1. Verantwortlicher
LIFECO GmbH
Forsthausgasse 16-20/13/7
1200 Wien, Österreich
E-Mail: office@lifeco.at
Firmenbuchnummer: 502150g · UID-Nr.: ATU73826167 · Sitz: Wien
FungiFind wird von der LIFECO GmbH betrieben. Anfragen zum Datenschutz richten Sie bitte an: kontakt@fungifind.org (Betreff: Datenschutz).
2. Überblick
FungiFind ist eine webbasierte Pilz-Klima- und Community-App. Wir verarbeiten personenbezogene Daten nur, soweit dies für den Betrieb der App, die Bereitstellung von Funktionen oder gesetzliche Pflichten erforderlich ist. Es werden keine Drittanbieter-Analytics (z. B. Google Analytics, Matomo) in der App eingebunden.
Es findet keine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO statt, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt.
3. Welche Daten wir verarbeiten
| Datenkategorie | Zweck | Rechtsgrundlage (Art. 6 DSGVO) | Speicherdauer (Richtwert) |
|---|---|---|---|
| Kontodaten: E-Mail-Adresse, Passwort (gehasht), Benutzername, Anzeigename, Profilbild-URL, optional Google-Konto-ID, Einladungscode, Profiltext, Sichtbarkeitseinstellungen | Registrierung, Anmeldung, Profilverwaltung, Community-Funktionen | Vertragserfüllung (lit. b); ggf. Einwilligung bei optionaler Google-Anmeldung (lit. a) | Bis zur Kontolöschung |
Sitzungs-Cookie (ff.sid): Session-ID, httpOnly, secure, SameSite=Lax |
Aufrechterhaltung der Anmeldung | Vertragserfüllung (lit. b); berechtigtes Interesse an sicherer Authentifizierung (lit. f) | Ca. 14 Tage nach letzter Nutzung bzw. bis Abmeldung |
| Standortdaten: GPS-Koordinaten und Bezeichnungen für gespeicherte Orte, Funde, Wetter-Alerts; ggf. Ortsname | Kartenfunktionen, Favoriten, Fund-Dokumentation, Wetter-Alerts | Vertragserfüllung (lit. b); Einwilligung, sofern Standort über Browser-API abgefragt wird (lit. a) | Bis zur Löschung durch Nutzer oder Kontolöschung |
| Community-Inhalte (UGC): Fund-Fotos, Notizen, Kommentare, Bewertungen, Bestimmungs-Votes, Freundschaften, Nachrichten (Text, Bild-Thumbnails) | Community-Feed, Chat, soziale Funktionen, Moderation | Vertragserfüllung (lit. b) | Bis zur Löschung durch Nutzer, Moderation oder Kontolöschung |
| Push-Benachrichtigungen: Web-Push-Endpunkt und kryptographische Schlüssel (VAPID-Subscription) | Zustellung von In-App-/Push-Benachrichtigungen (Alerts, Chat, soziale Events) | Einwilligung (lit. a) | Bis Widerruf der Einwilligung oder Kontolöschung |
| E-Mail-Kommunikation: E-Mail-Adresse für Willkommens-, Passwort-Reset-, Alert- und Feedback-Antwort-Mails | Transaktionale und vom Nutzer ausgelöste Benachrichtigungen | Vertragserfüllung (lit. b); Einwilligung für optionale Alert-Mails (lit. a) | Passwort-Reset-Token: kurze Frist (Stunden); übrige Daten bis Kontolöschung |
| Feedback & Bug-Reports: Meldungstyp, Betreff, Nachricht, ggf. Admin-Antwort | Verbesserung der App, Support | Berechtigtes Interesse (lit. f); Vertragserfüllung bei eingeloggten Nutzern (lit. b) | Bis zur Bearbeitung bzw. max. [X Jahre — vom Betreiber festzulegen] |
| Sensible Freischaltung: Bestätigung psychoaktiver Inhalte (18+), Zeitstempel, ggf. gekürzte IP-Adresse | Alters- und Rechts-Hinweis vor Anzeige sensibler Verbreitungszonen | Einwilligung (lit. a); berechtigtes Interesse an Nachweis (lit. f) | Bis Kontolöschung; IP-Hinweis ggf. kürzer — [vom Betreiber festzulegen] |
| Administration: Admin-Aktivitätsprotokoll, Nutzerverwaltung | Betrieb, Sicherheit, Missbrauchsbekämpfung | Berechtigtes Interesse (lit. f) | [z. B. 12 Monate — vom Betreiber festzulegen] |
| Server-Logdaten: IP-Adresse, Zeitstempel, angeforderte URL, User-Agent (über Hosting) | Technischer Betrieb, Fehleranalyse, Sicherheit | Berechtigtes Interesse (lit. f) | Üblicherweise wenige Wochen (Hosting-Standard) |
Gast-Score-Limit (Missbrauchsschutz): Pseudonyme Gast-Kennung (Cookie ff_guest_id) sowie ein gehashter IP-Tageswert (HMAC-SHA256 mit täglich rotierendem Salt; die IP wird nicht im Klartext gespeichert) |
Begrenzung kostenloser Score-Abfragen für Gäste und Schutz vor Umgehung | Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) | Maximal 48 Stunden, danach automatische Löschung. Angemeldete Nutzer unterliegen diesem Limit nicht. |
First-Party-Attribution: Landing-Pfad, Referrer-Hostname, UTM-Parameter, abgeleiteter Kanal, Geräteklasse (ff_first_touch → user_first_touch) |
Kanalbezogene Auswertung der Nutzergewinnung ohne Drittanbieter-Tracking | Berechtigtes Interesse (lit. f) | Lokal bis Löschung im Browser; serverseitig bis Kontolöschung oder auf Anfrage |
First-Party-Nutzungsereignisse: Ereignisname, Zeitstempel, anonyme Session-ID (session_id), optional Nutzer-ID nach Login, grobe Kontextdaten (z. B. Screen/Feature) in der Tabelle product_events |
Produktverbesserung und Verständnis der App-Nutzung ohne Drittanbieter-Tracker | Berechtigtes Interesse (lit. f) | Aggregierte Auswertung; Rohdaten befristet bzw. bis Kontolöschung — auf Anfrage löschbar |
4. Cookies, localStorage & IndexedDB (Gerät)
Neben dem Session-Cookie speichert FungiFind Einstellungen lokal in Ihrem Browser:
- Session-Cookie (
ff.sid): Anmeldung (~14 Tage), httpOnly - Gast-Cookie (
ff_guest_id): pseudonyme Kennung für das Gast-Score-Limit (~30 Tage), httpOnly; siehe Abschnitt 3 - localStorage: Sprache (
ff_lang), Kartenansicht (letzter Ausschnitt), Theme/Kartenstil, First-Party-Attribution (ff_first_touch,ff_anon_id), Haftungsausschluss-Akzeptanz, Push-Hinweis-Status, Besuchszähler, Habitat-/Heatmap-Anzeige, Freischaltung sensibler Inhalte, Onboarding-/Tour-Flags - sessionStorage: temporäre UI-Zustände (Filter, Karten-Klicks, ausstehende Deep-Links, anonyme Event-Session-ID)
- IndexedDB: Wetter-/Score-Zellen-Cache (
ff_wx_v1, kurzzeitig) sowie lokale Bildergalerie im Freundes-Chat (nur auf Ihrem Gerät)
Diese Speicher dienen der Bedienbarkeit und dem Betrieb der Karte und werden nicht an Dritte verkauft. Sie können sie über Browser-Einstellungen oder „App aktualisieren“ (Cache leeren) entfernen; die Anmeldung kann dadurch beendet werden.
First-Party-Attribution
Beim ersten Besuch speichern wir im Browser (ff_first_touch): Landing-Pfad (ohne Query), Referrer-Hostname, UTM-Parameter und einen abgeleiteten Kanal sowie grobe Geräteklasse. Bei Registrierung werden diese Daten einmalig dem Konto zugeordnet (user_first_touch) und nicht überschrieben. Zweck: kanalbezogene Auswertung der Nutzergewinnung ohne Drittanbieter-Tracking. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Löschung mit dem Konto oder auf Anfrage.
5. Empfänger & Drittanbieter
| Dienst | Anbieter | Zweck | Datenübermittlung |
|---|---|---|---|
| Hosting & Infrastruktur | Hetzner Online GmbH (DE) bzw. konfigurierter Server-Standort | Betrieb von App, API, Datenbank, Dateien | Alle serverseitig verarbeiteten Daten; AV-Vertrag erforderlich |
| E-Mail-Versand | SMTP über Hosting (z. B. Hetzner/KonsoleH), Absender noreply@fungifind.org |
Transaktions-E-Mails | E-Mail-Adresse, Nachrichteninhalt |
| TLS-Zertifikat | Let's Encrypt | Verschlüsselte Verbindung | Keine personenbezogenen App-Daten; Domain-Validierung |
| Wetterdaten | Open-Meteo (Open-Source-Wetter-API) | Wetterprognosen für Pilz-Scores | Koordinaten der abgefragten Standorte; keine Kontodaten. Open-Meteo kann IP-Adressen in Server-Logs verarbeiten. |
| Referenzbilder | Wikimedia Commons | Artenbilder in der Enzyklopädie (statische URLs) | Beim Laden der Bilder: IP, User-Agent an Wikimedia |
| Karten-Tiles | CARTO Basemaps (Leaflet) sowie OpenStreetMap-Attribution | Kartenanzeige | IP, Kachel-Koordinaten beim Kartenabruf |
| Habitat-Layer (optional) | EEA / Corine Land Cover (WMS) | Anzeige von Habitat-Flächen auf der Karte | IP, Kachel-/BBox-Koordinaten beim Abruf |
| Zahlungen (Abos) | Paddle.com (Merchant of Record) | Checkout, Abrechnung und Rechnungsstellung kostenpflichtiger Pläne | Zahlungs- und Vertragsdaten gemäß Paddle-Datenschutzhinweisen; FungiFind erhält Status/Belege, keine vollständigen Kartendaten |
| Google-Anmeldung (optional) | Google Ireland Ltd. | OAuth-Login mit Google-Konto (E-Mail, Name, Profilbild), sofern aktiviert | Datenübermittlung in Drittländer möglich; Standardvertragsklauseln / Angaben in Google-Datenschutzhinweisen |
| Google Lens (optional, nutzerinitiiert) | Externe Bestimmungshilfe per Foto-Upload-Link | Nur wenn Nutzer aktiv Lens öffnet; Foto-URL wird an Google übermittelt | |
| CDN (Leaflet-Bibliothek) | cdnjs.cloudflare.com | Auslieferung von JavaScript/CSS | IP, User-Agent beim Abruf |
Eine Weitergabe an Behörden erfolgt nur bei gesetzlicher Verpflichtung oder berechtigtem behördlichem Ersuchen.
6. Push-Benachrichtigungen & E-Mail
Push-Benachrichtigungen setzen Ihre ausdrückliche Zustimmung im Browser bzw. in der installierten PWA voraus. Sie können Push jederzeit in den Geräteeinstellungen oder in der App deaktivieren.
Wetter-Alerts per E-Mail können Sie pro Alert ein- oder ausschalten. Transaktions-E-Mails (z. B. Passwort zurücksetzen) sind für die Nutzung des Kontos erforderlich.
7. Community-Inhalte & Standorte
Öffentliche Funde, Kommentare und Profilangaben können für andere registrierte oder eingeloggte Nutzer sichtbar sein, abhängig von Ihren Einstellungen. Standortangaben bei Funden können Rückschlüsse auf Aufenthaltsorte zulassen — teilen Sie nur, was Sie veröffentlichen möchten.
Hochgeladene Fotos werden auf unseren Servern gespeichert und ggf. als Vorschaubilder in der Community angezeigt. Details zur Nutzungslizenz finden Sie in den AGB.
8. Psychoaktive & sensible Inhalte
Informationen zu psychoaktiven Pilzarten dienen ausschließlich der Bildung über ökologische Verbreitung. Vor Freischaltung sensibler Karteninhalte fragen wir nach Altersbestätigung (18+) und Verständnis der rechtlichen Risiken. Diese Bestätigung wird gespeichert, um Wiederholung zu vermeiden und den Nachweis zu dokumentieren.
FungiFind ermutigt nicht zum illegalen Erwerb, Besitz oder Konsum psychoaktiver Substanzen.
9. Ihre Rechte
Sie haben gegenüber dem Verantwortlichen insbesondere folgende Rechte:
- Auskunft (Art. 15 DSGVO)
- Berichtigung (Art. 16 DSGVO)
- Löschung (Art. 17 DSGVO)
- Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Datenübertragbarkeit (Art. 20 DSGVO)
- Widerspruch gegen Verarbeitung auf Basis berechtigter Interessen (Art. 21 DSGVO)
- Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO) mit Wirkung für die Zukunft
Anfragen richten Sie an kontakt@fungifind.org. Wir antworten in der Regel innerhalb eines Monats.
Sie haben das Recht, sich bei der zuständigen Aufsichtsbehörde zu beschweren:
Österreichische Datenschutzbehörde (DSB)
Barichgasse 40-42, 1030 Wien
www.dsb.gv.at
10. Sicherheit
Wir setzen technische und organisatorische Maßnahmen ein (u. a. HTTPS, gehashte Passwörter, httpOnly-Session-Cookies), um Ihre Daten vor unbefugtem Zugriff zu schützen. Absolute Sicherheit kann nicht garantiert werden.
11. Änderungen
Wir können diese Datenschutzerklärung anpassen, wenn sich Rechtslage, Funktionen oder Dienste ändern. Die aktuelle Fassung ist unter dieser URL abrufbar. Bei wesentlichen Änderungen informieren wir registrierte Nutzer, sofern erforderlich.
Stand: September 2026