Datenschutzerklärung

1. Verantwortlicher

IT-Reiser, Inhaber Lucas Reiser
Zehntwaldstraße 21
76149 Karlsruhe
Deutschland
E-Mail: [email protected]

Weitere Angaben stehen im Impressum. Einen Datenschutzbeauftragten müssen wir nicht benennen; Anfragen zum Datenschutz richtest du an die genannte E-Mail-Adresse.

2. Was diese App tut

CruiseTracker zeigt Positionen von Kreuzfahrtschiffen aus öffentlichen AIS-Funkdaten, die veröffentlichten Routen der Reedereien, Wetter am Schiff und Links zu Bord-Webcams. Schiffsdaten sind keine personenbezogenen Daten. Personenbezogene Daten fallen an vier Stellen an: beim Aufruf der Website (Abschnitt 3 und 4), durch die Kartendienste, die dein Browser lädt (Abschnitt 9), mit einem Konto (Abschnitt 5) und bei Benachrichtigungen, die du ausdrücklich einschaltest (Abschnitt 7 und 8).

3. Aufruf der Website: Server-Protokolle

Unser Server steht in Deutschland. Er protokolliert je Anfrage Datum und Uhrzeit, die aufgerufene Adresse (ohne Anmelde-Token), HTTP-Methode und Antwortstatus, die übertragene Datenmenge, die Browser-Kennung (User-Agent) und die IP-Adresse gekürzt: bei IPv4 wird das letzte Oktett entfernt (aus 203.0.113.77 wird 203.0.113.0), bei IPv6 bleiben die ersten 48 Bit. Ungekürzte IP-Adressen werden nicht protokolliert.

Zweck ist der sichere Betrieb der Website, die Fehlersuche und die Abwehr von Angriffen (Art. 6 Abs. 1 lit. f DSGVO). Die Protokolle rotieren: je Dienst werden höchstens 50 MB vorgehalten, ältere Einträge werden überschrieben — in der Praxis nach Tagen bis wenigen Wochen. Sie werden nur bei Störungen oder Missbrauch ausgewertet.

Anfragebegrenzung: Um Missbrauch abzuwehren (zum Beispiel das Raten von Passwörtern oder den Massenversand von Anmelde-Links), zählt der Server Anfragen je ungekürzter IP-Adresse in einem flüchtigen Speicher. Diese Zähler verfallen automatisch, spätestens nach 48 Stunden, und werden nirgends sonst gespeichert.

4. Cloudflare

Die Website ist über das Netz von Cloudflare erreichbar (Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA). Cloudflare verschlüsselt die Verbindung (TLS), wehrt Angriffe ab und leitet die Anfragen durch einen verschlüsselten Tunnel an unseren Server weiter; aus dem Internet ist der Server nur über Cloudflare erreichbar. Dabei verarbeitet Cloudflare deine IP-Adresse und die Anfragedaten und kann technisch notwendige Cookies zur Angriffsabwehr setzen. Cloudflare handelt als Auftragsverarbeiter (Art. 28 DSGVO) auf Grundlage eines Datenverarbeitungsvertrags mit EU-Standardvertragsklauseln. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (sicherer Betrieb). Auf den Formularen für Registrierung, Anmelde-Link und Passwort-Reset prüft Cloudflare Turnstile unsichtbar, ob ein Mensch am Gerät sitzt; dazu verarbeitet Cloudflare Browsermerkmale und die IP-Adresse (Art. 6 Abs. 1 lit. f DSGVO, Missbrauchsabwehr). Auf unserer Domain setzt Turnstile keine Cookies; innerhalb seines Prüf-Frames auf challenges.cloudflare.com kann Cloudflare technisch notwendige Cookies verwenden. Datenschutzhinweise von Cloudflare: cloudflare.com/privacypolicy.

5. Konto

5.1 Registrierung und Anmeldung

Ein Konto ist freiwillig. Du kannst dich per E-Mail-Link, mit E-Mail-Adresse und Passwort, mit einem Google-Konto oder mit deiner Apple-ID anmelden. Wir speichern deine E-Mail-Adresse, optional einen Anzeigenamen, den Zeitpunkt der Registrierung, ein Passwort ausschließlich als bcrypt-Hash und bei Google- oder Apple-Anmeldung die Konto-Kennung, die der Anbieter uns übermittelt. Wenn du die Zwei-Faktor-Authentifizierung einschaltest, speichern wir das TOTP-Geheimnis verschlüsselt und deine Backup-Codes als Hash. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Nutzung des Kontos). Ein Konto setzt ein Mindestalter von 16 Jahren voraus.

5.2 Anmelde- und Bestätigungslinks

Anmelde-, Registrierungs-, Adressänderungs- und Passwort-Links sind Einmal-Links und 15 Minuten gültig. Gespeichert wird nur ein Hash des Links; er ist an den Browser gebunden, der ihn angefordert hat (Cookie ct_login). Abgelaufene Links werden 1 Tag nach Ablauf gelöscht.

5.3 Sitzungen

Nach der Anmeldung setzt der Server das Cookie ct_session (HttpOnly, Secure, SameSite=Lax) für 30 Tage, längstens aber 14 Tage ohne Nutzung; während des Zwei-Faktor-Schritts nur 10 Minuten. Zu jeder Sitzung speichern wir Erstellungszeitpunkt und den Zeitpunkt der letzten Aktivität — keine IP-Adresse und keine Browser-Kennung. Im Konto siehst du alle Sitzungen und kannst sie einzeln oder alle beenden.

5.4 Sicherheitshinweise

Bei sicherheitsrelevanten Änderungen (Passwort gesetzt oder geändert, E-Mail-Adresse geändert, Zwei-Faktor-Authentifizierung ein- oder ausgeschaltet, Registrierungsversuch mit deiner Adresse, Versuch, deine Adresse für ein anderes Konto einzutragen) senden wir dir eine Hinweis-E-Mail. Das dient der Sicherheit deines Kontos (Art. 6 Abs. 1 lit. f DSGVO) und lässt sich nicht abbestellen, solange das Konto besteht.

5.5 Favoriten und „Meine Reise“

Favoriten (Schiff und Zeitpunkt) und markierte Reisen speichern wir zu deinem Konto, damit du sie auf jedem Gerät wiederfindest (Art. 6 Abs. 1 lit. b DSGVO).

5.6 Plan

Konten haben einen Plan („free“ oder „premium“). Premium vergibt der Betreiber von Hand; es gibt keine Bezahlfunktion, und wir speichern keine Zahlungsdaten.

5.7 Anmeldung mit Google

Wählst du die Anmeldung mit Google, leiten wir dich zu Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Wir fordern nur die Konto-Kennung und die E-Mail-Adresse an (Berechtigungen openid email); Namen oder Profilbild fragen wir nicht ab. Den Anmeldevorgang selbst verarbeitet Google nach seiner Datenschutzerklärung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; die Anmeldung mit Google löst du selbst aus.

5.8 Anmeldung mit Apple

Wählst du die Anmeldung mit Apple, leiten wir dich zu Apple (Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland). Wir fordern nur die Konto-Kennung und die E-Mail-Adresse an (Berechtigungen openid email); den Namen fragen wir nicht ab. Entscheidest du dich bei Apple für „E-Mail verbergen", erhalten wir eine Weiterleitungsadresse von Apple statt deiner echten Adresse. Den Anmeldevorgang selbst verarbeitet Apple nach seiner Datenschutzrichtlinie. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; die Anmeldung mit Apple löst du selbst aus.

5.9 Löschen

Du kannst dein Konto jederzeit im Konto-Bereich löschen. Damit werden Konto, Favoriten, Reisen, Sitzungen und offene Anmelde-Links sofort gelöscht; Push-Abonnements werden vom Konto gelöst und laufen auf dem Gerät weiter, bis du sie dort abbestellst. Zwei Ausnahmen: Einträge im Verwaltungsprotokoll (Abschnitt 11) werden pseudonymisiert — deine Adresse wird durch eine Kennung ersetzt — und nach 12 Monaten gelöscht; Sicherungskopien (Abschnitt 10) enthalten deine Daten noch bis zu 14 Tage.

6. Cookies und lokale Speicherung

Wir selbst verwenden ausschließlich technisch notwendige Cookies und Speicher, keine Werbe- oder Tracking-Cookies (zu den Sicherheits-Cookies von Cloudflare siehe Abschnitt 4):

Da alle diese Cookies und Speicher für die von dir gewünschten Funktionen erforderlich sind (§ 25 Abs. 2 Nr. 2 TDDDG), brauchen wir keine Einwilligung und zeigen keinen Cookie-Banner.

7. E-Mails

Anmelde- und Bestätigungslinks, Passwort-Links und Sicherheitshinweise sind für das Konto notwendig. Benachrichtigungen zu Schiffen (Hafenankunft, Routenänderung) und den wöchentlichen Rückblick per E-Mail bekommst du nur, wenn du sie im Konto einschaltest (Art. 6 Abs. 1 lit. a DSGVO); den Zeitpunkt deiner Einwilligung speichern wir. Ausschalten kannst du sie dort jederzeit wieder, auch über den Link am Ende jeder solchen E-Mail — der funktioniert ohne Anmeldung, ist signiert und 90 Tage gültig. Den wöchentlichen Rückblick kannst du getrennt abwählen. Unsere E-Mails enthalten keine Zählpixel; wir sehen nicht, ob du sie öffnest. Der Versand läuft über den Mailserver der Strato AG (Otto-Ostrowski-Straße 7, 10249 Berlin) als Auftragsverarbeiter.

8. Push-Benachrichtigungen

Push-Nachrichten schaltest du ausdrücklich im Browser ein (Art. 6 Abs. 1 lit. a DSGVO). Dazu speichern wir die Push-Adresse deines Browsers, dessen Verschlüsselungsschlüssel, den Zeitpunkt und die gewählten Schiffe. Zugestellt wird über den Push-Dienst deines Browser-Herstellers (Google für Chrome und Android, Apple für Safari und iOS, Mozilla für Firefox). Der Inhalt ist dabei Ende-zu-Ende verschlüsselt (Web Push, RFC 8291); der Push-Dienst sieht nur, dass eine Nachricht ankommt. Widerrufen kannst du im Browser oder im Konto; Adressen, die der Browser abgemeldet hat, löschen wir, ebenso Adressen, die sich 180 Tage lang weder gemeldet noch eine Nachricht empfangen haben. Beim Abmelden lösen wir die Verknüpfung zwischen dem Gerät und deinem Konto.

9. Karte und eingebundene Dienste

Kartenkacheln und Regenradar lädt dein Browser über unseren Server: Die Anbieter sehen nur Anfragen unseres Servers, nicht deine IP-Adresse, deinen Browser oder Cookies. Die übrigen Inhalte lädt dein Browser direkt beim Anbieter:

• Kartenkacheln von OpenFreeMap (Kartendaten © OpenStreetMap-Mitwirkende) — nötig, damit die Karte erscheint (Art. 6 Abs. 1 lit. f DSGVO), weitergereicht über /tiles/ auf unserer Adresse. Es werden keine Cookies gesetzt.
• Regenradar von RainViewer — nur wenn du die Radar-Ebene auf der Karte einschaltest, ebenfalls über unseren Server (/radar/); ausgeschaltet gibt es keine Verbindung.
• Schiffsfotos liefert unser eigener Server aus (Quelle: Wikimedia Commons, Urheber und Lizenz stehen am Bild); dein Browser verbindet sich dafür nicht mit Wikimedia.
• Webcams verlinken auf die Seiten der Reedereien; eingebettet werden sie nur, wenn der Anbieter das erlaubt. Ab dem Klick gelten dessen Datenschutzhinweise.

Serverseitig und ohne deine Daten fragen wir Open-Meteo (Wetter), aisstream.io (AIS-Daten) und die Webseiten der Reedereien (Routen) ab. Diese Anbieter sehen nur Anfragen unseres Servers, nie deine.

10. Datensicherheit und Sicherungskopien

Alle Verbindungen sind verschlüsselt. Passwörter werden mit bcrypt gehasht, Anmelde- und Sitzungstokens nur als SHA-256-Hash gespeichert, Geheimnisse der Zwei-Faktor-Authentifizierung verschlüsselt, Backup-Codes mit einem Schlüssel gehasht. Beim Setzen eines Passworts prüfen wir über die Schnittstelle von Have I Been Pwned, ob es in bekannten Datenlecks vorkommt: Dabei verlassen nur die ersten fünf Zeichen eines Hashwerts unseren Server, nie das Passwort (Art. 6 Abs. 1 lit. f DSGVO, Kontosicherheit). Die Dienste laufen voneinander getrennt in Containern ohne Zugriff von außen auf Datenbank und Cache. Täglich entsteht eine zugriffsgeschützte Sicherungskopie der Datenbank auf dem Server, die nach 14 Tagen gelöscht wird.

11. Verwaltung

Der Betreiber sieht im Verwaltungsbereich die Konten (E-Mail-Adresse, Anzeigename, Plan, Rolle, Registrierungszeitpunkt) und kann sie verwalten; der Zugang ist mit Zwei-Faktor-Authentifizierung gesichert. Verwaltungsaktionen werden protokolliert und nach 12 Monaten gelöscht.

12. Empfänger und Drittländer

Empfänger deiner Daten sind nur die genannten Auftragsverarbeiter und Anbieter: Cloudflare (USA, EU-Standardvertragsklauseln), Strato (Deutschland), Have I Been Pwned (Australien, nur ein fünfstelliges Hash-Fragment beim Setzen eines Passworts), der Push-Dienst deines Browsers (bei Google und Apple USA, Inhalte verschlüsselt), Google bei der Anmeldung mit Google (nur auf deine Wahl) sowie OpenFreeMap und RainViewer für die Karte (die beiden sehen nur Anfragen unseres Servers). Wir verkaufen keine Daten, geben sie nicht für Werbung weiter, treffen keine automatisierten Entscheidungen und erstellen keine Profile.

13. Deine Rechte

• Auskunft und Datenübertragbarkeit (Art. 15 und 20 DSGVO): Im Konto kannst du alle deine Daten als JSON herunterladen — Profil, Anmeldewege, Einwilligungen, Favoriten, Reisen, Sitzungen und Push-Geräte.
• Berichtigung (Art. 16 DSGVO): Anzeigename und E-Mail-Adresse änderst du im Konto.
• Löschung (Art. 17 DSGVO): „Konto löschen“ im Konto, Wirkung wie in 5.9.
• Einschränkung und Widerspruch (Art. 18 und 21 DSGVO): gegen Verarbeitungen auf Grundlage berechtigter Interessen kannst du aus Gründen deiner besonderen Situation widersprechen — schreib uns.
• Widerruf von Einwilligungen (Art. 7 Abs. 3 DSGVO): Benachrichtigungen und Push schaltest du jederzeit selbst ab.
• Beschwerde (Art. 77 DSGVO): bei einer Datenschutz-Aufsichtsbehörde, etwa der für den Betreiber zuständigen Landesbehörde.

Für alle Anliegen genügt eine E-Mail an [email protected].

14. Änderungen

Wir passen diese Erklärung an, wenn sich die App ändert. Das Datum oben zeigt den aktuellen Stand.