Datenschutzerklärung

1. Verantwortliche Stelle

Verantwortlich für die in dieser Erklärung beschriebenen Verarbeitungen ist — soweit sich aus Abschnitt 2 nichts anderes ergibt:
Grapery
Inhaber: Benjamin Heim
Ernst-Heinkel-Straße 21
73630 Remshalden
Deutschland
E-Mail: ben@grapery.de

Eine Telefonnummer wird nicht vorgehalten; Anfragen werden per E-Mail oder über die Kontaktseite beantwortet. Die vollständige Anbieterkennzeichnung steht im Impressum.

Kein Datenschutzbeauftragter. Es ist weder eine Datenschutzbeauftragte noch ein Datenschutzbeauftragter benannt, weil die Voraussetzungen dafür nicht vorliegen: Der Dienst wird von einer einzelnen Person ohne Beschäftigte betrieben, es sind also nicht ständig mindestens 20 Personen mit der automatisierten Verarbeitung befasst (§ 38 Abs. 1 BDSG); es findet keine umfangreiche regelmäßige und systematische Überwachung statt, und es werden keine besonderen Kategorien personenbezogener Daten im großen Umfang verarbeitet (Art. 37 Abs. 1 DSGVO). Datenschutzanfragen richten Sie deshalb bitte unmittelbar an die oben genannte Adresse.

2. Wer wofür verantwortlich ist

Fragebogen24 ist ein Werkzeug, mit dem andere Menschen und Stellen ihre eigenen Formulare bauen. Datenschutzrechtlich zerfällt der Dienst deshalb in zwei Bereiche mit zwei verschiedenen Verantwortlichen. Welcher Fall vorliegt, hängt allein davon ab, ob es um die Antworten in einem Formular geht oder um das Konto der Person, die das Formular gebaut hat.

2.1 Antworten in einem Formular — verantwortlich ist die erstellende Stelle

Wer mit Fragebogen24 ein Formular anlegt und veröffentlicht, entscheidet allein über Zweck und Mittel dieser Verarbeitung: welche Fragen gestellt werden, wozu die Antworten dienen, wie lange sie aufbewahrt und an wen sie weitergegeben werden. Diese Person oder Stelle ist damit Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO für alles, was über ihr Formular eingeht.

Der Betreiber von Fragebogen24 stellt für diese Verarbeitung lediglich die Technik bereit. Er verarbeitet die eingegangenen Antworten ausschließlich weisungsgebunden und ist insoweit Auftragsverarbeiter nach Art. 28 DSGVO. Er sieht die Antworten nicht durch, wertet sie nicht aus, nutzt sie nicht für eigene Zwecke und gibt sie an niemanden weiter.

Praktische Folge für Sie als ausfüllende Person: Auskunft, Berichtigung und Löschung Ihrer Antworten verlangen Sie bei der Stelle, die das Formular erstellt hat — sie ist in der Regel im Formular selbst oder in dessen Einladung genannt. Der Betreiber kann Ihr Anliegen nicht an ihrer Stelle entscheiden; er kennt zu einer Antwort nur das Formular, nicht Sie. Kommen Sie bei der erstellenden Stelle nicht weiter, wenden Sie sich an die Adresse aus Abschnitt 1: Der Betreiber unterstützt die erstellende Stelle bei der Erfüllung Ihrer Rechte, wie es Art. 28 Abs. 3 lit. e DSGVO vorsieht.

Davon unberührt bleibt, dass der Betreiber ein Formular entfernen und das zugehörige Konto sperren darf, wenn es rechtswidrig ist oder gegen die Nutzungsbedingungen verstößt. Das ist keine Verarbeitung der Antworten zu eigenen Zwecken, sondern die Erfüllung seiner Pflichten als Diensteanbieter. Melden können Sie ein solches Formular über Missbrauch melden.

2.2 Konten, Formulare und Betrieb — verantwortlich ist der Betreiber

Für alles Übrige ist der Betreiber selbst Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO: für die Konten der erstellenden Personen (Name, E-Mail-Adresse, Passwort), für Anmeldung und Sitzung, für die Formulare als solche, für Missbrauchsmeldungen und für die technischen Schutzmaßnahmen. Das ist der Bereich, den die Abschnitte 3 bis 5 beschreiben, und dafür ist die Adresse aus Abschnitt 1 die richtige.

3. Was technisch zugesichert wird

Die folgenden Aussagen sind keine Absichtserklärungen, sondern Eigenschaften der Anwendung. Sie sind von außen überprüfbar — mit den Entwicklerwerkzeugen jedes Browsers lässt sich nachsehen, welche Cookies gesetzt und welche Verbindungen aufgebaut werden.

• Keine Cookies auf den öffentlichen Seiten. Startseite, Rechtsseiten, Meldeseite und alle Ausfüllseiten unter /f/… setzen keinerlei Cookies und legen nichts im Speicher Ihres Browsers ab. Eine Einwilligungsabfrage („Cookie-Banner“) ist deshalb nicht erforderlich — und es gibt sie folgerichtig auch nicht.
• Keine Verbindungen zu fremden Servern. Es werden keine Schriften, Skripte, Karten, Videos oder Symbole von Dritten nachgeladen; die verwendete Schriftart ist Teil der Anwendung und wird vom selben Server ausgeliefert wie die Seite. Ihre IP-Adresse gelangt damit an niemanden, der nicht ohnehin an der Auslieferung beteiligt ist (Abschnitt 5).
• Keine Reichweitenmessung, kein Tracking. Es sind keine Analysedienste, Zählpixel, Werbenetzwerke oder Wiedererkennungsmerkmale eingebunden — auch keine selbstbetriebenen.
• Keine IP-Adresse und keine Browserkennung bei einer Antwort. Ein gespeicherter Antwortdatensatz besteht ausschließlich aus einer zufälligen Kennung, der Zuordnung zum Formular, den eingegebenen Antworten und dem Zeitpunkt der Übermittlung. Weitere Felder hat die Tabelle nicht; es kann daher auch nichts anderes darin stehen.
• Auch bei angemeldeten Sitzungen keine IP-Adresse und keine Browserkennung. Die eingesetzte Anmeldebibliothek führt für Sitzungen Felder für IP-Adresse und Browserkennung mit. Die IP-Erfassung ist abgeschaltet; zusätzlich werden beide Felder unmittelbar vor dem Schreiben in die Datenbank aktiv geleert. Sie bleiben dadurch nachweislich leer.
• Missbrauchsschutz ohne Speicherung. Die Drosselung gegen massenhaftes Absenden, gegen Passwortraten und gegen massenhaftes Anlegen von Konten zählt Zugriffe je Herkunft. Der dabei verwendete Schlüssel — die IP-Adresse beziehungsweise die angegebene E-Mail-Adresse — liegt ausschließlich flüchtig im Arbeitsspeicher des Servers, wird nie auf einen Datenträger geschrieben, keiner Antwort und keinem Konto zugeordnet und verfällt mit dem Zeitfenster (eine Minute bis eine Stunde).

4. Die einzelnen Verarbeitungen

4.1 Aufruf der Seiten (Server-Protokolle des Hosters)

Zweck: Auslieferung der Seiten, Betriebssicherheit, Abwehr von Angriffen. Datenkategorien: IP-Adresse, Zeitpunkt, angeforderte Adresse, übertragene Datenmenge, Statuscode und Angaben des Browsers — die technischen Verbindungsdaten, die bei jedem Seitenaufruf im Internet anfallen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt im sicheren und störungsfreien Betrieb. Speicherdauer: Diese Protokolle entstehen beim Hostinganbieter (Abschnitt 5) und werden von diesem nach dessen Fristen kurzzeitig vorgehalten. Die Anwendung selbst legt keine eigenen Zugriffsprotokolle an, wertet die des Hosters nicht aus und führt sie mit nichts zusammen.

4.2 Registrierung und Konto

Zweck: Anlage und Führung eines Kontos, damit Formulare erstellt und deren Antworten abgerufen werden können. Datenkategorien: Name, E-Mail-Adresse, Passwort — dieses ausschließlich als kryptografischer Hashwert, im Klartext nirgends — sowie der Zeitpunkt der Anlage und der letzten Änderung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; die Verarbeitung ist zur Erfüllung des Nutzungsvertrags erforderlich. Speicherdauer: bis zur Löschung des Kontos; eine formlose Nachricht an die Adresse aus Abschnitt 1 genügt. Mit dem Konto werden alle zugehörigen Formulare und alle darüber eingegangenen Antworten unwiderruflich gelöscht.

4.3 Anmeldung und Sitzungs-Cookie

Zweck: die Anmeldung über mehrere Seitenaufrufe hinweg aufrechterhalten. Datenkategorien: ein zufälliger Sitzungsschlüssel im Cookie, serverseitig dessen Gültigkeitsdauer und die Zuordnung zum Konto — keine IP-Adresse, keine Browserkennung (Abschnitt 3). Rechtsgrundlage: für das Speichern des Cookies auf Ihrem Endgerät § 25 Abs. 2 Nr. 2 TDDDG — das Cookie ist für den von Ihnen ausdrücklich gewünschten Dienst unbedingt erforderlich, eine Einwilligung ist dafür nicht nötig; für die anschließende Verarbeitung Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: Das Cookie läuft nach sieben Tagen ab und wird mit der Abmeldung ungültig. Gesetzt wird es nur im angemeldeten Bereich, niemals auf einer öffentlichen Seite.

4.4 Bestätigung der E-Mail-Adresse

Die Anwendung ist darauf vorbereitet, bei der Registrierung eine Bestätigungsnachricht zu versenden. Derzeit ist kein Versanddienst eingerichtet: Es werden keine E-Mails verschickt und zu diesem Zweck keine Daten an Dritte übermittelt. Sobald ein Versanddienst eingerichtet ist, wird er in Abschnitt 5 als Auftragsverarbeiter benannt und dieser Abschnitt um Zweck (Prüfung der Erreichbarkeit der angegebenen Adresse, Missbrauchsvermeidung), Rechtsgrundlage (Art. 6 Abs. 1 lit. b und lit. f DSGVO) und Speicherdauer des Bestätigungsschlüssels ergänzt.

4.5 Erstellen und Veröffentlichen von Formularen

Zweck: Speicherung der Formulare selbst — Titel, Fragen, Einstellungen, Veröffentlichungsstatus und die Adresse unter /f/…. Datenkategorien: die von der erstellenden Person eingegebenen Inhalte samt Zuordnung zu ihrem Konto; was in einem Titel oder einer Frage steht, entscheidet sie selbst. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: bis das Formular oder das Konto gelöscht wird.

4.6 Ausfüllen und Absenden eines Formulars

Für diese Verarbeitung ist nicht der Betreiber verantwortlich, sondern die Stelle, die das Formular erstellt hat (Abschnitt 2.1). Die folgenden Angaben beschreiben deshalb, was der Betreiber als Auftragsverarbeiter technisch tut; Zweck und Rechtsgrundlage bestimmt die erstellende Stelle.

Zweck: Entgegennahme, Speicherung und Bereitstellung der Antworten für die erstellende Stelle. Datenkategorien: ausschließlich die von Ihnen eingegebenen Antworten, die Zuordnung zum Formular, eine zufällige Kennung und der Zeitpunkt der Übermittlung — keine IP-Adresse, keine Browserkennung, kein Cookie (Abschnitt 3). Rechtsgrundlage: Enthält das Formular einen Einwilligungsblock, ist es Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, die Sie jederzeit mit Wirkung für die Zukunft widerrufen können. Andernfalls stützt sich die erstellende Stelle auf ihre eigene Grundlage — etwa die Erfüllung eines Vertrags oder einer Anmeldung (Art. 6 Abs. 1 lit. b DSGVO) oder ihr berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO); worauf genau, muss sie Ihnen im Formular oder in dessen Einladung mitteilen. Speicherdauer: siehe Abschnitt 6.

Der technische Betrieb der Ausfüllseite und der Schutz vor missbräuchlicher Massenübermittlung liegen dagegen im eigenen berechtigten Interesse des Betreibers (Art. 6 Abs. 1 lit. f DSGVO); wie die Drosselung arbeitet und warum sie nichts speichert, steht in Abschnitt 3.

4.7 Missbrauchsmeldung

Zweck: Prüfung gemeldeter Formulare, Entfernung rechtswidriger Inhalte, Sperrung missbräuchlich genutzter Konten und der Nachweis darüber, warum gehandelt wurde. Datenkategorien: die Kennung des gemeldeten Formulars, der gewählte Grund, Ihre Beschreibung und — nur wenn Sie sie angeben — freiwillig Ihre E-Mail-Adresse für Rückfragen. Ohne E-Mail-Adresse geht die Meldung genauso ein. Es werden keine IP-Adresse und keine Browserkennung gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — das berechtigte Interesse liegt darin, Missbrauch der eigenen Domain zu erkennen und abzustellen und die Pflichten als Diensteanbieter zu erfüllen; für die freiwillige E-Mail-Adresse zusätzlich Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Speicherdauer: Meldungen bleiben gespeichert, solange sie als Beleg für eine getroffene Maßnahme gebraucht werden, und werden anschließend gelöscht. Sie überdauern bewusst die Löschung des gemeldeten Formulars — der übliche Ausgang einer berechtigten Meldung ist gerade, dass dieses Formular verschwindet. Die Löschung Ihrer Meldung können Sie über die Adresse aus Abschnitt 1 verlangen.

4.8 Sperrung eines Kontos

Zweck: weitere Verstöße unterbinden. Datenkategorien: ein Zeitstempel am betroffenen Konto — sonst nichts. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO. Wirkung: Übersicht, Editor und Antworten sind nicht mehr erreichbar, und die Formulare des Kontos nehmen keine Antworten mehr entgegen; nach außen sind sie von einem geschlossenen Formular nicht zu unterscheiden. Gelöscht wird durch eine Sperre nichts. Gegen eine Sperrung können Sie formlos widersprechen (siehe Nutzungsbedingungen).

5. Empfänger und Auftragsverarbeiter

Zum Betrieb des Dienstes werden zwei Dienstleister eingesetzt. Weitere Empfänger gibt es nicht: Daten werden nicht verkauft, nicht für Werbung genutzt und an niemanden weitergegeben, soweit dazu keine gesetzliche Verpflichtung besteht.

• Supabase (Supabase, Inc., San Francisco, USA) — Datenbank und Authentifizierung. Die Daten liegen in der Region Frankfurt am Main (AWS eu-central-1).
• Vercel (Vercel, Inc., San Francisco, USA) — Hosting und Auslieferung der Anwendung. Die serverseitigen Funktionen laufen in der Region Frankfurt am Main.

Beide Anbieter sind Unternehmen mit Sitz in den Vereinigten Staaten, betreiben die hier genutzte Infrastruktur jedoch innerhalb der Europäischen Union. Ein Zugriff aus einem Drittland — etwa im Rahmen von Wartung oder Unterstützung — lässt sich dadurch nicht vollständig ausschließen. Grundlage einer solchen Übermittlung sind die Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO beziehungsweise, soweit der jeweilige Anbieter zertifiziert ist, der Angemessenheitsbeschluss zum EU-US Data Privacy Framework nach Art. 45 DSGVO.

Für beide Anbieter sind Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO erforderlich. Bei Supabase ist ein solcher Vertrag (Data Processing Addendum) fester Bestandteil der Nutzungsbedingungen und gilt damit für dieses Konto; der Anbieter stellt zusätzlich eine Folgenabschätzung zur Datenübermittlung (Transfer Impact Assessment) bereit. Für Vercel ist der Abschluss noch offen; diese Angabe wird aktualisiert, sobald er vorliegt.

6. Speicherdauer im Überblick

• Kontodaten — bis zur Löschung des Kontos.
• Formulare — bis das Formular oder das Konto gelöscht wird.
• Antworten — die erstellende Stelle kann je Formular eine Aufbewahrungsfrist in Tagen festlegen; Antworten, die älter sind, werden endgültig gelöscht. Diese Angabe ist freiwillig: Ist keine Frist eingetragen, werden Antworten nicht automatisch gelöscht und bleiben gespeichert, bis das Formular oder das Konto gelöscht wird. Welche Frist für ein bestimmtes Formular gilt, weiß die erstellende Stelle; sie ist Ihnen gegenüber zur Auskunft darüber verpflichtet.
• Missbrauchsmeldungen — solange sie als Beleg für eine getroffene Maßnahme gebraucht werden.
• Sitzungen — sieben Tage ab Anmeldung, bei Abmeldung sofort.
• Zähler der Drosselung — flüchtig im Arbeitsspeicher, eine Minute bis eine Stunde, ohne Speicherung auf einem Datenträger.

Die automatische Löschung abgelaufener Antworten läuft nicht sekundengenau, sondern jedes Mal, wenn die Anwendung benutzt wird — beim Absenden eines Formulars, beim Aufruf der Ausfüllseite, der Formularübersicht, der Antworten-Ansicht und beim CSV-Export — und spätestens beim nächsten Start der Anwendung. Abgerufen oder exportiert werden können abgelaufene Antworten damit in keinem Fall mehr. Wird ein Formular gelöscht, werden alle zugehörigen Antworten unwiderruflich mitgelöscht.

7. Bekannte Einschränkung

Löscht die erstellende Stelle nachträglich einen Block oder eine Antwortoption aus einem Formular, so bleiben bereits gegebene Antworten darauf in der Datenbank gespeichert, werden in der Oberfläche und im CSV-Export aber nicht mehr angezeigt. Bei einer Auskunft nach Art. 15 DSGVO werden solche Daten einbezogen; bitten Sie in diesem Fall ausdrücklich um die vollständige Auskunft einschließlich nicht mehr angezeigter Antworten. Von einer Löschung sind sie ohnehin erfasst, weil dabei der gesamte Antwortdatensatz entfernt wird.

8. Ihre Rechte

Sie haben im Rahmen der gesetzlichen Voraussetzungen das Recht auf

• Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen eine Verarbeitung, die auf ein berechtigtes Interesse gestützt ist (Art. 21 DSGVO),
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO) — die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt davon unberührt.

An wen Sie sich wenden: Betrifft Ihr Anliegen ein Konto, ein Formular oder eine Missbrauchsmeldung, richten Sie es an die Adresse aus Abschnitt 1. Betrifft es Antworten, die Sie in ein Formular eingegeben haben, richten Sie es an die Stelle, die dieses Formular erstellt hat — sie ist dafür die Verantwortliche (Abschnitt 2.1). Der Betreiber unterstützt sie dabei, kann Ihr Anliegen aber nicht an ihrer Stelle entscheiden.

9. Beschwerderecht bei der Aufsichtsbehörde

Unabhängig davon haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren — insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77 DSGVO). Für den Betreiber zuständig ist:
Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Lautenschlagerstraße 20
70173 Stuttgart
Deutschland

10. Keine automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO statt. Antworten werden nicht ausgewertet, nicht bewertet und nicht zu Profilen zusammengeführt. Auch Missbrauchsmeldungen und Kontosperrungen werden ausschließlich von Hand gesichtet und entschieden; die Drosselung ist eine rein technische Zählung ohne Bezug zu einer bestimmten Person und trifft keine Entscheidung über sie.

11. Pflicht zur Bereitstellung

Name, E-Mail-Adresse und Passwort sind für ein Konto erforderlich; ohne sie kann kein Konto geführt werden. Eine gesetzliche oder vertragliche Pflicht zur Bereitstellung besteht nicht — ob Sie ein Konto anlegen, entscheiden Sie frei. Ob und welche Angaben beim Ausfüllen eines fremden Formulars erforderlich sind, bestimmt die erstellende Stelle.

12. Änderungen dieser Erklärung

Diese Erklärung wird angepasst, wenn sich die beschriebene Verarbeitung ändert. Stand: August 2026.

Hinweis: Dieser Text ist sorgfältig erstellt und beschreibt die tatsächliche Verarbeitung nach bestem Wissen; die technischen Aussagen in Abschnitt 3 sind überprüfbar. Er ist gleichwohl keine Rechtsberatung und ersetzt eine anwaltliche Prüfung im Einzelfall nicht.