Datenschutzerklärung

Verantwortlicher

Christian Götze

Rathenaustr. 3, 16761 Hennigsdorf, Deutschland

E-Mail: kontakt@wochentopf.de

Keine Cookies

Diese Website setzt keine Cookies. Es wird kein Einwilligungsbanner benötigt, weil keine einwilligungspflichtigen Technologien zum Einsatz kommen.

Daten, die auf deinem Gerät bleiben

Alles, was du in Wochentopf eingibst, wird ausschließlich lokal im Speicher deines Browsers abgelegt (IndexedDB, localStorage und sessionStorage). Diese Daten werden nicht übertragen und sind für den Betreiber nicht einsehbar. Du kannst sie in den Einstellungen als Datei sichern, importieren und vollständig löschen — „Alle Daten löschen“ entfernt alle unten genannten Einträge — oder über die Einstellungen deines Browsers. Nach dem ersten Speichern bittet die Seite deinen Browser, diese Daten auch bei knappem Speicherplatz nicht zu verwerfen; dabei wird nichts weiter gespeichert oder übertragen.

Das Speichern ist für die Funktion der App unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG): Ein Wochenplan, der sich nicht merkt, was du geplant hast, wäre keiner.

• IndexedDB „wochentopf“ — deine Wochenpläne, deine eigenen Gerichte und der Stand der Einkaufslisten
• wochentopf-settings — Haushaltsgröße, angezeigte Mahlzeiten, Ernährungsstil, Vorlieben, Einschränkungen, Vorratsliste, die Namen und Einstellungen zusätzlicher Pläne, wann du zuletzt eine Sicherung heruntergeladen und welche Hinweise du geschlossen hast sowie – nur wenn du es freiwillig einträgst – ein Energiebedarfs-Profil aus Geschlecht, Alter, Größe, Gewicht und Aktivität (eines für den Hauptplan und je eines für zusätzliche Pläne, etwa für die Person, für die ein Plan gekocht wird). Das sind Gesundheitsdaten im Sinne von Art. 9 DSGVO; sie werden ausschließlich lokal für die Richtwert-Linie im Wochendiagramm verwendet, nie übertragen und lassen sich in den Einstellungen jederzeit löschen
• wochentopf-theme — deine Wahl zwischen hellem und dunklem Design
• wochentopf-shopping-filter:<Kalenderwoche> (sessionStorage) — die gerade gewählte Auswahl auf der Einkaufsliste („bis Mittwoch“, einzelne Gerichte); gilt nur für die laufende Sitzung und wird mit dem Schließen des Tabs verworfen

Hosting und Server-Logfiles

Die Website läuft auf einem Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, in Deutschland. Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Serverstandort: Deutschland.

Jeder Aufruf läuft über einen vorgeschalteten Webserver (Traefik), der auf diesem Server ein Zugriffsprotokoll schreibt. Darin stehen: die IP-Adresse deines Anschlusses in voller Länge — sie wird an dieser Stelle weder gekürzt noch anonymisiert —, Datum und Uhrzeit, die aufgerufene Adresse einschließlich ihrer Parameter (etwa die angezeigte Kalenderwoche), die HTTP-Methode, der Statuscode, die übertragene Datenmenge, die Bearbeitungsdauer sowie die vom Browser gesendeten Kopfzeilen, insbesondere Browser- und Gerätekennung (User-Agent) und die verweisende Seite (Referrer). Zugangsdaten und Cookie-Kopfzeilen werden ausdrücklich nicht mitgeschrieben.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt im sicheren und störungsfreien Betrieb und in der Fehlersuche. Das Protokoll bleibt auf demselben Server in Deutschland und wird an keinen externen Dienstleister übermittelt; die einzige Ausnahme ist die Meldung von Angreifer-Adressen im nächsten Abschnitt.

Speicherdauer: Das Protokoll wird täglich gewechselt, es werden höchstens 30 ältere Stände aufbewahrt. Spätestens nach 31 Tagen ist ein Eintrag gelöscht. Weitere Protokollausgaben der Anwendung werden nach 30 Tagen gelöscht. Wird ein konkreter Sicherheitsvorfall aufgeklärt, kann die Aufbewahrung der betroffenen Einträge bis zur Klärung verlängert werden.

Sicherungskopien: Jede Nacht wird eine Sicherung erstellt, die die Tagessummen der Reichweitenmessung (ohne IP-Adressen und ohne Tageskennungen) und die Datenbank der Angriffserkennung (mit den IP-Adressen erkannter Angreifer) enthält. Sie liegt auf einem separaten Speichervolumen im selben Rechenzentrum in Deutschland, wird 14 Tage aufbewahrt und danach automatisch gelöscht; zurückgespielt wird sie nur im Störungsfall. Ein bereits gelöschter Datensatz kann deshalb noch bis zu 14 Tage in einer Sicherung liegen, bei der Reichweitenmessung bis zu 16 Tage, weil sie für die Sicherung jede Nacht eine Kopie ihrer Datenbank anlegt und die letzten drei davon aufbewahrt. Das Zugriffsprotokoll des Servers und die Protokollausgaben der Anwendung werden nicht gesichert.

Abwehr von Angriffen und Missbrauch

Dasselbe Zugriffsprotokoll wertet die quelloffene Sicherheitssoftware CrowdSec auf demselben Server automatisch aus. Sie erkennt Muster wie massenhafte Anmeldeversuche oder das Abklopfen bekannter Sicherheitslücken und entscheidet dabei anhand der IP-Adresse: Eine auffällige Adresse wird für 96 Stunden gesperrt, ein auffälliger Adressbereich für 24 Stunden. Diese Auswertung nach IP-Adresse ist ein eigener Zweck neben der Bereitstellung der Website.

IP-Adressen, von denen Angriffe ausgehen, werden zusätzlich an die CrowdSec SAS (Frankreich) gemeldet und fließen dort in eine gemeinsam genutzte Sperrliste ein. Gemeldet werden ausschließlich Adressen, die als Angreifer aufgefallen sind; die normale Nutzung dieser Seite wird nicht gemeldet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der IT-Sicherheit). Eine Sperre läuft von selbst wieder aus; hältst du sie für unberechtigt, schreib an die oben genannte Adresse.

Reichweitenmessung mit tally

Um zu sehen, wie viele Menschen diese Website nutzen und welche Seiten gelesen werden, wird die selbst entwickelte Software „tally“ auf eigener Infrastruktur betrieben, auf einem Server der Hetzner Online GmbH in Deutschland (Adresse t.cgoetze.de). Es ist kein fremder Dienst eingebunden; die Daten der Reichweitenmessung werden an keine Dritten weitergegeben. Hetzner stellt den Server als Auftragsverarbeiter bereit (siehe „Hosting und Server-Logfiles“).

Beim Aufruf einer Seite lädt dein Browser ein kleines Skript von t.cgoetze.de und schickt danach eine kurze Meldung dorthin, bei jedem Seitenwechsel innerhalb dieser Website eine weitere. Die Meldung enthält nur: das Kürzel dieser Website, den Pfad der aufgerufenen Seite ohne Parameter und ohne Sprungmarke (also etwa „/impressum“, nie den Teil nach „?“ oder „#“), die Adresse der Website, von der du gekommen bist, ohne Pfad (etwa „https://www.google.com“) und nur soweit dein Browser sie mitteilt, und — nur wenn die aufgerufene Adresse sie enthält — die Kampagnenangaben „utm_source“ und „utm_campaign“. Das Skript setzt keine Cookies, legt nichts im Speicher deines Browsers ab, liest nichts daraus und fragt keine Merkmale deines Geräts ab, etwa Bildschirmgröße, Schriftarten oder Erweiterungen.

Wie bei jedem Aufruf kommen mit der Meldung auch deine IP-Adresse und die Browserkennung (User-Agent) beim Server an. Die Reichweitenmessung verwendet die IP-Adresse nur im Arbeitsspeicher und nur für drei Zwecke, die im Folgenden beschrieben sind: das Land, die Tageskennung und den Schutz vor Überlastung. Die Reichweitenmessung selbst schreibt weder die IP-Adresse noch die Browserkennung noch die Tageskennung auf einen Datenträger und protokolliert sie nicht; zum Zugriffsprotokoll des Servers siehe unten.

Das Land wird aus der IP-Adresse mit einer Länderdatenbank bestimmt („IP to Country Lite“ von DB-IP), die als Datei auf demselben Server liegt. Dabei geht keine Anfrage an DB-IP oder einen anderen Dritten, und abgeleitet wird nur das Land, weder Region noch Ort.

Aus IP-Adresse, Browserkennung und dem Kürzel der Website bildet die Reichweitenmessung eine Tageskennung. Diese Kennung ist ein Hashwert, der mit einem geheimen Zufallswert gebildet wird; der Zufallswert existiert nur im Arbeitsspeicher und wird jede Nacht beim Tageswechsel (Mitternacht deutscher Zeit) und bei jedem Neustart des Dienstes durch einen neuen ersetzt. Deshalb lässt sich ein Besuch über diese Kennung nicht mit einem Besuch an einem anderen Tag verknüpfen, und ohne den Zufallswert, der den Arbeitsspeicher nie verlässt, lässt sich aus der Kennung nicht auf deine IP-Adresse schließen. Die Tageskennung dient nur dazu, dich innerhalb eines Tages weder für die ganze Website noch für eine einzelne Seite doppelt zu zählen, zu erkennen, welche Seitenaufrufe zum selben Besuch gehören (ein Besuch endet nach 30 Minuten ohne Seitenaufruf), und die Zahl der Besucher der letzten fünf Minuten anzuzeigen; diese Zahl wird nirgends gespeichert. Dafür hält die Reichweitenmessung im Arbeitsspeicher die Tageskennung, den Zeitpunkt deines letzten Seitenaufrufs, die Zahl der Seitenaufrufe im laufenden Besuch und für jede aufgerufene Seite einen weiteren, ebenso gebildeten Hashwert aus Tageskennung und Seite; all das wird zusammen mit dem Zufallswert verworfen.

Zum Schutz vor Überlastung nimmt der Dienst je Internetanschluss im Mittel höchstens 120 Meldungen pro Minute an. Auch diese Begrenzung rechnet nur im Arbeitsspeicher und nur mit einem Hashwert der IP-Adresse (bei IPv6-Adressen ihres vorderen Teils, der den Anschluss bezeichnet), der mit demselben Zufallswert gebildet und mit ihm verworfen wird, nie mit der Adresse selbst.

Die Browserkennung wird auf grobe Klassen verkürzt — Browserfamilie (etwa Firefox), Betriebssystemfamilie (etwa Android) und Gerätetyp (Computer, Smartphone oder Tablet) — und daraufhin geprüft, ob ein Programm statt eines Menschen anfragt; Meldungen solcher Programme werden verworfen. Von der Adresse der vorherigen Seite bleibt nur der Domainname übrig (etwa „google.com“); stammt sie von dieser Website selbst, wird sie ganz verworfen.

Gespeichert werden ausschließlich Tagessummen: für die ganze Website die Zahl der Seitenaufrufe, Besucher, Besuche und Besuche mit nur einer Seite, dazu Aufschlüsselungen nach Seite, Einstiegsseite, verweisender Domain, Art der Herkunft (direkt, Suchmaschine, soziales Netzwerk, andere Website, Kampagne), Kampagnenangabe, Land, Browserfamilie, Betriebssystemfamilie und Gerätetyp. Teile einer Seitenadresse, die wie eine automatisch erzeugte Kennung aussehen (etwa eine lange Folge aus Ziffern und Buchstaben), werden vor dem Zählen durch einen Platzhalter ersetzt. Es gibt keine Einzeldatensätze, keine Zeile je Besucher, keine IP-Adressen, keine Tageskennungen und keine Uhrzeiten — die kleinste Einheit ist der Kalendertag. Wer an zwei Tagen kommt, zählt deshalb als zwei Besucher: Die Reichweitenmessung bildet keine Kennung, die über den Tag hinaus besteht. An Tagen mit sehr wenigen Besuchen kann eine Tagessumme allerdings einen einzelnen Besuch beschreiben; wer weiß, dass du an diesem Tag hier warst, könnte daraus etwa ablesen, welche Seiten du aufgerufen hast.

Sendet dein Browser „Do Not Track“ oder „Global Privacy Control“, schickt das Skript keine Meldung (geladen wird es trotzdem; zum Zugriffsprotokoll siehe unten); kommt dennoch eine Meldung mit einem dieser Signale an, verwirft der Server sie. In der lokalen Entwicklung und auf anderen als den Produktionsadressen wird das Skript nicht geladen.

Nicht jeder Browser bietet diese Signale an. Du kannst die Messung auch abschalten, indem du die Adresse t.cgoetze.de blockierst, etwa mit einem Inhalts- oder Werbeblocker — die Seite funktioniert unverändert weiter.

Widerspruchsrecht: Du kannst der Reichweitenmessung jederzeit nach Art. 21 Abs. 1 DSGVO widersprechen, formlos per E-Mail oder per Post an die im Impressum genannten Kontaktdaten. Weil die Reichweitenmessung keine Kennung bildet, die über den Tag hinaus besteht, lässt sich ein Widerspruch nicht für deinen Browser vormerken; zuverlässig abschalten lässt sich die Messung über die oben genannten Signale oder indem du t.cgoetze.de blockierst. Bereits gespeicherte Tagessummen enthalten keine Kennung; welche Zahlen auf deine Besuche zurückgehen, lässt sich darin deshalb nicht feststellen (Art. 11 DSGVO).

Das Laden des Skripts und jede Meldung sind gewöhnliche Aufrufe dieses Servers und erscheinen deshalb wie jeder andere Aufruf mit IP-Adresse, Browserkennung und Zeitpunkt im Zugriffsprotokoll des Servers (siehe „Hosting und Server-Logfiles“). In diesen Einträgen steht als verweisende Seite nur die Adresse dieser Website ohne Pfad; der Pfad der aufgerufenen Seite steht nicht darin.

Speicherdauer: IP-Adresse und Browserkennung verwendet die Reichweitenmessung nur, während sie eine Meldung bearbeitet. Tageskennung, Hashwerte und der Zeitpunkt des letzten Seitenaufrufs werden beim Tageswechsel verworfen, spätestens wenige Sekunden nach Mitternacht. Die Aufschlüsselungen (nach Seite, Einstiegsseite, verweisender Domain, Art der Herkunft, Kampagnenangabe, Land, Browserfamilie, Betriebssystemfamilie und Gerätetyp) werden nach 25 Monaten gelöscht: Täglich werden alle Einträge entfernt, deren Tag mehr als 25 Monate zurückliegt. Die Tagessummen für die ganze Website (Seitenaufrufe, Besucher, Besuche und Besuche mit nur einer Seite) werden aufbewahrt, solange die Website betrieben wird, damit sich ihre Nutzung über die Jahre vergleichen lässt; wird die Website eingestellt, werden auch sie gelöscht. Diese Tagessummen enthalten keine Angaben zu Seiten, Herkunft, Land oder Gerät. Die Einträge im Zugriffsprotokoll des Servers (IP-Adresse, Browserkennung, Zeitpunkt, Adresse dieser Website) werden nach spätestens 31 Tagen gelöscht; nur Einträge, die zur Aufklärung eines konkreten Sicherheitsvorfalls gebraucht werden, können bis zu dessen Klärung länger aufbewahrt werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer datensparsamen Statistik über die Nutzung des Angebots und daran, diese Messung vor Überlastung und Verfälschung zu schützen; beim Zugriffsprotokoll berechtigtes Interesse am sicheren und störungsfreien Betrieb, siehe „Hosting und Server-Logfiles“). Eine Einwilligung nach § 25 Abs. 1 TDDDG wird nicht eingeholt, weil sie hier nicht für erforderlich gehalten wird: Das Skript legt nichts auf deinem Gerät ab. Es liest nur Angaben, die dein Browser beim Seitenaufruf ohnehin überträgt (die aufgerufene Adresse, die vorherige Seite und gegebenenfalls die Signale „Do Not Track“ und „Global Privacy Control“); außerdem prüft es, ob die Seite gerade nur im Hintergrund vorgeladen wird, damit sie erst gezählt wird, wenn du sie tatsächlich öffnest. Diese letzte Angabe verlässt dein Gerät nicht.

Bis zum 21. Oktober 2026 wurde für die Reichweitenmessung die Software Matomo eingesetzt. Aus den damit erfassten Daten wurden Tagessummen und Aufschlüsselungen der oben beschriebenen Art für bis zu zwölf Monate vor dem Wechsel in tally übernommen — keine IP-Adressen, keine Besucherkennungen und keine einzelnen Besuche. Für die übernommenen Zahlen gelten seitdem die oben genannten Speicherdauern. Das weicht von der früheren Angabe ab, nach der von den Tagesauswertungen nach zwölf Monaten nur Monats- und Jahreswerte erhalten geblieben wären; übernommen wurden die Zahlen, damit die Statistik über den Wechsel hinweg vergleichbar bleibt. Die Matomo-Daten selbst wurden spätestens am 30. Oktober 2026 gelöscht: die einzelnen Besuche mit gekürzter IP-Adresse, täglich wechselnder Besucherkennung, Zeitpunkt, aufgerufenen Seiten samt Adresse und Seitentitel, ungefährem Ort, Browser- und Gerätetyp, Spracheinstellung, verweisender Domain und Kampagnenangaben, die erfassten Klicks auf ausgehende Links und Downloads sowie die daraus gebildeten Berichte. Sicherungskopien, die sie noch enthalten, werden bis spätestens 14. November 2026 gelöscht. Ältere, noch im Browser zwischengespeicherte Fassungen dieser Website können eine Weile weiter Meldungen an die frühere Matomo-Adresse (matomo.cgoetze.de) schicken; dort werden sie ohne Auswertung verworfen und erscheinen nur in den Protokollen des Servers (siehe „Hosting und Server-Logfiles“).

Technische Nutzungszähler

Zur Überwachung des Betriebs zählt der Server anonyme, inhaltsfreie Ereignisse — etwa wie oft eine Woche gewürfelt oder eine Liste gedruckt wurde. Diese Zähler enthalten keine personenbezogenen Daten, keine IP-Adressen und nichts über die Gerichte oder Pläne einer einzelnen Person. Auch hier wird „Do Not Track“ respektiert.

Die Meldung selbst ist ein gewöhnlicher Aufruf dieses Servers und erscheint deshalb wie jeder andere im Zugriffsprotokoll (siehe „Hosting und Server-Logfiles“). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Kontaktaufnahme und Kontaktformular

Wenn du eine E-Mail an kontakt@wochentopf.de schreibst oder das Kontaktformular benutzt, werden die übermittelten Angaben zur Bearbeitung der Anfrage verarbeitet (Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Beantwortung von Anfragen). Über das Formular sind das dein Name, deine E-Mail-Adresse und der Text deiner Nachricht. Die Nachrichten werden gelöscht, sobald sie nicht mehr benötigt werden, spätestens sechs Monate nach abschließender Bearbeitung.

Zustellung: Nachrichten aus dem Kontaktformular werden über den E-Mail-Versanddienst rapidmail GmbH (Augustinerplatz 2, 79098 Freiburg im Breisgau, Deutschland) als Auftragsverarbeiterin zugestellt und gehen in einem Postfach bei der Proton AG (Genf, Schweiz) ein. Für die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Eine weitergehende Übermittlung in Drittländer außerhalb des EWR findet nicht statt.

Spamschutz (ALTCHA): Damit das Formular nicht von Maschinen missbraucht wird, löst dein Browser im Hintergrund eine kleine Rechenaufgabe (Proof of Work). Die dafür nötige Software läuft auf demselben Server wie diese Seite. Es werden dabei keine Cookies gesetzt, keine Daten an Dritte übermittelt und keine Informationen auf deinem Gerät gespeichert oder ausgelesen.

Dein Wochenplan und deine Rezepte erreichen keinen dieser Dienstleister — sie bleiben ausschließlich in deinem Browser. Ein Newsletter wird nicht versendet.

Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO). Außerdem besteht ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde.

Da deine Daten ausschließlich lokal gespeichert werden, liegen dem Betreiber zu einzelnen Personen in der Regel keine Daten vor, die Gegenstand einer Auskunft sein könnten.