Datenschutz­erklärung

Was mit deinen Daten passiert, wenn du hier vorbeischaust oder dich auf die Warteliste setzt. Kurz vorweg, dann ausführlich.

Wer ist verantwortlich?

Verantwortlich für die Verarbeitung deiner Daten auf startzettel.de bin ich:

Eine eigene Stelle für den Datenschutz muss ein Ein-Personen-Projekt nicht benennen. Bei Fragen schreib mir einfach direkt.

Wenn du die Seite besuchst

Hosting

Die Seite läuft auf einem gemieteten Server (VPS) bei:

Der Server steht in einem Rechenzentrum von Contabo in der EU. Contabo verarbeitet die Daten nur in meinem Auftrag und nach meinen Weisungen; dafür gibt es einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Server-Protokolle

Jeder Aufruf geht zuerst über einen Reverse-Proxy (Nginx Proxy Manager) auf dem Server. Der schreibt für jede Anfrage eine Zeile ins Protokoll:

• deine IP-Adresse,
• Datum und Uhrzeit,
• die aufgerufene Adresse und die Anfrageart,
• den Statuscode und die übertragene Datenmenge,
• Browser und Betriebssystem (User-Agent),
• die Seite, von der du kamst (Referrer), falls dein Browser sie mitschickt.

Das brauche ich, um die Seite auszuliefern, Fehler zu finden und Angriffe abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; mein berechtigtes Interesse ist ein sicherer, funktionierender Betrieb. Ich werte die Protokolle nicht für Statistiken aus und führe sie nicht mit anderen Daten zusammen.

Die Protokolle werden nach 14 Tagen automatisch gelöscht. Weil sie auf dem Server liegen, landen sie allerdings auch in dessen nächtlicher Sicherung und fallen dort erst nach spätestens sechs Monaten heraus (mehr dazu unter „Austragen und Widerruf“). Die Anwendung hinter dem Proxy speichert keine IP-Adressen.

Keine Cookies, kein Tracking, keine Fremdquellen

startzettel.de setzt keine Cookies und legt auch sonst nichts in deinem Browser ab, weder Local Storage noch Session Storage. Es gibt kein Analyse-Werkzeug, keinen Zähler, kein Zählpixel und keine Werbung.

Alles, was dein Browser lädt (Texte, Bilder, Schriften, Skript), kommt von startzettel.de selbst. Die Schriften sind selbst gehostet, es gibt also keine Verbindung zu Google Fonts oder einem anderen fremden Server. Der Server schickt eine Content-Security-Policy mit, die fremde Quellen ausdrücklich verbietet.

Die Verbindung ist per HTTPS (TLS) verschlüsselt.

Wenn du dich auf die Warteliste setzt

Was ich speichere

• deine E-Mail-Adresse (Pflicht, sonst kann ich dich nicht einladen),
• deinen Vornamen, falls du einen angibst (freiwillig, ein Spitzname reicht),
• wie du läufst, falls du etwas ankreuzt (freiwillig, etwa „Ankommen reicht“ oder „Trail und Berge“),
• deine Antwort auf „Was soll Startzettel unbedingt können?“, falls du eine gibst (freiwillig),
• wann du dich eingetragen und wann du bestätigt hast,
• wann ich dir in den letzten 7 Tagen Bestätigungsmails geschickt habe (warum, steht unter „Schutz vor Missbrauch“),
• zwei zufällige Schlüssel für die Links in den Mails (Bestätigen und Austragen). Die verraten nichts über dich.

Deine IP-Adresse speichere ich dabei nicht.

Wofür

Nur für die Beta: Ich lade dich ein, wenn die erste Fassung von Startzettel steht, und schreibe dir, wenn es um die Beta geht. Kein Newsletter, keine Werbung, keine Weitergabe.

Was du ankreuzt und dir wünschst, lese ich, um zu entscheiden, was Startzettel zuerst können muss. Ich veröffentliche deine Antworten nicht und zeige sie niemandem.

Rechtsgrundlage

Deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du mit dem Eintragen und dem Klick auf den Bestätigungslink gibst. Die Zeitpunkte speichere ich, um nachweisen zu können, dass du eingewilligt hast (Art. 7 Abs. 1 DSGVO).

Bestätigung per Mail (Double-Opt-in)

Nach dem Eintragen bekommst du eine Mail mit einem Bestätigungslink. Erst wenn du ihn anklickst, stehst du wirklich auf der Liste. So kann niemand fremde Adressen eintragen. Der Link gilt 7 Tage. Wer nicht bestätigt, wird 7 Tage nach der letzten Bestätigungsmail automatisch gelöscht.

Wie lange

Bestätigte Einträge bleiben, bis die Beta vorbei ist oder bis du dich austrägst, je nachdem, was zuerst kommt. Danach lösche ich sie.

Austragen und Widerruf

Du kannst deine Einwilligung jederzeit widerrufen (Art. 7 Abs. 3 DSGVO), ohne Angabe von Gründen:

• über den Link zum Austragen, der in jeder Mail von mir steht, oder
• formlos per Mail an mich.

Beim Austragen lösche ich deinen Eintrag sofort und vollständig. Was bis dahin passiert ist, bleibt rechtmäßig.

Eine Einschränkung gibt es: Die Datenbank landet jede Nacht in der Sicherung des Servers. Dort bleibt ein gelöschter Eintrag noch, bis die betreffende Sicherung abläuft, spätestens nach sechs Monaten. Die Sicherung liegt verschlüsselt auf demselben Server bei Contabo; ein weiterer Anbieter ist daran nicht beteiligt. Ich nutze sie nur, um den Server nach einem Ausfall wiederherzustellen, nicht für irgendetwas anderes.

Schutz vor Missbrauch

Damit niemand das Formular mit tausenden Anfragen flutet, merkt sich der Server kurz, wie oft von einer IP-Adresse aus eingetragen wird. Das passiert nur im Arbeitsspeicher, nie auf der Festplatte, und ist nach spätestens einer Stunde vergessen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; mein berechtigtes Interesse ist, das Formular vor Missbrauch zu schützen.

Damit niemand fremde Adressen mit Bestätigungsmails zuschüttet, merke ich mir außerdem je Adresse, wann in den letzten 7 Tagen eine rausging (so lange gilt auch ein Bestätigungslink). Ältere Zeitpunkte fallen weg. Und ich zähle, wie viele Mails insgesamt und je Mail-Domain (der Teil hinter dem @, etwa gmail.com) in den letzten 24 Stunden rausgingen – dafür speichere ich nur Zeitpunkt und Domain, keine Adresse, und lösche beides nach 24 Stunden. Rechtsgrundlage ist auch hier Art. 6 Abs. 1 lit. f DSGVO; mein berechtigtes Interesse ist, dass über mein Formular niemand belästigt wird.

Außerdem hat das Formular ein unsichtbares Feld, das nur Bots ausfüllen. Ist es ausgefüllt, speichere ich gar nichts und verschicke nichts.

Versand der Mails

Die Mails verschicke ich über ein Postfach bei:

Strato bekommt dafür deine E-Mail-Adresse und den Inhalt der Mail und verarbeitet beides ebenfalls nur in meinem Auftrag; auch mit Strato gibt es einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Wenn du mir schreibst

Schreibst du mir eine Mail oder antwortest auf eine, landen deine Adresse und deine Nachricht in meinem Postfach, das ebenfalls bei Strato liegt. Ich nutze sie nur, um dir zu antworten, und lösche sie, wenn die Sache erledigt ist. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; mein berechtigtes Interesse ist, deine Anfrage zu beantworten.

Wer die Daten sonst bekommt

Niemand. Außer Contabo (Server) und Strato (Mailversand und Postfach), die nur in meinem Auftrag arbeiten, sieht keiner deine Daten. Ich verkaufe sie nicht und gebe sie nicht weiter. Beide Anbieter sitzen in Deutschland, der Server steht in der EU; deine Daten bleiben also in der EU, eine Übermittlung in Länder außerhalb der EU findet nicht statt.

Keine automatischen Entscheidungen

Es gibt kein Profiling und keine automatisierte Entscheidung nach Art. 22 DSGVO. Die Einladungen zur Beta verschicke ich von Hand.

Musst du mir Daten geben?

Nein. Du kannst die Seite ansehen, ohne irgendetwas anzugeben; die Server-Protokolle entstehen dabei technisch bedingt. Für die Warteliste brauche ich nur deine E-Mail-Adresse. Ohne sie kann ich dich nicht einladen, sonst passiert nichts.

Deine Rechte

Du hast das Recht auf

• Auskunft über die Daten, die ich über dich habe (Art. 15 DSGVO),
• Berichtigung falscher Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit, also deine Daten in einem gängigen Format (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen, die auf meinem berechtigten Interesse beruhen (Art. 21 DSGVO), aus Gründen, die sich aus deiner besonderen Situation ergeben,
• Widerruf deiner Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Eine kurze Mail an mich genügt.

Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), zum Beispiel bei der für mich zuständigen:

Änderungen

Wenn sich an der Seite oder der Warteliste etwas ändert, passe ich diese Erklärung an. Für die App selbst gibt es eine eigene Datenschutzerklärung, sobald die Beta öffnet.

Stand: Oktober 2026