English version below

Datenschutzerklärung

Stand: 19. Oktober 2026

1. Verantwortlicher

David Vinu
Mühltalstraße 139a
69121 Heidelberg
E-Mail: [email protected]

Ich bin eine Privatperson. Ich habe keinen Datenschutzbeauftragten und bin dazu nicht verpflichtet.

2. Kurz gesagt

• Diese Website setzt keine Cookies und nutzt kein Tracking und keine Analyse-Werkzeuge.
• Die Downloads liegen bei GitHub.
• Die App Uni VPN schickt mir keine Daten, außer verschlüsselt, wenn Sie Ihre Geräte abgleichen (siehe 5.). Ich erhalte von der App keine Nutzungsstatistik und keine Fehlerberichte.

3. Diese Website

Hosting und Server-Logdateien

Die Website läuft auf meinem eigenen Server in Deutschland. Davor ist der Dienst Cloudflare geschaltet (Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA). Cloudflare leitet jeden Aufruf an meinen Server weiter und schützt ihn vor Angriffen. Dabei verarbeitet Cloudflare dieselben Daten wie unten genannt. Cloudflare ist nach eigenen Angaben unter dem EU-US Data Privacy Framework zertifiziert. Mit Cloudflare besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Bei jedem Aufruf speichert mein Server automatisch:

• IP-Adresse
• Datum und Uhrzeit
• aufgerufene Seite oder Datei
• übertragene Datenmenge und Statuscode
• zuvor besuchte Seite (Referrer), falls der Browser sie sendet
• Browser und Betriebssystem (User-Agent)

Zweck: die Seite ausliefern, Fehler finden, Angriffe abwehren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Mein berechtigtes Interesse ist ein sicherer und funktionierender Betrieb. Die Logdateien werden nach 7 Tagen gelöscht.

Keine Cookies, kein Tracking

Diese Website setzt keine Cookies, bindet keine externen Schriften, Videos oder Karten ein und nutzt keine Analyse- oder Werbedienste.

Kontakt per E-Mail

Wenn Sie mir schreiben, verarbeite ich Ihre E-Mail-Adresse und den Inhalt Ihrer Nachricht, um zu antworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, bei Fragen zu einem Vertrag oder einer Anfrage davor Art. 6 Abs. 1 lit. b DSGVO. Ich lösche die Nachricht, wenn die Sache erledigt ist und keine Aufbewahrungspflicht besteht.

4. Downloads über GitHub

Die Download-Links führen zu GitHub (Releases des Projekts https://github.com/DavidVinu/uni-vpn). Wenn Sie einen Link anklicken, verlassen Sie diese Website. GitHub erhält dann unter anderem Ihre IP-Adresse und Browserdaten. Anbieter ist GitHub, Inc., 88 Colin P. Kelly Jr. Street, San Francisco, CA 94107, USA. GitHub ist dafür selbst verantwortlich. Dabei können Daten in die USA übermittelt werden. GitHub ist nach eigenen Angaben unter dem EU-US Data Privacy Framework zertifiziert.

Datenschutzerklärung von GitHub: https://docs.github.com/de/site-policy/privacy-policies/github-general-privacy-statement

5. Die App Uni VPN

Uni VPN verbindet Ihren Computer mit dem VPN Ihrer Universität. Nur die Websites, die Sie in der App eintragen (zum Beispiel Uni-Mail oder Moodle), laufen über die Universität. Alles andere geht wie bisher direkt ins Internet.

Die App sendet mir keine Daten, außer Sie gleichen Ihre Geräte ab (unten, Nummer 4). Es gibt keine Nutzungsstatistik, keine Fehlerberichte und kein Benutzerkonto bei mir. Für die übrigen Daten in der App bin ich daher nicht verantwortlich im Sinne der DSGVO. Trotzdem erkläre ich hier, was die App tut.

Was auf Ihrem Computer gespeichert wird

• Passwort und TOTP-Geheimnis (für den zweiten Faktor): nur im Passwortspeicher Ihres Betriebssystems, also im GNOME-Schlüsselbund (Linux), im macOS-Schlüsselbund oder in der Windows-Anmeldeinformationsverwaltung. Beim Verbinden legt die App das Geheimnis kurz in eine Datei, die nur Ihr Benutzerkonto lesen kann, und löscht sie gleich danach.
• Benutzername, Universität und Einstellungen (zum Beispiel die eingetragenen Websites): in Einstellungsdateien (config.toml, domains.txt) in Ihrem Benutzerordner.
• Protokoll: eine Logdatei in Ihrem Benutzerordner mit Verbindungsereignissen und Ihrem Benutzernamen. Sie ist höchstens etwa 4 MB groß, ältere Einträge werden überschrieben. Sie verlässt Ihren Computer nur, wenn Sie sie selbst weitergeben, zum Beispiel in einer Fehlermeldung auf GitHub.

Beim Deinstallieren unter Windows löscht die App die Einträge im Passwortspeicher, auf dem Mac und unter Linux bleiben sie erhalten. Sie können sie dort jederzeit selbst löschen ("uni-vpn", "uni-vpn-totp" und "uni-vpn-sync"), ebenso die Einstellungsdateien und die Logdatei.

Mit wem die App Verbindung aufnimmt

1. VPN-Server Ihrer Universität. Beim Anmelden sendet die App Ihren Benutzernamen, Ihr Passwort und gegebenenfalls einen Einmalcode an den VPN-Server Ihrer Universität. Der Datenverkehr zu den eingetragenen Websites läuft dann über die Universität. Richten Sie den zweiten Faktor in der App mit einem Code ein, meldet sich die App außerdem mit denselben Daten im MFA-Portal Ihrer Universität an und legt dort einen Code-Generator mit dem Namen Ihres Computers an. Dafür ist Ihre Universität verantwortlich. Es gilt deren Datenschutzerklärung. Öffnen Sie die Anleitung für den zweiten Faktor, prüft die App einmal, ob das MFA-Portal Ihrer Universität erreichbar ist. Dabei werden keine Daten gesendet, das Portal sieht nur Ihre IP-Adresse.
2. Einrichtung einer nicht gelisteten Universität. Wenn Sie eine VPN-Adresse selbst eingeben, fragt die App diesen Server einmal nach seinem Anmeldeformular. Dabei werden keine Zugangsdaten gesendet, der Server sieht nur Ihre IP-Adresse.
3. GitHub, für Updates. Etwa alle 5 Stunden (erstmals rund 10 Minuten nach dem Start) fragt die App bei GitHub nach, ob es eine neue Version gibt, und lädt sie gegebenenfalls von dort herunter. GitHub sieht dabei Ihre IP-Adresse, die Uhrzeit und die Kennung "uni-vpn". Sonst wird nichts gesendet. Sie können das in der App ausschalten: Zahnrad, "Automatische Updates".
4. Abgleich zwischen Ihren Geräten (nur wenn Sie in der App "Gerät hinzufügen" oder "Einstellungen von einem anderen Gerät übernehmen" nutzen). Ihre Geräte tauschen ihre Einstellungen über einen kleinen Dienst aus, den ich bei Cloudflare betreibe (Cloudflare Workers und D1, Anbieter wie oben unter 3.). Die Einstellungen, auch Passwort und TOTP-Geheimnis, werden auf Ihrem Gerät verschlüsselt, bevor sie es verlassen. Den Schlüssel haben nur Ihre Geräte; ich und Cloudflare können die Daten nicht lesen. Gespeichert werden zufällige Kennungen und die verschlüsselten Daten. Cloudflare sieht dabei Ihre IP-Adresse. Die App fragt beim Start, etwa alle 30 Minuten und beim Öffnen der Einstellungen nach Änderungen. Ein Code zum Verbinden zweier Geräte gilt 10 Minuten und wird spätestens eine Stunde danach gelöscht, die Daten Ihrer Geräte 400 Tage nach der letzten Nutzung. Zweck: Ihre Einstellungen auf Ihre anderen Geräte bringen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, weil Sie die Funktion selbst nutzen. Wenn Sie in den Einstellungen alle Geräte entfernen, werden die Daten nicht mehr gelesen und dann gelöscht.
5. Nur bei Installation über die Terminal-Skripte (nicht beim normalen Download): Die Skripte laden zusätzlich Software von GitHub, python.org, Homebrew, nuget.org (Microsoft) oder aus den Paketquellen Ihrer Linux-Distribution. Diese Anbieter sehen dabei Ihre IP-Adresse.

Das App-Fenster zeigt nur eine Seite auf Ihrem eigenen Computer an. Es nutzt dafür die Web-Komponente Ihres Betriebssystems (WebView2 unter Windows, WebKit unter macOS und Linux).

6. Ihre Rechte

Sie haben das Recht auf:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO)

Schreiben Sie dazu an [email protected].

Sie können sich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), zum Beispiel in dem Bundesland, in dem Sie wohnen, oder bei der für mich zuständigen Behörde: Die Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart.

Privacy Policy

Last updated: 19 October 2026

This is a translation for convenience. The German version (Datenschutzerklärung) is the authoritative one.

1. Controller

David Vinu
Mühltalstraße 139a
69121 Heidelberg, Germany
Email: [email protected]

I am a private individual. I have no data protection officer and am not required to have one.

2. In short

• This website sets no cookies and uses no tracking or analytics.
• The downloads are hosted on GitHub.
• The Uni VPN app sends no data to me, except encrypted when you sync your devices (see section 5). I receive no usage statistics and no crash reports from the app.

3. This website

Hosting and server log files

The website runs on my own server in Germany. The Cloudflare service sits in front of it (Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA). Cloudflare forwards every request to my server and protects it from attacks. In doing so, Cloudflare processes the same data as listed below. According to Cloudflare, it is certified under the EU-US Data Privacy Framework. A data processing agreement under Art. 28 GDPR is in place with Cloudflare. With every request my server automatically stores:

• IP address
• date and time
• the page or file requested
• amount of data sent and status code
• the previous page (referrer), if your browser sends it
• browser and operating system (user agent)

Purpose: delivering the site, finding errors, fending off attacks. The legal basis is Art. 6(1)(f) GDPR. My legitimate interest is running the site securely and reliably. Log files are deleted after 7 days.

No cookies, no tracking

This website sets no cookies, embeds no external fonts, videos or maps, and uses no analytics or advertising services.

Contact by email

If you write to me, I process your email address and your message to reply. The legal basis is Art. 6(1)(f) GDPR, or Art. 6(1)(b) GDPR for questions about a contract or a request before one. I delete the message once the matter is settled and no retention duty applies.

4. Downloads via GitHub

The download links lead to GitHub (releases of the project https://github.com/DavidVinu/uni-vpn). When you click a link, you leave this website. GitHub then receives, among other things, your IP address and browser data. The provider is GitHub, Inc., 88 Colin P. Kelly Jr. Street, San Francisco, CA 94107, USA. GitHub is the controller for this itself. Data may be transferred to the USA. According to GitHub, it is certified under the EU-US Data Privacy Framework.

GitHub's privacy statement: https://docs.github.com/en/site-policy/privacy-policies/github-general-privacy-statement

5. The Uni VPN app

Uni VPN connects your computer to your university's VPN. Only the websites you list in the app (for example university mail or Moodle) go through the university. Everything else goes directly to the internet as before.

The app sends no data to me, unless you sync your devices (below, number 4). There are no usage statistics, no crash reports and no account with me. I am therefore not the controller under the GDPR for the other data in the app. Still, here is what the app does.

What is stored on your computer

• Password and TOTP secret (for the second factor): only in your operating system's password store, that is the GNOME keyring (Linux), the macOS keychain or the Windows Credential Manager. When connecting, the app briefly puts the secret into a file only your user account can read and deletes it right afterwards.
• User name, university and settings (for example the listed websites): in settings files (config.toml, domains.txt) in your user folder.
• Log: a log file in your user folder with connection events and your user name. It is at most about 4 MB; older entries are overwritten. It only leaves your computer if you share it yourself, for example in a bug report on GitHub.

Uninstalling on Windows deletes the password store entries; on a Mac and on Linux they stay. You can delete them there yourself at any time ("uni-vpn", "uni-vpn-totp" and "uni-vpn-sync"), as well as the settings and log files.

Who the app connects to

1. Your university's VPN server. When signing in, the app sends your user name, your password and, if needed, a one-time code to your university's VPN server. Traffic to the listed websites then goes through the university. If you set up the second factor in the app with a code, the app also signs in to your university's MFA portal with the same details and adds a code generator there named after your computer. Your university is responsible for this, and its privacy policy applies. When you open the guide for the second factor, the app checks once whether your university's MFA portal can be reached. No data is sent; the portal only sees your IP address.
2. Setting up a university that is not listed. If you enter a VPN address yourself, the app asks that server once for its login form. No credentials are sent; the server only sees your IP address.
3. GitHub, for updates. About every 5 hours (first about 10 minutes after start) the app asks GitHub whether there is a new version and, if so, downloads it from there. GitHub sees your IP address, the time and the identifier "uni-vpn". Nothing else is sent. You can turn this off in the app: gear icon, "Automatic updates".
4. Syncing between your devices (only if you use "Add a device" or "Use settings from another device" in the app). Your devices exchange their settings through a small service I run at Cloudflare (Cloudflare Workers and D1, provider as in section 3). The settings, including the password and TOTP secret, are encrypted on your device before they leave it. Only your devices have the key; neither I nor Cloudflare can read the data. Random identifiers and the encrypted data are stored. Cloudflare sees your IP address. The app asks for changes when it starts, about every 30 minutes and when Settings is opened. A code for linking two devices is valid for 10 minutes and is deleted at most an hour later, your devices' data 400 days after it was last used. Purpose: bringing your settings to your other devices. The legal basis is Art. 6(1)(b) GDPR, because you use the feature yourself. If you remove all devices in Settings, the data is no longer read and is then deleted.
5. Only when installing with the terminal scripts (not with the normal download): the scripts also download software from GitHub, python.org, Homebrew, nuget.org (Microsoft) or your Linux distribution's package sources. These providers see your IP address.

The app window only shows a page on your own computer. It uses your operating system's web component for this (WebView2 on Windows, WebKit on macOS and Linux).

6. Your rights

You have the right to:

• access (Art. 15 GDPR)
• rectification (Art. 16 GDPR)
• erasure (Art. 17 GDPR)
• restriction of processing (Art. 18 GDPR)
• data portability (Art. 20 GDPR)
• object to processing based on Art. 6(1)(f) GDPR (Art. 21 GDPR)

To exercise them, write to [email protected].

You can also lodge a complaint with a data protection supervisory authority (Art. 77 GDPR), for example in the country or German state where you live, or with the authority responsible for me: the State Commissioner for Data Protection and Freedom of Information Baden-Württemberg (LfDI), Lautenschlagerstraße 20, 70173 Stuttgart, Germany.