Datenschutz

Verantwortlicher

Fragen zum Datenschutz: hello@maps.express

Kurz gefasst

Die Website maps.express setzt keine Cookies und legt nichts auf Ihrem Gerät ab. Im Kartenstudio auf my.maps.express bleibt Ihr Entwurf ohne Anmeldung in Ihrem Browser, bis Sie ihn in Ihr Konto übernehmen oder ohne Konto kaufen. Ein Cookie setzen wir erst, wenn Sie sich anmelden oder ohne Konto kaufen. Wie oft unsere Seiten aufgerufen werden, zählen wir ohne Profile und mit gekürzter IP-Adresse. Personenbezogene Daten verarbeiten wir beim Ausliefern der Seiten, für Neuigkeiten per E-Mail, für Ihr .express-Konto, bei Käufen mit und ohne Konto und für die KI-Funktionen, die Sie aufrufen. Die Einzelheiten stehen in den folgenden Abschnitten.

Hosting und Auslieferung

Die Seiten werden über das weltweite Netz von Cloudflare ausgeliefert, damit sie überall schnell laden. Beim Aufruf verarbeitet Cloudflare technische Verbindungsdaten (IP-Adresse, Zeitpunkt, abgerufene Datei, Browsertyp) in Server-Logs; wir nutzen sie zur Sicherheit und Fehleranalyse. Unsere Datenbank betreibt Railway (USA) in einem Rechenzentrum in den Niederlanden, Dateien und Archive liegen in Cloudflare-Speichern mit fester EU-Bindung.

Railway betreibt seine Dienste auch dann weitgehend aus den USA, wenn die Daten in den Niederlanden liegen. Die Railway Corporation ist nach dem EU-U.S. Data Privacy Framework und dem Swiss-U.S. Data Privacy Framework zertifiziert; ersatzweise sieht der Vertrag die EU-Standardvertragsklauseln vor. Die Unterauftragsverarbeiter von Railway stehen unter trust.railway.com.

Besucherstatistik

Damit wir sehen, welche Seiten gelesen werden, zählen wir Seitenaufrufe mit Rybbit: auf maps.express, im Kartenstudio unter my.maps.express, auf der Startseite von trips.express (nicht in der Reise-App) und auf den Seiten unserer Produkte backoffice, crews, dispo, gateway, projects, shipments, sites, stories und thinks .express. Rybbit arbeitet für uns als Auftragsverarbeiter; der Aufruf läuft je Website über eine eigene Adresse unter derselben Domain (etwa stats.maps.express oder stats.dispo.express), die nur das Nötigste weitergibt: die aufgerufene Seite ohne Parameter (im Kartenstudio nur „Kartenstudio“, ohne Karten- oder Reisekennungen und ohne Titel), die Domain der Seite, von der Sie kommen, Browser, Gerätetyp, Bildschirmgröße und Sprache sowie Ihre IP-Adresse in gekürzter Form, aus der Rybbit Land und Region ableitet.

Es werden keine Cookies gesetzt und nichts auf Ihrem Gerät gespeichert. Klicks, Eingaben, Fehler und Bildschirmaufzeichnungen erfassen wir nicht. Rechtsgrundlage ist unser berechtigtes Interesse, die Website nach dem tatsächlichen Bedarf zu gestalten (Art. 6 Abs. 1 lit. f DSGVO). Zusätzlich zählt Cloudflare Web Analytics Seitenaufrufe, ebenfalls ohne Cookies.

Das Kartenstudio

Das Kartenstudio auf my.maps.express können Sie ohne Anmeldung nutzen. Einzelne Zusatzfunktionen nutzen externe Dienste – etwa Kartenrouting, Ortssuche, Wetter und Push-Benachrichtigungen über den Dienst Ihres Browsers. Diese Dienste erhalten Ortsangaben, keine Personendaten.

Automatische Fotos für Stopps

Wenn Stopps automatisch bebildert werden, sendet unser Server die gerundeten Koordinaten des Stopps an Wikimedia Commons (Wikimedia Foundation, USA). Konto- und Zahlungsdaten gehen dabei nicht mit.

Navigation mit Google Maps oder Apple Karten

In der Reise-App können Sie sich zu einem Halt oder Ihrem Hotel führen lassen. Erst wenn Sie dazu auf „Navigation dorthin“ tippen, öffnet sich Google Maps oder Apple Karten – je nach Ihrer Wahl oder, ohne Auswahl, passend zu Ihrem Gerät – als App bzw. Website. Sie erhält dann von Ihrem Gerät die Koordinaten des Ziels und, wenn Sie „Bus und Bahn“ wählen, diese Verkehrsart. Namen, Buchungs- und Reisedaten oder Angaben zu Ihrer Person übergeben wir nicht, und die Herkunftsseite wird nicht mitgesendet. Vorher wird nichts geladen, und wir zählen diese Absprünge nicht. Für alles, was danach in Google Maps (Google Ireland Limited) oder Apple Karten (Apple Distribution International Ltd.) geschieht, gelten deren Datenschutzbestimmungen.

Entwürfe im Browser

Ohne Anmeldung speichert das Kartenstudio Ihren Entwurf nur in Ihrem Browser (IndexedDB); an unseren Server geht er erst, wenn Sie sich anmelden und ihn übernehmen oder wenn Sie ohne Konto kaufen. Der Entwurf gilt 30 Tage ab der letzten Änderung, danach öffnet das Studio ihn nicht mehr. Sie können ihn im Studio jederzeit verwerfen. Auf einem geteilten Rechner sieht ihn, wer diesen Browser nutzt.

Exportdateien

Fertige Exportdateien und die dazugehörige Kopie Ihrer Karte löschen wir bei persönlichen .express-Konten 30 Tage nach der Erstellung. Die Löschung läuft nachts und kann bei einem Rückstand mehrere Nächte dauern; in Sicherungen bleiben die Daten bis zu deren Ablauf. Für Käufe ohne Konto gilt die Frist von 90 Tagen aus dem Abschnitt „Kauf ohne Konto“. Die Karte selbst bleibt in Ihrem Konto; die Datei können Sie jederzeit kostenlos neu erzeugen.

Bezahlte Dateien erstellen wir auf unseren Servern, in der Regel in einem Container von Railway (USA) in einem Rechenzentrum in den Niederlanden. Dorthin gehen Ihre Karte oder ihr fertiges Kartenblatt, mit den Texten, die Sie eingetragen haben. Sie liegen dort nur für die Dauer der Erstellung und werden danach gelöscht; Inhalte schreiben wir nicht in Protokolle. Die fertige Datei und ein kleines Vorschaubild (längste Seite 480 Pixel) speichern wir in Cloudflare-Speichern mit fester EU-Bindung und löschen sie gemeinsam.

Führen wir zu einer Datei eine eigene Quellenliste, bleibt sie mit der Export-Kennung auch nach der Löschung öffentlich abrufbar, ohne Inhalte der Karte und ohne Angaben zu Ihrer Person, damit der Quellennachweis auf verbreiteten Karten gültig bleibt.

Ihr .express-Konto

Zum Speichern und für Käufe mit Konto melden Sie sich mit Ihrem .express-Konto an. Dafür verarbeiten wir Ihre E-Mail-Adresse und schicken Ihnen einen Anmeldecode per E-Mail; den Versand übernehmen in unserem Auftrag Brevo (Brevo SAS, Frankreich) und, falls Brevo ausfällt, Emailit. Bevor der Code verschickt wird, prüft Cloudflare Turnstile, ob ein Mensch anfragt. Während der Anmeldung setzen wir ein Cookie für den Ablauf (höchstens 10 Minuten), danach ein Sitzungs-Cookie (höchstens 8 Stunden). Beide sind technisch notwendig und nur für unseren Server lesbar. Rechtsgrundlage für Konto und Anmeldung ist der Vertrag mit Ihnen (Art. 6 Abs. 1 lit. b DSGVO); die Prüfung auf Missbrauch, Mengenbegrenzungen und Protokolle beruhen auf unserem berechtigten Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Die Löschung Ihres Kontos erfolgt auf Antrag per E-Mail an hello@maps.express; nach 14 Tagen Rücknahmefrist löschen wir endgültig. Sie betrifft Ihr .express-Konto und damit alle .express-Produkte. Persönliche Bereiche, in denen 90 Tage nach der Anlage keine Karte gespeichert und nichts gekauft wurde, löschen wir automatisch.

Käufe

Käufe wickelt Polar (polar.sh) als Händler ab (Merchant of Record): Sie kaufen bei Polar, Polar stellt die Rechnung aus. Von uns erhält Polar nur eine pseudonyme Kennung Ihres Kontos. Name, E-Mail-Adresse, Rechnungsanschrift und Zahlungsdaten erhebt Polar im Checkout selbst. Polar ist ein US-Unternehmen; die Übermittlung ist über die EU-Standardvertragsklauseln abgesichert (Auftragsverarbeitungsvertrag von Polar). Rechtsgrundlage ist der Kaufvertrag (Art. 6 Abs. 1 lit. b DSGVO). Ihre Käufe bewahren wir als Buchungsbelege auf, weil das Steuerrecht es verlangt (§ 147 AO). Löschen Sie Ihr Konto, entfernen wir den Bezug dieser Belege zu Ihrer Person.

Kauf ohne Konto

Was beim Kauf gilt, steht in den Bedingungen für den Kauf ohne Konto.

Eine einzelne Karte können Sie auch ohne Konto kaufen. Wenn Sie den Kauf starten, geht eine Kopie Ihres Entwurfs an unseren Server, ohne Ihre eigenen Fotos. Diese Kopie kann alles enthalten, was Sie selbst eingetragen haben, auch Namen oder Adressen. Wir nutzen sie nur, um Ihre Dateien zu erstellen, und geben sie nicht an KI-Dienste. Zum Berechnen von Strecken können Koordinaten an einen Routing-Dienst gehen, ohne Namen oder Texte.

Vor dem Start prüft Cloudflare Turnstile, ob ein Mensch anfragt; dafür erhält Cloudflare Ihre IP-Adresse. Für die Tagesgrenze von fünf gestarteten Käufen je Internetanschluss speichern wir statt der IP-Adresse einen Prüfwert, den wir nach zwei Tagen löschen. Beim Start setzen wir ein Cookie, das Ihren Browser für 24 Stunden mit diesem Kauf verbindet. Es ist technisch notwendig und nur für unseren Server lesbar. Bei uns liegt nur ein Prüfwert seines Inhalts.

Bezahlt wird bei Polar als Händler. Name, E-Mail-Adresse, Rechnungsanschrift und Zahlungsdaten erhebt Polar im Checkout selbst. Von uns erhält Polar die Nummer des Kaufs und das gewählte Angebot, aber keine Kontokennung und nichts von Ihrer Karte.

Nach der Zahlung meldet Polar uns Ihre E-Mail-Adresse. Wir speichern sie verschlüsselt, bis unsere E-Mail verschickt ist, höchstens 7 Tage. Für die Bestätigungsseite behalten wir 24 Stunden eine gekürzte Form (etwa a***@example.com). Bis zum Ende der Frist behalten wir außerdem einen mit einem Geheimschlüssel gebildeten Prüfwert der Adresse, aus dem sie sich nicht ablesen lässt. Melden Sie sich mit derselben, von uns bestätigten Adresse an, gleichen wir diesen Prüfwert ab und bieten Ihnen die Karte zur Übernahme in Ihr Konto an; vorher sehen Sie nur Kaufdatum und Formate. Eine im Checkout eingegebene Adresse allein reicht dafür nie. Mit dem Link aus unserer E-Mail können Sie die Karte auch in ein Konto mit einer anderen Adresse übernehmen. Bei der Übernahme kopieren wir die Karte in Ihr Konto, schalten dort Ihre Stufe für diese Karte frei und löschen den Prüfwert; Link und Dateien des Kaufs ohne Konto gelten danach nicht mehr. Ohne Übernahme bleibt der Prüfwert bis zum Ende der Frist.

Sobald alle Dateien fertig sind oder sich eine Datei endgültig nicht erstellen lässt, schickt Emailit (FunFirst s.r.o., Tschechien) in unserem Auftrag die E-Mail. Sie enthält den Link, das Enddatum und allgemeine Hinweise, nichts von Ihrer Karte, und Öffnungen oder Klicks werden nicht erfasst. Ob die Adresse stimmt, können wir nicht prüfen: Bei einem Tippfehler im Checkout erreicht die E-Mail eine andere Person, und der Link führt zu Ihren Dateien. Darauf weist die Bestätigungsseite mit der gekürzten Adresse hin.

Auf der Bestätigungsseite sehen Sie ein kleines Bild Ihrer Karte. Bis Ihre Dateien fertig sind, kommt es aus Ihrem Browser: Es bleibt in diesem Tab und wird nicht verschickt. Danach zeigen wir das Vorschaubild, das mit Ihren Dateien gespeichert ist.

Einen unbezahlten Kauf löschen wir nach 24 Stunden mit seiner Kopie. Bei einem bezahlten Kauf löschen wir Karte, Dateien, Vorschaubild, Prüfwerte und Zugang 90 Tage nach der Zahlung. Nach einer Erstattung oder Rückbuchung enden Link und Dateien sofort, gelöscht wird beim nächsten stündlichen Lauf. Den Kaufbeleg bewahren wir auf, weil das Steuerrecht es verlangt (§ 147 AO), ohne Ihren Namen und Ihre E-Mail-Adresse. Was Polar speichert, richtet sich nach den Regeln von Polar.

Als Nachweis bewahren wir auf, welcher Textfassung Sie zugestimmt haben und wann, ohne IP-Adresse.

Rechtsgrundlage für Kopie, E-Mail und Dateien ist der Kauf (Art. 6 Abs. 1 lit. b DSGVO). Die Prüfung auf Missbrauch und die Tagesgrenze beruhen auf unserem berechtigten Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Für Auskunft oder vorzeitige Löschung schreiben Sie an hello@maps.express und nennen die Rechnungsnummer aus der Quittung von Polar; ohne Konto können wir Sie sonst keinem Kauf zuordnen.

KI-Funktionen

Einige Funktionen nutzen ein Sprachmodell: das Lesen eines eingefügten Reiseverlaufs, das Lesen einer Reiseseite, deren Link Sie angeben, Vorschläge für die Namen der Stationen und der Karten-Assistent. Dafür senden wir den Reisetext oder den lesbaren Text der Reiseseite, beim Assistenten Ihre Nachricht mit dem Kartenkontext (Titel, Stationen, Beschriftungen), an OpenRouter, und zwar ausschließlich über dessen EU-Endpunkt: Die Verbindung endet in der EU, und OpenRouter leitet nur an Modellanbieter weiter, die in der EU verarbeiten. Aus Reisetexten, Reiseseiten und Stationsnamen entfernen wir vorher erkennbare Personendaten wie Namen, E-Mail-Adressen, Telefonnummern, Buchungs- und Ausweisnummern; für den Karten-Assistenten gilt das nicht, er erhält Ihre Nachricht und den Kartenkontext so, wie sie sind. Mit jeder Anfrage verlangen wir, dass die Daten nicht zum Training verwendet werden.

Wir speichern weder Ihren Text noch die Antwort des Modells, nur Angaben zur Nutzung: Dienst, Modell, Dauer, Ergebnis und die Zahl der verarbeiteten Token. Wie lange OpenRouter und der Modellanbieter Anfragen aufbewahren, richtet sich nach deren Richtlinien (Datenschutzhinweise von OpenRouter). Rechtsgrundlage ist der Vertrag mit Ihnen, weil Sie die Funktion aufrufen (Art. 6 Abs. 1 lit. b DSGVO); Mengenbegrenzungen und Protokolle beruhen auf unserem berechtigten Interesse (Art. 6 Abs. 1 lit. f DSGVO).

Neuigkeiten zu maps.express per E-Mail

Wenn Sie Neuigkeiten zu maps.express per E-Mail erhalten möchten, verarbeiten wir Ihre E-Mail-Adresse auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Wir informieren gelegentlich über Neues bei maps.express. Ihre Anmeldung erreicht uns als E-Mail im Postfach hello@maps.express; für den Versand setzen wir den E-Mail-Dienst Emailit (emailit.com) als Dienstleister ein. Nach der Anmeldung erhalten Sie eine Bestätigungs-E-Mail.

Sie können Ihre Einwilligung jederzeit widerrufen – über den Abmeldelink in jeder E-Mail oder formlos an hello@maps.express; Ihre Adresse löschen wir dann. Eine Weitergabe zu Werbezwecken findet nicht statt.

Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit sowie ein Widerspruchsrecht. Zusätzlich können Sie sich bei der zuständigen Aufsichtsbehörde beschweren – für uns ist das die Berliner Beauftragte für Datenschutz und Informationsfreiheit.

Stand und Änderungen

Stand: 6. November 2026. Wenn sich unsere Verarbeitung ändert, aktualisieren wir diese Erklärung an dieser Stelle.