Datenschutzerklärung

1. Verantwortliche Stelle

Datenschutzrechtlich Verantwortliche im Sinne von Artikel 4 Nummer 7 der Datenschutz-Grundverordnung ist Vera Lazic. Sie handelt als natürliche Person. PET IN CABIN ist die Projektbezeichnung.

Anschrift: Bahnstraße 5, 45891 Gelsenkirchen, Deutschland

Kontakt für Datenschutzanfragen: [email protected]

Ob ein Datenschutzbeauftragter zu benennen ist, ist ungeklärt. Es ist keiner benannt.

2. Was diese Erklärung unterscheidet

Aktiv bedeutet: Die aktuelle Arbeitsversion macht das bereits. Vorbereitet bedeutet: Die Funktion ist programmiert, aber nicht produktiv eingerichtet. Geplant bedeutet: Sie ist nicht eingeschaltet. Ungeklärt bedeutet: Der Anbieter oder der genaue Ablauf ist nicht nachgewiesen.

3. Hosting, aktiv und teilweise ungeklärt

Die Arbeitsversion wird in der Entwicklungsumgebung bereitgestellt. Eine Veröffentlichung ist nach der Projektdokumentation über die Grok-Plattform und danach über Vercel vorgesehen. Beim Aufruf können diese Stellen die IP-Adresse und technische Verbindungsdaten verarbeiten, soweit das zum Anzeigen der Seite nötig ist.

Ob und wie lange Serverprotokolle gespeichert werden, ist ungeklärt. Der konkrete Serverstandort und eine Speicherung in der Europäischen Union sind nicht nachgewiesen. Verträge zur Auftragsverarbeitung liegen im Projekt nicht vor.

Rechtsgrundlage für die Auslieferung einer aufgerufenen Seite kann Artikel 6 Absatz 1 Buchstabe b oder f der Datenschutz-Grundverordnung sein. Welche Grundlage trägt, ist vor Veröffentlichung zu bestätigen.

4. Schrift, lokal

Die Schrift Outfit wird aus der eigenen Anwendung geladen. Sie steht unter der SIL Open Font License. Die Datei stammt aus dem öffentlichen Schriftarchiv von Google Fonts und wird nicht mehr von Google abgerufen. Eine Verbindung zu fonts.googleapis.com ist dafür nicht mehr vorgesehen.

5. Plattformskript, aktiv und teilweise ungeklärt

Die Plattform fügt das Skript https://grok.com/grok-app-builder/extensions.js in die Seite ein. Es gehört nicht zum fachlichen Inhalt von PET IN CABIN und wurde nicht entfernt.

In der geprüften Skriptdatei zeigt es den Hinweis „Created with Grok“. Nur wenn eine Projektkennung vorhanden ist, fragt es bei der Plattform nach, ob das Projekt weiterverwendet werden darf. Diese Anfrage wird im Skript ohne Cookies beschrieben. Was der Server dabei zusätzlich speichert, ist nicht einsehbar. In der Entwicklungsumgebung ist keine Projektkennung gesetzt. Ob die Anfrage dort unterbleibt, ist nur für diesen Zustand belegt.

6. Öffentliche Seiten und Mitflugcheck, aktiv

Die öffentlichen Texte können ohne Konto gelesen werden. Der Mitflugcheck behält die Antworten im Browser. An den Server dieser Website werden dabei keine Namen gesendet. Im lokalen Speicher steht die gewählte Sprache. Im Sitzungsspeicher des Browsers steht nur eine Zahl für den Durchlauf des Mitflugchecks.

Die Spracheinstellung bleibt im lokalen Speicher des Browsers. Der Mitflugcheck speichert nur eine Zahl im Sitzungsspeicher. Diese beiden Werte werden nicht als Kennung an Dritte gesendet. Die gewählte Sprache kann später in einer Anfrage an den eigenen Server stehen, wenn eine Funktion sie benötigt. Ob das Speichern nach § 25 TDDDG ohne Einwilligung erlaubt ist, weil es für die gewählte Funktion nötig ist, ist nicht abschließend entschieden. Für die Statistikkennung gilt Abschnitt 14.

Es gibt kein Kontaktformular, keinen Newsletter und keinen E-Mail-Versand. Nachrichten werden nicht gespeichert.

7. Eigentümerzugang, vorbereitet und nicht produktiv

Ein Eigentümerkonto ist nicht eingerichtet. Ein Einrichtungskennwort ist nicht gesetzt. Solange das so bleibt, kann niemand ein Konto anlegen.

Wenn die Funktion später benutzt wird, verarbeitet der Server ein Passwort nur als Prüfwert, einen zweiten Faktor, Wiederherstellungscodes nur als Prüfwerte und eine Sitzung von höchstens acht Stunden. Die Ersteinrichtung ist auf 15 Minuten begrenzt. Zweck ist der Schutz des geschlossenen Bereichs. Die passende Rechtsgrundlage, Artikel 6 Absatz 1 Buchstabe b oder f, ist vor der ersten echten Nutzung zu bestätigen.

8. Airline-Zugang, vorbereitet und nicht produktiv

Es sind keine produktiven Zugangscodes vergeben. Eine dauerhafte Datenbank ist nicht verbunden. In der Vorschau liegen solche Daten nur im Arbeitsspeicher und gehen beim Neustart verloren.

Wenn später ein Code vergeben wird, speichert der Server ihn nur als Prüfwert. Zusätzlich können Name, Organisation und eine E-Mail-Adresse gespeichert werden. Die Betreiberin legt Sitzungsdauer, Zahl der Nutzungen und freigegebene Module im Einzelfall fest. Zweck ist die vereinbarte Zugangsberechtigung.

9. Cookies, Sitzungen und Fehlversuche

Ein normaler Besuch der öffentlichen Leseseiten setzt nach dem geprüften Ablauf keine Anmeldecookies. Erst die vorbereiteten geschützten Funktionen setzen Cookies, die der Browser nicht auslesen kann. Sie heißen pic_airline_session, pic_owner_session, pic_owner_setup, pic_owner_factor, pic_rl und pic_csrf. pic_rl gilt eine Stunde, die Eigentümersitzung und pic_csrf acht Stunden.

Bei Anmeldeversuchen kann ein Zufallskennzeichen zusammen mit der IP-Adresse gespeichert werden. Für die Sperre zählen nur Fehlversuche der letzten 15 Minuten. Ältere Einträge werden dadurch nicht gelöscht. Eine automatische Löschung ist nicht eingebaut. Vorgeschlagen, aber noch nicht umgesetzt, ist eine Löschung nach 24 Stunden. Das ist keine gesetzlich festgelegte Frist, sondern die kurze Zeit, die für den Schutz vor wiederholten Versuchen ausreicht. Das Ereignisprotokoll der Berechtigungen wird nach 180 Tagen gelöscht. Zweck ist der Schutz vor unberechtigten Versuchen, Artikel 6 Absatz 1 Buchstabe f. Tracking- und Werbecookies gibt es nicht. Die Statistikkennung ist in Abschnitt 14 beschrieben.

10. Statistik, geplant und nicht aktiv

Cloudflare Web Analytics und andere Besucherstatistiken sind nicht eingebaut und nicht aktiv. Sie werden hier nicht als eingesetzter Dienst beschrieben.

11. Empfänger und Drittländer, teilweise ungeklärt

Empfänger können die Betreiber der Grok-Plattform und, bei einer späteren Veröffentlichung, Vercel sein. Google wird für die Schrift nicht mehr aufgerufen. Ob Daten außerhalb der Europäischen Union verarbeitet werden, ist nicht nachgewiesen. Eine spätere Datenbank hätte einen eigenen Anbieter und einen eigenen Speicherort. Beides ist nicht eingerichtet. Sicherungskopien einer Produktivdatenbank sind nicht nachgewiesen.

12. Ihre Rechte

Sie können Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch verlangen, soweit die Artikel 15 bis 21 der Datenschutz-Grundverordnung die Voraussetzungen erfüllen. Eine erteilte Einwilligung kann mit Wirkung für die Zukunft widerrufen werden. Dafür genügt eine Nachricht an [email protected].

Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, Artikel 77. Die für den Sitz zuständige Behörde kann erst nach der Anschrift benannt werden. Allgemeine Orientierung gibt der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit.

13. Pflicht zur Bereitstellung und Änderungen

Für die öffentlichen Seiten müssen Sie uns keine Angaben schicken. Ohne die technischen Verbindungsdaten kann der Server die Seite nicht ausliefern. Der geschützte Bereich funktioniert ohne die dort abgefragten Zugangsdaten nicht.

Diese Erklärung wird angepasst, bevor eine Statistik, eine dauerhafte Datenbank oder ein echter Airline-Zugang eingeschaltet wird. Die vorbereitete Statistik in der Arbeitsversion ist in Abschnitt 14 beschrieben. Auf der bereits veröffentlichten Website ist sie nicht aktiv.

14. Tägliche Browserbesuche, vorbereitet und nicht öffentlich aktiv

In der unveröffentlichten Arbeitsversion kann zusätzlich gezählt werden, wie viele unterschiedliche Browser an einem Kalendertag in Europe/Berlin erscheinen. Das ist keine Zählung eindeutig erkannter Menschen. Ein anderer Browser, ein anderes Gerät, ein privates Fenster oder gelöschte lokale Daten können einen weiteren Besuch ergeben.

Vor der Zustimmung wird keine Statistikkennung gespeichert oder gesendet. Die Entscheidung selbst, Zustimmung oder Ablehnung, bleibt im lokalen Speicher, damit sie nicht bei jedem Aufruf erneut gefragt werden muss. Erst nach „OK, akzeptieren“ erzeugt der Browser eine zufällige Kennung für den laufenden Berliner Kalendertag. An den Server geht nur ein Prüfwert dieser Kennung, nicht die Kennung selbst. Die IP-Adresse wird dafür nicht verwendet. Es gibt kein Browser-Fingerprinting und kein geräteübergreifendes Profil.

Der Server nimmt denselben Prüfwert an einem Tag nur einmal an. Seitenaufrufe bleiben eine eigene Zahl und werden nicht nachträglich als Browserbesuche gedeutet. Der Prüfwert wird nach dem übernächsten Berliner Tag gelöscht. Die Tageszahl bleibt. Ob ein Prüfwert, solange er gespeichert ist, ein pseudonymes Datum ist, ist nicht abschließend entschieden. Er wird hier nicht als anonym bezeichnet.

Die Einwilligung gilt nur für diese Statistik. Sie kann über „Cookie-Einstellungen“ widerrufen werden. Danach wird die lokale Kennung gelöscht und nicht neu erzeugt. Die Website bleibt ohne Zustimmung nutzbar. Ob die Rechtsgrundlage Artikel 6 Absatz 1 Buchstabe a der Datenschutz-Grundverordnung zusammen mit § 25 TDDDG trägt, ist vor einer Veröffentlichung rechtlich zu bestätigen. Diese Funktion ist auf der öffentlichen Website noch nicht aktiv.