Zum Inhalt springen
Loskiste

Datenschutzerklärung

1. Verantwortlicher

Takka Invest UG (haftungsbeschränkt)
Hohenzollernstr. 7
71126 Gäufelden
Deutschland

Vertreten durch den Geschäftsführer Timo Brandstätter.
E-Mail: timo@takka.group (landet direkt beim Geschäftsführer)
Telefon: +49 7032-89 40 266

Eine:n Datenschutzbeauftragte:n haben wir nicht benannt, weil wir dazu nicht verpflichtet sind.

Diese Erklärung gilt für Loskiste. Folgst du einem Link auf eine andere Website, gilt ab dort deren eigene Datenschutzerklärung.

2. Worum es geht

Loskiste ist ein Dienst zum Organisieren von Wichtel-Aktionen. Es gibt zwei Arten von Nutzenden:

  • Organisatoren haben einen Account und legen Gruppen und Auslosungen an.
  • Teilnehmende haben keinen Account. Sie erhalten pro Auslosung einen persönlichen Link per E-Mail.

Wir verwenden kein Tracking, keine Analyse-Tools, keine Werbung und keine externen Inhalte (Schriften und alle Dateien werden von unserem eigenen Server ausgeliefert).

3. Welche Daten wir verarbeiten

Organisatoren

  • Name, E-Mail-Adresse und Passwort (nur als Argon2id-Hash gespeichert). Der Name wird verwendet, wenn du in einer Gruppe selbst mitmachst
  • Zeitpunkt der Registrierung und der E-Mail-Bestätigung
  • die angelegten Gruppen, Mitglieder, Regeln und Auslosungen

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag).

Mitglieder und Teilnehmende

Organisatoren tragen Mitglieder mit Name und optional E-Mail-Adresse ein. Für Mitglieder ohne E-Mail kann ein anderes Mitglied der Gruppe als Bote gewählt werden, das die Links an dessen E-Mail-Adresse bekommt und weitergibt. Bei einer Auslosung kommen hinzu: Zu- oder Absage, optional Wunschzettel und Postadresse.

  • Der Wunschzettel und die Postadresse sind nur für die Person sichtbar, die das jeweilige Mitglied beschenkt – nicht für den Organisator.
  • Die Zuordnung „wer beschenkt wen“ wird verschlüsselt gespeichert (AES-256-GCM). Der Schlüssel liegt nicht in der Datenbank. Der Organisator kann die Zuordnungen nicht einsehen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt in der Durchführung der von den Beteiligten gewünschten Wichtel-Aktion. Bei Selbstanmeldung über einen öffentlichen Link: Art. 6 Abs. 1 lit. b DSGVO.

Organisatoren nutzen Loskiste in der Regel privat, etwa in der Familie oder im Freundeskreis. Für diese rein persönliche Tätigkeit gilt die DSGVO für sie selbst nicht (Art. 2 Abs. 2 lit. c DSGVO). Verantwortlich für die Verarbeitung auf Loskiste sind wir als Betreiber (siehe Erwägungsgrund 18 DSGVO).

Organisatoren dürfen nur Personen eintragen, die von der Wichtel-Aktion wissen und einverstanden sind. Das bestätigen sie ausdrücklich, bevor die ersten Einladungen verschickt werden. Wer trotzdem eine Einladung bekommt und nicht mitmachen möchte, sagt über den Link in der Einladung ab und kann die Löschung seiner Daten verlangen (siehe Abschnitt 6).

E-Mail-Versand

Wir versenden E-Mails (Bestätigung, Passwort-Reset, Einladungen, Auslosungsergebnis, Erinnerungen) über einen eigenen Mailserver, den wir selbst betreiben. Ein externer Versanddienst ist nicht beteiligt: Die Mail geht von unserem Server direkt an den Mailserver deines E-Mail-Anbieters. Der Mailserver läuft auf einem eigenen Server in Deutschland (siehe Hosting). Er protokolliert für jede Mail Absender, Empfänger, Zeitpunkt und Zustellstatus, damit wir Zustellprobleme klären können. Diese Protokolle löschen wir nach 14 Tagen. Die E-Mails enthalten keine Tracking-Pixel und keine externen Bilder. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (zuverlässige Zustellung).

Hosting

Loskiste läuft auf einem virtuellen Server, den wir bei Hostinger International Ltd., 61 Lordou Vironos str., 6023 Larnaca, Zypern, mieten. Den Server betreiben wir selbst. Hostinger stellt Rechenzentrum, Hardware und Netzanbindung, der Server steht in der EU. Hostinger verarbeitet die Daten auf dem Server nur in unserem Auftrag, auf Grundlage eines Vertrags zur Auftragsverarbeitung nach Art. 28 DSGVO.

Unser Mailserver läuft auf einem zweiten virtuellen Server, den wir bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, mieten. Auch diesen Server betreiben wir selbst. Hetzner stellt Rechenzentrum, Hardware und Netzanbindung, der Server steht in Nürnberg. Hetzner verarbeitet die Daten auf dem Server nur in unserem Auftrag, auf Grundlage eines Vertrags zur Auftragsverarbeitung nach Art. 28 DSGVO.

Datensicherung

Die Datenbank sichern wir einmal täglich. Die Sicherungen liegen verschlüsselt auf einem Speicher der Hetzner Online GmbH in der EU (Auftragsverarbeitung wie oben). Hetzner kann sie nicht lesen. Der Schlüssel für die Zuordnungen liegt nicht in diesen Sicherungen. Wir bewahren tägliche Sicherungen 7 Tage, wöchentliche 4 Wochen und monatliche 6 Monate auf. Daten, die in Loskiste gelöscht wurden, können deshalb bis zu 6 Monate in den Sicherungen enthalten sein. Wir nutzen die Sicherungen nur, um Loskiste nach einem Ausfall wiederherzustellen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Datenverlust).

Server-Protokolle

Unsere Anwendung protokolliert pro Anfrage nur Methode, Pfad (ohne Parameter, persönliche Links werden unkenntlich gemacht), Statuscode und Dauer – keine IP-Adressen. Der persönliche Code in Teilnehmer-, Passwort-Reset- und Bestätigungslinks steht hinter dem # und wird vom Browser gar nicht erst an den Server übertragen. Zum Schutz vor Missbrauch (Rate-Limiting) wird die IP-Adresse für höchstens eine Stunde im Arbeitsspeicher gehalten und nicht gespeichert.

Vor der Anwendung sitzt ein Webserver, der die verschlüsselte HTTPS-Verbindung herstellt. Er führt kein Zugriffsprotokoll, speichert also weder IP-Adressen noch aufgerufene Pfade. Er protokolliert nur eigene Betriebs- und Fehlermeldungen, etwa zur Erneuerung des TLS-Zertifikats.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Sicherheit des Dienstes).

4. Cookies – warum es keinen Cookie-Banner gibt

Loskiste setzt genau ein Cookie: das Session-Cookie loskiste_session, und zwar nur, wenn sich ein Organisator anmeldet. Es hält die Anmeldung aufrecht und enthält einen Schutz gegen gefälschte Anfragen (CSRF). Es ist verschlüsselt, für Skripte nicht lesbar (HttpOnly), wird nur über HTTPS übertragen (Secure) und nicht an fremde Seiten gesendet (SameSite=Lax). Es läuft nach 14 Tagen ab oder wird beim Abmelden gelöscht.

Dieses Cookie ist unbedingt erforderlich, damit der vom Organisator ausdrücklich gewünschte Dienst (der Login) funktioniert. Nach § 25 Abs. 2 Nr. 2 TDDDG ist dafür keine Einwilligung nötig. Teilnehmende und Besucher ohne Login erhalten gar kein Cookie. Weitere Cookies, Local Storage oder vergleichbare Techniken setzen wir nicht ein – deshalb gibt es keinen Cookie-Banner.

5. Wie lange wir Daten speichern

  • Wunschzettel und Postadressen werden 30 Tage nach dem Veranstaltungsdatum automatisch gelöscht. Gleichzeitig werden die persönlichen Teilnehmer-Links ungültig.
  • Zuordnungen bleiben danach verschlüsselt erhalten, damit sich Paarungen in den Folgejahren nicht wiederholen. Sie werden gelöscht, wenn der Organisator die Auslosung, das Mitglied, die Gruppe oder seinen Account löscht.
  • Nicht bestätigte Accounts werden nach 7 Tagen gelöscht.
  • Protokolle des Mailservers werden nach 14 Tagen gelöscht. Der Webserver führt kein Zugriffsprotokoll.
  • Sicherungen der Datenbank werden nach spätestens 6 Monaten gelöscht (siehe Datensicherung).
  • Accounts bestehen, bis der Organisator sie löscht. Das Löschen ist endgültig und umfasst alle Gruppen, Mitglieder, Auslosungen und Zuordnungen.

6. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Schreib dazu an timo@takka.group. Das kostet nichts, und wir antworten innerhalb eines Monats. Als Teilnehmende:r kannst du dich auch an die Person wenden, die die Wichtel-Aktion organisiert.

Wenn du meinst, dass wir deine Daten rechtswidrig verarbeiten, kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren – in dem Mitgliedstaat, in dem du lebst oder arbeitest, oder in dem der mutmaßliche Verstoß stattfand. Für uns zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart, www.baden-wuerttemberg.datenschutz.de.

7. Sicherheit

Verbindungen sind per HTTPS verschlüsselt. Passwörter werden mit Argon2id gehasht, Link-Tokens nur als Hash gespeichert, Zuordnungen mit AES-256-GCM verschlüsselt.

8. Änderungen

Wir passen diese Erklärung an, wenn sich Loskiste oder die Rechtslage ändert. Es gilt die hier veröffentlichte Fassung.

Stand: 7. November 2026