Datenschutzerklärung

1. Verantwortlicher und Kontakt

Verantwortlicher im Sinne der DSGVO ist:

imageserver.pw – Leon Schmidt
c/o Online-Impressum.de #1158
Europaring 90
53757 Sankt Augustin
Deutschland

E-Mail: [email protected]. Weitere Angaben finden Sie im Impressum.

Ein Datenschutzbeauftragter ist nicht bestellt, weil die Voraussetzungen des § 38 BDSG nicht vorliegen. Richten Sie Anfragen zum Datenschutz bitte an die oben genannte Adresse.

2. Ihre Rechte

Als betroffene Person haben Sie das Recht

• auf Auskunft darüber, ob und welche Daten wir zu Ihnen verarbeiten, sowie auf eine Kopie dieser Daten (Art. 15 DSGVO);
• auf Berichtigung unrichtiger oder Vervollständigung unvollständiger Daten (Art. 16 DSGVO);
• auf Löschung Ihrer Daten (Art. 17 DSGVO) oder, wo eine weitere Verarbeitung erforderlich ist, auf Einschränkung der Verarbeitung (Art. 18 DSGVO);
• auf Herausgabe der von Ihnen bereitgestellten Daten in einem gängigen Format und auf Übermittlung an einen anderen Verantwortlichen (Art. 20 DSGVO);
• auf Widerspruch gegen Verarbeitungen, die wir auf ein berechtigtes Interesse stützen (Art. 21 DSGVO);
• auf Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO). Zuständig ist für uns die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.

Das Auskunfts- und Übertragbarkeitsrecht können Sie im eingeloggten Zustand jederzeit selbst ausüben, siehe Abschnitt 19.

3. Was wir bewusst nicht verarbeiten

Der Vollständigkeit halber zuerst das, was nicht stattfindet, weil es die übrigen Abschnitte besser einordnet:

• Kein Webanalyse-Dienst, kein Tracking-Pixel, keine Werbenetzwerke, keine Profilbildung.
• Kein Zugriffsprotokoll mit IP-Adressen für den normalen Abruf von Seiten und Dateien. Beim Hochladen und beim Melden ist das anders, siehe die Abschnitte 8 und 15; wo IP-Adressen sonst anfallen, steht es in den Abschnitten 16 und 17.
• Keine inhaltliche Auswertung hochgeladener Dateien. Sie sind verschlüsselt gespeichert und der Schlüssel liegt nicht bei uns, siehe Abschnitt 8.
• Beim Aufruf eines Kurzlinks zählen wir nur einen Zähler hoch. Es entsteht kein Eintrag pro Besucher, siehe Abschnitt 9.
• Keine Weitergabe oder kein Verkauf von Daten zu Werbezwecken.

4. Bereitstellung der Website

Um Ihnen eine Seite ausliefern zu können, verarbeiten wir die technisch notwendigen Verbindungsdaten Ihres Browsers, insbesondere Ihre IP-Adresse. Das geschieht flüchtig zur Beantwortung der Anfrage.

Zusätzlich begrenzen wir die Zahl der Anfragen pro Zeitraum, um Missbrauch zu verhindern. Dazu wird ein Zähler im Arbeitsspeicher geführt, der an Ihren Zugangsschlüssel oder, solange keiner vorliegt, an Ihre gekürzte IP-Adresse gebunden ist. Dieser Zähler wird nicht dauerhaft gespeichert und verfällt nach einer Minute.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und stabilen Betrieb des Dienstes.

5. Cookies und lokale Speicherung

Wir setzen ausschließlich technisch notwendige Cookies ein. Ein Einwilligungsbanner entfällt deshalb, die Speicherung ist nach § 25 Abs. 2 Nr. 2 TDDDG zulässig.

Zusätzlich speichert Ihr Browser im lokalen Speicher (localStorage) unter dem Schlüssel theme, ob Sie die helle oder dunkle Darstellung gewählt haben. Dieser Wert verlässt Ihr Gerät nicht.

Zu dem Cookie, das Cloudflare setzt, siehe Abschnitt 16.

6. Konto und Anmeldung

Ein Konto können Sie auf zwei Wegen anlegen, die sich später auch verbinden lassen.

Über Discord. Wir fordern die Berechtigungen identify und guilds an und erhalten dadurch Ihre Discord-ID, Ihren Benutzernamen, Ihr Profilbild und die Liste Ihrer Server. Die Serverliste nutzen wir ausschließlich, um zu prüfen, ob Sie Mitglied unseres Discord-Servers sind, und um Ihren Boost-Status zu ermitteln. Wir speichern die Liste nicht. Zusätzlich bewahren wir ein Aktualisierungstoken auf, damit diese Prüfung ohne erneute Anmeldung möglich bleibt. Anbieter ist die Discord Netherlands B.V., Amsterdam.

Über E-Mail und Passwort. Dabei speichern wir Ihre E-Mail-Adresse und einen Hashwert Ihres Passworts. Das Passwort selbst wird nicht gespeichert und ist für uns nicht lesbar.

In beiden Fällen legen wir zusätzlich an: einen Anzeigenamen, Ihren persönlichen Zugangsschlüssel für die Programmierschnittstelle, Ihre Einstellungen, Ihren Tarif sowie Zeitpunkte der Erstellung und Änderung.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, da die Verarbeitung zur Erfüllung des Nutzungsvertrags erforderlich ist.

7. Zwei-Faktor-Authentifizierung

Sie können Ihr Konto freiwillig zusätzlich absichern. Bei einer Authenticator-App speichern wir das zugehörige Geheimnis verschlüsselt, bei einem Passkey die öffentliche Schlüsselkennung, einen Zähler und einen von Ihnen vergebenen Namen. Wiederherstellungs­codes legen wir nur als Hashwert ab.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO in Verbindung mit Art. 32 DSGVO, also die Pflicht zu angemessenen Sicherheitsmaßnahmen.

8. Uploads und Verschlüsselung

Jede hochgeladene Datei wird vor dem Schreiben auf die Festplatte mit AES-256 verschlüsselt. Der dafür erzeugte Schlüssel wird nicht bei uns gespeichert, sondern steht in dem Link, den Sie zurückbekommen. Für uns sind die gespeicherten Dateien damit nicht lesbar, und wir können sie auch nicht wiederherstellen.

Neben der verschlüsselten Datei speichern wir zu jedem Upload:

• eine zufällige Kennung, den ursprünglichen Dateinamen, den Dateityp und die Größe;
• die Zuordnung zu Ihrem Konto, sofern der Upload angemeldet erfolgte;
• einen Löschschlüssel und die Einstellungen für die Linkvorschau;
• einen Aufrufzähler, der ohne Bezug zu einzelnen Besuchern geführt wird;
• optional das mit Ihrem öffentlichen Schlüssel verschlüsselte Dateipasswort, falls Sie diese Funktion eingerichtet haben;
• eine Prüfsumme der Datei (SHA-256), an der sich mehrere Kopien derselben Datei erkennen lassen;
• die IP-Adresse, von der der Upload kam, für 30 Tage.

Die IP-Adresse des Uploads speichern wir ausschließlich, um Meldungen über eine Datei und behördliche Auskunftsersuchen überhaupt beantworten und wiederholten Missbrauch unterbinden zu können. Sie wird nicht ausgewertet und nicht mit Ihrem sonstigen Verhalten auf der Seite verknüpft, und sie wird 30 Tage nach dem Upload automatisch aus dem Datensatz entfernt. Die Prüfsumme beschreibt die Datei, nicht Sie, und lässt keinen Rückschluss auf ihren Inhalt zu. Wird eine Datei wegen ihres Inhalts entfernt, bleibt ihre Prüfsumme gespeichert, damit dieselbe Datei nicht erneut hochgeladen werden kann. Aufbewahrt wird dabei nur die Prüfsumme, nicht die Datei. Rechtsgrundlage für beides ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Abwehr von Missbrauch und in der Erfüllung unserer Pflichten als Hostinganbieter.

Uploads ohne Konto werden automatisch gelöscht, sobald sie sieben Tage alt sind. Uploads mit Konto bleiben, bis Sie sie oder Ihr Konto löschen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Laden Sie Dateien hoch, auf denen andere Personen zu erkennen sind, sind Sie dafür die verantwortliche Stelle.

9. Kurzlinks

Zu einem Kurzlink speichern wir das Ziel, den Code, die verwendete Domain, den Löschschlüssel, die Zuordnung zu Ihrem Konto und das Erstellungsdatum.

Beim Aufruf erhöhen wir einen Zähler und merken uns den Zeitpunkt des letzten Aufrufs. Es wird kein Eintrag je Besucher angelegt, keine IP-Adresse und kein Referrer gespeichert. Beim Weiterleiten setzen wir zudem Referrer-Policy: no-referrer, sodass die Zielseite nicht erfährt, von wo aus weitergeleitet wurde.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

10. BioLink-Seiten

Wenn Sie eine BioLink-Seite anlegen, speichern wir die von Ihnen eingegebenen Inhalte, also etwa Anzeigename, Beschreibung, Links, Bilder und Gestaltungseinstellungen.

Diese Seite ist ausdrücklich öffentlich und über ihre Adresse für jeden abrufbar. Alles, was Sie dort eintragen, veröffentlichen Sie selbst. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

11. Eigene Domains

Verbinden Sie eine eigene Domain, speichern wir den Domainnamen, den Prüfstatus und die Zuordnung zu Ihrem Konto. Für die Einrichtung und das Zertifikat übermitteln wir den Domainnamen an Cloudflare, siehe Abschnitt 16.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

12. E-Mail-Versand

Wir versenden ausschließlich Nachrichten, die für den Betrieb nötig sind: die Bestätigung Ihrer E-Mail-Adresse und das Zurücksetzen Ihres Passworts. Einen Newsletter oder Werbemails gibt es nicht.

Der Versand läuft über einen von uns selbst betriebenen Mailserver. Ein externer Dienstleister ist daran nicht beteiligt. Die zu einer Bestätigung oder Zurücksetzung gehörenden Token speichern wir nur als Hashwert und mit kurzer Gültigkeit.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

13. Zahlungen und Abonnements

Kostenpflichtige Tarife rechnen wir über Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Niederlande, ab. Mollie ist unser Zahlungsdienstleister, nicht unser Vertragspartner: Der Vertrag über den Tarif kommt mit uns zustande, Mollie zieht lediglich das Geld ein und betreibt dafür die Bezahlseite. Für diese Seite gilt die Datenschutzerklärung von Mollie.

Zahlungsmittel wie Karten- oder Kontodaten erreichen uns zu keinem Zeitpunkt. Beim Start eines Bezahlvorgangs übermitteln wir an Mollie Ihren Benutzernamen, Ihre E-Mail-Adresse, den gewählten Tarif und den zu zahlenden Betrag. Zurück erhalten und speichern wir eine Kennung für Sie als Zahlenden, eine Kennung für das Abonnement, dessen Status und das Ende der laufenden Periode.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Aufbewahrung von Unterlagen zusätzlich Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den handels- und steuerrechtlichen Aufbewahrungsfristen.

14. Discord-Bot und Boost-Status

Auf unserem Discord-Server läuft ein Bot, der angemeldeten Mitgliedern eine Rolle zuweist und feststellt, wie viele Boosts Sie beisteuern. Die Zahl der Boosts speichern wir zusammen mit dem Zeitpunkt der letzten Prüfung, weil sich daraus zusätzlicher Speicherplatz und ein höheres Uploadlimit ergeben.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Nutzen Sie unseren Discord-Server, gilt dafür zusätzlich die Datenschutzerklärung von Discord.

15. Meldungen und Missbrauch

Meldungen. Melden Sie eine Datei über den Melde-Button, speichern wir die gewählte Kategorie, Ihre freiwilligen Angaben im Textfeld, den Verweis auf die Datei und für 30 Tage die IP-Adresse, von der die Meldung kam. Letztere nur, um mehrfache Meldungen derselben Person zur selben Datei zu erkennen und den Missbrauch der Meldefunktion einzugrenzen. Eine E-Mail-Adresse anzugeben ist freiwillig und dient allein dazu, Ihnen die Entscheidung mitteilen zu können. Die Meldung wird zusätzlich in einen internen Discord-Kanal übermittelt. Bei den schwersten Kategorien wird die gemeldete Datei sofort gesperrt, also nicht mehr ausgeliefert, bevor ein Mensch sie geprüft hat; die Sperre wird aufgehoben, wenn die Prüfung nichts ergibt. Melden Sie per E-Mail, verarbeiten wir die Angaben aus Ihrer Nachricht, soweit das zur Bearbeitung nötig ist.

Abgebrochene Uploads. Bricht eine Übertragung ab, hält unser Betriebsprotokoll einen Warnhinweis mit der IP-Adresse fest, um wiederholte Fehler eingrenzen zu können.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, bei rechtlichen Meldungen zusätzlich Art. 6 Abs. 1 lit. c DSGVO. Unser berechtigtes Interesse liegt in der Abwehr von Missbrauch.

16. Cloudflare als CDN

Zur Absicherung gegen Angriffe und zur Beschleunigung der Auslieferung setzen wir Cloudflare ein, einen Dienst der Cloudflare, Inc., 101 Townsend Street, San Francisco, Kalifornien 94107, USA.

Alle Anfragen an unsere Seite laufen über Cloudflare. Dabei verarbeitet Cloudflare insbesondere IP-Adresse, Angaben zum Browser und Endgerät, die aufgerufene Adresse und den Zeitpunkt des Zugriffs, und kann ein Cookie zur Erkennung schädlichen Datenverkehrs setzen. Auffällige Anfragen können blockiert oder mit einer Prüfung versehen werden. Zusätzlich übermitteln wir Domainnamen, wenn Sie eine eigene Domain verbinden.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse ist der sichere und verfügbare Betrieb. Die Übermittlung in die USA stützen wir auf die Standardvertragsklauseln der EU-Kommission; Cloudflare ist zudem nach dem EU-US Data Privacy Framework zertifiziert.

Näheres unter cloudflare.com/privacypolicy.

17. Hosting und Betriebsprotokolle

Unsere Server stehen in Deutschland und werden von der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, betrieben. Hetzner verarbeitet die dabei anfallenden Daten als Auftragsverarbeiter für uns, auf Grundlage eines Vertrags nach Art. 28 DSGVO.

Zur Fehlersuche führen wir ein Betriebsprotokoll der Anwendung, das wir an eine von uns selbst betriebene Protokolldatenbank übermitteln. Darin stehen Ereignisse wie durchgeführte Uploads und aufgetretene Fehler, in Einzelfällen mit Konto-Kennung. Ein Zugriffsprotokoll je Seitenaufruf mit IP-Adresse führen wir nicht.

Wir erstellen täglich Sicherungen des Systems. Gelöschte Daten können darin noch enthalten sein, bis die betreffende Sicherung überschrieben wird. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

18. Speicherdauer im Überblick

19. Datenexport und Löschung

Im eingeloggten Zustand können Sie einen vollständigen Export Ihrer bei uns gespeicherten Daten anstoßen. Damit erfüllen wir Ihr Auskunftsrecht nach Art. 15 DSGVO und Ihr Recht auf Datenübertragbarkeit nach Art. 20 DSGVO unmittelbar.

Einzelne Uploads und Kurzlinks löschen Sie selbst im Dashboard oder über den jeweiligen Löschlink. Die Löschung Ihres gesamten Kontos samt zugehöriger Inhalte können Sie jederzeit formlos an [email protected] richten.

Ausgenommen bleiben Daten, die wir aufgrund gesetzlicher Pflichten weiter aufbewahren müssen, sowie Kopien in Sicherungen bis zu deren Überschreiben.