Datenschutzerklärung

1. Verantwortlicher

COMMUTIX Projektteam
Leinfelden-Echterdingen, Deutschland
E-Mail: admin@commutix.de

2. Zweck der Datenverarbeitung

Die Website und Anwendung dient der Reise- und Verbindungsplanung im öffentlichen Nahverkehr.

Personenbezogene Daten werden nur verarbeitet, soweit dies für die Nutzung der angebotenen Funktionen erforderlich ist oder eine Einwilligung vorliegt.

Bei Registrierung bzw. Nutzung eines Nutzerkontos werden insbesondere folgende Daten gespeichert:

• E-Mail-Adresse (zur Authentifizierung und Kommunikation)
• Heimatbahnhof (für personalisierte Schnellzugriffe)
• Gespeicherte Verbindungen und Favoriten
• Pendler-Alarm-Konfigurationen (Start-/Zieladresse oder -bahnhof, Koordinaten, Uhrzeiten, Verkehrstage, Verspätungsschwelle)
• GPS-Koordinaten für Door-to-Door-Routen (Breiten-/Längengrad von Start- und Zieladresse)
• Fußweg-Daten (Dauer, Distanz, Routeninformationen für Walk-Legs)
• Push-Benachrichtigungs-Abonnements (Endpunkt-URL, Verschlüsselungsschlüssel)
• Telegram-Verknüpfung (Telegram-ID, Chat-ID, Benutzername)
• WhatsApp-Verknüpfung (Telefonnummer, Verifizierungsstatus)
• Benachrichtigungshistorie (Zeitpunkt, Typ, Kanal)
• Abonnement-Status (Free, Plus oder Premium)
• Technische Nutzerkennungen (z. B. interne User-ID)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie ggf. Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)

3. Anmeldung über Drittanbieter (OAuth / Social Login)

Zur vereinfachten Registrierung und Anmeldung bieten wir die Möglichkeit, sich über externe Authentifizierungsdienste anzumelden („OAuth“).

Dabei erfolgt die Anmeldung direkt beim jeweiligen Anbieter. Wir erhalten kein Passwort, sondern lediglich die vom Nutzer freigegebenen Informationen.

4. Hosting & Infrastruktur

Für den Betrieb von COMMUTIX setzen wir folgende Hosting-Dienste ein:

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und effizienten Betrieb)

5. Datenbank & Authentifizierung (Supabase)

Anbieter: Supabase Inc., 970 Toa Payoh North #07-04, Singapore 318992

Datenbank-Standort: EU (AWS eu-west-1, Irland)

Supabase wird als Datenbank- und Authentifizierungsdienst eingesetzt. Folgende Daten werden dort gespeichert:

• Nutzerkonto-Daten (E-Mail, Anzeigename, Profilbild-URL)
• Authentifizierungs-Tokens und Session-Daten
• Gespeicherte Verbindungen, Favoriten und bevorzugte Routen
• Pendler-Alarm-Konfigurationen (inkl. Koordinaten und Benachrichtigungshistorie)
• GPS-Koordinaten für Door-to-Door-Routen
• Push-Benachrichtigungs-Abonnements (VAPID-basiert)
• Telegram- und WhatsApp-Verknüpfungsdaten
• Nutzungs-Events (anonymisiert/pseudonymisiert, siehe Abschnitt 12)

Alle Nutzerdaten werden ausschließlich auf Servern innerhalb der EU (Irland) gespeichert. Supabase fungiert als Auftragsverarbeiter gemäß Art. 28 DSGVO.

Datenschutzerklärung: https://supabase.com/privacy

6. Push-Benachrichtigungen

COMMUTIX bietet die Möglichkeit, Push-Benachrichtigungen über den Browser zu empfangen (z. B. für Pendler-Alarme oder allgemeine Störungsmeldungen).

Die Push-Benachrichtigungen basieren auf dem Web-Push-Standard (RFC 8030) mit VAPID-Authentifizierung (Voluntary Application Server Identification). Bei Aktivierung werden folgende technische Daten gespeichert:

• Push-Endpunkt-URL (vom Browser generiert)
• Verschlüsselungsschlüssel (p256dh, auth)
• Abonnierte Themen (z. B. Störungen, News, Features)

Diese Daten werden in unserer Datenbank (Supabase, EU) gespeichert und ausschließlich zum Versand der gewünschten Benachrichtigungen verwendet. Die Push-Nachrichten werden über den Web-Push-Standard zugestellt und sind Ende-zu-Ende-verschlüsselt.

Auch ohne Nutzerkonto können allgemeine Push-Benachrichtigungen (z. B. Störungsmeldungen) abonniert werden. Die Push-Subscription wird dabei anhand der Push-Endpunkt-URL zugeordnet, nicht anhand eines Nutzerkontos.

Widerruf: Du kannst Push-Benachrichtigungen jederzeit in deinen Browser-Einstellungen deaktivieren oder einzelne Abonnements in der App verwalten. Nach Deaktivierung werden die gespeicherten Push-Daten gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)

7. Pendler-Alarm

Mit der Pendler-Alarm-Funktion kannst du regelmäßige Verbindungen überwachen und bei Störungen oder Änderungen benachrichtigt werden – wahlweise per Push-Benachrichtigung, Telegram oder WhatsApp.

Dabei werden folgende Daten gespeichert und verarbeitet:

• Start- und Zielbahnhof oder -adresse
• GPS-Koordinaten von Start und Ziel (bei adressbasierten Routen)
• Fußweg-Daten (Dauer, Distanz) für Walk-Legs bei Door-to-Door-Alarmen
• Gewünschte Abfahrtszeit und Verspätungsschwelle
• Ausgewählte Verkehrstage (z. B. Montag bis Freitag)
• Gültigkeitszeitraum des Alarms
• Gewählte Benachrichtigungskanäle (Push, Telegram, WhatsApp)
• Benachrichtigungshistorie (Zeitpunkte, Inhalte vergangener Alarme)

Die Überprüfung der Verbindungen erfolgt automatisiert über unseren Server in Frankfurt (Hostinger VPS) mittels n8n-Automatisierung. Dabei werden die konfigurierten Strecken regelmäßig gegen die MOTIS-Routing-Engine (IONOS VPS, Deutschland) abgefragt und bei Abweichungen eine Benachrichtigung über den gewählten Kanal versendet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) – die Verarbeitung ist zur Erbringung des vom Nutzer gewünschten Dienstes erforderlich.

8. Telegram-Benachrichtigungen

COMMUTIX bietet die Möglichkeit, Benachrichtigungen über den Messaging-Dienst Telegram zu empfangen (z. B. Pendler-Alarm-Meldungen bei Störungen auf deiner Strecke).

Bei Verknüpfung deines Accounts mit Telegram werden folgende Daten gespeichert:

• Telegram-Benutzer-ID (numerisch)
• Telegram-Chat-ID
• Telegram-Benutzername (falls vorhanden)

Die Verknüpfung erfolgt freiwillig durch den Nutzer über einen Bot-Link. Der Telegram-Bot unterstützt folgende Kommandos: /status, /stop, /resume, /help, /unlink und /limit. Es werden keine Telegram-Nachrichten dauerhaft gespeichert – lediglich die für den Versand erforderlichen technischen Kennungen.

Anbieter: Telegram FZ-LLC, Dubai, Vereinigte Arabische Emirate
Datenschutzerklärung: https://telegram.org/privacy

Widerruf: Du kannst die Telegram-Verknüpfung jederzeit in deinem Profil aufheben oder den Befehl „/unlink“ im Telegram-Bot senden. Deine Telegram-Daten werden daraufhin aus unserer Datenbank gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)

9. WhatsApp-Benachrichtigungen

COMMUTIX bietet die Möglichkeit, Benachrichtigungen über den Messaging-Dienst WhatsApp zu empfangen (z. B. Pendler-Alarm-Meldungen bei Störungen auf deiner Strecke).

Bei Verknüpfung deines Accounts mit WhatsApp werden folgende Daten gespeichert:

• Mobilfunknummer (zur Zustellung der Nachrichten)
• WhatsApp-Verifizierungsstatus

Die Verknüpfung erfolgt freiwillig durch den Nutzer. Es werden keine WhatsApp-Nachrichten dauerhaft gespeichert – lediglich die für den Versand erforderliche Telefonnummer und der Verifizierungsstatus.

Die Zustellung der Nachrichten erfolgt über die Evolution API, die auf unserem eigenen Server in Frankfurt (Deutschland) betrieben wird (Self-Hosted). Die Nachrichten werden direkt zwischen unserem Server und dem WhatsApp-Netzwerk ausgetauscht – es ist kein Drittanbieter-Cloud-Service für die Nachrichtenverarbeitung zwischengeschaltet.

Anbieter: WhatsApp Ireland Limited, 4 Grand Canal Square, Dublin 2, Irland (Tochtergesellschaft von Meta Platforms, Inc.)
Datenschutzerklärung: https://www.whatsapp.com/legal/privacy-policy

Widerruf: Du kannst die WhatsApp-Verknüpfung jederzeit in deinem Profil aufheben oder den Befehl „UNLINK“ per WhatsApp-Nachricht senden. Deine Telefonnummer wird daraufhin aus unserer Datenbank gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)

10. Zahlungsabwicklung (Stripe)

Anbieter: Stripe, Inc., 354 Oyster Point Blvd, South San Francisco, CA 94080, USA
Europäische Niederlassung: Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland

Für die Abwicklung von Zahlungen bei kostenpflichtigen Abonnements (Plus, Premium) setzen wir den Zahlungsdienstleister Stripe ein. Stripe ist als eigenständiger Verantwortlicher für die Verarbeitung der Zahlungsdaten zuständig.

Folgende Daten werden im Rahmen der Zahlungsabwicklung an Stripe übermittelt:

• Zahlungsinformationen (Kreditkartendaten, SEPA-Mandatsreferenz)
• E-Mail-Adresse (für Zahlungsbelege und Abonnement-Verwaltung)
• Abonnement-Details (Plan, Laufzeit, Betrag)
• IP-Adresse und Gerätedaten (zur Betrugsprävention durch Stripe)

Wichtig: Kreditkartennummern und Bankdaten werden nicht auf unseren Servern gespeichert. Diese Daten werden ausschließlich von Stripe verarbeitet und gespeichert (PCI DSS Level 1 zertifiziert). Wir erhalten lediglich eine tokenisierte Referenz, die letzten vier Ziffern der Kartennummer sowie den aktuellen Abonnement-Status (aktiv, gekündigt, abgelaufen).

Die Verwaltung und Kündigung von Abonnements erfolgt über das Stripe Customer Portal, das direkt aus der App heraus aufgerufen werden kann.

Datenschutzerklärung: https://stripe.com/de/privacy

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) – die Datenübermittlung ist zur Abwicklung der Zahlung erforderlich. Die Übermittlung in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework.

11. KI-Bot (OpenAI)

COMMUTIX bietet einen KI-gestützten Assistenten, der bei der Verbindungssuche und Reiseplanung unterstützt. Dieser nutzt das Sprachmodell GPT-4o-mini von OpenAI.

Bei Nutzung des KI-Bots werden folgende Daten an OpenAI übermittelt:

• Die eingegebene Suchanfrage (z. B. „Verbindung von Stuttgart nach München“)
• Vom Bot ermittelte Stationsnamen und Koordinaten zur Routensuche

Es werden keine personenbezogenen Daten (wie E-Mail-Adresse, Name oder Nutzer-ID) an OpenAI übermittelt. Die Anfragen enthalten ausschließlich die vom Nutzer eingegebene Suchanfrage und technische Routenparameter.

Anbieter: OpenAI, L.L.C., 3180 18th Street, San Francisco, CA 94110, USA
OpenAI fungiert als Auftragsverarbeiter gemäß Art. 28 DSGVO. Die Datenverarbeitung unterliegt den Datenschutzrichtlinien von OpenAI. OpenAI hat bestätigt, dass API-Daten nicht zum Training von Modellen verwendet werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) – die Datenübermittlung ist zur Erbringung des KI-Assistenten-Dienstes erforderlich. Die Übermittlung in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework bzw. Standardvertragsklauseln gemäß Art. 46 DSGVO.

12. Nutzungs-Analyse (Usage Event Tracking)

Zur Verbesserung der Anwendung erfassen wir anonymisierte bzw. pseudonymisierte Nutzungsereignisse. Die Erhebung erfolgt über die Browser-API navigator.sendBeacon(), die Daten asynchron und ohne Beeinträchtigung der Nutzererfahrung überträgt.

Erfasst werden unter anderem folgende Ereignisse:

• Seitenaufrufe (welche Seiten besucht werden)
• Funktionsnutzung (z. B. Verbindungssuche, Pendler-Alarm erstellt)
• Interaktionen (z. B. Dark-Mode-Wechsel, Filter-Nutzung)

Die Daten werden in unserer eigenen Datenbank (Supabase, EU) gespeichert. Es erfolgt keine Weitergabe an Drittanbieter (kein Google Analytics, kein Facebook Pixel, keine Werbenetzwerke). Die Daten dienen ausschließlich der internen Produktverbesserung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung des Dienstes). Du kannst die Erfassung durch Blockieren von JavaScript oder Nutzung eines Adblockers unterbinden.

13. Cookies & lokale Speicherung

Diese Anwendung verwendet ausschließlich technisch notwendige Cookies bzw. lokale Speichertechnologien (z. B. Session-Token oder Authentifizierungs-Tokens), um:

• die Anmeldung zu ermöglichen
• den sicheren Betrieb der Anwendung zu gewährleisten

Es werden keine Tracking-, Analyse- oder Marketing-Cookies eingesetzt.

14. Externe Dienste / Schnittstellen

15. Standortdaten & Koordinaten

COMMUTIX verarbeitet Standortdaten und Koordinaten in verschiedenen Kontexten:

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) für die Browser-Standortermittlung; Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) für die Koordinatenverarbeitung bei gespeicherten Routen und Pendler-Alarmen. Du kannst die Standortfreigabe jederzeit in deinen Browser-Einstellungen widerrufen.

16. Kontaktaufnahme

Bei Kontaktaufnahme per E-Mail werden die übermittelten Daten ausschließlich zur Bearbeitung der Anfrage gespeichert. Eine Weitergabe an Dritte erfolgt nicht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO

17. Speicherdauer & Account-Löschung

Personenbezogene Daten werden nur so lange gespeichert, wie dies für den jeweiligen Zweck erforderlich ist.

Nutzerkonten können jederzeit gelöscht werden. Bei Löschung des Kontos werden alle zugehörigen Daten sofort und unwiderruflich aus unserer Datenbank entfernt, sofern keine gesetzlichen Aufbewahrungspflichten bestehen. Es findet kein Soft Delete und keine Karenzzeit statt.

Im Einzelnen werden bei einer Account-Löschung folgende Daten entfernt:

• Profildaten (Name, Adresse, Heimatbahnhof)
• Pendler-Alarm-Konfigurationen und Verarbeitungsprotokolle
• Push-Benachrichtigungs-Abonnements
• Telegram-Verknüpfung (Benutzer-ID, Chat-ID)
• WhatsApp-Verknüpfung (Telefonnummer)
• Gespeicherte Verbindungen, Routen und zugehörige Koordinaten
• Stations-Favoriten
• Benachrichtigungs-Einstellungen und geplante Benachrichtigungen
• Stripe-Abonnement-Referenz (Stripe-seitige Daten verbleiben bei Stripe gemäß deren Aufbewahrungspflichten)
• Authentifizierungsdaten (Supabase Auth-Eintrag)

18. Deine Rechte

Du hast gemäß DSGVO jederzeit das Recht auf:

• Auskunft über gespeicherte personenbezogene Daten
• Berichtigung unrichtiger Daten
• Löschung deiner Daten – du kannst deinen Account und alle zugehörigen Daten jederzeit selbstständig über Profil → Account löschen entfernen (siehe Abschnitt 17)
• Einschränkung der Verarbeitung
• Datenübertragbarkeit
• Widerspruch gegen die Verarbeitung
• Widerruf erteilter Einwilligungen (z. B. Push-Benachrichtigungen, Telegram, WhatsApp, Standortfreigabe)
• Beschwerde bei einer Datenschutzaufsichtsbehörde

Für die Löschung deines Accounts ist kein E-Mail-Kontakt erforderlich. Für alle anderen Anfragen wende dich bitte an: admin@commutix.de