Datenschutzerklärung

1. Verantwortlicher

Christopher Oppelz
Hofbrunnenweg 4, 88069 Tettnang
E-Mail: seekchrisdeep@gmail.com

2. Welche Daten wir erfassen

a) Bei Wal-Strandungsmeldungen

Wenn Sie eine Strandung melden, erfassen wir:

• Vor- und Nachname
• Telefonnummer
• E-Mail-Adresse (optional)
• GPS-Standort der Strandung
• Angaben zum Tier (Art, Anzahl, Zustand)
• Freitextnotizen (optional)

Rechtsgrundlage: Art. 6 Abs. 1 lit. d) DSGVO — die Verarbeitung ist erforderlich, um lebenswichtige Interessen eines Lebewesens zu schützen (Notfall-Rettung gestrandeter Meeressäuger).

b) Technisch notwendige Daten

Beim Besuch unserer Website werden automatisch folgende Daten durch den Hosting-Anbieter (Vercel Inc.) erfasst: IP-Adresse, Datum und Uhrzeit des Zugriffs, Browsertyp, Betriebssystem. Diese Daten sind technisch erforderlich und werden nicht mit anderen Datenquellen zusammengeführt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f) DSGVO (berechtigtes Interesse an der sicheren Bereitstellung der Website).

c) Bei Nutzerkonten und Login

Wenn Sie ein Nutzerkonto erstellen (/auth/register), verarbeiten wir:

• E-Mail-Adresse (Pflichtangabe für Kontoerstellung und Login)
• Passwort-Hash (nie im Klartext gespeichert; bcrypt-Algorithmus)
• Bei „Mit Google fortfahren": E-Mail, Name und Profilbild aus dem Google-Konto (über OAuth 2.0; Übertragung erfolgt direkt zwischen Google und unserer Auth-Schicht)
• Zeitstempel von Anmeldungen (Sicherheits-Logs)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b) DSGVO (Vertragserfüllung — Bereitstellung des Nutzer-Accounts).

d) Bei kostenpflichtigen Abos (Pro, Yacht)

Für die Zahlungsabwicklung leiten wir Sie an unseren Zahlungsdienstleister Stripe weiter (siehe Abschnitt 4). Zahlungsdaten (Kreditkartennummer, IBAN o. ä.) werden ausschließlich von Stripe verarbeitet — wir selbst speichern nur eine Kunden-ID und den Abo-Status, niemals Zahlungsmittel.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b) DSGVO (Vertragserfüllung — kostenpflichtiges Abo).

3. Cookies

Wir verwenden ausschließlich ein technisch notwendiges Session-Cookie ("cretha_session"), das zur Authentifizierung im geschützten Verwaltungsbereich dient. Es wird nur nach aktivem Login gesetzt, ist httpOnly (kein JavaScript-Zugriff), verschlüsselt (Secure), und wird nach 7 Tagen automatisch gelöscht.

Wir nutzen Vercel Web Analytics zur anonymen Auswertung der Seitennutzung. Es werden dabei keine personenbezogenen Daten erhoben und keine zusätzlichen Cookies gesetzt. Analytics wird erst nach Einwilligung über das Cookie-Banner aktiviert. Werbe-Cookies setzen wir nicht ein.

Rechtsgrundlage: § 25 Abs. 2 TDDDG — technisch notwendige Cookies sind ohne Einwilligung zulässig.

4. Empfänger und Auftragsverarbeiter

Ihre Daten werden an folgende Dienstleister übermittelt:

• Supabase Inc. (San Francisco, USA) — Datenbankhosting, Authentifizierung, Storage. Standardvertragsklauseln (SCCs). DPA einsehen
• Plus Five Five, Inc. (Resend, San Francisco, USA) — Transaktionale E-Mail-Benachrichtigungen an Melder und Koordinatoren. SCCs + EU-U.S. Data Privacy Framework (DPF) zertifiziert. DPA einsehen
• Anthropic PBC (San Francisco, USA) — KI-gestützte Erstellung von Rettungsplänen und Rückschau-Analysen. Es werden ausschließlich fallbezogene Daten (Tierart, Zustand, GPS, Wetter, Gezeiten) übermittelt, keine Kontaktdaten des Melders. Prompts werden laut Anthropic nicht zum Modelltraining verwendet. SCCs vorhanden. Trust-Portal / DPA
• OpenRouter Inc. (San Francisco, USA) — KI-Routing-Dienst für Überlebensprognosen, Strandungsvorhersagen und Wissensbank-Suche. Anfragen werden über die OpenRouter-API an das jeweilige Sprachmodell (Google Gemini) weitergeleitet. Es werden ausschließlich fallbezogene Sachdaten übermittelt, keine Kontaktdaten. SCCs vorhanden. Datenschutzerklärung
• Google LLC (Mountain View, USA) — Gemini-API für Bildanalyse und Texterkennung (OCR) bei Ideen-Anhängen sowie für die Generierung von Social-Media-Bildern. Es werden Bilddaten übermittelt, keine personenbezogenen Kontaktdaten. SCCs + EU-U.S. Data Privacy Framework (DPF) zertifiziert. Nutzungsbedingungen
• Vercel Inc. (San Francisco, USA) — Webhosting, Content Delivery, anonyme Web-Analytics + Speed Insights. SCCs. DPA einsehen
• Stripe Payments Europe Ltd. (Dublin, Irland) — Zahlungsabwicklung für kostenpflichtige Abos (Pro, Yacht). Zahlungsdaten werden ausschließlich von Stripe verarbeitet; wir speichern nur eine Stripe-Kunden-ID und den Abo-Status. DPA einsehen
• Google LLC (Veo 2.0 / Nano-Banana) (Mountain View, USA) — KI-Video- und Bildgenerierung für „Trip Memories" in der Yacht-App. Übermittelt werden ausschließlich textuelle Prompts (Reiseroute, Wetter, Stimmung), keine personenbezogenen Daten. SCCs + DPF. Nutzungsbedingungen

Für alle US-Dienstleister gelten die EU-Standardvertragsklauseln (SCCs) als Schutzgarantie gemäß Art. 46 Abs. 2 lit. c DSGVO. Wo zusätzlich eine Zertifizierung nach dem EU-U.S. Data Privacy Framework vorliegt, ist dies oben vermerkt. Mit allen genannten Anbietern bestehen gültige Auftragsverarbeitungsverträge nach Art. 28 DSGVO.

4a. Produkt-spezifische Datenverarbeitung

CRETHA Yacht (yacht.cretha.live)

Für die Yacht-App verarbeiten wir folgende Daten ausschließlich auf Grundlage Ihres Vertrags (Art. 6 Abs. 1 lit. b DSGVO) und nur, soweit Sie diese aktiv eingeben:

• Schiffsprofil: Schiffsname, -typ, Heimathafen, gewählter Alert-Radius
• Logbuch: GPS-Koordinaten Ihrer Eintragungen, Zeitstempel, Wetter-Daten von Open-Meteo, Notizen
• Crew-Daten: Vorname, Rolle, Notfallkontakt, Blutgruppe (nur wenn Sie eintragen). Zugriff für Crew-Mitglieder erfolgt über einen Login-Code, der jederzeit widerrufen werden kann.
• AI-Skipper-Chat: Ihre Anfragen und die GPS-Position des Schiffs werden an Anthropic übermittelt (siehe Abschnitt 4). Keine Crew-Daten.
• Notfallkontakte / Float-Plan: Bei Mayday-Auslösung oder Float-Plan-Überfälligkeit werden die hinterlegten Kontakte per E-Mail benachrichtigt (Resend). Sie können diese jederzeit ändern oder löschen.
• Trip Memories: Wenn Sie einen Trip beenden, werden Logbuch-Daten an Anthropic (Reisebericht), Google Gemini (Bild- und Video-Prompt) und Veo 2.0 (Video-Generierung) übermittelt.

CRETHA Academy (/akademie)

Lektionen sind ohne Anmeldung lesbar. Für Quiz-Teilnahme und Zertifikat ist ein Account erforderlich. Wir speichern: Quiz-Antworten, Punktestand, ausgestellte Zertifikate (Nummer + Datum + Anzeigename). Ihre ausgestellten Zertifikate sind unter der eindeutigen Zertifikatsnummer öffentlich verifizierbar — der angezeigte Name kann jederzeit über /account geändert oder das Zertifikat zurückgezogen werden.

Crew-Mitglieder (Login via Code)

Crew-Mitglieder, die sich mit einem vom Skipper bereitgestellten Code einloggen, erhalten keinen eigenen Account. Verarbeitet wird ausschließlich der vom Skipper eingegebene Vorname und die Rolle. Eine Login-Session ist 14 Tage gültig und wird ausschließlich auf dem Endgerät des Crew-Mitglieds gespeichert (HTTP-Only-Cookie, signiert per HMAC). Der Skipper kann den Code jederzeit widerrufen.

Finance-Agent (admin-intern)

Der Finance-Agent ist ausschließlich für Administratoren zugänglich und verarbeitet keine personenbezogenen Nutzerdaten. Eingegebene Förderantrags-Drafts werden an Anthropic (Claude) übermittelt zur strukturierten Texterstellung. Es werden keine Daten von Subscribern, Strandungsmeldern oder Crew-Mitgliedern an den Finance-Agent weitergegeben.

5. Eingebettete Inhalte

Unsere Website bettet YouTube-Livestreams und Webcam-Feeds ein. Beim Laden eines YouTube-Videos wird eine Verbindung zu Googles Servern aufgebaut, wobei Ihre IP-Adresse an Google übermittelt wird. Es gelten die Datenschutzbestimmungen von Google.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f) DSGVO (berechtigtes Interesse an der Bereitstellung von Live-Informationen für die Meeressäuger-Rettung).

6. Speicherdauer

Strandungsmeldungen und zugehörige Kontaktdaten werden für die Dauer des Rettungseinsatzes und zur wissenschaftlichen Dokumentation gespeichert. Personenbezogene Kontaktdaten (Name, Telefon, E-Mail) werden spätestens 90 Tage nach Abschluss des Falls anonymisiert oder gelöscht, sofern keine gesetzliche Aufbewahrungspflicht besteht.

Nutzerkonten bleiben gespeichert, solange Sie das Konto aktiv halten. Sie können Ihr Konto jederzeit selbst löschen unter /account → „Konto löschen". Dabei werden Ihre Account-Daten unverzüglich aus unserer Datenbank entfernt. Mit Strandungen verknüpfte Fall-Daten bleiben anonymisiert erhalten (wissenschaftliche Dokumentation).

Abo-Daten (Stripe-Kunden-ID, Rechnungen) werden nach Beendigung des Abos für die Dauer der gesetzlichen Aufbewahrungsfristen (§ 147 AO: 10 Jahre für Rechnungen) gespeichert.

7. Ihre Rechte

Sie haben jederzeit das Recht auf:

• Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung Ihrer Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)

Zur Ausübung Ihrer Rechte kontaktieren Sie uns bitte unter seekchrisdeep@gmail.com oder über unser Kontaktformular.

8. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (www.baden-wuerttemberg.datenschutz.de).