Datenschutz
Verständlich erklärt · Stand: Mai 2026
Verantwortlicher
malziland – learning | training | consulting e.U., Inhaber Christoph Krieger. Kontaktinformationen findest du im Impressum.
Datenschutz-Kontakt: datenschutz@malzi.space
1. Zero‐Knowledge ist der Kern
Nur „verschlüsselt“ reicht nicht – entscheidend ist wer den Schlüssel hat. Bei Zero‐Knowledge liegt der Schlüssel nur bei dir. Das heißt: Wir bekommen ihn nie zu sehen und können deinen Inhalt technisch nicht lesen.
Kurz gesagt: Der Text wird in deinem Browser verschlüsselt, bevor er den Server erreicht. Auf dem Server landet nur verschlüsselter Datenmüll.
- 100% Ende‐zu‐Ende‐verschlüsselt
- Technik: AES‐GCM (256‐Bit) im Browser
- Schlüssel: bleibt nur bei dir
- Transport: HTTPS
- Löschung: automatisch nach 24 Stunden
Wir sehen nur verschlossene Briefumschläge – und haben keinen Schlüssel fürs Öffnen.
Zero‐Knowledge bezieht sich auf den Inhalt deiner Spaces. Bei jedem HTTP‐Zugriff fallen jedoch technische Metadaten an (IP‐Adresse, User‐Agent, Zeitstempel), die von der Google‐Cloud‐Infrastruktur für den Betrieb und zur Missbrauchserkennung verarbeitet werden. Diese Infrastruktur‐Logs werden von Google typischerweise nach ca. 30 Tagen automatisch gelöscht. Wir selbst speichern keine IP‐Adressen oder User‐Agent‐Daten.
2. Welche Daten entstehen?
- Verschlüsselte Inhalte (für uns nur „Buchstabensalat“)
- Zeitpunkte (Erstellt/Geändert), damit Sync & Löschung klappen
- Presence‐Token, damit „Anzahl Personen“ funktioniert
- Technische Verbindungsdaten wie IP‐Adresse, Request‐Metadaten und Security-/Rate‐Limit-Signale
- App‐Check-/Proof‐of‐Work‐Signale, damit Bots und missbräuchliche Nutzung blockiert werden können
Kein Benutzerkonto, keine Analytics-Profile, keine Werbeprofile.
3. Was bei uns nicht existiert
- Kein Klartext auf dem Server – nur verschlüsselte Daten, die ohne deinen Schlüssel unlesbar sind
- Kein Account – kein Login, kein Passwort, keine E-Mail-Adresse. Wir kennen dich nicht
- Kein Tracking – kein Cookie, kein Google Analytics, kein Pixel. Nur technisch notwendiger localStorage
- Keine IP-Adresse dauerhaft – technische Verbindungsdaten werden nur temporär für Missbrauchsschutz verarbeitet
- Keine Werbung – keine Anzeigen, kein Datenverkauf, keine Remarketing-Tags
- Keine Gesichtserkennung – keine Bildanalyse, keine KI auf deinen Inhalten
4. Wer ist beteiligt?
| Dienst | Was er bekommt | Betreiber |
|---|---|---|
| Firebase Hosting | Statische Dateien ausliefern | Google Ireland Ltd., EU |
| Cloud Firestore | Verschlüsselte Space-Daten, Zeitstempel (eur3, Europa Multi-Region) |
Google Ireland Ltd., EU |
| Realtime Database | Presence-Token für Live-Zähler (europe-west1, Belgien) |
Google Ireland Ltd., EU |
| Cloud Functions & Cloud Run | API-Anfragen, WebSocket-Relay (europe-west3, Frankfurt) |
Google Ireland Ltd., EU |
| Firebase App Check | Proof-of-Work-Antwort zum Bot-Schutz (kein reCAPTCHA, kein Tracking-Skript) | Google Ireland Ltd., EU |
Wichtig: Für die Web-Attestation laden wir aktuell keine reCAPTCHA- oder sonstigen Werbe-/Tracking-Skripte. Der Browser löst lokal eine kleine Proof-of-Work-Challenge; der Server mintet daraus einen Firebase-App-Check-Token.
5. Cookies & lokaler Speicher
malziSPACE setzt keine Tracking-Cookies. Nur technisch notwendiger Speicher wird verwendet.
| Typ | Zweck | Dauer | Größe |
|---|---|---|---|
| localStorage | Anonymer Presence-Token (damit die Personenzahl stimmt) | bis gelöscht | < 1 KB |
| sessionStorage | Countdown bis zur Löschung (Ablaufzeit des Spaces) | bis Tab geschlossen | < 1 KB |
| IndexedDB | nicht verwendet | — | — |
Heißt auf gut Deutsch: Wir merken uns kurz, dass dieser Browser da ist – aber nicht wer du bist.
6. Das Rechtliche
Deine Nutzung von malziSPACE basiert auf berechtigtem Interesse (Art. 6 Abs. 1 lit. f DSGVO) – Bereitstellung des Dienstes und Missbrauchsschutz (Rate Limiting, App Check).
Google verarbeitet die Daten in unserem Auftrag als Auftragsverarbeiter (Art. 28 DSGVO) auf EU-Servern. Google darf die Daten nicht für eigene Zwecke nutzen. Grundlage: Google Cloud Data Processing Addendum, Vertragspartner ist Google Ireland Limited.
7. Externe Links
Auf einigen Seiten gibt es externe Links, zum Beispiel zu Buy Me a Coffee. Erst wenn du so einen Link anklickst, gelten zusätzlich die Datenschutzregeln des jeweiligen Zielanbieters.
8. Deine Rechte
- Auskunft (Art. 15): Was wir über dich gespeichert haben – nichts Personenbezogenes
- Löschung (Art. 17): Spaces werden automatisch nach 24 Stunden gelöscht
- Widerruf (Art. 7 Abs. 3): Schließe die Seite, fertig
- Beschwerde (Art. 77): Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien (dsb.gv.at)