Datenschutzerklärung
Stand: 17. September 2026
1. Geltungsbereich
Diese Datenschutzerklärung gilt für die öffentlich erreichbaren Websites lanfermann.dev und neatpass.app, ihre Sprachversionen sowie die in dieser Erklärung genannten Web-Unterseiten und Subdomains. Beide Domains stellen dieselbe Webanwendung unter unterschiedlichen Internetadressen bereit.
Diese Datenschutzerklärung gilt nicht für die native NeatPass-App, Signaturdienste oder sonstige app-spezifische Backend-Dienste. Die App und die zugehörige Backend-Verarbeitung werden in der gesonderten NeatPass-App-Datenschutzerklärung beschrieben.
2. Verantwortlicher
Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
Justin Dennis Lanfermann Am Brunnen 24 85551 Kirchheim bei München Deutschland
E-Mail: Justin@Lanfermann.dev
3. Grundsätze der Verarbeitung
Wir verarbeiten personenbezogene Daten nur, soweit dies zur sicheren und funktionsfähigen Bereitstellung der Websites, zur Bearbeitung Ihrer Anfragen oder, nach Ihrer Einwilligung, zur statistischen Auswertung und Leistungsmessung erforderlich ist.
Je nach Verarbeitung stützen wir uns insbesondere auf folgende Rechtsgrundlagen:
- Art. 6 Abs. 1 lit. a DSGVO, wenn Sie eingewilligt haben;
- Art. 6 Abs. 1 lit. b DSGVO, wenn die Verarbeitung zur Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage oder zur Erfüllung eines Vertrags erforderlich ist;
- Art. 6 Abs. 1 lit. c DSGVO, wenn wir einer gesetzlichen Verpflichtung unterliegen;
- Art. 6 Abs. 1 lit. f DSGVO, wenn die Verarbeitung zur Wahrung unserer berechtigten Interessen erforderlich ist und Ihre Interessen oder Grundrechte nicht überwiegen;
- § 25 Abs. 1 TDDDG, wenn wir mit Ihrer Einwilligung Informationen in Ihrem Endgerät speichern oder auf dort gespeicherte Informationen zugreifen;
- § 25 Abs. 2 Nr. 2 TDDDG, wenn eine Speicherung oder ein Zugriff unbedingt erforderlich ist, um eine von Ihnen ausdrücklich gewünschte Funktion bereitzustellen.
Soweit die nachfolgend genannten Anbieter personenbezogene Daten in unserem Auftrag verarbeiten, wird diese Verarbeitung durch Verträge über Auftragsverarbeitung geregelt. Die Rolle eines Anbieters richtet sich nach dem jeweiligen Verarbeitungsvorgang. Eine Verarbeitung zu Sicherheitszwecken macht einen Anbieter nicht allein deshalb zu einem eigenständigen Verantwortlichen. Anbieterspezifische Rollen erläutern wir nachfolgend; ergänzende Informationen enthalten die Datenschutzhinweise der Anbieter.
Wir verkaufen keine personenbezogenen Daten. Wir treffen keine ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidungen, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen, im Sinne von Art. 22 DSGVO.
Bereitstellung personenbezogener Daten
Bestimmte technische Daten, insbesondere Ihre IP-Adresse und die zur Bearbeitung Ihrer Anfrage benötigten Informationen, müssen verarbeitet werden, um die angeforderten Inhalte auszuliefern. Weitere technische Metadaten können für die nachfolgend beschriebenen Sicherheitszwecke und die Fehlerbehebung verarbeitet werden.
Die Eingabe des Passworts für geschützte Studienmaterialien ist freiwillig. Ohne ein korrektes Passwort kann der geschützte Bereich nicht geöffnet werden.
Angaben in E-Mails sind freiwillig. Ohne eine erreichbare Kontaktmöglichkeit und die für die Bearbeitung erforderlichen Angaben können wir Ihre Anfrage gegebenenfalls nicht beantworten.
Die Einwilligung in Nutzungsstatistik und Leistungsmessung ist freiwillig. Bei Ablehnung bleiben die grundlegenden Funktionen der Websites verfügbar.
4. Bereitstellung der Websites und technische Protokolldaten
4.1 Hosting über Vercel
Die Hauptseiten unter lanfermann.dev, neatpass.app und ihren Sprachversionen werden über Vercel bereitgestellt.
Anbieter ist:
Vercel Inc. 440 N Barranca Avenue #4133 Covina, CA 91723 USA
Beim Aufruf einer Seite kann Vercel insbesondere folgende Daten verarbeiten:
- IP-Adresse und daraus abgeleitete ungefähre Standortangaben;
- Datum und Uhrzeit der Anfrage;
- angeforderter Hostname, Pfad und gegebenenfalls vorhandene Abfrageparameter;
- HTTP-Methode und Antwortstatus;
- Browser, Betriebssystem, Gerätetyp und User-Agent;
- Referrer, soweit vom Browser übermittelt;
- technische Anfrage-, Cache-, Sicherheits-, Regions- und Fehlerdaten;
- technische Anfrage- und Bereitstellungskennungen.
Die Verarbeitung ist erforderlich, um die Websites auszuliefern, ihre Verfügbarkeit und Sicherheit zu gewährleisten, technische Fehler zu untersuchen und Missbrauch abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unsere berechtigten Interessen bestehen in der sicheren, stabilen und effizienten Bereitstellung unseres Webangebots.
Für unser Vercel-Pro-Konto sind reguläre Laufzeitprotokolle grundsätzlich für bis zu einen Tag verfügbar. Wir verwenden weder Observability Plus noch Log Drains oder andere von uns konfigurierte externe Protokollexporte. Bereitstellungs- und Build-Protokolle können zusammen mit der jeweiligen Bereitstellung gespeichert werden; sie enthalten grundsätzlich technische Entwicklungs- und Bereitstellungsinformationen und werden von uns nicht zur Erstellung von Besucherprofilen verwendet.
Nach Vercels Auftragsverarbeitungsvertrag für Pro-Kunden handelt Vercel bei in unserem Auftrag verarbeiteten Kundendaten als Auftragsverarbeiter. Für bestimmte dienstgenerierte Daten und Kontaktdaten bezeichnet sich Vercel als Verantwortlichen, soweit es sich um personenbezogene Daten handelt. Die dafür genannten Zwecke umfassen Betrieb, Unterstützung und Verbesserung seiner Dienste, Analysen, Benchmarking und Berichte sowie Marketing- und Servicemitteilungen. Die jeweiligen Kategorien, Zwecke und Aufbewahrungskriterien erläutern der Vercel-Auftragsverarbeitungsvertrag und die Datenschutzhinweise.
Weitere Informationen: Datenschutzhinweise von Vercel und Informationen zu Vercel Runtime Logs.
4.2 Cloudflare
Anbieter ist:
Cloudflare, Inc. 101 Townsend Street San Francisco, CA 94107 USA
Cloudflare stellt für unsere Domains die autoritativen DNS-Dienste bereit. Gewöhnliche Seitenaufrufe der Hauptseiten unter lanfermann.dev und neatpass.app werden dabei nicht als Reverse-Proxy über Cloudflare geleitet.
Cloudflare arbeitet als Reverse-Proxy und Content-Delivery-Dienst insbesondere für:
- cdn.lanfermann.dev, über den öffentliche und zugangsgeschützte Dateien ausgeliefert werden.
Bei Anfragen an diese Hosts kann Cloudflare insbesondere IP-Adresse, Datum und Uhrzeit, Hostname, Pfad und Abfrageparameter, HTTP-Methode, Header, User-Agent, Referrer, Cookies oder Zugriffstoken für den jeweiligen Host sowie Verbindungs-, Routing-, Standort- und Sicherheitsinformationen verarbeiten.
Die Verarbeitung dient der Namensauflösung, sicheren Weiterleitung, verschlüsselten Verbindung, Zwischenspeicherung zulässiger Inhalte, Verfügbarkeit und Abwehr schädlicher Anfragen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht in einer sicheren und zuverlässigen Bereitstellung der betreffenden Dienste.
Für die beschriebenen Abläufe haben wir in der aktuellen Konfiguration insbesondere Turnstile, Waiting Room, Logpush sowie optionale Bot- oder Challenge-Funktionen nicht aktiviert. Bei gewöhnlichen, geprüften Anfragen wurden keine Cloudflare-Cookies gesetzt. Sollte Cloudflare in einem Ausnahmefall eine Sicherheitsprüfung durchführen, kann Cloudflare hierfür technisch erforderliche Sicherheits-Cookies setzen. Die Speicherung wäre dann zur sicheren Bereitstellung des ausdrücklich aufgerufenen Dienstes erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).
Wir erstellen keinen eigenen Cloudflare-Logpush-Export von Besucheranfragen. Cloudflare kann betriebs- und sicherheitsbezogene Daten nach den in seinen Datenschutzhinweisen beschriebenen Kriterien so lange verarbeiten, wie dies für die Bereitstellung und Absicherung des Dienstes oder zur Erfüllung rechtlicher Pflichten erforderlich ist.
Weitere Informationen: Datenschutzhinweise von Cloudflare und Cloudflare-Informationen zu technisch erforderlichen Cookies.
4.3 Amazon CloudFront und Amazon S3
Dateien unter cdn.lanfermann.dev, darunter die zugangsgeschützten Studienmaterialien, werden über Cloudflare und anschließend über Amazon CloudFront aus Amazon-S3-Speicher ausgeliefert. CloudFront nutzt ein globales Auslieferungsnetz. Die in Ziffer 8.3 beschriebenen verschlüsselten Analysesicherungen werden separat in einem privaten S3-Bucket in Frankfurt gespeichert und nicht über dieses CDN ausgeliefert.
Anbieter ist:
Amazon Web Services EMEA SARL 38 Avenue John F. Kennedy L-1855 Luxemburg
CloudFront verarbeitet die für die Auslieferung erforderlichen technischen Anfragedaten. Bei geschützten Dateien wird außerdem das technische Zugriffstoken geprüft, das Ihr Browser mit der Anfrage übermittelt. Die Dateien selbst sind Studienmaterialien und enthalten nach unserer derzeitigen Nutzung keine personenbezogenen Daten von Websitebesuchern.
Die Verarbeitung dient der schnellen, stabilen und sicheren Auslieferung von Dateien sowie der Zugangskontrolle für nicht öffentliche Materialien. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unsere berechtigten Interessen bestehen in der effizienten Bereitstellung der Inhalte und im Schutz nicht öffentlicher Dateien vor unbefugtem Zugriff.
CloudFront-Standardzugriffsprotokolle und Echtzeit-Zugriffsprotokolle sind für diese Auslieferung deaktiviert. Amazon kann gleichwohl für den technischen Betrieb seiner Infrastruktur erforderliche Verbindungs- und Sicherheitsdaten verarbeiten.
Weitere Informationen: AWS-Datenschutzhinweise und Informationen zu CloudFront-Protokollen.
5. Speicherung im Browser
Unsere Websites speichern Datenschutzentscheidungen, Sprach- und Darstellungspräferenzen, Zugriffsinformationen und begrenzte lokale Komfortdaten in Ihrem Browser. Die Kategorien und ihre Laufzeiten sind nachfolgend getrennt aufgeführt. Sie werden nicht für Werbeprofile verwendet.
| Speicherung | Zweck | Dauer beziehungsweise Löschkriterium |
|---|---|---|
| Datenschutz- und Einwilligungseinstellung | Speichert Ihre Auswahl für Nutzungsstatistik und Leistungsmessung sowie die dafür erforderliche Zeit-, Sprach- und Versionsinformation. | Bis Sie die Auswahl ändern, die Einwilligungsinformation wegen einer wesentlichen Änderung ungültig wird oder Sie die Website-Daten im Browser löschen. Die Einstellung wird je Domain getrennt gespeichert. |
| Sprach- und Darstellungspräferenzen | Merkt sich eine von Ihnen gewählte Sprache oder Darstellung. | Bis zur Änderung oder Löschung der Website-Daten im Browser. |
| Zugriffs-Cookie für geschützte Ressourcen | Hält nach erfolgreicher Passworteingabe den Zugang zu geschützten Studienmaterialien aufrecht. | Höchstens 24 Stunden oder bis zur vorherigen Löschung im Browser. |
Speicherungen, die unbedingt erforderlich sind, um Ihre Datenschutzentscheidung zu beachten, eine gewählte Sprach- oder Darstellungspräferenz zu merken oder den angeforderten Zugang zu geschützten Ressourcen aufrechtzuerhalten, beruhen auf § 25 Abs. 2 Nr. 2 TDDDG. Soweit für diese Zwecke personenbezogene Daten verarbeitet werden, ist Art. 6 Abs. 1 lit. f DSGVO die Rechtsgrundlage. Unsere berechtigten Interessen bestehen in der Umsetzung Ihrer Auswahl und der sicheren Bereitstellung der angeforderten Funktionen.
Wenn Sie einen Navigationsbefehl auswählen oder im Snake-Spiel einen neuen Höchststand erreichen, speichert die Website die nachfolgend genannten begrenzten Angaben automatisch lokal. Diese Komfortfunktionen verwenden keine zusätzliche Einwilligungsabfrage. Die gespeicherten Werte werden von diesen Funktionen nicht an uns übermittelt.
| Speicherung | Zweck | Ablauf |
|---|---|---|
| Zuletzt verwendete Navigationsbefehle (command-palette-recent, localStorage) | Merkt sich bis zu fünf ausgewählte Befehle mit Pfad, Titel, Kategorie und Auswahlzeitpunkt. | Jeder Eintrag läuft 30 Tage nach seiner Auswahl ab. Das Auslesen verlängert die Frist nicht. |
| Snake-Höchststand (lanfermann.snake.highscore, localStorage) | Merkt sich einen Höchststand und dessen Speicherzeitpunkt. | Läuft 30 Tage nach dem Speichern ab. Nur ein neuer Höchststand beginnt eine neue Frist; das Auslesen oder Erreichen desselben Punktestands verlängert sie nicht. |
Abgelaufene Werte werden nicht mehr verwendet und entfernt, wenn die Website das nächste Mal auf den jeweiligen Speicher zugreift. Solange die Website geschlossen ist, löscht sich localStorage nicht zeitgesteuert selbst. Ungültige Werte werden verworfen; dies gilt auch für ältere Spielhöchststände ohne verlässlichen Zeitstempel. Zuletzt verwendete Befehle können Sie im Navigationsmenü löschen; Website-Daten lassen sich über Ihren Browser entfernen.
Sie können lokale Website-Daten jederzeit über die Einstellungen Ihres Browsers löschen. Danach können Einstellungen verloren gehen und geschützte Ressourcen eine erneute Passworteingabe erfordern.
6. Zugang zu geschützten Studienmaterialien
Wenn Sie ein Passwort für geschützte Studienmaterialien eingeben, wird dieses über eine verschlüsselte Verbindung an unsere über Vercel bereitgestellte Anmeldefunktion übertragen und dort ausschließlich zur unmittelbaren Prüfung der Zugangsberechtigung verwendet. Die Anwendung speichert das eingegebene Passwort nicht im Zugriffs-Cookie und verwendet es nicht für andere Zwecke.
Nach erfolgreicher Prüfung setzen wir einen technisch erforderlichen Cookie. Dieser enthält ein technisches Zugriffstoken, jedoch nicht das eingegebene Passwort, Ihren Namen oder Ihre E-Mail-Adresse. Der Cookie ermöglicht den Zugang für höchstens 24 Stunden und kann vorher über die Browsereinstellungen gelöscht werden. Es wird kein Benutzerkonto und kein personenbezogenes Nutzungsprofil angelegt.
Die Speicherung im Browser beruht auf § 25 Abs. 2 Nr. 2 TDDDG. Die Verarbeitung des Zugriffstokens sowie zugehöriger technischer Anfrage- und Sicherheitsdaten beruht auf Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht im Schutz nicht öffentlicher Materialien vor unbefugtem Zugriff. Technische Vercel-Laufzeitprotokolle werden nach den unter Ziffer 4.1 beschriebenen Fristen behandelt.
7. Kontaktaufnahme und E-Mail-Kommunikation
7.1 Kontaktoberfläche auf der Website
Die auf der Support- oder Kontaktseite eingegebenen Angaben werden zunächst ausschließlich im Arbeitsspeicher Ihres Browsers verarbeitet. Unsere Website betreibt hierfür keinen eigenen Formularserver und speichert den eingegebenen Namen oder Nachrichtentext nicht in einer Website-Datenbank.
Die Website selbst übermittelt die eingegebene Nachricht nicht an uns. Durch Betätigen der Senden-Funktion wird ein mailto:-Link erstellt und der Entwurf an die auf Ihrem Gerät konfigurierte E-Mail-Anwendung oder den entsprechenden Dienst übergeben. Diese Anwendung oder dieser Dienst kann den Entwurf nach den eigenen Einstellungen und Datenschutzbedingungen verarbeiten oder synchronisieren. Wir erhalten die Nachricht, wenn Sie sie an uns absenden.
Sofern Sie zuvor in die Nutzungsstatistik eingewilligt haben, kann die Website bei der Nutzung der Kontaktoberfläche ein minimiertes Statistikereignis übermitteln. Dieses kann die ausgewählte allgemeine Kontaktkategorie sowie die Information enthalten, ob die Felder für Name und Nachricht ausgefüllt wurden. Der eingegebene Name, der Nachrichtentext, Ihre E-Mail-Adresse und Anhänge werden nicht als Statistikereignis übermittelt.
7.2 Verarbeitung von E-Mails
Wenn Sie uns eine E-Mail senden, verarbeiten wir insbesondere:
- Ihre E-Mail-Adresse und gegebenenfalls Ihren Namen;
- Empfänger- und Absenderangaben;
- Betreff, Nachrichtentext und Anhänge;
- Datum, Uhrzeit und technische E-Mail-Metadaten;
- weitere Informationen, die Sie freiwillig mitteilen.
Die Verarbeitung dient der Bearbeitung und Beantwortung Ihrer Anfrage. Bezieht sich Ihre Nachricht auf einen Vertrag oder auf von Ihnen gewünschte vorvertragliche Maßnahmen, ist Art. 6 Abs. 1 lit. b DSGVO die Rechtsgrundlage. In anderen Fällen beruht die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse besteht in der sachgerechten Bearbeitung eingehender Anfragen und Kommunikation.
Die Bereitstellung der Angaben ist freiwillig. Ohne eine erreichbare Kontaktmöglichkeit und die für die Bearbeitung notwendigen Informationen können wir Ihre Anfrage gegebenenfalls nicht beantworten.
E-Mail-Kommunikation wird gespeichert, solange dies zur Bearbeitung und angemessenen Nachverfolgung des jeweiligen Vorgangs erforderlich ist. Für die Beurteilung berücksichtigen wir insbesondere Art und Inhalt der Anfrage, einen möglichen Vertragsbezug, offene Rückfragen, die Erforderlichkeit zur Dokumentation der Kommunikation sowie mögliche Rechtsansprüche. Ist eine weitere Speicherung für diese Zwecke nicht mehr erforderlich, löschen wir die Korrespondenz. Eine längere Speicherung erfolgt, soweit gesetzliche Aufbewahrungspflichten bestehen oder die Daten zur Geltendmachung, Ausübung oder Verteidigung konkreter Rechtsansprüche benötigt werden. Rechtsgrundlagen sind in diesen Fällen Art. 6 Abs. 1 lit. c beziehungsweise lit. f DSGVO.
7.3 Zoho Mail
Für den Empfang und Versand von E-Mails verwenden wir Zoho Mail.
Anbieter ist:
Zoho Corporation B.V. Beneluxlaan 4B 3527 HT Utrecht Niederlande
Unser Konto ist der europäischen Zoho-Rechenzentrumsregion zugeordnet. Die Speicherung in dieser Region schließt den nachfolgend beschriebenen Supportzugriff nicht aus.
Zoho verarbeitet E-Mail-Inhalte, Anhänge, Absender- und Empfängeradressen sowie technische E-Mail-Metadaten in unserem Auftrag. In seltenen Fällen kann ein begrenzter Supportzugriff durch entsprechend berechtigte Beschäftigte der Zoho-Gesellschaft in Indien erfolgen. Zoho stützt diesen Zugriff nach eigenen Angaben auf Standardvertragsklauseln, eine Transferbewertung und ergänzende Maßnahmen.
Das Verschieben einer Nachricht in den Papierkorb ist von ihrer endgültigen Löschung zu unterscheiden. Zoho beschreibt eine automatische Papierkorbbereinigung nach dem eingestellten Intervall und dem Empfangsdatum der Nachricht; unterstützt werden Intervalle von 5 bis 180 Tagen. Nach der Löschung aus dem Papierkorb beschreibt Zoho eine weitere Wiederherstellungsfrist von bis zu 30 Tagen. Für eine gesondert konfigurierte eDiscovery- oder Archivaufbewahrung gelten deren eigene Regeln. Diese Anbieterstufen ersetzen nicht unsere Kriterien dafür, wann Korrespondenz nicht mehr benötigt wird. Für technische Sicherungs- und Wiederherstellungskopien gelten außerdem Zohos dokumentierte Lösch- und Überschreibungsregeln; wir verwenden solche Kopien nicht für die gewöhnliche E-Mail-Bearbeitung.
Weitere Informationen: Zoho-Datenschutzhinweise, Zoho-Datenschutz-FAQ und Zoho-Mail-Lösch- und Aufbewahrungsregeln.
8. Optionale Nutzungsstatistik und Leistungsmessung
Optionale Statistik- und Leistungsmessungsdienste bleiben deaktiviert, bis Sie eine Auswahl getroffen haben. Im ersten Hinweis können Sie alle optionalen Zwecke akzeptieren oder ablehnen. Unter „So werden Ihre Daten verwendet“ können Sie die Zwecke getrennt steuern:
- Nutzungsstatistik: Umami Analytics und Vercel Web Analytics;
- Leistungsmessung: Vercel Speed Insights.
Bei „Akzeptieren“ werden beide optionalen Zwecke aktiviert. Bei „Ablehnen“ bleiben beide deaktiviert. In den Einstellungen können Sie eine individuelle Auswahl speichern. Technisch erforderliche Funktionen werden dort als „Erforderlich“ angezeigt und können nicht deaktiviert werden.
Das Laden der optionalen Skripte und der damit verbundene Zugriff auf Informationen in Ihrem Endgerät beruhen auf Ihrer Einwilligung nach § 25 Abs. 1 TDDDG. Die anschließende Verarbeitung personenbezogener Daten beruht auf Art. 6 Abs. 1 lit. a DSGVO.
Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft über „So werden Ihre Daten verwendet“ ändern oder widerrufen. Ein Widerruf berührt die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung nicht. Die Ablehnung optionaler Zwecke hat keine Auswirkungen auf die grundlegende Nutzbarkeit der Websites.
Ihre Auswahl wird je Domain lokal in Ihrem Browser gespeichert. Dabei werden die ausgewählten Zwecke, der Entscheidungszeitpunkt, die verwendete Sprache und die Version der Einwilligungsinformation gespeichert. Wird die Einwilligungsinformation wesentlich geändert, kann eine erneute Auswahl erforderlich sein.
Ein Widerruf beendet die weitere Erhebung für den widerrufenen Zweck. Lassen sich personenbezogene Analysedatensätze Ihnen verlässlich zuordnen und erlaubt keine andere gültige Rechtsgrundlage ihre weitere Speicherung, müssen auch diese Datensätze gelöscht werden. Beiträge zu tatsächlich anonymen Statistiken müssen dafür nicht entfernt werden. Abschnitt 13 erläutert die Grenzen, wenn wir die betreffenden Datensätze nicht identifizieren können.
8.1 Vercel Web Analytics
Wenn Sie der Nutzungsstatistik zustimmen, verwenden wir Vercel Web Analytics von Vercel Inc.
Der Dienst hilft uns zu erkennen, welche öffentlichen Seiten aufgerufen werden, von welchen allgemeinen Quellen Besuche kommen und welche Browser- und Gerätekategorien verwendet werden. Dabei können insbesondere verarbeitet werden:
- Ereigniszeitpunkt;
- aufgerufener öffentlicher Pfad und technische Route;
- Referrer, soweit vorhanden;
- Land oder Region;
- Browser und Browserversion;
- Betriebssystem und Version;
- Gerätetyp;
- Version des Analyseskripts.
Unsere Konfiguration entfernt Abfrageparameter und URL-Fragmente aus den an Vercel Web Analytics gesendeten Analyseereignissen. Der öffentliche URL-Pfad kann weiterhin Bestandteil des Ereignisses sein. Diese Bereinigung betrifft nur Analyseereignisse; bei der gewöhnlichen technischen Website-Anfrage kann Vercel vorhandene Pfade und Abfrageparameter als Hosting-Anbieter verarbeiten.
Vercel Web Analytics verwendet nach Angaben des Anbieters keine Drittanbieter-Cookies. Für eine tagesbezogene Besucherzählung wird aus Anfragedaten eine technische Kennung abgeleitet, die nach 24 Stunden verworfen beziehungsweise neu gebildet wird. Wir verwenden die Daten nicht für websiteübergreifendes Tracking oder kontobezogene Besucherprofile.
Die 24-stündige Kennung ist nicht mit der Aufbewahrungsdauer der Statistikereignisse gleichzusetzen. In unserem Vercel-Pro-Tarif ohne Web Analytics Plus beträgt der für uns verfügbare Berichtszeitraum grundsätzlich bis zu zwölf Monate. Dieser Berichtszeitraum ist keine Zusicherung, dass Vercel sämtliche zugrunde liegenden technischen Daten unmittelbar nach seinem Ablauf löscht; hierfür gelten ergänzend die zweckbezogenen Aufbewahrungs- und Löschregeln von Vercel.
Weitere Informationen: Vercel Web Analytics, Datenschutz und Datenfelder und Vercel Web Analytics.
8.2 Vercel Speed Insights
Wenn Sie der Leistungsmessung zustimmen, verwenden wir Vercel Speed Insights von Vercel Inc.
Speed Insights nutzt Browser-Schnittstellen zur Messung der tatsächlichen Lade- und Darstellungsleistung öffentlicher Seiten. Dabei können insbesondere verarbeitet werden:
- bereinigter öffentlicher Pfad und technische Route;
- gemessener Leistungswert und technische Zuordnungsinformation;
- allgemeine Netzwerkgeschwindigkeit;
- Browser, Betriebssystem und Gerätetyp;
- Land;
- SDK- beziehungsweise Skriptversion;
- Zeitpunkt des Eingangs des Messwerts.
Abfrageparameter und URL-Fragmente werden vor der Übermittlung durch unsere Konfiguration entfernt. Der Dienst wird nicht verwendet, um eine seitenübergreifende Sitzung zu rekonstruieren oder einzelne Besucher zu identifizieren.
Vercels Berichtszeitraum hängt von der Speed-Insights-Stufe ab: Die reguläre Version bietet Zeiträume von bis zu sieben Tagen; Speed Insights Plus im Pro-Tarif umfasst 30 Tage. Diese Dashboard-Zeiträume beschreiben den Zugriff auf Berichte, nicht eine garantierte vollständige Löschfrist für alle zugrunde liegenden personenbezogenen oder technischen Anbieterdaten. Vercels zweckspezifische Aufbewahrungskriterien gelten gesondert.
Weitere Informationen: Vercel Speed Insights, Datenschutz und Datenfelder und Vercel Speed Insights, Grenzen und Berichtszeiträume.
8.3 Umami Analytics
Wenn Sie der Nutzungsstatistik zustimmen, verwenden wir die quelloffene Software Umami Analytics über analytics.lanfermann.dev.
Wir betreiben die Umami-Anwendung und die PostgreSQL-Datenbank auf einem virtuellen Server der netcup GmbH in Wien, Österreich. Der Erfassungsendpunkt erreicht unseren Server direkt über HTTPS. Cloudflare stellt für diesen Endpunkt DNS bereit und leitet seine Analyseanfragen nicht als Proxy weiter.
Anbieter der Infrastruktur ist:
netcup GmbH Emmy-Noether-Straße 10 76131 Karlsruhe Deutschland
Unsere Website-Clientsoftware ist so konfiguriert, dass Umami erst nach Ihrer Einwilligung geladen wird. Automatisches Seitenaufruf-Tracking, automatische allgemeine Klickerfassung, Leistungsmessung, Sitzungswiedergaben, Heatmaps und Identifizierungsfunktionen sind in unserer Einbindung deaktiviert. Seitenaufrufe und ausgewählte Interaktionen werden nach Einwilligung gezielt übermittelt.
Dabei können insbesondere folgende Angaben verarbeitet werden:
- normalisierter öffentlicher Pfad, Hostname und Seitentitel;
- bereinigter Referrer;
- Bildschirmauflösung und Browsersprache;
- Browser, Betriebssystem und Gerätetyp;
- ungefährer Standort auf Länder-, Regions- oder Stadtebene;
- pseudonyme Sitzungs- und Ereigniskennungen;
- fest definierte Ereignisnamen und sparsame Ereigniseigenschaften;
- standardisierte Kampagnenparameter utm_source, utm_medium, utm_campaign, utm_content und utm_term, soweit sie die technischen Längen- und Zeichenbeschränkungen unserer Website erfüllen.
Die IP-Adresse und der vollständige User-Agent werden auf der Netzwerk- und Serverebene technisch verarbeitet. Umami verwendet Anfragemerkmale vorübergehend zur ungefähren Standortbestimmung und zur Bildung einer pseudonymen Sitzung. Die unveränderte IP-Adresse wird nicht in die Sitzungs- oder Ereignisdatensätze unserer Umami-Analysedatenbank geschrieben. Umami speichert stattdessen abgeleitete pseudonyme Sitzungskennungen und einen ungefähren Standort; dadurch werden die Datensätze nicht anonym. Technische Serverprotokolle können Anfragemetadaten enthalten. Containerprotokolle werden größenbasiert mit bis zu drei Dateien zu je 10 MB pro Container rotiert; dies ist keine feste zeitliche Löschfrist.
Unsere reguläre Website ist insbesondere wie folgt konfiguriert:
- Suchereignisse enthalten nicht den eingegebenen Suchtext, sondern nur dessen Länge, die Anzahl der Ergebnisse und die Kategorie des höchstplatzierten Ergebnisses oder den Wert „unmatched“;
- Ereignisse der Kontaktoberfläche enthalten höchstens die allgemeine Kontaktkategorie und Angaben dazu, ob Name und Nachricht ausgefüllt wurden, nicht jedoch die eingegebenen Inhalte;
- Scroll- und Konversionsereignisse enthalten nur vorab festgelegte Ereignisnamen und die dafür vorgesehenen sparsamen Werte;
- sonstige Abfrageparameter und URL-Fragmente werden vor der regulären Übermittlung entfernt.
Diese Beschränkungen werden durch die von uns bereitgestellte Website-Clientsoftware umgesetzt. Wir verwenden den Umami-Endpunkt nicht zur Entgegennahme frei formulierter Inhalte.
Ein täglicher Löschlauf entfernt Analysedaten, die älter als 13 Monate sind, aus der aktiven Datenbank. Tägliche Sicherungen werden vor dem Upload in einen privaten Amazon-S3-Bucket in Frankfurt (eu-central-1) verschlüsselt und zusätzlich serverseitig durch S3 verschlüsselt. Sicherungen werden nach 30 Tagen zur automatischen Löschung vorgemerkt; S3 führt die Löschung asynchron aus. Eine Sicherung kann daher vorübergehend Daten enthalten, die bereits aus der aktiven Datenbank gelöscht wurden. Vor der erneuten Bereitstellung wiederhergestellter Daten wird der Löschlauf ausgeführt. Der Entschlüsselungsschlüssel für Sicherungen wird getrennt vom Server aufbewahrt. Die Verarbeitung durch AWS und internationale Übermittlungen sind in den Ziffern 4.3 und 10 beschrieben.
Ein separates internes Berichtssystem bewahrt Kopien aus unserer früheren Analysekonfiguration auf. Für detaillierte Ereignis- und Sitzungsdaten ist eine Löschung nach 90 Tagen konfiguriert. Rohkopien der Importe haben eigene Ablaufzeitpunkte, in der Regel 90 Tage nach dem Import oder einer Aktualisierung. Sie können deshalb länger bestehen als die detaillierte Ereignisansicht. Zusammenfassende Berichte und Berichtseinstellungen fallen nicht unter diese Löschregel für Detaildaten. Löschanfragen müssen daher auch anhand dieser separaten Kopien geprüft werden.
Weitere Informationen: Umami-Dokumentation, netcup-Datenschutzerklärung und Ablauf von Amazon-S3-Sicherungen.
Analyse-Einstellungen
Optionale Nutzungsanalyse und Leistungsmessung sind derzeit deaktiviert.
9. Externe Links
Unsere Websites enthalten einfache Links zu externen Diensten, beispielsweise GitHub, LinkedIn, Threads, Ko-fi und zum Apple App Store. Beim bloßen Anzeigen unserer Seite wird über diese Links grundsätzlich keine Verbindung zum jeweiligen Zielanbieter hergestellt.
Erst wenn Sie einen externen Link aufrufen, übermittelt Ihr Browser die für den Seitenabruf erforderlichen Daten an den Zielanbieter. Hierzu können insbesondere IP-Adresse, Zeitpunkt, Zieladresse, Browserinformationen und gegebenenfalls der Referrer gehören. Für die anschließende Verarbeitung ist grundsätzlich der jeweilige Zielanbieter nach seinen eigenen Datenschutzhinweisen verantwortlich.
10. Empfänger und internationale Datenübermittlungen
Empfänger personenbezogener Daten können, abhängig von der von Ihnen genutzten Funktion und Ihrer Einwilligung, insbesondere Vercel, Cloudflare, Amazon Web Services, netcup und Zoho sein. Eine Weitergabe erfolgt nur, soweit sie zur Bereitstellung der jeweiligen Funktion erforderlich ist, eine Rechtsgrundlage besteht und die vertraglich erforderlichen Datenschutzvereinbarungen abgeschlossen wurden.
Vercel, Cloudflare und Teile der AWS-Infrastruktur sind in den Vereinigten Staaten ansässig oder nutzen globale Infrastrukturen. Soweit eine Übermittlung an eine US-Gesellschaft von deren jeweils aktueller und für die konkrete Verarbeitung anwendbarer Zertifizierung nach dem EU-US Data Privacy Framework erfasst wird, beruht sie auf dem Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO.
Soweit eine solche Zertifizierung nicht anwendbar ist oder eine Übermittlung in ein anderes Drittland erfolgt, verwenden wir insbesondere die von der Europäischen Kommission genehmigten Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Wir berücksichtigen dabei eine Transferbewertung und, soweit erforderlich, ergänzende technische und organisatorische Maßnahmen.
Bei Zoho werden die primären Servicedaten in der EU-Rechenzentrumsregion verarbeitet. In seltenen Fällen kann ein begrenzter Supportzugriff aus Indien stattfinden; Zoho verwendet hierfür nach eigenen Angaben Standardvertragsklauseln und ergänzende Maßnahmen.
Eine Kopie der maßgeblichen Garantien oder weitere Informationen zu Drittlandübermittlungen können Sie unter Justin@Lanfermann.dev anfordern. Geschäftsgeheimnisse und sicherheitsrelevante Angaben dürfen dabei angemessen geschwärzt werden.
Weitere Informationen zum EU-US Data Privacy Framework stellt die Europäische Kommission bereit.
11. Übersicht der wesentlichen Speicherfristen
| Verarbeitung | Speicherdauer oder Kriterium |
|---|---|
| Umami-Analyse- und Sitzungsdaten in der aktiven Datenbank | Tägliche Löschung von Daten, die älter als 13 Monate sind; verschlüsselte Sicherungen laufen separat nach 30 Tagen ab, mit asynchroner S3-Löschung |
| Umami- und Proxy-Containerprotokolle | Ältere Protokolleinträge werden entfernt, sobald die Speichergrenze erreicht ist. Die Aufbewahrungsdauer hängt vom Protokollaufkommen ab, nicht von einer festen Anzahl von Tagen. |
| Cloudflare-Protokolle | Wir exportieren keine Anfrageprotokolle. Cloudflare bewahrt Betriebs- und Sicherheitsdaten auf, soweit dies zur Bereitstellung und Absicherung seiner Dienste sowie zur Erfüllung gesetzlicher Pflichten erforderlich ist. Siehe Cloudflares Aufbewahrungskriterien. |
| CloudFront-Besucherzugriffsprotokolle | Deaktiviert |
| Zugriffs-Cookie für geschützte Ressourcen | Höchstens 24 Stunden |
| Lokale Einstellungen und Einwilligungsauswahl | Bis zur Änderung, technischen Ungültigkeit oder Löschung der Website-Daten im Browser |
| E-Mail-Kommunikation | Solange für Bearbeitung, angemessene Nachverfolgung, Dokumentation, gesetzliche Pflichten oder konkrete Rechtsansprüche erforderlich; anschließend Löschung |
| Letzte Befehle und Snake-Höchststand | 30 Tage je Auswahl oder gespeichertem Höchststand; abgelaufene Werte werden beim nächsten Speicherzugriff verworfen (Abschnitt 5). |
Die folgenden Zeiträume beschreiben Kennungslaufzeiten und die im Vercel-Dashboard abrufbare Historie. Sie sind von den Löschfristen der zugrunde liegenden Datensätze zu unterscheiden. Einzelheiten zu Verarbeitung und Aufbewahrung stehen in den Abschnitten 4 und 8.
| Dienst oder Kennung | Laufzeit oder Berichtszeitraum |
|---|---|
| Vercel-Laufzeitprotokolle | Bis zu 1 Tag auf Pro ohne Observability Plus. Vercel-Dokumentation. |
| Vercel-Web-Analytics-Kennung | 24 Stunden. Vercel-Datenschutzinformationen. |
| Vercel Web Analytics | Grundsätzlich bis zu 12 Monate ohne Web Analytics Plus. Vercel-Dokumentation. |
| Vercel Speed Insights | 7 Tage oder 30 Tage mit Speed Insights Plus auf Pro. Vercel-Dokumentation. |
Soweit Daten wegen gesetzlicher Pflichten oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen länger aufbewahrt werden müssen, wird die Verarbeitung auf diesen Zweck beschränkt. Nach Wegfall des Grundes werden die Daten gelöscht. Für vom jeweiligen Infrastrukturprovider verwaltete Sicherungs- und Wiederherstellungskopien gelten dessen vertragliche und dokumentierte Lösch- beziehungsweise Überschreibungskriterien; solche Kopien werden von uns nicht für gewöhnliche Verarbeitungszwecke genutzt.
12. Datensicherheit
Wir setzen angemessene technische und organisatorische Maßnahmen ein, um personenbezogene Daten vor Verlust, Manipulation sowie unbefugtem Zugriff oder unbefugter Offenlegung zu schützen. Die Übertragung zwischen Ihrem Browser und unseren öffentlich erreichbaren Diensten erfolgt verschlüsselt über HTTPS/TLS.
Trotz angemessener Schutzmaßnahmen kann eine Datenübertragung über das Internet nicht vollständig risikofrei garantiert werden.
13. Ihre Rechte
Unter den gesetzlichen Voraussetzungen stehen Ihnen insbesondere folgende Rechte zu:
- Auskunft über die von uns verarbeiteten personenbezogenen Daten nach Art. 15 DSGVO;
- Berichtigung unrichtiger Daten nach Art. 16 DSGVO;
- Löschung nach Art. 17 DSGVO;
- Einschränkung der Verarbeitung nach Art. 18 DSGVO;
- Datenübertragbarkeit nach Art. 20 DSGVO, soweit die gesetzlichen Voraussetzungen erfüllt sind;
- Widerruf einer Einwilligung jederzeit mit Wirkung für die Zukunft nach Art. 7 Abs. 3 DSGVO;
- Beschwerde bei einer Datenschutzaufsichtsbehörde nach Art. 77 DSGVO.
Widerspruchsrecht nach Art. 21 DSGVO
Soweit wir personenbezogene Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen diese Verarbeitung einzulegen.
Nach Ihrem Widerspruch verarbeiten wir die betreffenden Daten grundsätzlich nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
Ihren Widerspruch können Sie an Justin@Lanfermann.dev richten.
Zur Ausübung Ihrer Rechte genügt eine Nachricht an Justin@Lanfermann.dev. Bestehen begründete Zweifel an Ihrer Identität, können wir die zu ihrer Bestätigung erforderlichen zusätzlichen Angaben verlangen. Wir antworten unverzüglich, in jedem Fall jedoch innerhalb eines Monats nach Eingang Ihrer Anfrage. Soweit die Komplexität oder die Anzahl der Anfragen dies erforderlich macht, kann die Frist um bis zu zwei weitere Monate verlängert werden. Über die Verlängerung und deren Gründe informieren wir Sie innerhalb des ersten Monats.
Einige Statistikdatensätze sind nicht unmittelbar einer namentlich bekannten Person zugeordnet. Nach Art. 11 DSGVO müssen wir keine zusätzlichen Identifikationsdaten allein erheben, um eine Person für eine Betroffenenanfrage zu identifizieren. Können wir nachweisen, dass wir die Sie betreffenden Datensätze nicht identifizieren können, erläutern wir dies nach Möglichkeit; die Rechte aus Art. 15 bis 20 gelten in dieser Situation nicht, es sei denn, von Ihnen bereitgestellte Informationen ermöglichen eine Identifizierung. Wir berücksichtigen verfügbare Sitzungsinformationen und Angaben von Ihnen, die eine verlässliche Zuordnung ermöglichen könnten. Das Fehlen eines Namens allein belegt nicht, dass eine Zuordnung unmöglich ist.
15. Änderungen dieser Datenschutzerklärung
Wir passen diese Datenschutzerklärung an, wenn sich unsere Websites, die eingesetzten Dienste oder die rechtlichen Anforderungen ändern. Das jeweils angegebene Aktualisierungsdatum zeigt den Stand der Erklärung.
Wenn sich ein einwilligungsabhängiger Zweck, Anbieter oder Datenumfang wesentlich ändert, verwenden wir eine bestehende Einwilligung nicht automatisch für die geänderte Verarbeitung, sondern holen erforderlichenfalls eine neue Auswahl ein.