Datenschutz

Stand: 11.10.2026

Kurz gesagt

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf Sprungbereich.de ist Fabian Harmuth, Anschrift siehe Impressum. Sprungbereich.de ist ein privates Projekt einer Einzelperson – „ich“ meint in diesem Text immer mich.
E-Mail: siehe Impressum

Einen Datenschutzbeauftragten habe ich nicht benannt, weil dafür keine gesetzliche Pflicht besteht.

2. Alle Dienste auf einen Blick

Diese Liste ist vollständig: Andere Anbieter erhalten beim Nutzen von Sprungbereich.de keine Daten von dir. Schriften, Kartenfunktionen (Leaflet) und alle übrigen Programmteile liefere ich von meinem eigenen Server aus.

Erst wenn du selbst einen Link antippst, kommen weitere Anbieter dazu (Google Maps, Webseiten der Bäder, Instagram, TikTok) – siehe Punkt 13.

3. Hosting & Auslieferung (Cloudflare)

Die Seite und ihre Server-Funktionen laufen bei Cloudflare (Cloudflare, Inc., USA; für die EU: Cloudflare International B.V., Niederlande). Beim Aufruf verarbeitet Cloudflare technisch nötige Zugriffsdaten, um die Seite schnell und sicher auszuliefern und Angriffe abzuwehren.

Daten
IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser- und Geräteinformationen
Zweck
Auslieferung der Seite, Sicherheit (z. B. Schutz vor Überlastungsangriffen)
Grundlage
Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, funktionierenden Angebot)
Speicherdauer
Zugriffsdaten nach den Fristen von Cloudflare; ich selbst speichere keine Zugriffsprotokolle
Übermittlung
Auftragsverarbeitung nach Art. 28 DSGVO; Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert, zusätzlich gelten EU-Standardvertragsklauseln

Die Domain ist bei der Strato AG (Berlin) registriert. Strato verarbeitet nur die für die Registrierung nötigen Verwaltungsdaten und hat keinen Zugriff auf Besucherdaten dieser Seite.

4. Karte & Ortssuche

Karte (Esri)

Die Karte wird auf deinem Gerät aus Kartendaten von Esri (Environmental Systems Research Institute, Inc., USA) gezeichnet. Die Kartendaten („Kacheln“) sowie die Schriften und Symbole für die Beschriftung lädt dein Gerät direkt von Servern von Esri. Das Programm, das die Karte zeichnet (MapLibre), und die Farbgestaltung der Karte kommen von sprungbereich.de selbst. Auf Geräten, die die Karte nicht selbst zeichnen können, sowie bei schwachen Geräten und im Datensparmodus zeigt die App stattdessen fertige Kartenbilder, die ebenfalls direkt von Esri geladen werden.

In beiden Fällen erhält Esri deine IP-Adresse und – aus den angefragten Kacheln – den Kartenausschnitt, den du dir gerade ansiehst. Damit die Karte schneller lädt, werden bis zu 150 Kacheln mit Kartendaten bzw. bis zu 300 Kartenbilder auf deinem Gerät zwischengespeichert.

Ortssuche und Adressen (OpenStreetMap / Nominatim)

Suchst du nach einem Ort, markierst du beim Eintragen eines Spots eine Stelle auf der Karte oder gibst du dort eine Adresse ein, wird der Suchbegriff bzw. die markierte Stelle an den Dienst Nominatim der OpenStreetMap Foundation (Großbritannien) geschickt, zusammen mit deiner IP-Adresse. Ohne diese Aktionen wird Nominatim nicht kontaktiert.

Grundlage
Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer funktionierenden Karte und Suche)
Rolle
Esri und die OpenStreetMap Foundation sind eigenständige Anbieter, keine Auftragsverarbeiter. Es gelten zusätzlich deren Datenschutzbestimmungen.
Drittland
Esri sitzt in den USA; ohne diese Übermittlung ist keine Kartenanzeige möglich. Für Großbritannien (Nominatim) besteht ein Angemessenheitsbeschluss der EU-Kommission.

5. Sprung-Ampel (Wetter)

Für die Sprung-Ampel und die geschätzte Wassertemperatur fragt die App bei Open-Meteo (OpenMeteo GmbH, Schweiz) das Wetter am jeweiligen Spot ab – sobald ein Spot in der Vorschau oder im Detail erscheint. Übertragen werden die Koordinaten des Spots – nicht dein eigener Standort – sowie technisch bedingt deine IP-Adresse. Die Antwort hält die App höchstens 30 Minuten im Arbeitsspeicher; sie wird nicht dauerhaft gespeichert.

Grundlage
Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an aktuellen Sprungbedingungen)
Speicherdauer
Open-Meteo löscht seine Server-Protokolle nach eigenen Angaben nach 90 Tagen
Drittland
Für die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission

6. Dein Standort

Der Knopf „Mein Standort“ nutzt die Ortungsfunktion deines Geräts – nur, wenn du ihn antippst und die Ortung im Browser bzw. in der Android-App erlaubst. Der Standort wird ausschließlich auf deinem Gerät verwendet, um die Karte dorthin zu bewegen und Entfernungen zu berechnen. Er wird weder an mich noch an einen anderen Dienst geschickt und nicht gespeichert. Die Karte lädt danach allerdings die Kartendaten für diesen Bereich von Esri (siehe Punkt 4) – daraus lässt sich die ungefähre Gegend ablesen.

Grundlage
Deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG), jederzeit in den Browser- bzw. Android-Einstellungen widerrufbar

7. Spots, Bewertungen und Kommentare (Supabase)

Spots, Bewertungen, Kommentare und Meldungen liegen in einer Datenbank bei Supabase (Vertragspartner: Supabase Pte. Ltd., Singapur; das Unternehmen hat seinen Hauptsitz in den USA) auf Servern in der EU (Irland). Supabase verarbeitet die Daten in meinem Auftrag; der Auftragsverarbeitungsvertrag ist Teil der Nutzungsbedingungen von Supabase. Die App lädt die öffentlichen Daten direkt aus deinem Browser von Supabase; dabei erhält Supabase deine IP-Adresse und protokolliert den Zugriff nach eigenen Fristen.

Woher die Bäder-Daten kommen

Die Einträge habe ich aus öffentlich zugänglichen Quellen zusammengestellt: den freien Geodaten von OpenStreetMap (Lizenz ODbL), den Webseiten der Bäder und Bäderverzeichnissen im Internet. Dazu kommen Einreichungen der Community. Es sind Sachangaben über Bäder und Orte (Name, Adresse, Lage, Sprunganlagen, Öffnungszeiten) – keine personenbezogenen Daten.

Schutz vor Missbrauch

Damit niemand massenhaft bewertet, kommentiert, Änderungen einreicht, Kommentare meldet oder Sprungnamen anlegt, zählt mein Server mit, wie oft das von einem Anschluss aus passiert. Dafür speichert er im Cloudflare-Speicher „KV“ kurzzeitig eine Prüfsumme (Hashwert) aus deiner IP-Adresse – bei Bewertungen kombiniert mit dem Spot. Die IP-Adresse selbst wird nicht gespeichert. Die Prüfsumme wird mit einem geheimen Schlüssel gebildet (HMAC), sodass sich ohne diesen Schlüssel die IP-Adresse nicht daraus zurückrechnen lässt. Der Eintrag löscht sich automatisch: bei Bewertungen nach 24 Stunden, sonst nach einer Stunde. Er dient nur dem Zählen – ich werte ihn nicht aus und verknüpfe ihn mit nichts anderem.

Grundlage
Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer funktionierenden, fairen Community-Funktion)
Speicherdauer
Kommentare, bis du oder ich sie löschen (z. B. nach einer Meldung); Bewertungen dauerhaft, ohne Personenbezug; IP-Prüfsummen 1 bzw. 24 Stunden
Drittland
Die Daten liegen in der EU. Weil Supabase außerhalb der EU sitzt (Singapur, USA), sind Zugriffe von dort (z. B. für Wartung und Support) nicht ausgeschlossen; dafür gelten die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914), die Teil des Auftragsverarbeitungsvertrags von Supabase sind.

8. Sprungname

Zum Kommentieren wählst du einen Spitznamen, daraus entsteht dein Sprungname. Dazu bekommst du einen Wiederherstellungs-Code, mit dem du denselben Sprungnamen auf einem anderen Gerät nutzen kannst.

Grundlage
Art. 6 Abs. 1 lit. f DSGVO (Kommentare unter einem geschützten Namen)
Speicherdauer
Sprungname und Code-Hashwert bleiben gespeichert, damit niemand anderes deinen Namen übernimmt. Auf Wunsch lösche ich beides (siehe Punkt 17).

9. Einreichungen, Änderungen & Meldungen

Wenn du einen Spot einträgst, eine Änderung einreichst, ein Bad als „kein Sprungbereich“ meldest oder einen Kommentar meldest, speichere ich den Inhalt bei Supabase. Name, E-Mail-Adresse oder IP-Adresse werden dabei nicht gespeichert – bitte schreib auch in die Freitextfelder nichts Persönliches. Neue Spots werden erst nach meiner Prüfung öffentlich.

Automatischer Abgleich eingereichter Änderungen

Eingereichte Änderungen gleicht jede Nacht ein Programm auf meinem Server bei Cloudflare (Punkt 3) ab. Eindeutige Korrekturen übernimmt es selbst – zum Beispiel fehlende Sprunghöhen, die Badesaison oder „vorübergehend geschlossen bis“. Vorhandene Angaben ändert es nur, wenn eine zweite Person dasselbe meldet oder die Webseite des Bads es bestätigt; alles andere prüfe ich von Hand. Dafür ruft es die öffentliche Webseite des jeweiligen Bads auf, ohne Daten von dir mitzuschicken. Jede automatische Änderung wird mit altem und neuem Wert protokolliert und lässt sich rückgängig machen. Das Programm entscheidet nur über Angaben zu Bädern, nie über Personen.

Um zwei Meldungen derselben Person zu erkennen, speichere ich zu jeder eingereichten Änderung eine verschlüsselte Kennung aus deiner IP-Adresse und dem Spot (HMAC mit geheimem Schlüssel). Die IP-Adresse selbst wird nicht gespeichert, und Kennungen zu verschiedenen Spots lassen sich nicht miteinander verknüpfen. Die Kennung wird nach 30 Tagen gelöscht.

Den nächtlichen Abgleich startet ein Zeitplan bei GitHub (GitHub, Inc., USA). Dabei werden keine Inhalte aus Meldungen an GitHub übertragen – nur der Startbefehl und die Zahl der noch offenen Meldungen.

Meldest du einen Kommentar, speichere ich in der Meldung eine Kopie des Kommentars mit Sprungname, damit ich ihn prüfen kann. Lösche ich einen Kommentar auf Wunsch seines Verfassers, lösche ich auch diese Kopien.

Über neue Einreichungen, Kommentare und Meldungen werde ich per E-Mail benachrichtigt. Die E-Mail verschickt mein Server über den Versanddienst Resend (Resend, Inc., USA) an mein Postfach bei Gmail (siehe Punkt 10). Sie enthält den Inhalt der Einreichung bzw. des Kommentars – bei Kommentaren auch den Sprungnamen –, aber keine IP-Adresse.

Grundlage
Art. 6 Abs. 1 lit. f DSGVO (Betrieb und Moderation der Community-Karte)
Drittland
Resend: USA, Übermittlung auf Grundlage der EU-Standardvertragsklauseln im Auftragsverarbeitungsvertrag von Resend
Speicherdauer
Spots dauerhaft. Auch abgelehnte Einreichungen bleiben unsichtbar gespeichert, damit dieselbe Stelle nicht mehrfach geprüft werden muss. Änderungen und Meldungen, solange ich sie für die Pflege der Karte brauche; die verschlüsselte Kennung zu Änderungen 30 Tage; das Protokoll automatischer Änderungen (nur Angaben zum Spot) dauerhaft. Keiner dieser Einträge enthält Angaben zu deiner Person, außer du schreibst sie selbst hinein – dann lösche ich sie auf Wunsch.

10. Kontakt per E-Mail

Wenn du mir eine E-Mail schreibst, verarbeite ich deine E-Mail-Adresse und den Inhalt, um dir zu antworten. Mein Postfach liegt bei Gmail (Google Ireland Limited, Irland). Google verarbeitet E-Mails nach seinen eigenen Datenschutzbestimmungen; dabei können Daten in die USA übermittelt werden. Google ist unter dem EU-US Data Privacy Framework zertifiziert. Dort landen auch die Benachrichtigungen aus Punkt 9.

Grundlage
Art. 6 Abs. 1 lit. f DSGVO (deine Anfrage beantworten); bei Anfragen zu deinen Rechten Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflicht)
Speicherdauer
Solange es für die Bearbeitung nötig ist; Anfragen zu deinen Datenschutzrechten bis zu drei Jahre, um nachweisen zu können, dass ich sie erfüllt habe

11. Spam-Schutz (Cloudflare Turnstile)

Damit keine Bots Spots, Bewertungen oder Kommentare einschleusen, nutze ich Cloudflare Turnstile. Es wird erst geladen, wenn du etwas absenden willst – also z. B. wenn du ein Formular öffnest, ins Kommentarfeld tippst oder Sterne auswählst. Turnstile prüft dabei technische Merkmale deines Browsers und Geräts sowie deine IP-Adresse, um Menschen von Bots zu unterscheiden. Meist passiert das unsichtbar.

Grundlage
Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch und Spam)
Anbieter
Cloudflare (siehe Punkt 3)

12. Speicher auf deinem Gerät

Ich selbst setze keine Cookies. Cloudflare kann zur Abwehr von Bots ein technisch notwendiges Sicherheits-Cookie setzen. Die App nutzt den lokalen Speicher deines Browsers (Local Storage) für Dinge, die sie für dich nicht vergessen soll. Diese Daten bleiben auf deinem Gerät und werden nicht an mich geschickt:

Außerdem speichert ein sogenannter Service Worker die Dateien der App (und bis zu 150 Kacheln mit Kartendaten bzw. 300 Kartenbilder) auf deinem Gerät, damit sie schnell und auch ohne Netz startet. Das alles kannst du jederzeit löschen, indem du die Website-Daten in deinem Browser entfernst.

Grundlage
§ 25 Abs. 2 Nr. 2 TDDDG (für den von dir gewünschten Dienst unbedingt erforderlich)

„Teilen“ öffnet das Teilen-Menü deines Geräts; was du dort auswählst, entscheidest du. „Route starten“ öffnet Google Maps, „Webseite“ die Seite des jeweiligen Bades. Auf der Seite „Über das Projekt“ gibt es Links zu Instagram und TikTok. Daten gehen an diese Anbieter erst, wenn du den Link antippst; dann gelten deren Datenschutzbestimmungen.

14. Android-App aus dem Google Play Store

Die Android-App ist eine schlanke Hülle (eine sogenannte Trusted Web Activity): Sie öffnet sprungbereich.de in einem Browser auf deinem Gerät, meist Chrome, nur ohne Adressleiste. Alles in dieser Erklärung gilt deshalb in der App genauso wie auf der Webseite. Zusätzlich gilt:

Grundlage
Art. 6 Abs. 1 lit. f DSGVO (Bereitstellung der App); Standort: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG); Sitzungs-Merker: § 25 Abs. 2 Nr. 2 TDDDG

15. Hinweis für Jugendliche

Sprungbereich.de funktioniert ohne Account und fragt keine persönlichen Daten ab. Bitte schreib in Kommentare und Formulare nichts Persönliches – weder über dich noch über andere (Namen, Nummern, Profile, Fotos). Mehr dazu in den Community-Regeln.

16. Was ich nicht mache

Musst du Daten angeben? Nein. Persönliche Angaben brauchst du nirgends zu machen. Nur die IP-Adresse wird technisch bedingt übertragen – ohne sie kann keine Webseite angezeigt werden.

17. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine Einwilligung (Standort) kannst du jederzeit mit Wirkung für die Zukunft widerrufen.

Widerspruchsrecht (Art. 21 DSGVO): Soweit ich Daten auf Grundlage eines berechtigten Interesses verarbeite, kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen.

Eigenen Kommentar oder Sprungnamen löschen lassen: Schreib mir eine E-Mail mit deinem Sprungnamen, dem Spot und deinem Wiederherstellungs-Code – daran erkenne ich, dass der Kommentar bzw. Name zu dir gehört. Weil ich sonst nichts über dich weiß, kann ich ohne den Code nicht prüfen, ob ein Kommentar von dir stammt.

Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), zum Beispiel bei der für mich zuständigen: dem Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg.

18. Änderungen

Wenn sich die App ändert, passe ich diese Erklärung an. Es gilt die jeweils hier veröffentlichte Fassung; das Datum oben zeigt den letzten Stand.

Karte · Über das Projekt · Community-Regeln · Impressum