Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website im Sinne der Datenschutz-Grundverordnung (DSGVO) ist der im Impressum genannte Anbieter. Dort findest du Name, Anschrift und E-Mail-Adresse. Kontakt ist außerdem über das Kontaktformular (Kategorie „Datenschutzanfrage“) möglich.

Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen (§ 38 BDSG) nicht vorliegen.

2. Überblick

AstroForms ist ein kostenloser Online-Formular-Builder. Wir verarbeiten nur die Daten, die für den Betrieb erforderlich sind. Es gibt kein Tracking, keine Analyse- oder Werbedienste, keine Social-Media-Plugins und keine externen Schriftarten oder Skripte. Alle Inhalte werden direkt von unserem Server ausgeliefert; dein Browser baut beim Besuch keine Verbindungen zu Drittanbietern auf.

Wir unterscheiden zwei Rollen:

• Für Kontoinhaberinnen und Kontoinhaber, Website-Besucher und Kontaktanfragen sind wir selbst Verantwortlicher.
• Für Antworten, die Besucher in ein veröffentlichtes Formular eingeben, ist die Person oder Organisation verantwortlich, die das Formular erstellt hat. Wir verarbeiten diese Daten als Auftragsverarbeiter nach Art. 28 DSGVO (siehe Abschnitt 6 und die Nutzungsbedingungen).

3. Hosting und Server-Logfiles

AstroForms wird auf einem Server betrieben, den der Verantwortliche selbst verwaltet. Ein externer Hosting-Dienstleister ist nicht eingebunden; Konto-, Formular- und Antwortdaten liegen ausschließlich in der Datenbank auf diesem Server.

Beim Aufruf jeder Seite verarbeitet der Webserver technisch notwendige Verbindungsdaten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Statuscode, übertragene Datenmenge, Referrer sowie Browser- und Betriebssystemangaben. Das ist erforderlich, um die Website auszuliefern und ihre Sicherheit zu gewährleisten (Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an einem sicheren, stabilen Betrieb). Server-Logfiles werden nach spätestens 14 Tagen gelöscht, sofern sie nicht zur Aufklärung eines konkreten Sicherheitsvorfalls länger benötigt werden. Die Anwendung selbst speichert keine vollständigen IP-Adressen in ihrer Datenbank; ihre eigenen Logdateien werden nach 14 Tagen automatisch gelöscht.

Die Verbindung ist per TLS verschlüsselt (erkennbar an „https://“ in der Adresszeile).

4. Cookies und Sitzungen

Wir verwenden ausschließlich technisch notwendige Cookies, die ohne Einwilligung zulässig sind (§ 25 Abs. 2 Nr. 2 TDDDG). Ein Cookie-Banner ist daher nicht erforderlich.

Zu jeder Anmeldung speichern wir den User-Agent deines Browsers und eine gekürzte IP-Adresse (IPv4: die ersten drei Blöcke, IPv6: die ersten 48 Bit), damit du unter „Konto → Aktive Sitzungen“ erkennen und beenden kannst, wo du angemeldet bist (Art. 6 Abs. 1 lit. b und f DSGVO). Sitzungen ohne „Angemeldet bleiben“ laufen nach 24 Stunden ab.

Bekannte Geräte: Zu jedem Browser, mit dem du dich anmeldest, speichern wir den Hash der Kennung aus dem Cookie af_device, den User-Agent, eine gekürzte IP-Adresse und Zeitpunkte. Meldest du dich von einem unbekannten Browser an, senden wir dir eine E-Mail mit dem Link „Das war ich nicht“ (Art. 6 Abs. 1 lit. f DSGVO – Schutz deines Kontos). Standortdaten werden nicht ausgewertet. Einträge werden nach 365 Tagen ohne Anmeldung und mit dem Konto gelöscht.

5. Benutzerkonto

Für die Registrierung benötigen wir deinen Namen, deine E-Mail-Adresse und ein Passwort. Das Passwort wird ausschließlich als kryptografischer Hash gespeichert; wir können es nicht einsehen. Zusätzlich speichern wir Zeitpunkte der Registrierung, der E-Mail-Bestätigung und der letzten Änderung.

Zweck ist die Bereitstellung des Kontos und aller Funktionen (Formulare, Organisationen, Antworten). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Nutzungsverhältnis). Ohne diese Angaben ist eine Registrierung nicht möglich. Die Daten bleiben gespeichert, bis du dein Konto löschst.

Unter „Konto“ kannst du jederzeit deinen Namen und deine E-Mail-Adresse ändern, alle Daten als JSON oder CSV exportieren und dein Konto vollständig löschen. Bei der Löschung werden Konto, Sitzungen, persönliche Formulare, Logos und alle zugehörigen Antworten sofort entfernt; Sicherheitsprotokolle werden anonymisiert.

Zwei-Faktor-Authentifizierung und Passkeys: Wenn du sie einrichtest, speichern wir das TOTP-Geheimnis verschlüsselt, Hashes deiner Wiederherstellungscodes sowie je Passkey den öffentlichen Schlüssel, die Kennung, den von dir vergebenen Namen und Zeitpunkte der Nutzung (Art. 6 Abs. 1 lit. b und f DSGVO). Biometrische Daten verlassen dein Gerät nie; wir erhalten nur das Ergebnis der Prüfung durch dein Gerät. Die Daten werden beim Entfernen bzw. mit dem Konto gelöscht. Unter „Konto → Sicherheitsprotokoll“ siehst du deine eigenen Sicherheitsereignisse.

6. Formulare und Antworten

6.1 Inhalte der Formularersteller

Wir speichern Titel, Beschreibungen, Felder, Einstellungen, Gestaltung und hochgeladene Logos deiner Formulare. Ein optionales Zugangspasswort für ein Formular wird nur als Hash gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

6.2 Antworten von Besuchern

Wenn du ein Formular ausfüllst, speichern wir deine Eingaben, den Zeitpunkt der Absendung und einen nicht umkehrbaren Hash deiner IP-Adresse (HMAC mit geheimem Schlüssel), der nur zur Begrenzung missbräuchlicher Mehrfachabsendungen dient. Für passwortgeschützte Formulare wird die erfolgreiche Freischaltung in deiner Sitzung vermerkt. Felder, die durch bedingte Logik ausgeblendet sind, werden nicht gespeichert.

Verantwortlich für diese Daten ist die Person oder Organisation, die das Formular erstellt hat. Sie entscheidet, welche Angaben abgefragt werden, wofür sie genutzt werden und wie lange sie aufbewahrt werden, und muss dich darüber informieren – zum Beispiel im Datenschutzhinweis unter dem Formular. Wir verarbeiten die Antworten ausschließlich in ihrem Auftrag und nach ihren Weisungen (Art. 28 DSGVO) und nutzen sie nicht für eigene Zwecke. Für Auskunft, Berichtigung oder Löschung deiner Antworten wende dich bitte an den Ersteller des Formulars; wir leiten Anfragen, die uns erreichen, an ihn weiter.

6.3 Hochgeladene Dateien

Enthält ein Formular ein Upload-Feld, speichern wir die hochgeladene Datei, ihren Namen, Typ und Größe sowie eine Prüfsumme. Jede Datei wird vor dem Speichern automatisch auf Schadsoftware geprüft; die Prüfung läuft auf unserem eigenen Server, die Datei wird dafür an niemanden übermittelt. Dateien liegen außerhalb des öffentlichen Bereichs unter zufälligen Namen und können nur vom Formularersteller und berechtigten Mitgliedern seiner Organisation nach Anmeldung heruntergeladen werden. Administratoren können Dateien nicht einsehen. Dateien werden zusammen mit der zugehörigen Antwort gelöscht; verwaiste Dateien entfernt der Wartungsjob. Bitte lade nur Dateien hoch, die der Formularersteller tatsächlich benötigt, und beachte, dass Dateiinhalte personenbezogene Daten enthalten können, für die der Ersteller verantwortlich ist.

6.4 Verschlüsselte Formulare

Formularersteller können für vertrauliche Formulare die Ende-zu-Ende-Verschlüsselung aktivieren. Dann werden Antworten bereits im Browser der Besucher mit einem öffentlichen Schlüssel verschlüsselt und nur als unlesbarer Block gespeichert. Den passenden privaten Schlüssel besitzt ausschließlich der Formularersteller; wir und unsere Administratoren können diese Antworten technisch nicht lesen. Für die Inhalte bleibt der Formularersteller verantwortlich.

Antworten bleiben gespeichert, bis der Formularersteller sie, das Formular oder sein Konto löscht. Hat der Ersteller die Benachrichtigung aktiviert, erhält er eine E-Mail mit einem Link zur neuen Antwort. Die E-Mail enthält keine Antwortinhalte; diese verlassen den Server nicht (siehe Abschnitt 8).

7. Organisationen und Einladungen

In Organisationen sehen Mitglieder den Namen und die E-Mail-Adresse der anderen Mitglieder sowie deren Rolle. Wer ein Mitglied einlädt, gibt dessen E-Mail-Adresse ein; wir speichern sie zusammen mit Rolle, Gültigkeit und einem einmaligen Einladungs-Token und senden – sofern der Mailversand eingerichtet ist – eine Einladung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (für die eingeladene Person: lit. f, berechtigtes Interesse an der Zusammenarbeit). Erledigte Einladungen werden nach 90 Tagen gelöscht.

8. E-Mail-Versand

Wir versenden E-Mails nur, wenn sie für die Nutzung nötig sind oder du sie selbst aktivierst: Bestätigung der E-Mail-Adresse, Zurücksetzen des Passworts, Bestätigung einer neuen E-Mail-Adresse, Einladungen in Organisationen, Mitteilungen über Sperren oder Löschungen durch den Betreiber und – falls aktiviert – Hinweise auf neue Formularantworten. Es gibt keinen Newsletter und keine Werbe-E-Mails. Bestätigungs- und Reset-Links sind zeitlich begrenzt gültig und nur einmal verwendbar.

Für den Versand nutzen wir den E-Mail-Dienst Spacemail. Dabei werden die E-Mail-Adresse des Empfängers sowie Betreff und Text der jeweiligen Nachricht an den Dienst übermittelt. Formularantworten und Passwörter werden niemals per E-Mail versendet. Angaben zum Anbieter: Spaceship Inc., 4600 East Washington Street, Suite 305, Phoenix, AZ 85034, USA. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsverhältnisses) bzw. lit. f (Mitteilungen zur Missbrauchsabwehr).

9. Kontaktformular

Wenn du uns über das Kontaktformular schreibst, verarbeiten wir Name, E-Mail-Adresse, Kategorie und Nachricht, um deine Anfrage zu beantworten (Art. 6 Abs. 1 lit. b DSGVO bei Fragen zur Nutzung, sonst lit. f – berechtigtes Interesse an der Bearbeitung von Anfragen). Die Nachricht wird in unserer Datenbank gespeichert und, sofern eingerichtet, per E-Mail an uns weitergeleitet. Kontaktanfragen werden nach 180 Tagen automatisch gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

10. Sicherheit, Missbrauchsschutz und Administration

Zum Schutz vor Angriffen und Missbrauch verarbeiten wir:

• Sicherheits- und Verwaltungsereignisse wie Anmeldungen und fehlgeschlagene Anmeldeversuche, Passwort- und E-Mail-Änderungen, Datenexporte sowie Änderungen an Formularen, Antworten und Organisationen – jeweils mit Zeitpunkt und gekürzter IP-Adresse. Löschung nach 180 Tagen.
• Zähler für Ratenbegrenzungen (z. B. Anmeldeversuche, Registrierungen, Formularabsendungen) auf Basis eines Hashes der IP-Adresse. Löschung nach 24 Stunden.
• Spam-Schutz in Formularen ohne externe Dienste: ein unsichtbares Feld für Bots, eine Mindest-Ausfüllzeit und bei Andrang oder auf Wunsch des Formularerstellers eine kleine Rechenaufgabe, die dein Browser im Hintergrund löst (Proof-of-Work). Dafür werden keine Daten an Dritte übermittelt und keine Merkmale von dir ausgewertet. Es werden keine Captcha-Dienste eingesetzt.
• Berichte zur Content-Security-Policy: Dein Browser kann uns melden, wenn er auf unseren Seiten etwas blockiert hat. Gespeichert werden nur die verletzte Regel, die blockierte Quelle (Schema und Host) und der Seitenpfad ohne Parameter, aggregiert und ohne IP-Adresse; Löschung nach 30 Tagen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit des Dienstes und seiner Nutzer). Weitere technische Maßnahmen beschreiben wir unter Sicherheitsinformationen.

Administration und Moderation

Für Betrieb und Missbrauchsabwehr gibt es einen Administrationsbereich, der nur dem Betreiber (und ausdrücklich ernannten Administratoren) zugänglich ist. Dort sind einsehbar: Name, E-Mail-Adresse, Registrierungs- und Anmeldezeitpunkt, Status, Zahl der Formulare und Organisationen eines Kontos, außerdem Titel, Aufbau und Einstellungen von Formularen sowie die Anzahl ihrer Antworten. Die Inhalte von Antworten sind für Administratoren nicht einsehbar. Zugriffe auf Kontodetails und alle Maßnahmen (z. B. Sperren, Löschen) werden protokolliert und nach 180 Tagen gelöscht.

Bei Verstößen gegen die Nutzungsbedingungen oder bei Meldungen rechtswidriger Inhalte können Formulare oder Konten gesperrt werden (Art. 6 Abs. 1 lit. f DSGVO, Art. 6 Abs. 1 lit. c DSGVO i. V. m. dem Digital Services Act). Der Grund der Sperre wird gespeichert, der betroffenen Person mitgeteilt und zusammen mit dem Konto bzw. Formular gelöscht. Kontaktanfragen und Meldungen werden nach 180 Tagen gelöscht.

11. Empfänger und Übermittlung in Drittländer

Personenbezogene Daten erhält neben dem Verantwortlichen nur der unter Abschnitt 8 genannte E-Mail-Dienst, und zwar ausschließlich die für den Versand der jeweiligen Nachricht erforderlichen Angaben. Formularantworten erhalten zusätzlich der Ersteller des Formulars und die Mitglieder seiner Organisation. Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken weiter. Eine Weitergabe an Behörden erfolgt nur, wenn wir gesetzlich dazu verpflichtet sind.

Eigene Server, Datenbank und Datensicherungen befinden sich in der Verantwortung des Betreibers. Ob der E-Mail-Dienst Daten außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums verarbeitet, richtet sich nach seinen eigenen Angaben (siehe oben). Eine Übermittlung in Drittländer ist bei der Nutzung dieses Dienstes daher nicht auszuschließen; sie betrifft nur die in Abschnitt 8 genannten Angaben zum Nachrichtenversand.

12. Speicherdauer im Überblick

13. Deine Rechte

Du hast gegenüber uns jederzeit folgende Rechte hinsichtlich deiner personenbezogenen Daten:

• Auskunft über die gespeicherten Daten (Art. 15 DSGVO) – am schnellsten über „Konto → Daten exportieren“,
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO) – über „Konto → Konto löschen“,
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit in einem maschinenlesbaren Format (Art. 20 DSGVO) – über den JSON-Export,
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO), siehe unten.

Widerspruchsrecht: Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Anfragen richtest du formlos an die oben genannte Adresse oder über das Kontaktformular. Außerdem hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat deines Aufenthaltsorts, deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

14. Sonstiges

Eine automatisierte Entscheidungsfindung einschließlich Profiling (Art. 22 DSGVO) findet nicht statt. Die Bereitstellung von Daten ist weder gesetzlich noch vertraglich vorgeschrieben; ohne die für das Konto erforderlichen Angaben kann AstroForms jedoch nicht genutzt werden. Die Nutzung von AstroForms ist Personen ab 16 Jahren gestattet.

Wir passen diese Datenschutzerklärung an, wenn sich der Dienst oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung; über wesentliche Änderungen informieren wir registrierte Nutzerinnen und Nutzer per E-Mail.

Stand: Oktober 2026