Datenschutzerklärung

1. Wer ist verantwortlich

Verantwortlich für die Datenverarbeitung auf locora.cloud, app.locora.cloud, bb.locora.cloud, api.locora.cloud und web.locora.cloud ist:

Marvin Olomu, Kesselhalde 14, 72461 Albstadt-Tailfingen, Deutschland
E-Mail: marvinolomu@gmail.com

Datenschutzanfragen richte bitte an die E-Mail-Adresse oben.

2. Welche Dienste es gibt

• locora.cloud – diese Informationsseite.
• app.locora.cloud – die Lernapp im Browser. Sie arbeitet auf deinem Gerät und kann offline genutzt werden.
• bb.locora.cloud – das Forum (Software: rustbb).
• api.locora.cloud – die Locora Cloud: optionales Konto für die verschlüsselte Synchronisation zwischen deinen Geräten.
• web.locora.cloud – die Kontoseite der Locora Cloud: anmelden, Passwort ändern oder zurücksetzen, E-Mail-Adresse bestätigen, Speicher ansehen, Cloud-Daten oder das Konto löschen.

3. Hosting und Dienstleister

Auslieferung der Seiten (locora.cloud und app.locora.cloud): Netlify, Inc., USA. Beim Aufruf einer Seite verarbeitet Netlify technisch notwendige Daten: deine IP-Adresse, den Zeitpunkt, die aufgerufene Adresse und den Browsertyp. Netlify erhält diese Daten als Auftragsverarbeiter und kann sie in den USA verarbeiten. Die Übermittlung stützt sich auf die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914), die Teil des Auftragsverarbeitungsvertrags mit Netlify sind.

Server (bb.locora.cloud, api.locora.cloud, web.locora.cloud, Datenbanken und Dateispeicher): IONOS SE, Deutschland, als Auftragsverarbeiter. Die Server stehen in der Europäischen Union, in Spanien. Die Dateispeicher (Bilder und verschlüsselte Medien) liegen ebenfalls in der EU, in Deutschland.

E-Mail-Versand (Bestätigung der E-Mail-Adresse, Passwort zurücksetzen, Hinweis vor dem Löschen eines Cloud-Kontos): über den SMTP-Server unseres E-Mail-Anbieters IONOS SE, Deutschland, als Auftragsverarbeiter, mit dem Absender noreply@locora.cloud. Der Anbieter erhält die Adresse des Empfängers und den Inhalt der Mail. Die Mails sind kurzer Text ohne Bilder, Zählpixel oder Verfolgung von Klicks.

Werbung, Tracking und Analysedienste setzen wir nicht ein.

4. Was auf deinem Gerät bleibt

Die Lernapp speichert deine Paläste, deren Bilder und Videos, deinen Lernfortschritt und deine Einstellungen im Browser deines Geräts (Speicher des Browsers, IndexedDB). Außerdem merkt sich die App dort, ob du den Hinweis zum Installieren ausgeblendet hast. Das geschieht ohne Konto. Diese Daten verlassen dein Gerät nicht, außer du nutzt die Cloud-Synchronisation.

Die Seite app.locora.cloud nutzt einen Dienst-Worker, damit sie offline läuft. Er wird im Browser gespeichert und ist technisch notwendig. Cookies setzen wir in der App nicht.

5. Das Forum (bb.locora.cloud)

Was wir speichern

• Konto: Benutzername, E-Mail-Adresse, Passwort als Argon2id-Hash (das Passwort selbst speichern wir nicht), Zeitpunkt der Anmeldung, und ein Anzeigetitel oder Profilbild, wenn du sie setzt.
• Inhalte: Themen, Beiträge, Antworten, Bilder, Umfragestimmen, Reaktionen, Abos von Themen, Benachrichtigungen. Gelöschte Beiträge bleiben als „entfernt“ im Verlauf, damit die Nummerierung stimmt; ihr Inhalt und ihre Bilder werden gelöscht.
• Bilder: Bilder speichern wir im Objektspeicher (S3-kompatibel, Server in der EU). Vor dem Speichern entfernen wir ihre Metadaten, etwa den Aufnahmeort (EXIF), XMP-Daten und Textkommentare. Die Bilddaten bleiben unverändert.
• Private Nachrichten (nur wenn die Funktion eingeschaltet ist): sichtbar für die beteiligten Mitglieder. Administratoren haben technisch Zugriff auf die Datenbank.
• Meldungen und Sperren: Meldungen zu Beiträgen, Grund und Dauer einer Sperre.
• Sitzung: Ein Anmeldetoken, dessen Hash wir speichern, für 30 Tage. Er liegt in einem Cookie, das nur der Server lesen kann (HttpOnly, Secure, SameSite=Lax).
• IP-Adressen: Für den Schutz vor Missbrauch (Begrenzung von Anmeldeversuchen und Anfragen) zählen wir Anfragen je Adresse im Arbeitsspeicher des Servers. Sie werden nicht in der Datenbank gespeichert und sind nach einem Neustart weg. Die Zugriffsprotokolle des Webservers speichern IP-Adressen für 1 Monat.

Konto löschen

Im Forum kannst du dein Konto unter „Einstellungen → Konto löschen“ löschen. Nach Eingabe deines Passworts werden deine E-Mail-Adresse, dein Passwort, deine Sitzungen, dein Profilbild, deine Bilder, Reaktionen, Stimmen und Mitgliedschaften entfernt. Deine Beiträge und Themen bleiben, damit die Antworten anderer verständlich bleiben; sie erscheinen dann als von „[deleted]“ verfasst.

Anmeldung und Bestätigung

Beim Registrieren schicken wir dir eine E-Mail mit einem Link. Der Link gilt 24 Stunden und funktioniert einmal. Konten, deren E-Mail-Adresse nicht bestätigt wird, löschen wir nach 3 Tagen. Ein Link zum Zurücksetzen des Passworts gilt eine Stunde.

Rechtsgrundlagen

Die Verarbeitung für das Forum beruht auf Art. 6 Abs. 1 lit. b DSGVO (Nutzung des Forums als Vertrag), auf Art. 6 Abs. 1 lit. f DSGVO (Schutz des Forums vor Missbrauch) und, wo Gesetze es verlangen, auf rechtlichen Pflichten. Das Sitzungs-Cookie ist technisch notwendig und braucht nach § 25 Abs. 2 TDDDG keine Einwilligung.

6. Die Locora Cloud (api.locora.cloud)

Ein Konto ist freiwillig. Die App funktioniert auch ohne. Mit Konto synchronisieren wir deine Paläste zwischen deinen Geräten.

• Konto: E-Mail-Adresse, Anzeigename, Passwort-Hash (Argon2id).
• Schutz vor Missbrauch: Damit niemand massenhaft Konten anlegt, zählen wir Registrierungen je IP-Adresse im Arbeitsspeicher des Servers, höchstens einen Tag lang. Die Adresse wird nicht in der Datenbank gespeichert.
• Sitzungen: Hash des Anmeldetokens und Ablaufdatum (90 Tage). Das Token selbst zeigt der Server nur einmal an.
• Anmeldeversuche: Falsche Passwörter zählen wir je E-Mail-Adresse in der Datenbank, in einem Zeitfenster von 15 Minuten; der Zähler wird nach einer erfolgreichen Anmeldung oder spätestens nach einem Tag gelöscht. Je IP-Adresse zählen wir nur im Arbeitsspeicher des Servers.
• E-Mail-Bestätigung und Passwort zurücksetzen: Nach der Registrierung schicken wir dir eine Mail mit einem Link, mit dem du deine E-Mail-Adresse bestätigst; gespeichert wird, ob und wann sie bestätigt ist. Mit „Passwort vergessen?“ bekommst du einen Link zum Zurücksetzen. Ein Bestätigungslink gilt 48 Stunden, ein Link zum Zurücksetzen eine Stunde, und jeder funktioniert nur einmal. Von dem zufälligen Schlüssel im Link speichern wir nur einen Hash (SHA-256). Der Schlüssel steht im Link hinter dem Zeichen „#“ und gelangt deshalb nicht in Protokolle eines Servers. Abgelaufene Links löschen wir täglich.
• Synchronisation und Medien: Deine Daten werden auf deinem Gerät verschlüsselt, bevor sie hochgeladen werden. Wir speichern nur Chiffrat und den verschlüsselten Schlüssel. Wir können den Inhalt nicht lesen.
• Speicher: Damit wir Speichergrenzen einhalten, zählen wir, wie viele Bytes an Medien und synchronisierten Änderungen ein Konto belegt. Ohne Abo gelten derzeit höchstens 512 MiB für Medien und 256 MiB für Änderungen. Wie viel belegt ist, siehst du auf der Kontoseite.
• Gastkonto und Testzeitraum: Neue Konten sind Gastkonten, bis ein Abo besteht, und können sechs Monate lang kostenlos synchronisieren. Jede abgeschlossene Synchronisation verlängert die Aufbewahrung. Synchronisiert ein Gastkonto sechs Monate lang nicht, löschen wir es automatisch mit allen Daten und Medien. Einen Monat vorher schicken wir eine Warnung per E-Mail.
• Abo und Zahlung: Derzeit gibt es keine Abos und keine Zahlungen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag über die Synchronisation); für die Begrenzung von Anmeldeversuchen und Anfragen Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch).

Die Kontoseite web.locora.cloud

Die Kontoseite ist eine kleine Seite, die mit api.locora.cloud spricht und sonst nichts von anderen Seiten lädt. Sie setzt keine Cookies. Nach der Anmeldung liegt das Anmeldetoken nur im Sitzungsspeicher dieses Browser-Tabs (sessionStorage); es verschwindet, wenn du den Tab schließt oder dich abmeldest. Wählst du eine Sprache, merkt sich die Seite diese Wahl im Speicher deines Browsers (localStorage). Konten werden in der App angelegt, nicht dort.

Cloud-Daten oder Konto löschen

In der App unter „Einstellungen → Locora Cloud → Daten in der Cloud löschen“ kannst du jederzeit alle synchronisierten Änderungen und Medien vom Server löschen; dein Konto bleibt bestehen. Dort kannst du auch dein Konto löschen: Nach Eingabe deines Passworts löschen wir das Konto mit allen Daten, Sitzungen und Medien sofort. Die Daten auf deinen Geräten bleiben in beiden Fällen erhalten. Kopien in den Sicherungen verschwinden spätestens nach einem Monat. Dasselbe geht nach der Anmeldung auf der Kontoseite web.locora.cloud. Ohne App und Kontoseite geht es per E-Mail, siehe Konto löschen.

7. Wie lange wir Daten speichern

• Konto und Inhalte: solange das Konto besteht.
• Nicht bestätigte Forum-Konten: 3 Tage, dann gelöscht.
• Forum-Sitzungen: 30 Tage.
• Forum: Passwort-Reset-Links 1 Stunde, Bestätigungslinks 24 Stunden.
• Locora Cloud: Passwort-Reset-Links 1 Stunde, Bestätigungslinks 48 Stunden; Sitzungen 90 Tage.
• Gastkonten der Locora Cloud: sechs Monate nach der letzten abgeschlossenen Synchronisation, dann automatisch gelöscht.
• Zähler für Anfragen: nur im Arbeitsspeicher, bis zum Neustart oder Ablauf des Zeitfensters.
• Zugriffsprotokolle des Webservers: 1 Monat.
• Sicherungskopien (Backups): 1 Monat, danach gelöscht.

8. Wer außerdem Daten erhält

Die Dienstleister aus Abschnitt 3. Eine Weitergabe für Werbung oder zu anderen Zwecken findet nicht statt. Wenn Behörden nach dem Gesetz Auskunft verlangen, geben wir die Daten heraus.

9. Sicherheit

Alle Dienste laufen über HTTPS. Passwörter werden gehasht. Die Cloud-Daten sind auf deinem Gerät verschlüsselt. Das Forum schützt Formulare gegen Fälschung (CSRF), begrenzt Anfragen und verbietet Skripte in den Seiten. Die Seite locora.cloud führt keinen Code aus. Eine vollständige Sicherheit gibt es nicht; bei einer Verletzung informieren wir dich, soweit das Gesetz es verlangt.

10. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Schreib dafür an die E-Mail-Adresse oben. Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel bei der für Baden-Württemberg zuständigen Behörde.

Eine automatische Entscheidung mit rechtlicher Wirkung findet nicht statt (Art. 22 DSGVO). Die Rangstufe im Forum berechnet sich aus der Zahl deiner Beiträge; sie hat keine rechtliche Wirkung.

11. Kinder

Die Dienste richten sich an Personen ab 16 Jahren. Jüngere brauchen die Zustimmung ihrer Erziehungsberechtigten.

12. Änderungen

Wenn sich diese Erklärung ändert, ändert sich das Datum oben. Wesentliche Änderungen kündigen wir auf den Seiten an, bevor sie gelten.