Datenschutzerklärung

Version 1.2  ·  Stand: März 2026

1. Verantwortlicher

Lev Makhno
Deutschland (Münster)
E-Mail: makhnolev@gmail.com

2. Welche Daten wir verarbeiten

• Registrierungsdaten: Name, E-Mail-Adresse, Telefonnummer (optional), Passwort (als bcrypt-Hash).
• Nutzungsdaten: gespeicherte Haltestellen, Erinnerungen, Kontoeinstellungen.
• Technische Daten: IP-Adresse, Browser-/Geräteinformationen, User-Agent, sicherheitsrelevante Server-Logs.
• Geolokalisierung: Standort wird im Browser für die Anzeige naher Haltestellen genutzt und nicht serverseitig gespeichert.
• Push-Abonnements: Push-Endpoint sowie kryptografische Schlüssel (p256dh, auth).
• Google OAuth: Name, E-Mail-Adresse, Google-Nutzer-ID (sub) bei Anmeldung mit Google.

3. Zwecke der Datenverarbeitung

• Erstellung und Verwaltung des Benutzerkontos
• Authentifizierung (Passwort-Login oder Google OAuth)
• Speicherung von Haltestellen und Erinnerungen
• Versand von Erinnerungen per Push-Benachrichtigung
• Bereitstellung der Kartenfunktionen (OpenStreetMap/Leaflet)
• IT-Sicherheit, Missbrauchsabwehr und Fehleranalyse
• Interne Nutzungsstatistik (aggregierte Funktionsnutzung, ohne Werbeprofiling)
• Erfüllung gesetzlicher Pflichten und Umsetzung Ihrer DSGVO-Rechte

4. Rechtsgrundlagen (DSGVO)

• Art. 6 Abs. 1 lit. b DSGVO: Vertragserfüllung (Konto, Anmeldung, Kernfunktionen).
• Art. 6 Abs. 1 lit. a DSGVO: Einwilligung (Push, Geolokalisierung, Kamerazugriff im Browser).
• Art. 6 Abs. 1 lit. f DSGVO: Berechtigte Interessen (Sicherheit, Logging, Stabilität des Dienstes).

5. Speicherdauer

• Kontodaten: bis zur Löschung des Kontos.
• Haltestellen: bis zur Löschung durch den Nutzer oder Kontolöschung.
• Erinnerungen: bis zur Löschung durch den Nutzer oder Kontolöschung.
• Push-Abonnements: bis zum Widerruf im Browser, technischer Invalidierung oder Kontolöschung.
• Server-Logs (z. B. IP, User-Agent): in der Regel bis zu 30 Tage.
• Backups: können aus technischen Gründen bis zu 90 Tage vorgehalten werden.

6. Push-Benachrichtigungen

Für Push speichern wir den Push-Endpoint und die zugehörigen Schlüssel Ihres Browsers. Diese Daten werden ausschließlich für Benachrichtigungen (z. B. Fahrt-Erinnerungen) verwendet. Sie können Push jederzeit in den Browsereinstellungen deaktivieren oder Ihr Konto löschen.

7. Geolokalisierung

Standortdaten werden nur nach Ihrer Einwilligung im Browser verarbeitet, um nahegelegene Haltestellen anzuzeigen. Eine dauerhafte serverseitige Speicherung von Standortdaten erfolgt nicht. Sie können den Zugriff jederzeit im Browser verweigern oder widerrufen.

Im internen Admin-Modus „Kollector“ (Live-Karte) können Koordinaten von Bussen aus dem öffentlichen Fahrzeug-API serverseitig gespeichert werden, um Abweichungen vom Plan zu dokumentieren — nicht die GPS-Position von Passagieren.

8. Cookies, localStorage und Browser-Speicher

Die App verwendet keine Werbe-, Analyse- oder Tracking-Cookies. Nicht notwendige Browser-Funktionen wie Push, Standort und Kamera werden separat durch den Browser abgefragt.

• Cookie PHPSESSID: notwendige Sitzungsverwaltung für Login.
• Cookie remember_token: optional bei „Angemeldet bleiben".
• localStorage bus_cookie_notice_v2: merkt, dass der Datenschutzhinweis angezeigt wurde.
• localStorage app_lang: gewählte Sprache.
• localStorage profile_bus_list_cache und ähnliche UI-Schlüssel: lokaler Anzeige-Cache ohne Tracking-Zweck.
• localStorage nearest_stops_geo_asked, nearest_stops_geo_granted: technischer Geolokalisierungsstatus.
• Service Worker / Cache API: lokale Speicherung statischer App-Dateien für Offline-Nutzung.
• PushManager im Browser: verwaltet Browser-Push-Abonnementdaten.

9. Weitergabe an Dritte

• Google LLC: OAuth-Anmeldung und Übermittlung der von Google freigegebenen Profildaten.
• OpenStreetMap/Leaflet: Laden von Kartenkacheln; dabei kann die IP-Adresse verarbeitet werden.
• Hosting-/Infrastrukturanbieter: Bereitstellung von Servern, Datenbank und technischer Plattform.
• E-Mail-Dienstleister (SMTP): Versand systembezogener E-Mails (z. B. Registrierung, Passwort).
• Browser-Push-Dienste: zustellende Push-Services der Browser-/Betriebssystemanbieter.

10. Datenübermittlung in Drittländer

Durch die Nutzung von Google OAuth sowie browserbasierten Push-Diensten können Daten in Länder außerhalb der EU/des EWR (insbesondere in die USA) übertragen werden. Solche Übermittlungen erfolgen auf Basis geeigneter Garantien nach DSGVO (z. B. Standardvertragsklauseln), soweit erforderlich.

11. Datensicherheit

• Verschlüsselte Übertragung über HTTPS/TLS
• Passwörter ausschließlich als Hash (bcrypt)
• Eingeschränkter Zugriff auf Datenbank und Administrationsbereiche
• Server-Logging zur Erkennung und Analyse sicherheitsrelevanter Ereignisse
• Technische und organisatorische Maßnahmen gegen unbefugten Zugriff

12. Ihre Rechte nach DSGVO

• Auskunft (Art. 15)
• Berichtigung (Art. 16)
• Löschung (Art. 17)
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit (Art. 20)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft
• Beschwerde bei einer Datenschutzaufsichtsbehörde

13. Datenexport und Kontolöschung

In der Seite „Meine Daten" können Sie Ihre Daten als JSON exportieren und Ihr Konto löschen. Bei der Kontolöschung entfernen wir insbesondere Konto-, Haltestellen-, Erinnerungs- und Push-Abonnementdaten.

14. Version und Aktualisierung

Version: 1.2
Letzte Aktualisierung: März 2026