Datenschutzerklärung

Verantwortlicher

Christian Frost
Bruchweg 15
30823 Garbsen
Deutschland
E-Mail: christian.frost@gmx.de

Dieses Angebot wird unentgeltlich und ohne Gewinnerzielungsabsicht betrieben. Ein Datenschutzbeauftragter ist nicht zu benennen: es sind nicht ständig zwanzig Personen mit der Verarbeitung befasst, und es findet weder eine umfangreiche Überwachung noch eine umfangreiche Verarbeitung besonderer Kategorien statt.

Für eine einzige Verarbeitung gilt das nicht allein: über die automatische Vorprüfung von Beiträgen — eine Maschine, die einen neuen Beitrag ansieht, bevor ein Mensch ihn freigibt — entscheidet die Verwaltung der jeweiligen Gedenkseite, und sie ist dafür mitverantwortlich. Was das bedeutet, steht weiter unten bei der Vorprüfung.

Der Grundsatz

Wer diese Seite liest, lädt nichts von fremden Servern. Schriften, Symbole und Skripte liegen hier und werden von hier ausgeliefert. Es gibt keine Analyse, keine Reichweitenmessung, keine Werbenetzwerke, keine eingebetteten Karten, Videos oder Schaltflächen sozialer Netzwerke.

Auch die Rechenprobe bei der Anmeldung kommt von hier und rechnet in Deinem Browser; es gibt kein Rätsel und keinen fremden Dienst dahinter. Und es gibt keine Zählung der Besucher — weder ein eigenes noch ein fremdes Werkzeug hält fest, wer wann welche Gedenkseite gelesen hat.

Drei Ausnahmen gibt es, und jede setzt eine Handlung von Dir voraus — die Musikvorschau, wenn Du auf Abspielen drückst; die Zeichenerkennung, wenn Du im Editor zum Zeichnen greifst; und der Weg zu einer Karte, wenn Du in einem Beitrag auf einen Ort tippst. Alle drei stehen unten mit Namen und Grundlage. Solange Du weder abspielst noch zeichnest noch einen Ort antippst, geschieht nichts davon.

Was davon in dieser Gedenkseite wirklich eingeschaltet ist, steht kurz und vollständig unter Dienste.

Beim Aufruf der Seite

Der vorgeschaltete Webserver schreibt ein Zugriffsprotokoll. Die Adresse des Abrufenden wird darin gekürzt gespeichert — bei IPv4 um das letzte Viertel, bei IPv6 um die hinteren achtzig Bit. Ein einzelner Anschluss lässt sich daraus nicht mehr bestimmen. Das Protokoll wird umlaufend überschrieben und hält damit nur die jüngsten Zugriffe.

Rechtsgrundlage ist das berechtigte Interesse an einem betriebsfähigen und gegen Missbrauch geschützten Dienst (Art. 6 Abs. 1 lit. f DSGVO). Wer auf einer Trauerseite war, ist nichts, was ein Protokoll monatelang aufbewahren muss — deshalb die Kürzung.

Daneben schreibt die Anwendung ein Fehlerprotokoll. Darin steht, was schiefgegangen ist, wann, und unter welcher Adresse — dazu eine Vorgangsnummer, die auch auf der Fehlerseite steht, die Du gesehen hast. Geht im Browser ein Skript kaputt, meldet die Seite den Fehlertext an denselben Server zurück; ein Abbild der Seite, ihr Inhalt oder eine Kennung Deines Geräts sind dabei nicht. Auch dieses Protokoll läuft um und hält nur die jüngsten Einträge.

Anmeldung ohne Passwort

Wer einen Beitrag schreiben will, meldet sich mit seiner E-Mail-Adresse an und erhält einen Link, der eine halbe Stunde gilt und sich einmal einlösen lässt. Ein Passwort gibt es nicht, und der Link selbst wird nicht gespeichert: in der Datenbank steht nur seine Prüfsumme.

Gespeichert werden dabei: E-Mail-Adresse, Vor- und Nachname, die Angabe, woher jemand die verstorbene Person kennt, und das Wort, mit dem Du unter Deinen Beiträgen stehen willst, sowie Zeitpunkt und Fassung der Nutzungsbedingungen, denen Du zugestimmt hast. Der Vorname, dieses Wort und das Zeichen dazu erscheinen an den Beiträgen; die E-Mail-Adresse sieht nur die Verwaltung des jeweiligen Falls.

Rechtsgrundlage ist die Erfüllung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO).

Zustimmungsprotokoll

Wer den Nutzungsbedingungen zustimmt, erzeugt damit eine Zeile, die festhält, dass er es getan hat. Das ist die Nachweispflicht aus Art. 7 Abs. 1 DSGVO: wer eine Einwilligung verarbeitet, muss zeigen können, dass sie erteilt wurde — und wozu genau.

In der Zeile stehen:

• Datum und Uhrzeit,
• Vor- und Nachname, wie sie zu diesem Zeitpunkt galten,
• die E-Mail-Adresse,
• die Gedenkseite, auf der zugestimmt wurde, und die Adresse des Formulars,
• alle vier Rechtstexte im vollen Wortlaut — dieses Impressum, diese Datenschutzerklärung, die Nutzungsbedingungen und die Auskunft über die Dienste, so wie sie in diesem Augenblick dastanden —, dazu die Fassung der Nutzungsbedingungen und eine Prüfsumme über den ganzen Stand. Alle vier, weil sie aufeinander verweisen: einer allein sagt nicht, was Dir vorlag,
• der Satz, der neben dem Häkchen stand, und die Sprache der Oberfläche,
• die gekürzte IP-Adresse — dieselbe Kürzung wie beim Zugriffsprotokoll oben, also ohne das letzte Viertel bei IPv4 und ohne die zweite Hälfte bei IPv6.

Die Zeile wird nie geändert. Eine neue Fassung der Nutzungsbedingungen wird erneut vorgelegt und erzeugt eine zweite Zeile; die erste bleibt, wie sie ist. Sehen kann sie die Verwaltung der Gedenkseite, ändern oder löschen kann sie niemand.

Und sie bleibt, wenn das Konto geht. Ein Nachweis, der mit seinem Gegenstand verschwindet, ist keiner — gebraucht wird er gerade dann, wenn jemand bestreitet, dass es ihn gab (Art. 17 Abs. 3 lit. e DSGVO). Drei Jahre nach der Zustimmung wird eine Zeile gelöscht, deren Konto es nicht mehr gibt.

Was auf Deinem Gerät liegt

Diese Seite zeigt keinen Cookie-Banner, weil sie keinen einwilligungspflichtigen Cookie setzt. Es sind genau drei, und alle drei sind für den ausdrücklich verlangten Dienst erforderlich (§ 25 Abs. 2 TDDDG):

• Sitzung — hält die Anmeldung. Er wird auf der übergeordneten Domain gesetzt, damit Verwaltung und Gedenkseite dieselbe angemeldete Person sehen. Er endet mit der Abmeldung.
• CSRF — verhindert, dass eine fremde Seite in Deinem Namen ein Formular abschickt.
• Sprache — merkt sich, ob Du Deutsch oder Englisch lesen willst. Er trägt keine Kennung und sagt nichts über Dich aus außer dieser einen Wahl.

Daneben legt die Seite ein paar Vermerke im lokalen Speicher Deines Browsers ab. Sie verlassen Dein Gerät nicht und erreichen diesen Server nie; sie gelten je Gerät und je Browser, und Du kannst sie jederzeit mit den Browserdaten löschen:

• Farbstimmung und Hell/Dunkel — die Darstellung, die Du gewählt hast.
• Ein gesehener Hinweis — der Vermerk, dass der Hinweis am runden Knopf einmal gezeigt wurde. Er verhindert, dass er bei jedem Aufruf wieder erscheint.
• Fensterstellungen — wo ein Werkzeugfenster im Editor und in der Verwaltung zuletzt stand. Sie erscheinen nur dort, wo es solche Fenster gibt.

Keiner dieser Vermerke trägt eine Kennung, keiner wird ausgewertet, und keiner sagt etwas über Dich aus außer der Einstellung, die darinsteht.

Beiträge, Bilder, Video, Ton und Dokumente

Was Du in einen Beitrag schreibst, hochlädst oder aufnimmst, wird hier gespeichert und nach der Freigabe durch die Verwaltung des Falls auf der Gedenkseite angezeigt. Eine veröffentlichte Gedenkseite ist öffentlich abrufbar, wenn man ihre Adresse kennt; sie ist gegen Suchmaschinen gesperrt und wird nirgends aufgelistet, aber sie ist nicht geheim.

Aus hochgeladenen Bildern werden die Zusatzdaten entfernt — insbesondere der Aufnahmeort, den Mobiltelefone in der Regel mitschreiben. Das Bild wird dabei neu geschrieben; die ursprüngliche Datei bleibt nicht liegen. Bei Video und Ton geschieht das nicht: sie werden geprüft und unverändert durchgereicht, weil ein Neukodieren hier bewusst nicht stattfindet.

Ein hochgeladenes Dokument wird in Seitenbilder umgewandelt — aus einem PDF, einer Word- oder einer OpenDocument-Datei entsteht je Seite ein Bild, und nur diese Bilder werden gespeichert. Die hochgeladene Datei selbst bleibt nicht liegen; mit ihr fallen auch die Angaben weg, die ein Textprogramm hineinschreibt, etwa Verfasser und Bearbeitungsverlauf. Word- und OpenDocument-Dateien werden dafür auf demselben Server durch ein zweites Programm geschickt, das ohne Verbindung zum Internet läuft; die Datei verlässt diesen Server nicht.

Dateien liegen nicht offen im Netz. Jeder Abruf geht durch eine Prüfung, die fragt, ob der zugehörige Beitrag freigegeben und für den Abrufenden sichtbar ist. Hochgeladene Dateien, die nie an einem Beitrag gelandet sind, werden nach einer Schonfrist automatisch gelöscht.

Rechtsgrundlage ist die Erfüllung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO); bei besonderen Kategorien von Daten, die jemand freiwillig in einen Beitrag schreibt, seine Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), die er durch Löschen des Beitrags zurücknehmen kann.

Bilder suchen — eine Verbindung, die nur dieser Server hat

Wer einen Beitrag verfasst, kann statt eines eigenen Fotos ein freies Bild aus der Sammlung von Pixabay einsetzen. Die Suche danach läuft über diesen Server: Deine Adresse und Dein Suchwort gehen an uns, nicht an Pixabay. Auch die kleinen Vorschaubilder in der Trefferliste holt dieser Server und reicht sie an Dich weiter — Dein Gerät spricht dabei zu keinem Zeitpunkt mit Pixabay.

Ein übernommenes Bild wird einmal hierher kopiert. Danach liegt es hier wie ein hochgeladenes Foto und wird von hier ausgeliefert. Wer den fertigen Beitrag später ansieht, baut deshalb keine Verbindung zu Pixabay auf — auch nicht Jahre danach.

Die Suche ist abschaltbar und hängt an einem Schlüssel dieser Anlage. Fehlt er, gibt es im Editor keinen Weg zu Pixabay, und es geht auch nichts dorthin.

Was Pixabay erfährt, ist das Suchwort und die Adresse dieses Servers. Rechtsgrundlage ist die Erfüllung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO): die Anfrage geschieht auf Deine Eingabe hin und nur dann.

Musik — der Ton kommt von außen

Ein Beitrag kann ein Musikstück tragen. Die Suche danach läuft über diesen Server: Deine Adresse und Dein Suchwort gehen an uns, nicht an Apple.

Der Ton selbst kommt beim Abspielen jedoch direkt von Apple (Apple Distribution International Ltd., Irland; die Auslieferung kann über Server außerhalb der Europäischen Union erfolgen). In dem Moment, in dem Du auf Abspielen drückst, erfährt Apple Deine IP-Adresse und welche Vorschau Du hörst. Der Abspieler lädt nichts, solange Du ihn nicht drückst — wer an einem Beitrag vorbeiscrollt, hinterlässt dort keine Spur.

Diese Übermittlung geschieht auf Grundlage Deiner Einwilligung, die Du durch das Antippen des Abspielers erteilst (Art. 6 Abs. 1 lit. a, Art. 49 Abs. 1 lit. a DSGVO). Du kannst sie schlicht dadurch verweigern, dass Du nicht abspielst. Auf Apples Umgang mit den Daten haben wir keinen Einfluss.

Zeichnen im Editor — eine Verbindung nach außen

Wer einen Beitrag verfasst, kann darin zeichnen. Was gezeichnet wird, schlägt die Seite als Zeichen vor — sie versucht also zu erkennen, was da entsteht. Diese Erkennung läuft vollständig in Deinem Gerät: Deine Zeichnung wird nirgendwohin geschickt und verlässt den Browser nicht.

Geholt wird jedoch das Erkennungsprogramm selbst, und zwar erst in dem Augenblick, in dem Du zum Zeichnen greifst. Es kommt von jsDelivr (Prospect One, Krakau, Polen), einem Verteilnetz für frei verfügbare Programmbibliotheken. Dabei erfährt jsDelivr Deine IP-Adresse und dass ein Gerät diese Dateien angefordert hat. Es handelt sich um die Bibliothek ml5.js samt dem Modell DoodleNet; beide sind quelloffen.

Wer keinen Beitrag verfasst oder beim Verfassen nicht zeichnet, löst das nicht aus. Rechtsgrundlage ist Deine Einwilligung, die Du durch das Antippen des Zeichenwerkzeugs erteilen (Art. 6 Abs. 1 lit. a DSGVO); Du kannst sie schlicht dadurch verweigern, dass Du nicht zeichnest. Alle anderen Werkzeuge des Editors — Text, Bild, Video, Ton, Dokument, Ort, Datum, Kerze — kommen ohne diese Verbindung aus.

Orte und Karten — ein Klick, der hinausführt

Ein Beitrag kann einen Ort tragen — eine Anschrift, ein Friedhof, ein Lokal nach der Trauerfeier. Zu einem Ort zeigt die Karte ein Kartenbild. Dieses Bild holt unser Server bei Google und liefert es danach selbst aus — Dein Gerät spricht nicht mit Google, und Deine IP-Adresse erfährt Google dabei nicht. Geholt wird es einmal je Anschrift; danach liegt es hier.

Damit geht allerdings die Anschrift des Ortes an Google (Google Ireland Ltd., Dublin; die Verarbeitung kann über Server außerhalb der Europäischen Union erfolgen), sobald ein Beitrag mit diesem Ort zum ersten Mal aufgeschlagen wird — nicht erst auf einen Klick. Wer ist, wo und wann den Beitrag gelesen hat, erfährt Google nicht: es sieht nur unseren Server und die Anschrift.

Rechtsgrundlage ist unser berechtigtes Interesse daran, einen Ort auffindbar zu machen (Art. 6 Abs. 1 lit. f DSGVO). Wer das für seinen Beitrag nicht möchte, trägt den Ort als Text in den Beitrag statt als Ortszeichen — dann geht nichts hinaus.

Ein Klick auf „Route dorthin" führt zu Google Maps (Google Ireland Ltd., Dublin; die Verarbeitung kann über Server außerhalb der Europäischen Union erfolgen). Dabei verlässt Du diese Seite: Google erfährt Deine IP-Adresse, die gesuchte Anschrift und dass der Aufruf von hier kam. Was dort geschieht, richtet sich nach Googles Bestimmungen; wir haben darauf keinen Einfluss.

Rechtsgrundlage ist Deine Einwilligung, die Du durch den Klick erteilst (Art. 6 Abs. 1 lit. a, Art. 49 Abs. 1 lit. a DSGVO). Du kannst sie schlicht dadurch verweigern, dass Du nicht klickst — die Anschrift steht als Text daneben und lässt sich auch abschreiben.

Automatische Vorprüfung von Beiträgen

Die Verwaltung dieser Gedenkseite kann eine automatische Vorprüfung einschalten. Ist sie eingeschaltet, geht der Inhalt eines Beitrags beim Speichern an ein Sprachmodell: der Text, die Bilder, die Seiten hochgeladener Unterlagen und eine Abbildung des fertigen Beitrags. Zurück kommen ein Hinweis auf Auffälligkeiten, eine Beschreibung des Beitrags und eine Einschätzung zu Datenschutz und Urheberrecht.

Video- und Tonaufnahmen gehen nur bei Google Gemini mit — als einziger der genannten Anbieter nimmt es sie entgegen. Bei allen anderen bleiben Aufnahmen auf diesem Server und werden nicht geprüft. Aufnahmen über 70 Megabyte gehen in keinem Fall hinaus.

Ist sie nicht eingeschaltet, verlässt nichts davon diesen Server. Das ist der Auslieferungszustand.

Als Anbieter kommen in Betracht: IONOS SE (Montabaur, Verarbeitung in Deutschland) — die Vorgabe —, OpenRouter, Inc. (USA), Anthropic PBC (USA), Google Ireland Ltd. für Gemini, oder ein anderer, von der Verwaltung selbst eingetragener Anbieter. Für diese Gedenkseite ist derzeit keine Vorprüfung eingerichtet. Wer genau es ist und auf welcher Grundlage, sagt Dir die Verwaltung dieser Gedenkseite — die Adresse steht unten.

Bei einem Anbieter mit Verarbeitung in Deutschland oder der EU bleibt die Verarbeitung im Geltungsbereich der DSGVO. Bei einem Anbieter in den USA findet eine Datenübermittlung in ein Drittland statt.

Bei den oben genannten US-Anbietern stützt sie sich auf den Angemessenheitsbeschluss der Europäischen Kommission zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO) und hilfsweise auf Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Trägt die Verwaltung einen eigenen Anbieter ein, sagt sie Dir auf Nachfrage, welche Grundlage dort gilt.

Für diese eine Verarbeitung sind der Betreiber und die Verwaltung dieser Gedenkseite gemeinsam verantwortlich (Art. 26 DSGVO). Die Aufteilung im Wesentlichen: der Betreiber stellt die Technik, hält die Daten sicher, löscht sie und beantwortet alles, was Dein Konto betrifft. Die Verwaltung entscheidet, ob geprüft wird und von wem — und sie sagt Dir, welche Grundlage dort gilt.

Deine Rechte kannst Du gegenüber beiden geltend machen (Art. 26 Abs. 3 DSGVO), und Du musst nicht wissen, wer davon der Richtige ist: an den Betreiber unter der Anschrift ganz oben, an die Verwaltung über das Kontaktformular dieser Gedenkseite.

Entschieden wird nicht automatisch. Das Ergebnis ist ein Hinweis für die Verwaltung, die jeden Beitrag ohnehin von Hand freigibt. Schlägt die Prüfung an, wird der Zugang des Verfassers vorsorglich gesperrt, bis ein Mensch nachgesehen hat; diese Sperre lässt sich mit einem Klick aufheben und Du kannst ihr nach Art. 22 DSGVO widersprechen — auch dazu ist die Verwaltung die Anschrift.

Nachrichten an die Verwaltung

Über das Kontaktformular geht Deine Nachricht zusammen mit Deiner E-Mail-Adresse an die Verwaltung des jeweiligen Falls. Sie wird gespeichert, solange sie für die Bearbeitung gebraucht wird.

Meldung eines Beitrags

Wer einen Beitrag meldet, löst eine E-Mail an die Verwaltung des Falls aus. Festgehalten wird, wer wann was gemeldet hat — sonst ließe sich eine Meldung weder nachvollziehen noch von wiederholtem Missbrauch unterscheiden.

E-Mail-Versand und Hosting

Server und Postausgang liegen bei der Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, in einem Rechenzentrum in Nürnberg. Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO). Ausgehende Post wird verschlüsselt übertragen.

Wie lange etwas bleibt

• Zugriffsprotokoll: bis es umlaufend überschrieben wird.
• Fehlerprotokoll: bis es umlaufend überschrieben wird.
• Anmeldelinks: eine halbe Stunde, danach ungültig.
• Konto, Beiträge und Dateien: bis zur Löschung.
• Zustimmungsprotokoll: solange das Konto besteht, und danach noch bis zu drei Jahre ab der Zustimmung.
• Vermerke im lokalen Speicher: bis Du die Daten Deines Browsers löschst.
• Nicht verwendete Uploads: automatisch nach einer Schonfrist.
• Eine ganze Gedenkseite lässt sich vollständig und unwiderruflich löschen, mitsamt allen Beiträgen und Dateien.

Deine Rechte

Du hast das Recht auf Auskunft über die zu Dir gespeicherten Daten, auf Berichtigung, auf Löschung, auf Einschränkung der Verarbeitung, auf Datenübertragbarkeit und auf Widerspruch gegen eine Verarbeitung, die auf berechtigtem Interesse beruht (Art. 15 bis 21 DSGVO). Eine einmal erteilte Einwilligung kannst Du jederzeit mit Wirkung für die Zukunft widerrufen.

Wende Dich dafür an die oben genannte Adresse. Außerdem kannst Du Dich bei einer Datenschutz-Aufsichtsbehörde beschweren; zuständig ist die Behörde Deines Wohnorts oder die des Verantwortlichen.

Keine automatisierte Entscheidung

Es findet keine automatisierte Entscheidungsfindung statt und kein Profiling. Ob ein Beitrag erscheint, entscheidet ein Mensch aus der Verwaltung des Falls — auch dann, wenn die Vorprüfung eingeschaltet ist, also die Maschine jeden neuen Beitrag vorab ansieht: sie ordnet die Liste, sie ersetzt sie nicht.

An Deinem Beitrag ändert die Vorprüfung nichts. Kein Wort wird erzeugt, ergänzt oder umgeschrieben. Was sie schreibt, ist eine Auskunft über den Beitrag — ein Hinweis auf Auffälligkeiten, eine Beschreibung und eine Einschätzung zum Recht —, und die liest nur die Verwaltung. Auf der Gedenkseite steht sie nie.