Datenschutz

Verantwortlich für die Verarbeitung deiner Daten im Sinne der DSGVO ist:

Name

William Comploi

Anschrift

Unterberg 59, 6835 Zwischenwasser, Österreich

E-Mail

william.comploi@gmail.com

Datenschutzbeauftragter

Es ist keiner bestellt. Dropino ist ein Ein-Personen-Betrieb ohne umfangreiche oder systematische Überwachung und ohne umfangreiche Verarbeitung besonderer Datenkategorien — die Voraussetzungen des Art. 37 DSGVO liegen damit nicht vor. Für alle Anliegen ist die Adresse oben zuständig.

• Es gibt kein Tracking, keine Werbung, keine fremden Analysedienste und keine fremden Skripte — Näheres in der Cookie-Erklärung. Wie oft die Einstiegsseiten /hochzeit und /events zu einem Konto führen, zählen wir selbst — und die Anmeldung selbst zählen wir dabei auch dann, wenn du /registrieren unmittelbar aufrufst und die Einstiegsseiten nie gesehen hast. Anonym, ohne Cookie und ohne Wiedererkennung; was dabei gespeichert wird, steht unter Punkt 3.
• Deine IP-Adresse wird nirgends gespeichert. Wo sie zur Drosselung gebraucht wird, steht in der Datenbank nur eine Prüfsumme davon, die sich nicht zurückrechnen lässt.
• Wenn jemand eine Sendung öffnet, wird dass es passiert ist gezählt — nicht wer es war. Keine IP, keine Kennung, kein Gerätemerkmal.
• Dateien löschen sich von selbst: ohne Tarif nach 7 Tagen, mit Verlängerungen nach höchstens 21, in der gewählten Sendung eines Anlasses erst mit dessen Ende. Danach liegen sie 30 Tage im Papierkorb. Was du von dort zurückholst, bekommt eine neue Frist und beginnt von vorn — außer, der Anlass dieser Sendung ist schon vorbei: dann kommt die Datei zurück, behält aber ihre alte Frist, und was wegen des Anlass-Endes im Papierkorb liegt, kommt auf diesem Weg gar nicht mehr heraus. Die Zahlen dazu stehen unter Punkt 4.
• Deine Daten werden nicht verkauft, nicht für Werbung genutzt und nicht an Dritte weitergegeben, außer an die vier Dienstleister, die den Betrieb möglich machen (Punkt 5).

Konto

Wenn du ein Konto anlegst — was nur mit einem Freundescode geht —, entstehen: E-Mail-Adresse, Anzeigename, Passwort (nur als Hashwert, nie im Klartext) und der Zeitpunkt der Anlage. Dazu kommt beim Anmelden der Zeitstempel der letzten Anmeldung.

Zweck: das Konto überhaupt zu betreiben — Anmeldung, private Ablage, Anpinnen, eigene Adressen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. vorvertragliche Maßnahme).

Sendungen und Dateien

Zu jeder Sendung entstehen: die Adresse (der Link-Text), eine Bezeichnung, der Anzeigename des Aufgebers (bei Gästen der selbst eingetippte, sonst „Gast“), Anlage- und Ablaufzeitpunkt, ob Hochladen erlaubt ist, und — falls gesetzt — der Hashwert des Schlossworts. Zu jeder Datei: Name, Größe, Dateityp, Speicherschlüssel, Ablaufzeitpunkt, Zahl der Verlängerungen und der Status.

Diese Angaben stehen im Klartext in der Datenbank — Dateiname, Dateityp, Größe, Name des Aufgebers, Bezeichnung und Adresse der Sendung. Zwei Dinge, die man dabei leicht übersieht:

• Der Dateiname wird dem Speicheranbieter nicht mitgeteilt. Der Speicherschlüssel besteht nur aus der zufälligen Kennung der Datei (f/<Kennung>); der Name wird erst beim Ausliefern aus der Datenbank ergänzt. In den Zugriffsprotokollen des Speicheranbieters steht damit keine Bezeichnung, die Rückschlüsse auf den Inhalt zulässt. Ausnahme Bestandsdateien: Dateien, die vor dem 22. August 2026 hochgeladen wurden, tragen den Namen noch im Schlüssel. Sie werden nicht nachträglich umbenannt, weil das Kopieren und Löschen der Daten bedeutete; die alten Schlüssel verschwinden mit ihren Dateien, sobald deren Frist abläuft.
• Von Bildern und Videos wird ein Vorschaubild erzeugt und daneben abgelegt. Es ist ein verkleinertes Abbild des Inhalts und unterliegt denselben Fristen wie die Datei selbst.

Zweck: die Sendung ausliefern, Fristen einhalten, die Übersicht anzeigen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Zugriffe auf eine Sendung

Wird eine Sendung geöffnet, entsteht ein Eintrag mit nur zwei Angaben: welche Sendung, und wann. Keine IP-Adresse, keine Kennung, kein Browser- oder Gerätemerkmal. Aus diesen Einträgen wird eine Zahl („3× geöffnet“) und ein Zeitpunkt des letzten Öffnens.

Zweck: dem Aufgeber zeigen, ob seine Sendung angekommen ist — die häufigste Frage überhaupt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO gegenüber dem Aufgeber. Ein Personenbezug zu den Öffnenden entsteht nicht; die Zählung ist bewusst so gebaut, dass sich daraus niemand herauslesen lässt.

Nutzung der Anlassseiten und der Anmeldung

Über die Einstiegsseiten /hochzeit und /events und über die Anmeldung wird eine Strichliste geführt. Sie hat drei Angaben: welcher Anlass, welche der fünf Stationen (Seite aufgerufen, „Konto anlegen“ geklickt, Formular abgeschickt, Freundescode falsch, Konto angelegt), und an welchem Tag — die Uhrzeit wird bewusst nicht gespeichert. Keine IP-Adresse, auch nicht als Prüfsumme, keine Kennung, kein Gerätemerkmal, kein Konto.

Die drei letzten Stationen entstehen bei der Anmeldung selbst. Sie werden deshalb auch dann gezählt, wenn du /registrieren unmittelbar aufrufst und die Einstiegsseiten nie gesehen hast — bei „welcher Anlass“ steht dann nichts.

Für diese Strichliste wird kein Cookie gesetzt, und auf deinem Gerät wird nichts abgelegt. Zwei Dinge werden allerdings gelesen — beide nur, um zu entscheiden, ob überhaupt ein Strich entsteht: die Browserkennung, damit Suchmaschinen-Crawler nicht mitgezählt werden, und, falls du angemeldet bist, das Cookie deiner Anmeldung — wer schon ein Konto hat, wird auf den Einstiegsseiten nicht mehr mitgezählt, weil gemessen werden soll, wie viele Menschen überhaupt bis zu einem Konto kommen. Beides wird sofort verworfen; gespeichert wird weder das eine noch das andere, und in der Zeile selbst steht nichts davon. Die beiden ersten Stationen kommen ganz ohne JavaScript aus. Bei den drei letzten schickt das Anmeldeformular mit, von welcher Einstiegsseite du gekommen bist; dafür läuft im Browser JavaScript, das aber nichts über dich erhebt, sondern nur einen Wert aus der Adresszeile weiterreicht.

Ein Zusammenhang zwischen zwei Zeilen lässt sich nicht herstellen: es ist nicht erkennbar, ob derselbe Mensch die Seite aufgerufen und später ein Konto angelegt hat. Ausgewertet werden ausschließlich Summen über Monate. Dazu gehört, dass die Zeilen nicht durchnummeriert sind, sondern eine gewürfelte Kennung tragen: eine laufende Nummer würde ihre Reihenfolge in jeder Ausgabe der Tabelle mitliefern und es erlauben, sie neben andere Aufzeichnungen zu legen. Dass sich die Reihenfolge dadurch überhaupt nicht mehr feststellen ließe, behaupten wir aber nicht — in der Datenbank selbst bleibt sie eine Zeitlang nachvollziehbar. Was wir zusagen, ist deshalb kein technisches Unvermögen, sondern unser Verhalten: wir legen diese Einträge nicht neben andere Aufzeichnungen.

Zweck: herausfinden, ob diese Seiten überhaupt gebraucht werden — und wie viele Menschen daran scheitern, dass es Konten nur mit Freundescode gibt. Ohne diese Zahl bleibt eine Hürde bestehen, von der niemand weiß, wen sie kostet.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse daran, den eigenen Dienst zu verstehen). Ein Personenbezug entsteht nicht — die Einträge enthalten nichts, was sich einer Person zuordnen ließe, und wir führen sie nicht zusammen.

Drosselung gegen Durchprobieren

Bei Freundescode, Schlosswort, Mailversand und Tarif-Freischaltung wird gezählt, wie oft es von einem Absender kommt. Gespeichert werden: die Art der Handlung, der HMAC der IP-Adresse und der Zeitpunkt. Der HMAC ist ein schlüsselabhängiger Abdruck: er reicht, um zwei Absender auseinanderzuhalten, und lässt sich nicht in eine IP-Adresse zurückrechnen. Die IP-Adresse selbst wird nicht gespeichert.

Zweck: verhindern, dass Codes und Schlösser durchprobiert oder fremde Postfächer über unsere Absenderadresse zugemüllt werden.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit des Dienstes und dem Schutz der Nutzer). Das Interesse der Betroffenen überwiegt nicht: gespeichert wird das mildeste Mittel, das die Aufgabe noch erfüllt, und nur für kurze Zeit.

Tarif, Bestellungen, Codes

Wenn du einen Tarif buchst, entsteht ein Beleg mit: E-Mail-Adresse und Name (als Kopie zum Zeitpunkt des Kaufs), Tarif, Zeitraum, Betrag, Währung, Umsatzsteuerhinweis, Speichermenge, dem Zeitpunkt deiner AGB-Zustimmung, dem Zeitpunkt deines Verlangens auf sofortigen Beginn, dem Status, dem Kündigungszeitpunkt und dem Ende des Zeitraums. Am Konto selbst stehen Tarif, Beginn, Ende, Zeitraum und Herkunft (Kauf, Coupon oder Zeitcode).

Beim Einlösen eines Codes entsteht zusätzlich ein Eintrag darüber, welches Konto welchen Coupon eingelöst hat, und ein Zähler über Fehlversuche (Konto, Art, HMAC des Absenders, Zeitpunkt).

Zweck: den Vertrag abwickeln und den Beleg nachweisbar aufbewahren.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Abwicklung; Art. 6 Abs. 1 lit. c DSGVO für die Aufbewahrung des Belegs (steuerliche Aufbewahrungspflicht, § 132 BAO); Art. 6 Abs. 1 lit. f DSGVO für die Fehlversuchszähler.

Zahlungsdaten werden derzeit nirgends erhoben. Der Bestellweg fragt an keiner Stelle nach Karte, IBAN oder Ähnlichem — auch nicht zum Schein. Es ist noch kein Zahlungsdienst angebunden.

E-Mails

Dropino verschickt Mails in drei Fällen: die Sendung an einen Empfänger, die Erinnerung an ablaufende Dateien, und die Anmelde- bzw. Passwortmails. Was dabei mit Empfängeradressen geschieht, steht ausführlich in Punkt 7.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Sendung verschicken, Konto betreiben) und Art. 6 Abs. 1 lit. f DSGVO (Erinnerung vor dem Ablauf — das Interesse daran, dass niemand ungewollt Dateien verliert; jederzeit abbestellbar, siehe Punkt 8).

Server-Protokolle

Beim Aufruf einer Seite fallen bei den Dienstleistern (Vercel, Cloudflare, Supabase) technische Protokolle an, wie das bei jedem Webserver der Fall ist — typischerweise mit IP-Adresse, Zeitpunkt, aufgerufener Adresse und Browserkennung. Diese Protokolle werden von Dropino weder ausgewertet noch mit anderen Daten zusammengeführt. ⟨noch einzutragen: Aufbewahrungsdauer der Protokolle bei Vercel, Cloudflare und Supabase — beim jeweiligen Anbieter nachschlagen und hier eintragen⟩

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Betriebssicherheit und Fehlersuche).

Dateien

7 Tage ab dem Hochladen. Verlängerbar — ohne Tarif einmal, mit Tarif zweimal, also höchstens 21 Tage. Verlängert wird dabei immer die ganze Sendung, nicht die einzelne Datei: was später zu einer bestehenden Sendung dazukommt, bekommt deren Frist, falls die länger ist. Wie oft überhaupt noch verlängert werden darf, richtet sich nach der Sendung — nach der höchsten Zahl bereits verbrauchter Verlängerungen unter ihren Dateien —, nicht danach, ob die einzelne Datei eine Frist geerbt hat. Angepinnte Dateien laufen nicht ab, solange der Tarif läuft.

Anlass-Tarif

Ein Anlass-Tarif deckt genau eine Sendung, und der Besitzer wählt sie selbst aus — es wird keine von allein dazu, auch keine, die nach dem Einlösen angelegt wird. Gewählt werden kann jede eigene, noch laufende Sendung, auch eine, die es vor der Freischaltung schon gab; für alle übrigen bleibt es bei den gewöhnlichen Fristen. Die Wahl ist eine bewusste Entscheidung und nicht rückgängig zu machen; die Sendung bekommt dabei dasselbe Enddatum wie der Anlass, nicht 60 neue Tage. In einer Anlass-Sendung gelten die 7/14/21 Tage nicht: die Dateien bleiben liegen, solange der Anlass läuft — 60 Tage. Eine Datei, deren eigene Frist darüber hinausreicht — weil sie kurz vor dem Ende hochgeladen oder die Sendung zusätzlich verlängert wurde —, behält die längere; gekürzt wird durch den Anlass nie. Danach wandert sie in den Papierkorb und lässt sich von dort nicht mehr auf dem gewöhnlichen Weg zurückholen. Für die private Ablage und für deine übrigen Sendungen gilt die Ausnahme nicht — und wer eine Datei aus der Anlass-Sendung in einen anderen eigenen Ordner verschiebt, nimmt sie damit aus dem Anlass heraus: für sie gelten danach wieder die gewöhnlichen Regeln.

Papierkorb

Gelöscht wird nichts sofort. Egal ob du löschst oder die Frist abläuft: die Datei liegt 30 Tage im Papierkorb und wird erst danach endgültig aus dem Speicher entfernt. Holst du sie in dieser Zeit zurück, beginnt ihre Frist neu, und mit dem nächsten Ablauf beginnen auch die 30 Tage neu — eine Obergrenze dafür gibt es nicht. Was wegen eines abgelaufenen Anlass-Tarifs hier liegt, lässt sich auf diesem Weg allerdings nicht zurückholen — auch dann nicht, wenn es vor dem Ende des Anlasses noch zurückzuholen war, weil du es selbst gelöscht hattest. Die 30 Tage laufen dabei unverändert ab deiner Löschung weiter und beginnen nicht neu; danach wird es endgültig entfernt. Dazwischen liegt ein dritter Fall: Ist der Anlass einer Sendung vorbei, ihre Datei aber noch nicht abgelaufen, kommt sie beim Zurückholen zwar heraus, bekommt aber keine neue Frist — sie behält die, die sie hatte. Ohne das ließe sich die Aufbewahrung durch tägliches Löschen und Zurückholen unbegrenzt verlängern.

Leere Sendungen

Eine Sendung ohne Dateien läuft nach 21 Tagen ab — außer, sie ist die Sendung eines Anlasses: dann läuft auch sie leer bis zum Ende des Anlasses. Das ist Absicht und der übliche Fall, denn der Link geht meist lange vor den ersten Bildern raus.

Wunschadressen

Eine selbst gewählte Adresse (z. B. /l/willi) gilt 30 Tage und lässt sich in der Ablage jederzeit wieder auf 30 Tage ab heute setzen — aufaddiert wird dabei nichts, und von allein, etwa durch Öffnen des Links, verlängert sie sich auch nicht. Eine gewürfelte Adresse bleibt unbefristet. Die Adresse der Anlass-Galerie gilt mindestens bis 150 Tage nach dem Einlösen (60 Tage Anlass plus dreimal 30 Tage Freikauf), damit ein gedruckter Link nicht mitten im Anlass ins Leere führt. Abgelaufen heißt dabei nur, dass die Adresse nicht mehr öffnet — die Sendung und ihre Dateien bleiben davon unberührt.

Zugriffszähler

Bleibt, solange die Sendung besteht, und wird mit ihr gelöscht. Er enthält ohnehin keinen Personenbezug.

Strichliste der Anlassseiten

400 Tage, also gut 13 Monate. Ältere Zeilen wirft der nächtliche Aufräumlauf weg. Ausgewertet wird ohnehin nur das letzte Jahr; was darüber hinausgeht, ist die Reserve dafür, dass ein Jahresvergleich nicht an einem angebrochenen Monat endet. Eine Zeile enthält Anlass, Station und Tag — keine Uhrzeit — und sonst nichts.

Drosselungszähler

7 Tage, dann wirft sie der nächtliche Aufräumlauf weg. Von Bedeutung sind die Einträge nur innerhalb ihres Fensters — 30 Minuten bei Freundescode und Schloss, 1 Stunde beim Freischalten, 24 Stunden beim Mailversand —; die Woche darüber hinaus dient allein dazu, hinterher noch erkennen zu können, ob jemand etwas durchprobiert hat.

Konto

Bleibt, bis du es löschen lässt. Eine Sitzung gilt 24 Stunden, danach ist das Passwort wieder fällig.

Belege über Käufe

7 Jahre (§ 132 BAO). Wird das Konto gelöscht, bleibt der Beleg stehen, die Verbindung zum Konto wird aber gekappt; Name und Adresse stehen als Kopie darauf, weil ein Beleg ohne sie kein Beleg ist. Das ist die Ausnahme, die Art. 17 Abs. 3 lit. b DSGVO ausdrücklich vorsieht.

Coupon-Einlösungen

Bleiben, solange der Coupon besteht — sie sind der Nachweis, dass er verbraucht ist.

Dropino läuft nicht auf eigenen Servern. Vier Dienstleister sind beteiligt; alle arbeiten weisungsgebunden als Auftragsverarbeiter nach Art. 28 DSGVO.

Supabase

Datenbank und Anmeldung — also Konten, Sendungen, Dateieinträge, Belege, Zähler.
Supabase Inc., Sitz in den USA, mit Rechenzentren in mehreren Regionen. ⟨noch einzutragen: Vertragspartner (Supabase Inc. oder eine EU-Gesellschaft), genaue Firmenanschrift, gewählte Projektregion, Datum des abgeschlossenen Auftragsverarbeitungsvertrags⟩

Cloudflare R2

Der Speicher für die Dateien selbst.
Cloudflare, Inc. bzw. Cloudflare Germany GmbH. ⟨noch einzutragen: Vertragspartner und Anschrift, tatsächliche Bucket-Location, Datum des Auftragsverarbeitungsvertrags⟩

Vercel

Betrieb der Website und der Programmlogik.
Vercel Inc., Sitz in den USA. ⟨noch einzutragen: Vertragspartner und Anschrift, eingestellte Ausführungsregion, Datum des Auftragsverarbeitungsvertrags⟩

Resend

Der Mailversand — Sendungen, Erinnerungen und gegebenenfalls die Anmeldemails. Übermittelt werden dabei Empfängeradresse, Absendername, Bezeichnung der Sendung und der Link.
Resend, Inc., Sitz in den USA. ⟨noch einzutragen: Vertragspartner und Anschrift, Speicherdauer der Versandprotokolle, Datum des Auftragsverarbeitungsvertrags⟩

Darüber hinaus gibt Dropino keine Daten weiter — nicht an Werbetreibende, nicht an Datenhändler, an niemanden. Behörden bekommen etwas nur, wenn eine Rechtspflicht dazu besteht (Art. 6 Abs. 1 lit. c DSGVO).

Wichtig, und noch offen: Ein Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DSGVO muss mit jedem dieser vier Anbieter tatsächlich abgeschlossen sein. Alle vier bieten ihn an; er muss aber aktiv angenommen und dokumentiert werden. ⟨noch einzutragen: Bestätigung, dass alle vier Verträge abgeschlossen und abgelegt sind⟩

Dropino ist so eingerichtet, dass Datenbank und Dateispeicher in der EU liegen sollen: die Einrichtungsanleitung des Projekts sieht für Supabase die Region Frankfurt und für den Cloudflare-Bucket die Location EU vor.

Das lässt sich aus dem Quelltext allein aber nicht beweisen — die Regionen stehen in den Einstellungen der jeweiligen Konten, nicht im Programm. An dieser Stelle steht deshalb bewusst keine Behauptung, sondern eine Lücke:

• ⟨noch einzutragen: Tatsächliche Region des Supabase-Projekts⟩
• ⟨noch einzutragen: Tatsächliche Location des R2-Buckets⟩
• ⟨noch einzutragen: Tatsächliche Ausführungsregion der Vercel-Funktionen (in vercel.json ist keine festgelegt)⟩
• ⟨noch einzutragen: Region, aus der Resend versendet⟩

Unabhängig vom Speicherort haben alle vier Anbieter ihren Konzernsitz in den USA, und ein Zugriff aus den USA — etwa im Support oder bei der Wartung — ist damit nicht ausgeschlossen. Für solche Fälle stützen sich die Anbieter auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) und, soweit sie dort zertifiziert sind, auf den EU-US Data Privacy Framework-Angemessenheitsbeschluss (Art. 45 DSGVO). ⟨noch einzutragen: Je Anbieter prüfen und eintragen: Standardvertragsklauseln vereinbart? Im DPF zertifiziert?⟩

Wenn jemand eine Sendung per Mail verschickt, tippt er die Adresse des Empfängers ein. Dieser Empfänger hat Dropino nie zugestimmt, kennt uns vielleicht gar nicht und hat der Verarbeitung seiner Adresse selbst nicht eingewilligt. Das gehört ausgesprochen und nicht überlesen.

Was tatsächlich damit geschieht:

• Die Adresse wird nicht in unserer Datenbank gespeichert. Es gibt keine Tabelle mit Empfängeradressen — sie wird nur an den Mailversand weitergereicht.
• Beim Mailversender Resend fällt sie im Versandprotokoll an, wie bei jedem Mailversand. ⟨noch einzutragen: Wie lange Resend Versandprotokolle aufbewahrt⟩
• Sie wird nie für etwas anderes benutzt: kein Newsletter, keine Werbung, keine spätere Ansprache, keine Weitergabe.
• Wer eine Adresse einträgt, bestätigt damit, dass er sie rechtmäßig verwendet — nach den Nutzungsbedingungen liegt die Verantwortung dafür beim Absender.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse ist die Zustellung einer Nachricht, die der Empfänger nach der Lebenserfahrung erwartet — jemand schickt ihm die Fotos, um die er gebeten hat. Ein Interesse an einer Vorratsspeicherung besteht nicht, deshalb findet keine statt.

Wenn du ungefragt eine Dropino-Mail bekommen hast: Schreib an william.comploi@gmail.com. Die Sendung wird dann gesperrt und der Absender darauf angesprochen. Du kannst denselben Weg auch über den Meldeweg gehen.

Kontoinhaber bekommen eine Mail, wenn Dateien in den nächsten drei Tagen ablaufen. Das ist keine Werbung, sondern eine Vorwarnung — trotzdem kann man sie abstellen, und zwar auf zwei Wegen:

1. Am Ende jeder Erinnerungsmail steht ein Abmeldelink. Er wirkt sofort und ohne Anmeldung.
2. Im Konto lässt sich derselbe Schalter umlegen und jederzeit wieder zurückstellen.

Das ist zugleich dein Widerspruch nach Art. 21 DSGVO gegen diese Verarbeitung — es braucht dafür keine Begründung und kein Schreiben.

Was in den Dateien steht, weiß Dropino nicht und sieht sich niemand an. Es gibt keine automatische Inhaltsanalyse, keine Bilderkennung, kein Durchsuchen. Der Betreiber öffnet eine Datei nur dann, wenn eine Meldung eingeht oder eine Behörde ihn dazu verpflichtet — und auch dann nur die gemeldete.

Trotzdem gilt: Wer besonders schützenswerte Daten im Sinne des Art. 9 DSGVO verschickt — Gesundheitsdaten, biometrische Daten, Angaben über Religion, politische Meinung oder Sexualleben — sollte die Sendung mit einem Schloss versehen und das Wort auf einem anderen Weg durchgeben. Ein Link ohne Schloss ist für jeden offen, der ihn hat.

Für Dateien mit personenbezogenen Daten anderer Menschen ist der Absender verantwortlicher im Sinne der DSGVO, nicht Dropino; Dropino ist insoweit reiner Hostinganbieter im Sinne des Art. 6 DSA.

Für alle diese Rechte genügt eine formlose Nachricht an william.comploi@gmail.com. Es kostet nichts, und die Antwort kommt innerhalb eines Monats (Art. 12 Abs. 3 DSGVO).

Auskunft (Art. 15)

Du kannst eine Kopie aller Daten verlangen, die zu dir gespeichert sind, samt Angaben zu Zweck, Empfängern und Speicherdauer.

Berichtigung (Art. 16)

Falsches wird richtiggestellt, Unvollständiges ergänzt. Anzeigename und Adresse kannst du überwiegend selbst ändern.

Löschung (Art. 17)

Konto und Daten werden gelöscht. Ausnahme: Belege über Käufe bleiben bis zum Ende der steuerlichen Aufbewahrungsfrist stehen (siehe Punkt 4).

Einschränkung (Art. 18)

Du kannst verlangen, dass Daten vorerst nur noch aufbewahrt und nicht weiter verwendet werden — etwa während geklärt wird, ob sie richtig sind.

Datenübertragbarkeit (Art. 20)

Die Daten, die du selbst bereitgestellt hast, bekommst du in einem gängigen, maschinenlesbaren Format.

Widerspruch (Art. 21)

Gegen alles, was auf berechtigtem Interesse beruht (Drosselung, Erinnerungsmails, Protokolle), kannst du Widerspruch einlegen. Bei den Erinnerungsmails geht das mit einem Klick (Punkt 8); bei der Sicherheitsdrosselung wird es in aller Regel scheitern, weil ohne sie der Dienst angreifbar wäre — aber du bekommst darauf eine begründete Antwort.

Widerruf einer Einwilligung

Soweit eine Verarbeitung je auf einer Einwilligung beruht, kannst du sie jederzeit für die Zukunft widerrufen. Derzeit stützt sich keine Verarbeitung auf eine Einwilligung.

Wenn du der Meinung bist, dass hier etwas nicht in Ordnung ist, kannst du dich jederzeit bei der Aufsichtsbehörde beschweren — ohne uns vorher zu fragen. Für Österreich ist das:

Behörde

Österreichische Datenschutzbehörde

Anschrift

Barichgasse 40–42, 1030 Wien

Telefon

+43 1 52 152-0

E-Mail

dsb@dsb.gv.at

Website

dsb.gv.at

Du kannst dich auch an die Aufsichtsbehörde deines eigenen Wohnsitzstaates wenden, wenn der ein anderer ist.

Es findet keine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO statt und kein Profiling. Niemand wird von einer Maschine bewertet, eingestuft oder aussortiert.

Was es gibt, sind schlichte, gleich anwendbare Regeln — eine Frist läuft ab, ein Zähler steht auf fünf, ein Tarif ist abgelaufen. Das sind Rechenschritte, keine Entscheidungen über eine Person. Entscheidungen über Sperrung oder Löschung eines Inhalts trifft der Betreiber selbst und begründet sie (siehe Nutzungsbedingungen).

Auf dem Weg

Alle Verbindungen laufen über HTTPS/TLS. Dateien gehen dabei direkt zwischen deinem Gerät und dem Speicheranbieter hin und her, über eine kurzlebige, vorsignierte Adresse — gültig eine Stunde zum Ansehen, sechs Stunden zum Herunterladen. Der Inhalt einer Datei läuft dabei nicht über die Website-Server und nicht über die Datenbank; dorthin gehen nur die Angaben über die Datei.

Im Ruhezustand

Die Dateien liegen beim Speicheranbieter mit AES-256 verschlüsselt. Das ist die Standardverschlüsselung von Cloudflare R2; Dropino legt keine eigene Verschlüsselung darüber.

Daraus folgt, klar gesagt: die Schlüssel liegen beim Speicheranbieter, nicht bei dir und nicht bei uns. Das ist keine Ende-zu-Ende-Verschlüsselung. Technisch könnten auf die Dateiinhalte zugreifen:

• Cloudflare — der Anbieter verwaltet die Schlüssel.
• Der Betreiber — er hat die Zugangsdaten zum Speicher. Er tut es nicht ohne Anlass; siehe Punkt 9.

Supabase und Vercel sehen die Dateiinhalte nicht, nur die Angaben darüber. Wer wirklich will, dass niemand außer dem Empfänger hineinsehen kann, verschlüsselt die Datei vor dem Hochladen selbst — etwa als passwortgeschütztes Archiv — und gibt das Passwort auf einem anderen Weg durch. Das ist der ehrliche Rat, und es ist derselbe Stand wie bei den meisten vergleichbaren Diensten.

Das Schloss vor einer Sendung

Das Wort, mit dem sich eine Sendung sichern lässt, ist eine zusätzliche Zugangssperre vor der Tür — mehr nicht. Es wird als scrypt-Abdruck mit eigenem Salz je Sendung gespeichert und nie im Klartext. Aber: es verschlüsselt die Datei nicht. Die Datei liegt unverändert im Speicher, genau wie eine Datei ohne Schloss. Das Schloss hält Neugierige mit dem Link fern, nicht den Speicheranbieter.

Was sonst noch dafür getan ist

• Kontopasswörter werden im Anmeldedienst gehasht gespeichert, nie im Klartext.
• Coupon-Codes stehen nur als HMAC in der Datenbank. Ein Datenbankauszug ist damit keine Liste gültiger Schlüssel.
• IP-Adressen stehen bei der Drosselung nur als HMAC — nie im Klartext, nicht zurückrechenbar.
• Zugriffe auf eine Sendung werden ganz ohne IP-Adresse festgehalten, nur mit Zeitstempel.
• Alle Cookies sind httpOnly und signiert, wo sie etwas beweisen sollen — ein verändertes Cookie fällt durch.
• Der Zugriff auf die Datenbank läuft ausschließlich über den Server; für den öffentlichen Schlüssel sind die Tabellen gesperrt.
• Die Adressen der Sendungen sind lang und zufällig, wenn man keine eigene wählt. Wer eine eigene wählt, bekommt ausdrücklich das Schloss angeboten — eine lesbare Adresse ist auch eine erratbare.

Nein — nichts davon ist gesetzlich oder vertraglich vorgeschrieben. Aber ohne bestimmte Angaben geht bestimmtes nicht:

• Ohne E-Mail-Adresse, Name und Passwort kein Konto.
• Ohne Empfängeradresse keine Mail — der Link lässt sich aber auch selbst kopieren.
• Ohne hochgeladene Datei keine Sendung.

Eine Sendung aufgeben kannst du ganz ohne Konto. Ein Konto braucht es nur für dauerhafte Ablage, Anpinnen und eigene Adressen — und es gibt es ohnehin nur mit Freundescode.

Wenn sich am Dienst etwas ändert, das hier drinsteht — ein Zahlungsdienst kommt dazu, eine Frist ändert sich, ein Anbieter wird ausgetauscht —, wird diese Seite nachgezogen und bekommt ein neues Stand-Datum. Es gilt jeweils die Fassung, die beim Aufruf hier steht.