Datenschutzerklärung

Kurzfassung

Diese Website hat keine Analyse, kein Tracking, keine Werbenetzwerke und keine eingebetteten Schriften von Dritten. Auf den öffentlichen Seiten werden keine Cookies gesetzt, deshalb gibt es auch kein Cookie-Banner. Daten entstehen erst, wenn du etwas kaufst, einen Beitrag schreibst oder dich einloggst.

Das Unangenehme gleich vorweg, weil es sonst nirgends stünde: eine Karte zu drucken heisst, dass sie die Schweiz verlässt. Gedruckt wird in den Niederlanden. Was dabei genau hinausgeht, steht weiter unten.

Verantwortliche Stelle

• Marco Langenberger
• Sittipark 5, 8589 Zihlschlacht-Sitterdorf, Schweiz
• [email protected]

Es gibt keine weitere Stelle dahinter und keinen Datenschutzbeauftragten — für ein Einzelunternehmen dieser Grösse ist keiner vorgeschrieben. Anfragen gehen an die Adresse oben und werden von der Person beantwortet, die sie betreffen.

Beim blossen Besuch der Website

Die Seiten sind fertige Dateien und werden von Cloudflare ausgeliefert. Dabei fallen technisch notwendige Protokolle an: IP-Adresse, Zeitpunkt, abgerufene Seite, Browserkennung. Sie dienen dem Betrieb und der Abwehr von Missbrauch. Wir werten sie nicht aus und führen sie mit nichts zusammen.

Schriften werden von unserem eigenen Server ausgeliefert, nicht von Google Fonts. Beim Lesen dieser Seite geht keine Verbindung an einen Dritten.

Cookies

Auf allen öffentlichen Seiten: keine. Wer sich als Organisatorin oder Organisator einloggt, bekommt einen Cookie mit dem Namen «spalier_session», der die Anmeldung 30 Tage lang aufrechterhält; für die Verwaltung gibt es das Gegenstück «spalier_admin». Beide sind signiert, für JavaScript unlesbar, nur über HTTPS gültig und rein technisch notwendig — sie verfolgen niemanden über Seiten hinweg und enthalten keine Werbekennung.

Wenn du ein Geschenk kaufst

Dabei fallen an: dein Name und deine E-Mail-Adresse, Name und Postadresse der beschenkten Person und das Datum der Hochzeit. Die Adresse ist der Grund, warum es das Produkt gibt — ohne sie kann keine Karte irgendwohin. Aus dem Datum berechnen wir, wann die Karten verschickt werden, und an deine E-Mail-Adresse schicken wir die Erinnerungen, wenn für eine Karte noch ein Beitrag fehlt.

Zahlungsdaten sehen wir nie. Karte oder TWINT werden direkt bei Stripe eingegeben; zu uns zurück kommt nur, dass bezahlt wurde und wie viel. Wir speichern keine Kartennummer, weil wir nie eine bekommen.

Deine E-Mail-Adresse ist zugleich dein Zugang: die Bestätigung enthält den Link zum Organisieren, und ein späterer Login schickt einen neuen Link an dieselbe Adresse. Es gibt kein Passwort, das gestohlen werden könnte. Ein solcher Link gilt 30 Minuten und genau einmal.

Wenn du einen Beitrag beisteuerst

Gäste schreiben ohne Konto und ohne Registrierung. Gespeichert wird, was auf die Karte kommt: dein Name, deine Nachricht und dein Foto. Alles drei ist das Produkt — eine Karte ohne Namen wäre von niemandem.

Eine E-Mail-Adresse ist freiwillig und wird nur verwendet, wenn du das Kästchen ankreuzt. Ohne dieses Kreuz bekommst du nichts, auch wenn du eine Adresse hinterlassen hast. Es gibt keinen Newsletter und keine Werbung — der Haken bedeutet genau das, was danebensteht, und nichts weiter.

Wer einen Beitrag abgibt, erhält einen Gutscheincode über 15 Franken. Der Code hängt am Beitrag, nicht an einer Person, und ist kein Konto.

Was hier bewusst nicht gespeichert wird

• Keine IP-Adressen im Beitragsformular. Die Missbrauchssperre muss wissen «derselbe Aufrufer wie vorhin», und das ist ein Hashwert, keine Adresse. Der Schlüssel dazu liegt ausserhalb der Datenbank, damit ein Datenabfluss nicht durch Ausprobieren aller Adressen rückgängig gemacht werden kann.
• Keine Einladungslinks im Klartext. Gespeichert wird nur deren Prüfsumme. So ein Link wird von achtzig Leuten abfotografiert und liegt danach ein Jahr lang in Kameraordnern; aus der Datenbank ist keiner davon rekonstruierbar.
• Keine Konten für Gäste, kein Tracking und keine Cookies im Beitragsformular. Der Zugangscode steht im Fragment der Adresszeile und erreicht damit weder ein Server-Protokoll noch einen Referrer.

Wer die Beiträge zu sehen bekommt

Wir lesen sie nicht durch. Beim Hochladen prüft die Software nur, ob eine Datei überhaupt ein Bild ist und ob sie gedruckt gross genug herauskommt — sie schaut sich nicht an, was darauf zu sehen ist. Wer die Beiträge wirklich ansieht, ist die Person, die das Geschenk organisiert: sie sieht alles, was sie verschicken wird, und kann jeden Beitrag entfernen, bis seine Karte an die Druckerei übergeben ist.

Die Verwaltung kann im Störungsfall auf einen Beitrag zugreifen — etwa wenn ein Foto in einem Format ankommt, das die Software nicht auflösen kann. Jeder solche Zugriff wird protokolliert.

Über die beschenkte Person

Von ihr halten wir Name und Postadresse, und sonst nichts. Keine E-Mail-Adresse, keine Telefonnummer, kein Geburtsdatum. Das ist eine Entscheidung und keine Lücke: sie bekommt vorher keine Ankündigung und keinen Link, weil ihr am Fest von Menschen erzählt wird, was da kommt. Die erste Karte kommt ohne Vorwarnung, und dafür braucht es von ihr keine Adresse ausser der auf dem Briefkasten.

Wer die Daten sonst noch sieht

Fünf Dienstleister sind beteiligt. Alle bearbeiten die Daten ausschliesslich in unserem Auftrag, keiner verwendet sie für eigene Zwecke:

• Cloudflare — Auslieferung der Website, Server-Protokolle, Speicher für die hochgeladenen Fotos. Cloudflare, Inc., USA. Die Fotos liegen in einem Speicher mit Standort Westeuropa.
• Supabase — Die Datenbank: Bestellungen, Beiträge, Adressen, Versandprotokoll. Serverstandort Irland.
• Stripe — Zahlungsabwicklung. Karten- und TWINT-Daten erreichen uns nie — sie werden direkt bei Stripe eingegeben. Stripe Payments Europe, Ltd., Irland, mit Konzernstruktur in den USA.
• Unsere Druckerei — Druck und Versand der Karten. Erhält den Text der Karte, die Adresse der beschenkten Person und das Foto. Niederlande.
• Purelymail — Versand der E-Mails: Bestellbestätigung, Zugangslink, Erinnerungen. Add Rabbit LLC, USA. Server in Virginia.

Weitergegeben wird sonst nichts. Nicht an Werbenetzwerke, nicht an Datenhändler, und nichts wird zum Training von Software verwendet.

Was die Schweiz verlässt

Beim Druck einer Karte gehen an unsere Druckerei in den Niederlanden: der Text der Karte, der Name der schreibenden Person und die Adresse der beschenkten Person. Das Foto holen sie sich selbst — über eine Adresse, die nur ihrem Drucksystem antwortet und nach kurzer Zeit verfällt. Der Bildspeicher ist zu keinem Zeitpunkt öffentlich, und niemand sonst hält eine Adresse darauf.

Weitere Standorte: die Datenbank steht in Irland, die Fotos in Westeuropa, der E-Mail-Versand läuft über einen Anbieter in den USA. Die Niederlande und Irland stehen auf der Länderliste des Bundesrats mit angemessenem Datenschutz. Für die USA gilt das nur eingeschränkt; betroffen ist dort ausschliesslich der Versand von E-Mails, also deine Adresse und der Text der Nachricht — keine Fotos, keine Beiträge, keine Empfängeradressen.

Wenn die Karte ins Ausland geht

Karten werden auch nach Deutschland und Österreich zugestellt. Wohnt die beschenkte Person dort, wird ihre Adresse in der EU zugestellt und unterliegt zusätzlich europäischem Datenschutzrecht. Es gilt in diesem Fall dasselbe wie oben — dieselben Daten, dieselben Fristen, dieselbe Löschung — und dieser Absatz steht hier, weil Schweigen darüber die bequemere und nicht die richtigere Variante wäre.

Wie lange etwas aufbewahrt wird

Diese Fristen sind keine Absichtserklärung: ein Programm läuft täglich und löscht danach. Nichts wird gelöscht, solange es noch gebraucht wird — jeder Durchgang prüft, dass die Sache abgeschlossen ist und nicht bloss alt.

• Hochgeladene Fotos ohne Beitrag: 7 Tage. Angefangen und nicht abgeschickt — die Verbindung brach ab oder jemand überlegte es sich anders.
• Beiträge, Fotos, Namen der Gäste: Das laufende Jahr, danach 90 Tage. Die 90 Tage sind für «meine Karte kam nie an». Danach werden Beitrag und Foto gelöscht.
• Versandprotokoll und Adressen, wie gedruckt: 2 Jahre. Die einzige Antwort auf eine späte Reklamation: wohin ist welche Karte an welchem Tag gegangen.
• Bestellungen, die nie bezahlt wurden: 30 Tage. Ein abgebrochener Kauf hält eine echte Wohnadresse für etwas, das nicht stattgefunden hat.
• Zähler der Missbrauchssperre: 24 Stunden. Ein Zähler, keine Geschichte.
• Bestellung und Konto: 10 Jahre. Die gesetzliche Aufbewahrungspflicht für Geschäftsunterlagen (Art. 958f OR).

Wer möchte, dass sein Material früher verschwindet, schreibt uns. Was schon gedruckt und aufgegeben ist, lässt sich nicht zurückholen — die gedruckte Karte gehört ohnehin der beschenkten Person.

Wie das abgesichert ist

• Die Datenbank prüft bei jeder Abfrage, wer fragt. Eine Organisatorin erreicht genau ihr Geschenk, auch wenn sie die Nummer eines fremden kennt. Ein Gast erreicht überhaupt keine Tabelle.
• Fotos liegen in keinem öffentlichen Speicher und sind nur über eine signierte, ablaufende Adresse erreichbar.
• Zugangslinks und Einladungscodes werden nur als Prüfsumme gespeichert, nie im Klartext.
• Alle Verbindungen laufen verschlüsselt. Von der Datenbank wird nachts eine Sicherungskopie erstellt und 30 Tage aufbewahrt.

Deine Rechte

Nach dem Schweizer Datenschutzgesetz kannst du Auskunft darüber verlangen, was zu deiner Person bearbeitet wird, Berichtigung oder Löschung fordern, die Herausgabe deiner Daten verlangen und eine Einwilligung jederzeit widerrufen — ein Widerruf gilt ab dem Zeitpunkt, an dem er eintrifft, und macht nichts rückgängig, was vorher rechtmässig geschah.

Eine formlose Nachricht an [email protected] genügt. Wenn du als Gast einen Beitrag geschrieben hast und nicht mehr weisst, zu welchem Fest: nenn den Anlass und ungefähr, was du geschrieben hast. Das reicht in der Regel, um ihn zu finden.

Du kannst dich ausserdem beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten melden.

Änderungen

Ändert sich etwas an dieser Erklärung, ändert sich das Datum oben. Massgebend ist die Fassung, die beim Kauf oder beim Beitrag gilt; wenn eine Änderung wesentlich ist und ein Geschenk bereits läuft, schreiben wir es der organisierenden Person.