Auf einen Blick

• Datensparsamkeit – Wir erheben nur das Nötigste und geben deine Daten nicht weiter — außer wenn es technisch für den Dienst erforderlich ist (z. B. Nachrichten an andere Server) oder du sie selbst öffentlich machst.
• Kein Tracking – keine Cookies, keine Protokollierung von Seitenaufrufen.
• Dein Konto – Benutzername, Passwort-Hash (nicht das Passwort selbst), Kontaktliste, letzter Login, Status.
• Nachrichten – Offline-Nachrichten warten auf deine nächste Anmeldung. Archivierung: 21 Tage (privat), 7 Tage (Gruppenchats).
• Dateien – Werden nach 14 Tagen automatisch gelöscht.
• IP-Adressen – Nur für die Dauer der Verbindung, keine dauerhafte Speicherung.
• Dezentrales Netzwerk – XMPP leitet Nachrichten an andere Server weiter. Ende-zu-Ende-Verschlüsselung (OMEMO) schützt deine Inhalte.
• Deine Rechte – Auskunft, Berichtigung, Löschung, Widerspruch per E-Mail an info@draugr.de.
• Automatische Löschung – Ungenutzte Konten nach 1 Jahr, Datensicherungen nach 30 Tagen überschrieben.

Alle Details und Rechtsgrundlagen findest du weiter unten.

Verantwortlicher

Verantwortlich im Sinne der DSGVO ist:

• Christian Dröge
• c/o POSTFLEX PFX-586-729
• Emsdettener Straße 10
• 48268 Greven
• Deutschland
• E-Mail: info@draugr.de

Auftragsverarbeitung

Zum Betrieb des Dienstes wird Serverinfrastruktur von Hetzner (Hetzner Online GmbH) in Deutschland und der EU genutzt. Der Internetverkehr wird über die Infrastruktur von Hetzner geleitet. Mit Hetzner besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.

Datenverarbeitung auf dieser Webseite

Draugr.de speichert keine Anfragen auf dieser Webseite. Das schließt aufgerufene Adressen, IP-Adresse der Anfrage, Browsertyp, Betriebssystem und Ähnliches ein. Die kurzzeitige Verarbeitung der IP-Adresse zur Auslieferung der Seite erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Diese Webseite setzt keine Cookies.

E-Mail-Kontakt

Wenn du uns per E-Mail kontaktierst (z. B. an info@draugr.de), werden die von dir übermittelten Daten (E-Mail-Adresse, Inhalt der Nachricht) zur Bearbeitung deiner Anfrage verarbeitet. Die Daten werden nicht an Dritte weitergegeben und bleiben gespeichert, solange sie für die Bearbeitung der Anfrage erforderlich sind. Die Erforderlichkeit wird alle zwei Jahre überprüft; danach werden die Daten gelöscht. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung und Dokumentation von Anfragen). Zielt die Anfrage auf einen Vertragsabschluss ab, gilt zusätzlich Art. 6 Abs. 1 lit. b DSGVO.

Registrierungsformular und Captcha-Dienst

Das Registrierungsformular auf dieser Webseite ermöglicht die Erstellung eines XMPP-Kontos. Zur Verhinderung von automatisierten Registrierungen wird ein Captcha-Dienst verwendet.

Captcha-Dienst

Der Captcha-Dienst wird vom gleichen Betreiber wie Draugr.de betrieben und basiert auf der Open-Source-Software Cap. Der Dienst läuft auf eigener Infrastruktur und es werden keine Daten an Dritte übermittelt.

Beim Lösen des Captchas werden folgende Daten verarbeitet und gespeichert:

• Ein einmaliger Token zur Bestätigung der erfolgreichen Captcha-Lösung. Dieser Token wird nach kurzer Zeit automatisch gelöscht und kann nur einmalig zur Verifikation verwendet werden.
• Die IP-Adresse des Benutzers wird kurzzeitig für das Rate-Limiting verarbeitet und nach wenigen Sekunden automatisch gelöscht. Sie wird nicht dauerhaft gespeichert.
• Aggregierte, anonymisierte Zähler für Statistikzwecke (Anzahl erfolgreicher und fehlgeschlagener Captcha-Lösungen). Diese enthalten keine personenbezogenen Daten.

Der Captcha-Dienst speichert keine Browser-Fingerprints, keine Cookies außerhalb der Captcha-Funktion und sendet keine Telemetrie an externe Server.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz vor automatisierten Registrierungen).

Registrierungsvorgang

Bei der Registrierung werden folgende Daten an den Registrierungsserver übermittelt:

• Der gewählte Benutzername und die ausgewählte Domain
• Das gewählte Passwort
• Der Captcha-Lösungs-Token

Diese Daten werden vom Registrierungsserver entgegengenommen, auf Gültigkeit geprüft und an den XMPP-Server zur Kontoerstellung weitergeleitet. Der Registrierungsserver speichert diese Daten nicht dauerhaft — nach der Registrierung werden die Daten verworfen. Lediglich ein anonymer Zähler für erfolgreiche Registrierungen wird erhöht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung und vorvertragliche Maßnahmen). Die Bereitstellung der Daten ist für die Registrierung erforderlich — ohne diese Daten kann kein Konto erstellt werden.

XMPP Account Daten

Rechtsgrundlage für die Speicherung der Accountdaten ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Für die Rückverfolgung von Missbrauchsfällen und Fehlersuche: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit des Dienstes und der Aufklärung von Missbrauchsfällen).

Wenn du den XMPP-Server auf Draugr.de verwendest, werden folgende Daten erhoben und gespeichert:

Grunddaten deines Kontos

• Benutzername und die dazugehörige Domain
• Hash des Passworts — nicht das Passwort selbst, sondern ein kryptografischer Hash, aus dem das Passwort nicht zurückgerechnet werden kann
• Deine Kontaktliste (Roster)
• Datum und Uhrzeit deiner letzten Anmeldung sowie der Zeitpunkt der letzten Passwortänderung deines Kontos
• Deine zuletzt gesetzten Anwesenheitsinformationen (Status und Statusnachricht)

Nachrichten

• Offline-Nachrichten: Wenn du gerade nicht mit deinem Konto verbunden bist, werden eingehende Nachrichten zwischengespeichert, damit sie bei deiner nächsten Anmeldung zugestellt werden können.

• Persönliches Nachrichtenarchiv: Falls dein Client XEP-0313 – Message Archive Management unterstützt und benutzt, werden deine Nachrichten für 21 Tage auf dem Server gespeichert. Dies ermöglicht es dir, den gleichen Nachrichtenstand auf verschiedenen Geräten zu sehen.

• Gruppenchat-Verlauf: In Gruppenchats werden standardmäßig die letzten 20 gesendeten Nachrichten gespeichert, damit neu beigetretene Benutzer einen kurzen Verlauf erhalten können. Zusätzlich können Nachrichten über XEP-0313 – Message Archive Management für 7 Tage archiviert werden. Diese Archivierung ist standardmäßig aktiviert, kann aber für den eigenen Gruppenchat deaktiviert werden.

Dateien

Falls dein Client XEP-0363 – HTTP File Upload unterstützt und benutzt, werden gesendete Dateien für 14 Tage auf dem Server gespeichert. Teilweise werden diese Dateien von deinem Client verschlüsselt abgelegt.

Vom Client gespeicherte Daten

Dein Client kann weitere Daten auf dem Server ablegen, die nicht in der Liste oben aufgeführt sind. Dazu können beispielsweise Profilinformationen (vCards), Lesezeichen für Chats (Bookmarks) und ähnliches gehören.

Hinweis zu vCard und Avatar: Deine öffentlichen Profilinformationen (vCard) und dein Avatar-Bild werden auf dem Server gespeichert und können von jedem Benutzer abgerufen werden, der deine XMPP-Adresse (JID) kennt.

IP-Adressen

Es werden keine IP-Adressen über die Dauer einer Anmeldung am XMPP-Server hinaus gespeichert.

Fehlerprotokolle (Error Logs)

Zur Untersuchung von Betriebsproblemen und zur Sicherstellung der Netz- und Informationssicherheit werden serverseitige Fehlerprotokolle (Error Logs) geführt. Diese enthalten technische Fehlermeldungen des Servers.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit und Stabilität des Dienstes, Erwägungsgrund 49).

Speicherdauer und Löschung

Die genannten Daten bleiben so lange gespeichert, bis du sie über deinen Client selbst löschst oder dein Konto komplett entfernst. Eine Übersicht der Aufbewahrungsfristen:

Konto selbst löschen: Du kannst dein Konto jederzeit aktiv über die Account-Verwaltungsfunktion deines XMPP-Clients löschen (z. B. „Account löschen“ oder „Account entfernen“). Bei einer Lösch-Anfrage per E-Mail müssen wir deine Identität prüfen (z. B. durch eine Bestätigung von deiner XMPP-Adresse aus). Ohne erfolgreiche Prüfung können wir dem Löschverlangen nicht nachkommen.

Konten, die länger als 1 Jahr nicht oder nie benutzt wurden, werden automatisch entfernt.

Von allen Account-Daten wird täglich eine Sicherungskopie erstellt. Sicherungskopien werden nach 30 Tagen überschrieben. Daten, die du gelöscht hast, sind daher spätestens nach 30 Tagen auch aus den Sicherungskopien entfernt.

Verwendung der Daten

Die Daten werden ausschließlich für den Betrieb des Dienstes verwendet. Eine Weitergabe an Dritte erfolgt — abgesehen von der technisch bedingten XMPP-Föderation (siehe unten) — nur, wenn du die Daten selbst öffentlich einsehbar bereitstellst (zum Beispiel über eine vCard).

Darüber hinaus werden die Daten für die Rückverfolgung von Missbrauchsfällen und für die Fehlersuche verwendet.

XMPP-Föderation und Datenweitergabe an andere Server

XMPP ist ein dezentrales, föderiertes Netzwerk. Das bedeutet: Wenn du mit Nutzern auf anderen XMPP-Servern kommunizierst, werden deine personenbezogenen Daten — insbesondere deine XMPP-Adresse (JID), Nachrichteninhalte, sowie die dafür notwendigen Metadaten (Absender, Empfänger, Zeitstempel) — an den jeweiligen fremden Server übermittelt. Diese Übermittlung ist technisch zwingend erforderlich, um die Kommunikation zu ermöglichen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — die Zustellung von Nachrichten an Nutzer anderer Server ist Bestandteil des XMPP-Dienstes).

Sobald Daten das System von Draugr.de verlassen haben, unterliegt ihre Verarbeitung ausschließlich der Datenschutzerklärung des empfangenden Servers. Dieser Server kann von einer Privatperson, einem Unternehmen oder einer Organisation betrieben werden und unterliegt nicht unseren Weisungen.

Hinweis zu Art. 14 DSGVO: Soweit im Rahmen der Föderation personenbezogene Daten von Nutzern fremder Server (z. B. Absender-JID, Nachrichten-Metadaten) bei Draugr.de eingehen und verarbeitet werden, sehen wir von einer individuellen Information dieser betroffenen Personen gemäß Art. 14 Abs. 5 lit. b DSGVO ab, da eine solche Information aufgrund der offenen, dezentralen Struktur des XMPP-Netzwerks einen unverhältnismäßigen Aufwand darstellen würde. Die Information erfolgt stattdessen durch diese Datenschutzerklärung.

Drittlandtransfer (Art. 44–49 DSGVO): Befindet sich der empfangende Server außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums (EU/EWR), findet eine Übermittlung personenbezogener Daten in ein Drittland statt. Für die allermeisten dieser Server liegt kein Angemessenheitsbeschluss der EU-Kommission nach Art. 45 DSGVO vor und es bestehen keine geeigneten Garantien nach Art. 46 DSGVO. Die Übermittlung stützt sich in diesem Fall auf die Ausnahmeregelung des Art. 49 Abs. 1 lit. b DSGVO (erforderlich zur Erfüllung des Vertrags zwischen dir und Draugr.de).

Risiken: In vielen Drittländern besteht kein mit der DSGVO vergleichbares Datenschutzniveau. Personenbezogene Daten können dort möglicherweise von Behörden eingesehen, gespeichert oder weiterverarbeitet werden, ohne dass du darüber informiert wirst oder Rechtsmittel dagegen einlegen kannst. Weder können wir garantieren, dass der fremde Serverbetreiber die übermittelten Daten nach der Zustellung löscht, noch dass er sie nicht an Dritte weitergibt. Die Nutzung von Ende-zu-Ende-Verschlüsselung (z. B. OMEMO) reduziert dieses Risiko erheblich, da die Nachrichteninhalte dann auch für den fremden Server unlesbar sind.

Weitergabe deines Online-Status (Presence)

Wenn du dich mit deinem XMPP-Konto anmeldest, abmeldest oder deinen Verfügbarkeitsstatus änderst, werden diese Informationen automatisch an alle Kontakte in deiner Kontaktliste übermittelt — einschließlich Kontakten auf anderen XMPP-Servern. Auch der Betreiber des fremden Servers kann diese Daten technisch einsehen. Dies ist eine grundlegende Funktion des XMPP-Protokolls und technisch erforderlich für die Bereitstellung des Dienstes (Art. 6 Abs. 1 lit. b DSGVO). Bei Servern außerhalb der EU/EWR gelten die oben genannten Hinweise zum Drittlandtransfer entsprechend.

Push-Benachrichtigungen

Viele mobile XMPP-Clients (z. B. Conversations, Snikket, Monal) nutzen Push-Benachrichtigungen, um dich auch bei geschlossener App über neue Nachrichten zu informieren. Dabei werden technisch notwendige Daten — typischerweise eine Gerätekennung und Nachrichten-Metadaten — an die Push-Dienste der Betriebssystemhersteller übermittelt (Apple Push Notification Service, Google Firebase Cloud Messaging). Die Server dieser Anbieter stehen in den USA und weiteren Drittländern.

Diese Datenübermittlung wird nicht von Draugr.de, sondern von deinem XMPP-Client und dem Betriebssystem deines Geräts veranlasst. Draugr.de ist hierfür nicht Verantwortlicher. Wir empfehlen, die Datenschutzerklärung deines Clients und des jeweiligen Push-Dienstleisters zu prüfen. Conversations bietet beispielsweise die Möglichkeit, Push-Nachrichten über einen selbst gehosteten oder vertrauenswürdigen Push-Server abzuwickeln, wodurch kein Kontakt zu Apple- oder Google-Servern entsteht.

Herausgabe an Behörden

Sollten wir aufgrund geltenden Rechts zur Herausgabe von Daten an Strafverfolgungsbehörden oder andere staatliche Stellen verpflichtet sein, werden wir dem im gesetzlich vorgeschriebenen Umfang nachkommen (Art. 6 Abs. 1 lit. c DSGVO).

Sicherheitsmaßnahmen

Wir treffen angemessene technische und organisatorische Maßnahmen, um deine Daten vor unbefugtem Zugriff, Verlust und Missbrauch zu schützen. Dazu gehören die TLS-Verschlüsselung aller Serververbindungen, Zugriffsbeschränkungen und regelmäßige Software-Aktualisierungen. Sicherungskopien werden verschlüsselt gespeichert.

Automatisierte Entscheidungsfindung und Profiling

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling gemäß Art. 22 Abs. 1 und 4 DSGVO statt.

Deine Rechte

Du hast folgende Rechte:

• Auskunft über die zu deiner Person gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung deiner Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)

Zur Ausübung deiner Rechte genügt eine Nachricht an die oben genannte E-Mail-Adresse.

Darüber hinaus sind wir nach Art. 19 DSGVO verpflichtet, alle Empfänger, denen deine personenbezogenen Daten offengelegt wurden, über eine von dir verlangte Berichtigung, Löschung oder Einschränkung der Verarbeitung zu unterrichten, es sei denn, dies erweist sich als unmöglich oder ist mit einem unverhältnismäßigen Aufwand verbunden.

Du hast zudem das Recht, dich bei der zuständigen Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig ist der Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.

Die von Draugr.de selbst durchgeführte Datenverarbeitung und -speicherung findet ausschließlich auf Servern in Deutschland und der EU statt. Eine Übermittlung in Drittländer durch Draugr.de findet — mit Ausnahme der technisch bedingten XMPP-Föderation (siehe oben) — nicht statt.

Weitere Informationen

Bei Unklarheiten kannst du jederzeit nachfragen.