Datenschutz

Buddelfunk verbindet Kinder, Aufenthaltsorte und die Frage, wer wen kennt. Das ist die heikelste Kombination, die eine App haben kann. Deshalb steht hier nicht, was erlaubt wäre, sondern was die App tatsächlich speichert — und was sie bewusst nicht speichert.

Wer verantwortlich ist

Erik Wittkorn, erreichbar unter hallo@buddelfunk.de. Buddelfunk ist ein privates Projekt: keine Firma, keine Werbung, kein Geld im Spiel.

Das Wichtigste vorweg

• Zu Kindern speichert die App eine Altersspanne. Keinen Namen, kein Geburtsdatum, kein Foto.
• Dein Standort wird nie gespeichert. Beim Einchecken geht er einmal an den Server, der prüft die Entfernung zum Spielplatz und verwirft ihn.
• Es gibt kein einseitiges Folgen. Wer sehen will, wo du bist, braucht deine Bestätigung — und kann sie jederzeit wieder verlieren.
• Kein Tracking, keine Analyse, keine Werbung, kein Verkauf von Daten.
• Alles, was über dich gespeichert ist, kannst du im Profil herunterladen und dort auch löschen. Ohne Nachfrage, ohne Begründung.

Ohne Konto

Spielplätze suchen, die Karte benutzen und Wege ansehen geht ohne Anmeldung. Dabei entsteht dies:

• Karte. Die Kartenkacheln, Schriften und Symbole liefert derselbe Server aus, auf dem die App läuft. Kein Kartendienst erfährt, welche Ausschnitte du ansiehst — es ist keiner beteiligt.
• Entdeckerpass. Wenn du einen Ort mit „Kenne ich schon“ markierst, speichert dein Browser seine Kennung, seinen Namen und ein Symbol auf diesem Gerät. Die Sammlung wird nicht an den Server übertragen und enthält weder Koordinaten noch Besuchszeiten. Sie ist unabhängig von Check-ins und für andere nicht sichtbar. Im Entdeckerpass kannst du einzelne Markierungen oder die ganze Sammlung entfernen. Löschst du die Browserdaten, verschwindet auch die Sammlung. Beim Löschen deines Kontos entfernt die App die Sammlung auf dem aktuellen Gerät ebenfalls. Dein Datenexport enthält die auf diesem Gerät gespeicherten Markierungen.
• Einrichtung. Damit der Einstiegs-Wizard nicht ständig erscheint, merkt sich dein Browser nur seinen Schritt und ob du ihn unterbrochen oder beendet hast. Das bleibt auf diesem Gerät, ohne Standort, Kontokennung oder Zeitstempel. Im Profil kannst du die Einrichtung jederzeit erneut öffnen. Wenn du Check-in-Vorschläge ausdrücklich einschaltest, wird auch diese Einstellung auf dem Gerät gespeichert; sie gibt weder einen Check-in noch dessen Teilen frei.
• Dein Standort im Browser. Wenn du ihn freigibst, bleibt er auf dem Gerät und bestimmt dort, was in der Nähe liegt. Er verlässt das Gerät nur beim Einchecken (siehe unten) und wird auch dann nicht gespeichert.
• Wetter. Der Server fragt bei Open-Meteo das Wetter ab, mit auf etwa 100 Meter gerundeten Koordinaten. Die Anfrage kommt vom Server, nicht von deinem Gerät — Open-Meteo sieht deine Adresse nie.
• Fußweg. Die Route rechnet der Routing-Dienst von FOSSGIS. Auch diese Anfrage läuft über den Server, aus demselben Grund. Gespeichert wird nichts.
• Serverprotokoll. Der Webserver schreibt jeden Abruf mit: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browserkennung. Das dient dem Betrieb und der Abwehr von Angriffen, wird nicht ausgewertet und nicht mit Konten zusammengeführt. Das Protokoll verschwindet, sobald die App das nächste Mal aktualisiert wird.

Mit Konto

Legst du ein Konto an, kommt dazu:

• Anmeldename und PIN-Prüfwert. Dein Anmeldename ist eindeutig. Die PIN wird mit einem individuellen Salz gehasht, niemals im Klartext gespeichert. Neue Konten brauchen keine Mailadresse. Die Anmeldebibliothek erhält stattdessen eine zufällige technische Kennung, die keine erreichbare Adresse ist. Bei bestehenden Konten bleibt die bisherige Mailadresse erhalten; sie ist für andere nicht sichtbar.
• Anzeigename — Vorname oder Spitzname, frei wählbar. Andere sehen davon nur den ersten Namensteil.
• Heimatort, falls du ihn setzt — auf drei Nachkommastellen gerundet, also etwa 100 Meter genau, und nur für Vorschläge in der Nähe.
• Kinder — Altersspanne in Jahren und wahlweise ein selbst gewähltes Kürzel wie „der Große“. Das Alter wirkt nur auf die Reihenfolge der Vorschläge und ist für andere nicht sichtbar.
• Favoriten, Vorhaben und Reaktionen — Ort, Tag, Zeitfenster und eine optionale Notiz.
• Check-ins — Spielplatz, Beginn, Ablaufzeit und die Genauigkeit der Ortung in Metern. Nicht die Position selbst. Sichtbar für andere wird ein Check-in erst durch einen zweiten, ausdrücklichen Tap.
• Besuche — aus einem beendeten Check-in entsteht ein Eintrag mit Wochentag, Stunde, Dauer und Ort. Er trägt später die Stoßzeiten-Statistik. Löschst du dein Konto, wird dieser Eintrag von dir getrennt und nicht gelöscht; ohne Person daran ist er ein Zählwert.
• Verbindungen — wen du angefragt hast, wer dich angefragt hat und was daraus wurde.
• Einstellungen — Ruhezeiten, stummgeschaltete Orte und Personen.

Zu jeder Anmeldung gehört technisch eine Sitzung. Die Felder für IP-Adresse und Browserkennung, die die verwendete Anmeldebibliothek dafür vorsieht, bleiben leer — sie werden beim Anlegen aktiv auf null gesetzt. Eine Sitzung gilt 180 Tage.

Persönlicher Zugang und PIN

Ein persönlicher Einladungslink gilt sieben Tage und genau einmal. Darüber legst du deinen Anmeldenamen und eine PIN mit acht Ziffern fest. Gespeichert wird nur der Hash des Links, dazu gegebenenfalls eine Notiz der einladenden Person. Später meldest du dich direkt mit Name und PIN an. Nach fünf falschen Versuchen ist der Zugang für 15 Minuten gesperrt. Dafür werden ein Fehlerzähler und die Ablaufzeit der Sperre gespeichert, keine IP-Adresse.

Eine vergessene PIN kann die einladende Person im Betriebsbereich durch einen neuen persönlichen Link zurücksetzen. Dieser gilt eine Stunde. Erst wenn du ihn verwendest, wird die PIN ersetzt und werden alle bisherigen Sitzungen beendet. Favoriten, Verbindungen und Push-Anmeldungen bleiben erhalten. Abgelaufene Links und Sperren räumt der tägliche Verfall-Auftrag auf; Links werden auch bei Verwendung oder Widerruf entfernt.

Ein bestehendes Konto ohne PIN kannst du einmalig weiter per Mail erreichen und im Profil umstellen. Der Mail-Link gilt 15 Minuten, der Versand läuft über das Hetzner-Postfach. Nach dem Wechsel gibt es für dieses Konto keinen Anmeldemailversand mehr; noch offene Mail-Links werden ungültig. Neue Konten entstehen ausschließlich über eine Einladung.

Ohne Konto auf eine Einladung antworten

Wer einen Einladungslink bekommt, kann antworten, ohne sich anzumelden. Gespeichert wird dabei der Vorname, den du selbst einträgst, und deine Antwort. Keine Adresse, keine Kennung, kein Konto. Die Einladung verfällt mit dem Vorhaben.

Benachrichtigungen

Push-Nachrichten kommen nur, wenn du sie ausdrücklich einschaltest. Dabei entsteht ein Abonnement bei dem Push-Dienst deines Browsers — je nach Gerät bei Apple, Google oder Mozilla. Über deren Server läuft die Nachricht, und diese Dienste liegen teils außerhalb der EU. Deshalb steht in einer Nachricht so wenig wie möglich: ein Vorname, ein Ort, eine Zeit.

Du kannst die Benachrichtigungen jederzeit wieder abschalten; das Abonnement wird dann gelöscht. Wer sie nie einschaltet, hat mit diesen Diensten nichts zu tun.

Wie lange etwas bleibt

Alles, was altert, hat ein Verfallsdatum, und ein täglicher Auftrag setzt es durch. Lieber eine Lücke als eine Lüge.

• Anmeldelink: 15 Minuten
• Persönlicher Zugangslink: sieben Tage, einmal verwendbar
• PIN-Rücksetzlink: eine Stunde, einmal verwendbar
• PIN-Sperre nach Fehlversuchen: 15 Minuten
• Check-in: höchstens drei Stunden, dann endet er von selbst
• Wartende Benachrichtigung: 24 Stunden
• Einladung, sich zu verbinden: sieben Tage
• Vorhaben: 30 Tage nach dem Zeitfenster, dann gelöscht
• Eigene Angaben zur Ausstattung eines Spielplatzes: zwölf Monate gültig, nach weiteren zwölf Monaten ohne Bestätigung gelöscht
• Sitzung: 180 Tage
• Konto und alles daran: bis du es löschst
• Besuche: unbegrenzt, aber ohne Person daran, sobald du das Konto löschst

Wer sonst etwas zu sehen bekommt

• Hetzner Online GmbH, Gunzenhausen — Server in Nürnberg und das Mailpostfach. Dort liegen die Daten; verarbeitet werden sie nur im Auftrag.
• Open-Meteo und FOSSGIS e. V. — bekommen Koordinaten, nie deine Adresse und nie eine Kennung.
• Der Push-Dienst deines Browsers — nur, wenn du Benachrichtigungen einschaltest.

Sonst niemand. Keine Analyse-Werkzeuge, kein Content-Delivery-Netz, keine Schriften von fremden Servern, keine Einbettungen.

Cookies

Genau eines, und nur nach der Anmeldung: es hält deine Sitzung. Kein Zählpixel, keine Wiedererkennung, nichts, wofür es ein Einwilligungsfenster bräuchte.

Worauf sich das stützt

• Art. 6 Abs. 1 lit. b DSGVO — Konto, Vorhaben, Verbindungen und Check-ins. Ohne diese Daten gibt es die Funktion nicht.
• Art. 6 Abs. 1 lit. a DSGVO — Benachrichtigungen und der Zugriff auf deinen Standort. Beides ist freiwillig und jederzeit widerruflich.
• Art. 6 Abs. 1 lit. f DSGVO — das Serverprotokoll, um den Dienst am Laufen zu halten und Missbrauch abzuwehren.

Deine Rechte

Zwei davon sind in der App eingebaut und brauchen keine Mail: unter Profil lädst du mit Meine Daten herunterladen alles herunter, was gespeichert ist, und mit Konto löschen ist es weg — samt Kindern, Favoriten, Vorhaben, Verbindungen und Abonnements.

Dazu kommen die Rechte auf Berichtigung, Einschränkung und Widerspruch. Schreib dafür an hallo@buddelfunk.de. Wenn dir etwas nicht passt, kannst du dich außerdem bei einer Aufsichtsbehörde beschweren; zuständig ist die Landesbeauftragte für den Datenschutz Niedersachsen.

Änderungen

Ändert sich, was die App speichert, ändert sich dieser Text mit. Stand: 28. Oktober 2026.

Zurück zu Buddelfunk