Datenschutzerklärung

Welche Daten beim Besuch dieser Website und bei der Nutzung von Zitierfest verarbeitet werden, wozu und wie lange.

1. Verantwortlicher

Fabian Baur, Adolf-Schmetzer-Straße 16, 93055 Regensburg
E-Mail: kontakt [at] zitierfest.de

2. Hosting

Website und MCP-Server laufen auf einem Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, im Rechenzentrum Nürnberg, Deutschland. Hetzner verarbeitet die Daten als Auftragsverarbeiter (Art. 28 DSGVO). Zu Ihren Anfragen speichern wir keine IP-Adressen, auch nicht in Zugriffs- oder Fehlerprotokollen des Webservers. Ausgenommen sind Sicherheitsprotokolle des Servers: Firewall und Schutzsoftware gegen Angriffe protokollieren abgewiesene oder auffällige Verbindungen mit IP-Adresse; diese Protokolle werden nach etwa vier Wochen gelöscht. Zur Abwehr von Überlastung und Missbrauch zählt der Server Anfragen je IP-Adresse nur im Arbeitsspeicher mit, höchstens einen Tag lang (etwa für die Begrenzung von Anmelde-E-Mails oder von Aufrufen ohne Zugangsdaten); diese Zähler werden laufend verworfen (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse: sicherer Betrieb). Schriftarten werden vom eigenen Server ausgeliefert; es besteht keine Verbindung zu Google oder anderen Drittanbietern.

Reichweitenmessung

Um zu erfahren, welche Seiten gelesen werden, zählen wir Seitenaufrufe mit Umami. Umami läuft auf demselben Server in Deutschland; es werden keine Daten an Dritte übermittelt und keine Cookies gesetzt. Übertragen werden nur die aufgerufene Seite (ohne Suchparameter), ihr Titel und die verweisende Seite. Außerdem zählen wir Klicks auf einzelne Schaltflächen (etwa „Kostenlos verbinden“, „Kopieren“, die Wahl der KI in der Anleitung) mit einem festen Namen des Ereignisses; kopierte oder eingegebene Texte werden dabei nicht übertragen. Bildschirmgröße und Sprache entfernen wir vor dem Senden. Aus IP-Adresse und Browserkennung bildet Umami eine Kennung, deren Zufallsanteil regelmäßig wechselt; die IP-Adresse selbst wird nicht gespeichert. Gemessen werden auch die Seiten der Anmeldung, damit wir Fehler im Anmeldeablauf erkennen; Anmeldecodes und Links aus E-Mails werden dabei nicht übertragen. Ist in Ihrem Browser „Do Not Track“ aktiviert, findet keine Messung statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer bedarfsgerechten Website).

3. Benutzerkonto und Anmeldung

Für ein Konto speichern wir Ihre E-Mail-Adresse, den Zeitpunkt der Registrierung und der letzten Anmeldung sowie Ihre API-Schlüssel. Von einem Schlüssel wird nur ein nicht umkehrbarer Hashwert gespeichert, nicht der Schlüssel selbst. Die Anmeldung erfolgt über einen Code oder Link per E-Mail. Dabei setzen wir nur technisch erforderliche Cookies: für die Sitzung (30 Tage) und zum Schutz vor gefälschten Anfragen (§ 25 Abs. 2 Nr. 2 TDDDG). Weitere Cookies gibt es nicht.

Wenn Sie „Mit Google fortfahren“ wählen, übermittelt Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) uns Ihre E-Mail-Adresse, Ihren Namen und Ihr Profilbild; gespeichert wird zusätzlich die Google-Kontokennung zur Wiedererkennung. Welche Daten Google dabei verarbeitet, regelt die Datenschutzerklärung von Google.

Verbinden Sie eine Anwendung wie Claude über den Anmeldedialog, speichern wir die Freigabe (Name der Anwendung, Zeitpunkt) und Hashwerte der ausgegebenen Zugriffstoken. Die Anwendung erhält keine Kontodaten, nur die Berechtigung, Zitierfest in Ihrem Namen zu nutzen. Freigaben können Sie unter „Mein Konto“ jederzeit widerrufen.

Kommen Sie über einen Link mit Herkunftskennung (etwa „?ref=newsletter“) zur Registrierung, speichern wir diese Kennung an Ihrem Konto. Freiwillig können Sie unter „Mein Konto“ angeben, wie Sie von Zitierfest erfahren haben (Auswahl aus festen Antworten). Beides werten wir nur gezählt aus, um zu erfahren, welche Wege zu Zitierfest führen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an dieser Auswertung); gelöscht wird beides mit dem Konto.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Kontos). Die Daten werden gelöscht, sobald Sie Ihr Konto löschen; das können Sie jederzeit selbst unter „Mein Konto“ tun. In unseren verschlüsselt übertragenen Sicherungskopien bleiben sie danach noch bis zu 60 Tage erhalten und werden dann automatisch überschrieben. Sitzungen und Anmeldecodes sind in den Sicherungen nicht enthalten.

4. Nutzung des MCP-Servers: Inhalte von Anfragen

Bei der Nutzung über einen KI-Assistenten verarbeiten wir die an Zitierfest übermittelte Anfrage. Je Werkzeug-Aufruf protokolliert der Server: Zeitpunkt, Name des Werkzeugs, die übergebenen Angaben (gekürzt auf 500 Zeichen), also etwa die abgerufene Vorschrift oder Entscheidung, ein Aktenzeichen oder Suchbegriffe, außerdem Ergebnisstatus, Größe der Antwort, Dauer und Ihre Konto-Kennung (die Kennung Ihres API-Schlüssels bzw. Ihrer verbundenen Anwendung) sowie technische Angaben zur Verarbeitung: Dauer einzelner Verarbeitungsschritte, Server-Instanz, Zahl gleichzeitiger Aufrufe, Ihre Nutzergruppe und den Namen des aufrufenden Programms aus dem User-Agent (etwa „Claude-User“, ohne Versions- oder Gerätedaten). Darüber sind die Einträge Ihrem Konto zugeordnet; Sie sehen die Auswertung unter „Mein Konto“. Den übrigen Inhalt Ihres Chats mit Claude oder einem anderen KI-Assistenten erhalten wir nicht. Nicht gespeichert werden außerdem IP-Adressen und die Antworten.

Bei Suchen speichert der Server zusätzlich die Kennungen der angezeigten Treffer (Normen wie „BGB/823“ bzw. Dokumentnummern von Entscheidungen, höchstens zehn) und Kennzahlen der Suche wie die Zahl der Suchbegriffe und die Rechenzeit, bei Abrufen die Kennungen der abgerufenen Normen bzw. Entscheidungen. Suchtexte stehen darin nicht. Daraus messen wir, ob die Suche passende Treffer liefert (etwa: wurde ein Treffer anschließend abgerufen, und auf welchem Platz stand er).

Für Konten der Gruppe „Pro“ speichert der Server keine übergebenen Angaben: weder Suchbegriffe noch Vorschriften, Entscheidungen, Aktenzeichen oder andere Eingaben, auch nicht in Fehlermeldungen oder in der Liste nicht gefundener Gesetze. Protokolliert werden dann nur Zeitpunkt, Name des Werkzeugs, die Namen der genutzten Parameter (ohne Inhalt), Ergebnisstatus samt Fehlerart, Größe der Antwort, Trefferzahl, Dauer, die Konto-Kennung und die oben genannten technischen Angaben, ohne Kennungen von Treffern und abgerufenen Normen oder Entscheidungen.

Zweck: Bereitstellung des Dienstes, Durchsetzung des Tageskontingents, Fehleranalyse und Verbesserung des Bestands (etwa fehlende Gesetze erkennen) und der Suche sowie Abwehr von Missbrauch. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Bereitstellung einschließlich des Tageskontingents und Art. 6 Abs. 1 lit. f DSGVO für Fehleranalyse, Verbesserung und Missbrauchsabwehr; das berechtigte Interesse liegt in diesen Zwecken. Zu diesen Zwecken sieht der Betreiber die Einträge auch einzeln ein, einschließlich der Suchbegriffe; Ihr Konto erscheint dabei nur als tageweise wechselndes Kürzel ohne E-Mail-Adresse. Eine Weitergabe an Dritte findet nicht statt.

Zugriffe ohne gültige Zugangsdaten weist der Server ab. Dabei protokolliert er zusätzlich den Grund der Abweisung (etwa fehlende oder ungültige Zugangsdaten), die Art der vorgelegten Zugangsdaten (etwa API-Schlüssel oder Zugriffstoken, nicht die Zugangsdaten selbst), die HTTP-Methode und den auf 120 Zeichen gekürzten User-Agent, also die Kennung des aufrufenden Programms, ebenfalls ohne IP-Adresse. Das dient dazu, Missbrauch zu erkennen und Fehler bei der Anmeldung zu finden.

Speicherdauer: Abgewiesene Zugriffe werden je Minute zusammengefasst und nach 30 Tagen automatisch gelöscht, alle übrigen Protokolleinträge dieses Abschnitts nach 90 Tagen.

Claude ist ein Angebot der Anthropic PBC. Welche Daten Anthropic bei der Nutzung von Claude verarbeitet, richtet sich nach deren Datenschutzbestimmungen. Verbinden Sie Zitierfest mit einem anderen Client, etwa ChatGPT (OpenAI) oder Cursor, gelten für dessen Verarbeitung die Bestimmungen des jeweiligen Anbieters.

Fehlermeldungen

Melden Sie über die Funktion „Fehler melden“ einen Fehler, speichern wir Ihre Beschreibung (höchstens 500 Zeichen), das betroffene Gesetz und die betroffene Vorschrift, den Zeitpunkt und Ihre Konto-Kennung, um den Fehler zu prüfen und zu beheben. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Löschung spätestens nach 365 Tagen.

5. E-Mail-Versand über Resend

Anmeldecodes, die Willkommensmail nach der Registrierung und Newsletter versenden wir über Resend (Resend, Inc., USA) als Auftragsverarbeiter. Dabei werden Ihre E-Mail-Adresse und der Inhalt der E-Mail an Resend übermittelt. Der Versand läuft über Server in der EU (Irland). Da Resend ein US-Unternehmen ist, kann ein Zugriff aus den USA nicht ausgeschlossen werden; Resend ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission, Art. 45 DSGVO); zusätzlich sind im Auftragsverarbeitungsvertrag die EU-Standardvertragsklauseln vereinbart (Art. 46 Abs. 2 lit. c DSGVO). Öffnungen und Klicks werden nicht erfasst.

Der Newsletter informiert über neue Gesetze, neue Funktionen und wichtige Änderungen am Dienst. Haben Sie ein Konto, fragen wir Sie außerdem einmalig eine Woche nach der Registrierung per E-Mail, was Ihnen fehlt; Ihre Antwort nutzen wir nur, um den Dienst zu verbessern. Anmelden können Sie sich auf der Newsletter-Seite, mit dem Häkchen bei der Registrierung oder unter „Mein Konto“. Beim Häkchen merken wir uns die Adresse bis zur erfolgreichen Anmeldung, höchstens eine Stunde, und senden erst dann die Bestätigungsmail.

Für den Newsletter speichern wir Ihre E-Mail-Adresse sowie Zeitpunkt der Anmeldung und der Bestätigung (Double-Opt-in), um die Einwilligung nachweisen zu können, und bei Konten den Zeitpunkt der Rückfrage, damit sie nur einmal kommt. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit über den Abmeldelink in jeder E-Mail oder unter „Mein Konto“ widerrufen können. Bestätigte Adressen werden in die Empfängerliste bei Resend übernommen. Nach der Abmeldung wird die Adresse aus dem Verteiler entfernt; der Nachweis der früheren Einwilligung kann bis zu drei Jahre aufbewahrt werden.

7. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO). Eine formlose E-Mail an die oben genannte Adresse genügt.

Sie können sich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren, etwa beim Bayerischen Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

Stand: Oktober 2026 · Siehe auch Nutzungsbedingungen