Datenschutz

Verantwortlich für die Verarbeitung personenbezogener Daten auf dieser Website im Sinne der DSGVO ist:
Lukas Hollering, Preziosastraße 7A, 81927 München-Bogenhausen, E-Mail: web@mausfahrt.de

Das Tool funktioniert für Teilnehmende ohne Nutzerkonten. Der Zugang zu einer Freizeit erfolgt über einen Zugangscode, den alle Teilnehmenden gemeinsam nutzen. Deine Identität lebt dabei ausschließlich im lokalen Speicher (Local Storage) deines Browsers — sie wird nicht als Cookie an einen Server übermittelt. Dort liegen:

• dein Profil pro Freizeit: Name, Emoji, deine Teilnehmenden-Kennung, der Zugangscode der Freizeit und dein persönlicher Zugangs-Token — dieser Token ist ein Geheimnis und weist gegenüber dem Server nach, dass du diese Person bist (er steht sonst nur in deinem persönlichen Zugangslink per E-Mail). Wer Zugriff auf deinen Browser hat, hat damit auch Zugriff auf deine Freizeit
• die Liste der Freizeiten, denen du auf diesem Gerät beigetreten bist, samt ihrem zuletzt geladenen Titel — damit sie auch ohne Netz weiter auf der Startseite stehen
• deine Anzeige-Einstellungen: Sprache, Farbschema, Großschrift und Kontrast
• für die Orga: ob die Erste-Schritte-Liste einer Freizeit ausgeblendet ist und welche Punkte darin schon geöffnet wurden
• ob du die Erklär-Show schon gesehen oder auf „Später“ verschoben hast, welche Seiten-Erklärungen hinter dem ❓ du schon geöffnet hast (nur die Namen der Seiten — damit das ❓ dort nicht mehr die Ohren spitzt), und ob du Tonausgabe freigegeben hast
• kleine Merker für Animationen: die zuletzt gesehenen Termine und Uhrzeiten der Programmpunkte (damit eine Änderung einmal sichtbar durchgestrichen werden kann), an welchem Tag Morgengruß und Nachtruhe-Hinweis schon kamen, welche Zahl der Countdown zuletzt zeigte, wie viele Personen zuletzt an Bord waren und ob die Begrüßung „alle sind da“ schon lief; dazu, bis wann du die Ankündigungen schon gesehen hast (Walkie-Talkie auf der Startseite), welche Plot Twists, Programm-Mottos, Abstimmungs-Ergebnisse und Erfolge dieses Gerät schon gezeigt und welche Abzeichen es an welcher Profilkarte schon angesteckt hat (als interne Kennungen), an welchem Tag „Tag geschafft“ kam, wann das Kreuzworträtsel zuletzt als gelöst gezeigt wurde, bei welchen Mahlzeiten du die Nudel weggetippt hast, ob das Poesiealbum der Zeitkapsel und der Wonderwall-Hinweis schon kamen, nach welchen eigenen Anlässen (Dienst, Auftritt) die grüne Raute sich schon gedreht hat und für welche eigenen Tandems, Zimmer und Fahrten das Freundschaftsarmband schon lief (als interne Kennungen der Beteiligten, keine Namen); nur für den geöffneten Tab außerdem, ob die Discokugel im Party-Modus schon kam — jeweils nur der letzte Stand, kein Verlauf
• für die Startseite einer Freizeit: wie viele Einträge jeder Bereich bei deinem letzten Besuch hatte (für den Hinweis „neu“) und ob deine vollständige Stempelkarte schon gefeiert wurde; dazu, bis wann der Hinweis zur E-Mail-Bestätigung nur als schmale Zeile erscheint (nach dem ersten Anzeigen oder nach „Später“) — nur der letzte Stand, kein Verlauf
• beim Verbinden von Spotify vorübergehend ein einmaliger Prüfwert des Anmeldevorgangs (PKCE), der danach nicht mehr gebraucht wird

Damit Programm, Notfallkarte und Hauszettel auch im Funkloch erreichbar bleiben, legt der Browser die zuletzt geladenen Seiten einer Freizeit zusätzlich in seinem Zwischenspeicher ab. Öffnest du die Notfallkarte oder den Hauszettel, tippst du in der Erklär-Show auf „Fürs Funkloch sichern“ oder installierst du die App, bittet die App den Browser, diesen Speicher nicht bei Speichermangel automatisch zu löschen („dauerhafter Speicher“) — manche Browser fragen dich dabei. Es werden dadurch keine zusätzlichen Daten erhoben oder übertragen.

Auf Android-Geräten kann die Orga die Notfall-Ansprechperson in den Einstellungen aus dem Adressbuch wählen. Die App sieht dabei nur den einen Kontakt, den du in der Auswahl des Geräts antippst, und davon nur Name und Telefonnummer; beides landet im Formular und wird so gespeichert, als wäre es abgetippt. Auf das übrige Adressbuch hat die App keinen Zugriff.

Du kannst all das jederzeit selbst löschen, indem du die Websitedaten in den Einstellungen deines Browsers entfernst — danach kommst du über deinen persönlichen Zugangslink wieder herein. Für die Orga gibt es optional ein Passwort-Konto, siehe unten.

• Name, gewähltes Emoji und Pronomen, die du beim Beitritt angibst
• E-Mail-Adresse — für den Versand deines persönlichen Zugangslinks und, bei der Orga, für den optionalen Passwort-Wiedereinstieg; nicht sichtbar für andere Teilnehmende
• Freiwillige Steckbrief-Angaben (Allergien, Interessen, Ankunft/Abreise etc.), falls du sie ausfüllst
• Freiwillig: deine Angaben unter „Meine Anreise“ (wie du am Treffpunkt ankommst und von dort heimfährst, Treffpunkt-Bahnhof oder anderer Ort, Zug und Zeit, Begleitungswunsch, auf Wunsch Sitzplatz und Platzbedarf) samt den Haken, wer davon erfahren darf — siehe „Treffpunkt-Bahnhöfe, Fahrplan und Meine Anreise“
• Alle Inhalte, die du innerhalb der Freizeit einträgst (Programmvorschläge, RSVP, Packliste, Kosten, Umfragen, Nachrichten, Zitate, Stimmungs-Check-ins)
• Meldungen: wenn du einen Inhalt (z. B. ein Zitat oder einen Kommentar) meldest, wird gespeichert, dass du ihn gemeldet hast — damit er für dich ausgeblendet bleibt und deine Meldung nicht doppelt zählt. Weder die Orga noch die gemeldete Person sehen, wer gemeldet hat; die Orga sieht nur die Anzahl. Du kannst deine Meldungen jederzeit zurückziehen; ist der Inhalt gelöscht, wird die Meldung beim nächsten Melde-Vorgang mit entfernt, spätestens mit den übrigen Daten der Freizeit (berechtigtes Interesse an einem respektvollen Miteinander, Art. 6 Abs. 1 lit. f DSGVO)
• Meme-Werkstatt (nur, wenn die Orga sie einschaltet): gespeichert werden Vorlage und Text eines Memes, wer es gebaut hat, um wen es geht (falls angegeben), aus welchem Zitat es stammt und wann die betroffene Person und die Orga zugestimmt haben — kein Bild: das Bild entsteht erst in deinem Browser, ohne fremden Dienst. Die Gruppe sieht weder, wer es gebaut hat, noch, um wen es geht. Bevor ein Meme für alle sichtbar wird, muss die betroffene Person zustimmen (nach ihrer Einstellung unter „Meine Grenzen“; bei einem schon freigegebenen Zitat gilt dessen Freigabe) und die Orga es freigeben; die betroffene Person kann jederzeit widersprechen, dann wird es sofort gelöscht, ebenso wenn eine der beiden Personen die Freizeit verlässt. Rechtsgrundlage ist das berechtigte Interesse an einer gemeinsamen Erinnerung (Art. 6 Abs. 1 lit. f DSGVO) mit Widerspruchsrecht der betroffenen Person (Art. 21 DSGVO)
• Fotos werden nicht auf diesem Server gespeichert — die Fotowand verlinkt nur auf eine externe Cloud (z. B. Nextcloud) der Gruppe
• Bei der Orga optional: ein Passwort-Hash für den Konto-Wiedereinstieg (siehe unten) — das Passwort selbst wird nie gespeichert
• Technisch bedingt: IP-Adresse, u. a. zur Missbrauchsabwehr (z. B. Begrenzung wiederholter Anfragen) und in Server-Logs

Für Name, Pronomen und E-Mail-Adresse, die zur Teilnahme an der Freizeit nötig sind, stützt sich die Verarbeitung auf Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO (Erfüllung des Teilnahme-„Vertrags" bzw. berechtigtes Interesse an der gemeinsamen Organisation). Für freiwillige Steckbrief-Angaben — insbesondere Allergien (Gesundheitsdaten, Art. 9 Abs. 1 DSGVO), die selbst gewählten Pride-Flaggen (Angaben zur sexuellen Orientierung bzw. geschlechtlichen Identität, ebenfalls Art. 9 Abs. 1 DSGVO) sowie Freitextfelder, die je nach Kontext Rückschlüsse auf sexuelle Orientierung oder geschlechtliche Identität zulassen können — ist deine ausdrückliche Einwilligung die Rechtsgrundlage (Art. 6 Abs. 1 lit. a i. V. m. Art. 9 Abs. 2 lit. a DSGVO). Diese Felder sind deshalb technisch hinter einem eigenen Hinweis- und Bestätigungsschritt verborgen, bevor sie überhaupt angezeigt werden, und bleiben jederzeit widerruflich (Feld einfach wieder leeren). Für jedes dieser Felder wählst du außerdem einzeln, wer den Wert sehen darf: nur du selbst, zusätzlich die Orga, oder alle Mitreisenden. Pride-Flaggen stehen dabei standardmäßig auf „nur ich" — sie werden also erst sichtbar, wenn du das ausdrücklich so einstellst. Das lokale Speichern deines Profils im Browser (siehe oben) ist nach § 25 Abs. 2 Nr. 2 TTDSG von der Einwilligungspflicht ausgenommen, weil es unbedingt erforderlich ist, um den von dir ausdrücklich gewünschten Dienst — die Wiedererkennung als Teilnehmende·r dieser einen Freizeit — bereitzustellen.

Diese App richtet sich an Gruppen jeder Art — auch an Jugendgruppen, bei denen (auch) minderjährige Personen teilnehmen. Für die normalen Kernfunktionen (Programm, RSVP, Packliste) ist keine eigene Altersprüfung nötig: Grundlage dafür ist die ohnehin durch die Gruppe organisierte Teilnahme an der Freizeit selbst, nicht eine gesonderte Einwilligung.

Anders bei den freiwilligen, besonders sensiblen Feldern (Allergien als Gesundheitsdatum, die Freitextfelder „worüber redest du gern” und „über mich”, siehe oben „Rechtsgrundlage der Verarbeitung”): Dafür ist ausdrückliche Einwilligung die Rechtsgrundlage, und die kann laut Art. 8 DSGVO eine Person unter 16 Jahren nicht rechtswirksam allein geben. Diese Felder sind deshalb technisch hinter einem eigenen Zustimmungsschritt verborgen; Personen unter 16 Jahren sollten sie nur ausfüllen, wenn eine erziehungsberechtigte Person davon weiß bzw. zustimmt. Das lässt sich technisch nicht vollständig überprüfen — die App verlässt sich hier auf die Mitverantwortung der jeweiligen Orga und der Teilnehmenden selbst.

Wer kein eigenes Smartphone hat (zum Beispiel jüngere Kinder, ältere Begleitpersonen oder Menschen, die die App nicht selbst bedienen können), kann von der Orga ohne E-Mail-Adresse eingetragen werden. Gespeichert werden dann nur Name, Emoji und Pronomen, die die Orga bei der Person erfragt, sowie das, was die Orga für sie einträgt: Zusagen im Programm, das Zimmer und die Bestätigung von Barzahlungen. Freiwillige Steckbrief-Angaben wie Allergien oder Freitexte werden für diese Personen nicht erfasst, weil dafür ihre eigene ausdrückliche Einwilligung nötig wäre. Bei einer Barzahlung ist für die Gruppe sichtbar, dass die Orga sie bestätigt hat. Wird auf der Nachrückliste ein Platz für die Person frei, bekommt die Orga statt der Person die Benachrichtigung und nimmt ihn nach Rückfrage für sie an oder lehnt ab. Zitate und Memes über die Person, die nach ihrer Einstellung erst nach ihrem OK erscheinen, gibt die Orga ebenfalls nur nach Rückfrage bei ihr frei; bis dahin sieht sie sie neben der Person, die sie eingetragen hat, als Einzige. Bekommt die Person später ein eigenes Gerät, kann die Orga ihre E-Mail-Adresse ergänzen: der Zugangslink geht dann nur per Mail an diese Adresse, die Orga sieht ihn nicht, und ab da handelt die Person selbst. Dass eine Person „ohne eigenes Gerät“ eingetragen ist, sieht nur die Orga.

Rechtsgrundlage ist wie für alle Teilnehmenden die gemeinsame Organisation der Freizeit (Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO). Weil diese Daten nicht bei der Person selbst erhoben werden, muss sie davon erfahren (Art. 14 DSGVO): Die Orga, die die Person einträgt, informiert sie — bei Minderjährigen auch die Erziehungsberechtigten — darüber, was gespeichert wird, wer es sieht, wie lange es bleibt und dass sie jederzeit Auskunft, Berichtigung oder Löschung verlangen kann. Die App kann diese Information nicht selbst überbringen, weil die Person sie nie öffnet; ein Hinweis dazu steht für die Orga direkt am Formular. Die Auskunft nach Art. 15 DSGVO kann die Orga für die Person als Datei herunterladen, und sie kann die Person jederzeit wieder austragen. Für Anfragen ist außerdem jederzeit der oben genannte Verantwortliche erreichbar.

Die Orga einer Freizeit kann optional in den Einstellungen ein Passwort hinterlegen, um sich unter /login mit E-Mail-Adresse und Passwort erneut Zugang zu verschaffen, falls der ursprüngliche Zugangslink verloren geht. Das Passwort wird nicht im Klartext gespeichert, sondern als Hashwert (Salted Scrypt). Ohne gesetztes Passwort bleibt der Zugang wie bei allen anderen Teilnehmenden ausschließlich über den Link möglich.

Wenn die Orga in den Einstellungen oder über den Zurücksetzen-Link ein Passwort festlegt, prüft unser Server, ob es in bekannten Datenlecks vorkommt. Dazu nutzt er den Dienst „Pwned Passwords“ von Have I Been Pwned (api.pwnedpasswords.com, schlüssellos). Das Passwort selbst verlässt unseren Server nie: er bildet daraus einen SHA-1-Hashwert und schickt nur dessen erste fünf Zeichen. Der Dienst antwortet mit allen ihm bekannten Hashwerten, die so beginnen — zu jedem Anfang sind es Hunderte —, und der eigentliche Abgleich passiert bei uns (Verfahren „k-Anonymität“). Die Antwort wird zusätzlich mit Scheineinträgen aufgefüllt, damit nicht einmal ihre Größe verrät, wonach gefragt wurde. Weder E-Mail-Adresse noch Name werden übertragen, und auch nicht deine IP-Adresse, weil die Anfrage von unserem Server ausgeht.

Taucht das Passwort in einem Leck auf, lehnen wir es ab und bitten um ein anderes. Ist der Dienst nicht erreichbar, wird das Passwort ohne diese Prüfung angenommen. Von der Prüfung selbst wird nichts gespeichert. Sie dient der Sicherheit der Orga-Konten (Art. 32 DSGVO).

Die meisten Inhalte einer Freizeit (Name, Pronomen, Programm, Zusagen, Kosten, Zimmer- und Küchendienst-Zuteilung usw.) sind für jede Person sichtbar, die den Zugangscode kennt; es gibt hierfür keine individuellen Berechtigungsstufen außer der Rolle „Orga". Bei den Kosten sehen alle Ausgaben (Titel, Betrag, wer bezahlt hat); deinen Anteil an einer Ausgabe sehen nur du, die Person, die sie bezahlt hat, und die Orga, deinen Saldo nur du und die Orga. Eine Ausgleichszahlung mit Personen und Betrag sehen nur die zahlende und die empfangende Person und die Orga; alle anderen sehen nur, wie viele Ausgleiche es zwischen anderen gibt.

Für die persönlichen Steckbrief-Angaben gilt das nicht. Dort wählst du pro Feld einzeln eine von drei Stufen:

• 🔒 Nur ich — niemand sonst sieht den Wert, auch die Orga nicht.
• 🛡️ Ich + Orga — Standard für Allergien, die Freitextfelder „über mich", „Interessen" und „worüber redest du gern" sowie für Zahlungslink und Bankverbindung.
• 👥 Alle — für alle Mitreisenden sichtbar. Für kein Feld der Standard, du wählst es bewusst.

Der Zahlungslink (z. B. PayPal.me oder ein IBAN-Link) liegt hinter einem eigenen Einwilligungs-Häkchen: solche Links zeigen oft deinen bürgerlichen Namen, auch wenn du in der App einen anderen nutzt. Schulden lassen sich deshalb immer auch bar begleichen — das ist der Standard, der Link nur ein Zusatz. Eine Ausgleichszahlung gilt erst als erledigt, wenn die zahlende und die empfangende Person sie beide bestätigt haben; gespeichert werden dafür Betrag, Zahlungsart (bar, per Link oder per Überweisung) und die Zeitpunkte der beiden Bestätigungen.

Für den Überweisungs-QR (GiroCode) kannst du freiwillig eine Bankverbindung hinterlegen: IBAN und den Namen, auf den das Konto läuft. Auch sie liegt hinter einem eigenen Einwilligungs-Häkchen, weil der Kontoname meist der bürgerliche Name ist, und steht standardmäßig auf „Ich + Orga“. Der QR-Code wird ausschließlich in deinem bzw. im Browser der zahlenden Person erzeugt, es wird dafür nichts an einen Dienst übertragen. Personen, die dir etwas schulden, sehen ihn nur, wenn du die Bankverbindung für sie freigibst; ohne Freigabe kannst du den Code auf deinem eigenen Handy zum Scannen vorzeigen. Die Bankverbindung wird mit den übrigen Daten der Freizeit gelöscht, du kannst sie jederzeit selbst leeren.

Die selbst gewählten Pride-Flaggen stehen standardmäßig auf „nur ich". Diese Filterung greift serverseitig, nicht nur in der Anzeige — andere Geräte bekommen die verborgenen Werte gar nicht erst geschickt. Ebenso serverseitig anonym sind der Feedback-Briefkasten sowie als anonym markierte Verleih-Gesuche und Playlist-Titel: dort wird die zugehörige Person auch technisch nicht mitgeliefert.

Immer sichtbar bleiben Name, Emoji und Pronomen. Bei den Pronomen ist das eine bewusste Entscheidung und keine technische Einschränkung: sie sind genau dafür da, dass Menschen richtig angesprochen werden. Für die Talentshow-Bühne und den Abspann gibt es dafür eine eigene Ausnahme-Einstellung, falls du dort nicht mit Pronomen erscheinen möchtest.

Deine E-Mail-Adresse und ein ggf. gesetztes Passwort sind von alldem unabhängig ausgenommen und werden nie an andere Teilnehmende ausgegeben.

Die Orga kann für einen Bildschirm im Flur oder Gemeinschaftsraum — etwa einen Beamer oder ein altes Tablet — einen eigenen Anzeigeschlüssel erzeugen. Damit läuft die Anzeige unter /kiosk/… ohne Anmeldung und ohne Profil: der Schlüssel erlaubt nur das Anzeigen, kein Schreiben, und er gibt weder die Teilnehmendenliste noch Kontaktdaten preis. Die Orga kann ihn jederzeit erneuern, alte Anzeigen gehen danach aus. Weil ein solcher Bildschirm auch für Gäste, das Personal des Hauses oder andere Gruppen sichtbar ist, legt unser Server über eine feste Liste fest, was er an die Anzeige ausliefert; die Orga kann einzelne Kanäle zusätzlich abwählen. Gezeigt werden höchstens:

• Titel, Ort und Zeitraum der Freizeit und die heute bestätigten Programmpunkte (Uhrzeit, Titel, Art)
• wann es Essen gibt und die Notiz der Küche dazu — nicht, wer den Countdown gesetzt hat
• die neueste geltende Ankündigung der Orga und die letzten Zitate, ohne Zuordnung zu einer Person und nur, wenn die zitierte Person sie freigegeben hat; für alle ausgeblendete (gemeldete) Inhalte erscheinen nicht
• freigegebene Memes aus der Meme-Werkstatt, ebenfalls ohne Zuordnung zu einer Person
• Emoji und Vorname nur an zwei Stellen: wer heute Küchendienst hat und wer heute Geburtstag hat (das Geburtstagsfeld ist freiwillig und bleibt leer, bis du es selbst ausfüllst)
• die laufende Runde „Zeichnen & Raten“: die Zeichnung und die Zahl der Rateversuche, das Wort erst nach der Lösung — nie, wer zeichnet oder wer es erraten hat
• ist für die Freizeit ein Spotify-Konto verbunden, Titel und Interpret des Songs, der gerade läuft — nicht, wer ihn in die Playlist gelegt hat
• bei der Nachtrunde und beim Ausgang nur Zahlen — wie viele schon da bzw. gerade draußen sind und die früheste angekündigte Rückkehrzeit, keine Namen
• am letzten Tag der Freizeit und an Tagen, an denen jemand von euch von dort heimfährt, die Abfahrtstafel des gewählten Treffpunkt-Bahnhofs (Züge von der Deutschen Bahn, Busse nur mit eingeschaltetem Transitous, siehe „Treffpunkt-Bahnhöfe, Fahrplan und Meine Anreise“) — pro Zug nur die Zahl, wie viele von euch damit heimfahren, nie Namen

Die Morgenshow ist eine animierte Tagesvorschau für den Beamer. Sie läuft ohne Anmeldung mit demselben Anzeigeschlüssel (/kiosk/…/morgenshow) oder aus der Freizeit heraus für angemeldete Teilnehmende (/trip/…/morgenshow); in beiden Fällen stellt unser Server dieselbe Übersicht zusammen, die nur gruppenweite Angaben enthält:

• aus der Freizeit: Titel, der wievielte Tag es ist, die heute bestätigten Programmpunkte und der Abend, der nächste Programmpunkt mit Motto und Mitbringliste — bei Zusagen nur die Zahl der Zu- und Absagen —, die nächste Mahlzeit, der Beginn der Nachtruhe, das Frühstück am nächsten Morgen und die neueste geltende Ankündigung der Orga
• Vornamen wie beim Kiosk nur beim heutigen Küchendienst und bei Geburtstagen; alles andere als Gruppenzahl: die Größe der Gruppe, der Fortschritt bei Bingo, Bucket-Liste und Foto-Challenge, wie viele heute Milo gefunden haben, die Zahl der Zeitkapsel-Einträge, das Tabu-Wort mit seinem Zähler und die Gruppen-Stimmung des Tages
• die Verteilung der Stimmungs-Check-ins des Tages erst ab zwei Check-ins — nie, wer welche Stimmung angegeben, was abgehakt oder wozu zugesagt hat
• Wetter, Sonnenauf- und -untergang, UV-Index, bevorstehender Regen, Luftqualität und Pollen von Open-Meteo (open-meteo.com), die Waldbrand-Einschätzung des Deutschen Wetterdienstes (siehe „Lagerfeuer-Ampel“), amtliche Warnmeldungen aus NINA (warnung.bund.de), ein Feiertag von Nager.Date (date.nager.at) sowie die nächsten Abfahrten am ersten Treffpunkt-Bahnhof (siehe „Treffpunkt-Bahnhöfe, Fahrplan und Meine Anreise“); Mondphase und Sternschnuppen-Ströme werden ohne fremden Dienst berechnet

Diese Abfragen stellt unser Server, nicht dein Browser und nicht der Beamer: übertragen werden nur der hinterlegte Ort bzw. die Adresse der Freizeit, daraus ermittelte Koordinaten sowie Bahnhofsnummern, Datum und Uhrzeit — keine Angaben über Personen und keine IP-Adresse der Zuschauenden. Die Ergebnisse hält der Server pro Freizeit und Tag 15 Minuten im Arbeitsspeicher vor, die Abfahrten 60 Sekunden; dauerhaft abgelegt wird davon nichts. Musik und Soundeffekte der Show kommen von unserem eigenen Server.

Ob ein Bildschirm eingerichtet wird und welche Kanäle darauf laufen, entscheidet die Orga. Die Anzeige der Vornamen beim Küchendienst und am Geburtstag beruht wie die übrige gemeinsame Organisation auf dem berechtigten Interesse der Gruppe (Art. 6 Abs. 1 lit. f DSGVO) — beides hängt auf einer Freizeit ohnehin meist am Kühlschrank.

Mit dem Wand-Baukasten projiziert ein Beamer bei der Talentshow Lichtszenen auf die Wand hinter der Bühne. Gespeichert werden dafür pro Freizeit nur die eingemessenen Formen an der Wand (z. B. „Tür links“), die Einstellungen der Szenen und welche Szene läuft — nichts über Personen. Einstellen dürfen das die Orga und die Technik-Crew, lesen darf es jede Person mit Zugang zur Freizeit. An die Wand kommen dieselben Angaben wie auf die Bühne: Bühnennamen bzw. Namen mit Pronomen (außer du hast „Meine Pronomen nicht auf der Talentshow-Bühne oder im Abspann anzeigen“ gewählt) und die Titel der angemeldeten Acts, im Abspann außerdem die Orga und die eingetragenen Rollen.

Mikrofon: Auf Wunsch hört die Wand-Seite über das Mikrofon des Beamer-Geräts den Takt der Musik im Saal. Das Mikrofon geht erst an, wenn jemand an diesem Gerät „Mikro“ auswählt und der Browser zustimmt. Ausgewertet wird ausschließlich im Browser dieses Geräts, und zwar nur die Lautstärke in drei Tonbereichen: es wird nichts aufgenommen, nichts gespeichert und nichts an unseren Server oder an Dritte geschickt. Alle anderen Seiten der App dürfen das Mikrofon gar nicht benutzen.

Sticker-Schlacht: Solange die Wand die Sticker-Schlacht zeigt, kannst du auf der Talentshow-Seite fertige Sticker an die Wand werfen — keinen eigenen Text. Gespeichert werden nur der Sticker und die Stelle an der Wand, höchstens die letzten 80 Würfe und keiner länger als eine Minute. Wer geworfen hat, speichert unser Server nicht. Damit niemand die Wand zuspammt, zählt er nur kurz mit, wie oft von deinem Profil aus geworfen wurde (höchstens acht Würfe in fünf Sekunden); dieser Zähler läuft nach fünf Sekunden ab und wird beim nächsten Aufräumen gelöscht.

Rechtsgrundlage ist wie bei der übrigen gemeinsamen Organisation das berechtigte Interesse der Gruppe (Art. 6 Abs. 1 lit. f DSGVO). Die Einstellungen der Wand werden zusammen mit der Freizeit gelöscht.

Beim Anlegen einer Freizeit schlägt das Feld Homebase passende Unterkünfte und Adressen vor; nimmst du keinen Vorschlag, schlägt unser Server die Eingabe beim Anlegen einmal nach. Dafür schickt unser Server die getippten Zeichen und die Sprache an Photon (photon.komoot.io, betrieben von der komoot GmbH, Potsdam), eine Adresssuche auf Grundlage von OpenStreetMap — nicht deine IP-Adresse und nichts über dich. Das Ergebnis merkt sich unser Server einen Tag im Arbeitsspeicher, damit dieselbe Anfrage nicht noch einmal hinausgeht.

Gespeichert wird nur, was du am Ende übernimmst: die Adresse der Unterkunft und, wenn die Suche das Haus gefunden hat, dessen Koordinaten. Beides gehört zur Freizeit, nicht zu einer Person, und alle in der Freizeit sehen es — wie die Adresse in den Einstellungen. Damit rechnen Karte, Wege, Umgebung und ortsgenaue Warnungen ab der Haustür. Adressdaten © OpenStreetMap-Mitwirkende (ODbL).

Das Wetter-Widget fragt Vorhersagedaten direkt aus deinem Browser bei Open-Meteo ab (open-meteo.com), einem Dienst ohne API-Schlüssel und laut dessen eigener Aussage ohne Speicherung personenbezogener Daten. Übertragen wird dabei nur der von der Orga hinterlegte Ort der Freizeit.

Die Regenbogen-Chance in der Wetter-Kachel und der zugehörige Push rechnet dagegen unser Server: er fragt bei Open-Meteo Niederschlag, Sonnenstrahlung und Bewölkung für die auf rund einen Kilometer gerundeten Koordinaten des Freizeit-Orts ab — keine Personendaten und nicht deine IP-Adresse — und hält das Ergebnis zehn Minuten im Arbeitsspeicher vor. Den Sonnenstand berechnet er selbst, ohne fremden Dienst. Den Push bekommst du nur, wenn du im Steckbrief den Haken „Push bei Regenbogen-Chance“ setzt (Einwilligung, Art. 6 Abs. 1 lit. a DSGVO, jederzeit durch Entfernen des Hakens widerrufbar). Gespeichert werden dazu nur dieser Haken, den außer dir niemand sieht, auch nicht die Orga, und das Datum des letzten Regenbogen-Pushes, damit höchstens einer am Tag kommt — kein Verlauf. Beides wird mit deinem Profil gelöscht.

Während der Freizeit kann ein Banner amtliche Warnmeldungen des Warnsystems NINA für den Kreis der Unterkunft anzeigen (warnung.bund.de, Bundesamt für Bevölkerungsschutz und Katastrophenhilfe). Die Abfrage läuft über unseren Server, nicht aus deinem Browser: an NINA gehen nur der amtliche Regionalschlüssel des Kreises und die IP-Adresse unseres Servers, nicht deine.

Welcher Kreis das ist, bestimmt unser Server beim Dienst „Verwaltungsgebiete“ des Bundesamts für Kartographie und Geodäsie (sgx.geodatenzentrum.de, schlüssellos, Daten unter der Datenlizenz Deutschland – Namensnennung 2.0, © GeoBasis-DE / BKG). Dafür übermittelt er die auf rund 100 m gerundeten Koordinaten der Unterkunft — aus dem Hauszettel, falls dort Koordinaten stehen, sonst die des Ortsnamens aus dem Open-Meteo-Ortsverzeichnis, aber nur, wenn es den Namen in Deutschland genau einmal gibt. Personendaten gehen dabei nicht hinaus. Der Kreis wird bis zu 30 Tage im Arbeitsspeicher gemerkt.

Im Programm-Bereich wird angezeigt, wenn ein Termin auf einen gesetzlichen Feiertag fällt. Die Feiertagsdaten fragt dein Browser direkt bei der kostenlosen Nager.Date-API (date.nager.at) ab; dabei wird deine IP-Adresse übertragen, sonst keine weiteren Daten.

Die Orga legt einen oder mehrere Treffpunkt-Bahnhöfe fest — die Bahnhöfe, an denen ihr ankommt und von denen ihr heimfahrt, mit Treffzeit und Treffort. Sie sind für alle in der Freizeit sichtbar, denn es sind Orte der Freizeit und keine Angaben über Personen; auf Klick zeigt die App dort ein Straßenfoto (siehe „Straßenfoto am Treffpunkt (Panoramax)“). Ohne Treffpunkt-Bahnhof zeigt die App keinen Fahrplan, und aus der Adresse der Unterkunft rät sie keinen Bahnhof. Die Ankunfts- und Abfahrtstafel (mit Verspätungen, Gleiswechseln und Ausfällen), die Zugliste zum Auswählen, die Bahnhofssuche der Orga und die Hinweise zur Barrierefreiheit (stufenfreier Zugang, Betriebszustand von Aufzügen und Rolltreppen, Mobilitätsservice) fragt unser Server bei der offiziellen Schnittstelle der Deutschen Bahn ab (DB API Marketplace der Deutsche Bahn AG, Produkte „Timetables“, „StaDa – Station Data“ und „FaSta – Station Facilities Status“). Übertragen werden dabei ausschließlich Bahnhofsnamen, Bahnhofs- bzw. EVA-Nummern sowie Datum und Uhrzeit — keine Angaben über dich oder andere Teilnehmende, und auch nicht deine IP-Adresse. Die Fahrplan- und Bahnhofsdaten stehen unter der Lizenz CC BY 4.0, Quelle: Deutsche Bahn.

Weiter als rund 18 Stunden voraus liefert die Bahn keinen Fahrplan. Dafür, für die Busse am Bahnhof und als Ersatz, wenn die Bahn-Schnittstelle ausfällt, kann unser Server Transitous nutzen (api.transitous.org, ein gemeinschaftlich betriebener Fahrplandienst auf Grundlage offener Fahrplandaten und OpenStreetMap) — aber nur, wenn wir das im Admin-Dashboard eingeschaltet haben; voreingestellt ist es aus. Übertragen werden dann nur Bahnhofsnamen, Halte-IDs, Datum und Uhrzeit, bei der Bahnhofssuche der Orga der Suchbegriff — keine Angaben über Personen und nicht deine IP-Adresse, weil die Anfrage von unserem Server kommt. Die Antworten werden dort bis zu einem Tag zwischengespeichert. Wo Transitous-Daten stehen, nennt die App deren Datenquellen (transitous.org/sources) und die OpenStreetMap-Mitwirkenden. Verbindungen sucht die App nicht: Der Knopf „Verbindung auf bahn.de suchen“ öffnet bahn.de in deinem Browser und übergibt dabei nur den Treffpunkt-Bahnhof und die Uhrzeit; dort gelten die Datenschutzhinweise der Deutschen Bahn. Der früher genutzte Dienst v6.db.transport.rest ist nicht mehr angebunden.

Freiwillig kannst du unter Meine Anreise eintragen, wie du ankommst und wie du heimfährst — nur das Stück am Treffpunkt: die Art (Zug, Bus, Auto, Mitfahrt, Fahrrad, zu Fuß, anders oder „weiß ich noch nicht“), den Treffpunkt-Bahnhof oder einen anderen Ort, Linie und Zugnummer, die geplante Zeit, woher der Zug kommt bzw. wohin er fährt (laut Fahrplan) und auf Wunsch, wo du im Zug sitzt. Einen Heimatbahnhof fragt die App nicht ab. Aus deinen Angaben leitet sie Ankunft, Abreise und Anreiseart für die Abholung vom Bahnhof, das Ankunfts-Tandem und die Planung der Orga ab. Dazu kommen der Wunsch nach Begleitung vom Bahnhof, ein Puffer, den die App später einplant, wenn sie dir sagt, wann du zur Rückreise losmusst, und — nur mit einem eigenen Häkchen — besonderer Platzbedarf bei der Abholung (Rollstuhl, großes Gepäck, Instrument, Sonstiges).

Wer was sieht, entscheidet unser Server, nicht erst die Anzeige. Du selbst siehst alles. Die Orga sieht Name, Art, Treffpunkt-Bahnhof oder Ort, Zug und Zeit, den Begleitungswunsch und den Platzbedarf, solange du den Haken „Die Orga darf meine An- und Abreise sehen“ gesetzt lässt (voreingestellt, abwählbar) — ohne ihn zählst du nur in einer Zahl. Wer noch gar nichts eingetragen hat, steht bei der Orga mit Namen in der Liste der fehlenden Angaben, damit sie nachfragen kann; „weiß ich noch nicht“ zählt erst ab drei Tagen vor Beginn als fehlend. Woher dein Zug kommt, steht nur bei dir; andere sehen höchstens Linie und Zeit. Die Gruppe sieht nur dann etwas, wenn du „Die Gruppe darf meinen Zug sehen“ setzt (voreingestellt aus), und du siehst andere nur, wenn du selbst teilst: Dann sehen Personen im selben Zug oder in derselben Ankunftswelle (bis 20 Minuten am selben Bahnhof) einander mit Namen und Begleitungswunsch, im selben Zug auch den Sitzplatz, und in der Zugliste steht, wie viele von uns in einem Zug sitzen, mit Namen nur von Personen, die ebenfalls teilen. Wer nicht teilt, sieht auch keine Zahlen. Vor bestimmten Personen kannst du deine Angaben verbergen — sie sehen dich nie mit Namen, höchstens in einer Zahl, und diese Liste siehst nur du. Holt dich beim Ankunfts-Tandem jemand am Anfang ab, sieht diese Person deine Ankunftszeit. Den Platzbedarf sehen nur die Orga und wer dich abholt, nie die Gruppe.

Im persönlichen Kalender (dem Abo über deinen eigenen Kalender-Link) stehen deine An- und Abreise als eigene Termine mit Zug, Treffpunkt-Bahnhof und Treffort — nicht im Gesamtkalender der Freizeit. Abonnierst du den Link in einem Kalenderdienst (etwa Google, Apple oder Outlook), ruft dieser Dienst die Termine ab. Was die App für deine Rückreise tut, steht im nächsten Absatz. Entfernt die Orga einen Treffpunkt-Bahnhof oder verschiebt sie eine Treffzeit, die deine Anreise betrifft, bekommst du einen Hinweis per Push, ohne Push-Abo per E-Mail an deine bestätigte Adresse.

Für die Rückreise ab dem Treffpunkt prüft unser Server deinen eingetragenen Zug bei der Bahn (übertragen werden nur Bahnhofsnummer, Datum und Uhrzeit, nie dein Name). Verspätet er sich um 10 Minuten oder mehr, bekommst du einen Push mit dem Hinweis, wie viel später du losgehen kannst — nachts erst am Morgen, außer du müsstest innerhalb der nächsten Stunde los; holt der Zug danach wieder auf, sagt dir die App auch das. Fällt er aus, bekommst du sofort die nächsten Abfahrten. Die Orga erfährt einen Ausfall ebenfalls — mit deinem Namen nur, wenn du den Haken „Die Orga darf meine An- und Abreise sehen“ gesetzt lässt und dich nicht vor ihr verborgen hast, sonst nur als Zahl —, und wer einen Fahrdienst zu diesem Zug anbietet, bekommt einen Hinweis ohne Namen. „Los um …“: aus Abfahrt, Wegzeit und deinem Puffer rechnet die App, wann du an der Unterkunft losmusst, zeigt es auf der Startseite und schickt dir 15 Minuten vorher einen Push „Los zum Bahnhof“ — auch in der Nachtruhe, weil ein Zug am frühen Morgen nicht wartet. Die Wegzeit trägt die Orga pro Bahnhof ein, oder unser Server berechnet sie über das Routing der FOSSGIS e. V. zwischen den Koordinaten der Unterkunft und des Bahnhofs (siehe „Treffpunkte und Weg-Zeiten (FOSSGIS-Routing)“) — ohne Angaben über dich. Gespeichert wird dazu nur der letzte Stand, welche Warnstufe schon verschickt wurde und ob der Los-Push raus ist, kein Verlauf. Am vorletzten Tag um 19 Uhr fragt die App alle, die noch keine Rückreise eingetragen haben, wie sie heimfahren — per Push, ohne Push-Abo per E-Mail an die bestätigte Adresse; wer schon eingetragen hat, bekommt nichts.

Für die Abreise sieht die Orga Abreise-Wellen: die Abfahrten, gruppiert nach Zug und Zeit, mit der Zahl der Personen und den Namen derer, die ihre Reise mit der Orga teilen (nie, wer sich vor ihr verborgen hat); Begleitungswunsch und Platzbedarf nur als Zahl. Wer selbst mit der Gruppe teilt, sieht dort nur Zug, Zeit und Zahl — etwa um einen Fahrdienst zum Bahnhof anzubieten. So ein Angebot ist eine Fahrgemeinschaft wie jede andere: die Gruppe sieht, wer fährt und wer mitfährt, und die fahrende Person sieht den Platzbedarf in diesem Zug als Zahl. Startet die Orga für eine Welle einen Sammelruf, bekommen alle mit diesem Zug und der Fahrdienst einen Push „Abmarsch zum Bahnhof“ — auch wer den Zug nicht mit der Orga teilt; wer das ist, erfährt die Orga dabei nicht. Der Ruf bleibt nur gespeichert, solange er läuft.

Am An- und Abreisetag zeigt die Notfallkarte zu deinem Treffpunkt-Bahnhof, ob er stufenfrei erreichbar ist, welche Aufzüge gerade gestört sind, ob es dort ein WC und Schließfächer gibt, und den Hinweis zum Mobilitätsservice der Bahn (Abfrage durch unseren Server wie oben, nur Bahnhofsnummern; eine Bahnhofsmission zeigt die App nicht an). Damit das auch ohne Netz klappt, legt dein Browser deine eigene An- bzw. Rückreise, den Treffort und diese Bahnhofs-Infos in seinem Zwischenspeicher ab (Service Worker) — nur auf deinem Gerät, bis der Browser sie durch einen neueren Stand ersetzt oder du die Website-Daten löschst.

Rechtsgrundlage für das Eintragen, das Teilen mit der Gruppe, die Kalender-Termine und die Prüfung der Rückreise ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), für den Platzbedarf — weil etwa „Rollstuhl“ eine Gesundheitsangabe ist — deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO); bist du unter 16, gilt dafür dasselbe wie für die anderen besonders sensiblen Felder (siehe „Minderjährige Teilnehmende“). Du kannst sie jederzeit widerrufen, indem du die Angabe oder den Haken wieder entfernst; beim Platzbedarf ist die Angabe dann sofort gelöscht. Dass die Orga deine An- und Abreise sieht, beruht auf dem berechtigten Interesse, Abholung und Essen zu planen (Art. 6 Abs. 1 lit. f DSGVO); du kannst jederzeit widersprechen, indem du den Haken abwählst. Die Hinweise zur Rückreise (Verspätung, „Los um …“, die Frage am vorletzten Tag und der Sammelruf) gehören zur Prüfung der Rückreise, die Meldung eines Ausfalls an die Orga und den Fahrdienst zur Planung der Abholung. Alle Reise-Angaben werden 48 Stunden nach Ende der Freizeit automatisch gelöscht, samt der daraus abgeleiteten Anreiseart, ebenso wenn du dich aus der Freizeit löschst. Vorher hält die App anonyme Summen für den Rückblick fest: wie viele dabei waren und wie viele je Art an- und abgereist sind (etwa „31 von 40 kamen mit Bahn oder Bus“) — ohne Namen, Züge, Bahnhöfe oder Zeiten. Sie sind für alle in der Freizeit sichtbar und bleiben mit der Freizeit erhalten. Einträge in der früheren Form (Abfahrtsbahnhof für Hin- und Rückfahrt) hat die App bei der Umstellung verworfen, statt sie umzudeuten.

Erinnerungen. 14 und 3 Tage vor Beginn erinnert die App alle, die unter „Meine Anreise“ noch nichts eingetragen haben — per Push, ohne Push-Abo (oder mit „nur Notfälle“) per E-Mail an deine bestätigte Adresse. „Weiß ich noch nicht“ gilt bis drei Tage vor Beginn als Antwort. Die Orga kann Personen aus der Liste der fehlenden Angaben einzeln erinnern, höchstens alle sechs Stunden. Gespeichert wird dazu nur, welche Erinnerung an wen schon ging und wann die Orga zuletzt erinnert hat.

Abgleich am Vorabend. Sobald die Bahn den Fahrplan des Reisetags kennt (rund 18 Stunden vorher), gleicht unser Server deinen eingetragenen Zug für An- und Rückreise mit dem Fahrplan der Bahn ab; übertragen werden nur Bahnhofsnummer, Datum und Uhrzeit. Findet er ihn nicht, bekommst du einen Push mit dem Weg zur Zugliste. Hast du von Hand ohne Zugnummer eingetragen, schlägt er dir passende Züge vor. Widerspricht eine Zeit von Transitous der Bahn, übernimmt er die Zeit der Bahn und sagt es dir.

Live am Anreisetag. Ab drei Stunden vor der Ankunft fragt unser Server die Echtzeit der Bahn für die Treffpunkt-Bahnhöfe ab — nur DB Timetables, nur Bahnhofsnummer und Uhrzeit, gebündelt pro Bahnhof und Stunde, nie etwas über Personen. Verspätet sich ein Zug um 10 oder 30 Minuten, fällt er aus, fährt Ersatzverkehr oder wechselt er kurz vor der Ankunft das Gleis, bekommen die Person mit dem „Anreise-Dienst“ des Tages laut Dienstplan (sonst die ganze Orga) und wer diesen Zug abholt sofort einen Push, auch nachts. Mit Namen stehen darin nur Personen, die ihre Anreise mit der Orga teilen und sich nicht vor der empfangenden Orga-Person verbergen; alle anderen und alle Empfangenden ohne Orga-Rolle sehen nur eine Zahl. Fällt dein eigener Zug aus, bekommst du einen Push mit den nächsten Zügen, auch nachts; eine Verspätung meldet die App dir nicht. Sitzt die Person, die eine Abholung anbietet, selbst in einem verspäteten Zug, wird die Orga gewarnt. Gespeichert wird je Fahrt nur der letzte Stand und welche Meldung schon raus ist, kein Verlauf.

„Angekommen?“ Kommt dein Zug laut Bahn an (sonst zur geplanten Zeit plus bekannter Verspätung), fragt die App dich „Angekommen?“ — mit Ja, Noch unterwegs oder Komme später; in deiner Nachtruhe verfällt die Frage, statt morgens nachgereicht zu werden. Ohne Antwort fragt sie nach 30 Minuten noch einmal, nach 60 Minuten bekommt die Orga einen Hinweis mit deinem Namen — nur, wenn du deine Anreise mit ihr teilst. Die Antwort ist kein Check-in; wer schon eingecheckt hat, wird nicht gefragt. Gespeichert wird nur die letzte Antwort.

Anreise-Zentrale, Abholung und Kiosk. In der Anreise-Zentrale sieht die Orga je Bahnhof und Zug, wie viele von uns ankommen, mit Namen nur bei Freigabe, dazu Begleitungswunsch, Platzbedarf, die Antwort auf „Angekommen?“ und wer noch gar nichts eingetragen hat. Die Abholung pro Zug auf der Seite der Fahrgemeinschaften sehen nur die Orga und Personen, die ihren Zug mit der Gruppe teilen — auch welchen Zug eine Abholung abholt; wer einen Zug abholt, sieht dessen Platzbedarf als Zahl. Der Bildschirm im Haus (Kiosk) zeigt am Anreisetag die ankommenden Züge nur mit der Zahl unserer Leute, ohne Namen.

Aufzug-Abo. Freiwillig kannst du einen Aufzug-Hinweis abonnieren: Fällt am Anreisetag an deinem Treffpunkt-Bahnhof ein Aufzug aus (Auskunft der Bahn aus FaSta, übertragen wird nur die Bahnhofsnummer), bekommst du in deinem Reisefenster einen Push, auch nachts. Die Orga erfährt den Ausfall ebenfalls — ist es der einzige stufenfreie Treffpunkt-Bahnhof, mit Vorschlägen für andere Bahnhöfe oder eine Abholung —, von den Abonnierenden aber nur die Zahl.

Rechtsgrundlage und Löschung. Erinnerungen, Abgleich, die Pushes an dich, „Angekommen?“ und das Aufzug-Abo beruhen auf deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); du steuerst sie über deine Angaben und dein Push-Abo. Die Hinweise an Orga und Fahrdienst beruhen auf dem berechtigten Interesse, die Abholung zu planen und niemanden am Bahnhof stehen zu lassen (Art. 6 Abs. 1 lit. f DSGVO); du kannst widersprechen, indem du den Haken „Die Orga darf meine An- und Abreise sehen“ abwählst — dann zählst du dort nur als Zahl. Der Stand des Anreisetags (Prüfstand, Antworten, welche Erinnerungen und Aufzug-Hinweise raus sind) wird mit den Reise-Angaben 48 Stunden nach Ende der Freizeit gelöscht.

Zugangslinks werden über einen zentralen Mailserver verschickt. Optional kann die Orga einer Freizeit in den Einstellungen einen eigenen SMTP-Server hinterlegen, über den dann stattdessen versendet wird; ein hinterlegtes SMTP-Passwort wird verschlüsselt gespeichert (AES-256-GCM).

Mehrere Personen können sich eine E-Mail-Adresse teilen, etwa in einer Familie — wer beim Beitritt „Wir teilen uns diese Adresse“ wählt, wird als eigene Person eingetragen. Jede Zugangsmail an eine solche Adresse nennt dann alle Profile, die an ihr hängen (Emoji, Name und Pronomen), jedes mit eigenem Zugangslink. Wer Zugriff auf das Postfach hat, sieht also, wer von dieser Adresse aus bei der Freizeit dabei ist. Betreff, Absendername und Vorschauzeile nennen weder die Freizeit noch Namen.

Diese Anwendung wird bei der Hetzner Online GmbH (Deutschland) gehostet. Beim Aufruf der Seiten werden technisch bedingt Server-Logs verarbeitet (siehe „Welche Daten werden verarbeitet"). Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO; eine Übermittlung in Drittstaaten außerhalb der EU/EWR findet über das Hosting selbst nicht statt.

Unter demo.mausfahrt.de läuft eine getrennte Demo mit erfundenen Freizeiten und Personen. Sie hat eine eigene Datenbank, die mit den echten Freizeiten nicht verbunden ist. Man braucht dort weder Anmeldung noch E-Mail-Adresse; es werden keine E-Mails verschickt. Push-Benachrichtigungen gehen höchstens an Geräte, die sich in der Demo selbst dafür angemeldet haben. Die Zugdaten der Demo sind simuliert („Demo-Fahrplan“) — von dort gehen keine Anfragen an die Deutsche Bahn oder an Transitous. Was du in der Demo einträgst, sehen alle anderen, die gerade dieselbe Demo-Freizeit ansehen — und es wird jede Nacht um 3 Uhr vollständig gelöscht. Bitte trage dort keine echten Daten ein. Für die Server-Logs gilt dasselbe wie oben unter „Hosting".

Verbindet die Orga die Playlist mit Spotify, verarbeitet Spotify (Spotify AB, Schweden, mit Servern auch außerhalb der EU/EWR) die dafür nötigen Kontodaten nach eigenen Datenschutzbestimmungen. Von dieser Anwendung wird dabei nur ein Zugriffs-Token (kein Passwort) verschlüsselt gespeichert (AES-256-GCM), um die gemeinsame Playlist automatisch zu synchronisieren; angezeigt wird lediglich der Spotify-Anzeigename der Orga. Ohne Spotify-Verbindung bleibt die Playlist eine reine Link-Liste ohne Anbindung an ein Konto (siehe Playlist-Seite).

Standard-Spotify des Betreibers: Hat eine Freizeit kein eigenes Konto verbunden, kann sie ein Spotify-Konto des Betreibers dieser Anwendung für einzelne Programmpunkte reservieren. Während eines solchen Zeitfensters laufen Playlists und Wiedergabe über dieses Betreiberkonto: die gemeinsame Playlist (mit dem Titel der Freizeit und den vorgeschlagenen Songs) wird dort angelegt und bleibt dort auch nach dem Fenster, und Spotify ordnet die Wiedergabe diesem Konto zu. Der Betreiber kann diese Playlists in seinem Konto sehen. Für die Reservierung wird gespeichert, welche Freizeit welchen Programmpunkt in welchem Zeitfenster reserviert hat und welche teilnehmende Person das ausgelöst hat; der Eintrag wird mit Ablauf des Fensters gelöscht, spätestens mit der Freizeit. Im Verwaltungsbereich sieht der Betreiber die kommenden und laufenden Reservierungen mit Titel der Freizeit und des Programmpunkts; andere Freizeiten sehen davon nichts.

Die Titelsuche auf der Playlist-Seite läuft — außer bei einer verbundenen Spotify-Freizeit (siehe oben) — über Apples öffentliche, unauthentifizierte iTunes Search API (Apple Inc./Apple Distribution International): dabei wird der eingegebene Suchbegriff (z. B. Songtitel/Interpret) an Apple übertragen. Um zu einem gefundenen Titel auch einen passenden Link bei einem anderen Anbieter (Spotify, Tidal) zu finden, wird der Apple-Music-Link zusätzlich an den kostenlosen Dienst Odesli (song.link) übertragen. Fügt jemand einen Spotify-Link manuell in die Playlist ein, wird zudem Spotifys öffentliches, ebenfalls unauthentifiziertes oEmbed abgefragt, um Titel und Cover automatisch zu ergänzen. Keiner dieser drei Dienste benötigt einen eigenen API-Schlüssel oder ein Konto dieser Anwendung; übertragen werden dabei nur die Suchbegriffe bzw. eingefügten Links selbst, keine weiteren Teilnehmenden-Daten.

Aktivierst du auf der Ankündigungen-Seite Push-Benachrichtigungen, legt dein Browser dafür ein geräteweises Abonnement beim Push-Dienst deines Browsers/Betriebssystems an (z. B. von Google, Mozilla oder Apple, je nachdem welchen Browser du nutzt) — Titel und kurzer Text neuer Ankündigungen laufen technisch bedingt über dessen Infrastruktur, um dir zugestellt zu werden. Ohne dieses ausdrückliche Opt-in wird nichts übertragen.

Gespeichert wird dabei die Abo-Kennung deines Geräts zusammen mit deiner Teilnahme an dieser Freizeit — sie ist also der Person zugeordnet, nicht anonym. Das ist nötig, damit dich persönliche Benachrichtigungen erreichen (z. B. „du hast heute Küchendienst") und damit dein Abo beim Verlassen der Freizeit wieder gelöscht werden kann. Die Kennung selbst enthält weder deinen Namen noch deine E-Mail-Adresse, die Verknüpfung besteht aber bei uns.

Die Inhalte der Benachrichtigungen sind Ende-zu-Ende verschlüsselt (nach RFC 8291) — der Push-Dienst deines Browsers kann sie nicht mitlesen, er stellt nur ein verschlüsseltes Paket zu. In diesen Inhalten können je nach Anlass Namen von Mitreisenden, frei geschriebene Ankündigungstexte und ein Link mit dem Zugangscode der Freizeit stehen. Das Abo wird gelöscht, wenn du die Benachrichtigungen deaktivierst, dich aus der Freizeit löschst, die Orga dich entfernt oder das Abo beim Push-Dienst ungültig wird.

Unerwartete technische Fehler werden dauerhaft in einem eingebauten, passwortgeschützten Fehlerprotokoll gespeichert (unter /admin/errors, nur für den Betrieb einsehbar, nicht öffentlich verlinkt) — unabhängig davon, ob zusätzlich ein externer Dienst konfiguriert ist. Das betrifft sowohl serverseitige Fehler als auch clientseitige Fehler, die dein Browser meldet; bei Client-Fehlern wird zusätzlich die zuletzt besuchte Seiten-URL mitgespeichert, um den Fehler nachvollziehen zu können. Gespeichert werden Fehlertext, technischer Kontext (u. a. die genannte URL) und ein technischer Stacktrace — nie Passwörter oder Formularinhalte. Der Betrieb kann zusätzlich optional einen externen Fehler-Meldedienst (z. B. Sentry) konfigurieren, an den dieselben Fehlerdetails zusätzlich übermittelt werden. Ob das für diese Installation aktiv ist, siehe im Impressum bzw. bei der verantwortlichen Person.

Zusätzlich zu den oben einzeln beschriebenen Diensten können beim Nutzen einzelner Bereiche direkt aus deinem Browser Verbindungen zu Dritten entstehen. Dabei wird jeweils deine IP-Adresse an den betreffenden Anbieter übertragen:

• YouTube (Google Ireland Ltd.) — auf der Talentshow-Bühne werden hinterlegte YouTube-Videos als eingebetteter Player angezeigt. Wir binden dafür ausschließlich youtube-nocookie.com ein („erweiterter Datenschutzmodus“): dein Browser kontaktiert Google trotzdem, es werden aber keine Tracking-Cookies gesetzt, solange nichts abgespielt wird.
• Spotify — im Party- und Bühnenmodus lädt dein Browser Spotifys Wiedergabe-Baustein nach; in der Playlist werden Titel-Vorschauen eingebettet und Cover-Bilder direkt von Spotify bzw. Apple geladen.
• Ein von der Orga eingetragenes Logo — hinterlegt die Orga ein eigenes Logo per Link, lädt dein Browser es direkt von dem Server, auf dem es liegt.

Diese Einbindungen entstehen nur, wenn die jeweilige Funktion genutzt bzw. von der Orga eingerichtet wurde. Für Dienste, die wir über unseren eigenen Server abfragen (Bahn-Fahrplan, Titelsuche, Titel-Links), bleibt deine IP-Adresse dagegen bei uns — siehe die jeweiligen Abschnitte oben.

Die Einschätzung zum Waldbrandgefahrenindex fragt unser Server beim Deutschen Wetterdienst ab (opendata.dwd.de, schlüssellose Open Data, Lizenz CC BY 4.0) — wie beim Bahn-Fahrplan läuft das über unseren eigenen Server, nicht direkt aus deinem Browser: deine individuelle IP-Adresse wird also nicht an den DWD übertragen, sondern nur der hinterlegte Freizeit-Ort.

Liegt ein Pegel an einer Bundeswasserstraße höchstens 15 km vom Freizeit-Ort entfernt, zeigt die Wetter-Kachel dessen aktuellen Wasserstand. Den fragt unser Server bei PEGELONLINE ab, dem Pegeldienst der Wasserstraßen- und Schifffahrtsverwaltung des Bundes (pegelonline.wsv.de, schlüssellos, Daten unter der Datenlizenz Deutschland – Zero – 2.0). Übertragen werden nur die auf rund einen Kilometer gerundeten Koordinaten des hinterlegten Freizeit-Orts — keine Personendaten, und wie bei der Lagerfeuer-Ampel auch nicht deine IP-Adresse, weil die Abfrage über unseren Server läuft. Das Ergebnis wird dort eine Viertelstunde zwischengespeichert und nicht dauerhaft abgelegt.

Liegt ein Pegel höchstens 15 km von der Unterkunft entfernt, zeigt die Wetter-Kachel dessen amtliche Hochwasser-Einstufung. Unser Server holt dafür die Gesamtliste aller Pegel beim Länderübergreifenden Hochwasserportal (api.hochwasserzentralen.de, betrieben vom Bayerischen Landesamt für Umwelt und der LUBW, schlüssellos, Daten unter CC BY 4.0) und rechnet den nächsten Pegel selbst aus. An das Portal geht dabei kein Ort und keine Personenangabe, nur der Abruf der Liste, und nicht deine IP-Adresse. Die Liste wird eine Viertelstunde zwischengespeichert.

In der Badesaison zeigt die Wetter-Kachel die nächste amtliche EU-Badestelle im Umkreis von 15 km mit ihrer Wasserqualität. Die fragt unser Server bei der Europäischen Umweltagentur ab (water.discomap.eea.europa.eu, schlüssellos). Übertragen werden nur die auf rund einen Kilometer gerundeten Koordinaten der Unterkunft — keine Personendaten und nicht deine IP-Adresse. Das Ergebnis wird drei Tage zwischengespeichert.

Hauszettel und Lagerfeuer-Ampel sagen dazu, wenn die Unterkunft in einem Nationalpark, Naturschutz- oder anderen Schutzgebiet liegt. Das fragt unser Server beim Bundesamt für Naturschutz ab (geodienste.bfn.de, schlüssellos, Nutzung nach der Geodatennutzungsverordnung). Übertragen wird nur ein Ausschnitt von rund 100 m um die auf etwa 100 m gerundete Unterkunft — keine Personendaten und nicht deine IP-Adresse. Das Ergebnis wird bis zu 30 Tage im Arbeitsspeicher gemerkt.

Hochwasser, Badestelle und Schutzgebiet brauchen einen eindeutigen Ort: Koordinaten aus dem Hauszettel oder einen Ortsnamen, den es in Deutschland nur einmal gibt. Für diesen Abgleich fragt unser Server das Ortsverzeichnis von Open-Meteo mit dem Ortsnamen ab, wie im Abschnitt zu den Warnmeldungen beschrieben.

Der Hauszettel zeigt Unisex- und inklusive Toiletten in der Nähe der Unterkunft. Die fragt unser Server bei Refuge Restrooms ab (refugerestrooms.org, gemeinnütziges Projekt mit Sitz in den USA, schlüssellos, Einträge von der Community). Übertragen werden nur die auf rund einen Kilometer gerundeten Koordinaten des Freizeit-Orts — keine Personendaten und nicht deine IP-Adresse, weil die Abfrage über unseren Server läuft. Die Liste wird für alle geladen, die den Hauszettel öffnen; niemand sucht sie einzeln, deshalb lässt sich auch nicht nachvollziehen, wer nach einer solchen Toilette schaut. Das Ergebnis wird einen Tag zwischengespeichert und nicht dauerhaft abgelegt.

Beim WLAN-Eintrag im Hauszettel steht, wie viele Freifunk-Knoten im Umkreis von 500 m online sind. Dafür lädt unser Server das öffentliche Verzeichnis der Freifunk-Communitys (api.freifunk.net) und die öffentlichen Knotenlisten der Communitys in der Nähe vollständig herunter und rechnet die Entfernung selbst aus. An Freifunk gehen dabei keine Koordinaten und keine Personendaten, sondern nur der Abruf der ohnehin öffentlichen Listen von unserem Server aus. Angezeigt werden nur Anzahl und Entfernung, keine Namen der Router. Das Ergebnis wird einen Tag zwischengespeichert.

Ist ein Schlüssel hinterlegt, kann im Hauszettel per Klick eine Liste von Orten in der Nähe der Unterkunft geladen werden, zu denen eine Angabe zur Rollstuhl-Zugänglichkeit vorliegt. Die fragt unser Server bei accessibility.cloud ab (Sozialhelden e.V., Berlin; ausgeliefert über das Content-Delivery-Netz von Fastly). Übertragen werden nur die auf rund hundert Meter gerundeten Koordinaten des Freizeit-Orts, der Suchradius, die Sprache und unser Zugangsschlüssel — keine Personendaten und nicht deine IP-Adresse. Das Ergebnis wird einen Tag zwischengespeichert und nicht dauerhaft abgelegt.

Steht in der Link-Sammlung oder in einer Ansage ein Link, zeigt die App darunter eine Vorschau mit Titel, Kurzbeschreibung und Vorschaubild der verlinkten Seite. Diese Angaben holt unser Server bei der Seite ab, die die Person verlinkt hat, die den Eintrag geschrieben hat — nicht dein Gerät. Das passiert, sobald jemand aus der Gruppe die Link-Sammlung oder die Ansagen öffnet und noch keine aktuelle Vorschau vorliegt. Die Betreiber der verlinkten Seite erfahren dabei die IP-Adresse unseres Servers, die verlinkte Adresse und dass der Abruf von Mausfahrt kommt (unser Server nennt sich im User-Agent „MausfahrtLinkvorschau“ und verweist auf diese Seite). Sie erfahren weder deine IP-Adresse noch deinen Namen; Cookies oder andere Angaben über dich oder die Gruppe schicken wir nicht mit. Enthält die verlinkte Adresse selbst persönliche Angaben, etwa einen Namen im Pfad, geht sie so an die Betreiber, wie sie eingetragen wurde — und wer den Link anklickt, besucht die Seite ohnehin selbst.

Abgerufen werden nur öffentliche Adressen im Internet, keine internen Netze, und nur die ersten 512 KB einer Seite. Ein Vorschaubild rechnet unser Server in ein kleines, neues Bild um — eingebettete Metadaten wie Standortangaben fallen dabei weg, und dein Gerät lädt nichts von der fremden Seite nach. Titel, Beschreibung und Bild liegen pro Freizeit in einem Zwischenspeicher auf unserem Server, werden nach einem Tag neu abgerufen (eine fehlgeschlagene Vorschau nach einer Stunde) und mit der Freizeit gelöscht. Für den Inhalt der verlinkten Seiten sind deren Betreiber verantwortlich.

Für die Zeile „Sternenhimmel“ in der Wetter-Kachel fragt unser Server die astronomische Wettervorhersage von 7Timer! ab (7timer.info, ein schlüsselloses Forschungsangebot auf Basis öffentlicher Wettermodelle, ohne Verfügbarkeitszusage). Übertragen werden nur die auf rund einen Kilometer gerundeten Koordinaten des hinterlegten Freizeit-Orts — keine Personendaten und nicht deine IP-Adresse, weil die Abfrage über unseren Server läuft. Das Ergebnis wird dort drei Stunden zwischengespeichert und nicht dauerhaft abgelegt.

Hat der Betrieb einen Schlüssel für TMDB (The Movie Database, themoviedb.org) hinterlegt, lassen sich in Abstimmungen Filme suchen. Den Suchbegriff und die gewählten Filme fragt unser Server bei TMDB ab und speichert zur Abstimmung nur öffentliche Filmdaten: Titel, Jahr, Laufzeit, deutsche Altersfreigabe (FSK) und den Namen der Plakat-Datei. Auch die Filmplakate lädt dein Browser von unserem Server, nicht von TMDB — an TMDB gehen also weder deine IP-Adresse noch Personendaten. Suchergebnisse werden eine Stunde, Filmdaten einen Tag und Plakate im Arbeitsspeicher zwischengespeichert. Für den FSK-Hinweis kann die Orga das Alter der jüngsten Person als einzelne Zahl eintragen; diese Zahl sieht nur die Orga, sie bleibt auf unserem Server und wird mit der Freizeit gelöscht.

In Abstimmungen lassen sich Serien und einzelne Folgen suchen. Den Suchbegriff und die gewählte Serie bzw. Folge fragt unser Server bei TVMaze ab (tvmaze.com, ein offener Seriendienst ohne Schlüssel) und speichert zur Abstimmung nur öffentliche Seriendaten: Titel, Jahr, Staffel und Folge, Länge, eine gekürzte Beschreibung und den Namen der Bilddatei. Die Seriendaten stehen bei TVMaze unter der Lizenz CC BY-SA 4.0 und sind an der Abstimmung so gekennzeichnet. Auch die Bilder lädt dein Browser von unserem Server, nicht von TVMaze — an TVMaze gehen also weder deine IP-Adresse noch Personendaten. Suchergebnisse werden eine Stunde, Seriendaten einen Tag und Bilder im Arbeitsspeicher zwischengespeichert.

TVMaze kennt keine Altersfreigaben. Hat der Betrieb einen Schlüssel für TMDB hinterlegt (siehe „Filmabend“), fragt unser Server dort die deutsche Freigabe (FSK) der Serie ab; dafür gehen nur die öffentlichen Kennungen der Serie bei IMDb bzw. TheTVDB an TMDB. Ohne Schlüssel steht an der Serie „FSK unbekannt“. Für den Vergleich mit dem Alter der jüngsten Person gilt dasselbe wie beim Filmabend: die Zahl sieht nur die Orga.

Begriffe aus dem Camp-Wörterbuch bekommen einen Link „Einfach erklärt“, wenn es dazu einen Artikel im Wörterbuch für Leichte Sprache Hurraki gibt (hurraki.de). Ob es den Artikel gibt, prüft unser Server: an Hurraki gehen dabei nur die Begriffe selbst, keine Personendaten und nicht deine IP-Adresse. Das Ergebnis wird einen Tag zwischengespeichert, Texte von Hurraki übernehmen wir nicht. Erst wenn du einen solchen Link anklickst, öffnet dein Browser die Seite bei Hurraki — dann gelten dort deren Datenschutzhinweise.

Begriffe im Camp-Wörterbuch, zu denen das Queer Lexikon (queer-lexikon.net) einen Eintrag hat, bekommen einen Link dorthin. Dafür lädt unser Server einmal am Tag das öffentliche Verzeichnis der Lexikon-Einträge und gleicht bei uns ab. An das Queer Lexikon geht kein Begriff aus eurer Freizeit, keine Personenangabe und nicht deine IP-Adresse. Erst wenn du einen Link antippst, öffnest du die Seite des Queer Lexikon selbst.

Vor der Anreise und im Reisepass-PDF kann ein kurzer Text „Über den Ort“ stehen: die Einleitung des passenden Artikels aus Wikivoyage, dem freien Reiseführer der Wikimedia Foundation (de.wikivoyage.org bzw. en.wikivoyage.org, je nach eingestellter Sprache). Den Artikel sucht unser Server über die öffentliche Schnittstelle von Wikivoyage — übertragen werden nur der Name des hinterlegten Freizeit-Orts, der Name seiner Region und, falls der Name nicht eindeutig ist, die auf rund einen Kilometer gerundeten Koordinaten des Orts. Keine Personendaten, und weil die Abfrage über unseren Server läuft, auch nicht deine IP-Adresse. Das Ergebnis speichert der Server bis zu sieben Tage zwischen. Die Texte stammen von den Wikivoyage-Mitwirkenden und stehen unter der Lizenz CC BY-SA 4.0; die Kachel nennt den Artikel und verlinkt ihn, seine Versionsgeschichte und die Lizenz.

Im Hauszettel, auf der Einkaufsseite und im Gedenkweg lassen sich per Klick Angaben aus OpenStreetMap zur Umgebung der Unterkunft laden: Läden und Apotheken mit Öffnungszeiten, Unisex- und Euroschlüssel-Toiletten, queer-freundliche Orte, Stolpersteine und Notfallpunkte im Gelände (Forst-Rettungspunkte, Defibrillatoren, Schutzhütten, Trinkwasser). Die fragt unser Server über die Overpass-API ab — bei overpass-api.de (FOSSGIS e.V., Deutschland) und nur, wenn diese nicht antwortet, bei overpass.private.coffee (Private.coffee, gemeinnütziger Verein in Österreich). Übertragen wird nur ein Kartenausschnitt von rund fünf mal fünf Kilometern um den auf etwa einen Kilometer gerundeten Freizeit-Ort, dazu eine Kennung unserer App mit Verweis auf diese Seite — keine Personendaten, kein Name der Freizeit und nicht deine IP-Adresse. Dein Browser fragt Overpass nie selbst.

Ein Klick lädt immer alle Themen zusammen und wird nicht vermerkt; es lässt sich also weder erkennen, wer geladen hat, noch wofür sich jemand interessiert. Das Ergebnis liegt danach bis zu 30 Tage in unserer Datenbank und steht allen Freizeiten am selben Ort zur Verfügung; nach einer Woche kann es neu geladen werden, ältere Stände werden gelöscht. Stolpersteine zeigt die App nur, wenn die Orga den Gedenkweg eingeschaltet hat. Für die Frage „hat gerade offen?“ werden die Öffnungszeiten auf unserem Server ausgewertet, mit den Feiertagen am Ort aus Nager.Date (ebenfalls über unseren Server). Die Daten stehen unter der Open Database License (© OpenStreetMap-Mitwirkende).

Auf dem Hauszettel kann eine Karte der Unterkunft eingeblendet werden — sie lädt erst nach einem bewussten Klick, nie automatisch. Dabei fragt dein Browser direkt die Kartenkacheln bei tile.openstreetmap.org ab (OpenStreetMap-Mitwirkende) und, falls keine Koordinaten hinterlegt sind, den Ortsnamen zusätzlich bei Open-Meteo (siehe Abschnitt „Wetterdaten“). Dabei wird jeweils deine IP-Adresse übertragen.

In der Ortsliste einer Freizeit können alle Teilnehmenden Treffpunkte eintragen. Die Koordinaten eines Orts lassen sich auf drei Wegen setzen: „Ich stehe hier“ fragt deinen Browser genau einmal nach dem Gerätestandort (nur nach deinem Tippen und nur mit deiner Erlaubnis, keine laufende Ortung) und speichert das Ergebnis, auf rund einen Meter gerundet, als Koordinate des Orts — nicht als deinen Standort, ohne Zeitstempel und ohne Verlauf. Alternativ kannst du Koordinaten einfügen oder einen Ortsnamen suchen lassen; diese Suche schickt unser Server mit dem eingegebenen Text an Open-Meteo (siehe „Wetterdaten“), nicht dein Browser. Die Orte samt Koordinaten sieht die ganze Gruppe, wie das Camp-Wörterbuch.

Für Orte mit Koordinaten berechnet unser Server die Fuß- und Autozeit ab der Unterkunft über den Routing-Dienst der FOSSGIS e. V. (routing.openstreetmap.de, OpenStreetMap-Daten, schlüssellos). Genauso berechnet er die Wegzeit von der Unterkunft zu den Treffpunkt-Bahnhöfen für „Los um …“ bei der Rückreise. Übertragen werden nur die beiden Koordinaten (Unterkunft und Treffpunkt bzw. Bahnhof) — keine Personendaten und nicht deine IP-Adresse, weil die Anfrage von unserem Server kommt. Das Ergebnis wird 30 Tage zwischengespeichert. Ist der Dienst nicht erreichbar, fehlt nur die Zeitangabe. Die Ortsliste wird mit der Freizeit gelöscht.

An einem Treffpunkt kann ein Straßenfoto aus der Umgebung angezeigt werden — erst nach einem bewussten Klick auf „So sieht's dort aus“, nie automatisch. Unser Server sucht dafür bei Panoramax (api.panoramax.xyz, eine offene, gemeinschaftlich befüllte Foto-Sammlung) nach einem Bild in der Nähe und lädt es auch selbst herunter; dein Browser bekommt das Bild von uns. Übertragen werden nur die auf rund zehn Meter gerundeten Koordinaten des Treffpunkts — keine Personendaten, und weder Panoramax noch die Instanz, bei der das Bild liegt, sehen deine IP-Adresse. Suchergebnisse werden 30 Tage zwischengespeichert. Unter dem Bild stehen Urheber:in und Lizenz (meist CC BY-SA 4.0).

Schickst du über das Kontaktformular eine Nachricht, werden dein Name, deine E-Mail-Adresse und dein Nachrichtentext per E-Mail an die verantwortliche Person weitergeleitet, damit sie dir antworten kann (Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Beantwortung von Anfragen). Die Nachricht wird nicht zusätzlich in dieser Anwendung gespeichert; sie liegt danach im Postfach der verantwortlichen Person und wird dort gelöscht, sobald die Anfrage erledigt ist.

Für den technischen Betrieb gibt es einen passwortgeschützten, nicht öffentlich verlinkten Admin-Bereich. Darüber können Personen mit Betriebszugang alle angelegten Freizeiten einsehen — samt Zugangscode, hinterlegten Notfall-Informationen sowie Name, E-Mail-Adresse und Pronomen der Teilnehmenden — und einzelne Freizeiten oder Personen entfernen. Über den Zugangscode ist damit technisch auch die Innenansicht einer Freizeit erreichbar.

Dieser Zugang dient ausschließlich dem Betrieb (Störungsbeseitigung, Missbrauchsfälle, gesetzliche Auskunfts- und Löschpflichten), nicht der inhaltlichen Nutzung. Admin-Konten werden ausschließlich direkt auf dem Server angelegt; Aktionen darin werden protokolliert.

Dir stehen gegenüber der verantwortlichen Person folgende Rechte zu:

• Auskunft (Art. 15) — welche Daten über dich gespeichert sind. Das kannst du direkt selbst: im Steckbrief über „Meine Daten herunterladen" bekommst du eine Datei mit deinem Profil und allem, wo du in anderen Bereichen der Freizeit vorkommst — ohne deine Zugangsschlüssel.
• Berichtigung (Art. 16) — deine Angaben kannst du jederzeit selbst im Steckbrief ändern.
• Löschung (Art. 17) — siehe „Speicherdauer und Löschung" unten; du kannst dich selbst aus einer Freizeit löschen.
• Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20) — die Auskunftsdatei ist maschinenlesbar (JSON).
• Widerspruch (Art. 21) gegen Verarbeitungen, die auf berechtigtem Interesse beruhen.
• Widerruf einer Einwilligung (Art. 7 Abs. 3) — für die besonders sensiblen Felder jederzeit im Steckbrief über „Einwilligung für sensible Felder widerrufen". Das löscht die betroffenen Angaben und nimmt die Einwilligung zurück; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt davon unberührt.
• Beschwerde bei einer Aufsichtsbehörde (Art. 77) — zuständig ist die Datenschutz-Aufsichtsbehörde deines Wohnorts oder das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 27, 91522 Ansbach.

Für alles, was du nicht selbst in der App erledigen kannst, wende dich an die im Impressum genannte verantwortliche Person.

Die Orga kann eine Freizeit in den Einstellungen unter „Gefahrenzone" jederzeit selbst endgültig löschen — das entfernt unwiderruflich alle zugehörigen Daten (Programm, Kosten, Teilnehmenden-Angaben, Zusagen usw.).

Daneben hat jede Freizeit ein Aufbewahrungsdatum, das in den Einstellungen angezeigt wird: vorbelegt acht Wochen nach Ende, von der Orga auf höchstens zwölf Monate nach Ende verschiebbar. Schon 48 Stunden nach Ende werden die Ernährungs- und Allergieangaben geleert, es sei denn, du behältst deine Angabe im Profil bis zum Aufbewahrungsdatum; ebenfalls nach 48 Stunden werden die Angaben aus „Meine Anreise“ samt der daraus abgeleiteten An- und Abreisezeiten und der Anreiseart gelöscht, ohne Verlängerung — übrig bleiben nur anonyme Summen je Art für den Rückblick. Am Aufbewahrungsdatum wird die ganze Freizeit automatisch gelöscht, mit allen Angaben aller Personen: Profile (samt Pronomen, Pride-Flaggen, Geburtstag und Grenzen), Programm, Kosten, Zitate, Memes, Zeitkapsel, Termine am Terminboard samt Rückmeldungen und alle übrigen Bereiche; der Zugangslink funktioniert danach nicht mehr. Wer sich zu einem noch bevorstehenden Termin am Terminboard zurückgemeldet und eine bestätigte E-Mail-Adresse hinterlegt hat, bekommt vorher eine letzte Mail mit genau diesen Terminen als Kalenderdatei. Erhalten bleibt nur ein anonymer Jahresrückblick: Titel, Zeitraum und Ort der Freizeit und Gruppenzahlen (wie viele dabei waren, bestätigte Programmpunkte, Küchendienste, Gesamtkosten und Kosten pro Kopf, Zahl der Stimmungs-Einträge je Tag, Anzahl der Fundsachen, Glossar-Einträge, Songs und Rückmeldungen) — ohne Namen und ohne Angaben zu einzelnen Personen. Zwei Mails, 14 Tage und einen Tag vorher, kündigen die Löschung an; ist eine davon nicht rechtzeitig verschickt worden, verschiebt sich das Löschen, bis sie es ist.

Unabhängig davon kannst du dich jederzeit selbst aus einer Freizeit löschen: in deinem Steckbrief über „Mich aus dieser Freizeit löschen". Das entfernt dein Profil (samt Reise-Angaben) und alles, was nur dich betrifft — unter anderem Packliste, Feedback, Zeitkapsel, Mitfahrgesuche, Spontan-Posts, Benachrichtigungs-Abos, Verleih-Angebote, Memes über dich und noch nicht freigegebene Zitate über dich —, dazu deine Teilnahme an Zimmern, Fahrten, Diensten, Abstimmungen, Zusagen und Reaktionen; bei Treffpunkten, die du angelegt hast, wird dein Name entfernt, der Treffpunkt bleibt für die Gruppe. Welche Bereiche das sind, legt ein gemeinsames Verzeichnis fest, nach dem auch die Auskunft („Meine Daten herunterladen") und das automatische Löschen arbeiten. Bereits eingetragene Kosten und Ausgleichszahlungen bleiben dagegen bestehen — sie bestimmen mit, was die übrigen Teilnehmenden einander schulden, und lassen sich nicht einseitig entfernen, ohne deren Abrechnung zu verändern (Art. 17 Abs. 3 DSGVO). Stehst du in solchen Kosten, bleibt dazu dein Anzeigename gespeichert und wird den übrigen Teilnehmenden als „Name (ehemals dabei)" angezeigt — ohne ihn liesse sich nicht mehr feststellen, wer wem was schuldet, und die Abrechnung wäre nicht abschliessbar. Gespeichert wird dafür ausschliesslich der Anzeigename, nichts sonst aus deinem Profil, und nur so lange, wie du noch in einem Kosteneintrag oder einer Ausgleichszahlung stehst — spätestens am Aufbewahrungsdatum geht er mit der Freizeit. Das gilt genauso, wenn die Orga dich aus der Freizeit entfernt. Ebenso bleiben Inhalte erhalten, die du für die Gruppe eingetragen hast (z. B. Ankündigungen, Links, Glossar-Einträge, Playlist-Titel, Fundsachen, Zitate über andere); dort ist der Bezug zu deiner Person nach der Löschung nicht mehr auflösbar. Zitate über dich, die du schon für die Gruppe freigegeben hast, bleiben ebenfalls stehen, aber ohne deinen Namen (angezeigt wird „jemand“) — steht dein Name im Zitattext selbst, kannst du das Zitat vorher löschen. Bist du die einzige Orga-Person, muss vorher eine andere Person zur Orga gemacht oder die ganze Freizeit gelöscht werden, damit die Gruppe nicht mit einer unverwaltbaren Freizeit zurückbleibt.

Zwei technische Protokolle werden unabhängig von einzelnen Freizeiten geführt und nach 90 Tagen automatisch gelöscht: ein Protokoll über löschende Aktionen im Admin-Dashboard (enthält den Namen des handelnden Admin-Kontos) sowie ein Fehlerprotokoll, in dem technische Fehlermeldungen samt Kontext landen. Beide dienen der Nachvollziehbarkeit und der Fehlersuche und werden nicht ausgewertet, um Nutzungsverhalten nachzuvollziehen.

Wenn du darüber hinaus Fragen zur Löschung hast oder sie nicht selbst durchführen kannst, wende dich an die im Impressum genannte verantwortliche Person bzw. die Orga deiner Freizeit.

Diese Anwendung setzt keine Analyse- oder Marketing-Cookies und bindet keine Drittanbieter-Tracker ein.