Datenschutz

Stand: 20. Oktober 2026

Hier steht, welche Daten OnlyFerro von dir verarbeitet, wozu, wer sie bekommt und welche Rechte du hast.

Verantwortlich

Jeremy Plaidl
Hoffmeistergasse 6/24, 1120 Wien, Österreich
E-Mail: anmeldung.onlyferro@gmail.com

Für alle Fragen zum Datenschutz erreichst du uns unter dieser Adresse.

Welche Daten wir verarbeiten

• Konto: E-Mail-Adresse oder Google-Konto, Benutzername, Stempel-Name und optional ein Profiltext, ein Profilbild und Links zu deinem Instagram- und Facebook-Profil. Das sind reine Links: Wir binden nichts von Instagram oder Facebook ein, erst wenn jemand darauf klickt, öffnet sich die Seite von Meta mit deren Datenschutzregeln.
• Inhalte: hochgeladene Fotos samt Angaben (Reihe, Loknummer, Ort, Datum, Bildtext), Likes, Kommentare (auch Antworten auf andere Kommentare), Meldungen, Live-Meldungen („Heute unterwegs“) und Beiträge zum Lexikon.
• Fotostandort: Wenn dein Foto GPS-Daten enthält oder du einen Ort angibst, speichern wir die Koordinaten und zeigen den Ort auf einer kleinen Karte beim Foto. Du kannst den Pin beim Hochladen oder später entfernen.
• „In deiner Nähe“ auf der Karte: Nur wenn du auf den Knopf tippst und es in deinem Browser erlaubst, fragt die Seite deinen ungefähren Standort ab. Er wird nur auf deinem Gerät verwendet, um die Entfernungen zu berechnen und die Karte dorthin zu schieben. Wir speichern ihn nicht und schicken ihn nicht an unseren Server. Beim Verschieben der Karte lädt dein Browser wie sonst auch Kartenbilder von OpenStreetMap. Du kannst die Freigabe jederzeit in den Einstellungen deines Browsers zurücknehmen.
• Suche: Was du ins Suchfeld eingibst, wird nur für diese eine Suche verwendet und nicht in einem Konto oder Verlauf gespeichert.
• „Interessiert mich“ bei Terminen: für welche Termine du dich interessierst und seit wann. Nachrichten, die Vereine an Interessierte oder an ihre Fans schicken.
• Orte für die Karte: Wenn du einen Verein, ein Museum oder ein Geschäft vorschlägst, speichern wir deine Angaben dazu (Name, Adresse, Webseite, freiwillig Telefon, Öffnungszeiten, Beschreibung) und dass du den Vorschlag gemacht hast. Das sehen nur die Admins. Für den Pin wird die Adresse über OpenStreetMap (Nominatim) gesucht.
• Termine: Angaben zum Termin (Programm, Preise, Kontakt des Veranstalters) und freiwillig ein Bild vom Flyer. Flyer werden wie Fotos bei Cloudflare R2 gespeichert und sind öffentlich sichtbar.
• Flohmarkt: deine Anzeigen mit Text, Preis, Ort, Fotos und freiwillig angegebenem Kontakt (E-Mail oder Telefon), sowie Fragen und Antworten unter Anzeigen. Gemeldete Anzeigen landen mit Begründung bei den Admins.
• Folgen und Benachrichtigungen: wem du folgst (Fotografen, Reihen, Vereine, Bahnen), wann du deine Benachrichtigungen zuletzt angesehen hast und ob du E-Mail-Benachrichtigungen möchtest.
• Einstellungen: ob du beim Abzeichen- und Punkteprogramm mitmachst, deine Punkte und Abzeichen.
• Vereine, Museen und Geschäfte: bei der Anmeldung E-Mail, Name einer Kontaktperson und Angaben zum Verein. Wer einen von Mitgliedern eingetragenen Ort übernehmen will, gibt zusätzlich seine Rolle, eine Telefonnummer und einen Nachweis an; das sehen nur die Admins, um die Übernahme zu prüfen, und der Hauptadmin bekommt dazu ein E-Mail über Brevo. Meldet jemand einen Verein an, der nicht selbst dazugehört, kann der Admin die Angaben zum Verein als Karten-Eintrag übernehmen; die angegebene E-Mail-Adresse wird dann gelöscht und bekommt nichts von uns. Die Einladung über „Verein einladen“ verschickst du selbst über dein Gerät, wir speichern dabei nichts; später die Vereinsseite mit Kurzüberschrift, Bildergalerie, Terminen, Beiträgen (Aktuelles), Fahrzeugen, Projekten mit Projekt-Tagebuch, Produkten und Empfehlungen und Angeboten sowie freiwillig Adresse, Standort auf der Karte, Öffnungszeiten, Telefon und E-Mail für Besucher. Karten-Einträge ohne blauen Haken (von Mitgliedern vorgeschlagen oder vom OnlyFerro-Team, auch mit KI, aus der öffentlichen Webseite erstellt) enthalten nur, was der Betrieb selbst öffentlich angibt: Name, Adresse, Öffnungszeiten, allgemeine Telefonnummer und Webseite, keine Namen von Personen. Bei Einzelunternehmen können diese Angaben personenbezogen sein; Grundlage ist unser berechtigtes Interesse, Eisenbahnfans über solche Orte zu informieren (Art. 6 Abs. 1 lit. f DSGVO). Ein formloser Widerspruch per E-Mail genügt, dann löschen wir den Eintrag.
• Passwort: freiwillig. Wenn du dir in den Einstellungen ein Passwort festlegst, speichert Supabase es nur verschlüsselt (als Hash). Wir können es nicht lesen.
• Kurze Tour: Ob du die Tour schon gesehen oder weggeklickt hast, merkt sich nur dein Browser (lokaler Speicher). Bei uns wird dazu nichts gespeichert.
• Technisch: Zeitpunkt der Registrierung und der letzten Anmeldung. Diese Zeitpunkte, die Mitgliederliste und die Statistik sieht nur der Hauptadmin, um die Seite zu betreuen. Weitere Admins prüfen und korrigieren nur Inhalte (zum Beispiel Fototexte, Reihen, Kommentare, Termine, Vereine, Lexikon), und zwar nur in den Bereichen, die der Hauptadmin für sie freigeschaltet hat.
• Beim Aufruf der Seite: IP-Adresse, Browser, Uhrzeit und aufgerufene Adresse. Cloudflare verarbeitet diese Daten, um die Seite auszuliefern und vor Angriffen zu schützen; wir werten sie nicht aus.
• Meldungen und Feedback: was du meldest oder uns schreibst, und dass du es warst. Das sehen nur die Admins.
• Hinweise vom Admin-Team: Wenn ein Admin einen deiner Inhalte löscht, ausblendet, ablehnt oder ändert, speichern wir, was betroffen ist und warum, und schicken dir das per E-Mail (über Brevo) und in die Glocke.

Wozu und auf welcher Grundlage

• Dein Konto und alle Funktionen der Seite (Fotos, Kommentare, Folgen, Vereine, Termine, Flohmarkt, Punkte): zur Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).
• Sicherheit, Schutz vor Missbrauch und Spam, Prüfen von Meldungen, Moderation und eine einfache Nutzungsstatistik für den Betreiber: berechtigtes Interesse an einer sicheren, funktionierenden Plattform (lit. f).
• E-Mail-Benachrichtigungen und Werbe-Cookies: nur mit deiner Einwilligung (lit. a). Du kannst sie jederzeit widerrufen.
• Aufbewahren und Herausgeben von Daten, wenn ein Gesetz es verlangt, zum Beispiel nach dem Digital Services Act: rechtliche Verpflichtung (lit. c).

Für ein Konto brauchen wir deine E-Mail-Adresse, ohne sie geht die Anmeldung nicht. Alle anderen Angaben sind freiwillig. Wir treffen keine automatisierten Entscheidungen über dich und erstellen keine Profile; nur Google kann bei Werbung mit deiner Zustimmung Profile bilden.

Dienstleister und Übermittlung

Wir geben deine Daten nicht weiter und verkaufen sie nicht. Folgende Dienstleister verarbeiten Daten in unserem Auftrag:

• Supabase (Supabase Inc., USA) für Datenbank und Anmeldung. Die Daten liegen auf Servern in der EU (Frankfurt); für mögliche Zugriffe aus den USA gelten die EU-Standardvertragsklauseln.
• Cloudflare (Cloudflare Inc., USA) für das Hosting der Webseite und den Speicher für Fotos und Flyer. Speicherorte auch außerhalb der EU sind möglich, abgesichert über das EU-US Data Privacy Framework.
• Brevo (Sendinblue SAS, Frankreich) für den Versand von E-Mails: Anmelde-Links und, nur wenn du es einschaltest, höchstens eine Benachrichtigung pro Tag. Dafür übermitteln wir deine E-Mail-Adresse und den Inhalt der E-Mail.
• Anthropic (Anthropic PBC, USA) für das Auslesen von Veranstaltungs-Flyern und von öffentlichen Webseiten von Vereinen, Museen und Geschäften mit KI. Das nutzen nur der Betreiber und von ihm freigeschaltete Admins: Aus Fotos von öffentlichen Flyern wird ein Vorschlag für einen Kalendereintrag, aus dem Text einer öffentlichen Webseite ein Vorschlag für einen Eintrag auf der Karte. Die KI ist angewiesen, keine Namen von Personen und keine privaten Kontaktdaten zu übernehmen; ein Admin prüft jeden Vorschlag. Daten von Mitgliedern werden dabei nicht übermittelt. Grundlage für die Übermittlung in die USA sind die EU-Standardvertragsklauseln.
• Google (Google Ireland Ltd. und Google LLC, USA) für die optionale Anmeldung mit Google und, nur nach deiner Zustimmung, Werbung über Google AdSense. Abgesichert über das EU-US Data Privacy Framework.
• Google Fonts für die Schriftarten.
• OpenStreetMap Foundation (Großbritannien) für Karten und die Ortssuche (Nominatim). Dabei wird deine IP-Adresse übertragen, es werden keine Cookies gesetzt. Für Großbritannien gibt es einen Angemessenheitsbeschluss der EU.

Behörden geben wir Daten nur, wenn wir gesetzlich dazu verpflichtet sind.

Öffentlich sichtbar

Für alle sichtbar sind dein Profil (Name, Benutzername, Profiltext, Profilbild und, wenn du sie einträgst, deine Instagram- und Facebook-Links), deine Fotos mit ihren Angaben und dem Kartenausschnitt, deine Kommentare und, wenn du mitmachst, Punkte, Abzeichen und dein Platz in der Rangliste. Wem du folgst, sieht niemand außer dir. Vereine sehen nur, wie viele ihnen folgen, nicht wer. Tippst du bei einem Termin auf „Interessiert mich“, sieht der Veranstalter deinen Namen und dein Profilbild in seiner Interessentenliste, aber nie deine E-Mail-Adresse. Andere Nutzer sehen nur die Anzahl. Du kannst dein Interesse jederzeit wieder entfernen. Flohmarkt-Anzeigen sind mit deinem Namen, deinem Profilbild und dem Kontakt, den du selbst einträgst, öffentlich sichtbar, ebenso Fragen und Antworten darunter. Gib dort nur Kontaktdaten an, die alle sehen dürfen. Abgelaufene Anzeigen sind nur mehr für dich sichtbar, bis du sie löschst.

Cookies und Speicher im Browser

• Anmelde-Cookie: damit du eingeloggt bleibst. Das ist technisch notwendig.
• Deine Cookie-Wahl und ob du die kurze Tour gesehen hast: nur im Speicher deines Browsers, nicht bei uns.
• Werbung von Google AdSense laden wir erst, wenn du im Cookie-Hinweis „Alle akzeptieren“ wählst. Google kann dann Cookies setzen und Daten in die USA übermitteln. Deine Wahl kannst du hier jederzeit ändern: Cookie-Einstellungen

Wie lange wir Daten speichern

• Konto, Fotos und Beiträge: bis du sie oder dein Konto löschst.
• Live-Meldungen verschwinden nach 24 Stunden von der Seite, Flohmarkt-Anzeigen sind nach 60 Tagen nur mehr für dich sichtbar, bis du sie löschst.
• Meldungen, Feedback und Vereins-Anmeldungen: bis sie erledigt sind und wir sie für Rückfragen nicht mehr brauchen; dann löschen wir sie.
• Abrufdaten bei Cloudflare: nur kurz, für die Auslieferung und Abwehr von Angriffen.
• Löschst du dein Konto unter „Profil & Stempel“ mit „Konto löschen“, werden Fotos, Profilbild, Kommentare, Likes und Punkte sofort entfernt. Die E-Mail-Anmeldung wird innerhalb weniger Tage gelöscht, Sicherungskopien spätestens nach 30 Tagen.

Kinder und Jugendliche

OnlyFerro ist ab 14 Jahren. Ab 14 kannst du in Österreich selbst in die Verarbeitung deiner Daten einwilligen (§ 4 Abs. 4 DSG). Jüngere brauchen die Zustimmung ihrer Eltern.

Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch, und du kannst eine Einwilligung jederzeit widerrufen. Vieles kannst du selbst in deinem Profil ändern oder löschen; sonst schreib uns an anmeldung.onlyferro@gmail.com. Wir antworten innerhalb eines Monats.

Wenn du meinst, dass wir deine Daten nicht richtig verarbeiten, kannst du dich bei der Österreichischen Datenschutzbehörde beschweren: Barichgasse 40–42, 1030 Wien, www.dsb.gv.at.