Datenschutz­erklärung

Verantwortlicher

Verantwortlich im Sinne der Datenschutz-Grundverordnung (DSGVO) ist die

Weitere Angaben findest du im Impressum.

Website

Hosting

Diese Website läuft zusammen mit der Web-App auf einem Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, die in unserem Auftrag tätig ist (Art. 28 DSGVO). Beim Aufruf werden technisch notwendige Zugriffsdaten wie IP-Adresse, Zeitpunkt des Zugriffs und aufgerufene Seite verarbeitet. Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren und effizienten Bereitstellung (Art. 6 Abs. 1 lit. f DSGVO). Eine Übermittlung in Drittländer findet dabei nicht statt.

Server-Logfiles

Der Hosting-Anbieter speichert automatisch Informationen, die dein Browser übermittelt: Browsertyp und -version, Betriebssystem, Referrer-URL, Hostname des zugreifenden Rechners, Uhrzeit der Anfrage und IP-Adresse. Diese Daten werden nicht mit anderen Datenquellen zusammengeführt und dienen der technischen Bereitstellung und Sicherheit (Art. 6 Abs. 1 lit. f DSGVO).

Schriftarten

Die Schrift „Inter“ wird lokal von unserem eigenen Server geladen. Es werden keine Verbindungen zu Servern Dritter wie Google Fonts aufgebaut.

Cookies und lokaler Speicher

Die Website setzt keine Cookies. Im lokalen Speicher deines Browsers (localStorage) speichern wir nur deine Auswahl in den Datenschutz-Einstellungen und, falls du sie selbst umstellst, deine bevorzugte Sprache, damit wir dich nicht bei jedem Besuch erneut fragen. Das ist technisch erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Reichweitenmessung mit FABULOUS ANALYTICS (nur mit Einwilligung)

Wenn du in den Datenschutz-Einstellungen zustimmst, nutzen wir FABULOUS ANALYTICS (app.fabulous-analytics.com), einen Dienst der FABULOUS-Unternehmensgruppe, Conventstraße 15, 22089 Hamburg, um anonym zu zählen, wie unsere Website genutzt wird. Ohne deine Zustimmung wird das Analyse-Skript nicht geladen.

Dabei werden übermittelt: die aufgerufene Seite, die verweisende Seite (Referrer), Kampagnen-Parameter in der Adresse (z. B. utm_source), die Zeitzone und Sprache deines Browsers, die Bildschirmbreite, Verweildauer und Scrolltiefe sowie eine zufällige Kennung für den einzelnen Seitenaufruf. Aus der Kennung deines Browsers (User-Agent) werden Browser- und Gerätetyp abgeleitet, der User-Agent selbst wird nicht gespeichert. FABULOUS ANALYTICS setzt keine Cookies, speichert nichts auf deinem Gerät, speichert keine IP-Adressen, nutzt kein Fingerprinting und erkennt dich nicht über mehrere Besuche oder Websites hinweg wieder. Deine IP-Adresse wird nur kurzzeitig zur technischen Übermittlung verarbeitet.

Rechtsgrundlage ist deine Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen, indem du unten auf der Seite „Datenschutz-Einstellungen“ öffnest und „Ablehnen“ wählst. Die erhobenen Statistiken enthalten keine Daten, die dich identifizieren.

Dienst FABULOUS 2FA

FABULOUS 2FA ist eine Authenticator-App: Du speicherst die Zugänge für die Zwei-Faktor-Authentifizierung (2FA) deiner Online-Konten, etwa bei GitHub, Google oder Amazon, in deinem FABULOUS-2FA-Konto. So stehen sie dir in der Web-App und in den Apps für iPhone und Android zur Verfügung, und die Einmalcodes werden auf deinem Gerät berechnet. Die Verarbeitung der folgenden Daten ist zur Bereitstellung des Dienstes erforderlich (Art. 6 Abs. 1 lit. b DSGVO), soweit nicht anders angegeben.

Hosting des Dienstes

Die Web-App und die Schnittstelle für die Apps laufen auf demselben Server der Hetzner Online GmbH wie diese Website (siehe oben). Beim Zugriff fallen Server-Logfiles wie oben beschrieben an.

Dein Konto

Bei der Registrierung speichern wir deinen Namen, deine E-Mail-Adresse und dein Passwort. Das Passwort wird ausschließlich als kryptografischer Hash gespeichert, nicht im Klartext. Außerdem speichern wir deine Einstellungen (z. B. Sprache, Design, Sortierung der Liste) sowie den Zeitpunkt der Registrierung und der letzten Anmeldung. Der Dienst richtet sich an Personen ab 16 Jahren.

Wenn du unseren AGB zustimmst, speichern wir die Version der AGB und den Zeitpunkt deiner Zustimmung. Damit können wir nachweisen, welcher Fassung du zugestimmt hast (Art. 6 Abs. 1 lit. b und f DSGVO).

Verstößt ein Konto gegen unsere AGB oder besteht der Verdacht auf Missbrauch, können wir es sperren. Dafür speichern wir einen Sperrvermerk mit Zeitpunkt und Grund (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an einem sicheren und rechtmäßigen Betrieb).

Deine 2FA-Konten

Für jedes 2FA-Konto, das du hinzufügst, speichern wir den Namen des Dienstes (z. B. „GitHub“), den Kontonamen (z. B. deine E-Mail-Adresse oder deinen Benutzernamen bei diesem Dienst), den geheimen Schlüssel und die technischen Einstellungen (Verfahren TOTP oder HOTP, Algorithmus, Anzahl der Stellen, Intervall bzw. Zähler). Optional speichern wir eine Notiz, die Website des Dienstes, die Gruppe, die Favoriten-Markierung, die Reihenfolge und den Zeitpunkt, zu dem du einen Code zuletzt kopiert hast.

Geheime Schlüssel und Notizen werden mit libsodium (XSalsa20-Poly1305) verschlüsselt in unserer Datenbank gespeichert. Damit deine Geräte die Codes berechnen können, entschlüsselt unser Server die Schlüssel, wenn du angemeldet bist, und überträgt sie ausschließlich über verschlüsselte Verbindungen an deine Web-App bzw. App. Zum Erkennen doppelter Einträge speichern wir zusätzlich einen Hash (Fingerabdruck) des Schlüssels, aus dem sich der Schlüssel nicht zurückrechnen lässt.

Die Daten in deinen 2FA-Konten können personenbezogene Daten über dich enthalten, etwa bei welchen Diensten du ein Konto hast. Wir verwenden sie ausschließlich, um dir den Dienst bereitzustellen, und werten sie nicht aus.

Kamera, QR-Codes und Import

Zum Scannen von QR-Codes greift die Web-App bzw. App nach deiner Erlaubnis auf die Kamera deines Geräts zu. Das Kamerabild und Bilder, die du zum Einlesen auswählst oder hineinziehst (z. B. Screenshots), werden ausschließlich auf deinem Gerät ausgewertet und nicht an uns übertragen. An unseren Server geht nur der erkannte Text des QR-Codes (z. B. ein otpauth-Link oder der Export-Code aus Google Authenticator), damit wir die enthaltenen Konten anlegen können. Dasselbe gilt für Backups aus anderen Apps (z. B. Aegis oder 2FAS) und für Links, die du einfügst.

Die Kamera-Berechtigung kannst du jederzeit in den Einstellungen deines Browsers bzw. Geräts widerrufen. Die Konten kannst du dann weiterhin manuell eingeben.

Export (Backup)

Du kannst alle 2FA-Konten als Datei exportieren (JSON-Datei oder Liste von otpauth-Links). Vorher musst du dein Passwort erneut eingeben. Die Datei wird auf deinem Gerät gespeichert und enthält deine geheimen Schlüssel unverschlüsselt. Bewahre sie daher sicher auf. Nach jedem Export schicken wir dir eine Sicherheits-E-Mail (siehe unten).

Logos der Dienste

Um bei deinen 2FA-Konten das Logo des jeweiligen Dienstes anzuzeigen, fragt unser Server das Symbol der zugehörigen Domain (z. B. „github.com“) beim Favicon-Dienst der Google LLC bzw. direkt bei der jeweiligen Website ab. Die Domain ergibt sich aus der Website, die du angibst, oder aus dem Namen des Dienstes bzw. Kontos. Dabei wird nur der Domainname übermittelt, keine Daten über dich und nicht deine IP-Adresse. Dein Browser bzw. deine App baut dafür keine Verbindung zu Dritten auf. Bei Adressen großer E-Mail-Anbieter wie Gmail oder Outlook findet keine Abfrage statt. Die Logos werden bis zu 30 Tage zwischengespeichert. Rechtsgrundlage ist unser berechtigtes Interesse an einer übersichtlichen Darstellung (Art. 6 Abs. 1 lit. f DSGVO).

Anmeldung und Sicherheit

Für die Anmeldung setzen wir in der Web-App ein Sitzungs-Cookie und, damit du angemeldet bleibst, ein Anmelde-Cookie mit einer Gültigkeit von 90 Tagen. In den Apps wird ein Anmelde-Token im geschützten Speicher deines Geräts (Schlüsselbund bzw. Keystore) abgelegt. Diese Cookies und Tokens sind technisch erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Auf unserem Server speichern wir sie nur als Hash. Darüber hinaus setzen wir in der Web-App und in den Apps keine Cookies und nutzen dort keine Analyse- oder Tracking-Dienste. Eine Einwilligung ist dafür deshalb nicht erforderlich.

Wenn du die Zwei-Faktor-Authentifizierung für dein FABULOUS-2FA-Konto aktivierst, speichern wir den geheimen Schlüssel verschlüsselt und deine Wiederherstellungscodes als Hash.

Zum Schutz vor Angriffen und Missbrauch zählen wir fehlgeschlagene Anmeldeversuche pro IP-Adresse und E-Mail-Adresse sowie bestimmte Aktionen wie Importe und Exporte pro Konto. Diese Einträge werden spätestens nach 24 Stunden gelöscht. Bei sicherheitsrelevanten Vorgängen in deinem Konto (z. B. Passwort geändert, Zwei-Faktor-Authentifizierung ein- oder ausgeschaltet, Wiederherstellungscode verwendet, Backup exportiert) schicken wir dir eine E-Mail, die Zeitpunkt und IP-Adresse des Vorgangs enthält. Rechtsgrundlage ist unser berechtigtes Interesse an der Sicherheit des Dienstes (Art. 6 Abs. 1 lit. f DSGVO).

System-E-Mails

E-Mails zur Bestätigung deiner Adresse, zum Zurücksetzen des Passworts und Sicherheitshinweise versenden wir über den Dienst Postmark der ActiveCampaign, LLC, USA. Dabei werden deine E-Mail-Adresse, dein Name und der Inhalt der jeweiligen Nachricht übermittelt. Die Übermittlung in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework bzw. der Standardvertragsklauseln.

Apps für iPhone und Android

Die Apps werden über den App Store der Apple Inc. bzw. Google Play der Google LLC bereitgestellt. Für Download und Installation gelten deren Datenschutzbestimmungen. Die Apps enthalten keine Werbe-, Analyse- oder Tracking-Dienste.

Damit Verbesserungen ohne neuen Download ankommen, fragt die App beim Start bei Expo (650 Industries, Inc., USA) nach Aktualisierungen. Dabei werden deine IP-Adresse sowie technische Angaben zur App-Version und Plattform übermittelt. Rechtsgrundlage ist unser berechtigtes Interesse an einer aktuellen und sicheren App (Art. 6 Abs. 1 lit. f DSGVO). Die Übermittlung in die USA erfolgt auf Grundlage der Standardvertragsklauseln.

Backup-Dateien werden nur auf deine Aktion hin auf deinem Gerät gespeichert oder geteilt. Kopierte Codes legt die App in der Zwischenablage deines Geräts ab.

Empfänger und Drittländer

Wir geben deine Daten nicht an Dritte weiter und verkaufen sie nicht. Empfänger sind nur die oben genannten Dienstleister, die in unserem Auftrag tätig sind. Bei Dienstleistern in den USA (Postmark und Expo) erfolgt die Übermittlung auf Grundlage des EU-US Data Privacy Framework oder der Standardvertragsklauseln der EU-Kommission. Beim Abruf von Logos erhalten Google bzw. die jeweilige Website nur den Domainnamen des Dienstes, keine Daten über dich.

Speicherdauer

Wir speichern deine Kontodaten, deine 2FA-Konten, Gruppen und Einstellungen, solange dein Konto besteht. Löschst du ein einzelnes 2FA-Konto, wird es sofort aus unserer Datenbank entfernt. Du kannst dein gesamtes Konto jederzeit in den Einstellungen unter „Konto & Sicherheit“ löschen. Dabei werden alle zugehörigen Daten bei uns sofort gelöscht, einschließlich aller gespeicherten geheimen Schlüssel. Die Zwei-Faktor-Authentifizierung bei den jeweiligen Diensten bleibt davon unberührt. Server-Logfiles werden nach kurzer Zeit automatisch gelöscht, Einträge zur Begrenzung von Anmeldeversuchen spätestens nach 24 Stunden.

Pflicht zur Bereitstellung und automatisierte Entscheidungen

Die Angaben bei der Registrierung und die Daten deiner 2FA-Konten brauchen wir, um den Dienst erbringen zu können. Ohne sie ist eine Nutzung nicht möglich. Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

Deine Rechte

Du hast nach der DSGVO folgende Rechte:

• Auskunft über deine gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO), z. B. für FABULOUS ANALYTICS über die „Datenschutz-Einstellungen“

Eine formlose Nachricht an hello@fabulous-code.com genügt.

Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist die Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Straße 22, 20459 Hamburg.

SSL-/TLS-Verschlüsselung

Website, Web-App und Apps übertragen Daten ausschließlich verschlüsselt (SSL/TLS). Das gilt auch für die Übertragung deiner geheimen Schlüssel zwischen unserem Server und deinen Geräten.

Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich unser Dienst oder die rechtlichen Anforderungen ändern. Es gilt die jeweils hier veröffentlichte Fassung.

Stand: 6. November 2026