Datenschutzerklärung

Verantwortlicher

Sosta — Inhaber: Valerian Huber, Dahlienweg 11, 83109 Großkarolinenfeld. Kontakt: datenschutz@sosta.app.

Verarbeitete Daten

• Beim Besuch der Public-Verzeichnis-Routes werden Server-Logs mit anonymisierten IP-Hashes für maximal 14 Tage gespeichert (Sicherheits-Audit, Spam-Schutz).
• Es werden keine Tracking-, Werbe- oder Third-Party-Analytics-Cookies (Google Analytics, Facebook Pixel o. Ä.) eingesetzt. Reichweitenmessung erfolgt — sofern aktiv — über Umami (in der EU selbst gehostet, analytics.alpin-code.de): cookielos, aggregiert und ohne Personenbezug.
• Technisch notwendige, einwilligungsfreie Cookies (§ 25 Abs. 2 TTDSG): die 18+-Altersbestätigung (sosta-age-self-declared — speichert nur „bestätigt“, nicht dein Geburtsjahr; Laufzeit bis zu 400 Tage, das von Browsern zugelassene Maximum), Login-/ Session-Cookies (nur bei Account-Nutzung) und deine Sprachwahl. Da ausschließlich solche notwendigen Cookies sowie cookielose Reichweitenmessung genutzt werden, ist kein Cookie-Banner erforderlich.
• Wenn du als Etablissement-Betreiber das Claim-Formular nutzt: Email, Name, optional Telefon — zur Verifikation deiner Berechtigung, das Listing zu übernehmen. Diese Daten werden gespeichert.
• Wenn du über das Anfrage-Formular ein Etablissement anschreibst: Name/Pseudonym (optional), Email oder Telefon (optional) sowie deine Nachricht werden gespeichert. Der Rückkanal ist ein anonymer Chat innerhalb der App — es wird keine Email an dich verschickt. Die Chat-Inhalte werden verschlüsselt gespeichert (AES-256-GCM) und sind für das angefragte Etablissement einsehbar; Sosta selbst greift auf die Klartext-Inhalte nur in auditierten Ausnahmefällen zu (Missbrauchs- oder Rechtsprüfung, „Break-Glass“-Zugriff mit Pflicht-Protokollierung). Deine Anfrage wird automatisch gelöscht 12 Monate nach der letzten Nachricht bzw. 90 Tage, nachdem der Chat geschlossen wurde — du kannst sie jederzeit auch selbst sofort löschen (Papierkorb-Symbol im Chat-Verlauf). Alle Angaben in diesem Formular sind freiwillig.
• Bei Registrierung und Nutzung eines Kontos (Etablissement oder Talent): Email für An- und Abmeldung sowie systemische Benachrichtigungen; bei der freiwilligen Telefon-Verifizierung von Talents zusätzlich die Mobilnummer zum Versand eines einmaligen Bestätigungscodes (SMS).

Hosting

Anwendung, Datenbank und Bild-Speicher (MinIO) laufen in einem EU-Datacenter (Hostinger VPS, Deutschland); verschlüsselte Backups liegen bei Contabo (EU-Region). Diese Kerninfrastruktur verarbeitet Daten ausschließlich innerhalb der EU/EWR.

Eingesetzte Dienstleister (Auftragsverarbeiter)

Zur Erbringung des Dienstes setzen wir folgende Auftragsverarbeiter (Art. 28 DSGVO) ein. Mit jedem besteht ein Auftragsverarbeitungs- Vertrag. Soweit ein Dienstleister Daten außerhalb der EU/EWR verarbeitet, erfolgt dies auf Grundlage von EU-Standardvertrags- klauseln bzw. eines Angemessenheitsbeschlusses (EU-US Data Privacy Framework).

• Hostinger (Deutschland) — Hosting von Anwendung, Datenbank und Bild-Speicher.
• Contabo (EU-Region) — verschlüsselte Off-Site-Backups.
• Resend — Versand transaktionaler E-Mails (z. B. Anmelde-Links, Konto- und System-Benachrichtigungen, Formular-Weiterleitungen).
• seven.io (Deutschland) — SMS-Versand für die freiwillige Telefon-Verifizierung (einmaliger Bestätigungscode).
• CARTO (USA/Spanien) — Basemap-Kacheln der interaktiven Verzeichnis- und Talents-Karte; hierbei wird deine IP-Adresse an den Kartendienst übermittelt.
• Mapbox (USA) — statische Karten-Vorschaubilder (z. B. Stadt-Hero, Tourenplanung); hierbei wird deine IP-Adresse an den Kartendienst übermittelt.

Es findet keine Weitergabe deiner Daten zu Werbe- oder Profilbildungs-Zwecken an Dritte statt. Die vollständige, laufend aktuelle Liste aller Unterauftragsverarbeiter mit Zweck, Standort und Datenschutz-Garantie findest du unter Unterauftragsverarbeiter.

Deine Rechte

Du hast nach DSGVO Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21) und Beschwerde bei einer Aufsichtsbehörde (Art. 77).

Anfragen richte an datenschutz@sosta.app.

Auftragsverarbeitung (Tenants)

Für Etablissement-Tenants gilt zusätzlich der separat geschlossene Auftragsverarbeitungs-Vertrag (AVV) nach Art. 28 DSGVO. Der AVV regelt die Verarbeitung von Worker- und Setcard-Daten als besondere Kategorien (Art. 9 DSGVO).