Datenschutzerklärung

1. Überblick

release-log verwandelt ein GitHub-Repository in ein Release-Log. Diese Erklärung beschreibt, welche personenbezogenen Daten dabei anfallen, wozu sie verarbeitet werden und wie lange sie liegen bleiben.

Der Dienst kommt ohne Tracking aus: keine Analyse-Werkzeuge, keine Werbenetzwerke, keine Einbindung fremder Schriftarten oder CDNs, keine Weitergabe von Daten zu Werbezwecken. Es gibt deshalb auch keinen Cookie-Banner: Wer nur liest, bekommt gar kein Cookie, und die wenigen, die Anmeldung und Sprachwahl setzen, sind technisch notwendig (§ 25 Abs. 2 Nr. 2 TDDDG).

Öffentliche Release-Log-Seiten sind ohne Anmeldung lesbar. Erst wer sich anmeldet, hinterlässt ein Konto.

2. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website im Sinne des Art. 4 Nr. 7 DSGVO ist:

Ein Datenschutzbeauftragter ist nicht bestellt; die gesetzlichen Voraussetzungen des Art. 37 DSGVO bzw. § 38 BDSG liegen nicht vor.

Die vollständige Anbieterkennzeichnung nach § 5 DDG steht im Impressum unter /impressum.

3. Betrieb und Server-Logdateien

Der Dienst wird betrieben bei netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, Deutschland; der Server steht in Nürnberg, Deutschland. Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO liegt vor. Beim Aufruf einer Seite überträgt Ihr Browser technisch notwendige Daten (IP-Adresse, Zeitpunkt, angefragte Adresse, Statuscode, User-Agent), die beim Betrieb des Servers anfallen.

Die Anwendung selbst legt keine dauerhaften Zugriffsprotokolle an. Die IP-Adresse wird ausschließlich flüchtig im Arbeitsspeicher verwendet, um die Anfragen an der Client-Registrierung und der Token-Ausgabe zu begrenzen (Missbrauchsschutz); ein Neustart des Dienstes löscht diese Zähler vollständig. Ob und wie lange der Hosting-Anbieter darüber hinaus protokolliert, richtet sich nach dessen Datenschutzhinweisen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO: das berechtigte Interesse an einem technisch fehlerfreien und gegen Missbrauch geschützten Betrieb.

Die Verbindung ist durchgehend mit TLS verschlüsselt, erkennbar am „https://“ in der Adresszeile.

4. Cookies

Wer diese Seiten nur liest, bekommt kein einziges Cookie gesetzt — auch nicht beim Aufruf eines öffentlichen Release-Logs. Cookies entstehen ausschließlich durch eine Handlung, die Sie selbst auslösen: die Anmeldung und das Umschalten der Sprache.

Diese Cookies sind technisch notwendig und nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei, weil ohne sie die ausdrücklich gewünschte Funktion nicht möglich wäre. Rechtsgrundlage der damit verbundenen Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO (Anmeldung) bzw. Art. 6 Abs. 1 lit. f DSGVO (Sprachwahl, Schutz des Anmeldevorgangs).

• session — hält Sie angemeldet. Enthält Ihre Konto-Kennung und einen Ablaufzeitpunkt, mit einem Serverschlüssel signiert. Laufzeit 30 Tage, HttpOnly, Secure, SameSite=Lax.
• rl_lang — merkt sich die gewählte Sprache (Deutsch oder Englisch). Laufzeit ein Jahr, SameSite=Lax. Ohne dieses Cookie entscheidet der Accept-Language-Header Ihres Browsers.
• oauth_state und login_next — sichern den Anmeldevorgang gegen untergeschobene Anfragen (CSRF) und merken sich das Ziel nach der Anmeldung. Laufzeit 10 Minuten, nur für den Pfad /auth/github, HttpOnly, Secure.

Beim Abmelden wird das Sitzungs-Cookie sofort gelöscht. Sie können Cookies jederzeit in Ihrem Browser löschen oder blockieren; Anmeldung und Sprachwahl funktionieren dann nicht mehr.

5. Anmeldung über GitHub

Eine Anmeldung ist ausschließlich über ein GitHub-Konto möglich. Dabei werden Sie zu GitHub weitergeleitet und melden sich dort an; wir erhalten Ihr Passwort nicht.

Nach erfolgreicher Anmeldung speichern wir dauerhaft:

• Ihre GitHub-Nutzerkennung (numerische ID),
• Ihren GitHub-Anmeldenamen (Login),
• die Adresse Ihres Profilbildes bei GitHub,
• den Zeitpunkt der letzten Anmeldung.

Diese Daten sind nötig, um Ihr Konto wiederzuerkennen, Ihre Logs zuzuordnen und zu prüfen, ob Sie Schreibrechte am jeweiligen Repository haben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsverhältnisses).

Anbieter ist GitHub, Inc., 88 Colin P. Kelly Jr. Street, San Francisco, CA 94107, USA, ein Unternehmen von Microsoft. Mit dem Aufruf des Anmeldevorgangs werden Daten in die USA übermittelt. GitHub ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten die Standardvertragsklauseln der EU-Kommission. Datenschutzerklärung von GitHub: https://docs.github.com/site-policy/privacy-policies/github-general-privacy-statementhttps://docs.github.com/site-policy/privacy-policies/github-general-privacy-statement

Zusätzlich speichern wir Ihr persönliches GitHub-Zugriffstoken, verschlüsselt mit AES-256-GCM. Es wird für genau einen Zweck benutzt: ein neues Repository in Ihrem Namen anzulegen, wenn Sie das über „Neues Log" verlangen. Jeder andere Zugriff auf Repositorys läuft über die GitHub-App-Installation, nicht über Ihr Token.

6. Verbundene Clients (MCP / OAuth)

Sie können Programme (etwa einen MCP-Client) mit Ihrem Konto verbinden. Dabei speichern wir den vom Client gemeldeten Namen, seine Weiterleitungsadressen, den Zeitpunkt der Registrierung sowie die Gültigkeit und den Umfang der ausgegebenen Zugriffsrechte.

Die ausgegebenen Token selbst werden nicht gespeichert, sondern nur ihre Hashwerte: Was in der Datenbank steht, reicht zum Prüfen eines vorgelegten Tokens, nicht zum Benutzen. Autorisierungscodes verfallen nach 60 Sekunden, Upload-Erlaubnisse nach 10 Minuten.

Unter „Konto & Clients" können Sie jede Verbindung trennen; damit werden alle zugehörigen Token sofort widerrufen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

7. Inhalte aus Ihren Repositorys

Der Dienst liest die Dateien release-log.json, releases/*.json und den Ordner media/ aus den von Ihnen verbundenen Repositorys und legt sie in einem Index ab, um sie schnell ausliefern zu können. Gespeichert werden dabei Repository-Eigentümer und -Name, die GitHub-interne Repository-Kennung, die Inhalte der Releases, hochgeladene Bilder sowie Fehlermeldungen aus der Verarbeitung.

Ob dieser Inhalt personenbezogene Daten enthält — etwa Namen von Mitwirkenden — entscheiden Sie als Autor des Repositorys. Ein Log mit der Sichtbarkeit „öffentlich" ist über eine öffentliche Adresse und über die öffentliche JSON-Schnittstelle für jeden abrufbar und kann von Suchmaschinen erfasst werden. Veröffentlichen Sie dort keine Daten, die nicht öffentlich sein sollen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; die Veröffentlichung erfolgt auf Ihre Veranlassung.

8. Speicherdauer

• Kontodaten: bis zur Löschung des Kontos (siehe Abschnitt 10).
• Verschlüsseltes GitHub-Token: bis zur Löschung des Kontos oder bis Sie den Zugriff bei GitHub entziehen.
• Indexierte Log-Inhalte: bis das Log gelöscht wird. Wird ein Repository entfernt, wird das Log eingefroren — der letzte Stand bleibt gespeichert und wird weiter ausgeliefert, bis Sie die Löschung verlangen.
• Token-Hashes verbundener Clients: bis zum Ablauf oder Widerruf.
• Rate-Limit-Zähler mit IP-Adresse: nur im Arbeitsspeicher, längstens bis zum nächsten Neustart des Dienstes.

9. Empfänger

Eine Weitergabe an Dritte findet nicht statt, ausgenommen:

• GitHub, Inc. — für Anmeldung, Lesen und Schreiben in Ihren Repositorys (siehe Abschnitt 5),
• der Hosting-Anbieter als Auftragsverarbeiter nach Art. 28 DSGVO (siehe Abschnitt 3),
• jedermann — soweit Sie ein Log ausdrücklich öffentlich stellen (siehe Abschnitt 7).

Eine Verarbeitung zu Werbezwecken, ein Verkauf von Daten oder eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt.

10. Ihre Rechte

Sie haben jederzeit das Recht auf:

• Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit in einem gängigen Format (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen (Art. 21 DSGVO),
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Zur Ausübung genügt eine formlose Nachricht an die in Abschnitt 2 genannte Adresse. Eine Löschung Ihres Kontos ist derzeit nicht als Schaltfläche in der Oberfläche umgesetzt; wir löschen Konto, gespeichertes Token und indexierte Logs auf Anfrage. Unabhängig davon können Sie die Verbindung jederzeit selbst beenden, indem Sie unter „Konto & Clients" die verbundenen Clients trennen und die GitHub-App in Ihren GitHub-Einstellungen deinstallieren.

Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen die DSGVO verstößt, steht Ihnen unbeschadet anderer Rechtsbehelfe ein Beschwerderecht bei einer Aufsichtsbehörde zu (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Zuständig für den Verantwortlichen ist: Thüringer Landesbeauftragter für den Datenschutz und die Informationsfreiheit (TLfDI), Häßlerstraße 8, 99096 Erfurt, https://www.tlfdi.de.

11. Änderungen dieser Erklärung

Diese Erklärung wird angepasst, sobald sich die beschriebene Verarbeitung ändert. Es gilt die jeweils hier veröffentlichte Fassung.