# Datenschutzerklärung **Stand: 17. August 2026** Diese Erklärung informiert Sie nach Art. 13 und 14 DSGVO darüber, welche personenbezogenen Daten wir beim Besuch unserer Websites und bei der Nutzung der Lodapi-Schnittstellen verarbeiten, zu welchem Zweck, auf welcher Rechtsgrundlage und wie lange. --- ## 1. Verantwortlicher Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist: **scenerii GmbH** Jordanstraße 2 01099 Dresden Deutschland Amtsgericht Dresden, HRB 45100 USt-IdNr. DE367604190 Vertreten durch den Geschäftsführer Konstantin Doll E-Mail allgemein: hello@lodapi.de E-Mail in Datenschutzangelegenheiten: datenschutz@lodapi.de „Lodapi" ist eine Produktmarke der scenerii GmbH und keine eigenständige Gesellschaft. Vertragspartner und datenschutzrechtlich Verantwortlicher ist in allen Fällen die scenerii GmbH. ## 2. Datenschutzbeauftragter Wir haben keinen Datenschutzbeauftragten benannt. Eine Benennungspflicht nach § 38 Abs. 1 BDSG besteht nicht: Wir beschäftigen nicht in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten (die scenerii GmbH ist ein Ein-Personen-Betrieb), wir führen keine Verarbeitungen durch, die nach Art. 35 DSGVO einer Datenschutz-Folgenabschätzung unterliegen, und wir verarbeiten personenbezogene Daten weder geschäftsmäßig zum Zweck der Übermittlung noch für Zwecke der Markt- oder Meinungsforschung. Die von uns bereitgestellten Geodaten (Abschnitt 13) sind keine personenbezogenen Daten, die wir zum Zweck der Übermittlung verarbeiten. Für alle Datenschutzanliegen erreichen Sie uns unmittelbar unter **datenschutz@lodapi.de**. ## 3. Geltungsbereich Diese Erklärung gilt für - die Website **lodapi.de** (einschließlich der Unterseiten Dokumentation, Coverage, Preise, Trial-Key-Seite), - die Programmierschnittstelle **api.lodapi.de**, - die Datenauslieferung über **tiles.lodapi.de** (3D-Tiles, GLB-Modelle, Geländedaten als Cloud-Optimized GeoTIFF), - die Demonstrationsseite **demo.lodapi.de**, - die vorvertragliche und vertragliche Kommunikation mit Interessentinnen, Interessenten und Kundinnen und Kunden. Für verlinkte Angebote Dritter gelten deren eigene Datenschutzerklärungen. ## 4. Kurzüberblick über die Verarbeitungen | Verarbeitung | Daten | Rechtsgrundlage | Speicherdauer | |---|---|---|---| | Aufruf der Websites (Server-Protokolle) | IP-Adresse, Zeitpunkt, Pfad, Statuscode, Datenmenge, User-Agent | Art. 6 Abs. 1 lit. f | 14 Tage | | Reichweitenmessung auf lodapi.de (Umami, cookie-frei) | pseudonyme Besucher-Kennung (Hash, keine IP), Seitenpfad, Verweisquelle, Browser, Betriebssystem, Gerätetyp, Bildschirmgröße, Sprache, Land/Region/Stadt, Zeitpunkt | Art. 6 Abs. 1 lit. f | Rohdaten ohne Personenbezug, unbefristet als Statistik | | Auslieferung von 3D-Kacheln (tiles.lodapi.de) | IP-Adresse, Zeitpunkt, Pfad, Statuscode, ausgelieferte Bytes | Art. 6 Abs. 1 lit. f | 14 Tage | | Protokollierung der API-Aufrufe | Schlüsselkennung oder „ohne Schlüssel", Pfad, Methode, Statuscode, Antwortgröße, IP-Adresse, User-Agent, Zeitpunkt | Art. 6 Abs. 1 lit. b bzw. lit. f | 12 Monate | | Nutzungszählung je API-Schlüssel (Kontingent) | Aufrufzahl je Schlüssel und Kalendermonat, Zeitpunkt der letzten Nutzung | Art. 6 Abs. 1 lit. b bzw. lit. f | 12 Monate | | Ausstellung von Trial-Schlüsseln | Schlüsselkennung, Herkunfts-Kennzeichen, IP-Adresse der Ausstellung, optional E-Mail-Adresse | Art. 6 Abs. 1 lit. b und lit. f | siehe Abschnitt 8 | | Kunden- und Vertragsdaten, Abrechnung | Firmierung, Ansprechpartner, Anschrift, E-Mail, USt-IdNr., Zahlungsdaten | Art. 6 Abs. 1 lit. b und lit. c | 6 bzw. 10 Jahre (handels- und steuerrechtlich) | | E-Mail-Kontakt | Absenderadresse, Inhalt, Metadaten | Art. 6 Abs. 1 lit. b bzw. lit. f | 24 Monate nach Abschluss des Vorgangs | Die einzelnen Verarbeitungen sind nachfolgend im Detail beschrieben. ## 5. Aufruf unserer Websites Beim Aufruf von lodapi.de, demo.lodapi.de und api.lodapi.de verarbeitet unser Webserver die technisch notwendigen Verbindungsdaten: - IP-Adresse des anfragenden Geräts, - Datum und Uhrzeit des Zugriffs, - angefragte Adresse (Pfad) und HTTP-Methode, - HTTP-Statuscode und übertragene Datenmenge, - übermittelte Browser- und Betriebssystemkennung (User-Agent). **Zweck:** Auslieferung der angefragten Inhalte, Gewährleistung eines stabilen und sicheren Betriebs, Fehlerdiagnose sowie Erkennung und Abwehr von Angriffen und missbräuchlicher automatisierter Nutzung. **Rechtsgrundlage:** Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der sichere, funktionsfähige Betrieb unserer Infrastruktur und deren Schutz vor Missbrauch. Ohne diese Protokollierung ließen sich Störungen und Angriffe weder erkennen noch nachvollziehen. Wir verarbeiten dafür ausschließlich die ohnehin technisch anfallenden Verbindungsdaten, führen sie nicht mit anderen Datenbeständen zusammen, bilden daraus keine Nutzungsprofile und löschen sie nach kurzer Frist. Angesichts dieser engen Zweckbindung und der kurzen Speicherdauer überwiegen Ihre schutzwürdigen Interessen nach unserer Bewertung nicht. **Speicherdauer:** 14 Tage, danach automatische Löschung durch rollierende Rotation. **Reichweitenmessung auf lodapi.de (Umami):** Um zu verstehen, welche Seiten und Dokumentationsteile genutzt werden, setzen wir auf lodapi.de die Open-Source-Software **Umami** ein. Sie läuft ausschließlich auf einem von uns betriebenen Server bei der Hetzner Online GmbH in Deutschland (analytics.scenerii.com); an Dritte werden keine Daten übermittelt. - **Keine Cookies, keine Kennungen im Browser:** Umami setzt keine Cookies und speichert keine Kennung oder sonstige Information auf Ihrem Gerät. - **Keine IP-Adresse:** Ihre IP-Adresse wird von Umami nicht gespeichert. Sie fließt zusammen mit der Browserkennung, der Website-Kennung und einem geheimen, regelmäßig wechselnden Zufallswert lediglich in einen Hashwert ein, der Aufrufe innerhalb eines Zeitraums als Besuch zusammenfasst. Der Hashwert lässt sich nicht auf die IP-Adresse zurückrechnen; nach dem Wechsel des Zufallswerts ist eine Wiedererkennung ausgeschlossen. Aus der IP-Adresse wird vor dem Verwerfen ein grober Standort (Land, Region, Stadt) abgeleitet. - **Erhobene Angaben:** aufgerufener Seitenpfad (ohne Suchparameter und Fragmente), Seitentitel, Verweisquelle (Referrer), Browser, Betriebssystem, Gerätetyp, Bildschirmgröße, Sprache, Land/Region/Stadt sowie Zeitpunkt. Wir setzen keine Ereignisverfolgung ein, die Eingaben oder Inhalte erfasst. - **Do-Not-Track:** Ist in Ihrem Browser „Do Not Track" aktiviert, wird die Reichweitenmessung nicht ausgeführt. - **Widerspruch:** Sie können die Reichweitenmessung für Ihren Browser jederzeit über den Schalter am Ende dieser Seite auf lodapi.de/datenschutz abschalten. Dabei wird ein Eintrag `umami.disabled` im lokalen Speicher Ihres Browsers gesetzt, der ausschließlich diese Abschaltung festhält. **Zweck und Rechtsgrundlage der Reichweitenmessung:** Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die bedarfsgerechte Gestaltung und Verbesserung unserer Website und Dokumentation. Wegen des Verzichts auf Cookies, der fehlenden Speicherung der IP-Adresse, der kurzfristig wechselnden Pseudonymisierung, der ausschließlichen Verarbeitung auf eigenen Servern in Deutschland und der jederzeitigen Abschaltmöglichkeit ist der Eingriff gering; Ihre schutzwürdigen Interessen überwiegen nach unserer Bewertung nicht. Eine Einwilligung ist nicht erforderlich, ein Zustimmungsbanner setzen wir deshalb nicht ein. **Speicherdauer der Reichweitenmessung:** Die gespeicherten Datensätze enthalten keine IP-Adresse und sind nach dem Wechsel des Zufallswerts keiner Person mehr zuordenbar; wir bewahren sie als Nutzungsstatistik unbefristet auf. **Was wir nicht tun:** Wir setzen auf unseren öffentlichen Seiten keine Cookies, keine Tracking-Pixel und keine Werbe- oder Drittanbieter-Analysewerkzeuge ein. Es findet keine Einbindung von Inhalten Dritter statt, die Ihre IP-Adresse an Dritte übermitteln würde. Die verwendeten Schriftarten (Fraunces, IBM Plex Sans, JetBrains Mono) werden von unserem eigenen Server ausgeliefert; ein Abruf bei Google Fonts oder einem anderen Drittanbieter erfolgt nicht. Auf der passwortgeschützten internen Verwaltungsseite wird ein Zugangstoken ausschließlich im `sessionStorage` des jeweiligen Browser-Tabs gehalten; diese Seite ist nicht öffentlich nutzbar. ## 6. Auslieferung von 3D-Kacheln über tiles.lodapi.de Die eigentlichen Geodaten-Dateien (b3dm-, GLB- und COG-Dateien) werden über die Domain tiles.lodapi.de ausgeliefert. Dieser Auslieferungsweg läuft technisch getrennt von der Programmierschnittstelle und protokolliert je Anfrage: - IP-Adresse des anfragenden Clients, - aufgerufene Adresse (Pfad der Datei), - HTTP-Statuscode, - Größe der übertragenen Antwort in Byte, - Zeitstempel des Zugriffs. **Zweck:** sicherer und stabiler Betrieb, Fehlerdiagnose, Erkennung und Abwehr von Angriffen und missbräuchlicher automatisierter Nutzung (insbesondere systematisches Abziehen des Datenbestands), Auswertung der übertragenen Datenmengen für Kapazitätsplanung und Kostensteuerung. **Rechtsgrundlage:** Art. 6 Abs. 1 lit. f DSGVO. Berechtigtes Interesse ist der Schutz eines frei abrufbaren, kostenintensiven Datenangebots vor missbräuchlicher Massennutzung sowie die Betriebssicherheit. Die vollständige IP-Adresse ist hierfür erforderlich, weil eine gekürzte Adresse die Zuordnung eines Abrufmusters zu einem einzelnen Client nicht mehr zulässt. Die Protokolle werden nicht mit Kundenstammdaten verknüpft, nicht zur Profilbildung und nicht für Werbung verwendet und nach kurzer Frist gelöscht. **Speicherdauer:** 14 Tage (rollierende Rotation), danach automatische Löschung. ## 7. Nutzung der Programmierschnittstelle (api.lodapi.de) Über api.lodapi.de können Sie strukturierte Gebäude-, Gelände- und Bodenbedeckungsdaten abrufen — mit oder ohne API-Schlüssel. ### 7.1 Protokollierung der Aufrufe Unsere Anwendung schreibt für jeden Aufruf der Datenschnittstelle einen Protokolldatensatz in unsere Datenbank. Erfasst werden: - die **Kennung des verwendeten API-Schlüssels**; erfolgt der Aufruf ohne Schlüssel, wird an dieser Stelle kein Wert gespeichert (der Datensatz bleibt einem einzelnen Kunden dann nicht zuordenbar), - der **aufgerufene Pfad**, - die **HTTP-Methode**, - der **Statuscode** der Antwort, - die **Größe der Antwort in Byte**, - die **IP-Adresse** des anfragenden Clients, - die **Browser-/Client-Kennung (User-Agent)**, auf 512 Zeichen gekürzt, - der **Zeitpunkt** des Aufrufs. Der Aufruf des Statusendpunkts für Trial-Schlüssel enthält den Schlüssel selbst im Pfad. Dieser Pfad wird vor dem Speichern redigiert, sodass im Protokoll nur die allgemeine Pfadform ohne den Schlüsselwert steht. Aufrufe der technischen Endpunkte für Verfügbarkeitsprüfung und Betriebsmetriken (`/healthz`, `/metrics`, `/favicon.ico`) sowie der internen Verwaltungsschnittstelle werden nicht in dieses Protokoll geschrieben. Der Schlüssel selbst wird bei uns ausschließlich als kryptografischer Hashwert gespeichert; der Klartext-Schlüssel wird genau einmal bei der Ausstellung ausgegeben und danach nicht aufbewahrt. **Zwecke:** 1. Betriebssicherheit, Fehlerdiagnose und Missbrauchsabwehr, 2. Feststellung des vertraglich vereinbarten Nutzungsumfangs bei Aufrufen mit Schlüssel (siehe 7.2), 3. Auswertung, welche Endpunkte in welchem Umfang genutzt werden, zur Weiterentwicklung und Kapazitätsplanung. **Rechtsgrundlagen:** - Bei Aufrufen **mit** einem API-Schlüssel im Rahmen eines Vertrags- oder Testnutzungsverhältnisses: Art. 6 Abs. 1 lit. b DSGVO, soweit die Protokollierung der Durchführung des Nutzungsvertrags dient (Nachweis und Abrechnung des Nutzungsumfangs, Einhaltung der vereinbarten Kontingente). - Im Übrigen — insbesondere für IP-Adresse und User-Agent sowie für alle Aufrufe **ohne** Schlüssel: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht darin, unsere Schnittstelle vor Überlastung, automatisiertem Massenabruf und Angriffen zu schützen, Störungen einer bestimmten Anfrage nachvollziehen zu können und die Auslastung unserer Systeme zu planen. Ohne IP-Adresse und Client-Kennung lassen sich diese Zwecke nicht erreichen, weil ein auffälliges Abrufmuster sonst keinem Absender zuzuordnen ist. Wir werten die Protokolle nicht für Werbezwecke aus, bilden daraus keine Persönlichkeitsprofile und geben sie nicht an Dritte weiter. Bei einer Schnittstelle, die von Software und nicht von natürlichen Personen im Rahmen privater Lebensführung angesprochen wird, ist die Eingriffstiefe zudem gering. Nach unserer Abwägung überwiegen Ihre schutzwürdigen Interessen daher nicht. **Speicherdauer:** 12 Monate ab dem Aufruf. Danach werden die Protokolldatensätze gelöscht oder auf nicht personenbeziehbare Kennzahlen (Aufrufzahlen je Endpunkt und Zeitraum) verdichtet. **Hinweis zur Aussage „kein Tracking":** Unsere Marketing-Seite arbeitet ohne Cookies und ohne Drittanbieter-Analysewerkzeuge; die cookie-freie Reichweitenmessung mit Umami ist in Abschnitt 5 beschrieben. Das bedeutet nicht, dass keinerlei Daten anfallen: Jeder Aufruf unserer Schnittstellen und jede Auslieferung einer Datei erzeugt die oben beschriebenen Protokolldaten einschließlich IP-Adresse und Client-Kennung. Wir nutzen diese Daten für Betrieb, Sicherheit und Nutzungszählung — nicht für Werbung, nicht für Profilbildung und nicht zur Weitergabe an Dritte. ### 7.2 Nutzungszählung je API-Schlüssel Für jeden ausgestellten API-Schlüssel ermitteln wir aus den Protokolldatensätzen die Zahl der Aufrufe im laufenden Kalendermonat und geben sie zusammen mit dem vereinbarten Kontingent in den Antwort-Kopfzeilen `X-Lodapi-Quota-Used` und `X-Lodapi-Quota-Limit` aus. Zusätzlich vermerken wir am Schlüssel den Zeitpunkt der letzten Nutzung. **Zweck:** Feststellung und Nachweis des vertraglich vereinbarten Nutzungsumfangs, Transparenz über den eigenen Verbrauch, Erkennung inaktiver oder abgelaufener Schlüssel. **Rechtsgrundlage:** Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsvertrags). Soweit ein Schlüssel außerhalb eines Vertragsverhältnisses genutzt wird, stützen wir die Zählung auf Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Durchsetzung der zugesagten Nutzungsgrenzen und der Schutz vor unentgeltlicher Überbeanspruchung. **Speicherdauer:** wie unter 7.1 (12 Monate); der Vermerk der letzten Nutzung besteht so lange, wie der Schlüssel besteht. ## 8. Trial-Schlüssel (POST /v1/keys/trial) Über die Seite lodapi.de/key und über den Endpunkt `POST /v1/keys/trial` können Sie ohne Registrierung einen befristeten Test-Schlüssel erzeugen (Laufzeit 7 Tage, ausschließlich lesender Zugriff). Dabei verarbeiten wir: - die erzeugte Schlüsselkennung und den Hashwert des Schlüssels, - ein Herkunfts-Kennzeichen (`source`), das angibt, über welchen Weg der Schlüssel angefordert wurde, - die **IP-Adresse**, von der die Ausstellung angefordert wurde, - die **E-Mail-Adresse**, sofern Sie eine angeben. **IP-Adresse:** Wir speichern die IP-Adresse der Ausstellung, um die Zahl der Schlüssel je IP-Adresse und 24 Stunden zu begrenzen (Standard: drei). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse ist die Missbrauchsabwehr beim unentgeltlichen Bezug von Zugangsschlüsseln. Ohne diese Zählung ließe sich das Angebot in beliebigem Umfang automatisiert leerräumen. Die Adresse wird für keinen anderen Zweck verwendet. **E-Mail-Adresse:** Die Angabe der Adresse ist technisch freiwillig — der Endpunkt stellt den Schlüssel auch ohne Adresse mit identischen Bedingungen aus. Auf der Web-Oberfläche lodapi.de/key ist das Feld allerdings ausgefüllt abzusenden; über den Endpunkt direkt können Sie den Schlüssel ohne Adresse beziehen. Wir speichern die Adresse ausschließlich, um zu wissen, wem ein ausgestellter Schlüssel gehört, und um Sie bei Ablauf, Sperrung oder Rückfragen zu Ihrem Anwendungsfall erreichen zu können. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Adresse der Durchführung des Testnutzungsverhältnisses dient, und im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Zuordenbarkeit ausgegebener Zugangsschlüssel jenseits der reinen IP-Adresse sowie an der Kontaktfähigkeit zur Schlüsselverwaltung). Wir verwenden diese Adresse **nicht** für Newsletter oder sonstige Werbung und geben sie nicht weiter. Es findet **keine** Bestätigungsmail und **keine** Überprüfung der Adresse statt; die Adresse verlässt unsere Datenbank nicht und ist nur über einen zugangsgeschützten internen Verwaltungszugang einsehbar. Wenn Sie eine fremde Adresse eingetragen finden oder Ihre Adresse gelöscht haben möchten, genügt eine formlose Nachricht an datenschutz@lodapi.de oder hello@lodapi.de; wir löschen sie unverzüglich. **Speicherdauer:** Die E-Mail-Adresse wird spätestens 90 Tage nach Ablauf des zugehörigen Schlüssels gelöscht, auf Ihren Wunsch jederzeit früher. Die IP-Adresse der Ausstellung wird spätestens 90 Tage nach der Ausstellung gelöscht. Die übrigen Angaben zum Schlüssel bleiben ohne Personenbezug für statistische Auswertungen erhalten. ## 9. Kunden- und Vertragsdaten, Abrechnung Schließen Sie einen kostenpflichtigen Vertrag über Lodapi ab, verarbeiten wir die dafür erforderlichen Stamm- und Vertragsdaten: Firmierung, Name der Ansprechperson, Anschrift, E-Mail-Adresse, Umsatzsteuer-Identifikationsnummer, gebuchter Tarif, Laufzeit sowie die Rechnungs- und Zahlungshistorie. **Rechtsgrundlage:** Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung) sowie Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den handels- und steuerrechtlichen Aufbewahrungspflichten (insbesondere § 147 AO, § 257 HGB, § 14b UStG). **Speicherdauer:** Für die Vertragsabwicklung erforderliche Daten werden bis zum Ende des Vertragsverhältnisses verarbeitet; anschließend gelten die gesetzlichen Aufbewahrungsfristen von sechs bzw. zehn Jahren, während derer die Daten für andere Zwecke gesperrt sind. **Zahlungsabwicklung:** Zahlungen wickeln wir über **Stripe Payments Europe, Limited, Dublin, Irland** ab. Bezahlen Sie über einen Stripe-Zahlungslink oder verwalten Sie Ihr Abonnement über das Stripe-Kundenportal, werden Ihre Zahlungsdaten (Name, Rechnungsanschrift, E-Mail-Adresse, Umsatzsteuer-Identifikationsnummer, Zahlungsmittel, Betrag, Zeitpunkt) unmittelbar von Stripe erhoben und verarbeitet. Vollständige Kreditkartendaten erhalten und speichern wir zu keinem Zeitpunkt. Stripe verarbeitet diese Daten teils als unser Auftragsverarbeiter, teils — insbesondere zur Betrugsprävention und zur Erfüllung eigener aufsichts- und geldwäscherechtlicher Pflichten — als eigener Verantwortlicher. Für die Verarbeitung in eigener Verantwortlichkeit gilt die Datenschutzerklärung von Stripe (stripe.com/de/privacy); den Datenschutzbeauftragten von Stripe erreichen Sie unter dpo@stripe.com. Rechtsgrundlage für die Übermittlung an Stripe ist Art. 6 Abs. 1 lit. b DSGVO. Zur Ermittlung der zutreffenden Umsatzsteuer setzen wir die Funktion „Stripe Tax" ein (Registrierung in Deutschland); dabei werden die von Ihnen angegebene Rechnungsanschrift, Ihre Umsatzsteuer-Identifikationsnummer sowie technisch bedingt Ihr Standortkennzeichen verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO (Erfüllung steuerlicher Pflichten). ## 10. Kontaktaufnahme Wenn Sie uns per E-Mail schreiben, verarbeiten wir Ihre Absenderadresse, den Inhalt Ihrer Nachricht und die technischen Metadaten der Nachricht, um Ihr Anliegen zu bearbeiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn Ihre Anfrage der Anbahnung oder Durchführung eines Vertrags dient, sonst Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen). Ein Kontaktformular mit automatisierter Weiterverarbeitung setzen wir nicht ein. **Speicherdauer:** 24 Monate nach abschließender Bearbeitung des Vorgangs, soweit keine handels- oder steuerrechtliche Aufbewahrungspflicht eine längere Speicherung verlangt. ## 11. Empfänger und Auftragsverarbeiter Wir geben personenbezogene Daten nur weiter, soweit dies für die genannten Zwecke erforderlich ist oder wir gesetzlich dazu verpflichtet sind. Eingesetzte Dienstleister: | Dienstleister | Sitz | Zweck | Rolle | |---|---|---|---| | Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen | Deutschland | Hosting der Server (einschließlich des Umami-Servers für die Reichweitenmessung), Speicherung der Anwendungs- und Protokolldaten | Auftragsverarbeiter (Art. 28 DSGVO) | | Stripe Payments Europe, Limited, Dublin | Irland | Zahlungsabwicklung, Rechnungsstellung, Abonnementverwaltung, Steuerberechnung | teils Auftragsverarbeiter, teils eigener Verantwortlicher | | 1&1 IONOS SE, Elgendorfer Str. 57, 56410 Montabaur | Deutschland | E-Mail-Dienst für die geschäftliche Korrespondenz | Auftragsverarbeiter (Art. 28 DSGVO) | Darüber hinaus können Daten an Steuerberatung, Wirtschaftsprüfung, Rechtsberatung oder Behörden übermittelt werden, soweit dies gesetzlich vorgeschrieben oder zur Rechtsverfolgung erforderlich ist. Wir verkaufen keine personenbezogenen Daten und geben sie nicht zu Werbezwecken an Dritte weiter. ## 12. Verarbeitung außerhalb der EU Die Server, auf denen unsere Anwendung, unsere Datenbank und unsere Protokolldateien laufen, stehen ausschließlich in Deutschland. Die Verarbeitung durch Stripe findet innerhalb der Europäischen Union statt; soweit Stripe im Rahmen seines Konzerns Daten in Drittländer, insbesondere in die USA, übermittelt, stützt Stripe dies nach eigenen Angaben auf die Standardvertragsklauseln der Europäischen Kommission und, soweit anwendbar, auf den Angemessenheitsbeschluss für das EU-US Data Privacy Framework. Einzelheiten entnehmen Sie der Datenschutzerklärung von Stripe. ## 13. Die über Lodapi bereitgestellten Geodaten Über Lodapi geben wir amtliche und offene Geodaten weiter: Gebäudemodelle im Detaillierungsgrad LoD2, digitale Geländemodelle und Bodenbedeckungsdaten. Diese Daten enthalten **keine Namens-, Eigentümer-, Bewohner- oder sonstigen Personenangaben**. Sie beschreiben zugleich einzelne Gebäude adressgenau in ihrer Geometrie und führen die amtliche Gebäudekennung (Objektkennung des jeweiligen Landesvermessungsdatenbestands) mit. Ob und wann eine konkrete Nutzung dieser Daten — insbesondere in Verknüpfung mit Adress-, Bestands-, Kunden- oder sonstigen Daten aus Ihren eigenen Quellen — zu einer Verarbeitung personenbezogener Daten führt, beurteilen Sie als Verantwortlicher Ihrer eigenen Verarbeitung eigenständig. Eine datenschutzrechtliche Bewertung Ihrer Anwendung schulden wir nicht (siehe auch § 19 Abs. 3 unserer Allgemeinen Geschäftsbedingungen). ## 14. Auftragsverarbeitung im Kundenverhältnis Für die Standardnutzung von Lodapi ist eine Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO **nicht erforderlich**: Sie übermitteln uns dabei keine personenbezogenen Daten zur Verarbeitung in Ihrem Auftrag. Sie rufen Geodaten ab; die dabei anfallenden Zugriffs- und Nutzungsdaten verarbeiten wir als eigene Verantwortliche zu den in dieser Erklärung genannten eigenen Zwecken. Anders liegt es insbesondere, wenn - Sie uns personenbezogene Daten übermitteln, damit wir sie für Sie auswerten, anreichern oder speichern (etwa Adress- oder Bestandslisten für eine kundenspezifische Analyse), - wir für Sie Daten Ihrer Endnutzerinnen und Endnutzer verarbeiten, oder - wir im Rahmen individueller Zusatzleistungen weisungsgebunden auf Ihre personenbezogenen Datenbestände zugreifen. In diesen Fällen schließen wir vor Beginn der Verarbeitung eine Vereinbarung nach Art. 28 DSGVO. Eine Anfrage genügt: datenschutz@lodapi.de. ## 15. Keine automatisierte Entscheidungsfindung Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 Abs. 1 und 4 DSGVO findet nicht statt. ## 16. Ihre Rechte Als betroffene Person haben Sie uns gegenüber die folgenden Rechte: - **Auskunft** (Art. 15 DSGVO) darüber, ob und welche personenbezogenen Daten wir zu Ihnen verarbeiten, - **Berichtigung** unrichtiger oder Vervollständigung unvollständiger Daten (Art. 16 DSGVO), - **Löschung** (Art. 17 DSGVO), soweit keine Aufbewahrungspflicht oder ein anderer Ausschlussgrund entgegensteht, - **Einschränkung der Verarbeitung** (Art. 18 DSGVO), - **Datenübertragbarkeit** (Art. 20 DSGVO) für die Daten, die Sie uns auf Grundlage einer Einwilligung oder eines Vertrags bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format, - **Widerruf einer Einwilligung** (Art. 7 Abs. 3 DSGVO) mit Wirkung für die Zukunft, soweit wir eine Verarbeitung auf Ihre Einwilligung stützen. **Widerspruchsrecht (Art. 21 DSGVO):** Soweit wir personenbezogene Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten — das betrifft insbesondere die Protokollierung nach den Abschnitten 5, 6, 7 und 8 —, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen diese Verarbeitung einzulegen. Wir verarbeiten die betreffenden Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Zur Ausübung Ihrer Rechte genügt eine formlose Nachricht an **datenschutz@lodapi.de** oder postalisch an die in Abschnitt 1 genannte Anschrift. Damit wir eine Anfrage zu Protokolldaten bearbeiten können, benötigen wir in der Regel einen Anhaltspunkt zur Zuordnung (etwa den betroffenen Zeitraum, die verwendete IP-Adresse oder das Schlüssel-Präfix); ohne solche Angaben können wir Protokolleinträge keiner Person zuordnen (Art. 11 DSGVO). ## 17. Beschwerderecht bei einer Aufsichtsbehörde Sie haben unbeschadet anderer Rechtsbehelfe das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für uns zuständig ist: **Die Sächsische Datenschutz- und Transparenzbeauftragte** Maternistraße 17, 01067 Dresden Postanschrift: Postfach 11 01 32, 01330 Dresden Telefon: +49 351 85471-101 E-Mail: post@sdtb.sachsen.de Web: www.datenschutz.sachsen.de ## 18. Datensicherheit Wir treffen dem Stand der Technik entsprechende technische und organisatorische Maßnahmen zum Schutz Ihrer Daten. Dazu gehören insbesondere die durchgehende Transportverschlüsselung (TLS) für alle Domains, die Speicherung von API-Schlüsseln ausschließlich als kryptografischer Hashwert, ein zugangsbeschränkter Verwaltungszugang, die Trennung von Anwendungs- und Datenbankzugriff sowie verschlüsselte, zugriffsbeschränkte Sicherungskopien. ## 19. Änderungen dieser Datenschutzerklärung Wir passen diese Erklärung an, wenn sich die von uns eingesetzte Technik, unsere Leistungen oder die Rechtslage ändern. Es gilt jeweils die auf lodapi.de/datenschutz veröffentlichte Fassung. Wesentliche Änderungen für bestehende Kundinnen und Kunden teilen wir zusätzlich per E-Mail mit. Diese Erklärung dient der Erfüllung unserer Informationspflichten nach Art. 13 und 14 DSGVO; sie ist nicht Bestandteil des Vertrags.