Datenschutzerklärung

1. Verantwortlicher

2. Allgemeine Hinweise

Wir nehmen den Schutz personenbezogener Daten ernst. Personenbezogene Daten sind Informationen, mit denen eine natürliche Person direkt oder indirekt identifiziert werden kann. Wir verarbeiten solche Daten nur, soweit dies für den sicheren Betrieb dieser Website, die Bereitstellung gewünschter Funktionen, die Kommunikation oder die Durchführung von Verträgen erforderlich ist, eine gesetzliche Pflicht besteht oder eine Einwilligung vorliegt.

3. Hosting und Server-Logfiles

Die Website wird über ChatGPT Sites von OpenAI Ireland Limited, 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland, bereitgestellt. Beim Aufruf können insbesondere IP-Adresse, Zeitpunkt, angeforderte Datei, Browser-/Betriebssystemangaben, Referrer sowie Fehler- und Sicherheitsdaten verarbeitet werden.

Die Verarbeitung dient einer sicheren, stabilen und missbrauchsgeschützten Auslieferung der Website. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im funktionsfähigen und sicheren Betrieb. Logdaten werden nach den Vorgaben des Hosting-Anbieters gelöscht, sofern keine längere Aufbewahrung zur Aufklärung konkreter Sicherheitsvorfälle erforderlich ist. Weitere Informationen: Datenschutz bei OpenAI und Sites-Datenverarbeitungszusatz.

4. Nutzerkonto und Authentifizierung

Für das freiwillige STEINREICH-Konto verwenden wir Supabase. Bei Registrierung und Anmeldung werden E-Mail-Adresse, freiwillige Profilangaben, sichtbarer Nutzername, Authentifizierungs- und Sitzungsdaten verarbeitet. Die Anmeldung erfolgt nach einmaliger E-Mail-Bestätigung mit E-Mail-Adresse und Passwort. Das Passwort wird ausschließlich durch Supabase geschützt verarbeitet und ist für uns nicht einsehbar. Für Bestätigungs- und Passwort-zurücksetzen-E-Mails wird die angegebene Adresse verwendet.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit das Konto für Mitgliedschaft oder angeforderte Funktionen genutzt wird, im Übrigen Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse besteht in einer sicheren, geräteübergreifenden Bereitstellung des freiwilligen Kontos.

5. Fortschritt, Tagesgaben und Rangliste

Bei angemeldeten Nutzern können folgende Daten gespeichert werden: Lesefortschritt und Aktivitätsnachweise, XP, absolvierte Sektoren, Streak, Score, tägliche Steingaben, Rang sowie freigeschaltete Inhalte. Der sichtbare Ranglisteneintrag ist standardmäßig ausgeschaltet. Erst nach freiwilliger Aktivierung werden Nutzername und Score öffentlich in der Rangliste angezeigt; E-Mail-Adresse und Klarname erscheinen dort nicht.

Ohne Konto kann Fortschritt lokal im Browser gespeichert werden. Dabei findet grundsätzlich keine Übertragung an uns statt. Rechtsgrundlage für technisch notwendige Speicherzugriffe ist § 25 Abs. 2 Nr. 2 TDDDG. Kontobezogene Fortschrittsdaten werden auf Grundlage von Art. 6 Abs. 1 lit. b beziehungsweise lit. f DSGVO verarbeitet.

6. Datenbank und Auftragsverarbeitung

Konten, Sammlung, private Fotos, Bestimmungen, freiwillige Fundortangaben, Fortschritt, Mitgliedschaftsstatus, Kontaktanfragen und Kündigungseingänge werden in Supabase gespeichert. Das Projekt nutzt die Region Irland (eu-west-1). Supabase handelt für die technische Datenverarbeitung nach Maßgabe der vertraglichen Datenschutzregelungen als Dienstleister. Weitere Informationen: Supabase Privacy, Data Processing Addendum und Sicherheitsinformationen.

Zugriffe werden durch Row Level Security getrennt. Nutzer können nur ihr eigenes Profil, ihren Fortschritt, ihre Geschenke und ihre zugeordneten Mitgliedschaften abrufen. Kontakt-, Kündigungs- und interne Zahlungsereignisse sind nicht öffentlich abrufbar.

7. Kontaktaufnahme

Wenn du uns per E-Mail oder Kontaktformular kontaktierst, verarbeiten wir Name, E-Mail-Adresse, Betreff und Nachrichteninhalt zur Bearbeitung. Bei Vertragsbezug ist Art. 6 Abs. 1 lit. b DSGVO die Rechtsgrundlage; sonst Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt in der Bearbeitung von Anfragen. Die Daten werden gelöscht, wenn die Bearbeitung abgeschlossen ist und keine gesetzlichen Aufbewahrungspflichten oder berechtigten Nachweisinteressen entgegenstehen.

8. Kündigungen, Widerrufe und Datenschutzanfragen

Bei einer Kündigung verarbeiten wir E-Mail-Adresse, Tarif, gewünschtes Beendigungsdatum, Art der Kündigung, gegebenenfalls Begründung sowie Eingangs- und Bestätigungsdaten. Bei Widerrufen und Datenschutzanfragen verarbeiten wir die zur Identifikation und Bearbeitung erforderlichen Angaben. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und c DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO zur Dokumentation rechtserheblicher Erklärungen.

9. Zahlungen über Stripe

Für kostenpflichtige Mitgliedschaften wird der Zahlungsdienst Stripe verwendet. Der eigentliche Checkout findet auf einer von Stripe gehosteten Seite statt. Für bestehende Unterstützertarife ist auch ein Gastkauf möglich. Neue STEINREICH+-Pläne und Zusatzpakete werden bei ihrer Freischaltung einem zuvor bestätigten Konto über dessen interne Kennung zugeordnet. Je nach Zahlungsart verarbeitet Stripe insbesondere Name, E-Mail-Adresse, Rechnungs- und Zahlungsdaten, Transaktionsinformationen, IP-Adresse sowie technische Geräteinformationen. Vollständige Karten- oder Kontodaten werden nicht auf steinreich-wissen.de gespeichert. Die Mitgliedschaft wird anhand der im Checkout verwendeten E-Mail-Adresse gespeichert und kann später einem Konto mit derselben bestätigten Adresse zugeordnet werden.

Die Verarbeitung erfolgt zur Vertragsanbahnung und Vertragsdurchführung gemäß Art. 6 Abs. 1 lit. b DSGVO sowie zur Erfüllung gesetzlicher Pflichten. Stripe kann je nach Verarbeitung als Auftragsverarbeiter oder eigener Verantwortlicher handeln. Weitere Einzelheiten stehen in der Datenschutzerklärung von Stripe.

10. Speicherung, Foto-ID und Nutzungsstatistik

Technisch notwendige Speicherung hält die Anmeldung, Einstellungen, Lernfortschritte und auf Wunsch erstellte Steinpass-Entwürfe verfügbar. Rechtsgrundlage für notwendige Speicherzugriffe ist § 25 Abs. 2 Nr. 2 TDDDG. Entwürfe können vorübergehend im Sitzungsspeicher deines Browsers liegen; gespeicherte Funde liegen in deinem Konto.

Die Vorbereitung von Fotos verarbeitet Farbe und Kontrast lokal im Browser. Wenn du die KI-Bildanalyse ausdrücklich startest, übertragen wir bis zu vier komprimierte Fotos ohne EXIF-Metadaten über unseren Supabase-Dienst an Cloudflare Workers AI. Fundkoordinaten, Dateinamen, Kontonamen und E-Mail-Adressen werden dabei nicht mitgesendet. Die Analyse unterstützt die angeforderte Bestimmung. Cloudflare beschreibt die Verarbeitung in den Datenschutzhinweisen zu Workers AI. Zur Kontingentprüfung speichern wir die Konto-Zuordnung, einen Bildprüfwert, Status und Analyseergebnis für höchstens 90 Tage; die Bereinigung erfolgt bei weiteren Analysen. In deinem Steinpass gespeicherte Ergebnisse bleiben bis zu deiner Löschung erhalten. Beim Speichern eines Steinpasses werden die von dir ausgewählten, komprimierten Fotos ohne EXIF-Metadaten in einem privaten Supabase-Speicher abgelegt. Bestimmung, Merkmale, Notizen, Funddatum und gegebenenfalls bewusst eingegebene GPS-Koordinaten werden zur Bereitstellung deiner Sammlung verarbeitet, Art. 6 Abs. 1 lit. b DSGVO. GPS wird nur nach eigener Anforderung übernommen.

Fundstücke und genaue Fundorte sind standardmäßig privat. Eine öffentliche Ansicht musst du pro Fund aktiv einschalten. Du kannst keinen Ort, nur die Region, auf 0,1 Grad gerundete Koordinaten oder den genauen Fundort freigeben. Private Notizen, Kaufpreis und eigene Wertschätzung werden nicht in die öffentliche Ansicht übernommen. Bereits abgerufene Inhalte können von Dritten kopiert worden sein; signierte Fotolinks sind zeitlich begrenzt.

Eine zusätzliche Nutzungsstatistik ist standardmäßig ausgeschaltet. Nur nach freiwilliger Einwilligung zählen wir ausgewählte Aktionen wie den Start des Bestimmers oder das Erstellen eines Steinpasses. Die Ereignisse enthalten keine Fotos, Fundkoordinaten, Suchtexte, E-Mail-Adressen oder Konto-IDs. Sie werden höchstens 90 Tage gespeichert. Zum Schutz des Eingangs vor Missbrauch wird serverseitig ein kurzfristiger, mit einem geheimen Schlüssel abgeleiteter Begrenzungswert verarbeitet. Er wird nicht an Ereignisse angehängt und nach spätestens einem Tag bei weiteren Eingängen bereinigt.

Rechtsgrundlage der freiwilligen Statistik und ihrer Einstellung ist Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG. Die Einwilligung kannst du jederzeit in den Datenschutzeinstellungen im Fußbereich oder im Konto widerrufen. Do-Not-Track und Global Privacy Control werden zusätzlich berücksichtigt. Aktuell werden keine externen Display-Werbeskripte geladen.

Externe OpenStreetMap-Karten laden erst nach Klick auf „Karte laden“. Dabei erhält der Kartenanbieter technische Verbindungsdaten, insbesondere deine IP-Adresse. Informationen: OpenStreetMap-Datenschutz. Partnerlinks sind als Werbung gekennzeichnet. Erst beim Öffnen wechselst du zum jeweiligen Anbieter; dort gelten dessen Datenschutzhinweise.

11. Empfänger und internationale Übermittlungen

Empfänger sind nur die für Betrieb und Vertrag erforderlichen Dienstleister, insbesondere OpenAI als Hosting-Anbieter, Supabase als Authentifizierungs- und Datenbankdienst sowie Stripe für Zahlungen. Soweit Dienstleister oder Unterauftragnehmer Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten, erfolgt dies nach Maßgabe der anwendbaren gesetzlichen Übermittlungsmechanismen und der jeweiligen Datenverarbeitungsvereinbarungen.

12. Speicherdauer

Kontodaten werden grundsätzlich bis zur Löschung des Kontos gespeichert. Fortschritts- und Geschenkedaten werden mit dem Konto gelöscht, soweit keine abweichende Rechtsgrundlage besteht. Kontaktanfragen werden nur solange aufbewahrt, wie die Bearbeitung und erforderliche Nachweise dies verlangen. Vertrags-, Zahlungs-, Widerrufs- und Kündigungsdaten können entsprechend gesetzlicher handels- und steuerrechtlicher Aufbewahrungsfristen länger gespeichert werden.

13. Deine Rechte

Im Rahmen der gesetzlichen Voraussetzungen bestehen insbesondere Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Einwilligungen können jederzeit mit Wirkung für die Zukunft widerrufen werden. Außerdem besteht ein Beschwerderecht bei einer zuständigen Datenschutzaufsichtsbehörde. Für den Verantwortlichen in Sachsen ist regelmäßig der Sächsische Datenschutz- und Transparenzbeauftragte erreichbar.

14. SSL-/TLS-Verschlüsselung und Sicherheit

Die Website nutzt HTTPS. Zugriffsregeln, signierte Zahlungs-Webhooks und getrennte Datenbankberechtigungen schützen Konten und Vertragsdaten. Trotz angemessener Maßnahmen kann eine Datenübertragung im Internet nie vollständig risikofrei garantiert werden.

15. Änderungen dieser Erklärung

Diese Datenschutzerklärung wird angepasst, wenn sich Funktionen, Dienstleister oder gesetzliche Anforderungen ändern. Die jeweils aktuelle Fassung ist dauerhaft unter dieser Adresse abrufbar.