Zum Inhalt

Datenschutz­erklärung

Stand: 24.10.2026.

1. Verantwortlicher

Petrit Isufi
Paradestr. 50
42107 Wuppertal
E-Mail: mail@petrit.dev

2. Hosting

Diese Website wird auf einem virtuellen Server bei Hetzner gehostet:

Hetzner Online GmbH
Industriestr. 25
91710 Gunzenhausen

Der Server steht im Rechenzentrum Helsinki, Finnland, also innerhalb der EU. Eine Übermittlung personenbezogener Daten in ein Drittland findet beim Hosting nicht statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, das berechtigte Interesse am zuverlässigen Betrieb dieser Website. Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Beim Aufruf dieser Website erfasst der Webserver (Caddy) automatisch Server-Logfiles mit:

Die laufende Logdatei wird bei 100 MB abgeschlossen. Abgeschlossene Dateien werden nach 30 Tagen gelöscht, höchstens fünf bleiben erhalten. Einträge können deshalb länger als 30 Tage gespeichert sein.

3. Schutz vor Angriffen (CrowdSec)

Auf dem Server läuft die Sicherheitssoftware CrowdSec. Sie wertet die Server-Logfiles aus Abschnitt 2 aus und sucht darin nach Angriffsmustern, etwa vielen Aufrufen nicht vorhandener Adressen oder Versuchen, bekannte Sicherheitslücken auszunutzen. Löst eine IP-Adresse ein solches Muster aus, sperrt die Firewall des Servers sie für vier Stunden, und CrowdSec meldet sie an die CrowdSec-Zentrale. Gesperrt werden außerdem IP-Adressen von der Sperrliste, die CrowdSec aus solchen Meldungen anderer Server zusammenstellt.

Eine Meldung enthält die IP-Adresse mit Standortangaben, soweit vorhanden, den Namen des Musters, den Zeitpunkt und eine Kennung dieses Servers. Weitere Angaben aus den Logfiles, etwa aufgerufene Adressen oder Browserangaben, enthält sie nicht. Empfänger ist CrowdSec, 20 rue Maurice Arnoux, 92120 Montrouge, Frankreich. Nach eigenen Angaben speichert CrowdSec die vollständige IP-Adresse höchstens drei Monate, in Einzelfällen bis zu einem Jahr, danach nur noch vergröbert. Gibt CrowdSec Daten an Empfänger außerhalb der EU weiter, geschieht das nach eigenen Angaben auf Grundlage der Standardvertragsklauseln der EU-Kommission.

Auf dem Server löscht CrowdSec Treffer spätestens nach sieben Tagen aus seiner Datenbank. Treffer und Sperren stehen mit IP-Adresse aber auch in einer eigenen Logdatei von CrowdSec, die nur nach Größe rotiert wird; diese Einträge können deshalb mehrere Monate alt werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, das berechtigte Interesse, den Server und diese Website vor Angriffen zu schützen.

4. Domain und DNS

Die Domain petrit.dev ist beim US-Registrar Namecheap, Inc. (4600 East Washington Street, Suite 305, Phoenix, AZ 85034, USA) registriert. Die DNS-Anfragen für diese Domain beantworten die Nameserver von Namecheap. Meist stellt sie nicht dein Gerät, sondern der DNS-Resolver deines Internetanbieters oder ein selbst gewählter Resolver; Namecheap sieht dann dessen IP-Adresse. Manche Resolver geben dabei einen gekürzten Teil deiner IP-Adresse mit (EDNS Client Subnet, bei IPv4 üblicherweise die ersten drei Blöcke); die Nameserver von Namecheap nehmen diese Angabe an. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

5. Reichweitenmessung (Tracking)

Ich messe die Nutzung dieser Website mit einem selbst gehosteten Skript. Es wird von petrit.dev/m-20261024.js geladen und sendet an /m/c auf derselben Domain, wo mein Analytics-Dienst die Angaben annimmt. Je Seitenaufruf speichere ich:

Was ich bei der Reichweitenmessung nicht erfasse: keine Cookies und keine Kennung, die länger als einen Tag gilt. Das Skript liest auf deinem Gerät weder die Bildschirmgröße noch die Browserkennung aus; die Browserkennung kennt der Server aus dem Header der Anfrage. Deine IP-Adresse wird auf dem Tracking-Endpunkt nicht gespeichert, auch nicht im Logfile des Webservers. Aus IP-Adresse und Browserkennung (User-Agent) bildet der Server das Tageskennzeichen: einen HMAC-SHA256 mit einem Zufallsschlüssel, gekürzt auf 16 Zeichen. Der Schlüssel liegt nur im Arbeitsspeicher des Servers. Für jeden Kalendertag (UTC) gilt ein neuer Zufallsschlüssel. Den Schlüssel des Vortags löscht der Dienst, sobald der erste Aufruf des neuen Tages eintrifft. Der Dienst läuft mit zwei Prozessen; ein Prozess, der an einem Tag keinen Aufruf erhält, behält den Schlüssel des Vortags im Arbeitsspeicher, bis er den nächsten Aufruf bearbeitet. Mit dem Kennzeichen lassen sich Aufrufe desselben Tages einem Besucher zuordnen, Aufrufe verschiedener Tage nicht. Ist der Schlüssel überall gelöscht, lässt sich das Kennzeichen keiner IP-Adresse mehr zuordnen. Es ist ein Pseudonym, kein anonymer Wert.

Rechtsgrundlage der Verarbeitung ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Reichweitenanalyse ohne Cookies oder personenbezogene Profile). Auf dein Endgerät greift das Skript nur zu, um den Opt-out-Eintrag zu lesen und, wenn du es anforderst, zu setzen oder zu entfernen (§ 25 Abs. 2 Nr. 2 TDDDG).

Ausschalten: Du kannst die Reichweitenmessung für diesen Browser ausschalten. Dafür speichert dein Browser den Eintrag za_optout im localStorage. Das gilt sofort, schon für die Seite mit dem Parameter in der Adresse. Danach sendet das Skript keine Angaben zur Reichweitenmessung mehr; es liest den Eintrag vor jedem Versand. Ist der Browserspeicher gesperrt, sendet das Skript nichts. Die Serverprotokolle aus Abschnitt 2 laufen weiter. Du kannst die Reichweitenmessung auch wieder einschalten; das entfernt den Eintrag. Beides geht auch auf jeder anderen Seite dieser Website mit dem Zusatz ?za_optout=1 oder ?za_optout=0. Der Eintrag gilt für diese Website in diesem Browserprofil; wer die Websitedaten löscht, löscht ihn mit.

Außerdem merkt sich ein verstecktes Spielelement der Seite seinen Zwischenstand im sessionStorage des Tabs; der Eintrag bleibt im Browser und verschwindet, wenn du den Tab schließt. Sonst legt die Seite nichts in deinem Browser ab.

Speicherdauer: In der Datenbank des Analytics-Dienstes werden die gespeicherten Seitenaufrufe nach 24 Monaten automatisch gelöscht. Sicherungen halten Einträge länger. Auf dem Server und auf meinem Rechner zu Hause liegt je eine aktuelle Kopie der Datenbank, die bei jedem Abgleich überschrieben wird. Frühere Stände halten tägliche Sicherungen: auf meinem Rechner zu Hause sieben Tages-, vier Wochen- und drei Monatsstände, der älteste bleibt höchstens drei Monate; extern bei Hetzner (Storage Box), vom Server wie von meinem Rechner aus, 14 Tages-, acht Wochen- und zwölf Monatsstände, der älteste bleibt höchstens zwölf Monate. Bereits gelöschte Einträge können dort bis zum Ablauf des jeweiligen Stands stehen bleiben.

6. Externe Schriftarten

Schriftarten werden von dieser Website ausschließlich lokal eingebunden. Es findet keine Verbindung zu Google Fonts oder vergleichbaren externen Diensten statt.

7. Kontakt per E-Mail

Wenn du eine E-Mail an mail@petrit.dev sendest, werden deine Angaben zwecks Bearbeitung der Anfrage gespeichert. Das Postfach liegt im Webhosting der Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen), die Mail-Server stehen in Deutschland. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b/f DSGVO. Daten werden nach Abschluss der Bearbeitung gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.

8. Deine Rechte

Du hast jederzeit das Recht auf:

Zur Ausübung deiner Rechte genügt eine E-Mail an mail@petrit.dev.

9. Beschwerderecht

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist u.a.:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Postfach 20 04 44, 40102 Düsseldorf
www.ldi.nrw.de