Verantwortlicher
- Name
- Dominic Blaß
- Anschrift
- Ludwig-Thoma-Str. 11, 95233 Helmbrechts, Deutschland
- Kontakt
- [email protected]
Allgemeines
Ich betreibe die Datenbank selbst und verkaufe oder teile deine Daten nicht mit Dritten. Analyse- oder Tracking-Tools setze ich auf dieser Website nicht ein.
Server und Auslieferung
Der Server steht bei der Netcup GmbH in Deutschland; dort liegen die Datenbank sowie alle hochgeladenen und erzeugten Dateien. Erreichbar ist die Website über Cloudflare, Inc. (USA): jeder Aufruf läuft über deren Netz, das dabei deine IP-Adresse, die aufgerufene Adresse, den Browser-User-Agent und die übertragenen Inhalte verarbeitet und die Transportverschlüsselung bereitstellt; zugleich hält es automatisierte Angriffe ab. Der Server selbst ist aus dem Internet nicht direkt erreichbar, sondern nur über diesen Weg. Auf dem Server selbst wird von deinem Aufruf nur festgehalten, welche Adresse abgerufen wurde, wann, mit welcher Antwort und wie lange es gedauert hat — ohne deine IP-Adresse, ohne Browser-Kennzeichen und ohne die Seite, von der du kamst. Zu den Seiten, deren Adresse selbst ein Zugangsdatum ist — der Link zum Zurücksetzen des Passworts, der Bestätigungslink für deine E-Mail-Adresse — entsteht überhaupt keine Zeile. Wartet eine Seite oder ein über die API verbundenes Programm darauf, dass ich deine Spezifikation gelesen oder dein Paket erzeugt habe, hält sie so lange eine Websocket-Verbindung auf demselben Weg zu meinem Server offen. Darüber kommt nur die Nachricht, dass sich etwas geändert hat; gespeichert wird dabei nichts, und die Verbindung endet, sobald die Antwort da ist. Rechtsgrundlage: berechtigtes Interesse an einem sicheren und erreichbaren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).
Übermittlung in die USA
Zwei der hier genannten Empfänger sitzen in den Vereinigten Staaten. Mit Cloudflare, Inc. besteht ein Auftragsverarbeitungsvertrag, dessen Anhang die Standardvertragsklauseln der Europäischen Kommission enthält (Art. 46 Abs. 2 lit. c DSGVO); daneben erklärt Cloudflare darin die eigene Zertifizierung unter dem EU-U.S. Data Privacy Framework (Art. 45 DSGVO). Die Klauseln tragen die Übermittlung auch dann, wenn diese Zertifizierung einmal wegfiele. An GitHub, Inc. geht überhaupt nur etwas, wenn du dich dort anmeldest oder ein erzeugtes Paket dorthin committen lässt — beides stößt du selbst an. GitHub ist unter dem EU-U.S. Data Privacy Framework zertifiziert, für das die Europäische Kommission ein angemessenes Schutzniveau festgestellt hat (Art. 45 DSGVO). GitHub ist dabei kein Auftragsverarbeiter von mir, sondern für das, was in deinem eigenen GitHub-Konto geschieht, selbst verantwortlich. Eine Kopie der Standardvertragsklauseln bekommst du auf Anfrage über das Kontaktformular.
Konto-Daten
Wenn du ein Konto anlegst, speichere ich deinen Namen und deine E-Mail-Adresse. Legst du das Konto über das Formular an, kommt ein gehashtes Passwort dazu; legst du es über GitHub an, speichere ich kein Passwort — du kannst später eines setzen, musst es aber nicht. Wenn du die Nutzungsbedingungen annimmst, halte ich fest, wann das war und welcher Fassung du zugestimmt hast — das brauche ich, um die Einbeziehung nachweisen zu können (§ 305 Abs. 2 BGB); Rechtsgrundlage dafür sind die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und mein berechtigtes Interesse an diesem Nachweis (lit. f). Beides wird mit deinem Konto gelöscht. Wenn du die Zwei-Faktor-Authentifizierung aktivierst, speichere ich außerdem das zugehörige Geheimnis und die Wiederherstellungscodes. Pro Tag lässt sich hier eine begrenzte Zahl an Paketen erzeugen; hinterlege ich für dein Konto eine abweichende Zahl, steht sie in deinem Kontodatensatz und du siehst sie in deinem Datenexport — ohne Eintrag gilt für dich dasselbe wie für alle. Rechtsgrundlage dafür ist mein berechtigtes Interesse daran, dass ein kostenloser Dienst für alle nutzbar bleibt (Art. 6 Abs. 1 lit. f DSGVO). An deine E-Mail-Adresse gehen die Nachrichten, die das Konto braucht: die Bestätigung der Adresse, das Zurücksetzen des Passworts, die Bestätigung einer geänderten Adresse. Versendet werden sie über die Heinlein Hosting GmbH in Berlin, die mailbox.org betreibt — dieselbe Stelle wie beim Kontaktformular weiter unten. Rechtsgrundlage im Übrigen: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
Gesperrte Konten
Verstößt jemand gegen die Nutzungsbedingungen, kann ich das Konto sperren; die Bedingungen sagen das unter „Prüfung, Sperrung und Beschwerden“. Gespeichert wird dann zweierlei: wann die Sperre gesetzt wurde und mit welcher Begründung. Die Begründung ist für dich geschrieben — du bekommst sie beim Anmeldeversuch zu sehen und findest sie in deinem Datenexport wieder. Beides steht in deinem Kontodatensatz, bleibt so lange wie das Konto und wird mit ihm gelöscht; eine Liste gesperrter Adressen, die ein gelöschtes Konto überdauert, führe ich nicht. Rechtsgrundlagen sind die Durchführung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO) und mein berechtigtes Interesse daran, den Dienst vor missbräuchlicher Nutzung zu schützen (Art. 6 Abs. 1 lit. f DSGVO).
Anmelden mit GitHub
Wenn du dich für die Anmeldung über GitHub entscheidest, wirst du zu GitHub, Inc. (USA) weitergeleitet; dabei erfährt GitHub, dass du diesen Dienst nutzt. Kommst du zurück, rufe ich dort einmalig deine Kennung, deinen Benutzernamen, deinen Namen und deine bestätigte primäre E-Mail-Adresse ab. Gespeichert werden davon Kennung und Benutzername, dazu Name und E-Mail-Adresse als deine Kontodaten. Das Zugriffstoken, mit dem diese Abfrage läuft, verwerfe ich sofort danach — ich speichere und erneuere es nicht. Weil GitHub die Adresse bereits bestätigt hat, entfällt meine Bestätigungsmail. Diese Anmeldung ist freiwillig und ersetzt nichts: das Konto bleibt auch ohne sie über E-Mail und Passwort erreichbar. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
Sitzungen und Cookies
Ich setze ein Session-Cookie, um dich angemeldet zu halten; es enthält nur eine Sitzungs-ID, keine Daten direkt. Der Sitzungsdatensatz selbst (auf meinem Server gespeichert) enthält während der aktiven Sitzung deine IP-Adresse und den Browser-User-Agent. Außerdem setze ich kleine funktionale Cookies, um deine Sprach- und Theme-Einstellung sowie den Zustand der Dashboard-Seitenleiste zu merken — keines davon dient Tracking oder Werbung, daher zeige ich keinen Cookie-Banner. Zusätzlich merkt sich dein Browser selbst — im lokalen Speicher, ohne dass etwas davon an meinen Server geht — die Theme-Einstellung und ob dir Meldungen dieser Seite als Desktop-Benachrichtigung angezeigt werden sollen. Beides steht dort, weil du es eingestellt hast, und bleibt auf deinem Gerät; löschst du die Websitedaten, ist es weg. Rechtsgrundlage: berechtigtes Interesse an einer sicheren Bereitstellung des Dienstes (Art. 6 Abs. 1 lit. f DSGVO).
API-Zugang
Wenn du ein Programm statt eines Browsers verbindest — etwa ein eigenes Skript —, meldet es sich mit einem API-Token an. Ich speichere den Namen, den du vergeben hast, welche Rechte das Token trägt, wann es abläuft, wann es zuletzt benutzt wurde, und einen Hash des Tokens; das Token selbst wird nie gespeichert, deshalb kann es dir auch nur ein einziges Mal angezeigt werden. Bewusst gespeichert werden keine IP-Adresse und kein Browser-Kennzeichen: der Zeitpunkt der letzten Nutzung ist dafür da, dass du ein vergessenes Zugangsdatum erkennst, nicht dafür, dass sich jemand nachverfolgen lässt. Ein Token, das du widerrufst, wird sofort gelöscht, ein abgelaufenes automatisch innerhalb eines Tages. Ein solches Programm überträgt die OpenAPI-Spezifikation, die du ihm gibst, an meinen Server — genau wie ein Upload im Browser, und was danach damit passiert, steht oben. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
Kontaktformular
Nutzt du das Kontaktformular, verarbeite ich Name, E-Mail-Adresse, Betreff und Nachricht, die du angibst, um dir antworten zu können. Der Text wird dabei automatisch auf Merkmale unerwünschter Werbung geprüft; eine auffällige Nachricht wird markiert und mir genauso zugestellt wie jede andere. Die Nachricht wird nicht in meiner Datenbank gespeichert, sondern direkt als E-Mail zugestellt: Versand und Postfach laufen über die Heinlein Hosting GmbH in Berlin, die mailbox.org betreibt. Sie liegt danach in meinem Postfach, bis ich sie dort entferne; beantwortete Anfragen lösche ich spätestens nach sechs Monaten. Rechtsgrundlage: berechtigtes Interesse an der Bearbeitung deiner Anfrage (Art. 6 Abs. 1 lit. f DSGVO).
Code-Generierungs-Anfragen
Lädst du eine OpenAPI-Spezifikation zur Code-Generierung hoch, speichere ich sie auf meinem eigenen Server, um deine Anfrage zu bearbeiten. Daraus entsteht ein PHP-Paket, das als ZIP-Archiv auf demselben Server liegt, damit du es herunterladen kannst. Einen Tag nachdem du es zum ersten Mal heruntergeladen hast, wird das Archiv gelöscht — so lange, damit sich ein abgebrochener Download wiederholen lässt; hast du es nach sieben Tagen nicht abgeholt, wird es ebenfalls gelöscht. Deine Spezifikation bleibt in beiden Fällen erhalten, damit du das Paket jederzeit neu erzeugen kannst. Dazu halte ich den Titel fest, den das Dokument sich selbst gibt, damit ich dich warnen kann, wenn eine später hochgeladene Datei nach einer anderen API aussieht. Lässt du es stattdessen committen, speichere ich zusätzlich das von dir gewählte Repository samt Branch sowie die Adresse des entstandenen Releases. Zu jedem Release halte ich fest, welche Versionsnummern beteiligt waren, was die Kompatibilitätsprüfung ergeben hat und welche Dateien sich geändert haben, damit dir angezeigt werden kann, was du gerade veröffentlichst. Ich gebe diese Daten nicht an eine externe KI oder einen Drittanbieter weiter — eine solche Anbindung existiert Stand heute nicht. Zu jedem Erzeugungsversuch halte ich außerdem fest, wann er lief, wie lange er gedauert hat, wie viel Arbeitsspeicher er gebraucht hat und wie groß dein Dokument war, um die Grenzen des Dienstes richtig zu bemessen. Diese Messwerte werden nach 90 Tagen gelöscht, und früher, wenn du die zugehörige Anfrage löschst. Schon bevor du eine Generierung startest, zeigt dir das Formular eine Vorschau dessen, was in deinem Dokument steht. Dafür wird das Dokument kurz auf demselben Server abgelegt und von einem getrennten Arbeitsprozess gelesen — getrennt deshalb, weil ein fremdes Dokument nicht in dem Programmteil gelesen werden soll, der die Webseite ausliefert. Nach dem Lesen wird es sofort gelöscht; bleibt es aus irgendeinem Grund liegen, wird es spätestens nach einer Stunde automatisch entfernt. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
Prüfung von Spezifikationen
Lässt du eine OpenAPI-Spezifikation prüfen, wird sie kurz auf meinem eigenen Server abgelegt und von einem getrennten Arbeitsprozess gelesen — getrennt aus demselben Grund wie bei der Vorschau: ein fremdes Dokument soll nicht in dem Programmteil gelesen werden, der die Webseite ausliefert. Nach dem Lesen wird das Dokument sofort gelöscht; bleibt es aus irgendeinem Grund liegen, wird es spätestens nach einer Stunde automatisch entfernt. Das Ergebnis — Titel, Version und Umfang des Dokuments und die Stellen, die beim Lesen aufgefallen sind — liegt zehn Minuten in einem Zwischenspeicher, damit die Seite es dir anzeigen kann, und verfällt danach von selbst. Dauerhaft gespeichert wird es nicht, und es gibt keine Liste deiner früheren Prüfungen. Dass du ein Dokument eingereicht hast, halte ich so fest, wie es im Abschnitt „Eingereichte Spezifikationen“ steht. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
Eingereichte Spezifikationen
Zu jeder Spezifikation, die du einreichst, halte ich getrennt von der Generierung selbst fest: wann sie ankam, wie groß sie war, welche Dateiendung sie trug, eine Prüfsumme des Dokuments, ob sie dein Tageskontingent gekostet hat, welche Generierung daraus wurde, über welches Angebot sie kam — den Generator oder den API-Spec-Prüfer —, und ob sie angenommen, abgelehnt oder nicht lesbar war. Wurde sie gelesen, kommt dazu, wohin ihre Verweise ($ref) zeigen — auch auf fremde Adressen, die dabei allerdings nie abgerufen werden — und was die Prüfung angemerkt hat. Das dient dem sicheren Betrieb: ohne diese Aufzeichnung hinterlässt eine abgelehnte Datei überhaupt keine Spur, und ich könnte weder erkennen, dass dieselbe Datei aus mehreren Konten kommt, noch dass ein Konto wiederholt etwas einreicht, das keine Spezifikation ist. Deshalb überlebt dieser Eintrag auch das Löschen der zugehörigen Generierung — sonst könnte er von der Person entfernt werden, um die es geht. Nach 90 Tagen wird er gelöscht, mit deinem Konto sofort. Rechtsgrundlage: berechtigtes Interesse an der Sicherheit der Verarbeitung (Art. 6 Abs. 1 lit. f, Art. 32 DSGVO). Der Eintrag steht vollständig in deinem Datenexport.
Statistik
Zu jedem erzeugten Paket wird mitgezählt, welche OpenAPI-Version das Dokument hatte — nur die Version, nur der Monat, und ohne jeden Bezug zu dir, deinem Konto oder deiner Anfrage. Aus einer solchen Zahl lässt sich niemand wiedererkennen; es sind daher keine personenbezogenen Daten, und sie bleiben deshalb auch bestehen, wenn du dein Konto löschst. Ich nutze sie, um zu entscheiden, welche OpenAPI-Versionen der Generator weiter unterstützen muss.
GitHub-Verbindung
Das Verbinden von GitHub ist freiwillig. Wenn du es tust, speichere ich deinen GitHub-Kontonamen, ob es sich um ein persönliches Konto oder eine Organisation handelt, und die Kennung der von dir erstellten App-Installation — sonst nichts, und keine Zugriffstoken: ein kurzlebiges hole ich mir bei Bedarf von GitHub und verwerfe es danach wieder. Ich frage bei GitHub ab, für welche Repositories du Zugriff gegeben hast, um dir diese Liste anzuzeigen. Wenn du ein erzeugtes Paket committen statt herunterladen lässt, wird der erzeugte Code an GitHub, Inc. (USA) übertragen und in das von dir gewählte Repository geschrieben. Dieser Code trägt den Namen, den du im Formular als Rechteinhaber angegeben hast — vorbelegt ist er mit deinem Kontonamen —, und zwar in der composer.json und in der Lizenzdatei; ist das Repository öffentlich, ist dieser Name es damit auch. Beim Trennen oder beim Löschen deines Kontos entferne ich meinen Eintrag und deinstalliere die App aus deinem GitHub-Konto, womit mein Zugriff endet — Repositories und alles bereits Committete bleiben unverändert, denn sie gehören dir. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
Externe Ressourcen
Diese Website lädt nichts von Dritten nach. Die Schriftarten liegen auf meinem eigenen Server und werden von dort ausgeliefert; es gibt kein Content Delivery Network, keine eingebetteten Karten, Videos oder Social-Media-Schaltflächen und keine Analyse-Werkzeuge. Deine IP-Adresse wird beim Aufruf dieser Seite deshalb keinem weiteren Anbieter bekannt.
Sicherungskopien
Damit ein Defekt am Server nicht bedeutet, dass deine Daten weg sind, wird die Datenbank einmal täglich gesichert. Die Sicherung wird auf dem Server verschlüsselt, bevor sie ihn verlässt, und liegt dann bei Cloudflare, Inc. im Speicherdienst R2 in der Europäischen Union; der Server selbst kann seine eigenen Sicherungen nicht wieder entschlüsseln. Nach 90 Tagen werden sie automatisch gelöscht. Eine Sicherung enthält denselben Bestand wie die Datenbank, also auch deine Kontodaten und deine Generierungsanfragen; hochgeladene Spezifikationen und erzeugte Pakete sind nicht enthalten. Wenn du etwas löschst, verschwindet es sofort aus der Datenbank, kann aber bis zum Ablauf der 90 Tage noch in einer älteren Sicherung stehen — eine Sicherung lässt sich nicht sinnvoll nachträglich verändern, ohne sie unbrauchbar zu machen. Muss ich eine Sicherung tatsächlich einspielen, wende ich deine Löschung danach erneut an. Rechtsgrundlage: berechtigtes Interesse an einem ausfallsicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO) sowie die Pflicht zu angemessenen technischen Maßnahmen (Art. 32 Abs. 1 lit. c DSGVO).
Speicherdauer
Konto- und Generierungsdaten speichere ich, solange dein Konto besteht — mit zwei Ausnahmen: das erzeugte ZIP-Archiv wird 24 Stunden nach deinem ersten Download gelöscht, spätestens aber sieben Tage nach seiner Erzeugung, und die Messwerte zu einem Erzeugungsversuch nach 90 Tagen. Eine einzelne Generierungsanfrage kannst du jederzeit löschen; sie wird dann sofort zusammen mit der von dir bereitgestellten Spezifikation, dem erzeugten Paket und den zugehörigen Release-Einträgen entfernt. Wenn du dein Konto löschst, entferne ich sofort deinen Kontodatensatz, alle deine Generierungsanfragen samt Release-Einträgen und zugehöriger Dateien, deine GitHub-Verbindung — inklusive Deinstallation der App aus deinem GitHub-Konto — und deine aktiven Sitzungen. Was beim reinen Betrieb anfällt, wird automatisch gelöscht: Sitzungen laufen nach zwei Stunden ab, abgelaufene Token zum Zurücksetzen des Passworts und die Zähler der Missbrauchsbremse — dazu zählt auch der deines Tageskontingents, der ohnehin nach 24 Stunden abläuft — werden täglich entfernt, das Anwendungs-Protokoll und fehlgeschlagene Hintergrundaufträge nach 14 Tagen. Abgelaufene API-Tokens werden täglich gelöscht. Ein Dokument, das du nur für die Vorschau oder zur Prüfung hochgeladen hast, wird direkt nach dem Lesen gelöscht — und stündlich wird nachgesehen, ob eines liegen geblieben ist, das älter als eine Stunde ist.
Deine Rechte
Du hast nach Art. 15–21 DSGVO das Recht auf Auskunft, Berichtigung, Löschung oder Einschränkung der Verarbeitung deiner personenbezogenen Daten sowie ein Recht auf Datenübertragbarkeit und Widerspruch. Du kannst deine Kontodaten jederzeit selbst in den Kontoeinstellungen exportieren oder löschen.
Widerspruchsrecht
Du hast das Recht, aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit Widerspruch gegen eine Verarbeitung einzulegen, die auf einem berechtigten Interesse beruht (Art. 6 Abs. 1 lit. f DSGVO). Das betrifft hier den Serverbetrieb samt Protokollen, die Sitzungen und die funktionalen Cookies, die Bearbeitung deiner Nachricht aus dem Kontaktformular, die Aufzeichnung eingereichter Spezifikationen, die Sperre eines Kontos und die Sicherungskopien. Legst du Widerspruch ein, verarbeite ich diese Daten nicht weiter, es sei denn, ich kann zwingende schutzwürdige Gründe nachweisen, die deine Interessen überwiegen. Ein Widerspruch ist formlos — über das Kontaktformular oder per E-Mail an die oben genannte Adresse.
Automatisierte Entscheidungen
Eine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO findet nicht statt, und ein Profiling ebenso wenig. Der Generator läuft automatisch, aber er entscheidet nichts über dich: er liest ein Dokument, das du ihm gibst, und schreibt Code daraus.
Datenschutzbeauftragter
Als Privatperson ohne Beschäftigte bin ich nicht verpflichtet, einen Datenschutzbeauftragten zu benennen (§ 38 BDSG). Bei Fragen zum Datenschutz kannst du dich direkt an mich wenden.
Beschwerderecht
Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist:
Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18
91522 Ansbach
[email protected]
Änderungen dieser Erklärung
Diese Erklärung wurde zuletzt am 2026-10-12 aktualisiert.