Datenschutz

Verantwortlicher

Geltungsbereich

Diese Erklärung gilt für die öffentliche Landingpage unter cavetown.de und www.cavetown.de sowie für die schrittweise eingeführten sekundären Webadressen kyouma.uk und www.kyouma.uk. Die sekundären Adressen stellen keine eigenständige Kopie der Website bereit, sondern leiten auf die Startseite von cavetown.de weiter. Pfade und Query-Strings werden dabei verworfen; nur der standardisierte Sicherheitskontakt unter /.well-known/security.txt wird auf sein kanonisches Gegenstück weitergeleitet. Andere, nur gezielt zugänglich gemachte Dienste auf Subdomains werden in den ergänzenden Datenschutzhinweisen für private Dienste beschrieben.

Hosting

Der Server wird bei folgendem Infrastruktur-Anbieter betrieben:

Der Hosting-Anbieter verarbeitet technische Daten, soweit dies für die Bereitstellung und Absicherung der Server-Infrastruktur erforderlich ist. Weitere Informationen enthält die Datenschutzerklärung von netcup.

Server-Protokolle

Bei jedem Aufruf verarbeitet der Webserver technisch bedingt:

• IP-Adresse des zugreifenden Systems,
• Datum und Uhrzeit des Zugriffs,
• HTTP-Methode und aufgerufener URL-Pfad,
• verwendete HTTP-Protokollversion,
• Antwortstatus und übertragene Datenmenge sowie
• übermittelten Browser-/User-Agent-Header.

Query-Strings und Referrer werden im Apache-Zugriffsprotokoll absichtlich nicht gespeichert. Die Verarbeitung dient der sicheren Auslieferung, Fehleranalyse und Abwehr missbräuchlicher Zugriffe. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt im stabilen und sicheren Betrieb des Angebots.

Die lokalen Apache-Protokolle rotieren größenabhängig: Es werden höchstens fünf Protokolldateien mit jeweils maximal 20 MB vorgehalten; die älteste Datei wird anschließend überschrieben. Eine feste Speicherdauer ergibt sich deshalb nicht. Sicherheitsereignisse können getrennt gespeichert werden, solange dies zur Untersuchung und Abwehr erforderlich ist.

Missbrauchserkennung mit CrowdSec

Zugriffsprotokolle werden lokal durch CrowdSec ausgewertet, um automatisierte Scans, Angriffe und andere missbräuchliche Zugriffe zu erkennen. Bei einem erkannten Sicherheitsereignis können die angreifende IP-Adresse, Zeitpunkt und Art des Ereignisses sowie begrenzter Anfragekontext, beispielsweise Zielpfad und User-Agent, an CrowdSec übermittelt werden:

Die Verarbeitung dient der Abwehr aktueller Angriffe und der gemeinschaftlichen Verbesserung von IP-Reputationsdaten. Grundlage ist Art. 6 Abs. 1 lit. f DSGVO. CrowdSec beschreibt die Verarbeitung als gemeinsame Verantwortlichkeit innerhalb seines Ökosystems. Nach Angaben von CrowdSec werden konkrete angreifende IP-Adressen grundsätzlich höchstens drei Monate unverändert gespeichert und anschließend schrittweise aggregiert beziehungsweise anonymisiert. Einzelheiten und Betroffenenkontakte finden sich in der Datenschutzerklärung von CrowdSec.

Als missbräuchlich bewertete IP-Adressen können automatisiert zeitweise vom Zugriff ausgeschlossen werden. Wenn ein Zugriff irrtümlich blockiert wurde, kann die oben genannte Kontaktadresse zur Prüfung genutzt werden.

Cookies und lokale Speicherung

Die Landingpage setzt keine Cookies und verwendet weder Local Storage noch Session Storage oder vergleichbare Verfahren. Es werden keine Analyse-, Werbe- oder Profiling-Dienste eingesetzt. Sämtliche Styles, Grafiken und das kleine Skript der Zeitlinienkonsole werden vom eigenen Server geladen. Das Skript steuert nur Countdown und Zufallsanzeige, versendet keine Anfragen und speichert keine Daten. Bei aktivierter Einstellung für reduzierte Bewegung wird der Effekt verkürzt.

Da keine einwilligungsbedürftigen Informationen auf dem Endgerät gespeichert oder daraus ausgelesen werden, wird auf dieser Landingpage kein Einwilligungsbanner eingesetzt.

Kontaktaufnahme

Bei einer Kontaktaufnahme per E-Mail werden die mitgeteilte E-Mail-Adresse, Inhalts- und Metadaten sowie freiwillig angegebene Informationen verarbeitet, um die Anfrage zu beantworten. Grundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Daten werden gelöscht, wenn die Anfrage abschließend bearbeitet ist und keine gesetzlichen Aufbewahrungs- oder berechtigten Dokumentationsgründe entgegenstehen.

Empfänger und Drittlandübermittlung

Empfänger technischer Daten können im beschriebenen Umfang netcup als Hosting-Anbieter und CrowdSec als Sicherheitsdienst sein. Beide genannten Stellen befinden sich im Europäischen Wirtschaftsraum. CrowdSec nennt jedoch unter anderem AWS, GCP, Firebase, Slack und ClickUp als mögliche Auftragsverarbeiter. Dabei kann eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums stattfinden. CrowdSec erklärt, solche Übermittlungen je nach Empfänger auf Angemessenheitsbeschlüsse oder Standardvertragsklauseln der Europäischen Kommission zu stützen. Einzelheiten und die jeweils aktuellen Empfänger ergeben sich aus der oben verlinkten Datenschutzerklärung von CrowdSec.

Weitere Übermittlungen erfolgen nur, wenn sie gesetzlich vorgeschrieben, zur Rechtsverfolgung erforderlich oder durch eine sonstige anwendbare Rechtsgrundlage gedeckt sind. Abgesehen von der beschriebenen Sicherheitsverarbeitung durch CrowdSec veranlasst die Landingpage keine gezielte Übermittlung in ein Drittland.

Rechte betroffener Personen

Nach Maßgabe der DSGVO bestehen insbesondere Rechte auf:

• Auskunft über verarbeitete personenbezogene Daten (Art. 15),
• Berichtigung unrichtiger Daten (Art. 16),
• Löschung (Art. 17),
• Einschränkung der Verarbeitung (Art. 18),
• Datenübertragbarkeit, soweit anwendbar (Art. 20), und
• Widerspruch gegen Verarbeitungen nach Art. 6 Abs. 1 lit. f DSGVO (Art. 21).

Zur Ausübung dieser Rechte genügt eine Nachricht an support@cavetown.de.

Beschwerderecht

Betroffene Personen können sich nach Art. 77 DSGVO bei einer Datenschutzaufsichtsbehörde beschweren. Für den Sitz des Verantwortlichen ist grundsätzlich erreichbar: