Datenschutz

Kurzfassung

Es gibt kein Nutzerkonto. Eine Meldung besteht aus Station, Linie, Richtung, der Meldeart (etwa Bauarbeiten oder Fahrkartenkontrolle), einem Merkmal dazu (etwa Vollsperrung) und dem Zeitpunkt. Es werden weder Standortkoordinaten noch Freitext, Bilder oder eine Nutzerkennung übertragen. Keines dieser Felder ist ein Textfeld: Richtung, Meldeart und Merkmal sind Auswahlen aus festen Listen. Meldungen verfallen automatisch. Wie schnell, hängt davon ab, was gemeldet wurde: eine Fahrkartenkontrolle ist nach spätestens zwei Stunden von der Karte und nach 24 Stunden gelöscht, eine Baustelle steht bis zu vierzehn Tage und wird nach dreißig gelöscht. Die Übersicht steht weiter unten.

Verantwortlicher

Markus Sumin, siehe Impressum.

Rechtsgrundlage

Die Meldungen werden auf Grundlage berechtigter Interessen verarbeitet (Art. 6 Abs. 1 lit. f DSGVO). Das berechtigte Interesse ist die gemeinschaftliche Information über die aktuelle Lage im Nahverkehr. Eine Meldung benennt keine Person, enthält keinen Freitext und kein Bild, ist auf Station, Linie und Richtung gerastert und verfällt nach kurzer Zeit. Sie können der Verarbeitung nach Art. 21 DSGVO widersprechen; die Anschrift dafür steht im Impressum.

Die Aufbewahrungsfrist hängt an der Meldeart, und das hat einen Grund. Die kurze Frist der Kontrollmeldung ist die Abwägung selbst: Eine solche Meldung beschreibt mittelbar eine über Dienstpläne bestimmbare Person bei der Arbeit, und je kürzer sie steht, desto schwächer wiegt dieser Bezug. Eine Baustelle, ein defekter Aufzug oder eine gesperrte Strecke beschreiben dagegen den Zustand einer Anlage; dort gibt es niemanden, über den etwas behauptet würde. Was für alle Meldearten gleich bleibt, ist der Umgang mit dem Prüfwert zur Missbrauchsabwehr: Er wird in jedem Fall drei Stunden nach Eingang aus dem Datensatz entfernt, auch bei einer Baustellenmeldung, die dreißig Tage gespeichert bleibt.

Welche Daten verarbeitet werden

Meldungen

Station, Linie, Richtung, Meldeart, Merkmal, Zeitpunkt. Keine Koordinaten, kein Text, kein Bild. Jedes dieser Felder ist eine Auswahl aus einer festen Liste; der Server nimmt nichts an, was dort nicht vorkommt.

Wie lange

Gerechnet ab Eingang der Meldung, unabhängig davon, wie oft sie bestätigt wird. Eine Fahrkartenkontrolle ist ohne Bestätigung nach spätestens 45 Minuten von der Karte, mit Bestätigungen nach spätestens zwei Stunden; der Server gibt danach nichts mehr heraus. Für die übrigen Meldearten gilt eine feste Frist, die sich durch Bestätigungen nicht verlängern lässt:

• Einsatz: 1 Stunde auf der Karte, gelöscht nach 24 Stunden
• Fahrkartenkontrolle: 2 Stunden auf der Karte, gelöscht nach 24 Stunden
• Störung: 3 Stunden auf der Karte, gelöscht nach 24 Stunden
• Aufzug oder Rolltreppe: 7 Tage auf der Karte, gelöscht nach 14 Tagen
• Bauarbeiten: 14 Tage auf der Karte, gelöscht nach 30 Tagen

Drei Stunden nach Eingang wird bei jeder Meldeart der Prüfwert zur Missbrauchsabwehr aus dem Datensatz entfernt, damit der Bezug zum meldenden Anschluss verschwindet. Bis spätestens 24 Stunden nach Eingang fließt eine Meldung danach nur noch in eine Auswertung je Station, Linie und Meldeart ein („wie viele Meldungen dort, zuletzt wann“). War an einer Station in diesem Zeitraum nur eine einzige Meldung, gibt diese Auswertung deren Zeitpunkt wieder. Die Auswertung lässt sich im Betrieb abschalten; die Löschung läuft unabhängig davon.

Standort

Wird abgefragt, wenn Sie den Standort-Knopf antippen, und außerdem wiederholt, solange die Näherungswarnung eingeschaltet ist: dann ermittelt die App die Position von sich aus, alle zwei Minuten und alle 30 Sekunden, sobald eine Meldung in Ihrer Nähe liegt. Ohne eine einzige vorliegende Meldung unterbleibt die wiederholte Ortung ganz. Der Standort bleibt dabei auf dem Gerät: Er schiebt die Karte auf Ihre Position und wird mit den Meldungen verglichen, die ohnehin schon auf dem Gerät liegen. Er wird nicht übertragen und nicht gespeichert. In der iPhone-App ermittelt ihn die App selbst und fragt Sie einmal um Erlaubnis („Bei Verwendung“); eine Ortung im Hintergrund findet nicht statt.

Mitteilungen

Nur wenn Sie sie einschalten. Solange die App geöffnet ist, bleibt alles auf dem Gerät: Die App prüft die Merkliste selbst und zeigt die Mitteilung lokal an. Dabei wird nichts übertragen und nichts gespeichert.
Damit eine Mitteilung Sie auch bei geschlossener App erreicht, meldet die iPhone-App Ihr Gerät beim Zustelldienst von Apple an (Apple Push Notification service). Sie erhält von dort eine Gerätekennung, und diese Kennung wird hier gespeichert, um Sie erreichen zu können. Neben der Kennung werden dazu der Tag der Anmeldung, der Tag Ihres letzten App-Starts, die Zahl der fehlgeschlagenen Zustellversuche und Ihre gewählte Sprache gespeichert – letztere, weil der Text dieser Mitteilung auf dem Server entsteht und sonst jede Mitteilung deutsch wäre. Die Kennung sagt nichts darüber aus, wer Sie sind, wo Sie sich aufhalten oder ob Sie jemals etwas gemeldet haben.
Empfänger ist Apple Inc., One Apple Park Way, Cupertino, CA 95014, USA. Zum Zustellen der Mitteilung werden die Gerätekennung und der Text an Apple in die USA übermittelt. Grundlage der Übermittlung ist Ihre Einwilligung nach Art. 49 Abs. 1 lit. a DSGVO; Apple ist darüber hinaus nach dem EU-US Data Privacy Framework zertifiziert.
Rechtsgrundlage der Speicherung ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); Sie können sie jederzeit in den Einstellungen zurücknehmen, dann wird die Kennung gelöscht. Andernfalls wird sie 30 Tage nach dem letzten Start der App gelöscht.
Der Text einer solchen Mitteilung nennt nur, wie viele Meldungen offen sind, und keine Station und keine Linie. Der Grund dafür ist derselbe wie überall sonst: Ihre Merkliste verlässt das Gerät nicht, der Server kennt sie also nicht und kann nichts über sie schreiben. Umgekehrt heißt das: Bei geschlossener App erhalten Sie den Hinweis auf neue Meldungen im Netz, nicht nur auf Ihre Merkliste – Ihre Auswahl wirkt erst, wenn Sie die App öffnen.
Im Browser können Mitteilungen ebenfalls bei geschlossener App ankommen. Dafür legt Ihr Browser eine Adresse beim Zustelldienst des Geräteherstellers an (Apple, Google oder Mozilla, je nach Browser), und diese Adresse wird hier gespeichert, um Sie erreichen zu können. Sie ist eine dauerhafte Kennung Ihres Browsers und wird ausschließlich dafür verwendet. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); Sie können sie jederzeit in den Einstellungen zurücknehmen, dann wird die Adresse sofort gelöscht. Andernfalls wird sie 30 Tage nach dem letzten Start der App gelöscht. Der Inhalt der Mitteilung enthält Linie und Station, keine Angaben über Sie. Der Zustelldienst erfährt, dass eine Nachricht an Ihr Gerät geht; auf welche Meldung sie sich bezieht, erfährt er nicht: Der Server schickt gar keinen Inhalt mit, sondern weckt nur; den Text setzt Ihr Browser danach selbst aus den Meldungen zusammen, die er abruft.

Auf dem Gerät gespeichert

Ihre einmalige Bestätigung beim Start, Ihre Einstellungen samt Merkliste, die Nachbarschaft Ihrer gemerkten Stationen (siehe unten), der Zeitpunkt Ihrer letzten Meldung (für die Sperrzeit), die Kennungen Ihrer eigenen Meldungen mit Zeitpunkt (damit die App Sie nicht über Ihre eigene Meldung benachrichtigt), die von Ihnen beanstandeten Meldungen (damit sie bei Ihnen ausgeblendet bleiben) und eine Kopie der zuletzt geladenen Meldungen, damit die Karte ohne Netz etwas zeigen kann. Dazu kommen die Kartenausschnitte, die Sie angesehen haben: Die App behält die geladenen Kartenteile, damit die Karte auch unter der Erde etwas zeigt. Diese Angaben verlassen das Gerät nicht und lassen sich unten mit einem Tipp löschen.

Nachbarschaft der gemerkten Stationen

Eine Mitteilung soll auch dann kommen, wenn eine Kontrolle nicht genau an Ihrer gemerkten Station gemeldet wird, sondern ein paar Stationen davor. Dafür rechnet die App einmal aus, welche Haltestellen von Ihren gemerkten Stationen aus in kurzer Fahrzeit erreichbar sind, und legt diese Liste auf dem Gerät ab. Sie besteht aus Haltestellen-Kennungen und Fahrzeiten in Minuten. Sie enthält keine Koordinaten, keine Zeitpunkte und nichts darüber, wo Sie waren oder wann. Sie wird nicht übertragen und ändert sich nur, wenn Sie Ihre Merkliste ändern.

Missbrauchsabwehr

Beim Melden, Bestätigen, Beanstanden und beim Einschalten von Mitteilungen entsteht aus der IP-Adresse und einem täglich wechselnden Geheimnis ein gekürzter Prüfwert. Bei IPv6 geht dabei nur der Anschlussteil der Adresse ein, nicht das Gerät. Der Wert lässt sich nicht auf die IP-Adresse zurückrechnen, gilt nur einen Tag und dient ausschließlich dazu, die Zahl der Meldungen je Anschluss zu begrenzen und das Fluten mit Falschmeldungen zu unterbinden (Art. 6 Abs. 1 lit. f DSGVO). Die IP-Adresse selbst wird nicht gespeichert. Drei Stunden nach Eingang einer Meldung wird der Prüfwert aus ihrem Datensatz entfernt.
Wird von einem Anschluss aus wiederholt falsch gemeldet, kann der Betreiber denselben Prüfwert auf eine Sperrliste setzen; von dort nimmt der Server keine Meldungen mehr an. Ein solcher Eintrag besteht aus dem Prüfwert, dem Ablaufzeitpunkt und dem Vermerk, dass er von der Moderation stammt. Er gilt höchstens 24 Stunden und wird danach automatisch gelöscht. Er entsteht nur durch eine Entscheidung des Betreibers, nicht von selbst.

Hosting

Die Schnittstelle läuft als Worker bei der Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA, als Auftragsverarbeiterin nach Art. 28 DSGVO. Die Datenbank (Cloudflare D1) ist auf die Region Europa festgelegt; Meldungen werden dort gespeichert und nicht darüber hinaus verlagert. Für Zugriffe aus den Vereinigten Staaten stützt sich die Übermittlung auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework in Verbindung mit den Standardvertragsklauseln.

Server-Protokolle

Cloudflare verarbeitet zur Auslieferung und Abwehr von Angriffen technische Verbindungsdaten, darunter die IP-Adresse. Diese App legt darüber hinaus keine eigenen Zugriffsprotokolle an und speichert keine IP-Adresse in ihrer Datenbank, siehe „Missbrauchsabwehr“.

Zwischenspeicher

Die Liste der aktuellen Meldungen liegt für zehn Sekunden im Zwischenspeicher des Rechenzentrums, das die Anfrage beantwortet. Sie ist für alle Geräte dieselbe und enthält nichts, was ein einzelnes Gerät betrifft. Anfragen, die ein Gerät betreffen, werden nicht zwischengespeichert.

Kein Tracking

Diese App bindet keine Analysedienste, keine Werbenetzwerke und keine externen Schriftarten oder Kartenserver ein. Alle angezeigten Inhalte werden vom eigenen Server ausgeliefert. Es findet kein Zugriff auf Endgeräte­informationen statt, der über das für den Betrieb Erforderliche hinausgeht (§ 25 Abs. 2 TDDDG).

Eine Ausnahme gibt es, und sie ist eingeschaltet: Wer Mitteilungen erlaubt, dessen Gerätekennung geht an den Zustelldienst von Apple, damit der Weckruf ankommt. Ohne erlaubte Mitteilungen passiert das nicht. Näheres unter „Mitteilungen“.

Zu gemeldeten Personen

Eine Meldung benennt keine Person. Sie enthält keinen Namen, keine Beschreibung, kein Bild und kein Kennzeichen, sondern ausschließlich Linie, Station und Zeitpunkt. Die Angaben beschränken sich auf diese drei und verfallen nach kurzer Zeit.

Aus einer Meldung schätzt die App, wo eine Kontrolle jetzt sein könnte, und färbt dafür einen Abschnitt der Strecke ein. Diese Schätzung entsteht auf dem Gerät, reicht höchstens 20 Fahrplanminuten über die gemeldete Station hinaus und verschwindet mit der Meldung. Über die Zeit wird nichts zusammengeführt: Es gibt keine Aufzeichnung einzelner Sichtungen, nur die oben unter „Wie lange“ beschriebene Zusammenfassung je Station und Linie.

Gemeldete Personen lassen sich nicht benachrichtigen, weil eine Meldung weder Namen noch Kennung enthält. Die Information nach Art. 14 DSGVO erfolgt deshalb über diese öffentliche Erklärung (Art. 14 Abs. 5 lit. b DSGVO). Auskunft, Löschung und Widerspruch (Art. 15, 17 und 21 DSGVO) richten Sie an die im Impressum genannte Adresse; nennen Sie dabei Linie, Station und Zeitraum, damit sich der Datensatz finden lässt, solange er noch vorliegt.

Ihre Rechte

Ihnen stehen die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu (Art. 15 bis 21 DSGVO) sowie ein Beschwerderecht bei einer Aufsichtsbehörde. Zuständig ist der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit.

Löschen

Alle lokal gespeicherten Angaben lassen sich in den Einstellungen dieser App mit einem Tipp entfernen.

Objekt

Kontrollpunkt Hamburg · Lagekarte Nahverkehr

Gezeichnet

cl3verdesign · Markus Sumin

Kartendaten

OpenStreetMap-Mitwirkende (ODbL) · Hamburger Verkehrsverbund GmbH (dl-de/by-2-0)