Datenschutzerklärung

Kurz gesagt

Diese Website hat kein Kontaktformular, keine Reichweitenmessung und bindet nichts von Dritten ein. Sie setzt genau ein Cookie, und das merkt sich Ihre Sprachwahl.

Was darüber hinaus verarbeitet wird, gehört zum SuperKarl-Spendenformular. Das steht nicht auf dieser Website, sondern auf den Seiten der Organisationen, die es einsetzen — und dort verarbeite ich Spendendaten nicht für mich, sondern im Auftrag der jeweiligen Organisation. Beides steht unten getrennt.

Personenbezogene Daten sind alle Angaben, die sich auf Sie beziehen — Ihr Name etwa, Ihre E-Mail-Adresse oder Ihre IP-Adresse. Diese Erklärung nennt zu jedem Vorgang, welche davon anfallen, warum, wer sie außerdem erhält und wie lange sie bleiben.

Verantwortlicher

Verantwortlich für die Verarbeitung im Sinne von Art. 4 Nr. 7 DSGVO ist:

• Telefon+49 173 8888987
• E-Mailandy@superkarl.io

Für alle Fragen zum Datenschutz und für die unten beschriebenen Rechte erreichen Sie mich unter den oben genannten Kontaktdaten.

Eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten muss ich nicht benennen, und ich habe es nicht getan: die Voraussetzungen des § 38 BDSG liegen nicht vor.

Wenn Sie diese Website aufrufen

Diese Website läuft auf Google Cloud Run in der Region europe-west1 (Belgien). Wie bei jedem Webserver fallen dabei Zugriffsdaten an: Ihre IP-Adresse, Datum und Uhrzeit des Aufrufs, die aufgerufene Adresse, der HTTP-Statuscode, die übertragene Datenmenge sowie die von Ihrem Browser gemeldete Kennung (User-Agent) und, sofern Ihr Browser sie sendet, die zuvor besuchte Seite.

Diese Daten brauche ich, um die Website ausliefern, Störungen finden und Angriffe abwehren zu können. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; mein berechtigtes Interesse ist der sichere und funktionsfähige Betrieb dieses Angebots.

Die Protokolle liegen im Log-Speicher meines Google-Cloud-Projekts und werden dort nach 30 Tagen automatisch gelöscht. Sie werden nicht mit anderen Daten zusammengeführt und nicht zur Auswertung Ihres Verhaltens genutzt.

Die Verbindung zu dieser Website ist durchgehend mit TLS verschlüsselt.

Das Cookie dieser Website

Diese Website gibt es auf Deutsch und auf Englisch. Damit die Wahl nicht bei jedem Klick verloren geht, speichert sie die aufgerufene Sprache in einem Cookie:

Das Cookie wird nur gesetzt, wenn die von Ihnen aufgerufene Sprache von der abweicht, die Ihr Browser bevorzugt — wer mit deutscher Browsersprache die deutsche Startseite aufruft, bekommt es gar nicht. Es ist auf den Pfad „/“ beschränkt, mit SameSite=Lax gesetzt und enthält keine Kennung, mit der Sie wiedererkannt werden könnten.

Weil dieses Cookie unbedingt erforderlich ist, um Ihnen den von Ihnen ausdrücklich gewünschten Dienst — die Seite in der gewählten Sprache — bereitzustellen, ist dafür nach § 25 Abs. 2 Nr. 2 TDDDG keine Einwilligung nötig. Deshalb finden Sie hier auch kein Cookie-Banner.

Was diese Website nicht tut

Es gibt hier keine Reichweitenmessung, kein Analysewerkzeug, keine Werbenetzwerke und keine Schaltflächen sozialer Netzwerke. Schriften, Bilder, Skripte und Töne liefert dieser Server selbst aus; Ihr Browser baut beim Lesen dieser Seiten keine Verbindung zu einem fremden Anbieter auf.

Es gibt außerdem kein Formular. Wenn Sie mir schreiben oder anrufen wollen, tun Sie das über die oben genannten Wege — dann verarbeite ich, was Sie mir mitteilen, um Ihre Anfrage zu beantworten (Art. 6 Abs. 1 lit. f DSGVO, bei vertraglichen Anliegen Art. 6 Abs. 1 lit. b DSGVO), und bewahre die Nachricht auf, solange sie für die Beantwortung und für Rückfragen gebraucht wird.

Das SuperKarl-Spendenformular auf fremden Websites

Der eigentliche Dienst ist ein Spendenformular, das gemeinnützige Organisationen in ihre eigene Website einbauen. Wenn Sie diesen Abschnitt lesen, sind Sie wahrscheinlich über ein solches Formular hierhergekommen.

Wichtig für die Einordnung: Über Zweck und Mittel der Spendenverarbeitung entscheidet die Organisation, bei der Sie spenden. Sie ist verantwortlich im Sinne von Art. 4 Nr. 7 DSGVO, ich verarbeite die Daten in ihrem Auftrag nach Art. 28 DSGVO, und über den Auftrag ist ein Vertrag geschlossen. Ihre Rechte als betroffene Person machen Sie deshalb bei der Organisation geltend; wenden Sie sich trotzdem an mich, leite ich Ihr Anliegen an sie weiter und antworte Ihnen.

Diese Erklärung beschreibt den Vorgang trotzdem vollständig, weil das Formular auf sie verlinkt und weil Sie wissen sollen, was auf Ihrem Gerät passiert und wer Ihre Angaben zu sehen bekommt.

Beim Ausfüllen werden übermittelt: Ihr Name und Ihre E-Mail-Adresse — beides ist Pflicht —, der Betrag, die gewählte Zahlungsart und ob Sie einmalig oder monatlich spenden. Je nachdem, wie die Organisation ihr Formular eingerichtet hat und was Sie angeben, kommen hinzu: Telefonnummer, Straße, Postleitzahl, Ort und Land, ein Spendenzweck, ein Freitextkommentar, die Angabe, ob Sie als Unternehmen spenden, und dann der Firmenname, ob Sie die Transaktionsgebühr übernehmen, ob Sie anonym spenden möchten und ob Sie eine Spendenquittung wünschen. Nach der Zahlung können Sie Ihre Anschrift für die Quittung nachtragen.

Zweck ist die Durchführung Ihrer Spende und, sofern Sie sie anfordern, die Ausstellung einer Zuwendungsbestätigung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des von Ihnen initiierten Vorgangs); für die steuerliche Aufbewahrung gilt Art. 6 Abs. 1 lit. c DSGVO.

Wenn Sie ohne Namen oder ohne E-Mail-Adresse absenden, bricht das Formular ab: ohne diese beiden Angaben lässt sich die Zahlung nicht zuordnen und keine Bestätigung schicken. Alles andere ist freiwillig — ohne Anschrift bekommen Sie allerdings keine Spendenquittung.

Beim Aufruf der Spendenseite werden außerdem Ihre IP-Adresse und die aufgerufene Adresse in den Server-Protokollen festgehalten, wie im Abschnitt zu dieser Website beschrieben; für die Spendenserver gilt derselbe Speicherzeitraum von 30 Tagen. Zusätzlich zählt der Server die Anfragen je IP-Adresse für jeweils eine Minute, um automatisierte Angriffe auf die Zahlungsschnittstelle zu stoppen. Diese Zählung wird nur im Arbeitsspeicher geführt und verfällt mit dem Zeitfenster. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse ist die Abwehr von Missbrauch.

Cookies und Speicherung im Spendenformular

Das Spendenformular selbst setzt kein Cookie und misst nichts. Was auf Ihrem Gerät gespeichert wird, stammt aus zwei Quellen: von Stripe, dem Zahlungsdienstleister, und von der Wiederaufnahme nach einem Bezahlvorgang, der Sie kurz zu Ihrer Bank oder Ihrem Zahlungsanbieter führt.

Die beiden Stripe-Cookies werden von Stripes Skript auf der Domain der Organisation abgelegt, auf deren Seite Sie spenden, mit SameSite=Strict und nur über verschlüsselte Verbindungen. Das Skript wird geladen, sobald das Formular auf der Seite erscheint, weil es die Zahlungsfelder selbst bereitstellt.

Alle drei Einträge dienen ausschließlich dazu, den Bezahlvorgang durchzuführen und abzusichern, den Sie mit dem Aufruf des Spendenformulars angestoßen haben. Sie sind damit nach § 25 Abs. 2 Nr. 2 TDDDG unbedingt erforderlich und werden ohne gesonderte Einwilligung gesetzt. Zu einer Reichweitenmessung oder Werbung werden sie nicht verwendet.

Zahlungsabwicklung durch Stripe

Die Zahlung selbst wickelt Stripe Payments Europe, Limited (Irland) ab. Ihre Zahlungsdaten — Kartennummer, IBAN oder die Zugangsdaten Ihres Zahlungsanbieters — geben Sie in Feldern ein, die Stripe bereitstellt. Sie gehen direkt an Stripe und erreichen meine Server nie; ich sehe hinterher nur, mit welcher Zahlungsart bezahlt wurde und, bei Kartenzahlungen, Kartenmarke, Ausgabeland und die letzten vier Ziffern.

Damit Stripe die Zahlung dem richtigen Vorgang zuordnen und Betrug erkennen kann, werden Ihre Angaben aus dem Formular als Zusatzinformationen an Stripe übermittelt: Name, E-Mail-Adresse und, soweit angegeben, Telefonnummer und Anschrift sowie die Angaben zur Spende selbst. Stripe erhält außerdem technische Daten aus Ihrem Browser, darunter Ihre IP-Adresse.

Stripe ist nach PCI DSS Level 1 zertifiziert, dem höchsten Standard der Kartenindustrie.

Rechtsgrundlage für die Übermittlung an Stripe ist Art. 6 Abs. 1 lit. b DSGVO, soweit sie zur Durchführung Ihrer Spende erforderlich ist, und Art. 6 Abs. 1 lit. f DSGVO für die Betrugsprävention. Stripe ist mir gegenüber Auftragsverarbeiter; für eigene Zwecke — insbesondere die Betrugsprävention und die Erfüllung der eigenen Pflichten als Zahlungsdienstleister — handelt Stripe als eigener Verantwortlicher. Wie Stripe damit umgeht, steht in Stripes eigener Datenschutzerklärung.

• Stripestripe.com/de/privacy

E-Mails, die Sie von SuperKarl bekommen

Nach einer Spende bekommen Sie eine Bestätigung per E-Mail; wenn Sie eine monatliche Spende einrichten oder beenden, ebenfalls. Die Organisation, an die Sie gespendet haben, wird über Ihre Spende benachrichtigt. Diese Nachrichten gehören zur Durchführung der Spende — es sind keine Werbemails, und es gibt keinen Newsletter.

Versendet werden sie über Scaleway TEM, einen Dienst der Scaleway SAS in Frankreich; die Zustellung läuft über deren Rechenzentrumsregion in Paris. Scaleway erhält dafür Ihre E-Mail-Adresse, Ihren Namen und den Inhalt der Nachricht, verarbeitet beides ausschließlich für die Zustellung und nicht für eigene Zwecke. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Das Konto für Organisationen

Dieser Abschnitt betrifft ausschließlich Mitarbeitende von Organisationen, die SuperKarl einsetzen und sich in die Verwaltungsoberfläche einloggen. Als spendende Person haben Sie kein Konto, und die hier genannten Cookies bekommen Sie nie.

Für ein Konto verarbeite ich E-Mail-Adresse, Namen, die Rolle im Konto der Organisation und die Zeitpunkte von Anlage und Änderung. Die Anmeldung läuft über einen Einmalcode, der an die hinterlegte E-Mail-Adresse geschickt wird; ein Passwort gibt es nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO — ohne Konto lässt sich der Dienst nicht bereitstellen.

Nach dem Login setzt die Verwaltungsoberfläche die Cookies „sAccessToken“, „sRefreshToken“, „sFrontToken“, „sAntiCsrf“ und „st-last-access-token-update“. Sie halten die Anmeldung aufrecht und schützen gegen Angriffe, bei denen eine fremde Seite Aktionen im angemeldeten Konto auslöst. Das Zugriffs-Cookie läuft nach einer Stunde ab, die übrigen nach spätestens 100 Tagen; beim Abmelden werden alle gelöscht. Auch sie sind nach § 25 Abs. 2 Nr. 2 TDDDG unbedingt erforderlich.

Die Anmeldedaten der Konten verwaltet SuperTokens, eingesetzt als selbst betriebene Software in derselben Google-Cloud-Umgebung wie der übrige Dienst. An den Hersteller wird dabei nichts übermittelt.

Wer die Daten außerdem erhält

Ich gebe Daten nur weiter, wo es für die beschriebenen Zwecke nötig ist oder wo ich rechtlich dazu verpflichtet bin. Verkauft wird nichts, und für Werbung wird nichts weitergegeben.

Google und Stripe binden die Bedingungen für die Verarbeitung im Auftrag nach Art. 28 DSGVO in ihre Nutzungsverträge ein; sie gelten damit für diesen Dienst. Hinzu kommen können Steuerberatung, Behörden und Gerichte, wenn ich gesetzlich zur Auskunft verpflichtet bin.

Übermittlung in Länder außerhalb der EU

Die oben genannten Empfänger verarbeiten in der Europäischen Union. Bei Scaleway bleibt es dabei: der Anbieter gibt an, den gesamten technischen Aufbau seines E-Mail-Dienstes selbst und innerhalb der EU zu betreiben, ohne Unterauftragsverarbeiter außerhalb.

Google und Stripe gehören zu Unternehmensgruppen mit Gesellschaften außerhalb der EU, die im Rahmen von Wartung und Support Zugriff haben können. Für solche Fälle sehen ihre Vertragsbedingungen ein zulässiges Übermittlungsinstrument vor — die Standardvertragsklauseln der EU-Kommission nach dem Durchführungsbeschluss (EU) 2021/914 oder, wo der Empfänger in den Vereinigten Staaten daran teilnimmt, das EU-US Data Privacy Framework. Für die Vereinigten Staaten hat die Europäische Kommission mit dem Angemessenheitsbeschluss vom 10. Juli 2023 festgestellt, dass zertifizierte Unternehmen ein angemessenes Schutzniveau bieten.

Eine Kopie der jeweiligen Vereinbarung erhalten Sie auf Anfrage über die oben genannten Kontaktdaten.

Wie lange die Daten bleiben

Server-Protokolle werden nach 30 Tagen automatisch gelöscht. Cookies und der Eintrag im Sitzungsspeicher laufen nach den Fristen ab, die in den Tabellen oben stehen.

Spendendaten sind Buchungsbelege. Sie unterliegen den handels- und steuerrechtlichen Aufbewahrungsfristen — nach § 147 AO und § 257 HGB in der Regel zehn Jahre, gerechnet ab dem Ende des Jahres, in dem die Spende gebucht wurde. Diese Frist ist eine Pflicht und keine Entscheidung; solange sie läuft, kann eine Löschung nicht verlangt werden, wohl aber eine Einschränkung der Verarbeitung nach Art. 18 DSGVO.

Kontodaten von Mitarbeitenden einer Organisation werden gelöscht, wenn das Konto aufgelöst wird oder die Person aus dem Konto entfernt wird.

Wie lange die Organisation, an die Sie gespendet haben, Ihre Daten in ihren eigenen Systemen aufbewahrt, entscheidet sie selbst.

Ihre Rechte

Sie haben gegenüber dem Verantwortlichen die folgenden Rechte. Bei Spenden ist das die Organisation, bei der Sie gespendet haben; für diese Website und für Konten in der Verwaltungsoberfläche bin ich es.

Eine Auskunft, Berichtigung oder Löschung kostet Sie nichts.

Ihr Widerspruchsrecht nach Art. 21 DSGVO

Soweit ich Daten auf der Grundlage eines berechtigten Interesses nach Art. 6 Abs. 1 lit. f DSGVO verarbeite — das betrifft die Server-Protokolle, die Missbrauchsabwehr und die Betrugsprävention —, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen diese Verarbeitung einzulegen.

Legen Sie Widerspruch ein, verarbeite ich die betroffenen Daten nicht mehr, es sei denn, ich kann zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Ein Widerspruch ist an keine Form gebunden. Eine Nachricht an die oben genannte E-Mail-Adresse genügt.

Beschwerde bei einer Aufsichtsbehörde

Unabhängig von allem anderen können Sie sich nach Art. 77 DSGVO bei einer Aufsichtsbehörde beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen die DSGVO verstößt. Zuständig ist die Behörde Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für mich als Verantwortlichen mit Sitz in Köln ist das:

• Telefon+49 211 38424-0
• E-Mailpoststelle@ldi.nrw.de

Sicherheit

Alle Übertragungen laufen verschlüsselt über TLS. Der Zugang zur Verwaltungsoberfläche ist auf das Konto der jeweiligen Organisation beschränkt: die Daten einer Organisation sind für eine andere nicht erreichbar. Durchgesetzt wird das an jeder einzelnen Datenbankabfrage, nicht in der Oberfläche — eine Abfrage, die den Datensatz einer fremden Organisation träfe, liefert ihn nicht aus. Kartennummern und Kontoverbindungen werden zu keinem Zeitpunkt auf meinen Servern gespeichert.

Änderungen dieser Datenschutzerklärung

Diese Erklärung beschreibt den Stand des Dienstes, wie er heute ist. Ändert sich, welche Daten verarbeitet werden oder wer sie erhält, ändert sich auch dieser Text. Die jeweils geltende Fassung finden Sie immer auf dieser Seite.

Stand: 23. August 2026.