Datenschutzerklärung

1. Das Wichtigste in Kürze

2. Wer diese Websites betreibt und wie Sie ihn erreichen

Diese Websites werden von Vika Taylor betrieben, handelnd als Privatperson, von Kyjiw (Ukraine) aus. Nach der DSGVO und vergleichbaren Gesetzen ist diese Person die Verantwortliche für alle hier beschriebenen personenbezogenen Daten.

Kontakt: vika.taylor.one@gmail.com. Das ist der einzige vorhandene Kontaktweg. Es gibt keine Telefonnummer, keinen Support und kein Formular, das etwas an einen Server sendet: Das einzige Kontaktformular im Netzwerk, auf der KUROGANE-Demo, bereitet nur eine E-Mail in Ihrem eigenen E-Mail-Programm vor (Abschnitt 4.5). Eine Postanschrift wird nicht veröffentlicht. Jede auf dieser Seite beschriebene Anfrage geht an diese Adresse.

Klar gesagt, damit nichts angedeutet wird, was nicht stimmt:

• Es gibt kein Unternehmen. Keine eingetragene juristische Person, keine Registernummer, keine Umsatzsteuer-Identifikationsnummer.
• Es gibt keinen Datenschutzbeauftragten. Es ist keiner benannt und es ist auch keiner erforderlich: Die Benennung ist nur für Behörden verpflichtend, für die umfangreiche regelmäßige und systematische Überwachung von Personen oder für die umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten. Nichts davon findet hier statt.
• Es ist kein Vertreter benannt nach Art. 27 DSGVO oder nach Art. 27 UK GDPR, und auch in keiner anderen weiter unten genannten Rechtsordnung.

Der Grund ist jeweils derselbe: Hier veröffentlicht eine einzelne Person ein Portfolio und kostenlose Beispiele. Die unten beschriebene Verarbeitung hat einen geringen Umfang, betrifft keine besonderen Kategorien personenbezogener Daten und läuft, abgesehen von der Auslieferung der Seiten, nur mit Ihrer Einwilligung. Die Betreiberin geht deshalb davon aus, dass sie voraussichtlich kein Risiko für Ihre Rechte mit sich bringt und keine dieser Benennungen erforderlich ist. Das ist ihre eigene Einschätzung. Wenn Sie meinen, dass in Ihrer Situation ein Vertreter erforderlich ist, schreiben Sie an die oben genannte Adresse und sagen Sie es.

3. Für welche Websites diese Erklärung gilt

Dreizehn Websites, eine Datenschutzerklärung. Sie teilen sich denselben Code, dieselbe Einwilligungsabfrage und denselben Betreiber. Alle dreizehn sind kostenlose, nicht kommerzielle Beispiele dafür, was sich mit KI-Werkzeugen bauen lässt, entstanden für den YouTube-Kanal @VikaTaylor. Auf keiner von ihnen wird etwas verkauft: Wo eine Demo-Website einen Shop, eine Speisekarte, einen Checkout oder einen Preisbereich zeigt, zeigt sie, wie eine solche Seite funktioniert, ohne Preise und ohne Kaufmöglichkeit.

• vikataylor.com – der Hub und das Portfolio. Dort liegt dieser Rechtsbereich.
• steamquest.vikataylor.com – eine Designpräsentation für ein fiktives Spiel.
• claude-design-vs-lovable-vs-v0.vikataylor.com – ein Prompt-Paket, das drei Builder vergleicht. Diese Seite hat einen Umschalter für helles und dunkles Design.
• mood-palette-generator.vikataylor.com – Moodpalette, ein regelbasiertes Farbwerkzeug, das vollständig in Ihrem Browser läuft.
• moodpalette-prompts.vikataylor.com – Lovable-Build-Prompts, Begleitmaterial zu einem Video.
• fable-vs-opus.vikataylor.com – ein Prompt-Paket, das zwei Modelle vergleicht.
• 3d-scroll-prompts.vikataylor.com – ein Prompt-Paket: vier wortgetreue Prompts und ein eingebettetes Video.
• opal.vikataylor.com – eine scrollgesteuerte Design-Demo für ein fiktives Nagelstudio.
• kurogane.vikataylor.com – eine scrollgesteuerte Produktseiten-Demo für eine fiktive Wok-Marke. Ihr Beispiel-Checkout zeigt keinen Preis, nimmt keine Zahlung entgegen und löst keine Bestellung aus, und ihr Kontaktformular öffnet nur Ihr eigenes E-Mail-Programm.
• prompt-kurogane.vikataylor.com – ein Prompt-Paket: die beiden Prompts hinter der Kurogane-Demo.
• globe.vikataylor.com – Terra Vitrea, ein interaktiver optischer Kristallglobus.
• fatcat.vikataylor.com – eine Landingpage-Demo für ein fiktives Dumpling-Lokal.
• skystreets.vikataylor.com – eine scrollgesteuerte Design-Demo für das fiktive Konzept einer vertikalen Stadt.

4. Was verarbeitet wird

Es gibt fünf Dinge zu beschreiben. Zwei geschehen bei jedem Besuch, weil nur so eine Seite zu Ihnen gelangt: Hosting und Schriften. Die anderen drei geschehen nur, wenn Sie sich dafür entscheiden: Analytics, nachdem Sie auf „Accept“ geklickt haben, das Video, nachdem Sie auf Play gedrückt haben, und E-Mail, wenn Sie mir schreiben.

4.1 Hosting und Request-Logs

Was. Jede der dreizehn Websites wird über Cloudflare Workers Static Assets ausgeliefert. Wenn Ihr Browser eine Seite anfordert, erhält Cloudflare Ihre IP-Adresse und die Metadaten, die zu einer HTTP-Anfrage gehören: welche Seite Sie angefordert haben, den Zeitpunkt, den User-Agent Ihres Browsers und ähnliche Header. Das wird in Request-Logs festgehalten.

Wer es erhält. Cloudflare, Inc. Das Unternehmen handelt als Auftragsverarbeiter, verarbeitet diese Daten also zum Betrieb des Dienstes und nicht für eigene Zwecke. Datenschutzerklärung: cloudflare.com/privacypolicy.

Wann. Bei jeder einzelnen Anfrage, vor und unabhängig von jeder Einwilligung. Das lässt sich nicht abschalten, denn der Logeintrag entsteht durch die Auslieferung der Seite selbst. Es gibt keine Fassung dieser Websites, die sich ohne ihn ausliefern ließe.

Rechtsgrundlage, soweit die DSGVO gilt. Berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO: der Betrieb der Website und ihre Absicherung. Ohne das lässt sich die Website überhaupt nicht ausliefern.

Wie lange. Cloudflare veröffentlicht für diese Daten keine feste Speicherdauer. Die Datenschutzerklärung des Unternehmens sagt lediglich, personenbezogene Daten würden „for a period of time that is consistent with the business purposes set forth in Section 3 of this policy or as long as needed to fulfill and comply with legal obligations“ gespeichert, und nennt die dabei abgewogenen Kriterien statt einer Zahl (Cloudflare Privacy Policy, Abschnitt 11 Data Retention, gelesen am 3. September 2026). Es gibt also keine Frist zu nennen, und hier wird auch keine erfunden. Die Frist wird von Cloudflare gesetzt und angewendet, nicht von mir; eine Anfrage dazu geht an Cloudflare. An dieser Stelle stand zuvor ein Platzhalter, der eine im Konto nachzulesende Zahl versprach; das Fehlen zu benennen ist nützlicher, als auf eine Zahl zu warten, die nicht veröffentlicht wird.

4.2 Analytics, und erst nach Ihrer Zustimmung

Was. Google Analytics 4, Mess-ID G-VFPV5MZNL2, das diese Websites über Cloudflare Zaraz betreiben, einen Dienst von Cloudflare, der solche Werkzeuge auf den Servern von Cloudflare ausführt statt in Ihrem Browser. Sobald es läuft, erfasst es, welche Seiten Sie ansehen, über welche Website oder Suche Sie gekommen sind, die eigenen Ereignisse der Website (etwa welches Video abgespielt oder welchem externen Link gefolgt wurde), wie lange eine Seite sichtbar war, einen ungefähren Standort sowie Ihren Geräte- und Browsertyp. Einen wiederkehrenden Browser erkennt es an einer zufälligen Kennung, die in einem Cookie gespeichert ist (Abschnitt 5).

Wer es erhält. Cloudflare, Inc., das Zaraz als Auftragsverarbeiter betreibt, in derselben Rolle wie beim Hosting (cloudflare.com/privacypolicy), und Google, das die Messdaten von den Servern von Cloudflare erhält (policies.google.com/privacy).

Wie es funktioniert. Wenn Sie auf „Accept“ klicken, startet das websiteeigene /consent.js Zaraz, das unter der eigenen Adresse der Website ausgeliefert wird, unter /cdn-cgi/zaraz/. Zaraz übermittelt Cloudflare dann Adresse und Titel der Seite, die Seite, von der Sie gekommen sind, Bildschirm- und Fenstergröße, Farbtiefe, Zeichensatz und Zeitzonenversatz, außerdem die Cookies, die die Skripte der Seite selbst lesen können (diese Websites setzen keine), und den Eintrag, den Zaraz in Ihrem Browser ablegt (Abschnitt 5). Die Server von Cloudflare geben an Google den Seitenaufruf, die Ereignisse der Website, den User-Agent Ihres Browsers, Ihre IP-Adresse und die zufällige Kennung weiter. Google verwendet die IP-Adresse, um den ungefähren Standort zu bestimmen, und erklärt, dass Google Analytics 4 IP-Adressen weder protokolliert noch speichert (Google Analytics-Hilfe). Ihr Browser stellt dafür keine einzige Anfrage an Google. Nach Ihrer Zustimmung teilt die Website Google über Zaraz außerdem mit, dass Analytics erlaubt ist und Werbung nicht.

Wann. Erst nachdem Sie im Einwilligungsbanner auf „Accept“ (Annehmen) geklickt haben, und nur auf der Website, auf der Sie geklickt haben. Vorher, und von dem Moment an, in dem Sie auf „Decline“ (Ablehnen) klicken, sendet die Seite nichts an Zaraz; es gelangt also nichts zu Google, und es wird kein Analytics-Cookie gesetzt. Das wurde im Browser überprüft und nicht bloß angenommen.

Rechtsgrundlage, soweit die DSGVO gilt. Einwilligung, Art. 6 Abs. 1 lit. a DSGVO, eingeholt bevor irgendetwas gemessen wird. Sie können sie jederzeit über die Schaltfläche Cookie-Einstellungen im Fußbereich jeder Seite widerrufen, und der Widerruf ist genauso einfach wie die Erteilung. Was der Widerruf bewirkt, steht in Abschnitt 7.

Wie lange. Die Google-Analytics-Property bewahrt Daten auf Nutzerebene und Ereignisdaten 14 Monate lang auf, die längere der beiden Fristen, die Google für eine Standard-Property anbietet. So ist es in der Property selbst eingestellt, von der Betreiberin gewählt und am 17. September 2026 bestätigt. Nach Ablauf dieser Frist löscht Google die Daten automatisch. Laut der Google-Analytics-Hilfe wirkt sich diese Einstellung nicht auf die aggregierten Standardberichte von Google aus.

4.3 Schriften, ausgeliefert von dieser Website

Was. Jede im Netzwerk verwendete Schrift wird von dem Origin ausgeliefert, der sie verwendet, einschließlich der Seite, die Sie gerade lesen. Dieser Absatz zählte früher vier Schriftfamilien auf; die Aufzählung ist entfallen, weil die Websites kein gemeinsames Typografiesystem haben und die Liste mit jeder neuen Website veraltete. Entscheidend ist hier nicht, welche Schriften es sind, sondern dass keine davon von einem Dritten geladen wird.

Wer es erhält. Niemand Neues. Es geht keine Anfrage an fonts.googleapis.com oder fonts.gstatic.com, es gelangt also keine IP-Adresse von Ihnen zu Google, nur weil eine Seite eine Schriftart verwendet. Die Schriftdateien laufen über dieselbe Verbindung wie die Seite, und dafür gilt Abschnitt 4.1 und sonst nichts.

Das ist gerade in Deutschland von Bedeutung: Das Landgericht München I hat entschieden, dass die Einbindung von Google Fonts von Googles eigenen Servern, bei der die IP-Adresse der Besucherin oder des Besuchers ohne Einwilligung an Google übermittelt wird, deren Rechte verletzt (LG München I, Urteil vom 20. Januar 2022, Az. 3 O 17493/20). Selbsthosting ist der Weg, das zu vermeiden, statt es nur offenzulegen.

4.4 Das eingebettete Video, auf elf der dreizehn Websites

Elf Websites binden ein Video ein: claude-design-vs-lovable-vs-v0, fable-vs-opus, 3d-scroll-prompts, prompt-kurogane, opal, steamquest, mood-palette-generator, moodpalette-prompts, kurogane, fatcat und skystreets. Die beiden anderen, vikataylor.com selbst und globe, haben keines.

Was. Was Sie sehen, bevor Sie auf Play drücken, ist kein Player. Es ist ein Standbild, das auf der Website selbst liegt. Erst wenn Sie auf Play drücken, erzeugt ein Skript ein <iframe>, das auf www.youtube-nocookie.com zeigt.

Wer es erhält, und wann. Bis zu diesem Klick wird von keinem YouTube- oder Google-Host irgendetwas angefordert. Sobald die Wiedergabe beginnt, erhält YouTube Ihre IP-Adresse und kann nach eigenen Bedingungen Daten auf Ihrem Endgerät speichern. Neben jedem Video steht außerdem ein einfacher Link zu youtube.com, den Sie stattdessen benutzen können: Er bringt Sie bewusst zu YouTube, mit derselben Wirkung und ohne jede Unklarheit.

Rechtsgrundlage, soweit die DSGVO gilt. Einwilligung, Art. 6 Abs. 1 lit. a DSGVO, erteilt durch das bewusste Drücken der Play-Taste, nachdem auf der Seite steht, was dieses Drücken auslöst.

4.5 E-Mails, die Sie mir schicken

Was. Wenn Sie an vika.taylor.one@gmail.com schreiben, ob über einen mailto:-Link, über das Kontaktformular der KUROGANE-Demo oder aus Ihrem eigenen E-Mail-Programm, erhalte ich Ihre E-Mail-Adresse, Ihren Namen, falls Sie ihn angeben, und das, was Sie schreiben. Das Kontaktformular der KUROGANE-Demo sendet selbst nichts: Es öffnet Ihr eigenes E-Mail-Programm mit der vorbereiteten Nachricht und dem Namen der Website im Betreff, und nichts verlässt Ihr Gerät, bevor Sie dort auf Senden drücken.

Wer es erhält. Google, das das Gmail-Postfach betreibt, als mein E-Mail-Anbieter. Datenschutzerklärung: policies.google.com/privacy.

Rechtsgrundlage, soweit die DSGVO gilt. Ihre Anfrage, beantwortet zu werden, Art. 6 Abs. 1 lit. b DSGVO, oder mein berechtigtes Interesse, die Nachrichten zu beantworten, die mir geschickt werden, Art. 6 Abs. 1 lit. f DSGVO.

Wie lange. Nur so lange, wie es nötig ist, um Ihnen zu antworten und den Verlauf nachzuvollziehen. Eine E-Mail wird gelöscht, wenn Sie das verlangen. Sie wird nie in einen Verteiler aufgenommen, nie für Werbung verwendet und nie weitergegeben.

5. Was auf Ihrem Endgerät gespeichert wird

Zweierlei. Bevor Sie auf „Accept“ klicken, und wenn Sie ablehnen, gibt es nur das Erste.

Ihre Entscheidung, pro Website. Jede Website hält Ihre Entscheidung im Banner in localStorage fest, das nur zu einem einzigen Origin gehört: Ein Wert, den eine dieser Websites schreibt, kann von einer anderen nicht gelesen werden. Keine der dreizehn Websites setzt dafür ein eigenes Cookie.

Nichts davon ist ein personenbezogenes Datum. Ein Einwilligungsvermerk besteht aus einem Wort, einem Zeitstempel und einem Versionsdatum: Er besagt, dass jemand mit diesem Browser auf „Accept“ oder auf „Decline“ geklickt hat, und wann. Er enthält keine Kennung, nichts Zufälliges und nichts, was Sie herausgreifen könnte. Der Theme-Schlüssel ist eine Anzeigeeinstellung, hell oder dunkel.

Nur nach „Accept“: was Zaraz speichert. Wenn Sie zustimmen, setzt Cloudflare Zaraz die drei unten genannten Cookies für vikataylor.com. Weil sie zu dieser übergeordneten Domain gehören, teilen alle dreizehn Websites sie: Ihr Browser sendet sie, wie bei Cookies üblich, mit seinen Anfragen an jede dieser Websites, und Google Analytics erkennt denselben Browser auf jeder Website wieder, auf der Sie auf „Accept“ geklickt haben. Sie sind als HttpOnly markiert, sodass kein Skript auf einer Seite sie lesen oder löschen kann. Außerdem legt Zaraz im localStorage der Website, auf der Sie zugestimmt haben, einen Eintrag ab: _zaraz_google_consent_update, mit dem Einwilligungsstand aus Abschnitt 4.2 (Analytics erlaubt, Werbung nicht) und ohne jede Kennung.

Diese Cookies enthalten sehr wohl eine Kennung, und genau deshalb erscheinen sie erst, nachdem Sie auf „Accept“ geklickt haben, und niemals vorher. Namen und Speicherdauern wurden am 17. September 2026 im Browser abgelesen; Cloudflare kann sie ändern, und diese Tabelle wird dann nachgeführt. Wo Ihre Entscheidung „Decline“ lautet, löscht das Skript der Website den _zaraz_-Eintrag, und diese Website führt Zaraz nicht aus, dort liest die Cookies also nichts; sie bleiben in Ihrem Browser, bis sie ablaufen oder Sie sie löschen. Das Skript löscht außerdem, was die frühere Einrichtung dieser Websites bis September 2026 hinterlassen konnte: die Cookies _ga, _ga_*, _gid und _gat* sowie den Speichereintrag _gcl_ls. Sie können jederzeit alles entfernen, indem Sie in Ihrem Browser die Cookies und Website-Daten für vikataylor.com löschen.

6. Was nicht stattfindet

Das sind Abwesenheiten, keine Absichtserklärungen, und sie stehen absichtlich als Abwesenheiten hier. Sie sind das Stärkste, was dieses Dokument sagen kann.

• Es gibt keine Nutzerkonten, keinen Login, keine Profile und keine nutzergenerierten Inhalte.
• Es gibt keine Zahlungen, keine Bestellungen, keinen Versand und keine Abrechnungsdaten, und auf keiner der dreizehn Websites wird etwas verkauft. Der Beispiel-Checkout der KUROGANE-Demo zeigt keinen Preis, fragt keine Angaben ab, nimmt keine Zahlung entgegen und löst keine Bestellung aus.
• Es gibt keinen Newsletter und keinen Verteiler. Das E-Mail-Feld auf dem Hub öffnet über einen mailto:-Link Ihr eigenes Mailprogramm. Es wird nichts an einen von mir betriebenen Server übertragen, und es gibt keine Liste, auf der eine Adresse landen könnte.
• Es gibt kein Formular, das etwas an einen Server sendet. Kontakt ist ein mailto:-Link, und das einzige Kontaktformular im Netzwerk, auf der KUROGANE-Demo, funktioniert genauso: Es öffnet Ihr eigenes E-Mail-Programm, und nichts verlässt Ihr Gerät, bevor Sie dort auf Senden drücken. Ihre Nachricht läuft dann über Ihren eigenen E-Mail-Anbieter in ein gewöhnliches Postfach; was damit geschieht, steht in Abschnitt 4.5.
• Es gibt keine Werbung, kein Werbenetzwerk, kein Retargeting-Pixel, kein Affiliate-Tracking, keine A/B-Tests, keine Sitzungsaufzeichnung, keine Heatmaps, kein Chat-Widget, kein CAPTCHA und kein Drittanbieter-CDN für Bibliotheken.
• Es findet kein Profiling und keine automatisierte Entscheidungsfindung statt, die rechtliche oder ähnlich erhebliche Wirkung entfaltet.
• Es wird nichts verkauft und nichts für kontextübergreifende verhaltensbasierte Werbung weitergegeben, im Sinne der Definitionen von CCPA und CPRA. Siehe Abschnitt 9.4.
• Es werden wissentlich keine personenbezogenen Daten von Kindern erhoben. Siehe Abschnitt 10.
• Speziell zu Moodpalette: Die Farbengine ist regelbasiert und läuft vollständig in Ihrem Browser. Es gibt kein KI-Modell, kein Konto, und keine Palette und keine Eingabe wird jemals irgendwohin übertragen. Das einzige Formular auf dieser Website wird in der Seite selbst verarbeitet: Es hat kein action-Attribut, und dahinter steht kein Server.

7. Ihre Rechte und wie Sie sie ausüben

Jede in diesem Dokument genannte Rechtsordnung gewährt in irgendeiner Form Auskunft, Berichtigung, Löschung, Widerspruch und Datenübertragbarkeit. Für all das gibt es einen einzigen Weg, in jeder Rechtsordnung: vika.taylor.one@gmail.com. Es gibt kein Portal, kein Formular und keine Ticketnummer.

Was dieser Weg tatsächlich leisten kann, und wo er an Grenzen stößt:

• Einwilligung widerrufen. Das geht sofort und ohne E-Mail: Klicken Sie im Fußbereich einer beliebigen Seite auf Cookie-Einstellungen und wählen Sie Decline. Ab diesem Moment sendet die Seite nichts mehr an Zaraz, und auf Ihrer nächsten Seite dieser Website startet Zaraz gar nicht erst.
• Auskunft. Die vollständige Liste dessen, was erhoben wird, ist Abschnitt 4 dieser Seite, und sie ist für alle Besucherinnen und Besucher gleich. Darüber hinaus gibt es eine echte Grenze: Nichts hier ist mit einem Namen, einem Konto oder einer E-Mail-Adresse verknüpft, es gibt also in der Regel keine Möglichkeit, gerade die Datensätze zu finden, die zu Ihnen gehören und nicht zu jemand anderem.
• Berichtigung. Es gibt kein Profil und keinen gespeicherten Datensatz über Sie, der berichtigt werden könnte. Wenn Sie mir eine E-Mail geschrieben haben, kann diese Nachricht auf Anfrage berichtigt oder gelöscht werden, denn sie ist das Einzige, was tatsächlich in einem Postfach liegt.
• Löschung. Die Analytics-Cookies und -Einträge auf Ihrem Endgerät können Sie selbst sofort entfernen, indem Sie die Cookies und Website-Daten für vikataylor.com löschen. Messdaten, die bereits an Google Analytics gegangen sind, werden für die in Abschnitt 4.2 genannte Dauer aufbewahrt und hängen nur an der zufälligen Kennung. Die Request-Logs von Cloudflare können nicht auf Zuruf gelöscht werden: Sie liegen bei Cloudflare, unterliegen dessen eigenen Fristen und laufen dort aus. Eine E-Mail, die Sie mir geschickt haben, kann aus dem Postfach gelöscht werden, und das geschieht auf Ihre Bitte hin.
• Widerspruch. Sie können der auf berechtigtem Interesse beruhenden Verarbeitung aus Abschnitt 4.1 widersprechen. Die ehrliche Konsequenz sollten Sie kennen: Der Logeintrag entsteht durch die Anfrage selbst, das Einzige, was ihn verhindert, ist also, die Seite nicht aufzurufen.
• Datenübertragbarkeit. Dieses Recht läuft hier nahezu leer, und etwas anderes zu behaupten wäre Füllmaterial. Der einzige auf Einwilligung beruhende Datensatz, der übertragbar sein könnte, ist der Einwilligungsvermerk, und der liegt ohnehin in localStorage auf Ihrem eigenen Endgerät, wo Sie ihn selbst lesen können.
• Beschwerde. Sie können sich an Ihre Aufsichtsbehörde wenden, statt mir zu schreiben oder zusätzlich dazu. Die jeweils zuständige Stelle ist in Abschnitt 9 genannt.

Wie lange eine Antwort dauert. Innerhalb der Frist, die das für Sie geltende Recht vorsieht, und darüber hinaus wird hier nichts versprochen. Nach der DSGVO und der UK GDPR ist das ein Monat, verlängerbar in dem Rahmen, den diese Gesetze vorsehen.

Identitätsprüfung. Es gibt kein Prüfverfahren, weil es kein Konto gibt, gegen das sich Ihre Identität abgleichen ließe. Würde eine Anfrage die Daten einer anderen Person offenlegen, wird sie mit einer Begründung abgelehnt statt geraten.

Kosten. Keine. Kein Entgelt, und danach funktionieren die Websites für Sie genauso wie vorher.

8. Übermittlung in Drittländer

Cloudflare und Google haben beide ihren Sitz in den Vereinigten Staaten und verarbeiten beide Daten außerhalb des EWR und des Vereinigten Königreichs. Das ist unvermeidbar, wenn die Websites gehostet und, soweit Sie es erlauben, gemessen werden sollen.

Beide Anbieter geben an, sich auf das EU-US Data Privacy Framework samt seiner Erweiterung für das Vereinigte Königreich zu stützen, und beide bieten Standardvertragsklauseln als Übermittlungsinstrument an. Das sind die Mechanismen. Ihr aktueller Zertifizierungsstatus wird hier bewusst nicht als Tatsache behauptet, denn er kann sich ändern und ich kann ihn nicht fortlaufend überprüfen. Prüfen Sie ihn an der Quelle:

• Cloudflare: cloudflare.com/privacypolicy
• Google: policies.google.com/privacy
• Das offizielle Register des Data Privacy Framework, in dem sich die Teilnahme direkt nachschlagen lässt: dataprivacyframework.gov

Wenn Sie bei einem Video auf Play drücken, erhält YouTube Ihre IP-Adresse, und dafür gilt dasselbe. Wenn Sie mir schreiben, landet Ihre E-Mail in einem Gmail-Postfach, und für Google in dieser Rolle gilt dasselbe.

Die Betreiberin ist in der Ukraine. Vika Taylor lebt und arbeitet in Kyjiw, außerhalb des EWR und des Vereinigten Königreichs. Die Europäische Kommission hat für die Ukraine keinen Angemessenheitsbeschluss erlassen: Ihre Liste, eingesehen am 17. September 2026, hat siebzehn Einträge, und die Ukraine ist nicht darunter. Personenbezogene Daten erreichen die Betreiberin in der Ukraine nur auf zwei Wegen: als Berichte im Google-Analytics-Konto, nachdem Sie auf „Accept“ geklickt haben, und als E-Mail, die Sie selbst schicken und die im von Google betriebenen Gmail-Postfach ankommt. Beides wird über die Dienste von Google gelesen; nichts wird auf einen Server von mir kopiert.

9. Regelungen, die an Ihrem Wohnort gelten können

Die Tatsachen ändern sich von Land zu Land nicht: Abschnitt 4 ist alles, was es gibt. Was sich ändert, ist der Name des Rechts, der Name der Aufsichtsbehörde und gelegentlich die Frage, ob eine Regel für eine Website wie diese überhaupt greift. Wo sie das ehrlicherweise nicht tut, steht das hier, statt beschönigt zu werden.

9.1 Europäische Union: DSGVO

Verantwortliche ist Vika Taylor, erreichbar unter vika.taylor.one@gmail.com. Die Rechtsgrundlagen stehen in Abschnitt 4 jeweils neben der Tätigkeit: Art. 6 Abs. 1 lit. f DSGVO für die Auslieferung und Absicherung der Seiten, Art. 6 Abs. 1 lit. a DSGVO für Analytics und für den Videoplayer sowie Art. 6 Abs. 1 lit. b oder f DSGVO für E-Mails, die Sie schicken. Übermittlungen außerhalb des EWR behandelt Abschnitt 8.

Ihnen stehen die Rechte aus Art. 15 bis 21 DSGVO zu: Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch, dazu das Recht aus Art. 7 Abs. 3 DSGVO, die Einwilligung jederzeit zu widerrufen, ohne dass der Widerruf schwerer wäre als die Erteilung. Lesen Sie Abschnitt 7, bevor Sie schreiben, denn dort steht, welche dieser Rechte hier tatsächlich etwas bewirken können und welche nicht.

Sie können Beschwerde bei der Aufsichtsbehörde Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes einlegen. Die Liste steht auf edpb.europa.eu.

Es sind weder ein Datenschutzbeauftragter noch ein Vertreter nach Art. 27 DSGVO benannt; Abschnitt 2 sagt, warum. Eine Datenschutz-Folgenabschätzung wurde nicht durchgeführt, weil Art. 35 DSGVO für eine Verarbeitung dieser Art keine verlangt: Es gibt keine systematische umfangreiche Überwachung, keine besonderen Kategorien personenbezogener Daten und keine automatisierte Entscheidungsfindung.

9.2 Vereinigtes Königreich: UK GDPR und PECR

Die UK GDPR gewährt Ihnen dieselben Rechte wie Abschnitt 9.1, auf denselben Rechtsgrundlagen, über dieselbe E-Mail-Adresse.

Das Speichern von Informationen auf Ihrem Endgerät wird im Vereinigten Königreich durch die Privacy and Electronic Communications Regulations geregelt, die für alles, was nicht unbedingt erforderlich ist, eine Einwilligung verlangen. Das Einwilligungsbanner ist diese Einwilligung, und die Analytics-Daten aus Abschnitt 5 sind das Einzige, was davon erfasst wird.

Beschwerden gehen an das Information Commissioner's Office: ico.org.uk. Ein Vertreter nach Art. 27 UK GDPR ist nicht benannt.

9.3 Deutschland: TDDDG und Impressum

In Deutschland ist das Speichern von Informationen auf Ihrem Endgerät und der Zugriff auf dort gespeicherte Informationen in § 25 TDDDG geregelt, dem früheren TTDSG. Erforderlich ist eine Einwilligung, es sei denn, die Speicherung ist unbedingt erforderlich, um einen von Ihnen ausdrücklich gewünschten Dienst bereitzustellen.

Wie sich das auf Abschnitt 5 abbildet:

• Analytics-Speicherung: Einwilligung. Das Banner ist diese Einwilligung, und es wird gefragt, bevor irgendetwas gespeichert wird.
• Der Einwilligungsvermerk selbst (vt_consent, mp_consent, fvo_consent, p3d_consent, opal_consent, ku_consent, pk_consent, ss_consent, gl_consent, fc_consent): gespeichert ohne gesonderte Einwilligung, weil es unbedingt erforderlich ist, Ihre Antwort zu merken, um sie einhalten zu können. Ohne ihn würden Sie auf jeder Seite erneut gefragt.
• Der Theme-Schlüssel (vt-theme): gespeichert ohne gesonderte Einwilligung, weil er nur existiert, weil Sie den Umschalter für hell oder dunkel selbst betätigt haben.

Das Impressum nach § 5 DDG ist nicht veröffentlicht; warum, steht in Abschnitt 13.3.

Beschwerden gehen an die Datenschutzaufsichtsbehörde Ihres Bundeslandes. Die Bundesbeauftragte oder der Bundesbeauftragte führt die Liste dieser Behörden: bfdi.bund.de. Ausführlicher steht das in Abschnitt 13, der nur in dieser deutschen Fassung existiert.

9.4 Vereinigte Staaten: Kalifornien (CCPA, CPRA und CalOPPA) und weitere Bundesstaaten

Zuerst der ehrliche Teil. Der CCPA gilt für Unternehmen oberhalb von Schwellenwerten, die diese Website nicht annähernd erreicht: ein Jahresbruttoumsatz von mehr als 26.625.000 US-Dollar (der seit dem 1. Januar 2025 geltende Wert), der Kauf, Verkauf oder die Weitergabe personenbezogener Daten von 100.000 oder mehr Verbraucherinnen, Verbrauchern oder Haushalten, oder mindestens die Hälfte des Jahresumsatzes aus dem Verkauf oder der Weitergabe personenbezogener Daten. Diese Websites sind kostenlos und erzielen keine Einnahmen, keiner dieser Werte wird also erreicht, und das Gesetz greift sehr wahrscheinlich überhaupt nicht. Die folgenden Angaben werden trotzdem gemacht, weil die zugrunde liegenden Tatsachen kurz sind und Sie nicht erst herausfinden sollen, ob Sie fragen dürfen.

Kategorien personenbezogener Daten, die in den letzten zwölf Monaten erhoben wurden: Kennungen, beschränkt auf eine IP-Adresse, eine zufällige Analytics-Kennung, wenn Sie auf Accept klicken, und, nur wenn Sie mir schreiben, Ihre E-Mail-Adresse und Ihren Namen; Internet- oder sonstige Netzwerkaktivität, also die aufgerufenen Seiten und die Herkunftsquelle; ungefährer Standort, abgeleitet aus dieser IP-Adresse; Geräteinformationen, also Ihr Browser- und Gerätetyp; und, nur wenn Sie mir schreiben, der Inhalt Ihrer E-Mail. Weitere Kategorien werden nicht erhoben. Sensible personenbezogene Daten werden überhaupt nicht erhoben.

Woher sie stammen: unmittelbar von Ihnen, durch den Aufruf einer Seite oder dadurch, dass Sie mir schreiben.

Wozu: um die Websites auszuliefern und abzusichern, um Ihre E-Mail zu beantworten und, wenn Sie auf Accept klicken, um zu sehen, welche Inhalte gelesen werden.

An wen sie offengelegt werden: an Cloudflare für das Hosting und, nach Accept, für den Betrieb des Analyse-Werkzeugs; an Google für Analytics, nur nach Accept, sowie als Anbieter des Postfachs, in dem Ihre E-Mail ankommt; an YouTube, nur wenn Sie bei einem Video auf Play drücken.

Es wird nichts verkauft und nichts weitergegeben. Nicht in den letzten zwölf Monaten und zu keinem anderen Zeitpunkt, wobei diese beiden Wörter genau so zu verstehen sind, wie CCPA und CPRA sie definieren, einschließlich der Offenlegung für kontextübergreifende verhaltensbasierte Werbung. Auf diesen Websites gibt es deshalb keinen Link „Do Not Sell or Share My Personal Information“: Es gibt keine solche Offenlegung, der man widersprechen könnte, und der Link würde etwas anderes suggerieren.

Das Recht, die Verwendung sensibler personenbezogener Daten zu beschränken, entsteht hier nicht, weil keine sensiblen personenbezogenen Daten erhoben werden. Hinter diesem Satz wird nichts zurückgehalten.

Ihnen stehen die Rechte auf Auskunft, Löschung und Berichtigung zu sowie das Recht, wegen einer Anfrage nicht benachteiligt zu werden. Es gibt keinen Preis, kein Konto und keine Servicestufen, es gibt also nichts, womit benachteiligt werden könnte, und kein Programm mit finanziellen Anreizen. Eine bevollmächtigte Person kann in Ihrem Namen an dieselbe Adresse schreiben. Beachten Sie die Grenze aus Abschnitt 7: Ohne Konto lässt sich eine Anfrage oft nicht den Daten einer bestimmten Person statt denen einer anderen zuordnen.

Global Privacy Control. Weil nichts verkauft oder weitergegeben wird, hat ein Global-Privacy-Control-Signal Ihres Browsers hier nichts abzuschalten. Analytics bleibt aus, bis Sie auf Accept klicken, ob Ihr Browser dieses Signal sendet oder nicht.

Do Not Track und andere Beteiligte. Ein Do-Not-Track-Signal Ihres Browsers ändert hier nichts, weil nichts, was Sie über Websites hinweg verfolgen könnte, läuft, bevor Sie es wählen: Analytics wird erst nach Ihrem Klick auf Accept geladen und der Videoplayer erst, nachdem Sie auf Play gedrückt haben. Danach können Google über Google Analytics und YouTube nach ihren eigenen Richtlinien Informationen über Ihre Aktivitäten im Zeitverlauf und über verschiedene Websites hinweg erheben.

Weitere US-Bundesstaaten. Mehrere andere Bundesstaaten, darunter Virginia, Colorado, Connecticut und Texas, haben Datenschutzgesetze mit ähnlichen Rechten. Anfragen nach einem dieser Gesetze gehen an dieselbe Adresse und erhalten dieselbe Antwort wie oben.

9.5 Kanada: PIPEDA

PIPEDA erfasst personenbezogene Daten, die im Rahmen kommerzieller Tätigkeit erhoben werden. Diese Websites verkaufen nichts und tragen keine Werbung, es ist also zweifelhaft, dass das Gesetz für sie gilt. Inhaltlich ändert das nichts.

Die Einwilligung ist aussagekräftig und wird vorab eingeholt: Analytics wird erst geladen, nachdem Sie auf Accept geklickt haben, das ist ausdrückliches Opt-in und keine Unterstellung. Sie können sie jederzeit widerrufen. Anfragen auf Auskunft über oder Berichtigung von personenbezogenen Daten gehen an vika.taylor.one@gmail.com, mit den Grenzen aus Abschnitt 7.

Wenn Sie nicht zufrieden sind, nimmt das Office of the Privacy Commissioner of Canada Beschwerden entgegen: priv.gc.ca.

9.6 Brasilien: LGPD

Nach der LGPD ist Vika Taylor die Verantwortliche. Die Rechtsgrundlagen bilden sich auf Art. 7 LGPD ab: berechtigtes Interesse für Hosting und Request-Logs, Einwilligung für Analytics und für den Videoplayer.

Art. 18 LGPD gibt Ihnen die Bestätigung, dass eine Verarbeitung stattfindet, Auskunft, Berichtigung, Anonymisierung oder Löschung nicht erforderlicher Daten, Datenübertragbarkeit, Auskunft darüber, an wen Daten weitergegeben wurden, und den Widerruf der Einwilligung. Abschnitt 7 erklärt, welche dieser Rechte hier tatsächlich Substanz haben und welche Formsache bleiben, weil es so wenig gibt.

Es ist kein encarregado benannt. Die E-Mail-Adresse oben auf dieser Seite ist der Kanal für LGPD-Anfragen, und sie wird von der Verantwortlichen persönlich gelesen.

Aufsichtsbehörde ist die ANPD, die Autoridade Nacional de Proteção de Dados: gov.br/anpd.

9.7 Indien: Digital Personal Data Protection Act 2023

Nach dem DPDP Act ist Vika Taylor Data Fiduciary und Sie sind Data Principal. Das Gesetz wird über Verordnungen schrittweise in Kraft gesetzt, das Folgende beschreibt also, wie diese Websites eingerichtet sind, und behauptet nichts über den aktuellen Inkrafttretensstand jeder einzelnen Vorschrift.

Analytics läuft auf Grundlage einer Einwilligung, wie das Gesetz es verlangt, und der Hinweis, den Sie gerade lesen, ist die dazugehörige Information. Sie haben das Recht auf eine Zusammenfassung der verarbeiteten personenbezogenen Daten, auf Berichtigung und Löschung, auf Abhilfe bei Beschwerden und darauf, jemanden zur Ausübung Ihrer Rechte zu benennen.

Beschwerden gehen an vika.taylor.one@gmail.com. Es gibt keinen registrierten Consent Manager und keinen Datenschutzbeauftragten, weil beides von einem Fiduciary dieser Art nicht verlangt wird: Diese Websites sind nicht als Significant Data Fiduciary eingestuft. Bleibt eine Beschwerde ungelöst, führt der Weg zum Data Protection Board of India.

Bei Kindern setzt das Gesetz die Grenze bei achtzehn Jahren und verlangt darunter eine überprüfbare Einwilligung der Eltern, dazu ein Verbot von Tracking und verhaltensbasierter Werbung, die sich an Kinder richtet. Es werden wissentlich keine personenbezogenen Daten von Kindern erhoben, auf keiner dieser Websites gibt es verhaltensbasierte Werbung, und Analytics bleibt aus, bis jemand aktiv auf Accept klickt. Siehe Abschnitt 10.

9.8 Japan: APPI

Nach dem APPI wird der Verwendungszweck klar benannt: Betrieb und Absicherung der Websites und, mit Ihrer Einwilligung, die Messung, welche Inhalte gelesen werden. Für etwas anderes werden die Daten nicht verwendet, und sie werden nicht zum Aufbau eines Profils genutzt.

Die Übermittlung personenbezogener Daten an einen Dritten in einem anderen Land bedarf Ihrer Einwilligung, und genau das ist die Schaltfläche Accept. Vor Ihrem Klick geht nichts an Google. Cloudflare handelt als beauftragtes Unternehmen, das Daten verarbeitet, um das Hosting und, nachdem Sie auf Accept geklickt haben, das Analyse-Werkzeug zu betreiben.

Sie können Offenlegung, Berichtigung, Aussetzung der Verwendung und Offenlegung der Aufzeichnungen über die Weitergabe an Dritte verlangen, über die Adresse oben auf dieser Seite. Abschnitt 7 nennt die ehrliche Grenze: Ohne Konto gibt es oft nichts, was sich als das Ihre offenlegen ließe.

Aufsichtsbehörde ist die Personal Information Protection Commission: ppc.go.jp.

9.9 Südkorea: PIPA

PIPA baut auf Einwilligung auf, und die Einwilligung ist hier ein Opt-in und benannt. Die Datenarten sind die aus Abschnitt 4.2, der Zweck ist zu verstehen, welche Inhalte gelesen werden, und die Speicherdauer ist die dort genannte Einstellung. An Dritte wird nichts über das hinaus weitergegeben, was Abschnitt 4 aufführt, und für Marketing wird nichts weitergegeben.

Sie haben das Recht, auf Ihre personenbezogenen Daten zuzugreifen, sie berichtigen oder löschen zu lassen und ihre Verarbeitung aussetzen zu lassen, über die Adresse oben auf dieser Seite und mit den Grenzen aus Abschnitt 7.

Ein inländischer Vertreter in Korea ist nicht benannt. PIPA verlangt einen solchen nur von ausländischen Anbietern oberhalb bestimmter Größenschwellen; hier geht es um das Portfolio einer einzelnen Person und um kostenlose Materialien.

Beschwerden und Schlichtung laufen über die Personal Information Protection Commission: pipc.go.kr.

9.10 Indonesien: PDP-Gesetz

Nach dem Gesetz Nr. 27 von 2022 über den Schutz personenbezogener Daten ist Vika Taylor Verantwortliche und Cloudflare Auftragsverarbeiter.

Analytics läuft auf Grundlage Ihrer Einwilligung, die eingeholt wird, bevor irgendetwas geladen wird, und die jederzeit widerrufbar ist. Sie haben die Rechte auf Information über die Verarbeitung, auf Auskunft, auf Berichtigung, auf Löschung und auf Widerruf der Einwilligung. Das Recht, automatisierten Entscheidungen zu widersprechen, findet hier keinen Anknüpfungspunkt: Es findet keine automatisierte Entscheidungsfindung statt, wie Abschnitt 6 sagt.

Anfragen gehen an vika.taylor.one@gmail.com. Ein lokaler Vertreter in Indonesien ist nicht benannt. Die in diesem Gesetz vorgesehene Aufsichtsbehörde ist der Beschwerdeweg, sobald sie arbeitet.

9.11 Naher Osten: PDPL Saudi-Arabien, PDPL der VAE und Nachbarstaaten

Die Anforderungen unterscheiden sich in dieser Region von Land zu Land erheblich, und dieser Abschnitt erhebt nicht den Anspruch, sie alle abzudecken.

Die beiden wichtigsten nationalen Gesetze sind das saudische Personal Data Protection Law, beaufsichtigt von SDAIA, und das Bundesdekretgesetz Nr. 45 von 2021 der Vereinigten Arabischen Emirate über den Schutz personenbezogener Daten. Beide geben Ihnen im Kern das Recht, informiert zu werden, auf Ihre Daten zuzugreifen, sie berichtigen und löschen zu lassen und die Einwilligung zu widerrufen. All das läuft über die Adresse oben auf dieser Seite.

Einige Freihandelszonen haben eigene, gesonderte Regime, darunter das DIFC und das ADGM, mit eigenen Aufsichtsstellen und eigenen Verfahren.

Über lokale Registrierungen, Lizenzen oder einen örtlichen Vertreter in einer Rechtsordnung des Nahen Ostens wird hier nichts behauptet. Nichts davon wurde erlangt, und nichts davon wird behauptet. Wenn für Ihre Situation eine bestimmte Anforderung gilt, schreiben Sie und nennen Sie sie.

9.12 Ukraine: Gesetz über den Schutz personenbezogener Daten

Die Betreiberin lebt und arbeitet in der Ukraine, daher kann auch ukrainisches Recht gelten: das Gesetz der Ukraine Nr. 2297-VI „Über den Schutz personenbezogener Daten“ vom 1. Juni 2010. Dessen Artikel 8 gibt Ihnen unter anderem das Recht, zu erfahren, woher Ihre personenbezogenen Daten stammen, wozu sie verarbeitet werden und wer sie verarbeitet; auf Zugang zu ihnen und darauf, innerhalb von dreißig Kalendertagen eine Antwort zu erhalten, ob sie verarbeitet werden und was sie enthalten; der Verarbeitung zu widersprechen; die Änderung oder Vernichtung Ihrer Daten zu verlangen, wenn sie unrechtmäßig verarbeitet werden oder unrichtig sind; Ihre Einwilligung zu widerrufen; und sich über die Verarbeitung beim Beauftragten der Werchowna Rada der Ukraine für Menschenrechte oder bei einem Gericht zu beschweren. Alle Anfragen gehen an vika.taylor.one@gmail.com, mit den Grenzen aus Abschnitt 7.

Die Einhaltung dieses Gesetzes überwachen der Beauftragte der Werchowna Rada der Ukraine für Menschenrechte (die Ombudsperson) und die Gerichte: ombudsman.gov.ua.

Die Ukraine bereitet ein neues, an die DSGVO angelehntes Datenschutzgesetz vor, den Gesetzentwurf Nr. 8153. Er wurde am 20. November 2024 in erster Lesung angenommen, und am 17. September 2026 führte die Werchowna Rada ihn als in Vorbereitung auf die zweite Lesung. Dieser Abschnitt wird aktualisiert, sobald ein neues Gesetz in Kraft tritt.

10. Kinder

Keine dieser Websites richtet sich an Kinder, und es werden wissentlich keine personenbezogenen Daten von ihnen erhoben. Es gibt kein Konto zum Anlegen und kein Formular, das etwas an einen Server sendet, also keine Möglichkeit für ein Kind, über die Websites irgendetwas abzusenden.

Weil Analytics aus bleibt, bis jemand auf Accept klickt, wird ein Kind, das die Seite besucht und nicht klickt, überhaupt nicht gemessen.

Die Altersgrenze unterscheidet sich je nach Land: dreizehn Jahre nach dem COPPA in den Vereinigten Staaten, je nach Mitgliedstaat zwischen dreizehn und sechzehn Jahren nach Art. 8 DSGVO, achtzehn Jahre nach dem indischen DPDP Act. Eine Altersprüfung gibt es auf diesen Websites nicht, aus demselben Grund, aus dem es keinen Login gibt: Es gibt nichts, woran sie sich anknüpfen ließe.

Wenn Sie glauben, dass personenbezogene Daten eines Kindes zu mir gelangt sind, schreiben Sie an vika.taylor.one@gmail.com, und sie werden gelöscht.

11. Änderungen dieser Erklärung

Das Datum oben auf dieser Seite ändert sich, sobald sich der Text ändert. Diese Fassung datiert vom 17. September 2026.

Es gibt keinen Verteiler, es gibt also keine Möglichkeit, Sie über eine Änderung zu benachrichtigen, und es wird auch keine versprochen. Die Einwilligung wird ohnehin alle 180 Tage erneut abgefragt, und sofort, wenn eine Änderung betrifft, was erhoben wird, denn jede gespeicherte Entscheidung vermerkt die Version dieser Erklärung, auf die sie antwortet (Abschnitt 5).

12. Sprachfassungen

Maßgeblich ist die englische Fassung. Die deutsche, französische, spanische und portugiesische Fassung sind Übersetzungen, die zur Erleichterung bereitgestellt werden. Falls eine Übersetzung und die englische Seite jemals voneinander abweichen, gilt die englische Seite.

Verwandte Dokumente: Nutzungsbedingungen, Cookie-Richtlinie. Das Impressum ist nicht veröffentlicht (siehe Abschnitt 13.3).

13. Ergänzende Hinweise für Besucherinnen und Besucher in Deutschland

13.1 § 25 TDDDG: Speicherung auf Ihrem Endgerät

Für die Speicherung von Informationen in Ihrer Endeinrichtung und für den Zugriff auf dort bereits gespeicherte Informationen gilt in Deutschland § 25 TDDDG, das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, vormals TTDSG. Es setzt Art. 5 Abs. 3 der ePrivacy-Richtlinie um.

Zwei Punkte, die dabei oft untergehen und die hier deshalb ausdrücklich stehen:

• § 25 TDDDG greift unabhängig davon, ob die gespeicherte Information ein personenbezogenes Datum ist. Dass der Einwilligungsvermerk aus Abschnitt 5 nichts über Sie aussagt, macht ihn also nicht automatisch zulässig; er muss trotzdem entweder auf einer Einwilligung beruhen oder unbedingt erforderlich sein.
• Nach § 25 Abs. 2 Nr. 2 TDDDG entfällt die Einwilligung, wenn die Speicherung unbedingt erforderlich ist, damit ein von Ihnen ausdrücklich gewünschter digitaler Dienst bereitgestellt werden kann. Das ist ein enger Ausnahmetatbestand, kein Sammelbecken.

So ordnet sich jeder einzelne Schlüssel aus Abschnitt 5 ein:

Zwei Ebenen, ein Klick. Die Einwilligung nach § 25 Abs. 1 TDDDG betrifft den Vorgang der Speicherung auf Ihrem Endgerät. Die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO betrifft die anschließende Verarbeitung der personenbezogenen Daten. Beide werden in einem Schritt eingeholt, mit demselben Banner, und beide widerrufen Sie in einem Schritt über die Cookie-Einstellungen. Ein Widerruf wirkt für die Zukunft; er macht die Verarbeitung, die bis dahin auf der Einwilligung beruhte, nicht rückwirkend unzulässig.

Kein Dark Pattern. Die beiden Schaltflächen des Banners sind gleichwertig, keine ist vorausgewählt, und das Ignorieren des Banners hat dieselbe Wirkung wie eine Ablehnung: Es wird nichts gemessen. Wer ablehnt, verliert keine Funktion; das steht ausführlich in der Cookie-Richtlinie.

13.2 Ihr Weg zur Aufsichtsbehörde

Nach Art. 77 DSGVO haben Sie das Recht, sich bei einer Aufsichtsbehörde zu beschweren, unbeschadet aller anderen Rechtsbehelfe. Sie können dafür wählen zwischen der Aufsichtsbehörde

• Ihres gewöhnlichen Aufenthaltsorts,
• Ihres Arbeitsplatzes oder
• des Orts des mutmaßlichen Verstoßes.

In Deutschland ist das für private Websitebetreiber die Datenschutzaufsichtsbehörde des jeweiligen Bundeslandes, in der Regel die oder der Landesbeauftragte für den Datenschutz. Die Bundesbeauftragte oder der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) ist für öffentliche Stellen des Bundes sowie für Telekommunikations- und Postunternehmen zuständig und damit für eine Beschwerde über diese Websites nicht die richtige Adresse. Die BfDI führt aber die vollständige Übersicht aller Landesbehörden mit Kontaktdaten: bfdi.bund.de.

Die Aufsicht über § 25 TDDDG liegt ebenfalls bei den Datenschutzaufsichtsbehörden der Länder. Sie können sich dort also sowohl über die Speicherung auf Ihrem Endgerät als auch über die anschließende Verarbeitung beschweren, ohne beides trennen zu müssen.

Eine Beschwerde bei der Aufsichtsbehörde ist unabhängig davon möglich, ob Sie mir vorher geschrieben haben. Sie kostet Sie nichts, und sie hat für Sie keine Folgen auf diesen Websites: Es gibt kein Konto, das gesperrt werden könnte, und keine Funktion, die davon abhängt.

13.3 Impressum nach § 5 DDG

§ 5 des Digitale-Dienste-Gesetzes verlangt für geschäftsmäßig angebotene digitale Dienste eine Anbieterkennzeichnung, die leicht erkennbar, unmittelbar erreichbar und ständig verfügbar ist. Sie ist nicht veröffentlicht: Sie müsste eine ladungsfähige Anschrift enthalten, und die Betreiberin hat entschieden, ihre Wohnanschrift nicht zu veröffentlichen. Diese Websites sind kostenlose, nicht kommerzielle Beispiele ohne Werbung und ohne Affiliate-Links.