Datenschutzerklärung

1. Verantwortlicher

Der Verantwortliche im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer nationaler Datenschutzgesetze sowie sonstiger datenschutzrechtlicher Bestimmungen ist die oben genannte Person.

2. Übersicht der Verarbeitungen

Arten der verarbeiteten Daten

• Bestandsdaten (z.B. Benutzername)
• Kontaktdaten (z.B. E-Mail-Adresse)
• Inhaltsdaten (z.B. gemeldete Automaten, Fotos, Beschreibungen)
• Nutzungsdaten (z.B. besuchte Seiten, Zugriffszeiten)
• Meta-/Kommunikationsdaten (z.B. IP-Adressen, Browserinformationen)
• Standortdaten (bei Nutzung der Standortfunktion)

Kategorien betroffener Personen

• Nutzer der Website (Besucher, registrierte Benutzer)
• Automaten-Betreiber

Zwecke der Verarbeitung

• Bereitstellung des Onlineangebotes und seiner Funktionen
• Benutzerkontenverwaltung und Authentifizierung
• Sicherheitsmaßnahmen
• Verwaltung und Beantwortung von Anfragen
• Community-Funktionen (Automaten melden, bewerten, Fotos hochladen)

3. Rechtsgrundlagen

Im Folgenden informieren wir Sie über die Rechtsgrundlagen der Verarbeitung personenbezogener Daten:

4. Sicherheitsmaßnahmen

Wir treffen nach Maßgabe der gesetzlichen Vorgaben unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.

Unsere Sicherheitsmaßnahmen umfassen:

• Verschlüsselung: SSL/TLS-Verschlüsselung der Datenübertragung (HTTPS)
• Passwörter: Sichere Speicherung mittels bcrypt-Hashing
• Zwei-Faktor-Authentifizierung: Optionale zusätzliche Absicherung des Benutzerkontos
• Zugriffskontrolle: Rollenbasierte Berechtigungen (Nutzer, Betreiber, Moderator, Admin)
• Prepared Statements: Schutz vor SQL-Injection-Angriffen
• Input-Validierung: Überprüfung aller Benutzereingaben

Bot-Schutz (Cloudflare Turnstile)

Zum Schutz vor automatisiertem Missbrauch (Spam, Bots) setzen wir Cloudflare Turnstile ein. Turnstile prüft im Hintergrund, ob eine Interaktion von einem Menschen stammt, ohne sichtbare CAPTCHA-Rätsel. Dabei können folgende Daten an Cloudflare übermittelt werden:

• IP-Adresse
• Browser-Informationen (User-Agent, Bildschirmauflösung)
• Interaktionsdaten (Mausbewegungen, Tastatureingaben – nur aggregiert)
• Referrer-URL

5. Hosting und Server

Unser Hosting-Anbieter verarbeitet in unserem Auftrag die Daten, die für den Betrieb und die Nutzung der Website erforderlich sind.

Server-Logfiles

Bei jedem Zugriff auf unsere Website werden automatisch Informationen in sogenannten Server-Logfiles gespeichert, die Ihr Browser automatisch übermittelt:

• IP-Adresse des anfragenden Rechners (anonymisiert)
• Datum und Uhrzeit des Zugriffs
• Name und URL der abgerufenen Datei
• Übertragene Datenmenge
• Meldung, ob der Abruf erfolgreich war
• Verwendeter Browser und Betriebssystem
• Referrer-URL (zuvor besuchte Seite)

Diese Daten werden nicht mit anderen Datenquellen zusammengeführt. Die Speicherung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO zur Sicherstellung des störungsfreien Betriebs und werden nach 7 Tagen automatisch gelöscht.

6. Cookies und Einwilligung

Wir setzen Cookies ein, um unsere Website funktionsfähig zu gestalten und Ihnen bestimmte Funktionen zu ermöglichen. Cookies sind kleine Textdateien, die auf Ihrem Endgerät gespeichert werden.

Cookie-Consent

Beim ersten Besuch unserer Website werden Sie um Ihre Einwilligung zur Verwendung von Cookies gebeten. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen oder Ihre Einstellungen ändern.

Arten von Cookies

Essentielle Cookies (erforderlich)

Diese Cookies sind für den Betrieb der Website unbedingt erforderlich und können nicht deaktiviert werden:

Funktionale Cookies

Diese Cookies ermöglichen erweiterte Funktionen:

Cookies verwalten

Sie können Cookies über Ihre Browsereinstellungen verwalten, einschränken oder blockieren. Die Deaktivierung von Cookies kann jedoch dazu führen, dass nicht alle Funktionen der Website verfügbar sind.

7. Anonyme Besucherstatistik

Wir nutzen ein selbst gehostetes, anonymes Statistik-System, um die Nutzung unserer Website zu verstehen und zu verbessern. Es werden keine personenbezogenen Daten erhoben und keine IP-Adressen gespeichert. Es findet kein Fingerprinting statt.

Stufe 1: Cookielose Statistik (ohne Einwilligung)

Auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) erfassen wir bei jedem Seitenaufruf ausschließlich folgende anonyme, aggregierte Daten:

• Aufgerufene Seite (URL-Pfad)
• Referrer-Domain (nicht die vollständige URL)
• Gerätetyp (Desktop, Mobil, Tablet)
• Browser-Familie und Betriebssystem

Diese Daten sind nicht personenbeziehbar. Es werden keine Cookies gesetzt und keine Rückschlüsse auf einzelne Personen gezogen.

Stufe 2: Session-basierte Statistik (mit Einwilligung)

Wenn Sie im Cookie-Banner der Kategorie „Statistiken“ zustimmen, wird zusätzlich ein temporärer Session-Cookie gesetzt, um folgende erweiterte Analysen zu ermöglichen:

Die Session-ID ist eine zufällig generierte Zeichenkette und enthält keinerlei persönliche Informationen. Es findet kein Tracking über Sessions hinweg statt.

Mit Ihrer Einwilligung werden zusätzlich erfasst:

• Verweildauer auf Seiten
• Seitenfluss (welche Seiten nacheinander besucht werden)
• Interaktionen (z.B. Kartenfilter-Nutzung, Klicks auf Automaten)
• Einstiegs- und Ausstiegsseiten

Datenverarbeitung und Speicherung

• Rohdaten werden nach 90 Tagen automatisch gelöscht
• Aggregierte Statistiken (ohne Personenbezug) werden bis zu 2 Jahre aufbewahrt
• Sie können Ihre Einwilligung jederzeit über das Cookie-Banner widerrufen

8. Registrierung und Benutzerkonten

Nutzer können auf unserer Website ein Benutzerkonto anlegen. Im Rahmen der Registrierung werden folgende Daten erhoben:

Erfasste Daten bei der Registrierung

• Benutzername (selbst gewählt, öffentlich sichtbar)
• E-Mail-Adresse (nicht öffentlich)
• Passwort (verschlüsselt gespeichert)
• Registrierungsdatum
• IP-Adresse bei der Registrierung

Zweck der Verarbeitung

• Bereitstellung eines personalisierten Benutzerkontos
• Zuordnung von Beiträgen (gemeldete Automaten, Fotos, Bewertungen)
• Punktesystem und Community-Funktionen
• Kontaktaufnahme bei Rückfragen zu Beiträgen

Speicherdauer

Die Daten werden gespeichert, solange das Benutzerkonto besteht. Bei Löschung des Kontos werden die personenbezogenen Daten gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten bestehen. Öffentliche Beiträge können anonymisiert erhalten bleiben.

Passwort-Reset

Bei der Nutzung der "Passwort vergessen"-Funktion wird ein zeitlich begrenzter Reset-Link an Ihre E-Mail-Adresse gesendet. Dieser Link ist 1 Stunde gültig.

Anmeldung über Google (OAuth 2.0)

Sie können sich über Ihr Google-Konto bei uns registrieren und anmelden. Dabei werden folgende Daten von Google übermittelt:

• Name / Anzeigename
• E-Mail-Adresse
• Profilbild-URL

Die Datenübermittlung erfolgt auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie durch Klick auf den Google-Login-Button erteilen. Es werden keine weiteren Daten aus Ihrem Google-Konto übertragen. Wir haben keinen Zugriff auf Ihr Google-Passwort.

9. Zwei-Faktor-Authentifizierung

Wir bieten die Möglichkeit, Ihr Benutzerkonto mit einer Zwei-Faktor-Authentifizierung (2FA) zusätzlich abzusichern.

Funktionsweise

• Bei Aktivierung wird ein geheimer Schlüssel generiert
• Dieser wird als QR-Code zur Einrichtung in einer Authenticator-App angezeigt
• Zusätzlich werden 8 Backup-Codes für den Notfallzugriff erstellt
• Der geheime Schlüssel wird verschlüsselt in unserer Datenbank gespeichert

Verarbeitete Daten

• Verschlüsselter 2FA-Schlüssel
• Gehashte Backup-Codes
• Status der 2FA-Aktivierung

Die 2FA ist freiwillig und kann jederzeit in den Profileinstellungen deaktiviert werden.

10. Standortdaten

Unsere Website bietet standortbasierte Funktionen, um Automaten in Ihrer Nähe anzuzeigen.

Nutzung der Standortfunktion

Wenn Sie die Funktion "Mein Standort" nutzen, wird Ihr Browser um Erlaubnis zur Standortfreigabe bitten. Diese Einwilligung ist freiwillig und kann jederzeit über die Browsereinstellungen widerrufen werden.

Verarbeitung

• Ihr Standort wird nur im Browser verarbeitet, um die Karte zu zentrieren
• Standortdaten werden nicht auf unseren Servern gespeichert
• Es erfolgt keine Verfolgung oder Protokollierung Ihrer Bewegungen

Alternative

Sie können die Website auch ohne Standortfreigabe nutzen und manuell nach Adressen oder Städten suchen.

11. Fotos und Uploads

Registrierte Benutzer können Fotos von Automaten hochladen.

Verarbeitete Daten

• Hochgeladene Bilddateien
• Metadaten (Dateigröße, Format)
• Upload-Zeitpunkt
• Verknüpfung mit dem Benutzerkonto

Bildverarbeitung

Hochgeladene Bilder werden serverseitig verarbeitet:

• Größenanpassung für optimale Darstellung
• Entfernung von EXIF-Metadaten (inkl. GPS-Daten) zum Schutz Ihrer Privatsphäre
• Konvertierung in ein weboptimiertes Format

Moderation

Hochgeladene Fotos werden vor der Veröffentlichung von Moderatoren geprüft, um sicherzustellen, dass keine unzulässigen Inhalte (z.B. erkennbare Personen, unangemessene Inhalte) veröffentlicht werden.

12. Kartendienste

Stadia Maps

Wir nutzen für die Kartendarstellung den Dienst Stadia Maps in Verbindung mit der JavaScript-Bibliothek Leaflet. Die Kartendaten basieren auf OpenStreetMap.

Datenübertragung

Bei der Nutzung der Kartenfunktion werden Kartenkacheln von den Stadia Maps-Servern geladen. Dabei wird Ihre IP-Adresse an Stadia Maps übertragen. Dies ist technisch notwendig, um die Kartendaten anzuzeigen.

Nach Angaben von Stadia Maps werden keine personenbezogenen Daten erhoben, keine Cookies gesetzt und kein Nutzer-Tracking durchgeführt. Die Kartendaten basieren auf OpenStreetMap und werden von Stadia Maps bereitgestellt.

Geocoding (Adresssuche)

Für die Adresssuche nutzen wir den Nominatim-Service von OpenStreetMap. Bei einer Suchanfrage wird die eingegebene Adresse an den Dienst übertragen, um die entsprechenden Koordinaten zu ermitteln.

13. Externe Datenquellen und APIs

Zur Bereitstellung unseres Dienstes greifen wir auf externe Datenquellen zu. Dabei werden in der Regel keine personenbezogenen Daten Ihrer Besucher an diese Dienste übermittelt — die Abfragen erfolgen ausschließlich serverseitig.

Mobilithek (E-Ladestationen)

Wir beziehen Daten zu E-Ladestationen über die Mobilithek-API des Bundesministeriums für Digitales und Verkehr (BMDV). Der Datenabruf erfolgt automatisiert über serverseitige Cronjobs. Es werden keine Nutzerdaten an die Mobilithek übermittelt.

MyFlexBox (Paketautomaten)

Standortdaten von MyFlexBox-Paketautomaten werden über eine serverseitige API abgerufen. Es werden keine personenbezogenen Daten Ihrer Besucher übermittelt.

Vendon (Telemetrie)

Für Betreiber-Kunden integrieren wir Füllstands- und Telemetrie-Daten der Vendon Cloud API. Diese Kommunikation erfolgt ausschließlich serverseitig auf Basis der jeweiligen Betreiberverträge.

14. KI-gestützte Verarbeitung (OpenAI)

Zweck der Verarbeitung

Wir nutzen die OpenAI API für folgende drei Anwendungsfälle:

1. Bildanalyse (Vision API): Erkennung von Produkten, Kategorien, Betreiber-Logos und Zahlungsmethoden auf Automatenfotos zur Unterstützung der administrativen Verwaltung.
2. Text-Generierung (GPT): Automatische Erstellung von Stadt-Inhalten und Blog-Posts. Im Rahmen der Automatenjagd werden zusätzlich pseudonyme Anzeigenamen und aggregierte Statistiken von Top-Teilnehmern an OpenAI übermittelt (Details siehe Abschnitt 14a).
3. Bild-Generierung (DALL·E 3): Generierung von Beitragsbildern für Blog-Posts. Hier werden ausschließlich englische Bildbeschreibungen ohne Personenbezug übermittelt.

Externer Dienstleister

Übertragene Daten

Bei der KI-Analyse werden folgende Daten an OpenAI übertragen:

• Das zu analysierende Bild (Foto des Automaten)
• Technische Metadaten (Bildformat, Größe)

Hinweis: Vor dem Upload werden EXIF-Metadaten (inkl. GPS-Standortdaten) aus den Bildern entfernt. Es werden keine personenbezogenen Daten wie Namen, E-Mail-Adressen oder IP-Adressen an OpenAI übermittelt.

Datenübermittlung in Drittländer (USA)

OpenAI hat seinen Sitz in den USA. Die Übermittlung personenbezogener Daten in die USA erfolgt auf Grundlage von:

• EU-U.S. Data Privacy Framework: OpenAI ist unter dem EU-U.S. Data Privacy Framework zertifiziert, das ein angemessenes Datenschutzniveau gewährleistet.
• Standardvertragsklauseln: Zusätzlich gelten die EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO.

Rechtsgrundlage

Die Verarbeitung erfolgt auf Grundlage von:

• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Wir haben ein berechtigtes Interesse an der effizienten Verwaltung und Kategorisierung von Automateneinträgen zur Verbesserung unseres Dienstes.
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Soweit Nutzer selbst Fotos hochladen, die anschließend analysiert werden, erfolgt dies auf Basis der bei der Registrierung erteilten Einwilligung.

Speicherdauer bei OpenAI

Gemäß der OpenAI API-Nutzungsbedingungen werden über die API übermittelte Daten:

• Nicht zum Training der KI-Modelle verwendet
• Maximal 30 Tage für Sicherheits- und Missbrauchsprüfungen gespeichert
• Anschließend automatisch gelöscht

Widerspruchsrecht

Wenn Sie nicht möchten, dass von Ihnen hochgeladene Fotos analysiert werden, können Sie der KI-Verarbeitung in den Profil-Einstellungen widersprechen (Art. 21 DSGVO) oder uns dies mitteilen unter: [email protected]. Für die Übermittlung pseudonymer Anzeigenamen + Punkten im Rahmen der Automatenjagd siehe Opt-Out unter Abschnitt 14a.

14a. Automatenjagd, Rangliste und KI-Wochen-Blogposts

Zweck der Verarbeitung

Die Automatenjagd ist eine zeitlich begrenzte, freiwillige Community-Aktion. Sie soll Anreize für die Beitragsleistung (Melden neuer Automaten, Hochladen von Fotos, Bewertungen, Kommentare) schaffen und durch Sichtbarkeit der aktivsten Teilnehmer das Engagement der Community fördern.

Verarbeitete Daten und Veröffentlichungsorte

Nicht veröffentlicht oder an Dritte übermittelt werden: E-Mail-Adresse, IP-Adresse, Klarname (sofern nicht freiwillig als Anzeigename gewählt), exakter Wohnort, Adressdaten, Foto-Inhalte oder Inhalte einzelner Bewertungen mit Namensnennung.

Rechtsgrundlage

Die Verarbeitung erfolgt auf Grundlage von:

• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Wir haben ein berechtigtes Interesse an der Förderung von Community-Engagement durch transparente Anerkennung der aktivsten Teilnehmer. Dieses Interesse wird durch das jederzeit ausübbare Widerspruchsrecht (Profil-Toggle, Art. 21 DSGVO) ausgewogen.
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Soweit Sie aktiv durch Einreichungen, Fotos oder Bewertungen am Wettbewerb teilnehmen, willigen Sie konkludent in die Auswertung Ihrer Aktivitäten zur Punktevergabe ein.

Übermittlung an OpenAI (USA) im Rahmen der Wochen-Blogposts

Die wöchentlich automatisch generierten Blog-Posts entstehen mithilfe der OpenAI GPT-API. Dabei werden an OpenAI übermittelt:

• Die ersten 30 öffentlichen Anzeigenamen (Top-30-Rangliste der Opt-In-Teilnehmer)
• Die zugehörigen Punktzahlen
• Die zugehörigen aggregierten Aktivitätszahlen
• Allgemeine Statistiken zur Aktion (Gesamtzahl Automaten, Fotos, Bewertungen)

Es werden ausdrücklich keine Benutzernamen, E-Mail-Adressen, IP-Adressen oder weitere identifizierende Daten an OpenAI übermittelt. Die rechtlichen Grundlagen für den Drittlandtransfer (EU-U.S. Data Privacy Framework, Standardvertragsklauseln) sind in Abschnitt 14 beschrieben.

Widerspruchsrecht und Opt-Out (Art. 21 DSGVO)

Sie können der Veröffentlichung Ihres Anzeigenamens jederzeit widersprechen:

1. Loggen Sie sich auf der Website ein.
2. Öffnen Sie Ihre Profil-Einstellungen.
3. Deaktivieren Sie die Checkbox "In öffentlicher Rangliste anzeigen".
4. Speichern Sie die Änderung.

Nach dem Opt-Out wird Ihr Anzeigename ab sofort nicht mehr in der Rangliste und nicht mehr in zukünftigen KI-Wochen-Blogposts genannt. Bereits veröffentlichte Blog-Posts bleiben unverändert; bei vollständiger Löschung Ihres Kontos werden Anzeigename und Benutzername in archivierten Rallye-Posts automatisch durch "[Nutzer entfernt]" ersetzt (Art. 17 DSGVO).

Recht auf Löschung (Art. 17 DSGVO)

Bei vollständiger Konto-Löschung über die Profil-Seite:

• werden alle persönlichen Daten unwiderruflich gelöscht,
• werden Anzeigename + Benutzername in archivierten Rallye-Blog-Posts durch "[Nutzer entfernt]" ersetzt,
• verbleiben Aktivitäts-Aggregate (Anzahl Automaten, Fotos) anonym als Bestandteil der Plattform-Statistik.

Speicherdauer

Punktestände bleiben so lange gespeichert, wie das Konto besteht. Veröffentlichte Blog-Posts werden langfristig im Blog-Archiv vorgehalten, bei Konto-Löschung jedoch wie oben beschrieben anonymisiert.

Teilnahmebedingungen und Preise

Die Mechanik, die Auswahl der Gewinner und die Behandlung der ausgelobten Sachpreise sind in den Teilnahmebedingungen der Automatenjagd geregelt.

15. Social-Media-Präsenzen

Wir unterhalten Präsenzen auf verschiedenen sozialen Netzwerken, um über unseren Dienst zu informieren und mit Nutzern zu interagieren. Automatische Beiträge (z.B. neue Automaten-Meldungen) werden serverseitig über die jeweiligen APIs veröffentlicht.

Verwendete Plattformen

Beim Besuch unserer Social-Media-Seiten können die jeweiligen Plattformbetreiber Daten erheben (z.B. IP-Adresse, Nutzungsverhalten). Wir haben keinen Einfluss auf die Datenverarbeitung durch die Plattformbetreiber. Details entnehmen Sie den verlinkten Datenschutzrichtlinien.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Öffentlichkeitsarbeit und Kommunikation mit Nutzern).

16. Kontaktaufnahme

Wenn Sie uns per E-Mail kontaktieren, werden Ihre Angaben zur Bearbeitung der Anfrage und für mögliche Anschlussfragen bei uns gespeichert.

Verarbeitete Daten

• E-Mail-Adresse
• Name (falls angegeben)
• Inhalt der Nachricht
• Zeitpunkt der Anfrage

Speicherdauer

Anfragen werden nach Abschluss der Bearbeitung gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.

17. Aufbewahrungsfristen

Wir speichern Ihre Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen:

18. Ihre Rechte

Nach der DSGVO stehen Ihnen folgende Rechte zu:

Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die DSGVO verstößt.

Kontakt für Datenschutzanfragen

Für alle Anfragen bezüglich Ihrer Datenschutzrechte wenden Sie sich bitte an: [email protected]

19. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder bei Änderungen des Dienstes anzupassen. Die aktuelle Version ist stets auf dieser Seite verfügbar.

Stand: Dezember 2025