Datenschutz

Jan Stecher
Stecher Solutions
Im Stöcklesbrunnen 2
71665 Vaihingen an der Enz
E-Mail: info@janstecher.dev

Diese Website kommt ohne Werbe-Cookies, ohne seitenübergreifendes Tracking und ohne Cookie-Banner aus. Ich verarbeite personenbezogene Daten nur, soweit das für den Betrieb der Seite, eine einfache Statistik ohne Cookies und die Antwort auf deine Anfrage nötig ist. Die Einzelheiten stehen in den folgenden Abschnitten.

Die Website läuft auf Cloudflare Workers der Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA. Cloudflare liefert die Seiten aus und schützt sie vor Angriffen. Beim Aufruf werden dafür technisch notwendige Daten verarbeitet: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Browser und Betriebssystem sowie das Land, das Cloudflare aus der IP-Adresse ableitet. Über das Land leitet dich die Startadresse auf die deutsche oder englische Fassung, solange du noch keine Sprache gewählt hast. Gespeichert wird es dafür nicht.

Für Anfragen, die mein Server selbst beantwortet (die Weiterleitung auf die Sprachfassung, die Terminsuche, das Anfrageformular und den Beitragskalender im Footer), schreibt Cloudflare Protokolle mit diesen Angaben, ergänzt um die aufgerufene Schnittstelle, das Ergebnis und bei einer Terminbuchung deren Kennung bei cal.com. Ich nutze die Protokolle nur, um Fehler zu finden und Missbrauch zu erkennen. Sie werden nach spätestens 7 Tagen automatisch gelöscht.

Damit niemand das Anfrageformular massenhaft missbraucht, nehmen seine Schnittstellen je Schnittstelle und IP-Adresse höchstens 10 Anfragen innerhalb von 60 Sekunden an. Cloudflare zählt die Anfragen dafür kurzzeitig mit, ich speichere die IP-Adresse dafür nicht.

Rechtsgrundlage ist mein berechtigtes Interesse an einer sicheren und stabilen Auslieferung der Website und am Schutz vor Missbrauch (Art. 6 Abs. 1 lit. f DSGVO). Cloudflare verarbeitet die Daten in meinem Auftrag, mit Cloudflare habe ich einen Vertrag zur Auftragsverarbeitung geschlossen (Art. 28 DSGVO). Weil Cloudflare ein weltweites Netz betreibt, können die Daten auch in den USA verarbeitet werden. Cloudflare, Inc. ist nach dem EU-U.S. Data Privacy Framework zertifiziert, für das ein Angemessenheitsbeschluss der EU-Kommission besteht (Art. 45 DSGVO). Ergänzend gelten die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Ihren Wortlaut hat die EU-Kommission veröffentlicht, eine Kopie der mit Cloudflare vereinbarten Fassung schicke ich dir auf Anfrage.

Um zu sehen, wie oft die Seiten aufgerufen werden und wie schnell sie laden, nutze ich Cloudflare Web Analytics (Anbieter wie oben: Cloudflare, Inc.). Dafür lädt dein Browser ein kleines Skript von static.cloudflareinsights.com. Es liest beim Seitenaufruf Ladezeiten und Leistungswerte aus dem Browser aus (etwa Core Web Vitals und Speicherbedarf der Seite) und meldet sie zusammen mit der aufgerufenen und der verweisenden Seite und einer zufälligen Kennung dieses einen Seitenaufrufs an Cloudflare. Cloudflare ergänzt Land, Gerätetyp, Browser und Betriebssystem. Deine IP-Adresse erreicht Cloudflare dabei technisch bedingt, wird nach Cloudflares Angaben aber im nächsten Rechenzentrum verworfen und nicht gespeichert.

Cloudflare setzt dafür keine Cookies, speichert nichts in deinem Browser und erstellt nach eigenen Angaben keine Fingerabdrücke aus IP-Adresse, Browserkennung oder anderen Daten. Ich sehe nur zusammengefasste Werte und kann einzelne Besucher weder erkennen noch über mehrere Besuche hinweg wiedererkennen. Ungekürzte Messdaten bewahrt Cloudflare 7 Tage auf, danach nur noch eine Stichprobe von etwa 10 Prozent. Eine feste Löschfrist für diese Stichprobe nennt Cloudflare nicht.

Rechtsgrundlage ist mein berechtigtes Interesse, die Reichweite und die Ladezeiten meiner Website zu kennen und sie zu verbessern (Art. 6 Abs. 1 lit. f DSGVO). Weil die Messung ohne Cookies und ohne Wiedererkennung auskommt und nur zusammengefasste Werte liefert, überwiegen deine Interessen dabei nach meiner Einschätzung nicht. Du kannst widersprechen (siehe „Widerspruchsrecht“) oder das Skript mit einem Inhaltsblocker sperren. Für Auftragsverarbeitung und Übermittlung in die USA gilt das unter „Hosting und Auslieferung“ Gesagte.

Über „Projekt starten“ kannst du mir eine Anfrage schicken. Dabei verarbeite ich:

• deine Antworten im Formular, etwa Art und Stand des Projekts, Bedarf, Unternehmensgröße, eingesetzte Systeme, Zeitrahmen, Budget sowie deine Beschreibung oder Nachricht,
• Name und E-Mail-Adresse, bei Anfragen für ein Unternehmen auch die Firma,
• Sprache, Zeitzone und die daraus abgeleitete Währung,
• über welchen Link du die Anfrage gestartet hast,
• einen gebuchten Termin oder deine Wunschzeit für ein Gespräch.

Mit „Weiter“ im Kontaktschritt geht deine Anfrage an mich, auch wenn du danach keinen Termin buchst. Spätere Angaben wie Termin oder Wunschzeit ergänzen dieselbe Anfrage.

Ich nutze die Angaben, um deine Anfrage zu beantworten, ein Gespräch vorzubereiten und ein mögliches Projekt anzubahnen. Geht es um ein Projekt mit dir als möglichem Auftraggeber, ist Rechtsgrundlage die Anbahnung eines Vertrags auf deine Anfrage (Art. 6 Abs. 1 lit. b DSGVO). Fragst du für ein Unternehmen an oder geht es um etwas anderes, etwa Austausch, Recruiting oder Presse, stütze ich mich auf mein berechtigtes Interesse, Anfragen zu beantworten und geschäftliche Kontakte zu pflegen (Art. 6 Abs. 1 lit. f DSGVO).

Eine gesetzliche oder vertragliche Pflicht, die Angaben zu machen, besteht nicht. Ohne die Pflichtangaben des gewählten Wegs lässt sich das Formular aber nicht abschicken, und ohne Name und E-Mail-Adresse kann ich dir nicht antworten. Statt des Formulars kannst du mir auch einfach eine E-Mail schreiben.

Dein Browser schickt die Angaben nur an meinen eigenen Server, nicht an Analyse- oder Werbedienste. Von dort gehen sie verschlüsselt in meine eigene Datenbank (Supabase, von mir selbst betrieben) auf einem Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, im Rechenzentrum Helsinki, Finnland. Hetzner stellt den Server bereit und verarbeitet die Daten in meinem Auftrag (Art. 28 DSGVO). Inhaltlich bearbeite nur ich die Anfragen, technisch verarbeiten sie die hier genannten Dienstleister in meinem Auftrag.

Gegen Spam prüft mein Server, wie lange das Ausfüllen gedauert hat und ob ein für Menschen unsichtbares Feld befüllt wurde. Diese Prüfwerte werden nicht in der Datenbank gespeichert, ein externer Bot-Dienst ist nicht eingebunden.

Anfragen lösche ich automatisch 12 Monate nach Eingang. Läuft ein Gespräch oder Projekt dann noch, verlängere ich die Frist und lösche spätestens 12 Monate nach unserem letzten Kontakt. Wird aus der Anfrage ein Auftrag, bewahre ich die steuerlich relevanten Unterlagen nach § 147 AO auf: Geschäftsbriefe wie Angebote 6 Jahre, Rechnungen und andere Buchungsbelege 8 Jahre, jeweils ab Ende des Kalenderjahres (Art. 6 Abs. 1 lit. c DSGVO).

Wählst du im Formular einen Termin, fragt mein Server bei cal.com freie Zeiten ab und bucht den Termin dort. Anbieter ist die Cal.com, Inc., 2261 Market Street #4382, San Francisco, CA 94114, USA. Dein Browser verbindet sich dabei nicht mit cal.com. Übermittelt werden Name, E-Mail-Adresse, Zeitzone, Sprache, der gewählte Termin und eine Notiz mit deinen Antworten aus dem Formular, einschließlich der Firma, falls angegeben. cal.com schickt dir damit die Terminbestätigung per E-Mail.

cal.com verarbeitet die Daten in meinem Auftrag, mit cal.com habe ich einen Vertrag zur Auftragsverarbeitung geschlossen (Art. 28 DSGVO). Die Daten werden in den USA verarbeitet. Cal.com, Inc. ist nach dem EU-U.S. Data Privacy Framework zertifiziert, für das ein Angemessenheitsbeschluss der EU-Kommission besteht (Art. 45 DSGVO).

Das Gespräch findet über Google Meet statt. Den Link erzeugt cal.com über meinen Google-Kalender, in den der Termin mit deinem Namen, deiner E-Mail-Adresse und der Notiz eingetragen wird. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Nimmst du am Gespräch teil, verarbeitet Google technisch notwendige Daten wie IP-Adresse und Gerätedaten sowie Bild und Ton, solange du Kamera und Mikrofon freigibst. Dabei können Daten an die Google LLC in den USA übermittelt werden. Google LLC ist nach dem EU-U.S. Data Privacy Framework zertifiziert (Art. 45 DSGVO).

Rechtsgrundlage ist dieselbe wie bei der Anfrage. Termine bei cal.com und in meinem Kalender lösche ich nach denselben Fristen wie die Anfrage.

Wenn du mir an info@janstecher.dev schreibst, verarbeite ich deine E-Mail-Adresse, deinen Namen und den Inhalt deiner Nachricht, um dir zu antworten. Für die Rechtsgrundlage gilt dasselbe wie bei Anfragen über das Formular.

Mein Postfach liegt bei iCloud Mail der Apple Distribution International Limited, Hollyhill Industrial Estate, Hollyhill, Cork, Irland. Apple kann Daten auch an die Apple Inc. in den USA übermitteln, nach eigenen Angaben auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Wie du eine Kopie erhältst, beschreibt Apple in seiner Datenschutzrichtlinie. Für E-Mails gelten dieselben Löschfristen wie für Anfragen über das Formular.

Die Seite setzt nur ein Cookie, und nur wenn du die Sprache selbst umschaltest: „jan-lang“ merkt sich deine Wahl für ein Jahr. Dein Browser sendet es bei Aufrufen dieser Website mit, damit dich die Startadresse in deiner Sprache empfängt.

Außerdem nutzt die Seite den sessionStorage deines Browsers, der beim Schließen des Tabs gelöscht wird. Darin stehen:

• ob das Intro in dieser Sitzung schon lief, damit es bei der Rückkehr zur Startseite nicht erneut abläuft,
• an welche Stelle der Startseite oder der Blog-Liste du zurückkehrst,
• über welchen Link du „Projekt starten“ geöffnet hast und wohin der Zurück-Link führt,
• im Formular „Projekt starten“ dein bisheriger Stand: Antworten, Kontaktdaten, Terminvorschläge und Buchungsstand, der Beginn des Ausfüllens und die Spam-Prüfwerte sowie technische Kennungen, mit denen mein Server deine Anfrage zuordnen und ergänzen kann (sie gelten 30 Minuten bzw. 24 Stunden). So geht beim Neuladen nichts verloren. Verlässt du das Formular nach dem Abschluss über den Zurück-Link, löscht es diesen Stand.

Cookie und sessionStorage dienen Funktionen, die du selbst aufrufst (Sprachwahl, Rückkehr an die vorige Stelle, Fortsetzen des Formulars), und sind dafür unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Für die Angaben, die du im Formular machst, gilt dieselbe Rechtsgrundlage wie für die Anfrage.

Schriften, Skripte, Bilder und Videos kommen vom eigenen Server. Es gibt keine Verbindung zu Google Fonts, CDNs oder eingebetteten Inhalten Dritter. Einzige Ausnahme ist das Messskript von Cloudflare Web Analytics (siehe „Reichweitenmessung“).

Den GitHub-Beitragskalender im Footer ruft mein Server bei GitHub ab und speichert ihn bei Cloudflare zwischen. Dein Browser lädt ihn nur von meinem Server. Dabei werden keine Daten über dich an GitHub übertragen.

Die Seite verlinkt auf andere Angebote, etwa GitHub, LinkedIn oder X, und bietet nach einer Buchung Links, um den Termin in Google Kalender oder Outlook einzutragen. Erst wenn du einen solchen Link anklickst, verbindet sich dein Browser mit dem jeweiligen Anbieter. Bei den Kalender-Links übergibt er dabei die Termindaten samt Notiz mit deinen Antworten an Google bzw. Microsoft. Diese Übergabe löst du selbst aus, der Anbieter verarbeitet die Daten dann in eigener Verantwortung. Die Datei im .ics-Format erzeugt dein Browser selbst, dafür wird nichts übertragen.

Personenbezogene Daten erhalten nur die oben genannten Dienstleister: Cloudflare (Hosting und Statistik), Hetzner (Server der Datenbank), cal.com (Termine), Google (Videocall und Kalender) und Apple (E-Mail). Nutzt du nach einer Buchung die Kalender-Links, übergibt dein Browser die Termindaten außerdem an Google bzw. Microsoft. Darüber hinaus gebe ich Daten nur weiter, wenn ich gesetzlich dazu verpflichtet bin. Ich verkaufe keine Daten. Eine automatisierte Entscheidungsfindung oder Profilbildung findet nicht statt.

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Schreib mir dafür einfach an info@janstecher.dev. Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77), zum Beispiel beim Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg.

Verarbeite ich deine Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO), kannst du dem jederzeit aus Gründen widersprechen, die sich aus deiner besonderen Situation ergeben (Art. 21 Abs. 1 DSGVO). Ich verarbeite die Daten dann nicht mehr, es sei denn, ich kann zwingende schutzwürdige Gründe nachweisen, die deine Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Eine formlose Nachricht an info@janstecher.dev genügt.

Oktober 2026 (Entwurf)