Datenschutzerklärung

Gemäß DSGVO (EU) 2016/679 · Stand: August 2026

1. Verantwortlicher (Art. 13 Abs. 1 lit. a DSGVO)

Christoph Neudorf
aiplusblue · KI-Automatisierung & Softwareentwicklung
Kaiserstraße 67, 44135 Dortmund
Deutschland
E-Mail: hallo@paddlemap.de

PaddleMap ist ein Angebot von aiplusblue. Für Datenschutzanfragen wenden Sie sich bitte an die oben genannte E-Mail-Adresse. Ein gesetzlich benannter Datenschutzbeauftragter ist aufgrund der Unternehmensgröße nicht erforderlich (§ 38 BDSG).

2. Überblick der Datenverarbeitung

Die Landingpage paddlemap.de setzt keine Cookies und kein Analyse-Tool von Drittanbietern ein (kein Google Analytics, Matomo o. Ä., kein Tracking-Pixel). Es werden ausschließlich die unten aufgeführten, für Betrieb und Anmeldung notwendigen Daten verarbeitet.

Auch die App unter www.paddlemap.app setzt keine Cookies, kein Analyse-Werkzeug und keine Dienste Dritter. Sie legt einige technisch notwendige und einige von Ihnen selbst gewählte Angaben im lokalen Speicher Ihres Browsers ab — vollständig aufgeführt in Abschnitt 5.1. Für Registrierung und Login gelten zusätzlich die Abschnitte 5 und 6.

3. Server-Hosting und Logfiles

Diese Website und die App werden auf einem eigenen Server in Deutschland betrieben (Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen). Beim Aufruf werden automatisch folgende Daten in Server-Logfiles gespeichert: IP-Adresse des anfragenden Rechners, Browsertyp und -version, Betriebssystem, Datum und Uhrzeit des Abrufs, aufgerufene URL, HTTP-Statuscode.

Diese Daten werden nicht mit anderen Datenquellen zusammengeführt und dienen ausschließlich der technischen Fehlerdiagnose und Sicherheit (u. a. Absicherung gegen Missbrauch/Brute-Force-Versuche).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren Betrieb).

3.1 Zugriffsprotokoll der App-Schnittstelle (seit 08.08.2026)

Zugriffe auf die Programmierschnittstelle der App (api.paddlemap.de) werden zusätzlich in einem eigenen, bewusst sparsamen Protokoll erfasst. Gespeichert werden ausschließlich:

• Datum und Uhrzeit des Zugriffs,
• HTTP-Methode und aufgerufener Pfad ohne Query-String,
• HTTP-Statuscode und Bearbeitungsdauer,
• die gekürzte IP-Adresse — bei IPv4 wird das letzte Oktett verworfen (z. B. 203.0.113.0), bei IPv6 werden nur die ersten vier Gruppen gespeichert,
• die Browserkennung (User-Agent), auf 160 Zeichen gekürzt,
• bei angemeldeten Zugriffen die Kontonummer (eine Zahl, keine E-Mail-Adresse).

Ausdrücklich nicht gespeichert werden Inhalte von Anfragen (und damit keine Passwörter, Bestätigungscodes oder Tokens), keine HTTP-Kopfzeilen (und damit keine Zugangsmerkmale) und kein Query-String — Bestätigungs- und Passwort-Links tragen ihren Token dort, und ein Protokoll, das solche Links mitschreibt, wäre selbst ein Sicherheitsrisiko.

Zweck: IT-Sicherheit und Fehlersuche. Anlass war ein konkreter Vorfall: Ein E-Mail-Bestätigungslink wurde binnen Sekunden nach der Registrierung aufgerufen, und es ließ sich nicht feststellen, ob dies durch die betroffene Person oder durch einen automatisierten Dienst geschah.

Speicherdauer: sieben Tage. Die Löschung erfolgt automatisch durch eine Ablauffrist im Speichersystem selbst, nicht durch einen nachgelagerten Aufräumvorgang.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit und Funktionsfähigkeit des Dienstes).

4. Early-Access-Warteliste

Wenn Sie sich über das Formular auf der Startseite für den frühen Zugang eintragen, erheben wir Ihre E-Mail-Adresse und (technisch, für den Bestätigungslink) einen zufälligen Token samt Ablaufzeitpunkt. Alles wird in unserer eigenen Datenbank auf dem in Abschnitt 3 genannten Server gespeichert — nicht bei einem externen Newsletter-Anbieter.

Double-Opt-In: Nach der Eintragung erhalten Sie eine Bestätigungsmail mit einem Link. Erst nach Klick auf diesen Link gilt Ihre Anmeldung als bestätigt — damit stellen wir sicher, dass niemand eine fremde E-Mail-Adresse ohne deren Zustimmung einträgt. Der Link ist 48 Stunden gültig; bestätigen Sie in dieser Zeit nicht, wird der Eintrag automatisch und unwiderruflich gelöscht (stündlicher Bereinigungslauf).

Zweck: Benachrichtigung, sobald PaddleMap für neue Nutzer verfügbar ist. Eine Weitergabe an Dritte findet nicht statt.

Speicherdauer: bestätigte Einträge bis zum Versand der Verfügbarkeits-Benachrichtigung oder bis Sie die Löschung anfordern; unbestätigte Einträge automatisch nach 48 Stunden (siehe oben).

Widerruf: Sie können Ihre Eintragung jederzeit per E-Mail an hallo@paddlemap.de löschen lassen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch Eintragung und Bestätigung per Double-Opt-In).

5. Registrierung, Login & Zwei-Faktor-Code (App)

Für die Nutzung der App unter www.paddlemap.app ist ein Konto erforderlich. Bei der Registrierung erheben wir: E-Mail-Adresse, Passwort (verschlüsselt gespeichert, nicht im Klartext), optional Benutzername und Paddel-Typ.

Bei jeder Anmeldung senden wir zusätzlich einen sechsstelligen Sicherheitscode per E-Mail (Zwei-Faktor-Authentifizierung) an die hinterlegte Adresse. Der Code ist 10 Minuten gültig, wird nur verschlüsselt (nicht im Klartext) zwischengespeichert und nach Verwendung sofort gelöscht.

Alle Kontodaten werden ausschließlich in unserer eigenen Datenbank auf dem in Abschnitt 3 genannten Server gespeichert.

Damit eine geöffnete Ansicht nicht mitten in der Nutzung abbricht, hält die App Ihre Anmeldung mit zwei Merkmalen aufrecht: einem kurzlebigen Zugriffsmerkmal (15 Minuten) und einem Erneuerungsmerkmal, mit dem die App im Hintergrund still ein neues Zugriffsmerkmal holt. Serverseitig speichern wir dazu ausschließlich eine zufällige Kennnummer des Erneuerungsmerkmals samt zugehöriger Konto-ID in unserem Zwischenspeicher (Redis) — keine Inhalte, keine Geräte- oder Standortdaten. Jede Erneuerung tauscht das Merkmal aus; die alte Kennnummer wird dabei sofort ungültig, sodass ein abgefangenes Merkmal nicht ein zweites Mal verwendbar ist.

Speicherdauer: Kontodaten bis zur Löschung des Kontos durch Sie oder auf Ihre Anfrage. Die Kennnummer einer Anmeldung wird 7 Tage nach der letzten Nutzung automatisch gelöscht — wird die Anmeldung weiter genutzt, verlängert sich diese Frist jeweils ab der letzten Erneuerung. Beim Abmelden löschen wir die Kennnummer sofort; die Anmeldung ist damit unmittelbar entwertet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung/vorvertragliche Maßnahmen) für Konto und Login; Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Kontosicherheit) für den 2FA-Code.

5.1 Speicherung auf Ihrem Gerät (App)

Die App legt einige Angaben im lokalen Speicher Ihres Browsers ab. Wir verwenden keine Cookies, kein Analyse- oder Werbewerkzeug und keine Dienste Dritter. Nichts von dem Folgenden dient der Analyse, der Reichweitenmessung oder der Werbung; alles ist entweder technisch notwendig oder von Ihnen selbst eingestellt. Vollständige Aufstellung:

Beim Abmelden werden die beiden Anmeldemerkmale sofort entfernt. Ihre Anzeigewahl und geladene Offline-Pakete bleiben ausdrücklich erhalten: Die Anzeigewahl gehört zum Gerät und nicht zum Konto — wer in der Sonne sitzt und dessen Sitzung abläuft, soll keine dunkle Anmeldemaske bekommen —, und Offline-Pakete haben Datenvolumen gekostet; über sie entscheiden Sie in der Paketverwaltung der jeweiligen Tour.

Beim Löschen Ihres Kontos entfernt die App zusätzlich alle Offline-Pakete und deren Inhaltsverzeichnisse von Ihrem Gerät, bevor sie die Löschung beim Server auslöst — der Server kennt diese Pakete nicht und könnte sie deshalb nicht mitlöschen.

Warum ohne Einwilligungsbanner: § 25 Abs. 2 TDDDG verlangt keine Einwilligung für Speicherung, die für einen ausdrücklich gewünschten Dienst unbedingt erforderlich ist. Anmeldemerkmale und App-Grundgerüst sind es; die Anzeigewahl und die Offline-Pakete legen Sie selbst durch eine bewusste Handlung an. Ein Banner für ausschließlich notwendige Speicherung wäre eine Zustimmungsfrage ohne Alternative — und damit irreführend.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) für die Anmeldemerkmale; Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem funktionsfähigen Dienst) für Grundgerüst und Zwischenspeicher.

Löschen können Sie all das jederzeit selbst, indem Sie im Browser die Websitedaten für www.paddlemap.app entfernen; Offline-Pakete zusätzlich über die Schaltfläche „Löschen" bei der jeweiligen Tour.

6. Pegelalarm (App)

Mit einem Konto können Sie sich benachrichtigen lassen, wenn ein Pegel eine von Ihnen gewählte Grenze über- oder unterschreitet. Dafür speichern wir je Regel: die Messstelle, die Bedingung (fällt unter / steigt über / erreicht den amtlichen Sperrwert), den Schwellwert, ob die Regel aktiv ist, den Zeitpunkt der letzten Auslösung sowie einen zufälligen, nur verschlüsselt (als Hashwert) gespeicherten Token für den Abschalt-Link in der Benachrichtigung.

Zweck: Versand genau der Benachrichtigungen, die Sie selbst eingerichtet haben. Es gibt keinen Rundversand: Jede Mail geht aufgrund einer einzelnen, von Ihnen angelegten Regel an Ihre Kontoadresse. Eine Weitergabe an Dritte findet nicht statt, und die Regeln werden nicht ausgewertet, um Profile zu bilden.

Häufigkeit: Je Regel wird höchstens alle 12 Stunden eine Mail versendet, und erst dann wieder, wenn der Pegel Ihre Grenze zwischenzeitlich mit Abstand verlassen hat.

Speicherdauer: bis Sie die Regel löschen — spätestens jedoch mit der Löschung Ihres Kontos. Die Regeln werden dabei technisch zwingend mitgelöscht (Fremdschlüssel mit Löschweitergabe), es bleibt kein Restbestand.

Widerruf: Jede Benachrichtigung enthält einen Link, mit dem Sie die betreffende Regel mit einem Klick und ohne Anmeldung abschalten. Im Dashboard können Sie jede Regel jederzeit abschalten oder löschen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — die Benachrichtigung ist eine von Ihnen angeforderte Funktion des Kontos).

7. E-Mail-Versand

Registrierungs-, Passwort-Reset-, Anmeldecode- und Pegelalarm-Mails versenden wir über unseren E-Mail-Anbieter Strato AG, Otto-Ostrowski-Straße 7, 10249 Berlin, Deutschland (SMTP-Versand). Es handelt sich um einen deutschen Anbieter, eine Auftragsverarbeitung außerhalb der EU findet dabei nicht statt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO (siehe Abschnitte 5 und 6).

8. Auftragsverarbeiter im Überblick

9. Cookies & Tracking

Die Landingpage setzt keine Cookies und kein Tracking. Es werden keine Analyse- oder Werbe-Dienste eingesetzt. Die App verwendet ausschließlich technisch notwendige Sitzungsdaten (Anmelde- und Erneuerungsmerkmal, siehe Abschnitt 5) im lokalen Speicher Ihres Geräts, keine Cookies von Drittanbietern. Beim Abmelden werden diese Daten aus dem lokalen Speicher entfernt.

10. Ihre Rechte (Art. 15–22 DSGVO)

Konto selbst löschen: In der App unter „Konto" löschen Sie Ihr Konto jederzeit selbst — ohne Anfrage bei uns. Dabei werden Ihr Konto samt E-Mail-Adresse und Passwort, alle gespeicherten Touren und alle Alarmregeln sofort und endgültig aus unserer Datenbank entfernt (technisch erzwungen über Fremdschlüssel mit Löschweitergabe, es bleibt kein Restbestand); auf Ihrem Gerät gespeicherte Offline-Pakete werden vor dem Löschen ebenfalls entfernt. Eine Wiederherstellung ist danach nicht möglich.

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) gegen die Verarbeitung Ihrer personenbezogenen Daten. Zur Ausübung dieser Rechte wenden Sie sich an hallo@paddlemap.de. Wir antworten innerhalb von 30 Tagen (Art. 12 Abs. 3 DSGVO).

11. Beschwerderecht bei der Aufsichtsbehörde (Art. 77 DSGVO)

Sie haben das Recht, sich bei der zuständigen Datenschutz-Aufsichtsbehörde zu beschweren. Zuständige Behörde für Nordrhein-Westfalen (Sitz: Dortmund):

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
Kavalleriestraße 2–4, 40213 Düsseldorf
www.ldi.nrw.de

Stand: August 2026