Datenschutzerklärung

Stand: 16.10.2026

1. Verantwortlicher

Verantwortlich im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

dxc.dm3ks.de ist ein privates, nichtkommerzielles Amateurfunkprojekt. Ein Datenschutzbeauftragter ist nicht benannt, weil dazu keine Pflicht besteht.

2. Das Wichtigste vorab

• Kein Tracking, keine Werbung, keine Analyse- oder Statistikdienste, keine Social-Media-Plugins.
• Schriften, Skripte und Grafiken kommen vollständig von diesem Server. Dein Browser lädt nichts von Google oder anderen Dritten nach.
• Es werden nur Cookies gesetzt, die für Anmeldung und Betrieb nötig sind. Ein Cookie-Banner ist deshalb nicht erforderlich.
• Zum bloßen Anschauen der Spots musst du keine Daten angeben.
• Spots sind öffentlich. Was du als Spot absetzt, wird – wie im Amateurfunk üblich – weltweit im DX-Cluster-Netz verbreitet (Abschnitt 6).

3. Aufruf der Seite und Server-Protokolle

Bei jedem Aufruf verarbeitet der Webserver automatisch: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Statuscode, die zuvor besuchte Seite (Referrer) sowie Browser und Betriebssystem (User-Agent). Ohne diese Daten kann die Seite nicht ausgeliefert werden. Sie werden außerdem zur Abwehr von Angriffen und Missbrauch (z. B. massenhafte Anmeldeversuche) verwendet.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt im sicheren und stabilen Betrieb. Die Anwendung selbst protokolliert zusätzlich An- und Abmeldungen mit Rufzeichen und IP-Adresse. Alle diese Protokolle werden nach 14 Tagen gelöscht, außer ein Eintrag muss zur Aufklärung eines konkreten Vorfalls länger aufbewahrt werden.

Zum Schutz vor automatisierten Massenanfragen merkt sich die Anwendung IP-Adressen und Rufzeichen kurzzeitig im Arbeitsspeicher (höchstens 24 Stunden). Sie werden dabei nicht dauerhaft gespeichert.

4. Cookies und Speicher im Browser

Es werden ausschließlich technisch notwendige Speicherungen auf deinem Gerät vorgenommen (§ 25 Abs. 2 Nr. 2 TDDDG). Eine Einwilligung ist dafür nicht erforderlich.

Keine dieser Speicherungen dient der Wiedererkennung über andere Websites hinweg oder der Auswertung deines Verhaltens.

5. Anmeldung und Verbindung zum Cluster

Wenn du dich mit Rufzeichen und Passwort anmeldest, öffnet die Seite für dich eine eigene Verbindung zum Cluster-Knoten DM3KS-9 mit der Kennung DEINCALL-77. Sie bleibt bestehen, solange du angemeldet bist, damit andere Knoten prüfen können, dass ein Spot wirklich von einem angemeldeten Nutzer stammt.

Verarbeitet werden dein Rufzeichen, Zeitpunkt der An- und Abmeldung, die Befehle und Meldungen dieser Verbindung und deine IP-Adresse. Sie wird an den Cluster-Knoten übergeben, der sie – wie bei jeder Telnet-Verbindung – in seinem Protokoll speichert. Damit kann der Knoten Sperren durchsetzen und Missbrauch zuordnen.

Dein Web-Passwort wird nur als nicht umkehrbarer Hash gespeichert (PBKDF2-SHA256 mit Zufallswert). Beim Anmelden wird es auf dem Server gegen diesen Hash geprüft. Für die Verbindung DEINCALL-77 hinterlegt die Seite im Cluster nur einen zufälligen Zugangsschlüssel, der bei jeder Anmeldung neu erzeugt wird. Dein Passwort selbst wird nicht im Cluster gespeichert und nicht weitergegeben.

Ausnahme: Ein Telnet-Passwort für dein Rufzeichen ohne -77 verwaltet die Cluster-Software DXSpider selbst. Sie speichert es technisch bedingt im Klartext. Verwende für Telnet deshalb ein Passwort, das du nirgendwo sonst nutzt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der von dir gewünschten Funktion) und für die Missbrauchsabwehr Art. 6 Abs. 1 lit. f DSGVO. Die Protokolle des Cluster-Knotens werden nach 6 Monaten gelöscht.

6. Spots – weltweite Veröffentlichung

Ein DX-Cluster ist ein weltweites Netz unabhängiger Knoten, über das Funkamateure Beobachtungen austauschen. Wenn du einen Spot absetzt, werden folgende Angaben an alle verbundenen Knoten weitergeleitet, dort gespeichert und für jedermann sichtbar angezeigt: dein Rufzeichen, das gemeldete Rufzeichen, Frequenz, Kommentar, Uhrzeit, Name des Knotens DM3KS-9 sowie die IP-Adresse, von der der Spot abgesetzt wurde. Das ist im Cluster-Protokoll (PC61) technisch so vorgesehen und gilt genauso für Spots per Telnet.

Die Knoten werden von anderen Funkamateuren und Organisationen in vielen Ländern betrieben, auch außerhalb der EU. Dort gelten die jeweiligen Datenschutzregeln. Auf Speicherung, Anzeige und Löschung bei anderen Knoten habe ich keinen Einfluss. Ein einmal verbreiteter Spot kann im Netz nicht zurückgeholt werden.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO: Die Verbreitung ist der Zweck eines Spots, den du ausdrücklich auslöst. Die Übermittlung in Länder außerhalb der EU erfolgt nach Art. 49 Abs. 1 lit. b DSGVO, weil sie zur Erfüllung dieser von dir gewünschten Leistung erforderlich ist.

Auf diesem Knoten werden Spots in einer Datenbank gespeichert und sind über die Archivsuche bis zu 12 Monate lang abrufbar. Für die Statistikseite werden nur Zählwerte (z. B. Spots pro Band und Tag) ohne Personenbezug gebildet.

7. Registrierung und Web-Zugang

Für einen Zugang verarbeite ich dein Rufzeichen, deine E-Mail-Adresse, gewünschte zusätzliche Telnet-Logins (SSIDs), deine optionale Nachricht an mich, Datum und Uhrzeit sowie die IP-Adresse des Antrags. Der Antrag wird auf dem Server des Cluster-Knotens gespeichert. Ich erhalte ihn per E-Mail und entscheide von Hand über die Freischaltung, außer bei der Sofort-Freischaltung (unten). Mit der Freischaltung entstehen ein Telnet-Zugang für dein Rufzeichen (und die gewünschten SSIDs) und der Web-Zugang. Du bekommst Bestätigungen und – falls angefordert – dein Passwort an die angegebene E-Mail-Adresse. Die E-Mails werden über den Mailserver dieses Servers versendet.

Zusätzlich erhalte ich eine kurze Benachrichtigung über den Messenger Telegram (Telegram FZ-LLC, Dubai, Vereinigte Arabische Emirate). Sie enthält nur dein Rufzeichen, keine E-Mail-Adresse und keine IP-Adresse. Weil Telegram außerhalb der EU sitzt und für die Emirate kein Angemessenheitsbeschluss besteht, beschränke ich die Nachricht auf das Rufzeichen, das als Amateurfunk-Rufzeichen ohnehin öffentlich ist.

Sofort-Freischaltung über QRZ.com

Nur wenn du dafür das Häkchen setzt, fragt der Server bei QRZ.com (QRZ LLC, USA) die E-Mail-Adresse ab, die zu deinem Rufzeichen hinterlegt ist. Übermittelt wird dabei nur dein Rufzeichen. Stimmt die Adresse mit deiner Eingabe überein, schicken wir an genau diese Adresse einen Bestätigungslink. Erst mit dem Klick darauf wird dein Zugang mit dem von dir gewählten Passwort freigeschaltet. Bis dahin liegt das Passwort verschlüsselt auf dem Server; den Schlüssel enthält nur der Link. Nach dem Klick oder spätestens nach 24 Stunden wird der Eintrag gelöscht. Die von QRZ.com gelieferte Adresse wird nur verglichen und nicht gespeichert. Passt sie nicht, prüfe ich deinen Antrag wie gewohnt von Hand.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Die Übermittlung in die USA erfolgt auf Grundlage deiner ausdrücklichen Einwilligung (Art. 49 Abs. 1 lit. a DSGVO); dort kann das Datenschutzniveau geringer sein, insbesondere bei Zugriffen von Behörden. Ohne Häkchen findet keine Abfrage statt.

Standort (QTH-Locator) für die MUF

Damit HF-WX und der Hinweis auf der Startseite die MUF an deinem Standort zeigen, liest der Server bei angemeldeten Benutzern den QTH-Locator aus deinem Cluster-Profil (per Telnet mit set/qra gesetzt). Ist dort keiner hinterlegt, fragt der Server einmalig bei QRZ.com (QRZ LLC, USA) den dort öffentlich angegebenen Locator ab; übermittelt wird nur dein Rufzeichen. Das kannst du vermeiden, indem du deinen Locator im Cluster hinterlegst. Der Locator wird bis zu 7 Tage zwischengespeichert. Rechtsgrundlage ist unser berechtigtes Interesse, dir die Ausbreitungsdaten für deinen Standort anzuzeigen (Art. 6 Abs. 1 lit. f DSGVO). Einen selbst eingegebenen Locator speichert nur dein Browser.

Für Antrag und Zugang ist die Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO. Die Daten bleiben gespeichert, solange dein Zugang besteht. Abgelehnte oder nicht abgeschlossene Anträge werden nach spätestens 6 Monaten gelöscht. Du kannst die Löschung deines Zugangs jederzeit per E-Mail verlangen.

Die Sicherheitsprüfung bei Formularen ist eine kleine Rechenaufgabe, die dein Browser selbst löst. Dabei werden keine Daten an Dritte übertragen.

8. „Eingeloggt bleiben“

Nur wenn du das Häkchen setzt, speichert dein Browser das Cookie cd_rem mit einer Zufallskennung und einem Schlüssel. Auf dem Server liegen dazu nur ein Prüfwert der Kennung und dein Passwort, verschlüsselt mit diesem Schlüssel. Ohne das Cookie auf deinem Gerät kann es niemand entschlüsseln, auch ich nicht. So kann die Seite dich nach einem Neustart wieder am Cluster anmelden, und Push-Benachrichtigungen funktionieren.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO in Verbindung mit § 25 Abs. 2 Nr. 2 TDDDG. Beim Abmelden oder spätestens nach 180 Tagen wird der Eintrag gelöscht.

9. Push-Benachrichtigungen

Push-Benachrichtigungen sind freiwillig. Sie werden erst aktiv, wenn du sie einschaltest und in deinem Browser erlaubst (Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG).

Gespeichert werden dein Rufzeichen, die Push-Adresse deines Geräts mit den zugehörigen Schlüsseln, eine Gerätebezeichnung und deine Benachrichtigungsregeln. Zugestellt werden die Nachrichten über den Push-Dienst deines Browser- bzw. Betriebssystem-Herstellers, etwa Google (Chrome, Android), Apple (Safari, iOS), Mozilla (Firefox) oder Microsoft (Edge). Diese Dienste haben ihren Sitz teilweise in den USA. Die Übermittlung dorthin stützt sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework, soweit der Anbieter zertifiziert ist, und im Übrigen auf deine ausdrückliche Einwilligung (Art. 49 Abs. 1 lit. a DSGVO). In den USA kann das Datenschutzniveau geringer sein, insbesondere bei Zugriffen von Behörden.

Der Inhalt jeder Benachrichtigung ist Ende-zu-Ende verschlüsselt. Der Push-Dienst sieht nur die Push-Adresse, Zeitpunkt und Größe der Nachricht und die Adresse dieses Servers.

Du kannst die Einwilligung jederzeit widerrufen: im Benachrichtigungs-Dialog („Ausschalten“), in den Einstellungen deines Browsers oder durch Abmelden. Die Push-Daten werden dann gelöscht, ebenso, wenn der Push-Dienst die Adresse als ungültig meldet.

10. Daten aus anderen Quellen

Ausbreitungs- und Weltraumwetterdaten (NOAA Space Weather Prediction Center, prop.kc2g.com, HAMQSL.com) und Listen angekündigter DXpeditionen (NG3K), die öffentliche Livestream-Liste von Club Log sowie Skimmer-Spots des Reverse Beacon Network (über den Cluster-Knoten) ruft der Server selbst in Abständen ab. Dabei werden keine Daten über dich übermittelt. Erst wenn du einen Link zu diesen oder anderen Seiten (z. B. QRZ.com) anklickst, verlässt du dieses Angebot. Dann gilt die Datenschutzerklärung des jeweiligen Anbieters.

11. Weitergabe

Daten werden nicht verkauft und nicht zu Werbezwecken weitergegeben. Empfänger sind nur die in dieser Erklärung genannten: die Knoten des DX-Cluster-Netzes (Spots), die Push-Dienste (nur bei eingeschalteten Benachrichtigungen), QRZ.com (nur Rufzeichen, nur bei Sofort-Freischaltung), Telegram (nur Rufzeichen bei Neuanträgen) und die an der E-Mail-Zustellung beteiligten Mailserver. Eine automatisierte Entscheidungsfindung oder ein Profiling findet nicht statt.

12. Sicherheit

Die Verbindung zu dieser Seite ist per TLS (HTTPS) verschlüsselt. Anmeldungen und Formulare sind gegen massenhafte Versuche geschützt. Die Anwendung läuft mit eingeschränkten Rechten auf dem Server.

13. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f (Art. 21). Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Eine formlose E-Mail an die oben genannte Adresse genügt.

Bereits im DX-Cluster-Netz verbreitete Spots kann ich nur auf diesem Knoten löschen, nicht bei anderen Knoten.

Du hast außerdem das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig für mich ist:
Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz, Hintere Bleiche 34, 55116 Mainz, www.datenschutz.rlp.de.

14. Pflicht zur Angabe

Zum Anschauen der Seite musst du keine Daten angeben. Für das Absetzen von Spots ist eine Registrierung mit Rufzeichen und E-Mail-Adresse nötig. Ohne sie ist das Spotten über diese Seite nicht möglich.

15. Änderungen

Diese Erklärung wird angepasst, wenn sich die Seite oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.

Privacy policy

As of: 16.10.2026

Translation for information. The German version is legally binding.

1. Controller

The controller within the meaning of the General Data Protection Regulation (GDPR) is:

dxc.dm3ks.de is a private, non-commercial amateur radio project. No data protection officer has been appointed, as there is no legal obligation to do so.

2. Key points

• No tracking, no advertising, no analytics or statistics services, no social media plugins.
• Fonts, scripts and graphics are served entirely from this server. Your browser loads nothing from Google or other third parties.
• Only cookies needed for login and operation are set, so no cookie banner is required.
• You do not need to provide any data just to view the spots.
• Spots are public. Whatever you post as a spot is distributed worldwide in the DX cluster network, as is usual in amateur radio (section 6).

3. Visiting the site and server logs

On every request the web server automatically processes: IP address, date and time, requested address, amount of data transferred, status code, the previously visited page (referrer) and browser and operating system (user agent). The site cannot be delivered without this data. It is also used to defend against attacks and abuse (e.g. mass login attempts).

The legal basis is Art. 6 (1) (f) GDPR; the legitimate interest is secure and stable operation. The application itself also logs logins and logouts with callsign and IP address. All these logs are deleted after 14 days unless an entry must be kept longer to investigate a specific incident.

To protect against automated mass requests, the application briefly keeps IP addresses and callsigns in memory (24 hours at most). They are not stored permanently.

4. Cookies and browser storage

Only technically necessary data is stored on your device (§ 25 (2) no. 2 TDDDG). No consent is required for this.

None of this is used to recognise you across other websites or to analyse your behaviour.

5. Login and connection to the cluster

When you log in with your callsign and password, the site opens a dedicated connection to the cluster node DM3KS-9 for you, using the identifier YOURCALL-77. It stays open while you are logged in, so that other nodes can verify that a spot really comes from a logged-in user.

Processed are your callsign, the time of login and logout, the commands and messages of this connection and your IP address. It is passed to the cluster node, which stores it in its log just as for any telnet connection. This allows the node to enforce bans and trace abuse.

Your web password is stored only as an irreversible hash (PBKDF2-SHA256 with a random salt). At login it is checked against this hash on the server. For the connection YOURCALL-77 the site only stores a random access key in the cluster, which is renewed at every login. Your password itself is neither stored in the cluster nor passed on.

Exception: a telnet password for your callsign without -77 is managed by the DXSpider cluster software itself, which for technical reasons stores it in plain text. For telnet, please use a password you do not use anywhere else.

The legal basis is Art. 6 (1) (b) GDPR (providing the function you requested) and, for abuse prevention, Art. 6 (1) (f) GDPR. The cluster node's logs are deleted after 6 months.

6. Spots – worldwide publication

A DX cluster is a worldwide network of independent nodes through which radio amateurs share observations. When you post a spot, the following is forwarded to all connected nodes, stored there and displayed publicly: your callsign, the spotted callsign, frequency, comment, time, the name of the node DM3KS-9 and the IP address from which the spot was posted. This is how the cluster protocol (PC61) works technically, and it applies equally to spots posted via telnet.

The nodes are run by other radio amateurs and organisations in many countries, including outside the EU, where their own data protection rules apply. I have no influence on storage, display or deletion on other nodes. Once distributed, a spot cannot be recalled from the network.

The legal basis is Art. 6 (1) (b) GDPR: distribution is the purpose of a spot that you explicitly trigger. Transfers to countries outside the EU are based on Art. 49 (1) (b) GDPR, as they are necessary to perform this service you requested.

On this node, spots are stored in a database and can be found via the archive search for up to 12 months. The statistics page only uses counts (e.g. spots per band and day) without any personal reference.

7. Registration and web access

For access I process your callsign, your e-mail address, any additional telnet logins (SSIDs) you request, your optional message to me, date and time, and the IP address of the request. The request is stored on the cluster node's server. I receive it by e-mail and decide on activation manually, except with instant activation (below). Activation creates a telnet login for your callsign (and the requested SSIDs) and the web access. You receive confirmations and, if requested, your password at the e-mail address you provided. E-mails are sent via this server's mail server.

In addition, I receive a short notification via the Telegram messenger (Telegram FZ-LLC, Dubai, United Arab Emirates). It contains only your callsign, no e-mail address and no IP address. Because Telegram is based outside the EU and there is no adequacy decision for the UAE, I limit the message to the callsign, which is public anyway as an amateur radio callsign.

Instant activation via QRZ.com

Only if you tick the box does the server ask QRZ.com (QRZ LLC, USA) for the e-mail address stored for your callsign. Only your callsign is transmitted. If the address matches your entry, we send a confirmation link to exactly that address. Only clicking it activates your access with the password you chose. Until then the password is stored encrypted on the server; only the link contains the key. The entry is deleted after the click or after 24 hours at the latest. The address supplied by QRZ.com is only compared and not stored. If it does not match, I review your request manually as usual.

The legal basis is your consent (Art. 6 (1) (a) GDPR). The transfer to the USA is based on your explicit consent (Art. 49 (1) (a) GDPR); the level of data protection there may be lower, in particular regarding access by authorities. Without the tick no lookup takes place.

Location (QTH locator) for the MUF

So that HF-WX and the notice on the start page can show the MUF at your location, the server reads the QTH locator from your cluster profile (set via telnet with set/qra) for logged-in users. If none is stored there, the server asks QRZ.com (QRZ LLC, USA) once for the locator published there; only your callsign is transmitted. You can avoid this by storing your locator on the cluster. The locator is cached for up to 7 days. The legal basis is our legitimate interest in showing you propagation data for your location (Art. 6 (1) (f) GDPR). A locator you enter yourself is stored only in your browser.

For the request and the access, the legal basis is Art. 6 (1) (b) GDPR. The data is kept as long as your access exists. Rejected or incomplete requests are deleted after 6 months at the latest. You can ask for your access to be deleted at any time by e-mail.

The security check on forms is a small calculation solved by your browser itself. No data is sent to third parties.

8. “Stay logged in”

Only if you tick the box does your browser store the cookie cd_rem containing a random identifier and a key. The server only keeps a check value of the identifier and your password, encrypted with that key. Without the cookie on your device nobody can decrypt it, including me. This lets the site log you back in to the cluster after a restart and makes push notifications work.

The legal basis is Art. 6 (1) (b) GDPR in conjunction with § 25 (2) no. 2 TDDDG. The entry is deleted when you log out or after 180 days at the latest.

9. Push notifications

Push notifications are optional. They are only active once you switch them on and allow them in your browser (consent under Art. 6 (1) (a) GDPR and § 25 (1) TDDDG).

Stored are your callsign, the push address of your device with the related keys, a device name and your notification rules. Messages are delivered via the push service of your browser or operating system vendor, such as Google (Chrome, Android), Apple (Safari, iOS), Mozilla (Firefox) or Microsoft (Edge). Some of these services are based in the USA. Transfers there rely on the European Commission's adequacy decision on the EU-US Data Privacy Framework where the provider is certified, and otherwise on your explicit consent (Art. 49 (1) (a) GDPR). The level of data protection in the USA may be lower, in particular regarding access by authorities.

The content of every notification is end-to-end encrypted. The push service only sees the push address, the time and size of the message and the address of this server.

You can withdraw your consent at any time: in the notifications dialog (“Turn off”), in your browser settings or by logging out. The push data is then deleted, as it is when the push service reports the address as invalid.

10. Data from other sources

Propagation and space weather data (NOAA Space Weather Prediction Center, prop.kc2g.com, HAMQSL.com) and lists of announced DXpeditions (NG3K), Club Log's public live stream list and skimmer spots from the Reverse Beacon Network (via the cluster node) are fetched by the server itself at intervals. No data about you is transmitted. Only when you click a link to these or other sites (e.g. QRZ.com) do you leave this service; the privacy policy of that provider then applies.

11. Disclosure

Data is not sold and not passed on for advertising. The only recipients are those named in this policy: the nodes of the DX cluster network (spots), the push services (only with notifications switched on), QRZ.com (callsign only, only for instant activation), Telegram (callsign only, for new requests) and the mail servers involved in e-mail delivery. There is no automated decision-making or profiling.

12. Security

The connection to this site is encrypted with TLS (HTTPS). Logins and forms are protected against mass attempts. The application runs with restricted privileges on the server.

13. Your rights

You have the right of access (Art. 15 GDPR), rectification (Art. 16), erasure (Art. 17), restriction of processing (Art. 18), data portability (Art. 20) and to object to processing based on Art. 6 (1) (f) (Art. 21). You can withdraw any consent at any time with effect for the future (Art. 7 (3)). An informal e-mail to the address above is sufficient.

Spots already distributed in the DX cluster network can only be deleted on this node, not on other nodes.

You also have the right to lodge a complaint with a data protection supervisory authority (Art. 77 GDPR). The authority responsible for me is:
Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz, Hintere Bleiche 34, 55116 Mainz, Germany, www.datenschutz.rlp.de.

14. Obligation to provide data

You do not need to provide any data to view the site. To post spots, registration with callsign and e-mail address is required; without it, spotting via this site is not possible.

15. Changes

This policy is updated when the site or the legal situation changes. The version published here applies.