Datenschutzerklärung

SprayAR Streets – die gemeinsame Straßenkarte im Browser
Version streets-2026-10-27 · gültig ab 28. Oktober 2026

1. Verantwortlicher und Kontakt

Einen Datenschutzbeauftragten haben wir nicht benannt, da wir dazu gesetzlich nicht verpflichtet sind. Bei allen Fragen zum Datenschutz schreib an die oben genannte Adresse.

Diese Erklärung gilt für die Straßenkarte im Browser. Die SprayAR-iOS-App und die Website sprayar.com haben eigene Datenschutzerklärungen.

2. Wo der Dienst läuft

Den Kartenserver (Konten, Farbe, Live-Verbindung) betreiben wir selbst auf unserem eigenen Server in Deutschland. Die öffentliche Adresse der Straßenkarte wird über Cloudflare (Cloudflare, Inc., USA, mit den europäischen Gesellschaften von Cloudflare) ausgeliefert, das Anfragen als Proxy und Content-Delivery-Netzwerk an unseren Server weiterleitet und ihn vor Angriffen schützt. Cloudflare verarbeitet deine IP-Adresse und die technischen Anfragedaten für uns als Auftragsverarbeiter auf Grundlage eines Auftragsverarbeitungsvertrags. Daten können in den USA verarbeitet werden; Cloudflare ist nach dem EU-U.S. Data Privacy Framework zertifiziert (Angemessenheitsbeschluss, Art. 45 DSGVO), zusätzlich sind Standardvertragsklauseln (Art. 46 DSGVO) Teil des Vertrags.

3. Was wir verarbeiten, warum und wie lange

3.1 Verbindungsdaten

Wenn du die Karte öffnest, sendet dein Browser technische Daten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browsertyp und Sprache. Wir nutzen sie, um die Karte auszuliefern, sie abzusichern und Missbrauch zu begrenzen (zum Beispiel, wie viele Gastkonten pro Netzwerkadresse und Stunde angelegt werden können). Zähler für Ratenbegrenzungen existieren nur im Arbeitsspeicher des Servers. Wenn du dich anmeldest, wird die IP-Adresse zusammen mit der Anmeldesitzung gespeichert, bis die Sitzung endet (höchstens 30 Tage). Netzwerkadressen, die wir wegen Missbrauchs sperren, speichern wir, solange die Sperre gilt. Technische Fehlerprotokolle werden spätestens nach 14 Tagen gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO – unser berechtigtes Interesse an einem sicheren, funktionierenden Dienst.

3.2 Standort

Die Karte fragt nach deinem Standort, damit sie dich zu deiner Straße fliegen kann. Dein Browser gibt ihn nur weiter, wenn du es erlaubst; du kannst ablehnen und die Karte trotzdem nutzen (Acid-Farbe ist dann nicht verfügbar).

• Die Position wird zunächst nur auf deinem Gerät genutzt, um die Karte auszurichten.
• Sobald die Karte geladen ist, wird deine letzte Position (Längengrad, Breitengrad, Genauigkeit) über die verschlüsselte Live-Verbindung an unseren Server gesendet: einmal beim Verbindungsaufbau und danach etwa alle fünf Sekunden, solange Acid-Farbe ausgewählt ist.
• Der Server hält nur die jeweils letzte Position im Arbeitsspeicher für deine aktuelle Verbindung, betrachtet sie höchstens zwei Minuten als gültig und nutzt sie ausschließlich, um zu prüfen, ob Acid-Farbe innerhalb von 33 m um dich liegt und ob die Position plausibel ist. Sie wird weder in die Datenbank noch in Protokolle geschrieben und verworfen, wenn die Verbindung endet.
• Gut zu wissen: Acid-Farbe wird an ihrer Stelle auf der Karte als „vor Ort gemalt“ gespeichert. Wer sie sieht, weiß, dass die Person, die sie gemalt hat, zu diesem Zeitpunkt in der Nähe dieser Stelle war.

Rechtsgrundlage: deine Einwilligung über die Standortfreigabe deines Browsers (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Du kannst sie jederzeit in den Website-Einstellungen deines Browsers widerrufen; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

3.3 Gast und Konto

Für ein Gastkonto legen wir einen zufälligen Namen (guest-…) an. Für ein Konto speichern wir deinen Künstlernamen und dein Passwort als argon2id-Hash (dein Passwort kennen wir nie). Außerdem speichern wir deine Kennfarbe, deine Rolle, den Zeitpunkt der Registrierung und deiner letzten Anmeldung sowie die Anmeldesitzung (als Hash gespeichert, 30 Tage gültig).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO – Bereitstellung des Dienstes nach den Nutzungsbedingungen. Kontodaten speichern wir, bis du das Konto löschst oder wir es nach den Nutzungsbedingungen löschen.

3.3a Gast-Testzeit, Anmeldung mit Google / Apple und Löschen deines Kontos

Gast-Testzeit. Ein Gastkonto kann 5 Minuten lang malen. Danach kann es nur noch zuschauen, bis du ein Konto anlegst; dabei bleibt alles erhalten, was der Gast gemalt hat. Gastkonten erscheinen nicht in der Bestenliste.

Anmelden mit Google oder Apple. Wenn du das wählst, bestätigt Google (Google Ireland Ltd.) oder Apple (Apple Distribution International Ltd.), wer du bist, und schickt uns ein signiertes Token. Daraus speichern wir den Anbieter, die Nutzernummer des Anbieters für dich und deine E-Mail-Adresse (bei Apples „E-Mail-Adresse verbergen“ nur eine Weiterleitungsadresse). Deinen Namen von Google oder Apple nutzen wir nur, um einen Künstlernamen vorzuschlagen; deine E-Mail-Adresse veröffentlichen wir nie. Wir nutzen sie nur für Nachrichten zu deinem Konto, zum Beispiel die Bestätigung, wenn du es löschst. Google und Apple verarbeiten die Anmeldung nach ihren eigenen Datenschutzhinweisen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Konto löschen. Wähle in deinem Profil „Konto löschen“ und bestätige einmal. Wir löschen sofort deine Anmeldesitzungen, die Verknüpfung mit Google oder Apple, dein Profil, deine Figur, Skizzen, Freunde und Nachrichten, deine Geräteverknüpfungen, deine Einträge in Bestenliste und Karma sowie deine Zustimmungen zu den Bedingungen; deine Chatnachrichten werden geleert und dein Künstlername wird zu „deleted-…“. Farbe, die du auf die Karte gemalt hast, bleibt dort als anonyme Kunst ohne deinen Namen (Farbe ist Teil der gemeinsamen Karte, siehe Nutzungsbedingungen). Wenn wir deine E-Mail-Adresse kennen (Anmeldung mit Google oder Apple), bekommst du eine Bestätigungsmail. Wurde ein Konto wegen Missbrauchs gesperrt, behalten wir die Verknüpfung mit dem Google- oder Apple-Konto, damit eine erneute Anmeldung kein neues Konto anlegt.

Beta-Zugang auf dieser Webseite. Malen auf der Straßen-Webseite ist für SprayAR-Betatester freigegeben. Die Warteliste läuft über sprayar.com (E-Mail-Adresse oder Google-Anmeldung, Einwilligung, Bestätigung, Freigabe), siehe sprayar.com/beta-privacy.html. Damit du angemeldet bleibst, speichert diese Seite die Cookies sprayar_beta (Sitzung) und nach der Anmeldung sprayar_remember (bis zu ein Jahr); sie gehen nur an den Beta-Dienst von sprayar.com.

3.4 Farbe, Profil und öffentliche Sichtbarkeit

Wenn du malst, speichern wir die Farbe auf der Karte (Bildkacheln), welches Konto welchen Teil wann gemalt hat, deine Statistiken (zum Beispiel bemalte Fläche), die Stellen, an denen du gemalt hast (die bemalte Stelle auf der Karte, nicht deine GPS-Position), sowie – falls du einen gestaltest – deinen Charakter, dein Profilbild und deine Skizzen.

Für alle sichtbar: deine gemalte Farbe, dein Künstlername, deine Kennfarbe, dein Charakter, deine Bestenlisten-Statistiken und, solange du auf der Karte bist, der Bereich der Karte, den du gerade ansiehst oder bemalst (Live-Ansicht). Das ist nicht deine GPS-Position – wenn du aber in der Nähe deiner Wohnung malst, können andere Rückschlüsse ziehen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Farbe bleibt Teil der gemeinsamen Karte, bis du, andere (durch Übermalen), die Moderation oder ein Zurücksetzen der Karte sie entfernen. Wenn du dein Konto löschst, löschen wir Konto, Profil und Charakter und heben die Verknüpfung zwischen dir und deiner Farbe auf; die Farbe selbst kann als anonymer Teil des gemeinsamen Kunstwerks bestehen bleiben, sofern du uns nicht bittest, sie ebenfalls zu entfernen.

3.5 Geräte-ID und Speicherung in deinem Browser

Die Karte speichert Folgendes im lokalen Speicher deines Browsers (localStorage) und als Cookie:

Diese Einträge sind unbedingt erforderlich, um die von dir gewünschte Karte bereitzustellen und zu schützen (§ 25 Abs. 2 Nr. 2 TDDDG); für Tracking oder Werbung nutzen wir sie nicht. Die Geräte-ID wird an unseren Server gesendet, wenn du den Bedingungen zustimmst und wenn sie zur Durchsetzung einer Sperre benötigt wird. Sie enthält keine Informationen über dich oder die Hardware deines Geräts. Auf dem Server speichern wir sie mit dem Zustimmungsnachweis (siehe 3.6) und, falls eine Gerätesperre verhängt wird, solange die Sperre gilt. Rechtsgrundlage für die Verarbeitung auf dem Server: Art. 6 Abs. 1 lit. f DSGVO – Schutz des Dienstes und seiner Nutzer vor Missbrauch und vor der Umgehung von Sperren.

3.6 Zustimmung zu den Bedingungen

Wenn du den Bedingungen zustimmst, speichern wir die Version, den Bereich (Straßenkarte), den Zeitpunkt, die Geräte-ID und, falls du angemeldet bist, dein Konto. So können wir nachweisen, welche Bedingungen galten. Wir bewahren den Nachweis auf, solange du den Dienst nutzt, und danach drei Jahre (Verjährungsfrist). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

3.7 Meldungen, Moderation und Sperren

Wenn du Inhalte meldest oder uns kontaktierst, verarbeiten wir deine Nachricht, deine Kontaktdaten und unsere Entscheidung. Treffen wir eine Maßnahme gegen ein Konto oder Gerät (Kick, 24-Stunden-Sperre, dauerhafte Sperre), speichern wir das Konto, die Geräte-ID oder Netzwerkadresse, den Grund und den Zeitpunkt. Befristete Sperren werden nach Ablauf gelöscht; dauerhafte Sperren bewahren wir auf, solange sie gelten, und überprüfen sie mindestens einmal im Jahr. Vorgänge löschen wir 12 Monate nach ihrem Abschluss, sofern sie nicht länger zur Abwehr von Rechtsansprüchen benötigt werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (Pflichten nach dem Gesetz über digitale Dienste) und Art. 6 Abs. 1 lit. f DSGVO (ein sicherer Dienst).

3.8 E-Mail

Wenn du uns eine E-Mail schreibst, nutzen wir deine Nachricht, um dir zu antworten. Unsere Postfächer werden von der 1blu AG in Deutschland gehostet. Wir löschen die Korrespondenz, wenn sie nicht mehr benötigt wird, sofern keine gesetzlichen Aufbewahrungspflichten bestehen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b oder f DSGVO.

3.9 3D-Straßenansicht (soweit verfügbar)

Ist die 3D-Straßenansicht in deiner Version verfügbar, lädt sie das Wetter für den angezeigten Ort vom Norwegischen Meteorologischen Institut (api.met.no). Dein Browser verbindet sich direkt dorthin und übermittelt deine IP-Adresse und die gerundeten Koordinaten des angezeigten Ortes (nicht deine GPS-Position). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (realistisches Wetter in der Szene).

4. Was wir nicht tun

Keine Werbung, keine Analyse- oder Tracking-Werkzeuge, keine Social-Media-Plugins, kein Verkauf und keine Vermietung von Daten, keine Profilbildung zu Werbezwecken, keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO. Kartenkacheln, Schriften und Skripte liefert unser eigener Server aus.

5. Empfänger

Cloudflare (Proxy/CDN, siehe Abschnitt 2) und 1blu (E-Mail) als Auftragsverarbeiter; Google und Apple in eigener Verantwortung, wenn du dich damit anmeldest; andere Nutzer für alles, was bestimmungsgemäß öffentlich ist (Abschnitt 3.4); Behörden und Gerichte nur, wenn wir gesetzlich dazu verpflichtet sind. Sonst niemand.

6. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und darauf, eine Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3).

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage unserer berechtigten Interessen verarbeiten (Art. 6 Abs. 1 lit. f DSGVO), kannst du jederzeit aus Gründen, die sich aus deiner besonderen Situation ergeben, widersprechen. Wir beenden die Verarbeitung dann, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Schreib an support@sprayar.com. Bei Gastkonten können wir nur helfen, wenn du nachweisen kannst, dass das Konto dir gehört (zum Beispiel aus dem Browser, in dem du angemeldet bist).

Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel bei der für uns zuständigen Behörde:
Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf, www.ldi.nrw.de.

7. Sicherheit

Alle Verbindungen sind verschlüsselt (HTTPS/WSS). Passwörter und Sitzungstoken speichern wir nur als Hash. Zugriff auf den Server hat nur der Betreiber. Kein System ist vollständig sicher – bitte male oder schreibe deshalb nichts Persönliches.

8. Kinder

Die Karte richtet sich an Personen ab 16 Jahren. Jüngere brauchen die Erlaubnis eines Elternteils oder einer sorgeberechtigten Person. Wenn du glaubst, dass ein Kind die Karte ohne Erlaubnis genutzt hat, melde dich bei uns; wir löschen dann das Konto.

9. Änderungen

Wir aktualisieren diese Erklärung, wenn sich der Dienst oder die Rechtslage ändert. Die Versionskennung ändert sich mit jeder Aktualisierung, und die Karte zeigt dir die neue Version, bevor du weitermachst.