1. Gegenstand und Lesart
Diese Anlage konkretisiert die Datenschutzerklärung. Die Anlage unterscheidet die Auslieferung der Website von der Verarbeitung fachlicher Eingaben im Browser und von bewusst ausgelösten externen Schritten. Die Betroffenenrechte und die allgemeinen Rechtsgrundlagen stehen in der Datenschutzerklärung. Offene Vertrags-, Transfer- oder Aufbewahrungsnachweise werden als offen bezeichnet; daraus folgt keine Zusage einer bestimmten Löschung.
2. Dienste und Verarbeitungsmodelle
2.1 Öffentliche Website
Beim Aufruf der öffentlichen Website werden die angeforderte Ressource und technische Verbindungsdaten für Auslieferung und Sicherheit verarbeitet. Die Website selbst ist statisch. Dienste für Statistik werden nur nach einer aktiven Einwilligung geladen; Einzelheiten und Rechtsgrundlagen stehen in der Datenschutzerklärung. Datenort: Cloudflare-Auslieferung; optionale Analyse erst nach Einwilligung. Der Aufbewahrungsstand wird je Verarbeitungsvorgang unten erläutert.
2.2 Lokal arbeitende Browser-Werkzeuge
Die überwiegende Zahl der Browser-Werkzeuge verarbeitet Fachdaten im Browser des Nutzenden. Der Abruf der Anwendung erfordert weiterhin eine Verbindung zur Auslieferungsinfrastruktur. Lokal gespeicherte Eingaben können im Browser über die jeweilige Anwendung oder die Browser-Einstellungen entfernt werden; Umfang und Speichertechnik hängen vom Werkzeug ab. Datenort: Browser des Nutzers. Der Aufbewahrungsstand wird je Verarbeitungsvorgang unten erläutert.
2.3 Werkzeuge mit externer öffentlicher Datenquelle
Wird eine externe Datenquelle bewusst abgefragt, übermittelt der Browser die für diese Abfrage nötigen Werte und technische Verbindungsdaten. Dateien und Namen werden nicht schon durch das Öffnen des Werkzeugs an diese Datenquelle übertragen. Datenort: Browser plus ausdrücklich ausgelöste öffentliche Datenquelle. Der Aufbewahrungsstand wird je Verarbeitungsvorgang unten erläutert.
2.4 Werkzeuge mit Vermittlungsdienst
Kommunikationswerkzeuge benötigen zur Verbindungsanbahnung oder mobilen Übergabe einen externen Vermittlungsweg. Welche Sitzungs- und Netzwerkdaten dabei verarbeitet werden, steht in den folgenden werkzeugbezogenen Abschnitten. Für die beiden Relays ist eine definitive Löschfrist technisch nicht belegt. Datenort: Browser plus ausdrücklich ausgelöster Vermittlungsdienst. Der Aufbewahrungsstand wird je Verarbeitungsvorgang unten erläutert.
3. Externe Datenwege einzelner Werkzeuge
3.1 Bildschirm-Support
WebRTC-Signalisierung über einen Relay-Dienst: Übertragen werden Sitzungscode, SDP-Angebot/-Antwort und ICE-Kandidaten (enthalten IP-Adressen). Der geteilte Bildschirminhalt läuft direkt zwischen den Browsern (Peer-to-Peer) und nicht über den Relay. Zusätzlich kontaktiert der Browser öffentliche Google-STUN-Server zur NAT-Traversal; übertragen werden die eigene öffentliche IP-/Port-Zuordnung, keine Sitzungs- oder Bildschirminhalte. Die Verbindung kann zu kukanilea-screenshare-relay.kukanilea-504.workers.dev, stun.l.google.com, stun1.l.google.com aufgebaut werden. Zugeordnete Empfänger: Google STUN, KUKANILEA Screenshare-Relay. Das Werkzeug Bildschirm-Support öffnen zeigt den betreffenden Schritt in seiner Oberfläche.
3.2 Dienstplan
Nur auf Wunsch (Knopf „Per Handy unterschreiben“): Übergabe einer am Handy gezeichneten Unterschrift an den Rechner. Die Unterschrift wird vor dem Senden mit AES-GCM verschlüsselt; der Schlüssel steht ausschließlich im URL-Fragment des QR-Codes und wird nie an den Relay übertragen. Der Relay sieht nur Sitzungs-ID und Chiffrat; sein Quelltext (kukanilea-brief-relay) sieht eine Speicherfrist von zehn Minuten und das Löschen beim ersten Abholen vor. Eine darüber hinausgehende Zusage zu Protokollen der Cloudflare-Infrastruktur wird nicht gegeben. Team, Pläne und Schichten verlassen den Browser nicht. Die Verbindung kann zu kukanilea-brief-relay.kukanilea-504.workers.dev aufgebaut werden. Zugeordnete Empfänger: KUKANILEA Brief-Relay. Das Werkzeug Dienstplan öffnen zeigt den betreffenden Schritt in seiner Oberfläche.
3.3 Dokumentenscanner
Nur bei der Handy-Brücke: Fotos werden auf dem Handy mit AES-GCM (256 Bit) verschlüsselt und über den Vermittler dieses Werkzeugs (/relay/, gleiche Adresse) an den PC-Tab weitergereicht. Der Schlüssel steht nur im URL-Fragment und erreicht keinen Server. Der Vermittler sieht Raumkennung, Chiffrat und kurze Steuermeldungen (Beginn, Ende, Seitennummer, Bytezahl); er speichert nichts. Um Missbrauch zu begrenzen, zählt er neue Links je Minute über einen flüchtigen Hashwert aus IP-Adresse und Minute (höchstens fünf). Kamera, Dateien, Texterkennung und PDF bleiben lokal. Die Verbindung kann zu dokumentenscanner.kukanilea.de aufgebaut werden. Zugeordnete Empfänger: KUKANILEA Dokumentenscanner-Brücke. Das Werkzeug Dokumentenscanner öffnen zeigt den betreffenden Schritt in seiner Oberfläche.
3.4 Geschäftsbrief
Übergabe einer auf dem Mobilgerät erfassten Unterschrift an den Desktop-Browser. Die Unterschrift wird vor dem Senden im Browser mit AES-GCM verschlüsselt; der Schlüssel steht ausschließlich im URL-Fragment und wird nie an den Relay übertragen. Der Relay sieht nur Sitzungs-ID und Chiffrat. Die Verbindung kann zu kukanilea-brief-relay.kukanilea-504.workers.dev aufgebaut werden. Zugeordnete Empfänger: KUKANILEA Brief-Relay. Das Werkzeug Geschäftsbrief öffnen zeigt den betreffenden Schritt in seiner Oberfläche.
3.5 Online-Senden
Die Dateien gehen direkt von Browser zu Browser (WebRTC). Für den Verbindungsaufbau sehen der Vermittler dieses Werkzeugs (/relay/, gleiche Adresse, Cloudflare) und Cloudflare-STUN die IP-Adressen beider Seiten; die Anbahnung ist mit einem Schlüssel aus dem Link-Fragment versiegelt, das keinen Server erreicht. Nur wenn keine direkte Verbindung zustande kommt, reicht der Vermittler einzeln AES-GCM-verschlüsselte Pakete durch (höchstens 2 GB je Übertragung, 40 GB je Tag für alle); er speichert nichts. Um Missbrauch zu begrenzen, zählt er Verbindungen je Minute über einen flüchtigen Hashwert aus IP-Adresse und Minute. Die Verbindung kann zu online-senden.kukanilea.de, stun.cloudflare.com aufgebaut werden. Zugeordnete Empfänger: KUKANILEA Online-Senden-Vermittler. Das Werkzeug Online-Senden öffnen zeigt den betreffenden Schritt in seiner Oberfläche.
3.6 Systemcheck
Alle Geräte- und Browserprüfungen laufen lokal; Ergebnisse bleiben auf dem Gerät und werden nicht übertragen. Der Browser spricht ausschließlich mit systemcheck.kukanilea.de. Die DNS-Abfrage stellt der eigene Worker im Wireformat an öffentliche DoH-Resolver (Cloudflare, Google, Quad9) – übertragen wird dabei nur der abgefragte Domainname. Die Geschwindigkeitsmessung erzeugt bewusst Testverkehr gegen eigene Endpunkte (Füllbytes ohne Nutzdaten). Die Filterprüfung kontaktiert keinen Werbe- oder Trackinganbieter, sondern eigene Testpfade. Die Verbindung kann zu cloudflare-dns.com, dns.google, dns.quad9.net aufgebaut werden. Zugeordnete Empfänger: Cloudflare, Inc., Google LLC, Quad9 Foundation. Das Werkzeug Systemcheck öffnen zeigt den betreffenden Schritt in seiner Oberfläche.
3.7 Währungsrechner
Abruf öffentlicher EZB-Referenzkurse. Übertragen werden ausschließlich Währungscodes und ein Datum, keine Nutzereingaben. Die Verbindung kann zu api.frankfurter.dev aufgebaut werden. Zugeordnete Empfänger: Frankfurter / api.frankfurter.dev. Das Werkzeug Währungsrechner öffnen zeigt den betreffenden Schritt in seiner Oberfläche.
4. Empfänger und Vermittlungsdienste
4.1 Cloudflare, Inc.
Der Dienst ist für Statische Auslieferung, TLS, Sicherheits- und Abuse-Prevention vorgesehen. Er betrifft website-public, all-browser-tools und wird durch Aufruf einer KUKANILEA-Seite ausgelöst. Dabei können IP-Adresse, User-Agent, angeforderte URL, Zeitpunkt verarbeitet werden. Der dokumentierte Vertragsstand lautet: Auftragsverarbeitung im Datenschutztext dokumentiert; Vertragsnachweis nicht öffentlich. Zum möglichen Drittlandbezug und Übermittlungsmechanismus ist festgehalten: EU-US Data Privacy Framework bzw. Standardvertragsklauseln, soweit erforderlich. Für die Aufbewahrung ist derzeit nur folgender Stand belegt: Kurzfristige Server- und Sicherheitslogs; exakte Frist richtet sich nach dem eingesetzten Cloudflare-Dienst. Eine darüber hinausgehende feste Frist wird nicht zugesagt.
4.2 Google Ireland Limited
Der Dienst ist für Tag-Verwaltung und Reichweitenmessung vorgesehen. Er betrifft website-public und wird durch Nur nach aktiver Einwilligung ausgelöst. Dabei können Online-Kennungen, Nutzungsereignisse, ungefähre Region, Geräteinformationen verarbeitet werden. Der dokumentierte Vertragsstand lautet: Provider-Konfiguration und Vertragsstatus außerhalb des öffentlichen Repositorys. Zum möglichen Drittlandbezug und Übermittlungsmechanismus ist festgehalten: EU-US Data Privacy Framework bzw. Standardvertragsklauseln, soweit erforderlich. Für die Aufbewahrung ist derzeit nur folgender Stand belegt: In Google Analytics eingestellt: Ereignis- und Nutzerdaten 14 Monate; für Nutzerdaten zu einer Kennung beginnt die Frist mit jeder neuen Aktivität neu; zusammengefasste Berichte bleiben unberührt. Eine darüber hinausgehende feste Frist wird nicht zugesagt.
4.3 Frankfurter / api.frankfurter.dev
Der Dienst ist für Abruf von Referenzkursen vorgesehen. Er betrifft Währungsrechner und wird durch Abruf nach Eingabe im Währungsrechner ausgelöst. Dabei können Währungscodes, ausgewähltes Datum, technische Verbindungsdaten verarbeitet werden. Der dokumentierte Vertragsstand lautet: Öffentliche API; kein DPA-Nachweis im Repository. Zum möglichen Drittlandbezug und Übermittlungsmechanismus ist festgehalten: Anbieterstandort und Mechanismus vor materieller Änderung erneut prüfen. Für die Aufbewahrung ist derzeit nur folgender Stand belegt: Keine definitive öffentliche Aufbewahrungszusage. Eine darüber hinausgehende feste Frist wird nicht zugesagt.
4.4 Google STUN
Der Dienst ist für Ermittlung der öffentlichen IP-/Port-Zuordnung zur Peer-Verbindung vorgesehen. Er betrifft Bildschirm-Support und wird durch Start der Screensharing-Verbindung ausgelöst. Dabei können öffentliche IP-Adresse, Port, Zeitpunkt verarbeitet werden. Der dokumentierte Vertragsstand lautet: Öffentlicher STUN-Dienst; kein DPA-Nachweis im Repository. Zum möglichen Drittlandbezug und Übermittlungsmechanismus ist festgehalten: Drittlandbezug möglich; keine definitive Vertragszusage. Für die Aufbewahrung ist derzeit nur folgender Stand belegt: Keine definitive öffentliche Aufbewahrungszusage. Eine darüber hinausgehende feste Frist wird nicht zugesagt.
4.5 KUKANILEA Brief-Relay
Der Dienst ist für Verschlüsselter Transport einer mobilen Signatur zum Desktop vorgesehen. Er betrifft Geschäftsbrief, Dienstplan und wird durch Vom Nutzer gestartete mobile Signatur ausgelöst. Dabei können Sitzungskennung, AES-GCM-Chiffretext, Initialisierungsvektor, technische Verbindungsdaten verarbeitet werden. Der dokumentierte Vertragsstand lautet: Quellcode im Repository (kukanilea-brief-relay/src/index.js); Betrieb auf Cloudflare. Ein Betreibervertrag ist in diesem Repository nicht belegt. Zum möglichen Drittlandbezug und Übermittlungsmechanismus ist festgehalten: Cloudflare-Infrastruktur; konkreter Vertragsnachweis ausstehend. Für die Aufbewahrung ist derzeit nur folgender Stand belegt: Ungeklärt; keine definitive öffentliche Aufbewahrungszusage zulässig. Eine darüber hinausgehende feste Frist wird nicht zugesagt.
4.6 KUKANILEA Screenshare-Relay
Der Dienst ist für Vermittlung von Sitzungscode, SDP und ICE-Kandidaten vorgesehen. Er betrifft Bildschirm-Support und wird durch Vom Nutzer gestartete Screensharing-Verbindung ausgelöst. Dabei können Sitzungscode, SDP-Angebot und -Antwort, ICE-Kandidaten, IP-Adressen, technische Verbindungsdaten verarbeitet werden. Der dokumentierte Vertragsstand lautet: Relay-Quellcode und Betreibervertrag nicht in diesem Repository belegt. Zum möglichen Drittlandbezug und Übermittlungsmechanismus ist festgehalten: Cloudflare-Infrastruktur; konkreter Vertragsnachweis ausstehend. Für die Aufbewahrung ist derzeit nur folgender Stand belegt: Ungeklärt; keine definitive öffentliche Aufbewahrungszusage zulässig. Eine darüber hinausgehende feste Frist wird nicht zugesagt.
4.7 Sumo Group, Inc. / TidyCal
Der Dienst ist für Frühere Terminbuchungen vor dem 3. September 2026 vorgesehen. Er betrifft historical-bookings und wird durch Seit 3. September 2026 deaktiviert ausgelöst. Dabei können Kontaktdaten, Terminangaben verarbeitet werden. Der dokumentierte Vertragsstand lautet: Historischer Dienst; nicht mehr technisch eingebunden. Zum möglichen Drittlandbezug und Übermittlungsmechanismus ist festgehalten: Historische Verarbeitung in den USA. Für die Aufbewahrung ist derzeit nur folgender Stand belegt: Nach Anbieter- und gesetzlichen Fristen für frühere Buchungen. Eine darüber hinausgehende feste Frist wird nicht zugesagt.
4.8 Cloudflare, Inc.
Der Dienst ist für Auflösung eines vom Nutzer eingegebenen Domainnamens vorgesehen. Er betrifft Systemcheck und wird durch Serverseitige Abfrage durch den Systemcheck-Worker. Der Browser des Nutzers kontaktiert diesen Anbieter nicht selbst; seine IP-Adresse erreicht ihn deshalb nicht. ausgelöst. Dabei können abgefragter Domainname, Eintragstyp, technische Verbindungsdaten des KUKANILEA-Servers verarbeitet werden. Der dokumentierte Vertragsstand lautet: Öffentlicher Dienst; kein DPA-Nachweis im Repository. Zum möglichen Drittlandbezug und Übermittlungsmechanismus ist festgehalten: Anbieterstandort und Mechanismus vor materieller Änderung erneut prüfen. Für die Aufbewahrung ist derzeit nur folgender Stand belegt: Cloudflare veröffentlicht für 1.1.1.1 eine Zusage, Abfragedaten nicht zur Profilbildung zu verwenden; im Repository liegt dazu kein Nachweis.. Eine darüber hinausgehende feste Frist wird nicht zugesagt.
4.9 Google LLC
Der Dienst ist für Auflösung eines vom Nutzer eingegebenen Domainnamens vorgesehen. Er betrifft Systemcheck und wird durch Serverseitige Abfrage durch den Systemcheck-Worker. Der Browser des Nutzers kontaktiert diesen Anbieter nicht selbst; seine IP-Adresse erreicht ihn deshalb nicht. ausgelöst. Dabei können abgefragter Domainname, Eintragstyp, technische Verbindungsdaten des KUKANILEA-Servers verarbeitet werden. Der dokumentierte Vertragsstand lautet: Öffentlicher Dienst; kein DPA-Nachweis im Repository. Zum möglichen Drittlandbezug und Übermittlungsmechanismus ist festgehalten: Anbieterstandort und Mechanismus vor materieller Änderung erneut prüfen. Für die Aufbewahrung ist derzeit nur folgender Stand belegt: Öffentlicher Resolver; Aufbewahrung nach Anbieterangaben, im Repository nicht belegt.. Eine darüber hinausgehende feste Frist wird nicht zugesagt.
4.10 Quad9 Foundation
Der Dienst ist für Auflösung eines vom Nutzer eingegebenen Domainnamens vorgesehen. Er betrifft Systemcheck und wird durch Serverseitige Abfrage durch den Systemcheck-Worker. Der Browser des Nutzers kontaktiert diesen Anbieter nicht selbst; seine IP-Adresse erreicht ihn deshalb nicht. ausgelöst. Dabei können abgefragter Domainname, Eintragstyp, technische Verbindungsdaten des KUKANILEA-Servers verarbeitet werden. Der dokumentierte Vertragsstand lautet: Öffentlicher Dienst; kein DPA-Nachweis im Repository. Zum möglichen Drittlandbezug und Übermittlungsmechanismus ist festgehalten: Anbieterstandort und Mechanismus vor materieller Änderung erneut prüfen. Für die Aufbewahrung ist derzeit nur folgender Stand belegt: Schweizer Stiftung, nicht gewinnorientiert; Aufbewahrung nach Anbieterangaben, im Repository nicht belegt.. Eine darüber hinausgehende feste Frist wird nicht zugesagt.
4.11 KUKANILEA Dokumentenscanner-Brücke
Der Dienst ist für Verschlüsselter Transport von Handyfotos in den Scanner-Tab am PC vorgesehen. Er betrifft Dokumentenscanner und wird durch Vom Nutzer erzeugter Link oder QR-Code der Handy-Brücke ausgelöst. Dabei können Raumkennung, AES-GCM-Chiffretext, Initialisierungsvektor, Steuermeldungen (Beginn, Ende, Seitennummer, Bytezahl), technische Verbindungsdaten, Hashwert aus IP-Adresse und laufender Minute (nur zur Missbrauchsbegrenzung, nur im Arbeitsspeicher) verarbeitet werden. Der dokumentierte Vertragsstand lautet: Quellcode im Repository (kukanilea-dokumentenscanner/worker.js, relay-kern.js); Betrieb auf Cloudflare wie die übrigen Werkzeuge. Zum möglichen Drittlandbezug und Übermittlungsmechanismus ist festgehalten: Cloudflare-Infrastruktur, siehe Anbieter cloudflare. Für die Aufbewahrung ist derzeit nur folgender Stand belegt: Keine Speicherung: Durable Objects ohne Storage-API und ohne Alarme; Bilddaten werden im Arbeitsspeicher weitergereicht. Für die Dauer der Verbindung hängen Rolle, Startzeit, gewählte Gültigkeitsdauer und Bytezähler an der Verbindung. Gültigkeit 3 bis 90 Minuten: danach wird nichts mehr vermittelt; Gültigkeit Tab: bis der PC die Verbindung beendet. Die Missbrauchsbegrenzung zählt neue Links je Hashwert aus IP-Adresse und Minute nur im Arbeitsspeicher; nach Ablauf der Minute wird der Hashwert nicht mehr verwendet.. Eine darüber hinausgehende feste Frist wird nicht zugesagt.
4.12 KUKANILEA Online-Senden-Vermittler
Der Dienst ist für Anbahnung einer direkten Browser-zu-Browser-Übertragung; nur ersatzweise verschlüsselter Durchleitungsweg vorgesehen. Er betrifft Online-Senden und wird durch „Verschlüsselten Link erstellen“, Öffnen eines Empfangslinks, „Dateien vom Handy auf diesen Computer holen“ ausgelöst. Dabei können Raumkennung, AES-GCM-verschlüsselte Verbindungsangaben, im Ersatzweg AES-GCM-verschlüsselte Datenpakete mit Zähler, technische Verbindungsdaten, IP-Adresse und Port gegenüber Cloudflare-STUN, Hashwert aus IP-Adresse und laufender Minute (nur zur Missbrauchsbegrenzung, nur im Arbeitsspeicher), Tagessumme durchgeleiteter Bytes (ohne Personenbezug) verarbeitet werden. Der dokumentierte Vertragsstand lautet: Quellcode im Repository (kukanilea-online-senden/worker.js, relay-kern.js); Betrieb auf Cloudflare wie die übrigen Werkzeuge. Zum möglichen Drittlandbezug und Übermittlungsmechanismus ist festgehalten: Cloudflare-Infrastruktur, siehe Anbieter cloudflare. Für die Aufbewahrung ist derzeit nur folgender Stand belegt: Keine: Durable Objects ohne Storage-API und Alarme für Räume; Datenpakete nur im Arbeitsspeicher. Ein Zählerobjekt speichert je Tag eine Zahl (durchgeleitete Bytes). Ende der Vermittlung beim Schließen des Eröffner-Fensters, spätestens nach 24 Stunden.. Eine darüber hinausgehende feste Frist wird nicht zugesagt.