⛽ Datenschutz

1. Verantwortlicher

Verantwortlich im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

2. Allgemeines zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung einer funktions­fähigen Website sowie unserer Inhalte und Leistungen erforderlich ist. Personenbezogene Daten sind alle Daten, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (z. B. IP-Adresse, Name, E-Mail).

Rechtsgrundlagen sind je nach Verarbeitung:

• Art. 6 Abs. 1 lit. b DSGVO — Erfüllung eines Vertrags / vorvertragliche Maßnahmen
• Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse (z. B. sicherer Betrieb der Website)
• Art. 6 Abs. 1 lit. c DSGVO — rechtliche Verpflichtung (z. B. Aufbewahrung von Logfiles)

3. Hosting (netcup)

Diese Website wird gehostet bei der netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe, Deutschland. Alle Daten werden auf Servern in Deutschland verarbeitet. Mit netcup besteht ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO.

Server-Logfiles

Bei jedem Aufruf werden technisch notwendige Daten in Server-Logs erfasst:

• IP-Adresse des anfragenden Geräts
• Datum und Uhrzeit des Zugriffs
• aufgerufene URL und HTTP-Statuscode
• übertragene Datenmenge
• User-Agent (Browser, Betriebssystem)
• Referrer-URL (verweisende Seite)

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Betriebs­sicherheit, Fehleranalyse und Abwehr von Angriffen).
Speicherdauer: in der Regel maximal 7 Tage, danach automatische Löschung. Bei sicherheits­relevanten Vorfällen länger, bis zur Klärung.

4. Cloudflare (CDN & Sicherheit)

Wir nutzen Cloudflare (Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA) als Content-Delivery-Network und zum Schutz vor Angriffen. Sämtlicher Traffic zu spritmir.app wird über das Cloudflare-Netzwerk geleitet. Dabei verarbeitet Cloudflare insbesondere die IP-Adresse, den User-Agent und Anfrage-Metadaten der Besucher.

Aus den auf Edge-Ebene anfallenden Logfiles erstellt Cloudflare aggregierte Traffic-Statistiken (z. B. Anzahl Anfragen, ungefähre Herkunfts­regionen, Status-Codes), die uns im Cloudflare-Dashboard angezeigt werden. Diese Auswertung erfolgt rein server­seitig — es wird kein zusätzliches Tracking-Skript, kein Cookie und kein Beacon in deinem Browser geladen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer schnellen, sicheren und ausfallsicheren Bereitstellung der Website sowie an der bedarfs­gerechten Gestaltung des Angebots).
Drittlandtransfer: Cloudflare ist ein US-Anbieter. Der Datentransfer erfolgt auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) sowie ergänzender Schutzmaßnahmen. Cloudflare ist zudem unter dem EU-U.S. Data Privacy Framework zertifiziert.
Mit Cloudflare besteht ein Auftragsverarbeitungs­vertrag.
Datenschutzerklärung von Cloudflare: cloudflare.com/de-de/privacypolicy

5. Lokale Speicherung im Browser (localStorage)

Damit du deine Einstellungen nicht bei jedem Besuch neu eingeben musst, speichert spritmir.app folgende Daten ausschließlich lokal in deinem Browser (Schlüssel spritmir_settings_v1):

• gewählter Kraftstoff (Diesel / E10 / Super)
• Verbrauch (Normal & Sportlich) in L/100 km, gewählter Fahrstil
• Anzahl Personen
• Abrechnungs-Modus
• dein PayPal-Link, IBAN und Empfänger-Name (jeweils sofern eingegeben)
• deine WhatsApp-Vorlage (sofern angepasst)

Zusätzlich speichern wir lokal eine Liste der von dir erstellten Bezahllinks mit ihren Lösch-Tokens und (falls verschlüsselt) den AES-Schlüsseln, damit du eigene Abrechnungen löschen kannst (Schlüssel spritmir_delete_tokens_v1). Selbstreinigend: Einträge älter als 65 Tage werden automatisch entfernt.

Diese localStorage-Daten verlassen nicht automatisch dein Gerät. Sie werden nur dann teilweise an unseren Server übertragen, wenn du aktiv einen Bezahllink mit „An WhatsApp senden" oder „Kopieren" generierst — siehe §9 für Details. Du kannst die lokalen Einstellungen jederzeit über den Button „Alle Einstellungen zurücksetzen" oder durch Löschen der Browser-Daten entfernen.

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (technisch erforderlich für die vom Nutzer ausdrücklich gewünschte Funktion „Einstellungen merken").

6. Spritpreis-Datenquelle (Tankerkönig)

Die angezeigten Kraftstoffpreise werden serverseitig von der MTS-K-Schnittstelle „Tankerkönig" (CC BY 4.0) abgerufen — höchstens einmal pro Stunde, und nur wenn ein Nutzer die Seite öffnet. Dabei wird ausschließlich unser Server angefragt; es findet keine Verbindung zwischen deinem Browser und Tankerkönig statt. Personenbezogene Daten werden hierbei nicht verarbeitet.

7. Schriftarten

Die verwendeten Schriftarten („Instrument Serif" und „JetBrains Mono") werden lokal von unserem Server ausgeliefert. Es findet keine Verbindung zu Google Fonts oder anderen Drittanbietern statt. Beim Laden der Schriftarten wird keine IP-Adresse an Dritte übertragen.

8. Externe Links

Diese Website enthält Links zu externen Diensten (Tankerkönig, PayPal). Beim Anklicken eines externen Links verlässt du diese Seite. Auf den Datenschutz der verlinkten Seiten haben wir keinen Einfluss. Bitte beachte dort jeweils die eigenen Datenschutz­hinweise.

9. Spritabrechnungen unter spritmir.app/pay

Wenn du in der App auf „An WhatsApp senden" oder „Kopieren" klickst, erzeugen wir einen kurzen, schwer zu erratenden Link der Form spritmir.app/pay/abc12345. Diesen kannst du an Mitfahrer schicken; sie sehen darunter eine Übersicht der Spritabrechnung mit der Aufschlüsselung der Kosten und — sofern du einen PayPal-Empfänger hinterlegt hast — einen Button zum Bezahlen via PayPal. Es findet keine automatische Weiterleitung statt; der Empfänger entscheidet selbst, ob er den PayPal-Button klickt.

Was wird gespeichert?

Im Klartext (für die Server-seitige Validierung sichtbar):

• Betrag pro Person, Gesamtbetrag, Strecke in km, Verbrauch (L/100 km), Personenzahl, Kraftstoffart, Abrechnungs-Modus und die Liste der Tank-Etappen (km und €/L pro Etappe).

Ende-zu-Ende-verschlüsselt (im Browser des Senders verschlüsselt, Server sieht nur Chiffrat):

• PayPal-Empfänger-Username, IBAN, Empfänger-Name (alle nur sofern vom Sender angegeben).

Keine Adressen, E-Mails, Telefonnummern, Konto-Zugangsdaten — und keinerlei Daten der WhatsApp-Empfänger (diese werden allein über deine WhatsApp-App ausgewählt).

Wie funktioniert die Ende-zu-Ende-Verschlüsselung?

Personenbezogene Felder (PayPal-Username, IBAN, Empfänger-Name) werden mit AES-GCM-256 im Browser des Senders verschlüsselt, bevor die Daten zum Server gehen. Der zufällig generierte AES-Schlüssel wird im URL-Hash nach #k=… übertragen — Browser senden den Hash-Teil nicht an den Server. Auf unserem Server liegt also nur der Chiffrat-Block, niemals der Klartext oder der Schlüssel. Der Empfänger des Pay-Links entschlüsselt die Felder clientseitig in seinem Browser. Konsequenz: Wer den Link kennt (mit Hash-Schlüssel), kann die Daten lesen — wer nur die Server-Daten hätte, eben nicht.

Wo, wie lange, warum?

• Wo: als JSON-Datei auf dem netcup-Server, der diese Website hostet (netcup GmbH, Karlsruhe — als Auftragsverarbeiter im Sinne von Art. 28 DSGVO).
• Wie lange: automatische Löschung nach 60 Tagen. Als Ersteller der Abrechnung (also der Browser, in dem du die App benutzt hast) kannst du sie jederzeit vorzeitig löschen — öffne dazu den Pay-Link in deinem eigenen Browser und klicke auf „Diese Abrechnung vom Server löschen". Empfänger des Links können nicht löschen, weil der Lösch-Token nur in deinem Browser gespeichert wird (siehe unten). Falls du einen anderen Browser nutzt: Lösch-Anfrage formlos an [email protected].
• Warum: ohne diese Speicherung könnten wir dir keinen kurzen, teilbaren Link zur Verfügung stellen — die Daten müssten alle in der WhatsApp-URL stehen, was schlecht lesbar wäre und die Privatsphäre verschlechtert (Vorschau in Chats, Logs, etc.). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bereitstellung der Funktion).

Schutz vor Mitlesen Dritter

Die Trip-IDs sind 8 Zeichen lang aus Buchstaben und Ziffern (~218 Billionen Kombinationen) und werden mit kryptographischem Zufall erzeugt. Es gibt keinen Endpunkt, der Trip-IDs auflistet — nur wer den Link kennt, kann die Daten abrufen. Zusätzlich begrenzen wir die Anzahl der Abrufe pro IP-Adresse, um systematisches Durchprobieren zu verhindern. Selbst bei einem hypothetischen Treffer auf eine fremde ID bekäme der Angreifer ohne den Hash-Schlüssel #k=… aus dem Original-Link nur unbrauchbares Chiffrat für die personenbezogenen Felder.

Schutz vor unbefugter Löschung (Lösch-Token)

Damit nicht jeder Empfänger des Pay-Links die Abrechnung für alle anderen löschen kann, generiert der Server beim Erstellen einen separaten 16-Zeichen-Lösch-Token, der ausschließlich an den erstellenden Browser zurückgegeben und dort lokal in localStorage gespeichert wird (Schlüssel spritmir_delete_tokens_v1). Der Server speichert den Token nur als SHA-256-Hash, nicht im Klartext. Beim Lösch-Aufruf wird der Token gegen den Hash via hash_equals validiert. Empfänger des Pay-Links sehen den Lösch-Button gar nicht erst.

IP-Hashing für Rate-Limit

Zur Begrenzung der Anfragen pro Minute speichern wir einen SHA-256-Hash deiner IP-Adresse zusammen mit einem Zähler — niemals die rohe IP. Diese Rate-Limit-Daten werden nach maximal 2 Stunden automatisch gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit).

Alte Bezahllinks (Hash-Form)

Aus Kompatibilitätsgründen unterstützt spritmir.app/pay auch die ältere Form mit allen Daten im URL-Hash (spritmir.app/pay#…). Bei dieser Variante werden die Daten ausschließlich clientseitig vom Browser des Empfängers verarbeitet und nicht an unseren Server übertragen — der Server-Speicher kommt hier nicht zum Einsatz.

10. Deine Rechte

Dir stehen nach DSGVO folgende Rechte zu:

• Auskunft über die zu deiner Person gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Basis berechtigten Interesses (Art. 21 DSGVO)
• Widerruf einer einmal erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Ausübung dieser Rechte genügt eine formlose Nachricht an [email protected].

11. Beschwerderecht bei der Aufsichtsbehörde

Unbeschadet anderer Rechtsbehelfe steht dir ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu (Art. 77 DSGVO). Zuständig ist die:

12. SSL-/TLS-Verschlüsselung

Diese Website nutzt aus Gründen der Sicherheit eine SSL-/TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennst du an „https://" in der Adresszeile sowie am Schloss-Symbol deines Browsers.

13. Aktualität und Änderungen

Diese Datenschutzerklärung ist aktuell gültig. Durch die Weiterentwicklung der Website oder geänderte gesetzliche Vorgaben kann es notwendig werden, sie zu aktualisieren. Die jeweils aktuelle Fassung ist jederzeit unter spritmir.app/datenschutz.html abrufbar.

Stand: Mai 2026