Datenschutzerklärung

Stand: 8. September 2026

Verantwortlicher

Daniel Michelberger
Am Roten Bühl 11
91247 Vorra
hallo@kurbeler.de

Worum es geht

Kurbeler ist eine Anwendung, mit der Teams Ausfahrten und Rennen planen, Zeiten stoppen und Trails verwalten. Fast alles, was hier verarbeitet wird, tragen die Teams selbst ein. Diese Erklärung sagt, was davon wo landet, wie lange es dort bleibt und wer es sonst noch zu sehen bekommt.

Kurz vorab, weil es die häufigsten Fragen sind: Es gibt keine Analyse- oder Trackingdienste, keine Werbung, keine Weitergabe von Daten zum Zweck der Werbung und keine automatisierte Entscheidungsfindung. Schriften liegen auf dem eigenen Server; es wird kein Google-Fonts-Aufruf ausgelöst. Ein Einwilligungsbanner gibt es nicht, weil im Browser nur gespeichert wird, was für den Betrieb notwendig ist.

Aufruf der Seite: Server-Protokolle

Beim Aufruf werden vom Server technische Daten protokolliert, die der Browser übermittelt: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Statuscode, übertragene Datenmenge, verweisende Seite und Browserkennung. Diese Daten sind nötig, um die Seite auszuliefern, und dienen der Betriebssicherheit — etwa dem Erkennen von Angriffen und Störungen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt im sicheren und störungsfreien Betrieb. Die Protokolle werden nach spätestens sieben Tagen gelöscht, es sei denn, ein konkreter Vorfall macht eine längere Aufbewahrung zur Beweissicherung erforderlich.

Hosting

Server und Datenbank laufen bei der Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, in einem Rechenzentrum innerhalb der Europäischen Union. Hetzner ist Auftragsverarbeiter nach Art. 28 DSGVO; es besteht ein entsprechender Vertrag. Die in Kurbeler gespeicherten Daten liegen damit innerhalb der Europäischen Union. Eine Ausnahme ist der E-Mail-Versand — dazu weiter unten.

Konto und Anmeldung

Wer ein Konto hat, hinterlegt dabei:

Name, unter dem man in der App erscheint
E-Mail-Adresse, für die Anmeldung und Nachrichten
Passwort — gespeichert wird nie das Passwort selbst, sondern nur dessen Hash
optional ein Profilbild

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO: ohne diese Daten gibt es keinen Zugang. Derzeit entsteht ein Konto über eine Einladung durch ein Team. Kommt später eine offene Registrierung dazu, gelten für die dabei erhobenen Daten dieselben Angaben wie oben.

Angemeldet bleiben

Nach der Anmeldung liegt ein Sitzungsmerkmal im Browser — im lokalen Speicher und, wenn „Angemeldet bleiben" gewählt wurde, zusätzlich in einem Cookie. Beides dient allein dazu, dass man nicht bei jedem Seitenaufruf das Passwort erneut eingeben muss, und ist damit für den ausdrücklich gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Wer sich abmeldet, löscht es.

Als App installieren

Kurbeler lässt sich auf dem Startbildschirm installieren und legt dabei Teile der Anwendung im Browser ab, damit die Zeitnahme auch im Funkloch weiterläuft. Diese Ablage bleibt auf dem Gerät und wird nicht übertragen. Gestoppte Zeiten, die offline entstehen, warten dort, bis wieder eine Verbindung besteht.

Was im Betrieb entsteht

Innerhalb eines Teams werden Daten verarbeitet, die die Teams selbst eintragen:

Fahrer — Name, Startnummer, Zugehörigkeit zum Team. Ein Fahrer ist zunächst nur ein Eintrag im Kader; ein Konto kommt erst dazu, wenn jemand eine Einladung annimmt.
Events, Stages, Teilnahmen — Name, Ort, Zeitraum, Beschreibung, wer teilnimmt.
Zeiten — Start- und Zielzeitpunkt, Strafzeiten, der Grund einer Korrektur und wer sie vorgenommen hat.
Trails — hochgeladene GPX-Dateien und daraus errechnete Werte wie Länge und Höhenmeter. GPX-Dateien enthalten Standortdaten, oft samt Zeitstempel; wer eine Aufzeichnung hochlädt, lädt damit auch hoch, wo er wann gefahren ist. Dazu kommen Markierungen an der Strecke (etwa Hindernisse oder Sperrungen) und Kommentare.
Team — Name, Logo, Mitglieder und ihre Rollen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Daten zur Nutzung gehören, und Art. 6 Abs. 1 lit. f DSGVO für den geordneten Betrieb eines Teams.

Wer was sieht

Daten eines Teams sind für die Mitglieder dieses Teams sichtbar, nicht für andere Teams. Die Teamleitung sieht zusätzlich die Verwaltungsfunktionen ihres Teams. Ein Superadmin des Betreibers hat Zugriff auf ein appweites Verzeichnis der Konten (Name, E-Mail-Adresse, Anlagedatum), um Konten auf Anfrage löschen und Missbrauch nachgehen zu können.

Einladungen und Nachrichten per E-Mail

Wer eingeladen wird, erhält eine E-Mail mit einem Einladungslink. Der Link enthält ein zufälliges Merkmal, das nach dem Einlösen oder nach Ablauf ungültig wird. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO — das berechtigte Interesse des Teams, neue Mitglieder aufzunehmen.

Darüber hinaus verschickt Kurbeler keine einzelnen Benachrichtigungen. Was in einem Team geschieht, sammelt sich und geht einmal am Tag als eine Zusammenfassung heraus. Was darin steht, stellt jede und jeder in den Einstellungen selbst ein; wer alles abschaltet, bekommt keine Zusammenfassung mehr. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO. Die Einwilligung lässt sich jederzeit über die Einstellungen mit Wirkung für die Zukunft widerrufen.

Versanddienstleister

Die Zustellung übernimmt Resend (Resend, Inc., 2261 Market Street, San Francisco, CA 94114, USA) als Auftragsverarbeiter nach Art. 28 DSGVO. Übermittelt werden die Empfängeradresse, der Betreff und der Inhalt der jeweiligen Nachricht.

Resend hat seinen Sitz in den Vereinigten Staaten. Für den Versand verlassen diese Daten damit die Europäische Union. Die Übermittlung stützt sich auf die Garantien, die Resend im Auftragsverarbeitungsvertrag bereitstellt (Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO). Ein absolut gleichwertiges Schutzniveau lässt sich für Drittländer nicht zusichern; insbesondere besteht die Möglichkeit des Zugriffs durch US-Behörden.

Betroffen sind ausschließlich E-Mail-Adressen und die Inhalte der versendeten Nachrichten — also Einladungen und die tägliche Zusammenfassung. Zeiten, Trails, Fahrerdaten und Kontodaten werden nicht an Resend übermittelt.

Karten

Trails werden auf einer Karte dargestellt. Das Kartenmaterial kommt von OpenFreeMap, einem freien Kartendienst auf Grundlage von Daten der OpenStreetMap-Mitwirkenden. Beim Laden der Kartenkacheln stellt der Browser eine direkte Verbindung zu tiles.openfreemap.org her und übermittelt dabei die IP-Adresse sowie den angeforderten Kartenausschnitt. Auf diese Übermittlung habe ich keinen Einfluss; ohne sie ließe sich keine Karte anzeigen.

Eine Karte lädt erst, wenn sie tatsächlich in den sichtbaren Bereich kommt — wer keine Karte zu sehen bekommt, baut auch keine Verbindung dorthin auf. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt in der Darstellung der Strecken, ohne die eine Trailverwaltung sinnlos wäre.

Schriften

Die verwendeten Schriften (Inter und IBM Plex Mono) liegen auf demselben Server wie die Anwendung und werden von dort geladen. Es entsteht keine Verbindung zu Google Fonts oder einem anderen Schriftdienst, und es wird dabei keine IP-Adresse an Dritte übermittelt.

Speicherdauer und Löschung

Ein Konto löscht allein sein Inhaber (Einstellungen → Profil) oder auf Anfrage der Betreiber. Wird ein Konto gelöscht, verschwindet der Zugang — der Fahrer bleibt mit seinen Teilnahmen und Zeiten im Kader stehen. Das ist Absicht: Diese Einträge sind die Geschichte des Teams und nicht die des Logins; würden sie mit dem Konto verschwinden, fehlten in vergangenen Ergebnislisten plötzlich Zeilen.

Wer möchte, dass darüber hinaus auch Fahrer, Zeiten oder Trails gelöscht werden, wende sich an die Teamleitung oder an hallo@kurbeler.de. Löscht ein Team seine Daten oder sich selbst, werden die zugehörigen Einträge mitgelöscht. Server-Protokolle werden nach spätestens sieben Tagen gelöscht, abgelaufene Einladungen regelmäßig entfernt.

Ihre Rechte

Nach der Datenschutz-Grundverordnung haben Sie das Recht auf

Auskunft über die zu Ihnen gespeicherten Daten (Art. 15 DSGVO)
Berichtigung unrichtiger Daten (Art. 16 DSGVO)
Löschung (Art. 17 DSGVO)
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO)
Widerspruch gegen Verarbeitungen, die auf einem berechtigten Interesse beruhen (Art. 21 DSGVO)
Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Für all das genügt eine Nachricht an hallo@kurbeler.de.

Beschwerderecht

Wer meint, die Verarbeitung seiner Daten verstoße gegen die DSGVO, kann sich bei einer Aufsichtsbehörde beschweren. Zuständig ist hier das

Bayerische Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18
91522 Ansbach
www.lda.bayern.de

Änderungen dieser Erklärung

Ändert sich die Anwendung, ändert sich diese Erklärung mit. Die jeweils geltende Fassung steht auf dieser Seite; das Datum oben nennt ihren Stand.