Datenschutzerklärung

Verantwortlicher für die Datenverarbeitung auf dieser Website im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Edwin Jeanson
Lio – Walking Tours
Bergstraße 5
31137 Hildesheim, Deutschland
E-Mail: datenschutz@liowalkingtours.com

Ein Datenschutzbeauftragter ist gesetzlich nicht vorgeschrieben und daher nicht bestellt.

Wir haben Lio – Walking Tours so entwickelt, dass so wenige personenbezogene Daten wie technisch möglich verarbeitet werden:

• Kein Benutzerkonto: Für die Nutzung unserer Touren ist keine Registrierung und kein Login erforderlich.
• Kein Werbe- oder Marketing-Tracking: Wir setzen kein Google Analytics, kein Meta Pixel und keine Werbe-Cookies ein. Es gibt kein Cookie-Banner, weil ausschließlich ein einziges technisch notwendiges Cookie nach einem Kauf bzw. einer Freischaltung gesetzt wird.
• Keine externen Schriftarten: Alle Schriftarten sind lokal auf unserem Server eingebunden; es erfolgt kein Abruf von Google Fonts.
• Lokale Bilder: Sämtliche auf den Seiten und Stadtkarten eingebundenen Orts- und Vorschaubilder werden direkt von unserem eigenen Server ausgeliefert; es erfolgt kein Bildabruf von externen Bilddatenbanken (wie Unsplash).
• Keine Speicherung von Käufer-E-Mail-Adressen in unserer Datenbank: E-Mail-Adressen beim Kauf verbleiben beim Zahlungsdienstleister Stripe und werden von unserem Webhook lediglich einmalig an unseren E-Mail-Dienst Resend übergeben, um die gesetzlich vorgeschriebene Vertragsbestätigung (§ 312f BGB) bzw. den Gutschein-Code zuzustellen.
• Keine Klartext-Speicherung von Codes: Gruppen-Codes, Geschenk-Gutschein-Codes, Freundes-Codes und Wiederherstellungs-Geheimnisse werden in unserer Datenbank ausschließlich als kryptografischer Hashwert (HMAC-SHA256) gespeichert.
• GPS-Standort bleibt auf dem Smartphone: Die optionale Standortbestimmung während einer Tour erfolgt ausschließlich lokal im Browser eures Geräts und wird niemals an unsere Server oder an Routing-Dienste übertragen.

Unsere Web-App wird über Vercel Inc. (440 N Barranca Ave #4133, Covina, CA 91723, USA) gehostet und ausgeliefert.

• Verarbeitete Daten: Beim Aufruf unserer Seiten werden durch die Server von Vercel technisch notwendige Verbindungsdaten verarbeitet (IP-Adresse, Datum und Uhrzeit des Abrufs, aufgerufene URL, HTTP-Statuscode, Referrer-URL sowie Browser-/Betriebssystem-Kennung im User-Agent-Header).
• Zweck und Rechtsgrundlage: Bereitstellung der Web-App, Betriebssicherheit und Abwehr von Angriffen gemäß Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und zuverlässigen Betrieb) sowie zur Vertragserfüllung gemäß Art. 6 Abs. 1 lit. b DSGVO.
• Drittlandtransfer: Vercel ist unter dem EU-US Data Privacy Framework (DPF) zertifiziert; ergänzend gelten die EU-Standardvertragsklauseln (SCC).

a) Datenbank und privater Audio-Speicher (Supabase – EU / Frankfurt)

Für die Speicherung von Freischaltungen, Gruppen-Beitritten, anonymisierten Zählwerten, Spielstand-Codes, Teamevent-Ständen und Gästebuch-Einträgen sowie für die geschützte Auslieferung der Audio-Dateien ab Station 3 nutzen wir Supabase Inc. (970 Toa Payoh North #07-04, Singapur 318992) mit Serverstandort in der Europäischen Union (AWS Region `eu-central-1`, Frankfurt am Main, Deutschland).

• Geschütztes Audio-Streaming: Sobald eine Tour freigeschaltet ist, erzeugt unser Server für die angeforderte Audio-Datei ab Station 3 eine kurzlebige, kryptografisch signierte Abruf-URL (Gültigkeit: 120 Sekunden), über die euer Browser die Audiodatei direkt vom privaten Supabase-Speicher in Frankfurt lädt.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung und Bereitstellung der gebuchten Tour) sowie Art. 6 Abs. 1 lit. f DSGVO (Schutz vor unbefugtem Abruf und Missbrauch).

b) Zahlungsabwicklung (Stripe)

Bei kostenpflichtigen Touren, Upgrades und Geschenk-Gutscheinen erfolgt die Zahlungsabwicklung über Stripe Payments Europe, Ltd. (1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland; Muttergesellschaft: Stripe, Inc., USA).

• Verarbeitete Daten bei Stripe: Zahlungsdaten (z. B. gewählte Zahlart, Zahlungsbetrag, Währung, Transaktionsnummer), E-Mail-Adresse für die Zahlungsquittung und Vertragsbestätigung sowie technische Daten zur Betrugsprävention.
• Auf unserem Server gespeicherte Daten: Wir speichern in unserer eigenen Datenbank (purchases bzw. friend_codes) keine Namen, keine Adressen, keine Bank- oder Kreditkartendaten und keine E-Mail-Adressen, sondern lediglich die technischen Stripe-Referenzkennungen (stripe_session_id, stripe_payment_intent_id), das gebuchte Paket (single oder group), den gezahlten Betrag in Cent, den Gültigkeitszeitraum sowie den Zeitpunkt des einmaligen Bestätigungsversands (confirmation_email_sent_at bzw. gift_email_sent_at).
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsabwicklung) sowie Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Aufbewahrungspflichten). Eventuelle Drittlandübermittlungen an Stripe, Inc. (USA) stützen sich auf das EU-US Data Privacy Framework (DPF) und EU-Standardvertragsklauseln.

c) Versand von Kaufbestätigungen und Geschenk-Gutscheinen per E-Mail (Resend)

Für den automatisierten E-Mail-Versand nach einem Kauf nutzen wir den E-Mail-Dienst Resend, Inc. (2261 Market Street #5039, San Francisco, CA 94114, USA):

1. Vertrags- und Freischaltbestätigung bei Tour-Käufen und Upgrades (§ 312f Abs. 2 BGB i. V. m. § 356 Abs. 5 BGB): Nach jedem bezahlten Tour-Kauf (Einzel oder Gruppe) sowie nach jedem Upgrade wird einmalig eine Bestätigungs-E-Mail mit den Zugangsdaten (Wiederherstellungs-Link, ggf. Gruppen-Code) und der wörtlichen Dokumentation eurer ausdrücklichen Zustimmung zum sofortigen Leistungsbeginn und zum Erlöschen des Widerrufsrechts an die beim Bezahlvorgang angegebene E-Mail-Adresse gesendet.
2. Geschenk-Gutscheine: Nach dem Kauf eines Geschenk-Gutscheins wird der Gutschein-Code einmalig per E-Mail an die beim Kauf angegebene E-Mail-Adresse übermittelt.

• Verarbeitete Daten: E-Mail-Adresse des Käufers, Betreff und Text der Bestätigungs- bzw. Gutschein-E-Mail. Die E-Mail-Adresse wird dabei nicht in unserer eigenen Datenbank gespeichert, sondern ausschließlich im Rahmen des Stripe-Webhooks einmalig an Resend übergeben.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 312f Abs. 2 BGB und § 356 Abs. 5 BGB (gesetzliche Pflicht zur Bereitstellung der Vertragsbestätigung auf einem dauerhaften Datenträger). Drittlandübermittlungen in die USA erfolgen auf Grundlage des EU-US Data Privacy Framework (DPF) bzw. der EU-Standardvertragsklauseln (SCC).

d) Kartendarstellung und Fußgänger-Routing (OpenStreetMap, CARTO & OSRM)

Zur Darstellung der interaktiven Übersichtskarten, Stationskarten und Fußwege lädt euer Browser Kartenkacheln (Map Tiles) bzw. Wegpunkte von folgenden Diensten:

1. OpenStreetMap (`tile.openstreetmap.org`): OpenStreetMap Foundation (St John’s Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Vereinigtes Königreich) – Standard-Straßenkartenkacheln.
2. CARTO (`basemaps.cartocdn.com`): CARTO / CartoDB Inc. (307 5th Ave, New York, NY 10016, USA) – helle und dunkle Kartenkacheln in den Tour- und Übersichtskarten.
3. OSRM Fußgänger-Routing (`router.project-osrm.org`): Open Source Routing Machine (FOSSGIS e. V. / OSRM-Projekt) – wird in der Moritzberg-Routenkarte als Fallback genutzt, um den Fußweg zwischen zwei festen Tour-Stationen entlang des Wegenetzes darzustellen, sofern keine statische Weglinie hinterlegt ist. Es werden dabei ausschließlich die festen Koordinaten der Tour-Stationen übertragen, niemals euer eigener GPS-Standort.

• Verarbeitete Daten: Beim Abruf der Kartenkacheln bzw. der Stationsroute werden technisch bedingt eure IP-Adresse, der aufgerufene Kartenausschnitt (Zoomstufe und Kachel-Koordinaten bzw. die festen Stationskoordinaten) sowie Browser-Header an den jeweiligen Dienst übermittelt.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (erforderlich zur Durchführung der standortbasierten Stadttouren) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer anschaulichen und sicheren Wegführung vor Ort).

e) Technische Fehlerüberwachung (Sentry – mit PII-Bereinigung)

Zur Erkennung und Behebung technischer Programmfehler (insbesondere beim Bezahlvorgang und bei der Audio-Wiedergabe) setzen wir Sentry (Functional Software, Inc., 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA) ein.

• Strikte Datenbereinigung vor dem Versand (`sanitizeSentryEvent` & `sanitizeObject`): Sowohl im Browser (sentry.client.config.ts) als auch auf dem Server (sentry.server.config.ts, sentry.edge.config.ts und lib/server/report-error.ts) ist sendDefaultPii: false aktiv und jedes Fehlerereignis durchläuft vor einer Übertragung unseren Datenschutz-Filter. Dabei werden IP-Adressen, Nutzerkennungen, Cookies, Authorization-Header, x-forwarded-for/x-real-ip-Header, E-Mail-Adressen, Ticket-/Gutschein-Codes, Token und Stripe-Session-IDs automatisch entfernt bzw. durch [REDACTED] ersetzt.
• Kein Session-Replay: Aufzeichnungen von Bildschirminhalten oder Nutzereingaben (Session Replays) sind vollständig deaktiviert (replaysSessionSampleRate: 0, replaysOnErrorSampleRate: 0).
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der technischen Stabilität und Fehlerfreiheit der Web-App).

Wir verwenden keine Analyse-, Werbe- oder Tracking-Cookies. Für die Funktion der Web-App werden ausschließlich folgende technisch notwendige Einträge auf eurem Endgerät gespeichert (§ 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. b DSGVO):

1. HttpOnly-Cookie tour_unlock_token

• Zweck: Speichert nach einem Kauf, einer Gutschein-/Code-Einlösung oder einem Gruppen-Beitritt ein kryptografisch signiertes Token (HMAC-SHA256), damit euer Browser beim Abruf der Stationen und Audios ab Station 3 als berechtigt erkannt wird.
• Eigenschaften: HttpOnly, SameSite=Lax, Secure (in Produktion), Pfad /.
• Speicherdauer: 48 Stunden (maxAge: 172800 Sekunden); danach verfällt das Cookie automatisch.

2. Lokaler Gerätespeicher (localStorage und sessionStorage)

• tour_device_id_v1: Zufällig erzeugte Kennung auf eurem Gerät zur Einhaltung des Gerätelimits (1 Handy beim Einzel-Ticket bzw. bis zu 4 Handys beim Gruppen-Ticket).
• tour_unlock_v1:<tourId>: Lokaler Zwischenspeicher des Freischalt-Status (Ablaufzeitpunkt, ggf. Gruppen-Code und Wiederherstellungs-Link), damit die Tour auch beim Neuladen der Seite sofort wieder geöffnet werden kann.
• Spielstands-, Fortschritts-, Sprach-, Design- und Audio-Einstellungen (z. B. gelöste Rätsel, aktuelle Station, gewählte Sprache, Hell-/Dunkel-Ansicht, Vorlese-Geschwindigkeit).
• Ihr könnt diese Einträge jederzeit in den Einstellungen eures Browsers löschen.

Alle automatischen Löschungen erfolgen über unseren täglichen Aufräum-Dienst (/api/cron/cleanup):

1. Freischaltungen und registrierte Geräte (purchases & purchase_devices)

• Inhalt: Zufällige Kauf-ID, Tour-Kennung, Paket (single/group), Geräte-ID (device_id), Stripe-Referenz-IDs, Ablaufzeitpunkt (expires_at), gehashtes Wiederherstellungs-Geheimnis (restore_secret_hash), Gruppen-Code (group_code) sowie Zeitstempel des Bestätigungs-E-Mail-Versands (confirmation_email_sent_at).
• Speicherdauer: Die Nutzungsberechtigung endet automatisch 48 Stunden nach der Freischaltung. Abgelaufene Einträge in purchases und purchase_devices werden 90 Tage nach Ablauf (expires_at) automatisch aus der aktiven Datenbank gelöscht. Gesetzliche steuer- und handelsrechtliche Aufbewahrungsfristen für Buchungsbelege bei Stripe (in der Regel 8 bzw. 10 Jahre gemäß § 147 AO / § 257 HGB) bleiben unberührt.

2. Geschenk-Gutscheine und Freundes-Codes (friend_codes)

• Inhalt: HMAC-SHA256-Hash des Codes (code_hash), Pakettyp (single/group), Einlösezähler (redeemed_count), Gültigkeitsdatum (expires_at), bei Gutscheinen zusätzlich die Stripe-Referenz-IDs und der Zeitpunkt des E-Mail-Versands (gift_email_sent_at).
• Speicherdauer: Geschenk-Gutscheine sind 3 Jahre ab dem Ende des Kaufjahres gültig (§§ 195, 199 BGB). Abgelaufene oder vollständig eingelöste Einträge in friend_codes werden 90 Tage nach Ablauf bzw. Einlösung automatisch aus der aktiven Datenbank gelöscht.

3. Missbrauchsschutz und Ratenbegrenzung (code_attempts & rate_limits)

• Inhalt: Um das automatisierte Erraten von Gutschein- und Gruppen-Codes (Brute-Force) sowie Serverüberlastungen zu verhindern, speichern wir bei Fehlversuchen bzw. API-Anfragen einen gehashten Schlüssel aus Geräte-ID und IP-Adresse (key_hash in code_attempts, Sperre für 15 Minuten nach 5 Fehlversuchen) bzw. kurzlebige Zähler in rate_limits.
• Speicherdauer: Einträge in code_attempts werden nach erfolgreicher Code-Eingabe sofort und im Übrigen automatisch nach 7 Tagen gelöscht. Einträge in rate_limits werden automatisch nach 24 Stunden gelöscht.

4. Anonyme Nutzungsstatistik (telemetry_events & daily_stats)

• Inhalt: Wir zählen ohne Personenbezug (ohne IP-Adresse, ohne Cookie, ohne Geräte-ID), wie oft eine Tour gestartet oder abgeschlossen wird (telemetry_events und Tagessummen in daily_stats).
• Speicherdauer: Einzelereignisse in telemetry_events werden automatisch nach 90 Tagen gelöscht; die rein anonymen Tagessummen in daily_stats enthalten keinerlei personenbezogene Daten.

5. Optionaler Spielstand-Teilen-Code (app_settings mit Schlüssel moritz_prog_*)

• Inhalt: Wenn ihr euren Spielstand freiwillig über einen Teilen-Code (z. B. BERG-42A9) in der Cloud sichert, werden der Code, der aktuelle Stationsfortschritt, der gewählte freiwillige Entdeckername und das Aktualisierungsdatum (updated_at) gespeichert.
• Speicherdauer: Automatische Löschung 12 Monate nach der letzten Aktualisierung (updated_at).

6. Teamevents (teams, answers, station_visits sowie hildesheim_event_state / hildesheim_event_state_v1)

• Inhalt: Bei Nutzung unserer Teamevent-Modi werden der frei gewählte Teamname, besuchte Stationen, abgegebene Antworten und der Punktestand gespeichert, um die gemeinsame Live-Auswertung (Bestenliste) für die teilnehmenden Gruppen anzuzeigen.
• Speicherdauer: Teamevent-Einträge in den Tabellen teams, answers und station_visits werden automatisch 48 Stunden nach Anlage durch den täglichen Aufräum-Dienst gelöscht. Der gemeinsame Teamevent-Spielstand (hildesheim_event_state bzw. hildesheim_event_state_v1 in app_settings) wird automatisch 30 Tage nach der letzten Änderung (updated_at) im täglichen Aufräum-Dienst gelöscht und kann zusätzlich durch die Spielleitung jederzeit im Admin-Cockpit zurückgesetzt werden.

7. Freiwilliges digitales Gipfel-Gästebuch (guestbook_entries / moritz_guestbook_entries)

• Inhalt: Wenn ihr euch am Ende einer Tour freiwillig in das digitale Gästebuch eintragt, werden euer selbst gewählter Rufname (oder „Unbekannter Bergwanderer"), eure Nachricht, eure Sterne-Bewertung, die Tour-Kennung und das Datum gespeichert und öffentlich im Gästebuch der Tour angezeigt (Art. 6 Abs. 1 lit. a und lit. f DSGVO). Es werden dabei weder E-Mail-Adressen noch IP-Adressen im Gästebuch gespeichert.
• Speicherdauer: Gästebuch-Einträge werden automatisch nach 24 Monaten durch den täglichen Aufräum-Dienst gelöscht und auf Anfrage (formlose E-Mail an datenschutz@liowalkingtours.com genügt) sofort entfernt.

1. GPS-Standort (Geolocation API): Wenn ihr auf einer Tourkarte die Standortanzeige aktiviert, fragt euer Browser nach eurer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Die ermittelten GPS-Koordinaten werden ausschließlich lokal im Arbeitsspeicher eures Smartphones verarbeitet, um eure Position auf der Karte und die Entfernung zur nächsten Station zu berechnen. Es findet keinerlei Übertragung eurer GPS-Koordinaten an unsere Server oder an Dritte statt. Ihr könnt die Berechtigung jederzeit in den Browser-Einstellungen widerrufen.
2. Kamera-Zugriff für QR-Code-Scan: Wenn ihr beim Gruppen-Beitritt den QR-Code-Scanner nutzt, greift der Browser nach eurer Freigabe lokal auf das Kamerabild zu, um den QR-Code auszulesen. Es werden keine Fotos oder Videodaten an unsere Server übertragen oder gespeichert.

Wenn ihr uns per E-Mail (z. B. an datenschutz@liowalkingtours.com) kontaktiert, verarbeiten wir eure E-Mail-Adresse und den Inhalt eurer Nachricht ausschließlich zur Bearbeitung eurer Anfrage (Art. 6 Abs. 1 lit. b DSGVO bei vertraglichen Anfragen bzw. Art. 6 Abs. 1 lit. f DSGVO bei sonstigen Anfragen). Die Daten werden gelöscht, sobald die Anfrage abschließend geklärt ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Ihr habt gegenüber uns hinsichtlich der euch betreffenden personenbezogenen Daten jederzeit folgende Rechte nach der DSGVO:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
• Widerspruchsrecht nach Art. 21 DSGVO: Soweit wir Daten auf Grundlage eines berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, habt ihr das Recht, aus Gründen, die sich aus eurer besonderen Situation ergeben, jederzeit Widerspruch gegen die Verarbeitung einzulegen.

Zur Ausübung eurer Rechte genügt eine formlose E-Mail an datenschutz@liowalkingtours.com.

Unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs steht euch gemäß Art. 77 DSGVO das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde zu. Die für unseren Sitz in Niedersachsen zuständige Aufsichtsbehörde ist:

Die Landesbeauftragte für den Datenschutz Niedersachsen (LfD Niedersachsen)
Prinzenstraße 5
30159 Hannover
Web: https://www.lfd.niedersachsen.de