Datenschutzerklärung
für https://transfer.pechuschwefel.de (Schwefeltransfer) · Stand: 2026-07-12
1. Verantwortlicher
PECH und SCHWEFEL GmbH
Kazmairstraße 60, 80339 München, Deutschland
Telefon: +49 (0) 151 24038646
E-Mail: servus@pechschwefel.de
Geschäftsführung: Dierk Frey, Jan Louven
Eingetragen: Amtsgericht München, HRB 251815 · USt-IdNr: DE326461727
2. Datenschutz-Beauftragter
Es ist gemäß Art. 37 DSGVO i.V.m. § 38 BDSG kein Datenschutz-Beauftragter erforderlich (Beschäftigtenzahl < 20, keine umfangreiche Verarbeitung besonderer Kategorien). Anfragen zum Datenschutz richte direkt an: servus@pechschwefel.de.
3. Welche Daten verarbeiten wir?
3.1 Beim Aufruf der Seite (Server-Logs)
Wenn Du die Seite besuchst, werden technisch nötige Daten in den Server-Logs gespeichert:
- IP-Adresse
- Datum und Uhrzeit des Zugriffs
- aufgerufene URL
- HTTP-Statuscode
- User-Agent (Browser, Betriebssystem)
- Referer (vorherige Seite)
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherem und stabilem Betrieb).
Speicherdauer: 14 Tage, dann automatische Löschung durch logrotate.
3.2 Beim Versenden eines Transfers (ohne Konto)
Für den Datei-Versand verarbeiten wir:
- Deine E-Mail-Adresse (Verifizierung per 6-stelligem Code, Missbrauchsschutz)
- optional die E-Mail-Adresse des Empfängers (Zustellung des Download-Links)
- Projektname und optionale Nachricht
- die hochgeladenen Dateien selbst
- Zeitpunkt des Uploads sowie Anzahl und Zeitpunkt der Downloads
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Dienstes) und Art. 6 Abs. 1 lit. f DSGVO (Missbrauchsschutz).
Speicherdauer: Transfers werden nicht automatisch gelöscht; die Löschung erfolgt durch den Administrator. Verifizierungscodes verfallen nach 10 Minuten.
3.3 Bei Nutzung eines Kontos (Projekte)
Konten werden ausschließlich auf Einladung angelegt. Wir verarbeiten:
- E-Mail-Adresse
- Passwort (gespeichert nur als scrypt-Hash mit Salt, niemals im Klartext)
- Projekt-Mitgliedschaften und im Projekt abgelegte Dateien und Ordner
- ein Download-Protokoll je Datei (wer welche Projekt-Datei bereits heruntergeladen hat — Grundlage der „Nur neue Dateien"-Funktion)
- fehlgeschlagene Login-Versuche (IP, Zeitpunkt) zum Brute-Force-Schutz
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit).
Speicherdauer: bis zur Löschung des Kontos durch den Administrator. Das Download-Protokoll wird mit dem Projekt bzw. der Datei gelöscht.
3.4 Cookies
Wir setzen genau ein Cookie:
| Name | Zweck | Dauer | Typ |
|---|---|---|---|
| dt_session | Login-Sitzung | 30 Tage | strict-necessary |
Es handelt sich um ein technisch notwendiges Cookie. Eine Einwilligung nach § 25 Abs. 1 TTDSG ist nicht erforderlich. Cookie-Banner werden daher nicht angezeigt.
Eigenschaften: HttpOnly (kein JavaScript-Zugriff), SameSite=Lax, Auslieferung ausschließlich über HTTPS.
4. Speicherdauer im Überblick
| Daten | Speicherdauer |
|---|---|
| nginx Server-Logs | 14 Tage |
| Transfers (Dateien + Metadaten) | bis zur Löschung durch den Admin |
| Verifizierungscodes | 10 Minuten |
| Konto (E-Mail, Passwort-Hash) | bis zur Konto-Löschung |
| Projekt-Dateien + Download-Protokoll | bis zur Löschung des Projekts/der Datei |
| Backups | 14 Tage / 4 Wochen / 6 Monate (restic) |
5. Empfänger Deiner Daten
Innerhalb von Pech und Schwefel: nur Mitarbeitende mit Admin-Zugang sowie die Mitglieder der Projekte, denen Du angehörst (Projekt-Mitglieder sehen gegenseitig ihre E-Mail-Adressen).
Externe Auftragsverarbeiter (Sub-Processoren):
| Anbieter | Zweck | Sitz | AVV |
|---|---|---|---|
| Hetzner Online GmbH | Server-Hosting | DE (Nürnberg) | ja |
| Strato AG | E-Mail-Versand | DE | ja |
| Cloudflare Inc. | Anonymer HIBP-Passwort-Check | US (mit SCC nach Schrems II) | über Cloudflare-Standard-AVV |
Es findet keine Übermittlung personenbezogener Daten in Drittländer statt. Beim HIBP-Check wird ausschließlich ein 5-Zeichen-SHA1-Präfix gesendet, kein Passwort und kein Personenbezug (k-anonymity).
6. Deine Rechte
- Auskunft (Art. 15 DSGVO)
- Berichtigung (Art. 16)
- Löschung (Art. 17) — per Mail an servus@pechschwefel.de
- Einschränkung (Art. 18)
- Datenübertragbarkeit (Art. 20) — per Mail an servus@pechschwefel.de
- Widerspruch (Art. 21)
- Beschwerde bei der zuständigen Aufsichtsbehörde: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, www.lda.bayern.de
7. Sicherheit Deiner Daten
Wir setzen technische und organisatorische Maßnahmen nach DSGVO Art. 32 ein:
- TLS-Verschlüsselung der gesamten Datenübertragung
- scrypt-Hashing der Passwörter mit Salt, plus HIBP-Check gegen kompromittierte Passwörter
- Passwort-Richtlinie (min. 12 Zeichen + Komplexität), Brute-Force-Sperre und IP-Rate-Limits
- Strikte Content-Security-Policy und Security-Header
- Tägliche Backups (restic, verschlüsselt), dokumentiertes Rollback
- Server in Deutschland (Hetzner Nürnberg)
8. Änderung dieser Datenschutzerklärung
Wir behalten uns vor, diese Erklärung anzupassen, um sie den geltenden rechtlichen Anforderungen anzupassen. Die jeweils aktuelle Version findest Du auf transfer.pechuschwefel.de/datenschutz.html.
Letzte Änderung: 2026-07-12