Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten auf tourvatar.com ist:

Verantwortlicher

e-Networkers GmbH
Löbstedter Straße 47a
D-07749 Jena
Bundesrepublik Deutschland

Vertreten durch

René Bauer, Geschäftsführer

Kontakt

Telefon: +49 3641 554000
E-Mail: info@e-networkers.de

Weitere Angaben

siehe Impressum

2. Datenschutzbeauftragter

Datenschutzbeauftragter

André Stämmler
c/o Landgraf Datenschutz UG (haftungsbeschränkt)
Markt 22, 07743 Jena
dsb@landgraf-datenschutz.de

3. Wenn du dich nur umsiehst

Beim Aufruf jeder Seite überträgt dein Browser technisch notwendige Daten an unseren Hoster: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Browsertyp und Betriebssystem sowie die zuvor besuchte Seite. Diese Daten fallen in Server-Protokollen an und sind nötig, damit die Seite ausgeliefert werden kann, sowie zur Abwehr von Angriffen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse am sicheren und störungsfreien Betrieb.

Der einzige Cookie, den wir ohne Anmeldung setzen, heißt NEXT_LOCALE und merkt sich die gewählte Sprache. Er ist technisch notwendig und wird nicht zur Wiedererkennung über Websites hinweg verwendet.

4. Konto und Anmeldung

Für ein Konto verarbeiten wir E-Mail-Adresse, Passwort, Namen (freiwillig), ein Profilbild (freiwillig) sowie Rolle, Bestätigungsstatus und Anmeldezeitpunkte. Das Passwort speichern wir nicht im Klartext; es wird ausschließlich als kryptografischer Hash bei unserem Authentifizierungsdienst hinterlegt.

Die Registrierung erfolgt im Doppel-Opt-in-Verfahren: du erhältst eine E-Mail mit einem Bestätigungslink, ohne den das Konto nicht nutzbar ist.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Nutzungsvertrags.

Hinweis zum Profilbild: Es wird in einem öffentlich lesbaren Speicherbereich abgelegt. Wer die direkte Adresse der Bilddatei kennt, kann sie ohne Anmeldung abrufen. Lade daher bitte kein Bild hoch, das nicht öffentlich sein soll.

5. Bezahlung und Abonnement

Kostenpflichtige Touren und Abonnements wickeln wir über Stripe ab. Wir legen dort einen Kundendatensatz mit deiner E-Mail-Adresse, deinem Namen und einer internen Kennung an. Die Zahlungsdaten selbst — Kartennummer und Ähnliches — erhebt Stripe unmittelbar auf seiner eigenen Bezahlseite; sie erreichen unsere Systeme nicht.

Zurück speichern wir nur die Kennungen von Kunde, Abonnement, Preis und Zahlung sowie Betrag, Währung, Status und Laufzeit — genug, um deine Berechtigung zu prüfen und Rechnungen zuzuordnen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und Art. 6 Abs. 1 lit. c DSGVO (handels- und steuerrechtliche Aufbewahrungspflichten).

6. Touren erstellen

Wenn du Touren erstellst, speichern wir die von dir eingegebenen Inhalte: Titel, Beschreibungen, Ortsangaben und Koordinaten der Stationen, hochgeladene Bilder, Videos, Audiodateien, 3D-Modelle, AR-Marker und 360°-Ansichten, jeweils mit deiner Nutzerkennung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Zwei Dinge, die du wissen solltest: Hochgeladene Mediendateien liegen in öffentlich lesbaren Speicherbereichen und sind über ihre direkte Adresse ohne Anmeldung abrufbar. Und wir entfernen bei deinen eigenen Uploads derzeit keine EXIF-Daten — Handyfotos können also Aufnahmeort und Geräteangaben enthalten. Entferne diese Angaben bitte vorher, wenn sie nicht öffentlich werden sollen. Selbst eingesprochene Audiodateien sind Stimmaufnahmen; lade nur hoch, wozu du berechtigt bist.

7. Touren ansehen und Nutzungszählung

Wenn du als angemeldete Person eine Tour öffnest oder den KI-Guide fragst, halten wir ein Ereignis fest: Art des Ereignisses, Tourkennung, deine Nutzerkennung und den Zeitpunkt. Das brauchen wir, um Kontingente und Nutzungsgrenzen der Tarife durchzusetzen und um Erstellerinnen und Erstellern eine Auswertung ihrer eigenen Touren zu zeigen.

Das ist eine personenbezogene Aufzeichnung, kein anonymer Zähler — deshalb steht sie hier. Ein externes Analyse- oder Trackingprodukt setzen wir nicht ein.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchsetzung der vereinbarten Tarifgrenzen) und Art. 6 Abs. 1 lit. f DSGVO (Auswertung für Erstellende).

8. Der KI-Guide: Text, Foto und Sprache

Der KI-Guide ist ein KI-System. Was du ihm schickst, verlässt dein Gerät und wird bei einem Sprachmodell-Anbieter verarbeitet.

• Text: Deine Frage, der bisherige Gesprächsverlauf und die Daten der geöffneten Tour gehen an OpenAI. Den Gesprächsverlauf speichern wir nicht auf unseren Servern; er wird bei jeder Frage von deinem Gerät mitgeschickt.
• Foto: Wenn du ein Foto aufnimmst, verkleinert dein Browser es und schickt es mit der Frage an OpenAI, damit das Modell es beschreiben kann. Das Bild wird weder bei uns gespeichert noch in eine Datenbank geschrieben — es reist mit der Anfrage mit und ist danach fort. In deinem eigenen Chatfenster bleibt es sichtbar, bis du die Seite neu lädst.
• Sprache: Nimmst du eine Frage auf, geht die Aufnahme an ElevenLabs und wird dort in Text umgewandelt. Auch diese Aufnahme speichern wir nicht; zurück kommt nur der Text, den du vor dem Absenden noch prüfen und ändern kannst. Vorgelesene Antworten erzeugt ebenfalls ElevenLabs.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Für Foto und Sprachaufnahme entscheidest du in jedem Einzelfall selbst, ob du sie sendest.

Bitte fotografiere keine Personen, ohne dass sie einverstanden sind, und gib in den Chat keine Gesundheitsangaben oder andere besonders geschützten Daten nach Art. 9 DSGVO ein.

9. Dein Standort

Für „Touren in der Nähe“, den Kompass zur nächsten Station und die Standortprüfung mancher Touren fragt dein Browser deinen Standort ab — immer erst, nachdem du es erlaubt hast, und du kannst die Erlaubnis jederzeit im Browser zurücknehmen.

Wir speichern deinen Standort nicht in unserer Datenbank. Die Berechnung von Entfernung und Peilung sowie die Standortprüfung laufen auf deinem Gerät. Für „Touren in der Nähe“ und die Anzeige des Ortsnamens werden die Koordinaten allerdings an unseren Server übermittelt und erscheinen dabei technisch bedingt in dessen Protokollen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO — deine Einwilligung, erteilt über die Standortabfrage des Browsers.

10. Was dein Browser direkt bei Dritten lädt

Manches lädt dein Browser nicht über unseren Server, sondern unmittelbar beim jeweiligen Anbieter. Dabei erfährt dieser Anbieter deine IP-Adresse, deinen Browsertyp, die zuvor besuchte Adresse und was genau angefragt wurde. Das betrifft:

• Karten: Kacheln von OpenStreetMap und OpenFreeMap. Aus den angefragten Kacheln ergibt sich der von dir betrachtete Kartenausschnitt.
• Bilder, Audio, 360°-Ansichten und 3D-Modelle: Diese liegen bei unserem Speicherdienst Supabase und werden von dort direkt geladen — auch ohne Anmeldung und auch auf Kundendomains.
• Programmbausteine: unpkg und jsDelivr liefern Kartensymbole, die Videokomprimierung und die Bibliothek für die AR-Ansicht.
• Eingebettete Videos: Hinterlegt eine Erstellerin oder ein Ersteller zu einer Station ein YouTube- oder Vimeo-Video, wird es beim Öffnen des Video-Bereichs unmittelbar von Google bzw. Vimeo geladen. In 360°-Ansichten können außerdem Videos von beliebigen anderen Quellen eingebunden sein.

Ortssuche, Umkreissuche sowie die Abfragen bei Wikipedia laufen dagegen über unseren Server — diesen Anbietern wird deine IP-Adresse nicht mitgeteilt. Ausnahme: Bei der Bildauswahl im Editor werden die Vorschaubilder direkt von Wikimedia, Openverse, Unsplash, Pexels und Pixabay in den Browser der erstellenden Person geladen.

Die Schriftart der Seite liefern wir selbst aus. Es entsteht kein Abruf bei Google Fonts.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an einer funktionsfähigen Darstellung ohne eigenen Kachel- und Auslieferungsbetrieb; bei eingebetteten Videos zusätzlich Art. 6 Abs. 1 lit. b DSGVO, weil sie Teil der aufgerufenen Tour sind.

Offen gesagt: Bei eingebetteten Videos wäre eine Zwei-Klick-Lösung der bessere Weg, damit der Kontakt zum Videoanbieter erst nach deiner ausdrücklichen Zustimmung entsteht. Solange es die nicht gibt, weisen wir hier darauf hin.

10a. AR-Ansichten

Manche Stationen lassen sich in erweiterter Realität betrachten. Je nach Einstellung der Tour gilt:

• Kamerabild: Für die Durchsicht fragt dein Browser die Kamera ab. Das Bild wird ausschließlich auf deinem Gerät ausgewertet und nicht übertragen.
• Bildtracking: Dafür wird eine Programmbibliothek nachgeladen — entweder MindAR über jsDelivr oder die Software von Zappar (Zappar Ltd., Vereinigtes Königreich).
• Standortbezogene AR: In dieser Ansicht verfolgt dein Gerät fortlaufend deine Position mit hoher Genauigkeit und nutzt zusätzlich die Bewegungssensoren. Auch diese Daten bleiben auf dem Gerät.
• Öffnen im System-Betrachter: Tippst du auf „In AR öffnen“, übergeben wir die Adresse des 3D-Modells an den AR-Betrachter deines Geräts — unter Android an Google, unter iOS an Apple. Der jeweilige Anbieter lädt das Modell dann selbst.

11. Offline-Nutzung und Speicher auf deinem Gerät

Touren lassen sich für die Offline-Nutzung herunterladen. Dabei legt die Anwendung Daten in deinem Browser ab — Seiten, Tourdaten, Bilder, Audio und Kartenkacheln in mehreren Caches sowie einige Einstellungen im lokalen Speicher (Sprache, Hell-/Dunkelmodus, Liste der heruntergeladenen Touren, ob Antworten vorgelesen werden sollen).

Diese Daten liegen ausschließlich auf deinem Gerät. Du kannst sie über die Funktion „Tour entfernen“ in der App oder über die Browsereinstellungen jederzeit löschen. Zu beachten: Der Kartencache verrät, welche Orte du betrachtet hast.

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG — die Speicherung ist erforderlich, damit der von dir ausdrücklich gewünschte Offline-Dienst funktioniert.

12. Teams, Einladungen und eigene Domains

In Organisationstarifen lassen sich Teammitglieder hinzufügen. Dabei ist wichtig zu wissen, wie das abläuft:

• Gehört die eingetragene E-Mail-Adresse bereits zu einem Konto, wird diese Person dem Team sofort hinzugefügt — derzeit ohne Einladung und ohne Benachrichtigung. Sie erscheint damit für das Team mit Name, E-Mail-Adresse und Profilbild.
• Gehört die Adresse zu keinem Konto, speichern wir sie als offene Einladung und versenden eine E-Mail mit einem Zugangslink.
• Wer diesen Einladungslink besitzt, kann ohne Anmeldung Teamname, die eingeladene E-Mail-Adresse und die vorgesehene Rolle abrufen. Leite den Link deshalb nicht weiter.
• Innerhalb eines Teams sehen alle Mitglieder Name, E-Mail-Adresse und Profilbild der übrigen Mitglieder.

Die Einladungs-E-Mail kann das Logo des Teams enthalten. Wird es von einer fremden Adresse eingebunden, erfährt der dortige Anbieter beim Öffnen der E-Mail deine IP-Adresse und den Zeitpunkt — sofern dein E-Mail-Programm Bilder automatisch nachlädt.

Betreibst du Touren unter einer eigenen Domain, übermitteln wir den Domainnamen an unseren Hoster, damit dieser das Zertifikat ausstellen und die Domain zuordnen kann.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO (Interesse an der Zusammenarbeit im Team).

13. E-Mails

Bestätigungs-, Passwort-Reset- und Einladungs-E-Mails versenden wir über Resend. Übermittelt werden Empfängeradresse, Betreff und Inhalt. Werbliche Newsletter versenden wir derzeit nicht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

14. Fehlerüberwachung

Zur Erkennung und Behebung von Fehlern setzen wir Sentry ein. Dabei werden bei einem Fehler technische Angaben übermittelt: Fehlermeldung, aufgerufene Adresse, Browser- und Gerätetyp, Anfragekopfzeilen und die IP-Adresse. In Einzelfällen können dabei fachliche Angaben mitgehen, etwa eine Nutzer- oder Tourkennung.

Wir wollen an dieser Stelle genau sein: Zum Fehlerbericht gehört auch eine Liste der zuletzt aufgerufenen Adressen. Weil unsere Anwendung den Standort und das Zugriffstoken geteilter Touren als Bestandteil der Adresse überträgt, können in einem Fehlerbericht auch deine Koordinaten und ein solches Token enthalten sein. Wir arbeiten daran, diese Angaben vor dem Versand zu entfernen.

Sentry zeichnet zusätzlich Sitzungsverläufe auf — stichprobenartig etwa jede zehnte Sitzung sowie jede Sitzung, in der ein Fehler auftritt. Aufgezeichnet werden Seitenaufbau, Klickwege und Navigation; Texte und Eingabefelder werden dabei maskiert und Medieninhalte blockiert. Die Daten werden über die deutsche Region von Sentry entgegengenommen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an Stabilität und Sicherheit. Du kannst der Verarbeitung nach Art. 21 DSGVO widersprechen; nutze dafür die Kontaktangaben oben.

15. Empfänger im Überblick

Wir geben personenbezogene Daten nur weiter, soweit es für die genannten Zwecke erforderlich ist. Mit Dienstleistern, die für uns verarbeiten, bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO.

Erstellerinnen und Ersteller können in Touren Inhalte von weiteren Quellen einbetten. Solche Inhalte werden unmittelbar von der jeweiligen Quelle geladen; die Liste oben kann sie deshalb nicht abschließend benennen.

Darüber hinaus geben wir Daten an Behörden weiter, soweit wir dazu gesetzlich verpflichtet sind.

16. Übermittlung in Drittländer

Einige der genannten Empfänger verarbeiten Daten außerhalb der Europäischen Union, insbesondere in den Vereinigten Staaten. Dort besteht kein Datenschutzniveau, das dem der DSGVO in jeder Hinsicht entspricht; insbesondere können Behörden unter bestimmten Voraussetzungen auf Daten zugreifen, und der Rechtsschutz dagegen ist eingeschränkt.

Wir stützen diese Übermittlungen auf die Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO, soweit der jeweilige Empfänger nicht ohnehin unter einen Angemessenheitsbeschluss fällt. Eine Kopie der Garantien stellen wir auf Anfrage zur Verfügung.

Bei den unmittelbar von deinem Browser geladenen Karten- und Programmbausteinen (Abschnitt 10) entsteht der Kontakt technisch bedingt direkt zwischen deinem Gerät und dem Anbieter.

17. Speicherdauer

• Kontodaten bis zur Löschung des Kontos.
• Tourinhalte und Mediendateien bis du sie löschst oder das Konto endet.
• Zahlungs- und Rechnungsdaten entsprechend den handels- und steuerrechtlichen Aufbewahrungsfristen von sechs bzw. zehn Jahren.
• Nutzungsereignisse so lange, wie sie für Kontingente und Auswertungen gebraucht werden.
• Chatfotos und Sprachaufnahmen werden von uns gar nicht gespeichert. Bei den KI-Anbietern können sie für einen begrenzten Zeitraum zur Missbrauchserkennung vorgehalten werden.
• Server- und Fehlerprotokolle für einen kurzen, technisch erforderlichen Zeitraum.

18. Deine Rechte

Nach der DSGVO stehen dir zu:

• Auskunft über die zu dir gespeicherten Daten (Art. 15)
• Berichtigung unrichtiger Daten (Art. 16)
• Löschung (Art. 17)
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit (Art. 20)
• Widerspruch gegen Verarbeitungen, die wir auf ein berechtigtes Interesse stützen (Art. 21)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3) — etwa der Standortfreigabe

Für all das genügt eine formlose Nachricht an info@e-networkers.de oder an unseren Datenschutzbeauftragten.

Offen gesagt: Eine Schaltfläche, mit der du dein Konto selbst löschen oder deine Daten selbst exportieren kannst, gibt es derzeit noch nicht. Bis sie da ist, erledigen wir beides auf Zuruf — schreib uns einfach.

19. Beschwerderecht

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist:

Aufsichtsbehörde

Thüringer Landesbeauftragter für den Datenschutz und die Informationsfreiheit
Häßlerstraße 8, 99096 Erfurt
www.tlfdi.de

20. Sicherheit

Die Übertragung erfolgt durchgängig verschlüsselt (HTTPS). Passwörter werden ausschließlich als Hash gespeichert, der Zugriff auf die Datenbank ist auf das Notwendige beschränkt und serverseitig abgesichert.

21. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich die Anwendung ändert — etwa wenn ein Dienst hinzukommt oder wegfällt. Es gilt jeweils die hier veröffentlichte Fassung; das Datum oben zeigt den Stand.