Datenschutzerklärung
1. Verantwortlicher
Cedric Saint-Julien
Benzstr. 39, 86343 Königsbrunn, Deutschland
E-Mail: hello@studiodrop.de
Ein Datenschutzbeauftragter ist nicht bestellt; die Voraussetzungen des
§ 38 BDSG liegen nicht vor.
2. Welche Daten verarbeitet werden
Übertragene Dateien. Die hochgeladenen Dateien selbst
sowie deren Dateinamen und Dateigrößen.
Angaben zur Übertragung. Freiwillig angegebene Absender-
und Empfänger-E-Mail-Adressen, Titel und Nachrichtentext.
Server-Protokolle. Beim Aufruf werden IP-Adresse,
Zeitpunkt, aufgerufene Adresse, HTTP-Status und User-Agent protokolliert.
Sitzungs-Cookie. Ausschließlich nach einer Anmeldung als
Absender wird ein einziges technisch notwendiges Cookie gesetzt. Es
enthält lediglich einen signierten Ablaufzeitpunkt. Tracking, Analyse
oder Werbe-Cookies werden nicht eingesetzt.
3. Rechtsgrundlagen
Die Verarbeitung der Dateien und Übertragungsangaben erfolgt zur Erfüllung
eines Vertrags bzw. auf Anfrage der betroffenen Person
(Art. 6 Abs. 1 lit. b DSGVO). Protokollierung, Missbrauchsabwehr und
Schadsoftware-Prüfung erfolgen aufgrund berechtigten Interesses an einem
sicheren und rechtskonformen Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Das
Sitzungs-Cookie ist zur Bereitstellung des ausdrücklich gewünschten
Dienstes unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).
4. Verschlüsselung — und was sie hier bedeutet
Die Übertragung erfolgt ausschließlich über TLS. Dateien werden auf dem
Server verschlüsselt gespeichert (ChaCha20-Poly1305).
Ausgehende Übertragungen: Der Schlüssel wird aus dem
Freigabe-Link abgeleitet. Gespeichert wird serverseitig nur dessen
Hashwert. Der Betreiber kann diese Dateien ohne den Link nicht
entschlüsseln. Geht der Link verloren, sind die Dateien
unwiederbringlich verloren.
Eingehende Uploads über einen Upload-Link werden mit
einem serverseitigen Schlüssel verschlüsselt, da die hochladende Person
kein dauerhaftes Geheimnis besitzt und der Betreiber die Dateien
empfangen können muss. Diese Dateien sind für den Betreiber lesbar und
werden auf Schadsoftware geprüft.
Dateinamen und Dateigrößen werden unverschlüsselt in der Datenbank
gespeichert; verschlüsselt sind die Dateiinhalte.
5. Speicherdauer
Dateien werden nach Ablauf der beim Erstellen gewählten Frist
(Voreinstellung: 7 Tage bei ausgehenden Übertragungen, 30 Tage bei
eingehenden Uploads) automatisch und unwiderruflich gelöscht.
Zum Zeitpunkt dieser Löschung werden auch die
E-Mail-Adressen und der Nachrichtentext entfernt. Es verbleibt
für 30 Tage ausschließlich ein Datensatz ohne Personenbezug, damit
Empfänger die Meldung „abgelaufen“ statt „nicht gefunden“ erhalten.
Danach wird auch dieser gelöscht.
Abgebrochene Uploads werden nach 24 Stunden verworfen.
Server-Protokolle werden nach 14 Tagen gelöscht.
Sicherungskopien werden verschlüsselt aufbewahrt und rotieren nach
7 Tagen / 4 Wochen / 6 Monaten.
6. Empfänger und Auftragsverarbeiter
Der Dienst läuft auf Servern der Hetzner Online GmbH
(Industriestr. 25, 91710 Gunzenhausen) im Rechenzentrum Helsinki,
Finnland — also innerhalb der EU. Sicherungskopien liegen auf einer
Hetzner Storage Box in Deutschland. Ein Auftragsverarbeitungsvertrag nach
Art. 28 DSGVO besteht.
Eine Übermittlung in Drittländer findet nicht statt. Ein Versand von
Benachrichtigungs-E-Mails ist derzeit nicht aktiv; sobald ein
E-Mail-Dienstleister eingesetzt wird, ist dieser hier zu ergänzen.
7. Schadsoftware-Prüfung
Eingehende Uploads werden lokal auf dem Server mit ClamAV auf
Schadsoftware geprüft. Die Prüfung findet ausschließlich auf unserem
eigenen Server statt; es werden keine Daten an Dritte übermittelt.
8. Ihre Rechte
Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16),
Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18),
Datenübertragbarkeit (Art. 20) sowie Widerspruch gegen Verarbeitungen auf
Grundlage berechtigter Interessen (Art. 21 DSGVO).
Ihnen steht ein Beschwerderecht bei einer Aufsichtsbehörde zu. Zuständig
ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA),
Promenade 18, 91522 Ansbach, poststelle@lda.bayern.de.
9. Keine automatisierte Entscheidungsfindung
Eine automatisierte Entscheidungsfindung einschließlich Profiling nach
Art. 22 DSGVO findet nicht statt. Die Schadsoftware-Prüfung führt zwar zu
einer automatischen Sperrung betroffener Uploads, entfaltet aber keine
rechtliche Wirkung gegenüber betroffenen Personen.