So wenig Daten wie möglich – und nur das erklären, was wirklich passiert.

Der datenschutzrechtlich Verantwortliche ist mit dem rechtlichen Betreiber dieser Webseite identisch. Vollständiger Name beziehungsweise Firma, zustellfähige Anschrift und Kontaktweg werden vor der öffentlichen Endfreigabe ergänzt.

Verantwortlicher

Noch nicht endgültig festgelegt

Anschrift

Noch nicht endgültig festgelegt

E-Mail

Projektpostfach noch nicht festgelegt

Datenschutzbeauftragter

Nur anzugeben, wenn eine Benennungspflicht besteht oder freiwillig einer benannt wird

Die vollständigen Betreiberangaben werden außerdem im Impressum geführt.

Die Webseite wird über Vercel bereitgestellt. Beim Abruf einer Webseite müssen technisch notwendige Verbindungs- und Anfragedaten verarbeitet werden. Dazu können insbesondere IP-Adresse, Zeitpunkt und Ziel der Anfrage, Browser- beziehungsweise Geräteinformationen, technische Fehlerdaten und Protokolldaten gehören.

Vercels aktuelle Privacy Notice beschreibt für Kundenwebseiten unter anderem Endnutzer-IP-Adressen, aus der IP-Adresse abgeleitete Stadt- und Länderangaben sowie technische Nutzungs-, Diagnose- und Protokolldaten. Diese Infrastrukturverarbeitung ist von eigenen Tracking-Skripten dieser Webseite zu unterscheiden.

Technische Protokolldaten können im Rahmen des Hostings entstehen. Sie dürfen nur so lange verarbeitet werden, wie dies für Betrieb, Sicherheit, Fehlersuche, Missbrauchsabwehr oder gesetzliche Pflichten erforderlich ist.

Eine konkrete Anzahl von Tagen wird an dieser Stelle bewusst noch nicht behauptet: Die tatsächliche Log-Aufbewahrung hängt von Vercel-Tarif, Einstellungen und Vertragsstand ab und muss vor der öffentlichen Freigabe verifiziert werden.

Vorgesehen sind als Pflichtangaben Art des Beitrags, Betreff und Nachricht. Name beziehungsweise Pseudonym sind freiwillig. Eine E-Mail-Adresse soll nur dann erforderlich werden, wenn eine Antwort gewünscht wird.

Bevor der Versand aktiviert wird, werden Mailanbieter beziehungsweise SMTP- oder API-Dienst, Empfänger, konkrete Rechtsgrundlagen, Löschfristen, Auftragsverarbeitung und mögliche Drittlandtransfers festgelegt und diese Datenschutzerklärung entsprechend aktualisiert.

Für den geplanten Kontakt gilt: Nachrichten gehen zunächst privat an die Redaktion. Bei „ausschließlich privat“ werden sie nicht auf der Webseite verwendet. Eine anonymisierte oder namentliche Verwendung wird nur angefragt, wenn die entsprechende Rückfrage erlaubt wurde. Erst nach der gesonderten ausdrücklichen Zustimmung dürfen Inhalte auf der Webseite verwendet werden.

Da der Kontaktversand noch nicht aktiviert ist, findet derzeit auch keine serverseitige Spamprüfung von Kontaktinhalten statt. Für die spätere Aktivierung ist ein datensparsamer Schutz ohne externes CAPTCHA vorgesehen: Honeypot, Mindest-Ausfüllzeit, Längenbegrenzung, serverseitige Validierung und begrenzte Einsendefrequenz.

Diese geplanten Mechanismen werden erst dann als tatsächliche Verarbeitung beschrieben, wenn sie implementiert und geprüft sind.

Der aktuelle Anwendungscode setzt keine Analyse-, Werbe- oder sonstigen nicht notwendigen Cookies und verwendet keinen lokalen Browserspeicher zu Trackingzwecken.

Der Anwendungscode selbst löst damit derzeit keine Einwilligung für nicht notwendige Endgerätezugriffe aus. Vor der öffentlichen Endfreigabe wird zusätzlich die tatsächlich ausgelieferte Live-Seite auf Cookies, Storage und sonstige Endgerätezugriffe geprüft. Werden später nicht unbedingt erforderliche Zugriffe ergänzt, müssen sie vor dem Einsatz rechtlich geprüft und – soweit erforderlich – erst nach Einwilligung aktiviert werden.

Maßgeblich ist dabei insbesondere § 25 TDDDG für das Speichern von Informationen in der Endeinrichtung oder den Zugriff auf bereits gespeicherte Informationen.

Im aktuellen MVP sind keine Analytics-, Advertising-, Retargeting- oder Profiling-Dienste eingebunden. Es gibt keine Benutzerkonten, öffentlichen Nutzerprofile oder personalisierte Werbung.

Ein späterer Analytics-Dienst würde eine neue Datenschutzentscheidung erfordern und wird nicht stillschweigend ergänzt.

Die verwendeten Schriften Newsreader und Source Sans 3 werden lokal aus dem Projekt ausgeliefert. Für das Laden der Schriften wird daher keine Verbindung zu einem externen Font-Anbieter aufgebaut.

Der aktuelle Seitenrahmen lädt keine eingebetteten Social-Media-Feeds, Video-Player oder sonstigen Drittanbieter-Widgets. Externe Quellenlinks führen erst nach einem bewussten Klick zu der jeweiligen fremden Webseite; ab diesem Zeitpunkt gelten deren eigene Datenschutzbestimmungen.

Für die technische Bereitstellung erhält Vercel die dafür erforderlichen Verbindungs- und Betriebsdaten. Vercel kann seinerseits Unterauftragnehmer einsetzen.

Vercels aktuelle Datenschutz- und Vertragsunterlagen beschreiben Datenverarbeitungen in den USA und gegebenenfalls weiteren Ländern sowie Schutzmechanismen für internationale Übermittlungen. Vercel nennt unter anderem Standardvertragsklauseln und seine Teilnahme am EU-U.S. Data Privacy Framework.

Vercels aktuelle Privacy Notice nennt seine Teilnahme am EU-U.S. Data Privacy Framework; das aktuelle DPA enthält außerdem Standardvertragsklauseln für einschlägige Drittlandtransfers. Welcher Übermittlungsmechanismus für dieses konkrete Kundenverhältnis tatsächlich maßgeblich ist, wird zusammen mit Tarif und Vertragsstand vor der öffentlichen Freigabe geprüft und dokumentiert.

Personenbezogene Daten sollen nur so lange gespeichert werden, wie der jeweilige Zweck, Sicherheitsanforderungen, Vertragsbeziehungen oder gesetzliche Aufbewahrungspflichten dies erfordern.

Für derzeit nicht aktive Funktionen – insbesondere Kontaktmails – werden keine erfundenen Fristen angegeben. Konkrete Löschfristen werden mit der Aktivierung des jeweiligen Dienstes festgelegt.

Nach der DSGVO bestehen – abhängig von den gesetzlichen Voraussetzungen und der jeweiligen Verarbeitung – insbesondere folgende Rechte:

• Auskunft über verarbeitete personenbezogene Daten
• Berichtigung unrichtiger Daten
• Löschung, soweit die gesetzlichen Voraussetzungen erfüllt sind
• Einschränkung der Verarbeitung, soweit die Voraussetzungen erfüllt sind
• Datenübertragbarkeit, soweit sie für die konkrete Verarbeitung anwendbar ist
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft
• Beschwerde bei einer zuständigen Datenschutzaufsichtsbehörde

Sobald der Verantwortliche und das Projektpostfach endgültig festgelegt sind, wird hier der konkrete Kontaktweg für Datenschutzanfragen eingetragen.

Für den bloßen Abruf der Webseite müssen keine Namen, E-Mail-Adressen oder Kontodaten eingegeben werden. Technisch notwendige Verbindungsdaten entstehen jedoch beim Abruf einer Internetseite.

Sobald das Kontaktformular aktiviert wird, werden dort erforderliche und freiwillige Felder sichtbar voneinander unterschieden. Ohne gewünschte Antwort soll keine E-Mail-Adresse erforderlich sein.

Es finden derzeit keine automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung und kein Profiling von Besuchern statt.

Derzeit werden keine Kontaktinhalte übermittelt. Ob und unter welchen Bedingungen eingehende Nachrichten später mit KI bearbeitet werden, ist noch nicht festgelegt. Ein solcher Einsatz wird vor seiner Einführung ausdrücklich entschieden und transparent beschrieben.

Das Projekt setzt auf Datenminimierung, HTTPS-Bereitstellung, möglichst wenige externe Dienste und die Trennung von öffentlichen Inhalten und zukünftigen privaten Kontaktinformationen. Absolute Sicherheit kann jedoch nicht garantiert werden.

Verfahren für mögliche Datenschutzverletzungen, Zuständigkeiten und Benachrichtigungspflichten werden mit der endgültigen Betreiber- und Kontaktstruktur vor der öffentlichen Freigabe organisatorisch festgelegt.