Datenschutz

1. Verantwortlicher

Dmitrij Kosin, Wilstedter Straße 61, 24558 Henstedt-Ulzburg, Deutschland
E-Mail: hallo@kosyn.org

Diese Erklärung gilt für die Websites kosyn.org und kosyn.cloud sowie für die auf *.kosyn.cloud gehosteten Kosyn-Instanzen (geschlossene Alpha).

2. Hosting

Alle Dienste laufen auf einem Server der STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin (Serverstandort Deutschland). Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

3. Server-Logs

Beim Aufruf der Seiten werden technisch bedingt Zugriffsdaten verarbeitet: IP-Adresse, Zeitpunkt, aufgerufene URL, User-Agent und Statuscode. Die Anwendungs-Logs der Instanzen protokollieren zusätzlich Anmeldevorgänge (Benutzername, Zeitpunkt). Logs dienen ausschließlich Betrieb, Fehlersuche und Missbrauchsabwehr (Art. 6 Abs. 1 lit. f DSGVO) und werden nicht mit anderen Datenquellen zusammengeführt. Für die Sicherheits-Auswertung werden daraus nur Zählwerte gebildet (siehe Abschnitt 10).

4. Cookies

Kosyn verwendet ausschließlich technisch notwendige Cookies: ein Session-Cookie nach der Anmeldung (hält dich eingeloggt, Laufzeit max. 180 Tage). Es gibt kein Tracking, keine Analyse-Tools, keine Werbung und keine Drittanbieter-Cookies. Für technisch notwendige Cookies ist keine Einwilligung erforderlich (§ 25 Abs. 2 TDDDG).

5. Konto- und Inhaltsdaten (Kosyn-Instanzen)

Für dein Konto speichern wir Benutzername, Anzeigename, E-Mail-Adresse (für Anmeldung und Passwort-Reset) und dein Passwort als Hash — niemals im Klartext. Inhalte, die du in Kosyn anlegst (Termine, Boards, Projekte, Inventar, Uploads), liegen in der eigenen Datenbank deiner Instanz und werden ausschließlich zur Bereitstellung des Dienstes verarbeitet (Art. 6 Abs. 1 lit. b DSGVO). Deine Daten werden nicht an Dritte verkauft oder zu Werbezwecken ausgewertet.

Bei Löschung einer Instanz wird ein Datenbank-Abzug zur Absicherung gegen versehentliches Löschen kurzzeitig aufbewahrt und anschließend entfernt.

6. E-Mails

System-Mails (Einladungen, Passwort-Reset, Bestätigung und Antwort zu Zugangsanfragen nach Abschnitt 12, Eingangsbestätigung und Rückmeldung zu Meldungen nach Abschnitt 10) versenden wir über unseren eigenen Mailserver. Nachrichten an unsere Kontaktadressen (z. B. hallo@kosyn.org) werden an ein vom Verantwortlichen genutztes Postfach weitergeleitet, das bei Google (Google Ireland Ltd.) gehostet sein kann — bitte sende uns daher keine sensiblen Daten per E-Mail. Rechtsgrundlage der Verarbeitung ist die Bearbeitung deiner Anfrage (Art. 6 Abs. 1 lit. b bzw. f DSGVO).

7. Föderation (optional)

Wenn du die Verbund-Funktion aktiv einrichtest, teilt deine Instanz die von dir ausgewählten Inhalte mit genau der Partner-Instanz, die du verbindest. Ohne deine Einrichtung wird nichts geteilt.

8. Deine Rechte

Du hast nach der DSGVO das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Wende dich dafür einfach an hallo@kosyn.org. Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren — zuständig für uns: Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein (ULD), Holstenstraße 98, 24103 Kiel.

9. Speicherdauer & Alpha-Hinweis

Konto- und Inhaltsdaten bleiben gespeichert, solange dein Space besteht; auf Wunsch löschen wir deinen Space vollständig. Für Meldungen, Moderation und Sicherheits-Auswertung gelten eigene Fristen (Abschnitt 10), ebenso für das Coop-Protokoll (Abschnitt 11) und Zugangsanfragen (Abschnitt 12). Kosyn befindet sich in einer geschlossenen Alpha — Funktionsumfang und diese Erklärung können sich noch ändern.

10. Meldungen, Moderation und Sicherheit

Meldung rechtswidriger Inhalte. Über kosyn.cloud/melden.php (bzw. „⚑ Inhalt melden“ in geteilten Ansichten) kannst du Inhalte melden, die über Kosyn öffentlich erreichbar sind. Wir verarbeiten dabei den gemeldeten Link, den gewählten Grund, deine Begründung und — nur wenn du sie angibst — deine E-Mail-Adresse, um dir den Eingang zu bestätigen und unsere Entscheidung mitzuteilen. Deine IP-Adresse speichern wir dafür nicht; zum Schutz vor massenhaften Missbrauchsmeldungen zählen wir Meldungen je Anschluss nur als nicht umkehrbaren Kurzwert (Hash), der nach 24 Stunden verfällt. Zweck ist die Bearbeitung der Meldung nach Art. 16 Digital Services Act (DSA); Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) und Art. 6 Abs. 1 lit. f DSGVO (Schutz vor rechtswidrigen Inhalten).

Automatisierte Prüfung öffentlich erreichbarer Inhalte. Einmal täglich prüfen wir ausschließlich Inhalte, die ohnehin für jeden erreichbar sind: Inhalte hinter aktiven Gast-Links (z. B. geteilte Boards, Projekte, Termine — genau der Ausschnitt, den auch Gäste sehen; bei Bildern nur Dateiname und Beschreibung, keine Bildanalyse) sowie Name, Titel und Organisation eines Space. Geprüft wird auf offensichtliche Verstöße (Aufrufe zu Gewalt oder Terror, Volksverhetzung, Betrug/Phishing, offensichtliche Rechtsverletzungen, Veröffentlichung privater Daten Dritter). Die Prüfung übernimmt ein Sprachmodell, das wir selbst auf einem eigenen Server des Betreibers in Deutschland betreiben; die Inhalte werden nicht an Dritte oder externe KI-Dienste übermittelt. Das Ergebnis ist nur ein Hinweis an uns — es wird nichts automatisch gesperrt; jede Maßnahme entscheidet ein Mensch. Eine ausschließlich automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse, als Hostinganbieter die Verbreitung rechtswidriger Inhalte über öffentliche Links zu verhindern). Wir speichern je Objekt nur einen Prüfwert (Hash), um unveränderte Inhalte nicht erneut zu prüfen; Inhalte selbst landen nur dann in unserer Fallakte, wenn ein Hinweis entsteht.

Keine Prüfung privater Inhalte. Inhalte in deinem Space, die du nicht über einen Gast-Link öffentlich machst, werden weder automatisch noch manuell durchsucht. Einsicht nehmen wir nur im Einzelfall, wenn ein konkreter Hinweis (Meldung, Prüfhinweis) vorliegt — jede solche Einsicht wird protokolliert.

Sicherheits-Auswertung von Metadaten. Zum Schutz vor Angriffen und Missbrauch werten wir täglich Zählwerte aus unseren Server-Protokollen und Datenbanken aus — ohne Inhalte: z. B. Anzahl von Uploads, neu erstellten Gast-Links und Einladungs-Mails, fehlgeschlagene Anmeldungen und abgewiesene Anfragen, Anzahl der KI-Anfragen je Konto (Vergleich mit dem üblichen Maß), belegter Speicherplatz sowie grobe Netzbereiche der Anmeldungen (nur gekürzte IP-Adressen, z. B. die ersten zwei Blöcke; ohne externe Standortdienste). Die Zählwerte werden täglich überschrieben; bekannte Netzbereiche je Konto speichern wir höchstens 90 Tage. Auffälligkeiten prüft ein Mensch. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (sicherer Betrieb, Missbrauchsabwehr).

Speicherdauer. Wir löschen automatisch beim täglichen Prüflauf:

• Meldungen und Prüfhinweise, die wir ablehnen oder ohne Maßnahme abschließen: 6 Monate nach Abschluss;
• Entscheidungen, mit denen wir eine Maßnahme ergreifen, samt Begründung: 2 Jahre nach der Entscheidung — um Nachfragen und Beschwerden zu bearbeiten und unsere Transparenzpflichten nach dem DSA zu erfüllen;
• Hinweise aus der Sicherheits-Auswertung (nur Zählwerte), denen keine Maßnahme folgt: 90 Tage.

Solange eine Meldung oder ein Hinweis noch bearbeitet wird, bleibt er bis zum Abschluss gespeichert. Die Einträge im Entscheidungs- und Einsichtsprotokoll werden mit dem jeweiligen Fall gelöscht.

Maßnahmen und deine Rechte. Sperren wir einen Inhalt, einen Link, einen Space oder ein Konto, informieren wir die betroffene Person mit Begründung, soweit wir sie erreichen können (Art. 17 DSA). Du kannst jederzeit widersprechen oder dich beschweren: abuse@kosyn.cloud. Deine Rechte aus Abschnitt 8 gelten auch hier.

11. Coop: Chat, Sprach- und Videoräume

Was verarbeitet wird. Mit „🤝 Coop“ kannst du in deinem Space in Kanälen schreiben, auf Termine, Projekte und Gegenstände verweisen und Sprach- bzw. Videoräume nutzen (Mikrofon, Kamera, Bildschirm teilen). Chat-Nachrichten (Text, Antworten, Anhänge als Verweis auf bereits hochgeladene Dateien) und dein Lesestand liegen wie deine übrigen Inhalte in der eigenen Datenbank deines Space (Abschnitt 2, Abschnitt 5); löschst du eine Nachricht, werden Text und Anhänge entfernt. Wer gerade in einem Kanal ist, wird nur flüchtig für etwa eine Minute vorgehalten. Ton, Bild und geteilte Bildschirme werden ausschließlich live übertragen und nicht aufgezeichnet — es gibt keine Aufnahmefunktion, weder für Mitglieder noch für Admins oder uns. Rechtsgrundlage ist die Bereitstellung des Dienstes (Art. 6 Abs. 1 lit. b DSGVO); bei Schulen die Wahrnehmung der Bildungsaufgabe nach dem jeweiligen Schulgesetz (Art. 6 Abs. 1 lit. e DSGVO), über die der Schulträger als Verantwortlicher entscheidet.

Kamera und Mikrofon nur durch dich selbst. Beim Betreten eines Raums sind Mikrofon und Kamera aus. Du schaltest sie nur selbst per Klick ein (dein Browser fragt dabei nach der Erlaubnis). Es gibt keine Fernaktivierung: Weder andere Mitglieder noch Moderator:innen, Admins oder wir können deine Kamera, dein Mikrofon oder deinen Bildschirm einschalten; die Moderation kann sie nur ausschalten. Es gibt keine unsichtbaren Teilnehmer — alle Anwesenden sind in der Teilnehmerliste zu sehen. Space-Admins können Coop oder nur Mikrofon/Kamera für ihren Space abschalten; in Schulen sind Mikrofon und Kamera ab Werk aus und werden erst von der Schulleitung freigeschaltet.

Wo und wie übertragen wird. Ton, Bild und Bildschirm laufen über einen Coop-Server: entweder über den Coop-Server des Betreibers, den wir selbst auf eigener Hardware in Deutschland betreiben, oder — wenn der Admin deines Space das einrichtet — über einen eigenen Server des Space-Admins (z. B. in der Schule oder im Verein). Die Übertragung ist transportverschlüsselt (TLS für den Verbindungsaufbau, DTLS-SRTP für Ton und Bild). Sie ist nicht Ende-zu-Ende-verschlüsselt: Der Coop-Server leitet die Ströme an die Teilnehmenden weiter und könnte sie technisch lesen; er speichert sie aber nicht. Mehrere Spaces können denselben Coop-Server nutzen; jeder Space hat dabei eigene Schlüssel und getrennte Räume. Die Space-Instanz selbst stellt dafür nur Zugangsberechtigungen aus und leitet keine Medien.

Protokoll ohne Inhalte. Zum Nachvollziehen von Störungen und Missbrauch protokolliert der Space, wer wann welchen Raum betreten und verlassen hat, wie lange, welche Art Quelle (z. B. Bildschirm, Kamera) freigegeben wurde und welche Moderationsschritte stattfanden — ohne Ton-, Bild-, Bildschirm- oder Chat-Inhalte. Einsehen können das Protokoll nur Admins des Space; jeder Zugriff darauf wird selbst protokolliert. Die Einträge werden automatisch nach 90 Tagen gelöscht, in Schul-Spaces nach 30 Tagen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (sicherer Betrieb, Missbrauchsabwehr) bzw. bei Schulen Art. 6 Abs. 1 lit. e DSGVO.

Gäste ohne Konto. Moderator:innen eines Kanals können Gäste über einen Einladungslink in genau diesen einen Kanal holen (Chat, Sprache/Kamera, Bildschirm teilen, Whiteboard des Kanals); Space-Admins können das abschalten, in Schulen ist es ab Werk aus. Gäste brauchen kein Konto und keine E-Mail-Adresse. Gespeichert werden der selbst gewählte Name, Beginn und letzte Aktivität des Besuchs, wer eingeladen hat, die Nachrichten und Whiteboard-Elemente des Gastes im Kanal (wie alle Inhalte des Kanals) und die Protokolleinträge des Medienraums wie oben — keine IP-Adresse über die Server-Logs aus Abschnitt 3 hinaus. Ein Sitzungs-Cookie gilt nur für die Gast-Schnittstelle und endet, wenn der Gast geht, spätestens 12 Stunden nach der letzten Aktivität oder wenn die Moderation den Gast entfernt bzw. den Link widerruft. Der Link selbst läuft nach höchstens 7 Tagen ab und wird nur als Prüfsumme gespeichert. Name und Besuchsdaten werden 30 Tage nach Ende des Besuchs gelöscht; die Nachrichten und Whiteboard-Elemente bleiben danach im Kanal, bis sie gelöscht werden. Gäste sehen keine anderen Kanäle, Mitglieder oder Inhalte des Space; Verweise darauf erscheinen als 🔒. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (vom Space gewünschte Zusammenarbeit mit Externen), bei Schulen lit. e.

Mitglieder anderer Spaces. Moderator:innen können eine Person mit Kosyn-Konto aus einem anderen Space per E-Mail-Adresse dauerhaft in einen Kanal einladen. Dafür speichert der einladende Space die E-Mail-Adresse, wer wann eingeladen hat und — sobald die Person beitritt — ihren Anzeigenamen und den Namen ihres Heim-Space. Der eigene Space der Person prüft nur, ob für ihre bestätigte Adresse Einladungen bestehen, und zeigt sie ihr an; ob es eine Adresse gibt, erfährt die einladende Seite nicht. Für die Person gelten dieselben Grenzen wie für Gäste (nur dieser Kanal, keine anderen Inhalte). Wird sie entfernt oder lehnt sie ab, wird die Einladung samt E-Mail-Adresse sofort gelöscht; Name und Besuchsdaten wie bei Gästen nach 30 Tagen. Rechtsgrundlage wie oben.

Desktop-App „Coop App“ (optional). Die App für Windows und Linux zeigt dieselbe Coop-Oberfläche wie der Browser. Sie verbindet sich nur mit den Spaces unter kosyn.cloud, die du selbst einträgst, und fragt unter https://kosyn.cloud/coop-app/ nach Updates; dabei fallen nur die Server-Logs aus Abschnitt 3 an. Für globales Push-to-talk beobachtet sie die Tastatur nur, um deine gewählte Taste zu erkennen; Tastendrücke werden weder gespeichert noch gesendet. Ist Push-to-talk aus, läuft kein Tasten-Hook. Einstellungen bleiben lokal auf deinem Gerät.

Keine Weitergabe. Chat-Inhalte, Medienströme und das Protokoll werden nicht an Dritte weitergegeben, nicht zu Werbezwecken ausgewertet und nicht mit KI-Diensten Dritter verarbeitet. Deine Rechte aus Abschnitt 8 gelten auch hier.

12. Zugangsanfrage (geschlossene Alpha)

Was verarbeitet wird. Über das Formular kosyn.cloud/anfrage.php kannst du einen eigenen Space anfragen. Dafür speichern wir deine E-Mail-Adresse, den gewünschten Space-Namen, deinen Kurztext („Wofür möchtest du Kosyn testen?“), den optional gewählten Einsatzzweck, die optionale Angabe, wer dir Kosyn empfohlen hat (bitte nur Namen, keine Kontaktdaten Dritter), die Zeitpunkte von Anfrage und Bestätigung sowie unsere Entscheidung (wer, wann, ob zugelassen oder abgelehnt). Deine IP-Adresse speichern wir nicht in der Anfrage; gegen Missbrauch zählen wir Anfragen je IP-Adresse und je E-Mail-Adresse nur als nicht rückrechenbaren Hash, höchstens 24 Stunden lang. Ein Cookie setzt das Formular nicht.

Zweck und Rechtsgrundlage. Wir nutzen die Angaben ausschließlich, um über deinen Zugang zur Alpha zu entscheiden und dir dazu zu schreiben (Art. 6 Abs. 1 lit. b DSGVO — Anbahnung der Nutzung auf deine Anfrage hin). Damit niemand fremde Adressen einträgt, schicken wir zuerst eine Bestätigungsmail; erst nach deinem Klick sehen wir die Anfrage. Die Missbrauchsabwehr (Zählung, Honeypot) stützt sich auf unser berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Lassen wir dich zu, bekommst du eine Einladung für genau diese Adresse; der gewünschte Space-Name wird dafür bis zum Ablauf der Einladung (14 Tage) vorgemerkt. Für das Einrichten des Space gilt dann Abschnitt 5.

Speicherdauer. Unbestätigte Anfragen löschen wir automatisch nach 24 Stunden. Bearbeitete Anfragen (zugelassen oder abgelehnt) löschen wir 30 Tage nach unserer Entscheidung; bei einer Ablehnung löschen wir deinen Kurztext sofort mit der Entscheidung (und der Mitteilung an dich) — nur Adresse, Space-Name und Entscheidung bleiben bis zum Ablauf der 30 Tage, damit wir wiederholte Anfragen einordnen können. Auf Wunsch löschen wir deine Anfrage jederzeit sofort: hallo@kosyn.cloud.

Keine Weitergabe. Die Anfragen liegen nur im Verwaltungsbereich unseres Servers (Abschnitt 2), nicht in einem Space, und werden nicht an Dritte weitergegeben. Mails versenden wir wie in Abschnitt 6 beschrieben. Deine Rechte aus Abschnitt 8 gelten auch hier.

Stand: 27. September 2026