Datenschutz bei TONAL

Stand: 21. Oktober 2026

Diese Erklärung beschreibt die Verarbeitung, die im Anwendungscode und in der am 21. Oktober 2026 geprüften Produktionskonfiguration des Cloudflare Workers nachvollziehbar ist. Angaben in eckigen Klammern sind noch offen.

Wer verantwortlich ist

Verantwortlich für TONAL ist D. Kuhn als Privatperson. Für Fragen zum Datenschutz und zur Ausübung deiner Rechte erreichst du uns unter contact@besterdani.space.

Welche Daten beim Besuch verarbeitet werden

TONAL läuft als Cloudflare Worker. Beim Aufruf verarbeitet Cloudflare technisch erforderliche Verbindungsdaten, insbesondere die IP-Adresse, die angeforderte Adresse und den Zeitpunkt. Ein festes Land für jede dieser Verarbeitungen ist in der Worker-Konfiguration nicht festgelegt. Beim blossen Seitenaufruf setzt die Anwendung kein Cookie. Sie lädt keine Analyse- oder Werbeskripte.

Foto und Farbanalyse

Du kannst ein eigenes Porträt auswählen. Die Vorschau entsteht lokal im Browser und verlässt dein Gerät noch nicht. Erst wenn du die Analyse startest, bereitet der Browser das Bild nach Möglichkeit als JPEG vor, dessen längste Seite höchstens 1600 Pixel misst, und sendet diese Datei an den Server. Gelingt das nicht, wird die ursprünglich ausgewählte Datei gesendet.

Auf dem Server wird die Datei geprüft. In der Produktion übergibt TONAL die Bytes an die Cloudflare-Images-Bindung. Sie erzeugt daraus ein JPEG mit höchstens 1024 Pixeln auf der längsten Seite und mit der Anweisung, unsichtbare Bildmetadaten zu entfernen. Die Anwendung schreibt dieses JPEG nicht in einen Bildspeicher, in KV, R2 oder eine Datenbank. Sie behält es für die Bearbeitung der Anfrage. Ob die Images-Bindung die Bytes darüber hinaus kurz behält, ist in der Konfiguration nicht festgelegt und wird hier nicht behauptet. Ohne diese Bindung, also in der lokalen Entwicklung, übernimmt dieselbe Umwandlung die Bibliothek sharp.

Das JPEG geht zusammen mit den Anweisungen an die OpenAI Responses API. Zuerst prüft ein Aufruf Licht, Filter, eine frontale Ansicht und ein natürliches Aussehen. Sind alle Punkte erfüllt, folgt in derselben Browser-Anfrage die Schätzung des Farbtyps. Fehlt ein Punkt, hält TONAL an, bis du eine weniger verlässliche Schätzung ausdrücklich annimmst. Dann wird das JPEG für diese Schätzung erneut gesendet. Passen die zurückgegebenen Merkmale nicht zum gewählten Farbtyp, folgt ein weiterer Schätzungsaufruf mit demselben JPEG. Bei einem vorübergehenden technischen Fehler kann innerhalb eines solchen Ablaufs eine Anfrage einmal wiederholt werden.

TONAL zeigt daraus eine unverbindliche Styling-Empfehlung und eine redaktionell zusammengestellte Saisonpalette. Das Verfahren ist nicht wissenschaftlich validiert. Es ist keine Messung und keine Diagnose. Die Schätzung entsteht automatisiert und dient nicht dazu, eine Person zu identifizieren.

Der Anwendungscode speichert weder das Porträt noch das Analyseergebnis in einer eigenen Datenbank oder einem eigenen Bildspeicher. Das bedeutet nicht, dass Cloudflare, OpenAI, Resend oder das Empfangspostfach keine Daten verarbeiten oder aufbewahren. Das ausgewählte Foto und das Ergebnis bleiben im Browser, bis du eine neue Analyse beginnst oder die Seite schliesst. Wenn du eine bereits gestartete Anfrage im Browser abbrichst, kann eine schon begonnene Verarbeitung auf dem Server oder bei OpenAI weiterlaufen.

Die Farbkarte wird in deinem Browser als PDF erzeugt und nicht an einen Server gesendet. Sie enthält den Farbtyp, die Palette und denselben Vorbehalt wie die Website, aber nicht dein Porträt. Ist die Schätzung vorläufig, steht das auch auf der Farbkarte. Eine heruntergeladene Datei bleibt auf deinem Gerät, bis du sie dort löschst.

Verarbeitung durch OpenAI

Jeder Aufruf setzt store: false. Damit wird die Antwort nicht als regulär gespeicherter, später abrufbarer Zustand der Responses API abgelegt. Das schaltet andere Verarbeitungen bei OpenAI nicht aus. Nach den veröffentlichten OpenAI-API-Regeln können Missbrauchsprotokolle Inhalte enthalten und standardmässig bis zu 30 Tage aufbewahrt werden, länger wenn das Gesetz es verlangt oder es zum Schutz vor Schaden nötig ist. Bildinhalte, die bei einer Prüfung auf missbräuchliche Inhalte auffallen, können zur manuellen Prüfung zurückbehalten werden. Dieselbe Dokumentation beschreibt einen kurzzeitigen Zwischenspeicher für Prompt-Caching, wenn für die Organisation keine Zero Data Retention gilt. Ob für dieses Konto Zero Data Retention, eine geänderte Missbrauchsüberwachung oder ein bestimmtes Verarbeitungsland aktiv ist, ist im Anwendungscode nicht festgelegt. TONAL behauptet deshalb keine Zero Data Retention.

Cookie und Nutzungsbegrenzung

Wenn du eine Analyse anforderst, setzt TONAL in der Produktion das Cookie __Host-tonal_session. Es enthält eine zufällige Kennung, ist HttpOnly, Secure und SameSite=Lax, gilt für den Pfad / und läuft nach 24 Stunden ab. Eine Domain wird nicht gesetzt. Ausserhalb der Produktion heisst dasselbe Cookie tonal_session und ist nicht als Secure markiert. Es wird nicht beim blossen Seitenaufruf gesetzt und dient nur dazu, Analysen dieser Sitzung zu zählen.

Dazu verarbeitet der Server die Sitzungskennung, die Zeitpunkte der Anfragen und einen Schlüssel, der aus der IP-Adresse berechnet wird. Die IP-Adresse selbst wird in dieser Liste nicht abgelegt. In der geprüften Produktionskonfiguration liegen Sitzung, IP-Schlüssel und Zeitpunkte im Arbeitsspeicher der jeweiligen Worker-Instanz. Dafür ist keine Datenbank, kein KV und kein Durable Object gebunden. Die Instanzen teilen diesen Speicher nicht. Zeitpunkte ausserhalb des jeweiligen Zeitfensters entfallen bei der nächsten Prüfung in derselben Instanz. Endet die Instanz, entfallen die Einträge mit ihr. Der Code kann die Bindungen ANALYSIS_QUOTA und ANALYSIS_BURST verwenden. Beide sind in der geprüften Konfiguration nicht gesetzt.

Für Analysen gelten gleichzeitig diese Grenzen: höchstens 5 Anfragen pro 60 Sekunden für denselben IP-Schlüssel, höchstens 3 Analysen pro 24 Stunden für dieselbe Sitzung, höchstens 12 Analysen pro 24 Stunden für denselben IP-Schlüssel, höchstens 100 Analysen pro 24 Stunden insgesamt und höchstens 4 Analysen gleichzeitig. Ein gleichzeitiger Platz wird spätestens nach 3 Minuten wieder frei. Für das Kontaktformular gilt getrennt eine Grenze von 5 Nachrichten pro 10 Minuten für einen aus der IP-Adresse berechneten Schlüssel, ebenfalls im Arbeitsspeicher der Instanz.

Weitere Cookies setzt die Anwendung nicht. Es werden keine Tracking-Skripte geladen. Ein Cookie-Banner ist deshalb nicht eingebaut: das einzige Cookie der Anwendung ist für die Nutzungsbegrenzung nötig und wird erst mit der Analyse gesetzt.

Betriebsprotokolle

Die geprüfte Produktionskonfiguration zeichnet Cloudflare Workers Logs auf, einschliesslich Aufrufprotokollen, bei jeder Anfrage. Logpush und ein Tail-Worker sind nicht verbunden. Eigene Protokolleinträge der Anwendung enthalten Ereigniskategorie, Dauer, Modellkennung, Tokenzahlen und Versionskennungen. Bei der Fotoprüfung können die Namen der nicht erfüllten Kriterien dazukommen. Beim Kontaktformular werden Kategorie und, wenn der Versand fehlschlägt, der HTTP-Status geschrieben. Fotoinhalt, Base64-Daten, Rohantworten des Modells und der Text einer Kontaktnachricht werden in diese Einträge nicht geschrieben. Aufrufprotokolle können nach der Cloudflare-Dokumentation technische Angaben zur Anfrage enthalten, etwa Adresse, Methode, Status und Header. Eine Aufbewahrungsdauer ist in der Worker-Konfiguration nicht eingetragen und wird hier nicht als Frist genannt.

Empfänger

Cloudflare betreibt den Worker, die Bildumwandlung und die Workers Logs. OpenAI erhält das JPEG für die Qualitätsprüfung und die Farbtyp-Schätzung. Resend erhält Kontaktnachrichten, um sie zuzustellen. Verarbeitungsorte, Verträge und weitere Schutzmassnahmen, die nur in den jeweiligen Anbieterkonten stehen, sind unten nur soweit genannt, wie sie geprüft werden konnten. Nicht geprüfte Kontoangaben bleiben offen.

Kontaktformular

Auf der Kontaktseite kannst du einen Namen, eine E-Mail-Adresse und eine Nachricht eintragen. Mit dem Absenden gehen diese Angaben an den TONAL-Server. Der Server schickt sie über die Resend API als E-Mail. Der Betreff lautet «TONAL Kontakt». Deine E-Mail-Adresse wird als Antwortadresse mitgegeben. Empfänger ist das konfigurierte Postfach. In der geprüften Produktionskonfiguration ist das eine Gmail-Adresse, der Absender verwendet die Domain besterdani.space. TONAL legt die Nachricht nicht in einer eigenen Datenbank ab. Resend verarbeitet sie für den Versand und beschreibt öffentlich, dass solche Kundendaten in den USA gespeichert werden. Welche Aufbewahrungsfrist, welches Versandgebiet und welcher Vertrag für dieses Konto gelten, ist im Anwendungscode nicht festgelegt. Die Nachricht kann im Empfangspostfach bleiben, bis sie dort gelöscht wird.

Deine Rechte

Du kannst uns unter contact@besterdani.space kontaktieren, um Auskunft über deine Personendaten zu verlangen oder, soweit die gesetzlichen Voraussetzungen vorliegen, deren Berichtigung oder Löschung zu beantragen. Da TONAL keine Analysehistorie in einer eigenen Datenbank führt, können wir ein früheres Foto oder Ergebnis möglicherweise nicht mehr einer Person zuordnen. Ob ein Dienstleister die Daten noch hat, hängt von dessen Aufbewahrung ab.

Eine Rechtsgrundlage nach der DSGVO ist hier nicht eingesetzt. Einschlägige weitere Rechte, die zuständige Aufsicht und eine allfällige Vertretung in der EU sind ebenfalls noch zu ergänzen.