Datenschutzerklärung

1. Verantwortlicher

Christopher Oppelz
Hofbrunnenweg 4, 88069 Tettnang
E-Mail: seekchrisdeep@gmail.com

2. Welche Daten wir erfassen

a) Bei Wal-Strandungsmeldungen

Wenn Sie eine Strandung melden, erfassen wir:

• Vor- und Nachname
• Telefonnummer
• E-Mail-Adresse (optional)
• GPS-Standort der Strandung
• Angaben zum Tier (Art, Anzahl, Zustand)
• Freitextnotizen (optional)

Rechtsgrundlage: Art. 6 Abs. 1 lit. d) DSGVO — die Verarbeitung ist erforderlich, um lebenswichtige Interessen eines Lebewesens zu schützen (Notfall-Rettung gestrandeter Meeressäuger).

b) Technisch notwendige Daten

Beim Besuch unserer Website werden automatisch folgende Daten durch den Hosting-Anbieter (Vercel Inc.) erfasst: IP-Adresse, Datum und Uhrzeit des Zugriffs, Browsertyp, Betriebssystem. Diese Daten sind technisch erforderlich und werden nicht mit anderen Datenquellen zusammengeführt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f) DSGVO (berechtigtes Interesse an der sicheren Bereitstellung der Website).

c) Bei Nutzerkonten und Login

Wenn Sie ein Nutzerkonto erstellen (/auth/register), verarbeiten wir:

• E-Mail-Adresse (Pflichtangabe für Kontoerstellung und Login)
• Passwort-Hash (nie im Klartext gespeichert; bcrypt-Algorithmus)
• Bei „Mit Google fortfahren": E-Mail, Name und Profilbild aus dem Google-Konto (über OAuth 2.0; Übertragung erfolgt direkt zwischen Google und unserer Auth-Schicht)
• Zeitstempel von Anmeldungen (Sicherheits-Logs)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b) DSGVO (Vertragserfüllung — Bereitstellung des Nutzer-Accounts).

d) Bei kostenpflichtigen Abos (Pro, Yacht)

Für die Zahlungsabwicklung leiten wir Sie an unseren Zahlungsdienstleister Stripe weiter (siehe Abschnitt 4). Zahlungsdaten (Kreditkartennummer, IBAN o. ä.) werden ausschließlich von Stripe verarbeitet — wir selbst speichern nur eine Kunden-ID und den Abo-Status, niemals Zahlungsmittel.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b) DSGVO (Vertragserfüllung — kostenpflichtiges Abo).

3. Cookies

Wir verwenden ausschließlich ein technisch notwendiges Session-Cookie ("cretha_session"), das zur Authentifizierung im geschützten Verwaltungsbereich dient. Es wird nur nach aktivem Login gesetzt, ist httpOnly (kein JavaScript-Zugriff), verschlüsselt (Secure), und wird nach 7 Tagen automatisch gelöscht.

Wir nutzen Vercel Web Analytics zur anonymen Auswertung der Seitennutzung. Es werden dabei keine personenbezogenen Daten erhoben und keine zusätzlichen Cookies gesetzt. Analytics wird erst nach Einwilligung über das Cookie-Banner aktiviert. Werbe-Cookies setzen wir nicht ein.

Rechtsgrundlage: § 25 Abs. 2 TDDDG — technisch notwendige Cookies sind ohne Einwilligung zulässig.

4. Empfänger und Auftragsverarbeiter

Ihre Daten werden an folgende Dienstleister übermittelt:

• Supabase Inc. (San Francisco, USA) — Datenbankhosting, Authentifizierung, Storage. Standardvertragsklauseln (SCCs). DPA einsehen
• Plus Five Five, Inc. (Resend, San Francisco, USA) — Transaktionale E-Mail-Benachrichtigungen an Melder und Koordinatoren. SCCs + EU-U.S. Data Privacy Framework (DPF) zertifiziert. DPA einsehen
• Anthropic PBC (San Francisco, USA) — KI-gestützte Erstellung von Rettungsplänen und Rückschau-Analysen. Es werden ausschließlich fallbezogene Daten (Tierart, Zustand, GPS, Wetter, Gezeiten) übermittelt, keine Kontaktdaten des Melders. Prompts werden laut Anthropic nicht zum Modelltraining verwendet. SCCs vorhanden. Trust-Portal / DPA
• OpenRouter Inc. (San Francisco, USA) — KI-Routing-Dienst für Überlebensprognosen, Strandungsvorhersagen und Wissensbank-Suche. Anfragen werden über die OpenRouter-API an das jeweilige Sprachmodell (Google Gemini) weitergeleitet. Es werden ausschließlich fallbezogene Sachdaten übermittelt, keine Kontaktdaten. SCCs vorhanden. Datenschutzerklärung
• Google LLC (Mountain View, USA) — Gemini-API für Bildanalyse und Texterkennung (OCR) bei Ideen-Anhängen sowie für die Generierung von Social-Media-Bildern. Es werden Bilddaten übermittelt, keine personenbezogenen Kontaktdaten. SCCs + EU-U.S. Data Privacy Framework (DPF) zertifiziert. Nutzungsbedingungen
• Vercel Inc. (San Francisco, USA) — Webhosting, Content Delivery, anonyme Web-Analytics + Speed Insights. SCCs. DPA einsehen
• Stripe Payments Europe Ltd. (Dublin, Irland) — Zahlungsabwicklung für kostenpflichtige Abos (Pro, Yacht). Zahlungsdaten werden ausschließlich von Stripe verarbeitet; wir speichern nur eine Stripe-Kunden-ID und den Abo-Status. DPA einsehen

Für alle US-Dienstleister gelten die EU-Standardvertragsklauseln (SCCs) als Schutzgarantie gemäß Art. 46 Abs. 2 lit. c DSGVO. Wo zusätzlich eine Zertifizierung nach dem EU-U.S. Data Privacy Framework vorliegt, ist dies oben vermerkt. Mit allen genannten Anbietern bestehen gültige Auftragsverarbeitungsverträge nach Art. 28 DSGVO.

5. Eingebettete Inhalte

Unsere Website bettet YouTube-Livestreams und Webcam-Feeds ein. Beim Laden eines YouTube-Videos wird eine Verbindung zu Googles Servern aufgebaut, wobei Ihre IP-Adresse an Google übermittelt wird. Es gelten die Datenschutzbestimmungen von Google.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f) DSGVO (berechtigtes Interesse an der Bereitstellung von Live-Informationen für die Meeressäuger-Rettung).

6. Speicherdauer

Strandungsmeldungen und zugehörige Kontaktdaten werden für die Dauer des Rettungseinsatzes und zur wissenschaftlichen Dokumentation gespeichert. Personenbezogene Kontaktdaten (Name, Telefon, E-Mail) werden spätestens 90 Tage nach Abschluss des Falls anonymisiert oder gelöscht, sofern keine gesetzliche Aufbewahrungspflicht besteht.

Nutzerkonten bleiben gespeichert, solange Sie das Konto aktiv halten. Sie können Ihr Konto jederzeit selbst löschen unter /account → „Konto löschen". Dabei werden Ihre Account-Daten unverzüglich aus unserer Datenbank entfernt. Mit Strandungen verknüpfte Fall-Daten bleiben anonymisiert erhalten (wissenschaftliche Dokumentation).

Abo-Daten (Stripe-Kunden-ID, Rechnungen) werden nach Beendigung des Abos für die Dauer der gesetzlichen Aufbewahrungsfristen (§ 147 AO: 10 Jahre für Rechnungen) gespeichert.

7. Ihre Rechte

Sie haben jederzeit das Recht auf:

• Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung Ihrer Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)

Zur Ausübung Ihrer Rechte kontaktieren Sie uns bitte unter seekchrisdeep@gmail.com oder über unser Kontaktformular.

8. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (www.baden-wuerttemberg.datenschutz.de).