Datenschutz & Anonymität

Diese Seite gibt es, damit Menschen, die nicht wählen dürfen, sagen können, wie sie wählen würden – ohne dass das je auf sie zurückführbar wird. Hier steht genau, was gespeichert wird, was nicht, und was diese Seite zugesagt hat, nie zu bauen. Sollte eine Aussage auf dieser Seite nicht mehr stimmen, gehört die Seite vom Netz.

Was eine Stimme speichert

• Staatsangehörigkeit – nur für die größten Berliner Gruppen als Land; alle anderen werden schon vor dem Speichern als Weltregion erfasst. Ein Land kombiniert mit einem Bezirk kann eine Person identifizieren, und für manche könnte das aufenthaltsrechtliche Folgen haben.
• Partei (oder „würde nicht wählen“ / „keine Angabe“) und Bezirk – nie eine Postleitzahl, nie eine Adresse.
• Alter nur als Gruppe (z. B. 25–34). Die genaue Zahl wird vor dem Speichern zur Gruppe reduziert; die Datenbank lehnt ein exaktes Alter ab.
• Die Stunde des Eingangs – Minuten und Sekunden werden vor dem Schreiben verworfen, die Datenbank hält also nie eine genaue Uhrzeit.
• Eine zufällige Kennung, die nichts kodiert – auch keinen Zeitstempel.
• Ob die Stimme per E-Mail bestätigt wurde – nur als Ja/Nein. Die Adresse selbst steht nie bei der Stimme.
• Links, die pro Gruppe oder Plakat geteilt werden, tragen eine kurze Kennung. Die Seite zählt Besuche, Stimmen und per E-Mail bestätigte Stimmen pro Kennung und Tag; die Kennung steht nie bei einer Stimme und lässt sich nie mit einer Partei verbinden.
• Welche Seiten und Abstimmungsschritte genutzt werden, wird pro Schritt, Kennung und Tag gezählt – nur als Zahlen: keine ID, kein Cookie, keine IP-Adresse, kein Pfad über einen festen Seitennamen hinaus. Browser mit „Do Not Track“ oder Global Privacy Control werden nicht gezählt.

Was eine Stimme nicht speichert

• Keine IP-Adresse, auch nicht gehasht. Eine gehashte IPv4-Adresse lässt sich in Sekunden per Brute Force zurückrechnen; Hashing wäre ein Versprechen, das sich nicht halten ließe.
• Keine Gerätekennung, keinen Cookie-Wert, keinen Browser-Fingerabdruck, keine Sitzung – nichts, was zwei Stimmen einer Person zuordnen könnte.
• Keine E-Mail-Adresse. Wer eine E-Mail bestätigt, hinterlässt nur einen verschlüsselten Hash zur Dublettenprüfung, der nach 30 Tagen gelöscht wird.
• Keinen Standort feiner als der Bezirk und keine Information, welches Plakat gescannt wurde.
• Kein Freitextfeld irgendeiner Art.

Der Partei-Check

Wer sich sein Ergebnis anzeigen lässt, speichert damit einmalig die zwölf Antworten und die am besten passende Partei, mit der Stunde. Sonst nichts: keine Kennung, kein Cookie, keine Verbindung zu irgendeiner Stimme. Daraus werden nur Summen veröffentlicht, nach denselben Schwellen wie bei der Umfrage.

Wie Mehrfachabstimmung verhindert wird, ohne dich zu verfolgen

Beim Absenden läuft eine Bot-Prüfung, jede Internetverbindung kann pro Tag nur eine begrenzte Zahl von Stimmen abgeben (viele Menschen teilen sich eine Verbindung), und ein zufälliges Cookie, das die Abstimmung selbst setzt, erlaubt eine Stimme pro Browser und Tag. Der Verbindungszähler liegt in einem separaten Kurzzeitspeicher unter einem Hash, der sich nicht zurückrechnen lässt, verfällt nach 24 Stunden und wird nie in die Datenbank mit den Stimmen geschrieben. Der Browser-Zähler ist der Hash einer Zufallszahl, die nichts über eine Person oder Verbindung sagt; er wird 24 Stunden aufbewahrt und dann gelöscht. Die Verbindungsgrenze ist bewusst nicht eine Stimme pro Verbindung: WGs, Wohnheime und öffentliches WLAN sind für die Menschen, um die es hier geht, der Normalfall.

Wie die E-Mail-Bestätigung funktioniert

Die Bestätigung ist freiwillig; unbestätigte Stimmen zählen genauso. Nach dem Abstimmen kannst du eine E-Mail-Adresse bestätigen. Ein Link wird verschickt, und die Adresse kommt auf die unten beschriebene Benachrichtigungsliste für die Ergebnisse, sonst nirgendwohin – nie an die Stimme. Das Geheimnis im Link wird nur in deinem Browser verarbeitet und nur als Hash gespeichert, der höchstens 48 Stunden auf deine Stimme zeigt. 24 Stunden nach der Abstimmung behält der Browser außerdem ein zufälliges Zugangsgeheimnis in einem Cookie, damit die Adresse später vom selben Browser aus nachgetragen werden kann; es wird gelöscht, sobald es genutzt wurde. Ein Klick setzt an dieser Stimme ein Ja/Nein-Merkmal „bestätigt“, erhöht einen Zähler und vernichtet das Ticket im selben Schritt (solange noch keine Bestätigungslinks verschickt werden, setzt eine gültige, nicht wegwerfbare, noch nicht genutzte Adresse das Merkmal direkt, und das Ticket wird sofort vernichtet); danach verbindet nichts in der Datenbank eine Adresse mit einer Stimme. Die ehrliche Grenze: Wer innerhalb dieser 48 Stunden sowohl dein Postfach als auch eine vollständige Kopie der Datenbank hätte, könnte erkennen, welche Stimme deine ist; danach nur, dass du teilgenommen hast. Die Bestätigung belegt, dass ein Postfach existiert – nicht, dass eine Person einzigartig ist.

Die Benachrichtigungsliste für die Ergebnisse

Wer auf der Ergebnisseite eine E-Mail-Adresse hinterlässt, wird in einer eigenen Tabelle gespeichert – im Klartext, weil die Mail sonst nicht verschickt werden kann –, die nichts enthält außer Adresse, Sprache und Tag. Sie hat keine Verbindung zu irgendeiner Stimme und ist aus dem Browser nicht erreichbar. Sie dient einer einzigen Mail mit den Ergebnissen und dem Vergleich zur echten Wahl und wird danach gelöscht. Wer früher gelöscht werden möchte, schreibt an hello@everyberliner.com.

Wie Ergebnisse veröffentlicht werden

Nur ein fester Satz zusammengefasster Tabellen, nie deren Kombination. Eine Tabelle erscheint ab 200 Antworten. Die stadtweite Parteiaufteilung nennt jede Partei als Anteil und veröffentlicht überhaupt keine Zahlen; weil sich ein Anteil von jeder Person, die die Gesamtzahl schätzt, in eine Zahl zurückrechnen lässt, sind kleine Parteien dort seit dem 24. September 2026 weniger geschützt als zuvor – eine bewusste Entscheidung. In jeder Tabelle, die Partei mit Bezirk oder Herkunftsregion kreuzt, werden Zellen unter 25 weiterhin zu „Sonstige“ zusammengefasst, bei Bedarf auch eine zweite, denn genau diese Kombinationen könnten eine Person herausgreifen. Diese Zahlen sind gerundet. Die Ergebnisse sind ein täglicher Schnappschuss, kein Live-Zähler. Es gibt keinen Weg, über die öffentliche Seite die zugrunde liegenden Zeilen abzufragen – auch für die Betreiber der Seite nicht über die öffentliche Schnittstelle.

Was nie gebaut wird

• Keinen Beleg und kein „meine Stimme nachschlagen“. Ein Beleg ist ein Druckmittel und ein teilbarer De-Anonymisierer; echte Wahlen verbieten ihn aus demselben Grund.
• Keinen Export einzelner Antworten, nie – so „offen“ es auch aussähe.
• Keine Zuordnung der Parteiwahl zu einem Plakatstandort oder einer Code-Charge.
• Keinen Live-Ticker und keine Tabelle mit Stundenauflösung.
• Keine Analyse-Tools von Dritten auf den Abstimmungsseiten und keine Kartenkacheln von Dritten: Die Straßenkarte auf der Kiez-Seite wird von dieser Seite selbst ausgeliefert, kein Kartenanbieter erfährt, welches Viertel du dir ansiehst.

Nachschlagen im Bereich „Entdecken“

Wahlkreis oder Kandidierende nachzuschlagen passiert vollständig in deinem Browser, nach einem einmaligen Download der Kandidatenliste. Deine Auswahl dort wird nirgendwohin gesendet und hat keine Verbindung zu deiner Stimme.

Wo die Daten liegen

Auf Servern in Frankfurt (EU). E-Mails gehen über einen Anbieter mit EU-Verarbeitung, bei dem Klick- und Öffnungsverfolgung abgeschaltet sind, weil beide protokollieren würden, wer wann geklickt hat. Da eine Stimme keine Kennung enthält, ist der Datensatz als anonym und nicht als pseudonym angelegt: Es gibt nichts herauszugeben, was auf eine Person zeigt.