Datenschutzerklärung

Gemäß DSGVO (EU) 2016/679 · Letzte Aktualisierung: Juli 2026

Diese Seite hat jeden Abschnitt, den eine Datenschutzerklärung haben soll. Wir weigern uns nur, sie mit der vagen Formulierung aufzublähen, die sie normalerweise füllt, weil wir unsere Arbeitszeit damit verbringen, genau diese vage Formulierung in fremden Apps aufzuzeigen. Also: vollständige Abschnitte, klare Aussagen, und wo eine Aussage nachprüfbar ist, sagen wir Ihnen, wie.

Verantwortlicher

RFI-IRFOS (Research Focus Institute — Interdisciplinary Research Facility for Open Sciences)
Elisabethinergasse 25/10, 8020 Graz, Österreich
E-Mail: rfi.irfos@gmail.com

Welche Daten wir erheben

Serverprotokolle: IP-Adresse, Zugriffszeitpunkt, URL, HTTP-Statuscode — erhoben von GitHub Pages (GitHub, Inc., USA) und Fly.io (Superfly, Inc., USA) als unvermeidbarer Nebeneffekt jeder Anfrage, die irgendeinen Webserver erreicht.
Kontaktformular: Name, E-Mail, Betreff, Nachricht — übermittelt über Web3Forms (web3forms.com/privacy), nur wenn Sie es ausfüllen und absenden.
Zahlungsdaten: Für Käufe über die Website werden Zahlungsdaten (Kartendetails, E-Mail, Name) von Stripe, Inc. verarbeitet (354 Oyster Point Blvd, South San Francisco, CA 94080, USA). RFI-IRFOS erhält oder speichert Ihre Kartendaten nie. Datenschutzerklärung von Stripe: stripe.com/privacy.
Besuchsstatistik: ein selbst gehosteter Tracking-Pixel (Lighthouse, Graz), der einen Seitenaufruf und einen Referrer protokolliert, auf jeder Seite einschließlich dieser. Speziell auf dieser Familie von Rechts-/Sicherheitsseiten protokollieren wir zusätzlich, nur aggregiert, ob ein Besuch bis zur Fußzeile am Ende der Seite gescrollt hat — derselbe speicherinterne, cookielose Mechanismus wie die im Abschnitt "Cookies" unten beschriebenen Abschnittszähler, hier angewendet, um eine Frage zu beantworten: Werden diese Seiten tatsächlich bis zum Ende gelesen? Speziell auf der Startseite protokollieren wir außerdem, einmal pro Besuch und nur aggregiert, ob die Entwicklertools Ihres Browsers offenbar geöffnet sind (eine passive Fenstergrößen-Prüfung, keine Timing-Tricks) — das existiert einzig, weil wir in der Konsole eine Nachricht für alle hinterlassen haben, die dort nachsehen, und uns interessiert, wie oft das tatsächlich jemand tut. Kein Cookie, kein Geräte-Fingerprint, kein websiteübergreifender Identifikator. Die unglamouröse Wahrheit darüber, was dieser Pixel tatsächlich ist, steht unter "Cookies" weiter unten.

Was wir nicht erheben, zur Klarstellung: keine Standortdaten gewöhnlicher Besucher (einzige Ausnahme ist das oben beschriebene Sicherheitsprotokoll), kein Geräte-Fingerprinting, keine Werbe-ID, keine biometrischen Daten, kein websiteübergreifendes Profil, nichts wird an einen Datenhändler verkauft oder weitergegeben, nichts geht an ein Werbenetzwerk, weil es auf der anderen Seite dieser Website kein Werbenetzwerk gibt.

Sicherheitsprotokoll (Honeypot)

Diese Website enthält Köderpfade, die kein gewöhnlicher Besucher aufruft (zum Beispiel /.env, /wp-login.php, /phpmyadmin), dazu eine Erkennung von Angriffswerkzeugen und Einschleusungsversuchen (SQL-Injection, Script-Einschleusung, Log4Shell, Pfad-Traversal, ungewöhnliche HTTP-Methoden). Wer so etwas auslöst, wird protokolliert: vollständige IP-Adresse, Zeitpunkt, HTTP-Methode, aufgerufener Pfad, User-Agent sowie ein aus der IP-Adresse abgeleiteter ungefährer Standort und Netzbetreiber. Das ist Selbstschutz und Cyberabwehr: Wir müssen wissen, woher ein Angriff auf unsere Systeme kam, welcher Köder berührt wurde und ob dieselbe Quelle wiederkehrt.
Automatische Sperre: wiederholte oder schwere Treffer sperren die IP-Adresse für 24 Stunden. Einen Irrtum melden Sie an security@rfi-irfos.com, dann heben wir die Sperre auf.
Alarm: Jeder Treffer geht an einen internen Push-Kanal (ntfy.sh), damit das Team ihn sofort sieht. Der Kanalname ist geheim.
Standortabfrage: Die IP-Adresse eines solchen Treffers (und nur eines solchen Treffers) geht an den Abfragedienst ipwho.is, um ungefähren Standort und Anbieter zu ermitteln.
Speicherdauer: 30 Tage, danach automatische Löschung. Länger nur, wenn ein konkreter Vorfall es für eine Meldung an eine Behörde oder zur Rechtsverteidigung erfordert.

Rechtsgrundlage

Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Zahlungsabwicklung, Kontaktanfragen.
Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Serverprotokolle zur Sicherheits- und Fehleranalyse, das oben beschriebene Sicherheitsprotokoll mit IP-Adresse, Standort und automatischer Sperre (Schutz unserer Systeme vor Angriffen, Erwägungsgrund 49 DSGVO) sowie der oben beschriebene einzelne, anonymisierte Seitenaufruf-Pixel.

Auftragsverarbeiter

Stripe, Inc. — Zahlungsabwicklung. Auftragsverarbeitungsvertrag (DPA) gemäß Art. 28 DSGVO abgeschlossen. Datenübermittlung in die USA auf Grundlage von Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
GitHub, Inc. — Frontend-Hosting (GitHub Pages). Datenübermittlung in die USA auf Grundlage von Standardvertragsklauseln.
Superfly, Inc. (Fly.io) — Backend-API-Hosting, einschließlich des Lighthouse-Tracking-Pixel-Endpunkts. Datenübermittlung in die USA auf Grundlage von Standardvertragsklauseln.
Web3Forms — ausschließlich Zustellung des Kontaktformulars, nur ausgelöst, wenn Sie das Formular absenden.
ntfy.sh und ipwho.is — Zustellung des Alarms und IP-Standortabfrage für das Sicherheitsprotokoll oben, nur ausgelöst bei einem Honeypot- oder Angriffstreffer.

Internationale Datenübermittlung

Wo ein oben genannter Auftragsverarbeiter in den USA sitzt, läuft die Übermittlung über Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), nicht über einen Angemessenheitsbeschluss. Wir schreiben das offen hin, statt es in einer Klausel wie "Daten können international übermittelt werden" zu verstecken, denn dieser Satz erledigt auf den meisten Datenschutzseiten eine Menge stille Arbeit.

Cookies

Wir verwenden keine Cookies. Hier ist der Teil, den jede Datenschutzerklärung haben soll, als echte Antwort statt als Checkbox. Die üblichen vier Kategorien, so formuliert, wie sie meist formuliert werden, und darunter jeweils unsere tatsächliche Antwort:

„Technisch notwendige Cookies, erforderlich für die Funktion der Website und nicht deaktivierbar."
Wir haben keine. Öffnen Sie jetzt, auf genau dieser Seite, die Entwicklertools Ihres Browsers, Reiter Application, Cookies. Es wird leer sein. Nichts wird „deaktiviert", weil nie etwas aktiviert wurde.

„Funktionale Cookies, zum Merken Ihrer Einstellungen."
Sie können ein helles, dunkles oder kontrastreiches Theme sowie eine Sprache wählen, und wir merken uns diese Wahl — in localStorage, nicht in einem Cookie. Das verlässt nie Ihr Gerät, trägt keinen Identifikator und ist für uns nicht lesbar.

„Performance-/Analyse-Cookies, um zu verstehen, wie Besucher unsere Website nutzen."
Hier steckt normalerweise das eigentliche Tracking, und hier wird eine Datenschutzerklärung normalerweise vage. Wir nicht. Diese Website lädt ein einzelnes, selbst gehostetes 1×1-Pixelbild, kein Cookie, keine Einwilligung dafür nötig, weil die Cookie-Einwilligungspflicht (ePrivacy Art. 5 Abs. 3) am Speichern oder Auslesen von etwas auf Ihrem Gerät ansetzt, und dieser Pixel tut keines von beiden. Jeder Seitenaufruf sendet genau das, den wortwörtlichen Tag, der genau jetzt live auf dieser Seite liegt — kopieren Sie ihn und prüfen Sie ihn selbst:

Was durch diese Anfrage in unserer Datenbank landet: der Seitenpfad, die verweisende Domain normalisiert auf einen Kanal ("organische Suche", "direkt", "Referral", "linkedin" und so weiter, damit wir einem Vorstandsmitglied sagen können, woher Besucher kommen) und das Site-Tag. Das ist alles, vollständig: path, source, referrer, utm_source, utm_medium, utm_campaign, site. Es gibt in dieser Tabelle keine IP-Adress-Spalte. Kein Besucher-ID-Feld wird von dieser Pixel-Kopie je befüllt, daher landen zwei Besuche derselben Person als zwei unabhängige, nicht verknüpfte Zeilen, nicht als ein wachsendes Profil. Vollständiger Quellcode, Backend inklusive: github.com/rfi-irfos/rfi-irfos-web. Wir bitten Sie nicht, einem Satz zu vertrauen, wir zeigen auf den Code, der entweder dazu passt oder nicht.

Ein weiteres Signal landet auf demselben Weg: welcher Abschnitt dieser einzelnen, scrollenden Seite während Ihres Besuchs sichtbar wurde (das Offenlegungsregister, Preise, das Hinweis-Formular und so weiter), gespeichert als eine weitere anonyme section-Spalte in derselben Tabelle. Das ist ein Zähler, kein Betrachtungsprotokoll — "der Registerabschnitt wurde heute 214 Mal gesehen", niemals "Besucher X hat sich das Register angesehen." Die Seite hält eine einfache JavaScript-Variable im Speicher, damit Hoch- und Herunterscrollen über einen Abschnitt ihn nicht doppelt zählt; diese Variable wird nie in ein Cookie, localStorage oder sessionStorage geschrieben und ist beim nächsten Laden der Seite sofort weg. Dieselbe Begründung wie beim Pixel oben: Auf Ihrem Gerät wird nichts gespeichert, daher greift der ePrivacy-Einwilligungstatbestand nie, und nichts davon identifiziert Sie, daher sind es von vornherein keine personenbezogenen Daten.

„Targeting-/Werbe-Cookies, zum Erstellen eines Profils Ihrer Interessen."
Wir schalten keine Werbung, haben kein Werbekonto und hätten nichts, womit wir Sie gezielt ansprechen könnten, selbst wenn wir wollten. Es gibt keinen Dritten auf der anderen Seite dieser Website, der für ein solches Profil bezahlen würde.

Wir hätten trotzdem einen Cookie-Banner mit einem befriedigenden "Alle akzeptieren"-Knopf einbauen können, weil ihn jeder erwartet. Haben wir nicht, weil ein Einwilligungsbanner suggeriert, dass in Ihrem Namen eine Entscheidung getroffen wird, und hier gibt es keine zu treffen. Sollte sich das je ändern, ändert sich dieser Abschnitt mit — öffentlich, in derselben Commit-Historie wie alles andere auf dieser Website.

Automatisierte Entscheidungsfindung

Keine. Wir setzen kein Profiling und keine automatisierte Entscheidungsfindung ein, die rechtliche oder ähnlich bedeutsame Wirkung für Sie entfaltet.

Speicherdauer

Kontaktanfragen werden nach Abschluss der Kommunikation gelöscht, spätestens nach 7 Jahren gemäß österreichischen gesetzlichen Aufbewahrungsvorschriften. Zahlungsbelege werden gemäß § 132 BAO (Bundesabgabenordnung) 7 Jahre aufbewahrt. Serverprotokolle und Pixel-Daten werden nur so lange aufbewahrt, wie es für Sicherheits- und Traffic-Analyse nötig ist, und danach rotiert.

Datenschutz für Minderjährige

Dies ist eine B2B-Forschungs- und Offenlegungsseite. Sie richtet sich nicht an Kinder, und wir erheben wissentlich keine Daten von Personen unterhalb des nach Art. 8 DSGVO für die Einwilligung erforderlichen Alters.

Ihre Rechte (Art. 15–21 DSGVO)

Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch, alles davon, unter: rfi.irfos@gmail.com. Angesichts dessen, wie wenig wir tatsächlich über eine einzelne Person vorhalten, erledigen wir die meisten dieser Anfragen in Minuten, nicht in Wochen.

Beschwerderecht

Österreichische Datenschutzbehörde: dsb.gv.at

Änderungen dieser Erklärung

Jede Änderung dessen, was wir tatsächlich erheben, wird zuerst hier abgebildet, mit vorgezogenem "Letzte Aktualisierung"-Datum oben. Wir verfolgen Änderungen an dieser Seite nach demselben Maßstab, den wir von jedem anderen erwarten würden.

Ein Wort zur Konsistenz

Wir verbringen unsere Forschungszeit damit, andere Unternehmen genau für diese Art von Erklärung zu prüfen. Diese hier beschreibt, was auf dieser Website tatsächlich passiert, im selben evidenzbasierten Geist — nichts hier ist Wunschdenken, und die nachprüfbaren Teile sind von Ihnen nachprüfbar, nicht nur von uns.