Datenschutzerklärung

1. Verantwortlicher

Verantwortlich im Sinne der DSGVO und des revidierten Schweizer DSG ist der Betreiber von brokaro.ch. Name und Anschrift ergänzen wir zusammen mit dem Impressum; bis dahin erreichen Sie uns für alle Datenschutzanliegen unter:

E-Mail: info@brokaro.ch

2. Grundsatz

Wir verarbeiten so wenig personenbezogene Daten wie möglich. Diese Website funktioniert ohne Benutzerkonto, ohne Tracking-Cookies von Drittanbietern, ohne Werbenetzwerke und ohne ein einziges Skript, das von einem fremden Server geladen wird. Auch unsere Reichweitenmessung läuft auf unserem eigenen Server und ohne Cookie — deshalb sehen Sie hier kein Einwilligungsbanner. Warum das zulässig ist, steht in Abschnitt 4.

3. Server und Protokolle

Diese Website läuft auf einem eigenen Server (siehe Abschnitt 10). Unser Webserver führt kein Zugriffsprotokoll: Welche Seiten Sie aufrufen, wird nicht zusammen mit Ihrer IP-Adresse aufgezeichnet.

Ihre IP-Adresse wird beim Aufruf technisch zwangsläufig übertragen und kurzzeitig im Arbeitsspeicher verarbeitet, zum Beispiel für die Ratenbegrenzung gegen automatisierte Zugriffe (Abschnitte 4, 7 und 8). Technische Fehlermeldungen des Servers, etwa über gescheiterte Verbindungsaufbauten, können eine IP-Adresse enthalten.

• Zweck: technischer Betrieb, Sicherheit und Fehleranalyse
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb)
• Speicherdauer: Fehlermeldungen höchstens 14 Tage, danach werden sie automatisch gelöscht

4. Reichweitenmessung — eigene, cookielose Statistik

Wir wollen wissen, welche Seiten gelesen werden. Dafür betreiben wir eine eigene Messung: Ihr Browser sendet bei einem Seitenaufruf einen kleinen Datensatz an unseren eigenen Endpunkt /api/track. Es wird kein Skript eines Drittanbieters geladen, kein Cookie gesetzt und keine Kennung auf Ihrem Gerät abgelegt.

Gespeichert wird genau das Folgende — nicht mehr:

Der Besucher-Hash. Damit zehn Seitenaufrufe einer Person nicht als zehn Besuche gezählt werden, brauchen wir innerhalb eines Tages ein Unterscheidungsmerkmal. Wir bilden es als SHA-256-Hash aus einem zufälligen Tagesschlüssel, Ihrer IP-Adresse und Ihrer User-Agent-Zeichenkette und speichern davon nur die ersten 20 Zeichen. Der Tagesschlüssel besteht aus 32 zufälligen Bytes, wird für jeden Kalendertag neu erzeugt, und der Schlüssel des Vortags wird gelöscht. Damit wird die erneute Berechnung früherer Kennungen erschwert. Eine Verknüpfbarkeit durch weitere Informationen kann dadurch allein nicht ausgeschlossen werden.

Was nicht gespeichert wird: keine IP-Adresse, keine User-Agent-Zeichenkette, kein Cookie, kein Fingerprint, keine seitenübergreifende Kennung, keine Verweildauer, keine Maus- oder Scrollbewegungen und keine Suchbegriffe. IP-Adresse und User-Agent werden ausschliesslich flüchtig im Arbeitsspeicher verwendet — für die Hash-Bildung, für eine Ratenbegrenzung gegen automatisierte Zugriffe und für einen einfachen Filter, der bekannte Crawler aussortiert — und danach verworfen.

• Zweck: Reichweitenmessung als Grundlage für redaktionelle Entscheidungen
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer datensparsamen Reichweitenmessung). Der Tageshash kann innerhalb eines Tages Aufrufe verbinden und wird vorsorglich als pseudonymes Datum behandelt. Hashing allein garantiert keine Anonymität.
• Empfänger: niemand. Die Zeilen liegen in unserer eigenen Datenbank; sie werden nicht weitergegeben, nicht mit anderen Quellen zusammengeführt und nicht verkauft.
• Speicherdauer: Die gespeicherten Zeilen werden derzeit nicht automatisch gelöscht. In der Datei-Variante des Speichers werden nur die letzten 50 000 Zeilen behalten.

Widerspruch (Opt-out). Zwei Wege, beide wirken sofort und ohne Konto:

1. 1Aktivieren Sie in Ihrem Browser „Do Not Track“. Die Messung liest die Einstellung in Ihrem Browser aus (navigator.doNotTrack) und sendet dann gar nichts erst ab — es entsteht also kein Datensatz, den wir verwerfen müssten. Den HTTP-Header DNT: 1 werten wir serverseitig nicht aus; die gängigen Browser setzen beides gemeinsam, und wo das auseinanderfällt, entscheidet die Einstellung im Browser. Viele Websites ignorieren dieses Signal — wir nicht.
2. 2Setzen Sie den Schalter auf der Seite Datenschutz-Einstellungen. Er legt den Wert bp-no-analytics in Ihrem Browser ab; solange er gesetzt ist, wird nichts gesendet.

Warum es dafür kein Cookie-Banner gibt. Eine Einwilligung ist nach § 25 TDDDG (früher TTDSG) bzw. Art. 5 Abs. 3 der ePrivacy-Richtlinie dann erforderlich, wenn Informationen auf Ihrem Endgerät gespeichert oder aus ihm ausgelesen werden, die für den von Ihnen gewünschten Dienst nicht unbedingt erforderlich sind. Diese Messung tut beides nicht: Sie setzt kein Cookie und legt keine Kennung ab. Ausgelesen wird allein der Opt-out-Schlüssel, den Sie selbst gesetzt haben — also genau der Wert, mit dem Sie widersprochen haben, und dessen Auslesen zur Erfüllung Ihres Wunsches erforderlich ist. Ein Banner, das um eine Erlaubnis bittet, die niemand braucht, würde Ihnen nur beibringen, ungelesen auf „Akzeptieren“ zu klicken.

Das ist eine Aussage über den heutigen Stand, keine dauerhafte Zusicherung: Sobald wir ein Werkzeug eines Drittanbieters einbinden würden — Google Analytics, ein Meta-Pixel, ein Werbenetzwerk oder ein gehostetes Analyse-Skript —, änderte sich die Bewertung. Solche Werkzeuge setzen Kennungen und geben Daten an Dritte weiter; sie brauchen eine Einwilligung, bevor sie laden. Wir würden diese Erklärung dann vorher anpassen und die Einwilligung tatsächlich einholen.

5. Lokale Speicherung im Browser

Wir verwenden localStorage und zwei Cookies für rein funktionale Zwecke:

Die vier Local-Storage-Werte verlassen Ihr Gerät nie — sie werden nicht an den Server gesendet. Die Cookies bp-locale und bp-country werden bei jeder Anfrage mitgeschickt, weil Sprachweiche und Länderauswahl auf dem Server entscheiden; sie enthalten ausschliesslich ein Sprach- bzw. Länderkürzel und dienen nicht der Wiedererkennung. Beim Klick auf einen Broker-Link wird das gewählte Länderkürzel zusammen mit dem Klick gespeichert, weil Partnerverträge nach Ländern gelten (siehe Abschnitt zur Weiterleitung). Keiner dieser Werte wird zur Profilbildung oder zur Verfolgung über Websites hinweg verwendet. Da es sich um unbedingt erforderliche bzw. von Ihnen aktiv ausgelöste Funktionen handelt, ist hierfür keine Einwilligung nach § 25 TDDDG erforderlich.

Sie können alle sechs Einträge auf der Seite Datenschutz-Einstellungen einsehen und mit einem Klick löschen.

6. Klick-Messung bei Partnerlinks

Wenn Sie einen Partnerlink anklicken, leitet Sie ein interner Weiterleitungspfad (/go/...) zum Broker. Dabei protokollieren wir: den angeklickten Broker, die Platzierung des Links auf der Seite, die Sprachversion, den ausgewählten oder von der Hosting-Plattform gelieferten Ländercode und ausschliesslich den Host der verweisenden Website. URL-Pfade, Suchparameter und User-Agent werden nicht gespeichert.

• Zweck: Messung der Reichweite und Abrechnung mit Partnerprogrammen
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Reichweitenmessung)
• Kein Personenbezug beabsichtigt: Wir speichern keine IP-Adresse zu diesem Zweck und legen kein Nutzerprofil an. Klickzählungen belegen keine Registrierung und keinen Provisionsanspruch; dafür ist die bestätigte Abrechnung des Partners massgeblich.
• Speicherdauer: Die Klicks werden derzeit nicht automatisch gelöscht. In der Datei-Variante des Speichers werden nur die letzten 20 000 Klicks behalten.

An die Ziel-URL hängen wir die Parameter utm_source=brokaro, utm_medium=referral und utm_campaign mit der Platzierung an, sofern der Link nicht bereits eigene Parameter mitbringt. Diese Parameter enthalten nichts über Sie. Freigegebene Partnerlinks werden unverändert verwendet, damit vorgegebene oder signierte Tracking-Parameter gültig bleiben.

Der Broker, zu dem Sie weitergeleitet werden, ist für seine eigene Datenverarbeitung eigenständig verantwortlich und setzt in der Regel eigene Cookies. Bitte lesen Sie dessen Datenschutzerklärung.

7. Newsletter

Wenn Sie den Newsletter abonnieren, speichern wir Ihre E-Mail-Adresse, die Sprachversion, die Herkunft der Anmeldung (z. B. Fussbereich der Seite), den Zeitpunkt, einen zufälligen Token sowie den Bestätigungs- und Abmeldestatus. Ihre IP-Adresse speichern wir nicht; sie wird nur flüchtig für eine Ratenbegrenzung verwendet.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)
• Verfahren — echtes Double-Opt-in: Die Adresse wird zunächst unbestätigt gespeichert. Sie erhalten eine einzige E-Mail mit einem Bestätigungslink, der einen zufälligen Token enthält. Erst wenn Sie diesen Link öffnen, gilt die Anmeldung. Ohne Bestätigung erhalten Sie keinen Newsletter — an eine unbestätigte Adresse geht nach der Bestätigungsmail nichts mehr hinaus.
• Der Token: eine zufällige Zeichenfolge, die ausschliesslich in der E-Mail steht, nie auf einer Seite angezeigt wird und später auch die Abmeldung mit einem Klick ermöglicht.
• Abmeldung: Jede E-Mail enthält einen Abmeldelink und zusätzlich die Kopfzeilen List-Unsubscribe und List-Unsubscribe-Post nach RFC 8058. Ihr E-Mail-Programm kann Sie damit mit einem Klick abmelden — ohne Rückfrage, ohne Anmeldung. Der Widerruf wirkt für die Zukunft.
• Nach der Abmeldung: Der Datensatz bleibt mit dem Zeitpunkt der Abmeldung gespeichert, damit die Adresse nicht versehentlich erneut angeschrieben wird. Auf Anfrage löschen wir ihn vollständig.
• Versand: Die E-Mails werden über den eigenen SMTP-Server bzw. SMTP-Dienst des Betreibers versendet. Es kommt kein Newsletter-Werkzeug eines Drittanbieters zum Einsatz, das Öffnungen oder Klicks misst. Versendet wird über das Postfach info@brokaro.ch bei der METANET AG, Josefstrasse 218, 8005 Zürich, Schweiz.

8. Kontaktformular

Nachrichten aus dem Kontaktformular werden gespeichert und zusätzlich per E-Mail an das Postfach des Betreibers gesendet — gespeichert deshalb, weil eine Nachricht bei einer Mail-Störung nicht verloren gehen darf.

• Gespeichert wird: das gewählte Anliegen (Datenfehler, Partnerschaft, Presse, Allgemein), Ihr Name, Ihre E-Mail-Adresse, der Betreff, der Nachrichtentext (einschliesslich des Brokers und der Seiten-URL, falls Sie beides angegeben haben), die Sprachversion, der Zeitpunkt sowie ein Vermerk, ob die Benachrichtigungsmail zugestellt werden konnte.
• Nicht gespeichert wird: Ihre IP-Adresse. Sie wird nur flüchtig für eine Ratenbegrenzung verwendet.
• Versand: Die Benachrichtigung geht an das Postfach des Betreibers, mit Ihrer Adresse als Antwortadresse. Sie selbst erhalten eine Eingangsbestätigung an die angegebene Adresse. Ist kein SMTP-Zugang eingerichtet, wird die Nachricht nur gespeichert und intern als nicht zugestellt ausgewiesen — wir tun nicht so, als wäre eine E-Mail verschickt worden.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Ihre ausdrückliche, nicht vorangekreuzte Einwilligung beim Absenden) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung).
• Verwendung: ausschliesslich zur Bearbeitung Ihres Anliegens. Ihre Adresse wird nicht in den Newsletter übernommen und nicht weitergegeben.
• Speicherdauer: bis Ihr Anliegen erledigt ist und keine Aufbewahrungspflicht entgegensteht. Eine automatische Löschfrist ist technisch nicht eingerichtet. Auf Anfrage löschen wir eine Nachricht jederzeit.

9. Nutzerbewertungen

Wenn Sie eine Bewertung einreichen, verarbeiten wir den von Ihnen angegebenen Namen, optional das Land, die Bewertung und Ihren Text.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch das Absenden)
• Veröffentlichung: nach Prüfung, mit dem von Ihnen angegebenen Namen
• Hinweis: Verwenden Sie ein Pseudonym, wenn Sie nicht identifizierbar sein möchten. Geben Sie in Bewertungen keine Kontonummern oder anderen sensiblen Daten an.
• Löschung: auf Anfrage jederzeit

10. Hosting

Die Website läuft auf einem Server, den wir bei der netcup GmbH, Emmy-Noether-Strasse 10, 76131 Karlsruhe, Deutschland, mieten; der Server steht in einem Rechenzentrum in Nürnberg. Betrieb und Software des Servers verantworten wir selbst. E-Mails an und von info@brokaro.ch laufen über die METANET AG, Josefstrasse 218, 8005 Zürich, Schweiz.

Ihre Daten werden damit in Deutschland und in der Schweiz verarbeitet. Eine Übermittlung in Länder ausserhalb der EU, des EWR und der Schweiz findet nicht statt.

11. Schriftarten

Schriftarten werden vom eigenen Server ausgeliefert. Es findet keine Verbindung zu Google Fonts oder einem anderen externen Font-Dienst statt.

12. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Ein ehrlicher Hinweis zur Reichweitenmessung: Aus den Angaben, die wir speichern, können wir die dort abgelegten Zeilen keiner Person zuordnen — wir bewahren weder Ihre IP-Adresse noch Ihre User-Agent-Zeichenkette auf, und der Tagesschlüssel des Vortags ist gelöscht. Für Auskunft oder gezielte Löschung müssten Sie uns zusätzliche Angaben liefern, die eine Zuordnung erlauben; können Sie das, setzen wir Ihr Recht um. Wir behaupten damit ausdrücklich nicht, diese Zeilen seien anonym — Abschnitt 4 behandelt sie vorsorglich als pseudonyme Daten. Unabhängig davon wirkt der Widerspruch nach Abschnitt 4 sofort und verhindert künftige Aufzeichnungen.

Sie haben ausserdem das Recht, sich bei einer Aufsichtsbehörde zu beschweren — in Deutschland bei der Landesdatenschutzbehörde Ihres Bundeslandes, in Österreich bei der Datenschutzbehörde, in der Schweiz beim EDÖB.

13. Änderungen

Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert. Massgeblich ist die jeweils hier veröffentlichte Fassung.