Datenschutzerklärung
die datenschutzerklärung
es fing an um neun
mit einem glas
und dem festen vorsatz,
das verdammte ding zu lesen,
jede zeile,
weil irgendein anwalt
irgendwo gesagt hatte,
ich müsse.
Art. 6 Abs. 1 lit. f
sagte das papier,
und ich sagte
prost
und schenkte nach.
um zehn war ich
bei den cookies.
kleine krümel, stand da,
richten keinen schaden an.
ich lachte
und zündete mir eine an,
die dritte,
der aschenbecher
füllte sich schneller
als ich verstand.
„komm ins bett“,
rief sie aus dem anderen zimmer,
warm,
nackt,
geduldig
auf eine art,
die nicht lange hält.
„gleich“, sagte ich,
„ich muss erst
die verdammte
datenschutzerklärung
zu ende lesen.“
es war still.
dann lachte sie,
nicht nett.
um elf
war ich bei den drittanbietern,
bei zuckerberg und seinen servern
in dublin,
und die flasche
stand tiefer als die sonne
je gestanden hatte.
jede zeile
gebar drei neue.
das papier
hatte kein ende,
es war
wie das leben,
nur schlechter formatiert.
„zwölf uhr“, rief sie.
ich las von ninja firewall
in hongkong,
ich las von der
IP-anonymisierung,
ich las
und trank
und rauchte
und die worte
zerfielen zu grauem brei.
irgendwann
war es still im anderen zimmer.
zu still.
ich stand auf,
schwankte hin.
das bett leer.
das fenster auf.
und auf dem tisch,
wo meine hose lag,
war die hose
noch da –
nur leichter.
zwölf euro
neunundsechzig.
alles,
was ich besaß,
war mit ihr
durch das fenster
in die nacht
gegangen.
ich setzte mich
wieder hin.
die flasche leer.
die packung leer.
das bett leer.
die brieftasche leer.
nur das papier
war noch voll.
seite neun von vierzehn.
ich nahm den stift
und schrieb an den rand,
mit der letzten
ruhigen hand
des abends:
„hiermit widerspreche ich
der verarbeitung.
allem.
für immer.“
dann las ich weiter.
was blieb mir sonst.
sie war weg,
das geld war weg,
aber die datenschutzerklärung –
die verdammte datenschutzerklärung –
die blieb.
sie bleibt immer.
Datenschutzerklärung — oder: Was diese Seite über dich weiß, und warum’s mir egal ist
Hör zu. Ich bin ein Kerl mit einer Website, einem Bleistift und zu wenig Schlaf. Ich sammle deine Daten nicht, weil ich sie will. Ich will sie nicht. Ich will einen ruhigen Nachmittag, eine Flasche und dass niemand klingelt. Aber das Internet ist eine dreckige kleine Maschine, und damit diese Seite überhaupt lädt — damit sie so schön beschissen aussieht und rundläuft wie eine fette Taube auf einem Bahnhofsdach — muss irgendwo im Hintergrund ein Server ein paar Zahlen über dich notieren. Das ist kein Komplott. Das ist nur die Klempnerei. Hier steht, was durch die Rohre läuft.
1. Datenschutz auf einen Blick — die Kurzfassung für Leute, die nicht lesen wollen
Der Überblick, damit du nicht einschläfst
Diese Seite erfasst ein paar Daten über dich. Manche gibst du mir freiwillig — wenn du mir ins Kontaktformular tippst, zum Beispiel. Andere fallen einfach an, sobald du hier reinstolperst: was für ein Browser, welches Betriebssystem, wann. Technischer Kram. Der Server muss wissen, wohin er die Seite schicken soll, sonst schickt er sie ins Nichts, und dann sitzt du vor einem weißen Bildschirm und fragst dich, was zum Teufel du falsch gemacht hast. Nichts hast du falsch gemacht. So läuft das eben.
Wer hat den Schlamassel zu verantworten?
Ich. Der Betreiber dieser Seite. Der Typ mit dem Namen unten im Impressum-Abschnitt. Kein Konzern, kein Vorstand, kein Aufsichtsrat, der bei Champagner beschließt, wie man dich am besten melkt. Nur einer.
Wofür der ganze Kram?
Ein Teil davon, damit die Seite nicht auseinanderfällt. Der Rest — na ja, manchmal will man wissen, ob überhaupt jemand vorbeikommt, oder ob man hier allein in den Regen redet. Und wenn du mir was schickst, verarbeite ich es, damit ich dir antworten kann. So einfach.
Deine Rechte, kurz
Du darfst jederzeit fragen, was ich über dich habe. Du darfst verlangen, dass ich’s korrigiere, wenn’s falsch ist, oder es lösche, wenn’s dir stinkt. Du darfst deine Einwilligung zurückziehen, wann immer du willst. Und du darfst dich bei einer Behörde beschweren, wenn du glaubst, ich mach Mist. Ausführlich steht das alles weiter unten. Für Fragen: meld dich. Ich beiße nur selten.
2. Hosting — wo dieser Laden physisch steht
Raidboxes
Diese Seite liegt auf Servern der Raidboxes GmbH, Hafenstr. 32, 48153 Münster. Deutsche Firma, deutscher Boden. Wenn du hier vorbeikommst, schreibt deren Maschine ein paar Logfiles mit, inklusive deiner IP-Adresse. Nicht, weil irgendwer dich jagt, sondern weil jeder Server der Welt mitschreibt, wer anklopft — sonst wüsste er nicht, wohin er antworten soll. Details in deren eigener Datenschutzerklärung: https://raidboxes.io/legal/privacy/. Rechtsgrundlage ist mein berechtigtes Interesse daran, dass diese Seite zuverlässig läuft (Art. 6 Abs. 1 lit. f DSGVO), bzw. deine Einwilligung, wenn abgefragt (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Widerrufbar, jederzeit. Mit Raidboxes hab ich einen Auftragsverarbeitungsvertrag — Behördendeutsch dafür, dass die brav nach meinen Regeln und nach Gesetz arbeiten und nicht heimlich mit deinen Daten Poker spielen.
3. Allgemeines und der Pflichtkram, den ich sagen muss
Datenschutz
Ich nehm deine Daten ernst. Nicht auf die feierliche, Hand-aufs-Herz-Art aus einer Werbebroschüre, sondern auf die Art, wie man ernst nimmt, dass man die Tür abschließt. Ich behandle das Zeug vertraulich und nach den Gesetzen. Aber sei kein Narr: Datenübertragung im Internet — E-Mail zum Beispiel — hat Löcher. Einen lückenlosen Schutz gibt es nicht. Wer dir was anderes erzählt, verkauft dir eine Brücke.
Wer verantwortlich ist
Ein Mensch. Eine Adresse. Eine Telefonnummer, die klingelt, wenn du sie wählst. Kein Callcenter auf einem anderen Kontinent, kein Chatbot, der dich im Kreis schickt.
Wie lange ich das Zeug behalte
Solange ich’s brauche, und keinen Tag länger, wenn ich’s vermeiden kann. Fällt der Zweck weg, fliegt es raus — es sei denn, irgendein Finanzamt oder Handelsgesetz zwingt mich, es aufzuheben. Dann bleibt es liegen, bis auch diese Frist verglüht, und dann fliegt es auch raus.
Rechtsgrundlagen, für die Juristen
Wenn du eingewilligt hast: Art. 6 Abs. 1 lit. a DSGVO (bzw. Art. 9 Abs. 2 lit. a bei besonderen Daten). Für Cookies und Zugriff auf dein Gerät zusätzlich § 25 Abs. 1 TDDDG. Für Verträge und Vorvertragliches: lit. b. Für gesetzliche Pflichten: lit. c. Und wo ich ein berechtigtes Interesse habe: lit. f. Welche Grundlage im Einzelfall gilt, steht jeweils im passenden Absatz. Ich weiß, das liest niemand. Es muss trotzdem hier stehen.
Wer deine Daten sonst noch zu sehen kriegt
Ich arbeite mit ein paar externen Stellen — Dienstleistern, Auftragsverarbeitern. Ich gebe deine Daten nur raus, wenn’s für einen Vertrag nötig ist, wenn mich das Gesetz zwingt (z. B. Steuerbehörden), oder wenn ich ein berechtigtes Interesse habe. Kein Verkauf. Kein Verhökern an den Meistbietenden. Ich bin kein Datenhändler. Ich bin nur ein Typ, der will, dass seine Seite funktioniert.
Widerruf deiner Einwilligung
Hast du mir mal Ja gesagt, darfst du jederzeit wieder Nein sagen. Formlos, per E-Mail. Was bis dahin lief, bleibt rechtmäßig — man kann die Milch nicht zurück in die Kuh gießen — aber ab dem Moment ist Schluss.
Widerspruchsrecht (Art. 21 DSGVO)
Wenn ich Daten auf Grundlage von lit. e oder f verarbeite, darfst du aus Gründen, die sich aus deiner besonderen Situation ergeben, widersprechen. Das gilt auch für Profiling. Widersprichst du, ist Schluss — es sei denn, ich habe zwingende schutzwürdige Gründe, die schwerer wiegen als deine Interessen, oder ich brauche das Zeug, um Rechtsansprüche geltend zu machen oder zu verteidigen. Und wenn ich deine Daten je für Direktwerbung verwenden würde, darfst du dem jederzeit widersprechen, und dann ist damit sofort und endgültig Schluss. (Aber ehrlich, Charlie — ich hab kein Interesse daran, dir Werbung nachzuschicken. Ich schreibe kaum meine eigenen E-Mails.)
Beschwerderecht bei der Aufsichtsbehörde
Glaubst du, ich verstoße gegen die DSGVO? Dann beschwer dich bei einer Aufsichtsbehörde, am besten in dem Bundesland oder Land, wo du wohnst, arbeitest oder wo der mutmaßliche Verstoß passiert ist. Das steht dir zu, unabhängig von allem anderen. Ich würde mich freuen, wenn du vorher einfach mich anrufst — aber das ist dein Recht, nicht meins.
Recht auf Datenübertragbarkeit
Daten, die ich auf Grundlage deiner Einwilligung oder eines Vertrags automatisiert verarbeite, kriegst du auf Wunsch in einem gängigen, maschinenlesbaren Format — an dich oder an einen Dritten. Die direkte Übertragung an einen anderen Verantwortlichen mache ich, soweit es technisch machbar ist. Nicht mehr, nicht weniger.
Auskunft, Berichtigung, Löschung
Du hast jederzeit das Recht, unentgeltlich zu erfahren, welche Daten ich über dich gespeichert habe, woher sie kommen, an wen sie gingen und wozu. Und du darfst verlangen, dass ich sie berichtige oder lösche. Meld dich. Kein Formular, kein Behördengang. Eine E-Mail reicht.
Recht auf Einschränkung der Verarbeitung
Du darfst verlangen, dass ich die Verarbeitung einschränke — also die Daten einfriere, statt sie zu nutzen. Das gilt: wenn du die Richtigkeit bestreitest (für die Dauer der Prüfung); wenn die Verarbeitung unrechtmäßig war, du aber keine Löschung willst; wenn ich die Daten nicht mehr brauche, du sie aber für Rechtsansprüche; oder wenn du Widerspruch eingelegt hast und noch nicht feststeht, wer recht hat. Eingefrorene Daten darf ich dann — außer der bloßen Speicherung — nur noch mit deiner Einwilligung oder für Rechtsansprüche oder aus wichtigem öffentlichem Interesse verarbeiten.
SSL- bzw. TLS-Verschlüsselung
Diese Seite ist verschlüsselt. Du erkennst es am „https://“ und am kleinen Schloss oben im Browser. Solange das Schloss zu ist, kann kein Fremder mitlesen, was du mir schickst. Es ist die eine Sache, die ich nicht dem Zufall überlasse.
Verschlüsselter Zahlungsverkehr
Falls du mir mal was zahlst und dafür Zahlungsdaten übermitteln musst — Kontonummer bei Einzugsermächtigung etwa — läuft das ausschließlich über eine verschlüsselte SSL-/TLS-Verbindung. Visa, MasterCard, Lastschrift, was auch immer. Verschlüsselt heißt: kein Dritter liest mit.
Widerspruch gegen Werbe-Mails
Der Nutzung meiner im Impressum veröffentlichten Kontaktdaten für unverlangte Werbung widerspreche ich hiermit ausdrücklich. Wer mir Spam schickt, kriegt keine Antwort und im Ernstfall rechtliche Schritte. Ich hab genug Papier auf dem Tisch, ich brauch nicht auch noch deins.
4. Was diese Seite konkret erfasst
Cookies
Diese Seite benutzt Cookies. Kleine Datenkrümel, die dein Gerät sich merkt. Sie richten keinen Schaden an — sie sind nicht die Wanze, für die manche sie halten. Manche verschwinden, wenn du den Tab schließt (Session-Cookies), andere bleiben liegen, bis du sie löschst oder dein Browser aufräumt (permanente). Manche kommen von mir (First-Party), manche von Dritten. Die technisch notwendigen — die, ohne die der Warenkorb vergisst, was drin liegt, oder das Video nicht startet — laufen auf Grundlage meines berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO), alles andere nur mit deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG), jederzeit widerrufbar. Du kannst deinen Browser so einstellen, dass er Cookies ablehnt oder beim Schließen wegwirft. Dann läuft hier vielleicht das eine oder andere nicht mehr rund — aber das ist deine Entscheidung, nicht meine.
Borlabs Cookie
Für die Einwilligungen benutze ich womöglich Borlabs Cookie, die Consent-Technologie der Borlabs GmbH, Hamburger Str. 11, 22083 Hamburg. Das ist das kleine Fenster, das dich fragt, was du erlauben willst — und das dann brav dokumentiert, was du gesagt hast, damit ich beweisen kann, dass ich gefragt habe. Ironie des Ganzen: Um deine Einwilligung rechtssicher zu speichern, muss ein Cookie deine Einwilligung speichern. Ein Cookie, um Cookies zu regeln. Das Internet frisst sich selbst. Die Daten bleiben in deinem Browser, nicht bei Borlabs. Details: https://de.borlabs.io/kb/welche-daten-speichert-borlabs-cookie/. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO — gesetzliche Pflicht.
Real Cookie Banner
Alternativ läuft hier vielleicht Real Cookie Banner von der devowl.io GmbH, Tannet 12, 94539 Grafling. Macht dasselbe wie oben — fragt, dokumentiert, erinnert sich —, aber sitzt komplett auf meinen eigenen Servern. Keine Verbindung zu fremden Rechnern, kein Datenausflug. Das Cookie bleibt bei dir im Browser. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO.
Kontaktformular
Schreibst du mir übers Kontaktformular, speichere ich, was du reintippst — deine Angaben, deine Kontaktdaten —, um deine Anfrage zu bearbeiten und für den Fall, dass Rückfragen kommen. Ich gebe das nicht ohne deine Einwilligung weiter. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn’s um einen Vertrag geht, sonst mein berechtigtes Interesse an der Bearbeitung (lit. f) oder deine Einwilligung (lit. a), soweit abgefragt — widerrufbar. Die Daten bleiben, bis du Löschung verlangst, die Einwilligung widerrufst oder der Zweck wegfällt. Aufbewahrungsfristen bleiben unberührt.
Registrierung auf dieser Website
Du kannst dich hier registrieren, um mehr Funktionen zu nutzen. Was du dabei eingibst, benutze ich nur für genau das — den Dienst, für den du dich angemeldet hast. Pflichtangaben musst du vollständig machen, sonst lehne ich die Registrierung ab; ich rate nicht, wer du bist. Bei wichtigen Änderungen nutze ich deine E-Mail-Adresse, um dich zu informieren. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Die Daten bleiben, solange du registriert bist, und fliegen danach raus. Aufbewahrungsfristen bleiben unberührt.
Kommentarfunktion
Kommentierst du hier, speichere ich neben deinem Kommentar den Zeitpunkt, deine E-Mail-Adresse und — wenn du nicht anonym postest — deinen Namen. Ich speichere auch deine IP-Adresse, weil ich Kommentare nicht vorab prüfe und im Fall von Beleidigungen oder anderem Dreck wissen muss, wer’s war. Du kannst Kommentare abonnieren; das stellst du per Link in den Info-Mails wieder ab. Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), jederzeit formlos per E-Mail widerrufbar. Die Kommentare bleiben, bis der Inhalt gelöscht wird oder aus rechtlichen Gründen weg muss.
Gravatar
Hier ist womöglich Gravatar von der Automattic Inc., 60 29th Street #343, San Francisco, CA 94110, USA eingebunden. Das ist der Dienst, der dein kleines Profilbildchen neben den Kommentar klebt — verknüpft mit deiner E-Mail-Adresse, von der ein Hash an Gravatar geht. Ja, USA. Rechtsgrundlage: mein berechtigtes Interesse an einer ansprechenden Darstellung (Art. 6 Abs. 1 lit. f DSGVO) bzw. deine Einwilligung (lit. a, § 25 Abs. 1 TDDDG), widerrufbar. Automattic ist nach dem EU-US Data Privacy Framework zertifiziert — ein Abkommen, das europäische Datenschutzstandards jenseits des Atlantiks garantieren soll. Ob so ein Papier den Ozean wirklich schmaler macht, entscheide selbst. Details: https://automattic.com/privacy/ und https://www.dataprivacyframework.gov/participant/4709.
5. Soziale Medien — hier wird’s schmutzig
Jetzt kommen wir zu den Kerlen, die den ganzen Zirkus überhaupt erst dreckig gemacht haben. Ich binde ein paar dieser Dienste ein, weil man heute ohne sie nicht sichtbar ist — nicht, weil ich sie mag. Merk dir das, während du weiterliest.
Hier stecken Funktionen von Instagram drin, betrieben von der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland. Meta. Das ist der Laden von dem Mann, der davon träumt, dass die halbe Menschheit in seiner Plastikwelt aus Avataren und gekauften Freunden herumläuft, während er die echte Welt in Datenpunkte zerlegt und weiterverkauft. Ist das Element aktiv, baut dein Gerät eine direkte Verbindung zu Instagrams Server auf, und Instagram erfährt, dass du hier warst. Bist du eingeloggt, kann Instagram deinen Besuch deinem Profil zuordnen. Ich als Betreiber sehe von den übermittelten Daten nichts — ich reiche dich nur weiter, und was Zuckerbergs Maschine dann damit anstellt, entzieht sich meiner Kontrolle wie das Wetter. Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG), widerrufbar. Soweit hier Daten erfasst und an Meta weitergeleitet werden, sind Meta und ich gemeinsam Verantwortliche (Art. 26 DSGVO) — beschränkt auf die Erfassung und Weitergabe; was danach passiert, liegt allein bei Meta. Die Vereinbarung dazu: https://www.facebook.com/legal/controller_addendum. Betroffenenrechte kannst du direkt bei Meta geltend machen. Datenübertragung in die USA auf Basis der EU-Standardvertragsklauseln: https://www.facebook.com/legal/EU_data_transfer_addendum, https://privacycenter.instagram.com/policy/, https://de-de.facebook.com/help/566994660333381. DPF-Zertifizierung: https://www.dataprivacyframework.gov/participant/4452.
Hier stecken auch Elemente von LinkedIn drin, der LinkedIn Ireland Unlimited Company, Wilton Plaza, Wilton Place, Dublin 2, Irland — inzwischen ein Microsoft-Laden, aber der Hunger ist derselbe. Rufst du eine Seite mit LinkedIn-Elementen auf, wird eine Verbindung zu deren Servern aufgebaut, und LinkedIn erfährt deine IP-Adresse und dass du hier warst. Klickst du den „Recommend“-Button und bist eingeloggt, ordnet LinkedIn den Besuch deinem Konto zu. Was mit den Daten geschieht, weiß ich als Betreiber nicht. Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG), widerrufbar. USA-Übertragung über Standardvertragsklauseln: https://www.linkedin.com/help/linkedin/answer/a1343190/. Datenschutzerklärung: https://www.linkedin.com/legal/privacy-policy. DPF: https://www.dataprivacyframework.gov/participant/5448.
Zwischenruf, Charlie, weil’s hier hingehört: Das ist das Geschäftsmodell dieser Milliardäre. Sie geben dir eine Bühne umsonst, und der Preis bist du. Jeder Klick, jeder Blick, jede Sekunde, die du dranklebst — abgeschöpft, sortiert, versteigert. Musk, Zuckerberg, die ganze Bande in ihren Bunkern mit Fluchtwagen und Weltuntergangsvorräten. Sie wollen nicht dein Geld, sie wollen dich. Deine Zeit, deine Aufmerksamkeit, deine kleinen traurigen Geheimnisse um drei Uhr morgens. Und dann bauen sie sich Raketen und nennen es Fortschritt. Ich binde ihren Kram ein, weil ich muss, um überhaupt gesehen zu werden. Aber ich hab keine Illusionen darüber, was diese Herren sind.
6. Plugins und Tools — der Rest der Maschine
YouTube mit erweitertem Datenschutz
Ich binde Videos von YouTube ein, betrieben von der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland — ja, auch so ein Datenmoloch, aber die Videos müssen ja irgendwoher. Ich nutze den erweiterten Datenschutzmodus: Solange du kein Video startest, wird nach Aussage von YouTube dein Surfverhalten nicht zur Personalisierung genutzt. Startest du eins, baut dein Gerät eine Verbindung zu YouTubes Servern auf, und die erfahren, welche Seite du besucht hast; bist du eingeloggt, ordnet YouTube das deinem Profil zu — verhindern kannst du das, indem du dich ausloggst. Auch im erweiterten Modus speichert YouTube „Local Storage“-Elemente in deinem Browser, die wie Cookies zur Wiedererkennung taugen. Was nach dem Klick auf „Play“ alles losgetreten wird, liegt außerhalb meines Einflusses. Rechtsgrundlage: mein berechtigtes Interesse an ansprechender Darstellung (Art. 6 Abs. 1 lit. f DSGVO) bzw. deine Einwilligung (lit. a, § 25 Abs. 1 TDDDG), widerrufbar. Datenschutz bei YouTube: https://policies.google.com/privacy?hl=de. DPF: https://www.dataprivacyframework.gov/participant/5780.
Google Fonts (lokal gehostet)
Diese Seite nutzt Google Fonts für einheitliche Schriftarten — aber, und das ist die eine gute Nachricht in diesem ganzen Abschnitt: lokal installiert. Die Schriften liegen auf meinem Server. Es findet keine Verbindung zu Google statt, keine deiner Daten wandert dafür nach Kalifornien. Der Konzern kriegt hier nichts. Klein, aber es fühlt sich gut an. Infos: https://developers.google.com/fonts/faq und https://policies.google.com/privacy?hl=de.
Ninja Firewall
Und schließlich der Türsteher: Ninja Firewall von der NinTechNet Limited, Unit 1603, 16th Floor, The L. Plaza, 367–375 Queen’s Road Central, Sheung Wan, Hongkong. Der Kerl steht am Eingang und hält die üblen Gestalten draußen — Bots, Angreifer, das Gesindel, das nachts an fremden Türen rüttelt. Dafür erfasst er IP-Adresse, Request, Referrer und den Zeitpunkt deines Zugriffs. Läuft auf meinen eigenen Servern, gibt nichts an den Anbieter oder sonst wen weiter. Ich hab die IP-Anonymisierung an, er merkt sich deine Adresse also nur gekürzt. Rechtsgrundlage: mein berechtigtes Interesse, dass mir niemand die Bude einrennt (Art. 6 Abs. 1 lit. f DSGVO). Von diesem einen Türsteher lasse ich mich nicht abbringen — auch ein trister Laden hat das Recht auf ein Schloss an der Tür.
