Datenschutz­erklärung für Website und CarSpot App

Diese Datenschutzerklärung gilt für die Website carspot.gg und die installierte CarSpot App für Android und iOS. Die folgenden Abschnitte zeigen, welche Verarbeitung die Website und welche die App betrifft. Die Angaben zur App entsprechen auch den innerhalb der App verfügbaren Datenschutzhinweisen.

Stand: 4. Oktober 2026

A. Allgemeine Angaben

Verantwortlicher und Kontakt

Murat Uzundag
Mülhauser Straße 10
81379 München
Deutschland
E-Mail: [email protected]

Deine Rechte

Du kannst unter den gesetzlichen Voraussetzungen Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit verlangen. Eine Einwilligung kannst du für die Zukunft widerrufen; die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt. Einer Verarbeitung aufgrund berechtigter Interessen kannst du aus Gründen deiner besonderen Situation widersprechen. Wende dich dafür an [email protected].

Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere beim Bayerischen Landesamt für Datenschutzaufsicht. Es erfolgt keine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung.

Kontakt per E-Mail

Für Anfragen an [email protected] wird Microsoft 365 eingesetzt (Microsoft Ireland Operations Limited, Irland, und beteiligte Unternehmen der Microsoft-Gruppe). Verarbeitet werden deine Absenderadresse, Empfänger, Nachricht, Anhänge und technische Zustelldaten, um die Anfrage zu bearbeiten und zu beantworten. Bei vertragsbezogenen oder vorvertraglichen Anfragen gilt Art. 6 Abs. 1 lit. b DSGVO; bei anderen Anfragen das berechtigte Interesse an ihrer Bearbeitung (lit. f). Nachrichten werden für die Bearbeitung und erforderliche Nachfragen gespeichert. Danach werden sie gelöscht, sofern keine konkrete Notwendigkeit zur Dokumentation, Rechtsverteidigung oder gesetzlichen Aufbewahrung besteht. Eine solche weitere Speicherung wird auf das notwendige Maß begrenzt.

Internationale Übermittlungen

Supabase, Apple, Google, Cloudflare und Microsoft können Daten außerhalb des EWR verarbeiten, insbesondere in den USA; Supabase hat seinen Sitz in Singapur. EU-Projektstandorte schließen solche Zugriffe nicht vollständig aus. Die einschlägigen Datenschutzbedingungen von Supabase, Firebase, Cloudflare und Microsoft sehen EU-Standardvertragsklauseln für entsprechende Drittlandübermittlungen vor. Google und Microsoft nennen daneben das EU-US Data Privacy Framework für erfasste US-Übermittlungen. Apple beschreibt für Daten aus dem EWR Standardvertragsklauseln. Informationen und Kopien einschlägiger Garantien sind über [email protected] und die unten verlinkten Anbieterinformationen erhältlich.

Änderungen und Sicherheit

Online-Verbindungen werden über HTTPS beziehungsweise die Schutzmechanismen des jeweiligen Dienstes übertragen. Die Erklärung wird bei Änderungen der Verarbeitung aktualisiert. Über wesentliche Änderungen werden betroffene Nutzer in geeigneter Weise informiert. Die aktuelle Fassung bleibt auf dieser Seite verfügbar.

B. Website carspot.gg

Hosting und Auslieferung über Cloudflare

Die Website wird über Cloudflare bereitgestellt (Cloudflare, Inc., USA, und beteiligte Unternehmen und Dienstleister). Bei Seitenaufrufen verarbeitet Cloudflare insbesondere IP-Adresse, angeforderte Adresse und Dateien, Zeitstempel, Browser-/Geräteinformationen und gegebenenfalls Referrer- und Sicherheitsdaten. Dies dient der Auslieferung, Verfügbarkeit, Fehlererkennung und Abwehr von Missbrauch. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt in einer sicheren und zuverlässig erreichbaren Website. Cloudflare nutzt ein weltweites Netz; die Verarbeitung ist nicht auf Deutschland beschränkt. Zugriffsdaten werden für die jeweilige Auslieferung, Sicherheitsprüfung und erforderliche Fehleranalyse vorgehalten; weitergehende Anbieteraufbewahrung richtet sich nach den unten verlinkten Cloudflare-Informationen.

Inhalte von Supabase

Die Website und E-Mail-Vorlagen können Bilder aus öffentlich erreichbaren Supabase-Speicheradressen laden. Supabase Pte. Ltd. (Singapur) und beteiligte Dienstleister erhalten beim Abruf insbesondere IP-Adresse, angeforderte Datei, Zeitpunkt und technische Anfragedaten. Dies dient der Bereitstellung der von dir aufgerufenen Inhalte auf Grundlage des berechtigten Interesses an ihrer Auslieferung (Art. 6 Abs. 1 lit. f DSGVO). Auch ein europäischer Projektstandort schließt internationale Dienstleister- und Supportzugriffe nicht vollständig aus. Einzelheiten zu Transfergarantien stehen im allgemeinen Abschnitt und bei den Anbieterlinks.

Cookies und lokaler Speicher

Auf dieser Website werden derzeit keine Analyse- oder Marketing-Cookies eingesetzt. Der Hinweis zu lokalen Speicherungen legt bei Bestätigung den Eintrag carspot_cookie_notice_acknowledged im localStorage deines Browsers ab. Er speichert ausschließlich, dass du den Hinweis bestätigt hast, damit dieser nicht bei jedem Besuch erscheint. Der Eintrag hat keine automatische Ablaufzeit und wird durch Löschen der Website-Daten entfernt. Der Button „Verstanden“ ist eine Bestätigung des Hinweises und keine Einwilligung in Analyse oder Werbung.

Externe Links und App Stores

Links führen unter anderem zu Instagram, Google Play und gegebenenfalls zum App Store. Das Anklicken eines externen Links übermittelt insbesondere technische Zugriffsdaten an den Zielanbieter. Die verlinkten Dienste verarbeiten Daten nach ihren eigenen Datenschutzinformationen. Der bloße Aufruf dieser Website übermittelt über solche Links noch keine Daten an die Zielseite.

C. CarSpot App für Android und iOS

Registrierung und Benutzerkonto

Für dein Konto werden E-Mail-Adresse, Anzeigename, Nutzerkennung und Anmeldedaten über Supabase verarbeitet. Lokale Sitzungstokens ermöglichen die erneute Anmeldung und Offline-Anzeige. Kontofunktionen sind freiwillig; ohne diese Daten können sie nicht bereitgestellt werden. Die Konto-Löschung kannst du im Profil anstoßen.

Daten und Rechtsgrundlagen

In der App werden je nach Nutzung Kontodaten wie E-Mail-Adresse, Anzeigename und Nutzerkennung, eigene Inhalte wie Spots, Fotos und Kommentare, Bewertungen, Favoriten, angesehene Spots, Standortdaten, technische Verbindungsdaten sowie lokale Sitzungs- und Einstellungsdaten verarbeitet. Angeforderte Konto- und Communityfunktionen dienen der Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Erforderlicher sicherer Betrieb und Missbrauchsabwehr können auf berechtigten Interessen beruhen (lit. f), gesetzliche Pflichten auf lit. c. Für einwilligungsbedürftige Verarbeitung gilt lit. a. Standort- und Mitteilungsfreigaben des Betriebssystems sind keine pauschale Einwilligung in andere Verarbeitungszwecke. Für Gerätezugriffe ist zusätzlich § 25 TDDDG maßgeblich; eine Ausnahme von der Einwilligung gilt nur für unbedingt erforderliche Zugriffe für einen ausdrücklich gewünschten Dienst.

Supabase

Supabase Pte. Ltd. (Singapur) stellt Anmeldung, Datenbank, Dateispeicherung und Serverfunktionen bereit. Je nach Funktion werden Kontodaten, Inhalte, Interaktionen, Standortabfragen und technische Verbindungsdaten verarbeitet. Auch bei einem europäischen Projektstandort können Dienstleister oder Supportzugriffe außerhalb des Europäischen Wirtschaftsraums (EWR) beteiligt sein. Die Datenschutzbedingungen von Supabase sehen für entsprechende Übermittlungen EU-Standardvertragsklauseln vor. Weitere Informationen und eine Kopie der einschlägigen Garantien kannst du unter [email protected] anfordern.

Standort und neue Spots in der Nähe

Mit Standortfreigabe verarbeitet die App Koordinaten und Genauigkeit für die Karte und nahe Spots. Die letzte Position mit Zeitstempel bleibt lokal gespeichert; die normale Wiederverwendung ist auf sieben Tage begrenzt. Für die direkte Umkreissuche wird eine hinreichend genaue, höchstens zehn Minuten alte Position genutzt. Wenn du angemeldet bist und native Push-Benachrichtigungen aktiviert sind, kann zusätzlich eine auf ungefähr einen Kilometer gerundete letzte Position bei Supabase gespeichert werden. Sie wird höchstens 24 Stunden für Push-Hinweise auf neu erstellte Spots im Umkreis von 75 km verwendet und bei erneuter App-Nutzung aktualisiert; beim Abmelden des letzten Push-Geräts wird sie entfernt. Als Gast werden nahe Spots nur abgefragt. Die Standortberechtigung kannst du in den Systemeinstellungen entziehen. Die 24 Stunden begrenzen die Verwendung für Nearby-Push. Veraltete serverseitige Positionen werden beim nächsten Abgleich des Versandworkers bereinigt; das ist keine sekundengenaue Löschfrist. Eine laufende Standortverfolgung bei geschlossener App ist für diese Funktion nicht vorgesehen.

Öffentliche Inhalte

Spots, Fotos, Anzeigenamen, Kommentare und Bewertungen können für andere Nutzer sichtbar sein. Spot-Fotos werden über öffentliche Speicheradressen ausgeliefert und können auch außerhalb der App abgerufen und von Dritten gespeichert werden. Bitte veröffentliche keine personenbezogenen Daten Dritter oder Inhalte, für deren Veröffentlichung du keine Berechtigung hast.

Bereitstellung der App

Die Android-/iOS-App enthält ihre Oberfläche lokal auf deinem Gerät. Online-Funktionen verbinden sich insbesondere mit Supabase, OpenStreetMap und den unten beschriebenen Push-Diensten. Die Website und dort verlinkte Dokumente werden über Cloudflare bereitgestellt; beim Öffnen gelten zusätzlich die Website-Hinweise der gemeinsamen Datenschutzerklärung. Beim Download über den App Store oder Google Play verarbeiten Apple beziehungsweise Google Daten nach ihren eigenen Datenschutzinformationen.

Lokaler Speicher

Die App verwendet localStorage und IndexedDB für Sitzung, Profilname, Sprache, Einstellungen, Spots, Favoriten, Bewertungen, angesehene Spots und ausstehende Übertragungen. Fotos und Kartenkacheln werden mit Speichergrenzen zwischengespeichert. Bild-Aktualitätsfristen sind keine garantierten Löschfristen: abgelaufene Bilder können offline weiterhin verfügbar sein. Abmelden löscht diese lokalen Daten nicht. Zum Entfernen kannst du die App-/Website-Daten über das Betriebssystem beziehungsweise den Browser löschen; dabei gehen auch noch nicht synchronisierte Änderungen verloren.

Speicherdauer und Löschung

Konten und Inhalte werden für ihre jeweiligen Funktionen gespeichert. Löschanfragen sind über das Profil beziehungsweise [email protected] möglich. Die konkrete Behandlung verknüpfter Inhalte richtet sich nach dem serverseitigen Löschverfahren. Angesehene Spots haben lokal keine automatische Ablaufzeit. Abgeschlossene Problemmeldungen werden archiviert, nicht durch den Abschluss gelöscht. Eine weitere Speicherung muss für Bearbeitung, konkrete Rechtsansprüche oder gesetzliche Pflichten erforderlich sein; eine pauschale unbegrenzte Aufbewahrung wird damit nicht begründet.

OpenStreetMap-Karten

Kartenkacheln werden von tile.openstreetmap.org der OpenStreetMap Foundation (Vereinigtes Königreich) geladen. Dabei erhält der Dienst insbesondere IP-Adresse, technische Anfragedaten und die angeforderten Kartenausschnitte. Diese können Rückschlüsse auf die betrachtete Region erlauben. Auch ohne Standortfreigabe entstehen Kartenanfragen.

Push-Benachrichtigungen

Push ist für angemeldete Nutzer optional. Zur Zustellung nutzt CarSpot unter iOS den Apple Push Notification Service (APNs) von Apple Inc. (USA), unter Android Firebase Cloud Messaging (FCM) von Google LLC (USA). Supabase speichert eine zufällige CarSpot-Installationskennung, die Nutzerkennung, Plattform, Push-Token und Registrierungszeitpunkte. Der jeweilige Push-Dienst erhält den Zustelltoken, Titel und Kurztext sowie Kennungen für Benachrichtigung, Empfänger und Spot, die Aktivitätsart und gegebenenfalls einen Umkreisbereich. Der Text kann Spotname, Nickname und eine Bewertung enthalten. E-Mail-Adresse, Kommentartext, Fotos und genaue GPS-Koordinaten werden nicht in diesem Push-Payload übertragen. Beim Antippen lädt CarSpot die passende Benachrichtigung unter deinem angemeldeten Konto. Push-Inhalte können abhängig von deinen Systemeinstellungen auf dem Sperrbildschirm sichtbar sein. Die Verarbeitung dient dem berechtigten Interesse, dir die freigegebenen, für deine App-Nutzung relevanten Aktivitäten zuverlässig mitzuteilen (Art. 6 Abs. 1 lit. f DSGVO). Du kannst Push jederzeit ausschalten oder der Verarbeitung widersprechen. Die Systemfreigabe ist keine pauschale Einwilligung in andere Datenverarbeitungen.

Push-Abschaltung und Speicherdauer

Mitteilungen kannst du in den Systemeinstellungen ausschalten; unter Android auch den CarSpot-Benachrichtigungskanal. Die App entfernt ihre serverseitige Push-Zuordnung beim nächsten erfolgreichen Online-Abgleich, etwa nach dem Öffnen oder der Rückkehr in den Vordergrund. Bei geschlossener oder offline genutzter App erfolgt keine sofortige Serverabmeldung. Die Zuordnung wird außerdem bei erfolgreichem Logout, bei vom Push-Dienst gemeldeter Ungültigkeit oder nach mindestens 90 Tagen ohne Aktualisierung im nächsten erfolgreichen stündlichen Bereinigungslauf gelöscht. Aktive Nutzung aktualisiert die Registrierung. Zugehörige Versandaufträge werden mit der Gerätezuordnung entfernt; ansonsten werden über 14 Tage alte Aufträge beim Versandworker-Abgleich bereinigt. Ist kein weiteres Push-Gerät für das Konto registriert, entfernt CarSpot auch die gespeicherte Nearby-Position. Nachrichten haben eine konfigurierte Zustellgültigkeit von einer Stunde; das ist keine Löschfrist für Providerprotokolle oder Kennungen. Diese Regeln betreffen CarSpots eigene Speicherung. Bei Google bestehen zusätzlich Firebase-Installationskennungen; die Entfernung eines FCM-Tokens löscht diese nicht automatisch. Apple und Google verarbeiten weitere technische Daten nach ihren eigenen Bedingungen.

Angesehene Spots und Benachrichtigungen

Angesehene Spot-IDs werden lokal gespeichert und bei Anmeldung mit dem Konto zusammengeführt. Die Markierungen bleiben nach dem Abmelden erhalten; auch Gast-Ansichten werden bei einer späteren Anmeldung übernommen. Bei gemeinsam genutzten Geräten kann so die lokale Historie in ein anderes angemeldetes Konto gelangen. Benachrichtigungen betreffen Interaktionen, neue Spots im Umkreis von 75 km, Release Notes und Meldungsantworten; gelesen/entfernt-Zustände werden gespeichert. Für Gast-Favoriten wird eine zufällige lokale Kennung mit der Spot-ID an Supabase gesendet.

Fotos, Teilen und Navigation

Verarbeitet werden von dir ausgewählte Fotos; Kamera-/Dateizugriff erfolgt über die entsprechende Auswahl und gegebenenfalls Systemberechtigung. Beim bewussten Teilen werden Bild oder Spot-Link an den gewählten Dienst übergeben. Instagram-Story-Sharing nutzt unter iOS vorübergehend die Zwischenablage (Ablauf nach fünf Minuten), unter Android eine Bildfreigabe. Navigation übergibt Spot-Koordinaten an Apple Maps oder Google Maps. Danach gelten die Datenschutzregeln des jeweiligen Anbieters. Hochgeladene Spot-Fotos werden über öffentliche Speicher-URLs bereitgestellt und können außerhalb der App abgerufen oder von Dritten gespeichert werden.

Problemmeldungen und Kontakt

Bei Meldungen werden Nachricht, Spotbezug, Zeitstempel und gegebenenfalls Nutzerkennung sowie Kontakt-E-Mail verarbeitet. Administratoren bearbeiten die Meldung; Abschlussnotiz und Antwort können gespeichert und dem meldenden Konto angezeigt werden. Bei einer E-Mail-Anfrage werden die übermittelten Kontakt- und Nachrichteninhalte verarbeitet. Das Postfach [email protected] wird über Microsoft 365 betrieben (Microsoft Ireland Operations Limited, Irland, und beteiligte Unternehmen der Microsoft-Gruppe). Dabei werden Absender, Empfänger, Nachrichteninhalt, Anhänge und technische Zustelldaten verarbeitet. Vertragsbezogene Anfragen beruhen auf Art. 6 Abs. 1 lit. b DSGVO; sonstige Anfragen auf dem berechtigten Interesse an ihrer Bearbeitung (lit. f).

Rechtsgrundlagen

Angeforderte Konto- und Communityfunktionen dienen der Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); erforderlicher sicherer Betrieb und Missbrauchsabwehr können auf berechtigten Interessen beruhen (lit. f), gesetzliche Pflichten auf lit. c. Für einwilligungsbedürftige Verarbeitung gilt lit. a. Die Systemfreigabe für den Standort ersetzt keine Einwilligung in andere Zwecke. Für Gerätezugriffe ist zusätzlich § 25 TDDDG zu beachten: Nur unbedingt erforderliche Zugriffe für ausdrücklich gewünschte Dienste sind ohne Einwilligung privilegiert. Diese Ausnahmen gelten nicht pauschal für sämtliche lokalen Kennungen oder Statistiken.

D. Anbieter und weiterführende Links

Die folgenden Informationen erläutern die Datenverarbeitung der jeweiligen Dienste und die einschlägigen Datenschutzbedingungen. Informationen und Kopien der auf die Nutzung von CarSpot anwendbaren Transfergarantien kannst du außerdem über [email protected] anfordern.