Datenschutz

1. Verantwortlicher

Jan Zurbel
Damaschkestr. 20
09224 Chemnitz / Grüna
E-Mail: zurbel.jan@gmail.com

Diese Seite ist ein privates Hobbyprojekt — kein Verein, kein Gewerbe, keine Werbung, keine Einnahmen. Es werden nur die Daten verarbeitet, die für die gemeinsamen Ausfahrten nötig sind; ausgewertet oder weitergegeben wird nichts.

Ein Datenschutzbeauftragter ist nicht bestellt; die Voraussetzungen des § 38 BDSG liegen nicht vor.

2. Hosting und Server-Logdateien

Die Seite läuft bei Webspace-Verkauf.de ISP e.K., Lichtenfelser Strasse 17 a, 96271 Grub am Forst, Deutschland. Der Serverstandort liegt in Deutschland. Beim Aufruf schreibt der Server technisch notwendige Daten in Logdateien: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, übertragene Datenmenge, Browsertyp und Betriebssystem. Das dient dem sicheren Betrieb und der Fehlersuche. Diese Logdateien werden nicht ausgewertet; eine Reichweitenmessung findet daraus nicht statt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am störungsfreien Betrieb).
Speicherdauer: Die Logdateien werden nach spätestens 7 Tagen gelöscht.

3. Zusagen zu Ausfahrten

Wenn du auf „Ich bin dabei“ klickst, speichern wir:

Angabe	Pflicht?	Sichtbar für
Vorname	ja	öffentlich in der Teilnehmerliste
Ort	ja	öffentlich in der Teilnehmerliste
Radtyp	nein	öffentlich in der Teilnehmerliste
E-Mail	nein	nur der Organisator
Telefon	nein	nur der Organisator
Strava-Name	nein	nur der Organisator

Dass Vorname, Ort und Radtyp öffentlich erscheinen, steht direkt über dem Absende-Knopf. Genau das ist der Zweck: Wer überlegt mitzufahren, soll sehen, dass da normale Leute aus der Gegend unterwegs sind. Ein Nachname wird nie erhoben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch das Absenden des Formulars). Du kannst sie jederzeit widerrufen — siehe Abschnitt 12.
Speicherdauer: Kontaktdaten werden automatisch 12 Monate nach deiner letzten Teilnahme gelöscht. Vorname, Ort und Radtyp bleiben in den Teilnehmerlisten vergangener Ausfahrten stehen, bis du die Löschung verlangst.

4. Cookies

Diese Seite setzt bis zu drei Cookies. Alle sind technisch notwendig:

Name	Zweck	Laufzeit
`rf_token`	Erkennt dich bei der nächsten Zusage wieder, füllt das Formular vor und zeigt dir deinen Austragen-Knopf. Enthält nur eine Zufallskennung, keine Klardaten.	1 Jahr
`rf_session`	Hält dich angemeldet, wenn du ein Mitgliederprofil hast. Enthält nur eine Zufallskennung; in der Datenbank steht davon nur ein Hashwert.	90 Tage
`rf_admin`	Anmeldung im Verwaltungsbereich. Nur für den Organisator.	bis zum Schließen des Browsers

Alle drei fallen unter die Ausnahme des § 25 Abs. 2 Nr. 2 TDDDG — sie sind für die von dir angeforderte Funktion unbedingt erforderlich. Deshalb ist keine Einwilligung nötig und es gibt keinen Cookie-Banner. Tracking-, Statistik- oder Werbe-Cookies setzen wir nicht. Du kannst rf_token jederzeit im Browser löschen; dann musst du beim nächsten Zusagen die Felder wieder ausfüllen.

5. Karten

Auf Ausfahrt-Seiten kann eine Karte von OpenStreetMap eingebunden sein. Sie lädt erst, wenn du auf „Karte laden“ klickst. Vorher wird keine Verbindung zu OpenStreetMap aufgebaut. Mit dem Klick wird deine IP-Adresse an die OpenStreetMap Foundation (St John's Innovation Centre, Cowley Road, Cambridge CB4 0WS, Vereinigtes Königreich) übertragen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (dein Klick ist die Einwilligung). Für die Übermittlung in das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).
Datenschutzerklärung von OpenStreetMap: osmfoundation.org

6. Wetterdaten

Die Wetterzeile stammt von Open-Meteo. Der Abruf erfolgt ausschließlich durch unseren Server und wird sechs Stunden zwischengespeichert. Dein Browser kontaktiert Open-Meteo nie, deine IP-Adresse wird nicht übertragen.

7. Mitgliederprofil (freiwillig)

Wer öfter mitfährt, kann ein Profil anlegen. Das ist freiwillig — Zusagen funktioniert weiterhin ohne alles. Es gibt kein Passwort: Du gibst deine E-Mail-Adresse ein und bekommst einen Anmeldelink, der 15 Minuten gilt und genau einmal funktioniert.

Im Profil kannst du zusätzlich angeben — alles freiwillig:

wie weit du üblicherweise fährst (20–40 / 40–70 / 70+ km)
ob du lieber am Feierabend oder am Wochenende fährst
ob du auch mal etwas anderes als Radfahren mitmachst
einen kurzen Text über dich (höchstens 300 Zeichen)

Diese Angaben sieht zunächst niemand außer dir. Erst wenn du im Profil den Schalter „Für andere Mitglieder sichtbar“ setzt, erscheinen sie unter Die anderen — und auch dann nur für angemeldete Mitglieder. Eine öffentliche Mitgliederliste oder öffentliche Profilseiten gibt es nicht. Nach Alter, Geburtsdatum, Familienstand oder einem Foto wird nicht gefragt.

Angemeldet bleiben: Nach dem Klick auf den Anmeldelink wird ein Cookie rf_session gesetzt (90 Tage, technisch notwendig für die Anmeldung, daher ohne Einwilligung zulässig nach § 25 Abs. 2 Nr. 2 TDDDG). In der Datenbank steht davon nur ein Hashwert — genauso beim Anmeldelink. Wer die Datenbank in die Hand bekäme, könnte sich damit nicht anmelden. Unter Meine Daten siehst du alle angemeldeten Geräte und kannst sie mit einem Klick alle abmelden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch das Anlegen des Profils).
Speicherdauer: bis du das Profil löschst. Das geht jederzeit selbst unter Meine Daten, ohne Nachfrage und ohne Wartezeit: Kontaktdaten, Profilangaben, Anmeldelinks und alle Geräte werden sofort entfernt. Deine Zusagen und selbst angelegte Ausfahrten bleiben unter „ehemaliges Mitglied“ stehen, damit die Teilnehmerzahlen vergangener Runden stimmen bleiben.

Eigene Ausfahrten: Mitglieder können selbst Ausfahrten eintragen. Dabei erscheint dein Vorname öffentlich auf der Karte („Olaf fährt“) — sonst wüsste niemand, wer da einlädt. Als Ersteller siehst du Vorname, Ort und Radtyp der Zusager, nicht deren Kontaktdaten.

7a. Revier-Challenge und Prämien

Wer bei der Revier-Challenge mitmacht, lädt als Mitglied eigene Fahrten hoch. Daraus berechnen wir, durch welche Felder der Karte die Fahrt führt. Die Fahrt selbst ist nicht öffentlich. Anfang und Ende jeder Aufzeichnung werden vor dem Speichern gekürzt, damit keine Wohnadresse erkennbar ist. Auf der Karte erscheint nur die Farbe, und der Vorname nur, wenn du ihn freigibst.

Jede hochgeladene Fahrt wird beim Hochladen automatisch auf Echtheit geprüft (Uhrzeiten, Tempo, Pausen, Linienführung) – nur auf unserem Server, ohne Weitergabe an Dritte. Damit sorgen wir für einen fairen Wettbewerb (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO). Ist ein Prämienfund auffällig, sieht sich der Organisator die Fahrt an, bevor es den Abholcode gibt.

Finder einer Prämie geben Name, E-Mail und Telefon an. Diese Daten werden mit ihrer Zustimmung an den jeweiligen Sponsor der Prämie weitergegeben, der sie damit per E-Mail und Telefon kontaktieren darf. Gespeichert wird auch, wann zugestimmt wurde. Rechtsgrundlage ist die Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Die Zustimmung kannst du jederzeit widerrufen, an zurbel.jan@gmail.com. Wir löschen die Daten dann und geben den Widerruf an den Sponsor weiter.

Wer nur mitfährt und keine Prämie abholt, gibt keine Daten an einen Sponsor.

8. Kein Newsletter

Es gibt keinen Newsletter und keinen Verteiler. Neuigkeiten stehen auf dieser Seite — dafür musst du nichts angeben und dich nirgends eintragen.

9. E-Mails

Mails bekommst du nur, wenn du beim Zusagen freiwillig eine Adresse hinterlegt hast, und dann ausschließlich zu der Ausfahrt: Bestätigung, Erinnerung am Vortag, Absage. Nichts davon ist Werbung. Verschickt wird über das eigene Postfach beim oben genannten Hoster; es kommt kein Dienstleister wie Mailchimp oder Brevo zum Einsatz, deine Adresse verlässt unseren Server nicht. Kein Öffnungs-Tracking, keine Zählpixel, keine Tracking-Links.

10. Fotos und Kommentare

Fotos werden nur mit Einverständnis der abgebildeten Personen veröffentlicht (§ 22 KunstUrhG). Wer ein Bild von sich entfernt haben will, schreibt an zurbel.jan@gmail.com — es wird ohne Rückfrage gelöscht.

Bei Fragen unter einer Ausfahrt speichern wir den angegebenen Namen, den Text und einen Hashwert deiner IP-Adresse (SHA-256 mit Geheimnis, nicht zurückrechenbar) zur Missbrauchsabwehr. Der Hash wird nach 24 Stunden gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Name und Text einer Frage bleiben bei der jeweiligen Ausfahrt stehen, bis du oder der Organisator sie löschen. Für die Löschung genügt eine formlose Mail an zurbel.jan@gmail.com.

11. Links zu Strava und WhatsApp

Strava und eine mögliche WhatsApp-Gruppe sind nur verlinkt. Es ist kein Widget, kein Skript und keine Schnittstelle eingebunden — solange du nicht klickst, erfahren beide nichts von dir. Beim Klick verlässt du diese Seite; dann gelten die Datenschutzbestimmungen des jeweiligen Anbieters.

Im Einzelnen sind das:

Link	Wohin	Wann Daten fließen
Strava-Club	https://www.strava.com/clubs/512974	nur beim Klick
Profil des Organisators bei Strava	https://www.strava.com/athletes/26107244	nur beim Klick
Totenstein Sachsen Jungs (Fußzeile)	totenstein-sachsen-jungs.de	nur beim Klick
Karte auf Ausfahrt-Seiten	tile.openstreetmap.org	erst nach „Karte laden“

Anbieter von Strava ist Strava Inc., 208 Utah Street, Suite 400, San Francisco, CA 94103, USA. Beim Klick werden Daten in die USA übertragen. Datenschutzerklärung von Strava

Das Logo der Sachsen Jungs in der Fußzeile liegt als Bilddatei auf diesem Server. Es wird nicht von dort geladen — die Seite stellt also auch dafür keine Verbindung nach außen her, solange niemand klickt.

Damit dabei so wenig wie möglich mitgeht, tragen alle ausgehenden Links rel="noopener noreferrer" und referrerpolicy="no-referrer": Der Zielanbieter erfährt nicht, von welcher Seite du kommst. Verkürzte Adressen von Weiterleitungsdiensten (etwa strava.app.link) werden bewusst nicht verwendet, weil sie jeden Klick mitzählen würden.

12. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen.

Das geht hier ohne Umweg: In jeder Mail von uns steht ein persönlicher Link auf die Seite „Meine Daten“. Dort siehst du alles, was gespeichert ist, und kannst es mit einem Klick löschen — entweder nur die Kontaktdaten oder alles. Löschst du alles, erscheinst du in vergangenen Teilnehmerlisten nur noch als „ehemaliger Teilnehmer“. Du brauchst dafür keine Mail zu schreiben und auf niemanden zu warten.

Lieber per Mail? Dann schreib an zurbel.jan@gmail.com.

13. Beschwerderecht

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren. Zuständig ist:

Die Sächsische Datenschutz- und Transparenzbeauftragte
Devrientstraße 5, 01067 Dresden
www.datenschutz.sachsen.de

14. Keine automatisierte Entscheidungsfindung, kein KI-Einsatz im Betrieb

Es findet keine automatisierte Entscheidungsfindung und kein Profiling im Sinne von Art. 22 DSGVO statt. Im laufenden Betrieb dieser Seite arbeitet keine künstliche Intelligenz, und es werden keine Daten von Besuchern an KI-Dienste übermittelt. Zur Erstellung der Website wurde KI eingesetzt — Näheres im Impressum.

15. Sicherheit der Verarbeitung (Art. 32 DSGVO)

Technisch umgesetzt sind unter anderem:

Verschlüsselte Übertragung über HTTPS.
Die Datenbank liegt außerhalb des per URL erreichbaren Bereichs und ist zusätzlich serverseitig gesperrt. Die Seite prüft das täglich selbst und meldet es dem Organisator, falls die Sperre einmal nicht greifen sollte.
Passwörter des Verwaltungszugangs werden nur als Argon2id-Hash gespeichert, niemals im Klartext. Anmeldeversuche sind zahlenmäßig begrenzt.
Alle Formulare sind gegen Fremdeinsendungen abgesichert (CSRF-Token, Honigtopf-Feld, Zeitprüfung, Begrenzung pro Anschluss).
Datenbankzugriffe ausschließlich über vorbereitete Anweisungen; jede Ausgabe wird maskiert.
Hochgeladene Dateien werden auf ihren Typ geprüft, umbenannt und in einem Verzeichnis abgelegt, in dem keine Programme ausgeführt werden können.
Eine Sicherheitsrichtlinie im Browser (Content-Security-Policy) verbietet das Nachladen fremder Inhalte technisch — nicht nur als Versprechen.
Tägliche Sicherung der Daten, 14 Tage Aufbewahrung, auf demselben Server.

16. Änderungen

Ändert sich etwas an der Seite, ändert sich auch diese Erklärung. Es gilt jeweils die hier veröffentlichte Fassung.

Stand: 15.09.2026