Datenschutzerklärung

1. Verantwortlicher

Christian Nachtigall
Karwendelstr. 21
82061 Neuried
E-Mail: christian@nachtigall.dev

2. Überblick der Verarbeitungen

Marktvogt ist ein Verzeichnis für Mittelaltermärkte und historische Feste. Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung der Funktionen unserer Website erforderlich ist. Die Verarbeitung erfolgt auf Grundlage der DSGVO (Datenschutz-Grundverordnung).

3. Hosting

Diese Website wird auf Infrastruktur von itsh.dev gehostet. Beim Aufruf unserer Website werden durch den Hostinganbieter automatisch Informationen in sogenannten Server-Logfiles erfasst. Dazu gehören:

• IP-Adresse des zugreifenden Geräts
• Datum und Uhrzeit der Anfrage
• HTTP-Methode und aufgerufene URL
• HTTP-Statuscode
• Antwortzeit des Servers

Diese Daten werden zur Sicherstellung eines störungsfreien Betriebs erhoben und zur Erkennung von Missbrauch ausgewertet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

4. Registrierung und Benutzerkonto

Sie können auf unserer Website ein Benutzerkonto erstellen. Dabei werden folgende Daten verarbeitet:

• E-Mail-Adresse – zur Identifikation und Kommunikation
• Passwort – wird ausschließlich als bcrypt-Hash gespeichert; das Klartext-Passwort wird nicht gespeichert
• Anzeigename – frei wählbarer Name zur Darstellung im Profil
• Profilbild-URL – sofern über einen OAuth-Anbieter bereitgestellt

Die Verarbeitung erfolgt auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) sowie zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Ihr Konto kann jederzeit gelöscht werden.

5. Anmeldung über Drittanbieter (OAuth)

Sie können sich mit einem bestehenden Konto bei folgenden Anbietern anmelden:

• Google – Abgerufene Daten: E-Mail-Adresse, Name, Profilbild, E-Mail-Verifizierungsstatus
• GitHub – Abgerufene Daten: E-Mail-Adresse (primäre, verifizierte E-Mail)
• Facebook – Abgerufene Daten: E-Mail-Adresse, Name, Profilbild

Wir speichern die vom Anbieter übermittelten Daten (Anbieter-ID, Name, E-Mail) sowie ein Zugriffstoken zur Verifizierung der Verknüpfung. Die OAuth-Anmeldung erfolgt auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie können die Verknüpfung jederzeit in Ihren Profileinstellungen aufheben. Bitte beachten Sie die Datenschutzerklärungen der jeweiligen Anbieter:

• Google Datenschutzerklärung
• GitHub Datenschutzerklärung
• Facebook Datenschutzerklärung

6. Magic-Link-Anmeldung

Sie können sich über einen per E-Mail versendeten Einmal-Link (Magic Link) anmelden. Dabei wird Ihre E-Mail-Adresse verarbeitet und ein einmalig gültiger, zeitlich begrenzter Token (15 Minuten) erzeugt. Der Token wird als SHA-256-Hash gespeichert und nach Verwendung ungültig. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

7. Sitzungsverwaltung (Sessions)

Nach der Anmeldung wird eine Sitzung erstellt. Dabei werden folgende Daten gespeichert:

• IP-Adresse – zum Zeitpunkt der Sitzungserstellung
• User-Agent – Browserkennung zum Zeitpunkt der Anmeldung
• Sitzungstoken – als SHA-256-Hash gespeichert

Sitzungen laufen nach 30 Tagen automatisch ab. Die Speicherung dient der Sicherheit Ihres Kontos (Erkennung ungewöhnlicher Anmeldeaktivitäten). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Kontosicherheit).

8. Zwei-Faktor-Authentifizierung (2FA)

Optional können Sie die Zwei-Faktor-Authentifizierung über ein TOTP-Verfahren (z. B. Google Authenticator) aktivieren. Dabei wird ein kryptografisches Geheimnis (TOTP-Secret) mit Ihrem Konto verknüpft gespeichert. Dieses wird bei Deaktivierung der 2FA oder Löschung des Kontos gelöscht.

9. Cookies und lokale Speicherung

Wir verwenden ausschließlich technisch notwendige Cookies:

Zusätzlich wird im localStorage des Browsers die Einstellung für das Farbschema (marktvogt-theme) gespeichert. Dies enthält keine personenbezogenen Daten.

Es werden keine Tracking-, Analyse- oder Werbe-Cookies eingesetzt.

10. Standortdaten

Für die Umkreissuche nach Märkten können Sie optional Ihren Standort freigeben. Dabei kommen zwei Verfahren zum Einsatz:

• Browser-Geolokalisierung – Ihr Browser fragt Ihre Erlaubnis, bevor Standortdaten bereitgestellt werden. Die Koordinaten werden nicht auf unserem Server gespeichert, sondern nur zur einmaligen Berechnung der Entfernung zu Märkten verwendet.
• IP-basierte Geolokalisierung (Fallback) – Falls die Browser-Geolokalisierung nicht verfügbar ist, wird der Dienst geojs.io zur ungefähren Standortbestimmung genutzt. Dabei wird Ihre IP-Adresse an geojs.io übermittelt. Bitte beachten Sie die Datenschutzerklärung von geojs.io.

11. Kartendarstellung

Zur Darstellung von Karten verwenden wir Leaflet mit Kartenkacheln von OpenStreetMap. Beim Laden der Karte werden Kartendaten von den Servern der OpenStreetMap Foundation (tile.openstreetmap.org) abgerufen. Dabei wird Ihre IP-Adresse an die OpenStreetMap Foundation übermittelt. Weitere Informationen finden Sie in der Datenschutzerklärung der OpenStreetMap Foundation.

Die Leaflet-Bibliothek wird über unpkg.com (CDN) geladen. Dabei kann Ihre IP-Adresse an den CDN-Betreiber übermittelt werden.

12. Ihre Rechte

Sie haben gemäß DSGVO folgende Rechte bezüglich Ihrer personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO) – Sie können Auskunft über Ihre gespeicherten Daten verlangen.
• Berichtigung (Art. 16 DSGVO) – Sie können die Berichtigung unrichtiger Daten verlangen.
• Löschung (Art. 17 DSGVO) – Sie können die Löschung Ihrer Daten verlangen.
• Einschränkung (Art. 18 DSGVO) – Sie können die Einschränkung der Verarbeitung verlangen.
• Datenübertragbarkeit (Art. 20 DSGVO) – Sie können Ihre Daten in einem maschinenlesbaren Format erhalten.
• Widerspruch (Art. 21 DSGVO) – Sie können der Verarbeitung auf Basis berechtigter Interessen widersprechen.
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO) – Erteilte Einwilligungen können jederzeit widerrufen werden.

Zur Ausübung Ihrer Rechte wenden Sie sich an: christian@nachtigall.dev

13. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren. Die für uns zuständige Aufsichtsbehörde ist:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18
91522 Ansbach
www.lda.bayern.de

14. Datenlöschung und Speicherdauer

Personenbezogene Daten werden gelöscht, sobald der Zweck der Speicherung entfällt:

• Benutzerkonto – Bei Löschung Ihres Kontos werden Ihre Daten zunächst für 30 Tage zur möglichen Wiederherstellung aufbewahrt und anschließend endgültig gelöscht.
• Sitzungsdaten – Automatische Löschung nach Ablauf (30 Tage).
• Magic-Link-Tokens – Laufen nach 15 Minuten ab.
• Server-Logfiles – Werden nach den beim Hostinganbieter üblichen Fristen gelöscht.