Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website und im TrackMonitor-Dashboard ist:
[PLATZHALTER: Name bzw. Firma]
[PLATZHALTER: Straße und Hausnummer]
[PLATZHALTER: PLZ und Ort, Land]
E-Mail: [PLATZHALTER: E-Mail-Adresse für Datenschutzanfragen]
Telefon: [PLATZHALTER: Telefonnummer]

Datenschutzbeauftragter: [PLATZHALTER: Name und Kontakt – oder Satz streichen, falls keine Benennungspflicht besteht]

2. Überblick

  • Wir setzen keine Tracking- oder Analysedienste, keine Werbe-Cookies, keine Social-Media-Plugins und keine extern nachgeladenen Schriften oder Skripte (CDNs) ein.
  • Es werden nur technisch notwendige Session-Cookies verwendet (siehe Abschnitt 7).
  • Alle Daten werden auf unserem eigenen Server in Deutschland verarbeitet (siehe Abschnitt 3).

3. Hosting

Website und Dashboard laufen auf einem gemieteten Server der Contabo GmbH, Aschauer Straße 32a, 81549 München, in einem Rechenzentrum in Deutschland. Contabo stellt Server und Netzanbindung bereit und verarbeitet Daten ausschließlich in unserem Auftrag; mit Contabo besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. [PLATZHALTER: AV-Vertrag mit Contabo abschließen/bestätigen]
Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und zuverlässigen Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

4. Server-Logdateien

Beim Aufruf der Website verarbeitet unser Webserver automatisch technisch notwendige Daten: gekürzte IP-Adresse (das letzte Byte wird vor dem Speichern entfernt), Datum und Uhrzeit, aufgerufene Adresse, Statuscode, übertragene Datenmenge, Referrer und Browserkennung (User-Agent).
Die Daten dienen der Auslieferung der Seiten, der Fehleranalyse und der Abwehr von Angriffen (Art. 6 Abs. 1 lit. f DSGVO). Die Logdateien werden nach Größe automatisch rotiert und überschrieben und nicht mit anderen Daten zusammengeführt. Für die Abwehr von Angriffen (z. B. Begrenzung von Anfragen) wird die IP-Adresse kurzzeitig im Arbeitsspeicher verarbeitet; Fehlerprotokolle des Webservers (z. B. bei abgewiesenen Anfragen) können die vollständige IP-Adresse enthalten und werden ebenfalls automatisch rotiert.

5. Verschlüsselung und Let's Encrypt

Alle Verbindungen sind per HTTPS (TLS) verschlüsselt. Die Zertifikate stammen von Let's Encrypt (Internet Security Research Group, USA). Dabei werden keine Daten der Besucher an Let's Encrypt übermittelt; unser Server ruft die Zertifikate lediglich selbst ab. Zertifikate und die darin enthaltenen Domainnamen werden von Let's Encrypt in öffentlichen Zertifikats-Logs veröffentlicht.

6. Kontaktformular

Wenn Sie uns über das Kontaktformular schreiben, speichern wir Name, E-Mail-Adresse, Betreff, Nachricht, Zeitpunkt sowie IP-Adresse und Browserkennung (zum Schutz vor Missbrauch). Die Daten werden als Datei auf unserem Server außerhalb des öffentlich erreichbaren Bereichs gespeichert; zur Begrenzung von Spam wird zusätzlich ein nicht umkehrbarer Hashwert der IP-Adresse kurzzeitig gespeichert. Eine Weiterleitung per E-Mail oder an Dritte findet nicht statt.
Zugriff haben nur berechtigte Administratoren über den geschützten Verwaltungsbereich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anbahnung eines Vertrags) bzw. lit. f DSGVO (Beantwortung allgemeiner Anfragen). Wir löschen die Anfrage, sobald sie erledigt ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen, spätestens nach [PLATZHALTER: z. B. 6 Monaten].

7. Cookies

Wir verwenden ausschließlich technisch notwendige Cookies, die für den Betrieb erforderlich sind (§ 25 Abs. 2 TDDDG); eine Einwilligung ist dafür nicht nötig:

  • Website: ein Session-Cookie (PHPSESSID) zum Schutz des Kontaktformulars vor gefälschten Anfragen (CSRF). Es wird beim Schließen des Browsers gelöscht.
  • Verwaltungsbereich der Website: ein Session-Cookie für angemeldete Administratoren (siehe Abschnitt 8).
  • Dashboard: Anmelde- und Sicherheits-Cookies des Dashboards (siehe Abschnitt 9).

Tracking-, Analyse- oder Werbe-Cookies setzen wir nicht.

8. Verwaltungsbereich der Website (/admin)

Unter /admin pflegen berechtigte Administratoren die Inhalte dieser Website und bearbeiten Kontaktanfragen. Dafür verarbeiten wir Benutzername, Passwort (nur als sicherer Hash gespeichert), Anmeldezeitpunkte, fehlgeschlagene Anmeldeversuche mit gehashter IP-Adresse (Schutz vor Passwort-Raten, Speicherung höchstens 15 Minuten) sowie ein Änderungsprotokoll (wer wann was geändert hat). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (sicherer Betrieb). Der Bereich ist für Suchmaschinen gesperrt.

9. TrackMonitor-Dashboard (app.trackmonitor.net)

Das Dashboard unter https://app.trackmonitor.net ist nur für registrierte Nutzer (Administratoren, Bahnbetreiber, Fahrer) zugänglich. Verarbeitet werden:

  • Kontodaten: Name, E-Mail-Adresse, Rolle, Passwort (nur als Hash);
  • Betriebsdaten der Kartbahnen: Tickets, Fahrzeuge, RFID-Kennungen, Rundenzeiten, erkannte Regelverstöße und Gerätestatus;
  • Kamerabilder bzw. Aufnahmen von der Strecke, soweit der Bahnbetreiber diese Funktionen nutzt;
  • technisch notwendige Anmelde-Cookies (Sitzungs-Token, Schutz vor gefälschten Anfragen).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag) bzw. lit. f DSGVO. Soweit wir Daten im Auftrag eines Bahnbetreibers verarbeiten (z. B. Daten seiner Fahrer oder Kamerabilder seiner Strecke), ist der Bahnbetreiber Verantwortlicher und wir sind Auftragsverarbeiter. [PLATZHALTER: Speicherdauer der Betriebsdaten und Aufnahmen festlegen; Hinweise an der Strecke (Videoüberwachung) liegen in der Verantwortung des Bahnbetreibers]

10. Empfänger und Drittlandübermittlung

Eine Weitergabe an Dritte erfolgt nicht, außer an unseren Hosting-Dienstleister (Abschnitt 3) im Rahmen der Auftragsverarbeitung oder wenn wir gesetzlich dazu verpflichtet sind. Eine Übermittlung in Länder außerhalb der EU findet nicht statt.

11. Speicherdauer und Sicherungen

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Tägliche Datensicherungen werden auf dem Server sowie – verschlüsselt übertragen – auf einem weiteren Rechner des Betreibers gespeichert und nach [PLATZHALTER: z. B. 14–30 Tagen] automatisch gelöscht.

12. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO). Wenden Sie sich dazu an die oben genannte Adresse.
Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, z. B. bei [PLATZHALTER: zuständige Aufsichtsbehörde am Sitz des Verantwortlichen].

13. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich die Technik oder die Rechtslage ändert. Stand: [PLATZHALTER: Datum]