Datenschutzerklärung

syr.li ist die interne Sharing-Plattform der Syrcon GmbH. Mitarbeiter und eingeladene Nutzer kürzen damit Links, teilen Texte („Pastes") und Screenshots mit Ablaufdatum und versenden Zugangsdaten als Einmal-Link per E-Mail oder SMS. Inhalte erstellen und versenden kann nur, wer angemeldet ist. Geteilte Links, Pastes, Bilder und Passwort-Links kann jeder öffnen, der die Adresse kennt – in der Regel also der Empfänger, an den sie gesendet wurden.

syr.li wird auf einem Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, am Standort Nürnberg betrieben. Alle Daten bleiben in Deutschland. Mit Hetzner besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

Bei jedem Aufruf speichert der Webserver (nginx) automatisch in Logfiles: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, HTTP-Status, übertragene Datenmenge, Referrer und Browserkennung (User-Agent). Die Logfiles dienen der Betriebssicherheit, der Fehleranalyse und der Abwehr von Angriffen. Sie werden täglich rotiert und nach 14 Tagen gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und stabilen Betrieb).

syr.li setzt ausschließlich technisch notwendige Cookies. Es gibt keine Tracking-, Werbe- oder Analyse-Cookies und keine Einbindung von Drittanbietern (keine externen Schriftarten, Skripte oder Zählpixel). Eine Einwilligung ist nach § 25 Abs. 2 TDDDG nicht erforderlich.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; für angemeldete Nutzer zusätzlich Art. 6 Abs. 1 lit. b DSGVO.

Nutzerkonten werden von Administratoren der Syrcon GmbH angelegt; eine Selbstregistrierung gibt es nicht. Zu einem Konto werden gespeichert: Benutzername, E-Mail-Adresse, Anzeigename, Rolle, Zeitpunkt der Anlage, Freischaltungen (z. B. SMS-Versand) und das Passwort ausschließlich als bcrypt-Hash. Für Einladung und Passwort-Reset wird ein zufälliger Einmal-Token erzeugt, der 72 Stunden gültig ist; benutzte Tokens werden sofort, abgelaufene spätestens nach 7 Tagen gelöscht.

Beim Login werden Zeitpunkt und IP-Adresse zur Begrenzung von Anmeldeversuchen (Rate-Limiting) kurzzeitig im Arbeitsspeicher gehalten.

Rechtsgrundlage: Für Beschäftigte der Syrcon GmbH § 26 BDSG und Art. 6 Abs. 1 lit. b DSGVO; für eingeladene externe Nutzer Art. 6 Abs. 1 lit. b DSGVO. Konten werden gelöscht, wenn der Nutzer den Dienst nicht mehr benötigt, spätestens mit Ende des Beschäftigungs- oder Vertragsverhältnisses.

• Kurzlinks werden mit Ziel-URL, erstellendem Nutzer, Zeitpunkt und der IP-Adresse des Erstellers gespeichert, bis der Nutzer oder ein Administrator sie löscht.
• Pastes werden mit Inhalt, Titel, Ablaufdatum, erstellendem Nutzer und IP-Adresse des Erstellers gespeichert. Nach Ablauf wird der Inhalt innerhalb von 5 Minuten durch einen Platzhalter ersetzt. Bei „Burn after read" wird der Inhalt beim ersten Anzeigen endgültig gelöscht.
• Screenshots werden beim Hochladen von Metadaten (EXIF) befreit und als PNG gespeichert, zusammen mit Ablaufdatum, erstellendem Nutzer und IP-Adresse des Erstellers. Nach Ablauf werden Datei und Datensatz innerhalb von 5 Minuten gelöscht; bei „Burn after read" beim ersten Anzeigen.

Welche Inhalte über syr.li geteilt werden, bestimmt der jeweilige Nutzer. Personenbezogene Daten Dritter in Pastes oder Screenshots sind nur zu teilen, wenn dies dienstlich erforderlich ist, und mit möglichst kurzem Ablauf.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Dienstes) und Art. 6 Abs. 1 lit. f DSGVO (Nachvollziehbarkeit und Missbrauchsabwehr durch Speicherung der Ersteller-IP).

Wird ein Kurzlink, ein Paste oder ein Screenshot aufgerufen, erfasst syr.li zu diesem Aufruf: Zeitpunkt, IP-Adresse, Browserkennung (User-Agent), daraus abgeleitet Gerätetyp, Browser und Betriebssystem, sowie die verweisende Seite (Referrer). Der erstellende Nutzer sieht diese Angaben in aggregierter Form (Klickzahlen, Geräte, Länder) in seiner Übersicht; Administratoren sehen zusätzlich die vollständigen Einzelaufrufe.

Geolokalisierung: Um das Herkunftsland und die Stadt eines Aufrufs zu bestimmen, wird die IP-Adresse an den Dienst ip-api.com (Betreiber: ip-api, USA) übermittelt. Übertragen wird ausschließlich die IP-Adresse, keine weiteren Angaben; private und interne Adressen werden nie übermittelt. Es handelt sich um eine Übermittlung in ein Drittland ohne Angemessenheitsbeschluss; sie stützt sich auf das berechtigte Interesse an einer groben Herkunftsstatistik, die Daten sind auf die IP-Adresse beschränkt und werden vom Dienst nach eigenen Angaben nicht gespeichert. Die Syrcon GmbH kann diese Funktion jederzeit vollständig abschalten.

Die Klickstatistik wird gelöscht, wenn der zugehörige Link, Paste oder Screenshot gelöscht wird.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Erstellers und der Syrcon GmbH, Reichweite und Missbrauch geteilter Inhalte nachvollziehen zu können).

Angemeldete Nutzer können ein Passwort oder einen Paste als Einmal-Link an einen Empfänger senden. Dazu gibt der absendende Nutzer die E-Mail-Adresse und/oder die Mobilfunknummer des Empfängers ein, optional eine Bemerkung und die Ziel-URL, für die das Passwort gilt. Der Link führt auf syr.li; das Passwort selbst wird beim ersten Anzeigen endgültig gelöscht und nicht abgerufene Links verfallen nach der gewählten Gültigkeit (Standard 3 Tage). Nur wenn der Absender es ausdrücklich wählt, steht das Passwort zusätzlich im Klartext in der Nachricht.

Zu jedem Versand bleibt ein Protokolleintrag bestehen: Absender, Zeitpunkt, IP-Adresse des Absenders, Empfänger-Adresse bzw. -Nummer, Bemerkung, Ziel-URL und Zustellstatus – niemals das Passwort oder der Inhalt. Der Eintrag dient der Nachvollziehbarkeit („wurde der Link abgerufen?") und wird mit dem zugehörigen Paste gelöscht.

Empfängerdaten erhält die Syrcon GmbH vom absendenden Nutzer, nicht vom Empfänger selbst (Art. 14 DSGVO). Diese Erklärung ist von jeder Seite auf syr.li aus verlinkt, auch von der Abrufseite des Links.

Eingesetzte Dienstleister (Auftragsverarbeiter nach Art. 28 DSGVO):

• E-Mail: Brevo (Sendinblue SAS), 7 rue de Madrid, 75008 Paris, Frankreich. Verarbeitet werden Empfängeradresse, Absendername und Nachrichteninhalt; Serverstandort EU.
• SMS: BulkSMS.com Ltd., 3 Rudd Court, Alconbury Weald, Huntingdon PE28 4XY, Vereinigtes Königreich. Verarbeitet werden Mobilfunknummer, Absenderkennung und Nachrichtentext. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse von Absender und Empfänger an einer sicheren Übermittlung von Zugangsdaten, die nicht dauerhaft in Postfächern liegen); soweit die Übermittlung der Erfüllung eines Vertrags mit dem Empfänger dient, Art. 6 Abs. 1 lit. b DSGVO.

Zum Schutz vor Missbrauch begrenzt syr.li die Zahl der Anfragen pro IP-Adresse (Rate-Limiting, Zähler im Arbeitsspeicher). Administratoren können einzelne IP-Adressen sperren; gesperrte Adressen werden in der Datenbank gespeichert, bis die Sperre aufgehoben wird. Für einzelne Pastes und Screenshots kann der Ersteller den Zugriff auf bestimmte IP-Adressen beschränken.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Daten werden nur an die oben genannten Auftragsverarbeiter (Hetzner, Brevo, BulkSMS) sowie – beschränkt auf die IP-Adresse – an ip-api.com weitergegeben. Eine Weitergabe an sonstige Dritte findet nicht statt, es sei denn, sie ist gesetzlich vorgeschrieben. Innerhalb der Syrcon GmbH haben Administratoren Zugriff auf alle gespeicherten Daten, soweit es für Betrieb und Support erforderlich ist.

Sie haben gegenüber der Syrcon GmbH das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie das Recht, einer Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO aus Gründen, die sich aus Ihrer besonderen Situation ergeben, zu widersprechen (Art. 21 DSGVO). Wenden Sie sich dazu an datenschutz@syrcon.com.

Außerdem haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig für die Syrcon GmbH ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59-61, 10555 Berlin, www.datenschutz-berlin.de.

Die Verbindung zu syr.li ist durchgehend TLS-verschlüsselt (HTTPS mit HSTS). Passwörter von Nutzerkonten werden nur als bcrypt-Hash gespeichert. Versendete Passwörter sind nach einmaligem Anzeigen gelöscht, Screenshots werden von Metadaten befreit. Der Server steht in Deutschland.

Diese Erklärung wird angepasst, wenn sich der Dienst oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.

Stand: Oktober 2026