Datenschutz

Website und Hosting

JAO Nexus wird auf einem VPS von netcup betrieben. Für die Auslieferung verarbeiten Webserver und API technisch erforderliche Verbindungsdaten, insbesondere IP-Adresse, Zeitpunkt, angeforderte Adresse und HTTP-Status. Hostinganbieter und gegebenenfalls beauftragte technische Dienstleister können hierbei Empfänger sein.

Community-Datenbank und technische Betriebslogs sind getrennt. Eine rohe IP-Adresse wird nicht als dauerhafte Community-Identität gespeichert. Die konkrete betriebliche Logaufbewahrung und die Vertrags-, Standort- und Unterauftragnehmerangaben zum Hosting müssen vom Betreiber abschließend bestätigt werden; hier wird keine unbestätigte Löschfrist oder ausschließlich deutsche Verarbeitung zugesichert.

Konten und Anmeldung

Ein Konto speichert Username, Anzeigename, E-Mail-Adresse, eine stabile öffentliche ID, Rolle, Status, Einrichtungszustand sowie Erstellungs- und Änderungszeiten. Das Passwort wird ausschließlich als gesalzener scrypt-Hash gespeichert. Neue öffentliche Konten erhalten ausschließlich die Rolle member. E-Mail-Adressen sind nicht Teil öffentlicher Benutzerantworten; die Benutzerverwaltung ist nur für Administratoren zugänglich.

Kontodaten dienen Anmeldung, Berechtigungen und der Zuordnung von Beiträgen. Die E-Mail-Adresse dient der angeforderten Passwortwiederherstellung und sicherheitsbezogenen Benachrichtigungen, nicht Werbung. Ohne die Pflichtangaben kann kein öffentliches Konto angelegt werden. Öffentliches Lesen bleibt ohne Konto möglich.

Anmeldesitzungen speichern nur den Hash des zufälligen Sitzungstokens, Benutzerzuordnung sowie Erstellungs-, Ablauf- und letzte Nutzungszeit. Die maximale Sitzungslaufzeit beträgt acht Stunden. Logout, Passwort-Reset und Rollenänderung widerrufen betroffene Sitzungen. Ein abgelaufenes Token ist unbrauchbar; der Ablauf allein bedeutet nicht die sofortige physische Löschung aller zugehörigen Datensätze.

Passwortwiederherstellung und E-Mail

Eine Reset-Anfrage verwendet E-Mail-Adresse und gewünschte Oberflächensprache. Die Antwort verrät nicht, ob ein Konto existiert. Für geeignete aktive Konten wird ein zufälliger Einmallink erstellt. PostgreSQL speichert nur den Token-Hash und Zeitpunkte; der Link gilt höchstens 15 Minuten. Ein neuer ausgestellter Link ersetzt den vorherigen, erfolgreiche Nutzung oder Passwortänderung invalidiert ihn. Alle alten Anmeldesitzungen werden nach erfolgreichem Reset widerrufen.

Für den Versand erhält Brevo Empfängeradresse, Absender, sprachabhängigen Betreff und erforderlichen Plaintext-Mailinhalt einschließlich des vollständigen einmaligen Reset-Links. Übliche Mail- und Verbindungsmetadaten, etwa Message-ID, Versandzeit und die Verbindung vom Nexus-Mailserver, entstehen zusätzlich. Auch der Mailanbieter des Empfängers verarbeitet die Nachricht. Der Link ist ein vorübergehendes Zugangsgeheimnis: Die Speicherung nur seines Hashes in der Nexus-Datenbank verhindert nicht, dass Maildienstleister den Link im Mailtext verarbeiten. Bitte nicht weitergeben.

Nexus übermittelt für diese Mails keine Passwörter, Passwort-Hashes, Sitzungstoken, Rollen, Statuswerte, Forumbeiträge oder Reports. Username und Anzeigename des Empfängers werden ebenfalls nicht in den Mailinhalt übernommen. SMTP-Zugangsdaten sind ausschließlich Runtime-Secrets für die verschlüsselte Anmeldung am Maildienst und niemals Bestandteil der E-Mail. Nach erfolgreichem Reset ist eine separate Sicherheitsbenachrichtigung ohne Passwort oder Reset-Link vorgesehen.

Brevo ist für Transaktionsmails aktiviert. Der Absender ist JAO Nexus <noreply@jaonexus.de>. Nexus erzeugt DE/EN-Plaintext-Mails und erzwingt STARTTLS mit Zertifikatsprüfung für SMTP auf Port 2525. Domainauthentifizierung, DKIM und DMARC sind laut Betreiber eingerichtet. Es gibt keine produktive Newsletter-Funktion. Vertragsgrundlage, gegebenenfalls Drittlandübermittlungen und Garantien bleiben persönlich zu prüfen. E-Mail-Verifikation ist noch nicht implementiert; eine angegebene Adresse ist daher noch kein geprüfter Eigentumsnachweis.

Nexus baut weder Trackingpixel noch Trackinglinks in seine Plaintext-Mails ein und synchronisiert dafür keine Marketing-Kontaktlisten. Der Betreiber hat am 15. September 2026 die Brevo-Einstellungen bestätigt: Transactional Logs ein Monat, E-Mail-Vorschauen niemals speichern. Providerseitiges Tracking ist gesondert zu prüfen; aus den Nexus-Vorlagen folgt keine Zusicherung über alle Brevo-Einstellungen oder eine ausschließlich europäische Verarbeitung.

Die Versandwarteschlange existiert nur begrenzt im Arbeitsspeicher, ohne dauerhafte lokale Mailkopie. Ein Prozessneustart kann ausstehende Aufträge verlieren. Reset-Hashes werden bei Ausstellung eines Ersatzlinks, erfolgreichem Reset oder entsprechender Passwortänderung entfernt. Ein nur abgelaufener oder wegen Versandfehler nicht zugestellter Reset-Datensatz kann bis dahin bestehen bleiben; ein globaler Bereinigungsjob fehlt.

Die 15-Minuten-Gültigkeit des Reset-Links ist keine Löschfrist für E-Mails, Zustellprotokolle, Audits oder Backups. Die bestätigten Brevo-Einstellungen ersetzen keine Prüfung weiterer Providerdaten, Löschverfahren, Unterauftragnehmer oder bestehender Mailkopien. Die Aufbewahrung im Postfach des Empfängers liegt nicht unter der alleinigen Kontrolle von Nexus.

Notwendige Cookies und Browser-Speicherung

Die API verwendet __Host-nexus_session für eine ausdrücklich angeforderte Anmeldung (höchstens acht Stunden) und __Host-nexus_guest für eine ausdrücklich angeforderte Gastteilnahme (höchstens sieben Tage). Beide sind HttpOnly, Secure, SameSite=Lax, Path=/ und auf den API-Host begrenzt. Die Datenbank enthält nur Token-Hashes, nicht die rohen Cookie-Token.

Öffentliches Lesen von Lobby, Forum und Activity erzeugt keinen Gastcookie. Der Gastcookie entsteht erst durch „Als Gast teilnehmen“. Bereits vorhandene Cookies können bei späteren API-Anfragen zur Wiedererkennung gesendet werden.

Der geprüfte Site-Code verwendet weder localStorage noch sessionStorage, IndexedDB, Analytics, Werbecookies oder automatisch geladene externe Embeds. Der Cookie-Hinweis benötigt keine Einwilligungsauswahl: „Verstanden“ blendet ihn nur auf der aktuellen Seite aus und speichert keine Präferenz. Normales technisches Browser-Caching ist davon unabhängig.

Die Einordnung unter § 25 Absatz 2 TDDDG betrifft ausschließlich technisch unbedingt erforderliche Speicherung für einen ausdrücklich gewünschten Dienst. Das ist keine pauschale Freigabe für künftige optionale Anbieter. Neue optionale Speicherung muss vor Einführung gesondert geprüft werden.

Gäste, Lobby, Forum und Ressourcen

Gäste sind keine registrierten Benutzer. Gespeichert werden eine zufällige öffentliche Gast-ID, ein serverseitiger Anzeigename, Sprache, Status active/muted/blocked, Token-Hash, Aktivitätszeiten, Nachrichtenzähler und Moderationsversion. Gastidentität berechtigt ausschließlich zur vorgesehenen Lobby-Teilnahme; Forum-Schreiben benötigt ein Nexus-Konto.

Lobby- und Forumtexte, Anzeigename, Actor-Typ, Sprache und Zeitpunkte sind öffentlich, soweit Inhalte nicht ausgeblendet wurden. Beiträge bleiben in ihrer Originalsprache; es gibt keine automatische Übersetzung. Seitenlimits sind keine Löschfristen. Bitte keine vertraulichen oder unnötigen personenbezogenen Daten veröffentlichen.

Ressourcen enthalten Metadaten wie Autor, Lizenz und Beschreibung sowie eine kontrollierte Eigentümerzuordnung. Download-Berechtigungen sind von Lizenz und Eigentum getrennt. Administratoren können Bestände diagnostizieren und verwalten; dies ist keine automatische öffentliche Weitergabefreigabe.

Forge Distribution und Pluginberechtigungen

Nach ausdrücklicher Browserbestätigung kann Forge mit dem bestehenden Nexus-Konto verbunden werden. Ein Pairing gilt fünf Minuten und speichert öffentlichen Geräteschlüssel, gewählten Namen, Verifier-Challenge, Konto-/Browsersitzungsbindung und Zeitpunkte. Native Desktop-Sitzungen gelten höchstens 30 Tage; gespeichert werden nur der Secret-Hash, öffentliche Sitzungs-ID, Konto-/Gerätebezüge, Revisionen und Zeitpunkte. Logout, Passwortänderung oder Reset, Suspendierung, relevante Rollenänderungen und Gerätewiderruf invalidieren betroffene Sitzungen. Es wird kein Hardware-Fingerprint erhoben. Forge muss das Credential im Betriebssystem geschützt und außerhalb des Renderers verwahren. Über die Plugin-Bezugsrouten kann eine verbundene Forge mit dieser Sitzung die eigenen Pluginberechtigungen lesen und bereits freigeschaltete Plugins laden; dabei entstehen keine neuen Datenarten. Das Verbinden selbst erteilt keine Publisher- oder Adminrechte; die gesondert freigegebenen Publisher-Abläufe bleiben unverändert. Ein „In Forge öffnen“-Link überträgt nur Plugin-ID und Version.

Publisher-Änderungen benötigen einen auf den konkreten Auftrag begrenzten Gerätebeweis mit exakt 120 Sekunden Gültigkeit. Gespeichert werden Nonce-Hash und Auftragshash, nicht die vollständige Nonce oder private Schlüssel. Pairing, Freigaben, Sitzungs- und Sicherheitsänderungen werden in einem geschützten Audit dokumentiert. Abgelaufene oder widerrufene Datensätze und Audits werden nicht automatisch gelöscht; Aufbewahrung und Löschung einschließlich Backups und Kontobezügen brauchen eine kontrollierte Betreiberbearbeitung.

Die Distribution-Erweiterung speichert für registrierte Forge-Geräte eine öffentliche Geräte-ID, die Zuordnung zum Nexus-Konto, Anzeigename, öffentlichen Schlüssel/Fingerprint, Status und Zeitpunkte. Registrierung erteilt keine Publisher-Freigabe. Private Geräte- oder Release-Signierschlüssel werden nicht an Nexus übertragen. Die Geräteverwaltung ist nur Administratoren zugänglich. Release-Signierschlüssel und veröffentlichte Paketmetadaten sind dagegen öffentlich nachprüfbar.

Eine Geräte-Challenge gilt höchstens 120 Sekunden; Nexus speichert nur den Nonce- und Sessionhash. Ablauf begrenzt die Nutzbarkeit, nicht automatisch die Speicherung. Pluginberechtigungen verbinden ein Konto mit einem bewusst freigeschalteten Plugin. Der Nutzer sieht eigene Berechtigungen; Administratoren verwalten sie kontrolliert. Veröffentlichungs-, Geräte-, Schlüssel- und Berechtigungsänderungen werden mit Akteur, Ziel, Zeitpunkt und Zustandsangaben auditiert, ohne Passwörter, private Schlüssel oder rohe Sessiontokens.

Diese Erweiterung benötigt keine neuen Cookies, kein Tracking und keine zusätzlichen externen Anbieter. Es gibt noch keinen automatischen Löschworkflow für Geräte-, Entitlement- und Distribution-Auditdaten. Aufbewahrung, Auskunft und kontrollierte Löschung einschließlich Backups müssen vom Betreiber zweckbezogen geprüft werden. Implementierung ist keine automatische Produktionsfreigabe; Rechtsgrundlagen und Betreiberprüfung bleiben gesondert erforderlich.

Reports, Moderation und Audit

Meldungen zu Forum-Inhalten sind nur für berechtigte Moderatoren und Administratoren sichtbar. Sie enthalten Meldegrund/Text, meldenden Benutzer, Zielbeitrag, Status und Bearbeitungsinformationen. Moderationsprotokolle dokumentieren handelnden Benutzer, betroffenen Inhalt bzw. Gast, Zeitpunkt und Zustandsänderung.

Registrierung, Reset-Anforderung und erfolgreicher Reset sowie ausdrücklich bestätigte Rollenwechsel werden ohne Passwörter, Token oder Mail-Zugangsdaten protokolliert. Nur Administratoren können member und moderator ineinander umwandeln; dabei werden bisherige Sitzungen des betroffenen Kontos widerrufen.

Ausblenden oder Archivieren ist keine Löschung. Inhalte, Eigentumsbezüge und erforderliche Moderationsnachweise können zur Nachvollziehbarkeit erhalten bleiben. Öffentliche Accounts, Beiträge und Audits besitzen noch keinen vollständigen automatisierten Lösch- oder Aufbewahrungsworkflow.

Sicherheit und Missbrauchsschutz

Die API prüft Eingaben, Origin, Berechtigungen und Request-Formate serverseitig. Kurzlebige Rate-Limit-Zähler verwenden pro Prozess zufällig geschlüsselte HMAC-Ableitungen von Verbindungsmerkmalen und bei Reset-Anfragen auch der normalisierten E-Mail-Adresse. In diesen Zählern werden keine rohen IP-Adressen oder E-Mail-Adressen dauerhaft abgelegt. Die Zeitfenster betragen je nach Funktion höchstens eine Stunde; Zähler verfallen bei Folgeanfragen oder beim Prozessende.

Für vorhandene Konten begrenzt zusätzlich der Ausgabezeitpunkt des Reset-Tokens im Datenbankdatensatz erneute Mailausstellungen. Anwendungslogs enthalten keine Sitzungstoken, Reset-Links, Passwörter oder Mail-Credentials. Sicherheitsprüfung ist kein öffentliches Profiling- oder Reputationssystem.

Zwecke und rechtliche Einordnung

Die Verarbeitung dient den angeforderten Konto-/Community-Funktionen, der Wiederherstellung des Kontozugangs und dem sicheren, nachvollziehbar moderierten Betrieb. Einwilligungen für Marketing werden nicht eingeholt, weil keine solchen Funktionen betrieben werden.

Vor Freischaltung muss der Betreiber die Rechtsgrundlagen verbindlich zuordnen. Für die zur Erfüllung eines Nutzungsverhältnisses bzw. einer angeforderten vorvertraglichen Maßnahme notwendigen Verarbeitung kommt Artikel 6 Absatz 1 Buchstabe b DSGVO in Betracht. Für erforderliche Sicherheits- und Missbrauchsabwehrmaßnahmen kommt Buchstabe f nur nach dokumentierter Interessenabwägung in Betracht. Gesetzliche Aufbewahrungspflichten dürfen nur bei einer tatsächlich anwendbaren Verpflichtung angesetzt werden.

Diese Zuordnungen sind ein Entwurf für die Betreiberprüfung und keine Behauptung, dass alle rechtlichen Voraussetzungen bereits abschließend geprüft sind. Die Registrierung bleibt bis zur entsprechenden Freigabe gesperrt.

Aufbewahrung und Löschanfragen

Daten werden nach Zweck, Kontonutzung, Sicherheitsbedarf, offenen Meldungen und berechtigten Nachweis- oder gesetzlichen Pflichten beurteilt. Token-Laufzeiten begrenzen die Nutzbarkeit, nicht automatisch jede Speicherfrist. Beiträge fallen nicht allein wegen ihres Alters aus dem Archiv.

Ein automatisierter Export, eine vollständige Kontolöschung einschließlich aller Beziehungen und eine regelmäßige Bereinigung sämtlicher abgelaufener Datensätze fehlen im Alpha-Stand. Ein neuer Login bereinigt abgelaufene und überzählige Sitzungen dieses Benutzers; er löscht keine abgelaufenen Gastsessions oder Community-Inhalte. Anfragen auf Auskunft, Berichtigung und Löschung sind an den oben genannten Kontakt zu richten und werden kontrolliert geprüft. Der Betreiber muss Aufbewahrungskriterien, regelmäßige Prüfungen, Verantwortlichkeiten und praktische Bearbeitung vor Freischaltung festlegen. Das umfasst auch Betriebslogs, Providerdaten und geschützte Backups; eine Löschung in der Live-Datenbank löscht nicht automatisch vorhandene Sicherungen.

Empfänger, Links und Ihre Rechte

Empfänger können der Hostinganbieter, berechtigte Administratoren/Moderatoren im beschriebenen Umfang, Brevo als Transaktionsmaildienst sowie der Mailanbieter des Empfängers sein. Öffentlich gepostete Inhalte sind für andere Besucher sichtbar. Direkte Kontakt-E-Mails werden über das oben angegebene Hotmail-Postfach bearbeitet. Externe Links laden erst beim Aufruf das Angebot des jeweiligen Dritten.

Nach den jeweils geltenden Voraussetzungen bestehen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit sowie Widerspruch, insbesondere bei Verarbeitung aufgrund berechtigter Interessen. Es besteht ein Beschwerderecht bei einer zuständigen Datenschutzaufsichtsbehörde. Bitte wenden Sie sich für Auskunft, Korrektur oder Löschung an den Verantwortlichen oben.