Verantwortlicher
Belkis Aslani, Vogelsangstr. 32, 71691 Freiberg am Neckar, Deutschland. E-Mail belkis.aslani@gmail.com. Anschrift siehe Impressum. Ein Datenschutzbeauftragter ist nicht bestellt; die Voraussetzungen des § 38 BDSG liegen nicht vor.
Grundsatz
Fokus kommt ohne Werbenetzwerke und ohne Nutzerprofile aus. Es werden keine Daten verkauft oder für Werbung ausgewertet. Schriften werden vom eigenen Server geladen, es gibt keine Verbindung zu Google Fonts oder ähnlichen Diensten. Im angemeldeten Bereich läuft keinerlei Auswertung mit. Ein Einwilligungsbanner entfällt, weil ausschließlich technisch notwendige Speichervorgänge stattfinden (§ 25 Abs. 2 Nr. 2 TDDDG) — auch die unten beschriebene Reichweitenmessung legt weder Cookies an noch liest sie etwas aus dem Gerät.
Reichweitenmessung
Auf den öffentlichen Seiten (Startseite, Anmelden, Registrieren, Impressum, Datenschutz) zählt Plausible Analytics die Aufrufe. Die Software läuft auf demselben privaten Server wie Fokus, es fließen keine Daten an Dritte ab. Erhoben werden ausschließlich Seitenaufruf, verweisende Seite, grober Gerätetyp und Land — ohne Cookies, ohne Kennung über mehrere Besuche hinweg und ohne dass daraus eine Person erkennbar wird. Die IP-Adresse wird nicht gespeichert, sondern nur kurzzeitig zu einem nicht rückrechenbaren Tageswert verarbeitet. Rechtsgrundlage ist das berechtigte Interesse an einer schlichten Besucherzählung (Art. 6 Abs. 1 lit. f DSGVO).
Sobald Sie angemeldet sind, wird nichts mehr gemessen: Übersicht, Projekte, Aufgaben und Fokussitzungen tauchen in keiner Statistik auf.
Nutzerkonto
Für die Nutzung ist ein Konto nötig. Verarbeitet werden Name, E-Mail-Adresse und das Passwort. Das Passwort wird nie im Klartext gespeichert, sondern ausschließlich als kryptografischer Hash.
- Zweck: Bereitstellung des Kontos, Anmeldung, Zuordnung der Inhalte, Zurücksetzen des Passworts.
- Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des unentgeltlichen Nutzungsverhältnisses.
- Dauer: bis zur Löschung des Kontos durch die Nutzerin oder den Nutzer.
Selbst angelegte Inhalte
Projekte, Aufgaben, Notizen, Termine und Fokussitzungen werden so gespeichert, wie sie eingegeben wurden. Sie sind ausschließlich dem eigenen Konto zugeordnet; andere Nutzende haben technisch keinen Zugriff darauf. Der Betreiber hat als Serveradministrator technisch Zugriff auf die Datenbank, sieht die Inhalte aber nicht ein, außer es ist zur Störungsbeseitigung unvermeidbar.
- Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
- Dauer: bis zur Löschung des jeweiligen Eintrags oder des gesamten Kontos.
Bitte keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO (Gesundheit, Weltanschauung, Herkunft und Ähnliches) und keine Zugangsdaten in Notizfelder eintragen.
Wo die Daten liegen
Anwendung und Datenbank laufen auf einem selbst betriebenen Server in Deutschland. Als Datenbank dient eine selbst gehostete Appwrite-Installation. Es findet keine Auftragsverarbeitung durch einen Datenbank- oder Hosting-Anbieter statt.
Auslieferung über Cloudflare
Der Zugriff läuft über einen Cloudflare Tunnel (Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA).
- Verarbeitete Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Referrer, Browser- und Betriebssystemkennung.
- Zweck: technische Auslieferung, Abwehr von Überlastungs- und Missbrauchsangriffen.
- Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse am sicheren und störungsfreien Betrieb.
- Auftragsverarbeitung: Vertrag nach Art. 28 DSGVO als Bestandteil der Cloudflare-Geschäftsbedingungen.
- Drittland: Eine Verarbeitung in den USA ist möglich. Cloudflare stützt sich auf Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO und ist unter dem EU-US Data Privacy Framework zertifiziert.
- Verschlüsselung: Cloudflare beendet die TLS-Verschlüsselung und kann den Inhalt des Datenverkehrs technisch einsehen.
E-Mail-Versand
Fokus verschickt nur zwei Arten von Nachrichten: die Bestätigung der E-Mail-Adresse und den Link zum Zurücksetzen des Passworts. Einen Newsletter gibt es nicht.
- Dienstleister: Brevo (Sendinblue SAS, 106 boulevard Haussmann, 75008 Paris, Frankreich) als Auftragsverarbeiter nach Art. 28 DSGVO.
- Übermittelte Daten: E-Mail-Adresse, Name, Inhalt der Nachricht.
- Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
- Ort der Verarbeitung: Europäische Union.
Server-Protokolle
Der eigene Server protokolliert Zugriffe und Fehler zur Störungssuche. Die Einträge werden spätestens nach sieben Tagen gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
Speicherung im Browser
| Name | Art | Zweck | Dauer |
|---|---|---|---|
fokus_session | Cookie | hält die Anmeldung, technisch notwendig | 30 Tage |
fokus.timer.v1 | Local Storage | laufende Fokussitzung, damit sie einen Seitenwechsel übersteht | bis zum Ende der Sitzung |
fokus.pending-sessions.v1 | Local Storage | ohne Netz beendete Sitzungen, bis sie übertragen sind | bis zur Übertragung |
Das Cookie ist HttpOnly und Secure gesetzt und damit für JavaScript nicht lesbar. Die beiden Local-Storage-Einträge bleiben ausschließlich auf deinem Gerät und werden an niemanden außer den eigenen Server übertragen. Zusätzlich legt der Service Worker Programmdateien und Symbole im Browser-Cache ab, damit die App offline eine Hinweisseite zeigen kann — Projektdaten werden dabei nicht zwischengespeichert.
Deine Rechte
- Auskunft (Art. 15): Eine vollständige Kopie aller Daten gibt es jederzeit selbst unter Konto → Export herunterladen als JSON-Datei.
- Berichtigung (Art. 16): Alle Inhalte lassen sich in der App direkt ändern.
- Löschung (Art. 17): Unter Konto → Konto löschen werden das Konto und sämtliche zugehörigen Daten sofort und unwiderruflich entfernt.
- Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21) — eine formlose Nachricht an die oben genannte Adresse genügt.
Unabhängig davon besteht ein Beschwerderecht bei einer Aufsichtsbehörde. Zuständig ist in der Regel der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg.
Datensicherheit und Grenzen
Die Übertragung ist durchgehend mit TLS verschlüsselt. Passwörter liegen nur als Hash vor, Inhalte sind pro Konto getrennt. Ehrlich gesagt sei aber dazu: Fokus läuft auf privater Infrastruktur ohne zugesicherte Verfügbarkeit. Wer wichtige Daten darin hält, sollte den Export regelmäßig nutzen.
Änderungen
Kommen Funktionen hinzu, die weitere Daten verarbeiten, wird dieser Text vorher angepasst. Diese Erklärung beschreibt den tatsächlichen technischen Aufbau und ersetzt keine Rechtsberatung.