Datenschutz

Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten auf dieser Webseite ist hey.business GmbH, Salzburger Straße 15, 83329 Waging am See, Deutschland.

Kontakt: info@hey.business, Telefon +49 8681 8589852. Weitere Angaben stehen im Impressum.

Hosting

Die Webanwendung und ihre Datenbank (PostgreSQL) laufen auf einem Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland. Der Server steht im Rechenzentrum Falkenstein in Deutschland.

Hetzner verarbeitet die Daten, die beim Betrieb des Servers anfallen, in unserem Auftrag auf Grundlage eines Vertrags zur Auftragsverarbeitung nach Art. 28 DSGVO.

Zugriffsdaten und Server-Logs

hey.forum ist eine Webanwendung auf Basis von Next.js (Node.js) mit dem Redaktionssystem Payload. Die Anwendung selbst führt kein eigenes Zugriffsprotokoll und speichert die IP-Adressen der Besucherinnen und Besucher nicht in ihrer Datenbank. Die Laufzeit schreibt ihre Betriebs- und Fehlermeldungen an die Ausgabe des Containers.

Auch der Reverse-Proxy (Traefik) auf dem Server schreibt keine Zugriffsprotokolle; das haben wir am 29. September 2026 geprüft.

Der Server speichert die Ausgabe des Containers in höchstens drei Dateien zu je 10 MB. Ist die letzte Datei voll, werden die ältesten Einträge überschrieben. Bei jeder neuen Bereitstellung der Webseite wird der Container ersetzt, und seine Protokolle werden gelöscht. Wie lange ein Eintrag erhalten bleibt, hängt deshalb vom Aufkommen und davon ab, wie oft die Webseite neu bereitgestellt wird; eine feste Zahl von Tagen gibt es nicht. Eine eigene Auswertung dieser Daten findet nicht statt.

Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren und stabilen Auslieferung der Webseite (Art. 6 Abs. 1 lit. f DSGVO).

Cloudflare

Vor der Webseite arbeitet Cloudflare, Inc. (USA) als Reverse-Proxy und Netzwerk zur Auslieferung von Inhalten (CDN). Jede Anfrage läuft zuerst über Cloudflare. Dabei verarbeitet Cloudflare deine IP-Adresse und die Anfragedaten (zum Beispiel aufgerufene Adresse, Zeitpunkt, Browserkennung), um die Seiten auszuliefern und vor Angriffen zu schützen.

Cloudflare verarbeitet diese Daten als Auftragsverarbeiter nach Art. 28 DSGVO in unserem Auftrag, auf Grundlage des Cloudflare-Auftragsverarbeitungszusatzes (Cloudflare Data Processing Addendum, Version 6.4, gültig ab 3. April 2026). Nach der Datenschutzerklärung von Cloudflare (gültig ab 4. November 2025, Abschnitt 6) ist Cloudflare für diese Anfrageprotokolle („Customer Logs“) Auftragsverarbeiter.

Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren und stabilen Auslieferung der Webseite (Art. 6 Abs. 1 lit. f DSGVO).

Speicherdauer: Cloudflare speichert diese Daten bis zum Ende unseres Vertragsverhältnisses mit Cloudflare oder bis sie für die Erbringung der Leistung nicht mehr erforderlich sind, je nachdem, was früher eintritt. Bei Vertragsende löscht Cloudflare die Daten oder gibt sie zurück.

Dabei können Daten in die USA übermittelt werden. Grundlage dafür sind die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO), die Teil des Auftragsverarbeitungszusatzes sind, alternativ der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework. Eine Kopie der Standardvertragsklauseln erhältst du auf Anfrage an info@hey.business; sie sind außerdem Teil des öffentlich abrufbaren Cloudflare Data Processing Addendum.

Bei unserer Prüfung am 29. September 2026 hat Cloudflare auf diesen Seiten keine Cookies gesetzt und keine Skripte eingefügt.

Cookies und lokaler Speicher

Diese Seiten verwenden keine Analyse-, Statistik- oder Tracking-Dienste und keine Werbe-Cookies. Es gibt vier technische Speicher:

Die öffentlichen Seiten binden keine Inhalte von Servern Dritter ein. Die Schriften (Instrument Serif, Geist, Geist Mono) werden von diesem Server ausgeliefert.

1. Besucherkennung „hey_forum_visitor_id“ (Cookie): Dieses Cookie wird nur gesetzt, wenn du als Besucherin oder Besucher ohne Konto eine Idee unterstützt oder einen Kommentar abschickst, und nicht schon beim bloßen Lesen. Es enthält eine zufällige Kennung, ist für Skripte im Browser nicht lesbar (HttpOnly), wird nur über gesicherte Verbindungen gesendet (Secure, SameSite=Lax) und gilt ein Jahr. Es dient dazu, mehrfache Unterstützung derselben Idee aus demselben Browser zu verhindern, und ordnet deine eigenen Kommentare und Unterstützungen derselben Kennung zu. Die Kennung wird zusammen mit jedem Kommentar und jeder Unterstützung in unserer Datenbank gespeichert. Angemeldete Teammitglieder erhalten dieses Cookie nicht; bei ihnen wird stattdessen die Konto-Kennung gespeichert. Das Cookie ist keine Voraussetzung, um zu unterstützen oder zu kommentieren: Lehnt dein Browser das Cookie ab, wird die Handlung trotzdem ausgeführt, und der Server erzeugt dafür eine neue zufällige Kennung, die mit dem Eintrag gespeichert wird. Weil der Browser sie nicht behält, hat jede solche Handlung eine andere Kennung; mehrfache Unterstützung lässt sich dann nicht verhindern, und Einträge lassen sich nicht derselben Person zuordnen. Löschst du das Cookie, bleiben bereits gespeicherte Kommentare und Unterstützungen bestehen, du kannst sie aber nicht mehr über den Browser als deine erkennen; danach giltst du als neue Besucherin oder neuer Besucher. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; für den Zugriff auf dein Endgerät stützen wir uns auf § 25 Abs. 2 Nr. 2 TDDDG. Du kannst das Cookie jederzeit in den Einstellungen deines Browsers löschen.

2. Anmelde-Cookie „payload-token“ (nur Teammitglieder): Das Redaktionssystem Payload setzt es, wenn sich ein Teammitglied unter /admin anmeldet; Besucherinnen und Besucher ohne Konto erhalten es nicht. Der Inhalt ist ein signiertes Token (JWT) mit der Konto-Kennung, der E-Mail-Adresse, den Rollen des Kontos und der Kennung der Sitzung sowie Ausstellungs- und Ablaufzeitpunkt. Es gilt 2 Stunden (7200 Sekunden, Standardeinstellung von Payload; wir haben keinen anderen Wert eingestellt), ist für Skripte im Browser nicht lesbar (HttpOnly), gilt für die gesamte Seite (Pfad „/“) und wird mit SameSite=Lax gesendet. Im Produktivbetrieb trägt es das Attribut „Secure“ und wird nur über gesicherte Verbindungen gesendet. Zweck ist die Anmeldung des Teams zur Moderation; ohne das Cookie ist die Anmeldung nicht möglich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (sichere Moderation) beziehungsweise, soweit ein Teammitglied für uns tätig ist, Art. 6 Abs. 1 lit. b DSGVO; für den Zugriff auf das Endgerät stützen wir uns auf § 25 Abs. 2 Nr. 2 TDDDG.

3. Oberflächen-Cookies des Redaktionssystems (nur Teammitglieder, nur wenn sie die Einstellung ändern): „payload-theme“ (Wert „light“ oder „dark“, ein Jahr, für Skripte lesbar, Pfad „/“) speichert die Farbwahl der Payload-Oberfläche, „payload-lng“ (Sprachkürzel, ein Jahr, Pfad „/“) die Sprache der Payload-Oberfläche. Beide enthalten keine Kennung und werden nicht an Dritte übertragen. Besucherinnen und Besucher ohne Konto erhalten sie nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; für den Zugriff auf das Endgerät stützen wir uns auf § 25 Abs. 2 Nr. 2 TDDDG.

4. Farbmodus (localStorage): Wenn du den Farbmodus wechselst, speichert dein Browser diese Auswahl lokal (Eintrag „hey-theme-mode“). Beim Laden einer Seite liest die Seite außerdem den älteren Eintrag „ghdr.theme“, falls er in deinem Browser noch aus einem früheren Angebot vorhanden ist, und nutzt ihn nur, wenn „hey-theme-mode“ fehlt. Dieser ältere Eintrag wird nur gelesen, nicht verändert, übernommen oder gelöscht. Beide Einträge werden nicht an uns übertragen; der Zugriff ist für die von dir gewählte Darstellung erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Du kannst sie jederzeit über die Einstellungen deines Browsers löschen.

Bei unserer Prüfung am 29. September 2026 hat keine der geprüften Seiten (Startseite, Regionen, Themen, Moderation, Anmeldung) beim bloßen Aufruf ein Cookie gesetzt. Eine Einwilligungsabfrage ist deshalb nicht nötig.

Team-Bereich (/admin): Das Redaktionssystem verwendet kein Gravatar und sendet keine Nutzungsstatistik an den Hersteller (beides ist abgeschaltet). Eine Ausnahme gibt es: Öffnet ein Teammitglied einen Datensatz mit einem JSON-Feld, lädt die Editor-Komponente des Redaktionssystems die Bibliothek „Monaco“ von cdn.jsdelivr.net (jsDelivr); dabei erhält der Anbieter die IP-Adresse und die üblichen Anfragedaten des Browsers des Teammitglieds. Das betrifft nur Teammitglieder, nie Besucherinnen und Besucher. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Suche, Filter und Regionsauswahl

Wenn du Ideen suchst oder filterst, gehen Suchbegriff und Filter als Adressparameter an unseren Server. Wenn du im Regionsnavigator eine Region wählst, fragt dein Browser bei unserem Server die Unterregionen ab (Länderkennung, übergeordnete Region und Sprache). Unser Server nutzt diese Angaben nur, um die Antwort zu erzeugen; die Anwendung speichert sie nicht. Wie jede aufgerufene Adresse laufen sie aber über Cloudflare (siehe Abschnitt Cloudflare).

Daten von Besucherinnen und Besuchern: Ideen, Kommentare, Unterstützungen

Auf hey.forum kannst du Ideen einreichen, Ideen unterstützen und Ideen kommentieren. Dafür ist kein Konto nötig.

Idee: Titel, Kurzfassung, Text, optional ein frei gewählter Anzeigenamen (ohne Angabe „Bürgerin/Bürger“), optional ein Ortshinweis und optional die Kennung eines Eintrags aus dem Verzeichnis, dazu Region, Themen, Bearbeitungsstatus, Zähler für Unterstützungen und Kommentare sowie Erstellungs- und Änderungszeitpunkt. Eine Idee wird erst öffentlich sichtbar, nachdem die Moderation sie freigegeben hat.

Gespeichert wird die aus dem Titel oder Namen abgeleitete Adresse einer Idee, Diskussion, Initiative oder eines Ehrenamts-Gesuchs (Teil der Internetadresse, „slug“); enthält der Titel einen Namen, steht er damit auch in der Adresse. Diese Adresse wird öffentlich angezeigt und in der Datenbank gespeichert.

Zusätzlich kann die Moderation zu einer Idee einen Anhang (Verweisdaten im JSON-Format) und eine Zusammenfassung der Moderation (Freitext) hinterlegen. Beide Felder füllt ausschließlich die Moderation von Hand; die Anwendung ruft dafür keinen KI-Dienst auf, übermittelt dafür nichts an Dritte und befüllt die Felder auch selbst nicht. Sie können Angaben zu Personen enthalten und sind für veröffentlichte Ideen über die Schnittstelle der Anwendung (API) öffentlich abrufbar.

Kommentar: Text, Anzeigenamen, Kennung des kommentierten Beitrags, Besucherkennung aus dem Cookie (oder die Konto-Kennung eines angemeldeten Teammitglieds), Moderationsstatus (zum Beispiel „sichtbar“, „ausgeblendet“), gegebenenfalls ein Moderationsgrund sowie Erstellungs- und Änderungszeitpunkt. Kommentare erscheinen sofort öffentlich und können von der Moderation ausgeblendet oder entfernt werden.

Unterstützung: Besucherkennung (oder Konto-Kennung), Kennung der unterstützten Idee, Art der Stimme („Unterstützung“), einen daraus abgeleiteten Schlüssel, der doppelte Unterstützung verhindert, sowie Erstellungs- und Änderungszeitpunkt. Unterstützungen sind nicht öffentlich einsehbar; öffentlich wird nur der Zähler an der Idee angezeigt.

Titel, Kurzfassung, Text, Anzeigenamen und Ortshinweis sind für alle sichtbar, sobald sie veröffentlicht sind. Bitte gib keine personenbezogenen Daten Dritter an und wähle keinen Anzeigenamen, der dich identifiziert, wenn du das nicht möchtest. Die Anwendung speichert bei Ideen, Kommentaren und Unterstützungen weder IP-Adresse noch Browserkennung (User-Agent).

Zweck ist der Betrieb und die Moderation der Beteiligungsplattform. Rechtsgrundlage ist unser berechtigtes Interesse daran (Art. 6 Abs. 1 lit. f DSGVO). Eine automatische Löschfrist ist derzeit nicht eingerichtet: Wir speichern Beiträge, solange die Plattform sie zeigt oder die Moderation sie braucht. Auf Anfrage an info@hey.business löschen wir Beiträge und die zugehörige Besucherkennung, soweit sie sich dir zuordnen lassen.

Daten der Team-Konten (Moderation und Administration)

Konten für das Team legt ausschließlich ein Administrator an; es gibt keine Registrierung und keine Anmeldung für Besucherinnen und Besucher. Gespeichert werden: E-Mail-Adresse, Rollen, das Passwort nur als Hash mit Salt (nie im Klartext), der Token zum Zurücksetzen des Passworts mit Ablaufzeitpunkt und Zeitpunkt der letzten Anforderung, der Zähler fehlgeschlagener Anmeldungen und ein Sperrzeitpunkt, die Sitzungen (Kennung, Erstellungs- und Ablaufzeitpunkt) sowie Erstellungs- und Änderungszeitpunkt des Kontos.

Dazu kommen Verwaltungsdaten des Redaktionssystems Payload, die einem Konto zugeordnet sind: Einstellungen der Oberfläche und Bearbeitungssperren (welches Konto gerade welchen Eintrag bearbeitet). Bei Moderationsentscheidungen speichern wir Kennung und E-Mail-Adresse der prüfenden Person, Entscheidungsnotiz, Entscheidungszeitpunkt und Prüfprotokoll im Moderationseintrag.

Für die Anmeldung setzt Payload das Cookie „payload-token“. Ein E-Mail-Versand ist nicht eingerichtet: Löst das System dennoch eine E-Mail aus (zum Beispiel „Passwort vergessen“), wird sie nicht versendet, sondern es werden nur Empfängeradresse und Betreff in die Ausgabe des Containers geschrieben (Aufbewahrung wie im Abschnitt Server-Logs).

Zweck ist die gesicherte Anmeldung und die Moderation. Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren Moderation der Plattform (Art. 6 Abs. 1 lit. f DSGVO). Zugriff haben die Kontoinhaberin oder der Kontoinhaber auf das eigene Konto, die Moderation auf die Kontenliste und Administratoren auf alle Konten. Konten löscht nur ein Administrator; wir speichern sie, solange die Person im Team mitarbeitet. Sitzungen und Token tragen einen Ablaufzeitpunkt.

Von der Moderation erfasste Angaben: Initiativen, Ehrenamts-Gesuche, Diskussionen, Verzeichnis-Verweise

Initiativen und Ehrenamts-Gesuche legen ausschließlich Teammitglieder an; Besucherinnen und Besucher können sie nicht einreichen. Die Moderation erfasst dabei Angaben, die Dritte betreffen (Vereine, Initiativen, Ansprechpersonen) und die diese nicht selbst über dieses Portal eingeben.

Initiative: Name, Beschreibung, Leitbild, Kontakt-E-Mail-Adresse, Website, Social-Media-Links, Adressen von Logo und Titelbild, Verknüpfung mit einem Verzeichniseintrag, Themen, Region, Status sowie Erstellungs- und Änderungszeitpunkt. Ehrenamts-Gesuch: Titel, Beschreibung, Art des Bedarfs, benötigte Anzahl, Zeitaufwand, Zeitangabe, Ort, Beginn und Ende, Kontaktweg, Status, Verknüpfung mit einer Initiative sowie Erstellungs- und Änderungszeitpunkt. Kontakt-E-Mail-Adresse und Kontaktweg werden auf den öffentlichen Seiten angezeigt (als Schaltfläche zum Schreiben einer E-Mail beziehungsweise als Text).

Zweck ist, ehrenamtliche Angebote und Bedarfe, Diskussionen und Verweise auf Orte und Veranstaltungen sichtbar zu machen. Rechtsgrundlage ist unser berechtigtes Interesse daran (Art. 6 Abs. 1 lit. f DSGVO). Eine automatische Löschfrist ist nicht eingerichtet: Die Einträge bleiben, solange sie veröffentlicht sind oder die Initiative sie braucht.

Diskussion: Titel und Text der Diskussion, Anzeigenamen des Verfassers, Foren-Bereich, Region, Themen, Status, Zähler und Zeitpunkte. Diskussionen legen ausschließlich Teammitglieder an (nicht die Webseite); Titel und Text können Angaben zu genannten Personen enthalten. Verzeichnis-Verweise: Bezeichnung, Adresse und Web-Adresse eines Ortes oder einer Veranstaltung, übernommen aus dem HEY-Verzeichnis (Foundry); bei Einzelunternehmen, Vereinen oder Privatpersonen als Anbietern können sie auf eine Person zurückführbar sein.

Bei Verweisen auf Orte und Veranstaltungen werden zusätzlich Koordinaten (nur Orte), Regionsangabe und eine Prüfsumme des übernommenen Inhalts gespeichert; bei Einzelunternehmen, Vereinen oder Privatpersonen als Anbietern können Adresse und Koordinaten einen Ort einer Person bezeichnen.

Beschreibungstexte von Regionen, Themen und Foren-Bereichen schreibt das Team als Freitext; sie sind nicht für Angaben zu Personen vorgesehen, technisch aber nicht darauf beschränkt und öffentlich sichtbar. Für Initiativen werden zusätzlich die Adressen von Logo und Titelbild gespeichert; die Bilder selbst liegen nicht bei uns.

Wenn du von einer solchen Angabe betroffen bist, kannst du Auskunft, Berichtigung und Löschung verlangen und der Verarbeitung widersprechen (siehe Widerspruchsrecht). Schreibe dazu an info@hey.business und nenne den Eintrag; wir ändern oder löschen ihn dann durch die Moderation. Zugriff: öffentlich auf den Seiten, Bearbeitung nur durch die Moderation und Administratoren.

Datenbestände ohne Angaben zu Besucherinnen und Besuchern

Regionen, Themen und Foren-Bereiche bestehen aus Kennungen und Einstellungen; ihre Beschreibungstexte sind im vorigen Abschnitt beschrieben. Die Lieferprotokolle des HEY-Foundry enthalten nur Zählwerte und maschinelle Kennzeichen (nur für Administratoren lesbar). Payload führt außerdem interne Tabellen für Schlüssel-Wert-Daten und den Stand der Datenbankänderungen ohne Personenbezug.

Übersicht: welche Daten wo gespeichert sind

Newsletter und Formulare

Ein Newsletter ist geplant, aber noch nicht verfügbar. Das Anmeldefeld im Fußbereich sendet nichts und speichert keine Adressen. Ein Kontaktformular gibt es nicht.

Wenn du uns per E-Mail schreibst oder anrufst, verarbeiten wir deine Angaben (bei einem Anruf, was du uns am Telefon mitteilst, sowie deine Rufnummer, soweit sie uns angezeigt wird) zur Bearbeitung deiner Anfrage. Rechtsgrundlage für E-Mails und Anrufe ist Art. 6 Abs. 1 lit. b DSGVO, soweit deine Anfrage auf einen Vertrag oder vorvertragliche Maßnahmen zielt, sonst unser berechtigtes Interesse an der Beantwortung (Art. 6 Abs. 1 lit. f DSGVO).

Speicherdauer und Rechte

Angaben aus E-Mails und Anrufen bei uns speichern wir, solange es für die Bearbeitung deiner Anfrage erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Für die Server-Protokolle gelten die Löschkriterien oben (höchstens drei Dateien zu je 10 MB, Löschung beim Ersetzen des Containers), für Cloudflare die Kriterien im Abschnitt Cloudflare, für alle übrigen Daten die Angaben in den Abschnitten zu den einzelnen Daten und in der Übersicht.

Du kannst Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) geltend machen. Schreibe dazu an die oben genannte E-Mail-Adresse. Das Widerspruchsrecht steht im nächsten Abschnitt.

Widerspruchsrecht

Du hast das Recht, aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit gegen die Verarbeitung deiner personenbezogenen Daten, die auf Art. 6 Abs. 1 lit. f DSGVO beruht, Widerspruch einzulegen (Art. 21 Abs. 1 DSGVO). Das betrifft alle Verarbeitungen in dieser Erklärung, für die wir uns auf unser berechtigtes Interesse stützen.

Nach einem Widerspruch verarbeiten wir deine Daten nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Den Widerspruch kannst du formlos an info@hey.business richten.

Beschwerderecht

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) in Ansbach.