DATENSCHUTZERKLÄRUNG

Stand: Juni 2026

Wir — im Folgenden der für die Verarbeitung Verantwortliche — nehmen den Schutz Ihrer personenbezogenen Daten ernst. Wir behandeln Ihre personenbezogenen Daten vertraulich und entsprechend der gesetzlichen Datenschutzvorschriften (DSGVO, BDSG, TDDDG) sowie dieser Datenschutzerklärung. Diese Website ist so gestaltet, dass sie mit den geringsten datenschutzrechtlichen Risiken verbunden ist, die für einen Betrieb möglich sind.

Verantwortlicher (Art. 13 Abs. 1 lit. a DSGVO)

Verantwortlich für die Datenverarbeitung auf dieser Website im Sinne der DSGVO ist:

Georg Popp
Cornelius-Fredericks-Str. 7
13351 Berlin
Germany

Kontakt für Datenschutzfragen: datenschutz@antiphoria.org

Hosting (Auftragsverarbeiter, Art. 28 DSGVO)

Diese Website wird bei folgendem Hosting-Anbieter bereitgestellt, der als Auftragsverarbeiter tätig wird:

Codeberg e.V.
Arminiusstraße 2 – 4
10551 Berlin
Deutschland

Codeberg e.V. ist ein gemeinnütziger, eingetragener Verein (Vereinsregister des Amtsgerichts Charlottenburg, VR 36929) mit Sitz und Serverinfrastruktur in Deutschland. Die bei jedem Aufruf anfallenden Server-Logfiles werden vom Hosting-Anbieter im Rahmen der technischen Bereitstellung verarbeitet (siehe unten). Weitere Hinweise entnehmen Sie der Datenschutzerklärung von Codeberg: Datenschutzerklärung von Codeberg e.V..

Kontaktaufnahme per E-Mail (Art. 6 Abs. 1 lit. b und f DSGVO)

Wenn Sie uns per E-Mail kontaktieren, werden die von Ihnen übermittelten Angaben (insbesondere Absender, Betreff und Inhalt Ihrer Nachricht sowie die hierfür technisch erforderlichen Metadaten) zur Bearbeitung Ihrer Anfrage verarbeitet. Rechtsgrundlage ist die Durchführung vorvertraglicher bzw. vertraglicher Maßnahmen bzw. unser berechtigtes Interesse an der Beantwortung von Anfragen (Art. 6 Abs. 1 lit. b und f DSGVO). Diese Daten werden für die Dauer der jeweiligen Konversation und darüber hinaus nur aufbewahrt, soweit gesetzliche Aufbewahrungs- oder Verjährungsfristen dies erfordern.

Technische Abwicklung über Google Workspace: Der Empfang und die Speicherung eingehender E-Mails an die genannten Kontaktadressen erfolgt über den Dienst Google Workspace (Gmail) der Google Ireland Services Limited bzw. der Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA. Google tritt dabei als Auftragsverarbeiter (Art. 28 DSGVO) auf; der Auftragsverarbeitungsvertrag ist Bestandteil der Google Workspace Nutzungsbedingungen (Data Processing Amendment). Die Verarbeitung durch Google erfolgt ausschließlich nach unserer Weisung und für den genannten Zweck.

Datenübermittlung in die USA: Mit dem Versand einer E-Mail an uns willigen Sie in die Verarbeitung der hierfür notwendigen Daten durch Google ein; im Rahmen der E-Mail-Kommunikation kann es zu einer Übermittlung personenbezogener Daten an Google LLC in die Vereinigten Staaten kommen. Die Übermittlung erfolgt auf Grundlage der Standardvertragsklauseln der EU-Kommission (SCC, Modul 2 – Controller an Processor) sowie der Eigenzertifizierung von Google LLC unter dem EU-US Data Privacy Framework (DPF). Das DPF-Bestätigungsverzeichnis ist unter dataprivacyframework.gov einsehbar.

Hinweis: Diese Übermittlung betrifft ausschließlich die von Ihnen aktiv an uns gerichtete E-Mail-Kommunikation. Die bloße Nutzung dieser Website (Aufruf von Seiten) findet ohne Beteiligung von Google statt.

DNS-Auflösung (Registrar)

Die Auflösung des Domainnamens antiphoria.org erfolgt über Nameserver des Registrars Porkbun LLC (Sitz: USA). Bei der Auflösung einer Domain wird Ihre IP-Adresse kurzzeitig an den Registrar übermittelt, damit Ihr Browser die zuständigen Server erreichen kann. Rechtsgrundlage ist unser berechtigtes Interesse an einem funktionierenden, erreichbaren Webauftritt (Art. 6 Abs. 1 lit. f DSGVO). Es handelt sich um eine flüchtige Übermittlung im Rahmen der DNS-Auflösung, nicht um eine dauerhafte Speicherung Ihrer personenbezogenen Daten durch den Registrar. Eine anlassbezogene Löschung erfolgt durch den Registrar gemäß dessen eigener Richtlinien.

Hinweis: Wer eine durchgängige Verarbeitung ausschließlich im EWR anstrebt, kann die DNS-Auflösung alternativ über einen im EWR ansässigen DNS-Anbieter oder eigene Nameserver vornehmen lassen. Die Umstellung ist ohne Auswirkung auf die Funktionsfähigkeit der Website möglich.

Erhebung und Verarbeitung von Server-Logfiles

Beim Aufruf dieser Website werden durch den Hosting-Anbieter (Codeberg e.V.) automatisch Informationen erfasst, die Ihr Browser übermittelt. Hierbei handelt es sich um technisch notwendige Daten, um die Website ausliefern zu können und die Stabilität sowie Sicherheit des Betriebs zu gewährleisten.

Datenkategorien:

• IP-Adresse (gekürzt bzw. nach Maßgabe der Codeberg-Richtlinie)
• Datum und Uhrzeit der Anfrage
• Angerufene URL und HTTP-Statuscode
• Referrer-URL (die zuvor besuchte Seite, soweit vom Browser übermittelt)
• Verwendeter Browser und ggf. Betriebssystem (User-Agent)

Zweck und Rechtsgrundlage: Diese Verarbeitung dient der Auslieferung der Website, der Gewährleistung der technischen Funktionsfähigkeit sowie der Erkennung und Abwehr von Störungen und Angriffen (IT-Sicherheit, Missbrauchsprävention). Rechtsgrundlage ist unser berechtigtes Interesse am sicheren und störungsfreien Betrieb dieses Angebots (Art. 6 Abs. 1 lit. f DSGVO). Die Speicherdauer und die genaue Ausgestaltung der Protokollierung bestimmen sich nach der Datenschutzpraxis von Codeberg e.V.; ein Link zur einschlägigen Erklärung ist oben angegeben.

Eine Zusammenführung dieser Daten mit anderen Datenquellen findet nicht statt. Eine Auswertung zur Erstellung von Nutzerprofilen oder zu Marketingzwecken erfolgt nicht.

WebAuthn-Brücke (/bridge.html)

Unter /bridge.html stellen wir eine statische Hilfsseite bereit. Sie dient ausschließlich der technischen Durchführung von WebAuthn-Zeremonien (z. B. Touch ID auf macOS), wenn eine Person lokal das Open-Source-Werkzeug Antiphoria Slop Provenance (slop-cli) startet und dort register, seal oder webauthn-register ausführt.

Kein öffentliches Login, keine Nutzerkonten: Es gibt bei uns weder Registrierung noch Anmeldung noch eine zentrale Speicherung von Passkeys, Credential-IDs oder WebAuthn-Assertionen auf unseren Servern. Die Seite ist kein Authentifizierungs- portal für Besucherinnen und Besucher der Website.

Ablauf (nur bei bewusst gestarteter CLI-Zeremonie):

1. Das lokal gestartete Programm öffnet im Browser diese Seite mit Parametern im URL-Fragment (#…). Fragmente werden vom Browser nicht an unseren Hosting-Anbieter übermittelt und erscheinen damit nicht in dessen Zugriffsprotokollen.
2. Ein kurzes Inline-Skript auf der Seite löst die WebAuthn-Anfrage im Browser aus (Plattform-Authentifikator, z. B. Secure Enclave / Touch ID). Biometrische Daten verlassen dabei das Endgerät des Betreibers nicht.
3. Das Ergebnis wird per Formular-POST ausschließlich an http://127.0.0.1 bzw. http://localhost auf dem selben Rechner zurückgegeben — an den kurzlebigen lokalen Rückruf-Endpunkt des CLI-Programms, nicht an uns.

Bloßer Seitenaufruf ohne CLI: Wer /bridge.html direkt aufruft (ohne gültiges Fragment aus einer lokal laufenden Zeremonie), löst keine Speicherung von WebAuthn-Daten bei uns aus und kann keine Zeremonie abschließen.

Was wir serverseitig verarbeiten:

• Auslieferung der statischen HTML-Datei und die üblichen Server-Logfiles (siehe oben), insbesondere IP-Adresse, Zeitstempel, User-Agent und der Pfad /bridge.html — ohne Fragment-Inhalt, Zeremonie-Token, Challenge oder WebAuthn-Ergebnis.
• Keine dauerhafte Speicherung von Passkeys, Credential-IDs, Attestationen oder Biometrie auf unserer Infrastruktur.

Was auf dem Endgerät des CLI-Betreibers verbleibt (nicht bei uns):

• Ein plattformgebundener Passkey (z. B. in macOS Schlüsselbund / Secure Enclave), gebunden an die Relying-Party-ID antiphoria.org, sowie lokale Konfigurationsdateien des CLI-Programms auf dem Rechner des Betreibers.
• Optional: in öffentlich veröffentlichten Provenance-Artefakten können vom Betreiber selbst gewählte WebAuthn-Metadaten (z. B. pseudonyme Credential-ID) erscheinen — das ist eine Entscheidung des jeweiligen CLI-Betreibers beim Veröffentlichen in einem Ledger, keine automatische Registrierung „auf der Website“.

Cookies und Browser-Speicher auf /bridge.html: Die Brückenseite setzt keine Cookies und nutzt weder localStorage, sessionStorage noch IndexedDB. Passkeys werden vom Betriebssystem bzw. Browserhersteller verwaltet, nicht von uns.

Zweck und Rechtsgrundlage: Bereitstellung der technisch erforderlichen Origin-Oberfläche für WebAuthn-Zeremonien im Forschungs- und Provenance-Kontext des genannten Open-Source-Werkzeugs. Rechtsgrundlage ist unser berechtigtes Interesse an einem funktionsfähigen, nachvollziehbaren Betrieb dieser Infrastruktur (Art. 6 Abs. 1 lit. f DSGVO). Eine Einwilligung nach § 25 TDDDG ist für diese Seite nicht erforderlich, weil keine nicht notwendigen Cookies gesetzt werden.

Hinweis: Dritte können das öffentliche CLI-Werkzeug eigenverantwortlich nutzen. Damit verarbeiten sie Daten auf ihren eigenen Geräten; wir erhalten deren WebAuthn-Ergebnisse nicht. Verantwortlich für die Veröffentlichung von Ledger-Inhalten ist jeweils der ausführende Betreiber.

Was diese Website bewusst nicht tut

Um datenschutzrechtliche Risiken von vornherein zu minimieren, verzichtet dieses Angebot auf eine Reihe gängiger Techniken:

• Keine Tracking-Cookies und kein werblicher Browser-Speicher. Außer der WebAuthn-Brücke (siehe oben) setzt diese Website keine Cookies und legt keinen Browser-Speicher zur Nachverfolgung an.
• Kein Web-Tracking, keine Reichweitenmessung, keine Analyse-Tools.
• Keine Profilerstellung und keine automatisierte Entscheidungsfindung gemäß Art. 22 DSGVO.
• Keine Kontaktformulare, kein Newsletter, keine Kommentarfunktion.
• Keine zentrale Nutzerverwaltung. Es gibt keine bei uns geführten Benutzerkonten, Passwort-Datenbanken oder serverseitige Passkey-Speicher — auch nicht über die WebAuthn-Brücke.

Da keine Cookies gesetzt werden, die nicht für den Betrieb zwingend erforderlich sind, unterliegt dieses Angebot keinen Einwilligungspflichten nach § 25 TDDDG. Eine Cookie-Einwilligungsbanner ist daher nicht vorgesehen und nicht erforderlich.

Empfänger von Daten (Art. 13 Abs. 1 lit. e DSGVO)

Personenbezogene Daten werden, soweit sie erhoben werden, an folgende Empfänger übermittelt:

• Hosting: Codeberg e.V. (Server-Logfiles, siehe oben).
• DNS-Auflösung: Porkbun LLC (flüchtige Übermittlung der auflösenden IP-Adresse).
• E-Mail-Empfang: Google Ireland Services Limited / Google LLC (als Auftragsverarbeiter für den Empfang eingehender E-Mails an die Kontaktadressen, siehe oben).

Eine Weitergabe an weitere Dritte erfolgt nicht, es sei denn, wir sind gesetzlich dazu verpflichtet.

Datenübermittlung in Drittländer (Art. 13 Abs. 1 lit. f DSGVO)

Die Hosting-Infrastruktur befindet sich in Deutschland / im EWR. Für die reine Bereitstellung und den Aufruf dieser Website ist daher keine Übermittlung in ein Drittland erforderlich. Lediglich im Rahmen der DNS-Auflösung findet eine flüchtige Übermittlung der auflösenden IP-Adresse an den in den USA ansässigen Registrar (Porkbun LLC) statt.

Eine Übermittlung in ein Drittland findet hingegen bei der E-Mail-Kommunikation statt: Eingehende E-Mails an die Kontaktadressen werden über Google Workspace von der Google LLC (USA) verarbeitet. Diese Übermittlung erfolgt auf Grundlage der EU-Standardvertragsklauseln (SCC, Modul 2) sowie der Eigenzertifizierung von Google unter dem EU-US Data Privacy Framework (DPF) (siehe Abschnitt „Kontaktaufnahme per E-Mail“). Die datenschutzrechtlichen Bedingungen und die Bestätigung der Zertifizierung können unter dataprivacyframework.gov eingesehen werden.

Speicherdauer

Personenbezogene Daten werden nur so lange gespeichert, wie dies für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten dies vorsehen. Im Übrigen gelten die Lösch- und Aufbewahrungspraktiken des Hosting-Anbieters; Einzelheiten sind der oben verlinkten Datenschutzerklärung von Codeberg e.V. zu entnehmen.

Ihre Rechte als betroffene Person (Art. 15–21 DSGVO)

Sie haben uns gegenüber folgende Rechte:

• Auskunft über die zu Ihrer Person verarbeiteten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung Ihrer Daten (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO).

Sofern eine Verarbeitung auf einer Einwilligung beruht, steht Ihnen das Recht zu, diese jederzeit mit Wirkung für die Zukunft zu widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Beschwerderecht bei der Aufsichtsbehörde (Art. 13 Abs. 2 lit. d DSGVO)

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten durch uns zu beschweren. Die für Sie zuständige Aufsichtsbehörde richtet sich in der Regel nach Ihrem Wohnsitz oder dem Ort der mutmaßlichen Verletzung.

Die für den Verantwortlichen einschlägige Aufsichtsbehörde ist:

Berliner Beauftragte für Datenschutz und Informationsfreiheit
https://www.datenschutz-berlin.de/

Aktualität dieser Erklärung

Diese Datenschutzerklärung hat den Stand Juni 2026. Durch die Weiterentwicklung der Website oder geänderte gesetzliche bzw. behördliche Vorgaben kann es notwendig werden, diese Datenschutzerklärung anzupassen. Die jeweils aktuelle Version kann auf dieser Seite abgerufen werden.