Was Lumenda erfasst

Wenn Sie über einen Auftragsverarbeitungsvertrag oder die Datenschutz­erklärung einer Website hierher gelangt sind, ist das die Seite, die Sie suchen. Jede Angabe hier lässt sich am laufenden System überprüfen.

Erfasst wird

Je Besuch: Browser, Betriebssystem, Gerätetyp, Bildschirmgröße, Sprache, Land, Region und Stadt. Je Seitenaufruf: der Pfad der Seite, der Seitentitel, die verweisende Seite und der Zeitpunkt.

Nicht erfasst wird

• Keine Cookies. Beim Zählen selbst wird nichts auf Ihrem Gerät gespeichert. Der einzige Zugriff ist die Prüfung, ob Sie widersprochen haben — und dieser Widerspruch wird nur dann, ausschließlich lokal in Ihrem Browser, hinterlegt, wenn Sie ihn selbst erklären.
• Ihre IP-Adresse wird verarbeitet, aber nicht gespeichert. Sie wird ausschließlich vorübergehend verwendet, um daraus zusammen mit einem täglich wechselnden Zufallswert eine nicht rückrechenbare Prüfsumme zu bilden und um über eine lokale Datenbank Ihr Land zu bestimmen. Sie verlässt diesen Server nicht.
• Keine vollständige Browserkennung.
• Keine Abfragezeichenfolgen — alles nach einem Fragezeichen in der Adresse wird abgeschnitten, bevor die Daten den Server erreichen.
• Keine Übermittlung in ein Drittland.

Einordnung und Rechtsgrundlage

Diese Daten sind pseudonymisiert, nicht anonym: ein Bezug zu Ihnen ist theoretisch herstellbar. Sie werden deshalb als personenbezogene Daten behandelt. Rechtsgrundlage ist das berechtigte Interesse daran zu erkennen, welche Inhalte gelesen werden (Art. 6 Abs. 1 lit. f DSGVO).

Speicherdauer

24 Monate. Ältere Datensätze werden durch einen nächtlichen Vorgang gelöscht. Sicherungskopien werden 14 Tage aufbewahrt; so lange kann ein gelöschter Datensatz dort noch vorhanden sein.

Auftragsverarbeiter

Betrieben wird die Instanz von der im Impressum genannten Stelle, eingebunden nach Art. 28 DSGVO. Die Server stellt die Contabo GmbH (München, Deutschland) bereit, ebenfalls nach Art. 28: Die Instanz selbst läuft in einem Rechenzentrum in Frankreich, nächtliche Sicherungskopien liegen auf einem zweiten Server in Deutschland. Beide Standorte liegen in der EU; eine Übermittlung in ein Drittland findet nicht statt.

Ihr Widerspruchsrecht

Sie können der Zählung jederzeit nach Art. 21 DSGVO widersprechen; wir nehmen Sie dann aus der Zählung. Die Kontaktadresse steht im Impressum. Sendet Ihr Browser das Signal „Do Not Track“, zählen wir Sie ebenfalls nicht.

Das Berichtsportal (reports.lumenda.eu)

Klientinnen rufen ihren Bericht unter reports.lumenda.eu ab und melden sich mit einem Link an, der an ihre E-Mail-Adresse gesendet wird. Das ist ein eigener Verarbeitungsschritt neben der Zählung oben, mit eigenen Daten:

• E-Mail-Adresse. Gespeichert, um den Anmeldelink zu senden und Sie nach dem Login wiederzuerkennen. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Gespeichert, bis die Sitzung nach 30 Tagen verfällt; wird die Adresse aus der Klientenliste entfernt, endet die Sitzung spätestens beim nächsten Neustart.
• Sitzungs-Cookie lr_session. 32 Zufallsbytes, HttpOnly, Secure, SameSite=Lax, 30 Tage gültig. Technisch notwendig, damit Sie angemeldet bleiben — keine Einwilligung erforderlich (§ 165 Abs. 3 TKG 2021). Serverseitig wird nur eine SHA-256-Prüfsumme gespeichert, nie der Klartext.
• Rate-Limit-Prüfsummen. Zum Missbrauchsschutz werden Anmeldeversuche pro Adresse (5/Stunde) und pro IP-Adresse (20/Stunde) gezählt. Gespeichert werden nur SHA-256-Prüfsummen für 2 Stunden — keine Klartext-Adressen, keine Klartext-IPs.

Keine Zugriffsprotokolle: Der Webserver protokolliert keine Portalbesuche — keine IP-Adressen, keine Zeitpunkte. Keine Analyse-Skripte laufen auf dem Portal. Anmeldelinks werden nur als Prüfsummen gespeichert, sind 15 Minuten gültig und nur einmal verwendbar.

Der Versand der Anmelde-Mail erfolgt über toSend (FluentCart Inc., USA) als Auftragsverarbeiter nach Art. 28 DSGVO. Die E-Mail-Daten (Empfängeradresse, Inhalt) werden in der EU gespeichert und aus Frankfurt (EU) versendet; sie werden nach 14 Tagen gelöscht. Die Übermittlung an den US-basierten Verarbeiter erfolgt auf Grundlage von EU-Standardvertragsklauseln. Die übrigen Server (Portal, Analyse) liegen wie oben beschrieben in Frankreich und Deutschland, innerhalb der EU.