Datenschutzerklärung

Verantwortlicher

Verantwortlich im Sinne von Artikel 4 Nr. 7 DSGVO ist:

Max Kaiser, MaxMy.Business Raderberger Str. 154b 50968 Köln Deutschland

E-Mail: max@maxmy.business

Ein Datenschutzbeauftragter ist nicht bestellt. Die Voraussetzungen des Artikels 37 DSGVO und des § 38 BDSG liegen nicht vor: es sind nicht ständig mindestens 20 Personen mit der Verarbeitung beschäftigt, die Kerntätigkeit besteht nicht in umfangreicher Überwachung, und es werden keine besonderen Kategorien personenbezogener Daten nach Artikel 9 DSGVO umfangreich verarbeitet.

Nutzung unter einem Pseudonym

Diese Seite lässt sich unter einem Pseudonym benutzen. Der Handle, unter dem jemand auftritt, muss mit keinem bürgerlichen Namen zu tun haben, und niemand wird nach einem gefragt. Auf diese Möglichkeit hinzuweisen ist Pflicht: § 19 Abs. 2 TDDDG.

Lesen geht ganz ohne Konto. Ein Konto braucht, wer schreiben will.

Welche Daten anfallen

Beim Anlegen eines Kontos: die E-Mail-Adresse. Bei der Anmeldung über Google zusätzlich die Kennung, die Google zurückgibt.

Freiwillig: Handle, Stadt, die Bikes in der Garage und das private Wartungsbuch. Beiträge und Bilder im Forum stehen öffentlich.

Bei einer Meldung nach Artikel 16 der Verordnung (EU) 2022/2065: Name und E-Mail-Adresse des Melders, seine Begründung und die Adresse des gemeldeten Beitrags. Ohne diese Angaben wäre das Verfahren nicht durchführbar.

Beim Aufruf einer Seite schreibt der vorgelagerte Server eine Protokollzeile. Die Herkunftsadresse steht darin nur gekürzt: bei IPv4 fällt das letzte Byte weg, bei IPv6 die letzten 96 Bit. Aus 203.0.113.45 wird 203.0.113.0. Die Anwendung selbst schreibt keine Herkunft mit, und der Anmelde-Link wird aus der Protokollzeile entfernt, bevor sie geschrieben wird. Die gerade beschriebene Protokolldatei wird täglich abgeschlossen, eine abgeschlossene nach sieben Tagen gelöscht.

Es gibt keine Zählpixel, keine Werbenetzwerke, keine Reichweitenmessung und keine Weitergabe an Dritte zu Werbezwecken. Deshalb gibt es auch kein Einwilligungsfenster: gesetzt werden nur die Cookies, die die Anmeldung technisch braucht, und die sind nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei. Wer nur liest, bekommt gar keinen: gemessen am 27.08.2026 setzen weder die Startseite noch die Anmeldeseite beim Aufruf einen Cookie. Zwei entstehen, sobald jemand die Anmeldung wirklich beginnt; sie sichern das Formular gegen fremde Absender ab und stehen dann auch bei dem, der den Anmelde-Link am Ende nie anklickt.

Rechtsgrundlagen und Speicherdauer

Jede Verarbeitung braucht eine Grundlage in Artikel 6 Abs. 1 DSGVO und ein Ende. Beides steht hier nebeneinander, Verarbeitung für Verarbeitung.

• Konto und E-Mail-Adresse: Artikel 6 Abs. 1 lit. b DSGVO, denn ohne sie gibt es keine Anmeldung und damit kein Nutzungsverhältnis. Gespeichert, bis das Konto gelöscht wird.
• Anmeldung über Google: Artikel 6 Abs. 1 lit. b DSGVO. Gespeichert wird die Kennung, unter der Google dieses Konto führt, und der Name des Anbieters. Der bürgerliche Name und das Profilbild, die Google mitschickt, werden auf dem Weg in die Datenbank verworfen und nicht gespeichert. Bis zur Löschung des Kontos.
• Angemeldete Sitzung: Artikel 6 Abs. 1 lit. b DSGVO. Eine Sitzung läuft nach 30 Tagen ab, ein Anmelde-Link nach 60 Minuten. Beim Abmelden wird die Sitzung sofort gelöscht.
• Beiträge, Bilder, Handle, Stadt, Garage und Wartungsbuch: Artikel 6 Abs. 1 lit. b DSGVO. Beiträge und Bilder bleiben nach einer Kontolöschung ohne Verbindung zu einer Person stehen, alles andere wird entfernt.
• Angaben eines Melders nach Artikel 16 der Verordnung (EU) 2022/2065: Artikel 6 Abs. 1 lit. c DSGVO, denn dieses Verfahren ist vorgeschrieben. Name und Adresse werden 90 Tage nach der Entscheidung geleert, bei einem Vorgang ohne Entscheidung nach 180 Tagen. Der Vorgang selbst bleibt als Nachweis nach Artikel 17 der Verordnung stehen.
• Warteliste auf der Startseite: Artikel 6 Abs. 1 lit. a DSGVO, also Einwilligung. Sie lässt sich jederzeit widerrufen, formlos per Mail an max@maxmy.business; danach wird der Eintrag gelöscht. Der Widerruf wirkt für die Zukunft.
• Protokolle des vorgelagerten Servers mit gekürzter Herkunftsadresse: Artikel 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse ist der Betrieb und die Abwehr von Angriffen. Sieben Tage nach dem Abschluss der jeweiligen Datei, und abgeschlossen wird täglich.

Wer die Daten außer dem Anbieter noch verarbeitet

Es sind zwei, und beide arbeiten als Auftragsverarbeiter nach Artikel 28 DSGVO. Datenbank und Bildspeicher laufen auf demselben Server wie die Anwendung und sind von außen nicht erreichbar; dafür gibt es keinen dritten Beteiligten.

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland (Amtsgericht Ansbach, HRB 6089) betreibt den Server, auf dem diese Seite läuft. Er steht in einem deutschen Rechenzentrum, die Daten verlassen die Europäische Union dabei nicht.
• Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA, die den Dienst Resend betreibt, versendet den Anmelde-Link und die Mails der Warteliste. Verarbeitet wird dabei die E-Mail-Adresse des Empfängers und der Inhalt der Mail. Wer sich in die Warteliste einträgt, wird dort zusätzlich in einer Kontaktliste geführt, mit der E-Mail-Adresse und sonst nichts. Diese Liste ist der Ort, an dem der Eintrag steht: aus ihr geht beim Start die Mail heraus, und aus ihr wird ein Widerruf gelöscht. Ist beim Betreiber eine Adresse dafür hinterlegt, geht an ihn zusätzlich eine Benachrichtigung; die ist keine zweite Ablage. Der Versand läuft über die Region Irland, die Daten selbst werden nach Angaben des Anbieters jedoch in den Vereinigten Staaten gespeichert. Es liegt also eine Übermittlung in ein Drittland vor.

Übermittlung in die Vereinigten Staaten

Für den Mailversand gilt Kapitel V der DSGVO. Die Grundlage ist doppelt: Plus Five Five, Inc. ist unter dem EU-US Data Privacy Framework gelistet, damit greift der Angemessenheitsbeschluss der Kommission vom 10.07.2023 (Artikel 45 DSGVO). Zusätzlich sind in den Auftragsverarbeitungsvertrag die Standardvertragsklauseln der Kommission einbezogen (Artikel 46 Abs. 2 lit. c DSGVO), die auch dann tragen, wenn die Zertifizierung wegfällt.

Was das nicht wegdiskutiert: US-Behörden können unter dem dortigen Recht auf Daten zugreifen, die in den Vereinigten Staaten liegen, und der Rechtsschutz dagegen ist ein anderer als in der Europäischen Union. Wer das nicht will, meldet sich nicht an. Lesen geht ohne Konto und damit ohne jede Mail.

Konto löschen

Ein Konto lässt sich im eigenen Profil löschen, ohne eine Mail zu schreiben. Dabei werden E-Mail-Adresse, Handle, Stadt, die Verknüpfung zum Anmeldeverfahren, die Garage und das Wartungsbuch entfernt.

Beiträge im Forum bleiben stehen, ohne Verbindung zu einer Person. Das ist Absicht: eine Antwort, die jemandem geholfen hat, hilft dem nächsten weiter, und wer sie gelesen hat, hat sie schon gelesen.

Wer eine einzelne Antwort weghaben will, löscht sie vor der Kontolöschung selbst, der Knopf steht an jedem eigenen Beitrag. Eine ganze Frage, die jemand selbst eröffnet hat, lässt sich derzeit nicht selbst löschen: dafür genügt eine Mail an max@maxmy.business, und sie wird entfernt. Das Recht auf Löschung nach Artikel 17 DSGVO hängt an keinem Knopf.

Rechte der betroffenen Person

Es bestehen die Rechte auf Auskunft (Artikel 15 DSGVO), Berichtigung (Artikel 16), Löschung (Artikel 17), Einschränkung der Verarbeitung (Artikel 18), Datenübertragbarkeit (Artikel 20) und Widerspruch gegen eine Verarbeitung, die auf einem berechtigten Interesse beruht (Artikel 21). Eine erteilte Einwilligung lässt sich jederzeit widerrufen, mit Wirkung für die Zukunft.

Für Auskunft und Übertragbarkeit gibt es einen Knopf im eigenen Profil, der alle gespeicherten Angaben sofort als maschinenlesbare Datei ausgibt. Dafür muss niemand schreiben und niemand warten. Alles Übrige geht formlos an max@maxmy.business.

Es findet keine automatisierte Entscheidungsfindung im Sinne von Artikel 22 DSGVO statt. Über einen Beitrag entscheidet immer ein Mensch, und es gibt kein Profiling.

Unabhängig davon besteht ein Beschwerderecht bei einer Aufsichtsbehörde (Artikel 77 DSGVO). Zuständig ist am Sitz des Anbieters:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen Kavalleriestr. 2-4 40213 Düsseldorf https://www.ldi.nrw.de