Datenschutzerklärung

1. Verantwortlicher

Leon Fleß, Egerlandstr. 8, 91301 Forchheim, Deutschland, E-Mail: leonfless@web.de. Siehe auch Impressum.

2. Überblick

xly.me ist ein Link-Shortener mit Zugang auf Anfrage. Wir speichern keine IP-Adressen in unserer Datenbank oder in eigenen Protokollen, setzen keine Tracking-Cookies ein und nutzen keine Analyse- oder Werbedienste. Das Aufrufen eines Kurzlinks setzt weder Cookies noch speichert es Daten im Browser.

3. Hosting und Cloudflare

Der Dienst läuft bei Cloudflare (Workers, D1-Datenbank, DNS, CDN, Sicherheitsfunktionen). Beim Aufruf verarbeitet Cloudflare technisch notwendige Verbindungsdaten (u. a. IP-Adresse, Browser-Informationen, Zeitpunkt), um die Seiten auszuliefern und den Dienst abzusichern. Mit Cloudflare besteht ein Auftragsverarbeitungsvertrag. Cloudflare ist ein US-Unternehmen; eine Übermittlung in Drittländer kann nicht ausgeschlossen werden und stützt sich auf die Garantien, die Cloudflare in seinem Auftragsverarbeitungsvertrag vorsieht (EU-Standardvertragsklauseln bzw. Zertifizierung unter dem EU-US Data Privacy Framework). Die Datenbank ist so eingerichtet, dass sie nach Möglichkeit in der EU gespeichert wird (Standortvorgabe der Region). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sicherer, effizienter Betrieb).

4. Aufruf der Seiten und von Kurzlinks

Beim Aufruf eines Kurzlinks leiten wir dich mit einer HTTP-Weiterleitung zum Ziel. Dabei verarbeiten Cloudflare und unser Dienst kurzzeitig deine IP-Adresse, den User-Agent, die Herkunftsseite (Referer) und das von Cloudflare ermittelte Land. Wir speichern daraus ausschließlich tägliche, aggregierte Zähler je Link: Anzahl der Aufrufe, grobe Gerätekategorie (mobil, Desktop, Bot/Link-Vorschau), die Domain der Herkunftsseite (nie die vollständige Adresse) und das Länderkürzel. Es werden keine IP-Adressen (auch nicht gehasht), keine User-Agents, keine Cookies und keine eindeutigen Besucher gespeichert. Die Zähler werden 24 Monate aufbewahrt und danach gelöscht. Sie sind für den jeweiligen Link-Besitzer und den Betreiber einsehbar. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Bereitstellung des Dienstes, Missbrauchserkennung, Auswertung für Link-Besitzer). Du kannst der Verarbeitung nach Art. 21 DSGVO widersprechen (siehe Ziffer 12).

5. Zugang anfragen

Im Anfrageformular erheben wir Name, E-Mail-Adresse und eine kurze Begründung, um über deinen Zugang zu entscheiden. Offene und abgelehnte Anfragen löschen wir nach 90 Tagen, freigegebene 90 Tage nach der Entscheidung. Zum Schutz vor automatisierten Anfragen nutzen wir ein verstecktes Feld, eine Begrenzung der Anfragezahl (ohne IP-Bezug) und Cloudflare Turnstile (Ziffer 6). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Maßnahmen auf Anfrage vor Vertragsschluss). Die Angabe ist freiwillig, ohne sie können wir keinen Zugang gewähren. Bei Freigabe erhältst du von uns persönlich einen einmaligen, zeitlich begrenzten Einladungslink.

6. Cloudflare Turnstile

Auf den Seiten „Zugang anfragen“ und „Link melden“ laden wir Cloudflare Turnstile, um Bots von Menschen zu unterscheiden. Dabei überträgt dein Browser Daten (u. a. IP-Adresse, Browser- und Geräteinformationen) direkt an Cloudflare; Cloudflare kann dabei Informationen im Browser abrufen oder ablegen. Unser Server prüft nur das Prüfergebnis und sendet deine IP-Adresse nicht an Cloudflare. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch), soweit auf Endgeräteinformationen zugegriffen wird § 25 Abs. 2 Nr. 2 TDDDG.

7. Konto, Passkey-Login und Sitzungen

Für freigegebene Nutzer speichern wir E-Mail-Adresse, Rolle, Status und die Daten deiner Passkeys (Kennung, öffentlicher Schlüssel, Zähler, Zeitpunkte). Es gibt keine Passwörter; der geheime Schlüssel verlässt dein Gerät nie. Nach der Anmeldung setzen wir ein Sitzungs-Cookie (__Host-sid, HttpOnly, Secure, SameSite=Strict), das nur für die Anmeldung erforderlich ist und deshalb keine Einwilligung benötigt (§ 25 Abs. 2 Nr. 2 TDDDG). Wir speichern nur einen Hash des Sitzungstokens. Sitzungen gelten 12 Stunden (Admin: 4 Stunden); du siehst deine aktiven Sitzungen im Dashboard und kannst sie beenden. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Das Konto bleibt bis zur Löschung bestehen; nie aktivierte Konten löschen wir nach 90 Tagen.

8. Links, Änderungsprotokoll und gesperrte Namen

Wir speichern deine Links (Ziel-URL, Name, Status, Ablaufdatum, Erstellzeit). Ziel-URL und Name sind nach dem Anlegen unveränderlich. Jede Änderung (Anlegen, Status, Ablaufdatum, Löschen, Sperren) wird in einem Änderungsprotokoll mit Zeitpunkt, handelndem Konto sowie altem und neuem Wert festgehalten (ohne IP-Adresse), um unbemerkte Manipulation zu verhindern; Aufbewahrung 12 Monate. Der Name eines gelöschten Links bleibt 90 Tage gesperrt, damit niemand ihn unmittelbar übernehmen kann. Rechtsgrundlagen: Art. 6 Abs. 1 lit. b (Links) und lit. f DSGVO (Protokoll, Schutz vor Missbrauch). Bitte gib in Ziel-URLs keine personenbezogenen Daten Dritter an.

9. Link melden

Im Meldeformular verarbeiten wir den gemeldeten Link, den Grund, deine Beschreibung und optional deine E-Mail-Adresse, um die Meldung zu prüfen und gegebenenfalls den Link zu sperren. Aufbewahrung bis zur Entscheidung und danach 180 Tage. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den Pflichten für Vermittlungsdienste, hilfsweise lit. f.

10. Sicherheit, Protokolle und Datensicherung

Wir führen keine eigenen Zugriffsprotokolle und haben die Protokollierung des Worker-Dienstes abgeschaltet. Zur Missbrauchsabwehr zählen wir Anfragen je Funktion in Zeitfenstern ohne IP-Bezug; diese Zähler werden nach 24 Stunden gelöscht. Cloudflare kann eigene Sicherheits- und Betriebsprotokolle führen (siehe Ziffer 3). Die Datenbank wird über die Wiederherstellungsfunktion von Cloudflare gesichert (Wiederherstellungspunkte werden für einen von Cloudflare festgelegten, begrenzten Zeitraum vorgehalten).

11. Empfänger

Empfänger deiner Daten sind Cloudflare als Auftragsverarbeiter sowie, bei einer Kontaktaufnahme per E-Mail, mein E-Mail-Anbieter (WEB.DE, Deutschland). Eine Weitergabe an sonstige Dritte findet nicht statt, außer wir sind gesetzlich dazu verpflichtet. Beim Anklicken eines Kurzlinks gelangst du auf die Seite des Link-Ziels; dort gilt dessen Datenschutzerklärung.

12. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO). Als Nutzer kannst du im Dashboard deine Daten als JSON exportieren und dein Konto samt aller Links, Statistiken und Sitzungen selbst löschen. In allen anderen Fällen schreibe an die E-Mail-Adresse im Impressum. Du hast außerdem das Recht, dich bei einer Datenschutzaufsichtsbehörde zu beschweren, zum Beispiel beim Bayerischen Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, www.lda.bayern.de.

13. Änderungen

Wir passen diese Erklärung an, wenn sich der Dienst oder die Rechtslage ändert. Stand: Oktober 2026.