1. Verantwortlicher

Verantwortlich im Sinne des Art. 4 Nr. 7 DSGVO ist:
Manuel Gruda c/o StickerMap.de
Sandstraße 26
57072 Siegen
E-Mail: info@stickermap.de

Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen hierfür nicht vorliegen.

2. Grundsatz und Geltungsbereich

StickerMap ist auf Datensparsamkeit ausgelegt. Für die öffentliche Nutzung gibt es keine Benutzerkonten. Meldungen, Feedback und Beanstandungen können ohne Registrierung eingereicht werden. Es werden keine Werbeprofile erstellt und keine Tracking-Cookies eingesetzt. Für berechtigte Administratorinnen und Administratoren besteht ein geschützter, nicht öffentlicher Zugang.

Vollständig ohne die Verarbeitung personenbezogener oder technisch zuordenbarer Daten kann ein Webdienst nicht betrieben werden. Die nachfolgenden Abschnitte erläutern Art, Zweck, Rechtsgrundlage, Empfänger und Speicherdauer der jeweiligen Verarbeitung.

3. Serverzugriffe und Missbrauchsschutz

Beim Aufruf der Website wird die IP-Adresse technisch für die Herstellung der Verbindung verarbeitet. Die vollständige IP-Adresse wird nicht in den Anwendungsprotokollen gespeichert. Protokolliert werden Datum und Uhrzeit, aufgerufene Ressource, HTTP-Statuscode und übertragene Datenmenge. Diese technischen Protokolle dienen der Auslieferung, Fehlerdiagnose und Abwehr von Angriffen und werden für höchstens sieben Tage aufbewahrt.

Zur Begrenzung automatisierter oder wiederholter Anfragen wird aus der IP-Adresse ein nicht unmittelbar rückführbarer Hashwert gebildet. Die IP-Adresse selbst wird dabei nicht gespeichert. Die Hashwerte und Zähler werden grundsätzlich spätestens nach 48 Stunden gelöscht.

Zweck und Rechtsgrundlage: sicherer und störungsfreier Betrieb sowie Missbrauchsabwehr auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.

4. Meldungen und hochgeladene Fotos

Beim Einreichen einer Meldung werden Standortkoordinaten, Kategorie, Art, Status, Beschreibung, Zeitpunkt und gegebenenfalls Fotos gespeichert. Außerdem wird der unter Abschnitt 13 beschriebene anonyme Sitzungsschlüssel als Hashwert zugeordnet. Nach einer gegebenenfalls erforderlichen redaktionellen Prüfung werden die Meldungsinhalte einschließlich Standort öffentlich auf der Karte dargestellt.

Zweck und Rechtsgrundlage: Dokumentation und öffentliche Darstellung menschenfeindlicher Symbolik sowie gesellschaftliche Aufklärung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Die Inhalte bleiben gespeichert, bis sie redaktionell entfernt werden oder ein begründeter Löschungsantrag gestellt wird.

Fotos sollen keine erkennbaren Personen, privaten Anschriften, Kfz-Kennzeichen oder andere identifizierende Merkmale zeigen. Solche Inhalte werden entfernt oder unkenntlich gemacht, sobald wir davon erfahren. EXIF-Metadaten, insbesondere GPS- und Geräteinformationen, werden bei der Bildverarbeitung entfernt. Mit dem Upload bestätigt die einreichende Person, das Foto selbst angefertigt zu haben, und räumt StickerMap das einfache, zeitlich unbefristete Recht ein, es im Rahmen der Plattform öffentlich zugänglich zu machen.

5. Hosting, Datenbank und E-Mail

Website, Datenbank, Dateispeicher, Umami und GlitchTip werden auf einem von uns administrierten Server bei der STRATO AG, Pascalstraße 10, 10587 Berlin, betrieben. Der Serverstandort liegt in Deutschland. STRATO ist als Infrastrukturprovider Auftragsverarbeiter; es besteht ein Vertrag nach Art. 28 DSGVO. Eine Speicherung der dort betriebenen Daten in Drittländern ist nicht vorgesehen.

Der E-Mail-Versand erfolgt über die Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen. Dabei verarbeitet Hetzner die für den Versand erforderlichen Absender-, Empfänger-, Nachrichten- und technischen Verbindungsdaten als Auftragsverarbeiter. Weitere Informationen enthält die Datenschutzerklärung von Hetzner.

6. Reichweitenmessung mit Umami

StickerMap verwendet eine selbst gehostete Instanz von Umami zur datensparsamen Reichweitenmessung. Umami wird über die eigene Domain ausgeliefert, setzt keine Cookies und erstellt keine dauerhaften Nutzerprofile. Erfasst werden insbesondere aufgerufene Seite, Zeitpunkt, Referrer, Browser-, Betriebssystem- und Gerätetyp sowie eine grobe geografische Zuordnung. Die IP-Adresse wird nicht dauerhaft gespeichert. Die Do-Not-Track-Einstellung des Browsers wird respektiert.

Zweck und Rechtsgrundlage: statistische Auswertung und Verbesserung des Angebots auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Die Analysedaten werden nach sechs Monaten gelöscht. Eine Einwilligung oder ein Cookie-Banner ist für diese cookielose, selbst gehostete Konfiguration nicht erforderlich.

7. Fehleranalyse mit GlitchTip

Zur Erkennung und Behebung technischer Fehler verwenden wir eine selbst gehostete GlitchTip-Instanz auf demselben Server. Fehlerberichte können Fehlerart, Zeitpunkt, betroffene Seite, technische Browser- und Geräteinformationen sowie für die Fehleranalyse erforderliche Programmdaten enthalten. Standardmäßig werden keine personenbezogenen Benutzerangaben übertragen. IP-Adressen, Cookies und Autorisierungsdaten werden vor der Speicherung entfernt.

Zweck und Rechtsgrundlage: Stabilität, Sicherheit und Fehlerbehebung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Fehler- und Leistungsdaten werden nach 30 Tagen gelöscht.

8. Kartendarstellung, Standort und Geodatendienste

Die Open-Source-Bibliothek Leaflet wird vom eigenen Server ausgeliefert. Straßenkarte und 3D-Globus beziehen Kartenkacheln von der OpenStreetMap Foundation. Dabei stellt der Browser eine direkte Verbindung zu deren Servern her und kann IP-Adresse, Browser- und Geräteinformationen, Herkunftsseite, Zeitpunkt und angezeigten Kartenausschnitt übermitteln. Informationen dazu enthält die Datenschutzerklärung der OpenStreetMap Foundation.

Adresssuche und Ortsbezeichnungen werden serverseitig über Nominatim verarbeitet. An OpenStreetMap werden der Suchbegriff oder ausgewählte Koordinaten, nicht jedoch die IP-Adresse der besuchenden Person übertragen. Beim freiwilligen Umschalten auf die Satellitenansicht werden Kartenbilder von Esri geladen. Dabei können IP-Adresse, Browserinformationen, Zeitpunkt und Kartenausschnitt an Esri in den USA übermittelt werden. Esri ist nach dem EU-US Data Privacy Framework zertifiziert. Weitere Informationen enthält die Datenschutzerklärung von Esri.

StickerMap kann nach Freigabe im Browser den Gerätestandort abrufen, um die Karte auszurichten, Umkreise zu filtern oder einen Fundort vorzubelegen. Während die Karte geöffnet ist, kann der Standort aktualisiert werden; StickerMap erstellt daraus kein Bewegungsprofil. Bei Verwendung von „Hier melden“ werden die gewählten Koordinaten übertragen und erst mit dem Absenden der Meldung dauerhaft gespeichert und öffentlich dargestellt. Die Standortfreigabe kann in den Browser- oder Geräteeinstellungen widerrufen werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO für die zentralen Karten- und Suchfunktionen sowie Art. 6 Abs. 1 lit. a DSGVO für den optionalen Zugriff auf den Gerätestandort.

9. Instagram und externe Links

Auf der Links-Seite werden öffentlich zugängliche Inhalte des eigenen Instagram-Profils angezeigt. Profil- und Beitragsinformationen werden serverseitig abgerufen. Bilder werden über die eigene Bildoptimierung ausgeliefert. Es werden kein Instagram-Iframe, kein Meta-Pixel und kein Meta-SDK eingebunden. Beim bloßen Seitenaufruf entsteht daher keine direkte Verbindung vom Browser zu Meta.

Erst beim aktiven Anklicken eines Instagram- oder sonstigen externen Links wird eine Verbindung zum jeweiligen Anbieter hergestellt. Dieser kann insbesondere IP-Adresse sowie Browser- und Geräteinformationen verarbeiten. Externe Links werden in einem neuen Tab geöffnet und mit Schutz gegen den Zugriff auf das Ausgangsfenster sowie gegen die Übermittlung des Referrers versehen. Weitere Informationen zu Instagram enthält die Datenschutzrichtlinie von Meta.

Dies gilt entsprechend für PayPal, Google Maps, Apple Maps, Waze, OpenStreetMap sowie Teilen-Links zu WhatsApp, Facebook und X. Vor einem aktiven Klick werden über diese reinen Links keine Inhalte des jeweiligen Anbieters geladen.

10. Kontakt und Feedback

Über das Kontaktformular werden je nach Anfrage Name, E-Mail-Adresse, Organisation, Betreff und Nachricht verarbeitet. Beim Feedbackformular werden Kategorie, Nachricht und eine optional angegebene Kontaktmöglichkeit gespeichert. Die Angaben dienen ausschließlich der Bearbeitung der Anfrage und der Verbesserung der Plattform.

Interne Benachrichtigungen werden per E-Mail über Hetzner versendet. Zusätzlich kann eine Benachrichtigung über Discord erfolgen. An Discord werden ausschließlich interne Vorgangsnummer, Kategorie und Eingangszeitpunkt übermittelt, nicht jedoch Name, E-Mail-Adresse, Organisation, Betreff oder Nachrichtentext. Eine Verarbeitung in den USA ist möglich; Discord verwendet hierfür unter anderem Standardvertragsklauseln und das EU-US Data Privacy Framework. Weitere Informationen enthält die Datenschutzerklärung von Discord.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anfragen, ansonsten Art. 6 Abs. 1 lit. f DSGVO. Die Daten werden nach Abschluss der Bearbeitung für höchstens zwölf Monate gespeichert, soweit keine gesetzlichen Pflichten eine längere Speicherung verlangen.

11. Datenschutzanfragen

Über das Datenschutzformular können insbesondere Auskunfts-, Berichtigungs-, Löschungs-, Einschränkungs- und Widerspruchsanfragen eingereicht werden. Verarbeitet werden die Nachricht und eine freiwillige Kontaktmöglichkeit. Zugriff erhalten ausschließlich Administratorinnen und Administratoren mit Datenschutzberechtigung. Zur internen Bearbeitung wird eine E-Mail über Hetzner versendet; eine Übermittlung an Discord findet nicht statt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 12 bis 22 DSGVO sowie Art. 5 Abs. 2 DSGVO. Nach Abschluss werden die Daten für höchstens drei Jahre zum Nachweis der ordnungsgemäßen Bearbeitung aufbewahrt und anschließend gelöscht, sofern keine gesetzlichen Pflichten oder laufenden Verfahren entgegenstehen.

12. Administrationsbereich und Authentifizierung

Für freigeschaltete Personen werden E-Mail-Adresse, Berechtigungen, Anmelderichtlinie und Kontozeitpunkt verarbeitet. Die Anmeldung erfolgt über E-Mail-Einmalcode, Passkey oder Wiederherstellungscode. Bei Passkeys speichert StickerMap nur öffentlichen Schlüssel, technische Kennung, Gerätenamen, Passkey-Typ sowie Erstellungs- und Nutzungszeitpunkte. Private Schlüssel und biometrische Merkmale verbleiben auf dem Gerät oder im Passwortmanager. Wiederherstellungscodes werden ausschließlich als Hashwerte gespeichert.

Sicherheitsprotokolle können E-Mail-Adresse, Aktion, betroffenes Objekt, Zeitpunkt und einen Hashwert der IP-Adresse enthalten. Passwörter, Einmalcodes, Wiederherstellungscodes, Cookies und private Passkey-Schlüssel werden nicht protokolliert. Sicherheitsprotokolle werden höchstens zwölf Monate, E-Mail-Versandprotokolle höchstens 90 Tage gespeichert. Kontodaten werden nach dauerhafter Entziehung des Zugangs gelöscht, soweit keine Nachweispflichten entgegenstehen.

Zweck und Rechtsgrundlage: Bereitstellung und Absicherung des Administrationsbereichs sowie Nachvollziehbarkeit administrativer Änderungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.

13. Cookies, lokaler Speicher und Service Worker

StickerMap verwendet keine Cookies oder Browser-Speicher für Werbung, Profilbildung oder websiteübergreifendes Tracking. Eingesetzt werden folgende technisch oder funktional erforderliche Cookies:

• NEXT_LOCALE: ausgewählte Sprache, für die Browsersitzung
• info_dismissed: geschlossener Einführungshinweis, 30 Tage
• sm_anon: zufälliger anonymer Schutzschlüssel für öffentliche Formulare, ein Jahr
• sm_session: Admin-Sitzung, bis zu acht Stunden
• sm_admin_gate: Zugangsschutz des Adminbereichs, bis zu 30 Tage
• admin_locale: Sprache im Adminbereich, ein Jahr

NEXT_LOCALE, info_dismissed und admin_locale sind für die Bedienung durch die Benutzeroberfläche lesbar und enthalten keine Anmeldedaten. sm_anon, sm_session und sm_admin_gate sind nicht durch JavaScript auslesbar.

Im lokalen Speicher können Darstellung, Kartenansicht, Größe der Statistik-Karte, geschlossene Hinweise, eine lokale Statistik eigener Meldungen sowie ein nicht abgesendeter Meldungsentwurf gespeichert werden. Der Entwurf enthält Kategorie, Art, Status und Beschreibung, aber keine Fotos oder Koordinaten. Der Sitzungsspeicher merkt nur für den aktuellen Tab, ob Hinweise angezeigt oder geschlossen wurden. Die Einträge bleiben bis zur Entfernung durch die Anwendung oder zum Löschen der Websitedaten im Browser erhalten.

Der Service Worker ermöglicht die Installation als Web-App. Er leitet Anfragen an das Netzwerk weiter und legt keinen eigenen Offline-Speicher mit Meldungs- oder Formulardaten an. Der Browser kann öffentliche Dateien nach seinen üblichen Cache-Regeln zwischenspeichern.

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG und, soweit personenbezogene Daten betroffen sind, Art. 6 Abs. 1 lit. f DSGVO. Für diese notwendigen und funktionsbezogenen Speicherungen ist kein Cookie-Banner erforderlich.

14. Spenden und Unterstützerliste

Der Spendenlink führt zu PayPal; auf StickerMap selbst ist kein PayPal-Formular oder Trackingelement eingebunden. Bei einer Spende verarbeitet PayPal die erforderlichen Konto-, Zahlungs-, Geräte- und Transaktionsdaten. StickerMap erhält abhängig von der Zahlungsart beispielsweise Name, E-Mail-Adresse, Betrag, Zeitpunkt, Transaktionsnummer und Nachricht. Anbieter in der EU ist PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg. Weitere Informationen enthält die Datenschutzerklärung von PayPal.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Spende und Art. 6 Abs. 1 lit. c DSGVO für gesetzliche Aufzeichnungen. Zahlungs- und Buchungsbelege werden entsprechend den gesetzlichen Fristen, regelmäßig bis zu acht Jahre, gespeichert.

Namen natürlicher Personen, Rollen und Profil- oder Beitragslinks werden nur mit vorheriger Einwilligung öffentlich in der Unterstützerliste und gegebenenfalls im Ticker angezeigt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO. Die Einwilligung kann jederzeit per E-Mail widerrufen werden. Der Eintrag wird daraufhin entfernt; Kopien in Suchmaschinen oder externen Archiven können vorübergehend fortbestehen.

15. Beanstandungen und Behördenvorschläge

Bei einer Beanstandung werden betroffene Meldung, Grund, optionale Anmerkung und mögliche Korrekturen verarbeitet. Bei Behördenvorschlägen können Behördenname und -art, dienstliche Kontaktdaten, Website, Formularadresse, Postanschrift, Bemerkung und eine freiwillige Kontaktmöglichkeit der einreichenden Person gespeichert werden. Zugriff erhalten nur entsprechend berechtigte Administratorinnen und Administratoren. Benachrichtigungen erfolgen per E-Mail über Hetzner, nicht über Discord.

Angenommene dienstliche Behördenangaben können öffentlich dargestellt werden. Die Kontaktangabe der einreichenden Person wird nicht veröffentlicht. Es sollen keine privaten Kontaktdaten einzelner Beschäftigter eingereicht werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO sowie bei der Erfüllung gesetzlicher Datenschutzpflichten Art. 6 Abs. 1 lit. c DSGVO. Die Daten werden nach Abschluss höchstens zwölf Monate aufbewahrt. Freiwillige Kontaktangaben werden entfernt, sobald sie für Rückfragen nicht mehr benötigt werden.

16. Datensicherheit

StickerMap setzt angemessene technische und organisatorische Schutzmaßnahmen ein. Dazu gehören HTTPS, rollenbasierte Zugriffsrechte, Passkeys und zeitlich begrenzte Einmalcodes, sichere Sitzungscookies, gehashte Wiederherstellungscodes, Größen- und Ratenbegrenzungen, Sicherheitsprotokolle, die Entfernung von Bildmetadaten sowie die Beschränkung des Datenbank- und Dateizugriffs auf erforderliche Serverprozesse und berechtigte Personen. Die eingesetzten Komponenten werden regelmäßig aktualisiert. Eine vollständige Sicherheit bei Datenübertragungen im Internet kann dennoch nicht garantiert werden.

17. Betroffenenrechte

Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen das Recht auf Auskunft nach Art. 15, Berichtigung nach Art. 16, Löschung nach Art. 17, Einschränkung nach Art. 18, Datenübertragbarkeit nach Art. 20 und Widerspruch nach Art. 21 DSGVO. Eine Einwilligung kann nach Art. 7 Abs. 3 DSGVO jederzeit mit Wirkung für die Zukunft widerrufen werden.

Zur Ausübung genügt eine formlose Nachricht an info@stickermap.de oder das Datenschutzformular. Zum Schutz fremder Daten können zusätzliche Angaben zur Identitätsprüfung oder Zuordnung verlangt werden. Anfragen werden grundsätzlich kostenlos und spätestens innerhalb eines Monats beantwortet. Bei komplexen oder zahlreichen Anfragen kann die Frist unter den gesetzlichen Voraussetzungen um zwei Monate verlängert werden.

Es besteht außerdem ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde. Zuständig ist insbesondere die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf, E-Mail: poststelle@ldi.nrw.de, www.ldi.nrw.de.

18. Automatisierte Prüfungen

Technische Regeln begrenzen wiederholte Anfragen, erkennen möglichen Missbrauch und markieren ungewöhnliche oder räumlich gehäufte Meldungen. Eine Einreichung kann dadurch automatisch abgewiesen oder zur manuellen Prüfung zurückgestellt werden. Die Prüfungen bewerten keine persönlichen Eigenschaften und dienen weder Werbung noch Profilbildung. Es findet keine ausschließlich automatisierte Entscheidung mit rechtlicher oder vergleichbar erheblicher Wirkung im Sinne von Art. 22 DSGVO statt. Bei einer irrtümlichen Blockierung kann eine Überprüfung über info@stickermap.de angefordert werden.

19. Änderungen und Stand

Diese Datenschutzerklärung wird angepasst, wenn sich Dienste, Verarbeitungsverfahren oder gesetzliche Anforderungen ändern. Die aktuelle Fassung ist auf dieser Website abrufbar; auf wesentliche Änderungen wird in geeigneter Weise hingewiesen.

Stand: 4. August 2026

Rechtlich maßgeblich ist die deutsche Fassung dieser Datenschutzerklärung.