Datenschutzerklärung

Stand: 17. Oktober 2026 · English version

Kurzfassung

Alle Tools dieser Website laufen in Ihrem Browser. Der Inhalt Ihrer .env-Dateien wird nie an uns gesendet, nie protokolliert und nie auf unseren Servern gespeichert. Einzige Ausnahme ist die freiwillige Breach-Prüfung, die einen Hashwert sendet, nie den Wert selbst (Abschnitt 5). Seitenaufrufe und Tool-Aufrufe zählen wir ohne Cookies und ohne Ihre IP-Adresse zu speichern. Die Website finanziert sich über Werbung mit Google AdSense. In der Einwilligungsmeldung von Google entscheiden Sie, ob Anzeigen personalisiert werden dürfen und ob wir Google Analytics nutzen dürfen; Ihre Entscheidung können Sie jederzeit über ändern.

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist Ailiniyazi Maimaiti, Gustav-Heinemann-Ring 131, 81739 München, Deutschland. E-Mail: contact@envtools.dev. Die vollständigen Anbieterangaben finden Sie im Impressum.

2. Hosting und Server-Logs

Diese Website, ihre Datenbank und der Blog laufen auf unseren eigenen Servern bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland (Rechenzentrum in Nürnberg), verwaltet mit der selbst betriebenen Software Coolify. Hetzner verarbeitet die Daten als Auftragsverarbeiter in unserem Auftrag (Art. 28 DSGVO); die Daten bleiben in Deutschland.

Beim Aufruf einer Seite sendet Ihr Browser automatisch technische Daten an unseren Server: IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, Referrer, Browser und Betriebssystem. Das ist nötig, um die Seite auszuliefern und die Website vor Missbrauch zu schützen. Unsere Anwendung schreibt diese Daten nicht in Zugriffsprotokolle; technische Protokolle der Server-Software werden nach spätestens 7 Tagen gelöscht. Zur Begrenzung der Anfragen (z. B. beim E-Mail-Formular und bei der Breach-Prüfung) wird Ihre IP-Adresse eine Minute lang im Arbeitsspeicher des Servers gehalten und danach verworfen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren, funktionierenden Website).

3. Ihre Eingaben in den Tools

Parsen, Validieren, Konvertieren, Verschlüsseln, Hashen und das Erzeugen von Secrets geschehen ausschließlich lokal in Ihrem Browser. Die Tools übertragen nicht, was Sie eintippen oder einfügen, und setzen es auch nicht in die Seitenadresse (URL); es ist daher auch für die unten beschriebenen Analysedienste nicht sichtbar. Einzige Ausnahme ist die freiwillige Breach-Prüfung in Abschnitt 5. Google Analytics und Ahrefs Web Analytics erhalten nie den Inhalt eines Tools.

4. Was wir selbst erheben

Die folgenden Daten speichern wir in unserer eigenen Datenbank auf unseren Servern bei Hetzner in Deutschland. Keine davon enthält Ihre IP-Adresse.

Seitenaufrufe. Pfad, Referrer, die User-Agent-Kennung Ihres Browsers und eine zufällige Sitzungs-ID. Die Sitzungs-ID liegt im Session Storage Ihres Browsers (nicht in einem Cookie) und verschwindet, wenn Sie den Tab schließen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse daran, zu wissen, welche Seiten genutzt werden).
Tool-Aufrufe. Der Kurzname des geöffneten Tools (z. B. env-validator) und in wenigen Fällen eine kurze Aktionsbezeichnung wie „sample“, mit Zeitstempel. Nicht, was Sie eingefügt haben, und nicht mit Ihrer Sitzung verknüpft. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
Bewertungen. 1–5 Sterne für ein Tool, gespeichert mit einem Einweg-Hash aus Ihrer IP-Adresse und dem Tool-Namen, damit jede Person pro Tool nur einmal abstimmen kann. Die IP-Adresse selbst speichern wir nicht, und nach 30 Tagen ersetzen wir den Hash durch einen bedeutungslosen Platzhalter, sodass die Bewertung nicht mehr mit Ihnen verknüpft ist. Ihre eigene Bewertung merkt sich Ihr Browser im Local Storage. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an ehrlichen Bewertungen).
Launch-E-Mail-Liste. Wenn Sie sich benachrichtigen lassen, sobald env syncing startet, speichern wir Ihre E-Mail-Adresse, die Seite, auf der Sie sich eingetragen haben, und die User-Agent-Kennung Ihres Browsers. Wir nutzen die Adresse nur für diese eine Launch-E-Mail, die wir über unseren eigenen Mailserver (mail.briefwizard.de) auf unserer Infrastruktur bei Hetzner in Deutschland versenden würden. Das Formular ist mit Altcha geschützt, einer Proof-of-Work-Prüfung, die auf unserem eigenen Server läuft, ohne externen Captcha-Anbieter und ohne Cookies. Rechtsgrundlage: Ihre Einwilligung, Art. 6 Abs. 1 lit. a DSGVO. Sie können sie jederzeit per E-Mail widerrufen und Ihre Adresse löschen lassen.
Fehlerberichte. Stürzt eine Seite ab, sendet Ihr Browser einen technischen Bericht an unseren Server: Seitenpfad, Fehlermeldung, Stacktrace und User-Agent. Die Tools hängen Ihre Eingaben nicht an. Diese Berichte werden nach 30 Tagen automatisch gelöscht. Fehler der Server-Software selbst (Zeitpunkt, Fehlermeldung, Route, Statuscode, ohne Ihre IP-Adresse) gehen an ein zentrales Protokollsystem, das wir ebenfalls selbst auf Hetzner-Servern in Deutschland betreiben. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer funktionierenden, sicheren Website).

5. Breach-Prüfung (nur auf Wunsch)

Wenn Sie im ENV Leak Checker bei einem gefundenen Secret auf „Check online“ klicken oder das Quick-Check-Feld nutzen, passiert genau Folgendes:

Bei API-Schlüsseln und Tokens (Treffer mit hoher Schwere und das Quick-Check-Feld im Modus „API key / token“): Ihr Browser berechnet einen SHA-256-Hash des Werts. Dieser Hash, nicht der Originalwert, wird an unseren Server gesendet, der ihn in unserer eigenen Datenbank bekannter geleakter Secret-Hashes nachschlägt.
Bei passwortartigen Werten (erkannte Zeilen mit PASSWORD=/PASS=/PWD= und das Quick-Check-Feld im Modus „Password“): Ihr Browser berechnet einen SHA-1-Hash des Werts. Nur die ersten 5 Zeichen dieses Hashes werden an unseren Server gesendet, der sie an die Pwned-Passwords-API von Have I Been Pwned (Superfly Pty Ltd, Australien) weiterleitet und die Liste der dazu passenden Hash-Enden zurückgibt; Ihr Browser vergleicht diese Liste lokal (k-Anonymität). Der vollständige Hash und der Originalwert verlassen Ihren Browser nie, und Have I Been Pwned sieht nur unseren Server, nicht Ihre IP-Adresse.

Wir speichern keine Breach-Abfragen. Die Prüfung erfolgt nie automatisch, sondern nur, wenn Sie sie ausdrücklich anklicken. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Sie fordern die Prüfung an).

6. Reichweitenmessung (Google Analytics und Ahrefs Web Analytics)

Google Analytics 4 (nur mit Ihrer Einwilligung)

Wenn Sie in der Einwilligungsmeldung von Google (siehe Abschnitt 7) „Einwilligen“ wählen oder unter „Optionen verwalten“ der Speicherung von Informationen auf Ihrem Gerät, der Messung der Content-Performance und dem Partner Google zustimmen, laden wir Google Analytics 4, einen Webanalysedienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Damit sehen wir, welche Seiten wie oft besucht werden. Bis zu Ihrer Einwilligung wird nichts von Google Analytics geladen und kein Google-Analytics-Cookie gesetzt.

Cookies: _ga und _ga_<ID>, bis zu 2 Jahre gültig. Sie enthalten eine zufällige Kennung, die Ihren Browser bei weiteren Besuchen wiedererkennt.
Daten: aufgerufene Seiten, ungefährer Standort, Gerät, Browser, Referrer. Laut Google werden IP-Adressen in Google Analytics 4 weder protokolliert noch gespeichert. Google Signals und Anzeigenpersonalisierung sind nicht aktiviert. Tool-Eingaben werden nie an Google Analytics gesendet, und wir senden keine eigenen Ereignisse. Im Administrationsbereich ist die Messung abgeschaltet.
Drittlandübermittlung: Daten können an Google LLC in den USA übermittelt werden. Google ist nach dem EU-US Data Privacy Framework zertifiziert.
Rechtsgrundlage: Ihre Einwilligung, Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG.
Speicherdauer: 14 Monate.
Widerruf: jederzeit mit Wirkung für die Zukunft über . Beim Widerruf werden die Google-Analytics-Cookies aus Ihrem Browser gelöscht und die Messung beendet.

Ahrefs Web Analytics

Außerdem nutzen wir Ahrefs Web Analytics, einen Dienst der Ahrefs Pte. Ltd., 16 Raffles Quay, #33-03 Hong Leong Building, Singapur 048581 (also außerhalb der EU/des EWR), für anonyme Besuchsstatistiken auf dieser Website und im Blog. Der Dienst arbeitet ohne Cookies und speichert nichts auf Ihrem Gerät. Besuche werden über einen täglich wechselnden Hash aus IP-Adresse und User-Agent unterschieden; Ihre vollständige IP-Adresse wird nur kurz zur Bestimmung des ungefähren Standorts verwendet und nicht gespeichert. Der Dienst beachtet die Signale „Do Not Track“ und „Global Privacy Control“ Ihres Browsers. Singapur liegt außerhalb der EU/des EWR, und für Singapur besteht kein Angemessenheitsbeschluss der EU-Kommission. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an anonymer Reichweitenstatistik). Sie können jederzeit widersprechen (Art. 21 DSGVO), indem Sie uns kontaktieren oder in Ihrem Browser Do Not Track bzw. Global Privacy Control aktivieren.

7. Werbung und Einwilligungsverwaltung

Google AdSense

Wir nutzen Google AdSense (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland), um Anzeigen zu zeigen. Das AdSense-Skript wird mit der Seite geladen, daher erreichen Ihre IP-Adresse und Browserdaten Google beim Öffnen einer Seite. Standardmäßig setzen wir die Consent-Mode-Signale von Google für Anzeigenspeicherung, Nutzerdaten für Werbung und Anzeigenpersonalisierung auf „abgelehnt“. Ob Werbe-Cookies gesetzt und Anzeigen personalisiert werden, entscheiden Sie in der Einwilligungsmeldung von Google (unten); Rechtsgrundlage dafür ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Ohne Ihre Einwilligung zeigt Google nicht personalisierte oder eingeschränkte Anzeigen; Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an der Finanzierung dieses kostenlosen Angebots). Daten können an Google LLC in den USA übermittelt werden; Google ist nach dem EU-US Data Privacy Framework zertifiziert. Sie können Ihre Entscheidung jederzeit über ändern und personalisierter Werbung in Ihren Google-Anzeigeneinstellungen widersprechen.

Die Einwilligungsmeldung von Google

Ihre Einwilligung holen wir mit der Einwilligungsmeldung ein, die die Google Ireland Limited als Teil von Google AdSense bereitstellt („Datenschutz und Mitteilungen“). Sie ist eine von Google zertifizierte Plattform zur Einwilligungsverwaltung, die nach dem Transparency & Consent Framework (TCF) von IAB Europe arbeitet. Die Meldung wird zusammen mit dem AdSense-Skript geladen, daher erreicht Ihre IP-Adresse Google. In der Meldung entscheiden Sie über Werbung und über die Reichweitenmessung mit Google Analytics (Abschnitt 6). „Einwilligen“ stimmt allen dort genannten Zwecken zu; unter „Optionen verwalten“ können Sie einzelnen Zwecken und Partnern zustimmen oder alle ablehnen. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO (Pflicht, eine Einwilligung nachweisen zu können) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an wirksamen Einwilligungen).

Google speichert Ihre Entscheidung in den Cookies FCCDCF (die Entscheidung als TCF-Einwilligungsstring, 13 Monate) und FCNEC (technische Daten zur Anzeige der Meldung, bis zu 1 Jahr). Sie sind für die Einwilligungsverwaltung unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Sie können Ihre Entscheidung jederzeit über in der Fußzeile ändern oder widerrufen. Weitere Informationen: policies.google.com/privacy.

8. Blog

Der Blog unter /blog ist eine WordPress-Installation, die wir selbst auf einem Hetzner-Server in Deutschland betreiben (cms.envtools.dev); seine Seiten werden über diese Website ausgeliefert. Im Blog gilt dasselbe wie überall sonst: die Einwilligungsmeldung von Google, Google AdSense, Google Analytics nur nach Ihrer Einwilligung und Ahrefs Web Analytics (Abschnitte 6 und 7). Zusätzlich:

WP Statistics. Für die eigene Besuchsstatistik des Blogs nutzen wir das WordPress-Plugin WP Statistics. Es arbeitet ohne Cookies und speichert die Besuchsdaten ausschließlich in der Datenbank unseres eigenen Blog-Servers; IP-Adressen werden nur in anonymisierter bzw. gehashter Form verarbeitet. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Reichweitenstatistik).
Kommentare sind im Blog geschlossen; es gibt kein Kommentarformular und keine Kommentar-Cookies.

9. Kontakt per E-Mail

Wenn Sie uns eine E-Mail schreiben, nutzen wir Ihre Adresse und Nachricht nur, um Ihnen zu antworten. E-Mails an Adressen unter envtools.dev nimmt der E-Mail-Weiterleitungsdienst unseres Domain-Registrars Namecheap, Inc. (Phoenix, Arizona, USA) entgegen und leitet sie an unser Postfach weiter; sie werden daher in den USA verarbeitet. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen) bzw. Art. 6 Abs. 1 lit. b DSGVO, wenn Ihre Anfrage einen Vertrag betrifft. Wir löschen die Korrespondenz, wenn sie nicht mehr benötigt wird, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.

10. Schriftarten, eingebettete Inhalte und Links

Die Schriftarten dieser Website liefern wir von unserem eigenen Server aus; es wird keine Verbindung zu Google Fonts oder anderen Schriftarten-Anbietern aufgebaut. Abgesehen von den oben genannten Diensten (Google AdSense mit der Einwilligungsmeldung von Google, Google Analytics nach Einwilligung, Ahrefs Web Analytics) laden die Seiten keine Inhalte Dritter wie Karten, Videos oder Social-Media-Widgets. Links zu anderen Websites, auch als Werbung gekennzeichnete Partnerlinks, sind einfache Links: Die andere Website erhält erst Daten von Ihnen, wenn Sie den Link anklicken, und einige dieser Links tragen die Kennzeichnung utm_source=envtools, damit der Partner sieht, dass Sie von uns kommen.

11. Was auf Ihrem Gerät gespeichert wird

Technisch erforderlich oder von Ihnen angefordert: Ihre Theme-Wahl (theme, Local Storage), Ihre Sprachwahl (preferred-locale im Local Storage und das Cookie NEXT_LOCALE, 1 Jahr), Ihre eigenen Bewertungen (rated_<tool>, Local Storage), Ihre Entscheidung in der Einwilligungsmeldung von Google (die Cookies FCCDCF, 13 Monate, und FCNEC, bis zu 1 Jahr) sowie ein Sitzungs-Cookie für Administratoren (admin_session), das normale Besucher nie erhalten. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG.
Session Storage: die zufällige Sitzungs-ID und ein Merker pro Tool für die Statistik in Abschnitt 4; beides wird beim Schließen des Tabs gelöscht.
Nur mit Ihrer Einwilligung: _ga und _ga_<ID> von Google Analytics (bis zu 2 Jahre) sowie Cookies von Google AdSense für personalisierte Anzeigen, je nach Ihrer Entscheidung in der Einwilligungsmeldung von Google. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG.
Ahrefs Web Analytics und WP Statistics: Es wird nichts auf Ihrem Gerät gespeichert.

12. Was wir nie erheben

Den Inhalt Ihrer .env-Dateien.
Die Secrets, die Sie erzeugen.
Login-Daten — für Besucher gibt es kein Login.

13. Speicherdauer

Seitenaufrufe und Tool-Aufrufe in unserer eigenen Datenbank: werden nach 14 Monaten automatisch gelöscht.
Bewertungen: Der Einweg-Hash der IP-Adresse wird nach 30 Tagen durch einen bedeutungslosen Platzhalter ersetzt; die Sternebewertung selbst bleibt als anonyme Stimme erhalten.
Fehlerberichte in unserer eigenen Datenbank: werden nach 30 Tagen automatisch gelöscht.
Technische Protokolle der Server-Software: werden nach spätestens 7 Tagen gelöscht.
E-Mail-Adressen auf der Launch-Liste: bis zu Ihrem Widerruf oder bis die Liste für die Launch-E-Mail nicht mehr benötigt wird.
IP-Adressen zur Begrenzung von Anfragen: eine Minute, nur im Arbeitsspeicher.
Google Analytics: 14 Monate. Cookies: wie in Abschnitt 11 angegeben.
E-Mails: wie in Abschnitt 9 beschrieben.

14. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO), für die Einwilligungsmeldung über , ansonsten per E-Mail. Für alle Anliegen schreiben Sie an contact@envtools.dev.

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage unserer berechtigten Interessen verarbeiten (Art. 6 Abs. 1 lit. f DSGVO), können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Sie können sich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, www.lda.bayern.de.

Sie sind nicht verpflichtet, personenbezogene Daten bereitzustellen; die Tools funktionieren ohne. Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

Diese Erklärung gibt es auch auf Englisch: Privacy Policy. Anbieterangaben: Impressum.