Datenschutzerklärung

1. Datenschutz auf einen Blick

Allgemeine Hinweise

Die folgenden Hinweise geben einen Überblick darüber, was mit Ihren personenbezogenen Daten passiert, wenn Sie unsere Angebote nutzen. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können. Diese Datenschutzerklärung gilt für:

• die Website cyface.de,
• die Web-Anwendung Cyface Dashboard unter cyface.de/app,
• die mobile Cyface-App für Android und iOS.

Verantwortliche Stelle

Ansprechpartner für den Datenschutz: Dr. Klemens Muthmann, klemens.muthmann@cyface.de

Wie erfassen wir Ihre Daten?

Ihre Daten werden zum einen dadurch erhoben, dass Sie uns diese mitteilen, zum Beispiel bei der Registrierung oder wenn Sie uns kontaktieren. Andere Daten werden automatisch beim Besuch der Website, bei der Nutzung des Dashboards und bei der Erfassung mit der App durch unsere IT-Systeme erfasst.

Wofür nutzen wir Ihre Daten?

Wir verarbeiten Ihre Daten, um die Website, das Dashboard und die App bereitzustellen, Nutzerkonten zu verwalten, die mit der App erfassten Daten auszuwerten und darzustellen, die Sicherheit und Stabilität unserer Systeme zu gewährleisten sowie die Website und den Registrierungsprozess auszuwerten und zu verbessern.

Welche Rechte haben Sie?

Sie haben nach Maßgabe der gesetzlichen Voraussetzungen insbesondere Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit, Widerspruch sowie Beschwerde bei einer Datenschutzaufsichtsbehörde. Details finden Sie in Abschnitt 8.

2. Hosting und Speicherung

Unsere Website, das Dashboard und die Server, an welche die App Daten überträgt, werden bei der Hetzner Online GmbH und der netcup GmbH gehostet.

Beide Anbieter verarbeiten personenbezogene Daten als Auftragsverarbeiter. Zu diesem Zweck wurde jeweils ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO abgeschlossen. Im Falle eines Angriffs kann netcup automatisch Logdateien erheben, die personenbezogene Daten enthalten können. Diese Daten werden maximal 14 Tage lang aufbewahrt. Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einer sicheren, stabilen und effizienten Bereitstellung unserer Angebote.

3. Website

Server-Logfiles

Bei jedem Aufruf unserer Website und des Dashboards erfasst unser System automatisch Daten, die Ihr Browser übermittelt. Dazu gehören insbesondere:

• IP-Adresse des aufrufenden Geräts
• Datum und Uhrzeit des Zugriffs
• Aufgerufene Seite bzw. Datei und übertragene Datenmenge
• Meldung, ob der Abruf erfolgreich war
• Verwendeter Browser und verwendetes Betriebssystem
• Referrer-URL

Diese Daten sind technisch erforderlich, um Ihnen die Website anzuzeigen und die Stabilität und Sicherheit zu gewährleisten. Eine Zusammenführung mit anderen Datenquellen und eine Auswertung zu Werbezwecken finden nicht statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Logfile-Daten werden nach spätestens sieben Tagen gelöscht oder so verändert, dass eine Zuordnung zum aufrufenden Client nicht mehr möglich ist, es sei denn, eine längere Speicherung ist zur Aufklärung von Sicherheitsvorfällen oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich.

Keine Cookies, keine Dienste von Drittanbietern

Die Website setzt keine Cookies und keine Analyse- oder Tracking-Dienste von Drittanbietern ein und bindet keine Inhalte von Drittanbietern ein. Schriftarten und Bilder werden von unserem eigenen Server ausgeliefert. Beim Aufruf der Website wird keine Verbindung zu externen Servern hergestellt.

Nutzungsstatistiken

Zur Verbesserung der Website und des Registrierungsprozesses und zur Auswertung, über welche Kanäle Nutzer auf Cyface aufmerksam werden, können wir die Aufrufe der Website und die Registrierungen in zusammengefasster Form zählen. Dabei werden insbesondere folgende Informationen verarbeitet:

• Aufgerufene Seite bzw. Kampagnenkennung
• Referenz-Code aus der URL
• Kategorie der Verkehrsquelle, zum Beispiel die Kennung einer Kampagne oder eine Anzeige
• Tag des Seitenaufrufs bzw. der Registrierung

Die Verkehrsquelle ermitteln unsere Server aus der Adresse der aufgerufenen Seite. Kennungen aus Werbe-Links, zum Beispiel Klick-IDs, werden dabei nur einer Kategorie zugeordnet und nicht gespeichert. Die Aufrufe werden je Verkehrsquelle und Tag gezählt. Für diese Statistiken wird keine Kennung in Ihrem Browser gespeichert (kein Cookie, kein localStorage, kein sessionStorage) und kein Besucherprofil gebildet. Die Zählwerte der Aufrufe werden nicht mit Ihrem Nutzerkonto verknüpft. Registrierungen zählen wir anhand der Angaben, die bei der Registrierung gespeichert werden (siehe Abschnitt 4).

Diese Daten werden ausschließlich für interne Auswertungen verwendet. Sie werden nicht an Dritte weitergegeben und nicht für Werbung durch Dritte verwendet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Analyse und Verbesserung der Website und des Registrierungsprozesses und der Erfolgsmessung unserer Einladungs- und Informationskanäle.

Kontaktaufnahme

Wenn Sie uns per E-Mail, Telefon oder in einem Termin kontaktieren, verarbeiten wir Ihre Angaben, um Ihre Anfrage und mögliche Anschlussfragen zu bearbeiten. Notizen zu Gesprächen bewahren wir auf, soweit sie für die Geschäftsbeziehung relevant sind, zum Beispiel Rückmeldungen und Fragen.

Die Schaltflächen „E-Mail schreiben“ öffnen einen Entwurf in dem E-Mail-Programm, das Sie eingerichtet haben. Der Entwurf enthält bereits Angaben zum Kontext Ihrer Anfrage, zum Beispiel das Thema Ihrer Anfrage und die Seite, von der aus Sie schreiben; Sie können ihn vor dem Senden ändern. Wir erhalten diese Angaben erst, wenn Sie die E-Mail senden. Nutzen Sie einen webbasierten E-Mail-Dienst, erhält dieser den Entwurf bereits beim Öffnen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anbahnung bzw. Erfüllung eines Vertrags) bzw. Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an der Bearbeitung Ihrer Anfrage). Wir bewahren Nachrichten und Notizen auf, solange sie für die Geschäftsbeziehung erforderlich sind, mindestens für die gesetzlichen Aufbewahrungsfristen von Geschäftsbriefen. Auf Wunsch löschen wir Ihre Daten, soweit keine Aufbewahrungspflicht besteht.

4. Registrierung und Nutzerkonto

Für die Nutzung des Dashboards und der App ist eine Registrierung erforderlich. Die Registrierung und die Anmeldung erfolgen über unseren Anmeldedienst (Keycloak), der auf unseren Servern betrieben wird. Folgende Daten werden dabei verarbeitet:

• Vor- und Nachname
• Kommune (oder „keine Angabe“)
• E-Mail-Adresse
• Passwort bzw. Authentifizierungsdaten
• Zeitpunkt der Registrierung und der Zustimmung zu dieser Datenschutzerklärung bzw. den Nutzungsbedingungen
• Gegebenenfalls ein Einladungs-Code, -Link oder -QR-Code, mit dem das Nutzerkonto verbunden wird; Sie werden darüber bei der Registrierung informiert und können sich auch ohne Einladung registrieren

Die Registrierung dient der Erstellung und Verwaltung Ihres Nutzerkontos, der Anmeldung, der Darstellung der von Ihnen selbst erfassten Daten sowie der Löschung dieser Daten gemäß Art. 17 DSGVO. Die Zustimmung zu dieser Datenschutzerklärung bzw. den Nutzungsbedingungen wird im Rahmen der Registrierung serverseitig im Anmeldedienst gespeichert. Der Anmeldedienst setzt technisch notwendige Cookies, mit denen er Ihre Sitzung während und nach der Anmeldung erkennt (§ 25 Abs. 2 Nr. 2 TDDDG). Eine Weitergabe der Registrierungsdaten an Dritte findet nicht statt, soweit in dieser Datenschutzerklärung nichts anderes angegeben ist.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Registrierung der Erfüllung eines Vertrags oder der Durchführung vorvertraglicher Maßnahmen dient, und im Übrigen Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, registrierten Nutzern den Zugang zum Dashboard und zur App bereitzustellen. Die Daten werden gelöscht, sobald das Nutzerkonto gelöscht wird und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Sie können Ihr Nutzerkonto im Dashboard oder in der App löschen oder die Löschung bzw. Änderung unter support@cyface.de verlangen.

Anti-Bot-Dienst hCaptcha

Auf der Registrierungsseite verwenden wir den Anti-Bot-Dienst hCaptcha der Intuition Machines, Inc., USA. hCaptcha prüft, ob Eingaben von einem Menschen oder einem automatisierten Programm stammen, und schützt die Registrierung vor Missbrauch und Spam. Dazu kann hCaptcha insbesondere die IP-Adresse, Browser- und Geräteinformationen, die Verweildauer und Interaktionsdaten wie Mausbewegungen verarbeiten.

Intuition Machines verarbeitet die Daten als Auftragsverarbeiter; zu diesem Zweck wurde ein Auftragsverarbeitungsvertrag abgeschlossen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im Schutz unserer Dienste vor automatisiertem Missbrauch. Daten können in die USA übertragen werden; dies erfolgt auf Grundlage des EU-US Data Privacy Framework bzw. von Standardvertragsklauseln. Weitere Informationen: https://www.hcaptcha.com/privacy

5. Cyface Dashboard

Speicherung von Daten im Browser

Das Dashboard speichert im localStorage Ihres Browsers die für die Anmeldung technisch notwendigen Daten: die Authentifizierungs-Token (Access-, Refresh- und ID-Token) und deren Ablaufzeitpunkt, Ihren Benutzernamen und Ihre Nutzerkennung sowie die Konfiguration des Anmeldedienstes. Während der Anmeldung speichert das Dashboard außerdem kurzzeitig die Anmeldeanfrage mit ihren Sicherheitsparametern; sie wird nach Abschluss der Anmeldung gelöscht. Die Kartenbibliothek von Mapbox speichert dort eine zufällige Kennung (siehe „Kartendienst Mapbox“). Die Token werden bei Anfragen an unsere Server verwendet, um Sie zu authentifizieren. Beim Abmelden werden diese Daten gelöscht. Cookies setzt das Dashboard nicht; zu den Cookies des Anmeldedienstes siehe Abschnitt 4.

Im sessionStorage können temporäre Daten gespeichert werden, die für die aktuelle Nutzung erforderlich sind, zum Beispiel eine Sitzungskennung und temporäre Zustände der Anwendung. Der sessionStorage wird automatisch gelöscht, sobald der Browser-Tab geschlossen wird.

Die Speicherung und der Zugriff erfolgen, da unbedingt erforderlich, auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG; die weitere Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO bzw., soweit einschlägig, Art. 6 Abs. 1 lit. b DSGVO.

Kartendienst Mapbox

Das Dashboard nutzt nach der Anmeldung in der Kartenansicht den Kartendienst Mapbox der Mapbox, Inc., USA, um Karten, Kartenkacheln und die Adresssuche bereitzustellen. Dabei wird eine Verbindung zu Servern von Mapbox aufgebaut und es können insbesondere die IP-Adresse, technische Browser- und Geräteinformationen, der Zeitpunkt der Anfrage, die angeforderten Kartenausschnitte sowie Suchanfragen der Adresssuche übertragen werden. Die Kartenbibliothek speichert im localStorage eine zufällige Kennung und den Zeitpunkt der letzten Übermittlung; Mapbox nutzt diese Daten, um die Kartenaufrufe zu zählen. Auf der öffentlichen Website wird Mapbox nicht geladen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der kartengestützten Darstellung der Auswertungen. Soweit die Kartenfunktionen zur Bereitstellung vertraglich geschuldeter Leistungen erforderlich sind, ist zusätzliche Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO. Mit Mapbox wurde ein Auftragsverarbeitungsvertrag abgeschlossen, soweit Mapbox personenbezogene Daten in unserem Auftrag verarbeitet. Mapbox kann Daten in die USA übertragen; dies erfolgt auf Grundlage des EU-US Data Privacy Framework bzw. weiterer geeigneter Garantien. Weitere Informationen: https://www.mapbox.com/legal/privacy

Fehler-Tracking durch Sentry

Zur Sicherstellung eines stabilen und sicheren Betriebs verwenden wir im Dashboard nach der Anmeldung Sentry, einen Dienst der Functional Software Inc., USA. Sentry dient der Erkennung, Analyse und Behebung technischer Fehler. Die Verarbeitung erfolgt auf Servern in der Europäischen Union (EU-Datenresidenz). Sentry wird nach der Anmeldung gestartet und beim Abmelden beendet. Eine gesonderte Einwilligung ist hierfür nicht erforderlich, da die Verarbeitung der Stabilität, Sicherheit und Funktionsfähigkeit des Dashboards dient und in dieser Datenschutzerklärung beschrieben wird.

Im Falle eines Fehlers können insbesondere folgende Informationen an Sentry übermittelt werden:

• Fehlermeldungen und technische Details des Fehlers
• Informationen über die Nutzung des Dashboards unmittelbar vor dem Fehler (sogenannte Breadcrumbs)
• Datum und Uhrzeit des Fehlers
• Technische Informationen wie Betriebssystem, Browser und Bildschirmauflösung
• Die Adresse der Seite, auf welcher der Fehler aufgetreten ist, ohne Authentifizierungsdaten
• Die Version der Anwendung

Sentry ist so konfiguriert, dass Authentifizierungsdaten wie Token, Cookies und Passwörter vor der Übertragung entfernt und keine IP-Adressen und Nutzerdaten in den Fehlerereignissen gespeichert werden. Beim technischen Verbindungsaufbau kann die IP-Adresse dennoch verarbeitet werden. Session Replay ist nicht aktiviert. Die Daten werden nicht zu Werbezwecken verwendet und spätestens nach 90 Tagen gelöscht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Stabilität, Sicherheit und Funktionsfähigkeit des Dashboards. Functional Software Inc. verarbeitet die Daten als Auftragsverarbeiter; zu diesem Zweck wurde ein Auftragsverarbeitungsvertrag abgeschlossen. Sie können der Verarbeitung gemäß Art. 21 DSGVO aus Gründen, die sich aus Ihrer besonderen Situation ergeben, widersprechen; wenden Sie sich dazu an support@cyface.de. Weitere Informationen: https://sentry.io/privacy/

6. Cyface-App

Erfasste Daten

Während einer Erfassung mit der App werden folgende Daten kontinuierlich aufgezeichnet:

• Geokoordinaten (geografische Länge, Breite, Höhe und geschätzte horizontale und vertikale Genauigkeit)
• Luftdruckdaten des Barometers zur Berechnung der Höhe
• 3-Achsen-Beschleunigungsdaten, 3-Achsen-Winkelbeschleunigungsdaten und 3-Achsen-Magnetometerdaten
• Eine pseudonyme Kennung, mit der Daten desselben Geräts erkannt werden können
• Die Zuordnung zu Ihrem Nutzerkonto
• Das Modell des Smartphones und die Version des Betriebssystems

Die Geodaten werden im Abstand von wenigstens einer Sekunde erfasst, die übrigen Sensordaten bis zur maximalen von der Hardware unterstützten Frequenz. Die Daten werden über eine verschlüsselte Verbindung an unsere Server in Deutschland übertragen und dort zur weiteren Verarbeitung gespeichert. Die Erfassung starten und beenden Sie selbst in der App.

Zweck und Rechtsgrundlage

Wir werten die Daten aus, um insbesondere den Zustand von Radwegen und Verkehrsinformationen zu ermitteln. Die Ergebnisse stellen wir Ihnen im Dashboard dar. In aggregierter und anonymisierter Form stellen wir sie in kartografischen Darstellungen sowie unseren Partnern für Auswertungen und darauf aufbauende Anwendungen zur Verfügung.

Im Rahmen von Forschungs- und Entwicklungsprojekten werden die erfassten Daten den Partnern dieser Projekte zugänglich gemacht. Mit diesen Partnern besteht eine schriftliche Vereinbarung über die gemeinsame Verantwortlichkeit nach Art. 26 DSGVO.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Erfassung der Erfüllung eines Vertrags mit Ihnen dient, und im Übrigen Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, die Sie mit der Registrierung und dem Start einer Erfassung erteilen. Für die Speicherung in Logfiles ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO.

Speicherdauer und Löschung

Die Messdaten werden gelöscht, sobald der Zweck der Speicherung entfällt (zum Beispiel mit Abschluss des zugehörigen Projekts) oder wenn Sie die Daten oder Ihr Nutzerkonto löschen. Einträge in Logfiles werden nach spätestens sieben Tagen gelöscht oder so verändert, dass eine Zuordnung nicht mehr möglich ist. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie keine weiteren Erfassungen starten und die Löschung Ihrer Daten in der App oder unter support@cyface.de veranlassen.

Kartendienst Google Maps (Android)

Die Android-App zeigt Ihre Position und Ihre Fahrten auf einer Karte an. Dazu nutzt sie den Kartendienst Google Maps der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Beim Anzeigen der Karte wird eine Verbindung zu Servern von Google aufgebaut. Dabei können insbesondere die IP-Adresse, Geräteinformationen, der angezeigte Kartenausschnitt und der Zeitpunkt der Anfrage an Google übertragen werden. Die iOS-App enthält keine Karte.

Zur Bestimmung der Position nutzt die Android-App die Standortdienste des Betriebssystems (Google Play-Dienste). Je nach den Einstellungen Ihres Geräts, zum Beispiel der Google-Standortgenauigkeit, kann Google dabei Standortdaten nach eigenen Bestimmungen verarbeiten. Diese Einstellungen können Sie in den Standorteinstellungen Ihres Geräts ändern.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der kartengestützten Darstellung Ihrer Erfassungen in der App. Google kann Daten in die USA übertragen; dies erfolgt auf Grundlage des EU-US Data Privacy Framework bzw. von Standardvertragsklauseln. Weitere Informationen: https://policies.google.com/privacy

Fehler-Tracking durch Sentry (Android)

Zur Sicherstellung eines stabilen und sicheren Betriebs verwenden wir in der Android-App nach der Anmeldung Sentry (siehe Abschnitt 5). Sentry wird nach der Anmeldung gestartet und beim Abmelden beendet. Im Falle eines Fehlers können insbesondere Fehlermeldungen, Informationen über die Nutzung der App unmittelbar vor dem Fehler, Datum und Uhrzeit, Geräteinformationen (Betriebssystem, App-Version, Gerätemodell), der Zustand des Geräts (zum Beispiel Akkustand, Speicher, Verbindungstyp, Sprache, Zeitzone) und eine pseudonyme Gerätekennung übermittelt werden. Authentifizierungsdaten und Nutzerdaten werden vor der Übertragung entfernt. Die Verarbeitung erfolgt auf Servern in der Europäischen Union. Die iOS-App verwendet kein Fehler-Tracking.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Stabilität, Sicherheit und Funktionsfähigkeit der App. Sie können der Verarbeitung gemäß Art. 21 DSGVO aus Gründen, die sich aus Ihrer besonderen Situation ergeben, widersprechen; wenden Sie sich dazu an support@cyface.de. Die Daten werden spätestens nach 90 Tagen gelöscht.

7. SSL- bzw. TLS-Verschlüsselung

Die Website, das Dashboard und die App nutzen eine SSL- bzw. TLS-Verschlüsselung zur sicheren Übertragung von Daten. Eine verschlüsselte Verbindung erkennen Sie daran, dass die Adresszeile des Browsers mit „https://“ beginnt und in vielen Browsern ein Schloss-Symbol angezeigt wird.

8. Rechte der betroffenen Person

Wenn personenbezogene Daten von Ihnen verarbeitet werden, stehen Ihnen nach Maßgabe der gesetzlichen Voraussetzungen insbesondere folgende Rechte zu:

• Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung Ihrer Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
• Beschwerde bei einer Datenschutzaufsichtsbehörde (Art. 77 DSGVO)

Zur Ausübung Ihrer Rechte genügt eine formlose Nachricht an support@cyface.de oder an die oben genannte Anschrift.

Für die Cyface GmbH ist regelmäßig folgende Aufsichtsbehörde zuständig:

9. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, sobald Änderungen unserer Angebote oder der Rechtslage dies erforderlich machen. Es gilt jeweils die aktuelle Fassung auf dieser Seite.