Datenschutzerklärung
1. Verantwortlicher
Guido Heller Maternusstr. 6 50996 Köln Telefon: +49 (0) 163 25 26 111 E-Mail: post@onkelguido.de
Ein Datenschutzbeauftragter ist nicht bestellt.
2. Grundsätzliches
Diese Erklärung beschreibt, welche personenbezogenen Daten beim Besuch von onkelguido.de verarbeitet werden, zu welchem Zweck das geschieht und auf welcher Rechtsgrundlage.
Rechtsgrundlage ist je nach Verarbeitung:
- Art. 6 Abs. 1 lit. b DSGVO — Erfüllung eines Vertrags
- Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse
- Art. 6 Abs. 1 lit. a DSGVO — Einwilligung
- Art. 6 Abs. 1 lit. c DSGVO — gesetzliche Pflichten
Eine automatisierte Entscheidungsfindung einschließlich Profilbildung nach Art. 22 DSGVO findet nicht statt.
Die Übertragung zwischen Browser und Server ist durchgehend mit TLS verschlüsselt.
Abschnitt 14 listet auf, welche verbreiteten Dienste hier bewusst fehlen.
3. Hosting und Server-Protokolle
Die Website wird bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, betrieben. Der Server steht in Helsinki (Finnland), das Offsite-Backup auf einer Storage Box in Falkenstein (Deutschland). Beide Standorte liegen in der Europäischen Union.
Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.
Beim Aufruf einer Seite schreibt der Webserver ein Zugriffsprotokoll mit:
- IP-Adresse des anfragenden Geräts
- Datum und Uhrzeit des Zugriffs
- aufgerufener Adresse
- übertragener Datenmenge sowie Statuscode
- Browsertyp und Betriebssystem (User-Agent)
- verweisender Seite, sofern übermittelt
Zweck sind der sichere Betrieb, die Fehlersuche sowie die Abwehr von Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Eine Zusammenführung mit anderen Datenbeständen findet nicht statt.
Die Protokolle werden nach sieben Tagen gelöscht. Bei einem konkreten Sicherheitsvorfall werden die betroffenen Einträge bis zur Klärung aufbewahrt.
4. Reichweitenmessung in eigener Verantwortung
Um zu erkennen, welche Geschichten gelesen und gehört werden, betreiben wir eine selbst entwickelte Zählung auf unserem eigenen Server. Ein Drittanbieter ist nicht beteiligt.
Es wird kein Cookie gesetzt, kein Fingerprinting-Dienst eingebunden und keine IP-Adresse gespeichert. Das Skript im Browser liest keine Informationen aus dem Endgerät aus und legt dort nichts ab, auch nicht vorübergehend. Die Gerätekategorie wird serverseitig aus dem User-Agent der Anfrage abgeleitet. Für die Scrolltiefe werden Scrollposition und Fensterhöhe während des Lesens ausgewertet, ohne dass daraus etwas gespeichert oder abgelegt wird.
Widerspruch über den Browser. Sendet der Browser ein Do-Not-Track- oder Sec-GPC-Signal, findet keine Zählung statt.
Wiedererkennung innerhalb eines Tages. Aus einem geheimen Tagesschlüssel, dem Tagesdatum, der IP-Adresse sowie dem User-Agent wird ein Prüfwert (SHA-256) gebildet. Gespeichert wird nur dieser Prüfwert, nicht die IP-Adresse. Der Tagesschlüssel ist ein Zufallswert, wird täglich neu erzeugt, ausschließlich im Arbeitsspeicher gehalten und am Folgetag verworfen. Mit dem Verwerfen des Schlüssels entfällt jede Möglichkeit, den Prüfwert einer IP-Adresse zuzuordnen oder eine Zuordnung nachzurechnen.
Der Prüfwert wird spätestens nach 30 Tagen gelöscht.
Gespeichert werden: aufgerufener Pfad, Domain der verweisenden Seite, Gerätekategorie, Lesedauer, Scrolltiefe sowie einzelne Ereignisse wie das Starten des Audio-Players.
Nicht gezählt wird der eingeloggte Mitgliederbereich.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt in der bedarfsgerechten Gestaltung des Angebots.
5. Cookies und lokaler Speicher
Cookie. Es wird ein einziges Cookie verwendet, und zwar erst nach einer Anmeldung: payload-token. Es hält die Sitzung im Mitgliederbereich aufrecht, ist als httpOnly gesetzt und läuft nach 30 Tagen ab. Ohne Anmeldung wird kein Cookie gesetzt. Das Cookie ist für den ausdrücklich angeforderten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG), Rechtsgrundlage der damit verbundenen Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO.
Lokaler Speicher. Zwei selbst gewählte Einstellungen verbleiben im Browser: og-theme für den Abendmodus sowie og-reader-size für die Schriftgröße. Diese Werte werden nicht an uns übertragen.
6. Nutzerkonto und Club-Mitgliedschaft
Ein Konto entsteht mit dem Abschluss einer Club-Mitgliedschaft. Gespeichert werden:
- E-Mail-Adresse
- Passwort als Prüfwert (bcrypt), nie im Klartext
- Rolle und Berechtigungen
- Status und Tarif der Mitgliedschaft
- Ende der Laufzeit sowie ein Vermerk über eine Kündigung
- Kunden- und Abonnement-Kennung bei Stripe
Zweck ist die Erfüllung des Vertrags, insbesondere der Zugang zu den Downloads sowie die Selbstverwaltung des Abonnements. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
Diese Angaben sind für den Vertragsschluss erforderlich. Ohne sie kann eine Mitgliedschaft nicht zustande kommen (Art. 13 Abs. 2 lit. e DSGVO). Eine gesetzliche Pflicht zur Bereitstellung besteht nicht.
Das Konto wird sechs Monate nach Ende der Mitgliedschaft gelöscht, sofern kein neues Abonnement besteht. Steuerlich aufzubewahrende Rechnungsdaten liegen bei Stripe.
7. Zahlungsabwicklung über Stripe
Zahlungen wickelt die Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland ab.
Der Bezahlvorgang findet auf einer Seite von Stripe statt. Zahlungs- und Kartendaten erreichen unseren Server zu keinem Zeitpunkt. Welche Zahlarten zur Verfügung stehen, zeigt der Bezahlvorgang; die Abwicklung läuft über die von Stripe eingebundenen Anbieter.
Stripe übermittelt uns nach einem Abschluss: E-Mail-Adresse, Kunden- und Abonnement-Kennung, Status sowie Laufzeit des Abonnements. Wir übermitteln an Stripe die E-Mail-Adresse eines angemeldeten Kontos, eine interne Nutzerkennung als Zuordnungsmerkmal sowie den Zeitpunkt der beim Kauf erklärten Zustimmung zur sofortigen Vertragsausführung (Nachweis nach § 356 Abs. 5 BGB). Für die Umsatzsteuer verarbeitet Stripe zusätzlich die Rechnungsadresse.
Kündigung und Änderung der Zahlungsart erfolgen im Kundenportal von Stripe.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
Mit Stripe besteht eine Datenschutzvereinbarung nach Art. 28 DSGVO, soweit Stripe als Auftragsverarbeiter tätig wird.
Datenschutzhinweise von Stripe: https://stripe.com/de/privacy
8. E-Mails zum Vertrag
Für Willkommensnachrichten nach einem Kauf, für Nachrichten zum Zurücksetzen des Passworts sowie für Antworten auf Support-Anfragen nutzen wir Brevo (Sendinblue SAS), 106 boulevard Haussmann, 75008 Paris, Frankreich. Übermittelt werden die E-Mail-Adresse sowie der Inhalt der Nachricht.
Klick-Nachverfolgung. Brevo schreibt Links in diesen Nachrichten auf eine eigene Domain um und erfasst dadurch, ob ein Link angeklickt wurde. Eine vollständige Abschaltung bietet Brevo nicht an. Die Anonymisierung ist in unserem Konto aktiviert, eine Zuordnung zu einer einzelnen Person findet damit nicht statt.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, da die Nachrichten zur Durchführung des Vertrags erforderlich sind.
Mit Brevo besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.
Über Brevo werden außerdem die Antworten auf Support-Anfragen versendet (Abschnitt 11).
9. Newsletter
Für den Newsletter wird die E-Mail-Adresse benötigt. Nach der Anmeldung versenden wir eine Nachricht mit einem Bestätigungslink, der Versand beginnt erst nach dieser Bestätigung. Gespeichert werden Zeitpunkt der Anmeldung, Zeitpunkt der Bestätigung sowie die dabei verwendete IP-Adresse zum Nachweis der Einwilligung.
Versendet wird über KISmailer (Heller, Propp GbR, Wichterichstraße 19, 50937 Köln). Ein Wechsel des Versanddienstleisters zu Brevo (Abschnitt 8) ist vorbereitet; diese Erklärung wird bei der Umstellung angepasst (Abschnitt 20).
Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO. Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden, etwa über den Abmeldelink am Ende jeder Nachricht. Nach einer Abmeldung wird die Adresse gelöscht oder in eine Sperrliste übernommen, um erneuten Versand zu verhindern.
10. Audio-Wiedergabe
Der Audio-Player ist eine Eigenentwicklung, eingebettete Player von Spotify oder YouTube gibt es nicht.
Der Player lädt die Audiodatei erst in dem Moment, in dem die Wiedergabe gestartet wird (preload="none"). Die Dateien liegen beim Podcast-Hoster anchor.fm, betrieben von Spotify. Mit dem Start der Wiedergabe wird eine Verbindung dorthin aufgebaut und die IP-Adresse an Spotify übermittelt. Ohne Klick auf Play fließen keine Daten ab.
Spotify verarbeitet diese Daten als eigener Verantwortlicher, ein Vertrag zur Auftragsverarbeitung besteht insoweit nicht.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt in der Auslieferung großer Audiodateien über eine dafür ausgelegte Infrastruktur.
Downloads für Club-Mitglieder kommen ausschließlich von unserem eigenen Server.
Datenschutzhinweise von Spotify: https://www.spotify.com/de/legal/privacy-policy/
11. Kontaktaufnahme und Support
Bei einer Nachricht an post@onkelguido.de verarbeiten wir die E-Mail-Adresse, den Namen, den Betreff sowie den Inhalt der Nachricht, um das Anliegen zu beantworten.
Das Postfach liegt bei der Strato AG, Otto-Ostrowski-Str. 7, 10249 Berlin.
Eingehende Nachrichten werden zusätzlich über IMAP in unsere eigene Datenbank übernommen und dort im Verwaltungsbereich bearbeitet. Die Antwort versendet Brevo (Abschnitt 8). Zweck dieser Spiegelung ist die geordnete Bearbeitung von Anfragen an einer Stelle.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, bei vertragsbezogenen Anfragen Art. 6 Abs. 1 lit. b DSGVO.
Speicherdauer. Support-Nachrichten eines Vorgangs werden gelöscht, sobald drei Jahre ab dem Ende des Jahres des letzten Kontakts abgelaufen sind (angelehnt an die regelmäßige Verjährungsfrist, §§ 195, 199 BGB). Die Frist gilt für das Postfach und die gespiegelte Datenbank gleichermaßen.
Auf /deine-geschichte/ eingesandte Geschichten erreichen uns per E-Mail an dieselbe Adresse. Ein eigenes Einsendeformular gibt es nicht.
12. Schutz vor Missbrauch
Bei Anmeldung, Passwort-Zurücksetzen, Bezahlvorgang sowie Seitenzählung wird die IP-Adresse für wenige Minuten im Arbeitsspeicher gehalten, um die Zahl der Anfragen zu begrenzen. Eine dauerhafte Speicherung findet nicht statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.
13. Sicherungskopien
Nächtlich wird eine Sicherung der Datenbank erstellt, die auch Kontodaten enthält. Die Übertragung auf die Hetzner Storage Box erfolgt verschlüsselt über SSH. Lokale Sicherungen werden nach 14 Tagen gelöscht, Sicherungen auf der Storage Box nach 90 Tagen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.
Ein Löschverlangen wird im laufenden Betrieb sofort umgesetzt. In bereits erstellten Sicherungen wirkt es sich mit deren Ablauf aus, eine Wiederherstellung gelöschter Daten aus einer Sicherung findet nicht statt.
14. Was auf dieser Website nicht stattfindet
- keine Analysedienste Dritter, insbesondere kein Google Analytics
- kein Meta-Pixel sowie keine sonstigen Werbenetzwerke
- keine Social-Media-Plugins
- keine Kommentarfunktion
- keine Kartendienste
- keine Captchas
- kein Content Delivery Network eines Drittanbieters
- keine externen Schriftarten, alle Schriften liegen auf unserem Server
- keine Affiliate- oder Tracking-Technik in werblichen Inhalten
Die Logos unter "Bekannt von" sind unverlinkte Bilddateien von unserem eigenen Server.
15. Empfänger im Überblick
- Hetzner Online GmbH — Hosting, Sicherungen; Sitz: DE, Server FI; Rolle: Auftragsverarbeiter
- Stripe Payments Europe, Ltd. — Zahlungsabwicklung; Sitz: IE; Rolle: teils eigener Verantwortlicher, teils Auftragsverarbeiter
- Brevo (Sendinblue SAS) — E-Mails zum Vertrag, Support-Antworten, Newsletter; Sitz: FR; Rolle: Auftragsverarbeiter
- Spotify / anchor.fm — Auslieferung der Audiodateien; Sitz: SE / USA; Rolle: eigener Verantwortlicher
- Strato AG — Postfach post@onkelguido.de; Sitz: DE; Rolle: Auftragsverarbeiter
- KISmailer (Heller, Propp GbR) — Newsletter-Versand; Sitz: DE; Rolle: Auftragsverarbeiter
Eine Weitergabe an andere Empfänger findet nicht statt, ausgenommen gesetzliche Verpflichtungen.
16. Übermittlung in Drittländer
Bei der Zahlungsabwicklung (US-Konzernmutter Stripe Inc.) sowie bei der Auslieferung der Audiodateien über anchor.fm/Spotify kann eine Übermittlung in die USA stattfinden. Sie stützt sich auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework, soweit der jeweilige Anbieter dort zertifiziert ist, im Übrigen auf Standardvertragsklauseln nach Art. 46 DSGVO.
Der Webserver und die Sicherungen liegen innerhalb der Europäischen Union.
17. Kinder
Die Inhalte richten sich an Kinder, Verträge und Konten schließen ausschließlich Erwachsene ab. Es gibt keine Funktion, über die Kinder eigene Daten hinterlassen könnten, insbesondere keine Registrierung sowie keine Kommentare.
18. Werbliche Inhalte
Einzelne Beiträge sind Advertorials und tragen die Kennzeichnung "Anzeige". Eine Tracking- oder Affiliate-Technik ist darin nicht enthalten.
19. Rechte der betroffenen Personen
Es besteht das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO) sowie Datenübertragbarkeit (Art. 20 DSGVO). Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden (Art. 7 Abs. 3 DSGVO).
Für alle diese Anliegen genügt eine Nachricht an post@onkelguido.de.
Widerspruchsrecht nach Art. 21 DSGVO
Werden Daten auf Grundlage eines berechtigten Interesses nach Art. 6 Abs. 1 lit. f DSGVO verarbeitet, besteht das Recht, aus Gründen der besonderen Situation jederzeit Widerspruch gegen diese Verarbeitung einzulegen. Nach einem Widerspruch werden die Daten nicht mehr verarbeitet, es sei denn, es bestehen zwingende schutzwürdige Gründe, die die Interessen und Rechte der betroffenen Person überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
Ein Widerspruch genügt formlos an post@onkelguido.de.
Beschwerde bei einer Aufsichtsbehörde
Unabhängig davon besteht ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO). Zuständig ist:
Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen Kavalleriestraße 2-4, 40213 Düsseldorf Postfach 20 04 44, 40102 Düsseldorf Telefon: 0211 38424-0 E-Mail: poststelle@ldi.nrw.de
20. Änderungen dieser Erklärung
Diese Erklärung wird angepasst, sobald sich die Verarbeitungen ändern, etwa durch neue Funktionen oder einen Wechsel eines Dienstleisters. Es gilt jeweils die auf dieser Seite veröffentlichte Fassung.
Stand: 30. August 2026