Datenschutzerklärung

Kurz gesagt

Diese Website setzt keine Cookies, misst keine Reichweite und lädt nichts von fremden Servern. Es gibt kein Kontaktformular, keinen Newsletter und kein Kundenkonto.

Eine Sache bleibt trotzdem übrig, und genau darüber informiert diese Seite: Der Server protokolliert jeden Abruf, so wie jeder Webserver das tut (Ziffer 4).

Diese Website legt auf dem Endgerät nichts ab — kein Cookie und keinen Eintrag im lokalen Speicher des Browsers. Hier stand bis zum 28. August 2026 eine eigene Ziffer über den Schalter für Tageslicht oder Dunkelheit und den Eintrag „hx-farbschema“, den er im Browser hinterließ. Der Schalter ist entfallen; an seinem Platz in der Kopfzeile steht die Sprachumschaltung, und die besteht aus zwei gewöhnlichen Links. Der Eintrag entsteht deshalb nicht mehr, und die Ziffer ist mit ihm gegangen. Helle oder dunkle Darstellung richtet sich weiter allein nach der Einstellung des Betriebssystems; gespeichert wird dazu nichts.

Der Rest dieser Seite sagt dasselbe noch einmal genau. Das ist keine Doppelung, sondern die Form, die Art. 13 DSGVO verlangt.

1 · Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten auf dieser Website im Sinne von Art. 4 Nr. 7 DSGVO ist:

Aaron Kuyucu
Hexese
Humboldtstraße 86
60318 Frankfurt am Main
Deutschland

E-Mail: info@hexese.com

Die vollständigen Anbieterangaben stehen im Impressum. Ein Datenschutzbeauftragter ist nicht bestellt; die Gründe stehen in Ziffer 3.

2 · Wofür diese Erklärung gilt

Diese Erklärung gilt für die Website unter hexese.com und für hexese.de, das auf hexese.com weiterleitet. Sie gilt nicht für fremde Websites, auf die von hier aus verwiesen wird — dort gilt die Erklärung des jeweiligen Anbieters.

hexese.de und hexese.org liegen im selben Hosting-Vertrag bei demselben Anbieter wie hexese.com. Für einen Aufruf über diese Adressen gilt Ziffer 4 deshalb unverändert; ein weiterer Empfänger entsteht dadurch nicht.

3 · Kein Datenschutzbeauftragter

Hexese hat keinen Datenschutzbeauftragten benannt und muss das auch nicht. Die Bestellpflicht nach § 38 Abs. 1 Satz 1 BDSG greift erst, wenn in der Regel mindestens 20 Personen ständig mit automatisierter Verarbeitung beschäftigt sind. Hexese ist ein Einzelunternehmen ohne Beschäftigte.

Auch die übrigen Fälle greifen nicht: Es findet keine Verarbeitung statt, die eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erfordert, keine geschäftsmäßige Verarbeitung zum Zweck der Übermittlung, keine Markt- oder Meinungsforschung (§ 38 Abs. 1 Satz 2 BDSG), keine umfangreiche systematische Überwachung und keine umfangreiche Verarbeitung besonderer Datenkategorien (Art. 37 Abs. 1 DSGVO).

Fragen zum Datenschutz gehen deshalb direkt an die Adresse in Ziffer 1.

4 · Zugriffsdaten und Server-Protokolle

Beim Aufruf dieser Website überträgt der Browser technische Angaben an den Server, auf dem die Seite liegt. Der Server hält sie in einer Protokolldatei fest. Das geschieht bei jedem Abruf und lässt sich technisch nicht abschalten, ohne die Seite unbenutzbar zu machen.

Erfasst werden:

• die IP-Adresse des anfragenden Geräts
• Datum und Uhrzeit des Abrufs
• die angeforderte Datei und ob der Abruf erfolgreich war
• die übertragene Datenmenge
• die zuvor besuchte Seite, sofern der Browser sie mitsendet (Referrer)
• Angaben zu Browser und Betriebssystem, die der Browser selbst mitschickt (User-Agent)

Die IP-Adresse ist ein personenbezogenes Datum. Der Europäische Gerichtshof hat das für dynamische IP-Adressen entschieden (Urteil vom 19. Oktober 2016, Rechtssache C-582/14). Für die Protokolldateien gilt deshalb die DSGVO.

Zweck und Rechtsgrundlage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse ist konkret: die Website überhaupt ausliefern zu können, Störungen und Fehler zu finden und zu beheben und Angriffe auf den Server abzuwehren — etwa Überlastungsangriffe oder automatisierte Zugriffsversuche. Erwägungsgrund 49 der DSGVO nennt die Netz- und Informationssicherheit ausdrücklich als berechtigtes Interesse.

Ein darüber hinausgehendes Interesse besteht nicht. Die Protokolle werden nicht ausgewertet, nicht zu Statistiken verdichtet und nicht mit anderen Daten zusammengeführt. Eine Zuordnung zu einer bestimmten Person findet nicht statt und ist nicht beabsichtigt.

Speicherdauer. Die Protokolldateien entstehen beim Hostinganbieter und werden dort nach kurzer Zeit automatisch überschrieben.

Eine feste Frist in Tagen nennen wir hier bewusst nicht: Die Protokolle entstehen beim Hostinganbieter, und nur er bestimmt, wie lange sie liegen. Eine Zahl, die er tatsächlich nicht einhält, wäre eine Falschangabe nach Art. 13 Abs. 2 lit. a DSGVO. Gespeichert wird ausschließlich zu Sicherheitszwecken und nur so lange, wie es dafür nötig ist.

Empfänger. Die Website liegt bei der STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin. STRATO verarbeitet die Zugriffsdaten ausschließlich weisungsgebunden als Auftragsverarbeiterin auf Grundlage eines Vertrags nach Art. 28 DSGVO. Weitere Empfänger gibt es nicht.

Die Server des Hostinganbieters stehen in Deutschland. Eine Übermittlung in ein Land außerhalb der Europäischen Union findet nicht statt.

Bereitstellung. Die Angaben entstehen technisch bei jedem Abruf; ohne sie kann keine Website ausgeliefert werden. Eine gesetzliche oder vertragliche Pflicht, sie bereitzustellen, besteht nicht.

5 · Kontaktaufnahme per E-Mail

Diese Website hat kein Kontaktformular. Kontakt läuft ausschließlich über die E-Mail-Adresse aus Ziffer 1. Wer schreibt, übermittelt damit seine E-Mail-Adresse, den Namen, sofern er angegeben wird, und den Inhalt der Nachricht.

Zweck und Rechtsgrundlage. Diese Angaben werden allein dazu verwendet, die Anfrage zu bearbeiten und zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn die Anfrage auf einen Vertrag oder dessen Anbahnung gerichtet ist. In allen übrigen Fällen ist es Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse besteht darin, an eine geschriebene Nachricht eine Antwort anschließen zu können.

Speicherdauer. Die Nachricht wird gelöscht, sobald das Anliegen erledigt ist und der Löschung keine Aufbewahrungspflicht entgegensteht. Ist eine Nachricht ein Handels- oder Geschäftsbrief, gelten die handels- und steuerrechtlichen Aufbewahrungsfristen (§ 257 HGB, § 147 AO); solche Nachrichten werden erst nach deren Ablauf gelöscht.

Bereitstellung. Niemand muss schreiben. Ohne E-Mail-Adresse ist aber keine Antwort möglich.

Empfänger. Das Postfach liegt bei demselben Anbieter, der auch diese Website ausliefert. Er verarbeitet eingehende Nachrichten als Auftragsverarbeiter auf Grundlage eines Vertrags nach Art. 28 DSGVO. Weitere Empfänger gibt es nicht.

6 · Was diese Website nicht tut

Diese Aufzählung ist Teil der Erklärung. Sie steht hier, weil das Fehlen dieser Dinge die eigentliche Aussage ist:

• Es wird kein einziges Cookie gesetzt.
• Es wird nichts auf dem Endgerät gespeichert: kein Eintrag im lokalen Speicher des Browsers (localStorage), keiner im Sitzungsspeicher, keine Datenbank im Browser. Ein Zugriff auf das Endgerät im Sinne von § 25 TDDDG findet damit nicht statt.
• Es findet keine Reichweitenmessung und keine Analyse statt — kein Google Analytics, kein Matomo, kein Plausible, keine Zählpixel.
• Es wird nichts von fremden Servern geladen: keine Schriften, keine Skripte, keine Bilder, keine Videos. Alles, was die Seite anzeigt, wird mit ihr ausgeliefert und liegt auf demselben Server. Es besteht insbesondere keine Verbindung zu Google Fonts oder einem anderen Schriftendienst und keine zu einem Bild- oder Videodienst.
• Es sind keine Karten, keine Social-Media-Plugins und keine Schaltflächen zum Teilen eingebunden. Auch ein fremder Videodienst wie YouTube oder Vimeo ist nicht eingebunden: Wo die Seite ein Video zeigt, liegt die Datei auf demselben Server wie die Seite selbst. Im Fuß stehen gewöhnliche Verweise auf Konten dieses Studios in sozialen Netzwerken — sie laden nichts (Ziffer 7).
• Es gibt kein Kontaktformular, keinen Newsletter, kein Kundenkonto und keinen Verkauf.
• Personenbezogene Daten werden nicht an Dritte weitergegeben; die einzige Ausnahme ist der Hostinganbieter aus Ziffer 4.
• Es findet keine Übermittlung in ein Land außerhalb der EU und des EWR und keine Übermittlung an eine internationale Organisation statt. Die Angaben nach Art. 13 Abs. 1 lit. f DSGVO entfallen deshalb.
• Es findet keine automatisierte Entscheidungsfindung und kein Profiling nach Art. 22 DSGVO statt.

Ändert sich an der Website etwas, ändert sich diese Aufzählung mit. Sie ist keine Werbung, sondern eine Zusage, die überprüfbar bleiben muss.

7 · Verweise auf Konten in sozialen Netzwerken

Im Fuß jeder Seite stehen fünf Verweise auf Konten dieses Studios bei LinkedIn, Instagram, X, Facebook und YouTube. Es sind gewöhnliche Links.

Beim Aufruf dieser Seite geschieht dadurch nichts. Es wird kein Skript, kein Bild und kein Symbolschriftsatz von den Netzwerken geladen, es ist kein Rahmen und keine Schaltfläche eingebunden, und es gibt weder einen Folge- noch einen Gefällt-mir-Zähler. Die fünf Zeichen sind selbst gezeichnet und stehen als Pfad in der Seite; für sie wird nichts geholt. Das ist die Aussage aus Ziffer 6, und sie gilt unverändert — im Netzwerkprotokoll des Browsers ist es nachzusehen.

Erst der Klick führt hinüber. Dann baut der Browser selbst eine Verbindung zum jeweiligen Netzwerk auf und übermittelt dabei, wie beim Aufruf jeder fremden Seite, die IP-Adresse und die Angaben, die er von sich aus mitschickt. Das tut der Browser, nicht diese Website: Sie ist an dieser Verbindung nicht beteiligt und überträgt nichts. Ab dem Netzwerk gilt dessen eigene Datenschutzerklärung (Ziffer 2).

Diese Website erfährt von dem Klick nichts. Es gibt keinen Zähler, keine Weiterleitung über den eigenen Server und keine Kennung in der Adresse; die fünf Adressen stehen vollständig und ohne Zusätze in app/daten/netzwerke.ts. Umgekehrt erfährt auch das Netzwerk nicht, von welcher Seite aus geklickt wurde: Die Verweise tragen rel="noreferrer", und die Seite wird mit der Kopfzeile Referrer-Policy: no-referrer ausgeliefert. Beides unterdrückt den Referer. Die IP-Adresse und die Tatsache, dass genau diese Profilseite geöffnet wurde, sind davon nicht berührt — das lässt sich nicht unterdrücken.

Auf dem Endgerät legen die Verweise nichts ab und lesen dort nichts; § 25 TDDDG ist nicht berührt. Weil hier keine Verarbeitung durch den Verantwortlichen stattfindet, sind zu dieser Ziffer auch keine Rechtsgrundlage, keine Speicherdauer und keine Empfänger zu nennen. Die Angaben in den Ziffern 4, 5 und 6 bleiben davon unberührt.

8 · Rechte der betroffenen Personen

Wer von einer Verarbeitung betroffen ist, hat gegenüber dem Verantwortlichen aus Ziffer 1 diese Rechte:

• Auskunft (Art. 15 DSGVO) — welche Daten verarbeitet werden, wozu, wie lange und wer sie erhält.
• Berichtigung (Art. 16 DSGVO) — unrichtige Daten korrigieren, unvollständige ergänzen.
• Löschung (Art. 17 DSGVO) — Daten löschen lassen, sofern keine Aufbewahrungspflicht entgegensteht.
• Einschränkung der Verarbeitung (Art. 18 DSGVO) — die Daten liegen lassen, aber nicht weiter verwenden.
• Datenübertragbarkeit (Art. 20 DSGVO) — die selbst bereitgestellten Daten in einem gängigen Format erhalten.
• Widerspruch (Art. 21 DSGVO) — siehe den gesonderten Hinweis in Ziffer 9.
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO) — siehe Ziffer 10.

Für alle diese Rechte genügt eine formlose E-Mail an die Adresse aus Ziffer 1. Die Ausübung ist kostenlos. Bei Zweifeln an der Identität der anfragenden Person darf und muss nachgefragt werden (Art. 12 Abs. 6 DSGVO) — sonst würde eine Auskunft womöglich an die falsche Person gehen.

Eine Einwilligung wird auf dieser Website nirgends eingeholt. Ein Widerruf nach Art. 7 Abs. 3 DSGVO kommt deshalb nicht in Betracht.

10 · Beschwerde bei einer Aufsichtsbehörde

Unbeschadet anderer Rechtsbehelfe steht jeder betroffenen Person das Recht auf Beschwerde bei einer Aufsichtsbehörde zu (Art. 77 DSGVO). Zuständig ist die Behörde am Aufenthaltsort, am Arbeitsplatz oder am Ort des mutmaßlichen Verstoßes.

Für Hexese zuständig ist die Behörde am Sitz in Frankfurt am Main:

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit
Postfach 31 63
65021 Wiesbaden
Hausanschrift: Wilhelmstraße 7, 65185 Wiesbaden
Telefon: 0611 1408-0
E-Mail: poststelle@datenschutz.hessen.de
datenschutz.hessen.de

Eine Beschwerde bei mir ist nicht Voraussetzung. Sie ist aber oft der schnellere Weg, wenn sich etwas einfach klären lässt.

11 · Änderungen dieser Erklärung

Diese Erklärung beschreibt den Stand der Website zum unten genannten Datum. Ändert sich an der Website etwas, das personenbezogene Daten oder den Zugriff auf Endgeräte betrifft, wird diese Erklärung vorher geändert — nicht danach.