Datenschutz­erklärung

Niklas Klein
Zeppelinstr. 47, 21680 Stade (siehe Impressum)
Kontakt für Datenschutzanfragen: [email protected]

Kiteable ist ohne Konto nicht nutzbar – die App rechnet mit deinem Gewicht, deinem Können und deinen Kites, und ohne diese Angaben gibt es keine Zahl, die für dich gilt. Ohne Anmeldung erreichbar sind nur die Anmeldeseite selbst sowie Impressum, Datenschutzerklärung und Nutzungsbedingungen; dabei speichern wir keine personenbezogenen Daten außer den technisch anfallenden Server-Protokollen.

Mit Konto:

• E-Mail-Adresse – zur Anmeldung per einmaligem Code. Ein Passwort gibt es nicht und wird nicht gespeichert.
• Bei Anmeldung über Apple oder Google: die von dort übermittelte Kennung deines Kontos, deine E-Mail-Adresse und – falls der Anbieter sie mitsendet – dein Name. Wir fragen nur E-Mail-Adresse und Name ab, keine weiteren Berechtigungen. Nutzt du bei Apple „E-Mail-Adresse verbergen“, erhalten wir nur die Weiterleitungsadresse von Apple und nicht deine echte.
• Gewicht, Können, Disziplin, Vorlieben – ohne diese Angaben kann die App ihre einzige Funktion nicht erfüllen: auszurechnen, welcher Spot für dich passt und welchen Kite du nehmen solltest.
• Deine Kites und Boards. Je Kite die Größe – sie ist es, mit der gerechnet wird – und freiwillig Art, Marke, Modell, ein eigener Name und zwei Farben für das Symbol auf deinem Profil.
• Für deine Profilkachel, alles freiwillig: ein Vorname (bei Anmeldung über Apple oder Google aus dem gelieferten Namen vorbelegt, änderbar), ein Heimatort als Text („Kiel, Deutschland“) und ein Profilbild. Das Bild schneidet dein Browser vor dem Hochladen auf 512 × 512 Pixel zu; das Original verlässt dein Gerät nicht. Meldest du dich mit Google an, übernimmt unser Server einmalig dein Google-Profilbild in unseren Speicher – dein Browser lädt es nicht bei Google. Du kannst es jederzeit ersetzen oder entfernen. Das Profilbild liegt in einem öffentlich lesbaren Speicher; die Adresse ist nicht erratbar, aber wer sie kennt, kann das Bild abrufen.
• Optional: Heimatpunkt, gefolgte Spots und Alarme. Nutzt du „Meinen Standort verwenden“ beim Heimatort, speichern wir die Koordinate als Heimatpunkt für die Umkreissuche.
• Sessions. Nach einem Crew-Plan fragt die App, ob du da warst und wie der Kite gepasst hat (zu klein, passte, zu groß). Antwortest du, speichern wir eine Session mit Spot, Zeitraum, Kite, dem damals vorhergesagten Wind und deiner Antwort; antwortest du „war nicht da“, merken wir uns nur, dass die Frage erledigt ist. Aus den Antworten lernt die App einen einzigen Faktor für deine Kite-Empfehlung (zwischen 0,8 und 1,25, erst ab drei Antworten). Der Faktor und dein Logbuch sind nur für dich sichtbar – Crew-Mitglieder sehen deine Sessions nicht.
• Abonnierte Zeitfenster. Tippst du an einem Zeitfenster auf die Glocke, speichern wir Spot, Zeitraum und die damalige Punktzahl – nur damit eine spätere Meldung sagen kann, was sich geändert hat.
• Crew, wenn du sie nutzt. Du verbindest dich mit anderen nur über einen Einladungslink, den du selbst erzeugst und weitergibst; wir speichern den Code, wer ihn erzeugt hat, wer ihn eingelöst hat und wann er abläuft (7 Tage). Je Verbindung speichern wir die beiden Konten und den Zeitpunkt. Mitglieder deiner Crew sehen von dir Vorname, Profilbild, Heimatort, deine Kite-Symbole, deine Pläne und Zusagen – nicht dein Gewicht, dein Können oder deine E-Mail-Adresse. Die Crew-Vorhersage („Wo können wir fahren?“) rechnet auf unserem Server mit den Gewichten und Kites aller Mitglieder, gibt aber nur das Ergebnis heraus – kein Mitglied erfährt die Werte eines anderen. Ein Plan („Ich fahre Samstag 14 Uhr in Heidkate“) besteht aus Spot, Zeitraum und einer freiwilligen Notiz; Zusagen anderer werden am Plan gespeichert. Trennen ist einseitig und sofort wirksam: Die Verbindung wird gelöscht, Pläne sind beiderseits nicht mehr sichtbar. Löschst du dein Konto, verschwinden Verbindungen, Einladungen, Pläne und Zusagen mit.
• Coach-Modus, wenn du ihn einschaltest. Legst du eine Kiteschule an oder trittst einer bei, speichern wir die Schule (Name, Ort, Land, Verband, Kontakt, das Kurs-Profil aus Durchschnittsgewicht, Können und Schul-Kites), deine Mitgliedschaft mit Rolle und Beitrittsdatum, die Einladungscodes der Schule und ihre Schulungsspots. Mitglieder derselben Schule sehen voneinander Vorname, Profilbild und Rolle – nicht Gewicht, Können oder E-Mail-Adresse. Andere Nutzer sehen die Schule nicht. Verlässt du die Schule oder löschst du dein Konto, endet die Mitgliedschaft; die Schule bleibt für die übrigen Mitglieder bestehen. Löscht der letzte Inhaber die Schule, verschwinden ihre Daten vollständig.
• Schüler und Termine einer Schule. Mitglieder einer Schule können Schüler eintragen – Name, Gewicht, Können, eine Notiz und den zugewiesenen Coach – sowie Termine (Art, Titel, Spot, Zeitraum, Coach, Teilnehmer, Notiz). Das sind Daten dritter Personen, die meist kein Konto bei uns haben; verantwortlich dafür ist die Schule, wir verarbeiten sie in ihrem Auftrag (siehe Nutzungsbedingungen, Abschnitt 7a). Sichtbar sind sie nur für die Mitglieder derselben Schule. Mit dem Gewicht und Können eines Schülers rechnet die App die Kite-Empfehlung und die passenden Spots – dieselbe Rechnung wie für dich selbst. Gelöscht werden sie von jedem Mitglied der Schule, spätestens mit der Schule.
• Wenn du als Schüler dein Konto mit einer Schule verknüpfst (über einen Einladungslink, den du selbst annimmst): Die Schule liest dann Gewicht und Können aus deinem Profil statt aus ihrem Eintrag; dein Logbuch, deine Crew und deine Alarme sieht sie nicht. Du siehst deine Kurse mit Spot und Vornamen des Coaches unter Sessions. Die Verknüpfung kannst du jederzeit lösen, die Schule ebenso – ihr Eintrag behält dann die zuletzt bekannten Werte. Löschst du dein Konto, wird die Verknüpfung aufgehoben.
• Wenn du Benachrichtigungen einschaltest: je Gerät eine Adresse beim Push-Dienst deines Browsers samt zwei öffentlichen Schlüsseln, ohne die sich die Nachricht nicht verschlüsseln lässt, sowie eine gekürzte Kennung deines Browsers, damit du Geräte auseinanderhalten kannst. In der iOS-App ist es statt der Adresse ein Geräte-Token von Apple. Dazu die zuletzt benutzte Sprache der App, damit Meldungen in deiner Sprache ankommen. Zusätzlich halten wir fest, welche Meldung wann hinausgegangen ist – ohne dieses Gedächtnis würde dieselbe Änderung bei jedem Durchlauf erneut gemeldet.
• Spracheinstellung: Beim ersten Aufruf leiten wir dich anhand des Herkunftslands deiner IP-Adresse auf die passende der vier Sprachversionen weiter. Das Land wird uns von unserem Hosting-Anbieter als Anfrage-Merkmal bereitgestellt; die IP-Adresse selbst speichern wir dafür nicht.
• Nutzungsdaten: technisch notwendige Server-Protokolle unserer Hosting- und Infrastrukturanbieter (siehe Abschnitt 4).

Dein Standort wird für die Umkreissuche und – wenn du ihn auf der Karte freigibst – für den blauen Standortpunkt verwendet und dabei nicht gespeichert: Er bleibt im Browser, wird nicht an uns übertragen und verschwindet mit dem Schließen der Karte. Gespeichert wird nur ein Heimatpunkt, wenn du ihn selbst setzt.

Konto, Fahrerprofil, Quiver, Favoriten, Alarme, abonnierte Zeitfenster und das Logbuch verarbeiten wir zur Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO) – es ist der Dienst selbst. Die Standortabfrage, Profilbild und das Einschalten von Benachrichtigungen erfolgen auf Grundlage deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit mit Wirkung für die Zukunft widerrufen kannst. Server-Protokolle, Missbrauchsabwehr und die sprachliche Ausspielung der Seite stützen wir auf unser berechtigtes Interesse am sicheren und funktionierenden Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Eine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO findet nicht statt: Die Punktzahl eines Spots ist eine Rechenhilfe für dich, keine Entscheidung über dich.

• Supabase (Supabase Inc., USA) – Datenbank und Anmeldung. Serverstandort der Daten: Frankfurt am Main (AWS-Region eu-central-1). Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist Bestandteil der Supabase-Bedingungen.
• myLoc managed IT AG (Düsseldorf, Deutschland) – Serverbetrieb. Die Webseite läuft auf einem von uns betriebenen Server in einem deutschen Rechenzentrum; die Daten verlassen dabei die EU nicht. Server-Protokolle mit gekürzter IP-Adresse fallen technisch bedingt an.
• Cloudflare (Cloudflare, Inc., USA) – Auslieferung und Schutz der Webseite. Jede Anfrage läuft über Cloudflare; dabei werden deine IP-Adresse und technische Angaben deines Geräts verarbeitet, außerdem wird daraus dein Land abgeleitet, um dir die passende Sprachfassung zu zeigen. Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert; ein Auftragsverarbeitungsvertrag ist Bestandteil der Cloudflare-Bedingungen.
• Open-Meteo – Wettervorhersage. Die Abfrage erfolgt von unserem Server, nicht aus deinem Browser; deine IP-Adresse wird dorthin nicht übertragen.
• OpenStreetMap / Nominatim (OpenStreetMap Foundation, Großbritannien) – nur wenn du beim Heimatort „Meinen Standort verwenden“ tippst. Unser Server fragt dann für die Koordinate deines Geräts den Ortsnamen ab; deine IP-Adresse wird dabei nicht übermittelt, die Koordinate schon. Für Großbritannien besteht ein Angemessenheitsbeschluss der EU-Kommission.
• Google Maps – die Kartenansicht (Straßenkarte in eigenem Stil). Sie lädt dein Browser direkt von Google, dabei werden deine IP-Adresse, die Größe deines Bildschirms und der von dir betrachtete Kartenausschnitt an Google übertragen. Mit der Karte lädt Google auch eine eigene Schrift (Roboto) nach. Anbieter ist Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland); dabei kann es zu einer Übermittlung an Google LLC in die USA kommen (abgesichert über das EU-US Data Privacy Framework). Die Karte ist die Kernfunktion des Dienstes – ohne Luftbild lässt sich ein Startplatz an der Wasserlinie nicht beurteilen –, Rechtsgrundlage ist deshalb die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Die Karte lädt erst, wenn du die Kartenseite öffnest – auf der Vorhersage, den Spot-Seiten und im Profil baut dein Browser keinen Kontakt zu Google auf. Das Luftbild im Kopf einer Spot-Seite holt unser Server bei Google ab und liefert es dir aus; deine IP-Adresse wird dabei nicht übertragen. „Route planen“ ist ein gewöhnlicher Link zu Google Maps, den du selbst öffnest.
• Apple und Google – nur wenn du dich über einen der beiden anmeldest. Der Anmeldevorgang läuft über deren Seiten; dabei erfahren sie, dass du dich bei Kiteable anmeldest, und übermitteln uns anschließend Kennung, E-Mail-Adresse und gegebenenfalls Namen. Wählst du die Anmeldung per E-Mail-Code, wird zu keinem von beiden Kontakt aufgebaut. Anbieter sind Apple Distribution International Ltd. (Hollyhill Industrial Estate, Cork, Irland) und Google Ireland Ltd.; eine Übermittlung in die USA ist jeweils über das EU-US Data Privacy Framework abgesichert.
• Der Push-Dienst deines Browsers – nur wenn du Benachrichtigungen einschaltest. Welcher das ist, bestimmt dein Browser, nicht wir: bei Chrome und Edge Google, bei Firefox Mozilla, bei Safari Apple. Dorthin geht die verschlüsselte Nachricht samt der Geräteadresse. Der Inhalt ist für den Dienst nicht lesbar – er wird mit den Schlüsseln deines Geräts verschlüsselt –, die Tatsache einer Zustellung und der Zeitpunkt sind ihm aber bekannt.
• IONOS (IONOS SE, Elgendorfer Str. 57, 56410 Montabaur) – Versand der Anmelde-E-Mails über smtp.ionos.de. Dabei werden Empfängeradresse und Zeitpunkt verarbeitet; die Mailserver werden nach Angaben des Anbieters in deutschen Rechenzentren betrieben.
• Sentry (Functional Software, Inc., San Francisco, USA) – Fehlerprotokollierung. Bricht in der App etwas ab, wird der technische Fehlerbericht übertragen: Fehlermeldung, Programmzeile, Browser und Betriebssystem. Ohne IP-Adresse und ohne Kontobezug – wir haben die Übermittlung personenbezogener Zusatzdaten abgeschaltet. Die Berichte laufen über unsere eigene Adresse (kiteable.eu), nicht direkt vom Gerät zu Sentry. Es findet keine Sitzungsaufzeichnung statt: Dein Bildschirm wird nicht mitgeschnitten.
• Unsere Schrift – wird mit der Seite ausgeliefert, nicht von einem fremden Server nachgeladen.

Soweit dabei Daten in Länder außerhalb der EU/des EWR übermittelt werden, geschieht dies auf Grundlage eines Angemessenheitsbeschlusses der EU-Kommission (Art. 45 DSGVO, z. B. EU-US Data Privacy Framework) oder von EU-Standardvertragsklauseln (Art. 46 DSGVO).

Benachrichtigungen sind aus, bis du sie einschaltest. Wir fragen erst in dem Moment, in dem du unter Alarme auf den Knopf tippst – nicht beim Öffnen der Seite. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Du kannst sie jederzeit an derselben Stelle wieder ausschalten; dann löschen wir die Geräteadresse. Das gilt je Gerät: Wer am Telefon und am Rechner angemeldet ist, entscheidet zweimal. Meldet dein Push-Dienst eine Adresse als ungültig – etwa weil du den Browser neu aufgesetzt hast –, löschen wir sie von selbst.

Neben den Alarmen und abonnierten Zeitfenstern melden wir – nur mit eingeschalteten Benachrichtigungen – auch Ereignisse deiner Crew: wenn jemand einen Plan teilt oder bei deinem Plan dabei ist. Diese Crew-Meldungen kannst du unter Alarme getrennt ausschalten; Trennungen werden nie gemeldet. Ebenfalls getrennt abschaltbar ist die Nachfrage am Abend nach einem Plan („Warst du in Heidkate? Wie hat der Kite gepasst?“), die du direkt in der Meldung beantworten kannst.

Für die Anmeldung setzen wir ausschließlich technisch notwendige Session-Cookies (Supabase Auth) im Sinne von § 25 Abs. 2 TDDDG. Wir setzen keine Analysewerkzeuge, kein Tracking und keine Werbenetzwerke ein; ein Cookie-Banner ist daher nicht erforderlich.

Lokal in deinem Browser, ohne Übertragung an uns, merkt sich Kiteable nur dein gewähltes Erscheinungsbild (hell, dunkel oder nach Gerät). Du kannst diese Angabe jederzeit über die Einstellungen deines Browsers löschen.

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigten Interesses (Art. 21). Erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3).

Auskunft, Datenübertragbarkeit und Löschung kannst du selbst wahrnehmen: unter Profil → Meine Angaben lädst du alle zu dir gespeicherten Daten als maschinenlesbare JSON-Datei herunter oder löschst das Konto. Die Löschung ist sofort wirksam und unwiderruflich. Für alles Weitere wende dich an die oben genannte Kontaktadresse.

Außerdem hast du ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde; für uns zuständig ist die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover.

Kontodaten bleiben gespeichert, bis du das Konto löschst. Von dir eingereichte Spots bleiben danach bestehen, aber ohne Bezug zu dir – ein Spot ist eine Sicherheitsangabe für andere Fahrer und verschwindet nicht, weil jemand sein Konto aufgibt.

Mit dem Konto verschwinden auch Profil, Profilbild, Quiver, gefolgte Spots, Alarme, abonnierte Zeitfenster, angemeldete Geräte und das Meldungsprotokoll. Ein abonniertes Zeitfenster wird ohnehin gelöscht, sobald es vorbei ist.

Wir passen diese Datenschutzerklärung an, sobald sich unsere Datenverarbeitung oder die Rechtslage ändert. Es gilt jeweils die zum Zeitpunkt deines Besuchs auf dieser Seite angezeigte Fassung; das Datum des aktuellen Stands findest du oben auf dieser Seite. Verbindlich ist die deutsche Fassung.