Datenschutz · reefnotes

Stand: 6. Oktober 2026

1. Auf einen Blick

reefnotes ist ein kostenloses Aquarien-Logbuch und ein privates Hobbyprojekt. Alles läuft auf einem einzigen, selbst betriebenen Server in Deutschland: Website, Datenbank, E-Mail-Versand und Besucherstatistik. Wir setzen keine Cookies, binden keine Dienste Dritter ein (keine Schriftarten-, Video- oder Kartendienste, keine Werbung, keine Tracker) und verkaufen keine Daten.

Diese Erklärung beschreibt, welche personenbezogenen Daten dabei anfallen, wozu, auf welcher Rechtsgrundlage und wie lange wir sie speichern.

2. Verantwortlicher

Rafael Fuchs
Dachauer Str. 312
80993 München
E-Mail: webmaster@foxigit.com
Kontaktformular: reefnotes.com/de/contact

Ein Datenschutzbeauftragter ist nicht benannt, da hierzu keine gesetzliche Pflicht besteht.

3. Hosting

Die Website läuft auf einem Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, in deren Rechenzentrum in Nürnberg. Auf diesem Server betreiben wir alle Bestandteile von reefnotes selbst: Webserver, Anwendung, Datenbank, Mailserver und die Besucherstatistik. Hetzner stellt nur die Hardware und den Netzanschluss bereit; mit Hetzner besteht ein Vertrag über Auftragsverarbeitung nach Art. 28 DSGVO. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und zuverlässigen Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Von der Datenbank erstellen wir täglich eine Sicherungskopie auf demselben Server. Sicherungen werden nach 14 Tagen automatisch gelöscht; gelöschte Daten verschwinden also spätestens 14 Tage nach der Löschung auch aus den Sicherungen.

4. Beim Besuch der Website

Server-Logdateien

Bei jedem Abruf einer Seite oder Datei speichert unser Webserver: IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, den HTTP-Statuscode, die übertragene Datenmenge, die zuvor besuchte Seite (Referrer) und die Browserkennung (User-Agent). Wir nutzen diese Daten, um Fehler zu finden, Angriffe abzuwehren (automatische Sperre von IP-Adressen nach wiederholten Fehlversuchen) und eine wöchentliche, rein zahlenmäßige Zugriffsstatistik zu erstellen, die keine IP-Adressen enthält.

Die Logdateien werden wöchentlich gewechselt und nach vier Wochen gelöscht. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und fehlerfreien Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Anwendungsprotokolle

Die Anwendung selbst protokolliert Anfragen an ihre Schnittstelle (Zeitpunkt, Methode, Adresse, Statuscode, Antwortzeit, IP-Adresse und Browserkennung) sowie Fehler. Anmeldedaten, Passwörter und Anmelde-Token werden dabei nicht protokolliert; bei E-Mails halten wir nur die Domain des Empfängers fest. Diese Protokolle werden nach 30 Tagen automatisch gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Fehlersuche und Sicherheit).

Speicherung im Browser

Wir setzen keine Cookies. Einige Einstellungen legt die Website im lokalen Speicher Ihres Browsers (localStorage) ab, damit sie beim nächsten Besuch noch da sind. Diese Daten verlassen Ihr Gerät nicht — mit Ausnahme des Anmelde-Tokens, das bei jeder Anfrage an unseren Server mitgeschickt wird:

Anmeldung (reefnotes.token): ein signiertes Anmelde-Token (JSON Web Token) mit Ihrer Nutzerkennung, E-Mail-Adresse, Ihrem Namen und Ihrer Rolle. Es wird beim Abmelden gelöscht.
Sprache und Darstellung (reefnotes.locale, reefnotes.prefs.*): gewählte Sprache, Profi-Modus, gedimmte Ansicht, 12- oder 24-Stunden-Uhr.
Erledigte Hinweise (reefnotes.tour.*, reefnotes.sidekick.v1, reefnotes.session.*, reefnotes.advice.*, reefnotes.detail.lastSeen.*): ob Sie eine Einführung oder einen Hinweis schon gesehen oder weggeklickt haben und wann Sie ein Becken zuletzt angesehen haben, damit die App Ihnen nur Neues zeigt.
Update-Schutz (reefnotes.chunkReload): verhindert, dass die Seite nach einem Update in einer Neulade-Schleife hängt.

Außerdem speichert ein sogenannter Service Worker die Programmdateien der Website (Skripte, Stylesheets, Schriften, Bilder) im Browser-Cache, damit sie schneller laden und Updates zuverlässig ankommen. Persönliche Daten liegen darin nicht.

All das ist für die von Ihnen genutzten Funktionen unbedingt erforderlich und daher nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung zulässig. Sie können den Speicher jederzeit in den Einstellungen Ihres Browsers löschen; danach müssen Sie sich neu anmelden.

Besucherstatistik mit Umami

Um zu verstehen, welche Seiten und Funktionen genutzt werden, setzen wir die Open-Source-Software Umami ein. Wir betreiben sie selbst auf unserem Server; das Messskript wird von unserer eigenen Domain geladen, Daten gehen an niemanden sonst. Umami setzt keine Cookies und speichert nichts auf Ihrem Gerät.

Bei jedem Seitenaufruf werden verarbeitet: die aufgerufene Seite (ohne Zugangs- oder Bestätigungscodes aus der Adresse), die zuvor besuchte Seite, Browser, Betriebssystem, Gerätetyp, Bildschirmgröße, Sprache und der ungefähre Standort (Land, Region, Stadt), der beim Aufruf aus der IP-Adresse abgeleitet wird. Zusätzlich zählen wir einzelne Aktionen, etwa Klicks auf Schaltflächen, Schritte bei der Einrichtung eines Beckens oder Fehlermeldungen. Diesen Zählungen geben wir nur grobe Merkmale mit: ob jemand angemeldet ist, die gewählte Erfahrungsstufe, die Zahl der Becken (0, 1 oder mehr) und die Sprache. Namen, E-Mail-Adressen, Nutzer- oder Beckenkennungen und eingegebene Inhalte werden nie übermittelt; Besuche werden nicht mit Ihrem Konto verknüpft.

Die IP-Adresse wird nicht gespeichert. Umami bildet aus ihr, der Browserkennung und einem monatlich wechselnden Zufallswert eine Kennung, mit der sich Seitenaufrufe desselben Besuchs zusammenfassen lassen. Nach dem Monatswechsel lässt sich diese Kennung auch von uns nicht mehr nachbilden. Wir werten die Daten nur zusammengefasst aus.

Rechtsgrundlage ist unser berechtigtes Interesse, das Angebot anhand seiner tatsächlichen Nutzung zu verbessern (Art. 6 Abs. 1 lit. f DSGVO). Browser mit aktiviertem „Do Not Track“ werden nicht gezählt. Sie können der Messung außerdem jederzeit widersprechen, indem Sie sie unten auf dieser Seite für Ihren Browser ausschalten.

5. Ihr Konto

Registrierung

Für ein Konto benötigen wir Ihre E-Mail-Adresse und ein Passwort; einen Namen können Sie freiwillig angeben. Wir speichern außerdem die Sprache, in der Sie sich registriert haben (für E-Mails), und den Zeitpunkt der Registrierung. reefnotes richtet sich an Personen ab 16 Jahren; Jüngere brauchen die Zustimmung eines Erziehungsberechtigten (Art. 8 DSGVO). Eine Altersprüfung findet nicht statt. Rechtsgrundlage ist die Erfüllung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO); Näheres in den Nutzungsbedingungen.

Schutz vor Missbrauch: Sobald Sie das Formular ausfüllen, holt es ein an Ihre IP-Adresse gebundenes Prüf-Token ab; es wird nicht gespeichert und verfällt nach einer Stunde. Ein für Menschen unsichtbares Zusatzfeld hilft, automatisierte Anmeldungen zu erkennen. Zusätzlich begrenzen wir die Zahl der Anfragen je IP-Adresse; diese Zähler liegen nur im Arbeitsspeicher und verfallen nach spätestens einer Stunde. Bei jeder neuen Registrierung erhält der Betreiber eine E-Mail mit E-Mail-Adresse, Name, Sprache, IP-Adresse und Browserkennung, um missbräuchliche Anmeldungen (etwa mit fremden E-Mail-Adressen) schnell zu erkennen. Konten, die missbräuchlich angelegt wurden, können wir sperren. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Dienst und am Schutz Dritter (Art. 6 Abs. 1 lit. f DSGVO).

Bestätigung der E-Mail-Adresse

Nach der Registrierung schicken wir Ihnen einen Bestätigungslink, der 24 Stunden gültig ist. Sie können reefnotes sieben Tage lang auch ohne Bestätigung nutzen; danach ist die Bestätigung Voraussetzung für die weitere Anmeldung. Konten, die nie bestätigt wurden und kein Becken enthalten, löschen wir nach 30 Tagen automatisch.

Anmeldung und Sitzungen

Ihr Passwort speichern wir nie im Klartext, sondern nur als kryptografischen Hash (PBKDF2 mit HMAC-SHA-512 und individuellem Salt). Bei der Anmeldung legen wir eine Sitzung an: eine zufällige Sitzungskennung, Ausstellungs- und Ablaufzeitpunkt, IP-Adresse und Browserkennung. So können Sie sich von allen Geräten abmelden, und wir können kompromittierte Sitzungen sperren. Eine Sitzung gilt eine Stunde, mit „Angemeldet bleiben“ 30 Tage. Abgelaufene oder beendete Sitzungen löschen wir nach sieben Tagen.

Jeden Anmeldeversuch protokollieren wir mit Zeitpunkt, angegebener E-Mail-Adresse, Erfolg oder Misserfolg, IP-Adresse und Browserkennung, um Angriffe auf Konten zu erkennen. Diese Einträge werden nach 90 Tagen gelöscht. Links zum Zurücksetzen des Passworts gelten 30 Minuten; danach werden alle bestehenden Sitzungen beendet.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für das Anmeldeprotokoll unser berechtigtes Interesse an der Sicherheit der Konten (Art. 6 Abs. 1 lit. f DSGVO).

Nutzungszeitpunkt und Meilensteine

Wir speichern, wann Sie die App zuletzt genutzt haben (höchstens einmal pro Stunde aktualisiert). Damit sehen wir, wie viele Konten aktiv sind, und entscheiden, ob jemand die einmalige Nachfrage aus Abschnitt 6 erhält. Erreichte Meilensteine (etwa „100 Messungen“) speichern wir mit dem Datum, an dem Sie sie erreicht haben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO.

Profil und öffentliche Seiten

Freiwillig können Sie ein Profilbild, eine Kurzbiografie, einen Standort, eine Zeitzone, eine Erfahrungsstufe und einen öffentlichen Benutzernamen (Handle) hinterlegen. Profilbilder werden auf 512×512 Pixel verkleinert und als WebP gespeichert.

Ihr Konto und jedes Becken sind standardmäßig privat. Erst wenn Sie ein Handle vergeben, ist Ihr Profil unter reefnotes.com/{sprache}/u/{handle} öffentlich: mit Handle, Anzeigename, Profilbild, Kurzbiografie, Standort, Erfahrungsstufe und Ihren öffentlich geschalteten Becken. Ein Becken schalten Sie einzeln über „Teilen“ frei; dann sind Name, Volumen, Wassertyp, Fotos, die letzten Messwerte, der Verlauf eines Leitwerts, Wasserwechsel und Düngungen der letzten 18 Monate sowie ein daraus berechneter Steckbrief öffentlich. Standort des Beckens, Leitungswasserprofil, Geräte, Besatzliste und Notizen bleiben privat. Für das Teilen in sozialen Netzwerken erzeugt unser Server aus denselben öffentlichen Angaben ein Vorschaubild.

Öffentliche Seiten sind für jeden ohne Anmeldung abrufbar und können von Suchmaschinen gefunden werden, wenn sie irgendwo verlinkt sind; in unsere Sitemap nehmen wir sie nicht auf. Rechtsgrundlage ist Ihre Einwilligung, die Sie durch das Vergeben des Handles bzw. das Umlegen des Schalters erteilen (Art. 6 Abs. 1 lit. a DSGVO). Sie können beides jederzeit zurücknehmen; die Seiten sind dann sofort nicht mehr erreichbar.

6. E-Mails

Alle E-Mails verschicken wir über unseren eigenen Mailserver auf demselben Server; kein externer Versanddienst ist beteiligt. Die Protokolle des Mailservers (Absender, Empfänger, Zeitpunkt, Zustellstatus) werden nach vier Wochen gelöscht.

Kontomails: Bestätigungslink, Passwort zurücksetzen, sicherheitsrelevante Hinweise. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Sonntagsausgabe: einmal pro Woche eine Zusammenfassung Ihrer eigenen Aquariendaten — Einträge der Woche, Bewegung der Messwerte, Ausblick, anstehende Aufgaben und erreichte Meilensteine. Sie enthält keine Werbung. Die Sonntagsausgabe ist Teil des Dienstes (Art. 6 Abs. 1 lit. b DSGVO); darauf weisen wir bei der Registrierung hin. Sie können sie jederzeit abbestellen: per Link in jeder Ausgabe (auch als Ein-Klick-Abmeldung im Mailprogramm) oder im Profil. Haben Sie acht Wochen lang nichts eingetragen, pausiert die Sonntagsausgabe, bis Sie wieder etwas eintragen. Die Ausgaben werden zusätzlich in der App archiviert, auch wenn Sie keine E-Mails mehr erhalten.
Einmalige Nachfrage: Haben Sie die App 14 Tage nicht genutzt, schicken wir Ihnen ein einziges Mal eine kurze Mail mit der Frage, was gefehlt hat. Antworten Sie per Klick, speichern wir den gewählten Grund und einen optionalen Kommentar. Rechtsgrundlage ist unser berechtigtes Interesse, reefnotes zu verbessern (Art. 6 Abs. 1 lit. f DSGVO). Wer die Sonntagsausgabe abbestellt hat, erhält diese Mail nicht; jede Nachfrage enthält einen Abmeldelink.

7. Kontakt

Kontaktformular

Über das Kontaktformular erreichen Sie uns ohne Konto. Wir verarbeiten Ihre E-Mail-Adresse, Ihren Namen (freiwillig) und Ihre Nachricht. Wie bei der Registrierung holt das Formular ein kurzlebiges, an Ihre IP-Adresse gebundenes Prüf-Token ab, und die Zahl der Nachrichten je IP-Adresse ist begrenzt; beides wird nicht gespeichert. Die Nachricht wird nicht in unserer Datenbank gespeichert, sondern als E-Mail an den Betreiber weitergeleitet.

Feedback in der App und E-Mail

Angemeldet können Sie uns über das Feedback-Formular schreiben. Mit Ihrer Nachricht (und einer optionalen Kategorie: Fehler, Idee, Frage, Sonstiges) übermitteln wir die gerade geöffnete Seite, die Browserkennung, Ihren Namen, Ihre E-Mail-Adresse und Ihre Nutzerkennung, damit wir antworten und den Fehler nachvollziehen können. Auch diese Nachrichten gehen nur per E-Mail an den Betreiber. Wenn Sie beim Löschen Ihres Kontos freiwillig einen Grund angeben, wird dieser mit Ihrem Namen und Ihrer E-Mail-Adresse ebenso weitergeleitet. Gleiches gilt, wenn Sie uns direkt per E-Mail schreiben.

Anfragen bewahren wir auf, bis sie erledigt sind, und löschen sie danach, sofern keine gesetzliche Aufbewahrungspflicht besteht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn die Anfrage Ihr Konto betrifft, sonst unser berechtigtes Interesse an der Beantwortung (Art. 6 Abs. 1 lit. f DSGVO).

8. Ihre Aquariendaten

In Ihrem Konto dokumentieren Sie Becken (Name, Volumen, Wassertyp, optional Standort, Leitungswasserprofil und Volumenberechnung), Messwerte, Wasserwechsel, Düngungen, wiederkehrende Aufgaben, Geräte, Besatz und Notizen. Diese Daten nutzen wir ausschließlich, um sie Ihnen anzuzeigen und daraus Verläufe, Prognosen, Hinweise und die Sonntagsausgabe zu berechnen (Art. 6 Abs. 1 lit. b DSGVO). Sie bleiben privat, solange Sie ein Becken nicht ausdrücklich teilen (Abschnitt 5).

Fotos: Je Becken können Sie ein Titelbild und bis zu 365 datierte Albumfotos mit Bildunterschrift hochladen. Wir verkleinern sie auf höchstens 1920×1080 Pixel, wandeln sie in WebP um und entfernen dabei alle Metadaten (insbesondere GPS-Koordinaten, Kameramodell und Aufnahmezeit). Für Albumfotos erzeugen wir zusätzlich ein kleines Vorschaubild. Gelöschte oder ersetzte Fotos entfernen wir sofort vom Server.

9. Öffentliche Inhalte und Rechner

Anleitungen, Parameterseiten und Rechner sind ohne Konto nutzbar. Eingaben in die Rechner werden ausschließlich in Ihrem Browser berechnet und nicht an unseren Server übertragen. Damit Suchmaschinen neue oder geänderte redaktionelle Seiten schneller finden, melden wir deren Adressen nach jeder Veröffentlichung über das IndexNow-Protokoll; dabei werden nur Seitenadressen übertragen, keine Daten über Besucher und keine Profil- oder Beckenseiten.

10. Konto löschen und Datenexport

Konto löschen

Sie können Ihr Konto jederzeit unter „Profil → Konto löschen“ entfernen (Art. 17 DSGVO). Standardmäßig löschen wir dabei alles: Profildaten, Sitzungen, Anmeldeprotokoll, alle Becken mit Messwerten, Ereignissen, Aufgaben, Geräten, Besatz und Notizen, alle Fotos, Meilensteine, Antworten auf die Nachfrage und alle Sonntagsausgaben.

Freiwillige Einwilligung: anonymisierte Messwerte behalten

Bei der Registrierung oder später unter „Profil → Privatsphäre“ können Sie freiwillig einwilligen, dass Ihre Messwerte nach einer Kontolöschung anonymisiert erhalten bleiben, um Trends und Prognosen zu verbessern und realistische Beispielbecken zu erstellen (Art. 6 Abs. 1 lit. a DSGVO). Mit dieser Einwilligung bleiben nach der Löschung nur:

die Messwerte und Ereignisse Ihrer Becken (Parameter, Wert, Zeitpunkt, Art und Menge von Wasserwechseln und Düngungen),
die Struktur der Becken (Volumen, Wassertyp, Leitungswasserprofil, Aufgabenrhythmen, Geräte und Besatz ohne Notizen),
ein ggf. per Klick gewählter Grund aus der Nachfrage (ohne Kommentar).

Gelöscht werden auch in diesem Fall: E-Mail-Adresse, Name, Handle, Profilangaben, Profilbild, Beckennamen, Beckenstandorte, sämtliche Notizen und Kommentare, alle Fotos, Meilensteine, Sonntagsausgaben, Sitzungen und das Anmeldeprotokoll; öffentliche Seiten werden abgeschaltet. Die übrigen Daten lassen sich keiner Person mehr zuordnen. Sie werden nicht weitergegeben und nicht verkauft. Ihre Einwilligung können Sie jederzeit im Profil widerrufen; löschen Sie danach Ihr Konto, wird alles entfernt.

Datenexport

Unter „Profil → Privatsphäre → Meine Daten herunterladen“ erhalten Sie jederzeit eine vollständige Kopie Ihrer Daten als JSON-Datei (Art. 15 und 20 DSGVO): Profil, Einwilligungen, Becken mit allen Einträgen und Foto-Angaben, Meilensteine, Antworten auf die Nachfrage, Sonntagsausgaben, Sitzungen und Anmeldeprotokoll. Die Bilddateien selbst schicken wir Ihnen auf Anfrage gern zu.

11. Instagram

Wir betreiben den Instagram-Auftritt @reef.notes. Anbieter ist die Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland. Wenn Sie unser Profil besuchen, ihm folgen oder mit Beiträgen interagieren, verarbeitet Meta Ihre Daten nach eigenen Regeln, auch in den USA (Meta ist nach dem EU-US Data Privacy Framework zertifiziert). Für die Statistiken, die Meta uns über die Nutzung des Profils bereitstellt (Insights), sind wir mit Meta gemeinsam verantwortlich (Art. 26 DSGVO); Meta hat hierzu eine Vereinbarung veröffentlicht und ist erste Anlaufstelle für Ihre Rechte. Wir erhalten nur zusammengefasste Statistiken, keine Daten über einzelne Besucher. Schreiben Sie uns auf Instagram, verarbeiten wir die Nachricht dort, um zu antworten. Rechtsgrundlage ist unser berechtigtes Interesse, reefnotes bekannt zu machen und erreichbar zu sein (Art. 6 Abs. 1 lit. f DSGVO). Mehr dazu in der Datenrichtlinie von Instagram.

12. Links zu anderen Anbietern

An einigen Stellen verlinken wir auf andere Anbieter. Es handelt sich um einfache Links: Erst wenn Sie einen davon anklicken, wird eine Verbindung zum jeweiligen Anbieter aufgebaut, und es gilt dessen Datenschutzerklärung.

Spenden über PayPal: Auf der Startseite gibt es einen freiwilligen Spendenlink zu PayPal (PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg; Datenschutzerklärung). Wir erfahren von einer Spende nur, was PayPal uns mitteilt (in der Regel Name, E-Mail-Adresse und Betrag) und nutzen diese Angaben nur, um uns zu bedanken und die Spende zu verbuchen.
Teilen auf X und Facebook: Die Teilen-Schaltflächen auf der Startseite sind normale Links zu X bzw. Facebook.
Instagram und foxigit.com (die private Website des Betreibers).

13. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Die meisten dieser Rechte können Sie direkt im Profil ausüben; für alles andere genügt eine Nachricht an uns.

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Sie können sich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, www.lda.bayern.de.

14. Sicherheit und Änderungen

Alle Verbindungen zu reefnotes sind per TLS verschlüsselt. Wenn sich reefnotes ändert, passen wir diese Erklärung an; das Datum oben zeigt den aktuellen Stand.