Datenschutzerklärung

Gehört hierher:

• Name und Anschrift des Verantwortlichen (wie Impressum)
• Kontakt für Datenschutzfragen
• Datenschutzbeauftragter, falls bestellt

Gehört hierher:

• Dienstleister, Zweck, Rechtsgrundlage
• Auftragsverarbeitung (Hetzner)
• Speicherort Deutschland, keine Drittlandübermittlung beim Hosting
• Server-Logdaten und Speicherdauer
• Sicherungen und deren Speicherdauer

Was das Portal tatsächlich tut (aus dem Code):

• Website und Datenbank laufen auf einem eigenen Cloud-Server der Hetzner Online GmbH in Nürnberg (Deutschland), seit 12. Oktober 2026 (`deploy/docker-compose.yml`). Die Datenbank (PostgreSQL) ist von außen nicht erreichbar.
• Zugriffe werden nicht protokolliert: Der Webserver (Caddy) schreibt kein Zugriffsprotokoll (`deploy/Caddyfile`). Fehlermeldungen der Dienste behält Docker höchstens 3 × 10 MB je Dienst.
• Sicherungen: täglicher Datenbankabzug auf dem Server, 14 Tage aufbewahrt (`sicherung` in `deploy/docker-compose.yml`), dazu tägliche Server-Sicherungen bei Hetzner, 7 Stück.
• Hochgeladene Bilder der Betriebe liegen im Hetzner Object Storage, Standort Nürnberg (Bucket `wedliva-bilder`, `lib/s3.ts`). Der Browser lädt sie direkt von `wedliva-bilder.nbg1.your-objectstorage.com`; Hetzner erhält dabei die IP-Adresse des Besuchers.
• Die frühere Adresse duvak.vercel.app (Vercel Inc., USA) leitet nur noch auf wedliva.de weiter, bis sie abgeschaltet wird; dort werden keine Daten mehr gespeichert. Die alte Datenbank bei Supabase (EU) wird nach dem Umzug stillgelegt.
• Schriften (Manrope, Newsreader) werden beim Bauen eingebunden und von unserem Server ausgeliefert; der Browser fragt nicht bei Google an (`next/font/google`, `app/layout.tsx`).

Gehört hierher:

• Zweck, Rechtsgrundlage (berechtigtes Interesse)
• Dass nichts gespeichert wird
• Namensnennung DB-IP (Pflicht aus der Lizenz CC BY 4.0)

Was das Portal tatsächlich tut (aus dem Code):

• Die Startseite schätzt die Region, indem unser Server die IP-Adresse in einer eigenen Datei nachschlägt (DB-IP „IP to City Lite“, monatlich erneuert, `lib/ortung.ts`, `deploy/geo-aktualisieren.sh`). Die Adresse verlässt den Server dabei nicht. Gespeichert wird davon nichts, kein Cookie.
• IP Geolocation by DB-IP (https://db-ip.com), lizenziert unter CC BY 4.0.
• Eine selbst gewählte Region merkt sich nur der Browser (`localStorage`, Schlüssel `duvak:region`).

Gehört hierher:

• Zweck (Statistik für die Betriebe)
• Dass kein Personenbezug besteht
• Rechtsgrundlage

Was das Portal tatsächlich tut (aus dem Code):

• Gezählt werden Aufrufe, Anzeigen in Listen, Kontaktklicks, Merken, Vergleich und Anfragen je Betrieb und Tag (`ereignisse_tag`: Tag, Betrieb, Art, Anzahl). Keine IP, kein Cookie, keine Kennung, nichts im Browser (`lib/zaehlen/`).
• Gegen Missbrauch gibt es eine Bremse je Anschluss, die einen Hash der IP-Adresse eine Minute lang im Arbeitsspeicher hält und nicht speichert (`lib/zaehlen/server.ts`).
• Aufrufe des Teams und erkennbare Bots werden nicht gezählt.

Gehört hierher:

• Zweck (Suche verbessern)
• Dass die Einträge anonym sind

Was das Portal tatsächlich tut (aus dem Code):

• Versteht die Suche einen Satz nicht vollständig, wird der Satz ohne Personenbezug gespeichert: klein geschrieben, E-Mail-Adressen, Telefonnummern und Links ersetzt, mit Monat und Zähler (`lib/suchluecken.ts`).

Gehört hierher:

• Welche Daten bei Registrierung und Nutzung
• Rechtsgrundlage (Vertrag)
• Speicherdauer und Löschung
• Gemeinsames Planen: wer was sieht

Was das Portal tatsächlich tut (aus dem Code):

• Ohne Konto bleibt die Planung im Browser (`localStorage`, Schlüssel `duvak:planung` und Hilfsschlüssel `duvak:abgleich`, `duvak:abgleich-basis`, `duvak:sichern-spaeter`).
• Mit Konto: E-Mail, Name (freiwillig), Passwort nur als scrypt-Hash, Planung als JSON, Mitglieder und Einladungen gemeinsamer Planungen (`drizzle/0008_konten.sql`).
• Cookies: `duvak_sitzung` (Anmeldung, httpOnly, 180 Tage, in der Datenbank nur als Hash), `duvak_angemeldet` (nur „1“, damit die Seite weiß, dass sie nachfragen soll), `duvak_google` (kurzlebig während der Google-Anmeldung).
• Gegen Durchprobieren werden Anmeldeversuche mit einem gekürzten Hash als Schlüssel zwei Tage lang gespeichert (`anmeldeversuche`).
• Konto löschen geht in den Einstellungen selbst.

Gehört hierher:

• Anbieter, übermittelte Daten, Rechtsgrundlage
• Drittlandübermittlung

Was das Portal tatsächlich tut (aus dem Code):

• Nur wenn jemand „Mit Google anmelden“ wählt; übernommen werden E-Mail, Name und Google-Kennung (`lib/konto/google.ts`).

Gehört hierher:

• Welche Daten, Zweck, Rechtsgrundlage
• Weitergabe an Betriebe nur mit Häkchen
• Speicherdauer

Was das Portal tatsächlich tut (aus dem Code):

• Gespeichert werden Name, Kontakt, Nachricht und Angaben zur Feier (`anfragen`). Das Team leitet persönlich weiter.
• Kontaktdaten gehen nur an den Betrieb, wenn das Häkchen „Der Betrieb darf sich direkt bei euch melden“ gesetzt ist (nicht vorangekreuzt).

Gehört hierher:

• Herkunft der Betriebsdaten (öffentliche Quellen) und Informationspflicht nach Art. 14 DSGVO
• Widerspruch und Entfernen des Eintrags
• Info-Mail und Briefe: Zweck, Rechtsgrundlage, Abmeldung
• Werbung per E-Mail nur mit Einwilligung (Double-Opt-In), Widerruf
• E-Mail-Versand über Resend: Anbieter, Drittland

Was das Portal tatsächlich tut (aus dem Code):

• Einträge stammen aus Recherche öffentlicher Quellen; ein Widerspruch nimmt den Eintrag sofort vom Portal, die Zeile bleibt als Beleg gesperrt stehen (`widersprochen_am`).
• Die Info-Mail enthält keine Angebote. Höchstens zwei je Betrieb (Info und eine Erinnerung nach frühestens 14 Tagen, nur wenn der Eintrag nicht geöffnet wurde). Kein Zählpixel, keine Öffnungsmessung (`lib/versand/`).
• „Keine weiteren E-Mails“ in jeder Mail setzt `keine_mails_am`; Beschwerden über Resend ebenso.
• Werbung nur nach bestätigter Einwilligung (`anbieter_einwilligungen`, Bestätigung als Hash, 14 Tage gültig).
• Versand über Resend (USA), Absender laut `MAIL_ABSENDER`.
• Bilder der Betriebe nur mit Bestätigung der Rechte (Zeitpunkt und Textfassung je Bild gespeichert).

Gehört hierher:

• OpenStreetMap: erst nach Klick
• Unsplash: Anbieter, übermittelte Daten

Was das Portal tatsächlich tut (aus dem Code):

• Der Lageplan lädt OpenStreetMap erst nach einem Klick (`components/Lageplan.tsx`); vorher keine Verbindung.
• Symbol- und Magazinbilder lädt der Browser direkt von images.unsplash.com — die Bildoptimierung von Next.js ist abgeschaltet (`images.unoptimized` in `next.config.ts`). Unsplash erhält dabei die IP-Adresse des Besuchers.

Gehört hierher:

• Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch
• Beschwerderecht bei einer Aufsichtsbehörde