Datenschutzerklärung

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO für creator-kit:

Name

Christian Gluch

Anschrift

Münchner Straße 14
85614 Kirchseeon
Deutschland

E-Mail

christian@cg-labs.dev

Für Anfragen nach Art. 15 bis 22 DSGVO und alle anderen Datenschutz-Anliegen schreibst du an datenschutz@cg-labs.dev. Mails an diese Adresse werden nur für Datenschutz-Vorgänge verarbeitet.

creator-kit verzichtet auf Cookies zu Werbe- oder Analysezwecken, Tracking-Pixel, Analytics, Werbe-Netzwerke, Social-Media-Widgets und externe CDN-Ressourcen. Die Schriften Bricolage Grotesque und Instrument Sans werden beim Build über next/font auf meinem Server abgelegt; beim Aufruf entsteht keine Verbindung zu Google Fonts.

Personenbezogene Daten werden nur verarbeitet, soweit es für den Betrieb der App und für deine eigenen Einträge nötig ist. Was du einträgst, sieht nur dein Konto.

Beim Aufruf verarbeitet der Reverse-Proxy (Caddy) für die technische Auslieferung folgende Daten in einer Logdatei:

• IP-Adresse des anfragenden Geräts
• Datum und Uhrzeit der Anfrage
• HTTP-Methode, angefragte URL und Statuscode
• Referrer-URL und User-Agent
• übertragene Datenmenge

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Berechtigtes Interesse ist der sichere und stabile Betrieb (Auslieferung, Fehlersuche, Abwehr von Missbrauch). Die Logs werden nach 7 Tagen automatisch gelöscht und nicht mit anderen Daten zusammengeführt. Die Anwendung selbst protokolliert Fehler ohne Inhalte und ohne Personenbezug.

creator-kit läuft auf einem Server der Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen (Standort Falkenstein, Deutschland). Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Die Datenbank und der Dateispeicher (Supabase, selbst betrieben) liegen auf demselben Server. Deine Daten verlassen die Europäische Union nicht.

Die Auslieferung ist über TLS (HTTPS) verschlüsselt, HSTS ist aktiv.

Für ein Konto brauchst du eine E-Mail-Adresse und ein Passwort. Das Passwort wird nur als Hash gespeichert (bcrypt, in Supabase Auth). Zum Zurücksetzen bekommst du per E-Mail einen Link, der kurz gültig ist. Gespeichert werden E-Mail-Adresse, Zeitpunkt der Registrierung und der letzten Anmeldung. Wahlweise richtest du eine Authenticator-App ein (dann wird ein geheimer Schlüssel für die Codes gespeichert) oder einen Passkey (dann wird der öffentliche Schlüssel deines Geräts gespeichert, der private bleibt bei dir).

Nach der Anmeldung setzt die App ein Sitzungs-Cookie, damit du eingeloggt bleibst. Es ist für den Dienst zwingend nötig (§ 25 Abs. 2 Nr. 2 TDDDG) und wird beim Abmelden gelöscht. Wechselst du die Sprache, merkt sich ein weiteres Cookie nur diese Wahl.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Dienstes).

Was du in der App erfasst, wird in deinem Konto gespeichert:

• Profil: Anzeigename, Handle, Startjahr, ob ein Gewerbe angemeldet ist, ob du Leistungen vom Jobcenter bekommst und der Bewilligungszeitraum, Plattformen, Themen, Sprachen, Kurztext, Stadt, Kontakt-E-Mail, Media-Kit-Link, Profilbild
• Produkte: Marke, Produkt, Kategorie, Datum, Wert, Herkunft, Status, Notizen
• Events und Reisen: Anlass, Datum, Positionen mit Kosten und Zahler, betrieblicher Anteil
• Ausgaben und Homeoffice-Tage
• Belege: Fotos oder PDFs, die du zu Produkten, Events und Ausgaben hochlädst

Diese Daten sieht nur dein Konto. Die Datenbank erzwingt das mit Zugriffsregeln je Zeile (Row Level Security); der Dateispeicher ist nicht öffentlich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Daten bleiben gespeichert, bis du sie oder dein Konto löschst.

Nur wenn du es im Profil ausdrücklich einschaltest, ist eine Profilkarte unter deinem Handle öffentlich erreichbar. Sie zeigt Anzeigename, Handle, Profilbild, Banner, den Satz über dich, Kurztext, Stadt, Plattformen, Themen, Sprachen, die Bilder und Videos deiner Galerie sowie Kontakt-E-Mail und Media-Kit-Link, falls du sie eingetragen hast. Du wählst, ob die Seite für alle mit dem Link offen ist oder nur mit einem Passwort, das du weitergibst; das Passwort wird nur als Hash gespeichert, und wer es eingibt, bekommt ein Cookie für 30 Tage, das nur diese Seite öffnet. Suchmaschinen werden gebeten, die Seite nicht zu indexieren. Du kannst die Freigabe jederzeit wieder ausschalten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO.

CSV- und PDF-Exporte werden auf Anfrage aus deinen Daten erzeugt und direkt an deinen Browser gesendet. Sie werden nicht auf dem Server abgelegt. Was du damit machst, etwa an einen Steuerberater oder das Jobcenter weitergeben, entscheidest du.

Wer über den Knopf „Nachricht senden“ auf deiner Seite schreibt, hinterlässt Name, E-Mail-Adresse, optional Unternehmen und Betreff sowie den Text. Das liegt in deinem Konto, nur du siehst es, und du löschst es einzeln oder mit dem Konto. Deine eigene E-Mail-Adresse bekommt der Absender nicht. Antwortest du in der App, verschickt der Server die Antwort an die Adresse des Absenders und setzt deine Konto-Adresse als Antwortadresse, damit die Antwort darauf bei dir ankommt. Gelöschte Nachrichten liegen 30 Tage im Papierkorb und werden dann endgültig entfernt. Gegen Missbrauch begrenzt der Server die Zahl der Nachrichten je Absenderadresse und je Profil pro Stunde. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für dich und Art. 6 Abs. 1 lit. f DSGVO für die Weiterleitung an dich; du kannst die Funktion im Profil ausschalten.

Bittet dich ein Mitglied um eine Verbindung, sehen wir deinen Namen, dein Profilbild und den Text der Anfrage bei beiden Seiten. Nimmst du an, entsteht eine Unterhaltung, in der beide schreiben können; die Beiträge liegen in deinem Konto und sind nur für euch beide sichtbar. E-Mail-Adressen tauschen wir dabei nicht aus. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Du kannst Anfragen im Club-Profil ganz ausschalten, einzelne Mitglieder blockieren und die Blockierung dort wieder aufheben. Eine Absage teilen wir der anderen Seite nicht mit; wir merken sie uns 30 Tage, damit dieselbe Person dich nicht sofort erneut anfragt. Gegen Missbrauch begrenzen wir die Zahl der Anfragen auf zehn am Tag.

Im Verzeichnis stehen nur Mitglieder, die das im Profil ausdrücklich eingeschaltet haben. Sichtbar sind dort Profilbild, Name, Handle, dein Satz über dich, Themen, Sprachen und Stadt, und zwar nur für angemeldete Mitglieder. Steuerliche Angaben, Beträge, Belege und deine Kontaktadresse stehen nie im Verzeichnis. Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO; du nimmst sie jederzeit im Club-Profil zurück und bist dann sofort wieder aus der Liste. Für die Sortierung merkt sich die App den Zeitpunkt deines letzten Besuchs. Deinen Status, also verfügbar, beschäftigt, abwesend oder unsichtbar, und den optionalen Statustext wählst du selbst; andere Mitglieder sehen ihn neben deinem Namen. Ob deine App gerade offen ist, speichern wir nicht: Das läuft über eine kurzlebige Verbindung und endet, sobald du die Seite schließt. Auf „unsichtbar“ sehen dich alle als offline.

Anmelde-Links verschickt die App über mein Postfach bei der Heinlein Hosting GmbH (mailbox.org), Schwedter Straße 8/9 A, 10119 Berlin. Schreibst du mir direkt an christian@cg-labs.dev, bleiben die Daten bei mir und werden nur zur Bearbeitung deines Anliegens verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO.

Diese Dienstleister verarbeiten in meinem Auftrag Daten nach Art. 28 DSGVO:

• Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen: Server, Datenbank, Dateispeicher und Server-Logs.
• Heinlein Hosting GmbH (mailbox.org), Schwedter Straße 8/9 A, 10119 Berlin: Versand der Anmelde-Links und Postfach.

Beide Anbieter sitzen in Deutschland; die Verarbeitung findet in der EU statt.

Die App setzt nur die beiden oben genannten Cookies (Sitzung, Sprache). Es gibt keine Analytics-Tools, keine Werbe-Pixel, keine Social-Media-Widgets und keine externen CDNs. Local Storage wird nicht zu Tracking-Zwecken genutzt.

Personenbezogene Daten werden nicht in Drittländer außerhalb des EWR übermittelt. Sollte sich das ändern, wird diese Erklärung vorher angepasst.

Einzelne Einträge und Belege löschst du in der App. Im Profil löschst du dein ganzes Konto: Dabei werden alle Einträge, Belege, das Profilbild und dein Login sofort entfernt. Server-Sicherungen werden turnusmäßig überschrieben; danach sind die Daten auch dort weg.

Nach Art. 15 bis 22 DSGVO hast du jederzeit das Recht auf:

• Auskunft über die zu deiner Person gespeicherten Daten (Art. 15)
• Berichtigung unrichtiger Daten (Art. 16)
• Löschung (Art. 17)
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit in einem gängigen Format (Art. 20); der CSV-Export in der App liefert genau das
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21)
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3)

Anfragen formlos an datenschutz@cg-labs.dev. Bei Zweifeln an der Identität kann ein Nachweis nötig sein.

Soweit ich Daten auf Grundlage berechtigter Interessen nach Art. 6 Abs. 1 lit. f DSGVO verarbeite, kannst du jederzeit Widerspruch einlegen. Kann ich danach keine zwingenden schutzwürdigen Gründe nachweisen, die deine Interessen überwiegen, stelle ich die Verarbeitung ein.

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, etwa an deinem Wohnort oder am Ort des mutmaßlichen Verstoßes. Für creator-kit zuständig ist:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18, 91522 Ansbach
www.lda.bayern.de

Diese Erklärung wird angepasst, sobald sich der Funktionsumfang der App oder die eingesetzten Dienste ändern. Es gilt die hier veröffentlichte Fassung; den Stand siehst du oben.