeldungen wird zusätzlich Cloudflare Turnstile geladen, eine Bot-Prüfung ohne Rätsel. Turnstile verarbeitet dafür deine IP-Adresse und Browsermerkmale; es setzt keine Werbe-Cookies. Auf anderen Seiten wird es nicht geladen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Verfügbarkeit und Missbrauchsabwehr). Soweit Daten in die USA gelangen, stützt sich die Übermittlung auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework, dem Cloudflare angehört. Mehr dazu unter cloudflare.com/privacypolicy.

Dein Konto

Welche Daten: Handle, E-Mail-Adresse, Passwort (nur als Argon2id-Hash, nie im Klartext), gewählter Avatar aus einem festen Satz, die optionalen Angaben zu Vorwissen und Kontext, die Sprache der Oberfläche, deine Benachrichtigungseinstellungen, falls aktiviert dein TOTP-Geheimnis (verschlüsselt gespeichert) und Wiederherstellungscodes (als Hash), die Bestätigung „mindestens 16 Jahre“ und die akzeptierte Fassung der Nutzungsbedingungen mit Zeitpunkt.

Wozu: Konto anlegen und betreiben, Anmeldung, Sicherheit, Zuordnung deiner Beiträge, Benachrichtigungen, Nachweis der Zustimmung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag). Für die Sicherheitsfunktionen und den Nachweis der Zustimmung zusätzlich Art. 6 Abs. 1 lit. f und c DSGVO.

Pflicht oder freiwillig: Handle, E-Mail-Adresse und Passwort (oder ein Anmeldeanbieter) sind nötig. Vorwissen, Kontext und TOTP sind freiwillig.

Anmeldung über Google oder GitHub

Nur wenn du dich dafür entscheidest, kannst du dich über Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) oder GitHub (GitHub, Inc., 88 Colin P. Kelly Jr. St., San Francisco, CA 94107, USA) anmelden. Das Board erhält vom Anbieter dann nur deine E-Mail-Adresse und eine anbieterinterne Kennung (Provider-ID). Der Anbieter erfährt, dass du dich beim Board anmeldest. Es wird kein bestehendes Konto automatisch verknüpft, und das Board kann nichts in deinem Google- oder GitHub-Konto lesen oder schreiben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Für die Datenverarbeitung beim Anbieter selbst gelten dessen Datenschutzhinweise (policies.google.com/privacy bzw. docs.github.com/site-policy/privacy-policies/github-general-privacy-statement).

Passwortprüfung gegen bekannte Datenlecks (Have I Been Pwned)

Wenn du ein Passwort festlegst, prüft das Board, ob es in bekannten Datenlecks aufgetaucht ist. Dafür wird dein Passwort lokal mit SHA-1 gehasht und nur die ersten fünf Zeichen dieses Hashes an den Dienst „Have I Been Pwned“ (haveibeenpwned.com) gesendet. Der Dienst antwortet mit einer Liste passender Hash-Endungen; der Vergleich passiert auf dem Server des Boards. Dein Passwort und dein vollständiger Hash verlassen das Board nie (k-Anonymität). Es werden keine Angaben über dich übertragen. Ist der Dienst nicht erreichbar, wird das Passwort ohne diese Prüfung akzeptiert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz deines Kontos).

Bot-Schutz ALTCHA

Beim Absenden eines Beitrags löst dein Browser eine kleine Rechenaufgabe (ALTCHA, Proof-of-Work). Das läuft vollständig auf dem Board; es werden keine Daten an Dritte übertragen und keine Cookies gesetzt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Spam-Abwehr).

Server-Protokolle und IP-Adressen

Der Server speichert bei jedem Aufruf deine IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browserkennung und Statuscode. Außerdem führt das Board ein Missbrauchsprotokoll, in dem IP-Adressen zum Durchsetzen von Rate-Limits (etwa bei Login-Versuchen oder Registrierungen) kurz festgehalten werden.

Diese Daten werden nach 7 Tagen gelöscht. Länger bleiben sie nur, wenn sie Teil eines offenen Moderations- oder Sicherheitsfalls sind. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Missbrauchsabwehr, Fehlersuche).

Sitzungen und Cookies

Das Board setzt nur die folgenden Cookies. Keines davon dient Werbung oder Analyse, und keines wird an Dritte übertragen.

• __Host-kev_s (Sitzung): enthält eine zufällige Sitzungskennung, keine Angaben über dich, und ist nur über HTTPS und nur für das Board gültig. Gesetzt wird es, wenn du dich anmeldest, und schon vorher, sobald du ein Formular öffnest (etwa Anmeldung, Registrierung oder Meldeformular), weil der Schutz gegen gefälschte Formularabsendungen (CSRF) an der Sitzung hängt. Ohne Anmeldung verfällt es nach 2 Stunden ohne Aktivität, spätestens nach 24 Stunden; für Mitglieder nach 30 Tagen ohne Aktivität, spätestens nach 90 Tagen. Beim Abmelden wird es gelöscht. Zu einer angemeldeten Sitzung speichert das Board eine grobe Angabe zu Browser und Betriebssystem und den Zeitpunkt der letzten Aktivität, damit du unter „Konto → Sicherheit“ deine Sitzungen sehen und einzeln beenden kannst.
• kev_lang (Sprache): wird gesetzt, wenn du über den Schalter „EN“/„DE“ die Sprache wechselst. Es enthält nur das Sprachkürzel und gilt ein Jahr. Bist du angemeldet, gilt die im Konto gespeicherte Sprache.
• kev_board_welcome (Willkommenshinweis ausgeblendet): wird gesetzt, wenn du den Willkommenshinweis auf der Startseite ausblendest. Es enthält nur den Wert „1“ und gilt ein Jahr; über „Willkommenshinweis wieder einblenden“ auf der Seite mit den Regeln wird es gelöscht.
• kev_theme und kev_text_size (Darstellung): werden gesetzt, wenn du Farbschema (hell, dunkel oder wie im System) oder Textgröße umstellst. Sie enthalten nur diese Wahl, gelten ein Jahr und gelten für die gesamte Domain ki-einfach-verstehen.de, damit Website und Board dieselbe Darstellung zeigen. Das Board liest sie, um die Seite gleich in der gewählten Darstellung auszuliefern.

Das Sitzungs-Cookie ist technisch erforderlich, die übrigen speichern eine Einstellung, die du selbst ausdrücklich wählst; für keines wird eine Einwilligung benötigt (§ 25 Abs. 2 Nr. 2 TDDDG). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, für die Einstellungs-Cookies Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, deine gewählte Darstellung beizubehalten).

E-Mails

Das Board schickt dir derzeit nur Konto- und Sicherheitsmails an deine hinterlegte Adresse: Bestätigung der Adresse, Link zum Zurücksetzen des Passworts, Anmeldung von einem neuen Gerät, geändertes Passwort, Bestätigung und Rückgängig-Link bei einer geänderten Adresse und die Bestätigung der Kontolöschung. Diese Mails lassen sich nicht abbestellen, solange dein Konto besteht, weil sie dein Konto schützen.

Benachrichtigungen (etwa bei Antworten auf deine Frage oder bei @Erwähnungen) und eine wöchentliche Zusammenfassung verschickt das Board noch nicht. Unter „Konto → Benachrichtigungen“ kannst du schon festlegen, welche davon du bekommen möchtest; gespeichert wird dabei nur deine Wahl. Bevor solche Mails starten, wird diese Erklärung ergänzt, auch darum, wie du sie wieder abbestellst.

Versand erfolgt über den Mailserver von netcup (siehe Hosting). Ausgehende Mails werden bis zu 30 Tage in einer Warteschlange protokolliert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die Sicherheitsmails auch Art. 6 Abs. 1 lit. f DSGVO.

Webanalyse (Matomo)

Das Board nutzt dieselbe selbst gehostete Matomo-Instanz wie die Website (matomo.silvio-und-maik.de), um aggregiert auszuwerten, wie das Board genutzt wird, zum Beispiel wie viele Fragen zu einem Baustein gestellt werden. Die Analyse läuft cookiefrei, die IP-Adresse wird vor der Speicherung auf 2 Byte gekürzt, und es wird keine Nutzerkennung übergeben; Matomo weiß nicht, welches Konto einen Aufruf gemacht hat. Erfasst werden die auf der Website beschriebenen technischen Merkmale sowie anonyme Ereigniszähler („Frage gestellt“, „Antwort gegeben“, „Als hilfreich markiert“, jeweils mit dem Baustein-Schlüssel).

Weil kein Cookie gesetzt und keine Information auf deinem Gerät gespeichert wird, ist nach § 25 TDDDG keine Einwilligung erforderlich. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der bedarfsgerechten Weiterentwicklung). Du kannst widersprechen (Art. 21 DSGVO): Aktiviere dazu die Opt-out-Option im folgenden Feld.

Fehlerüberwachung (Sentry)

Tritt im Board ein technischer Fehler auf, wird eine Fehlermeldung an Sentry (Functional Software, Inc., 45 Fremont Street, San Francisco, CA 94105, USA) übermittelt, damit der Fehler behoben werden kann. Die Meldung enthält den Fehlertyp, den betroffenen Codepfad und technische Umgebungsdaten. Personenbezogene Daten werden vorher entfernt: keine IP-Adresse, keine E-Mail-Adresse, kein Handle, keine Cookies, keine Beitragsinhalte. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (stabiler Betrieb). Sentry ist nach dem EU-US Data Privacy Framework zertifiziert.

Öffentlichkeit deiner Beiträge und deines Profils

Das Board ist öffentlich. Alles, was du schreibst, kann ohne Anmeldung gelesen und von Suchmaschinen gefunden werden, auch deine Bearbeitungshistorie nach den ersten zehn Minuten. Dein öffentliches Profil zeigt Handle, Avatar, Vorwissen und Kontext (falls angegeben), den Beitrittsmonat, wie vielen Leuten deine Antworten geholfen haben, und deine Beiträge. Handle, Avatar, Vorwissen und Kontext stehen außerdem neben jedem deiner Beiträge. Nicht öffentlich sind deine E-Mail-Adresse, deine letzte Aktivität und deine verknüpften Anmeldeanbieter.

Überlege dir deshalb, was du veröffentlichst. Fragen ohne Antwort werden mit noindex markiert, damit Suchmaschinen sie nicht aufnehmen. Beiträge stehen unter CC BY-SA 4.0 (siehe Nutzungsbedingungen) und können von anderen weiter verbreitet werden.

Meldungen und Moderation

Wenn du einen Beitrag meldest, speichert das Board deine Meldung mit Grund, Zeitpunkt und deinem Konto. Nutzt du das Meldeformular unter /melden ohne Konto, speichert es die Angaben, die du dort machst (URL, Begründung, optional Name und E-Mail). Moderationsentscheidungen und die versandten Begründungen werden in einem Protokoll festgehalten, das nur die Betreiber sehen. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (Pflichten aus dem Digital Services Act) und lit. f (Verteidigung von Rechtsansprüchen).

Speicherfristen

Backups sind verschlüsselt; der Schlüssel liegt nicht auf dem Server.

Kontolöschung und Datenexport

Datenexport: Unter „Konto“ kannst du nach erneuter Anmeldung jederzeit eine JSON-Datei mit deinem Profil, allen Beiträgen und Bearbeitungen, Reaktionen, Abstimmungen und Abonnements herunterladen (Art. 20 DSGVO).

Kontolöschung: Ebenfalls unter „Konto“. Dabei werden E-Mail-Adresse, Passwort-Hash, Anbieter-Verknüpfungen, TOTP, Sitzungen, Abonnements und Benachrichtigungen gelöscht. Dein Profil wird zu „Gelöschtes Mitglied“; deine Beiträge bleiben unter der CC-BY-SA-Lizenz erhalten, ohne Verbindung zu dir. @Erwähnungen deines Handles in fremden Beiträgen bleiben als Text stehen und verlinken nicht mehr. Dein Handle wird nach 90 Tagen wieder frei. Du bekommst eine Bestätigung per E-Mail. In Backups bleiben die Daten bis zur Rotation (höchstens etwa zwei Monate).

Deine Rechte

Du hast gegenüber dem Betreiber das Recht auf

• Auskunft über deine gespeicherten Daten (Art. 15 DSGVO), für die meisten Daten direkt über den Export unter „Konto“;
• Berichtigung (Art. 16), etwa über die Profileinstellungen;
• Löschung (Art. 17), über die Kontolöschung oder per E-Mail;
• Einschränkung der Verarbeitung (Art. 18);
• Datenübertragbarkeit (Art. 20), über den Export;
• Widerspruch gegen Verarbeitungen auf Basis berechtigter Interessen (Art. 21), etwa gegen die Webanalyse.

Für Anfragen schreib an [email protected]. Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Zuständig für den Betreiber ist der Landesbeauftragte für den Datenschutz Sachsen-Anhalt, Leiterstraße 9, 39104 Magdeburg, datenschutz.sachsen-anhalt.de.

Automatisierte Entscheidungen

Das Board trifft keine automatisierten Entscheidungen mit rechtlicher Wirkung für dich (Art. 22 DSGVO). Eine Ausnahme ist technischer Art: Wird ein Beitrag von drei verschiedenen, etablierten Konten gemeldet, blendet das Board ihn vorläufig automatisch aus, bis ein Mensch ihn geprüft hat. Die Entscheidung, ob der Beitrag bleibt oder entfernt wird, trifft immer ein Mensch; du wirst darüber mit Begründung informiert und kannst widersprechen.

Minderjährige

Das Board richtet sich an Personen ab 16 Jahren. Jüngere Personen dürfen lesen, aber kein Konto anlegen. Erfährt der Betreiber, dass ein Konto von einer Person unter 16 Jahren angelegt wurde, wird es gelöscht.

Änderungen

Diese Erklärung wird angepasst, wenn sich das Board oder die Rechtslage ändert. Die jeweils aktuelle Fassung findest du unter dieser Adresse; das Datum oben zeigt den Stand.