DATENSCHUTZERKLÄRUNG

Stand: Oktober 2026

Der Schutz Ihrer personenbezogenen Daten hat für uns — den nachfolgend benannten Verantwortlichen — einen hohen Stellenwert. Wir verarbeiten personenbezogene Daten vertraulich und im Einklang mit den geltenden datenschutzrechtlichen Vorschriften, insbesondere der Datenschutz-Grundverordnung (Verordnung (EU) 2016/679 – DSGVO), dem Bundesdatenschutzgesetz (BDSG) sowie dem Gesetz über den Datenschutz und den Schutz der Privatsphäre in der Telekommunikation und bei digitalen Diensten (TDDDG).

Mit dieser Datenschutzerklärung informieren wir Sie gemäß Art. 12, 13 und 14 DSGVO darüber, welche personenbezogenen Daten beim Aufruf und bei der Nutzung unserer Webangebote, bei einer Kontaktaufnahme, bei der Veröffentlichung von Einträgen im Operatorenregister und Archiv sowie bei der Nutzung des Prüfinstruments verify³ verarbeitet werden, zu welchen Zwecken und auf welcher Rechtsgrundlage dies geschieht und welche Rechte Ihnen als betroffener Person zustehen.

1. Geltungsbereich — das Antiphoria-Netzwerk

Diese zentrale Datenschutzerklärung gilt für sämtliche nachfolgend genannten Domains des Projekts ANTIPHORIA, die gemeinsam vom unten benannten Verantwortlichen betrieben werden (nachfolgend „das Netzwerk“):

• antiphoria.org — das Netzwerk-Portal sowie die statische WebAuthn-Brückenseite (/bridge.html)
• archive.antiphoria.org — das öffentliche Archiv kryptographisch gesiegelter Records
• operators.antiphoria.org — das öffentliche Register der Operatoren und ihrer kryptographischen Schlüssel
• verify.antiphoria.org — „verify³“, das browserbasierte Prüfinstrument für .aepp1-Container

Sämtliche genannten Domains werden beim selben Hosting-Anbieter (Codeberg e.V., siehe Ziffer 3) als rein statische Webseiten ausgeliefert. Auf keiner Domain werden Tracking-Dienste, Reichweitenmessungen, Werbenetzwerke, Benutzerkonten oder Web-Formulare eingesetzt; sämtliche Schriftarten (Webfonts) werden lokal vom jeweiligen eigenen Ursprung ausgeliefert.

Über die bloße Auslieferung statischer Seiten hinaus veröffentlichen archive.antiphoria.org und operators.antiphoria.org die von Operatoren zur Veröffentlichung bestimmten Provenance-, Schlüssel- und Erklärungsdaten (siehe Ziffer 7). Das Prüfinstrument verify³ unter verify.antiphoria.org prüft von Ihnen ausgewählte .aepp1-Dateien lokal in Ihrem Browser und gleicht Bitcoin-Anker standardmäßig gegen eine auf unserem eigenen Ursprung im Europäischen Wirtschaftsraum (EWR) gehostete Block-Header-Momentaufnahme ab; externe Live-Explorer werden ausschließlich nach Ihrer vorherigen ausdrücklichen Einwilligung abgefragt (siehe Ziffern 8 und 9).

Hinweis: Weitere, noch nicht öffentlich freigeschaltete Subdomains des Projekts (etwa journal, trace oder publisher) sind noch nicht im öffentlichen Wirkbetrieb; vor ihrer jeweiligen Freischaltung wird diese Datenschutzerklärung entsprechend ergänzt.

2. Verantwortlicher (Art. 13 Abs. 1 lit. a DSGVO)

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO für die Datenverarbeitung auf den unter Ziffer 1 genannten Domains ist:

Georg Popp
Cornelius-Fredericks-Str. 7
13351 Berlin
Germany

Kontakt für Datenschutzanfragen: datenschutz@antiphoria.org

Ein Datenschutzbeauftragter ist gesetzlich nicht zu benennen, da die Voraussetzungen des Art. 37 Abs. 1 DSGVO sowie des § 38 BDSG bei diesem privaten, nicht-kommerziellen Projekt nicht vorliegen.

3. Hosting (Auftragsverarbeiter gemäß Art. 28 DSGVO) und TLS-Verschlüsselung

Die Webangebote des Netzwerks werden bei folgendem Hosting-Anbieter (Codeberg Pages) bereitgestellt, der als Auftragsverarbeiter gemäß Art. 28 DSGVO tätig wird:

Codeberg e.V.
Arminiusstraße 2 – 4
10551 Berlin
Deutschland

Codeberg e.V. ist ein gemeinnütziger, eingetragener Verein (Vereinsregister des Amtsgerichts Charlottenburg, VR 36929) mit Sitz und Serverinfrastruktur in Deutschland. Die bei jedem Seitenaufruf technisch anfallenden Server-Logfiles (siehe Ziffer 4) werden durch Codeberg e.V. im Rahmen der technischen Bereitstellung und zur Aufrechterhaltung der Systemsicherheit verarbeitet. Ergänzende Angaben finden Sie in der Datenschutzerklärung von Codeberg e.V.: Datenschutzerklärung von Codeberg e.V..

SSL-/TLS-Verschlüsselung (HTTPS): Sämtliche Domains des Netzwerks nutzen aus Sicherheitsgründen und zum Schutz der Übertragung eine TLS-Verschlüsselung (HTTPS, Zertifikate über Let’s Encrypt). Eine verschlüsselte Verbindung erkennen Sie an dem Präfix https:// und dem Schloss-Symbol in der Adresszeile Ihres Browsers.

4. Erhebung und Verarbeitung von Server-Logfiles sowie DNS-Auflösung

Bei jedem Aufruf einer Seite oder Datei auf den Domains des Netzwerks (einschließlich statischer Nachweisdateien, öffentlicher Schlüssel, des RSS-Feeds /rss.xml oder maschinenlesbarer Indexdateien wie /llms.txt) erfasst das System des Hosting-Anbieters (Codeberg e.V.) automatisiert Informationen, die Ihr Browser im Rahmen des HTTP-Aufrufs übermittelt.

Verarbeitete Datenkategorien:

• IP-Adresse des anfragenden Endgeräts (gekürzt bzw. nach Maßgabe der Richtlinien von Codeberg e.V.)
• Datum und Uhrzeit der Serveranfrage (Zeitstempel)
• Angefragte URL / Dateipfad, übertragene Datenmenge und HTTP-Statuscode
• Referrer-URL (zuvor besuchte Webseite, sofern von Ihrem Browser übermittelt)
• Browsertyp, Browserversion und verwendetes Betriebssystem (User-Agent-Header)

Zweck und Rechtsgrundlage: Die vorübergehende Verarbeitung dieser Verbindungsdaten ist technisch erforderlich, um die angeforderten Inhalte an Ihren Browser auszuliefern sowie die Funktionsfähigkeit, Stabilität und IT-Sicherheit des Angebots (insbesondere zur Erkennung und Abwehr von Störungen oder Missbrauchsangriffen) zu gewährleisten. Rechtsgrundlage ist Art. 6 Abs. 1 Satz 1 lit. f DSGVO (berechtigtes Interesse am sicheren, störungsfreien und technisch fehlerfreien Betrieb des Webangebots). Soweit hierbei technisch notwendige Informationen auf Ihrem Endgerät verarbeitet werden, erfolgt dies auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG.

Speicherdauer: Die Daten werden gelöscht, sobald sie für die Erreichung des Zwecks ihrer Erhebung nicht mehr erforderlich sind; für die Bereitstellung der Seite ist dies mit Beendigung der jeweiligen Sitzung der Fall. Eine darüber hinausgehende kurzzeitige Protokollierung in Server-Logfiles zur Missbrauchs- und Störungsabwehr richtet sich nach den Löschfristen von Codeberg e.V. Eine Zusammenführung mit anderen Datenquellen oder eine Auswertung zu Profilbildungs- oder Marketingzwecken findet nicht statt.

DNS-Auflösung (Domain-Registrar): Die autoritativen Nameserver für die Domain antiphoria.org und ihre Subdomains werden über den Domain-Registrar Porkbun LLC (21370 SW Langer Farms Pkwy, Suite 142-429, Sherwood, OR 97140, USA) betrieben. Wenn Ihr Endgerät bzw. der von Ihrem Internetzugangsanbieter oder Ihnen konfigurierte rekursive DNS-Resolver die Domain auflöst, wird die Anfrage flüchtig an die autoritativen Nameserver übermittelt, um die zugehörige Server-IP-Adresse zu ermitteln. Rechtsgrundlage ist unser berechtigtes Interesse an der technischen Erreichbarkeit des Webangebots im Internet (Art. 6 Abs. 1 Satz 1 lit. f DSGVO). Eine dauerhafte Speicherung personenbezogener Nutzungsprofile durch uns erfolgt hierbei nicht.

5. Kontaktaufnahme per E-Mail (Art. 6 Abs. 1 lit. b und f DSGVO)

Wenn Sie per E-Mail mit uns in Kontakt treten — sei es über die im Impressum und in dieser Datenschutzerklärung genannten Adressen oder über eine im Operatorenregister ausgewiesene Projekt-E-Mail-Adresse (derzeit petra.pam@antiphoria.org) —, werden die von Ihnen mitgeteilten personenbezogenen Daten (insbesondere Ihre E-Mail-Adresse, Ihr Name, Betreff und Inhalt Ihrer Nachricht sowie die technisch anfallenden E-Mail-Header- und Übermittlungsmetadaten) zum Zweck der Bearbeitung und Beantwortung Ihres Anliegens verarbeitet.

Rechtsgrundlage: Rechtsgrundlage der Verarbeitung ist unser berechtigtes Interesse an der sachgerechten Entgegennahme und Beantwortung von Anfragen sowie an einer zuverlässigen, gegen Ausfälle und Missbrauch (Spam/Malware) geschützten E-Mail-Kommunikation (Art. 6 Abs. 1 Satz 1 lit. f DSGVO). Zielt Ihre Kontaktaufnahme auf die Wahrnehmung von Betroffenenrechten oder die Erfüllung einer gesetzlichen Pflicht (etwa eines Löschungs- oder Auskunftsersuchens), ist zusätzliche Rechtsgrundlage Art. 6 Abs. 1 Satz 1 lit. c DSGVO; steht sie im Zusammenhang mit der Durchführung einer Registrierung oder Vereinbarung, Art. 6 Abs. 1 Satz 1 lit. b DSGVO.

Auftragsverarbeitung über Google Workspace und Drittlandtransfer (USA): Für den Empfang, die Zustellung und die Speicherung eingehender und ausgehender E-Mails unter der Domain @antiphoria.org setzen wir den Dienst Google Workspace der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, ein. Google Ireland Limited wird als Auftragsverarbeiter gemäß Art. 28 DSGVO auf Grundlage des Google Workspace Auftragsverarbeitungsvertrags (Cloud Data Processing Addendum) ausschließlich nach unserer Weisung tätig. Im Rahmen der Wartung, Sicherheit und Bereitstellung des Dienstes kann eine Verarbeitung auch durch das Mutterunternehmen Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA, in den Vereinigten Staaten erfolgen.

Für Datenübermittlungen an Google LLC in die USA besteht ein Angemessenheitsbeschluss der Europäischen Kommission gemäß Art. 45 Abs. 1 DSGVO (Durchführungsbeschluss (EU) 2023/1795 zum EU-US Data Privacy Framework – DPF), unter dem Google LLC aktiv zertifiziert ist (einsehbar unter dataprivacyframework.gov). Flankierend sind mit Google die Standardvertragsklauseln der EU-Kommission gemäß Art. 46 Abs. 2 lit. c DSGVO vereinbart.

Speicherdauer: Die im Rahmen einer E-Mail-Kommunikation verarbeiteten Daten werden gelöscht, sobald Ihre Anfrage abschließend geklärt ist und keine gesetzlichen Aufbewahrungspflichten oder berechtigten Interessen an der Nachweisbarkeit (z. B. Dokumentation der Erfüllung datenschutzrechtlicher Anträge oder gesetzliche Verjährungsfristen gemäß §§ 195 ff. BGB) entgegenstehen.

Hinweis: Der bloße Besuch unserer Webseiten löst keinerlei Verbindung zu Servern von Google aus; Google Workspace ist ausschließlich betroffen, wenn Sie aktiv eine E-Mail an eine Adresse unter @antiphoria.org senden.

6. Statische WebAuthn-Brücke (antiphoria.org/bridge.html)

Unter /bridge.html stellen wir auf antiphoria.org eine rein statische Hilfsseite bereit. Sie dient ausschließlich der lokalen technischen Durchführung von WebAuthn-Zeremonien (z. B. über Plattform-Authentifikatoren wie Touch ID / Secure Enclave), wenn eine Person auf ihrem eigenen Rechner lokal das Open-Source-Kommandozeilenwerkzeug Antiphoria Slop Provenance (slop-cli) ausführt.

Kein öffentliches Login und keine Benutzerkonten: Es gibt auf unseren Webseiten weder eine Registrierungs- oder Anmeldefunktion für Besucherinnen und Besucher noch eine serverseitige Datenbank für Passkeys oder WebAuthn-Assertionen.

Technischer Ablauf bei einer lokal gestarteten CLI-Zeremonie:

1. Das lokal ausgeführte Programm öffnet im Browser /bridge.html und übergibt die Zeremonie-Parameter ausschließlich im URL-Fragment (#…). URL-Fragmente werden gemäß HTTP-Spezifikation vom Browser nicht an den Webserver übertragen und erscheinen daher auch nicht in den Server-Logfiles unseres Hosting-Anbieters.
2. Ein lokales Skript auf der Seite stößt die WebAuthn-Schnittstelle des Browsers an (navigator.credentials). Biometrische Merkmale oder PINs verlassen das Endgerät der ausführenden Person zu keinem Zeitpunkt.
3. Die vom Authentifikator erzeugte Signatur bzw. Attestation wird vom Browser lokal an http://127.0.0.1 bzw. http://localhost auf demselben Endgerät (an den kurzlebigen lokalen Rückruf-Port von slop-cli) übergeben und nicht an unsere Server gesendet.

Server- und Endgeräteverarbeitung: Serverseitig fällt beim Aufruf von /bridge.html ausschließlich die Auslieferung der statischen HTML-Datei samt den gewöhnlichen Server-Logfiles (Ziffer 4) an. Auf der Brückenseite werden weder Cookies gesetzt noch localStorage, sessionStorage oder IndexedDB genutzt. Der erzeugte Passkey verbleibt im Schlüsselbund bzw. Sicherheitschip des Endgeräts der ausführenden Person (gebunden an die Relying-Party-ID antiphoria.org). Rechtsgrundlage für die Bereitstellung der statischen Brückenseite ist unser berechtigtes Interesse an der Funktionsfähigkeit dieser Open-Source-Provenance-Infrastruktur (Art. 6 Abs. 1 Satz 1 lit. f DSGVO; § 25 Abs. 2 Nr. 2 TDDDG). Eine Veröffentlichung von WebAuthn-Metadaten auf unseren Seiten findet nur statt, wenn ein Operator einen Eintrag ausdrücklich zur Veröffentlichung im Operatorenregister oder Archiv einreicht (siehe nachfolgend Ziffer 7).

7. Operatorenregister (operators.antiphoria.org) und Archiv (archive.antiphoria.org)

Auf operators.antiphoria.org und archive.antiphoria.org (sowie in den zum Abruf und zur Verifikation gespiegelten Nachweispaketen und Schlüsselverzeichnissen auf verify.antiphoria.org) veröffentlichen wir diejenigen Angaben und kryptographischen Nachweise, die eine Operatorin oder ein Operator im Rahmen einer Siegelungs-Zeremonie ausdrücklich zur Veröffentlichung bestimmt und eingereicht hat. Da Pseudonyme, kryptographische Kennungen und öffentliche Schlüssel über die eindeutige Operator-Kennung einer natürlichen Person zugeordnet werden können, handelt es sich um personenbezogene (pseudonymisierte) Daten im Sinne des Art. 4 Nr. 1 und Nr. 5 DSGVO.

Kategorien der veröffentlichten Daten:

• gewähltes Pseudonym bzw. Anzeigename sowie eine etwaig zur Veröffentlichung angegebene Kontakt-E-Mail-Adresse,
• eindeutige Kennungen (operatorId, identityId, operatorFingerprint) und Registrierungszeitpunkte,
• öffentliche kryptographische Schlüssel (insbesondere Ed25519 und ML-DSA-44) einschließlich Schlüssel-IDs, Fingerabdrücken (SHA-256) und Gültigkeitsdaten,
• zur Veröffentlichung bestimmte WebAuthn-Metadaten (pseudonyme credentialId, öffentlicher COSE-Schlüssel, Relying-Party-ID antiphoria.org, Algorithmus und Status),
• eine vom Operator verfasste und zur Veröffentlichung eingereichte persönliche Stellungnahme („Statement“),
• zu den archivierten Records: Werk-/Artefakttext, Titel, Anfrage- und Transparenz-Log-Kennungen, Zeitstempel (RFC 3161 und OpenTimestamps inkl. Bitcoin-Blockhöhe), kryptographische Prüfsummen und Signaturen, Lizenzangabe sowie die strukturierten Selbstauskünfte der Zeremonie (insbesondere Angaben zu menschlicher Urheberschaft, KI-/Mitteleinsatz, Freiwilligkeit, Rollenverständnis und gewähltem Veröffentlichungsumfang).

Zweck und Rechtsgrundlagen: Zweck der Verarbeitung ist die Führung eines öffentlichen, kryptographisch nachprüfbaren Registers der unterzeichnenden Operatoren und eines öffentlichen Archivs der von ihnen gesiegelten Records und Provenance-Nachweise (einschließlich der Bereitstellung als statische Webseiten, als herunterladbare .aepp1-Container und JSON-Nachweisdateien sowie im RSS-Feed /rss.xml). Rechtsgrundlage für die Veröffentlichung ist die ausdrückliche Einwilligung und eigenverantwortliche Veröffentlichungsentscheidung der jeweiligen Operatorin bzw. des jeweiligen Operators gemäß Art. 6 Abs. 1 Satz 1 lit. a DSGVO (dokumentiert in den Selbstauskünften zur Publikation bei der Siegelung) sowie ergänzend die Durchführung des vom Operator angestoßenen Registrierungs- und Publikationsverfahrens gemäß Art. 6 Abs. 1 Satz 1 lit. b DSGVO. Soweit Dritte die veröffentlichten Nachweise abrufen und kryptographisch prüfen, besteht zudem ein berechtigtes Interesse an der Transparenz und Verifizierbarkeit der veröffentlichten Provenance-Ketten (Art. 6 Abs. 1 Satz 1 lit. f DSGVO).

Empfänger und weltweite Abrufbarkeit: Da es sich um ein öffentliches Internet-Register und -Archiv handelt, sind die veröffentlichten Angaben weltweit für jede Person und jedes System abrufbar, das die Seiten oder Nachweisdateien aufruft; technischer Auftragsverarbeiter für die Auslieferung ist Codeberg e.V. (Ziffer 3).

Speicherdauer, Widerruf und Löschung (inkl. Hinweis zu Blockchain-Ankern): Die im Operatorenregister und im Archiv veröffentlichten Einträge bleiben gespeichert und öffentlich abrufbar, solange die Veröffentlichung besteht. Die veröffentlichende Person kann ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO) oder die Löschung verlangen (Art. 17 DSGVO), indem sie eine Nachricht an datenschutz@antiphoria.org richtet. Nach einem Widerruf oder berechtigten Löschungsersuchen entfernen wir die betreffenden HTML-Seiten, JSON-Nachweise, Schlüsselspiegelungen und .aepp1-Container unverzüglich von allen durch uns betriebenen Domains (operators.antiphoria.org, archive.antiphoria.org, verify.antiphoria.org). Bitte beachten Sie: Soweit für einen Record im Rahmen von OpenTimestamps ein Zeitstempel-Anker in der öffentlichen Bitcoin-Blockchain existiert, enthält dieser Blockchain-Eintrag ausschließlich einen nicht umkehrbaren kryptographischen Prüfwert (Merkle-Root / SHA-256-Hash) ohne Klartextdaten. Die Bitcoin-Blockchain ist ein dezentrales, von uns unabhängiges Peer-to-Peer-Register, aus dem einmal bestätigte Block-Header technisch durch niemanden gelöscht werden können; nach Entfernung des Records von unseren Seiten lässt sich der Hash durch uns nicht mehr einem gehosteten Werk zuordnen.

Unzulässigkeit von Dritt- und Kinderdaten in Einreichungen: Operatoren dürfen in ihren eingereichten Stellungnahmen („Statements“) und Artefakten keine personenbezogenen Daten unbeteiligter Dritter — und unter keinen Umständen personenbezogene Daten von Kindern oder Minderjährigen — ohne tragfähige Rechtsgrundlage veröffentlichen. Werden uns solche Angaben bekannt, entfernen wir die betreffenden Passagen oder Einträge unverzüglich.

Lokale Zwischenablage-Funktion und externe Links im Archiv: Die auf archive.antiphoria.org angebotenen Kopier- und Zitier-Schaltflächen nutzen ausschließlich die lokale Zwischenablage-Schnittstelle Ihres Browsers (navigator.clipboard); dabei werden keine Daten an uns oder Dritte gesendet. Soweit auf Archivseiten bei bestätigten Bitcoin-Zeitstempeln ein externer Textlink auf mempool.space angezeigt wird, handelt es sich um einen normalen Hyperlink: Erst wenn Sie diesen Link aktiv anklicken, verlassen Sie unser Angebot und rufen die externe Webseite in eigener Verantwortung auf.

8. verify³ — rein lokale Dateiverarbeitung im Browser (verify.antiphoria.org)

Das unter verify.antiphoria.org bereitgestellte Prüfinstrument verify³ prüft eine von Ihnen ausgewählte oder per Drag-and-Drop übergebene .aepp1-Containerdatei ausschließlich lokal im Arbeitsspeicher Ihres Browsers (über die lokale HTML5-File-API und WebCrypto/WebAssembly).

Kein Datei-Upload: Die von Ihnen geprüfte Datei und ihr Inhalt werden zu keinem Zeitpunkt an unsere Server, an unseren Hosting-Anbieter oder an sonstige Dritte hochgeladen, übertragen, gespeichert oder protokolliert. Enthält eine von Ihnen geprüfte .aepp1-Datei personenbezogene Daten, verbleiben diese vollständig auf Ihrem Endgerät und unter Ihrer alleinigen Kontrolle; wir erhalten hiervon keinerlei Kenntnis.

Vom eigenen Ursprung geladene Referenzdaten: Zur Durchführung der Prüfung lädt Ihr Browser statische Referenzdateien ausschließlich vom selben Ursprung verify.antiphoria.org (ausgeliefert über Codeberg e.V. in Deutschland), namentlich das öffentliche Schlüsselverzeichnis (/keys/registry.json samt Schlüsseldateien), das lokale Kryptographie-WASM-Modul (/dist/ml-dsa-44.min.js), lokal gehostete Schriftarten (/fonts/), auf Ihren Klick hin abrufbare Beispiel-Container (/aepp1/) sowie die unter Ziffer 9 beschriebenen lokalen Block-Header-Momentaufnahmen (/headers/). Auf verify.antiphoria.org werden weder Cookies gesetzt noch localStorage, sessionStorage oder IndexedDB verwendet.

9. verify³ — Abgleich des Bitcoin-Ankers (Standard: EWR-Momentaufnahme; Live-Abfrage nur nach ausdrücklicher Einwilligung)

Enthält eine in verify³ geprüfte Datei einen OpenTimestamps-Nachweis (proofs/opentimestamps.ots), gleicht die Prüfstufe opentimestamps den kryptographischen Merkle-Pfad gegen den 80-Byte-Block-Header des betreffenden Bitcoin-Blocks ab. Hierfür gilt folgende zweistufige Architektur:

1. Regelfall — statische Momentaufnahme vom eigenen EWR-Ursprung (keine Drittübermittlung): Für sämtliche Blockhöhen der im Archiv veröffentlichten Records hält verify.antiphoria.org den jeweiligen 80-Byte-Bitcoin-Block-Header als statische Datei unter verify.antiphoria.org/headers/<blockhöhe>.json bereit. Diese Datei wird wie die übrige Seite direkt von unserem Hosting-Anbieter Codeberg e.V. in Deutschland ausgeliefert; ihr kryptographischer Wahrheitswert wird im Browser identisch geprüft (doppelter SHA-256-Hash des 80-Byte-Headers muss mit der Block-ID übereinstimmen). Bei diesem Standardabgleich findet keinerlei Verbindung zu externen Drittdiensten und keinerlei Drittlandtransfer statt (Anzeige im Prüfprotokoll: source local snapshot).
2. Ausnahmefall — Abfrage externer Live-Explorer ausschließlich nach vorheriger ausdrücklicher Einwilligung (Art. 6 Abs. 1 lit. a, Art. 49 Abs. 1 Satz 1 lit. a DSGVO): Nur wenn Sie eine eigene .aepp1-Datei prüfen, deren OpenTimestamps-Nachweis auf eine Bitcoin-Blockhöhe verweist, für die unter /headers/ keine lokale Momentaufnahme hinterlegt ist, kann der Block-Header optional von einer öffentlichen Bitcoin-Explorer-API abgerufen werden — primär von blockstream.info/api (Betreiber: Blockstream Corporation, USA/Kanada) und lediglich bei technischem Ausfall ersatzweise von mempool.space/api (Betreiber: Mempool Holdings S.A. de C.V., El Salvador). Ohne Ihre vorherige aktive Zustimmung findet dieser Abruf nicht statt. Bevor irgendeine Netzwerkverbindung zu diesen Diensten aufgebaut wird, unterbricht verify³ den Prüflauf und zeigt Ihnen einen Einwilligungsdialog an, der Sie über die Empfänger, die Drittländer (USA bzw. El Salvador), die übermittelten Verbindungsdaten, das Fehlen eines Angemessenheitsbeschlusses und geeigneter Garantien sowie die damit verbundenen Risiken informiert.

Bei Erteilung der Einwilligung übermittelte Daten: Stimmen Sie im Dialog ausdrücklich zu, ruft Ihr Browser den Endpunkt für die Blockhöhe bzw. den 80-Byte-Header direkt beim jeweiligen Dienst ab. Hierbei werden technisch bedingt Ihre IP-Adresse, der Zeitpunkt der Anfrage, die angefragte Bitcoin-Blockhöhe bzw. der Block-Hash sowie die standardmäßigen HTTP-Kopfzeilen Ihres Browsers (insbesondere User-Agent und ggf. Referrer/Origin verify.antiphoria.org) an den jeweiligen Betreiber übermittelt. Der Inhalt Ihrer .aepp1-Datei oder der Dokumenten-Hash Ihres Werks wird auch in diesem Fall nicht übermittelt.

Rechtsgrundlage, Freiwilligkeit und Widerruf: Rechtsgrundlage für die Freischaltung des externen Abrufs und die damit verbundene Übermittlung Ihrer Verbindungsdaten in ein Drittland ist ausschließlich Ihre ausdrückliche Einwilligung gemäß Art. 6 Abs. 1 Satz 1 lit. a in Verbindung mit Art. 49 Abs. 1 Satz 1 lit. a DSGVO (sowie hinsichtlich des Endgerätezugriffs § 25 Abs. 1 TDDDG, soweit einschlägig). Die Einwilligung ist vollkommen freiwillig und gilt ausschließlich einmalig für den aktuell laufenden Prüfvorgang (sie wird nicht dauerhaft gespeichert). Wenn Sie im Dialog auf „Ablehnen / Überspringen“ klicken oder das Dialogfenster schließen (z. B. mit der Esc-Taste), unterbleibt jeglicher Aufruf von blockstream.info und mempool.space; die Stufe opentimestamps wird dann als ungeprüft (TACET) markiert, während sämtliche übrigen neun Prüfstufen vollständig lokal durchlaufen werden. Bei jedem neuen Prüfvorgang (oder nach Klick auf RESET) ist eine etwa zuvor erteilte Einwilligung zurückgesetzt.

10. Cookies, lokaler Browser-Speicher und Einwilligungsmanagement (§ 25 TDDDG)

Um datenschutzrechtliche Risiken nach dem Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c und Art. 25 DSGVO) von vornherein auszuschließen, verzichtet das gesamte Netzwerk auf folgende Techniken:

• Keine Cookies: Keine der Domains des Netzwerks setzt HTTP-Cookies (weder First-Party- noch Third-Party-Cookies).
• Kein Web-Storage zu Analyse- oder Trackingzwecken: Es werden weder localStorage noch sessionStorage noch IndexedDB zur Wiedererkennung von Besuchern angelegt.
• Kein Web-Tracking und keine Reichweitenmessung: Es werden keine Analyse-, Telemetrie-, Fingerprinting- oder Werbedienste eingebunden.
• Keine externen CDNs oder externen Webfonts: Alle Schriftarten, Skripte, Stylesheets und WebAssembly-Module werden lokal von der jeweiligen eigenen Domain ausgeliefert.
• Keine automatisierte Entscheidungsfindung oder Profilerstellung: Eine Verarbeitung im Sinne des Art. 22 DSGVO (einschließlich Profiling) findet nicht statt.

Da auf Ihrem Endgerät keinerlei Informationen gespeichert oder ausgelesen werden, die nicht gemäß § 25 Abs. 2 Nr. 2 TDDDG für die Bereitstellung des von Ihnen ausdrücklich gewünschten digitalen Dienstes unbedingt erforderlich sind (bzw. ein optionaler Live-Explorer-Abruf in verify³ erst nach gesonderter Abfrage erfolgt), ist ein allgemeines Cookie-Einwilligungsbanner rechtlich nicht erforderlich und daher nicht eingebunden.

11. Empfänger personenbezogener Daten (Art. 13 Abs. 1 lit. e DSGVO)

Innerhalb unseres Verantwortungsbereichs hat nur der im Impressum benannte Verantwortliche Zugriff auf anfallende Daten. An externe Stellen gelangen personenbezogene Daten nur in folgenden, oben im Einzelnen erläuterten Fällen:

• Hosting (Auftragsverarbeiter): Codeberg e.V., Berlin, Deutschland (Auslieferung aller Domains des Netzwerks und Verarbeitung der technisch notwendigen Server-Logfiles, siehe Ziffern 3 und 4).
• DNS-Auflösung: Porkbun LLC, USA (flüchtige Verarbeitung bei der Auflösung der Domainnamen über die autoritativen Nameserver, siehe Ziffer 4).
• E-Mail-Kommunikation (Auftragsverarbeiter, nur bei E-Mail-Kontakt): Google Ireland Limited, Irland / Google LLC, USA (Entgegennahme und Speicherung von E-Mails an Adressen unter @antiphoria.org, siehe Ziffer 5).
• Öffentlichkeit (nur bei veröffentlichten Register- und Archiveinträgen): Abrufende Nutzerinnen und Nutzer weltweit hinsichtlich der von Operatoren bewusst zur Veröffentlichung eingereichten Angaben auf operators.antiphoria.org, archive.antiphoria.org und verify.antiphoria.org (siehe Ziffer 7).
• Externe Bitcoin-Explorer-Betreiber (nur in verify³ und ausschließlich nach Ihrer vorherigen ausdrücklichen Einwilligung): Blockstream Corporation (blockstream.info) bzw. im Ausfallfall Mempool Holdings S.A. de C.V. (mempool.space) als eigenständige Verantwortliche, sofern für eine geprüfte Blockhöhe keine lokale Momentaufnahme vorliegt und Sie im Einwilligungsdialog ausdrücklich zugestimmt haben (siehe Ziffer 9).

Eine sonstige Übermittlung an Dritte erfolgt nicht, es sei denn, wir sind hierzu aufgrund zwingender gesetzlicher Vorschriften (Art. 6 Abs. 1 Satz 1 lit. c DSGVO) verpflichtet.

12. Datenübermittlung in Drittländer (Art. 13 Abs. 1 lit. f, Art. 44 ff. DSGVO)

Seitenaufruf und Hosting im EWR: Die Serverinfrastruktur unseres Hosting-Anbieters Codeberg e.V. befindet sich ausschließlich in Deutschland (Europäischer Wirtschaftsraum). Beim normalen Besuch und der Nutzung unserer Webseiten (einschließlich der Standardprüfung in verify³ über unsere lokalen Block-Header-Momentaufnahmen) findet abgesehen von der technisch flüchtigen DNS-Auflösung über die Nameserver des Registrars Porkbun LLC (USA, Ziffer 4) keine Übermittlung personenbezogener Daten in Drittländer außerhalb der EU bzw. des EWR statt.

E-Mail-Verkehr (USA – Angemessenheitsbeschluss & Standardvertragsklauseln): Wenn Sie uns eine E-Mail senden, können Daten im Rahmen der Auftragsverarbeitung durch Google Workspace an die Google LLC in den Vereinigten Staaten übermittelt werden. Für diese Übermittlung besteht ein Angemessenheitsbeschluss der Europäischen Kommission gemäß Art. 45 Abs. 1 DSGVO (EU-US Data Privacy Framework, unter dem Google LLC zertifiziert ist) sowie ergänzend geeignete Garantien in Form der EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO (siehe Ziffer 5).

Optionaler Live-Explorer-Abruf in verify³ (USA / El Salvador – nur nach ausdrücklicher Einwilligung gemäß Art. 49 Abs. 1 Satz 1 lit. a DSGVO): Erteilen Sie in verify³ bei einer nicht lokal als Momentaufnahme vorhandenen Bitcoin-Blockhöhe im Einwilligungsdialog Ihre ausdrückliche Zustimmung zum Live-Abruf (Ziffer 9), werden Ihre Verbindungsdaten (IP-Adresse, Zeitpunkt, angefragte Blockhöhe/Block-Hash, Browser-Header) direkt an eigenständige Verantwortliche in Drittländern übermittelt:

• blockstream.info (Blockstream Corporation, Kanada / USA): Die Blockstream Corporation ist eine nach kanadischem Recht gegründete Gesellschaft (Montreal, Québec, Kanada), deren Nutzungsbedingungen bestimmen, dass die Dienste von Einrichtungen in den Vereinigten Staaten von Amerika (USA) aus betrieben und kontrolliert werden und Daten in den USA sowie weiteren Ländern verarbeitet werden können. Blockstream ist nicht unter dem EU-US Data Privacy Framework zertifiziert; ein Angemessenheitsbeschluss nach Art. 45 DSGVO greift für diese US-Verarbeitung daher nicht.
• mempool.space (Mempool Holdings S.A. de C.V., El Salvador): Wird nur abgefragt, falls blockstream.info technisch nicht erreichbar ist. Betreiber ist die Mempool Holdings S.A. de C.V. mit Sitz in San Salvador, El Salvador (weltweit verteilte eigene Serverinfrastruktur). Für El Salvador besteht kein Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO.

Hinweis auf das Fehlen geeigneter Garantien und mögliche Risiken (Art. 49 Abs. 1 Satz 1 lit. a DSGVO): Da die genannten Betreiber öffentliche Blockchain-Schnittstellen als eigenständige Verantwortliche bereitstellen, bestehen zwischen uns und ihnen keine Standardvertragsklauseln oder sonstigen Garantien nach Art. 46 DSGVO. In den USA (außerhalb des DPF) und in El Salvador besteht kein dem EU-Recht gleichwertiges Datenschutzniveau; insbesondere besteht das Risiko, dass dortige staatliche Stellen, Strafverfolgungsbehörden oder Nachrichtendienste auf die übermittelten Verbindungsdaten (wie Ihre IP-Adresse und den Abfragezeitpunkt) zugreifen können, ohne dass Ihnen hiergegen wirksame, gerichtlich durchsetzbare Rechtsbehelfe oder Betroffenenrechte nach europäischem Standard zustehen. Die Übermittlung erfolgt daher ausschließlich dann, wenn Sie in Kenntnis dieser Risiken im Dialogfenster ausdrücklich gemäß Art. 49 Abs. 1 Satz 1 lit. a DSGVO einwilligen. Ohne Ihre Einwilligung unterbleibt die Übermittlung vollständig.

13. Pflicht zur Bereitstellung von Daten (Art. 13 Abs. 2 lit. e DSGVO)

Für Besucherinnen und Besucher unserer Webseiten besteht weder eine gesetzliche noch eine vertragliche Pflicht zur Bereitstellung personenbezogener Daten. Bei der rein informatorischen Nutzung unserer Seiten ist jedoch die Übermittlung der technisch bedingten Verbindungsdaten (insbesondere Ihrer IP-Adresse, siehe Ziffer 4) durch Ihren Browser technisch zwingend erforderlich; ohne diese Übermittlung kann unser Webserver die angeforderten Seiten nicht an Ihr Endgerät ausliefern.

Die Nutzung von verify³ (Ziffern 8 und 9), eine Kontaktaufnahme per E-Mail (Ziffer 5) sowie die Einreichung von Angaben zur Veröffentlichung im Operatorenregister oder Archiv (Ziffer 7) sind freiwillig. Ohne Bereitstellung der dafür jeweils erforderlichen Angaben kann eine E-Mail-Anfrage nicht beantwortet bzw. ein Register- oder Archiveintrag nicht veröffentlicht werden; lehnen Sie in verify³ die Einwilligung für den optionalen Live-Explorer-Abruf ab, bleibt lediglich der Bitcoin-Anker eines nicht lokal gespiegelten Blocks ungeprüft.

14. Speicherdauer (Art. 13 Abs. 2 lit. a DSGVO)

Sofern in den vorstehenden Abschnitten keine speziellere Speicherdauer genannt ist, werden personenbezogene Daten gelöscht, sobald der Zweck der jeweiligen Verarbeitung entfällt und keine gesetzlichen Aufbewahrungspflichten oder berechtigten Interessen an der Rechtsverteidigung (Art. 17 Abs. 3 DSGVO) entgegenstehen:

• Server-Logfiles: Kurzzeitige Speicherung durch den Hosting-Anbieter Codeberg e.V. ausschließlich zur technischen Bereitstellung und Missbrauchsabwehr gemäß dessen Datenschutzrichtlinie (Ziffer 4).
• E-Mail-Anfragen: Löschung nach abschließender Erledigung der Konversation, vorbehaltlich gesetzlicher Aufbewahrungs- oder Verjährungsfristen (Ziffer 5).
• Veröffentlichte Register- und Archiveinträge: Speicherung für die Dauer der Veröffentlichung bis zum Widerruf der Einwilligung oder einem berechtigten Löschungsersuchen der veröffentlichenden Person; danach unverzügliche Entfernung aller von uns gehosteten Seiten und Nachweisdateien (Ziffer 7).
• In verify³ lokal geprüfte Dateien: Keinerlei Speicherung bei uns; die Verarbeitung erfolgt ausschließlich flüchtig im Arbeitsspeicher Ihres eigenen Browsers (Ziffer 8).

15. Ihre Rechte als betroffene Person (Art. 15–21, Art. 7 Abs. 3 DSGVO)

Ihnen stehen hinsichtlich der Sie betreffenden personenbezogenen Daten nach Maßgabe der gesetzlichen Voraussetzungen folgende Rechte gegenüber dem Verantwortlichen zu:

• Recht auf Auskunft (Art. 15 DSGVO): Sie haben das Recht, eine Bestätigung darüber zu verlangen, ob Sie betreffende personenbezogene Daten verarbeitet werden, und gegebenenfalls Auskunft über diese Daten sowie die in Art. 15 DSGVO genannten weiteren Informationen und eine Kopie der Daten zu erhalten.
• Recht auf Berichtigung (Art. 16 DSGVO): Sie haben das Recht, unverzüglich die Berichtigung Sie betreffender unrichtiger personenbezogener Daten sowie die Vervollständigung unvollständiger Daten zu verlangen.
• Recht auf Löschung / „Recht auf Vergessenwerden“ (Art. 17 DSGVO): Sie haben das Recht zu verlangen, dass Sie betreffende personenbezogene Daten unverzüglich gelöscht werden, sofern einer der in Art. 17 Abs. 1 DSGVO genannten Gründe zutrifft und die Verarbeitung nicht gemäß Art. 17 Abs. 3 DSGVO erforderlich ist.
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie haben das Recht, die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen, solange eine der Voraussetzungen des Art. 18 Abs. 1 DSGVO vorliegt.
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Beruht die Verarbeitung auf einer Einwilligung oder einem Vertrag und erfolgt sie mithilfe automatisierter Verfahren, haben Sie das Recht, die Sie betreffenden Daten, die Sie uns bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten oder die Übermittlung an einen anderen Verantwortlichen zu verlangen.
• Recht auf Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO): Sie haben das Recht, eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen. Durch den Widerruf der Einwilligung wird die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt.

16. Beschwerderecht bei einer Aufsichtsbehörde (Art. 13 Abs. 2 lit. d, Art. 77 DSGVO)

Unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs steht Ihnen gemäß Art. 77 DSGVO das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde zu, insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, wenn Sie der Ansicht sind, dass die Verarbeitung der Sie betreffenden personenbezogenen Daten gegen die DSGVO verstößt.

Die für den Sitz des Verantwortlichen zuständige Datenschutz-Aufsichtsbehörde ist:

Berliner Beauftragte für Datenschutz und Informationsfreiheit
https://www.datenschutz-berlin.de/

17. Aktualität und Änderung dieser Datenschutzerklärung

Diese Datenschutzerklärung ist aktuell gültig und hat den Stand Oktober 2026. Durch die technische Weiterentwicklung unserer Webangebote oder aufgrund geänderter gesetzlicher bzw. behördlicher Vorgaben kann eine Anpassung dieser Datenschutzerklärung erforderlich werden. Die jeweils aktuelle Fassung kann jederzeit unter https://antiphoria.org/datenschutz/ abgerufen werden.