Datenschutz | Black Forest Patrol

Kurz gesagt

Diese Seiten setzen von sich aus keine Cookies. Karten, Schriften, Bilder und Wetter kommen von meinem eigenen Server. Zwei Dinge kommen von außen: ein Video an einzelnen Einträgen und Veranstaltungen – es steht als Rahmen des Anbieters in der Seite, in der Fassung ohne Nachverfolgung, und lädt, sobald du so weit liest – und Google Analytics, das nur lädt, wenn du es erlaubst. Danach fragt dich niemand mehr etwas; vorher steht davon nichts in der Seite.

Gezählt wird wie oft eine Seite geöffnet wurde, wie viele Menschen an einem Tag da waren und wie lange eine Seite sichtbar war – jeweils als eine Zahl je Seite oder Tag. Ohne Cookie, ohne gespeicherte IP-Adresse, ohne Kennung auf deinem Gerät, ohne Wiedererkennung über zwei Tage. Es lässt sich daraus nicht ablesen, wer eine Seite geöffnet hat oder welchen Weg jemand genommen hat.

Wer den Newsletter bestellt, gibt dafür seine E-Mail-Adresse – das ist die einzige Angabe, die den Guide verlässt, und sie geht an meinen Versanddienst. Alles dazu steht unten.

Was der Browser speichert, bleibt auf dem Gerät. Was an den Server geht, steht unten – Punkt für Punkt.

Verantwortlicher

Manuel Molicki
Augustastraße 17
78166 Donaueschingen
Deutschland

E-Mail: [email protected]

Server-Protokolle

Beim Aufruf einer Seite überträgt der Browser technisch notwendige Daten, die der Server protokolliert: Datum und Uhrzeit, die abgerufene Adresse, Browsertyp und -version, Betriebssystem, die verweisende Seite und die IP-Adresse.

Diese Protokolle dienen dem Betrieb und der Sicherheit – Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem störungsfreien Betrieb). Sie werden nicht mit anderen Daten zusammengeführt und nach spätestens sieben Tagen gelöscht.

Wenn du einen Anmeldecode anforderst oder den Newsletter bestellst, zähle ich, wie viele solcher Anfragen in der laufenden Stunde von deiner Verbindung kamen – von einer Verbindung gehen höchstens zwanzig Mails in der Stunde hinaus. Gespeichert wird dafür nicht deine IP-Adresse, sondern ein Kürzel daraus, das mit einem täglich neu gewürfelten Wert gebildet wird und sich am nächsten Tag nicht mehr zurückrechnen lässt; die Zeile verschwindet in der Stunde danach. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO: Ohne diese Grenze könnte ein einzelner Absender alle Mails einer Stunde aufbrauchen, und echte Gäste bekämen ihren Code nicht.

Was gezählt wird

Fünfzehn Zählungen, alle nach demselben Muster: ein Wort oder eine Zahl, ein Tag, eine Summe – nie eine Person.

Aufrufe einer Seite – jeder Seite dieses Guides. Damit dieselbe Person nicht zehnmal zählt, bildet der Server aus IP-Adresse, Browserkennung, Seite, Tag und einem Tagesschlüssel eine Prüfsumme. Gespeichert wird nur sie; der Schlüssel wird täglich neu gewürfelt und danach gelöscht – morgen lässt sich die Summe von heute nicht mehr nachrechnen. Die IP-Adresse selbst wird nicht gespeichert.
Besucher eines Tages – dieselbe Prüfsumme noch einmal, nur ohne die Seite. Damit zählt ein Mensch an einem Tag einmal, egal wie viele Seiten er öffnet. Gespeichert wird nur die Zahl je Tag und Stunde; morgen gilt ein neuer Tagesschlüssel, und wer an drei Tagen kommt, zählt dreimal.
Lesezeit einer Seite – wie viele Sekunden die Seite sichtbar war, gemessen im Browser und einmal geschickt, wenn du sie verlässt oder in den Hintergrund legst. Auf deinem Gerät wird dafür nichts gespeichert. Gespeichert wird je Seite und Tag nur die Summe, die Anzahl und in welche von vier Stufen eine Messung fiel (unter 10 Sekunden, bis eine Minute, bis fünf Minuten, länger); mehr als eine halbe Stunde zählt als eine halbe Stunde.
Deine Antwort auf die Cookie-Frage – ob du die Analyse erlaubt oder abgelehnt hast, als eine Zahl je Tag und Antwort. Entdoppelt wird wie beim Aufruf; wer geantwortet hat, steht nirgends. Was du gewählt hast, bleibt in deinem Browser.
Woher der Aufruf kam. War die vorige Seite eine dieses Guides, wird ihr Pfad gespeichert („/uebernachten/camping/“). War sie es nicht, wird der Rechnername der verweisenden Seite gespeichert – `google.de`, `instagram.com`, `chatgpt.com` – und daraus ein Wort gebildet („Suchmaschine“, „Netzwerk“, „KI-Antwort“). Nie die vollständige fremde Adresse: kein Pfad, keine Anfrage, kein fremder Suchbegriff. Ein Rechnername sagt, über welchen Kanal jemand kam; eine vollständige Adresse wäre der Weg eines Menschen durch das Netz, und der wird hier nicht gespeichert.
Ob du über ein Foto gekommen bist. Unter „Was ich dir noch zeigen will“ stehen Fotos anderer Seiten. Ihr Verweis trägt am Ende der Adresse das Zeichen `#polaroid`; die Seite, auf die er führt, liest es, nimmt es sofort wieder aus der Adresse und zählt den Aufruf als „über ein Polaroid“. Auf deinem Gerät wird dafür nichts gespeichert.
Ein eigenes Kampagnenwort, wenn die Adresse eines mitbringt (`?utm_source=flyer-titisee`). Es ist das Wort, das ich selbst auf einen Weg geschrieben habe – auf einen Flyer, in ein Profil –, und es sagt nichts über die Person, die den Weg genommen hat.
Was ein Gast danach anklickt – Website, Telefonnummer, Route, Buchungsweg, ein Kanal, eine Wegdatei. Gespeichert wird das Wort, der Eintrag und der Tag; entdoppelt wird wie beim Aufruf, also einer je Prüfsumme und Tag. Damit kann ein Betrieb sehen, dass seine Seite etwas bewirkt – nicht, wer sie benutzt hat.
Mit welchem Gerät – ein Wort aus drei: Handy, Tablet, Schirm. Es steckt in der Kennung, die dein Browser bei jeder Anfrage mitschickt; es wird also nichts auf deinem Gerät ausgelesen und keine Eigenschaft abgefragt. Was daraus wird, ist eine Zahl je Tag.
In welcher Sprache – welche der drei Fassungen gelesen wurde. Das steht in der Adresse der Seite, nicht in einer Einstellung von dir.
Aus welchem Land und welcher Stadt – zwei Buchstaben für das Land, dazu der Name der Stadt und ihr Mittelpunkt, die unser Netzbetreiber (Cloudflare) der Anfrage beilegt. Es ist eine Schätzung aus dem Netz, über das du verbunden bist – im Mobilfunk oft der Ort eines Netzknotens, nicht deiner. Gespeichert wird je Tag nur, wie viele Besucher aus diesem Land und dieser Stadt kamen; aus der IP-Adresse selbst wird nichts gerechnet, und sie wird nicht gespeichert.
Wonach gesucht wurde – der Begriff, der Tag, wie viele Treffer es gab und welcher Treffer geöffnet wurde. Ohne Konto, ohne Sitzung, ohne Adresse. Dasselbe gilt für die Suche in einer digitalen Gästemappe.
Welcher Aufsteller gescannt wurde. Ein QR-Code in einem Gästezimmer trägt eine Kennung des Hauses („Zimmer 3“). Sie sagt, welches Schild benutzt wurde – nicht, wer es benutzt hat.
Welche Empfehlung in einer Gästemappe geöffnet wurde – der Eintrag, der Tag, eine Zahl. Das Haus erfährt damit, welche seiner Empfehlungen angesehen werden; es erfährt nicht, von wem, wie oft derselbe Gast oder in welcher Reihenfolge.
Welcher Bereich einer Gästemappe genutzt wurde – ein Reiter geöffnet, ein WLAN-Passwort oder ein Code kopiert, ein Termin aufgeklappt: der Bereich aus einer festen Liste, der Tag, eine Zahl. Auch hier erfährt das Haus nicht, von wem.

Keine dieser Angaben wird mit einer anderen verknüpft. „Handy“ steht in einer Zeile mit einem Tag und einer Zahl, „Frankreich“ in einer anderen – es gibt keine Zeile, in der beides zusammen mit einer Seite steht, und damit nichts, was auf einen einzelnen Besuch zurückführt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO – mein berechtigtes Interesse zu wissen, was gebraucht wird und was fehlt. Für diese Zählung wirst du nicht gefragt, weil auf deinem Gerät nichts gespeichert und nichts ausgelesen wird (§ 25 Abs. 1 TDDDG ist gar nicht berührt). Auch die verweisende Seite wird nicht von deinem Gerät ausgelesen – dein Browser schickt sie mit der Anfrage, so wie er es bei jedem Aufruf im Netz tut. Gefragt wirst du für die zweite Messung, die es daneben gibt – der Abschnitt darunter.

Nicht gezählt werden: Maschinen (Suchmaschinen-Roboter nennen sich selbst), Seiten, die der Browser nur vorsorglich lädt, Aufrufe unter drei Sekunden, Fenster im Hintergrund – und alle angemeldeten Konten, denn wer hier ein Konto hat, arbeitet an diesem Guide.

Cookies

Neben der eigenen Zählung gibt es eine zweite Messung – und die lädt nur, wenn du sie erlaubst. Vorher steht sie nicht in der Seite: kein Skript, keine Verbindung zu Google, kein Cookie. Gefragt wirst du beim ersten Aufruf in einer Leiste am unteren Rand; ändern kannst du deine Antwort jederzeit im Fuß unter „Cookie-Einstellungen“.

Was sie mir sagt: welche Seiten gelesen werden, welchen Weg ein Besuch durch den Guide nimmt und was hier fehlt. Das beantwortet die eigene Zählung nur halb – sie kennt Tagessummen, aber keinen Verlauf.

Verarbeitet wird über Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland) als Auftragsverarbeiter nach Art. 28 DSGVO. Dabei können Daten in die USA übertragen werden; Google ist unter dem EU-US Data Privacy Framework zertifiziert, das die Europäische Kommission als angemessenes Schutzniveau anerkannt hat (Art. 45 DSGVO).

Erlaubst du es, legt Google Cookies auf deinem Gerät ab – `_ga` und `_ga_` mit einer Kennung, mit einer Laufzeit von bis zu zwei Jahren – und weist deinem Browser darin eine Nummer zu. Damit erkennt Google diesen Browser über mehrere Besuche hinweg wieder; genau das ist der Unterschied zur eigenen Zählung, die es mit ihrem Tagesschlüssel absichtlich nicht kann.

Werbung gibt es hier nicht, und aus dieser Messung fließt auch nichts dorthin: Die Werbesignale bleiben abgeschaltet, Google Signals und personalisierte Werbung sind aus. Deine Daten werden nicht verkauft und nicht mit anderen Diensten zusammengeführt.

Rechtsgrundlage ist deine Einwilligung – Art. 6 Abs. 1 lit. a DSGVO für die Verarbeitung, § 25 Abs. 1 TDDDG für die Cookies. Zurücknehmen kannst du sie jederzeit, ohne Grund und mit einem Klick; danach räume ich die Cookies weg und lade nichts mehr nach. Eine Erlaubnis läuft nach zwölf Monaten von selbst ab und wird dann neu gefragt – eine Ablehnung frage ich nie erneut.

Der Nachweis liegt auf deinem Gerät und nicht bei mir: deine Antwort und ihr Datum im lokalen Speicher des Browsers. Ein Nachweis auf dem Server bräuchte eine Kennung für dich, und genau die legt der Guide nicht an. Löschst du die Website-Daten, ist auch die Antwort weg – und die Frage kommt wieder.

Sagt dein Browser von sich aus, dass er nicht gemessen werden will (Global Privacy Control), frage ich gar nicht erst und lade nichts.

Was im Browser gespeichert wird

Von mir aus keine Cookies. Was auf dem Gerät liegt, liegt im lokalen Speicher deines Browsers (`localStorage`) – sieben Dinge, und keines davon beschreibt dich. (Cookies gibt es nur, wenn du Google Analytics erlaubst – siehe den Abschnitt darüber.)

Dein Anmeldezeichen, wenn du ein Konto hast und angemeldet bist. Ohne das gäbe es keine Anmeldung – es ist unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).
Der gewählte Ort samt Umkreis, falls du einen gesetzt hast, damit du ihn nicht bei jedem Besuch neu angeben musst. Er gilt dann überall dort, wo nach Entfernung geordnet wird – in den Listen und im Kalender –, steht sichtbar auf dem Ortsknopf und lässt sich dort mit „Ganzer Schwarzwald“ wieder wegnehmen.
Die Darstellung – hell, dunkel oder wie das System.
Wetterangaben, für kurze Zeit zwischengespeichert, damit dieselbe Auskunft nicht bei jedem Seitenwechsel neu geholt wird.
Die Gattungen der Navigation, aus demselben Grund.
Deine Antwort auf die Frage nach der Messung – ja oder nein, mit dem Datum. Sie ist unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG), wie das Anmeldezeichen: Ohne sie könnte deine Entscheidung nicht gelten, und die Frage käme bei jedem Aufruf wieder.
Deine Antwort auf die Einladung zum Newsletter – ob du sie geschlossen hast (dann kommt sie 60 Tage nicht wieder) oder dich eingetragen hast (dann nie wieder), mit dem Datum. Solange du nicht geantwortet hast, zählt der Sitzungsspeicher (`sessionStorage`) die Sekunden, die du in diesem Besuch liest; er ist mit dem Schließen des Browsers weg. Ohne diese Angabe käme die Einladung auf jeder Seite wieder.

Die erste, die zweite, die dritte, die sechste und die siebte setzt du selbst, indem du dich anmeldest, etwas einstellst oder eine Frage beantwortest. Die zwei in der Mitte sind ein Zwischenspeicher für Inhalte, die du ohnehin angefordert hast – Wetterwerte und Kategorienamen, keine Angaben über dich.

Alles bleibt auf dem Gerät und wird nie an den Server übertragen. Löschen kannst du es jederzeit über die Website-Daten deines Browsers; abmelden räumt das Anmeldezeichen weg.

Standort

Den Standort fragt der Guide nur, wenn du ihn selbst freigibst – über den Ortsknopf in der Suchzeile, auf den Ergebnisseiten wie im Kalender, nie automatisch. Die Freigabe erteilt dein Browser, nicht diese Seite.

Die Koordinate geht dann an meinen eigenen Dienst, der daraus die Gemeinde bestimmt, damit die Ergebnisse nach Entfernung sortiert werden können. Sie wird dabei nicht gespeichert und nicht weitergegeben. Rechtsgrundlage ist deine Einwilligung, Art. 6 Abs. 1 lit. a DSGVO; du kannst sie jederzeit in den Browsereinstellungen zurücknehmen.

Karten, Wetter und Bilder

Karten liefert mein eigener Server. Es wird keine Verbindung zu Mapbox, Google oder einem anderen Kartendienst aufgebaut. Die Kartendaten stammen von OpenStreetMap und stehen unter der ODbL; die Namensnennung steht an der Karte.

Wetterangaben kommen vom Deutschen Wetterdienst, aufbereitet über Bright Sky. Abgefragt werden sie von meinem Server, nicht von deinem Browser – zum DWD besteht also keine Verbindung von deinem Gerät aus.

Bilder liegen auf demselben Server wie die Seite. Es gibt keine Karten Dritter und keine eingebetteten Schaltflächen sozialer Netzwerke – kein Like-Knopf, kein Zählwerk, nichts, was beim Aufbau der Seite lädt. Die Verweise im Fuß und die Kanäle an einem Eintrag (Instagram, Facebook, YouTube, TikTok, WhatsApp) sind gewöhnliche Links: Erst wenn du einen anklickst, erfährt der jeweilige Anbieter davon.

Videos gibt es an einzelnen Einträgen und Veranstaltungen – bei YouTube, Vimeo oder Cloudflare Stream. Der Rahmen des Anbieters steht in der Seite und lädt, sobald du bis dorthin liest; dabei erfährt der Anbieter deine IP-Adresse und was der Browser über sich mitteilt. Eingebunden wird nur in der Fassung ohne Nachverfolgung: YouTube über youtube-nocookie.com, den erweiterten Datenschutzmodus, Vimeo mit dnt=1; Cloudflare Stream setzt von sich aus keine Cookies Dritter. Ein Cookie oder eine Kennung auf deinem Gerät entsteht erst, wenn du im Player auf Abspielen drückst. Rechtsgrundlage ist mein berechtigtes Interesse daran, dass eine Seite zeigt, wovon sie handelt – Art. 6 Abs. 1 lit. f DSGVO. Unter dem Rahmen steht, von wem das Video kommt; der Name führt zu seiner Seite beim Anbieter, und dort gelten dessen Bedingungen.

Wenn du eine Bewertung schreibst

Das Formular unter „Bewerten“ überträgt, was du hineinschreibst: die Sterne, deinen Satz, deinen Namen und deine E-Mail-Adresse. An die Adresse geht ein Code; erst wenn du ihn bestätigst, wird aus deinem Entwurf eine Bewertung – bis dahin hängt er am Code und verfällt mit ihm.

Dein Name steht an der veröffentlichten Bewertung – ganz oder kurz mit dem ersten Buchstaben des Nachnamens, wie du es beim Abschicken wählst –, daneben dein Profilbild, wenn du eines hochgeladen hast (sonst deine Initialen), die Adresse nie: Sie ist der Nachweis, dass du erreichbar bist, und dabei bleibt es. Gespeichert wird beides, um die Bewertung einer Person zuordnen und bei einer Rückfrage antworten zu können. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO. Es wird nichts für Werbung genutzt und nichts weitergegeben.

Jede Bewertung sehe ich mir an, bevor sie erscheint – was dafür gilt, steht in den Teilnahmebedingungen. Zurückziehen kannst du deine jederzeit – im eigenen Profil oder mit einer Mail an mich.

Wenn du den Newsletter bestellst

Zum Eintragen brauche ich deine E-Mail-Adresse, sonst nichts – kein Name, keine Anrede. Nach dem Eintragen bekommst du eine Mail mit einem Knopf; erst dieser Klick meldet dich an (Double-Opt-In). Ohne den Klick bleibt es bei einer unbestätigten Zeile, die nach sieben Tagen verfällt.

Gespeichert wird: die Adresse, der Zeitpunkt der Anmeldung, der Zeitpunkt der Bestätigung, der Weg, auf dem du dich eingetragen hast (die Newsletterseite, ein Beitrag oder die Einladung am Rand), und der Wortlaut, dem du zugestimmt hast. Das ist der Nachweis der Einwilligung, den Art. 7 Abs. 1 DSGVO verlangt – keine IP-Adresse.

Versendet wird über Brevo (Sendinblue GmbH, Köpenicker Straße 126, 10179 Berlin) als Auftragsverarbeiter nach Art. 28 DSGVO; dort liegt deine Adresse auf der Empfängerliste. Rechtsgrundlage ist deine Einwilligung, Art. 6 Abs. 1 lit. a DSGVO.

Abmelden geht jederzeit – mit dem Link in jeder Mail oder formlos an [email protected]. Danach wird die Adresse aus der Liste entfernt; der Nachweis der einmal erteilten Einwilligung bleibt, solange er zur Verteidigung gegen Ansprüche gebraucht wird (Art. 17 Abs. 3 lit. e DSGVO).

Der Versand misst nicht, ob du eine Mail geöffnet oder einen Link angeklickt hast.

Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen eine Verarbeitung auf Grundlage berechtigter Interessen (Art. 21).

Eine E-Mail an [email protected] genügt. Außerdem steht dir das Recht auf Beschwerde bei einer Aufsichtsbehörde zu (Art. 77 DSGVO); zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg.