Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für den Betrieb dieser Website ist , , . Kontakt für Datenschutzfragen: .

Ein Datenschutzbeauftragter ist nicht benannt, weil keine Pflicht dazu besteht. Über Zweck und Umfang der Inhalte, die sie in Fallwerk eingeben, entscheiden die Nutzer selbst und eigenverantwortlich; der Betreiber stellt dafür nur die technische Plattform bereit.

2. Worum es geht

Fallwerk ist ein nicht öffentliches Arbeitswerkzeug für einen kleinen, vom Betreiber eingerichteten Nutzerkreis. Es gibt keine Registrierung, keine Werbung, kein Tracking, keine Analysewerkzeuge, keine eingebundenen Schriften, Karten oder Videos von Dritten und keinen Mailversand.

3. Aufruf der Website und Server-Logdateien

Beim Aufruf verarbeitet der Webserver technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Statuscode, übertragene Datenmenge und Browserkennung (User-Agent). Zweck ist die sichere Auslieferung und die Fehler- und Missbrauchsabwehr. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Die Logdateien werden nach Tagen gelöscht.

4. Cloudflare

Die Verbindung zur Website läuft über Cloudflare (Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA). Cloudflare stellt die verschlüsselte Verbindung her, leitet Anfragen an den Server weiter und wehrt Angriffe ab. Dabei verarbeitet Cloudflare die Verbindungsdaten aus Abschnitt 3 und den Inhalt der Anfragen. Fachliche Inhalte sind darin bereits im Browser verschlüsselt (Abschnitt 6). Cloudflare kann dafür technisch notwendige Cookies setzen, etwa zur Erkennung automatisierter Zugriffe. Mit Cloudflare besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO); ergänzend gelten Standardvertragsklauseln. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

5. Anmeldung und Benutzerkonto

Konten legt ausschließlich der Betreiber an. Ihr Passwort verlässt Ihren Browser nicht: Der Browser leitet daraus einen Anmeldewert ab, und der Server speichert davon nur einen Argon2id-Hash. Gespeichert werden außerdem Benutzername, Anzeigename, Rolle, ob das Konto aktiv ist, und die verschlüsselten Schlüsselpakete des Kontos.

Zur Anmeldung gehört ein Bestätigungscode aus einer Authenticator-App auf Ihrem Gerät. Das Geheimnis für diese Codes speichert der Server verschlüsselt, dazu den Zeitabschnitt des zuletzt angenommenen Codes, damit kein Code zweimal gilt. Außerdem löst Ihr Browser bei der Anmeldung unbemerkt eine kleine Rechenaufgabe, die automatisierte Zugriffe erschwert (ALTCHA). Sie läuft vollständig auf diesem Server, ohne Drittanbieter; gespeichert wird nur ein Prüfwert der Lösung bis zu ihrem Ablauf nach höchstens fünf Minuten, ohne Bezug zu Person oder IP-Adresse.

Zum Schutz vor Passwortraten speichert Fallwerk Fehlversuche nur unter einer pseudonymen Kennung, ohne IP-Adresse und ohne Benutzernamen im Klartext. Sicherheitsrelevante Ereignisse werden mit Ereignistyp, technischer Benutzer-ID, Ergebnis und Zeitpunkt protokolliert, ohne Inhalte. Während einer Sitzung hält der Server Benutzername, Anzeigename und Rolle bereit; diese Sitzungsdaten werden bei der Abmeldung gelöscht, sonst spätestens rund 24 Stunden nach der letzten Nutzung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Kontos) und lit. f (Sicherheit).

6. Inhalte und Verschlüsselung

Fachliche Inhalte werden in Ihrem Browser verschlüsselt, bevor sie den Rechner verlassen: Personendaten, Aktenkennung, Geburtsjahr und -monat, Notizen, Hilfen mit ihrem Verlauf sowie Titel und Beschreibung von Aufgaben. Der Schlüssel dafür entsteht im Browser aus Ihrem Passwort. Server und Cloudflare erhalten weder Passwort noch Schlüssel und sehen von diesen Inhalten nur verschlüsselte Daten. Ohne Ihr Passwort oder Ihren Wiederherstellungscode kann niemand die Inhalte entschlüsseln, auch der Betreiber nicht; gehen beide verloren, sind die Inhalte nicht mehr lesbar.

Im Klartext gespeichert sind nur organisatorische und technische Angaben: technische Kennungen und Zeitpunkte einschließlich der Fälligkeit von Aufgaben, ob eine Aufgabe offen oder erledigt ist, ob eine Akte aktiv, archiviert oder im Papierkorb ist, die gewählte Kategorie einer Akte und die selbst gewählten Kategorienamen, Art und Zahl der verschlüsselten Dokumente je Akte sowie technische Verwaltungsdaten der Verschlüsselung. Kategorienamen sollen deshalb keine Namen von Klientinnen und Klienten enthalten.

7. Cookies und Speicher im Browser

Fallwerk setzt genau ein eigenes Cookie, das Sitzungscookie FALLWERK_SESSION. Es ist für die Anmeldung unbedingt erforderlich und wird bei Abmeldung, nach 15 Minuten ohne Aktivität oder mit dem Schließen des Browsers ungültig. Außerdem speichert der Browser lokal nur die gewählte Darstellung (Hell, Dunkel, Akzentfarbe). Beides ist nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung zulässig. Entschlüsselte Inhalte werden nie im Browser gespeichert, sie liegen nur vorübergehend im Arbeitsspeicher.

8. Speicherort und Speicherdauer

Der Server steht in Deutschland. Sicherungen der Datenbank werden zusätzlich bei einem Cloudspeicher-Anbieter (Microsoft OneDrive) abgelegt; sie werden vor der Übertragung verschlüsselt, der Anbieter erhält weder Klartext noch Schlüssel. Kontodaten werden gespeichert, solange das Konto besteht. Ein Konto löscht der Betreiber auf Anfrage, spätestens 30 Tage nach seiner Deaktivierung, zusammen mit allen Akten des Kontos.

Archivierte Akten wandern zwölf Monate nach dem Archivieren automatisch in den Papierkorb. Akten im Papierkorb werden nach 30 Tagen endgültig gelöscht; Sie können sie dort auch vorher selbst endgültig löschen. Entfernte Notizen und Aufgaben werden nach 30 Tagen endgültig gelöscht. Protokolleinträge zu sicherheitsrelevanten Ereignissen werden nach zwölf Monaten gelöscht, Fehlversuche bei der Anmeldung nach 24 Stunden.

Gelöschte Daten bleiben in Sicherungen enthalten, bis diese ablaufen; einzelne Einträge werden darin nicht gelöscht. Ein tägliches Abbild des gesamten Servers wird 14 Tage aufbewahrt. Sicherungen vor Datenbankänderungen werden nach höchstens sechs Monaten gelöscht, die Sicherungen beim Cloudspeicher-Anbieter spätestens nach rund sieben Monaten. Auch in Sicherungen sind die fachlichen Inhalte nur verschlüsselt enthalten.

9. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen nach Art. 6 Abs. 1 lit. f DSGVO (Art. 21).

Wenden Sie sich dafür an .

Außerdem können Sie sich bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel beim Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg.

10. Keine automatisierten Entscheidungen

Es gibt weder Profiling noch automatisierte Entscheidungen nach Art. 22 DSGVO.