Datenschutz

Verantwortliche Stelle

Verantwortlich für die Verarbeitung personenbezogener Daten auf dieser Seite ist Kai Kuntze, Kalli entdeckt, Himmelsborn 13, 34317 Habichtswald, Telefon: +49 171 2851334, E-Mail: hallo@kalli-entdeckt.de. An diese Adresse richten sich auch alle Anfragen zu den unten beschriebenen Rechten.

Was im Browser gespeichert wird

Warenkorb und Wunschliste liegen im localStorage des Browsers unter dem Schlüssel kalli.shop. Sie gehören zum Gerät, nicht zu einer Person, und werden erst dann übertragen, wenn eine Bestellung eingeleitet wird.

Dazu kommt genau ein Cookie, und nur nach einer Anmeldung; der nächste Abschnitt beschreibt es. Andere Cookies werden nicht gesetzt, und zur Wiedererkennung über fremde Seiten hinweg dient keines.

Das Cookie für die Anmeldung

Wer sich anmeldet, bekommt ein Cookie mit dem Namen __Host-kalli_session; bei einer lokalen Installation ohne HTTPS heißt es kalli_session. Darin steht ein Zufallswert und sonst nichts - kein Name, keine E-Mail-Adresse, keine Bestellung. Er ist der Nachweis, dass diese Anmeldung stattgefunden hat, und genau dafür gibt es das Cookie: ohne es müsste jede Seite erneut nach dem Passwort fragen.

Es läuft nach 30 Tagen ab und wird beim Abmelden sofort gelöscht, auf dem Gerät und in unserer Datenbank; die Schaltfläche zum Abmelden auf allen Geräten löscht die Sitzungen des Kontos in einem Zug. Das Cookie ist als httpOnly gesetzt, für Skripte im Browser also nicht lesbar, und wird nur an diese Seite geschickt. In unserer Datenbank liegt nicht der Wert selbst, sondern sein SHA-256-Hash, dazu die Kennung des Kontos und die Zeitpunkte von Anmeldung, letzter Verwendung und Ablauf. Aus dem gespeicherten Hash lässt sich das Cookie nicht zurückrechnen.

Eine Einwilligung ist dafür nicht nötig: Das Cookie ist nach § 25 Abs. 2 Nr. 2 TDDDG technisch erforderlich, weil die Anmeldung ohne es nicht funktioniert. Genannt werden muss es trotzdem, und das geschieht hier.

Was zu einem Konto gespeichert wird

Ein Konto besteht aus E-Mail-Adresse, Passwort, Vor- und Nachname, soweit angegeben, und dem Zeitpunkt der Registrierung. Das Passwort selbst wird nicht gespeichert, sondern nur ein daraus berechneter Prüfwert (scrypt). Er lässt sich nicht in das Passwort zurückrechnen, und auch wir können es nirgends anzeigen.

Dazu kommen die Anschriften: eine Lieferanschrift und, wenn sie abweicht, eine Rechnungsanschrift - jeweils Name, Straße mit Hausnummer, Adresszusatz, Postleitzahl, Ort und Land. Sie sind im Kontobereich jederzeit änderbar. Was bei einer Bestellung galt, bleibt davon unberührt: Die Anschrift wird beim Bestellen auf die Bestellung kopiert und ändert sich dort nicht mehr.

Für jedes angemeldete Gerät kommt eine Sitzung hinzu, wie im vorigen Abschnitt beschrieben. Mit der ersten Bestellung kommt die Kundennummer hinzu, die unser Zahlungsdienstleister vergibt; sie wird wiederverwendet, damit dort nicht bei jedem Bestellversuch ein weiterer Datensatz entsteht.

Fehlgeschlagene Anmeldeversuche

Zu jeder E-Mail-Adresse, mit der eine Anmeldung fehlschlägt, wird ein Zähler geführt. Er schützt die Konten vor dem Durchprobieren von Passwörtern und sperrt die Anmeldung nach mehreren Fehlversuchen vorübergehend. Gespeichert wird dabei nicht die Adresse, sondern nur ihr SHA-256-Hash, dazu die Zahl der Fehlversuche, der Zeitpunkt des letzten Versuchs und gegebenenfalls das Ende der Sperre.

Der Hash steht dort, weil auch für Adressen gezählt werden muss, zu denen es gar kein Konto gibt - sonst wäre am Verhalten der Anmeldeseite ablesbar, welche Adressen bei uns bekannt sind. Als Hash ist die Sammlung kein Adressverzeichnis. Ein Eintrag wird bei der nächsten erfolgreichen Anmeldung gelöscht, spätestens jedoch verworfen, wenn der letzte Versuch länger als 30 Tage zurückliegt.

Was bei einer Bestellung passiert

Auf dem Weg zur Kasse wird der Warenkorb an unseren Server übertragen, damit die Preise dort neu berechnet werden - übermittelt werden dabei nur Artikelnummern und Mengen. Ab der Kasse ist eine Anmeldung nötig, weil die Lieferanschrift aus dem Konto kommt.

Mit dem Klick auf den Bestellbutton wird eine Bestellung in unserer Datenbank angelegt, mit der E-Mail-Adresse und den Anschriften des Kontos, so wie sie über dem Button gestanden haben. Danach wird der Browser zur Bezahlseite unseres Zahlungsdienstleisters Stripe weitergeleitet. Diese Seite gehört Stripe, nicht uns.

An Stripe übermitteln wir dabei: E-Mail-Adresse, Name, Liefer- und Rechnungsanschrift, die bestellten Artikel mit Menge und Preis sowie die Versandkosten. Die Anschrift wird dort als Kundendatensatz hinterlegt und als Empfängeranschrift der Rechnung verwendet. Erhoben werden bei Stripe nur noch die Zahlungsdaten selbst - die sehen wir nie.

Zurück kommt mehr als eine Statusmeldung. Stripe meldet den Verlauf der Zahlung über einen signierten Aufruf an unseren Server, und dieses Ereignis wird unverändert protokolliert: Es enthält den Zahlungsstatus, die Vorgangsnummern bei Stripe, die gewählte Zahlungsart und die von uns übermittelten Angaben ein zweites Mal, je nach Zahlungsart ergänzt um das, was Stripe selbst erhoben hat. Die Anschrift auf der Bestellung ersetzt diese Meldung nicht - Stripe erhebt keine mehr und meldet dazu auch nichts. Die zurückgemeldete E-Mail-Adresse wird auf der Bestellung übernommen; es ist dieselbe, die wir zuvor dorthin übermittelt haben.

In unserer Datenbank liegen damit je Bestellung: Bestellnummer und Status, die bestellten Artikel mit Menge und Preis, Gesamtbetrag und Steueraufteilung, E-Mail-Adresse, Name, Liefer- und Rechnungsanschrift, der Verweis auf das Konto, die Vorgangsnummern bei Stripe sowie die Zeitpunkte von Bestellung und Zahlungseingang - dazu das eben beschriebene Protokoll der Rückmeldungen.

Die Bestelldaten werden aufbewahrt, auch wenn sie sonst zu löschen wären - Handels- und Steuerrecht verlangen das für Rechnungen und Buchungsbelege.

Wenn ein Konto gelöscht wird

Die Löschung im Kontobereich entfernt E-Mail-Adresse, Passwortprüfwert, Namen und die Kundennummer beim Zahlungsdienstleister aus dem Konto und löscht die hinterlegten Anschriften, sämtliche Sitzungen und den Zähler der Fehlversuche. Übrig bleibt eine leere Zeile mit dem Zeitpunkt der Löschung. Eine erneute Anmeldung ist danach nicht mehr möglich, weil es nichts mehr gibt, womit ein Passwort verglichen werden könnte. Das Konto ist damit anonymisiert.

Der Gesamtbestand ist es nicht, und auf diesen Unterschied kommt es hier an: Die Bestellungen bleiben mit Name und Anschrift bestehen, wie sie zum Zeitpunkt der Bestellung galten, und sie verweisen weiterhin auf die geleerte Zeile. Ein Personenbezug ist dadurch weiter herstellbar. Zulässig ist das, weil Art. 17 Abs. 3 lit. b DSGVO Daten, die einer gesetzlichen Aufbewahrungspflicht unterliegen, von der Löschpflicht ausnimmt.

Der zutreffende Begriff dafür ist die Einschränkung der Verarbeitung nach Art. 18 DSGVO: Die Bestelldaten bleiben, dürfen aber nur noch dem Aufbewahrungszweck dienen - nicht der Kundenbetreuung und nicht der Werbung.

Rechte nach Art. 15 bis 21 DSGVO

Es bestehen die Rechte auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21); über eine Berichtigung oder Löschung sind nach Art. 19 auch die Empfänger der Daten zu unterrichten.

Zwei davon sind im Kontobereich unmittelbar ausführbar. Die Datenauskunft gibt die Kontodaten, die hinterlegten Anschriften und die Bestellungen als Datei aus; nicht enthalten sind der Zeitpunkt der Registrierung, die Sitzungsdaten und die auf die einzelne Bestellung eingefrorenen Anschriften - wer auch diese benötigt, erhält sie auf Anfrage. Die Löschung des Kontos wirkt so, wie der vorige Abschnitt es beschreibt. Die Anschriften sind im Konto jederzeit selbst zu berichtigen; Vor- und Nachname aus der Registrierung ändern wir auf Anfrage.

Was diese Seite nicht tut

Kein Tracking-Dienst, keine Werbenetzwerke, keine Social-Media-Einbindungen, keine Wiedererkennung über fremde Seiten hinweg. Gezählt wird nur, wie viele Besucher die Seite an einem Tag hatte - auf unserem eigenen Server, ohne Cookie und ohne Skript im Browser; der nächste Abschnitt beschreibt es. Schriften und Bilder werden von dieser Domain ausgeliefert, nicht von einem fremden Anbieter nachgeladen. Außerhalb einer Bestellung wird keine Verbindung zu einem Drittanbieter aufgebaut.

Reichweitenmessung ohne Cookies

Wir möchten wissen, wie viele Menschen diese Seite besuchen. Dafür zählt unser Server jeden Seitenaufruf und speichert dazu genau vier Angaben: den Tag des Aufrufs, ob der Aufruf von einem Programm statt von einem Menschen kam, einen Schlüssel, der denselben Besucher innerhalb eines Monats wiedererkennt, und die Zahl der Aufrufe dieses Schlüssels an diesem Tag. Auf dem Gerät wird dafür nichts gespeichert und nichts ausgelesen - kein Cookie, kein Speicher im Browser, kein Skript.

Der Schlüssel entsteht aus der IP-Adresse und der Browser-Kennung des Aufrufs, die der Browser ohnehin mitschickt, zusammen mit einer für jeden Monat neu ausgewürfelten Zufallszahl. Gespeichert wird nur das Ergebnis dieser Berechnung. Für diese Zählung wird weder die IP-Adresse noch die Browser-Kennung gespeichert, und aus dem Schlüssel lassen sie sich nicht zurückrechnen. Ebenfalls nicht in die Zählung fließen ein, welche Seiten aufgerufen wurden, woher der Aufruf kam oder zu welcher Uhrzeit er stattfand - die Zählung kennt nur den Tag. Davon zu trennen sind die weiter unten beschriebenen Server-Protokolle: die entstehen unabhängig von dieser Zählung und werden nicht mit ihr zusammengeführt.

Nach dem Monatswechsel werden die Schlüssel und die Zufallszahl des vergangenen Monats gelöscht - technisch mit dem ersten gezählten Aufruf im neuen Monat, in der Praxis also in dessen ersten Minuten. Übrig bleiben nur noch Summen je Tag und je Monat - Zahlen ohne Personenbezug, die dauerhaft aufbewahrt werden. Bis dahin, also gut einen Monat lang, sind die Daten pseudonym: Wer die Zufallszahl des laufenden Monats besitzt, könnte für eine bestimmte IP-Adresse prüfen, ob sie zu einem Schlüssel gehört. Danach ist das niemandem mehr möglich, auch uns nicht.

Rechtsgrundlage ist unser berechtigtes Interesse an der Messung der Reichweite des eigenen Angebots (Art. 6 Abs. 1 lit. f DSGVO). Eine Einwilligung nach § 25 TDDDG ist nicht erforderlich, weil auf dem Endgerät weder etwas gespeichert noch daraus etwas ausgelesen wird; deshalb gibt es hier auch kein Einwilligungsbanner. Dem Zählen kann nach Art. 21 DSGVO widersprochen werden; eine Nachricht an die oben genannte Adresse genügt. Einzelne Aufrufe künftig auszunehmen ist technisch nicht möglich, ohne genau die Daten zu erheben, die diese Zählung vermeidet - einem Widerspruch folgt deshalb die Abschaltung der Messung, nicht ihre Einschränkung auf einzelne Personen. Auskunft und Löschung laufen naturgemäß ins Leere, sobald der Monat abgeschlossen ist; innerhalb des Monats könnten wir einen Schlüssel nur dann zuordnen, wenn uns die betroffene Person ihre IP-Adresse und ihre Browser-Kennung selbst nennt.

Hosting und Server-Protokolle

Diese Seite läuft auf einem Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, mit Standort in Deutschland. Hetzner verarbeitet dabei in unserem Auftrag auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO.

Bei jedem Aufruf protokolliert der Server die IP-Adresse, den Zeitpunkt, die aufgerufene Adresse, den Antwortstatus sowie die vom Browser mitgesendete Kennung, die verweisende Seite und die Spracheinstellung. Das dient dem sicheren Betrieb - etwa dem Erkennen von Angriffen und der Fehlersuche - auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Die Protokolle sind in ihrer Größe begrenzt und werden fortlaufend überschrieben; ältere Einträge gehen dadurch von selbst verloren und werden nicht ausgewertet, solange kein Vorfall dazu zwingt.

Rechtsgrundlagen und Speicherfristen

Konto, Anschriften, Bestellungen und die Übermittlung an den Zahlungsdienstleister dienen der Erfüllung des Vertrags oder seiner Anbahnung (Art. 6 Abs. 1 lit. b DSGVO). Der Zähler fehlgeschlagener Anmeldeversuche und die Server-Protokolle dienen der Sicherheit des Betriebs (Art. 6 Abs. 1 lit. f DSGVO); auf dieselbe Grundlage stützt sich die cookielose Reichweitenmessung. Die Aufbewahrung der Bestell- und Rechnungsdaten beruht auf den handels- und steuerrechtlichen Pflichten aus § 257 HGB und § 147 AO (Art. 6 Abs. 1 lit. c DSGVO). Das Anmelde-Cookie ist nach § 25 Abs. 2 Nr. 2 TDDDG technisch erforderlich, wie oben beschrieben.

Die Fristen stehen bei den einzelnen Verarbeitungen: Sitzungen enden nach 30 Tagen oder mit dem Abmelden, der Anmeldezähler wird nach spätestens 30 Tagen verworfen, die Schlüssel der Reichweitenmessung werden nach dem Monatswechsel gelöscht, das Konto besteht bis zu seiner Löschung, und Bestell- und Rechnungsdaten werden für die Dauer der gesetzlichen Aufbewahrungsfristen von bis zu zehn Jahren aufbewahrt.

Der Zahlungsdienstleister als Empfänger

Empfänger der im Bestellabschnitt beschriebenen Daten ist die Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland. Für die Abwicklung der Zahlung selbst verarbeitet Stripe teilweise in eigener Verantwortung, insbesondere zur Erfüllung eigener gesetzlicher Pflichten aus dem Zahlungsdiensterecht. Dabei kann es zu einer Übermittlung an die Stripe, Inc. in den USA kommen; Stripe ist unter dem EU-US Data Privacy Framework zertifiziert und verwendet ergänzend die Standardvertragsklauseln der EU-Kommission. Einzelheiten stehen in der Datenschutzerklärung von Stripe unter stripe.com/de/privacy.

Das Formular zur Entdeckermedaille

Das Formular auf der Medaillen-Seite überträgt nichts an uns: Was dort eingetragen wird, bleibt im Browser des Geräts. Ein Antrag erreicht uns erst, wenn eine Familie ihn selbst per E-Mail an entdeckermedaille@kalli-entdeckt.de schickt. Mit dieser E-Mail erhalten wir, was die Familie hineinschreibt - in der Regel den Vornamen des Kindes, eine Absenderadresse der Eltern, eine Postanschrift für den Versand der Medaille und Fotos. Wir verwenden diese Angaben ausschließlich, um den Antrag zu prüfen und die Medaille zu verschicken (Art. 6 Abs. 1 lit. b DSGVO); die Fotos werden dafür angesehen und danach gelöscht, und keine der Angaben wird für etwas anderes verwendet oder an Dritte weitergegeben.

Beschwerderecht

Neben den oben beschriebenen Rechten besteht das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO). Zuständig für uns ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Postfach 3163, 65021 Wiesbaden.