Datenschutzerklärung

Stand: Oktober 2026. Diese Erklärung beschreibt, welche Daten der FDL-Finder verarbeitet. Sie ist eine Arbeitsfassung für den Pilotbetrieb und ersetzt keine Rechtsberatung.

1. Verantwortlicher

Roding Software Solutions UG (haftungsbeschränkt) i. G., Schottstraße 11, 93426 Roding – Neubäu am See. E-Mail: wird geladen …

2. Welche Daten verarbeiten wir?

Nutzung ohne Konto: Beim Aufruf verarbeitet der Server technisch notwendig die IP-Adresse, um die Seite auszuliefern und Missbrauch (z. B. Anmeldeversuche) zu begrenzen. Es werden keine Zugriffsprofile erstellt.
Konto: Benutzername, Zuordnung zu einem Unternehmen (über den Einladungscode), optional E-Mail-Adresse (nur für „Passwort vergessen?“), optional die Einrichtung einer Zwei-Faktor-Anmeldung (geheimer Schlüssel und Notfallcodes als Hash), Passwort (nur als gesalzener scrypt-Hash, nie im Klartext), Zeitpunkt der Erstellung.
Meldungen und Eingaben: Korrekturen und Ergänzungen von Rufnummern (mit Benutzername, Unternehmen und Zeitpunkt), hochgeladene Zugfahrpläne, selbst erfasste Störungen.
Protokoll („Verlauf“): Wer wann was geändert hat (Benutzername, Aktion, Objekt, Zeitpunkt). Es dient der Nachvollziehbarkeit und dem Rückgängigmachen von Änderungen.
E-Mails zum Zurücksetzen des Passworts: Wird „Passwort vergessen?“ genutzt, erhält die im Konto hinterlegte Adresse über den E-Mail-Anbieter des Betreibers einen einmaligen Link (60 Minuten gültig). Der Link wird nur als Hash im Arbeitsspeicher gehalten.
Kauf und Zahlung: Buchungen werden über die Stripe Payments Europe Ltd. (Irland) abgewickelt. Zahlungsdaten gibt Stripe nicht an uns weiter. Wir erhalten Name, E-Mail-Adresse, Unternehmen, gebuchtes Paket und Zahlungsstatus, um den Zugang einzurichten, die Einladung zu versenden und das Verkaufsprotokoll zu führen (Art. 6 Abs. 1 lit. b DSGVO). Steuerrelevante Unterlagen werden nach den gesetzlichen Fristen aufbewahrt.
Freigabe von Kontaktdaten: Rufnummern und Mailadressen werden nur an freigegebene Konten ausgeliefert. Für die Freigabe sehen Administratoren Benutzername, Unternehmen und – falls angegeben – E-Mail-Adresse.
Sicherungskopien: Der Betreiber kann tägliche Kopien der Daten in einen zweiten Ordner (z. B. Netzlaufwerk oder Cloud-Speicher) einrichten. Es werden die letzten 14 Tage aufbewahrt.
Einladungs-E-Mails: Beim Versand einer Einladung durch einen Administrator wird die eingegebene E-Mail-Adresse (optional mit Name) zum Versand an den vom Betreiber eingesetzten E-Mail-Anbieter (SMTP-Server) übermittelt und zusammen mit dem Versandzeitpunkt im Verlauf vermerkt. Sie wird nicht im Benutzerkonto gespeichert.
Kontaktdaten der Zuständigen: Die Karte enthält dienstliche Rufnummern und Funktionsbezeichnungen von Stellen und Mitarbeitenden (Fahrdienstleiter, Betriebszentralen, Netzleitzentralen).

3. Zwecke und Rechtsgrundlagen

Bereitstellung der Anwendung und Verwaltung von Konten (Art. 6 Abs. 1 lit. b DSGVO), Sicherheit, Missbrauchsschutz und Nachvollziehbarkeit von Änderungen (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse am sicheren und fehlerfreien Betrieb).

4. Cookies und lokaler Speicher

Nach der Anmeldung wird ein technisch notwendiges Sitzungs-Cookie („sid“, HttpOnly, SameSite=Strict) gesetzt; es wird beim Abmelden bzw. nach Ablauf der Sitzung gelöscht. Im lokalen Speicher des Browsers liegen nur Komfort-Einstellungen (Ebenen, Hell/Dunkel, Kartenstil, Hinweis „Einführung gesehen“) sowie – falls aktiviert – die Offline-Daten. Es gibt keine Werbe- oder Analyse-Cookies.

5. Kartenanbieter (Drittländer/Dritte)

Zur Darstellung der Karte lädt Ihr Browser Kartenkacheln direkt von Drittanbietern. Dabei wird Ihre IP-Adresse übertragen: OpenStreetMap Foundation (tile.openstreetmap.org), optional Esri (Luftbild), OpenRailwayMap und CARTO. Andere Daten aus dem Konto werden nicht übermittelt. Der Betreiber kann einen eigenen Kartenanbieter hinterlegen; dann entfällt die Übertragung an die genannten Anbieter.

6. Empfänger und Hosting

Daten werden nur vom Betreiber und – soweit die Anwendung bei einem Hosting-Anbieter läuft – von dessen Auftragsverarbeiter verarbeitet. Eine Weitergabe an sonstige Dritte findet nicht statt. Einsehbar sind Meldungen eines Unternehmens nur für dessen bestätigte Mitarbeitende und den Administrator; Zugfahrpläne nur für das Unternehmen des Hochladenden (oder nur für diesen selbst, wenn „privat“ gewählt wurde).

7. Speicherdauer

Kontodaten bis zur Löschung des Kontos. Beim Löschen eines Kontos werden private Züge gelöscht; Firmen-Züge und Meldungen bleiben ohne Personenbezug („gelöschter Nutzer“) erhalten. Das Protokoll wird fortlaufend geführt und alte Protokolldateien werden nach Rotation archiviert; auf Anfrage werden Einträge zu Ihrer Person gelöscht oder anonymisiert, soweit keine Aufbewahrungspflichten entgegenstehen. Datensicherungen werden regelmäßig überschrieben.

8. Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO). Wenden Sie sich dafür an die oben genannte E-Mail-Adresse. Außerdem können Sie sich bei einer Datenschutz-Aufsichtsbehörde beschweren; für Bayern ist das das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

9. Sicherheit

Passwörter werden nur gehasht gespeichert, Anmeldeversuche und Registrierungen sind mengenmäßig begrenzt, Änderungen sind gegen Fremdaufrufe (CSRF) geschützt, vor jeder größeren Änderung wird ein Backup angelegt. Für den Betrieb im Netzwerk wird eine verschlüsselte Verbindung (HTTPS) vorausgesetzt.