Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die auf dieser Seite beschriebene Datenverarbeitung im Sinne von Art. 4 Nr. 7 DSGVO ist:

Diese Seite ist ein privates Angebot und unterliegt keiner Anbieterkennzeichnung nach § 5 DDG; Näheres im Impressum. Name und Kontaktdaten sind hier gleichwohl anzugeben – Art. 13 Abs. 1 lit. a DSGVO verlangt sie unabhängig davon. Eine Postanschrift gehört nicht dazu, solange ich über die genannten Wege erreichbar bin.

2. Grundsatz

Ich verarbeite personenbezogene Daten ausschließlich nach der Datenschutz-Grundverordnung (DSGVO) und dem Bundesdatenschutzgesetz (BDSG). Die Seite erhebt so wenig Daten wie technisch möglich: Es sind keine Analyse-, Tracking- oder Werbedienste eingebunden und keine externen Schriftarten. Sämtliche Ressourcen liefert der eigene Server aus – mit einer Ausnahme: der Sicherheitsprüfung Cloudflare Turnstile (Abschnitt 5), die erst geladen wird, wenn du das Formular benutzt.

3. Kontaktformular

Sendest du mir über das Formular eine Nachricht, verarbeite ich die von dir angegebenen Daten – Name, E-Mail-Adresse und den Nachrichtentext – zur Bearbeitung deiner Anfrage.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Mein berechtigtes Interesse besteht darin, auf eine an mich gerichtete Nachricht antworten zu können. Betrifft deine Anfrage die Anbahnung oder Durchführung eines Vertrags, tritt Art. 6 Abs. 1 lit. b DSGVO an diese Stelle.

Übermittlung: Die Daten werden über eine TLS-verschlüsselte SMTP-Verbindung an mein Postfach zugestellt. Eine Weitergabe an Dritte findet nicht statt; ausgenommen ist der Hosting- und E-Mail-Anbieter, der die Daten weisungsgebunden als Auftragsverarbeiter nach Art. 28 DSGVO verarbeitet.

Speicherdauer: Ich lösche die Nachricht, sobald deine Anfrage abschließend bearbeitet ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Erforderlichkeit der Angaben: Du bist weder gesetzlich noch vertraglich verpflichtet, mir diese Daten bereitzustellen. Ohne E-Mail-Adresse und Nachrichtentext kann ich deine Anfrage allerdings nicht beantworten; gibst du sie nicht an, kommt die Nachricht nicht zustande. Andere Nachteile entstehen dir dadurch nicht.

Pseudonyme Nutzung: Diese Seiten lassen sich ohne jede Angabe zu deiner Person lesen. Für eine Nachricht brauche ich eine E-Mail-Adresse, um antworten zu können – im Namensfeld genügt aber ein Pseudonym. Damit ermögliche ich die Nutzung unter einem Pseudonym, soweit das hier technisch möglich und zumutbar ist (§ 19 Abs. 2 TDDDG).

Automatisierte Entscheidungen: Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt. Die Spam-Bewertung in Abschnitt 4 entscheidet nur über die Zustellung einer einzelnen Nachricht und entfaltet dir gegenüber keine rechtliche Wirkung.

4. Missbrauchsschutz und Protokolle des Formulars

Damit das Formular nicht für Massenversand oder Spam missbraucht wird, laufen mehrere technische Schutzmaßnahmen:

• Eine Sicherheitsprüfung, die automatisierte Absendungen erkennt. Dafür setze ich Cloudflare Turnstile ein; Einzelheiten stehen in Abschnitt 5.
• Eine Begrenzung der Anzahl von Anfragen je IP-Adresse. Sie greift bereits beim Aufruf der Formularseite, weil das Formular dafür einmal beim Server anfragt. Gespeichert wird nicht die IP-Adresse selbst, sondern ein mit einem geheimen Schlüssel gebildeter Hashwert; ohne diesen Schlüssel lässt er sich nicht auf die Adresse zurückrechnen. Er wird für die Dauer des Zeitfensters benötigt – derzeit eine Stunde – und beim darauf folgenden automatischen Aufräumen gelöscht.
• Eine Messung der Zeit zwischen dem Aufruf des Formulars und dem Absenden. Wird in weniger als drei Sekunden abgeschickt oder liegt der Aufruf mehr als zwei Stunden zurück, weise ich die Nachricht ab. Dafür wird allein der Zeitpunkt des Aufrufs in deiner Sitzung hinterlegt.
• Zwei Formularfelder, die für dich unsichtbar bleiben und leer bleiben müssen. Automatische Programme füllen sie aus und geben sich damit zu erkennen. Ihr Inhalt wird nicht gespeichert.
• Eine automatische Spam-Bewertung des Nachrichtentexts. Dabei prüfe ich unter anderem, ob zur Domain deiner E-Mail-Adresse ein Mailserver existiert; dafür wird dieser Domainteil – nicht die vollständige Adresse – an das Namenssystem des Internets abgefragt.
• Protokolle: Jede zugestellte Nachricht wird mit Zeitpunkt, pseudonymisiertem Kennzeichen und Bewertungsergebnis vermerkt, jede abgewiesene zusätzlich mit dem Domainteil der angegebenen E-Mail-Adresse (etwa „example.com“, nicht die ganze Adresse) und dem Grund der Ablehnung. Scheitert die Zustellung technisch, wird die Meldung des Mailservers festgehalten; Adressen darin werden vor dem Schreiben maskiert. Diese Protokolle lösche ich spätestens nach 90 Tagen.
• In der an mich zugestellten Benachrichtigungs-E-Mail ist die IP-Adresse des Absendezeitpunkts enthalten, um Missbrauch nachverfolgen zu können. Sie wird gemeinsam mit der Nachricht gelöscht.

Wirkung: Die Bewertung läuft automatisch. Eine als Spam eingeordnete Nachricht erreicht mich nicht, auch wenn die Seite den Versand bestätigt – welche Regel gegriffen hat, verrät die Antwort absichtlich nicht, weil sich automatische Programme sonst daran vorbei optimieren könnten. Bleibt eine Antwort von mir aus, erreichst du mich über die Adresse im Impressum.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Mein berechtigtes Interesse liegt darin, die Seite sicher und erreichbar zu halten und zu verhindern, dass das Formular für Massenversand missbraucht wird.

5. Sicherheitsprüfung mit Cloudflare Turnstile

Um das Formular vor Spam und automatisiertem Missbrauch zu schützen, nutze ich Cloudflare Turnstile. Anbieter ist die Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA.

Wann: Turnstile wird erst geladen, wenn du das Formular benutzt – also ein Feld anklickst, darin tippst oder absendest. Wer die Seite nur aufruft, überträgt keine Daten an Cloudflare. Nach dem Versand wird die Prüfung wieder entfernt.

Welche Daten: Dein Browser lädt dazu ein Skript und ein eingebettetes Fenster von Cloudflare. Dabei verarbeitet Cloudflare nach eigenen Angaben insbesondere deine IP-Adresse, Merkmale deines Browsers und deiner Verbindung (etwa den User-Agent und Merkmale der verschlüsselten Verbindung) sowie die Adresse dieser Seite. Im Rahmen der Prüfung kann Cloudflare technisch notwendige Cookies oder vergleichbaren Speicher in deinem Browser verwenden. Formulareingaben liest Turnstile laut Cloudflare nicht – Name, E-Mail-Adresse und Nachricht gelangen nicht zu Cloudflare. Das Ergebnis der Prüfung, ein einmal verwendbares Token, lässt mein Server von Cloudflare bestätigen und übermittelt dabei ebenfalls deine IP-Adresse.

Zweck und Rollen: Die Daten dienen ausschließlich dazu, Menschen von automatisierten Programmen zu unterscheiden; ein Profiling zu Werbezwecken findet laut Cloudflare nicht statt. Für die Prüfung verarbeitet Cloudflare die Daten in meinem Auftrag (Art. 28 DSGVO). Nach eigenen Angaben nutzt Cloudflare sie außerdem als eigener Verantwortlicher, um Turnstile zu verbessern.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Mein berechtigtes Interesse liegt darin, das Formular vor massenhaftem Missbrauch zu schützen und erreichbar zu halten. Den Zugriff auf Informationen in deinem Endgerät stütze ich auf § 25 Abs. 2 Nr. 2 TDDDG, soweit er der Prüfung selbst dient: Sie ist erforderlich, um das von dir ausdrücklich aufgerufene Formular sicher bereitzustellen, und läuft erst an, wenn du es benutzt. Soweit Cloudflare darüber hinaus als eigener Verantwortlicher handelt, um den Dienst zu verbessern, beruht das auf der Entscheidung von Cloudflare; dafür ist dessen Datenschutzerklärung maßgeblich.

Übermittlung in die USA: Cloudflare, Inc. ist unter dem EU-U.S. Data Privacy Framework zertifiziert; die Übermittlung stützt sich daher auf den Angemessenheitsbeschluss der Europäischen Kommission vom 10.07.2023 (Art. 45 DSGVO). Ergänzend gelten die Standardvertragsklauseln der Kommission (Art. 46 Abs. 2 lit. c DSGVO), die Bestandteil des Auftragsverarbeitungsvertrags mit Cloudflare sind. Sie tragen die Übermittlung auch dann weiter, falls der Angemessenheitsbeschluss entfallen sollte – gegen ihn ist derzeit ein Rechtsmittel beim Europäischen Gerichtshof anhängig.

Speicherdauer: Mein Server speichert weder das Token noch das Ergebnis der Prüfung; abgelehnte Prüfungen werden wie in Abschnitt 4 beschrieben pseudonymisiert protokolliert. Wie lange Cloudflare Daten speichert, regelt dessen Datenschutzerklärung.

Möchtest du Turnstile nicht nutzen, erreichst du mich per E-Mail; die Adresse steht im Impressum. Weitere Informationen: Datenschutzerklärung von Cloudflare und Datenschutzhinweise zu Turnstile.

6. Cookie und Speicher im Browser

Beim Aufruf des Formulars wird ein einzelnes technisch notwendiges Cookie gesetzt. Es enthält ausschließlich eine zufällige Sitzungskennung. Auf dem Server gehören zu dieser Sitzung nur drei Angaben: ein Zufallswert gegen websiteübergreifende Anfragenfälschung (CSRF), der Zeitpunkt, zu dem du das Formular aufgerufen hast, und – sofern die selbst betriebene Regler-Prüfung aktiv ist – die dazu ausgegebene Aufgabe. Das Cookie ist auf SameSite=Strict und HttpOnly gesetzt, wird nur über HTTPS übertragen und verfällt mit dem Schließen des Browsers. Da es technisch erforderlich ist, bedarf es nach § 25 Abs. 2 Nr. 2 TDDDG keiner Einwilligung. Weitere Cookies setzt diese Seite selbst nicht; zu möglichem Speicher von Cloudflare Turnstile siehe Abschnitt 5.

Zusätzlich legt die Seite zwei Angaben im Speicher deines Browsers ab: deine Auswahl des Farbschemas – hell oder dunkel – dauerhaft (localStorage), und während des Ausfüllens deine Eingaben im Zwischenspeicher des Tabs (sessionStorage), damit ein versehentliches Neuladen den Text nicht verwirft. Der Entwurf wird gelöscht, sobald die Nachricht abgeschickt ist, spätestens mit dem Schließen des Tabs.

Beides verlässt dein Gerät nicht und wird nicht an den Server übertragen. Auf die Erlaubnis kommt es darauf allerdings nicht an: § 25 TDDDG erfasst jede Speicherung in deinem Endgerät. Beide Angaben sind für die von dir gewünschte Funktion erforderlich – die eine setzt eine Einstellung um, die du selbst getroffen hast, die andere bewahrt deinen eigenen Text. Sie sind damit nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung zulässig.

7. Server-Logfiles

Beim Abruf der Seite erhebt der Hosting-Anbieter automatisch Informationen in Server-Logfiles, etwa IP-Adresse, Datum und Uhrzeit, aufgerufene Datei, übertragene Datenmenge und übermittelter Browsertyp. Dies dient dem sicheren und stabilen Betrieb. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Speicherdauer: Die Logfiles werden nach 14 Tagen automatisch gelöscht. Länger aufbewahrt werden einzelne Einträge nur, solange sie zur Aufklärung eines konkreten Angriffs oder einer Störung erforderlich sind.

8. Deine Rechte

Dir stehen die Rechte auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch (Art. 21 DSGVO) zu.

Beschwerderecht: Nach Art. 77 DSGVO kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren – wahlweise bei der Behörde deines Wohnsitzes, deines Arbeitsplatzes oder des Orts des vermuteten Verstoßes. Für mich zuständig ist die Aufsichtsbehörde des Bundeslandes meines Wohnsitzes; die Anschrift findest du über die Übersicht der Landesdatenschutzbehörden.

Widerspruchsrecht: Soweit ich Daten auf Grundlage berechtigter Interessen verarbeite, kannst du dieser Verarbeitung jederzeit mit Wirkung für die Zukunft widersprechen.

9. Kontakt in Datenschutzfragen

Für Anliegen zum Datenschutz erreichst du mich unter hallo@neumann-tim.com.

Stand: Oktober 2026