Contribution-Checker-Datenschutzhinweis

Wer verantwortlich ist

Für eine Instanz, die Sie betreiben, sind Sie es, und wir verarbeiten nichts.

Betreiben wir sie für ein Projekt, ist dieses Projekt für die Daten seiner Beitragenden verantwortlich und wir sind sein Auftragsverarbeiter. Für unsere eigenen Konto- und Infrastrukturdaten ist Verantwortlicher Gelhaus Solutions, Eichenwald 3, 49624 Löningen, Deutschland, contact@gplatform.org.

Was gespeichert wird

Aus dem Datenbankschema entnommen, denn „bestimmte Informationen" sagt nichts.

Ihr Konto. Name, E-Mail-Adresse, optional ein Bild, Ihre numerische GitHub-Kennung und Ihr GitHub-Login. Bis zum 1. Oktober 2026 wurde nach der Anmeldung ein Ländercode erfasst; er wurde nie verwendet, wird nicht mehr erfasst, und die gespeicherten Werte sind gelöscht. Die Identität liegt in unserem selbst betriebenen Hexclave; die Spalten hier sind eine Verknüpfung dorthin und ein Zwischenspeicher zweier Berechtigungen.

Ihre Bewerbung. Die Antworten auf die Fragen des Projekts, die Entscheidung, wer sie getroffen hat, die Begründung, dazu erfasste Vermerke oder Prüfungen und ein etwaiger Einspruch.

Ihre Unterschrift, und das ist der Teil zum Lesen. Die Unterzeichnung einer Beitragsvereinbarung erfasst:

• Ihren ausgeschriebenen bürgerlichen Namen, wie Sie ihn getippt haben;
• den genauen Zustimmungstext, der Ihnen gezeigt wurde, damit erhalten bleibt statt rekonstruiert wird, wozu Sie zugestimmt haben;
• die IP-Adresse, von der aus Sie unterzeichnet haben, und die User-Agent-Zeichenkette Ihres Browsers;
• Ihre GitHub-Kennung und Ihr Login sowie eine Momentaufnahme Ihrer E-Mail-Adresse;
• Versionsnummer und Inhalts-Hash des unterzeichneten Dokuments;
• Ihre Antworten auf vom Projekt definierte Zusatzfelder;
• und die Unterschrift selbst. Getippt, gezeichnet oder hochgeladen. Bei gezeichneter oder hochgeladener Unterschrift werden die Bilddaten gespeichert, und zwar unveränderlich.

Eine Unternehmensvereinbarung erfasst den vollständigen Namen der juristischen Person, die eingetragene Anschrift, das Land, die Kontaktstelle und deren E-Mail-Adresse, Titel und getippte Unterschrift der bevollmächtigten Vertretung sowie die Liste der erfassten Beitragenden.

Wo das Register geführt wird. Das Unterschriftenregister eines Projekts kann statt in Contribution Checker in GPlatform Legal geführt werden, unserem eigenen Rechtssystem. Es ist derselbe Datensatz mit derselben Kette, von uns im Auftrag des Projekts in gleicher Weise gehalten; Contribution Checker liest es von dort, um einen Pull Request zu prüfen.

Das Register. Jede Unterzeichnung, Freigabe, Ablehnung, Aufhebung, Listenänderung und jeder Verzicht wird in ein hash-verkettetes Protokoll geschrieben: Jeder Eintrag trägt den Hash des vorherigen, sodass sich zeigen lässt, dass die Folge nachträglich nicht umgeschrieben wurde.

Prüfereignisse, Benachrichtigungen und Ratenbegrenzungsdaten für den Betrieb des Dienstes.

Wenn Sie einen Pull Request eröffnet, sich hier aber nie angemeldet haben. Eröffnen Sie einen Pull Request in einem Repository, das Contribution Checker nutzt, erhalten wir von GitHub, nicht von Ihnen: Ihren GitHub-Login und Ihre numerische Kennung; Nummer, Titel, Text und die geänderten Dateien des Pull Requests; seine Commits mit ihren Nachrichten und den E-Mail-Adressen von Autor und Committer; und aus Ihrem öffentlichen GitHub-Profil, wann das Konto angelegt wurde, wie viele öffentliche Repositories und Follower es hat, ob es eine öffentliche E-Mail-Adresse und ein Bild zeigt und wie viele Pull Requests Sie eröffnet haben und wie viele davon übernommen wurden. Wir speichern Ihren Login und Ihre Kennung mit der Prüfung des Pull Requests und das Ergebnis jeder Qualitätsprüfung. Commit-E-Mail-Adressen und Ihre Profilangaben werden nur gelesen, um diese Prüfungen zu berechnen, und nicht gespeichert. Für die Repositories eines Projekts ist dieses Projekt Verantwortlicher und wir handeln als sein Auftragsverarbeiter; für die Repositories von Postiz ist das Postiz. Rechtsgrundlage ist das berechtigte Interesse des Projekts zu wissen, wer beiträgt (Art. 6 Abs. 1 lit. f DSGVO). Diese Aufzeichnungen werden so lange aufbewahrt, wie das Gesetz es uns erlaubt, als Nachweis, welche Pull Requests durchgelassen wurden und warum. Ihnen stehen die unten beschriebenen Rechte zu, einschließlich des Widerspruchsrechts.

KI-Läufe, sofern ein Projekt sie aktiviert hat. Die Aufgabe, ein Hash der Eingabe, die geprüfte Antwort, Token-Zahlen und das tatsächlich bedienende Modell. Roher Modelltext wird nur aufbewahrt, wenn die Antwort die Prüfung nicht bestand. Anders lässt sich ein driftender Prompt nicht untersuchen, und sonst lohnt die Speicherung nicht.

Wohin Daten gehen

GitHub. Der Dienst wird von einer GitHub-App getragen: Er liest Pull Requests und Repository-Metadaten und schreibt Check-Runs und Kommentare zurück. Ihre GitHub-Identität ist überhaupt erst, wie Sie hier bekannt sind. GitHub, Inc. sitzt in den Vereinigten Staaten. GitHub ist nach dem EU-US Data Privacy Framework zertifiziert.

OpenRouter, sofern ein Projekt eine KI-Aufgabe aktiviert hat. Das Beurteilte geht dorthin (Bewerbungsantworten, der Text eines Pull Requests), und OpenRouter leitet weiter; auf der von uns betriebenen Instanz an Groq mit gpt-oss-120b. Jede Aufgabe ist standardmäßig aus, und auf aus fällt auch eine unlesbare Konfiguration zurück. Der Prompt weist das Modell an, aus Namen oder Schreibstil nicht auf Staatsangehörigkeit, Geschlecht, Alter oder Beschäftigung zu schließen. OpenRouter, Inc. sitzt in den Vereinigten Staaten; die Übermittlung stützt sich auf die Standardvertragsklauseln der Europäischen Kommission in seiner Auftragsverarbeitungsvereinbarung.

Auf der von uns betriebenen Instanz ist das für die Projekte eingeschaltet, die Gelhaus Solutions selbst führt, und für Postiz, dessen Beitrags-Gate Gelhaus Solutions betreibt. Haben Sie sich bei einem davon beworben oder einen Pull Request dagegen geöffnet, können Ihre Antworten und Ihr Pull-Request-Text dorthin gehen. Für andere Projekte ist es nicht eingeschaltet.

Sentry, in dessen EU-Datenregion, für Fehler- und Leistungsberichte: Ausnahmen, Stacktraces, die fehlgeschlagene Anfrage und, sofern jemand angemeldet war, dessen interne Kennung. IP-Adressen und Anfrageinhalte werden nicht übermittelt. Das beruht auf unserem berechtigten Interesse an einem funktionierenden und sicheren Dienst (Art. 6 Abs. 1 lit. f DSGVO), und Sie können jederzeit widersprechen (Art. 21 DSGVO). Functional Software, Inc. sitzt in den Vereinigten Staaten und ist nach dem EU-US Data Privacy Framework zertifiziert.

Eine Aufzeichnung Ihres Besuchs gibt es nur, wenn Sie zustimmen. Standard ist keine Aufzeichnung. Eine Frage mit zwei gleichwertigen Schaltflächen fragt danach, und ein Link „Sitzungsaufzeichnung“ öffnet sie erneut. Stimmen Sie zu, erhält Sentry eine Aufzeichnung des Besuchs von der ersten bis zur letzten Seite: was auf dem Bildschirm stand, die Klicks und was sich änderte. Sie ist nicht maskiert: Sie zeigt die Seite, wie sie auf dem Bildschirm stand, einschließlich dessen, was in ein Formular eingegeben wurde, denn eine maskierte Aufzeichnung kann nicht zeigen, was schiefging. Um die Seiten eines Besuchs zusammenzuführen, legt das Sentry-Skript eine zufällige Kennung im Sitzungsspeicher Ihres Browsers ab, die beim Schließen des Tabs verschwindet, und Ihre Antwort wird im lokalen Speicher Ihres Browsers unter cc.replay-consent festgehalten, damit die Frage nicht auf jeder Seite wiederkommt. Die Aufzeichnung beruht auf Ihrer Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit mit demselben Link widerrufen können, ohne dass das früher Aufgezeichnete berührt wird.

Der Betrieb läuft bei IONOS SE (Deutschland) und auf eigener Hardware in Deutschland. Der Mailbetrieb läuft auf eigenen Servern. Geheimnisse werden über unser eigenes Vault aufgelöst.

Warum

Betrieb des Dienstes und Ihres Kontos ist Vertragserfüllung, Art. 6 Abs. 1 lit. b.

Ein Unterschriftsdatensatz ist ein Beweismittel, und aufbewahrt wird er, weil er beweisbar bleiben muss. IP-Adresse, User Agent, Zustimmungstext und verkettetes Register existieren dafür und für nichts sonst: Art. 6 Abs. 1 lit. f, und soweit die Vereinbarung mit dem Projekt besteht, Art. 6 Abs. 1 lit. b zwischen Ihnen und ihm.

Automatische Prüfungen, Missbrauchskontrollen und die Sicherheit des Dienstes sind Art. 6 Abs. 1 lit. f.

Wie lange, und was eine Löschung nicht erreicht

Kontodaten bleiben, bis das Konto gelöscht wird. Audit-Ereignisse und KI-Ergebnisse werden 24 Monate nach ihrer Erfassung gelöscht. Ein Eintrag der Anfragebegrenzung, der eine IP-Adresse enthalten kann, wird spätestens einen Tag nach Ablauf seines Zeitfensters gelöscht. Benachrichtigungen bleiben, bis das Konto gelöscht wird.

Eine Unterschrift bleibt, solange das Projekt den davon erfassten Beitrag behält, und zehn Jahre nach dem letzten darunter geleisteten Beitrag, sofern das Projekt, das die Instanz betreibt, keinen anderen Zeitraum festlegt. Das ist die ehrliche Antwort: Eine Beitragsvereinbarung, die sich auf Zuruf löschen ließe, täte nicht, wozu es sie gibt.

Eine Unterschrift kann aufgehoben werden; das wird mit Person, Zeitpunkt und Grund festgehalten und ist der übliche Weg. Die Aufhebung vermerkt, dass die Unterschrift keine Deckung mehr verleiht; sie löscht nicht den Umstand, dass es sie gab, und der Registereintrag bleibt, weil die Kette das Register erst zum Beweismittel macht.

Möchten Sie einen Unterschriftsdatensatz gelöscht statt aufgehoben haben, wenden Sie sich an das Projekt: Es ist verantwortlich und entscheidet, und wir beide sagen Ihnen ehrlich, was erreichbar ist und was nicht.

Das Kontomenü und die Liste unserer Produkte

Die Seiten tragen ein gemeinsames Kontomenü und eine Liste unserer Produkte, bereitgestellt von GPlatform Identity, unserem eigenen Dienst unter demselben Verantwortlichen. Damit die Liste am ersten Tag stimmt, meldet dieses Produkt GPlatform Identity, dass eine Adresse, die es bestätigt hat, es nutzt: einen schlüsselabhängigen Hash der Adresse, nicht die Adresse, und den Zeitpunkt der letzten Meldung. GPlatform Identity bewahrt ihn 180 Tage nach der letzten Meldung auf und nutzt ihn für nichts sonst. Der Datenschutzhinweis von GPlatform Identity beschreibt es, einschließlich Ihrer Rechte daran.

Warum. Ein Kontomenü, das die Produkte zeigt, die Sie bereits nutzen (Art. 6 Abs. 1 lit. f DSGVO).

Vorkehrungen gegen einen Angriff auf unsere Systeme

Können unsere Systeme kompromittiert sein, kann Gelhaus Solutions die von uns betriebene Instanz über einen eigenen Sicherheitsdienst, GLockdown, in einen Lockdown versetzen. Ein Lockdown hat Stufen. Zuerst keine neuen Konten. Dann können sich nur Super-Administratoren sowie die Inhaber, Administratoren und Prüfenden eines Projekts anmelden, Bewerbende werden abgewiesen. Dann nur noch Super-Administratoren. In der letzten Stufe kann sich niemand anmelden, auch bestehende Sitzungen nicht. Bei einer höheren Alarmstufe hält auch der GitHub-Bot an, sodass Pull Requests warten, bis sie aufgehoben ist. Öffentliche Seiten laufen in jeder Stufe weiter.

Wir halten außerdem Köder bereit, die keine echte Person nutzt: eine Administrator-Anmeldung und einen API-Schlüssel. Meldet sich jemand mit dem Köder an oder sendet den Köderschlüssel, wird der Versuch wie jedes unbekannte Konto und jeder unbekannte Schlüssel abgewiesen und an GLockdown gemeldet, mit der Uhrzeit sowie der Adresse und dem Browser, von denen er kam, damit ein Lockdown ausgelöst werden kann.

Warum. Den Dienst und die Menschen, die ihn nutzen, gegen einen Angriff zu verteidigen (Art. 6 Abs. 1 lit. f DSGVO).

Was Sie angenommen haben, und die Mitteilungen, die wir senden

Wenn Sie unsere Bedingungen annehmen, hält GPlatform Legal, ein weiterer Dienst von uns unter demselben Verantwortlichen, das fest: die Adresse Ihres Kontos, die Kennung, unter der das Produkt Sie kennt, welche Fassungen Sie angenommen haben, wann, über welches Produkt, und Ihre IP-Adresse und Ihren Browser in diesem Moment. Es bewahrt auch die E-Mails auf, mit denen wir eine Änderung vor ihrem Wirksamwerden ankündigen (an Ihre Adresse, mit der Angabe, ob sie ankamen, und etwaigen Rückläufern), und alles, dem Sie widersprechen; die E-Mails kommen von legal@gplatform.org. Die Einträge sind durch Hashes verkettet, damit sie niemand nachträglich ändern kann. Der Nachweis der Annahme ist eine Aufzeichnung für sich und wird länger aufbewahrt als Ihre Kontodaten, weil wir zeigen können müssen, was Sie vereinbart haben: Am Ende des dritten Kalenderjahres nach dem Jahr, in dem Ihr Konto geschlossen wurde (des sechsten, wenn Sie je für etwas bezahlt haben), wird Ihre Adresse entfernt, die Kennung wird zu einem schlüsselabhängigen Hash, Ihre IP-Adresse und Ihre Browserangaben werden aus jedem Eintrag gelöscht, und es bleiben die Fassung, der Zeitpunkt, die Quelle und der Hash. Der Datenschutzhinweis von GPlatform Legal beschreibt diesen Dienst vollständig.

Warum. Um die Einwilligung nachzuweisen, die Sie gegeben haben, und die Bedingungen, die Sie vereinbart haben, und um Sie über Änderungen zu informieren, wie es die allgemeinen Nutzungsbedingungen verlangen (Art. 6 Abs. 1 lit. b, c und f DSGVO; Art. 7 Abs. 1 DSGVO; Art. 17 Abs. 3 lit. e DSGVO).

Ihre Rechte

Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit und Widerspruch, vorbehaltlich des vorstehenden Abschnitts. Betreiben wir die Instanz, fragen Sie zuerst das Projekt; es kann handeln, und wir unterstützen es. Alles, was zu Ihnen gespeichert ist, können Sie selbst als JSON-Datei herunterladen, mit „Download my data“ in Ihrem Kontomenü.

Sie können sich bei einer Aufsichtsbehörde beschweren. Unsere ist Die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover.