Datenschutzerklärung

Stand: 22. Oktober 2026

Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten auf dieser Seite im Sinne der Datenschutz-Grundverordnung ist:

Betreiber: Marcel Steinmetz
Anschrift: Lüdemannstr. 66, 24114 Kiel
E-Mail: kontakt@openxtrail.com

Einen Datenschutzbeauftragten muss openXtrail nicht benennen. Art. 37 DSGVO verlangt einen für Behörden, für Stellen, deren Kerngeschäft die umfangreiche Überwachung von Personen ist, und für die umfangreiche Verarbeitung besonderer Datenkategorien; § 38 BDSG ab zwanzig Personen, die ständig mit der Verarbeitung beschäftigt sind. Hier trifft nichts davon zu — openXtrail ist ein privates Projekt einer einzelnen Person. Fragen zum Datenschutz beantwortet deshalb dieselbe Adresse wie alles andere.

Hosting

openXtrail läuft auf einem eigenen Root-Server bei Strato in Deutschland, unter Proxmox VE 9, und ist dort seit dem 27. August 2026 erreichbar. Alles, was auf dieser Seite entsteht — Konten, Touren, Nachrichten, das Kartenmaterial —, liegt auf dieser einen Maschine. Es gibt keine zweite Kopie bei einem anderen Anbieter. Wo überhaupt ein anderes Unternehmen beteiligt ist, steht weiter unten: beim E-Mail-Versand, beim Newsletter und — sobald sie eingerichtet ist — bei der Anmeldung mit Google.

Strato stellt diesen Server bereit und kommt damit technisch an die Daten heran, verarbeitet sie aber ausschließlich für uns und nicht für eigene Zwecke. Das ist eine Auftragsverarbeitung; Art. 28 DSGVO schreibt dafür einen Vertrag zwischen uns und Strato vor, der das Unternehmen an unsere Weisungen und an die Vertraulichkeit bindet.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO — ohne Server keine Seite — und, sobald du ein Konto hast, zusätzlich Art. 6 Abs. 1 lit. b DSGVO.

Server-Protokolle und Missbrauchsschutz

Jede Anfrage an diese Seite hinterlässt eine Zeile im Protokoll des Webservers: die IP-Adresse, an die geantwortet wurde, Datum und Uhrzeit, die angefragte Adresse, den Statuscode, die Größe der Antwort sowie die Kennung des Browsers und die zuvor besuchte Seite, soweit der Browser beides mitschickt. Den geheimen Teil eines geteilten Links oder eines Links zu einer Kontaktanfrage ersetzen wir dabei, bevor die Zeile geschrieben wird; im Zugriffsprotokoll steht er nicht. Nur wenn eine Anfrage scheitert, weil ein Dienst gerade nicht antwortet, kann die vollständige Adresse im Fehlerprotokoll desselben Servers stehen.

Das ist der übliche Umfang eines Webserver-Protokolls, und es dient dem Betrieb: zu sehen, ob die Seite antwortet, und einen gemeldeten Fehler nachvollziehen zu können. Diese Zeilen bleiben auf demselben Server und gehen an niemanden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse ist ein Dienst, der läuft und dessen Fehler auffindbar sind.

Dieselbe Adresse begrenzt außerdem, wie oft hintereinander man sich anmelden, registrieren oder eine Mail anfordern kann — sonst ließen sich Passwörter durchprobieren oder fremde Postfächer mit Bestätigungsmails zuschütten. Die IP-Adresse steht dafür als Teil eines Zählerschlüssels in Redis, dem Zwischenspeicher der Anwendung, und in keiner Tabelle der Datenbank; der Zähler läuft mit seinem Zeitfenster ab, also nach Minuten bis Stunden. Die E-Mail-Adresse, gegen die dabei ebenfalls gezählt wird, liegt dort nur als SHA-256-Prüfsumme.

Die Adresse selbst stammt aus dem letzten Eintrag des Feldes X-Forwarded-For. Dort trägt unser eigener Webserver ein, welchen Absender er gesehen hat; was ein Aufrufer selbst in dieses Feld schreibt, zählt nicht — sonst hätte die Bremse einen Ausschalter.

Eine feste Löschfrist ist für diese Protokolldateien bisher nicht eingerichtet; sie liegen auf dem Server, bis der Dienst neu ausgerollt wird. Das steht hier, weil es so ist — eine Frist zu behaupten, die nirgends eingestellt ist, wäre der bequemere Satz und der falsche.

Dein Konto

Ein Konto brauchst du für alles, was dir gehört: eigene Touren, gespeicherte Routen, eigene Einstellungen. Dafür speichern wir:

E-Mail-Adresse: Deine Anmeldung, und der Weg, auf dem wir dich erreichen — Bestätigung der Registrierung, neues Passwort, Antwort auf eine Anfrage.
Passwort: Nie im Klartext. Gespeichert wird nur ein Hash, aus dem sich das Passwort nicht zurückrechnen lässt; wer die Datenbank läse, könnte sich damit nicht anmelden.
Anzeigename: Der Name, unter dem du auf der Seite auftauchst. Bei der Registrierung trägst du ihn selbst ein; bei einem über Google angelegten Konto bilden wir den ersten aus dem Teil der Adresse vor dem @. Ändern kannst du ihn danach jederzeit unter Einstellungen › Profil.
Profilbild: Nur wenn du eines hochlädst. Es wird auf 256 × 256 Bildpunkte umgerechnet und als WebP in der Datenbank abgelegt, nicht als Datei irgendwo daneben.
Lieblingssportarten: Welche Sportarten dich interessieren; danach richten sich Vorauswahl und Vorschläge.
Zuhause: Ein Punkt auf der Karte mit einer Beschriftung, wenn du einen setzt — der übliche Startpunkt für eine Planung. Freiwillig und jederzeit wieder löschbar.
Einstellungen: Sprache, Einheiten, Sichtbarkeit des Profils, Auffindbarkeit über deinen Namen und — nur wenn du sie einschaltest — über deine E-Mail-Adresse, Benachrichtigungen und die Schriftgröße der Kartenbeschriftung, die unter „Bedienungshilfen“ zu finden ist.

Technisch stehen diese Angaben in den Tabellen users, identities, user_avatars und user_sports. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO: Ohne diese Daten gibt es kein Konto, und das Konto ist das, worum du gebeten hast.

Dazu kommen zwei Tabellen, die nur die Anmeldung am Laufen halten: refresh_tokens für die Sitzungen und email_tokens für die zeitlich begrenzten Links aus Bestätigungs- und Passwortmails. Kurzlebig sind darin die Token selbst — ein abgemeldeter oder abgelaufener Token öffnet nichts mehr. Die Zeile bleibt danach stehen: bei einer Sitzung als Vermerk, dass es sie gab und wann sie endete, bei einem Link als Vermerk, dass er eingelöst wurde. Spätestens mit der Löschung deines Kontos verschwinden sie ganz.

Zu jeder Sitzung merken wir uns eine kurze Gerätebezeichnung wie „Firefox · Windows“, die wir beim Anmelden aus der Kennung deines Browsers ablesen. So siehst du unter Einstellungen › Konto, wo du angemeldet bist, und kannst ein Gerät, das du nicht kennst, einzeln abmelden. Die vollständige Kennung des Browsers und deine IP-Adresse speichern wir dafür nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO: Du sollst erkennen können, ob jemand anderes in deinem Konto angemeldet ist.

Eine siebte Tabelle kommt nur ins Spiel, wenn jemand mit Administrationsrechten auf dieser Seite dein Konto in der Verwaltung öffnet oder etwas daran ändert: admin_actions hält fest, wer wann was getan hat — dein Konto angesehen (siehe unten), eine Rolle geändert, ein Konto gesperrt oder wieder freigegeben, ein Profil oder eine E-Mail-Adresse geändert, die Newsletter-Einwilligung gesetzt oder gelöscht, eine Bestätigungs- oder Passwortmail ausgelöst. Meist steht eine kurze englische Notiz dabei, die sagt, was sich geändert hat — bei einer Adressänderung die vorherige Adresse. Beim Ansehen, beim Sperren, beim Freigeben und bei den beiden Mails bleibt sie leer, weil die Art des Eintrags dort schon alles sagt. Ein Passwort kann dort nicht auftauchen — diese Anwendung kennt keinen Weg, ein fremdes Passwort zu setzen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO: nachvollziehen zu können, was an einem fremden Konto getan wurde, ist der Sinn eines solchen Protokolls.

Öffnet jemand mit Administrationsrechten die Verwaltungsansicht deines Kontos – etwa um eine Meldung, eine Supportanfrage oder einen Missbrauchsverdacht zu prüfen –, sieht er dein Konto unabhängig von deinen Privatsphäre-Einstellungen: Name, E-Mail-Adresse und ob sie bestätigt ist, Rolle und Status, Anmeldearten, Newsletter-Einwilligung, Sprache und Einheiten, wann es angelegt und zuletzt genutzt wurde, deine Profilangaben sowie die Anzahl deiner Touren, Routen, Trips, Folgenden und der Meldungen gegen dich, nicht aber Passwort, Startort oder Inhalte von Nachrichten; jedes solche Öffnen wird in admin_actions festgehalten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der sichere und missbrauchsfreie Betrieb der Plattform.

Name, Geschlecht und Geburtstag

Bei der Registrierung fragen wir zusätzlich nach diesen Angaben, jede mit einem eigenen Zweck:

Vor- und Nachname: Für Rechnungen, sobald es bei openXtrail etwas zu bezahlen gibt. Angezeigt wird beides nirgends — auf der Seite erscheinst du mit deinem Anzeigenamen.
Geschlecht: Für Leistungswerte wie Kalorien und Herzfrequenzzonen, die wir einführen wollen und die von dieser Angabe abhängen. Heute berechnet openXtrail noch keine.
Geburtstag: Für dieselben geplanten Leistungswerte, und weil ein Konto erst ab 16 Jahren möglich ist. Ab diesem Alter kannst du in Deutschland selbst in die Verarbeitung deiner Daten einwilligen (Art. 8 DSGVO).
Zeitpunkt deiner Zustimmung: Wann du bestätigt hast, diese Datenschutzerklärung gelesen zu haben. Wir müssen eine solche Zustimmung belegen können (Art. 7 Abs. 1 DSGVO).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Hast du dich mit Google angemeldet oder dein Konto angelegt, bevor wir diese Angaben erfragt haben, fragen wir beim nächsten Besuch einmal danach. Von Google übernehmen wir dafür nichts — wir fragen dort nur nach deiner E-Mail-Adresse.

Anmeldung mit Google

Auf der Anmeldeseite steht ein Knopf „Mit Google anmelden“. Heute führt er zu einer Fehlermeldung: Bei Google ist kein Zugang für openXtrail eingerichtet, der Server antwortet deshalb abschlägig, und die Seite sagt, dass die Anmeldung mit Google derzeit nicht verfügbar ist. Solange das so bleibt, geht bei einem Druck auf diesen Knopf nichts an Google.

Sobald dieser Zugang eingerichtet ist, wird der Knopf tun, was er verspricht: Dein Browser wird zu Google weitergeleitet, dort meldest du dich bei Google an und bestätigst, dass openXtrail deine Kennung und deine E-Mail-Adresse erfahren darf. Nach deinem Namen fragen wir nicht: Der angefragte Umfang lautet „openid email“. Google schickt daraufhin ein signiertes Token zurück, und daraus lesen wir nicht mehr über dich als die Kennung, die Adresse und den Vermerk, ob Google diese Adresse selbst bestätigt hat. Den Anzeigenamen bilden wir hier selbst, aus dem Teil der Adresse vor dem @; ändern kannst du ihn jederzeit unter Einstellungen › Profil. Verknüpft wird das Konto über die unveränderliche Kennung („sub“) und nicht über die Adresse — eine Adresse bei Google kann wechseln, und wer sie danach bekommt, säße sonst in einem fremden Konto.

Empfänger ist dann Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Google verarbeitet Anmeldedaten auch in den USA; dafür besteht der Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 zum EU-US Data Privacy Framework. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO — du möchtest dich anmelden —, und ausgelöst wird die Weiterleitung erst durch deinen Druck auf den Knopf.

Für die wenigen Minuten dieser Weiterleitung setzt openXtrail dann ein drittes Cookie, das den Rückweg absichert — heute, ohne eingerichteten Zugang, kommt es nie zustande. Was darin steht und wie lange es gilt, steht auf der Cookie-Seite unter /cookies.

Cookies

openXtrail setzt Cookies nur für die Anmeldung: zwei, solange du angemeldet bist, und ein drittes für die wenigen Minuten einer Anmeldung über Google, sobald die möglich ist. Diese Cookies halten dich angemeldet und tun sonst nichts — darin steht weder dein Name noch deine Adresse und nichts über deine Touren.

Solange du dich nicht anmeldest, setzt diese Seite kein einziges Cookie; einen Cookie-Banner gibt es deshalb auch nicht. Namen, Laufzeiten und Merkmale aller drei — und dazu der Entwurf, den der Routenplaner im Browser ablegt — stehen vollständig auf der Cookie-Seite unter /cookies. Rechtsgrundlage für das Speichern auf deinem Gerät ist § 25 Abs. 2 Nr. 2 TDDDG, weil all das technisch notwendig ist und deshalb keine Einwilligung braucht; für die dahinter liegende Verarbeitung Art. 6 Abs. 1 lit. b DSGVO.

Touren, Routen und Standortdaten

Das ist der Teil, der eine Erklärung verdient. Wer Touren speichert, speichert Bewegungsdaten, und die sagen über einen Menschen mehr aus als eine E-Mail-Adresse.

Aufgezeichnete Touren (Tabelle record_trails): die gefahrene oder gelaufene Linie mit Höhe und Zeit an jedem Punkt, dazu der Name der Tour, Startzeitpunkt, Dauer, Strecke, Höhenmeter, Sportart, der nächstgelegene Ort und die Plattform, aus der sie stammt — samt deren Kennung für sie, damit dieselbe Tour nicht zweimal ankommt.
Geplante Routen (planned_routes): die Wegpunkte, das Profil, das gewählte Tempo und der Name, den du vergibst.
Trips, also Radtouren und Campertouren (trips, trip_stages, trip_covers, trip_members, trip_checklist_items, trip_stage_rides): Name, Beschreibung, Status, Start- und Enddatum, Reiserichtung, Start- und Zielort und deine Notizen; je Etappe eine Kopie der verknüpften Route (Linie, Wegpunkte, Profil, Kennzahlen), Titel, Übernachtungsort, Unterkunft, Notizen, Zwischenziele und Zeiten; ein Titelbild, wenn du eins hochlädst, als WebP mit höchstens 1600 Bildpunkten Kantenlänge; deine Checkliste (mit dem Namen dessen, der einen Punkt abgehakt hat); wen du als Reisepartner eingeladen hast, mit welcher Rolle und ob die Einladung angenommen ist; und je Etappe die gefahrene Tour, die du ihr zuordnest. Notizen, Unterkünfte und die Checkliste sind nur für dich und deine Reisepartner sichtbar; ein geteilter Link zeigt sie nicht. Die Touren, die du Etappen zuordnest, siehst nur du – nicht einmal deine Reisepartner. Lädt dich jemand zu einem Trip ein, sieht diese Person deinen Anzeigenamen, dein Profilbild, deine Rolle und ob du angenommen hast; nimmst du an, sehen auch die anderen Reisepartner deinen Namen, dein Bild und deine Rolle. Deine Mitgliedschaft im Trip einer anderen Person speichern wir, bis du sie verlässt, entfernt wirst, einer von euch den anderen blockiert oder der Trip gelöscht wird. Orte entlang der Route (Unterkünfte, Wasser, Bahnhöfe) fragen wir auf unserem Server aus unseren eigenen OpenStreetMap-Daten ab; dabei geht nichts an Dritte.
Fahrzeuge (vehicles, vehicle_photos): Bezeichnung, Fahrzeugtyp, Höhe, Breite, Länge und zulässiges Gesamtgewicht, wenn du willst auch Kennzeichen und ein Foto (als WebP mit höchstens 1600 Bildpunkten Kantenlänge). Die Maße nutzen wir, um Campertouren so zu planen, dass dein Fahrzeug durchpasst. Deine Reisepartner sehen bei einer Campertour Bezeichnung, Typ und Maße des Fahrzeugs, nie Kennzeichen oder Foto; ein geteilter Link zeigt das Fahrzeug gar nicht. Mit deinem Konto löschen wir auch deine Fahrzeuge.
Gespeicherte Orte (saved_places): ein Punkt mit einer Beschriftung, die du selbst wählst — Zuhause, Arbeit, ein Parkplatz am Waldrand.
Hochgeladene GPX-Dateien: Eine Datei wird beim Hochladen ausgelesen und als aufgezeichnete Tour gespeichert. Die Datei selbst behalten wir nicht.
Für Sammlungen (tours) und veröffentlichte Routen (trails) gibt es Tabellen, aber noch keine Oberfläche, die sie füllt; heute steht dort nichts.

Was eine solche Aufzeichnung verrät, sagen wir lieber deutlich: wo du losfährst und wann, wie oft du dieselbe Runde drehst, und — wenn du vor der Haustür startest — wo du wohnst. Genau deshalb ist alles privat, sobald es angelegt wird, und genau deshalb verschwindet all das restlos, wenn du dein Konto löschst.

Jede Tour und jede Route ist privat, bis du sie selbst auf „öffentlich“ stellst — einzeln oder mehrere auf einmal. Unter Einstellungen › Privatsphäre legst du fest, ob neue Touren und neue geplante Routen privat oder öffentlich beginnen; voreingestellt ist privat. Eine öffentliche Tour sehen nur Personen, die auch dein Profil lesen dürfen — wer das ist, steht im nächsten Abschnitt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO: Touren zu speichern ist das, wofür es dieses Konto gibt.

Für die Übernahme aus Komoot oder Garmin öffnet die Seite „Verbindungen“ ein zweites Fenster bei der jeweiligen Plattform, in dem du dort selbst angemeldet bist. Dorthin schicken wir nichts: Dein Browser holt die Touren ab und reicht sie an openXtrail weiter. Unser Server spricht mit keiner der beiden Plattformen.

Profile, Folgen und Blockieren

Angemeldete Personen können einander suchen, Profile ansehen und einander folgen. Wer nicht angemeldet ist, sieht davon nichts.

Suche: über den Anzeigenamen, wenn „Über meinen Namen auffindbar“ an ist, und über die genaue E-Mail-Adresse nur, wenn du „Über E-Mail auffindbar“ eingeschaltet hast. Die Adresse selbst zeigen wir dabei niemandem.
Profil: Ein öffentliches Profil kann jede angemeldete Person lesen, ein privates nur, wer dir folgt und von dir angenommen wurde. Andere sehen von einem privaten Profil nur Namen und Bild. Zu sehen sind ausschließlich Touren und Routen, die du öffentlich gestellt hast — ohne die Herkunft der Datei und ohne den Bezug zu deinen geplanten Routen.
Folgen: Einem öffentlichen Profil folgt man sofort, einem privaten per Anfrage, die du annimmst oder ablehnst. Eine Ablehnung und das Entfernen einer folgenden Person teilen wir niemandem mit. Stellst du dein Profil auf öffentlich, gelten offene Anfragen als angenommen.
Blockieren: Danach seht ihr euch gegenseitig nicht mehr — kein Profil, keine Suche, kein Folgen —, bestehendes Folgen endet, und eure Mitgliedschaft in den Trips des anderen endet ebenfalls. Im Trip einer dritten Person bleibt ihr beide Mitglieder und seht einander dort weiterhin. Die blockierte Person erfährt davon nichts. Die Liste steht unter Einstellungen › Privatsphäre.
Benachrichtigungen: Über eine Folgen-Anfrage, eine neue folgende Person, eine angenommene Anfrage und eine Einladung zu einem Trip wirst du unter der Glocke informiert. Gelesene Einträge löschen wir 7 Tage nach dem Lesen, ungelesene spätestens nach 180 Tagen; du kannst sie dort auch selbst löschen. Eine Einladung zu einem Trip kommt außerdem als Push-Mitteilung, wenn du Push eingeschaltet hast. Per Mail kommen Anfragen und neue Folgende, solange du das unter Einstellungen › Benachrichtigungen nicht abschaltest — jede dieser Mails enthält auch einen Link, der sie abbestellt. Der Link gilt zwölf Monate. Damit er funktioniert, speichern wir zu jedem verschickten Link einen Fingerabdruck (einen Hashwert, aus dem sich der Link nicht zurückrechnen lässt), dein Konto und die Art der E-Mail. Nach den zwölf Monaten löschen wir diesen Eintrag, bei der Löschung deines Kontos sofort. Ob eine solche Mail zugestellt werden konnte, zählen wir für die Statistik.
Neue Touren: Wer dir folgt, sieht deine öffentlichen Touren unter „Neue Touren“, geordnet nach dem Zeitpunkt, zu dem eine Tour zum ersten Mal öffentlich wurde. Diesen Zeitpunkt speichern wir bei der Tour; er bleibt, auch wenn du sie wieder privat stellst. Deine Folgenden bekommen dazu einen Eintrag unter der Glocke („… hat 3 neue Touren veröffentlicht“), der wie jede Benachrichtigung 7 Tage nach dem Lesen, ungelesen spätestens nach 180 Tagen gelöscht wird. Dass du „Neue Touren“ geöffnet hast, zählen wir mit deinem Konto für die Statistik.
Gefällt mir, Kommentare und Meldungen: „Gefällt mir“ und Kommentare zu einer Tour sieht jede Person, die die Tour lesen darf. Wir speichern sie, bis du sie zurücknimmst oder löschst, bis die Tour gelöscht wird oder bis dein Konto gelöscht wird; blockiert ihr euch, entfernen wir sie zwischen euch beiden. Wem die Tour gehört, erfährt es unter der Glocke und bei Kommentaren auch per Mail, solange das unter Einstellungen › Benachrichtigungen nicht abgeschaltet ist. Eine Meldung speichern wir mit deinem Konto; die gemeldete Person erfährt nicht, wer gemeldet hat. Meldungen bewahren wir als Beleg auf; löschst du dein Konto, entfernen wir den Bezug zu dir. Entfernen wir einen Beitrag, schicken wir der betroffenen Person eine Begründung. Rechtsgrundlage ist für die Funktionen Art. 6 Abs. 1 lit. b DSGVO, für die Prüfung von Meldungen Art. 6 Abs. 1 lit. f DSGVO (unser Interesse, die Plattform frei von rechtswidrigen und verletzenden Inhalten zu halten).
Screenshots zu einer Meldung: Einer Meldung kannst du bis zu drei Screenshots beifügen. Wir speichern sie, damit wir die Meldung beurteilen können, und nur wer bei uns Meldungen bearbeitet, sieht sie. Beim Hochladen rechnen wir jedes Bild neu und entfernen dabei alle Metadaten wie Ort, Gerät und Aufnahmezeit. Solange über eine Meldung nicht entschieden ist, bewahren wir ihre Screenshots auf; danach löschen wir sie ein Jahr nach der Entscheidung. Löschst du dein Konto oder die gemeldete Person ihres, bleiben die Screenshots trotzdem bis zum Ablauf dieser Frist gespeichert; nur der Bezug zu dir wird entfernt. Besteht der Verdacht auf rechtswidriges Verhalten, sichern wir eine Meldung mit ihren Screenshots als Beweis, damit es verfolgt werden kann; solange diese Sicherung besteht, löschen wir nichts davon, auch über das eine Jahr hinaus. Wurde eine Tour gemeldet, gilt das auch für sie: Solange die Sicherung besteht, löschen wir die Tour nicht mit dem Konto, und nur wer bei uns Meldungen bearbeitet, sieht sie; endet die Sicherung, löschen wir sie. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse, Meldungen zu prüfen und rechtswidriges Verhalten verfolgen zu lassen) und, wo uns das Gesetz zur Aufbewahrung verpflichtet, Art. 6 Abs. 1 lit. c DSGVO.
Geteilte Links: Für eine eigene Tour, eine Route oder einen Trip kannst du einen Link erstellen — gültig 7 Tage, 30 Tage oder unbegrenzt. Wer ihn hat, sieht die Tour, die Route oder den Trip mit Karte, Kennzahlen und deinem Anzeigenamen, auch ohne Konto und unabhängig davon, ob sie öffentlich ist, bis der Link abläuft oder du ihn unter Einstellungen › Privatsphäre widerrufst. Öffentlich wird sie dadurch nicht. Wie oft ein Link aufgerufen wurde, zählen wir — ohne Bezug zu der Person, die ihn öffnet. Löschst du dein Konto, gelten deine Links nicht mehr.
Push-Mitteilungen: Push schaltest du für jedes Gerät einzeln unter Einstellungen › Benachrichtigungen ein; vorher fragt dein Browser um Erlaubnis. Dann speichern wir für dieses Gerät die Adresse, die der Push-Dienst deines Browsers vergibt, die zugehörigen Schlüssel, eine Gerätebezeichnung aus der Browser-Kennung und wann zuletzt eine Mitteilung gesendet wurde — bis du das Gerät entfernst, dich in diesem Browser abmeldest, dich auf allen Geräten abmeldest, der Browser sich abmeldet oder du dein Konto löschst. Jede Mitteilung geht verschlüsselt an den Push-Dienst des Browser-Herstellers (Google, Mozilla, Apple oder Microsoft), der sie an dein Gerät weiterreicht; er erfährt dabei die Adresse deines Geräts, aber nicht den Inhalt. Eine Mitteilung enthält einen Titel, eine Zeile und einen Link — keine Koordinaten und keinen Kommentartext. Welche Benachrichtigungen als Push kommen, kannst du einzeln ausschalten. Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, die du über die Erlaubnis im Browser und den Schalter gibst und jederzeit widerrufen kannst.

Wer wem folgt und wen blockiert hat, speichern wir, bis es zurückgenommen oder eines der beiden Konten gelöscht wird. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO: Es ist die Funktion, die du nutzt.

Karten

Die Karte kommt vom eigenen Server. Stil, Kacheln, Schriftzeichen und Symbole liegen unter /tiles/ auf demselben Host wie diese Seite; die Kartendaten stammen aus OpenStreetMap und werden bei uns zu fertigen Kacheln gebaut.

Praktisch heißt das: Kein Kartenanbieter — weder Google noch Mapbox noch die Server von OpenStreetMap — bekommt eine Anfrage, wenn du die Karte bewegst. Welchen Ausschnitt du dir ansiehst, erfährt niemand außer dem Server, auf dem ohnehin dein Konto liegt.

Eine Ausnahme machst du selbst: Ziehst du im Planer das gelbe Fahrrad auf die Karte, öffnen wir Google Street View an dieser Stelle in einem neuen Tab. Google erhält dann die Koordinate und, wie bei jedem Besuch dort, deine Browserdaten; es gelten Googles Datenschutzbestimmungen. Ebenso öffnet „Auf Google Maps“ bei einem Ort entlang eines Trips Google Maps mit den Koordinaten dieses Orts in einem neuen Tab, erst wenn du darauf klickst; auch dann gelten Googles Bedingungen. Vorher lädt diese Seite nichts von Google.

Routenberechnung

Routen berechnet eine eigene BRouter-Instanz, die als Container im selben Stack läuft wie alles andere. Start, Ziel und die Punkte dazwischen gehen an diesen Dienst und an keinen anderen; den Server verlassen sie nicht.

Das Wegenetz, auf dem gerechnet wird, ist vorher heruntergeladen: die Routing-Daten von brouter.de und der OpenStreetMap-Auszug, aus dem auch die Karte gebaut wird. Das geschieht einmal je Datenstand, ohne dass dabei jemand die Seite benutzt, und hat mit deiner Anfrage nichts zu tun.

Auch die Ortssuche im Planer fragt niemanden: Getippt wird gegen unsere eigene Tabelle osm.places aus demselben OpenStreetMap-Auszug. Ein fremder Geocoder war die Alternative und wurde verworfen — jeder einzelne Tastendruck wäre an einen anderen Dienst gegangen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO für die Berechnung selbst, die auch ohne Konto funktioniert, und Art. 6 Abs. 1 lit. b DSGVO, sobald du eine Route speicherst.

Nutzungsstatistik

Damit wir sehen, wie der Planer genutzt wird und warum eine Route lange braucht, halten wir einzelne Vorgänge fest: eine berechnete Route mit Profil, Länge, Zahl der Teilstrecken, Ergebnis und wie lange Berechnung, Zwischenspeicher und Anzeige gedauert haben; eine gespeicherte Route; einen GPX-Download; einen Import; eine Registrierung, eine Anmeldung, eine fehlgeschlagene Anmeldung und eine Kontolöschung; eine Personensuche — nur dass gesucht wurde, nie wonach — und den Aufruf eines fremden Profils, ohne festzuhalten, wessen. Wo und wohin du planst, steht darin nie — kein Ort, keine Koordinate.

Solange du angemeldet bist und dein Konto besteht, ist ein solcher Eintrag deinem Konto zugeordnet; fehlgeschlagene Anmeldungen und Löschungen nie. Sehen können das nur Personen mit Administrationsrechten. Zweck sind der Betrieb des Planers, das Finden langsamer Stellen und das Erkennen von Missbrauch; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Eine feste Löschfrist gibt es nicht. Löschst du dein Konto, wird jeder Eintrag von dir gelöst und bleibt nur noch als anonyme Zählung stehen.

Außerdem prüfen wir beim Import einer Tour, ob sie einer deiner geplanten Routen folgt, und vermerken das an der Tour. Den Vermerk siehst du selbst; in der Verwaltung erscheint er nur als Anzahl.

Kontaktformular

Über /kontakt kannst du uns schreiben, auch ohne Konto. Gespeichert werden dein Name, deine E-Mail-Adresse, der Betreff, die Kategorie, der Text der Nachricht und die Bilder, die du anhängst — in den Tabellen contact_threads, contact_entries und contact_attachments.

Jeder Vorgang bekommt eine Nummer und einen Link, unter dem du den Verlauf lesen und antworten kannst; im Link steckt ein Token, von dem bei uns nur eine Prüfsumme liegt. Antwortest du stattdessen einfach per Mail, landet die Antwort über dasselbe Postfach im selben Vorgang.

Ein Vorgang, der auf dich wartet, schließt sich nach 30 Tagen ohne Bewegung von selbst, gerechnet ab der letzten Aktivität darin; eine Nachricht darüber bekommst du. Ein Vorgang, den noch niemand von uns beantwortet hat, läuft dagegen nie ab — er bleibt offen, bis jemand antwortet.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn es um dein Konto geht, und sonst Art. 6 Abs. 1 lit. f DSGVO: Wer schreibt, möchte eine Antwort.

E-Mail-Versand

Jede Mail, die openXtrail verschickt — Bestätigung der Registrierung, neues Passwort, Antwort auf eine Anfrage, Newsletter —, geht über den Mailserver von all-inkl (ALL-INKL.COM – Neue Medien Münnich, Deutschland). Absender ist noreply@openxtrail.com, als Antwortadresse steht kontakt@openxtrail.com darin.

Auch eingehende Post an kontakt@openxtrail.com liegt in einem Postfach bei all-inkl. Von dort holt openXtrail Antworten ab und ordnet sie dem passenden Kontaktvorgang zu.

all-inkl verarbeitet dabei die Empfängeradresse und den Inhalt der Nachricht, und zwar nur für uns. Auch das ist eine Auftragsverarbeitung; Art. 28 DSGVO schreibt dafür einen Vertrag zwischen uns und all-inkl vor.

Löschung und Aufbewahrung

Dein Konto kannst du selbst löschen, unter /konto/loeschen. Der Weg hat zwei Schritte: Du forderst die Löschung an, bekommst eine Mail mit einem Link, und erst der Knopf auf der Seite hinter diesem Link löscht wirklich. So kann kein Mailprogramm, das Links im Hintergrund öffnet, ein Konto aus Versehen auflösen.

Liegt gegen dein Konto noch eine offene Meldung vor, wenn du die Löschung bestätigst, löschen wir dein Konto nicht sofort, sondern deaktivieren es: Du kannst dich nicht mehr anmelden, dein Profil und deine Inhalte sind für niemanden mehr sichtbar, und geteilte Links funktionieren nicht mehr. Deine Daten bleiben bis zum Abschluss der Prüfung erhalten, damit wir die Meldung sachgerecht bearbeiten können (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO, und gegebenenfalls rechtliche Pflichten, Art. 6 Abs. 1 lit. c DSGVO). Sobald die letzte Meldung gegen dich entschieden ist, löschen wir dein Konto und deine Daten automatisch; was als Beweis gesichert ist, bleibt wie oben beschrieben erhalten. Die Deaktivierung und die anschließende Löschung können nicht zurückgenommen werden. Wir informieren dich darüber per E-Mail.

Auf dieser Seite fragen wir nach einem Grund für die Löschung, auf Wunsch mit einer kurzen Anmerkung. Grund und Anmerkung speichern wir ohne Verweis auf dein Konto – ohne Konto, ohne Adresse, mit dem Tag statt der Uhrzeit – und nur, wenn du tatsächlich löschst. Beides dient allein dazu, openXtrail zu verbessern (Art. 6 Abs. 1 lit. f DSGVO). Schreib in die Anmerkung bitte nichts, was dich erkennbar macht.

Gelöscht wird dann, in einem Zug:

E-Mail-Adresse, Passwort und der Vermerk, dass die Adresse bestätigt war
Vor- und Nachname, Anzeigename und Profilbild
Geschlecht, Geburtstag und der Zeitpunkt deiner Zustimmung zu dieser Erklärung
Zuhause, gespeicherte Orte und Lieblingssportarten
alle aufgezeichneten Touren, alle geplanten Routen und alle Trips samt Etappen und Titelbild, deine Mitgliedschaft in den Trips anderer und die Touren, die du dort Etappen zugeordnet hast
die Verknüpfung mit Google, jede Sitzung — auch längst beendete — und jeder Link aus einer Mail, auch schon eingelöste
eine erteilte Einwilligung in Werbemails

Übrig bleibt eine Zeile mit einer Nummer und dem Namen „Gelöschter Nutzer“. Geleert wird daran alles, was dich benennt; die Sichtbarkeit des Profils wird auf privat gesetzt und die Auffindbarkeit über Namen und E-Mail-Adresse abgeschaltet. Stehen bleiben drei Einstellungen, die niemanden benennen — Sprache, Einheiten und die Schriftgröße der Kartenbeschriftung —, dazu die Rolle des Kontos, sein Aktiv-Kennzeichen und die Zeitstempel der Zeile. Was neben dieser Zeile stehen bleibt, steht im nächsten Absatz. Der Grund für die Zeile ist nicht Sparsamkeit: Später sollen Kommentare und Bewertungen an einem Autor hängen, die stehen bleiben dürfen, während die Person verschwindet.

Was das nicht löscht, sagen wir lieber auch. Ein Kontaktvorgang bleibt bestehen — er trägt den Namen und die Adresse, die du dort angegeben hast, und schließt sich nach der Regel weiter oben. Das Versandprotokoll bereits verschickter Newsletter bleibt bestehen, weil es belegt, was wann an wen ging. Hat jemand mit Administrationsrechten dein Konto angesehen oder etwas daran geändert, bleibt auch dieser Eintrag in admin_actions stehen, mitsamt seiner Notiz und damit unter Umständen einer früheren E-Mail-Adresse. Sonst nähme eine Löschung genau die Aufzeichnung mit, die belegt, was mit dem Konto geschehen ist. Deine Einträge in der Nutzungsstatistik bleiben als anonyme Zählung, von dir gelöst. Häkchen, die du in den Checklisten anderer gesetzt hast, bleiben gesetzt, nur ohne deinen Namen. Routen, die du in den Trips anderer als Etappe hinzugefügt hast, bleiben dort als Kopie mit Linie und Namen – auch wenn du den Trip verlässt, daraus entfernt wirst oder dein Konto löschst. Und die Server-Protokolle bleiben, wie sie sind. Verschickte Mails können wir ohnehin nicht zurückholen.

Eine Newsletter-Anmeldung hängt nicht am Konto, sondern an der Adresse: Dafür ist der Abmeldelink der Weg, und der steht in jeder Ausgabe. Einzelne Routen wiederum haben einen Papierkorb — eine gelöschte Route liegt 14 Tage unter /routen und lässt sich in dieser Zeit zurückholen. Ebenso liegt ein gelöschter Trip 14 Tage im Papierkorb unter /trips, und ein gelöschter Eintrag einer Checkliste 14 Tage im Papierkorb unter seiner Liste. Für das Konto gibt es keinen Papierkorb; dessen Löschung ist endgültig.

Kein Tracking, keine Werbung, keine Dritten

Diese Liste ist keine Absichtserklärung, sondern eine Beschreibung: Nichts davon ist in dieser Anwendung eingebaut.

Keine Analyse, keine Reichweitenmessung, keine Besucherzählung — weder mit einem fremden Dienst noch mit einer eigenen.
Keine Werbung, kein Retargeting, keine Werbe-Kennungen, keine Profilbildung.
Keine Social-Media-Plugins und keine Like- oder Teilen-Knöpfe.
Keine externen Schriftarten.
Kein Content Delivery Network und keine eingebetteten Inhalte von fremden Servern.
Kein Consent-Management-Tool und deshalb auch kein Cookie-Banner.

Das ist keine Behauptung, die man glauben muss. Die Oberfläche dieser Seite benutzt zur Laufzeit fünf fremde Programmbibliotheken — maplibre-gl und pmtiles für die Karte, Next.js, React und React DOM für die Seite selbst —, und keine davon ruft irgendwo an; sie liegen alle auf unserem Server.

Fremde Unternehmen, denen openXtrail Daten schickt, sind genau dort beteiligt, wo es oben steht, und nirgends sonst: Strato stellt den Server, all-inkl verschickt und empfängt die Mail, DeepL übersetzt den Text einer Newsletter-Ausgabe, und Google käme hinzu, sobald die Anmeldung mit Google eingerichtet ist. Keines dieser Unternehmen erfährt, wer diese Seite aufruft oder was er sich dort ansieht. Komoot und Garmin stehen deshalb nicht in dieser Liste, obwohl sie weiter oben vorkommen: Dorthin schickt openXtrail nichts; dein eigener Browser öffnet ein Fenster bei einer Plattform, bei der du selbst angemeldet bist.

Deine Rechte

Gegenüber uns hast du die folgenden Rechte:

Auskunft darüber, welche Daten wir über dich verarbeiten (Art. 15 DSGVO)
Berichtigung, wenn etwas falsch oder unvollständig ist (Art. 16 DSGVO)
Löschung (Art. 17 DSGVO)
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Herausgabe deiner Daten in einem gängigen Format, auch zur Übertragung an einen anderen Anbieter (Art. 20 DSGVO)
Widerspruch gegen eine Verarbeitung, die auf einem berechtigten Interesse beruht (Art. 21 DSGVO)

Gesondert zum Widerspruch, weil Art. 21 Abs. 4 DSGVO das so verlangt: Du hast das Recht, jederzeit Widerspruch gegen die Verarbeitung deiner Daten einzulegen, soweit wir uns auf ein berechtigtes Interesse stützen. Darauf stützen sich in dieser Erklärung: das Bereitstellen der Seite überhaupt, die Server-Protokolle samt Missbrauchsschutz, die Verwaltungsansicht deines Kontos und das Verwaltungsprotokoll admin_actions, die Routenberechnung ohne Konto und eine Anfrage über das Kontaktformular, die nichts mit einem Konto zu tun hat. Ein formloser Satz an kontakt@openxtrail.com genügt, Gründe musst du nicht nennen. Danach verarbeiten wir diese Daten nicht weiter — es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen überwiegen.

Eine Einwilligung — heute ist das nur der Newsletter — kannst du jederzeit für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO), ohne dass die Verarbeitung bis zu diesem Zeitpunkt dadurch unrechtmäßig wird.

Vieles davon geht schneller ohne uns: Konto und Einstellungen kannst du selbst ändern, Touren und Routen selbst löschen, das Konto selbst auflösen und den Newsletter mit einem Klick abbestellen. Für alles Übrige schreib an kontakt@openxtrail.com — eine Antwort kommt innerhalb eines Monats (Art. 12 Abs. 3 DSGVO).

Beschwerderecht

Wenn du der Ansicht bist, dass wir mit deinen Daten nicht richtig umgehen, kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren — bei der deines Wohnorts oder bei der, die für uns zuständig ist. Für uns ist das:

Behörde: Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein
Anschrift: Holstenstraße 98, 24103 Kiel

Dieses Recht steht in Art. 77 DSGVO und besteht neben jedem anderen Rechtsbehelf. Eine Beschwerde dort kostet nichts, und vorher bei uns zu fragen ist keine Voraussetzung dafür — auch wenn uns der kürzere Weg lieber wäre.

Maßgebliche Fassung

Maßgeblich ist die deutsche Fassung dieser Datenschutzerklärung. Die englische ist eine Übersetzung zum leichteren Lesen; wo beide voneinander abweichen, gilt die deutsche.