Cookie-Richtlinie

Speichertechnologien und rechtliche Einordnung

Cookies sind kleine Textinformationen, die ein Browser einer Domain zuordnet. Local Storage bleibt grundsätzlich über das Schließen eines Tabs hinaus erhalten; Session Storage ist an den jeweiligen Tab bzw. die Browsersitzung gebunden. qasb verwendet derzeit vor allem diese beiden Web-Speicher. Das produktive Frontend legt selbst keine Werbe- oder Statistik-Cookies an.

Das Speichern oder Auslesen technisch nicht erforderlicher Informationen erfolgt nur nach Einwilligung gemäß § 25 Abs. 1 TDDDG. Für ausdrücklich angeforderte Funktionen gilt § 25 Abs. 2 TDDDG. Eine dortige Erforderlichkeit ist keine pauschale Datenschutz-Rechtsgrundlage; die anschließende Verarbeitung richtet sich zusätzlich nach der Datenschutz-Grundverordnung und den in der Datenschutzerklärung genannten Zwecken.

„Erforderlich“ bedeutet in der folgenden Inventur: Der Eintrag wird nur für eine vom Nutzer gewählte Funktion, für Anmeldung/Sicherheit oder zur verlässlichen Anwendung der Datenschutzentscheidung geschrieben. Ein bloßer erster Seitenaufruf schreibt keine Sprache, kein Design, keinen Karriereentwurf und keine Analyseabsicht vorab in den Browser.

Exakte Inventur des erreichbaren Browserspeichers

Die Namen entsprechen dem aktuellen Programmstand. „Browser“ als Empfänger bedeutet, dass der Eintrag zunächst nur im lokalen Ursprungs-Speicher liegt. Eine Übermittlung an qasb/Supabase erfolgt nur, wenn die bezeichnete Funktion den Wert für einen Serverabruf benötigt.

Die optionale Statistik erzeugt keine zusätzliche Nutzerkennung und keinen eigenen Statistik-Schlüssel im Browser. Browser-Erweiterungen, Browserhersteller oder Betriebssystemdienste können unabhängig von qasb eigene Speicherungen vornehmen; sie gehören nicht zu dieser qasb-Inventur.

Optionale, authentifizierte Tagesaggregate

qasb lädt kein Skript eines externen Statistik-Anbieters. Nach einer wirksamen Zustimmung sendet der qasb-Client ausschließlich fest vorgegebene Ereignisse an einen von qasb kontrollierten Supabase-Edge-Endpunkt unter https://gkbpozggufspxgpjshzw.supabase.co. Supabase ist dabei technischer Empfänger und Infrastruktur-Anbieter für qasb; die Datenschutzhinweise von Supabase sind die primäre Anbieterquelle.

Ein Ereignis wird nur gezählt, wenn gleichzeitig:

• der Browserbeleg Version 2026-08-31 ausdrücklich analytics: true enthält und höchstens 180 Tage alt ist,
• weder Do Not Track (DNT) noch Global Privacy Control (GPC) aktiv ist,
• Ereignis, normalisierte Routenvorlage und optionale Dimensionen auf einer festen, endlichen Positivliste stehen,
• eine echte, nicht anonyme Supabase-Nutzersitzung authentifiziert wurde und
• die Konto-Projektion dieselbe Version, Zustimmung und exakt denselben Entscheidungszeitpunkt enthält.

Anonyme öffentliche Ereignisse werden nicht aggregiert. Zähler für Seitenaufrufe und Schritte bis zur Anmeldung sind ausschließlich für eine feste Liste öffentlicher, nicht sensibler Routenvorlagen freigegeben. Zulässige Ereignisse sind Seitenaufruf, Startauftrag auf der Website, Beispielauswahl, Klick auf einen Beispiel-Button und Hilfeartikel-Aufruf; ihre endlichen Dimensionen sind Bereich, Tiefe, Beispiel und Hilfeartikel. Freitext, Suchtext, Supportnachricht, Vorgangsnummer und E-Mail-Adresse werden nicht übermittelt.

Zusätzlich kann qasb die Core Web Vitals LCP, INP und CLS auf einer Stichprobe messen. Dafür sind neben den öffentlichen Vorlagen nur fest vorgegebene, normalisierte App-Routenvorlagen zugelassen; konkrete Analyse-, Chat-, Artefakt- oder Berufs-IDs werden durch Platzhalter ersetzt. Gesendet werden Messwert, daraus deterministisch abgeleitete Bewertung („good“, „needs-improvement“, „poor“), Navigationstyp und die Angabe, ob es der abschließende Messstand ist. Login-, Admin-, private Freigabe-, Labor-, Datenschutzrechte-, Widerrufs-, Melde-, Kontakt-, Barrierefreiheits- und Supportpfade sowie Pfade mit sensiblen Token-Parametern sind ausgeschlossen.

Der Edge-Endpunkt verarbeitet den Nutzer-JWT und den exakten Entscheidungszeitpunkt nur, um Sitzung und aktuelle Konto-Zustimmung zu prüfen. Normale Verbindungsdaten können dabei technisch bei Supabase anfallen; für Hosting-/Sicherheitsprotokolle gelten die Angaben der Datenschutzerklärung. In der dauerhaft geschriebenen Statistik stehen ausschließlich UTC-Kalendertag, freigegebener Ereignisname, normalisierte Routenvorlage, die vier endlichen Dimensionsschlüssel und ein Zähler. Bei Core Web Vitals kommen Metrikname, Bewertung, Navigationstyp, Abschlusskennzeichen sowie Tagesanzahl, -summe, -minimum und -maximum des Messwerts hinzu. Dort stehen insbesondere keine Nutzer-ID, keine IP-Adresse, kein User-Agent, keine rohe URL, kein Query-String, kein Hash/Fragment, kein Referrer, kein JWT, kein Freitext, kein Payload und kein einzelner Ereignis- oder Entscheidungszeitstempel. Tagesaggregate werden höchstens 180 UTC-Kalendertage vorgehalten; ein täglicher Datenbankjob und die Schreibgrenze entfernen ältere Tage.

Rechtsgrundlage für die optionale Verarbeitung ist die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Ablehnen hat keine Nachteile für Anmeldung, Kernfunktionen, Leistungsumfang oder Preise.

Browserbeleg und getrennte Konto-Projektion

Der Browserbeleg ist gerätebezogen und enthält nur Version, Ja/Nein-Wert für Statistik und Entscheidungszeit. Er bleibt auf diesem Browser maßgeblich. Bei angemeldeten Nutzern synchronisiert qasb die Entscheidung zusätzlich in eine getrennte aktuelle Konto-Projektion mit Konto-ID, Version, Ja/Nein-Wert, Entscheidungszeit, Quelle und Serverzeit. Diese Projektion verhindert, dass ein Browserereignis mit einer veralteten oder auf einem anderen Gerät widerrufenen Entscheidung gezählt wird.

Daneben wird für Nachweis- und Konfliktzwecke ein unveränderlicher, kontogebundener Einwilligungsbeleg geführt. Er enthält eine zufällige Anfrage-ID, die Konto-ID (bis zur Kontolöschung), eine Einweg-Prüfsumme des Betroffenenbezugs, Version, Ja/Nein-Wert, Quelle, Client- und Serverzeit, den Projektionsstatus sowie eine Payload-Prüfsumme – aber keinen Namen, keine E-Mail-Adresse, keine IP-Adresse und keinen User-Agent. Bei Kontolöschung wird die direkte Konto-Verknüpfung gelöst; die weitere Nachweisaufbewahrung richtet sich nach dem dokumentierten Lösch- und Aufbewahrungskonzept.

Einwilligung ändern, widerrufen oder technisch sperren

Die Auswahl kann jederzeit mit Wirkung für die Zukunft über die Schaltfläche „Datenschutzeinstellungen“ auf öffentlichen Seiten, über das Profilmenü in der angemeldeten App oder über den Button auf dieser Seite geändert werden. Nach einem Widerruf werden keine weiteren optionalen Statistikereignisse übertragen, bis eine neue Zustimmung erteilt wird. Bereits gebildete Tagesaggregate enthalten keinen Kontobezug und können deshalb nicht nachträglich einer Person zugeordnet oder selektiv aus einem Zähler entfernt werden; die Rechtmäßigkeit der Verarbeitung vor dem Widerruf bleibt gemäß Art. 7 Abs. 3 DSGVO unberührt.

DNT und GPC sind zusätzliche technische Sperrsignale. Ist eines aktiv, bleibt Statistik auch bei einer im Browser gespeicherten Zustimmung abgeschaltet. Hinweise zu den technischen Signalen bieten die primären Spezifikationen des W3C zu DNT und der W3C Privacy Community Group zu GPC.

Zusätzlich können Nutzer Website-Daten in den Browsereinstellungen löschen oder blockieren. Werden erforderliche Sitzungsspeicherungen blockiert, können Anmeldung, OAuth-Rückkehr und geschützte Funktionen nicht zuverlässig arbeiten.

Verantwortlicher ist Anel Alicic, handelnd unter der Geschäftsbezeichnung qasb. Weitere Angaben zu Empfängern, Drittlandübermittlungen, Aufbewahrung und Betroffenenrechten stehen in der Datenschutzerklärung. Fragen können an support@qasb.ai gerichtet werden.