Datenschutzerklärung

Stand 2026-10-28, Entwurf. Eine anwaltliche Prüfung vor dem produktiven Einsatz steht noch aus.

1. Verantwortlicher

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO für die Datenverarbeitung auf diesem Blog ist:

Fabian Burth
Heerstraße 385
13593 Berlin
Deutschland

Die vollständigen Anbieterangaben findest du im Impressum, das mit der Hauptseite geteilt wird. Fragen zum Datenschutz richtest du an datenschutz@burth.space.

2. Geltungsbereich

Diese Datenschutzerklärung gilt für das Blog unter de.blog.burth.space. Für die Hauptseite burth.space und ihre weiteren Dienste gilt deren eigene Datenschutzerklärung.

Das Blog ist ein rein redaktionelles, statisch ausgeliefertes Angebot (Hugo). Es gibt keine Benutzerkonten, keine Kommentarfunktion und keine serverseitige Verarbeitung von Eingaben. Es befindet sich in einer Erprobungs- und Aufbauphase.

3. Verarbeitete Daten

3.1 Server-Protokolle

Beim Aufruf einer Seite verarbeitet unser Webserver in Deutschland automatisiert folgende Daten:

• IP-Adresse des aufrufenden Geräts (IPv4 oder IPv6)
• Datum und Uhrzeit des Aufrufs (Zeitstempel)
• Aufgerufener Host und URL-Pfad
• HTTP-Methode und HTTP-Status-Code
• Größe der Antwort in Bytes
• User-Agent (Browser- und Betriebssystem-Kennung)
• Referrer-URL, falls vom Browser übermittelt
• Verwendete TLS-Version und Cipher-Suite

Zweck: Betriebssicherheit (Erkennung von Angriffsversuchen), Funktionsfähigkeit (Diagnose, Performance) und Forensik bei Sicherheitsvorfällen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit und Funktionsfähigkeit). Erwägungsgrund 49 DSGVO erkennt die Netz- und Informationssicherheit ausdrücklich als berechtigtes Interesse an. Eine Erstellung von Besuchsprofilen findet nicht statt.

Speicherdauer: Zugriffs- und Serverprotokolle werden im Regelfall nach 90 Tagen automatisch gelöscht. Werden Protokolle zur Abwehr oder Verfolgung von Angriffen oder zur Durchsetzung oder Abwehr von Rechtsansprüchen benötigt, werden die betroffenen Protokolle auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO bis zu 90 Tage nach Abschluss der jeweiligen Untersuchung aufbewahrt, in jedem Fall jedoch höchstens 360 Tage.

Keine IP-Verkürzung: die IP-Adresse wird im Log nicht gekürzt. Sie wird in vollständiger Form benötigt, um Angriffsmuster zu erkennen und einen Vorfall nachvollziehen zu können. Eine Verknüpfung mit anderen Datenquellen oder eine Auswertung zu Besuchsverhalten findet nicht statt.

Empfänger: Auftragsverarbeiter Hetzner Online GmbH (Hosting). Keine Weitergabe an Dritte, keine externen Analyse-Dienste.

3.2 Cookiefreier Besuchszähler

Am Fuß jeder Seite siehst du ein Besuchszähler-Badge. Es wird von unserem eigenen Dienst unter count.burth.space erzeugt und als reines Bild (SVG) eingebunden. Im Browser läuft dafür kein Skript. Der Zähler:

• setzt keine Cookies und speichert nichts auf deinem Gerät,
• speichert keine IP-Adressen und keine anderen Daten, über die du identifizierbar wärst.

Funktionsweise der Näherung: Für den laufenden Tag erzeugt der Dienst einen Zufallswert (Tagessalt, 16 Byte aus einem kryptografisch sicheren Zufallsgenerator), der ausschließlich im Arbeitsspeicher existiert. Aus diesem Tagessalt und der Zeichenkette aus IP-Adresse, dem Zeichen | und der Browser-Kennung (User-Agent) wird ein Prüfwert berechnet, also HMAC(Tagessalt, client_ip + "|" + user_agent). Der Prüfwert ist je Zählbereich mit einem Bereichspräfix versehen und wird auf 16 Hexadezimalzeichen gekürzt. Die IP-Adresse geht dabei ungekürzt in die Berechnung ein; sie wird nicht gespeichert, sondern nur flüchtig verarbeitet. Nur dieser Prüfwert liegt für die Dauer des Tages im Arbeitsspeicher, damit ein Gerät am selben Tag nicht doppelt gezählt wird. Zum Tageswechsel wird lediglich die Anzahl der Prüfwerte dauerhaft gespeichert; Prüfwerte und Tagessalt werden verworfen. Eine Wiedererkennung über den Tageswechsel hinaus ist ausgeschlossen, weil der Tagessalt nie gespeichert wird und täglich neu entsteht.

Zweck: eine grobe, datensparsame Reichweitenmessung ohne Personenbezug.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer datensparsamen Reichweitenmessung ohne Wiedererkennung). Eine Einwilligung nach § 25 Abs. 1 TDDDG ist nicht erforderlich, weil weder Informationen in deinem Endgerät gespeichert noch dort gespeicherte Informationen ausgelesen werden.

3.3 Keine Cookies, kein Tracking

Das Blog setzt keine Cookies und nutzt keine Tracking-Mechanismen, keine Analyse-Dienste und keine Werbe-Netzwerke. Es gibt keinen Cookie-Banner, weil keine einwilligungspflichtigen Mechanismen aktiv sind.

3.4 Eingebundene Ressourcen

Das Blog lädt seine Stylesheets (styles.css, blog.css) von derselben Domain. Zusätzlich wird das Besuchszähler-Badge (3.2) als Bild von unserem eigenen Dienst count.burth.space geladen. Darüber hinaus werden keine externen Ressourcen eingebunden: keine Schriftarten Dritter, keine CDN-Inhalte, kein externes JavaScript, keine eingebetteten Videos oder Iframes. Eine strikte Content-Security-Policy unterbindet die Ausführung externer Skripte auf den Inhaltsseiten.

3.5 Affiliate- und Partnerlinks

Dieses Blog ist ein privates Angebot und nimmt derzeit an keinem Partner- oder Affiliate-Programm teil. Es fließt aktuell keine Provision. Sobald wir einem Partnerprogramm beitreten, kennzeichnen wir die betroffenen Links als „Affiliate", machen sie als Werbung erkennbar und versehen sie technisch mit rel="sponsored nofollow". Für diesen Fall gilt:

• Wir selbst setzen dabei keine Cookies und kein Tracking. Das Blog bleibt statisch.
• Klickst du einen solchen Partnerlink, baust du eine Verbindung zur Zielseite auf. Ab diesem Moment gilt die Datenschutzerklärung des jeweiligen Anbieters, auf die wir keinen Einfluss haben. Der Anbieter kann dabei erkennen, dass du über unser Blog gekommen bist (etwa über die Referrer-Information oder eine Kennung in der Adresse).
• Schließt du beim Anbieter ein Geschäft ab, kann uns eine Provision zustehen. Dein Preis ändert sich dadurch nicht.

Sobald ein solches Programm aktiv wird, ergänzen wir diese Erklärung vorher um die konkreten Angaben (Anbieter, etwaige Kampagnen- oder Tracking-Parameter in den Links).

3.6 VG-Wort (derzeit nicht aktiv)

Dieses Blog nutzt derzeit kein VG-Wort-Zählpixel. Falls wir künftig eine VG-Wort-Zählung einführen, geschieht das bewusst nur mit deiner ausdrücklichen Einwilligung (Opt-in) und nicht heimlich. Bis dahin findet keine entsprechende Verarbeitung statt.

4. Hosting, Mail und DNS

4.1 Hosting: Hetzner Online GmbH

Industriestraße 25, 91710 Gunzenhausen, Deutschland. Eine Auftragsverarbeitungsvereinbarung (AVV) nach Art. 28 DSGVO wurde über das Hetzner-Kundenkonto abgeschlossen. Siehe die Datenschutzerklärung von Hetzner.

4.2 Eigener Mailserver

Kontaktanfragen per E-Mail laufen über unseren eigenen Mailserver (Postfix) auf unseren Servern in Deutschland (Hetzner, siehe 4.1). Es ist kein externer Mail-Anbieter eingebunden. TLS 1.3 wird erzwungen.

4.3 Weitere Beteiligte (keine Auftragsverarbeiter): DNS über Hostinger

Die Domain burth.space und ihre Subdomains werden über die Hostinger-Unternehmensgruppe verwaltet; dort liegen auch die DNS-Einträge. Ruft dein Gerät oder dein DNS-Anbieter einen Namen dieser Domain auf, kann die dafür zuständige Namensauflösung bei diesem Anbieter technisch verarbeitet werden. Diese Verarbeitung findet außerhalb unseres Einflussbereichs statt; wir erhalten daraus keine Daten über einzelne Besuchende. Hostinger wird dabei nicht als Auftragsverarbeiter im Sinne von Art. 28 DSGVO für dieses Blog tätig; eine Auftragsverarbeitungsvereinbarung besteht insoweit nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Betrieb einer erreichbaren Domain).

4.4 Keine weiteren Auftragsverarbeiter

Insbesondere keine Content-Delivery-Networks, keine Drittanbieter-Schriftarten, kein externes JavaScript von CDNs, keine Analyse-Dienste, keine Tracking-Pixel und keine Werbe-Netzwerke.

5. Übermittlung in Länder außerhalb der EU

Für den Betrieb dieses Blogs findet keine Übermittlung personenbezogener Daten in Drittländer im Sinne der Art. 44 ff. DSGVO statt. Der Webserver und der Mailserver stehen in Deutschland; der DNS-Anbieter (Abschnitt 4.3) hat seinen Sitz in der EU. Eine Ausnahme ergibt sich nur aus deinem eigenen Handeln: Folgst du einem Verweis auf ein Angebot außerhalb der EU, erfolgt der Datenaustausch unmittelbar zwischen dir und dem dortigen Anbieter.

6. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung im Einzelfall einschließlich Profiling nach Art. 22 DSGVO findet nicht statt. Es werden keine Besuchsprofile gebildet und keine Scoring-Verfahren eingesetzt.

7. Keine Pflicht zur Bereitstellung von Daten

Du bist nicht verpflichtet, uns personenbezogene Daten bereitzustellen. Zum reinen Lesen des Blogs ist keine Angabe von Daten nötig; es werden lediglich die technisch unvermeidbaren Verbindungsdaten nach Abschnitt 3.1 verarbeitet. Ohne Angabe einer Kontaktadresse können wir eine Anfrage allerdings nicht beantworten.

8. Deine Rechte

Für alle Anliegen genügt eine Mail an datenschutz@burth.space. Wir antworten innerhalb der Monatsfrist (Art. 12 Abs. 3 DSGVO); verlängert sich die Frist in einem komplexen Fall, teilen wir das mit. Die Ausübung dieser Rechte ist kostenlos.

• Auskunft (Art. 15 DSGVO): welche Daten wir zu dir verarbeiten, zu welchem Zweck, wie lange und an wen sie gehen.
• Berichtigung (Art. 16 DSGVO): Korrektur unrichtiger Daten.
• Löschung (Art. 17 DSGVO): soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Zugriffs- und Serverprotokolle werden ohnehin im Regelfall nach 90 Tagen automatisch gelöscht.
• Einschränkung (Art. 18 DSGVO): Einschränkung der Verarbeitung.
• Datenübertragbarkeit (Art. 20 DSGVO): Herausgabe der von dir bereitgestellten Daten in einem maschinenlesbaren Format, soweit die Verarbeitung auf Einwilligung oder Vertrag beruht.
• Widerspruch (Art. 21 DSGVO): gegen Verarbeitungen, die auf einem berechtigten Interesse beruhen, insbesondere die Reichweitenmessung nach Abschnitt 3.2.
• Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO): jederzeit mit Wirkung für die Zukunft, falls eine Verarbeitung auf Einwilligung beruht. Für die hier beschriebenen Verarbeitungen ist derzeit keine Einwilligung erforderlich.

9. Beschwerderecht bei der Aufsichtsbehörde

Unabhängig von anderen Rechtsbehelfen hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59 bis 61, 10555 Berlin, datenschutz-berlin.de. Du kannst dich außerdem an die Aufsichtsbehörde deines Wohnsitzes oder deines Arbeitsplatzes wenden.

10. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Erklärung bei Änderungen am Angebot, an der Technik oder an der Rechtslage anzupassen. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung. Ergänzend gelten das Impressum und die Nutzungsbedingungen.