Datenschutzerklärung

Verantwortlich für die Verarbeitung ist die Person oder Gesellschaft, die diese Anwendung betreibt. Die Software selbst ist nicht verantwortlich im Sinne des Artikels 4 Nummer 7 DSGVO und kann ihren Betreiber nicht benennen.

Verantwortlicher

Offen Name beziehungsweise Firmierung, ladungsfähige Anschrift und E-Mail-Adresse der verantwortlichen Stelle — dieselben Angaben wie im Impressum.

Datenschutzbeauftragter

Offen Name und Kontaktdaten, sofern ein Datenschutzbeauftragter benannt ist. Besteht keine Benennungspflicht nach Artikel 37 DSGVO, gehört auch das hierhin — als Satz, nicht als Lücke.

Aufsichtsbehörde

Offen Zuständige Datenschutzaufsichtsbehörde für das Beschwerderecht nach Artikel 77 DSGVO. Die Zuständigkeit richtet sich nach dem Sitz der verantwortlichen Stelle, nicht nach dem Serverstandort.

Diese Tafel ist am Quelltext abgelesen und nicht aus einer Vorlage übernommen. Die letzte Spalte nennt zu jeder Zeile die Datei, in der die Aussage nachgeprüft werden kann; sie weicht auf schmalen Anzeigen, weil sie die einzige der vier Spalten ist, die nur beim Nachprüfen gebraucht wird.

Der Umfang der Ablage ist nach oben begrenzt, und die Grenzen stehen als Konstanten im Quelltext: eine einzelne Zeichnung fasst höchstens 2 MiB, ein einzelner Anhang höchstens 4 MiB, und ein Konto insgesamt höchstens 256 MiB. Diese Grenzen sind keine Datenschutzmaßnahme, sie stehen hier, weil sie die Obergrenze dessen beschreiben, was über ein Konto überhaupt gespeichert sein kann.

Offen Bestätigung der Rechtsgrundlagen und, wo Artikel 6 Absatz 1 Buchstabe f DSGVO trägt, die Abwägung der berechtigten Interessen. Die Einordnung, die sich aus der Bauart ergibt: Konto, Dokumente und Miro-Verbindung dienen der Erfüllung des Nutzungsvertrags (Buchstabe b), Prüfspur, Sperre und Zustellsperrliste dem berechtigten Interesse an einem sicheren und zustellfähigen Betrieb (Buchstabe f). Diese Einordnung zu treffen ist Sache der verantwortlichen Stelle.

Diese Anwendung setzt zwei Kekse, und die folgende Liste ist vollständig. Es gibt keine Reichweitenmessung, kein Zählpixel, keine Werbekennung, kein eingebettetes fremdes Skript und keine Einbindung fremder Schriftarten — die Schriften liegen im Auslieferungspaket. Deshalb erscheint kein Einwilligungsbanner: es gäbe nichts, worin einzuwilligen wäre, und ein Banner, das nur nach Einwilligung für unbedingt erforderliche Kekse fragt, verlangt eine Entscheidung ohne Wahl.

Angemeldete Personen laden die Zeichenfläche außerdem mit einem Dienstarbeiter, der Programmteile und Schriften im Browser ablegt, damit die Fläche ohne Netz weiterarbeitet. Dieser Speicher liegt auf dem Gerät, wird nicht übertragen und enthält keine Dokumentinhalte.

Offen Firmierungen, Anschriften und Sitzländer dieser drei Dienstleister, der Stand der Verträge zur Auftragsverarbeitung nach Artikel 28 Absatz 3 DSGVO sowie eine etwaige weitere verarbeitende Stelle, die aus dem Quelltext nicht hervorgeht.

Offen Beurteilung der Übermittlung in Drittländer nach Kapitel V DSGVO. Anwendung und Datenbank laufen in Frankfurt am Main — das ist am Quelltext belegt. Ob und wohin ein Anbieter darüber hinaus übermittelt, welche Garantien dafür bestehen und wo sie einsehbar sind, ist Sache der Verträge und nicht der Software.

Diese Anwendung greift auf Miro nur zu, wenn eine angemeldete Person eine Verbindung ausdrücklich herstellt. Der Weg ist das Freigabeverfahren von Miro selbst: die Freigabe wird bei Miro erteilt, die Anwendung erhält daraufhin ein Zugriffs- und ein Erneuerungstoken. Welche Rechte die Freigabe umfasst, steht in der Anmeldung der Anwendung bei Miro und wird im Freigabedialog angezeigt; die Anwendung fordert im Verfahren selbst keine zusätzlichen Rechte an.

Beide Token liegen verschlüsselt in der Datenbank, nie im Klartext und nie im Browser. Beim Trennen der Verbindung werden beide Chiffrate gelöscht; die Zeile selbst bleibt ohne Token stehen, weil bereits umgewandelte Dokumente auf sie verweisen. Erneuerungstoken laufen nach 60 Tagen ohne Nutzung ab. Gelesen werden ausschließlich die Tafeln, die vor einer Umwandlung ausgewählt wurden; die Anwendung schreibt nicht nach Miro zurück.

Die Verbindung ist jederzeit im Konto widerrufbar, und der Widerruf wirkt sofort: ohne Chiffrat gibt es keinen Zugriff mehr, auch nicht für einen laufenden Vorgang.

Jeder betroffenen Person stehen gegenüber dem Verantwortlichen die Rechte auf Auskunft (Artikel 15), Berichtigung (Artikel 16), Löschung (Artikel 17), Einschränkung der Verarbeitung (Artikel 18), Datenübertragbarkeit (Artikel 20) und Widerspruch (Artikel 21) zu, sowie das Recht auf Beschwerde bei einer Aufsichtsbehörde (Artikel 77).

Drei dieser Rechte sind in der Anwendung selbst ausgeführt und brauchen keine Nachricht an den Anbieter: die Berichtigung von Name und E-Mail-Adresse im Konto, die Übertragbarkeit als Ausfuhr der Dokumente in einen Ordner auf dem eigenen Gerät, und die Löschung des Kontos samt aller Dokumente und Verbindungen. Die Löschung des Kontos wird in der Prüfspur vermerkt — diese eine Zeile überlebt das Konto, weil ein Löschnachweis, der sich selbst löscht, kein Nachweis ist. Sie enthält keine Adresse im Klartext, sondern deren SHA-256-Wert.

Für alles Übrige genügt eine formlose Nachricht an den Verantwortlichen. Die Anwendung verlangt dafür kein Formular und keine Begründung.

Kennwörter werden nie gespeichert, sondern nur als scrypt-Hash; die Mindestlänge beträgt zwölf Zeichen, die zugelassene Höchstlänge 128, und diese Höchstlänge ist eine echte Grenze mit Fehlermeldung und kein stiller Abschnitt. Wiederholt fehlgeschlagene Anmeldungen sperren das Konto zeitweise. Sitzungen sind einzeln einsehbar und einzeln widerrufbar; eine Kennwortänderung beendet alle.

Die Anwendung liefert eine Inhaltssicherheitsrichtlinie aus, die fremde Quellen ausschließt und die Einbettung in fremde Seiten verbietet. Zugriffe auf die Schnittstellen antworten bei fehlender Berechtigung mit einem Fehlercode und nicht mit einer Weiterleitung — eine Weiterleitung verrät, dass es etwas zu schützen gibt.