Datenschutzerklärung

Datenschutzerklärung — 24SIGNAL Social

Vom Betreiber zur Veröffentlichung freigegeben am 10. Oktober 2026; keine unabhängige Rechtsprüfung. Die Verarbeitung ist teilweise aus dem Anwendungscode ableitbar; markierte Angaben müssen vom Betreiber und von den Anbietern bestätigt werden.

Verantwortlicher

Daniele Florio · Max-Kraus-Str. 100, 85435 Erding, Deutschland · info@24signal.cloud

Verarbeitung bei Kontoerstellung und Nutzung

Der vorgesehene FREE-Anmeldeweg verarbeitet E-Mail-Adresse, Community-Name, gewünschten Subdomain-Namen und die gewählte Intelligence. Das System legt dafür einen Benutzer, einen Workspace, eine Mitgliedschaft, eine FREE-Zuordnung und eine E-Mail-Verifikationseinladung an. Nach dem E-Mail-Link setzt der Nutzer sein Passwort; die bestehende Anwendung speichert es mit einem individuellen Salt als scrypt-Hash. Die Einladung enthält einen Hash des Verifikationstokens und läuft nach der konfigurierten Frist ab (Code-Standard: 48 Stunden; tatsächlichen Produktionswert bestätigen). Die Annahme der Vertragsbedingungen wird getrennt mit Benutzer, Workspace, Dokument-ID, Version und Zeitpunkt protokolliert; sie ist keine allgemeine DSGVO-Einwilligung. Beabsichtigte Rechtsgrundlage für erforderliche Konto- und Community-Funktionen: Art. 6 Abs. 1 lit. b DSGVO.

Beim Login verwendet die bestehende Anwendung ein zufälliges Sitzungstoken, speichert nur dessen SHA-256-Hash und setzt ein Secure-, HttpOnly- und SameSite=Lax-Cookie ohne Domain-Attribut. Die Sitzung läuft laut Code nach 30 Tagen ab. Die Passwortwiederherstellung verwendet ein zufälliges Einmaltoken, speichert nur dessen SHA-256-Hash, lässt es nach 60 Minuten ablaufen und beendet nach erfolgreicher Änderung die bestehenden Sitzungen. Der Registrierungs- und Passwortwiederherstellungs-Rate-Limiter verwendet die vom ASGI-Server bereitgestellte Client-IP nur im Arbeitsspeicher und entfernt die Einträge nach einer Stunde; diese Rate-Limits speichern IP-Adressen nicht in der Anwendungsdatenbank. Ob Reverse Proxy, Hosting- oder Systemprotokolle IP-Adressen und User-Agents enthalten, sowie Umfang und Löschfristen, sind [ZU BESTÄTIGEN]. Eine Rechtsgrundlage für notwendige Missbrauchsabwehr kann Art. 6 Abs. 1 lit. f DSGVO sein; dafür ist die Interessenabwägung zu dokumentieren.

Die bestehende Statistik öffentlicher Kunden-Websites speichert Workspace, Zeitpunkt, aufgerufenen Pfad und Referrer-Host beziehungsweise „Direct“. Bot-Anfragen werden anhand des User-Agent-Feldes gefiltert; dieses Feld und keine IP-Adresse werden in dieser Statistik-Tabelle gespeichert. Der Social-Code unterstützt Community-Mitgliedschaften, Kommentare, Antworten, Likes, Meldungen und Moderationsaktionen. Diese Funktionen und der Social-Discovery-Worker sind derzeit nicht für öffentliche Nutzung freigeschaltet. Bei späterer Aktivierung verarbeitet der Dienst insbesondere Community-, Mitgliedschafts-, Kommentar-, Reaktions-, Melde- und Moderationsdaten sowie von Plattformen gelieferte öffentliche Post-Metadaten und Links; konkrete Zwecke, Rechtsgrundlagen, Empfänger und Löschfristen müssen vor Aktivierung abschließend festgelegt werden. Es werden keine Videos oder Bilder der Plattformen kopiert. Server-, Proxy- und Hosting-Logs können IP-Adresse und User-Agent enthalten: [PROVIDER, VERARBEITUNGSORT, ZWECK, RECHTSGRUNDLAGE UND LÖSCHFRIST ERGÄNZEN].

E-Mail, Hosting und Empfänger

Verifikations- und Passwortwiederherstellungsnachrichten werden durch die Anwendung mit dem Absender 24SIGNAL <no-reply@24signal.cloud> per SMTP an 172.18.0.1:25 übergeben; auf dem Host läuft Postfix. Ein Versandtest an info@24signal.cloud wurde über den ImprovMX-Mailserver zugestellt und vom Betreiber im Gmail-Postfach bestätigt. Eingehende Nachrichten an info@24signal.cloud werden somit an das vom Betreiber angegebene Gmail-Postfach weitergeleitet. Anbieterrollen, Verarbeitungsorte, Drittlandübermittlungen, AV-Verträge und Löschfristen für ImprovMX und den Gmail-Empfang sind noch zu bestätigen. Hosting und Datenbank laufen auf einer VPS; Anbieter, Rechenzentrumsstandort, Supportzugriff und AV-Vertrag: [ZU BESTÄTIGEN]. Der Anwendungscode rotiert Anwendungsprotokolle nach 14 Tagen. Das Backup-Skript bewahrt reguläre Backups 30 Tage auf und löscht sie im planmäßigen Bereinigungslauf; Speicherort, Zugriffsschutz, Verschlüsselung und tatsächliche Ausführung des Bereinigungslaufs sind [ZU BESTÄTIGEN].

Zahlungen und Stripe

Der vorgesehene FREE-Registrierungsweg ruft Stripe nicht auf und verlangt keine Karte. Social-Checkout für PLUS/PRO/ALL bleibt deaktiviert. Für diese Registrierung wird Stripe nicht als Empfänger behauptet. Etwaige bestehende Zahlungsverarbeitungen anderer, bereits aktiver Alt-Abonnements sind separat zu dokumentieren; sie werden durch diesen Entwurf nicht verändert.

Cookies und Endgerätezugriff

Der Login-Cookie 24signal_session dient der Authentifizierung und ist laut Code Secure, HttpOnly, SameSite=Lax und auf 30 Tage begrenzt. Weitere Cookies, lokale Speicherungen, externe Analyse- oder Trackingdienste: [PRODUKTIVKONFIGURATION PRÜFEN UND ERGÄNZEN]. Eine Einwilligung darf nur für tatsächlich eingesetzte, nicht notwendige Technologien eingeholt werden. Optionale Marketing- oder Social-Integrations-Einwilligungen sind getrennt und freiwillig.

Aufbewahrung und Rechte

Konkrete Aufbewahrungsfristen für Benutzerkonten, Einladungen, Sitzungen, Community-Inhalte, Support und Backups: [FESTLEGEN]. Betroffenenrechte, Beschwerderecht bei der zuständigen Datenschutzaufsicht und Kontaktweg sind nach Bestätigung des Verantwortlichen einzusetzen. Ein Datenschutzbeauftragter wird nicht ohne Prüfung der gesetzlichen Voraussetzungen behauptet.

Die YouTube- und Bluesky-Connectoren sowie Community-Feed- und Moderationsfunktionen sind im Anwendungscode vorbereitet, aber der Discovery-Worker ist im Produktivbetrieb gestoppt und öffentliche Registrierung/Bezahlfunktionen sind durch Konfigurationsgates gesperrt. Eine reale, lesende Bluesky-Suche von der VPS über api.bsky.app wurde erfolgreich getestet; der dokumentierte Host public.api.bsky.app wird aus dieser VPS-Umgebung durch ein CDN mit HTTP 403 blockiert. Das ist kein Beleg dafür, dass der Discovery-Worker im Produktivbetrieb freigeschaltet oder Posts dort dauerhaft verfügbar sind. YouTube kann erst nach Bereitstellung und Prüfung eines API-Schlüssels aktiviert werden. Bis zur gesonderten Aktivierung findet keine planmäßige Suche durch diese Worker statt.

Ein Kontoinhaber kann die Löschung im angemeldeten Bereich beantragen und muss dazu die Konto-E-Mail bestätigen. Der Antrag blendet die eigene Community sofort aus, widerruft Sitzungen und plant den Anwendungsdaten-Purge nach 30 Tagen. Bei bezahlten Abonnements wird zuvor in Stripe die Kündigung zum Periodenende angefordert; wenn Stripe dies nicht bestätigt, wird die Löschanforderung nicht gespeichert. Der technische Purge entfernt Community-, Social-, Artikel-, Such- und Zugangsdaten, anonymisiert das Benutzerkonto und bewahrt Vertragsannahmen sowie erforderliche Abrechnungs-/Prüfdatensätze auf. Der zugehörige Hintergrundprozess ist noch nicht im öffentlichen Betrieb aktiviert. Reguläre Backups werden laut Skript 30 Tage aufbewahrt; nach einer Löschung können Kopien deshalb bis zum Ablauf dieser Backup-Frist weiterbestehen und werden nicht selektiv aus bereits erstellten Sicherungen entfernt. Der tatsächliche Hosting-/Backup-Anbieter, Speicherort, Zugriff, Verschlüsselung und die erfolgreiche Ausführung des Bereinigungslaufs müssen vor Aktivierung bestätigt werden.

Die Information muss vor Datenerhebung insbesondere Verantwortlichen, Zwecke, Rechtsgrundlagen, Empfänger, Speicherdauer und gegebenenfalls Drittlandübermittlungen vollständig benennen; die offenen Punkte folgen aus Art. 13 DSGVO.