Datenschutzerklärung

Letzte Aktualisierung: 15. Oktober 2026

1. Verantwortlicher

Nicky Reinert
Aktivieren Sie JavaScript, um die E-Mail-Adresse zu sehen.

(nachfolgend „wir", „uns")

2. Geltungsbereich

Diese Datenschutzerklärung beschreibt, wie wir personenbezogene Daten verarbeiten, wenn Sie unsere unter cr34te.it gehostete Plattform besuchen und nutzen. Sie gilt für alle Besucherinnen und Besucher, angemeldete Nutzerinnen und Nutzer, Meldende und Einreichende.

3. Hosting und Infrastruktur

Unsere Plattform nutzt die folgenden Anbieter. Je nach Dienst und Verarbeitung können sie personenbezogene Daten in unserem Auftrag oder für eigene Zwecke verarbeiten:

Cloudflare Web Analytics ist aktiviert. Es erfasst anonymisierte Besuchermetriken (Seitenaufrufe, Referrer, Land), ohne Cookies zu setzen oder einzelne IP-Adressen im Analytics-Produkt zu speichern. Wir führen die Cloudflare-Analytics-Daten nicht mit den nachfolgend beschriebenen Plattformdaten zusammen.

Datenübermittlungen in die USA stützen sich auf das EU-US Data Privacy Framework (Angemessenheitsbeschluss vom 10. Juli 2023) und/oder Standardvertragsklauseln.

4. Verarbeitete Daten und Zwecke

4.1 Netzwerkadressdaten (Keyed Hash)

Für Ratenbegrenzung, Besucherzählung, Missbrauchsprävention und Nutzungsstatistiken berechnen wir einen HMAC-SHA256-Keyed-Hash Ihrer IP-Adresse (IPv4: vollständige Adresse; IPv6: /64-Präfix) unter Verwendung eines serverseitigen Geheimnisses. Die rohe IP-Adresse wird in den Anwendungstabellen nicht gespeichert, sofern nachfolgend nicht ausdrücklich angegeben (Einreichungen, Admin-Sperrung). Der Keyed Hash ist pseudonym: Wir besitzen den Schlüssel.

Zwecke und Aufbewahrung:

• Claim-Ratenbegrenzung – Keyed Hash und Zeitstempel jedes Claims; Aufbewahrung 1 Stunde.
• Besucherzählung – Keyed Hash pro UTC-Stunde; Aufbewahrung 2 Tage.
• Nutzungsstatistiken – Keyed Hash in Pro-Version-/Pro-Tag-Anzeigezeilen und Pro-Stunde-Budgetzeilen; wird nur gesendet, nachdem Sie im Willkommensdialog „Bestätigen" gedrückt haben; Aufbewahrung 2 Tage. Drücken Sie „Ablehnen", wird lediglich ein anonymer Tageszähler erhöht (kein Hash, keine Adresse). Treffen Sie keine Auswahl, wird nichts gesendet und der Dialog erscheint beim nächsten Besuch erneut.
• Sperrvermerke – Keyed Hash verknüpft mit Strikes, Abklingzeiten und Sperren; Aufbewahrung 90 Tage nach der letzten Änderung; Sperren bleiben bis zur Aufhebung durch den Betreiber bestehen.
• Meldungen – Keyed Hash jeder meldenden Person (angemeldet oder nicht); Aufbewahrung 90 Tage.
• Push-Abonnements – Keyed Hash; Aufbewahrung 90 Tage ohne Besuch oder bis Sie Benachrichtigungen deaktivieren.
• E-Mail-Bestätigungsprotokoll – Keyed Hash der Netzwerkadresse pro Bestätigungs-E-Mail (keine E-Mail-Adresse in diesem Protokoll); Aufbewahrung 1–2 Tage.

4.2 Browser-ID

Bei Ihrem ersten Claim oder Ihrer ersten Meldung erzeugt die clientseitige Steuerung eine zufällige 256-Bit-Kennung, die im Local Storage Ihres Browsers gespeichert wird (cr34te-browser-id). Sie wird mit nachfolgenden Claims und Meldungen übermittelt. Wir speichern ausschließlich den HMAC-SHA256-Keyed-Hash dieser Kennung, niemals den Rohwert.

Zweck: Missbrauchsprävention – Sperren gelten browserübergreifend über Netzwerke hinweg; die Meldungsdeduplizierung behandelt einen Browser nicht als mehrere Meldende.

Rechtsgrundlage: Erforderlich für die Durchführung des von Ihnen angeforderten Claims bzw. der Meldung (Art. 6 Abs. 1 lit. b DSGVO). Eine gesonderte Einwilligung ist nicht erforderlich.

Aufbewahrung: zusammen mit dem Ticket bzw. der Meldung (90 Tage); Sperrvermerke 90 Tage nach der letzten Änderung; Sperren bis zur Aufhebung. Die Rohkennung verbleibt in Ihrem Local Storage, bis Sie die Websitedaten löschen.

4.3 Claims und Tickets

Wenn Sie einen Zug anfordern (POST /api/v1/leases), speichern wir:

• Ticket-Token-Hash, Status, Basis-Commit, Zeitstempel
• Anforderer: Ihre Konto-ID (angemeldet) oder den Keyed Network Hash (anonym)
• Browser-Hash: den Keyed Browser Hash, sofern eine Browser-ID vorhanden ist

Zweck: Warteschlange betreiben; Sanktionen nach abgelehnten Änderungen oder widerrufenen Versionen zuordnen; einen Browser mit den Konten verknüpfen, die von ihm aus Claims gestellt haben.

Aufbewahrung: Anforderer- und Browser-Hash werden nach 90 Tagen gelöscht; Tickets werden zusammen mit den zugehörigen Zahlungseinträgen gelöscht.

4.4 Einreichungen (Patches)

Wenn Sie einen Patch einreichen, speichern wir:

• Den Patch-Inhalt, jedes Moderationsergebnis, Modelleingaben und -antworten, den resultierenden Commit
• Verknüpfung mit dem ursprünglichen Ticket und dessen Anforderer
• Die vollständige IP-Adresse der einreichenden Anfrage in client_ip (bei Einreichung auf dieser Seite die Adresse Ihres Browsers, bei Einreichung durch einen Coding-Agenten möglicherweise dessen Netzwerkadresse)

Zweck: Moderationsentscheidungen erläutern und Streitfälle bearbeiten. Die IP-Adresse kann an Hosting-Anbieter oder Strafverfolgungsbehörden weitergegeben werden, um Missbrauch zu verfolgen.

Aufbewahrung: Tickets und Einreichungen 90 Tage; die IP-Adresse wird nach 30 Tagen oder früher gelöscht, falls die konfigurierte allgemeine Aufbewahrungsfrist kürzer ist.

4.5 Meldungen (Reports)

Wenn Sie eine Meldung einreichen (POST /api/v1/reports), speichern wir:

• Version, Grund, Stellungnahme, Ihre E-Mail-Adresse, optionaler Name, Zeitstempel, Ergebnis
• Ihre Identität: Konto-ID (angemeldet) oder ip: + Keyed Network Hash (anonym)
• Keyed Network Hash jeder meldenden Person
• Keyed Browser Hash, sofern eine Browser-ID vorhanden ist

Zweck: Prüfung durch den Betreiber; eine Ergebnis-E-Mail an Sie; Deduplizierung (eine Meldung pro Identität und Version; der automatische Widerruf zählt eine Meldung nur, wenn sowohl Netzwerk als auch Browser für diese Version neu sind).

Aufbewahrung: 90 Tage.

Betreiberbenachrichtigung: Meldungsgrund und Stellungnahme (ohne Ihre E-Mail, Ihren Namen oder Ihre Kennung) werden über Cloudflare Email Routing an das Postfach des Betreibers weitergeleitet. Das Postfach wird nach Ermessen des Betreibers aufbewahrt; die Weiterleitungsadresse besteht, bis sie in den Einstellungen entfernt wird.

Einsprüche: Wenn Sie gegen eine abgelehnte Einreichung Einspruch einlegen (POST /api/v1/reports mit dem Grund appeal), speichern wir die Einreichungs-ID, Ihre Begründung, Ihre E-Mail-Adresse, den optionalen Namen, die Keyed Network und Browser Hashes, die Entscheidung des Betreibers mit schriftlicher Begründung, wer wann entschieden hat, sowie die E-Mails, die wir Ihnen zur Entscheidung und zur Veröffentlichung senden. Das als Nachweis gesendete Ticket-Token wird mit dem gespeicherten Hash verglichen und nicht erneut gespeichert. Wir benachrichtigen Sie per E-Mail über die Entscheidung und, falls die Einreichung freigegeben wird, über das Ergebnis; das ist kein Abonnement. Der Betreiber erhält Ihre Begründung ohne Ihre E-Mail-Adresse. Aufbewahrung: 90 Tage (allgemeine Aufbewahrungsfrist); die abgelehnte Einreichung bleibt erhalten, solange ein Einspruch dazu offen ist.

4.6 Abstimmungen

Eine Stimme pro Konto und Version. Wir speichern Konto-ID, Version, Stimmwert und Zeitstempel der letzten Änderung.

Aufbewahrung: 90 Tage nach der letzten Änderung.

4.7 Anmeldung und Sitzungen

Wir unterstützen die Anmeldung über GitHub und Google OAuth. Wir speichern:

• Anbieter-Kontonummer (github:<id> / google:<sub>)
• Sitzungs-Token-Hashes, Anmeldestatus-Hash, PKCE-Verifier
• Eine Anmelde-Nonce, die eine zurückkehrende Sitzung an den Browser-Tab bindet, der die Anmeldung gestartet hat

Aufbewahrung: Anmeldestatus werden bei Verwendung gelöscht, andernfalls nach 10 Minuten bis 1 Tag; Sitzungen 30 Tage; Kontodatensatz 90 Tage nach der letzten Anmeldung.

4.8 Push-Benachrichtigungen

Wenn Sie abonnieren, speichern wir:

• Browser-Push-Endpunkt, gehashtes Abonnement-Token, Keyed Network Hash, Zeitstempel, Zustellfortschritt
• Maximal 10 Abonnements pro Netzwerk; insgesamt 10.000

Aufbewahrung: 90 Tage ohne Besuch oder bis Sie Benachrichtigungen deaktivieren.

4.9 E-Mail-Benachrichtigungen

Angemeldete Besucher können sich für Benachrichtigungs-E-Mails entscheiden (Double-Opt-in). Wir speichern:

• Konto-ID, E-Mail-Adresse, Themen, Zeitstempel für Anfrage/Bestätigung/letzten Versand
• Bestätigungs- und Abmelde-Token-Hashes
• Pro Bestätigungs-E-Mail: Konto-ID, Keyed Network Hash, Sendezeitpunkt

Aufbewahrung: unbestätigte Abonnements 48 Stunden; bestätigte bis zur Abmeldung oder Löschung des Kontodatensatzes (90 Tage nach der letzten Anmeldung); Versandprotokoll 1–2 Tage.

4.10 Zahlungen (Fast Passes / Feature Freezes)

Zahlungen werden über Stripe abgewickelt. Wir speichern:

• Stripe-Checkout-Sitzungs-ID, Payment-Intent-ID, Betrag, Währung, Status, Ticket-ID
• Keine Kartendaten werden auf unserer Seite gespeichert

Stripe führt eigene Zahlungsaufzeichnungen gemäß seiner Datenschutzerklärung.

Aufbewahrung: 90 Tage, zusammen mit dem zugehörigen Ticket gelöscht.

4.11 Betreiber-Testlinks

Wenn jemand einen Testlink öffnet (/api/v1/probe/*), protokollieren wir:

• Zeitstempel, User-Agent, Accept-Header, Netzbetreiber (AS-Nummer, Name, Land)
• Keine IP-Adresse

Zweck: Prüfen, ob KI-Assistenten die Plattform erreichen können.

Aufbewahrung: 7 Tage.

4.12 Admin-Konsole

Die Admin-Konsole ist durch Cloudflare Access geschützt. Fehlgeschlagene Admin-Anmeldungen werden über einen HMAC der Client-IP (mit dem Admin-Passwort als Schlüssel) ratenbegrenzt. Diese Daten werden 15 Minuten (Sperrfenster) gezählt und nach 1 Tag gelöscht. Sie werden über diese Erwähnung hinaus nicht von dieser Erklärung abgedeckt.

4.13 Veröffentlichte Änderungen

Akzeptierte Änderungen werden in ein öffentliches GitHub-Repository und Versionsarchiv übernommen. Sie sind öffentlich und werden nicht nach der 90-tägigen Aufbewahrungsfrist für interne Einreichungsdaten gelöscht.

5. Browserspeicher (Client-seitig)

Die folgenden Einträge werden in Ihrem Browser gespeichert. Von der Plattform selbst werden keine Cookies gesetzt.

6. Rechtsgrundlagen (DSGVO)

7. Datenweitergabe und -übermittlung

Wir verkaufen oder vermieten keine personenbezogenen Daten. Daten können weitergegeben werden an:

• GitHub, Vercel, Cloudflare – Hosting und Infrastruktur (siehe § 3)
• Stripe – Zahlungsabwicklung (Kartendaten gelangen nie auf unsere Server)
• GitHub / Google – OAuth-Anmeldung (nur die Kontokennung wird gespeichert)
• Strafverfolgungs- oder Aufsichtsbehörden – nur bei gesetzlicher Verpflichtung (z. B. IP-Adresse aus Einreichungen)

Übermittlungen außerhalb der EU/des EWR stützen sich auf das EU-US Data Privacy Framework oder Standardvertragsklauseln.

8. Ihre Rechte

Nach der DSGVO (und entsprechenden nationalen Gesetzen) haben Sie das Recht auf:

• Auskunft (Art. 15) – eine Kopie Ihrer Daten zu erhalten
• Berichtigung (Art. 16) – unrichtige Daten korrigieren zu lassen
• Löschung (Art. 17) – die Löschung Ihrer Daten zu verlangen
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit (Art. 20) – Ihre Daten in einem maschinenlesbaren Format zu erhalten
• Widerspruch (Art. 21) – gegen die Verarbeitung auf Grundlage berechtigten Interesses
• Widerruf der Einwilligung (Art. 7 Abs. 3) – jederzeit, ohne die Rechtmäßigkeit der bisherigen Verarbeitung zu berühren
• Beschwerde bei einer Aufsichtsbehörde (Art. 77)

Zur Ausübung Ihrer Rechte kontaktieren Sie uns unter Aktivieren Sie JavaScript, um die E-Mail-Adresse zu sehen..

9. Aufbewahrungsübersicht

10. Kinder

Die Plattform richtet sich nicht an Kinder unter 16 Jahren. Wir erheben wissentlich keine Daten von Kindern.

11. Änderungen

Wir aktualisieren diese Erklärung, wenn sich die Verarbeitung ändert. Das Datum „Letzte Aktualisierung" oben gibt die aktuelle Fassung an. Wesentliche Änderungen werden auf der Plattform hervorgehoben.

12. Kontakt

Nicky Reinert
Aktivieren Sie JavaScript, um die E-Mail-Adresse zu sehen.