Datenschutzerklärung

Stand: 22.08.2026

Diese Erklärung gilt für Danapfel Orbit unter cloud.danapfel-digital.de. Seit dem 22.08.2026 ist die Anwendung in Betrieb: Es gibt Nutzerkonten, eine Anmeldung und die Möglichkeit, Dateien abzulegen, zu ordnen und gezielt weiterzugeben.

Die vorherige Fassung dieser Erklärung beschrieb eine reine Vorstellungsseite ohne Anmeldung und ohne Upload. Sie ist mit der Inbetriebnahme überholt und wurde deshalb ersetzt. Die Abschnitte 6 bis 11 sind neu.

Konten werden von Hand vergeben. Eine Registrierung über diese Website gibt es nicht, und Orbit versendet keine E-Mails — es gibt im Programm keinen Weg dafür. Wer ein Konto hat, hat es unmittelbar vom Verantwortlichen erhalten.

1. Verantwortlicher

Ein Datenschutzbeauftragter ist gesetzlich nicht zu benennen.

2. Aufruf dieser Website (Server-Protokolle)

Beim Aufruf dieser Website übermittelt Ihr Browser technisch notwendige Daten an unseren Server. In den Protokolldateien gespeichert werden:

• Datum und Uhrzeit des Zugriffs
• aufgerufene Adresse, verwendete Methode und HTTP-Statuscode
• übertragene Datenmenge und Antwortdauer
• Parameter der verschlüsselten Verbindung (TLS)
• Browser- und Betriebssystemkennung (User-Agent)

Ihre IP-Adresse wird nicht protokolliert. Sie wird beim Verbindungsaufbau technisch verarbeitet — ohne sie könnte Ihnen der Server nicht antworten —, aber weder in den Protokolldateien noch in der Auswertung gespeichert. Ebenfalls nicht gespeichert wird die zuvor besuchte Seite (Referrer).

Zweck: technische Bereitstellung, Betriebssicherheit und das Erkennen von Störungen und Angriffsmustern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse besteht am störungsfreien und sicheren Betrieb.

Speicherdauer. Die Protokolldatei auf dem Server wird täglich gewechselt, ältere Stände werden nach 7 Tagen automatisch gelöscht. Dieselben Zeilen liegen zusätzlich 90 Tage in einer Auswertung auf demselben Server, damit sich Störungen und Angriffsmuster über einen längeren Zeitraum erkennen lassen. Zu Sicherungskopien siehe Abschnitt 4.

Wir bilden aus diesen Daten keine Profile, führen sie nicht mit personenbezogenen Daten aus anderen Quellen zusammen und verwenden sie zu keinem anderen Zweck als Betrieb und Sicherheit. Eine automatisierte Entscheidungsfindung findet nicht statt.

3. Hosting

Die Website wird auf Servern der Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, in Deutschland betrieben. Eine Übermittlung in Länder außerhalb der Europäischen Union findet nicht statt.

Hetzner ist dabei Auftragsverarbeiter im Sinne von Art. 28 DSGVO und verarbeitet die Daten ausschließlich weisungsgebunden. Das betrifft drei Dinge: den Server, auf dem die Anwendung läuft, den Objektspeicher am Standort Falkenstein (Sachsen), in dem die hochgeladenen Dateien liegen, und den Speicher, auf dem die Sicherungen abgelegt werden (Abschnitt 4). Alle drei Orte liegen in Deutschland. Darüber hinaus geben wir keine Daten an Dritte weiter. Es gibt keine Reichweitenmessung, keine Werbenetzwerke und keinen Zahlungsdienstleister — verkauft wird derzeit nichts.

4. Sicherungskopien

Wir sichern den Server regelmäßig, damit die Plattform nach einem Defekt oder einem Angriff wiederhergestellt werden kann. Dazu sind wir nach Art. 32 Abs. 1 lit. c DSGVO auch verpflichtet. Gesichert wird die virtuelle Festplatte als Ganzes, und darin liegen auch die oben beschriebenen Protokolldateien.

Einzelne Dateien lassen sich aus einer solchen Sicherung nicht ausnehmen. Das ist eine Eigenschaft des Verfahrens, kein Versäumnis — sie ändert aber nichts an der Sache: Zugriffsdaten können in Sicherungskopien noch etwa vier Wochen vorhanden sein, nachdem sie im laufenden Betrieb gelöscht wurden. Danach werden sie durch neuere Sicherungen überschrieben.

Auf Sicherungen greifen wir ausschließlich zur Wiederherstellung nach einem Ausfall zu, nicht zur Auswertung von Zugriffsdaten. Wurden Daten auf Ihr Verlangen gelöscht, holen wir sie aus einer Sicherung nicht zurück. Die Sicherungen liegen bei demselben Anbieter, der auch den Server bereitstellt (Abschnitt 3), innerhalb der Europäischen Union.

Seit dem 22.08.2026 kommen zwei weitere Sicherungen hinzu, und zwar täglich: ein verschlüsselter Abzug der Datenbank (darin: Konten, Ordnerstrukturen, Freigaben, Protokolle) und eine Spiegelung der abgelegten Dateien. Beides liegt auf einem gesonderten Speicher desselben Anbieters in Deutschland. Der Abzug ist mit AES-256 verschlüsselt und liegt zu keinem Zeitpunkt unverschlüsselt außerhalb des Servers. Ältere Abzüge werden nach 14 Tagen gelöscht.

5. Schriftarten

Alle Schriftarten werden von unserem eigenen Server ausgeliefert. Es werden keine Daten an Google oder andere Dritte übertragen.

6. Nutzerkonto und Anmeldung

Für ein Konto verarbeiten wir Ihre E-Mail-Adresse, einen Anzeigenamen und Ihr Passwort. Das Passwort wird nicht gespeichert, sondern nur ein nicht umkehrbarer Prüfwert davon (Argon2id). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO — ohne diese Angaben lässt sich kein Konto führen.

Beim Anmelden entsteht eine Sitzung. Sie gilt 30 Tage ab dem Anlegen und verlängert sich durch Nutzung nicht. Zusätzlich wird Ihr Gerät wiedererkannt, damit eine Anmeldung nicht bei jedem Aufruf erneut nötig ist (Abschnitt 11). Beim Zurücksetzen eines Passworts entsteht ein Token, der nach einer Stunde verfällt.

Die Daten Ihres Kontos werden gelöscht, wenn Sie das Konto beenden. Sagen Sie Bescheid — per E-Mail an die in Abschnitt 1 genannte Adresse genügt.

7. Dateien, Ordner und Papierkorb

Wir verarbeiten die Dateien, die Sie ablegen, samt ihrer Angaben: Dateiname, Größe, Typ, Zeitpunkt, Zuordnung zu Ordnern und Prüfsummen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO — das ist der Zweck des Dienstes. Die Dateien liegen im Objektspeicher in Falkenstein (Abschnitt 3).

Gelöschtes wandert in einen Papierkorb und wird danach endgültig entfernt. Die Frist hängt vom Tarif ab; im kostenlosen Tarif sind es sieben Tage. Ein hochgeladener, aber nicht abgeschlossener Upload wird nach 24 Stunden verworfen.

Der Betreiber kann technisch auf die Inhalte zugreifen. Orbit ist nicht Ende-zu-Ende-verschlüsselt. Wir tun es nicht ohne Anlass, aber wir könnten es — und diese Auskunft gehört hierher und nicht ins Kleingedruckte.

8. Prüfung auf Schadsoftware

Jede hochgeladene Datei wird auf Schadsoftware geprüft, bevor sie herunterladbar oder teilbar ist. Die Prüfung läuft auf unserem eigenen Server (ClamAV); es wird nichts an einen Dritten übermittelt, und kein Mensch sieht dabei Inhalte. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Art. 32 DSGVO; das berechtigte Interesse ist die Sicherheit aller Nutzenden.

Schlägt die Prüfung an, wird die Datei in Quarantäne gestellt und dort nach 14 Tagen gelöscht.

9. Freigaben und Ablagen für Dritte

Sie können Dateien über einen Link freigeben. Der Zugriffsschlüssel steht dabei im Adressteil hinter dem Rautezeichen; dieser Teil wird vom Browser nicht an den Server gesendet und erscheint deshalb in keinem Protokoll.

Ruft jemand eine Freigabe ab, verarbeiten wir den Umstand des Abrufs, um die Freigabe zu begrenzen und Missbrauch zu erkennen (Art. 6 Abs. 1 lit. f DSGVO). Reicht jemand ohne Konto über eine Ablage eine Datei ein, verarbeiten wir diese Datei wie in Abschnitt 7 beschrieben. Empfänger ist dann nicht nur der Betreiber, sondern die Person, die die Ablage eingerichtet hat.

Im kostenlosen Tarif lassen sich weder öffentliche Freigabelinks noch solche Ablagen erzeugen.

10. Protokoll sicherheitsrelevanter Vorgänge

Sicherheitsrelevante Vorgänge in Ihrem Konto — Anmeldungen, Änderungen an Freigaben, Löschungen — werden protokolliert, damit sich nachvollziehen lässt, was geschehen ist. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Art. 32 DSGVO.

Dieses Protokoll ist bewusst unveränderlich: Die Anwendung selbst darf darin nichts ändern oder löschen. Eine Löschfrist ist dafür noch nicht festgelegt. Das ist eine offene Stelle und keine Absicht — sie wird festgelegt und dann hier genannt. Ihre IP-Adresse wird darin nicht gespeichert (siehe Abschnitt 2).

11. Cookies und lokaler Speicher

Orbit setzt drei Dinge auf Ihrem Gerät. Keines davon dient der Werbung, der Reichweitenmessung oder der Profilbildung, und keines wird an Dritte übermittelt. Ein Einwilligungsbanner gibt es deshalb nicht: Nach § 25 Abs. 2 Nr. 2 TDDDG ist für unbedingt erforderliche Speicherung keine Einwilligung einzuholen.

Es sind keine Inhalte Dritter eingebunden, und es findet keine Reichweitenmessung, Analyse oder Profilbildung statt.

12. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und, soweit die dortigen Voraussetzungen vorliegen, Datenübertragbarkeit (Art. 20). Wenden Sie sich dafür an die oben genannte Adresse.

13. Widerspruchsrecht

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Ihrer Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO Widerspruch einzulegen (Art. 21 DSGVO).

14. Beschwerderecht

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf, poststelle@ldi.nrw.de.