Rechtliches

Datenschutz

Entwurf für den Testbetrieb. Vor dem Livegang rechtlich prüfen lassen.

1. Verantwortlicher

Verantwortlich für die Verarbeitung ist der Betreiber von ykm.de. Die vollständigen Betreiberangaben stehen im Impressum.

2. Hosting

Der Dienst läuft auf einem Server in Deutschland. Es werden keine US-Analysedienste, keine Werbenetzwerke und keine externen Schriftarten oder Skripte von Drittanbietern geladen.

3. Aufruf eines Kurzlinks

Beim Aufruf eines Kurzlinks setzen wir keine Analyse-Cookies und laden kein JavaScript-Analytics. Der Server verarbeitet technisch die angefragte URL, Zeitpunkt, User-Agent und – falls übermittelt – den Referrer. Die IP-Adresse wird nicht im Klartext gespeichert, sondern nur als HMAC-SHA256-Hash mit einem serverseitigen Geheimnis. Der Hash dient der Klickstatistik und der Missbrauchsabwehr.

Klickdaten werden nach 365 Tagen gelöscht. Bot-Aufrufe werden als solche markiert und nicht in die öffentliche Klickzahl eingerechnet.

Zusätzlich führt der Webserver technische Access-Logs (unter anderem IP-Adresse, Zeitpunkt, aufgerufene URL) für Betrieb, Fehleranalyse und Sicherheit. Diese Logs werden nicht für Werbung oder Profilbildung genutzt und nach der betrieblichen Aufbewahrungsfrist rotiert.

4. Erstellen und Verwalten von Links

Beim Erstellen eines Links speichern wir die Ziel-URL, den gewählten Alias, optionale Angaben zu Ablauf und Klicklimit sowie einen Hash deiner IP-Adresse zur Missbrauchsabwehr. Ein Konto oder eine E-Mail-Adresse ist nicht erforderlich.

Damit du deine Links in diesem Browser wiederfindest, setzen wir das Cookie ykm_owner (HttpOnly, SameSite=Lax, ein Jahr). Für Formulare verwenden wir das Session-Cookie ykm_sid (HttpOnly, SameSite=Lax, Sitzungsende). Es gibt keine Marketing- oder Profiling-Cookies.

5. Benutzerkonto und Anmeldung

Bei einer Registrierung speichern wir E-Mail-Adresse, optional den Anzeigenamen, einen Passwort-Hash (Argon2id oder der PHP-Standardalgorithmus), Rolle und Status des Kontos, Zeitstempel sowie – bei OAuth – die Anbieter-ID, den Anbieternamen und optional ein Profilbild. Ein Klartextpasswort wird nicht gespeichert.

Für Anmeldung und Formulare nutzen wir das Session-Cookie ykm_sid (HttpOnly, SameSite=Lax, Sitzungsende). Der Login-State wird serverseitig in der Session gehalten. Bei OAuth setzen wir zusätzlich ein kurzlebiges Cookie ykm_oauth_state (HttpOnly, Secure, SameSite=None, 10 Minuten), um den Login-Vorgang an deinen Browser zu binden.

6. Login über Google, GitHub und Apple

Wenn du einen OAuth-Login nutzt, wirst du zum jeweiligen Anbieter weitergeleitet. Dabei werden Daten an Google, GitHub oder Apple übermittelt (insbesondere IP-Adresse, Browserdaten und die Autorisierungsanfrage). Wir erhalten vom Anbieter eine bestätigte E-Mail-Adresse, eine Anbieter-ID, optional Name und Profilbild. Es gelten zusätzlich die Datenschutzbestimmungen des jeweiligen Anbieters. Wir speichern keine OAuth-Zugriffstokens für API-Zugriffe auf deine Anbieterkonten.

7. E-Mail-Versand

Für Bestätigungs- und Passwort-Reset-E-Mails speichern wir einen einmalig verwendbaren Token ausschließlich als SHA-256-Hash mit Ablaufzeit. Im Testbetrieb wird der Versand in app/storage/mail.log protokolliert; im Livebetrieb erfolgt der Versand über einen SMTP-Dienst. Der Log ist nicht über das Web erreichbar.

8. Rechtsgrundlage

Die Verarbeitung erfolgt zur Bereitstellung des Dienstes (Art. 6 Abs. 1 lit. b DSGVO) sowie zur Sicherheit, Missbrauchsabwehr und statistischen Auswertung auf Basis unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO).

9. Empfänger und Drittländer

Es werden keine personenbezogenen Daten an Dritte verkauft. Der Server wird bei einem Hosting-Anbieter in Deutschland betrieben. Für den E-Mail-Versand kann ein SMTP-Dienstleister eingesetzt werden; Anbieter und Standort werden vor dem Livegang festgelegt.

Wenn du den Login über Google, GitHub oder Apple nutzt, werden die für die Anmeldung erforderlichen Daten an den von dir gewählten Anbieter übermittelt. Diese Anbieter können ihren Sitz außerhalb der EU haben; es gelten die jeweiligen Datenschutzbestimmungen und Übermittlungsgrundlagen des Anbieters.

10. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Widerspruch. Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für Anfragen nutze bitte abuse@ykm.de.

11. Löschung

Klickdaten werden nach 365 Tagen gelöscht. Links bleiben bestehen, bis sie vom Ersteller oder vom Betreiber gelöscht werden. Session-Cookies enden mit der Sitzung, das Owner-Cookie nach einem Jahr oder wenn du es in deinem Browser löschst. E-Mail-Tokens verfallen nach 24 Stunden (Bestätigung) bzw. einer Stunde (Passwort-Reset).

Dein Konto kannst du im Konto-Bereich löschen. Dabei werden Konto- und OAuth-Daten entfernt. Deine Links kannst du beim Löschen optional mit entfernen; andernfalls bleiben sie anonym bestehen. Admin-Konten können Konten auch manuell löschen.