Datenschutzerklärung

Stand: 2026-10-21

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten auf https://schaffa.dev ist:

Tobias Heer
c/o Impressumservice Dein-Impressum
Stettiner Str. 41
35410 Hungen
Deutschland

Weitere Kontaktmöglichkeit: beastyrabbit.com/kontakt, impressum-schaffa@heerlab.com.

Ein Datenschutzbeauftragter ist nicht bestellt, da hierzu keine gesetzliche Pflicht besteht.

2. Überblick

Diese Erklärung informiert darüber, welche personenbezogenen Daten bei der Nutzung von Schaffa verarbeitet werden, zu welchen Zwecken, auf welcher Rechtsgrundlage und wie lange. Schaffa ist ein privates, nicht-kommerzielles Projekt. Schaffa veröffentlicht HTML-Seiten, Dateien, Schritt-für-Schritt-Guides und Präsentationen über öffentliche Links.

Personenbezogene Daten werden nicht verkauft und nicht für Werbung verwendet. Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

3. Hosting und Bereitstellung

Schaffa läuft auf eigener Server-Infrastruktur des Verantwortlichen in Deutschland. Aufrufe aus dem Internet erreichen die Anwendung über einen Reverse-Proxy auf einem virtuellen Server der netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, Deutschland (Rechenzentrum in Nürnberg). netcup verarbeitet die Daten dabei als Auftragsverarbeiter; mit netcup besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Die Verbindung ist bis zum Reverse-Proxy TLS-verschlüsselt und wird von dort durch einen verschlüsselten Tunnel an die eigene Infrastruktur weitergeleitet.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt in einer sicheren und zuverlässigen Bereitstellung der Website.

Zur Datensicherung werden regelmäßig Sicherungskopien innerhalb der eigenen Infrastruktur erstellt; sie werden nach Ablauf ihrer Aufbewahrungszeit überschrieben.

4. Server-Logfiles

Bei jedem Aufruf speichert der Reverse-Proxy automatisch folgende Daten:

IP-Adresse des anfragenden Geräts
Datum und Uhrzeit des Zugriffs
aufgerufene Adresse (Pfad einschließlich Parameter), HTTP-Methode und Protokoll
HTTP-Statuscode, übertragene Datenmenge und Antwortzeit
Browser-Kennung (User-Agent)
verwendete TLS-Version und Verschlüsselung
angesprochener Dienst

Die Header Cookie und Authorization werden geschwärzt. URL-Pfade und Abfrageparameter werden protokolliert.

Die Daten dienen dem Betrieb, der Fehleranalyse und der Abwehr von Angriffen und Missbrauch. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt in Stabilität und Sicherheit des Angebots. Die Logfiles werden nach 14 Tagen automatisch gelöscht.

Pangolin speichert HTTP-Anfrageprotokolle für 14 Tage, Netzwerkprotokolle für 30 Tage und Anmeldeprotokolle für 90 Tage. Kurzlebige Anwendungs-Containerlogs enthalten Verbindungsdaten wie IP-Adresse, URL und Antwortstatus und werden bei Größenrotation oder beim Ersetzen des Containers gelöscht. CrowdSec speichert lokale Angriffsmeldungen nur kurz, in der Regel sieben Tage. Diese Verarbeitung dient dem sicheren Betrieb, der Fehleranalyse und der Zugangskontrolle auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.

5. Schutz vor Angriffen (CrowdSec)

Zum Schutz vor Angriffen wertet die Sicherheitssoftware CrowdSec die Server-Logfiles automatisch aus und sperrt IP-Adressen, von denen erkennbar Angriffe ausgehen (zum Beispiel massenhafte Anmeldeversuche oder das Ausspähen von Schwachstellen). Erkennt CrowdSec einen Angriff, werden die IP-Adresse, der Zeitpunkt und die Art des Angriffs an die CrowdSec SAS, 20 rue Maurice Arnoux, 92120 Montrouge, Frankreich, übermittelt. CrowdSec nutzt diese Meldungen für eine gemeinsame Sperrliste, die Angriffe auf viele Server abwehrt. Bei normalem Surfen werden keine Daten an CrowdSec übermittelt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt im Schutz der Website und ihrer Nutzer vor Angriffen.

Für diese Verarbeitung sind der Verantwortliche und CrowdSec nach Angaben von CrowdSec gemeinsam verantwortlich (Art. 26 DSGVO): CrowdSec ist für den Betrieb seiner zentralen Dienste und Sperrlisten verantwortlich, der Verantwortliche für den Einsatz auf diesem Server. Sie können Ihre Rechte gegenüber beiden geltend machen, bei CrowdSec unter dpo@crowdsec.net. CrowdSec kann die gemeldeten Daten an Mitglieder und Partner seines Netzwerks weitergeben. Übermittlungen in Länder außerhalb der EU erfolgen nach Angaben von CrowdSec auf Grundlage von Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

Vollständige IP-Adressen werden grundsätzlich höchstens drei Monate gespeichert und anschließend schrittweise verallgemeinert. Für bestimmte Angriffsanalysen und Trainingszwecke nennt CrowdSec Ausnahmen von bis zu einem Jahr vor der Anonymisierung. Details: crowdsec.net/privacy-policy.

6. Anmeldung (Single Sign-On)

Schaffa ist in Teilen nur nach Anmeldung zugänglich. Die Anmeldung erfolgt über den Reverse-Proxy Pangolin mit dem selbst betriebenen Identitätsdienst Pocket-ID auf der eigenen Infrastruktur. Dabei werden Benutzername, E-Mail-Adresse, Gruppenzugehörigkeit, Zeitpunkt der Anmeldung und IP-Adresse verarbeitet. Nach der Anmeldung setzt Pangolin ein Sitzungs-Cookie, das für den Zugang technisch erforderlich ist.

Die Zugangskontrolle dient der Beschränkung der internen Verwaltung auf berechtigte eingeladene Personen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Für die Verwaltung verlangt Schaffa zusätzlich einen Admin-Token.

Das Benutzerkonto in Pocket-ID und Pangolin besteht, solange der Zugang eingeräumt ist, und wird auf Anfrage oder nach Entzug des Zugangs gelöscht. Anmeldeprotokolle werden nach 90 Tagen gelöscht.

7. Nutzerkonto und Inhalte

Schaffa speichert Kontokennungen und optionale Profildaten aus der Anmeldung, Sitzungen und Agenten-Tokens sowie hochgeladene Seiten, Dateien, Guides und Präsentationen einschließlich Versionen und Metadaten. Inhalte können personenbezogene Daten der hochladenden Person und Dritter enthalten. Die Verarbeitung erfolgt auf eigener Infrastruktur in Deutschland zur Kontoführung, Veröffentlichung und sicheren Verwaltung der Inhalte. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt in der Bereitstellung dieser Funktionen und der Missbrauchsabwehr.

Veröffentlichte Inhalte und ihre veröffentlichten Versionen sind für alle Personen erreichbar, die den Link kennen. Es gibt kein öffentliches Inhaltsverzeichnis; Links sind kein Zugriffsschutz. Der Betreiber kann Inhalte zur Verwaltung und zur Bearbeitung von Löschanfragen einsehen.

Eigene Seiten und Dateien können im Konto oder mit dem zugehörigen Token über CLI/API gelöscht werden, Guides mit dem zugehörigen Token über CLI/API. Der Administrator kann diese Inhalte ebenfalls löschen. Einzelne Seitenversionen können nur im Konto oder durch den Administrator gelöscht werden. Veröffentlichte Guide-Versionen bleiben auch nach dem Entfernen einzelner Schritte erhalten. Separat hochgeladene Dateien müssen separat gelöscht werden. Agenten-Tokens können widerrufen werden; ihre Datensätze bleiben dabei erhalten. Eine Kontolöschung kann beim Betreiber angefordert werden; sie entfernt das Profil und die Sitzungen und widerruft die Tokens, löscht aber keine veröffentlichten Inhalte. Betroffene Dritte können die Entfernung sie betreffender Inhalte unter datenschutz-schaffa@heerlab.com anfordern, bitte mit der betroffenen URL. Bereits heruntergeladene oder zwischengespeicherte Kopien können nicht zurückgerufen werden.

Anonyme Seiten laufen nach kurzer Zeit automatisch ab und werden automatisch gelöscht. Konten, Token-Datensätze und nicht selbst gelöschte veröffentlichte Inhalte werden bis zur Löschung, längstens bis zu 10 Jahre gespeichert.

8. Anmeldung über Shoo

Beim Öffnen der Anmeldeseite lädt Ihr Browser ein Skript des externen Dienstes Shoo (shoo.dev), der die Anmeldung mit Google vermittelt. Shoo und Google erhalten Verbindungsdaten und bei der Anmeldung die Google-Kontokennung sowie optional E-Mail-Adresse, Name und Profilbild. Schaffa erhält eine Kennung und die optionalen Profildaten. Zweck ist die von Ihnen gewünschte Anmeldung und Zugangssicherung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Angaben zu den Anbietern und möglichen Drittlandübermittlungen finden Sie in der Datenschutzerklärung von Shoo, Kontakt support@ping.gg, und der Datenschutzerklärung von Google. Für den Europäischen Wirtschaftsraum ist Google Ireland Limited zuständig.

9. Sicherheitsprüfung von Uploads

Uploads werden vor der Veröffentlichung durch den selbst betriebenen Dienst ClamGate auf eigener Infrastruktur auf Schadsoftware untersucht; die Prüfdaten werden nach der Prüfung, die Ergebnisse nach kurzer Zeit gelöscht. Bilder werden neu kodiert, um eingebettete Metadaten zu entfernen; dies dient der sicheren Veröffentlichung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.

10. Kontakt per E-Mail

Wenn Sie per E-Mail Kontakt aufnehmen, werden Ihre E-Mail-Adresse, der Inhalt Ihrer Nachricht und die technischen Angaben der E-Mail verarbeitet, um Ihre Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt darin, Anfragen beantworten zu können.

Die E-Mail-Postfächer werden bei der Fastmail Pty Ltd, PO Box 234, Collins Street West, VIC 8007, Australien, als Auftragsverarbeiter betrieben. Dabei können Daten in Länder außerhalb der EU übermittelt werden, insbesondere nach Australien, in die USA und nach Indien. Für diese Übermittlungen verwendet Fastmail Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Details: Datenschutzerklärung von Fastmail, Auftragsverarbeitungsvertrag und Standardvertragsklauseln. Eine Kopie der Garantien erhalten Sie auf Anfrage an datenschutz-schaffa@heerlab.com.

Der Verantwortliche löscht Nachrichten nach Erledigung der Anfrage, soweit keine Aufbewahrung erforderlich ist. Bei Fastmail können anschließend noch Sicherungs- und Protokolldaten nach dessen veröffentlichten Löschregeln verbleiben.

11. Reichweitenmessung und Fehlerüberwachung

Umami wird vom Betreiber in Deutschland selbst gehostet. Erst nach Ihrer Einwilligung im Cookie-Banner erfasst Umami Besuche, Interaktionen und Leistung sowie maskierte Sitzungsaufzeichnungen und Heatmaps auf Schaffas eigenen Seiten, nicht auf veröffentlichten Inhalten. Rechtsgrundlage sind Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Sie können Ihre Einwilligung jederzeit über „Cookie-Einstellungen“ widerrufen.

Auf dem Server werden Aufrufe veröffentlichter Inhalte und API-Aktionen zusammengefasst gezählt, ohne Cookies, IP-Adressen oder andere personenbezogene Daten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt darin, die Nutzung des Angebots zu verstehen.

GlitchTip wird in Deutschland selbst gehostet und verarbeitet technische Fehlerberichte aus Browser und Server ohne Cookies oder Browserspeicher. Tokens, E-Mail-Adressen und URL-Parameter werden entfernt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt in der Betriebssicherheit.

Umami-Analysedaten werden nach 25 Monaten gelöscht, Sitzungsaufzeichnungen und Heatmaps nach 30 Tagen. GlitchTip-Fehlerberichte werden nach 90 Tagen gelöscht.

12. Cookies und lokale Speicherung

Ohne Anmeldung und ohne Auswahl im Cookie-Banner setzt Schaffa keine Cookies; lediglich die API-Dokumentation unter /api speichert die gewählte Beispielsprache als Anzeigeeinstellung im lokalen Speicher Ihres Browsers. Nach Ihrer Auswahl speichert das technisch notwendige Cookie cc_cookie Ihre Banner-Entscheidung für sechs Monate. Umami setzt keine Cookies und liest lediglich eine optionale Opt-out-Einstellung. Bei der Anmeldung werden technisch notwendige Sitzungs-Cookies für das Schaffa-Konto und die Verwaltung sowie Pangolin-Cookies für den Verwaltungszugang verwendet. Hinzu kommen die Shoo-Anmeldeeinträge im Browserspeicher. Diese Speicherung ist für den ausdrücklich gewünschten Zugang, die gewählte Cookie-Einstellung und die angeforderte Anzeige der API-Dokumentation nach § 25 Abs. 2 Nr. 2 TDDDG erforderlich. Rechtsgrundlage für die Verarbeitung zur Zugangssicherung ist Art. 6 Abs. 1 lit. f DSGVO.

13. Ihre Rechte

Sie haben gegenüber dem Verantwortlichen folgende Rechte hinsichtlich Ihrer personenbezogenen Daten:

Auskunft (Art. 15 DSGVO)
Berichtigung (Art. 16 DSGVO)
Löschung (Art. 17 DSGVO)
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO)
Widerruf einer erteilten Einwilligung (Art. 7 Abs. 3 DSGVO): Sie können eine erteilte Einwilligung jederzeit widerrufen. Die Rechtmäßigkeit der Verarbeitung vor dem Widerruf bleibt unberührt.

Widerspruchsrecht (Art. 21 DSGVO): Soweit eine Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO beruht, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen.

Zur Ausübung Ihrer Rechte genügt eine Nachricht an datenschutz-schaffa@heerlab.com.

Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77 DSGVO).

14. Pflicht zur Bereitstellung

Sie sind nicht verpflichtet, personenbezogene Daten bereitzustellen. Ohne die technisch notwendigen Verbindungsdaten kann die Website jedoch nicht ausgeliefert werden, und ohne Anmeldung sind die geschützten Bereiche nicht nutzbar.

15. Änderungen

Diese Datenschutzerklärung wird angepasst, wenn sich die Website oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.