Cookies

Alle Cookies von Dropino sind httpOnly: der Browser gibt sie nur an den Server zurück und lässt kein JavaScript heran. Sie sind auf SameSite=Lax gestellt, werden also nicht mitgeschickt, wenn eine fremde Seite etwas bei uns auslöst. In der Produktion sind sie zusätzlich Secure, gehen also nur über eine verschlüsselte Verbindung.

dropino_login

Der Zeitpunkt der letzten Anmeldung. Daran hängt, dass eine Sitzung nach 24 Stunden abläuft und das Passwort wieder fällig wird. Inhalt: eine Zahl, sonst nichts.
Laufzeit: 24 Stunden.

dropino_own

Die Liste der Sendungen, die auf diesem Gerät aufgegeben wurden — höchstens 40, als signierte Kennungen. Wer ohne Konto etwas verschickt, hat sonst keinen Ausweis dafür; ohne dieses Cookie ließe sich zur eigenen Sendung nichts mehr hinzufügen und keine Mail mehr nachschicken.
Laufzeit: 1 Jahr.

dropino_schloesser

Welche verschlossenen Sendungen auf diesem Gerät schon aufgesperrt wurden — ebenfalls signiert, höchstens 40. Ohne das müsste man das Wort bei jedem Aufruf neu eingeben.
Laufzeit: 1 Jahr.

sb-… (mehrere)

Die Anmeldung selbst. Sie kommt von der Login-Bibliothek von Supabase und enthält das Sitzungs-Token des angemeldeten Kontos. Ohne sie ist niemand angemeldet.
Laufzeit: bis zum Abmelden, längstens bis das Token abläuft.

Für Gäste, die nur einen Link öffnen und etwas herunterladen, wird gar kein Cookie gesetzt — es sei denn, die Sendung hat ein Schloss und sie sperren es auf.

Eine Einwilligung braucht es für Cookies, die über den technisch notwendigen Betrieb hinausgehen — also für Analyse, Werbung, Wiedererkennung über Seiten hinweg. Nach § 165 Abs. 3 TKG 2021 (der österreichischen Umsetzung der ePrivacy-Richtlinie) sind Cookies einwilligungsfrei, wenn sie ausschließlich dazu dienen, einen vom Nutzer ausdrücklich gewünschten Dienst zur Verfügung zu stellen.

Genau das trifft auf alle vier zu:

• Anmeldung und Sitzungsdauer — ohne sie kein Konto.
• Eigene Sendungen — ohne sie kein Zugriff auf das, was man selbst aufgegeben hat.
• Aufgesperrte Schlösser — ohne sie bei jedem Klick eine neue Passwortabfrage.

Ein Banner mit „Ablehnen“ wäre hier eine Lüge: Ablehnen kann man nichts, ohne dass der Dienst aufhört zu funktionieren. Deshalb steht keins da.

• Kein Google Analytics und kein fremdes Analysewerkzeug. Was wir selbst zählen — Zugriffe auf eine Sendung sowie den Weg über die Einstiegsseiten und durch die Anmeldung —, zählen wir ohne Cookie und ohne Wiedererkennung; Genaueres in der Datenschutzerklärung.
• Keine Werbenetzwerke, keine Zählpixel, keine Social-Media-Knöpfe.
• Keine Schriften, Skripte oder Bilder von fremden Servern zur Laufzeit — die Schriften werden beim Bauen mitgeliefert und von unserer eigenen Adresse ausgeliefert.
• Kein Profil über dein Verhalten, kein Wiedererkennen über andere Seiten hinweg.
• Kein „Fingerabdruck“ deines Geräts. Wenn eine Sendung geöffnet wird, wird nur die Anzahl hochgezählt — ohne IP-Adresse, ohne Kennung, ohne Gerätemerkmal.

Was Dropino ohne Cookies speichert (Zugriffszahlen, die Strichliste über die Einstiegsseiten /hochzeit und /events und über die Anmeldung — die auch dann geführt wird, wenn du /registrieren unmittelbar aufrufst —, gedrosselte Fehlversuche als IP-Prüfsumme, Dateien selbst), steht in der Datenschutzerklärung.

Jeder Browser kann Cookies für eine einzelne Seite löschen — meist über das Schloss- oder Info-Symbol links in der Adresszeile. Danach bist du abgemeldet, verlierst die Zuordnung zu Sendungen, die du ohne Konto aufgegeben hast, und musst Schlösser neu aufsperren. Die Dateien selbst bleiben unangetastet und über ihren Link weiterhin erreichbar.

„Do Not Track“ und ähnliche Signale wertet Dropino nicht aus — es gibt hier nichts zu unterlassen, was nicht ohnehin unterlassen wird.

Sollte irgendwann ein Werkzeug dazukommen, das mehr tut als der technische Betrieb verlangt — etwa eine Zugriffsstatistik oder ein Zahlungsdienst mit eigenen Cookies —, dann bekommt diese Seite einen neuen Stand, und wo es nötig ist, wird vorher gefragt. Verantwortlich dafür ist der im Impressum genannte Betreiber.

Der Zahlungsdienst ist der wahrscheinlichste Fall: sobald echt bezahlt werden kann, wird hier stehen, welcher es ist und was er setzt. Heute gibt es ihn nicht. ⟨noch einzutragen: Name des Zahlungsdienstes, sobald angebunden⟩