Datenschutz

Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der DSGVO ist Jan Niklas Wasiniewski, Wernerstraße 34, 01159 Dresden, E-Mail info@janwasi.de. Die vollständigen Angaben findest du im Impressum.

Login mit Strava (OAuth 2.0)

ALLEY nutzt ausschließlich den Login über Strava. Es gibt keine separate Passwortverwaltung. Wenn du dich anmeldest, wirst du auf die Website von Strava weitergeleitet und autorisierst dort ausdrücklich, welche Daten ALLEY abrufen darf. Nach Abschluss der Autorisierung übermittelt Strava uns folgende Daten:

• Strava-ID (eindeutige Nutzerkennung)
• Vor- und Nachname sowie Strava-Benutzername
• Profilbild-URL
• Stadt und Land (aus dem Strava-Profil, sofern angegeben)
• Strava-Zugriffstoken und Refresh-Token (für API-Aufrufe im Namen des Nutzers — ausschließlich serverseitig gespeichert, nicht an den Browser übermittelt)
• Freigegebene OAuth-Scopes (Berechtigungsumfang, den du bei der Autorisierung erteilt hast)

Diese Daten werden in unserer Datenbank gespeichert und bei jedem erneuten Login aktualisiert. E-Mail-Adressen werden von Strava nicht standardmäßig übermittelt und sind in unserem System daher in der Regel leer.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Verarbeitung zur Erfüllung des Nutzungsvertrags (Registrierung und Teilnahme an Events).

Strava Inc. (650 Fifth Street, Suite 200, San Francisco, CA 94107, USA) verarbeitet deine Daten nach seiner eigenen Datenschutzerklärung: strava.com/legal/privacy. Die Übermittlung in die USA stützt sich auf das EU-US- Datenschutzrahmenwerk (Data Privacy Framework) bzw. die EU-Standardvertragsklauseln.

Nutzerkonto & gespeicherte Daten

Nach dem ersten Login wird in unserer Datenbank ein Nutzerkonto angelegt, das folgende Felder enthält:

• Interne Nutzer-ID (zufällig generiert)
• Anzeigename, Benutzername, Profilbild, Stadt, Land
• Strava-ID sowie Strava-Tokens (serverseitig, verschlüsselt übertragen)
• Einstellung, ob die optionale Auto-Caption-Funktion aktiviert ist (Voreinstellung: deaktiviert)
• Zeitstempel der Kontoerstellung und letzten Aktualisierung

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung.

Event-Registrierung & Checkpoint-Scans

Wenn du dich für ein Event anmeldest, speichern wir eine Registrierung, die deine Nutzer-ID, den Event-Slug und den Anmeldezeitpunkt enthält. Während des Events wird für jeden gescannten Checkpoint ein Scan-Datensatz gespeichert (Nutzer-ID, Checkpoint-ID, Zeitstempel). Diese Daten bilden die Grundlage für die Punkte- und Leaderboard-Berechnung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung (Spielbetrieb, Scoring, Leaderboard).

Optionale Funktion: Strava Auto-Caption

Wenn du die Auto-Caption-Funktion in deinem Profil aktivierst, erlaubst du ALLEY, die Beschreibung deiner zuletzt erfassten Strava-Aktivität über die Strava-API automatisch zu befüllen (Scope activity:write). Hierfür empfängt ALLEY Webhook-Benachrichtigungen von Strava, wenn du eine neue Aktivität erstellst, und schreibt daraufhin eine ergebnisorientierte Caption. Die Aktivitätsdaten selbst werden nicht dauerhaft gespeichert; es wird nur die ID der zuletzt bearbeiteten Aktivität und der Zeitpunkt der letzten Synchronisierung festgehalten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO — Einwilligung. Du kannst die Funktion jederzeit in deinem Profil deaktivieren; ab diesem Zeitpunkt werden keine weiteren Aktivitäten beschrieben. Eine Rückwirkung auf bereits bearbeitete Aktivitäten ist technisch nicht möglich, da die Daten dort von Strava verwaltet werden.

Cookies & Session

ALLEY setzt ausschließlich technisch notwendige Cookies. Ein Einwilligung-Banner ist nach § 25 Abs. 2 Nr. 2 TDDDG nicht erforderlich, da keine Daten zu Tracking- oder Werbezwecken gespeichert werden.

• alley_session — Sitzungs-Cookie (httpOnly, Laufzeit 30 Tage, SameSite Lax). Enthält ein signiertes Token mit deiner internen Nutzer-ID; ermöglicht den eingeloggten Zustand ohne erneute Strava-Autorisierung.
• alley_oauth_state — Kurzzeit-Cookie (httpOnly, Laufzeit 10 Minuten). Wird nur während des OAuth-Flows gesetzt und dient der CSRF-Absicherung; wird unmittelbar nach dem Callback gelöscht.
• alley_rider — Zugangscookie für eingeloggte Rider (httpOnly, Laufzeit 30 Tage). Steuert den Zugang zu Rider-Bereichen der App.

Alle Cookies sind als httpOnly markiert (kein JavaScript-Zugriff) und tragen in der Produktion das Attribut Secure (nur HTTPS).

Hosting (Vercel)

Diese Website wird bei der Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA, gehostet. Beim Seitenaufruf überträgt dein Browser technisch bedingt Daten an Vercel (IP-Adresse, Datum, Uhrzeit, aufgerufene URL, Browser- und Geräteinformationen). Diese werden zur sicheren Auslieferung der Website verarbeitet (Server-Logfiles) und nicht mit anderen Daten zusammengeführt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an einer stabilen und sicheren Bereitstellung. Die Übermittlung in die USA stützt sich auf die EU-Standardvertragsklauseln. Weitere Informationen: vercel.com/legal/privacy-policy.

Datenbank (Supabase)

Alle Nutzerdaten (Konto, Registrierungen, Scans) werden in einer PostgreSQL-Datenbank gespeichert, die von Supabase Inc., 970 Tresser Blvd, Stamford, CT 06901, USA, betrieben wird. Der Datenbankserver ist in der EU-Region Frankfurt (AWS eu-central-1) gehostet. Der Zugriff erfolgt ausschließlich serverseitig über einen privilegierten Service-Schlüssel; ein direkter Zugriff per Browser ist nicht möglich. Row-Level Security ist auf allen Tabellen aktiviert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Supabase verarbeitet Daten als Auftragsverarbeiter gemäß Art. 28 DSGVO. Weitere Informationen: supabase.com/privacy.

Reichweitenmessung (Vercel Web Analytics)

Wir nutzen Vercel Web Analytics zur anonymen, aggregierten Auswertung der Seitennutzung (z. B. Anzahl der Aufrufe, Gerätetyp, ungefähre Herkunft). Es werden keine Cookies gesetzt, keine geräteübergreifenden Profile gebildet und keine personenbezogenen Nutzerprofile angelegt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an datensparsamer Reichweitenmessung. Da keine Informationen im Endgerät gespeichert oder ausgelesen werden, ist keine Einwilligung nach § 25 TDDDG erforderlich.

Speicherdauer

Kontodaten, Registrierungen und Scan-Protokolle werden gespeichert, solange ein aktives Nutzerkonto besteht. Nach einer Löschanfrage (s. u.) werden alle personenbezogenen Daten unverzüglich und unwiderruflich aus unserer Datenbank entfernt. Strava-Tokens können zusätzlich unabhängig von uns über die Strava- Kontoeinstellungen (Einstellungen → Meine Apps) widerrufen werden; nach einem Widerruf kann ALLEY keine API-Anfragen mehr im Namen des Nutzers stellen.

Deine Rechte

Dir stehen gegenüber uns folgende Rechte zu:

• Auskunft über die zu deiner Person verarbeiteten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO) — betrifft die Auto-Caption-Funktion

Zur Ausübung deiner Rechte — insbesondere zur vollständigen Kontolöschung — genügt eine Nachricht per E-Mail an info@janwasi.de mit dem Betreff „ALLEY Datenlöschung". Wir löschen dein Konto und alle zugehörigen Daten unverzüglich.

Außerdem hast du das Recht, dich bei einer Datenschutz- Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig ist in der Regel die Behörde deines gewöhnlichen Aufenthaltsorts oder Arbeitsplatzes, in Sachsen die Sächsische Datenschutzbeauftragte (saechsdsb.de).