Datenschutzerklärung

Verantwortliche Stelle

Verantwortliche Stelle für Coffee Compass ist:
Marcel Albrink und Vanessa Grant
Im Werler Feld 4
32107 Bad Salzuflen
Telefon: 015227677484
E-Mail: hello@coco-coffeecompass.com

Diese Erklärung gilt für die Website, die Programmierschnittstelle und, soweit angeboten, die nativen Coffee Compass-Apps.

Abruf, Sicherheit und Nutzungsstatistik

Bei jedem Abruf verarbeiten Webserver und Anwendung IP-Adresse, Datum und Uhrzeit, HTTP-Methode, aufgerufenen Pfad einschließlich übermittelter Suchparameter, Referrer, Browser- beziehungsweise Gerätekennung, übertragene Datenmenge und Antwortstatus. Die Verarbeitung ist erforderlich, um den Dienst auszuliefern, Fehler zu untersuchen und Angriffe oder Missbrauch abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unsere berechtigten Interessen sind ein stabiler und sicherer Betrieb sowie die Aufklärung von Sicherheitsvorfällen.

Nginx-Zugriffs- und Fehlerprotokolle werden täglich rotiert und grundsätzlich für bis zu 14 Rotationen vorgehalten. Anwendungs- und Systemprotokolle werden durch die begrenzte Journalgröße beziehungsweise den betrieblichen Aufklärungsbedarf begrenzt. Bei einem konkreten Sicherheitsvorfall können erforderliche Auszüge bis zum Abschluss der Prüfung und zur Durchsetzung oder Abwehr von Ansprüchen gesichert werden.

Wir speichern je Kalendertag aggregierte Zähler für API-Aufrufe und versendete E-Mails. Für tägliche Reichweitenwerte wird bei angemeldeten Personen die Benutzer-ID und bei nicht angemeldeten Aufrufen ein SHA-256-Tageshash aus IP-Adresse und Datum gespeichert. Der Hash ist pseudonymisiert, nicht anonym. Diese Metrikdatensätze werden nach 90 Tagen automatisiert gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unsere Interessen sind Kapazitätsplanung, Fehlererkennung und Missbrauchsabwehr.

Konto, Anmeldung und Vertragsnachweis

Für ein Konto verarbeiten wir E-Mail-Adresse, optionalen Namen, gewählte Kontorolle, einen bcrypt-Passwort-Hash, Konto- und Verifizierungsstatus sowie Erstellungs- und Änderungszeitpunkte. Zufallstoken dienen der E-Mail-Bestätigung und Passwort-Zurücksetzung. Bestätigungslinks sind 48 Stunden, Zurücksetzungslinks zwei Stunden gültig. Wir speichern außerdem Zeitpunkt und Version der akzeptierten Nutzungsbedingungen und der zur Kenntnis genommenen Datenschutzerklärung.

Rechtsgrundlage für Konto und Anmeldung ist Art. 6 Abs. 1 lit. b DSGVO. Der Nachweis des Registrierungs- und Sicherheitsprozesses beruht zusätzlich auf Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist die Abwehr unberechtigter Nutzung und die Dokumentation des Vertragsstands. E-Mail-Adresse, Passwort, Rolle und die erforderlichen rechtlichen Bestätigungen sind für den Vertragsschluss notwendig. Ohne diese Angaben kann kein Konto angelegt werden. Die öffentliche Ansicht bleibt ohne Konto nutzbar.

Ein Anmelde-Token ist höchstens sieben Tage gültig und kann bei Passwort- oder E-Mail-Änderung vorzeitig ungültig werden. Kontodaten bleiben bis zur Kontolöschung gespeichert. Eine nie bestätigte Registrierung wird nach 7 Tagen automatisch gelöscht. Das Konto kann in den Kontoeinstellungen selbst gelöscht werden; zugehörige private Daten, veröffentlichte Einträge und zugehörige Uploads werden dabei aus dem aktiven System entfernt. Gesetzlich erforderliche Nachweise oder Daten zur Abwehr konkreter Ansprüche dürfen zweckgebunden länger gesperrt aufbewahrt werden.

Anmeldung mit Google

Sie können sich wahlweise mit Ihrem Google-Konto anmelden. Dabei übermittelt uns Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; Mutterunternehmen Google LLC, USA) Ihre Google-Kontokennung, Ihre von Google bestätigte E-Mail-Adresse und Ihren Namen. Google erfährt dabei, dass Sie sich bei Coffee Compass anmelden. Wir speichern die Kontokennung, um Ihr Konto beim nächsten Mal wiederzuerkennen; ein Passwort wird für ein so angelegtes Konto nicht gesetzt. Beim ersten Google-Login legen wir ein Konto erst an, nachdem Sie Nutzungsbedingungen und Datenschutzerklärung bestätigt haben.

Der Anmeldedialog von Google wird erst geladen, wenn Sie die Anmelde- oder Registrierungsseite öffnen; Google erhält dabei Ihre IP-Adresse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Eine Übermittlung in die USA stützt sich auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework, dem Google LLC angehört. Einzelheiten: policies.google.com/privacy.

Kontofunktionen und veröffentlichte Inhalte

Je nach Nutzung speichern wir Favoriten, gespeicherte Filter und Veranstaltungen, Benachrichtigungseinstellungen und -verlauf sowie private Standortnotizen und Tagebucheinträge. Diese Daten sind dem Konto zugeordnet und werden zur Bereitstellung der gewählten Funktionen verarbeitet (Art. 6 Abs. 1 lit. b DSGVO). Einzelne Favoriten, Filter, Benachrichtigungen, Notizen und Tagebucheinträge können in der jeweiligen Funktion gelöscht werden; im Übrigen endet die Speicherung mit dem Konto.

Betreiberkonten können Angaben zu Standorten und Angeboten, Adress- und Kontaktdaten, Koordinaten, Beschreibungen, Preise, Ausstattungs- und Verfügbarkeitsangaben, Warnungen, Termine, fachliche Angaben und Bilder veröffentlichen. Diese Inhalte und die zugehörige Kontorolle sind öffentlich sichtbar. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein nachvollziehbares, aktuelles Verzeichnis. Betreiber dürfen personenbezogene Daten Dritter nur einstellen, wenn sie dazu berechtigt sind.

Soweit geschäftliche Kontaktangaben nicht unmittelbar bei der betroffenen Person erhoben wurden, können sie von einem veröffentlichenden Betreiberkonto, aus einem Beitrag aus der Gemeinschaft oder aus öffentlich zugänglichen geschäftlichen Quellen stammen. Verarbeitet werden Name, geschäftliche Kontakt- und Standortangaben ausschließlich für die Darstellung und Kontaktaufnahme zum veröffentlichten Angebot. Bei der ersten Kontaktaufnahme informieren wir die betroffene Person über die konkrete Quelle. Betroffene Kontaktpersonen können sich über die oben genannten Angaben an uns wenden.

Standort, Suche und Gerätespeicher

Eine Geräteposition wird nur nach Freigabe im Browser oder Betriebssystem abgefragt. Suchtext, Koordinaten, Radius und Filter werden an unseren Server übertragen, um passende Ergebnisse zu berechnen (Art. 6 Abs. 1 lit. b DSGVO bei Kontonutzung, sonst Art. 6 Abs. 1 lit. f DSGVO mit dem Interesse, die angeforderte Suche bereitzustellen). Exakte Suchkoordinaten werden nicht automatisch dauerhaft im Browser oder im Benutzerprofil gespeichert. Während die Radaransicht geöffnet ist, bleiben sie im Arbeitsspeicher. Nur wenn eine angemeldete Person einen Filter ausdrücklich speichert, wird dessen Inhalt dem Konto zugeordnet.

Im LocalStorage speichern wir nach der jeweiligen Nutzeraktion das Anmelde-Token, die gewählte Theme- beziehungsweise Systemdarstellungspräferenz und die Information, dass ein Standortdialog oder ein Einführungshinweis bereits beantwortet oder geschlossen wurde. Dabei speichern wir weder den gewählten Suchort noch Gerätekoordinaten. Für zentrale Administratoren werden ein gesondertes, höchstens zwölf Stunden gültiges Token und die ausgewählte App gespeichert. Diese Speicherungen sind erforderlich, um die ausdrücklich gewünschte Anmeldung, Darstellung oder Dialogentscheidung bereitzustellen (§ 25 Abs. 2 Nr. 2 TDDDG). Beim Abmelden werden die jeweiligen Anmeldeinformationen entfernt; sämtliche Werte können zusätzlich über die Browser- oder App-Daten gelöscht werden.

Wir setzen selbst keine Cookies für Werbung oder Reichweitenmessung ein und verwenden kein clientseitiges Werbe- oder Analyse-Tracking.

Meldungen rechtswidriger Inhalte

Bei einer Meldung nach Art. 16 DSA verarbeiten wir die gemeldete URL oder Fundstelle, die Begründung und Richtigkeitsbestätigung sowie grundsätzlich Name und E-Mail-Adresse der meldenden Person. Bei Meldungen zu möglichen Straftaten nach Art. 3 bis 7 der Richtlinie 2011/93/EU sind Name und E-Mail-Adresse nicht erforderlich. Wir verwenden die Angaben zur Prüfung der Meldung, zur Kommunikation über unsere Entscheidung und zur Erfüllung unserer gesetzlichen Pflichten aus dem DSA (Art. 6 Abs. 1 lit. c DSGVO). Die Meldung wird per Brevo an die verantwortliche Stelle übermittelt und nach Abschluss der Bearbeitung gelöscht, sofern keine gesetzlichen Pflichten oder die Durchsetzung beziehungsweise Abwehr konkreter Ansprüche eine längere Aufbewahrung erfordern.

E-Mail und Push-Benachrichtigungen

Transaktions-E-Mails zur Kontobestätigung und Passwort-Zurücksetzung versenden wir über Brevo SAS, 106 boulevard Haussmann, 75008 Paris, Frankreich. Übermittelt werden E-Mail-Adresse, optionaler Name und Nachrichteninhalt einschließlich des einmaligen Links. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Nach Angaben von Brevo werden die hierfür eingesetzten Datenbanken in der Europäischen Union betrieben. Weitere Informationen bietet Brevo.

Angemeldete Nutzer können E-Mail zusätzlich als Kanal für die in den Benachrichtigungseinstellungen ausgewählten Hinweise aktivieren. Die Aktivierung ist freiwillig und gilt unabhängig von Push-Benachrichtigungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO. Die Einwilligung kann jederzeit in den Benachrichtigungseinstellungen mit Wirkung für die Zukunft widerrufen werden.

Karten, Geocoding, Wetter und externe Links

OpenFreeMap

Kartenstile, Schriften und Symbole liefern wir von unserem eigenen Server aus. Die Kartenkacheln lädt der Browser dagegen direkt von OpenFreeMap, betrieben von der Hyperknot Software Kft., Ungarn. OpenFreeMap erhält dabei die IP-Adresse, technische Browserangaben und die angeforderten Kartenausschnitte. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist die Bereitstellung der interaktiven Kartenansicht, die ohne Abruf der Kacheln nicht möglich ist. Der Anbieter sitzt in der Europäischen Union. Nach seiner Datenschutzerklärung werden IP-Adressen standardmäßig nicht protokolliert und nur bei einem Sicherheitsvorfall vorübergehend, längstens 30 Tage, gespeichert; als Content-Delivery-Netz kann Cloudflare zum Einsatz kommen. Weitere Angaben enthält die Datenschutzerklärung von OpenFreeMap.

Nominatim / OpenStreetMap Foundation

Wenn ein Suchtext geocodiert werden muss, übermittelt unser Server ihn an den öffentlichen Nominatim-Dienst der OpenStreetMap Foundation im Vereinigten Königreich. Der Dienst erhält die IP-Adresse unseres Servers, nicht unmittelbar die Geräte-IP. Ergebnisse werden je Anwendungsprozess bis zu 90 Tage im Arbeitsspeicher zwischengespeichert und bei einem Neustart verworfen. Bitte geben Sie keine privaten oder vertraulichen Angaben in die Suche ein. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist eine funktionale Ortssuche. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der Europäischen Kommission.

Externe Karten-, Kontakt- oder Social-Media-Links werden erst aufgerufen, wenn sie ausgewählt werden. Ab diesem Zeitpunkt verarbeitet der jeweilige Drittanbieter Daten in eigener Verantwortung.

Hosting, Empfänger und Drittlandübermittlungen

Website, API und die jeweils genutzten Serverdienste werden bei netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, betrieben. Empfänger personenbezogener Daten sind, soweit für die jeweilige Funktion erforderlich, netcup GmbH (Hosting), Brevo (Transaktions-E-Mails), OpenFreeMap / Hyperknot Software Kft. (Kartenkacheln) und OpenStreetMap Foundation (Geocoding). Außerdem erhalten nur berechtigte Betreiber und technische Unterstützer Zugriff, soweit dies für Betrieb, Support, Sicherheit oder gesetzliche Pflichten erforderlich ist.

Für Datenübermittlungen in das Vereinigte Königreich stützen wir uns auf die Angemessenheitsbeschlüsse der Europäischen Kommission.

Löschung und Sicherungskopien

Die konkreten Fristen stehen in den jeweiligen Abschnitten. Soweit dort keine feste Frist genannt ist, speichern wir Daten nur so lange, wie die Funktion, der Vertrag, eine gesetzliche Pflicht oder die Durchsetzung beziehungsweise Abwehr konkreter Ansprüche dies erfordert. Danach werden sie gelöscht oder, sofern eine Aufbewahrungspflicht besteht, für andere Zwecke gesperrt.

Verschlüsselte lokale Sicherungskopien werden täglich erstellt. Sie unterliegen einer rollierenden Aufbewahrung von 14 Tagen bei mindestens drei vorhandenen Kopien. Daten, die im aktiven System gelöscht wurden, können bis zum Ablauf dieses Sicherungszyklus in einer Sicherung enthalten bleiben und werden nur im erforderlichen Wiederherstellungsfall wieder eingespielt.

Ihre Rechte

Sie haben nach Maßgabe der DSGVO Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit. Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt. Eine ausschließlich automatisierte Entscheidung einschließlich Profiling mit rechtlicher oder ähnlich erheblicher Wirkung findet nicht statt. Schreiben Sie zur Ausübung Ihrer Rechte an hello@coco-coffeecompass.com.

Widerspruchsrecht

Gegen eine Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, Widerspruch einlegen. Schreiben Sie dazu an hello@coco-coffeecompass.com.

Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere bei der Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, https://www.ldi.nrw.de/kontakt/ihre-beschwerde.