Privacy

Datenschutzerklärung

Diese Datenschutzerklärung gilt für die Website texy.lou.gg. Sie erklärt, welche personenbezogenen Daten beim Besuch der Website und beim Kauf einer TeXy-Lizenz verarbeitet werden, zu welchem Zweck, auf welcher Rechtsgrundlage und wie lange.

1. Verantwortlicher

Ein Datenschutzbeauftragter ist nicht benannt, da weniger als 20 Personen ständig mit der Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 Abs. 1 BDSG).

2. Überblick

Diese Website setzt keine Cookies, nutzt keine Webanalyse und bindet keine Inhalte Dritter ein. Schriftarten werden vom eigenen Server ausgeliefert. Personenbezogene Daten werden nur in diesen Fällen verarbeitet: in den Server-Logfiles bei jedem Aufruf, beim Kauf über Stripe, beim Versand der Lizenz per E-Mail und wenn Sie eine Lizenz erneut anfordern.

3. Hosting und Server-Logfiles

Die Website läuft mit Astro auf einem eigenen Node-Server bei Hetzner. Bei jedem Aufruf speichert der Server: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite oder Datei, Referrer, User-Agent, HTTP-Statuscode und übertragene Datenmenge.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt im sicheren und fehlerfreien Betrieb der Website. Die Logfiles werden nach 7 Tagen gelöscht. Einträge, die zur Aufklärung eines Sicherheitsvorfalls nötig sind, werden bis zu dessen Abschluss aufbewahrt. Mit dem Hoster besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

4. Schriftarten, Cookies und Webanalyse

Alle Schriftarten liegen auf dem eigenen Server. Ihr Browser baut keine Verbindung zu Google Fonts oder anderen Anbietern auf. Die Website setzt keine Cookies, speichert nichts im Browser und nutzt keine Analyse- oder Tracking-Dienste.

5. Kauf und Zahlung über Stripe

Der Kauf läuft über einen Zahlungslink von Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland. Auf der Bezahlseite von Stripe geben Sie Ihre E-Mail-Adresse, Ihre Zahlungsdaten und gegebenenfalls Ihre Rechnungsanschrift ein. Stripe verarbeitet diese Daten, um die Zahlung abzuwickeln und eigene gesetzliche Pflichten zu erfüllen, etwa zur Betrugs- und Geldwäscheprävention. Dabei können Daten an Stripe, Inc. in den USA übermittelt werden. Details stehen in der Datenschutzerklärung von Stripe.

Nach dem Kauf übermittelt Stripe an diese Website die Bestellnummer, Ihre E-Mail-Adresse, den Kaufzeitpunkt und den Zahlungsstatus. Zahlungsdaten wie Kartennummern erreichen diese Website nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

TODO Prüfen, ob Stripe hier als Auftragsverarbeiter oder als eigenständiger Verantwortlicher auftritt, und die Grundlage der Übermittlung in die USA nennen (EU-US Data Privacy Framework oder Standardvertragsklauseln).

6. Lizenz

Für jeden Kauf wird eine Lizenz ausgestellt und gespeichert: Bestellnummer, E-Mail-Adresse, Kaufdatum, der signierte Lizenztext (er enthält E-Mail-Adresse, Kaufdatum und Bestellnummer) und der Zeitpunkt, zu dem die Lizenz per E-Mail versendet wurde. Diese Daten werden gebraucht, um die Lizenz auszustellen, zuzustellen und auf Anfrage erneut zu senden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Die Daten werden 10 Jahre nach dem Kauf gelöscht. Das deckt die gesetzlichen Aufbewahrungsfristen für Buchungsbelege (§ 147 AO, § 257 HGB) ab. Auf Wunsch werden die Daten früher gelöscht, soweit keine Aufbewahrungspflicht entgegensteht. Die Lizenz bleibt danach gültig, kann aber nicht mehr erneut gesendet werden.

TODO Speicherdauer prüfen. Vorschlag: 10 Jahre nach dem Kauf (licenceRetentionYears in src/config.ts).

7. Versand der Lizenz per E-Mail

Die Lizenz wird per E-Mail an die beim Kauf angegebene Adresse gesendet. Der Versand läuft über den SMTP-Dienst von Proton. Verarbeitet werden Ihre E-Mail-Adresse und der Inhalt der E-Mail. Mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die E-Mail enthält keine Zählpixel und keine Tracking-Links.

8. Lizenz erneut anfordern

Auf der Seite Lost licence können Sie Ihre Lizenz erneut anfordern. Dafür wird die eingegebene E-Mail-Adresse verarbeitet. Gibt es Lizenzen zu dieser Adresse, werden sie dorthin gesendet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Zum Schutz vor Missbrauch zählt der Server Anfragen je IP-Adresse und je E-Mail-Adresse. Diese Zähler liegen nur im Arbeitsspeicher, werden nicht auf einem Datenträger gespeichert und nach einer Stunde verworfen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt im Schutz vor Missbrauch des Formulars.

9. Empfänger und Übermittlung in Drittländer

Empfänger sind der Hoster (Abschnitt 3), Stripe (Abschnitt 5) und der E-Mail-Anbieter (Abschnitt 7). Eine Übermittlung in Länder außerhalb der EU und des EWR findet nur über Stripe statt, wie in Abschnitt 5 beschrieben.

TODO Ergänzen, falls Hoster oder E-Mail-Anbieter Daten außerhalb der EU verarbeiten.

10. SSL- bzw. TLS-Verschlüsselung

Diese Website nutzt TLS-Verschlüsselung, auch für das Formular zur erneuten Anforderung. Sie erkennen eine verschlüsselte Verbindung an „https://“ in der Adresszeile.

11. Ihre Rechte

Sie haben gegenüber dem Verantwortlichen folgende Rechte:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO)

Eine formlose Nachricht per E-Mail oder Post an die Adresse in Abschnitt 1 genügt.

Widerspruchsrecht: Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO können Sie jederzeit aus Gründen widersprechen, die sich aus Ihrer besonderen Situation ergeben. Danach werden die Daten nicht mehr verarbeitet, es sei denn, es bestehen zwingende schutzwürdige Gründe, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Beschwerderecht: Sie können sich nach Art. 77 DSGVO bei einer Aufsichtsbehörde beschweren. Zuständig ist:

12. Keine Pflicht zur Bereitstellung, keine automatisierten Entscheidungen

Sie sind weder gesetzlich noch vertraglich verpflichtet, Daten bereitzustellen. Ohne E-Mail-Adresse kann die Lizenz jedoch nicht zugestellt werden. Es finden keine automatisierten Einzelentscheidungen und kein Profiling nach Art. 22 DSGVO statt.

13. Änderungen

Diese Datenschutzerklärung wird angepasst, wenn sich die Website, der Kaufablauf oder die Rechtslage ändern. Es gilt die hier veröffentlichte Fassung. Stand: TODO: Datum

Privacy policy in English

This privacy policy covers the website texy.lou.gg. It explains which personal data is processed when you visit the site and when you buy a TeXy licence, for what purpose, on what legal basis, and for how long.

1. Controller

There's no data protection officer, because fewer than 20 people regularly process personal data (§ 38(1) BDSG).

2. Overview

This site sets no cookies, uses no analytics, and embeds no third-party content. Fonts are served from the site's own server. Personal data is processed only in these cases: in the server logs on every request, when you buy through Stripe, when your licence is emailed to you, and when you request your licence again.

3. Hosting and server logs

The site runs on Astro on its own Node server, hosted by Hetzner. For every request, the server logs the IP address, the date and time, the requested page or file, the referrer, the user agent, the HTTP status code, and the amount of data transferred.

The legal basis is Art. 6(1)(f) GDPR, with the legitimate interest of running the site securely and without errors. Logs are deleted after 7 days. Entries needed to investigate a security incident are kept until it's resolved. A data processing agreement under Art. 28 GDPR is in place with the host.

4. Fonts, cookies and analytics

All fonts are served from the site's own server, so your browser doesn't connect to Google Fonts or any other provider. The site sets no cookies, stores nothing in your browser, and uses no analytics or tracking services.

5. Purchase and payment through Stripe

You buy TeXy through a payment link from Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Ireland. On the Stripe checkout page, you enter your email address, your payment details, and your billing address where needed. Stripe processes this data to handle the payment and to meet its own legal obligations, such as fraud and money laundering prevention. Data may be transferred to Stripe, Inc. in the USA. For details, see the Stripe privacy policy.

After the purchase, Stripe sends this site the order number, your email address, the time of purchase, and the payment status. Payment details such as card numbers never reach this site. The legal basis is Art. 6(1)(b) GDPR (performance of a contract).

6. Licence

Each purchase creates a licence, and the site stores the order number, your email address, the purchase date, the signed licence text (which contains the email address, purchase date and order number), and the time the licence was emailed. This data is needed to issue the licence, deliver it, and send it again on request. The legal basis is Art. 6(1)(b) GDPR (performance of a contract).

The data is deleted 10 years after the purchase, which covers the statutory retention periods for accounting records (§ 147 AO, § 257 HGB). On request, it's deleted earlier unless a retention obligation applies. The licence keeps working after that, but it can't be sent again.

7. Licence email

The licence is emailed to the address you gave at checkout, through the SMTP service of Proton. This processes your email address and the content of the email. A data processing agreement under Art. 28 GDPR is in place with the provider. The legal basis is Art. 6(1)(b) GDPR. The email contains no tracking pixels and no tracking links.

8. Requesting your licence again

On the lost licence page, you can request your licence again. This processes the email address you enter. If there are licences for that address, they're sent to it. The legal basis is Art. 6(1)(b) GDPR.

To prevent abuse, the server counts requests per IP address and per email address. These counters exist only in memory, are never written to disk, and are discarded after one hour. The legal basis is Art. 6(1)(f) GDPR, with the legitimate interest of protecting the form from abuse.

9. Recipients and transfers outside the EU

The recipients are the host (section 3), Stripe (section 5), and the email provider (section 7). Data leaves the EU and EEA only through Stripe, as described in section 5.

10. TLS encryption

This site uses TLS encryption, including for the licence request form. You can tell from “https://” in the address bar.

11. Your rights

You have these rights towards the controller:

• Access (Art. 15 GDPR)
• Rectification (Art. 16 GDPR)
• Erasure (Art. 17 GDPR)
• Restriction of processing (Art. 18 GDPR)
• Data portability (Art. 20 GDPR)
• Objection (Art. 21 GDPR)

An informal message by email or post to the address in section 1 is enough.

Right to object: You can object at any time to processing based on Art. 6(1)(f) GDPR, on grounds relating to your particular situation. The data is then no longer processed, unless there are compelling legitimate grounds that override your interests, rights and freedoms, or the processing serves to establish, exercise or defend legal claims.

Right to lodge a complaint: Under Art. 77 GDPR, you can complain to a supervisory authority. The competent authority is the State Commissioner for Data Protection and Freedom of Information Baden-Württemberg (Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg), Heilbronner Straße 35, 70191 Stuttgart, Germany.

12. No obligation to provide data, no automated decisions

You're not required by law or contract to provide data. Without an email address, though, the licence can't be delivered. There's no automated individual decision-making and no profiling under Art. 22 GDPR.

13. Changes

This privacy policy is updated when the site, the purchase process or the law changes. The version published here applies.