Datenschutzerklärung

Verantwortlich

Hannes Thöne, Nordstraße 16, 34414 Warburg, Deutschland
paperpaw@hthoene.de

Für diese Website gilt die Datenschutz-Grundverordnung (DSGVO) in vollem Umfang, auch für Besucher von außerhalb der Europäischen Union. Einen Datenschutzbeauftragten gibt es nicht: Der Betreiber ist nicht verpflichtet, einen zu benennen. Für alle Fragen zu deinen Daten schreib an die Adresse oben.

Kurz gesagt

• Die Seite lesen, PaperPaw oder Plugins herunterladen und den Flasher nutzen geht ohne Konto und ohne Cookie (außer du wählst im Fuß eine Sprache: dann eines, um sie zu merken). Nichts wird gemessen, nichts verkauft, keine Profile werden gebildet.
• Reader mit PaperPaw fragen die Seite nur dann nach Updates, Plugins und Schriften, wenn ihr Nutzer etwas tut, oder, wenn er die Update-Suche eingeschaltet hat, etwa einmal pro Woche; was sie dabei senden, steht unten, und nichts davon wird gespeichert.
• Ein Konto haben nur diejenigen, die Plugins veröffentlichen. Für sie speichert die Seite ihre E-Mail-Adresse, ihren Namen und was sie einreichen, und setzt ein Cookie, das sie angemeldet hält.
• Was veröffentlicht ist, und wer es veröffentlicht hat, ist öffentlich und bleibt im öffentlichen Versionsprotokoll.

Hosting

Die Seite läuft auf einem Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Germany, in Deutschland, die Daten nur im Auftrag des Betreibers verarbeitet, auf Grundlage eines Vertrags zur Auftragsverarbeitung (Art. 28 DSGVO). Ihre Datenschutzerklärung.

Das Netzwerk vor der Seite

Jede Anfrage an paperpaw.org läuft über Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA, das die Seite schnell ausliefert und Angriffe von ihr fernhält. Dafür verarbeitet es deine IP-Adresse und die technischen Daten der Anfrage; das kann in den Vereinigten Staaten geschehen. Cloudflare, Inc. ist nach dem EU-U.S. Data Privacy Framework zertifiziert und durch einen Vertrag zur Auftragsverarbeitung mit den Standardvertragsklauseln der EU gebunden. Es kann ein kurzlebiges, technisch notwendiges Cookie setzen, um Menschen von Bots zu unterscheiden (etwa __cf_bm); es enthält nichts darüber, wer du bist. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (das berechtigte Interesse an einer schnellen und sicheren Website). Seine Datenschutzerklärung.

Besuch der Seite und Server-Logs

Um dir eine Seite zu zeigen, muss der Server deine Anfrage erhalten: deine IP-Adresse, die angefragte Seite, die Uhrzeit und was dein Browser über sich sagt. Er antwortet und speichert nichts davon: Seitenaufrufe werden nicht protokolliert. Fehlerprotokolle können gelegentlich eine IP-Adresse enthalten; sie dienen nur der Fehlersuche und werden spätestens nach 14 Tagen gelöscht. Damit die Formulare des Plugin-Stores nicht missbraucht werden, zählt die Seite, wie oft innerhalb einer Stunde von einer Adresse aus Anmeldelinks, Meldungen und Flash-Vorgänge gesendet werden; sie zählt nach einem gekürzten Hash der Adresse, nur im Arbeitsspeicher des Servers, nie dauerhaft gespeichert, und vergisst ihn nach der Stunde. Installationen mit dem Flasher, Downloads und Update-Abfragen werden anonym als Tagessummen gezählt, nach Reader, Version und Plugin, nie danach, wer sie stellte oder woher sie kamen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (das berechtigte Interesse an einer funktionierenden und sicheren Website und daran zu wissen, wie viel sie genutzt wird).

Cookies und was auf deinem Gerät gespeichert wird

Für Besucher setzt die Seite kein Cookie und speichert nichts auf deinem Gerät, bis auf eine Ausnahme, die du selbst auslöst: Wählst du mit dem Umschalter im Fuß eine Sprache, setzt sie ein Jahr lang das Cookie __Host-paperpaw_language (en oder de), damit die nächste Seite in dieser Sprache kommt. Es enthält nichts sonst, wird nur an diese Seite gesendet (HttpOnly, Secure, SameSite=Lax) und ist für das, worum du gebeten hast, unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); eine Einwilligung ist daher nicht nötig. Ohne deine Wahl liest die Seite die Spracheinstellung deines Browsers (Accept-Language) nur für die aktuelle Seite und speichert nichts. Nur wenn du dich im Plugin-Store anmeldest, setzt sie ein weiteres Cookie, __Host-paperpaw_session: einen Zufallswert, der dich 30 Tage lang oder bis zur Abmeldung angemeldet hält. Er enthält selbst nichts über dich, wird nur an diese Seite gesendet (HttpOnly, Secure, SameSite=Lax) und ist für den Dienst, den du nutzen willst, unbedingt erforderlich; eine Einwilligung ist daher nicht nötig (§ 25 Abs. 2 Nr. 2 TDDDG). Es gibt kein Tracking, keine Analyse und keine Werbung. Schriften, Bilder und Skripte kommen vom eigenen Server der Seite, über das oben genannte Netzwerk; nichts wird von anderen geladen, außer der Prüfung auf der Anmeldeseite (siehe unten), die ebenfalls kein Cookie setzt.

Der Flasher

Skripte laufen nur im Flasher (paperpaw.org/flash), der PaperPaw auf einen Xteink-Reader schreibt, auf der Seite, die Plugin-Dateien in deinem Browser signiert, und für die Prüfung auf der Anmeldeseite (unten). Beide Skripte kommen von dieser Seite und laufen in deinem Browser. Der Flasher spricht über das USB-Kabel erst dann mit dem Reader, wenn du ihn im eigenen Dialog deines Browsers auswählst. Die Sicherung, die er anlegt, der ganze Speicher des Readers, wird als Datei auf deinem Computer gespeichert und nirgendwohin gesendet; was er vom Reader liest, etwa die Plugins darauf und seine Hardware-Adresse (nur für den Dateinamen der Sicherung), bleibt in deinem Browser. Er lädt von dieser Seite die Firmware, ihre Signatur, die Liste der Plugins und die Dateien der Plugins, die du wählst: gewöhnliche Anfragen, die nichts über deinen Reader enthalten. Nachdem er PaperPaw geschrieben hat, teilt er der Seite die Art des Readers und die geschriebene Version mit, die sie zur Summe des Tages zählt. Die Signierseite sendet gar nichts; dein Schlüssel bleibt auf deinem Computer. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (das berechtigte Interesse, die Firmware und die Plugins anzubieten, die du anforderst).

Reader mit PaperPaw

PaperPaw auf einem Reader meldet sich nur dann bei dieser Seite, wenn du es darum bittest: um nach einem Firmware-Update zu suchen, Plugins anzusehen oder zu installieren, oder Schriften anzusehen oder herunterzuladen. Schaltest du die Update-Suche ein (bei der Einrichtung oder in den Einstellungen; ohne deine Wahl ist sie aus), sucht er außerdem von selbst etwa einmal pro Woche nach einem Firmware-Update. Eine Update-Suche sendet Name und Version der Firmware, den Chip des Readers und die eingebauten Plugins. Ab PaperPaw 0.5.0 Beta 7 sagt sie außerdem, ob der Reader von selbst fragt oder weil du es wolltest (trigger: auto oder manual), und ob es seine erste Suche des Tages, der Woche oder des Monats ist (first: eines oder mehrere von day, week, month). Dafür merkt sich der Reader das Datum seiner letzten Suche; dieses Datum bleibt auf dem Reader und wird nie gesendet. Keines der beiden Felder identifiziert einen Reader: Jeder Reader sendet dieselben wenigen Wörter, so kann die Seite die genutzten Reader zählen, ohne zu wissen, welche es sind. Der Plugin-Store sendet die Art des Readers (etwa x4) und die eingestellte Sprache. Nichts davon identifiziert dich oder deinen Reader über die IP-Adresse hinaus, die jede Anfrage trägt. Die Seite antwortet und speichert nichts davon; wie bei Seitenaufrufen werden diese Anfragen nicht protokolliert. Nur die Art des Readers und die Version, die eine Update-Abfrage nennt, mit diesen beiden Feldern, und das Plugin und die Version, die ein Reader installiert, gehen in die Summen des Tages ein (siehe oben). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (das berechtigte Interesse, den Readern, die danach fragen, Updates, Plugins und Schriften bereitzustellen).

Der Plugin-Store: Konten

Wer Plugins veröffentlicht, meldet sich mit seiner E-Mail-Adresse an: Die Seite schickt einen Link, der einmal und für 30 Minuten anmeldet. Die erste Anmeldung legt ein Konto an, das deine E-Mail-Adresse, den Namen, den du angibst, eine Web-Adresse von dir, wenn du eine hinzufügst, den Tag der Anlage und seine Rolle (Autor oder Moderator) speichert. Sobald ein Plugin von dir öffentlich ist, erscheint ein neuer Name oder eine neue Web-Adresse erst, wenn ein Moderator sie freigegeben hat; bis dahin sieht er sie neben den alten. Dein Name, deine Web-Adresse und dieser Tag stehen bei deinen Plugins („Autor hier seit“); deine E-Mail-Adresse sehen nur du und die Moderatoren. Solange du angemeldet bist, speichert die Seite deine Sitzung unter einem Hash des Cookie-Werts, mit Beginn und Ende. Anmeldelinks werden gelöscht, wenn sie benutzt sind oder nach 30 Minuten, Sitzungen bei der Abmeldung oder nach 30 Tagen. Du kannst dein Konto jederzeit auf seiner Seite löschen: Deine Plugins verlassen dann den Store, und dein Konto, deine Sitzungen und deine Einreichungen werden gelöscht, bis auf das, was das Versionsprotokoll bewahrt (siehe unten). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (das Konto, das du anlegst).

Damit Programme nicht tausendfach Konten anlegen, fragt die Anmeldeseite Cloudflare Turnstile (Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA), ob ein Mensch fragt. Sein Widget und Skript kommen von challenges.cloudflare.com und laufen nur auf dieser Seite. Um zu entscheiden, verarbeitet Cloudflare deine IP-Adresse, den TLS-Fingerabdruck und User-Agent deines Browsers, den Site-Key und die Adresse der Seite sowie Signale, die dein Browser während der Prüfung gibt; deine E-Mail-Adresse und alles andere, was du eingibst, sieht es nicht. Wenn du das Formular abschickst, fragt der Server dieser Seite Cloudflare mit deiner IP-Adresse, ob die Antwort der Prüfung gilt. Die Prüfung setzt kein Cookie und speichert von dieser Seite aus nichts auf deinem Gerät (so auf dieser Seite ausprobiert); die Verarbeitung kann in den Vereinigten Staaten geschehen, auf Grundlage des EU-U.S. Data Privacy Framework. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (das berechtigte Interesse, den Store frei von automatisch angelegten Konten zu halten). Datenschutzerklärung von Turnstile.

Der Plugin-Store: Einreichungen

Was du einreichst (die Dateien des Plugins, seine Builds, seine Quellen, seine Screenshots und sein Eintrag), wird gespeichert, um es zu prüfen, den Moderatoren zu zeigen und, sobald es veröffentlicht ist, allen. Die Seite speichert außerdem, was ihre Prüfungen gefunden haben, die Entscheidungen der Moderatoren und ihre Nachrichten an dich. Die Quellen eines Plugins holt der Server aus dem Repository, das du nennst (auf GitHub, Codeberg oder GitLab), und bewahrt eine Kopie auf. Auf einem eigenen Server des Betreibers kann die Seite Code-Plugins aus ihren Quellen nachbauen, um zu vergleichen, und prüft jede Einreichung mit PaperPaws eigener Prüfung, deren Befunde und Bilder nur die Moderatoren sehen. Vor einer PaperPaw-Version baut und prüft sie dort die neueste Version jedes Code-Plugins gegen das kommende PaperPaw, bewahrt die Protokolle und Builds für dich und den Betreiber auf, schreibt dir per Mail, wie es ausging, und löscht sie nach 180 Tagen. Veröffentlichte Plugins, ihre Quellen und dein öffentlicher Name bleiben öffentlich, bis du oder die Moderatoren sie zurückziehen; deine Einreichungen bleiben so lange wie dein Konto. Dein öffentlicher Signierschlüssel, der in deinen Plugin-Dateien steht, ist ebenfalls öffentlich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (die Veröffentlichung der Plugins, die du einreichst).

Automatische Prüfung durch Claude (Anthropic)

Jede Einreichung, die an die Moderatoren geht, wird zuerst von einem KI-Modell geprüft, Claude, betrieben von Anthropic, PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA, als Auftragsverarbeiter des Betreibers. Es erhält die Dateien des Plugins, seine Quellen, seinen Eintrag und die Ergebnisse der Prüfungen der Seite, nicht deine E-Mail-Adresse, und sucht nach ernsten Problemen bei Sicherheit, Speicher und Akku. Sein Bericht wird nur den Moderatoren gezeigt; er entscheidet nichts, und du siehst ihn nur, wenn ein Moderator ihn weitergibt. Da Anthropic in den Vereinigten Staaten sitzt, wird deine Einreichung dorthin übermittelt, auf Grundlage der Standardvertragsklauseln der EU im Auftragsverarbeitungsvertrag von Anthropic (Art. 46 Abs. 2 lit. c DSGVO). Nach seinen Geschäftsbedingungen nutzt Anthropic die Daten nicht zum Training seiner Modelle und löscht sie nach kurzer Zeit. Der Bericht wird mit der Einreichung gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (das berechtigte Interesse an einem Plugin-Store, dessen Plugins ihren Nutzern nicht schaden). Datenschutzerklärung von Anthropic.

Die Plugin-Werkstatt mit einem PaperPaw-Schlüssel

Die Plugin-Werkstatt läuft auf deinem Computer. Mit deinem eigenen Claude-Schlüssel spricht sie direkt mit Anthropic, und nichts davon erreicht diese Seite. Mit einem PaperPaw-Schlüssel, den der Betreiber kostenlos vergibt, schickt sie ihre Anfragen an das Modell (was du gesagt hast, die Teile deines Projekts, die sie dafür braucht, und die zurückkommenden Antworten des Modells) über den Server des Betreibers unter workshop.paperpaw.org, der sie unter dem eigenen Konto des Betreibers an Anthropic, PBC (USA) weitergibt. Nur diese Anfragen gehen über den Server. Er liest sie nur, um den Schlüssel, das Modell und die Länge der Antwort zu prüfen, speichert nichts von ihnen oder von den Antworten, protokolliert beides nicht und speichert keine Projekte: Sie bleiben auf deinem Computer. Für jeden Schlüssel zählt er als Monatssummen, wie viele Anfragen er gestellt hat, wie viele Tokens sie verbraucht haben und was sie gekostet haben, damit der Schlüssel in seinem Budget bleibt. Anthropic verarbeitet die Anfragen wie bei jedem Schlüssel in den Vereinigten Staaten, auf Grundlage der Standardvertragsklauseln der EU im Auftragsverarbeitungsvertrag von Anthropic (Art. 46 Abs. 2 lit. c DSGVO); nach seinen Geschäftsbedingungen nutzt Anthropic sie nicht zum Training seiner Modelle. Datenschutzerklärung von Anthropic.

Um einen Schlüssel zu erbitten, meldest du dich im Plugin-Store an und sagst, warum du die Werkstatt kostenlos nutzen möchtest; das Formular nutzt dieselbe Prüfung durch Cloudflare Turnstile wie die Anmeldeseite (siehe oben). Die Anfrage gehört zu deinem Konto: Die Moderation sieht sie mit deinem Konto und dem, was du im Store veröffentlicht hast, und wird sie freigegeben, wird der Schlüssel per Mail an die Adresse deines Kontos geschickt. Die Seite speichert den Schlüssel nur als Hash, mit deinem Konto, deinem Text, seinem Budget und seinem Ende; er wird mit deinem Konto gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (das kostenlose Kontingent, um das du bittest).

Das öffentliche Versionsprotokoll

Jede hier veröffentlichte Plugin-Version und jede zurückgezogene wird in ein öffentliches Protokoll (paperpaw.org/log) geschrieben, mit den Hashes ihrer Dateien, dem öffentlichen Namen und Schlüssel ihres Autors, der Revision ihrer Quellen, dem Datum und, bei einer zurückgezogenen Version, dem Grund. Das Protokoll wird nie geändert oder gekürzt, auch dann nicht, wenn ein Plugin zurückgezogen wird oder sein Autor sein Konto löscht: So kann jeder prüfen, was hier wann veröffentlicht wurde. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (das berechtigte Interesse an einem überprüfbaren Plugin-Store); für das Recht auf Löschung gilt Art. 17 Abs. 3 lit. e DSGVO.

Meldungen von Plugins

Jeder kann ein Plugin melden, das gegen das Gesetz oder die Regeln des Stores verstößt, auch ohne Konto. Eine Meldung speichert, was du schreibst, und, wenn du sie angibst, deinen Namen und deine E-Mail-Adresse, um darüber zu entscheiden und dir die Entscheidung mitzuteilen. Nur der Betreiber und die Moderatoren sehen sie. Eine Meldung und die Aufzeichnung der Moderatoren, was sie getan haben, werden 12 Monate nach der Entscheidung gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO mit Art. 16 des Digital Services Act; Name und Adresse sind freiwillig.

E-Mail

Anmeldelinks, Entscheidungen, die Ergebnisse vor einer Version und Antworten auf Meldungen werden über die Mailserver der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Germany, verschickt, desselben Anbieters, der auch diese Seite hostet; sie verarbeitet deine Adresse und die Mail nur im Auftrag des Betreibers, innerhalb der Europäischen Union, auf Grundlage eines Vertrags zur Auftragsverarbeitung (Art. 28 DSGVO). Ihre Datenschutzerklärung. Wenn du dem Betreiber eine E-Mail schreibst, wird sie nur zur Antwort verwendet und gelöscht, sobald sie nicht mehr gebraucht wird, sofern das Gesetz keine Aufbewahrung verlangt.

Links zu anderen Seiten

Der Download, die Quellen und die Seiten mancher Plugins führen zu anderen Seiten, etwa GitHub (GitHub, Inc., USA) oder Codeberg. Erst wenn du einem solchen Link folgst, verbindet sich dein Browser mit dieser Seite, und dort gilt deren Datenschutzerklärung.

Wie lange Daten gespeichert werden

• Seitenaufrufe und Anfragen der Reader: gar nicht. Fehlerprotokolle: höchstens 14 Tage. Zählungen gegen Missbrauch: eine Stunde, im Arbeitsspeicher. Tagessummen von Installationen, Downloads und Update-Abfragen: dauerhaft, da sie nichts über jemanden enthalten.
• Anmeldelinks: bis zur Benutzung, höchstens 30 Minuten. Sitzungen: bis zur Abmeldung, höchstens 30 Tage.
• Konten und Einreichungen: bis du dein Konto löschst. Veröffentlichte Plugins: bis sie zurückgezogen werden.
• Das Versionsprotokoll: dauerhaft.
• Meldungen und Aufzeichnungen der Moderatoren: 12 Monate nach der Entscheidung.
• Ergebnisse, Protokolle und Builds des Laufs vor einer Version: 180 Tage.
• Anfragen nach einem PaperPaw-Schlüssel: bis zur Entscheidung oder bis du dein Konto löschst. Ein Schlüssel mit deinem Text und seinen Monatssummen: bis drei Monate nach seinem Ende oder Widerruf, oder bis du dein Konto löschst. Anfragen an das Modell über einen PaperPaw-Schlüssel: gar nicht.

Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15 bis 18, 20 und 21 DSGVO). Wo eine Verarbeitung auf dem berechtigten Interesse beruht (Art. 6 Abs. 1 lit. f DSGVO), kannst du ihr aus Gründen, die sich aus deiner besonderen Situation ergeben, widersprechen. Schreib an die Adresse oben. Da die Seite über Besucher nichts speichert, gibt es meist nichts zu berichten; wenn du ein Konto im Plugin-Store hast oder eine Meldung geschickt hast, erhältst du, was über dich gespeichert ist.

Aufsichtsbehörde

Du kannst dich bei einer Aufsichtsbehörde beschweren, etwa bei der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Postfach 20 04 44, 40102 Düsseldorf, oder bei der Behörde deines Wohnorts.

Stand: Oktober 2026