Datenschutz

Stand: 16.06.2026

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO und anderer nationaler Datenschutzgesetze sowie sonstiger datenschutzrechtlicher Bestimmungen ist:

FeliceDesign Felix Weber – Mediendesign
Widdumstraße 6
88281 Schlier
Baden-Württemberg, Deutschland
felice.mediadesign@gmail.com

Dienst: Spektra, erreichbar unter https://spektracolors.com.

2. Überblick: Welche Daten verarbeiten wir?

Spektra ist „local-first": Farbpaletten und Sammlungen werden zunächst lokal in Ihrem Browser (IndexedDB) gespeichert. Erst nach freiwilliger Anmeldung mit einer E-Mail-Adresse werden Daten mit unserem Server (Cloudflare) synchronisiert. Ohne Anmeldung verlässt der Inhalt Ihr Gerät grundsätzlich nicht (Ausnahme: technische Server-Logs beim Abruf der Website).

Verarbeitete Datenkategorien

  • Nutzungs-/Verbindungsdaten — IP-Adresse, Zeitpunkt, User-Agent, angefragte URL (bei jedem Seitenabruf / Hosting)
  • Kontodaten — E-Mail-Adresse; optional ein selbstgewählter Nickname (bei Anmeldung bzw. bei Veröffentlichung im Community-Bereich)
  • Authentifizierungsdaten — gehashter einmaliger Anmelde-Code, Session-Kennung, Session-Cookie (bei An-/Abmeldung)
  • Inhaltsdaten — Farbpaletten, Sammlungen, Bild-Thumbnails (verkleinerte JPEG-Vorschau hochgeladener Bilder, max. 400 px) (bei aktivierter Cloud-Synchronisierung)
  • Community-Daten — von Ihnen aktiv veröffentlichte Paletten (Name, Farben, Vorschaubild) mit Ihrem Nickname, sowie „Gefällt mir"- und Melde-Aktionen (jeweils mit Bezug zu Ihrem Konto) — nur bei aktiver Nutzung des Community-Bereichs
Wichtig zu den Bild-Thumbnails: Beim Extrahieren wird aus Ihrem Bild eine verkleinerte Vorschau (sourceImageThumb) erzeugt und als Teil der Palette gespeichert. Sind Sie angemeldet, wird diese Vorschau mit auf den Server übertragen und dort gespeichert. Sie kann personenbezogene Inhalte enthalten (z. B. wenn das Ausgangsbild Personen, Dokumente oder Kennzeichen zeigt). Bitte laden Sie nur Bilder hoch, zu deren Verarbeitung Sie berechtigt sind.

3. Hosting und Server-Logs (Cloudflare)

Der Dienst wird auf der Infrastruktur von Cloudflare betrieben (Cloudflare Workers für die Anwendungslogik, Cloudflare D1 als Datenbank, Auslieferung der statischen Dateien über Cloudflare).

Mit Cloudflare besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Dieser ist als Data Processing Addendum (DPA, Version 6.4, Stand 3. April 2026) Bestandteil der mit Cloudflare geschlossenen Nutzungsvereinbarung und mit deren Annahme wirksam geworden.

Beim Abruf der Website verarbeitet Cloudflare technisch notwendige Verbindungsdaten (insbesondere die IP-Adresse, Datum/Uhrzeit, angefragte Ressource, Referrer, User-Agent). Für den Dienst ist serverseitig Observability/Logging aktiviert (observability.enabled in der Worker-Konfiguration); dabei können Anfragedaten protokolliert werden.

  • Zweck: sichere und stabile Bereitstellung, Abwehr von Missbrauch/Angriffen, Fehlerdiagnose.
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am stabilen, sicheren Betrieb).
  • Speicherdauer der Logs: Die Server-Logs (Cloudflare Workers Logs) werden nach 3 Tagen automatisch durch Cloudflare gelöscht.

4. Konto und Anmeldung per Einmal-Code

Für die geräteübergreifende Synchronisierung können Sie sich mit Ihrer E-Mail-Adresse anmelden. Ein Passwort wird nicht verwendet.

Ablauf und verarbeitete Daten:

  • Sie geben Ihre E-Mail-Adresse ein. Wir speichern Ihre E-Mail-Adresse zusammen mit einem einmaligen 6-stelligen Anmelde-Code (siehe unten). Ein dauerhaftes Benutzerkonto wird erst bei der ersten erfolgreichen Anmeldung angelegt.
  • Wir erzeugen einen zufälligen 6-stelligen Code, speichern davon nur einen SHA-256-Hash (nicht den Code selbst) mit einer Gültigkeit von 10 Minuten. Zum Schutz vor Missbrauch begrenzen wir die Anzahl der Fehlversuche.
  • Wir versenden eine E-Mail mit dem Code über den Dienstleister Resend (siehe Abschnitt 7). Es wird kein Anmelde-Link mehr versendet — der Code wird direkt in der App eingegeben (dies stellt sicher, dass die Anmeldung auch in der installierten App/PWA zuverlässig funktioniert).
  • Erst nach Eingabe und Bestätigung des Codes wird – falls noch nicht vorhanden – Ihr Benutzerkonto (E-Mail-Adresse + Erstellungszeitpunkt) angelegt, eine Sitzung (Session) erstellt und ein signiertes Sitzungs-Token als HttpOnly-Cookie (spektra_session, Secure, SameSite=Lax, Laufzeit 30 Tage) gesetzt.
  • Zweck: Bereitstellung der Konto- und Synchronisierungsfunktion, Authentifizierung.
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags / auf Anfrage durchgeführte Maßnahmen). Das Setzen des für die Anmeldung unbedingt erforderlichen Session-Cookies ist nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei.

5. Cloud-Synchronisierung von Paletten und Sammlungen

Sind Sie angemeldet, werden Ihre Farbpaletten und Sammlungen (einschließlich der unter 2. beschriebenen Bild-Thumbnails) mit dem Server synchronisiert und dort Ihrem Konto zugeordnet gespeichert. Die Synchronisierung erfolgt ereignisbasiert ohne festes Zeitintervall: beim Start bzw. Neuladen der App, beim Zurückholen der App in den Vordergrund, nach Wiederherstellen der Internetverbindung sowie kurz nachdem Sie etwas geändert haben. Beim ersten Login werden alle bereits lokal vorhandenen Paletten/Sammlungen einmalig auf Ihr Konto hochgeladen.

  • Zweck: Sicherung und geräteübergreifende Verfügbarkeit Ihrer Inhalte.
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
  • Löschung: Beim Löschen einer Palette/Sammlung wird zunächst eine „Tombstone"-Markierung synchronisiert; der Inhalt (body) wird serverseitig geleert. Der Datensatz-Stub (ID + Löschzeitpunkt) verbleibt zur Synchronisierung über mehrere Geräte hinweg.

5a. Community-Bereich (Veröffentlichen, Nickname, „Gefällt mir", Melden)

Der Community-Bereich ist optional. Er wird nur wirksam, wenn Sie als angemeldete Nutzerin bzw. angemeldeter Nutzer eine Palette aktiv veröffentlichen, eine Palette mit „Gefällt mir" markieren oder eine Palette melden.

  • Nickname: Vor der ersten Veröffentlichung wählen Sie einen öffentlich sichtbaren Nickname (Pseudonym). Sie müssen dabei keinen Klarnamen angeben. Der Nickname wird neben Ihren veröffentlichten Paletten angezeigt; Ihre E-Mail-Adresse wird nicht veröffentlicht.
  • Veröffentlichte Paletten: Beim Veröffentlichen wird ein Abbild der Palette (Name, Farben, ggf. Vorschaubild) zusammen mit Ihrem Nickname erzeugt und öffentlich sichtbar im Community-Feed angezeigt — auch für nicht angemeldete Besucher. Bitte veröffentlichen Sie keine Inhalte, die Rechte Dritter verletzen oder personenbezogene Daten in Vorschaubildern enthalten.
  • „Gefällt mir" (Likes): Sie können veröffentlichte Paletten mit „Gefällt mir" markieren. Gespeichert wird, welche Palette Ihr Konto markiert hat (zur Anzeige und zur Zählung). Die Gesamtzahl der Likes ist öffentlich sichtbar; wer im Einzelnen geliked hat, wird nicht öffentlich angezeigt.
  • Melden (Reports): Sie können Paletten melden. Wir speichern die gemeldete Palette, Ihr meldendes Konto, einen optionalen Grund und den Zeitpunkt, um den Inhalt manuell prüfen und ggf. entfernen zu können.
  • Zweck: Bereitstellung eines öffentlichen Community-Feeds zum Teilen und Entdecken von Paletten; Moderation gemeldeter Inhalte.
  • Rechtsgrundlage: Für das Veröffentlichen und die öffentliche Anzeige Ihres Nicknames samt Palette Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), erteilt durch die aktive Veröffentlichung; Sie können diese Einwilligung jederzeit durch Zurückziehen der Veröffentlichung (Unpublish) mit Wirkung für die Zukunft widerrufen. Für die Bearbeitung von Meldungen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Moderation).
  • Widerruf / Löschung: Über „Remove from Community" (im Paletten-Menü) entfernen Sie die öffentliche Anzeige jederzeit. Bei Kontolöschung werden auch Ihre veröffentlichten Paletten, Ihre Likes und Ihre Meldungen serverseitig gelöscht.

6. Lokale Speicherung im Browser (IndexedDB) und PWA

Spektra speichert Daten lokal in der IndexedDB Ihres Browsers (Datenbankname aus historischen Gründen: chromalens). Zusätzlich ist die App eine Progressive Web App mit Service Worker, der Programmdateien für die Offline-Nutzung im Browser-Cache vorhält. Diese lokale Speicherung dient ausschließlich der Funktion der App auf Ihrem Gerät; Sie können sie über die Einstellungen Ihres Browsers (Website-Daten löschen) jederzeit entfernen.

  • Rechtsgrundlage für das Speichern/Auslesen lokaler Daten (soweit § 25 TDDDG greift): § 25 Abs. 2 Nr. 2 TDDDG (für die ausdrücklich gewünschte Funktion unbedingt erforderlich).

7. E-Mail-Versand (Resend)

Für den Versand der Anmelde-E-Mails nutzen wir Resend (Resend / „resend.com"). Dabei wird Ihre E-Mail-Adresse an den Anbieter übermittelt, damit die Anmelde-Nachricht zugestellt werden kann.

  • Zweck: Zustellung des Anmelde-Links.
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Mit Resend (Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA) besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Dieser ist als Data Processing Addendum (DPA, Stand 31. Dezember 2025) Bestandteil der mit Resend geschlossenen Nutzungsvereinbarung und mit deren Annahme wirksam geworden. Resend löscht im Auftrag verarbeitete Nutzerdaten innerhalb von 90 Tagen nach Beendigung des Kontos.

8. Datenübermittlung in Drittländer (USA)

Sowohl Cloudflare als auch Resend sind unter dem EU-US Data Privacy Framework (DPF) zertifiziert; insoweit besteht für die Übermittlung in die USA ein Angemessenheitsbeschluss der EU-Kommission als Übermittlungsgrundlage. Ergänzend sind in den jeweiligen Auftragsverarbeitungsverträgen die EU-Standardvertragsklauseln (SCC, Durchführungsbeschluss 2021/914) als zusätzliche Absicherung eingebunden. Den DPF-Zertifizierungsstatus beider Anbieter können Sie unter dataprivacyframework.gov einsehen.

9. Cookies und Tracking

Spektra setzt ausschließlich ein technisch notwendiges Cookie (spektra_session) für die Anmeldung. Es werden keine Analyse-, Tracking-, Marketing- oder Profilbildungs-Tools eingesetzt, keine Werbe-Cookies, keine Drittanbieter-Tracker. Aus diesem Grund ist kein Cookie-Einwilligungsbanner erforderlich.

10. Speicherdauer

  • Anmelde-Code (Hash): 10 Minuten bzw. bis zur Einlösung
  • Session / Session-Cookie: 30 Tage (bzw. bis Abmeldung/Widerruf)
  • Kontodaten (E-Mail, Nickname): bis zur Löschung des Kontos
  • Paletten/Sammlungen/Thumbnails: bis zur Löschung durch Sie bzw. Kontolöschung
  • Veröffentlichte Community-Paletten / Likes / Meldungen: bis zum Zurückziehen der Veröffentlichung bzw. bis zur Kontolöschung
  • Server-Logs (Cloudflare Workers Logs): 3 Tage (automatische Löschung durch Cloudflare)

11. Ihre Rechte als betroffene Person

Sie haben nach der DSGVO das Recht auf:

  • Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17),
  • Einschränkung der Verarbeitung (Art. 18),
  • Datenübertragbarkeit (Art. 20),
  • Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21),
  • Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3),
  • Beschwerde bei einer Aufsichtsbehörde (Art. 77).

Zur Ausübung genügt eine Nachricht an die unter Abschnitt 1 genannte Adresse.

Selfservice in der App (Einstellungen): Angemeldete Nutzerinnen und Nutzer können ihre Daten direkt in den Einstellungen ausüben:

  • „Export my data" → liefert Konto (inkl. Nickname), Paletten, Sammlungen (inkl. Bild-Vorschauen) sowie Ihre Community-Daten (veröffentlichte Paletten und Likes) als JSON (Art. 15/20).
  • „Delete account" → löscht Konto, Sessions, Anmelde-Codes, Paletten, Sammlungen sowie sämtliche Community-Daten (veröffentlichte Paletten, Likes, Meldungen) serverseitig und leert anschließend die lokalen Daten im Browser (Art. 17). Eine Tipp-Bestätigung der E-Mail-Adresse verhindert versehentliche Löschungen.
Hinweis: Da der Dienst „local-first" ist, betrifft die App-Löschung sowohl die Cloud- als auch die lokalen Daten dieses Geräts. Daten auf anderen, nicht synchronisierten Geräten bleiben dort, bis sie auch dort gelöscht werden.

12. Zuständige Aufsichtsbehörde

Der Landesbeauftragte für Datenschutz und Informationsfreiheit Baden-Württemberg

Maßgeblich ist die Aufsichtsbehörde des Bundeslandes, in dem der Verantwortliche seinen (Wohn-)Sitz hat.

13. Keine automatisierte Entscheidungsfindung / kein Profiling

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt.

14. Datensicherheit (technische Maßnahmen)

Die Übertragung erfolgt verschlüsselt über HTTPS/TLS. Anmelde-Tokens werden nur als SHA-256-Hash gespeichert; das Session-Cookie ist HttpOnly und Secure. Sitzungen können serverseitig widerrufen werden. Wir treffen angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO.

15. Pflicht zur Bereitstellung

Die Bereitstellung der E-Mail-Adresse ist für die Konto-/Synchronisierungsfunktion erforderlich. Ohne Anmeldung können Sie Spektra weiterhin lokal (ohne Cloud-Sync) nutzen.

16. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, sobald Änderungen an der Verarbeitung dies erforderlich machen. Es gilt die jeweils hier veröffentlichte aktuelle Fassung.