Datenschutzerklärung

Diese Erklärung informiert über die Verarbeitung personenbezogener Daten beim Besuch von www.kukanilea.de und bei der Nutzung der von dort verlinkten kostenlosen Browser-Werkzeuge. Die meisten Werkzeuge verarbeiten Eingaben lokal im Browser. Einzelne Werkzeuge nutzen nach einer ausdrücklichen Handlung einen externen Datenweg; der aktuelle Bestand und die technischen Ziele stehen in Abschnitt 4 und den Verarbeitungshinweisen. Die installierte Software KUKANILEA ist davon getrennt zu betrachten — was dort gilt, steht in Abschnitt 13.

1. Verantwortlicher

KUKANILEA — Inh. Peter Nguyen, Märkische Allee 394, 12689 Berlin, Deutschland. Telefon: +49 1567 8350504, E-Mail: datenschutz@kukanilea.de. USt-IdNr.: DE355871328.

2. Überblick

Keine externen Schriften (Google Fonts u. ä.) — Schriftarten werden vom Endgerät bezogen.
Keine Newsletter-Einbindung. Es findet keine automatisierte Entscheidungsfindung statt.
Zur Webanalyse setzen wir Dienste ein, die Cookies bzw. vergleichbare Speichertechniken nutzen können — diese werden erst nach Ihrer Einwilligung aktiv (Abschnitte 5 und 6).
Die kostenlosen Werkzeuge laden Dateien nicht automatisch hoch. Eingaben bleiben im Browser, sofern die jeweilige Oberfläche keinen externen Schritt ausdrücklich ankündigt.
Die frühere Terminbuchung über TidyCal ist abgeschaltet. Anfragen sind per E-Mail möglich; Hinweise zu früheren Buchungen stehen in Abschnitt 9.

3. Technische Bereitstellung und Serverdaten

3.1 Auslieferung der Website

Die Website wird statisch über Cloudflare Pages (Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA) ausgeliefert. Beim Aufruf werden technisch notwendige Daten verarbeitet (IP-Adresse, User-Agent, angeforderte URL, Zeitpunkt). Diese Daten dienen ausschließlich der Auslieferung, Sicherheit und Abuse-Prevention. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am stabilen, sicheren Betrieb). Eine Auftragsverarbeitung mit Cloudflare besteht; Cloudflare verarbeitet Daten in der Regel innerhalb der EU, kann jedoch auch US-Infrastruktur einbeziehen (Standardvertragsklauseln nach Art. 46 DSGVO).

4. Browser-Werkzeuge und externe Datenwege

4.1 Lokale Fachverarbeitung

Die Webtools werden als statische Anwendungen ausgeliefert. Bei lokalen Werkzeugen werden Dateien und Eingaben ausschließlich im Arbeitsspeicher oder im Local Storage Ihres Browsers verarbeitet. KUKANILEA erhält diese Inhalte nicht. Die Anwendung kann für die gewünschte Funktion notwendige Speicherwerte wie Theme, zuletzt verwendete Werkzeuge oder Einwilligungsstand im Browser ablegen; Einzelheiten stehen auf der Seite Cookies & Speicher.

4.2 Bewusst ausgelöste externe Schritte

Mobile Signatur: Für die Übertragung zwischen Desktop und Mobilgerät wird ein verschlüsseltes AES-GCM-Paket über ein KUKANILEA-Relay vermittelt. Das Relay erhält eine Sitzungskennung und Chiffretext, nicht den Schlüssel; der Schlüssel bleibt im URL-Fragment. Der Inhalt wird im Browser entschlüsselt.
Screensharing: Ein KUKANILEA-Relay vermittelt Signalisierungsdaten (Sitzungscode, SDP/ICE und damit technische Netzwerkdaten). Der Bildschirmstrom läuft anschließend zwischen den Peers. Öffentliche Google-STUN-Endpunkte können IP-Adresse und Port für die Verbindungsanbahnung sehen.
Dokumentenscanner – Handy-Brücke: Auf Wunsch lassen sich Fotos von einem Smartphone in den Dokumentenscanner am PC übertragen. Die Bilddaten werden vor dem Senden im Browser des Mobilgeräts mit AES-GCM (256 Bit) verschlüsselt. Der Schlüssel steht ausschließlich im Fragment der Aufrufadresse (hinter „#“); Fragmente übermittelt der Browser nicht an Server. Der Vermittlungsdienst unter dokumentenscanner.kukanilea.de erhält den Schlüssel daher nicht und kann die Bilder nicht entschlüsseln. Er reicht Raumkennung, verschlüsselte Datenpakete und kurze Steuermeldungen (Beginn, Ende, Seitennummer, Bytezahl) zwischen den beiden Geräten weiter. Bilddaten reicht er ausschließlich im Arbeitsspeicher an das andere Gerät weiter, ohne sie in einer Datenbank oder einem Speicherdienst abzulegen; für die Dauer einer Verbindung hält er lediglich Rolle, Startzeitpunkt, gewählte Gültigkeitsdauer und die Zahl der übertragenen Bytes. Um Missbrauch zu begrenzen, zählt er, wie viele Links von derselben IP-Adresse innerhalb einer Minute erzeugt werden (höchstens fünf). Dazu bildet er aus IP-Adresse und laufender Minute einen Hashwert, den er nur im Arbeitsspeicher hält und nach Ablauf der Minute nicht mehr verwendet. Darüber hinaus protokolliert der Vermittlungsdienst keine IP-Adressen; beim Aufbau der Verbindung verarbeitet unser Hosting-Dienstleister Cloudflare sie wie bei jedem Seitenaufruf (Abschnitt 3). Ein Link gilt je nach Wahl zwischen drei und 90 Minuten oder solange der Tab am PC geöffnet ist; danach wird nichts mehr vermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einer sicheren, benutzerfreundlichen und datensparsamen Bereitstellung des Werkzeugs sowie in der Abwehr missbräuchlicher Nutzung.
Online-Senden: Mit diesem Werkzeug übertragen Sie Dateien direkt von Ihrem Browser in den Browser einer Person, der Sie einen Link geben. Die Dateien werden dabei nicht auf unseren Servern gespeichert. Für den Aufbau der direkten Verbindung (WebRTC) tauschen die beiden Browser über unseren Vermittlungsdienst unter online-senden.kukanilea.de Verbindungsangaben aus; diese sind mit einem Schlüssel verschlüsselt, der ausschließlich im Fragment des Links (hinter „#“) steht und vom Browser nicht an Server übermittelt wird. Damit sich die Browser gegenseitig erreichen können, fragen sie zudem den STUN-Dienst von Cloudflare (stun.cloudflare.com) nach ihrer öffentlichen IP-Adresse; dabei werden IP-Adresse und Port an Cloudflare übermittelt, keine Dateiinhalte. Die beiden beteiligten Browser erfahren im Zuge der direkten Verbindung die IP-Adressen des jeweils anderen Geräts. Kommt keine direkte Verbindung zustande (etwa hinter einer strengen Firewall), reicht der Vermittlungsdienst die Dateien in einzeln verschlüsselten Paketen durch, ohne sie entschlüsseln zu können und ohne sie in einer Datenbank oder einem Speicherdienst abzulegen; dieser Umweg ist auf 2 GB je Übertragung begrenzt. Für die Dauer einer Verbindung hält der Vermittlungsdienst lediglich Rolle, Startzeitpunkt sowie die Zahl der Nachrichten und übertragenen Bytes. Um das kostenlose Angebot vor Überlastung zu schützen, zählt er die insgesamt an einem Tag durchgereichte Datenmenge (eine Zahl je Tag, ohne Bezug zu Personen) und die Verbindungen, die von derselben IP-Adresse innerhalb einer Minute aufgebaut werden (höchstens 20); dazu bildet er aus IP-Adresse und laufender Minute einen Hashwert, den er nur im Arbeitsspeicher hält und nach Ablauf der Minute nicht mehr verwendet. Darüber hinaus protokolliert der Vermittlungsdienst keine IP-Adressen; beim Aufbau der Verbindung verarbeitet unser Hosting-Dienstleister Cloudflare sie wie bei jedem Seitenaufruf (Abschnitt 3). Die Vermittlung endet, sobald die Person, die den Link erzeugt hat, ihr Browserfenster schließt, spätestens nach 24 Stunden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einer sicheren, benutzerfreundlichen und datensparsamen Bereitstellung des Werkzeugs sowie in der Abwehr missbräuchlicher Nutzung.
Währungsrechner: Für Wechselkurse werden Währungscodes und das ausgewählte Datum an Frankfurter übermittelt. Es werden keine Dateien oder Namen übertragen.

Die genannten Werkzeuge zeigen den externen Schritt in ihrer Oberfläche. Bei Nutzung ist vorher zu prüfen, ob die Übermittlung der betreffenden Daten an den jeweiligen Dienst zulässig ist. Für die Relays der mobilen Signatur und des Screensharings ist die Aufbewahrungsdauer derzeit nicht belegt. Deshalb sagen wir keine bestimmte Löschfrist zu und klären den Status vor einer Ausweitung des Dienstes.

Die konkreten werkzeugbezogenen Datenwege und Empfängerabschnitte beschreiben Auslöser, Datenarten, Transfer- und Aufbewahrungsstand.

5. Einwilligung und Speicherzugriffe

5.1 Verwaltung der Auswahl

Für nicht zwingend erforderliche Dienste (insbesondere die Webanalyse in Abschnitt 6) holen wir Ihre Einwilligung über ein Cookie-Banner ein. Erst danach werden entsprechende Cookies bzw. Zugriffe auf Informationen in Ihrem Endgerät gesetzt. Rechtsgrundlage ist § 25 Abs. 1 TDDDG (vormals TTDSG) für die Speicherung sowie Art. 6 Abs. 1 lit. a DSGVO für die anschließende Verarbeitung. Ihre Auswahl speichern wir, damit das Banner nicht bei jedem Besuch erneut erscheint.

Wir verwenden den Google Consent Mode v2 in der Grundvariante („Basic“): Bis zu einer aktiven Einwilligung ist der Analysespeicher auf denied gesetzt und die zugehörigen Skripte werden gar nicht erst geladen. Vor Ihrem Klick baut die Website deshalb keine Verbindung zu Googles Analysediensten auf — auch keine cookielosen Messsignale und keine vorbereitenden Verbindungen (preconnect). Erst nach einer aktiven Einwilligung in die Statistik wird der Google Tag Manager nachgeladen. Werbespeicherung, werbebezogene Nutzerdaten und Anzeigenpersonalisierung bleiben auf denied — auch nach Ihrer Einwilligung (siehe Abschnitt 6). Verbindungen, die einzelne Werkzeuge erst auf Ihre ausdrückliche Aktion hin aufbauen, etwa zu STUN-Servern beim Screensharing, beschreibt Abschnitt 4.2.

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen oder anpassen, indem Sie über „Datenschutzeinstellungen“ im Seitenfuß die Auswahl erneut aufrufen. Beim Widerruf löschen wir die von diesen Diensten gesetzten Cookies, soweit uns das technisch möglich ist, und laden die Seite neu, damit bereits geladene Skripte beendet werden.

6. Webanalyse und Reichweitenmessung (nur mit Einwilligung)

Sofern Sie einwilligen, setzen wir folgende Dienste ein, um die Nutzung unserer Website zu verstehen und sie zu verbessern. Hierbei können Cookies gesetzt, Online-Kennungen verarbeitet und Daten an Server außerhalb der EU (insbesondere USA) übertragen werden (siehe Abschnitt 11). Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO.

Google Tag Manager (Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland) — verwaltet das Auslösen der nachfolgenden Dienste. Der Tag Manager selbst speichert grundsätzlich keine personenbezogenen Daten, ist aber technische Voraussetzung für deren Einbindung.
Google Analytics 4 (Google Ireland Ltd.) — Analyse des Nutzungsverhaltens (z. B. aufgerufene Seiten, Verweildauer, Interaktionen, ungefähre Region). Nach Googles aktueller Dokumentation werden individuelle IP-Adressen von Nutzenden in EU, Schweiz und Vereinigtem Königreich nicht protokolliert oder gespeichert; sie können zuvor zur Ableitung grober Standortdaten verwendet und dann verworfen werden. Andere Messdaten, Online-Kennungen und Cookies können weiterhin verarbeitet werden.

Google Analytics 4 verwenden wir ausschließlich nach Ihrer Einwilligung in die Statistik. Die Einwilligung für Werbespeicherung, werbebezogene Nutzerdaten und Anzeigenpersonalisierung bleibt unabhängig von Ihrer Auswahl verweigert. Google-Signale, mit denen Google Besuche mit angemeldeten Google-Konten geräteübergreifend verknüpfen könnte, sind ausgeschaltet.

Erteilen Sie keine Einwilligung, werden diese Dienste nicht aktiviert.

7. Cloudflare Web Analytics

Cloudflare Web Analytics setzen wir derzeit nicht ein — es wird kein entsprechendes Skript ausgeliefert und keine Aufrufstatistik über diesen Dienst erhoben. Sollten wir den Dienst künftig aktiv einsetzen, aktualisieren wir diesen Abschnitt vor der Aktivierung.

8. Kontaktaufnahme

Wenn Sie uns per E-Mail kontaktieren, werden Ihre Angaben (Name, E-Mail-Adresse, ggf. Firma und Inhalt) zur Bearbeitung Ihrer Anfrage verarbeitet (Art. 6 Abs. 1 lit. b/f DSGVO). Die E-Mail-Links öffnen das auf Ihrem Gerät eingerichtete E-Mail-Programm. Ein Kontaktformular wird auf dieser Website derzeit nicht angeboten. Wir speichern eingegangene Anfragen, solange dies zur Bearbeitung erforderlich ist, und löschen oder anonymisieren sie anschließend.

9. Terminbuchung (TidyCal)

Diese Website bietet derzeit keine Terminbuchung an. Die früher hier angebotene Weiterleitung auf den externen Dienst TidyCal (Sumo Group, Inc., Delaware/USA) wurde am 3. September 2026 abgeschaltet; die Adressen /demo und /termin führen seitdem auf die Kontaktseite und nicht mehr zu einem externen Anbieter. Es findet dadurch keine Datenverarbeitung durch TidyCal mehr statt, die von dieser Website ausgeht. Für Anfragen erreichen Sie uns per E-Mail.

Dieser Abschnitt bleibt stehen, weil Buchungen, die vor dem 3. September 2026 über TidyCal zustande kamen, weiterhin dort verarbeitet wurden. Details dazu stehen in der Datenschutzerklärung des Anbieters unter tidycal.com/privacy-policy.

10. Empfänger

Empfänger sind die in dieser Erklärung genannten Dienstleister im Rahmen der beschriebenen Zwecke, insbesondere Hosting und Webanalyse, sowie Behörden bei rechtlicher Verpflichtung. Angaben zur früheren Terminbuchung finden Sie in Abschnitt 9.

11. Übermittlung in Drittländer

Bei der Webanalyse (Abschnitt 6) und bei der Auslieferung dieser Website (Abschnitt 3) können personenbezogene Daten in die USA übermittelt werden: an Google LLC im Zusammenhang mit Google Analytics (unser Vertragspartner ist Google Ireland Limited) und an Cloudflare, Inc. Beide Unternehmen sind nach dem EU-US-Datenschutzrahmen (EU-U.S. Data Privacy Framework) zertifiziert; geprüft am 16. Oktober 2026 in der Teilnehmerliste des US-Handelsministeriums (dataprivacyframework.gov). Für Übermittlungen an zertifizierte Unternehmen gilt der Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 (Durchführungsbeschluss (EU) 2023/1795, Art. 45 DSGVO). Soweit dieser Rahmen nicht greift, stützen die Anbieter die Übermittlung nach ihren Vertragsbedingungen auf die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO, Durchführungsbeschluss (EU) 2021/914, veröffentlicht im Amtsblatt der Europäischen Union).

Der Datenschutzrahmen sieht für Personen in der EU Rechtsbehelfe vor: gegenüber dem zertifizierten Unternehmen eine Beschwerde, ein kostenloses unabhängiges Streitbeilegungsverfahren und zuletzt ein Schiedsverfahren; gegen Zugriffe US-amerikanischer Nachrichtendienste eine Beschwerde, die Sie bei Ihrer Datenschutzaufsichtsbehörde einreichen und die bis zum Data Protection Review Court führen kann. Behörden in den USA können nach dortigem Recht auf übermittelte Daten zugreifen; solche Zugriffe sind an die dort gesetzlich geregelten Voraussetzungen gebunden.

Für frühere Buchungen über Sumo Group/TidyCal gilt die Einordnung in Abschnitt 9.

12. Aufbewahrung und Löschung

Server-Logs werden in der Regel kurzfristig zur Sicherheit und Fehleranalyse vorgehalten und nach Wegfall des Zwecks gelöscht. Anfragen per E-Mail werden gelöscht, sobald sie nicht mehr benötigt werden, spätestens nach Ablauf gesetzlicher Aufbewahrungsfristen. In Google Analytics ist die Aufbewahrung der Ereignis- und Nutzerdaten auf 14 Monate eingestellt; danach löscht Google diese Daten. Für die Nutzerdaten zu einer Kennung beginnt die Frist mit jeder neuen Aktivität neu. Zusammengefasste Berichte ohne Bezug zu einzelnen Besuchenden bleiben davon unberührt. Wie lange die Analyse-Cookies und Ihre Einwilligungsentscheidung auf Ihrem Gerät gespeichert bleiben, steht unter Cookies und Speicher.

13. Die Software KUKANILEA (Abgrenzung zu dieser Website)

Die Abschnitte 1 bis 12 betreffen die Hauptwebsite und, soweit dort ausdrücklich genannt, die verlinkten kostenlosen Browser-Werkzeuge. Die installierte Software KUKANILEA ist davon getrennt: Sie wird nicht über diese Website betrieben und verarbeitet keine Daten unserer Websitebesucher. Weil auf den Produktseiten dennoch Aussagen zum Datenschutz stehen, halten wir hier fest, was für die installierte Software tatsächlich gilt.

Lokale Datenhaltung. KUKANILEA läuft grundsätzlich auf Ihrer eigenen Hardware. Die Fachdaten werden lokal im Betrieb gespeichert; eine laufende Speicherung Ihrer Bürodaten in einer KUKANILEA-Cloud findet nicht statt. Verantwortlicher im Sinne der DSGVO für diese Daten sind Sie.
Einrichtung und mögliche Datenübernahme. Falls der schriftlich angebotene Umfang solche Leistungen vorsieht, kann dabei ein Zugriff auf personenbezogene Daten entstehen. Art und Umfang werden vor dem Start konkret festgehalten.
Updates und Fernwartung. Updates spielen wir nach vereinbartem Termin per Fernwartung ein. Während einer solchen Sitzung ist ein Zugriff auf das System und damit auf personenbezogene Daten technisch möglich.
Support. Support läuft per E-Mail. Die Funktion „Problem melden“ in der Software versendet erst nach Ihrer ausdrücklichen Freigabe etwas; welche Angaben übertragen werden, sehen Sie vorher.
Verbindungen nach außen. Die Kernbereiche laufen lokal. Internetverbindungen entstehen je nach Nutzung auch beim E-Mail-Abgleich, bei externen Kalendern, eingebetteten Webdiensten, den Webtools und bewusst aktivierter externer KI sowie bei der Lizenzprüfung und vereinbarter Fernwartung. Das Programm sendet keine Nutzungsstatistik und keine Telemetrie an uns.
Dienste, die Sie selbst anbinden. Für eigene Postfächer per IMAP/SMTP, externe Kalender und optionale KI-Anbieter gelten die jeweiligen Verträge und Datenschutzhinweise. Je nach Funktion können Inhalte und personenbezogene Daten an diese Anbieter übertragen werden. Weitere Hinweise zu Online-Funktionen stehen unter Lokaler Betrieb.

Zur Auftragsverarbeitung. Ob für Einrichtung, Altdaten-Übernahme, Fernwartung oder Support eine Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO erforderlich ist, hängt von der konkreten Einrichtung und den möglichen Datenzugriffen ab. Wir klären das vor dem Start gemeinsam mit Ihnen und halten das Ergebnis schriftlich fest. Eine pauschale Aussage, dass keine Vereinbarung nötig sei, treffen wir bewusst nicht — diese Frage ist rechtlich zu prüfen und nicht durch eine Produkteigenschaft allein beantwortet. Diese Erklärung ersetzt keine Rechtsberatung.

14. Rechte betroffener Personen

Auskunft (Art. 15 DSGVO)
Berichtigung (Art. 16 DSGVO)
Löschung (Art. 17 DSGVO)
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO)
Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO), z. B. der Berliner Beauftragten für Datenschutz und Informationsfreiheit

Zur Ausübung dieser Rechte schreiben Sie an datenschutz@kukanilea.de. Eine erteilte Einwilligung in die Webanalyse können Sie jederzeit über „Datenschutzeinstellungen“ im Seitenfuß widerrufen.

15. Sicherheit

Die Verbindung zur Website erfolgt verschlüsselt (TLS). Wir setzen Sicherheits-Header (z. B. Strict-Transport-Security, X-Content-Type-Options, Referrer-Policy) ein.

16. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich Funktionen oder Rechtslage ändern. Maßgeblich ist die jeweils auf dieser Seite veröffentlichte Fassung.

Der Zusammenhang dieser Erklärung mit den übrigen Dokumenten steht im rechtlichen Rahmen; frühere Fassungen stehen im Versionsregister.