Datenschutzerklärung

Dieser Entwurf beschreibt, was die aktuelle Version von Votara tut. Er wird vor dem Start geprüft und vor jeder neuen Funktion, die Personendaten bearbeitet, angepasst.

Verantwortliche Stelle

• PLACEHOLDER: Name und Adresse der verantwortlichen Stelle.
• PLACEHOLDER: Kontaktadresse für Anfragen zum Datenschutz.

Was diese Version nicht tut

• Noch keine Benutzerkonten, keine Registrierung: Die unten beschriebenen Konten der Agora sind nicht geöffnet.
• Keine Speicherung von Meinungen, Stimmen oder Kommentaren. Gespeichert werden nur die anonymen Schätzungen von «Zuerst schätzen», die unten beschrieben sind.
• Keine Skripte von Dritten, keine extern geladenen Schriften, keine Tracker, keine Analysewerkzeuge, keine Werbung.

Cookies

Votara setzt zwei Cookies. Beide speichern eine Einstellung und sonst nichts.

Cookie	Inhalt	Gesetzt, wenn	Dauer
theme	light oder dark	Sie den Hell/Dunkel-Schalter benutzen	1 Jahr
PARAGLIDE_LOCALE	Sprachcode (de, fr, it oder en)	eine Seite in Ihrem Browser geladen wird	400 Tage

Keines der beiden Cookies dient dazu, Sie zu identifizieren, und keines wird an Dritte weitergegeben.

«Zuerst schätzen» auf der Startseite

Die drei Fragen auf der Startseite beantworten Sie mit einem Schieberegler oder einem Zahlenfeld. Was mit einer Antwort geschieht, hängt davon ab, ob diese Version von Votara mit einer Datenbank läuft; der Hinweis unter dem Formular sagt jeweils, welcher Fall gilt.

Ohne Datenbank wird nichts gespeichert. Mit JavaScript bleiben Ihre Schätzungen in Ihrem Browser.

Mit Datenbank speichert ein Klick auf «Vergleichen» einen Eintrag für die beantwortete Frage:

Gespeichert	Beispiel	Zweck
die Frage	population-observed-1860	Schätzungen pro Frage zusammenfassen
Ihre Schätzung	3000000	zeigen, was Besuchende geschätzt haben
das Datum (Zürcher Zeit), ohne Uhrzeit	2026-10-31	Zeitraum der Schätzungen; Löschung
ein mit Schlüssel berechneter Hashwert eines Zufallscodes	43 Zeichen	jede Schätzung nur einmal pro Tag zählen

Den Zufallscode erzeugt der Server bei jeder Anzeige des Formulars; er wird in einem verborgenen Formularfeld übermittelt, selbst nicht gespeichert und ist kein Cookie. Nicht gespeichert werden zu einer Schätzung: IP-Adresse, Cookie, Konto, Browserkennung (User-Agent), Sprache, Uhrzeit. Wer eine Frage überspringt, speichert nichts.

Schutz vor Missbrauch. Gegen automatisierte Massenabgaben sind höchstens 30 Schätzungen pro Stunde und Absender möglich. Der Zähler wird unter einem Code gespeichert, der aus der IP-Adresse mit einem geheimen Schlüssel berechnet wird. Dieser Schlüssel existiert nur im Arbeitsspeicher des Servers und wird jeden Tag (Zürcher Zeit) ersetzt. Die IP-Adresse selbst wird nicht gespeichert; sobald der Schlüssel ersetzt ist, kann niemand den Code mehr einer Adresse zuordnen. Die Zähler werden nach zwei Tagen gelöscht.

Was angezeigt wird. Ab 100 Schätzungen zu einer Frage zeigt die Auflösung dieser Frage zusätzlich den Median der Schätzungen der Besuchenden, den Bereich, in dem die Hälfte davon liegt, ihre Anzahl und ihren Zeitraum, gekennzeichnet als «Meinung von Votara-Nutzenden, keine repräsentative Umfrage». Unter 100 Schätzungen steht nur, dass es noch zu wenige Schätzungen gibt.

Aufbewahrung. Schätzungen werden nach 400 Tagen automatisch gelöscht, Zähler gegen Missbrauch nach zwei Tagen. Sicherungskopien der Datenbank werden 14 Tage aufbewahrt; ein gelöschter Eintrag kann also bis zu 14 weitere Tage in einer Sicherung verbleiben. Die Datenbank läuft auf demselben Server wie die Website (siehe Hosting).

Ohne JavaScript stehen Ihre Antworten nach dem Absenden zudem in der Seitenadresse (um die Antwort anzuzeigen); diese Adresse kann in den unten beschriebenen Server-Protokollen erscheinen.

PLACEHOLDER: Rechtsgrundlage.

Benutzerkonten (Agora, noch nicht geöffnet)

Die Agora (Abstimmungen, Vorschläge, Kommentare) ist im Aufbau und noch nicht geöffnet: In dieser Version können Sie kein Konto erstellen. Dieser Abschnitt beschreibt im Voraus genau, was ein Konto speichern wird; er wird vor der Öffnung der Agora geprüft.

Anmelden ohne Passwort. Sie geben Ihre E-Mail-Adresse ein und erhalten einen Link, der einmal und 15 Minuten lang funktioniert. Votara antwortet gleich, ob für die Adresse ein Konto besteht oder nicht. Solange der Link offen ist, speichert Votara nur einen Fingerabdruck (Hash) des Links, die Adresse so verschlüsselt, dass nur der Link sie öffnen kann, einen mit einem geheimen Schlüssel gebildeten Fingerabdruck der Adresse (um offene Links mit einem Konto zu löschen) und den Ablaufzeitpunkt. Gegen Missbrauch werden pro Stunde höchstens 10 Anfragen pro Verbindung und 3 Links pro Adresse angenommen; die Zähler verwenden dieselben täglich wechselnden Codes wie «Zuerst schätzen» und werden nach zwei Tagen gelöscht. Die E-Mail wird über einen E-Mail-Anbieter versandt (PLACEHOLDER: Anbieter und Standort); sie enthält kein Tracking und kein Bild.

Was ein Konto speichert.

Gespeichert	Zweck	Aufbewahrt
Ihre E-Mail-Adresse	um Ihnen Anmeldelinks zu senden	bis Sie Ihr Konto löschen
ein Pseudonym (erzeugt, z. B. user-k7m2q9xr, änderbar)	um Ihr Konto zu benennen	bis Sie Ihr Konto löschen
Sprache, Kontostufe, Rollen	E-Mails in Ihrer Sprache; Zugriffsrechte	bis Sie Ihr Konto löschen
Ranglisten-Verzicht (standardmässig ein), Pseudonym zeigen (aus)	Ihre Datenschutz-Einstellungen	bis Sie Ihr Konto löschen
Fassung und Datum der akzeptierten Nutzungsbedingungen und Datenschutzerklärung	Einwilligungsprotokoll	bis Sie Ihr Konto löschen
ein Fingerabdruck Ihres Sitzungs-Cookies, sein Ablauf	um Sie angemeldet zu halten	30 Tage nach dem letzten Besuch, Abmeldung

Nicht gespeichert: Ihr echter Name, Ihre Postadresse, Telefonnummer, Ihr Geburtsdatum, Ihre IP-Adresse, Browserkennung, Ihr Standort oder Ihre Parteizugehörigkeit.

Sitzungs-Cookie. Nach der Anmeldung speichert Ihr Browser ein Cookie __Host-session (auf einem lokalen Testserver session): ein Zufallscode, nur für den Server lesbar (HttpOnly), nur über HTTPS und nicht an andere Websites gesendet. Es läuft 30 Tage nach Ihrem letzten Besuch ab oder wenn Sie sich abmelden.

Ihre Teilnahme. Tagesstimmen mit ihrer Begründung sind politische Meinungen und werden als besonders schützenswerte Daten behandelt: höchstens 35 Tage mit Ihrem Konto verbunden, danach nur noch anonym aufbewahrt (ohne Konto, ohne Freitext, mit dem Tag, aber ohne Uhrzeit). Ihre Vorschläge, Kommentare und Notizen sind öffentlich; Ihr Pseudonym erscheint dabei nur, wenn Sie dies einschalten. Ergebnisse von Abstimmungen werden nur für Gruppen von mindestens 50 Personen gezeigt.

Ihre Daten, Ihre Wahl. Auf Ihrer Kontoseite können Sie alles herunterladen, was zu Ihrem Konto gespeichert ist (JSON-Datei), und Ihr Konto sofort löschen. Das Löschen entfernt Ihre E-Mail-Adresse, Ihr Pseudonym, Ihre Einstellungen, Ihr Einwilligungsprotokoll, Ihre Sitzungen und offenen Links; Ihre Tagesstimmen bleiben gezählt, aber anonym; Ihre Bewertungen werden gelöscht; Ihre Beiträge bleiben nach Ihrer Wahl als «Gelöschtes Konto» stehen oder ihr Text wird entfernt (Inhalte in einem rechtlichen Verfahren werden als Beweismittel aufbewahrt). Sicherungskopien enthalten gelöschte Daten noch höchstens 14 Tage.

PLACEHOLDER: Rechtsgrundlage; Datenschutz-Folgenabschätzung vor der Öffnung der Agora.

Newsletter «Vor der Abstimmung» (noch nicht geöffnet)

Der Newsletter ist gebaut, aber noch nicht geöffnet: In dieser Version können Sie ihn nicht abonnieren. Dieser Abschnitt beschreibt im Voraus, was ein Abonnement speichern wird; er wird vor der Öffnung des Newsletters geprüft.

Was Sie erhalten. Eine E-Mail etwa vier Wochen vor jedem eidgenössischen Abstimmungssonntag, in der Sprache Ihrer Wahl: Titel und Art jeder eidgenössischen Vorlage, ein Link zu ihrer Seite auf Votara und die offizielle Seite des Abstimmungstags. Keine Abstimmungsempfehlung, keine anderen E-Mails.

Doppelte Bestätigung, ohne Konto. Sie geben Ihre E-Mail-Adresse und eine Sprache ein. Votara sendet einen Link, der einmal und 48 Stunden lang funktioniert; das Abonnement beginnt erst, wenn Sie ihn öffnen und auf «Bestätigen» drücken. Ein Abonnement ist mit keinem Votara-Konto verbunden, und der Export eines Kontos enthält es nicht.

Gespeichert	Zweck	Aufbewahrt
Ihre E-Mail-Adresse	um Ihnen den Newsletter zu senden	bis Sie abbestellen
die Sprache	um ihn in Ihrer Sprache zu senden	bis Sie abbestellen
die Fassung des Anmeldetextes, Datum und Uhrzeit der Anmeldung und der Bestätigung	um Ihre Einwilligung zu belegen	bis Sie abbestellen
ein Fingerabdruck (Hash) des Bestätigungslinks	um das Abonnement zu bestätigen	bis zur Bestätigung, höchstens 48 Stunden
das Datum des letzten Abstimmungstags, zu dem Sie eine Ausgabe erhalten haben	um keine Ausgabe doppelt zu senden	bis Sie abbestellen

Nicht gespeichert: Ihr Name, Ihre IP-Adresse, Browserkennung und ob Sie eine E-Mail öffnen oder einen Link anklicken (kein Zählpixel, keine verfolgten Links).

Unbestätigt und abbestellt. Eine Adresse, die nicht innerhalb von 48 Stunden bestätigt wird, wird automatisch gelöscht. Jede E-Mail enthält einen Link zum Abbestellen: eine Schaltfläche auf der Seite, ohne Anmeldung; das Abbestellen löscht Ihre Adresse sofort (es wird keine Liste früherer Abonnentinnen und Abonnenten geführt). Sicherungskopien enthalten gelöschte Daten noch höchstens 14 Tage.

Gegen Missbrauch. Pro Stunde werden höchstens 5 Anfragen pro Verbindung und 3 pro Adresse angenommen; die Zähler verwenden dieselben täglich wechselnden Codes wie «Zuerst schätzen» und werden nach zwei Tagen gelöscht.

Versand. Die E-Mails werden über einen E-Mail-Anbieter versandt (PLACEHOLDER: Anbieter und Standort). Sie enthalten keine Bilder und kein Tracking. Eine Ausgabe wird nie automatisch versandt: Eine Person von Votara startet jeden Versand.

PLACEHOLDER: Rechtsgrundlage; Aufbewahrungsfristen mit unserem Anwalt zu bestätigen.

Server-Protokolle

Jeder Seitenaufruf läuft über einen Reverse Proxy (Traefik) zum Anwendungsserver (Node.js).

• Der Reverse Proxy kann Zugriffsprotokolle führen: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Statuscode, Grösse der Antwort, verweisende Seite und Browserkennung (User-Agent). PLACEHOLDER: bestätigen, ob die Zugriffsprotokollierung aktiv ist und wie lange die Protokolle aufbewahrt werden.
• Der Anwendungsserver schreibt Fehlermeldungen in das Server-Protokoll. Diese können die aufgerufene Adresse enthalten. Das Protokoll ist in der Grösse begrenzt, ältere Einträge werden überschrieben. PLACEHOLDER: Aufbewahrungsdauer.

Die Protokolle dienen dem Betrieb der Website und der Untersuchung von Fehlern und Angriffen. PLACEHOLDER: Rechtsgrundlage.

Hosting

PLACEHOLDER: Hosting-Anbieter und Standort. Die aktuelle Testversion läuft auf einem Server in Frankfurt (Deutschland). Der Standort der öffentlichen Version ist noch nicht entschieden.

Ihre Rechte

Nach dem Datenschutzgesetz (DSG) können Sie Auskunft über Ihre Personendaten verlangen und deren Berichtigung oder Löschung beantragen. PLACEHOLDER: wie eine Anfrage eingereicht wird.

Änderungen

Diese Erklärung wird angepasst, bevor Votara Benutzerkonten, Abstimmungen oder andere Funktionen anbietet, die Personendaten bearbeiten.