Datenschutz

Der kurze Überblick

Du brauchst kein Konto. Wir speichern keine Namen, keine E-Mail-Adressen und keine Telefonnummern.

Wer die Karte nur liest, hinterlässt bei uns nichts. Eine Kennung bekommt dein Gerät erst, wenn du zum ersten Mal etwas schreibst — meldest, bestätigst, beanstandest, ein Warngebiet anlegst oder Benachrichtigungen einschaltest.

Wir setzen keine Analyse- und keine Werbedienste ein: kein Google Analytics, kein Firebase, keine Werbenetzwerke, keine Tracking-Cookies. Deshalb gibt es auch kein Cookie-Banner. Auch die Schriften liegen auf unserem Server — dein Browser lädt beim Aufruf keine Datei von Google.

Fotos werden beim Hochladen neu berechnet. GPS-Koordinaten, Gerätemodell und Aufnahmezeit aus den EXIF-Daten fallen dabei weg und werden nie gespeichert.

Datenbank und Fotospeicher liegen in der Europäischen Union. Es gibt drei Stellen, an denen Daten den Dienst trotzdem verlassen: Push-Benachrichtigungen, Kartenkacheln und die Ortssuche. Jede steht unten mit dem, was genau dorthin geht.

Wir geben keine Daten zu Werbezwecken weiter und verkaufen keine.

Wofür diese Erklärung gilt

Sie gilt für die Website und für die iOS-App. Beide sprechen mit derselben Schnittstelle und verarbeiten dieselben Daten. Wo die App sich anders verhält als der Browser, steht es im jeweiligen Abschnitt.

Verantwortlicher

Verantwortlich im Sinne des Art. 4 Nr. 7 DSGVO ist die Stelle, die über Zwecke und Mittel der Verarbeitung entscheidet.

Datenschutzbeauftragte Person

Nur zu benennen, wenn die Voraussetzungen des Art. 37 DSGVO oder des § 38 BDSG vorliegen.

Meldungen

Wenn du einen Fund meldest, verarbeiten wir: die Kategorie, die Koordinaten des Fundorts, den Zeitpunkt, auf Wunsch eine Beschreibung, eine Ortsbezeichnung und bis zu drei Fotos. Dazu speichern wir, ob die Meldung aus der App oder aus dem Browser kam, und die Kennung deines Geräts (siehe „Gerätetoken statt Konto“).

Der Fundort ist der Zweck der Meldung — er erscheint öffentlich auf der Karte, für alle, ohne Anmeldung. Melde deshalb den Fundort, nicht deine Wohnadresse.

Veröffentlicht wird der Fundort auf ein Raster von 25 Metern gerundet. Gespeichert bleibt die genaue Koordinate: Der Abgleich mit den Warngebieten und die Moderation brauchen sie. Die Karte, die Detailseite und die Schnittstelle geben ausschliesslich den gerundeten Wert aus; nur angemeldete Moderator:innen sehen den genauen.

Beschreibung und Ortsbezeichnung sind Freitext und erscheinen unverändert öffentlich. Schreib dort nichts hinein, was auf dich oder andere Personen zurückführt.

Eine Meldung erscheint ohne Namen. Aus ihr lässt sich nicht ableiten, wer sie abgegeben hat.

Fotos und Metadaten

Jedes Foto wird auf dem Server neu gerechnet und in drei Größen abgelegt. Dabei fallen sämtliche Metadaten weg, auch die GPS-Position der Kamera. Einen Weg, der die Originaldatei durchreicht, gibt es nicht.

Die GPS-Position aus dem EXIF wird einmalig als Vorschlag für den Fundort an dein Gerät zurückgegeben und nicht gespeichert.

Der Fotospeicher ist nicht öffentlich. Bilder kommen ausschliesslich über unseren Server heraus — so wirkt eine Moderationsentscheidung sofort, statt an einer alten Adresse vorbeizulaufen.

Achte darauf, dass auf dem Foto keine Personen, Kennzeichen oder Hausnummern erkennbar sind.

Bestätigungen und Beanstandungen

Meldest du „noch da“ oder „ist weg“, speichern wir dazu die Meldung, dein Gerät, die Art der Rückmeldung und den Zeitpunkt. Der Gerätebezug ist der Zweck: Er sorgt dafür, dass jedes Gerät pro Meldung genau einmal zählt.

Beanstandest du eine Meldung, kommen der gewählte Grund und deine optionale Anmerkung dazu. Öffentlich wird davon nichts: In der Moderationsansicht steht der Grund, die Anmerkung liegt für die Prüfung eines Einzelfalls bereit.

Öffentlich sichtbar sind allein die Zähler an einer Meldung, nicht die einzelnen Rückmeldungen und nicht, welches Gerät sie abgegeben hat.

Gerätetoken statt Konto

Damit du deine eigenen Meldungen wiederfindest und Warngebiete verwalten kannst, erhält dein Gerät beim ersten Schreibvorgang — nicht schon beim Lesen — eine zufällige Kennung und einen Token. Im Browser liegt er im lokalen Speicher, in der App im Schlüsselbund von iOS. Bei jeder Anfrage schickt dein Gerät ihn mit.

Bei uns liegt der Token nur als Prüfsumme (SHA-256). Im Klartext verlässt er den Server ein einziges Mal, nämlich bei der Registrierung. Geht er verloren, lässt er sich nicht wiederherstellen — dein Gerät meldet sich dann als neues an und beginnt ohne Verlauf.

Zum Gerät speichern wir ausserdem, ob es die App oder ein Browser ist, wann es angelegt wurde, wann es zuletzt mit uns gesprochen hat, und eine Kurzangabe zum Browser oder Gerätemodell. Das trägt die Missbrauchssperre und die Frage, welche App-Version noch bedient wird.

Der Token enthält keine personenbezogenen Daten. Er ist eine Zufallszahl, kein Profil. Wer nur die Karte liest, hinterlässt gar nichts.

IP-Adresse und Missbrauchsschutz

Zur Durchsetzung der Schreibgrenzen speichern wir keine IP-Adresse im Klartext, sondern einen Hashwert. In den Hash fließen neben der Adresse das aktuelle Datum und ein geheimer Schlüssel ein. Der Wert wechselt damit jeden Tag und lässt sich nicht auf eine IP-Adresse zurückrechnen.

Technisch bedingt kennt Cloudflare als Betreiber unserer Server deine IP-Adresse, solange die Verbindung besteht — ohne sie kommt keine Antwort bei dir an. Cloudflare verarbeitet sie für Auslieferung und Angriffsabwehr in unserem Auftrag.

Rechtsgrundlage ist unser berechtigtes Interesse an einem funktionsfähigen, missbrauchsfreien Dienst (Art. 6 Abs. 1 lit. f DSGVO).

Warngebiete

Ein Warngebiet besteht aus einem Namen, einem Mittelpunkt und einem Radius. Alle drei Angaben liegen auf dem Server, und zwar dauerhaft: Der Abgleich läuft dort, weil dich eine Warnung sonst nur erreichte, während die App gerade offen ist. Genau das wäre nachts und unterwegs die falsche Zeit.

Ein Gebiet ist an dein Gerätetoken gebunden. Jede Abfrage filtert serverseitig auf dieses Token — ein fremdes Gebiet ist nicht abrufbar, kein anderer Nutzer sieht deine Gebiete, und sie werden in keinem geteilten Cache abgelegt.

Du löschst ein Gebiet jederzeit einzeln, und mit „Alle meine Daten löschen“ alle auf einmal.

Dein Standort

Deinen Standort nutzt die Anwendung für vier Dinge: die Karte auf dich zentrieren, beim Melden den Fundort vorschlagen, die Entfernung zu einem Fund anzeigen und beim Anlegen eines Warngebiets den Mittelpunkt setzen.

Den Systemdialog löst immer eine Handlung von dir aus. Hast du die Freigabe erteilt, holt sich die Anwendung die Position danach auch von selbst: in der App laufend und bewusst ungenau, solange die Karte offen ist, im Browser auf der Detailseite einer Meldung — beides für die Entfernungsangabe. Die Freigabe kannst du jederzeit in den Systemeinstellungen zurücknehmen.

Die Position selbst übertragen wir dabei nicht. Was wir stattdessen erfahren: Die Karte lädt die Meldungen des gerade sichtbaren Ausschnitts, und dieser Ausschnitt geht als Abfrage an uns. Zentrierst du die Karte auf dich, kennen wir damit die Gegend, in der du dich aufhältst — nicht aber deinen genauen Standort.

Dasselbe gilt für die Ortssuche: Sie erreicht den Suchdienst mit dem Punkt, auf den die Karte gerade zeigt. Was genau wohin geht, steht unter „Kartenkacheln, Ortssuche und Schriften“.

Anders liegt es, wenn du eine Meldung abschickst oder ein Warngebiet anlegst: Dann ist die Koordinate der Inhalt und wird gespeichert.

Benachrichtigungen

Push-Benachrichtigungen sind freiwillig und gehen erst nach deiner ausdrücklichen Erlaubnis raus (Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit im Browser oder in den Systemeinstellungen widerrufen.

Für die Zustellung speichern wir das technische Ziel: in der App die Gerätekennung von Apple, im Browser die Adresse deines Push-Dienstes samt der beiden Schlüssel, mit denen die Nachricht verschlüsselt wird. Wir melden uns nur, wenn in einem deiner Warngebiete ein Fund gemeldet wird — keine Werbung, keine Zusammenfassungen.

Die Zustellung selbst läuft über den Dienst deines Betriebssystems oder Browsers, und dorthin gehen unterschiedlich viele Angaben: An Apple geht bei der App der Text der Mitteilung im Klartext — also Kategorie, Entfernung und der Name des Gebiets, den du selbst vergeben hast. Im Browser bekommt der Push-Dienst deines Browsers (je nach Browser etwa Mozilla, Google oder Apple) nur die verschlüsselte Nachricht und ihre Zieladresse; den Inhalt kann er nicht lesen. Lesbar ist er erst wieder auf deinem Gerät.

Wähle einen Gebietsnamen, den du auch auf einem Sperrbildschirm sehen möchtest — „Feierabendrunde“ sagt weniger über dich als deine Anschrift.

Über jeden Versuch führen wir eine Protokollzeile: welche Meldung, welches Gerät, welches Gebiet, welcher Weg, Erfolg oder Fehler, Zeitpunkt. Sie verhindert doppelte Warnungen bei überlappenden Gebieten und zeigt uns, ob Zustellungen scheitern.

Bot-Schutz beim Melden im Browser

Meldungen aus dem Browser prüfen wir mit Cloudflare Turnstile. Turnstile ersetzt ein Captcha und wertet dafür technische Signale deines Browsers aus. Ein Wiedererkennungsprofil über Websites hinweg entsteht dabei nicht.

Zur Prüfung schicken wir das Ergebnis aus deinem Browser zusammen mit deiner IP-Adresse an Cloudflare zurück. Aus der App heraus läuft keine Turnstile-Prüfung.

Kartenkacheln, Ortssuche und Schriften

Die Karte im Browser lädt Vektorkacheln von OpenFreeMap. Bei der Ortssuche fragt dein Browser Photon von Komoot ab. Beide Dienste erhalten dabei technisch notwendig deine IP-Adresse sowie den angefragten Kartenausschnitt beziehungsweise den Suchbegriff. Weitere Daten übermitteln wir ihnen nicht, insbesondere keine Gerätekennung.

An Photon geht neben dem Suchbegriff der Punkt, auf den die Karte gerade zeigt — er sortiert nahe Treffer nach oben. Hast du die Karte vorher auf dich zentriert, ist das die Gegend, in der du dich aufhältst.

Die iOS-App zeichnet ihre Karte mit Apple MapKit und sucht Orte über die Suche des Betriebssystems. An Apple gehen dabei der Kartenausschnitt und, sobald du suchst, der Suchbegriff samt der Gegend, in der gesucht wird; es gelten die Bedingungen des Betriebssystems. Photon fragt die App nicht — ein zweiter Anbieter erführe sonst zusätzlich, wo jemand ein Warngebiet anlegt.

Ausser diesen Diensten und dem Bot-Schutz erreicht dein Browser auf unseren Seiten keinen dritten Anbieter. Schriften, Symbole und Skripte liefern wir selbst aus; die Sicherheitsrichtlinie der Seite lässt andere Ziele gar nicht erst zu.

Moderation und Verwaltungszugang

Beanstandete und auffällige Meldungen prüfen Moderator:innen. Sie sehen dabei den genauen Fundort einer Meldung, die Fotos, die Beanstandungen und die Gerätekennung — Klarnamen gibt es auch hier nicht, weil es sie im System nicht gibt.

Jeder Eingriff wird protokolliert: wer, wann, welche Aktion, welche Meldung und der vorherige Wert bei einer Änderung. Das Protokoll macht Moderation überprüfbar.

Die Anmeldung im Verwaltungsbereich setzt ein Cookie mit einer zufälligen Sitzungskennung, die bei uns nur als Prüfsumme liegt. Zur Sitzung speichern wir den tagesrotierenden Hash der IP-Adresse und die Browserkennung, um fremde Anmeldungen zu erkennen. Eine Sitzung endet spätestens nach acht Stunden; abgelaufene Sitzungen löscht ein stündlicher Aufräumlauf.

Auftragsverarbeiter

Der Dienst läuft vollständig auf der Infrastruktur von Cloudflare (Workers, D1, R2, Queues, Durable Objects). Cloudflare verarbeitet die Daten weisungsgebunden für uns, auf Grundlage eines Vertrags zur Auftragsverarbeitung nach Art. 28 DSGVO.

Datenbank und Fotospeicher sind bei der Einrichtung auf die europäische Region festgelegt: die Datenbank auf Westeuropa, der Fotospeicher auf die EU-Jurisdiktion. Beides ist nachträglich nicht umschaltbar, ohne die Speicher neu anzulegen.

Übermittlung in Drittländer

Deine Meldungen, Fotos, Gebiete und Gerätedaten speichern wir in der Europäischen Union. Soweit im Einzelfall ein Zugriff aus einem Drittland erfolgt, stützt Cloudflare ihn auf die Standardvertragsklauseln der Europäischen Kommission.

Zwei Wege führen dennoch aus der EU heraus, und wir benennen sie lieber, als sie zu übergehen: Push-Benachrichtigungen laufen über Apple beziehungsweise über den Push-Dienst deines Browsers, deren Server in den USA stehen können. Und Kartenkacheln, Ortssuche und die Karte der iOS-App ruft dein Gerät direkt bei den jeweiligen Anbietern ab — dorthin geht deine IP-Adresse, ohne dass wir dazwischenstehen.

Beides passiert nur, wenn du es auslöst: Push erst nach deiner Erlaubnis, die Kartendienste beim Öffnen der Karte.

Speicherdauer

Eine Meldung läuft 21 Tage nach der letzten Bestätigung ab und verschwindet dann von der öffentlichen Karte.

Ein als entfernt gemeldeter Fund bleibt 48 Stunden ausgegraut sichtbar, damit die Entwarnung ankommt.

Die Meldung selbst löschen wir danach nicht, sondern setzen sie auf „abgelaufen“. Sie zählt weiter in die Statistik der Karte und bleibt der Moderation zugänglich. Öffentlich abrufbar ist sie nicht mehr.

Sobald eine Meldung nicht mehr auf der Karte steht — abgelaufen, entwarnt oder ausgeblendet — löschen wir ihre Fotos 90 Tage später aus dem Speicher. Der Text der Meldung bleibt anonym erhalten, weil er andere weiter schützt.

Zustellprotokolle für Benachrichtigungen werden nach 90 Tagen gelöscht.

Bestätigungen, Beanstandungen und Warngebiete bleiben, solange dein Gerät bei uns bekannt ist — sie verschwinden mit ihm.

Sitzungen im Verwaltungsbereich enden nach acht Stunden und werden danach gelöscht.

Das Gerätetoken bleibt, bis du es löschst oder die Daten deines Browsers entfernst.

Rechtsgrundlagen

Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse: Betrieb der Warnkarte, Missbrauchsschutz und Moderation.

Art. 6 Abs. 1 lit. a DSGVO — Einwilligung: Benachrichtigungen, Standortfreigabe und Fotos.

Es besteht keine gesetzliche oder vertragliche Pflicht, uns Daten bereitzustellen. Die Karte lässt sich vollständig lesen, ohne etwas zu hinterlassen.

Was auf deinem Gerät liegt

Im lokalen Speicher deines Browsers liegt allein der Gerätetoken. Ein Entwurf, den du im Melde-Ablauf noch nicht abgeschickt hast, liegt im Sitzungsspeicher und ist mit dem Schliessen des Tabs weg. Beides verlässt dein Gerät erst, wenn du absendest.

Die Kartenansicht steht in der Adresszeile, nicht im Speicher — so bleibt ein geteilter Link derselbe Ausschnitt.

Damit die Notfallseite auch ohne Netz da ist, legt ein Service Worker die aufgerufenen Seiten und die zuletzt gesehenen Meldungen in einem Zwischenspeicher deines Browsers ab. Der bleibt auf deinem Gerät und wird geleert, wenn du die Websitedaten löschst.

In der iOS-App liegen der Token im Schlüsselbund, unfertige Entwürfe samt ihrer Fotos in den App-Daten und eine Liste der Meldungen, die du selbst abgegeben hast. Geführt wird diese Liste nur auf dem Gerät; eine Abfrage „zeig mir alle Meldungen dieses Geräts“ gibt es nicht. Erschliessen liesse sie sich bei uns trotzdem, denn an jeder Meldung steht die Kennung ihres Geräts — bis du sie löschst.

Cookies setzen wir nur für die Anmeldung im Verwaltungsbereich. Cloudflare kann zur Abwehr von Angriffen zusätzlich ein technisch notwendiges Cookie setzen.

Deine Rechte

Dir stehen die Rechte auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO) zu.

Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen.

Weil wir dich nicht kennen, führt der schnellste Weg über das Gerät selbst: im Browser auf der Seite „Warngebiete“ der Knopf „Alle meine Daten löschen“, in der App im Tab „Mehr“ unter „Daten“ der Knopf „Alle Daten auf diesem Gerät löschen“. Er entfernt die Gerätezeile samt Warngebieten, Bestätigungen, Beanstandungen, Push-Registrierung und Zustellprotokoll — in der App zusätzlich die Entwürfe und die Liste deiner Meldungen. Er wirkt sofort und ohne Rückfrage bei uns.

Bereits abgegebene Fundmeldungen bleiben mit Ort, Text und Fotos auf der Karte — eine Warnung vor einem Giftköder soll nicht verschwinden, nur weil ihr Melder das Gerät aufgibt. Was verschwindet, ist die Verbindung zu dir: Der Gerätebezug der Meldung wird gelöscht, danach kann sie niemand mehr dir zuordnen, auch wir nicht.

Genau deshalb ist eine Auskunft zu älteren Meldungen nach dem Löschen nicht mehr möglich — uns fehlt dann jedes Merkmal, mit dem wir sie dir zuordnen könnten. Wer die eigenen Meldungen später noch sehen möchte, löscht das Gerät also erst danach.

Außerdem steht dir ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu.

Automatisierte Entscheidungen

Eine automatisierte Entscheidungsfindung oder ein Profiling im Sinne des Art. 22 DSGVO findet nicht statt.

Beanstanden drei unabhängige Geräte dieselbe Meldung, wird sie automatisch ausgeblendet und anschliessend von Menschen geprüft. Das betrifft den gemeldeten Inhalt, nicht eine Person.

Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich der Dienst ändert. Der jeweils aktuelle Stand steht am Anfang der Seite.