Datenschutzerklärung für TourEd

Stand: 2. September 2026

TourEd wird derzeit privat und unentgeltlich betrieben. Diese Erklärung informiert darüber, welche personenbezogenen Daten beim Aufruf der Karte und bei der Nutzung eines TourEd-Benutzerkontos verarbeitet werden.

1. Verantwortlicher

2. Bereitstellung und Protokollierung

Beim Aufruf von TourEd verarbeitet der Webserver technisch erforderliche Verbindungsdaten. Dazu können IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, HTTP-Methode und Statuscode, übertragene Datenmenge, Referrer sowie Browser- und Gerätekennung gehören. Die Verarbeitung dient der sicheren und funktionsfähigen Bereitstellung, der Fehlerdiagnose und der Abwehr missbräuchlicher Zugriffe. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO. Das berechtigte Interesse besteht im sicheren und zuverlässigen Betrieb des Dienstes.

Die Zugriffsdaten werden im Protokoll des vorgeschalteten Webservers gespeichert und innerhalb von 15 Tagen automatisch gelöscht. Anwendungsprotokolle werden nach den speicherplatzabhängigen Aufbewahrungsregeln des Betriebssystems gelöscht.

TourEd wird auf einem Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, betrieben. Hetzner verarbeitet dabei Daten als Hosting-Dienstleister. Weitere Informationen enthält die Datenschutzerklärung von Hetzner.

3. Kartenansicht und externe Inhalte

Die Karte lädt Kartenkacheln unmittelbar von Servern der OpenStreetMap Foundation (OSMF). Dabei erhält die OSMF insbesondere die IP-Adresse, technische Browserdaten, den Referrer und Informationen darüber, welche Kartenausschnitte abgerufen werden. TourEd übermittelt dabei weder die E-Mail-Adresse noch gespeicherte Stempelbesuche an die OSMF. Die OSMF verarbeitet diese Daten in eigener Verantwortung. Rechtsgrundlage für die Einbindung ist Art. 6 Abs. 1 Buchst. f DSGVO; das berechtigte Interesse besteht in der Bereitstellung der Kartenfunktion. Weitere Informationen enthalten die Datenschutzbestimmungen der OSMF.

Die öffentlich angezeigten Stempelstellendaten der Harzer Wandernadel werden bei einem manuell ausgelösten Import serverseitig aus OpenStreetMap übernommen und unter den Bedingungen der Open Database License bereitgestellt. Dieser Import steht nicht mit einem Seitenaufruf oder Benutzerkonto in Verbindung und übermittelt keine Konto-, Sitzungs- oder Besuchsdaten an OpenStreetMap. Datenquelle, Lizenz und ein maschinenlesbarer GeoJSON-Download werden in den Anbieterinformationen ausgewiesen.

Für die Darstellung der Karte wird OpenLayers über cdn.rawgit.com geladen. Beim Abruf dieser Dateien erhält der CDN-Betreiber insbesondere die IP-Adresse, technische Browserdaten, Zeitpunkt und Referrer. Eine Verarbeitung außerhalb der Europäischen Union kann dabei nicht ausgeschlossen werden. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO; das berechtigte Interesse besteht in der technisch einfachen Bereitstellung der Kartenanwendung.

Die Standortanzeige wird erst nach Betätigung der Standort-Schaltfläche aktiviert. Der Browser ermittelt den Standort und aktualisiert ihn während der geöffneten Seite lokal auf dem Endgerät; TourEd übermittelt die ermittelten Koordinaten nicht an das TourEd-Backend und speichert sie nicht. Die Nutzung ist freiwillig. Eine verweigerte oder später in den Browser-Einstellungen widerrufene Standortberechtigung beeinträchtigt die übrige Kartenfunktion nicht. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO; das berechtigte Interesse besteht darin, die ausdrücklich angeforderte Standortfunktion datensparsam bereitzustellen. Beim Zentrieren der Karte werden jedoch – wie bei jeder Kartenbewegung – OpenStreetMap-Kacheln für den angezeigten Kartenausschnitt abgerufen. Der Kacheldienst kann daraus den ungefähren angezeigten Standort ableiten.

Die Informationen zu einem Stempelanbieter können einen Link zu dessen externer Website enthalten. Eine Verbindung zu dieser Website wird erst hergestellt, wenn der Link bewusst geöffnet wird. Dann verarbeitet der jeweilige Websitebetreiber in eigener Verantwortung die technisch üblichen Verbindungsdaten. Dazu gehören insbesondere die IP-Adresse, Zeitpunkt und Ziel des Abrufs sowie Browser- und Geräteinformationen; abhängig von Browser und Zielseite können weitere technische Angaben übermittelt werden.

TourEd übermittelt beim Öffnen eines Anbieterlinks weder die E-Mail-Adresse noch gespeicherte Stempelbesuche an den Anbieter. Für die weitere Verarbeitung auf der externen Website gelten die Informationen des jeweiligen Websitebetreibers. TourEd ist ein unabhängiges Projekt und steht in keiner geschäftlichen oder organisatorischen Verbindung zu den Stempelanbietern.

Die Nutzung der Karte und der Abruf von Stempelstellen und Anbieterinformationen erfordern eine Anmeldung. Ohne Anmeldung wird eine Anmeldeseite mit Verweis auf diese Datenschutzerklärung angezeigt; vor der erfolgreichen Anmeldung werden keine Stempelstellen- oder Anbieterdaten geladen. Zur Prüfung verwendet TourEd die bestehende Sitzung; dabei werden keine Konto- oder Besuchsdaten an den Stempelanbieter übermittelt. Eine Verbindung zum Anbieter entsteht weiterhin erst beim bewussten Öffnen eines externen Links.

Der dauerhaft sichtbare Quellcode-Link führt zum öffentlichen TourEd-Repository auf GitHub. Eine Verbindung zu GitHub wird erst hergestellt, wenn dieser Link bewusst geöffnet wird. Dabei verarbeitet GitHub in eigener Verantwortung insbesondere die IP-Adresse, technische Browserdaten, Zeitpunkt und Ziel des Abrufs. TourEd übermittelt dabei weder die E-Mail-Adresse noch gespeicherte Stempelbesuche an GitHub. Für die weitere Verarbeitung gelten die Datenschutzhinweise von GitHub.

4. Anmeldung mit Google und Selbstregistrierung

Die Google-Anmeldung wird erst gestartet, wenn „Mit Google anmelden“ gewählt wird. Google verarbeitet die Anmeldedaten dabei in eigener Verantwortung. TourEd erhält von Google eine stabile Google-Kontokennung (Subject), die E-Mail-Adresse und die Information, ob Google diese E-Mail-Adresse bestätigt hat. TourEd speichert keine Google-Zugriffs- oder Aktualisierungstokens und erhält keinen Zugriff auf weitere Google-Dienste.

Meldet sich ein noch nicht freigeschaltetes Google-Konto an, erhält es keinen sofortigen Zugriff auf die Stempelkarte. Stattdessen wird ein Registrierungsantrag mit der Google-Kontokennung, der bestätigten E-Mail-Adresse, dem Antragsstatus und dem Erstellungszeitpunkt gespeichert. Ein Administrator prüft diesen Antrag manuell und schaltet das Benutzerkonto frei oder lehnt den Antrag ab. Bei einer Genehmigung wird ein Benutzerkonto ohne automatische Anbieterfreigaben angelegt; erst danach kann sich die betroffene Person anmelden. Anbieterfreigaben werden separat administrativ zugewiesen. Wiederholte Anmeldungen vor der Entscheidung erzeugen keine doppelten Anträge und setzen die Aufbewahrungsfrist nicht zurück. Ein abgelehnter Antrag bleibt bei weiteren Anmeldeversuchen unverändert; solange er gespeichert ist, kann das betroffene Google-Konto keinen neuen Antrag stellen. TourEd führt keine dauerhafte Sperrliste, sodass nach der Löschung wieder ein neuer Antrag möglich ist. Offene Anträge werden 30 Tage nach der Antragstellung, genehmigte und abgelehnte Anträge 30 Tage nach der Entscheidung gelöscht. Die Bereinigung läuft nach dem Anwendungsstart und anschließend täglich, sodass die tatsächliche Löschung nach Fristablauf spätestens mit dem nächsten erfolgreichen Lauf erfolgt. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO (Durchführung vorvertraglicher Maßnahmen auf Anfrage der betroffenen Person bzw. Bereitstellung des Benutzerkontos). Die Absicherung des Verfahrens beruht ergänzend auf Art. 6 Abs. 1 Buchst. f DSGVO.

Um eine zeitnahe administrative Prüfung zu ermöglichen, versendet TourEd bei neuen offenen Registrierungsanträgen eine gebündelte E-Mail-Benachrichtigung an den Administrator über den Dienstleister IONOS. Diese Benachrichtigung enthält ausschließlich die Anzahl neuer und insgesamt offener Anträge sowie den Hinweis zur administrativen Prüfung. E-Mail-Adressen, Google-Kontokennungen und interne Kennungen der Antragsteller werden nicht in die E-Mail übernommen. IONOS verarbeitet dabei die technischen Versanddaten und den minimierten Nachrichteninhalt.

Google-Dienste werden insbesondere von Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, bereitgestellt. Eine Verarbeitung durch verbundene Unternehmen in Drittländern, insbesondere den USA, kann nicht ausgeschlossen werden. Google LLC ist nach eigener Angabe nach dem EU-US Data Privacy Framework zertifiziert und verwendet erforderlichenfalls Standardvertragsklauseln. Einzelheiten beschreiben Googles Datenschutzerklärung und die Informationen zu Datenübermittlungen.

5. Gespeicherte Konto- und Besuchsdaten

TourEd speichert zum Benutzerkonto die E-Mail-Adresse, die Google-Kontokennung, eine interne Benutzerkennung, die freigeschalteten Stempelanbieter und gegebenenfalls einen voreingestellten Anbieter. Die Anbieterfreigaben steuern, welche Anbieterinformationen, Stempelstellen und Besuche das Konto abrufen und bearbeiten darf. Zu erfassten oder importierten Stempelbesuchen werden die jeweilige Stempelstelle, der Zeitpunkt der Speicherung sowie – soweit freiwillig angegeben – Besuchsdatum und Uhrzeit abgelegt. Ein Besuch kann auch ohne Datum und Uhrzeit eingetragen werden. Angemeldete Benutzer können diese freiwilligen Zeitangaben später ändern oder den einzelnen Besuch nach einer Bestätigung vollständig löschen. Die hochgeladene Importdatei selbst wird nicht dauerhaft gespeichert.

Administrative Entscheidungen (Genehmigung oder Ablehnung von Registrierungsanträgen) sowie administrative Änderungen an Anbieterfreigaben, am voreingestellten Anbieter und Kontolöschungen werden zur Sicherheitskontrolle und Nachvollziehbarkeit protokolliert. Gespeichert werden Zeitpunkt, Art der Aktion, die interne Kennung des handelnden Kontos, je nach Aktion die interne Kennung des betroffenen Kontos oder des Registrierungsantrags sowie gegebenenfalls die technische Anbieterkennung. Das verwendete Administrations-Token, Google-Kontokennungen und E-Mail-Adressen werden nicht in dieses Änderungsprotokoll kopiert. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO; das berechtigte Interesse besteht in der Nachvollziehbarkeit sicherheitsrelevanter Verwaltungs- und Berechtigungsänderungen. Audit-Einträge werden 90 Tage nach ihrer Erstellung aus dem aktiven Datenbestand gelöscht. Die Bereinigung läuft nach dem Anwendungsstart und anschließend täglich, sodass die tatsächliche Löschung nach Fristablauf spätestens mit dem nächsten erfolgreichen Lauf erfolgt. In Bereitstellungssicherungen (Backups) bleiben Datenbankstände nach Maßgabe der konfigurierten Backup-Rotation erhalten; im Fall einer Wiederherstellung entfernt die beim Anwendungsstart ausgeführte Bereinigung bereits abgelaufene Audit-Einträge unmittelbar.

Konto- und Besuchsdaten werden gespeichert, solange das TourEd-Konto besteht. Zur Löschung des Kontos genügt eine E-Mail an dsgvo@baelgun.de. Mit der Kontolöschung werden die Anbieterfreigaben, zugeordneten Besuchsdaten, die Google-Verknüpfung und ein zum Konto gehörender Registrierungsantrag gelöscht, soweit keine gesetzlichen Pflichten ausnahmsweise eine weitere Aufbewahrung erfordern. Der minimale Eintrag im administrativen Änderungsprotokoll bleibt bis zum Ablauf der 90-tägigen Aufbewahrungsfrist erhalten und enthält keine E-Mail-Adresse oder Google-Kontokennung. Bereits ausgestellte TourEd-Sitzungen verlieren mit der Kontolöschung ihre Gültigkeit. Die Funktion „Abmelden“ beendet nur die aktuelle Sitzung und löscht nicht das Benutzerkonto.

6. Cookies

Nach erfolgreicher Anmeldung setzt TourEd das verschlüsselte, technisch notwendige Cookie toured-session. Es enthält die für die Sitzung erforderliche interne Benutzeridentität und E-Mail-Adresse, ist für JavaScript nicht zugänglich und wird nur über eine verschlüsselte Verbindung übertragen. Die Sitzung gilt für acht Stunden und wird bei fortgesetzter Nutzung verlängert. Beim Abmelden wird das Cookie entfernt.

Während der Google-Anmeldung setzt die Anwendung zusätzlich ein kurzlebiges technisches Korrelations-Cookie, das die Antwort von Google der gestarteten Anmeldung zuordnet und vor Anmeldeangriffen schützt. Die Cookies sind für die ausdrücklich gewünschte Anmeldung erforderlich. Ihre Speicherung erfolgt gemäß § 25 Abs. 2 Nr. 2 TDDDG; die daran anschließende Verarbeitung personenbezogener Daten beruht auf Art. 6 Abs. 1 Buchst. b und f DSGVO. TourEd verwendet keine Analyse- oder Werbe-Cookies.

7. Lokale Speicherung, Offline-Nutzung und Service Worker

Nach dem vollständigen und erfolgreichen Laden der Stempelkarte speichert TourEd den Gesamtkatalog der Stempelanbieter, aggregierte persönliche Fortschrittswerte, die freigeschalteten Stempelstellen sowie die persönlichen Besuchsdaten des angemeldeten Benutzers lokal im Browserprofil (IndexedDB). Dies ermöglicht die Anzeige und lokale Bearbeitung der Stempelstellen und Besuche bei Verbindungsunterbrechungen oder ohne Internetverbindung.

Offline oder bei einer während des Speicherns unterbrochenen Verbindung legt TourEd noch nicht synchronisierte Stempelaktionen ebenfalls in IndexedDB ab. Gespeichert werden die technische Stempelstellenkennung, der Anbieter, der zuletzt bestätigte und der gewünschte Besuchszustand sowie – soweit angegeben – Besuchsdatum, Uhrzeit und die für die Zeitprüfung erforderliche UTC-Abweichung. Standortkoordinaten des Geräts, Google-Kontokennungen, Authentifizierungstokens und Sitzungscookies sind nicht Bestandteil dieser Warteschlange. Die Aktionen werden bei wiederhergestellter Verbindung oder spätestens beim nächsten Öffnen der App automatisch mit dem angemeldeten Konto synchronisiert.

Diese lokal abgelegten Daten werden nicht zusätzlich anwendungsseitig verschlüsselt; ihre Vertraulichkeit hängt vom Schutz des jeweiligen Endgeräts und des verwendeten Browserprofils ab. Serverstand, lokal vorgemerkter Zielzustand und Warteschlange werden atomar gespeichert. Die Daten sind an die bestätigte E-Mail-Adresse und die Gültigkeit der TourEd-Sitzung gebunden. Beim Abmelden, bei einem Wechsel des Benutzerkontos, bei einer nicht mehr gültigen serverseitigen Sitzung sowie nach Ablauf der gespeicherten Sitzungsgültigkeit werden der persönliche Offline-Datenstand und alle noch nicht synchronisierten Aktionen gelöscht. Ist TourEd während des Ablaufs geöffnet, sperrt die Anwendung die Offline-Anzeige unmittelbar; andernfalls erfolgt die Löschung beim nächsten Start.

Zur Bereitstellung der App-Funktion speichert ein Service Worker technisch erforderliche statische Anwendungsdateien (HTML, CSS, JavaScript, Symbole) sowie die konkret verwendeten OpenLayers-Dateien im Cache des Browsers. TourEd speichert ausdrücklich keine OpenStreetMap-Kartenkacheln im Service-Worker-Cache für die Offline-Nutzung; für Kartenkacheln gilt ausschließlich das standardmäßige Browser- und HTTP-Caching des Kacheldienstes. Fehlen benötigte Kacheln im lokalen Browser-Cache, ist im Offline-Modus keine vollständige Kartenanzeige möglich.

8. Empfänger und Übermittlungen

Personenbezogene Daten werden nur verarbeitet oder übermittelt, soweit dies für die beschriebenen Funktionen erforderlich ist. Empfänger beziehungsweise Dienstleister können der Hosting-Anbieter Hetzner, der E-Mail-Dienstleister IONOS SE (Elgendorfer Str. 57, 56410 Montabaur), Google, die OpenStreetMap Foundation und die genannten CDN-Betreiber sein. Beim bewussten Öffnen eines externen Anbieterlinks kommt der jeweilige Websitebetreiber als selbst Verantwortlicher hinzu. TourEd verkauft keine personenbezogenen Daten und gibt Konto- oder Besuchsdaten nicht zu Werbezwecken weiter.

9. Rechte betroffener Personen

Betroffene Personen haben nach Maßgabe der DSGVO insbesondere das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Einer Verarbeitung auf Grundlage von Art. 6 Abs. 1 Buchst. f DSGVO kann aus Gründen widersprochen werden, die sich aus der besonderen Situation der betroffenen Person ergeben. Erteilte Einwilligungen können mit Wirkung für die Zukunft widerrufen werden; derzeit stützt TourEd die beschriebenen Verarbeitungen nicht auf eine Einwilligung.

Anfragen können an dsgvo@baelgun.de gerichtet werden. Außerdem besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde, insbesondere beim Thüringer Landesbeauftragten für den Datenschutz und die Informationsfreiheit, Häßlerstraße 8, 99096 Erfurt.

10. Erforderlichkeit und automatisierte Entscheidungen

Die Kartenansicht ist nur mit einem freigeschalteten Benutzerkonto nutzbar. Ohne die von Google übermittelten und in TourEd gespeicherten Identitätsdaten sowie mindestens eine administrativ zugewiesene Anbieterfreigabe können keine Stempelstellen abgerufen werden. Es findet keine automatisierte Entscheidungsfindung und kein Profiling im Sinne von Art. 22 DSGVO statt.

11. Änderungen dieser Erklärung

Diese Erklärung wird angepasst, wenn sich die Anwendung, die eingesetzten Dienste oder die rechtlichen Anforderungen ändern. Die jeweils aktuelle Fassung ist dauerhaft über die TourEd-Karte erreichbar.

Die technische Sperre für Suchmaschinen dient nur dazu, die allgemeine Auffindbarkeit dieser Seite zu verringern. Die Datenschutzerklärung bleibt ohne Anmeldung öffentlich erreichbar.