Diese Erklärung informiert dich nach Art. 13 DSGVO darüber, welche Daten Blütenpfad bei der Nutzung verarbeitet, an wen sie weitergegeben werden und welche Rechte dir zustehen.
Blütenpfad wird auf einem virtuellen Server (vServer) bei netcup GmbH, Daimlerstr. 25, 76185 Karlsruhe, gehostet. Beim Aufruf der Seite werden serverseitig technische Verbindungsdaten verarbeitet, die für den Betrieb erforderlich sind:
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am stabilen, sicheren Betrieb). Die technischen Logs werden nach maximal 14 Tagen gelöscht oder anonymisiert.
| Datum | Zweck | Rechtsgrundlage |
|---|---|---|
| E-Mail-Adresse | Login, Wiederherstellung | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) |
| Passwort (gehasht mit scrypt + Salt) | Authentifizierung | Art. 6 Abs. 1 lit. b DSGVO |
| Anzeigename (optional) | Anzeige im Profil | Art. 6 Abs. 1 lit. b DSGVO |
| Avatar-Emoji (optional) | Personalisierung | Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch Auswahl) |
| Foto-Uploads | Sammlung & Wiedererkennung | Art. 6 Abs. 1 lit. b DSGVO |
| Standort (Lat/Lng + Genauigkeit + Quelle) | Karten-Darstellung der Funde | Art. 6 Abs. 1 lit. a + b DSGVO |
| Aufnahmezeitpunkt (EXIF oder Server) | Zeitlinien-Sortierung | Art. 6 Abs. 1 lit. b DSGVO |
| Notizen, Spezies-Zuordnung, Ernte-Status | Sammlungs-Funktion | Art. 6 Abs. 1 lit. b DSGVO |
| XP, Level, Achievements, Quest-Progress | Gamification | Art. 6 Abs. 1 lit. b DSGVO |
Session-Cookie (sid) | Aufrechterhaltung der Anmeldung | § 25 Abs. 2 Nr. 2 TTDSG (technisch notwendig) |
Wenn du einen Fund anlegst, kann ein Standort auf drei Wegen erfasst werden:
Standortdaten werden ausschließlich für die Karten-Darstellung deiner eigenen Sammlung verwendet. Eine Weitergabe an Dritte erfolgt nicht, mit Ausnahme von Pl@ntNet (siehe nächster Abschnitt), wenn du dort eine Pflanzen-Erkennung anstößt.
Bestimmte Funktionen binden externe Dienste ein. Beim Aufruf wird mindestens deine IP-Adresse an den jeweiligen Anbieter übermittelt.
Wenn du eine Pflanze fotografierst und die Auto-Erkennung anstößt, werden das Foto sowie der Standort (sofern bekannt) an Pl@ntNet übertragen.
Bei der Insekten-Auto-Erkennung wird das Foto an die API von Kindwise gesendet.
Karten in der App nutzen Voyager-Tiles von CartoCDN, die auf OpenStreetMap-Daten basieren. Beim Laden einer Karte wird deine IP-Adresse an deren Server übermittelt.
Im Steckbrief einer Art wird die weltweite Verbreitung über die GBIF-API geladen.
Die Schriftarten Fredoka und Nunito werden von Google Fonts geladen. Beim ersten Besuch übermittelt dein Browser deine IP-Adresse an Google.
Blütenpfad setzt genau einen Cookie:
sid — HttpOnly, SameSite=Lax, Secure (bei HTTPS), 30 Tage Laufzeit. Notwendig, um deine Anmeldung über mehrere Seitenaufrufe hinweg aufrechtzuerhalten.Dieser Cookie ist technisch erforderlich und unterliegt nicht der Einwilligungspflicht nach § 25 Abs. 2 Nr. 2 TTDSG. Es werden keine Tracking-, Analyse- oder Werbe-Cookies eingesetzt.
Bei Kontolöschung werden sämtliche personenbezogenen Daten unwiederbringlich entfernt — Sammlungs-Einträge, Fotos, Sessions, Achievements und Quest-Fortschritt.
Du hast nach DSGVO folgende Rechte:
Wende dich für alle Anliegen formlos an kontakt@hannes-hildebrandt.de.
Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Eine Liste der Aufsichtsbehörden in Deutschland findest du beim BfDI unter bfdi.bund.de.
Die App nutzt TLS (HTTPS) für alle Verbindungen, scrypt mit Salt für Passwort-Hashes, HttpOnly-Cookies, Helmet/CSP-Header, Rate-Limiting auf Auth- und API-Endpoints sowie eine kategoriebasierte Foto-Zugriffsprüfung (Foto-Endpoints sind authentifiziert und an die Sammlung des aufrufenden Nutzers gebunden).
Du kannst über einen persönlichen Freundescode Freundschaften eingehen. Bestätigst du eine Freundschaft, sehen sich beide Seiten gegenseitig ein Freundes-Profil mit Anzeigename, Avatar, Level/XP, Errungenschaften, Saison-Abzeichen, Statistik sowie der Sammlung inklusive der hochgeladenen Fotos der gefundenen Arten. Nicht geteilt werden dabei deine E-Mail-Adresse und die genauen Fundorte (GPS-Koordinaten) — der Standort deiner Funde bleibt privat. Das Teilen erfolgt nur mit von dir bestätigten Freunden; du kannst Freundschaften jederzeit wieder entfernen, wodurch der Zugriff sofort endet. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch aktives Hinzufügen/Bestätigen).
Als Verantwortlicher kann der Betreiber über eine zugangsgeschützte, interne Verwaltungsoberfläche auf gespeicherte Kontodaten zugreifen — zum Betrieb, zur Unterstützung bei Problemen, zur Sicherheit des Dienstes und zur Auswertung anonymer/aggregierter Nutzungsstatistiken (z. B. Anzahl aktiver Nutzer, Level-Verteilung, beliebteste Arten).
Dabei gilt Datenminimierung (Art. 5 & 25 DSGVO): Die Verwaltungsansicht zeigt Konto-Metadaten (Anzeigename, E-Mail, Registrierungsdatum, Aktivität, Level), Fund-/Arten-Zahlen und welche Arten gesammelt wurden — aber keine genauen Standortkoordinaten und keine deiner Fotos. Der Zugang ist durch ein separates Login mit eigenständigen Zugangsdaten, strikte Cookies, Rate-Limiting und optionale IP-Beschränkung geschützt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b (Vertragserfüllung/Betrieb) und lit. f DSGVO (berechtigtes Interesse an Betrieb, Sicherheit und Verbesserung des Dienstes).
Stand: 2026-05-28 · Bei Änderungen wird diese Erklärung aktualisiert; die jeweils gültige Version ist immer hier abrufbar.