Datenschutzerklärung

1. Verantwortlicher

Cedric Saint-Julien
Benzstr. 39, 86343 Königsbrunn, Deutschland
E-Mail: hello@studiodrop.de

Ein Datenschutzbeauftragter ist nicht bestellt; die Voraussetzungen des § 38 BDSG liegen nicht vor.

2. Welche Daten verarbeitet werden

Übertragene Dateien. Die hochgeladenen Dateien selbst sowie deren Dateinamen und Dateigrößen.

Angaben zur Übertragung. Die E-Mail-Adresse und der Vorname der hochladenden Person, Empfänger-E-Mail-Adressen, Titel und Nachrichtentext.

Download-Protokoll. Wird eine Datei über einen Übertragungslink abgerufen, protokollieren wir den Zeitpunkt, die abgerufene Datei, die übertragene Datenmenge sowie die IP-Adresse und die Browserkennung des abrufenden Geräts. Dasselbe gilt für die Zweitkopie einer Übertragung auf hungerundsimmeth.de (siehe Ziffer 6). Zweck ist ausschließlich der Nachweis der Zustellung: Auftraggeber und Empfänger sollen feststellen können, ob und wann eine Lieferung tatsächlich abgeholt wurde und ob der Abruf vollständig war. Eine Zusammenführung mit anderen Datenbeständen oder eine Auswertung zu Werbezwecken findet nicht statt.

Server-Protokolle. Beim Aufruf werden IP-Adresse, Zeitpunkt, aufgerufene Adresse, HTTP-Status und User-Agent protokolliert.

Sitzungs-Cookie. Ausschließlich nach einer Anmeldung als Absender wird ein einziges technisch notwendiges Cookie gesetzt. Es enthält lediglich einen signierten Ablaufzeitpunkt. Tracking, Analyse oder Werbe-Cookies werden nicht eingesetzt.

3. Rechtsgrundlagen

Die Verarbeitung der Dateien und Übertragungsangaben erfolgt zur Erfüllung eines Vertrags bzw. auf Anfrage der betroffenen Person (Art. 6 Abs. 1 lit. b DSGVO). Protokollierung, Download-Protokoll, Missbrauchsabwehr und Schadsoftware-Prüfung erfolgen aufgrund berechtigten Interesses an einem sicheren und rechtskonformen Betrieb sowie am Nachweis der ordnungsgemäßen Erfüllung des Auftrags (Art. 6 Abs. 1 lit. f DSGVO). Das Sitzungs-Cookie ist zur Bereitstellung des ausdrücklich gewünschten Dienstes unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

4. Verschlüsselung — und was sie hier bedeutet

Die Übertragung erfolgt ausschließlich über TLS. Dateien werden auf dem Server verschlüsselt gespeichert (ChaCha20-Poly1305).

Ausgehende Übertragungen: Der Schlüssel wird aus dem Freigabe-Link abgeleitet. Damit mehrere Personen eines Kontos denselben Link abrufen können, wird der Link zusätzlich verschlüsselt auf dem Server hinterlegt. Der Betreiber kann diese Dateien daher technisch entschlüsseln. Der Schutz richtet sich gegen den Verlust von Datenträgern und Sicherungskopien, nicht gegen den Betreiber selbst.

Eingehende Uploads über einen Upload-Link werden mit einem serverseitigen Schlüssel verschlüsselt, da die hochladende Person kein dauerhaftes Geheimnis besitzt und der Betreiber die Dateien empfangen können muss. Diese Dateien sind für den Betreiber lesbar und werden auf Schadsoftware geprüft.

Dateinamen und Dateigrößen werden unverschlüsselt in der Datenbank gespeichert; verschlüsselt sind die Dateiinhalte.

5. Speicherdauer

Dateien werden nach Ablauf der beim Erstellen gewählten Frist (Voreinstellung: 30 Tage bei ausgehenden Übertragungen, 30 Tage bei eingehenden Uploads) automatisch und unwiderruflich gelöscht.

Zum Zeitpunkt dieser Löschung werden auch die E-Mail-Adressen und der Nachrichtentext entfernt. Es verbleibt für 30 Tage ausschließlich ein Datensatz ohne Personenbezug, damit Empfänger die Meldung „abgelaufen“ statt „nicht gefunden“ erhalten. Danach wird auch dieser gelöscht.

Vom Betreiber gelöschte Übertragungen liegen zunächst 7 Tage im Papierkorb und sind in dieser Zeit wiederherstellbar; der Abruf-Link ist ab dem Löschen sofort ungültig. Danach erfolgt die endgültige Löschung. Abgebrochene Uploads werden nach 24 Stunden verworfen. Server-Protokolle werden nach 14 Tagen gelöscht, das Download-Protokoll nach 180 Tagen. Sicherungskopien werden verschlüsselt aufbewahrt und rotieren nach 7 Tagen / 4 Wochen / 6 Monaten.

6. Empfänger und Auftragsverarbeiter

Der Dienst läuft auf Servern der Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen) im Rechenzentrum Helsinki, Finnland — also innerhalb der EU. Sicherungskopien liegen auf einer Hetzner Storage Box in Deutschland. Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO besteht.

Zweitkopie auf hungerundsimmeth.de. Ausgehende Übertragungen werden zusätzlich auf den Webspace der Hunger & Simmeth GmbH (Föllstraße 2b, 86343 Königsbrunn) kopiert und dort unter einer zufällig erzeugten, nicht erratbaren Adresse bereitgestellt. Hintergrund ist, dass Web-Filter mancher Unternehmen die Domain studiodrop.de blockieren. Diese Zweitkopie liegt unverschlüsselt; ihr Schutz beruht ausschließlich auf der Unkenntnis der Adresse. Sie wird gemeinsam mit der Übertragung selbst gelöscht. Passwortgeschützte Übertragungen werden nicht kopiert. Der Webspace wird von der IONOS SE (Elgendorfer Str. 57, 56410 Montabaur) in Deutschland betrieben.

Benachrichtigungs-E-Mails werden über einen eigenen Mailserver auf demselben Server versendet; ein externer E-Mail-Dienstleister wird nicht eingesetzt. Eine Übermittlung in Drittländer findet nicht statt.

7. Schadsoftware-Prüfung

Eingehende Uploads werden lokal auf dem Server mit ClamAV auf Schadsoftware geprüft. Die Prüfung findet ausschließlich auf unserem eigenen Server statt; es werden keine Daten an Dritte übermittelt.

8. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO).

Ihnen steht ein Beschwerderecht bei einer Aufsichtsbehörde zu. Zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, poststelle@lda.bayern.de.

9. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt. Die Schadsoftware-Prüfung führt zwar zu einer automatischen Sperrung betroffener Uploads, entfaltet aber keine rechtliche Wirkung gegenüber betroffenen Personen.