Datenschutzerklärung

Kurz gesagt

Deine Angaben in den Rechnern werden in deinem Browser verschlüsselt, bevor sie gespeichert werden; ich kann sie nicht lesen. Lesbar gespeichert ist nur, was für dein Konto nötig ist, vor allem deine E-Mail-Adresse, und kurzzeitig technische Daten für die Sicherheit. Keine Werbung, kein Tracking, keine Analyse-Tools, keine Inhalte von Dritten.

Verantwortliche

Lara Blomberg, Seesener Str. 41a, 10711 Berlin, E-Mail: blomberg.lara@gmail.com

Eine Datenschutzbeauftragte ist nicht vorgeschrieben und nicht benannt.

Dein Konto

Für ein Konto speichere ich: deine E-Mail-Adresse, den Zeitpunkt der Registrierung, welche Einladung du benutzt hast, einen Prüfwert, der in deinem Browser aus deinem Passwort berechnet und auf dem Server noch einmal gehasht wird, einen Prüfwert deines Wiederherstellungsschlüssels, den Schlüssel für deine Daten in zweifach verschlüsselter Form (mit deinem Passwort und mit dem Wiederherstellungsschlüssel, beides für mich nicht lesbar) sowie für jede Anmeldung einen Hashwert des Sitzungs-Cookies mit Ablaufdatum. Dein Passwort selbst erreicht den Server nie.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Nutzung der Seite, um die du mich mit der Registrierung bittest). Ohne E-Mail-Adresse und Passwort kannst du kein Konto anlegen.

Die Daten bleiben gespeichert, bis du dein Konto löschst. Das geht jederzeit unter „Konto“ und wirkt sofort; in der Wiederherstellungshistorie der Datenbank sind sie danach noch bis zu 6 Stunden enthalten.

Deine Angaben in den Rechnern

Was du im Planer, im Produktvergleich, bei Kaufen oder mieten und im Portfolio eingibst (dort deine Wertpapiere und ihre Werte), wird in deinem Browser mit einem Schlüssel verschlüsselt (AES-256-GCM), der nur mit deinem Passwort oder deinem Wiederherstellungsschlüssel zugänglich ist. Auf dem Server liegt nur der verschlüsselte Text mit Zeitpunkt der letzten Änderung. Weder ich noch der Hoster können ihn lesen.

Das gilt, weil der Programmcode, den dein Browser von dieser Seite lädt, so gebaut ist. Wer die Seite betreibt, könnte den Code ändern; das ist bei jeder Website so, die Daten im Browser verschlüsselt. Ich habe das nicht vor und würde jede Änderung an diesem Prinzip vorher hier ankündigen.

Das heißt auch: Ich kann dir keine Auskunft über den Inhalt geben und ihn nicht wiederherstellen. Wenn du Passwort und Wiederherstellungsschlüssel verlierst, sind die Daten nicht mehr lesbar.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Cookie und Speicher im Browser

Nach der Anmeldung setze ich ein einziges Cookie („fl_session“, 30 Tage gültig, beim Abmelden gelöscht), damit du angemeldet bleibst. In deinem Browser liegt außerdem der Schlüssel für deine Daten (IndexedDB, für Skripte nicht auslesbar), damit du nicht bei jedem Seitenaufruf dein Passwort eingeben musst. Er wird beim Abmelden gelöscht, sonst beim nächsten Besuch nach Ablauf der Anmeldung.

Beides ist unbedingt erforderlich für die Funktion, um die du bittest, und braucht keine Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG). Deshalb gibt es kein Cookie-Banner.

Sicherheit und Server-Logs

Bei jedem Aufruf verarbeitet der Hoster technisch nötige Daten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser-Kennung. Fehlgeschlagene Anmeldungen zähle ich, um Passwort-Rateversuche zu bremsen; dafür speichere ich nur mit einem geheimen Schlüssel gebildete Hashwerte von E-Mail-Adresse und IP-Adresse mit Zeitpunkt. Sie werden nach spätestens zwei Tagen gelöscht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; mein berechtigtes Interesse ist ein sicherer, stabiler Betrieb und der Schutz vor Missbrauch. Die Server-Logs kann ich beim Hoster eine Stunde lang einsehen; ich exportiere oder speichere sie nicht.

Einladung anfragen

Wenn du auf der Registrierungsseite eine Einladung anfragst, speichere ich deine E-Mail-Adresse, deine freiwillige Nachricht und den Zeitpunkt, und schicke mir beides per E-Mail. Zum Schutz vor Missbrauch zähle ich Anfragen je IP-Adresse und E-Mail-Adresse (nur als mit einem geheimen Schlüssel gebildete Hashwerte, nach spätestens zwei Tagen gelöscht).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (deine Anfrage). Ich lösche die Anfrage, sobald ich sie erledigt habe, spätestens nach 30 Tagen.

Die Benachrichtigung an mich verschickt Brevo (Sendinblue SAS, 106 boulevard Haussmann, 75008 Paris, Frankreich) als Auftragsverarbeiter (Art. 28 DSGVO).

Hosting

Die Seite läuft bei Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, USA. Die Datenbank betreibt Neon, ein Dienst der Databricks, Inc., 160 Spear Street, Suite 1300, San Francisco, CA 94105, USA. Beide Dienste laufen in Rechenzentren in Frankfurt am Main. Mit beiden besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO).

Beide Anbieter haben ihren Sitz in den USA; ein Zugriff von dort ist nicht ausgeschlossen. Soweit Daten in die USA übermittelt werden, geschieht das auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO); die Anbieter sind danach zertifiziert. Deine Angaben in den Rechnern sind dabei immer verschlüsselt.

Schriften

Alle Schriften liegen auf diesem Server. Beim Aufruf wird keine Verbindung zu Google oder anderen Anbietern aufgebaut.

Deine Rechte

Du hast das Recht auf

• Auskunft über deine gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung (Art. 16), Löschung (Art. 17) und Einschränkung der Verarbeitung (Art. 18),
• Datenübertragbarkeit (Art. 20); deine Angaben kannst du unter „Konto“ jederzeit als Datei herunterladen,
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21),
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77). Für mich zuständig ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59-61, 10555 Berlin.

Keine automatisierten Entscheidungen

Die Rechner rechnen mit deinen Angaben, wenn du sie benutzt. Es gibt keine automatisierten Entscheidungen über dich und keine Profile.