Datenschutz

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist:

Hass-Hetze – Stephan Rajewski
Palmaille 7, 22767 Hamburg
E-Mail: info@hass-hetze.de
Kontaktformular: www.hass-hetze.de/kontakt

2. Das Wichtigste vorweg

• ›

  Keine Cookies, kein Cookie-Banner, keine Werbe- oder Tracking-Dienste. Nur eine anonyme Besucherstatistik auf unserem eigenen Server.

• ›

  Unsere Schriften liegen auf unserem eigenen Server.

• ›

  Website und Daten liegen bei Hetzner auf Servern in Deutschland; E-Mails verschicken wir über Oracle (Rechenzentrum Frankfurt).

• ›

  Wir lesen deine Meldung nicht – nur bei Hinweisen auf Missbrauch oder Fehler.

• ›

  Mit deiner Einwilligung geht deine Meldung automatisch an eine passende Kooperationskanzlei: zuerst als Vorschau ohne Namen, Kontaktdaten und Dateien, unter Umständen an mehrere nacheinander. Alles Weitere sieht nur die Kanzlei, die deinen Fall zur Prüfung übernimmt.

• ›

  Bist du unter 16, braucht es zuerst das Einverständnis deiner Eltern.

• ›

  Ziehst du deine Meldung zurück, löschen wir sie sofort.

3. Keine Rechtsdienstleistung

4. Hosting

Wir hosten die Website bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, auf Servern in Deutschland. Mit Hetzner haben wir einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen.

Unsere Datenbank (PostgreSQL) und alle hochgeladenen Dateien – Beweise zu Meldungen und Kanzleifotos – liegen auf demselben Server wie die Website. Die Dateien bewahren wir in einem privaten Speicherbereich auf; öffentlich abrufbar sind sie nicht. Ausnahme: das Foto im Netzwerkprofil einer Kanzlei, die der Veröffentlichung zugestimmt hat.

5. Server-Logs

Bei jedem Seitenaufruf speichert unser Server automatisch:

• ›

  deine IP-Adresse

• ›

  Datum und Uhrzeit des Aufrufs

• ›

  die aufgerufene Adresse (URL)

• ›

  Browser und Betriebssystem (User-Agent)

Wir brauchen diese Daten, um die Seite auszuliefern und Angriffe abzuwehren. Nach 7 Tagen löschen wir sie. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren Betrieb).

6. Angriffsabwehr (CrowdSec)

Zur Abwehr von Angriffen werten wir die Logs automatisch mit der Software CrowdSec aus. Erkennt sie einen Angriff, übermittelt sie IP-Adresse, Zeitpunkt und Art des Angriffs an die CrowdSec SAS, Paris, Frankreich, die daraus eine gemeinsame Sperrliste erstellt (Art. 6 Abs. 1 lit. f DSGVO).

7. Keine Cookies, keine externen Schriften

Bei Besuchern der Website setzen wir keine Cookies und keine Werbe- oder Tracking-Dienste ein. Deshalb gibt es kein Cookie-Banner. Die Schriften Barlow und Inter liegen auf unserem eigenen Server. Beim Seitenaufruf baut dein Browser keine Verbindung zu Google Fonts oder anderen Drittanbietern auf.

Über den Schalter im Seitenkopf kannst du ein helles oder dunkles Design wählen. Erst wenn du ihn benutzt, speichern wir deine Wahl („hell“ oder „dunkel“, ohne Kennung) im lokalen Speicher deines Browsers, damit sie beim nächsten Besuch erhalten bleibt. Sie wird nicht an uns übertragen. Du kannst sie jederzeit über den Schalter ändern oder in deinem Browser löschen (§ 25 Abs. 2 Nr. 2 TDDDG).

8. Besucherstatistik (Umami)

Um zu sehen, welche Seiten gelesen werden und wie Besucher uns finden, nutzen wir Umami, eine Open-Source-Statistik, die auf unserem eigenen Server bei Hetzner in Deutschland läuft. Kein Dritter erhält Daten. Umami setzt keine Cookies und speichert nichts auf deinem Gerät. Erfasst werden die aufgerufene Seite (ohne Parameter), die verweisende Seite, Browser, Betriebssystem, Gerätetyp, Bildschirmgröße, Sprache sowie Land, Region und Stadt. Deine IP-Adresse wird nur kurz verwendet, um den ungefähren Ort zu bestimmen und Besuche zu zählen, und nicht gespeichert; daraus wird ein Kürzel gebildet, das sich täglich ändert, sodass wir dich nicht wiedererkennen können. Beim Meldeformular zählen wir nur, dass eine Meldung abgeschickt wurde, nie deren Inhalt.

Statuslinks, Bestätigungsseiten und das Kanzlei-Portal werden nie erfasst. Hat dein Browser „Do Not Track“ eingeschaltet, zählen wir dich nicht. Rechtsgrundlage ist unser berechtigtes Interesse, das Angebot zu verbessern (Art. 6 Abs. 1 lit. f DSGVO). Da nichts auf deinem Gerät gespeichert oder ausgelesen wird, ist keine Einwilligung nach § 25 TDDDG nötig. Die Statistikdaten löschen wir nach 2 Jahren.

9. Spam-Schutz

Das Meldeformular enthält ein unsichtbares Feld und einen Zeitstempel. Beides erkennt automatisierte Einsendungen und wird nicht gespeichert.

Damit niemand das Formular massenhaft missbraucht, merkt sich der Server deine IP-Adresse kurzzeitig im Arbeitsspeicher (Rate-Limit). Sie wird nicht dauerhaft gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch).

10. E-Mails an uns

Eingehende E-Mails empfangen wir über Hetzner (Auftragsverarbeitung, Server in Deutschland). Schickst du uns trotzdem einen Fall per E-Mail, beantworten wir die Mail automatisch mit einem Hinweis auf das Meldeformular und löschen sie anschließend von Hand, Anhänge möglichst ungeöffnet – innerhalb von 14 Tagen. Nacktbilder oder sexuelle Aufnahmen im Anhang löschen wir ungeöffnet, sobald wir sie erkennen, etwa an deiner Beschreibung oder am Dateinamen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Beantwortung von Anfragen).

Alle Mails an info@hass-hetze.de, auch die aus dem Kontaktformular, sortiert ein Programm auf unserem eigenen Server nach festen Stichworten, damit eine passende Antwort vorbereitet wird. Es nutzt keine KI und gibt den Inhalt an niemanden weiter. Der Betreiber bekommt über einen Messenger (Telegram) nur eine Benachrichtigung mit laufender Nummer und Kategorie – ohne Absender und ohne Inhalt. Personenbezogene Daten gehen dabei nicht an Telegram. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Anfragen schnell und passend beantworten).

11. Online-Meldeformular

Meldest du über das Online-Formular, speichern wir deine Meldung in unserer Datenbank auf unserem Server bei Hetzner in Deutschland:

• ›

  Link zum Inhalt oder Profil

• ›

  deine Beschreibung

• ›

  deine E-Mail-Adresse

• ›

  Name oder Pseudonym (optional)

• ›

  Screenshots (optional, nicht unter 18 und nicht bei sexueller Belästigung)

• ›

  deine Altersgruppe: unter 16, 16 bis 17 oder ab 18

• ›

  unter 16: Name und E-Mail-Adresse eines Elternteils oder einer sorgeberechtigten Person

• ›

  wann du von Tat und Täter:in erfahren hast (optional)

• ›

  der Wortlaut der Äußerung, höchstens 1.000 Zeichen – Pflicht, wenn du keine Datei hochladen kannst (unter 18 oder bei sexueller Belästigung), sonst optional

• ›

  optional: was du erreichen möchtest, wer es war (mit Namen bekannt, aus deinem Umfeld, nur ein Profil oder unbekannt) und – wenn du die Person kennst – ob sie minderjährig ist, wie oft es passiert ist oder wie weit es sich verbreitet hat, ob du eine Rechtsschutzversicherung hast, ob du wenig Geld hast, und dein Bundesland

• ›

  Zeitpunkt der Meldung, Sprache der Seite und die Fassung des Einwilligungstextes, dem du zugestimmt hast

Die Altersgruppe dient deinem Schutz: Bist du unter 18 oder geht es um sexuelle Belästigung, nimmt das Formular keine Dateien an, damit keine intimen Bilder bei uns landen. Bist du 16 oder 17, reicht deine eigene Einwilligung; ein Mandat regelt die Kanzlei in der Regel mit deinen Eltern, und einen Strafantrag stellen deine Eltern für dich (§ 77 Abs. 3 StGB). Bist du unter 16, gilt der nächste Abschnitt. Den Tag, an dem du von Tat und Täter:in erfahren hast, sieht die Kanzlei in der Vorschau, weil bei einigen Delikten ab dann eine Frist läuft. Bei diesen Delikten bekommst du in der Bestätigungsmail und auf deiner Statusseite einen allgemeinen Hinweis zur Frist für einen Strafantrag, aber kein berechnetes Datum.

Die weiteren Angaben helfen der Kanzlei, schnell zu entscheiden, ob sie deinen Fall übernehmen kann. Sie sind deine eigenen Angaben; wir prüfen und bewerten sie nicht. Sie sind Teil der Vorschau (siehe „Weiterleitung an eine Kanzlei“) und stehen in keiner E-Mail. Ob du rechtsschutzversichert bist oder wenig Geld hast, zeigt der Kanzlei, ob etwa eine Versicherung, Beratungshilfe oder Prozesskostenhilfe infrage kommen könnte – ob das so ist, klärt die Kanzlei mit dir. Kannst du keine Datei hochladen, brauchen wir den Wortlaut, weil die Kanzlei sonst nichts von der Äußerung selbst sieht. Schreib sexuelle Inhalte, an denen Minderjährige beteiligt sind, nie ab, sondern beschreib nur, worum es geht.

Beweisdateien wie Screenshots speichern wir unverändert, also samt enthaltener Metadaten, und berechnen für jede Datei einen SHA-256-Prüfwert. So lässt sich später belegen, dass niemand die Datei verändert hat.

Deine IP-Adresse speichern wir mit der Meldung nicht. Nach dem Absenden bekommst du eine E-Mail mit Bestätigungslink (Double-Opt-in). So stellen wir sicher, dass die Adresse dir gehört. Bestätigst du nicht innerhalb von 48 Stunden, löschen wir die Meldung automatisch.

Rechtsgrundlage ist deine ausdrückliche Einwilligung, die du mit dem Häkchen im Formular gibst (Art. 6 Abs. 1 lit. a DSGVO, für sensible Angaben Art. 9 Abs. 2 lit. a DSGVO). Sie umfasst das Speichern und die automatische Weitergabe an Kooperationskanzleien, wie im Abschnitt „Weiterleitung an eine Kanzlei“ beschrieben. Welche Fassung des Textes du angenommen hast, speichern wir mit der Meldung, damit wir die Einwilligung belegen können (Art. 7 Abs. 1 DSGVO).

12. Unter 16: Einverständnis deiner Eltern

Bist du unter 16, brauchen wir das Einverständnis eines Elternteils oder einer anderen sorgeberechtigten Person (Art. 8 Abs. 1 DSGVO). Dafür gibst du im Formular Name und E-Mail-Adresse dieser Person an; sie muss eine andere sein als deine eigene. Den Bestätigungslink bekommt die Person, nicht du. Du bekommst eine kurze Mail, dass deine Meldung wartet. Bestätigt die Person nicht innerhalb von 7 Tagen, löschen wir die Meldung automatisch. Vorher geht nichts an eine Kanzlei.

Die Mail an deine Eltern nennt nur, um welche Art von Hass es geht und auf welcher Plattform – nicht deine Beschreibung, nicht deinen Namen. Nach ihrer Bestätigung gehen die Mails zum Stand der Meldung an sie; eine Kanzlei, die den Fall zur Prüfung übernimmt, sieht ihre Kontaktdaten und meldet sich bei ihnen – dann erfahren sie in der Regel, was passiert ist.

Rechtsgrundlage: Bis zur Bestätigung nutzen wir die Daten deiner Eltern nur, um ihr Einverständnis einzuholen (Art. 6 Abs. 1 lit. f DSGVO). Danach ist ihr Einverständnis die Rechtsgrundlage (Art. 6 Abs. 1 lit. a, Art. 8 Abs. 1 und Art. 9 Abs. 2 lit. a DSGVO). Wir speichern die Daten so lange wie die Meldung.

13. Dein Statuslink

Über einen persönlichen Link siehst du den Stand deiner Meldung, ganz ohne Anmeldung. Den Link speichern wir nur als Prüfsumme (SHA-256); im Klartext steht er nur in unseren E-Mails an dich und in deinem Browser. Jede E-Mail kann einen neuen Link enthalten, und alle deine Links bleiben gültig, bis wir die Meldung löschen. Bewahre sie deshalb sicher auf und gib sie nicht weiter.

Auf der Statusseite kannst du deine Meldung jederzeit zurückziehen. Das ist zugleich der Widerruf deiner Einwilligung: Wir löschen die Meldung dann sofort mit allen Dateien, egal in welchem Stand sie ist. Hat eine Kanzlei den Fall schon zur Prüfung übernommen, bekommt sie eine kurze Mail mit der Fallnummer, ohne Inhalt; was sie selbst schon gespeichert hat, verantwortet sie selbst.

14. Sensible Angaben

Hass im Netz zielt oft auf Herkunft, Religion oder sexuelle Orientierung, und Meldungen enthalten oft auch Angaben zu Gesundheit oder politischer Meinung. Deine Meldung kann deshalb besonders geschützte Daten nach Art. 9 DSGVO enthalten. Wir verarbeiten sie nur mit deiner ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO).

15. Weiterleitung an eine Kanzlei

Wir geben deine Meldung nur mit deiner Einwilligung weiter, die du beim Absenden gibst. Danach läuft alles automatisch. Wir lesen deine Meldung nicht – nur bei Hinweisen auf Missbrauch oder Fehler (siehe „Verwaltungsbereich“). So läuft das ab:

• ›

  Auswahl: Nach deiner Bestätigung (unter 16: der deiner Eltern) sucht das System eine Kooperationskanzlei. Infrage kommen nur Kanzleien, deren Zulassung im Anwaltsverzeichnis bestätigt ist und deren Fachgebiete zu den Kategorien passen, die du gewählt hast. Unter ihnen geht die Anfrage an die Kanzlei mit den wenigsten offenen Fällen und Anfragen, bei Gleichstand an die, die am längsten keine Anfrage bekommen hat. Ob eine Kanzlei uns etwas zahlt, spielt keine Rolle.

• ›

  Vorschau: Die Kanzlei sieht im Kanzlei-Portal zunächst eine Vorschau: Fallnummer, Eingangsdatum, Kategorien, Plattform, Links zu Profil oder Beitrag, Angaben zur handelnden Person, deine Beschreibung, das Datum deiner Kenntnis, deine Altersgruppe, deine weiteren Angaben aus dem Formular (Wortlaut, Ziele, wer es war, Häufigkeit oder Reichweite, Rechtsschutzversicherung, wenig Geld, Bundesland) und die Zahl deiner Dateien. Deinen Namen, deine Kontaktdaten, die Kontaktdaten deiner Eltern und deine Dateien sieht sie nicht. Die E-Mail, mit der wir die Kanzlei auf die Anfrage hinweisen, enthält keine Angaben zu deinem Fall.

• ›

  Entscheidung der Kanzlei: Die Kanzlei übernimmt den Fall zur Prüfung oder lehnt ab; bei einer Ablehnung kann sie einen Grund wählen (Fachgebiet, Kapazität, Interessenkollision, anderes). Nach zwei Arbeitstagen bekommt sie eine Erinnerung, nach zwei weiteren läuft die Anfrage ab. Lehnt sie ab oder läuft die Anfrage ab, geht die Vorschau an die nächste passende Kanzlei. Eine Kanzlei bekommt denselben Fall nie zweimal.

• ›

  Übernahme zur Prüfung: Übernimmt eine Kanzlei deinen Fall zur Prüfung, sieht sie deine ganze Meldung mit deinen Kontaktdaten und Dateien und meldet sich bei dir, ob sie dich vertreten kann. Du bekommst eine Mail mit ihrem Namen. Ein Mandat entsteht erst, wenn ihr euch einigt; ob du es erteilst, entscheidest du selbst. Frag nach den Kosten, bevor du ein Mandat erteilst.

• ›

  Rückgabe: Stellt die Kanzlei nach der Übernahme fest, dass sie dich nicht vertreten kann – etwa wegen einer Interessenkollision, weil kein Mandat zustande kommt oder weil sie dich nicht erreicht –, kann sie den Fall mit einem dieser Gründe zurückgeben. Danach sieht sie im Portal weder deine Kontaktdaten noch deine Dateien. Deine Meldung wartet wieder, die 30 Tage beginnen neu, und das System fragt die nächste passende Kanzlei – nie dieselbe. Du bekommst eine kurze Mail, ohne Namen der Kanzlei und ohne Grund.

• ›

  Keine Kanzlei frei: Passt gerade keine Kanzlei oder hat keine Platz, bekommst du sofort eine Mail mit Hilfsangeboten, und deine Meldung wartet. Sobald eine passende Kanzlei frei wird, geht die Vorschau automatisch an sie. Wir warten höchstens 30 Tage ab deiner Bestätigung. Übernimmt bis dahin keine Kanzlei, schließen wir die Meldung und sagen dir Bescheid.

Was eine Kanzlei bis zur Rückgabe selbst gespeichert hat, etwa Notizen oder heruntergeladene Dateien, muss sie nach unseren Kooperationsbedingungen löschen, soweit sie es nicht aus eigenem Recht aufbewahren darf oder muss. Dafür ist die Kanzlei selbst verantwortlich; wir haben auf ihre Unterlagen keinen Zugriff.

Keine automatisierte Entscheidung mit Rechtswirkung (Art. 22 DSGVO): Das System wählt nur aus, welcher Kanzlei die Anfrage vorgelegt wird. Ob sie deinen Fall übernimmt, entscheidet die Kanzlei, und ob du ihr ein Mandat erteilst, entscheidest du. Die Auswahl hat für dich keine rechtliche Wirkung; du kannst jederzeit auch selbst eine Kanzlei beauftragen. Die Logik der Auswahl steht oben. Hältst du die Auswahl für falsch, schreib an info@hass-hetze.de. Wir sehen dann nur nach, ob das System nach diesen Regeln gearbeitet hat, und bewerten deinen Fall nicht rechtlich.

Deutet eine Anfrage auf Missbrauch hin, kann die Kanzlei sie als Missbrauch melden. Dann geht die Meldung an keine weitere Kanzlei, bis der Betreiber sie sich angesehen hat; er gibt sie wieder frei oder schließt sie. Die Mail, die uns darauf hinweist, enthält nur Fallnummer und Kanzlei.

Rechtsgrundlage ist deine ausdrückliche Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, für sensible Angaben Art. 9 Abs. 2 lit. a DSGVO; unter 16 die deiner Eltern, Art. 8 Abs. 1 DSGVO). Als Nachweis speichern wir die Fassung des Einwilligungstextes, wann du bestätigt hast und wann welche Kanzlei angefragt wurde, den Fall zur Prüfung übernommen, abgelehnt oder zurückgegeben hat oder die Anfrage abgelaufen ist – so lange wie deine Meldung (Art. 6 Abs. 1 lit. c in Verbindung mit Art. 7 Abs. 1 DSGVO).

Den Grund einer Ablehnung oder Rückgabe speichern wir beim Fall. Er dient nur dem Betreiber, der die Gründe zusammengefasst auswertet, damit die Zuordnung besser passt (Art. 6 Abs. 1 lit. f DSGVO). In Mails an dich und auf deiner Statusseite erscheint er nicht; andere Kanzleien sehen ihn nicht.

Darüber hinaus geben wir deine Daten nur weiter, wenn ein Gesetz uns dazu verpflichtet.

16. Daten der gemeldeten Person und Dritter

Meldungen enthalten Daten über die Person, die den Inhalt verfasst hat – etwa Profilname, Link und Inhalte, den Wortlaut ihrer Äußerung und, wenn du es angibst, ob du sie kennst und ob sie minderjährig ist. Wir verarbeiten sie, damit Betroffene ihre Rechte durchsetzen können. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Rechtsverfolgung).

Meldungen können auch Daten über weitere Personen enthalten, etwa über andere Betroffene oder über Menschen, die einen Inhalt kommentiert oder geteilt haben. Enthält eine Meldung zur gemeldeten Person oder zu Dritten besonders geschützte Daten nach Art. 9 DSGVO – etwa zu Herkunft, Religion, sexueller Orientierung, Gesundheit oder politischer Meinung –, stützen wir uns auf Art. 9 Abs. 2 lit. f DSGVO (Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen) in Verbindung mit Art. 6 Abs. 1 lit. f DSGVO.

Wir informieren die gemeldete Person nicht. Das würde die Rechtsverfolgung gefährden, etwa weil Beweise verschwinden. Die Informationspflicht nach Art. 14 DSGVO entfällt deshalb nach Art. 14 Abs. 5 lit. b DSGVO und § 33 Abs. 1 Nr. 2 lit. a BDSG.

17. Portal für Kooperationskanzleien

Kanzleien melden sich mit Benutzername und Passwort an. Nach dem Login speichert ihr Browser ein Sitzungs-Token und den Kontonamen im lokalen Speicher; das Token gilt 12 Stunden, beim Abmelden wird beides gelöscht. Das ist für den Login technisch nötig (§ 25 Abs. 2 Nr. 2 TDDDG). Kanzleien sehen nur die Vorschau der Fälle, zu denen sie angefragt sind, und den ganzen Fall erst, wenn sie ihn zur Prüfung übernommen haben. Gibt eine Kanzlei einen Fall zurück, sieht sie ihn im Portal nicht mehr.

Fallanfragen: Welche Kanzlei eine Anfrage bekommt, bestimmt das System anhand ihrer Fachgebiete, der Zahl ihrer offenen Fälle und Anfragen, ihrer selbst gewählten Höchstzahl offener Fälle (0 pausiert neue Anfragen), einer selbst eingetragenen Abwesenheit (bis einschließlich des angegebenen Tages keine neuen Anfragen, danach gilt wieder die eigene Höchstzahl) und des Zeitpunkts ihrer letzten Anfrage. Gebühren und Abrechnungsstatus spielen dafür keine Rolle. Über eine neue Fallanfrage und eine Erinnerung informieren wir die Kanzlei per E-Mail ohne Angaben zum Fall; der Link darin führt direkt zur Anfrage im Portal und enthält nur eine Kennung, die nichts über den Fall verrät. Wann die Kanzlei angefragt wurde, den Fall zur Prüfung übernommen, abgelehnt, zurückgegeben oder Missbrauch gemeldet hat, und den Grund einer Ablehnung oder Rückgabe speichern wir beim Fall (Art. 6 Abs. 1 lit. b DSGVO). Löscht die betroffene Person einen übernommenen Fall, bekommt die Kanzlei eine Mail mit der Fallnummer.

Benachrichtigungen: Diese Mails gehen an die Adresse des Kanzleikontos oder, wenn die Kanzlei im Profil eine eigene Benachrichtigungsadresse einträgt (etwa ein Sammelpostfach), an diese. Auf Wunsch der Kanzlei gehen sie zusätzlich an ihre aktiven Mitarbeitenden, jeweils als eigene Mail. Benachrichtigungsadresse, diese Einstellung und eine eingetragene Abwesenheit speichern wir am Kanzleikonto und löschen sie mit ihm (Art. 6 Abs. 1 lit. b DSGVO; für die Mails an Mitarbeitende Art. 6 Abs. 1 lit. f DSGVO).

Die Darstellung, die eine Kanzlei im Profil wählt (hell, dunkel oder wie das Gerät), speichern wir an ihrem Konto, damit sie auf jedem Gerät gilt (Art. 6 Abs. 1 lit. b DSGVO), und löschen sie mit dem Konto. Der Browser legt sie zusätzlich im lokalen Speicher ab, damit das Portal sofort in ihr erscheint; beim Abmelden wird sie dort gelöscht (§ 25 Abs. 2 Nr. 2 TDDDG).

Nach zehn fehlgeschlagenen Anmeldeversuchen in Folge sperren wir das Konto für 15 Minuten; dafür zählen wir die Fehlversuche am Konto. Zusätzlich merkt sich der Server die IP-Adresse kurzzeitig im Arbeitsspeicher, um zu viele Versuche abzuwehren; gespeichert wird sie dabei nicht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz der Konten und Fälle vor unbefugtem Zugriff).

Passwort vergessen: Wer im Portal „Passwort vergessen“ wählt und einen Benutzernamen oder eine E-Mail-Adresse eingibt, bekommt dieselbe Antwort, ob es dazu ein Konto gibt oder nicht. Gibt es ein aktives Konto, schicken wir einen einmaligen Link, der eine Stunde gilt, an die beim Konto hinterlegte Adresse – nie an eine andere. Den Link speichern wir nur als Prüfsumme (SHA-256). Ein neues Passwort beendet alle bisherigen Anmeldungen des Kontos und hebt eine Sperre nach Fehlversuchen auf. Gegen massenhafte Anfragen merkt sich der Server die IP-Adresse kurzzeitig im Arbeitsspeicher, ohne sie zu speichern. Im Server-Log vermerken wir nur Kennung des Kontos und Zeitpunkt (Art. 6 Abs. 1 lit. b DSGVO, für Mitarbeitende Art. 6 Abs. 1 lit. f DSGVO).

Registrierung: Kanzleien registrieren sich unter /kanzleien/registrieren mit Name, Kanzlei, Ort, E-Mail-Adresse, zuständiger Rechtsanwaltskammer und Fachgebieten, optional mit Titel und Telefon. Wir nutzen diese Angaben, um die Zulassung im amtlichen Anwaltsverzeichnis zu prüfen und den Zugang einzurichten (Art. 6 Abs. 1 lit. b DSGVO). Zuerst schicken wir einen Bestätigungslink an die angegebene Adresse. Wird er nicht innerhalb von 48 Stunden bestätigt, löschen wir die Registrierung automatisch; eine Registrierung, die wir ablehnen, löschen wir sofort. Nach der Freischaltung schicken wir einen einmaligen Link zum Setzen des Passworts, der 72 Stunden gilt. Bestätigungs- und Passwortlinks speichern wir nur als Prüfsumme. Gegen massenhafte Registrierungen merkt sich der Server die IP-Adresse kurzzeitig im Arbeitsspeicher, ohne sie zu speichern (Art. 6 Abs. 1 lit. f DSGVO). Endet die Kooperation, bekommt die Kanzlei keine Anfragen mehr; ihre Fälle kann sie noch 30 Tage lang ansehen, als Fallbericht und als ZIP-Paket exportieren, jeweils mit ihren Notizen, und zurückgeben. Danach deaktivieren wir den Zugang, auch den ihrer Mitarbeitenden, und löschen ihre Notizen zu den Fällen; offene Fälle gehen zurück in die Weiterleitung an andere Kanzleien. Die übrigen Daten eines Kanzleikontos löschen wir mit Ende der Kooperation.

Kooperationsbedingungen: Bevor eine Kanzlei Fälle sieht, nimmt sie im Portal unsere Kooperationsbedingungen an. Als Nachweis speichern wir am Kanzleikonto die Version, eine Prüfsumme (SHA-256) des angenommenen Textes und den Zeitpunkt; über das Konto ist der Nachweis dem Namen der Person zugeordnet, die angenommen hat (Art. 6 Abs. 1 lit. b und f DSGVO – Nachweis des Vertragsschlusses). Wir bewahren ihn auf, solange das Kanzleikonto besteht.

Team-Zugang: Eine Kanzlei kann im Portal eigene Mitarbeitende einladen, etwa Rechtsanwaltsfachangestellte. Dafür speichern wir Name und E-Mail-Adresse der Person, ihre Anmeldedaten (das Passwort nur als Hash) und wann die Kanzlei bestätigt hat, dass die Person bei ihr beschäftigt und zur Verschwiegenheit verpflichtet ist. Die Person erhält von uns eine E-Mail mit einem Link, über den sie ihr Passwort setzt. Für ihre Anmeldung gilt dasselbe wie für die Kanzlei (Sitzungs-Token, Sperre nach Fehlversuchen). Rechtsgrundlage ist gegenüber der Kanzlei der Kooperationsvertrag (Art. 6 Abs. 1 lit. b DSGVO), gegenüber den Mitarbeitenden das berechtigte Interesse der Kanzlei und von Hass-Hetze, das Portal arbeitsteilig zu nutzen (Art. 6 Abs. 1 lit. f DSGVO). Die Daten speichern wir, solange das Mitgliedskonto besteht; die Kanzlei kann es jederzeit deaktivieren, mit dem Kanzleikonto endet es ebenfalls.

Zugriffsprotokoll: Für jedes Konto einer Kanzlei – Anwältin oder Anwalt wie Mitarbeitende – protokollieren wir, wann es die Vorschau oder einen Fall aufgerufen, eine Anfrage zur Prüfung übernommen, abgelehnt oder als Missbrauch gemeldet, einen Fall zurückgegeben, eine Datei heruntergeladen oder den Status eines Falls geändert hat. So lässt sich nachvollziehen, wer auf vertrauliche Falldaten zugegriffen hat, und Missbrauch aufklären. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz der Falldaten der Betroffenen). Jeden Eintrag löschen wir nach einem Jahr. Das Hauptkonto der Kanzlei sieht die Einträge seiner Mitarbeitenden; die Kanzlei darf sie nur nutzen, um Zugriffe auf Falldaten zu kontrollieren, nicht zur Leistungs- oder Verhaltenskontrolle (§ 26 BDSG).

Kanzleiprofil: Anschrift und Telefon im Profil nutzen wir nur für die Briefköpfe der Musterschreiben im Portal; sie werden nicht veröffentlicht. Notizen, Kenntnisdatum und Statusänderungen speichern wir beim jeweiligen Fall (Art. 6 Abs. 1 lit. b DSGVO).

Kalendereintrag: Für einen übernommenen Fall kann die Kanzlei die Orientierungsfrist für einen Strafantrag als Kalenderdatei (.ics) herunterladen. Die Datei erzeugt ihr Browser aus den bereits geladenen Falldaten; dabei geht nichts an uns oder an Dritte. Sie enthält nur Fallnummer, Datum und eine Erinnerung zwei Wochen vorher, keine Angaben zum Inhalt. Was die Kanzlei danach mit der Datei macht, etwa sie in einen Kalenderdienst übernimmt, verantwortet sie selbst.

Netzwerkprofil: Nur wenn eine Kanzlei im Portal ausdrücklich einwilligt, erscheinen Name, Titel, Kanzlei, Ort, Schwerpunkte, Kurztext und – falls hinterlegt – ein Foto öffentlich auf der Seite „Unser Netzwerk“ (Art. 6 Abs. 1 lit. a DSGVO). Wir speichern den Zeitpunkt der Einwilligung. Die Einwilligung lässt sich jederzeit im Portal widerrufen; das Profil verschwindet dann sofort. Fotos verkleinern wir schon beim Hochladen auf höchstens 400 × 400 Pixel und entfernen Metadaten wie GPS-Daten.

Demozugang: Über „Portal ausprobieren“ auf der Seite für Kanzleien lässt sich das Portal ohne Konto testen. Es zeigt nur erfundene Fälle, keine echten Meldungen, und verschickt keine E-Mails. Für die Demo legt der Browser ein Sitzungs-Token im lokalen Speicher ab, das nach einer Stunde abläuft; es ist für die Demo technisch nötig (§ 25 Abs. 2 Nr. 2 TDDDG). Ein Cookie setzen wir dafür nicht. Damit niemand massenhaft Demo-Sitzungen startet, merkt sich der Server die IP-Adresse kurzzeitig im Arbeitsspeicher, ohne sie zu speichern (Art. 6 Abs. 1 lit. f DSGVO). Darüber hinaus speichern wir keine Daten über Besucherinnen und Besucher der Demo. Änderungen in der Demo setzen wir jede Nacht zurück.

18. Zahlungsabwicklung für Kanzleien (Stripe)

In der Pilotphase ist das Kanzlei-Portal kostenlos. Ein Entgelt kann nur über eine neue Fassung der Kooperationsbedingungen eingeführt werden, der die Kanzlei zustimmen muss. Erheben wir ein Entgelt, wickeln wir die Zahlung über Stripe ab. Anbieter ist die Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland.

Ihre Zahlungsdaten gibt die Kanzlei direkt auf einer Seite von Stripe ein; wir sehen und speichern sie nicht. An Stripe übermitteln wir die E-Mail-Adresse der Kanzlei und eine interne Kennung ihres Kontos. Von Stripe speichern wir nur eine Kundennummer, den Status des Abonnements und das Ende des laufenden Abrechnungszeitraums. Für Prüfung, Betrugsabwehr und gesetzliche Pflichten verarbeitet Stripe Daten auch in eigener Verantwortung; dafür gilt die Datenschutzerklärung von Stripe.

Rechtsgrundlage ist die Erfüllung des Vertrags mit der Kanzlei (Art. 6 Abs. 1 lit. b DSGVO); Rechnungs- und Buchungsbelege bewahren wir auf, solange Handels- und Steuerrecht es verlangen (Art. 6 Abs. 1 lit. c DSGVO).

Stripe kann Daten an die Stripe, Inc. in den USA übermitteln. Stripe, Inc. ist unter dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO); ergänzend gelten EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

19. Kontaktaufnahme mit Kanzleien

Um Kooperationskanzleien zu gewinnen, schreiben wir Kanzleien per Brief an. Dafür speichern wir Kanzleiname, Anschrift und, soweit vorhanden, Ansprechperson, Telefon, E-Mail-Adresse, Website und Fachgebiet, außerdem die Quelle der Angaben und Notizen zum Kontaktverlauf. Die Angaben stammen von der öffentlich zugänglichen Website der Kanzlei (Impressum). Telefonnummer und E-Mail-Adresse nutzen wir nur, um zu antworten, wenn sich eine Kanzlei bei uns meldet. Rechtsgrundlage ist unser berechtigtes Interesse, Kooperationskanzleien zu gewinnen (Art. 6 Abs. 1 lit. f DSGVO). Der Brief selbst enthält die Hinweise nach Art. 14 DSGVO.

Eine Kanzlei kann dem jederzeit widersprechen, formlos an info@hass-hetze.de (Art. 21 Abs. 2 DSGVO). Dann schreiben wir sie nicht mehr an und löschen alle Angaben bis auf Kanzleiname, Anschrift, Quelle und den Zeitpunkt des Widerspruchs. Diese Widerspruchsliste speichern wir, solange wir Kanzleien anschreiben, damit die Kanzlei keine Post mehr von uns bekommt. Ohne Widerspruch löschen wir die Angaben zwei Jahre nach dem letzten Kontakt.

21. Verwaltungsbereich

Auf den Verwaltungsbereich der Website hat nur der Betreiber Zugriff. Er erreicht ihn ausschließlich über eine gesicherte Verbindung (SSH-Tunnel) und meldet sich mit Passwort und zweitem Faktor an.

Der Betreiber hat technisch Zugriff auf alle Meldungen, liest sie aber nicht. Beschreibung, Wortlaut, Dateien und Notizen der Kanzlei sind in der Verwaltung zugeklappt; Bildvorschauen zeigt sie nie. Öffnet er den Inhalt einer Meldung, etwa nach einem Hinweis auf Missbrauch oder bei einem Fehler, wird das mit Zeitpunkt protokolliert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sicherer Betrieb, Abwehr von Missbrauch) und für sensible Angaben Art. 9 Abs. 2 lit. a DSGVO (deine Einwilligung umfasst diesen Betrieb).

Nach der Anmeldung setzt der Verwaltungsbereich ein Sitzungs-Cookie. Es ist technisch notwendig (§ 25 Abs. 2 Nr. 2 TDDDG) und gilt nur dort. Besucher der Website erhalten dieses Cookie nicht.

22. E-Mail-Versand

E-Mails der Website – den Bestätigungslink und Nachrichten zum Stand deiner Meldung – verschicken wir über Oracle Cloud Infrastructure Email Delivery, Rechenzentrumsregion Frankfurt am Main. Mit Oracle besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Oracle verarbeitet dabei Absender, Empfänger, Betreff und Inhalt der Mail sowie Zustelldaten. Die Mails enthalten den Link zu deiner Meldung und gegebenenfalls deinen Namen oder dein Pseudonym, einen allgemeinen Hinweis zur Frist für einen Strafantrag, Hilfsangebote, das Datum, bis zu dem wir auf eine Kanzlei warten, und nach der Übernahme zur Prüfung Name und Ort der Kanzlei. Gibt die Kanzlei den Fall zurück, nennt die Mail weder sie noch den Grund. Die Mail an deine Eltern (unter 16) nennt nur Kategorien und Plattform. Mails an Kanzleien und an uns enthalten höchstens die Fallnummer und einen Link ins Portal. Den Text deiner Meldung oder Beweisdateien enthält keine Mail.

Für Support und Betrieb kann Oracle auch aus Ländern außerhalb der EU auf diese Daten zugreifen. Solche Zugriffe sind durch EU-Standardvertragsklauseln abgesichert (Art. 46 Abs. 2 lit. c DSGVO).

E-Mails an info@hass-hetze.de empfangen wir weiterhin über unseren Hoster Hetzner (Auftragsverarbeitung, Server in Deutschland).

23. Speicherdauer

• ›

  Server-Logs: 7 Tage

• ›

  Rate-Limit: nur kurzzeitig im Arbeitsspeicher

• ›

  Design-Wahl der Website: nur in deinem Browser, bis du sie änderst oder die Website-Daten löschst

• ›

  Nicht bestätigte Meldungen: 48 Stunden nach dem Absenden, unter 16 ohne Bestätigung der Eltern 7 Tage, danach automatisch gelöscht (stündlicher Lauf)

• ›

  Zurückgezogene Meldungen: sofort

• ›

  Meldungen ohne Kanzlei: höchstens 30 Tage Wartezeit ab Bestätigung, dann geschlossen

• ›

  Meldungen, die wir nicht weitergeben: 6 Monate nach Abschluss, damit wir Nachfragen von dir beantworten und dir gegenüber belegen können, was mit deiner Meldung geschehen ist

• ›

  Weitergegebene Fälle: 12 Monate nach der Weitergabe. Danach liegen sie nur noch bei der Kanzlei.

• ›

  Nachweis der Einwilligung und der Weiterleitung (Fassung des Einwilligungstextes, Zeitpunkte von Bestätigung, Anfrage, Übernahme zur Prüfung, Ablehnung, Rückgabe oder Ablauf, Grund einer Ablehnung oder Rückgabe): so lange wie die Meldung

• ›

  Daten deiner Eltern (unter 16): so lange wie die Meldung

• ›

  Fälle, die uns per E-Mail erreichen: nach unserer automatischen Antwort mit dem Hinweis auf das Formular von Hand gelöscht, innerhalb von 14 Tagen

• ›

  Sicherungskopien: verschlüsselt, 14 Tage, danach automatisch gelöscht

• ›

  Kanzlei-Registrierungen: unbestätigt 48 Stunden, danach automatisch gelöscht; abgelehnte sofort

• ›

  Kanzleikonten: bis zum Ende der Kooperation, mit Benachrichtigungsadresse und Abwesenheit; Notizen einer Kanzlei zu ihren Fällen bis 30 Tage nach dem Ende der Kooperation, längstens so lange wie der Fall. 30 Tage bevor ein übernommener Fall nach 12 Monaten gelöscht wird, erinnern wir die Kanzlei per E-Mail mit Fallnummer und Datum, damit sie exportieren kann

• ›

  Link „Passwort vergessen“: gilt 1 Stunde, gespeichert nur als Prüfsumme; mit dem Setzen des Passworts verbraucht

• ›

  Nachweis der Kooperationsbedingungen: solange das Kanzleikonto besteht

• ›

  Konten von Mitarbeitenden einer Kanzlei: solange das Mitgliedskonto besteht

• ›

  Zugriffsprotokoll im Kanzlei-Portal: 1 Jahr je Eintrag

• ›

  Besucherstatistik (Umami): 2 Jahre, ohne IP-Adressen und ohne Cookies

• ›

  Demozugang: Sitzungs-Token im Browser 1 Stunde; Änderungen in der Demo bis zum nächtlichen Zurücksetzen

• ›

  Nachrichten über das Kontaktformular: bis die Anfrage erledigt ist, spätestens nach 6 Monaten, soweit keine gesetzliche Aufbewahrungspflicht besteht

• ›

  Angeschriebene Kanzleien: 2 Jahre nach dem letzten Kontakt; nach einem Widerspruch Kanzleiname und Anschrift in der Widerspruchsliste, solange wir Kanzleien anschreiben

Löschen wir eine Meldung, löschen wir alle zugehörigen Dateien mit. Aus Sicherungskopien verschwinden gelöschte Meldungen spätestens nach 14 Tagen. Widerrufst du deine Einwilligung, löschen wir früher, soweit uns kein Gesetz zur Aufbewahrung verpflichtet.

24. Deine Rechte

• ›

  Auskunft (Art. 15 DSGVO) – welche Daten wir über dich gespeichert haben

• ›

  Berichtigung (Art. 16 DSGVO) – falsche Daten korrigieren

• ›

  Löschung (Art. 17 DSGVO)

• ›

  Einschränkung (Art. 18 DSGVO)

• ›

  Datenübertragbarkeit (Art. 20 DSGVO)

• ›

  Widerspruch (Art. 21 DSGVO) – gegen Verarbeitungen auf Grundlage berechtigter Interessen

• ›

  Widerruf deiner Einwilligung – jederzeit, mit Wirkung für die Zukunft

Schreib dazu an info@hass-hetze.de. Deine Meldung zurückziehen und damit löschen kannst du auch selbst, jederzeit auf deiner Statusseite.

25. Beschwerderecht

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel in dem Bundesland, in dem du wohnst, oder dort, wo wir unseren Sitz haben. Zuständig für uns ist der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI), Ludwig-Erhard-Straße 22, 20459 Hamburg.

26. Verschlüsselung

Die Verbindung zu dieser Website ist per TLS verschlüsselt. Du erkennst das an „https://“ in der Adresszeile.

27. Stand

Stand: Oktober 2026. Ändern sich Technik oder Rechtslage, passen wir diese Erklärung an. Die aktuelle Fassung steht immer unter /datenschutz.