Datenschutzerklärung

Stand: 13. Oktober 2026

Diese Erklärung beschreibt, welche personenbezogenen Daten wir verarbeiten, wenn du kekspopup.com besuchst oder kekspopup nutzt. Abschnitt 8 beschreibt, was auf den Websites unserer Kunden geschieht, die das kekspopup-Banner einsetzen.

1. Verantwortlicher

Stillforward GmbH, Goethestraße 48, 84032 Landshut, Deutschland, E-Mail hallo@kekspopup.com, Telefon +49 1579 2396329.

Einen Datenschutzbeauftragten haben wir nicht bestellt, weil die gesetzlichen Voraussetzungen (Art. 37 DSGVO, § 38 BDSG) nicht vorliegen. Ansprechperson ist der Geschäftsführer Tomas Stiller.

2. Grundsätze

  • Wir verarbeiten nur, was für die jeweilige Funktion nötig ist.
  • Wir verkaufen keine Daten und geben sie nur an die unten genannten Empfänger weiter.
  • kekspopup.com nutzt keine Statistik-, Werbe- oder Tracking-Dienste und bindet keine Inhalte fremder Server ein.

3. Besuch der Website und Betrieb (Hosting)

kekspopup läuft auf Servern von Amazon Web Services (Amazon Web Services EMEA SARL, Luxemburg) in der Region Frankfurt am Main. AWS verarbeitet die Daten in unserem Auftrag (Art. 28 DSGVO). Bei jedem Aufruf verarbeiten unsere Server technisch notwendige Angaben: IP-Adresse, Zeitpunkt, aufgerufene Adresse und Angaben deines Browsers. Wir nutzen sie, um die Seite auszuliefern und Angriffe abzuwehren (Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist ein sicherer und stabiler Betrieb). Unsere Anwendung schreibt kein Zugriffsprotokoll: Sie speichert weder IP-Adressen noch die aufgerufenen Adressen. Auch der vorgelagerte Lastverteiler unseres Clusters führt kein Zugriffsprotokoll.

4. Konto und Anmeldung

Ein Konto entsteht mit der Anmeldung über Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Dabei leiten wir dich zu Google weiter. Von Google erhalten wir deine E-Mail-Adresse, deinen Namen, die Angabe, ob die Adresse bestätigt ist, und eine Kennung deines Google-Kontos. Dein Passwort bei Google erhalten wir nicht. Google erfährt, dass du dich bei kekspopup anmeldest; für die Verarbeitung dort ist Google verantwortlich, eine Übermittlung in die USA ist möglich. Rechtsgrundlage ist der Nutzungsvertrag (Art. 6 Abs. 1 lit. b DSGVO).

Alternativ meldest du dich mit einem Link an, den wir an deine E-Mail-Adresse schicken. Dafür verarbeiten wir die Adresse, die du eingibst. Verschicken wir einen Link, speichern wir dazu die Adresse, den Zeitpunkt, einen Hash des Links (nicht den Link selbst) und einen Hash des Cookies, das dein Browser beim Anfordern bekommt. Ein Link gilt nur kurze Zeit (derzeit 15 Minuten) und nur einmal; die Einträge löschen wir nach Ablauf automatisch. Verschicken wir keinen Link – etwa weil es zu der Adresse kein Konto gibt und neue Konten nicht möglich sind –, speichern wir zu der Adresse nichts in der Datenbank. Die E-Mail versenden wir über Amazon Simple Email Service (Amazon Web Services EMEA SARL, Region Frankfurt am Main), der dafür Empfängeradresse und Inhalt der Mail verarbeitet (Auftragsverarbeitung, Art. 28 DSGVO). Die Mails enthalten keine Zählpixel und keine nachverfolgten Links. Um Missbrauch zu verhindern, begrenzen wir, wie oft ein Link angefordert werden kann; dafür zählen wir im Arbeitsspeicher je Adresse (bis zu 24 Stunden) und je IP-Adresse (bis zu 15 Minuten), jeweils als nicht umkehrbaren Hash (Art. 6 Abs. 1 lit. f DSGVO). Rechtsgrundlage der Anmeldung ist der Nutzungsvertrag (Art. 6 Abs. 1 lit. b DSGVO). Zu jeder Sitzung speichern wir, auf welchem Weg du dich angemeldet hast.

Du kannst dich außerdem mit E-Mail-Adresse und Passwort anmelden. Dafür speichern wir im Konto einen Hash deines Passworts (bcrypt), nie das Passwort selbst. Registrierst du dich mit Passwort, schicken wir dir auf demselben Weg einen Link, mit dem du deine Adresse bestätigst; erst dann entsteht das Konto. Bis dahin speichern wir zusammen mit dem Link den Namen, den du angibst, und den Hash des Passworts; diese Einträge löschen wir nach Ablauf automatisch. Um das Ausprobieren von Passwörtern zu verhindern, zählen wir Fehlversuche im Arbeitsspeicher je Adresse und je IP-Adresse (bis zu 15 Minuten), jeweils als nicht umkehrbaren Hash (Art. 6 Abs. 1 lit. f DSGVO). Rechtsgrundlage der Anmeldung ist der Nutzungsvertrag (Art. 6 Abs. 1 lit. b DSGVO).

Schaltest du die Zwei-Faktor-Anmeldung ein, speichern wir den Schlüssel deiner Authenticator-App verschlüsselt, Hashes deiner Wiederherstellungscodes und den zuletzt benutzten Zeitschritt, damit ein Code nur einmal gilt. Merkst du ein Gerät, speichern wir dazu den Hash eines Zufallswerts aus einem Cookie, einen Kurznamen, den wir aus der Kennung deines Browsers bilden (zum Beispiel „Chrome auf macOS“), sowie den Zeitpunkt des Merkens und der letzten Nutzung. Die Kennung des Browsers selbst speichern wir nicht. Schaltest du die Zwei-Faktor-Anmeldung aus, löschen wir diese Angaben. Fehlversuche beim Code zählen wir im Arbeitsspeicher je Konto (bis zu 15 Minuten). Rechtsgrundlage ist der Nutzungsvertrag (Art. 6 Abs. 1 lit. b DSGVO).

Im Konto speichern wir außerdem deine Websites (Name, Domain), die Entwürfe und veröffentlichten Fassungen deiner Banner, den Zeitpunkt der letzten Anmeldung und – falls du welche anlegst – Zugriffstokens, von denen wir nur einen Hash speichern.

5. Cookies auf kekspopup.com

Wir setzen nur Cookies, die für die Anmeldung technisch erforderlich sind (§ 25 Abs. 2 Nr. 2 TDDDG). Eine Einwilligung ist dafür nicht nötig.

  • keks_session: hält dich angemeldet, 30 Tage, nur für unseren Server lesbar (httpOnly).
  • keks_oauth: sichert die Anmeldung über Google ab, 10 Minuten, wird danach gelöscht.
  • keks_magic: merkt sich, in welchem Browser ein Anmeldelink angefordert wurde, damit dir niemand einen fremden Link unterschieben kann; 15 Minuten, enthält einen Zufallswert, wird nach der Anmeldung gelöscht.
  • keks_mfa: nur mit eingeschalteter Zwei-Faktor-Anmeldung; merkt sich nach dem ersten Anmeldeschritt verschlüsselt, für welches Konto noch der Code fehlt; 10 Minuten, wird nach der Anmeldung gelöscht.
  • keks_device: nur wenn du bei der Code-Eingabe „Dieses Gerät merken“ wählst; enthält einen Zufallswert; so lange, wie du es im Konto eingestellt hast, höchstens 400 Tage.

6. Bezahlung

Bezahlte Tarife rechnen wir über Stripe ab (Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Dublin 2, Irland). Für die Bezahlung wechselst du auf eine Seite von Stripe und gibst deine Zahlungsdaten dort ein; wir sehen sie nicht. Stripe erhält deine E-Mail-Adresse und die Angabe, welche Website und welcher Tarif gebucht werden. Von Stripe erhalten wir Kunden- und Abonummer, Tarif, Betrag, Status und Zeiträume sowie Angaben zu bezahlten Rechnungen. Stripe kann Daten in die USA übermitteln. Rechtsgrundlage ist der Vertrag (Art. 6 Abs. 1 lit. b DSGVO); Rechnungsdaten bewahren wir nach den gesetzlichen Fristen auf (Art. 6 Abs. 1 lit. c DSGVO).

7. Kontakt

Schreibst du uns per E-Mail, verarbeiten wir deine Angaben, um zu antworten (Art. 6 Abs. 1 lit. b oder f DSGVO), und löschen sie, wenn die Anfrage erledigt ist und keine Aufbewahrungspflicht besteht.

8. Das kekspopup-Banner auf Websites unserer Kunden

Setzt eine Website das kekspopup-Banner ein, ist deren Betreiber dafür verantwortlich. Wir liefern das Banner aus und verarbeiten dabei Daten in seinem Auftrag (Art. 28 DSGVO). Im Einzelnen:

  • Auslieferung des Skripts: Der Browser ruft das Skript und die Konfiguration von unserem Server ab. Dabei wird wie bei jedem Abruf die IP-Adresse übertragen (siehe Abschnitt 3). Wir setzen dabei kein Cookie und speichern den Abruf nicht.
  • Speicherung der Entscheidung: Die Entscheidung liegt im Browser, in einem Cookie und einem Speicher-Eintrag namens kekspopup auf der Website des Kunden. Enthalten sind die Fassung des Banners, der Zeitpunkt und die Entscheidung je Kategorie und Dienst – keine Kennung. Das ist technisch erforderlich, damit nicht bei jedem Seitenaufruf neu gefragt wird.
  • Einwilligungsnachweis: Mit jeder Entscheidung erhält unser Server einen anonymen Eintrag: Website, Fassung des Banners, Entscheidung je Kategorie und Dienst, Zeitpunkt (auf die Minute gekürzt) und Sprache des Banners. Wir speichern dazu keine IP-Adresse, keine Angaben des Browsers und keine Kennung. Die Einträge löschen wir nach der Frist, die der Betreiber der Website einstellt (zwischen 30 Tagen und 36 Monaten, Vorgabe 12 Monate).
  • Zähler für Seitenaufrufe: Je Seitenaufruf erhält unser Server den Schlüssel der Website. Gespeichert wird nur ein Zähler je Website und Tag – keine IP-Adresse, keine Kennung, kein Cookie. Der Zähler ist Grundlage des Tarifs. Gezählt wird nur, wenn die Anfrage von einer Seite der Website kommt (Prüfung der Herkunftsangabe des Browsers).
  • Schutz vor Missbrauch: Um zu viele Anfragen von einer Stelle zu bremsen, verarbeiten wir die IP-Adresse für höchstens wenige Minuten als nicht umkehrbaren Hash im Arbeitsspeicher. Sie wird nicht gespeichert und nicht protokolliert.

Welche weiteren Dienste eine Website nach deiner Einwilligung lädt, steht im Banner und in der Datenschutzerklärung dieser Website; dafür ist ihr Betreiber verantwortlich.

9. Empfänger

  • Amazon Web Services EMEA SARL (Hosting und Versand der Anmeldelinks über Amazon SES in Frankfurt am Main, Auftragsverarbeiter)
  • Google Ireland Limited (Anmeldung mit Google)
  • Stripe Payments Europe, Limited (Bezahlung)

10. Speicherdauer

Kontodaten speichern wir, bis du dein Konto löschst; das geht im Dashboard unter „Konto“. Dabei löschen wir Websites, Fassungen, Nachweise und Zähler. Angaben zu bezahlten Rechnungen bewahren wir ohne Bezug zum Konto nach den gesetzlichen Fristen auf. Sitzungen laufen nach 30 Tagen ab.

11. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch gegen Verarbeitungen, die auf berechtigten Interessen beruhen (Art. 15 bis 21 DSGVO). Schreib uns dazu an hallo@kekspopup.com. Du kannst dich außerdem bei einer Aufsichtsbehörde beschweren; für uns zuständig ist: Bayerisches Landesamt für Datenschutzaufsicht, Promenade 18, 91522 Ansbach.

Als Besucherin oder Besucher einer Website, die das Banner einsetzt, wendest du dich am besten an deren Betreiber. Zu Nachweisen und Zählern speichern wir keine IP-Adresse und keine Kennung; wir haben deshalb keine Angaben, mit denen wir einen Eintrag einer Person zuordnen könnten.