Wegwerf-Showcase (dev) · Test-Ausweise, keine echten Daten · Widerruf wird hier nicht live geprüft · Prüfung mit QR-Code läuft über einen Tunnel des Browser-Herstellers (bei Chrome: Google)

Was hier gespeichert wird — und was ausdrücklich nicht

Dieser Showcase wirbt für Datensparsamkeit. Eine Datenschutzseite, die das nicht aushält, würde ihn im Fußbereich widerlegen. Deshalb steht hier nicht nur, was verarbeitet wird, sondern wo jedes einzelne Datum liegt und wie lange.

Verantwortliche Stelle

Schwarz Digits KG, Am Campus 1, 74177 Bad Friedrichshall. Vollständige Angaben im Impressum.

Datensparsamkeit — die zwei Türen

Der Showcase führt bewusst zwei gegensätzliche Fälle nebeneinander vor, weil der Unterschied die eigentliche Aussage ist.

Die Alterprüfung fragt genau ein Merkmal ab — etwa age_over_18, also die Antwort „ja“ oder „nein“. Kein Geburtsdatum, kein Name. Der Ausweis in der Brieftasche trägt mehr; danach wird nicht gefragt, also kommt es nie an. Was nie ankommt, kann kein Fehlerpfad ausplaudern.

Mit einer Ausnahme, und sie ist beabsichtigt. Eine Kachel bietet an, eine Altersgrenze aus dem Geburtsdatum zu berechnen — der Weg, den man geht, wenn der Ausweis die gefragte Schwelle nicht trägt. Dieser eine Weg lernt tatsächlich Ihr Geburtsdatum, für die Dauer einer Berechnung. Er ist nicht versehentlich da: er führt vor, dass ein Fragender diese Wahl hat, und was sie kostet. Was danach gespeichert wird, ist dasselbe wie überall sonst — pass oder fail. Einzelheiten im Manifest weiter unten.

Das PID-Gate ist der Gegenpol: Wer die Beweis-Ansicht öffnen will, weist sich mit einem Namen aus, und dieser Name wird protokolliert — absichtlich, damit der Unterschied zwischen den beiden Türen sichtbar wird. Abgefragt werden dabei genau zwei Angaben, Vorname und Nachname. Der Test-Ausweis führt außerdem Alter, Geburtsjahr und Adresse; danach wird nicht gefragt, also kommen sie nie an. Ihr Telefon zeigt Ihnen die beiden angefragten Felder, und zwar vor der Übertragung.

Daten-Manifest · wo jedes Datum liegt

Was	Wo	Wie lange
Beweiszeile der Alterprüfung Ergebnis (`pass`/`fail`), Name des geprüften Merkmals, Vertrauenswurzel, Gültigkeitsende des Ausweises, Zeitpunkt, Zufallskennzeichen. Kein Personenbezug.	Postgres (STACKIT)	bis zum Abbau
Transaktionszustand Kennung, Einmal-Nonce, Ergebnis der Prüfschritte. Ebenfalls ohne Personenbezug.	Postgres (STACKIT)	120 Sekunden gültig danach dauerhaft abgelaufen; die Zeile selbst bleibt bis zum Abbau stehen
Zugriffsprotokoll des PID-Gates Anzeigename aus dem Test-Ausweis, Zeitpunkt, Ergebnis. Bewusst personenbezogen — und ausschließlich synthetische Namen aus Test-Ausweisen, weil nur die eine Test-Vertrauenswurzel akzeptiert wird.	Postgres (STACKIT)	bis zum Abbau
Sitzungs-Cookie der Beweis-Ansicht Anzeigename aus dem Test-Ausweis und eine Ablaufzeit, signiert. Liegt nur in Ihrem Browser: es gibt keine Sitzungstabelle auf dem Server, also niemanden, der nachträglich sagen könnte, welche Sitzung wem gehörte.	Ihr Browser	30 Minuten
Geburtsdatum — durchlaufend, nicht gespeichert Eine Kachel im Shop bietet an, eine Altersgrenze aus dem Geburtsdatum zu berechnen, statt nach einer fertigen Schwelle zu fragen. Dabei erfährt dieser Dienst tatsächlich Ihr Geburtsdatum — für die Dauer einer Berechnung, im Arbeitsspeicher des Prozesses. Gespeichert wird davon nichts: die Beweiszeile enthält wie bei jeder anderen Prüfung nur `pass` oder `fail`. Es gibt keine Spalte dafür, keine Log-Zeile, keine Fehlermeldung, die es zitieren könnte — auch die Diagnose-Ausgaben nennen ausschließlich die Form des Wertes, nie den Wert.	nirgends	Dauer einer Anfrage
Zähler der Ratenbegrenzung Damit ein einzelner Aufrufer die Beweiskette nicht mit Müllzeilen füllt, zählt dieser Dienst Anfragen pro Aufrufer. Der Zähler wird unter einer aus Ihrer IP-Adresse abgeleiteten Kennung geführt — die einzige Stelle, an der etwas Personenbeziehbares im Arbeitsspeicher steht. Gezählt werden Anfragen, nicht Inhalte; es gibt keine Verbindung zu einer Prüfung, einer Beweiszeile oder einem Namen.	Arbeitsspeicher des Prozesses	Länge eines Zeitfensters danach verworfen; spätestens mit dem Neustart des Containers fort, denn gespeichert wird er nirgends
Technische Betriebs-Logs Können IP-Adressen enthalten. Inhalte aus einer Präsentation enthalten sie nicht — das Datenmodell führt nichts Personenbezogenes, das ein Log mitschreiben könnte.	Plattform-Logs	kurzlebig

Eine Kante, die zu diesem Manifest gehört. Weist die Datenbank eine Zeile wegen einer Regelverletzung zurück, schreibt sie den abgewiesenen Inhalt in ihre eigene Server-Protokollzeile. Das ist Verhalten der Datenbank-Software, nicht unseres, und es liegt unterhalb der Ebene, auf der dieser Dienst entscheidet, was er protokolliert. Erreichbar ist dieser Pfad heute ausschließlich aus der Testsuite, die eine solche Zurückweisung absichtlich provoziert, um zu belegen, dass die Regel greift — im laufenden Betrieb führt kein Weg dorthin. Er steht hier trotzdem, weil eine Aufstellung, die Vollständigkeit beansprucht, ihren unbequemsten Eintrag nicht weglassen darf.

Die beiden Bestände sind nicht verbunden. Es gibt keinen Schlüssel, über den sich eine Beweiszeile einem Zugriff auf die Beweis-Ansicht zuordnen ließe, und keine Spalte, die eine Prüfung mit einer anderen in Verbindung bringt. Das Zufallskennzeichen wird pro Zeile neu erzeugt; es ist ausdrücklich nicht die Kennung der Sitzung.

Eine Zuordnung gibt es trotzdem, für einen Moment und nur bei Ihnen. Die Ergebnisseite nennt Ihnen, welche Zeile der Beweiskette Ihre Prüfung geworden ist. Diese Angabe kommt aus der Antwort an Ihren Browser; sie wird dort bis zum Anzeigen gehalten und danach verworfen. Gespeichert wird sie nirgends — weder bei uns noch bei einem Dritten. Nach dem Neuladen der Seite kann niemand mehr sagen, welche Zeile Ihre war, wir eingeschlossen. Das ist der Grund, warum wir dafür keine Spalte anlegen: eine solche Spalte würde nicht nur Ihre künftigen Prüfungen zuordenbar machen, sondern rückwirkend jede bereits geschriebene Zeile.

Warum es diesen Weg überhaupt gibt. Er ist der unbequeme Teil der Vorführung. Bei „über 18“ kann dieser Dienst Ihr Alter nicht erfahren — die Brieftasche gibt ein Ja oder Nein heraus und sonst nichts. Beim Geburtsdatum entscheidet er sich, es nicht zu behalten. Das erste ist eine Eigenschaft der Bauweise, das zweite eine Zusage. Der Unterschied ist genau das, was diese Kachel zeigen soll, und ihn zu verschweigen hieße, die Zusage als Eigenschaft auszugeben.

Wo die Daten liegen

Betrieb auf STACKIT, einem Unternehmen der Schwarz Gruppe, in Rechenzentren in Deutschland. Kein Drittlandtransfer.

Eine Einschränkung, die dazugehört: Im Cross-Device-Ablauf — Prüfung am großen Bildschirm, Ausweis auf dem Telefon — läuft der Transport zwischen beiden Geräten über einen Dienst des Browser-Herstellers, bei Chrome also über Google. Der Prüfdienst selbst ruft zur Prüfzeit niemanden auf; der Weg dorthin ist trotzdem nicht unser eigener, und das wird gesagt statt verschwiegen. Durch diesen Tunnel läuft ausschließlich der für uns verschlüsselte Geheimtext der Wallet-Antwort; sichtbar sind dort Metadaten, nicht Ausweisdaten. Wer den Tunnel nicht will, prüft auf dem Telefon selbst — dann entsteht er gar nicht erst.

Was hier ausdrücklich nicht passiert

Kein Name, keine Adresse, kein Foto, keine Dokumentennummer im Pfad der Alterprüfung — weder gespeichert noch geloggt.
Kein gespeichertes Geburtsdatum. Der Berechnungs-Weg oben sieht eines; abgelegt wird es nirgends — nicht in der Beweiszeile, nicht im Zugriffsprotokoll, nicht in einem Log, nicht in einer Fehlermeldung. Diese Zeile ist bewusst schwächer formuliert als die darüber, weil die stärkere Formulierung seit dem Bau dieser Kachel nicht mehr stimmen würde.
Kein Schlüssel und kein Kennzeichen des Ausweises in der Beweiszeile. Sonst würde aus dem Hash ein Pseudonym, mit dem sich Prüfungen derselben Person verketten ließen.
Kein Aufruf zum Aussteller während der Prüfung. Die Echtheit wird an einer im Programm eingebauten Vertrauenswurzel geprüft, ohne Rückfrage bei irgendwem — insbesondere nicht bei Google.
Kein Tracking, keine Analyse, keine Profilbildung, keine Skripte fremder Anbieter. Ein einziges Cookie — siehe den Abschnitt darunter; es zählt nicht, misst nicht und verfolgt nichts.
Keine Weitergabe an Dritte.
Keine Zählung von Personen. Die Ratenbegrenzung oben zählt Anfragen je Aufrufer, damit die Beweiskette sauber bleibt. Sie erkennt niemanden wieder, hält nichts über ein Zeitfenster hinaus und berührt keinen der beiden Datenbestände.

Das eine Cookie — und warum hier kein Banner steht

Nach der Anmeldung an der zweiten Tür setzt dieser Dienst ein Cookie. Es trägt Ihren Anzeigenamen aus dem Test-Ausweis und eine Ablaufzeit, ist mit einem Schlüssel signiert, der den Server nie verlässt, und ist nach 30 Minuten ungültig. Es ist für Skripte nicht lesbar und wird an keinen Dritten gesendet.

Warum es kein Einwilligungs-Banner gibt: § 25 Abs. 2 TDDDG verlangt keine Einwilligung für Cookies, die für den ausdrücklich gewünschten Dienst unbedingt erforderlich sind. Dieses hier ist die Anmeldung — ohne es gibt es die Funktion nicht, die Sie gerade angefordert haben. Ein Banner, das um Erlaubnis für die eben getroffene Entscheidung bittet, wäre Theater; dieser Absatz sagt stattdessen, was passiert.

Warum es keine Sitzungstabelle gibt. Die Verbindung zwischen Ihnen und dieser Sitzung liegt in Ihrem Browser, nicht in unserer Datenbank — dieselbe Entscheidung wie bei der Zeilennummer auf der Ergebnisseite. Das Zugriffsprotokoll hält fest, dass jemand durch die Tür ging, nicht wessen Sitzung danach noch offen war. Löschen Sie das Cookie, ist die Sitzung fort, und niemand kann sie wiederherstellen.

Löschung und Speicherdauer

Der Showcase wird nach Gebrauch abgebaut; damit sind die Daten weg. Ein Detail, das dazugehört, weil eine ungeprüfte Löschzusage genau die Halbwahrheit wäre, gegen die dieser Showcase antritt: Die Datenbank-Plattform führt üblicherweise Sicherungspunkte über rund 30 Tage (Point-in-Time-Recovery). Nach dem Abbau ist der Dienst sofort fort, die Sicherungspunkte verfallen nach dieser Frist.

Zur Hash-Kette der Beweiszeilen gehört eine offene Spannung, die hier benannt und nicht gelöst wird: Eine Kette macht einzelne Zeilen faktisch unlöschbar. Deshalb enthält sie nichts Personenbezogenes, und deshalb hat der personenbezogene Bestand — das Zugriffsprotokoll — bewusst keine Kette. In einem Produktivsystem wäre das eigens zu lösen.

Rechtsgrundlage und Ihre Rechte

Verarbeitung im Rahmen eines internen Testbetriebs auf Grundlage des berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) an der Erprobung datensparsamer Altersprüfung. Es werden ausschließlich synthetische Test-Identitäten verarbeitet.

Ihnen stehen die Rechte nach DSGVO zu: Auskunft, Berichtigung, Löschung, Einschränkung und Widerspruch. Wenden Sie sich an die im Impressum genannte Stelle. Beachten Sie, dass die Beweiszeilen keinen Personenbezug tragen und einer Person deshalb auch auf Anfrage nicht zugeordnet werden können — das ist keine Auskunftsverweigerung, sondern die Eigenschaft, um die es hier geht.