Zum Text

Rechtliches

Datenschutz­erklärung

Diese Erklärung gilt für alle Websites von KOSCHE: kosche.wtf, kosche.dev, kosche.ai, kosche.app, kosche.io, kosche.sh, kosche.cloud und kosche.me. Sie ist auf jeder von ihnen dieselbe und gilt auch für quake2vault.app und mime-inspector.dev. Was für alle gilt, steht zuerst; was nur eine Website betrifft, steht unter Die einzelnen Websites.

Stand:

Verantwortlicher

Daniel Konieczny
IT-Consulting und Softwareentwicklung (KOSCHE)
Zum Kummerbrink 8
31089 Duingen
Deutschland

E-Mail: mail@kosche.wtf

Auf einen Blick

  • Alle Websites laufen auf Servern, die ich bei Hetzner in Falkenstein (Deutschland) miete und selbst betreibe.
  • Es gibt keine Analyse- oder Trackingdienste, keine Werbung, keine Social-Media-Plugins und keine eingebetteten Inhalte Dritter. Schriften und alle anderen Dateien kommen von der Website selbst. Zwei Websites schicken darüber hinaus etwas an Cloudflare, nur wenn du es willst, und beide sagen es in ihrem Abschnitt: quake2vault.app meldet Starts und Fehler des Spiels, wenn du das einschaltest, mime-inspector.dev fragt auf deinen Klick DNS-Einträge ab.
  • Solange eine Website nicht öffentlich ist, steht vor ihr eine Tür, die sich nur mit einem Passkey öffnet; Impressum und Datenschutzerklärung kann jeder auch ohne Passkey lesen. Wer die Tür öffnet, bekommt für diese eine Website ein technisch notwendiges Cookie. Andere Cookies setzen die Websites nicht; nur meine internen Werkzeuge haben eigene (siehe yard.kosche.cloud und slip.kosche.cloud).
  • Die Webserver schreiben keine Zugriffsprotokolle. Fehlermeldungen und die Meldungen der Passkey-Tür werden 30 Tage aufbewahrt.
  • Es gibt keine Konten für Besucher. Wer mir schreiben möchte, schreibt eine E-Mail oder nutzt das Kontaktformular im Impressum.

Hosting

Die Websites laufen auf Servern der Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland. Server, Lastverteiler, Datenbanken und Speicher stehen in Hetzners Rechenzentrum in Falkenstein (Deutschland). Hetzner stellt Rechner, Netz und Speicher bereit und verarbeitet dabei Daten in meinem Auftrag (Art. 28 DSGVO); die Software auf diesen Servern betreibe ich selbst.

Rechtsgrundlage für alles, was beim Ausliefern der Seiten anfällt, ist mein berechtigtes Interesse, die Websites zuverlässig und sicher bereitzustellen (Art. 6 Abs. 1 lit. f DSGVO).

Seitenaufrufe und Protokolle

Wenn du eine Seite aufrufst, überträgt dein Browser technisch bedingt Daten an den Server: deine IP-Adresse, die aufgerufene Adresse, Datum und Uhrzeit, die Kennung deines Browsers (User-Agent), die Seite, von der du kommst (Referrer), sofern dein Browser sie mitsendet, und gegebenenfalls das Cookie der Passkey-Tür. Ohne diese Daten kann die Seite nicht ausgeliefert werden.

Die Websites sind nur verschlüsselt (HTTPS) erreichbar; ein unverschlüsselter Aufruf wird auf HTTPS umgeleitet. Die verschlüsselte Verbindung endet an einem Proxy auf denselben Servern, der die Anfrage mit deiner IP-Adresse (in der Kopfzeile X-Forwarded-For) an den Webserver der Website weitergibt. Die Webserver schreiben keine Zugriffsprotokolle. Festgehalten wird nur:

  • Fehlermeldungen. Scheitert eine Anfrage an einem Fehler des Servers, kann der Webserver eine Fehlermeldung schreiben. Sie enthält die Angaben der Anfrage: Methode, aufgerufene Adresse und die Kopfzeilen, darunter deine IP-Adresse, die Kennung deines Browsers und den Referrer. Cookies werden darin unkenntlich gemacht.
  • Meldungen der Passkey-Tür. Jeder Schritt einer Anmeldung an der Tür wird mit Zeitpunkt, Ergebnis und den ersten 120 Zeichen der Browserkennung festgehalten, ohne IP-Adresse und ohne Cookie (siehe Die Passkey-Tür).

Diese Meldungen sammelt ein Protokolldienst auf denselben Servern; er löscht sie nach 30 Tagen. Ich nutze sie, um Fehler zu finden und Angriffe zu erkennen (Art. 6 Abs. 1 lit. f DSGVO).

Die Netzwerkschicht der Server hält außerdem Verbindungsdaten (IP-Adressen, Ports und Angaben zur Anfrage) im Arbeitsspeicher, um den Verkehr zu leiten und Störungen im Netz zu untersuchen. Diese Daten werden nicht auf Datenträger geschrieben und laufend überschrieben.

Die Passkey-Tür

Solange eine Website nicht öffentlich ist, beantwortet ihr Server jede Anfrage ohne gültiges Cookie mit einer Tür statt mit der Seite. Nur das Impressum und diese Erklärung zeigt er jedem, mit den Dateien, die sie zum Anzeigen brauchen; die Tür verlinkt beide. Öffnen können die Tür nur Menschen, deren Passkey ich selbst eingerichtet habe; Besucher können sich nicht registrieren.

Die Anmeldung. Die Tür nutzt Passkeys (WebAuthn). Dein Gerät unterschreibt eine Zufallszahl (Challenge) mit einem Schlüssel, dessen privater Teil dein Gerät nie verlässt. Die Antwort (die Kennung des Passkeys, die Signatur, Angaben deines Authentifikators und die Adresse der Seite, auf der sie entstanden ist) geht an die Tür der Website und von dort an den Anmeldedienst von yard, meinem eigenen System auf denselben Servern. Er prüft die Signatur mit dem dort hinterlegten öffentlichen Schlüssel. Zu jedem Passkey speichert er nur dessen Kennung, den öffentlichen Schlüssel, einen Zähler, die unterstützten Übertragungswege, eine Bezeichnung und die Zeitpunkte der Einrichtung und der letzten Nutzung, aber keine IP-Adresse. Challenges hält er nur im Arbeitsspeicher; sie verfallen nach zwei Minuten. Jede geprüfte Anmeldung vermerkt er mit Ergebnis und Website als Ereignis und löscht es nach 30 Tagen; Sicherungen dieser Datenbank werden nach 90 Tagen gelöscht.

Anmeldung über kosche.dev. Die Passkeys gehören zu kosche.dev. Fragt eine andere Website nach einem Passkey, ruft dein Browser zuvor bei kosche.dev die Liste der berechtigten Websites ab (/.well-known/webauthn). Für Browser, die das nicht können, führt die Tür über kosche.dev/gate/relay/: Dort entsteht die Antwort, und sie kommt im Fragment der Adresse zurück, das dein Browser nicht an einen Server überträgt.

Das Cookie. Nach einer erfolgreichen Anmeldung setzt die Tür ein Cookie für diese eine Website:

Name
kosche_wtf, kosche_dev, kosche_ai, kosche_app, kosche_io, kosche_sh, kosche_cloud, kosche_me; für quake2vault.app quake2vault und für mime-inspector.dev mime_inspector. Jede Website hat ihr eigenes, das nur für sie gilt; das Archiv unter kosche.ai/archive/ öffnet das von kosche.ai.
Inhalt
Version, Ablaufzeitpunkt, eine Zufallszahl und eine Signatur. Es enthält keine Angaben über dich und wird auf dem Server nicht gespeichert; die Tür erkennt es allein an seiner Signatur.
Laufzeit
30 Tage, oder bis du dich abmeldest
Eigenschaften
HttpOnly, Secure, SameSite=Lax, gültig nur für die Website, die es gesetzt hat

Das Cookie ist unbedingt erforderlich, damit dir eine nicht öffentliche Website nach der Anmeldung angezeigt werden kann (§ 25 Abs. 2 Nr. 2 TDDDG). Die Verarbeitung bei der Anmeldung beruht auf meinem berechtigten Interesse, nicht öffentliche Websites nur berechtigten Personen zu zeigen (Art. 6 Abs. 1 lit. f DSGVO).

Speicher im Browser

Einige Seiten legen Einstellungen, und wo du es willst auch deine Dateien, im Speicher deines Browsers ab (localStorage, sessionStorage, IndexedDB, das Origin Private File System oder der Cache eines Service Workers). Sie bleiben auf deinem Gerät, werden nicht an mich übertragen und dienen weder der Analyse noch der Wiedererkennung. Welche das sind, steht bei der jeweiligen Website unter Die einzelnen Websites. Du kannst sie jederzeit in den Einstellungen deines Browsers löschen.

Die Speicherung ist für die Funktion, die du nutzt, unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Schriften, Inhalte Dritter und Links

Alle Schriften liegen auf der jeweiligen Website selbst. Die Seiten laden keine Dateien von fremden Servern, auch keine Bilder, Skripte oder Videos; ihre Sicherheitsrichtlinie (Content Security Policy) erlaubt deinem Browser nur Verbindungen zur Website selbst. Die Ausnahmen stehen bei quake2vault.app und mime-inspector.dev.

Links zu anderen Angeboten (zum Beispiel GitHub, LinkedIn, Xing oder Fachartikeln) sind gewöhnliche Links. Erst wenn du einem folgst, verbindet sich dein Browser mit dem anderen Anbieter; dort gilt dessen Datenschutzerklärung.

Domains und Zertifikate

Die Nameserver aller Domains betreibt Cloudflare, Inc. (USA). Cloudflare beantwortet nur die Frage, unter welcher Adresse die Server zu finden sind; der Datenverkehr der Websites läuft nicht über Cloudflare. Diese Frage stellt in der Regel nicht dein Browser, sondern der DNS-Resolver deines Internetanbieters oder deines Geräts.

Die Zertifikate für die verschlüsselte Verbindung stellt Let’s Encrypt aus. Daten von Besuchern sind daran nicht beteiligt.

E-Mail

Wenn du mir schreibst, verarbeite ich deine E-Mail-Adresse, deinen Namen, sofern du ihn nennst, und den Inhalt deiner Nachricht, um dir zu antworten: zur Anbahnung oder Erfüllung eines Vertrags (Art. 6 Abs. 1 lit. b DSGVO), sonst auf Grundlage meines berechtigten Interesses, Anfragen zu beantworten (Art. 6 Abs. 1 lit. f DSGVO). Ich gebe deine Nachricht nicht ohne deine Einwilligung weiter und lösche sie, sobald sie nicht mehr benötigt wird und keine gesetzliche Aufbewahrungspflicht entgegensteht.

Die Adresse mail@kosche.wtf und ihr Postfach liegen bei ALL-INKL.COM - Neue Medien Münnich, Inhaber René Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland, die sie in meinem Auftrag betreibt (Art. 28 DSGVO).

Kontaktformular

Im Impressum jeder Website steht ein Kontaktformular. Was du dort eingibst (Name, E-Mail-Adresse, Nachricht), zeigt dir der Dienst dahinter vor dem Absenden noch einmal; erst wenn du absendest, schickt er es als E-Mail an mein Postfach, und ich verarbeite es wie eine E-Mail an mich (siehe E-Mail). Der Dienst läuft auf meinen Servern bei Hetzner. Bis das Postfach die Nachricht angenommen hat, liegt sie dort, in der Regel nur Sekunden; danach nicht mehr. Lehnt der Mailserver eine Nachricht endgültig ab (etwa als Spam), bleibt sie dort höchstens 30 Tage, damit ich sie trotzdem lesen kann, und wird dann gelöscht.

Damit niemand das Formular massenhaft missbraucht, zählt der Dienst, wie viele Nachrichten in der letzten Stunde von einer Verbindung kamen. Dafür hält er einen mit einem geheimen Schlüssel gebildeten Hashwert deiner IP-Adresse eine Stunde lang im Arbeitsspeicher, nie auf einem Datenträger und nie in einem Protokoll (Art. 6 Abs. 1 lit. f DSGVO; mein berechtigtes Interesse ist, das Formular erreichbar und frei von Spam zu halten). Das Formular setzt kein Cookie, lädt nichts von Dritten und braucht kein JavaScript.

Die einzelnen Websites

Was zusätzlich zu allem oben nur eine Website betrifft.

kosche.wtf

Meine Praxis: meine Arbeit, meine Leistungen und der Weg, mich zu beauftragen. Die Seite merkt sich im localStorage, dass du den einmaligen Hinweis zur Sprache geschlossen hast (kosche_lang_hint). Versteckte Effekte, die du selbst einschaltest, etwa Klang oder Animationen über die Befehlspalette, merken sich ihre Einstellungen im localStorage oder sessionStorage (Schlüssel, die mit kosche beginnen).

Ein Service Worker legt Seiten und Dateien dieser Website im Cache deines Browsers ab, damit sie schneller laden und auch offline funktionieren. Er speichert nur Dateien von kosche.wtf selbst.

kosche.dev

Die Werkzeuge. Der Scanner untersucht Texte und Dateien, die du einfügst, ablegst oder auswählst, vollständig in deinem Browser; sie werden nicht hochgeladen. Seine Beispieldateien lädt er von kosche.dev selbst.

Zu kosche.dev gehören die Passkeys aller Websites. Es liefert die Liste der berechtigten Websites und die Anmeldung für Browser, die einen Passkey nicht von einer anderen Website aus anfragen können (siehe Die Passkey-Tür).

kosche.ai

Die Forschung: das Paper Marked mit seinen Abbildungen und Druckfassungen, die alle von kosche.ai selbst kommen.

Das Archiv (kosche.ai/archive/) bewahrt Dokumente auf, die Anbieter von KI-Modellen über ihre Modelle veröffentlicht haben (Model Cards, System Cards, Berichte), als Originaldateien mit Angaben zu ihrer Herkunft. Es zeigt sie so, wie die Anbieter sie veröffentlicht haben; sie können Namen der beteiligten Personen enthalten. Die Dateien liegen auf meinen Servern und werden alle 30 Minuten mit dem Quellarchiv auf GitHub abgeglichen; Daten von Besuchern sind daran nicht beteiligt. Wenn du zwei Fassungen vergleichst, merkt sich das Archiv das Ergebnis im Speicher deines Browsers (IndexedDB kosche-archive).

Wenn du in einem Dokument genannt wirst. Wirst du in einem archivierten Dokument genannt und möchtest das nicht, schreib mir an mail@kosche.wtf. Ich mache deinen Namen dann in der Fassung, die das Archiv zeigt, unkenntlich oder nehme das Dokument heraus. Rechtsgrundlage für das Archiv ist mein berechtigtes Interesse, veröffentlichte Dokumente unverändert und nachprüfbar zu bewahren (Art. 6 Abs. 1 lit. f DSGVO); du kannst dieser Verarbeitung widersprechen (Art. 21 DSGVO).

kosche.app

Zurzeit eine Seite, die die Werkzeuge vorstellt und zu ihnen führt. Sie verarbeitet nichts über das hinaus, was jeder Seitenaufruf mit sich bringt.

kosche.io

Zurzeit eine Seite, die die Feeds und die Schnittstelle beschreibt. Die Feeds des Archivs (catalog.v1.json und models.v1.json) enthalten Angaben über die archivierten Dokumente und die Modelle, keine Angaben über Besucher. Ein Abruf wird verarbeitet wie jeder andere Seitenaufruf.

kosche.sh

Zurzeit eine Seite, die den Befehl kosche beschreibt. Sie verarbeitet nichts über das hinaus, was jeder Seitenaufruf mit sich bringt.

kosche.cloud

Wie KOSCHE gebaut ist: yard und die Maschinen. Die Seite verarbeitet nichts über das hinaus, was jeder Seitenaufruf mit sich bringt.

yard.kosche.cloud, slip.kosche.cloud

Meine internen Werkzeuge: die Werkbank von yard und Slip. Die Werkbank benutze nur ich; Slip ist noch nicht für alle offen, und was unten über Besucher von Slip steht, gilt, sobald es das ist.

yard.kosche.cloud. Die Werkbank meldet mich mit einem Passkey an und setzt dafür ein eigenes Cookie, yard_session: eine zufällige Sitzungskennung mit Signatur, HttpOnly, Secure, SameSite=Lax, gültig 30 Tage ab der Anmeldung. Zu jeder Sitzung speichert yard die IP-Adresse, die ersten 120 Zeichen der Browserkennung und das daraus abgeleitete Gerät, damit ich sehe, wo ich angemeldet bin. Eine Sitzung wird beim Abmelden gelöscht, sonst spätestens kurz nach Ablauf ihrer 30 Tage; Sicherungen der Datenbank werden nach 90 Tagen gelöscht. Nachrichten an meine eigenen Geräte gehen über deren Push-Dienste (Apple, Google) und über ntfy.sh; sie handeln von yard, nicht von Besuchern.

slip.kosche.cloud. Mit Slip lasse ich aus einer kurzen Beschreibung eine einzelne Webseite schreiben. Die Beschreibung geht an einen Sprachdienst von Hetzner; die Seite erscheint öffentlich unter einer eigenen Adresse unterhalb von slip.kosche.cloud, und ein öffentliches Repository auf GitHub hält Beschreibung und Seite fest. Nach 30 Minuten löscht Slip Seite und Repository, außer ich behalte sie ausdrücklich. Die Seiten setzen keine Cookies und laden nichts von anderen Servern: Slip weist eine Seite zurück, die Dateien von fremden Servern einbindet, und jede Seite trägt eine Sicherheitsrichtlinie (Content Security Policy), die deinem Browser jede Verbindung zu einem anderen Server verbietet. Wer eine solche Seite aufruft, wird verarbeitet wie bei jedem Seitenaufruf (siehe Seitenaufrufe und Protokolle).

Wie Slip schreibt und prüft. Seiten schreibt ein Sprachmodell auf dem Sprachdienst von Hetzner. Bei einer Website mit mehreren Seiten liest danach ein zweites Modell jede Seite gegen ihren Plan: Dafür gehen die Beschreibung, der Text jeder Seite und zwei Bildschirmfotos davon an die Gemini API von Google LLC (USA), im kostenlosen Kontingent. In diesem Kontingent darf Google die Inhalte nach seinen Bedingungen auch verwenden, um seine Dienste zu verbessern, und Menschen bei Google können sie lesen; für diese Verwendung ist Google selbst verantwortlich, und wie lange Google die Inhalte dafür aufbewahrt, regeln Googles Bedingungen für die Gemini API; schreib deshalb nichts in eine Beschreibung, das nicht öffentlich werden soll (Seite und Repository sind ohnehin öffentlich). Ist Gemini nicht erreichbar, prüft stattdessen Workers AI von Cloudflare, Inc. (USA), mit einem Bildschirmfoto je Seite. Ist keiner der beiden erreichbar, prüft Slip nur mit eigenen Messungen und sagt das.

Mit eigenem Schlüssel. Wer unter „Eigenes Modell nutzen“ einen eigenen API-Schlüssel von OpenAI, Anthropic, Google oder OpenRouter einträgt, dessen Beschreibung, Seiten und Bildschirmfotos gehen an diesen Anbieter, über das eigene Konto und nach dessen Bedingungen. Der Schlüssel bleibt im Speicher deines Browsers (localStorage) und wird nur beim Starten mitgeschickt, verschlüsselt über TLS. Slip nutzt ihn für die Aufrufe dieser einen Seite, speichert und protokolliert ihn nicht und vergisst ihn, sobald sie fertig ist. „Meine Schlüssel vergessen“ löscht ihn aus deinem Browser.

Wie oft. Damit der kostenlose Weg für alle reicht, zählt Slip, wie viele Seiten von derselben IP-Adresse an einem Tag gestartet werden. Dafür hält es nur einen Hashwert aus der Adresse und einem zufälligen Wert, den es bei jedem Neustart neu erzeugt, im Arbeitsspeicher; mit dem Tageswechsel (UTC) oder einem Neustart ist die Zählung weg. Starts mit eigenem Schlüssel zählt Slip nicht. Rechtsgrundlage für das Schreiben und Prüfen ist, dass du Slip darum bittest (Art. 6 Abs. 1 lit. b DSGVO). Dass ich für das Prüfen das kostenlose Kontingent von Gemini nutze, in dem Google die Inhalte auch selbst verwenden darf, beruht auf meinem berechtigten Interesse, Slip kostenlos anzubieten (Art. 6 Abs. 1 lit. f DSGVO); dasselbe gilt für die Zählung, die den kostenlosen Weg für alle offen hält.

Slip selbst steht hinter einer eigenen Passkey-Tür, deren Cookie slip_kosche_cloud dem der Tür oben gleicht (30 Tage, HttpOnly, Secure, SameSite=Lax). Ein zweites Cookie, slip_key, setzt Slip nur, wenn ein Link mit dem Schlüssel geöffnet wird, mit dem yard es bedient; es gilt ein Jahr. Slip schreibt keine Zugriffsprotokolle und hält Beschreibungen und Verläufe nur im Arbeitsspeicher.

kosche.me

Meine Visitenkarte. Die Kontaktdatei (/daniel.vcf) enthält meine Kontaktdaten; wenn du sie lädst, kommt nichts über dich hinzu. Wählst du eine Sprache, merkt sich die Seite deine Wahl im localStorage (kosche-lang).

quake2vault.app

Quake II im Browser. Spielstände, Einstellungen und Spieldateien, die du importierst, bleiben im Speicher deines Browsers (Origin Private File System, IndexedDB, der Cache des Service Workers, localStorage und sessionStorage), ebenso deine Antwort zu den Fehlermeldungen (quake2-vault-reports). Die Seite selbst setzt keine Cookies; das einzige ist das der Passkey-Tür.

Start- und Fehlermeldungen, nur wenn du willst. Die Seite kann mir melden, ob das Spiel startet und woran es scheitert, aber nur, wenn du das einschaltest: mit dem Schalter auf der Karte „About“ oder auf die Frage, die die Seite einmal stellt, wenn zum ersten Mal etwas schiefgeht. Bis du zustimmst, verlässt keine Meldung deinen Browser; eine Störung von vorher hält die Seite nur im Arbeitsspeicher und sendet sie erst mit deinem Ja. Eingeschaltet schickt sie an api.quake2vault.app einmal je Seitenaufruf, dass das Spiel sein erstes Bild gezeichnet hat, und jede Störung beim Start oder im Skript der Seite, höchstens acht je Seitenaufruf. Eine Meldung enthält die Art des Ereignisses, das gewählte Spiel und die Version der Seite, bei einem Fehler außerdem die erste Zeile der Fehlermeldung, die obersten Zeilen des Aufrufstapels und die letzten, gekürzten Zeilen der Konsole; darin kann ausnahmsweise etwas stehen, das du im Spiel eingegeben hast, etwa ein Spielername. Die Seite vergibt dafür keine Kennung. Meldet dein Browser „Do Not Track“ oder „Global Privacy Control“, fragt sie nicht und sendet nichts, ebenso mit ?beacon=0 in der Adresse.

Die Meldungen nimmt ein Dienst entgegen, den ich bei Cloudflare, Inc. (USA) betreibe (Cloudflare Workers und Durable Objects). Er fasst sie nach Fehlerart zusammen: Anzahl, erstes und letztes Auftreten, betroffene Versionen und Spiele und die jüngste Meldung als Beispiel. Eine Fehlerart, die 90 Tage nicht mehr aufgetreten ist, gilt als abgelaufen und wird gelöscht, sobald die nächste Meldung eingeht. Einzelne Beispiele übernehme ich zur Fehlerbehebung in die nicht öffentlichen Aufgaben des Projekts. Cloudflare sieht dabei deine IP-Adresse. Die Protokolle, die Cloudflare sonst zu jedem Aufruf des Dienstes führt, sind abgeschaltet, und die Zeile, die der Dienst selbst zu jeder Meldung schreibt, enthält keine IP-Adresse. Schlägt eine Anfrage an diesen Dienst fehl, kann dein Browser das an Cloudflare melden (Network Error Logging).

Mehrspieler und Koppeln. Eröffnest du ein Spiel, trittst einem bei oder koppelst ein Telefon, verbindet sich die Seite mit demselben Dienst (wss://api.quake2vault.app). Er hält Raumcode, Verbindung und Spiel nur im Arbeitsspeicher, solange der Raum offen ist; die Codes offener Räume sind öffentlich abrufbar. Gekoppelte Geräte tauschen die Spieldaten danach direkt miteinander aus.

Rechtsgrundlage für die Meldungen ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du mit demselben Schalter jederzeit widerrufen kannst; für Mehrspieler und Koppeln mein berechtigtes Interesse, die Funktion anzubieten, die du nutzt (Art. 6 Abs. 1 lit. f DSGVO). Cloudflare verarbeitet die Daten dabei in meinem Auftrag (Art. 28 DSGVO); zur Übermittlung in die USA siehe Empfänger und Drittländer.

mime-inspector.dev

MIME Inspector zerlegt E-Mails, die du einfügst, ablegst oder auswählst, vollständig in deinem Browser; eine Nachricht verlässt dein Gerät nicht. Was die App im Einzelnen tut, erklärt sie auch in ihrem eigenen Datenschutzhinweis.

Nur auf deinen ausdrücklichen Klick hin geht etwas nach außen. Live-DNS-Prüfungen, die du in den Einstellungen einschaltest und dann je Nachricht startest, fragen Namen aus der Nachricht (die Domain des Absenders, ihre DMARC- und DKIM-Einträge und den Rückwärtsnamen der einliefernden IP-Adresse) per DNS-over-HTTPS bei Cloudflare, Inc. (USA) ab, ohne Cookie und ohne Referrer; die App zeigt die Namen vor dem Klick an, und Cloudflare sieht dabei deine IP-Adresse. Externe Bilder einer HTML-Nachricht lädt sie erst, wenn du es für diese eine Nachricht erlaubst, und nennt die Server vorher; diese Server sehen dann deine IP-Adresse und Browserkennung, und ein solches Bild kann dem Absender verraten, dass die Nachricht geöffnet wurde.

Einstellungen, Lesezeichen (mit dem Quelltext der Nachricht), Notizen und Untersuchungen bleiben im Speicher deines Browsers (localStorage, sessionStorage und der Cache des Service Workers). Rechtsgrundlage für die Abfragen und die Bilder ist deine Einwilligung, die du mit dem Klick gibst, jeweils nur für diese eine Nachricht (Art. 6 Abs. 1 lit. a DSGVO).

Empfänger und Drittländer

Die Daten aus dem Betrieb der Websites verarbeite ich selbst, auf den Servern bei Hetzner in Deutschland. Auftragsverarbeiter sind Hetzner für das Hosting und den Sprachdienst, den Slip nutzt, ALL-INKL.COM für das Postfach und Cloudflare für den Dienst hinter api.quake2vault.app und für Workers AI, mit dem Slip ersatzweise prüft. Google erhält für Slip Beschreibungen, Seiten und Bildschirmfotos über das kostenlose Kontingent der Gemini API und darf sie nach seinen Bedingungen auch für eigene Zwecke verwenden (siehe yard.kosche.cloud und slip.kosche.cloud); mit eigenem Schlüssel gehen sie an den Anbieter, den du gewählt hast. Darüber hinaus gebe ich keine Daten weiter, es sei denn, ein Gesetz verpflichtet mich dazu.

Beim Ausliefern der Websites werden keine Daten in Länder außerhalb der Europäischen Union übermittelt. Cloudflare, Inc. (USA) beantwortet als Nameserver nur die Frage nach der Adresse der Server (siehe Domains und Zertifikate). Über Cloudflare laufen außerdem die Meldungen und das Mehrspieler-Netz von quake2vault.app und die DNS-Prüfungen von mime-inspector.dev, die du dort selbst auslöst. Für Slip gehen Beschreibungen, Seiten und Bildschirmfotos an Google LLC (USA) und, ersatzweise, an Cloudflare. Mit eigenem Schlüssel gehen sie an den Anbieter, den du gewählt hast: OpenAI, Anthropic, OpenRouter und Google sitzen in den USA. Diese Übermittlung geschieht nur, weil du sie mit deinem Schlüssel verlangst, und ist nötig, um zu tun, worum du Slip bittest (Art. 49 Abs. 1 lit. b DSGVO). Cloudflare und Google LLC sind nach dem EU-US Data Privacy Framework zertifiziert; eine Übermittlung in die USA beruht auf dem Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO). Bilder, die du in mime-inspector.dev zulässt, kommen von Servern, die der Absender der Nachricht gewählt hat, gegebenenfalls auch außerhalb der Europäischen Union.

Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Beruht eine Verarbeitung auf meinem berechtigten Interesse, kannst du ihr aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen (Art. 21). Schreib mir dazu an mail@kosche.wtf.

Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für mich zuständig ist:

Der Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5
30159 Hannover
lfd.niedersachsen.de

Es gibt keine automatisierte Entscheidungsfindung und kein Profiling. Du bist nicht verpflichtet, mir Daten zu geben; ohne die technisch nötigen Daten eines Seitenaufrufs kann ich dir eine Seite aber nicht ausliefern.

Änderungen

Ich passe diese Erklärung an, wenn sich an den Websites oder an der Verarbeitung etwas ändert. Es gilt die Fassung auf dieser Seite; das Datum oben nennt ihren Stand.