Datenschutz

Jede Zeile unten steht so in der Datenbank. Es gibt keine weitere Sammlung im Hintergrund.

Konto

E-Mail-Adresse, Name und das Passwort. Das Passwort wird nie im Klartext gespeichert, sondern nur als scrypt-Hash (Better Auth). Zweck: Anmelden und Wiedererkennen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — ohne Konto lässt sich der Dienst nicht erfüllen.

Sitzung

Beim Anmelden entsteht ein Sitzungseintrag mit Kennung, Ablaufzeitpunkt, IP-Adresse und Browserkennung (User-Agent). Im Browser liegt dazu ein Cookie: nur für den Server lesbar (httpOnly), nicht an fremde Seiten mitgesendet (sameSite=lax), in Produktion nur über https. Es läuft nach 30 Tagen ab und verlängert sich, solange die Anwendung genutzt wird.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für IP-Adresse und Browserkennung zusätzlich Art. 6 Abs. 1 lit. f DSGVO — fremde Anmeldungen sollen auffallen.

Profil

Anzeigename, Akzentfarbe und die Beschreibung der Figur (Grundform, Farben). Die Figur ist gezeichnete Geometrie, kein Foto; sie wird aus der E-Mail-Adresse errechnet, nicht ausgewählt. Diese Angaben sehen die Mitglieder derselben Reise.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Geburtsjahr

Erhoben wird nur das Jahr, nicht der volle Geburtstag: für „ungefähr wie alt" reicht es, und was nicht erhoben wird, muss nicht geschützt werden. Die Angabe ist freiwillig — das Feld darf leer bleiben, ohne dass etwas fehlt. Die Mitglieder derselben Reise sehen daraus das ungefähre Alter.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO — Einwilligung durch die freiwillige Angabe. Sie können sie jederzeit widerrufen, indem Sie das Feld wieder leeren.

Interessen

Eine Mehrfachauswahl aus einer festen Liste von zehn Stichwörtern (etwa „Essen und Trinken" oder „Natur und Wandern"), kein freies Textfeld. Zweck: dass eine Gruppe schneller findet, was allen passt. Nichts auszuwählen ist erlaubt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO — Einwilligung durch die freiwillige Angabe, jederzeit durch Abwählen widerrufbar.

Profilfoto

Freiwillig. Ohne Foto bleibt die gezeichnete Figur. Wird eines hochgeladen, rechnet es der Browser vor dem Senden auf 512 × 512 Bildpunkte herunter; gespeichert wird dieses verkleinerte Bild in der Datenbank, nicht in einem öffentlichen Ordner. Ausgeliefert wird es nur an angemeldete Personen — ohne gültige Sitzung gibt der Server das Bild nicht heraus. Weil es in der Datenbank liegt, ist es in den Sicherungen enthalten und verschwindet mit dem Konto von selbst.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO — Einwilligung durch das Hochladen. Widerruf durch Entfernen des Fotos; es wird dann gelöscht.

Reisen

Titel, Ziel, Titelbild, Zeitraum, wer Mitglied ist und in welcher Rolle, die Entscheidungspunkte samt Vorschlägen und den dazu eingefügten Adressen, die Stimmen und ein Verlauf, wer wann was getan hat. Diese Angaben sehen alle Mitglieder derselben Reise — das ist der Zweck der Anwendung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Einladungen

Zu einem Einladungslink stehen Ablaufzeitpunkt, zulässige und bereits erfolgte Nutzungen und der Ersteller in der Datenbank. Vom Link selbst wird nur ein SHA-256-Abdruck gespeichert, nie der Link.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Mengenbegrenzung

Damit Anmeldeversuche nicht massenhaft durchprobiert werden können, zählt die Anwendung Zugriffe. Der Zähler steht unter einem Schlüssel aus IP-Adresse und angefragtem Endpunkt und verschwindet, sobald das Zeitfenster abgelaufen ist.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse daran, dass niemand Passwörter durchprobiert.

Fehlerprotokoll

Geht etwas schief, schreibt der Server den Fehler in sein Protokoll. Diese Protokolle liegen auf demselben Server und sind nur dem Anbieter zugänglich.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — ein Fehler, den niemand sieht, wird nie behoben.

Weil es nichts zu fragen gäbe. TripPlaner setzt genau ein Cookie, und das ist die Sitzung — ohne sie ließe sich niemand anmelden. Für technisch erforderliche Cookies verlangt § 25 Abs. 2 Nr. 2 TDDDG keine Einwilligung. Es gibt keine Analyse-Werkzeuge, keine Zählpixel, keine Werbenetzwerke und keine Wiedererkennung über Reisen hinweg.

Niemand, an den wir sie weitergeben. Es gibt keinen Verkauf, keine Werbepartner und keine Auswertung durch Dritte. Drei Stellen bekommen technisch bedingt trotzdem etwas mit:

Hosting

Anwendung und Datenbank laufen auf einem eigenen, selbst verwalteten Server (Coolify). Die Datenbank ist nicht aus dem Internet erreichbar. Der Server steht bei [Hostinganbieter und Standort ergänzen].

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO; mit dem Rechenzentrum besteht ein Auftragsverarbeitungsvertrag.

Schriften

Die Schriften Satoshi und Clash Display lädt der Browser von Fontshare (api.fontshare.com und cdn.fontshare.com). Dabei erfährt dieser Anbieter die IP-Adresse und die Browserkennung. Es werden dabei keine Cookies gesetzt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — einheitliche Darstellung. Eine Auslieferung vom eigenen Server ist vorgesehen.

Bilder

Titelbilder und Bilder an Vorschlägen liegen auf fremden Servern. Dein Browser holt sie dort nicht ab: der Server holt jedes Bild und liefert es selbst aus. Der Bildanbieter sieht deshalb den Server und nicht dich — weder deine IP-Adresse noch deine Browserkennung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Fügt jemand einen Link zu einer Unterkunft ein, holt der Server die Vorschau, nicht der Browser. Die aufgerufene Seite sieht deshalb den Server, nicht die Person, die den Link eingefügt hat. Genauso bei den Bildern.

Damit bleibt Fontshare der einzige fremde Anbieter, der beim Aufruf dieser Seite etwas über dich erfährt.

Konto, Profil und Reisedaten bleiben, bis das Konto gelöscht wird oder die Reise gelöscht wird. Eine Sitzung endet spätestens nach 30 Tagen, beim Abmelden sofort — der Eintrag wird dann serverseitig entfernt. Die Zähler der Mengenbegrenzung verschwinden nach Ablauf ihres Zeitfensters, also nach Minuten bis Stunden. Einladungslinks verfallen zum eingetragenen Zeitpunkt.

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Gegen Verarbeitungen, die auf einem berechtigten Interesse beruhen, können Sie Widerspruch einlegen (Art. 21).

Außerdem können Sie sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77) — wahlweise bei der Behörde Ihres Wohnorts, Ihres Arbeitsplatzes oder des mutmaßlichen Verstoßes.

Beides geht selbst, ohne Nachfrage und ohne Wartezeit: unter Daten und Konto steht der Download der eigenen Daten als JSON-Datei (Art. 15) und die Löschung des Kontos (Art. 17).

Die Auskunft enthält Konto, Profil, Reisen, eigene Vorschläge, eigene Stimmen und eigene Einladungen. Was andere beigetragen haben, steht nicht darin — eine Auskunft über eine Person ist keine Kopie der Reise, sonst wäre sie ein Weg an die Daten der Mitreisenden. Der Passwort-Abdruck und die Sitzungen sind ebenfalls nicht enthalten.

Beim Löschen verschwinden Profil, Profilfoto, Stimmen und Mitgliedschaften. Eigene Vorschläge und Entscheidungspunkte in den Reisen anderer bleiben stehen, verlieren aber die Urheberschaft: was eine Gruppe längst abgestimmt hat, soll nicht verschwinden, weil eine Person geht. Reisen, die die Person selbst angelegt hat und in denen noch jemand mitplant, werden an eine dort verbliebene Person übergeben; ist niemand mehr da, werden sie gelöscht. Was beim Löschen mit welcher Reise passiert, steht auf der Seite, bevor der Knopf gedrückt wird.

Für alles Übrige — Berichtigung, Einschränkung, Widerspruch, Beschwerde — genügt eine formlose Nachricht an constantin@ob7.com. Die Antwort kommt innerhalb der Frist des Art. 12 Abs. 3 DSGVO, also spätestens nach einem Monat.

Es findet keine automatisierte Entscheidungsfindung und kein Profiling nach Art. 22 DSGVO statt. Daten werden nicht für Werbung genutzt und nicht an Dritte verkauft. Ohne E-Mail-Adresse und Passwort lässt sich kein Konto anlegen — insoweit ist die Angabe erforderlich, sonst ist keine Angabe verpflichtend.