Datenschutzerklärung

Fassung vom 25. Oktober 2026. Sie ersetzt die Fassung vom 13. Juni 2026.

Diese Erklärung beschreibt, welche personenbezogenen Daten Dive Base verarbeitet, wozu, auf welcher Rechtsgrundlage, wer sie erhält, wie lange wir sie speichern und welche Rechte Sie haben. Sie gilt für alles, was Dive Base betreibt: die Website divebase.io, die Betreiber-App app.divebase.io, den Anmeldedienst auth.divebase.io, die Schnittstelle api.divebase.io und die öffentlichen Buchungsseiten der Tauchbasen (book.divebase.io, app.divebase.io/book/… und auf den eigenen Websites der Tauchbasen eingebettete Buchungsseiten).

Sie folgt der Datenschutz-Grundverordnung (DSGVO, Artikel 13 und 14) und dem Bundesdatenschutzgesetz (BDSG). Gelten für Sie andere Datenschutzgesetze (zum Beispiel UK GDPR, das Schweizer DSG oder US-Gesetze), gelten die Rechte im Abschnitt Ihre Rechte so weit, wie diese Gesetze sie Ihnen geben. Die englische Fassung ist inhaltsgleich.

1. Verantwortlicher

Verantwortlich für die in Abschnitt 3 beschriebene Verarbeitung ist:

  • Adler Net UG (haftungsbeschränkt) i.L., vertreten durch den Liquidator Eli Ben Fayershtain
  • Courbierestraße 9, 10787 Berlin, Deutschland
  • E-Mail: info@divebase.io

Alle Unternehmensangaben finden Sie im Impressum. Einen Datenschutzbeauftragten haben wir nicht benannt, weil wir dazu nicht verpflichtet sind. Schreiben Sie mit jeder Datenschutzfrage an info@divebase.io.

2. Zwei Rollen: Über die Daten der Taucher entscheidet die Tauchbasis

Dive Base ist eine Software, mit der Tauchbasen („Betreiber“) ihr Geschäft führen. Daraus folgen zwei Rollen:

  • Dive Base ist Verantwortlicher für die Website divebase.io, für die Betreiberkonten (die Personen, die sich in der App anmelden) sowie für Betrieb, Sicherheit und Abrechnung der Plattform. Das beschreibt Abschnitt 3.
  • Die Tauchbasis ist Verantwortlicher für die Daten ihrer eigenen Kunden, Taucher, Schüler und Mitarbeiter: Buchungen, Haftungsausschlüsse, Brevets, Sicherheitsaufzeichnungen, Zahlungen und so weiter. Dive Base verarbeitet diese Daten nur im Auftrag und nach Weisung der Tauchbasis, auf Grundlage eines Auftragsverarbeitungsvertrags (Artikel 28 DSGVO). Abschnitt 4 beschreibt diese Verarbeitung, damit Sie wissen, was mit Ihren Daten geschieht. Fragen und Anträge dazu richten Sie bitte zuerst an die Tauchbasis; deren Impressum und Datenschutzerklärung sind unten auf ihrer Buchungsseite verlinkt. Wenden Sie sich stattdessen an uns, leiten wir Ihr Anliegen unverzüglich an die Tauchbasis weiter.

3. Verarbeitung, für die Dive Base verantwortlich ist

3.1 Besuch von divebase.io

Wenn Sie die Website aufrufen, verarbeiten unsere Server Ihre IP-Adresse, Datum und Uhrzeit, die aufgerufene Seite, die verweisende Seite und die Kennung Ihres Browsers. Das brauchen wir, um die Seiten auszuliefern und die Server zu schützen (berechtigtes Interesse, Artikel 6 Absatz 1 Buchstabe f DSGVO). Diese Einträge bleiben 14 Tage in den Server-Logs und werden dann gelöscht. Dasselbe gilt für Anfragen an app.divebase.io, api.divebase.io, auth.divebase.io und die Buchungsseiten.

Die Schriften auf unseren Seiten liefern wir von unserem eigenen Server aus. Es geht keine Anfrage an Google Fonts oder einen anderen Schriftdienst.

3.2 Reichweitenmessung auf divebase.io

  • Plausible Analytics (Plausible Insights OÜ, Västriku tn 2, 50403 Tartu, Estland) zählt Seitenaufrufe ohne Cookies und ohne IP-Adressen oder andere personenbezogene Daten zu speichern. Rechtsgrundlage: unser berechtigtes Interesse zu wissen, wie die Website genutzt wird (Artikel 6 Absatz 1 Buchstabe f DSGVO).
  • Google Analytics 4 (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) wird nur geladen, nachdem Sie im Cookie-Banner Analyse-Cookies zugestimmt haben. Es setzt Cookies und verarbeitet eine gekürzte IP-Adresse, Geräte- und Browserdaten und Ihre Interaktionen mit der Website. Daten können an Google LLC in den USA gelangen; Google ist nach dem EU-US Data Privacy Framework zertifiziert. Rechtsgrundlage: Ihre Einwilligung (Artikel 6 Absatz 1 Buchstabe a DSGVO und § 25 Absatz 1 TDDDG). Sie können sie jederzeit über „Cookie-Einstellungen“ im Fußbereich der Website widerrufen.

Einzelheiten stehen in der Cookie-Richtlinie. Die Betreiber-App und die Buchungsseiten verwenden keine Reichweitenmessung.

3.3 Formular für frühen Zugang

Wenn Sie das Formular für frühen Zugang absenden, speichern wir Ihre geschäftliche E-Mail-Adresse (Pflichtfeld) und, falls angegeben, Ihren Namen, Ihre Tauchbasis, Ihr Land und Ihre Nachricht, um Ihnen zu antworten und mit Ihnen über Dive Base zu sprechen (Artikel 6 Absatz 1 Buchstabe b DSGVO, vorvertragliche Maßnahmen, und Artikel 6 Absatz 1 Buchstabe f DSGVO). Wir speichern die Angaben, bis das Gespräch abgeschlossen ist und Sie nicht Kunde geworden sind, oder bis Sie die Löschung verlangen.

3.4 Betreiberkonten (app.divebase.io und auth.divebase.io)

Wenn sich eine Tauchbasis registriert oder ein Inhaber oder Admin ein Teammitglied einlädt, verarbeiten wir:

  • Vor- und Nachname, E-Mail-Adresse, Rolle in der Tauchbasis sowie Name, Land und Buchungsadresse der Tauchbasis;
  • ein Passwort, nur als gesalzener Hash gespeichert, nie im Klartext;
  • für die Zwei-Schritt-Anmeldung: das Geheimnis Ihrer Authenticator-App (verschlüsselt gespeichert) oder Einmalcodes per E-Mail;
  • für Passkeys: den öffentlichen Schlüssel, die Kennung und den Anmeldezähler Ihres Passkeys. Fingerabdruck, Gesicht oder Geräte-PIN verlassen Ihr Gerät nicht; wir erhalten sie nicht;
  • Sicherheitsdaten: Links zur Bestätigung der E-Mail-Adresse, zur Einladung und zum Zurücksetzen des Passworts (höchstens 24 Stunden gültig), ein Protokoll wichtiger Änderungen im Arbeitsbereich der Tauchbasis sowie Ihre IP-Adresse, die nur kurz im Arbeitsspeicher genutzt wird, um wiederholte Anmeldeversuche zu begrenzen, und sonst nur in den Anfrage-Logs des Gateways liegt (14 Tage, siehe Abschnitt 3.1).

Wurden Sie von Ihrer Tauchbasis eingeladen, haben wir Name, E-Mail-Adresse und Rolle von der einladenden Person erhalten (Artikel 14 DSGVO).

Zweck und Rechtsgrundlage: Erbringung des Dienstes, den die Tauchbasis gebucht hat (Artikel 6 Absatz 1 Buchstabe b DSGVO), und die Sicherheit der Konten und der Plattform (Artikel 6 Absatz 1 Buchstabe f DSGVO). Bei Teammitgliedern, die ihr Arbeitgeber einlädt, dient die Verarbeitung auch dem Beschäftigungsverhältnis zwischen ihnen und der Tauchbasis.

Supportzugriff. Bittet eine Tauchbasis um Hilfe, können Mitarbeiter von Dive Base ihren Arbeitsbereich in einer Support-Sitzung öffnen. Jede Support-Sitzung wird mit Person und Zeitpunkt protokolliert.

3.5 Abonnements und Abrechnung

Bei kostenpflichtigen Tarifen verarbeiten wir den Rechnungskontakt der Tauchbasis, den Tarif, Rechnungen und den Zahlungsstatus. Kartenzahlungen für Abonnements wickelt Stripe ab (Stripe Payments Europe Limited, 1 Grand Canal Street Lower, Dublin 2, Irland); vollständige Kartennummern sehen und speichern wir nie. Rechtsgrundlage: der Vertrag (Artikel 6 Absatz 1 Buchstabe b DSGVO) und unsere gesetzliche Pflicht zur Aufbewahrung von Buchhaltungsunterlagen (Artikel 6 Absatz 1 Buchstabe c DSGVO mit § 147 AO und § 257 HGB).

3.6 E-Mails, die wir versenden

Konto-E-Mails (Bestätigung, Anmeldecodes, Passwort zurücksetzen, Einladungen) und Buchungs-E-Mails von Tauchbasen, die keinen eigenen Mailserver eingerichtet haben, versenden wir von noreply@divebase.io über Microsoft 365 (Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland). Microsoft verarbeitet Empfängeradresse und Inhalt, um die E-Mail zuzustellen. Microsoft ist nach dem EU-US Data Privacy Framework zertifiziert und an die EU-Standardvertragsklauseln gebunden.

3.7 Cookies und Speicher in der App und auf Buchungsseiten

Die App nutzt nur, was sie zum Funktionieren braucht: ein Anmelde-Cookie (db_session, höchstens 12 Stunden gültig) und Einträge im lokalen Speicher Ihres Browsers für Ihr Anmelde-Token, Ihr Farbschema und auf Buchungsseiten Ihre Sprache. Diese sind für den von Ihnen gewünschten Dienst unbedingt erforderlich (§ 25 Absatz 2 Nummer 2 TDDDG); eine Einwilligung ist nicht nötig, und keiner dieser Einträge dient dem Tracking. Zeigt eine Buchungsseite die Kartenzahlung, kann das Zahlungsformular von Stripe eigene Cookies zur Betrugsvermeidung setzen; siehe Abschnitt 4.3.

4. Verarbeitung für Tauchbasen (Dive Base als Auftragsverarbeiter)

Die folgenden Daten gehören zu der Tauchbasis, bei der Sie buchen oder arbeiten. Die Tauchbasis entscheidet, wozu und wie lange sie verarbeitet werden; Dive Base speichert und verarbeitet sie für die Tauchbasis, wie im Auftragsverarbeitungsvertrag beschrieben. Welche Daten erhoben werden, hängt davon ab, wie die Tauchbasis Dive Base nutzt.

4.1 Taucher, Schüler und Kunden

  • Kontakt- und Profildaten: Name, E-Mail, Telefon, Geburtsdatum, Land, Sprache;
  • Buchungen, Warenkörbe, Gutscheine, Geschenkkarten, Wartelisten, Ihre Bewertungen und E-Mails zu Ihrer Buchung;
  • Tauchdaten: Ausbildungsorganisation, Stufe, Brevetnummer und Prüfstatus, Anzahl der Tauchgänge, Kursfortschritt, Ausrüstungsgrößen und Gewicht für Leihausrüstung;
  • Haftungsausschlüsse, die Sie unterschreiben: Ihre (nicht medizinischen) Antworten, Name und Unterschrift sowie zum Manipulationsschutz Zeitpunkt, IP-Adresse, Browserkennung und ein Gerätefingerabdruck; bei Minderjährigen auch Name, Beziehung und Unterschrift des Erziehungsberechtigten;
  • Gesundheitsdaten (besondere Kategorie, Artikel 9 DSGVO): Nutzt die Tauchbasis einen medizinischen Fragebogen, speichern wir Ihre Antworten nicht. Wir speichern nur das Ergebnis (freigegeben, ärztliche Freigabe nötig oder nicht freigegeben), die Zahl der mit Ja beantworteten Fragen und den Gültigkeitszeitraum. Kommt es bei einem Tauchgang zu einem Vorfall, kann die Tauchbasis einen Vorfallbericht mit Tauchdaten, Symptomen, Erster Hilfe und Ausgang erfassen;
  • Notizen, die die Tauchbasis über Sie schreibt.

4.2 Mitarbeiter der Tauchbasis

Name, Kontaktdaten, Rollen, Sprachen, Qualifikationen (Tauchen, Erste Hilfe, Bootsführerscheine), Versicherungen, Arbeitserlaubnisse, Verfügbarkeit, Dienstpläne, Einsätze, Abwesenheiten und Krankmeldungen, die die Tauchbasis zur Planung ihres Betriebs erfasst.

4.3 Online-Zahlungen auf Buchungsseiten

Zahlen Sie online bei einer Tauchbasis, wickelt der von der Tauchbasis gewählte Zahlungsanbieter (zum Beispiel Stripe, PayPal, Mollie oder Xendit) die Zahlung über das eigene Konto der Tauchbasis ab. Kartendaten geben Sie direkt in das gesicherte Formular des Anbieters ein; sie erreichen die Server von Dive Base nie. Wir speichern Status, Betrag, Währung und die Referenz des Anbieters. Das Formular von Stripe wird von js.stripe.com geladen und kann Cookies zur Betrugsvermeidung setzen; dafür gilt die Datenschutzerklärung von Stripe.

4.4 Rechtsgrundlage

Für diese Daten muss die Tauchbasis eine Rechtsgrundlage haben, meist den Buchungs- oder Arbeitsvertrag (Artikel 6 Absatz 1 Buchstabe b DSGVO), gesetzliche Pflichten (Artikel 6 Absatz 1 Buchstabe c DSGVO), ihr berechtigtes Interesse an sicherem Tauchen (Artikel 6 Absatz 1 Buchstabe f DSGVO) und für Gesundheitsdaten Ihre ausdrückliche Einwilligung (Artikel 9 Absatz 2 Buchstabe a DSGVO). Mehr dazu steht in der Datenschutzerklärung der Tauchbasis, die auf ihrer Buchungsseite verlinkt ist.

5. Empfänger

Wir verkaufen keine personenbezogenen Daten und nutzen sie nicht für Werbung. Wir geben sie nur weiter, soweit es nötig ist:

  • Hosting: Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland (Server in Nürnberg: Anwendung, Schnittstelle und Datenbank); IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, Deutschland (Server in Berlin: Website und das Gateway vor der App sowie eine verschlüsselte Kopie der nächtlichen Sicherungen). Die Verbindungen zwischen unseren Servern laufen über unser eigenes verschlüsseltes privates Netz.
  • E-Mail: Microsoft Ireland Operations Limited (Abschnitt 3.6).
  • Zahlungen: Stripe Payments Europe Limited für Abonnements (Abschnitt 3.5); auf Buchungsseiten der von der Tauchbasis gewählte Zahlungsanbieter (Abschnitt 4.3).
  • Nur auf divebase.io, Reichweitenmessung: Plausible Insights OÜ und mit Ihrer Einwilligung Google Ireland Limited (Abschnitt 3.2).
  • Die Tauchbasis, bei der Sie buchen oder arbeiten, erhält die Daten, die sie für Ihre Buchung oder Ihre Arbeit braucht.
  • Behörden und Gerichte, nur wenn wir gesetzlich dazu verpflichtet sind.

Unsere Dienstleister handeln nach unseren schriftlichen Weisungen auf Grundlage von Auftragsverarbeitungsverträgen.

6. Übermittlung in Länder außerhalb der EU

Alle Plattformdaten liegen in Deutschland. In die USA können Daten nur über Google Analytics (mit Ihrer Einwilligung), Microsoft und Stripe gelangen. Diese Unternehmen sind nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023); zusätzlich gelten die EU-Standardvertragsklauseln.

7. Speicherdauer

  • Server-Logs: 14 Tage.
  • Sicherungen: Die gesamte Datenbank wird jede Nacht verschlüsselt gesichert. Jede Sicherung bleibt 14 Tage auf dem Anwendungsserver in Nürnberg und 30 Tage auf einem zweiten Server in Berlin und wird dann gelöscht. Daten, die Sie oder eine Tauchbasis löschen, sind daher spätestens nach 30 Tagen aus allen Sicherungen verschwunden.
  • Anmelde-Token: höchstens 12 Stunden; Passkey-Challenges 5 Minuten; Links zur Bestätigung, Einladung und zum Zurücksetzen des Passworts höchstens 24 Stunden.
  • Betreiberkonten: solange die Tauchbasis Dive Base nutzt. Ein Inhaber oder Admin kann das Konto eines Teammitglieds jederzeit sperren.
  • Nach Ende des Vertrags einer Tauchbasis wird ihr Arbeitsbereich zuerst archiviert und dann mit allen enthaltenen Daten gelöscht [von Dive Base zu bestätigen: Frist bis zur Löschung nach Vertragsende], sofern die Tauchbasis die Daten nicht vorher exportiert oder ihre Löschung verlangt hat.
  • Rechnungen und Buchhaltungsunterlagen: so lange, wie es das deutsche Handels- und Steuerrecht verlangt (bis zu 10 Jahre, § 147 AO und § 257 HGB).
  • Anfragen für frühen Zugang: bis das Gespräch abgeschlossen ist oder Sie die Löschung verlangen.
  • Daten, die wir für eine Tauchbasis verarbeiten (Abschnitt 4): nach Weisung der Tauchbasis; bei Ende unseres Vertrags mit der Tauchbasis gelöscht, wie im Auftragsverarbeitungsvertrag beschrieben.

8. Sicherheit

Alle Verbindungen sind per HTTPS (TLS) verschlüsselt. Die Datenbank ist nur von unseren eigenen Servern erreichbar. Passwörter speichern wir als gesalzene Hashes; Authenticator-Geheimnisse und Schlüssel von Zahlungsanbietern verschlüsselt. Die nächtlichen Datenbanksicherungen werden verschlüsselt (age, Public-Key-Verschlüsselung), bevor sie den Datenbankserver verlassen; der Schlüssel zum Lesen liegt offline, auf keinem Server. Zugriff auf die Produktivsysteme haben nur die Personen, die Dive Base betreiben, mit persönlichen Schlüsseln. Unsere Seiten senden eine strenge Content Security Policy, und die Betreiber-App kann nicht in fremde Websites eingebettet werden.

9. Ihre Rechte

Nach der DSGVO haben Sie das Recht auf:

  • Auskunft über die Daten, die wir über Sie speichern (Artikel 15);
  • Berichtigung falscher Daten (Artikel 16);
  • Löschung (Artikel 17);
  • Einschränkung der Verarbeitung (Artikel 18);
  • Datenübertragbarkeit (Artikel 20);
  • Widerspruch jederzeit, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, gegen Verarbeitungen auf Grundlage unseres berechtigten Interesses (Artikel 21);
  • Widerruf einer Einwilligung jederzeit mit Wirkung für die Zukunft (Artikel 7 Absatz 3);
  • Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Artikel 77). Für uns zuständig ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59-61, 10555 Berlin, www.datenschutz-berlin.de. Sie können sich auch an die Behörde an Ihrem Wohn- oder Arbeitsort wenden.

Schreiben Sie an info@divebase.io. Für Daten, über die eine Tauchbasis entscheidet (Abschnitt 4), beantwortet die Tauchbasis Ihr Anliegen; wir unterstützen sie dabei.

Wir treffen keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung (Artikel 22). Das Ergebnis des medizinischen Fragebogens in Abschnitt 4.1 folgt der festen Regel des Fragebogens (jedes Ja braucht eine ärztliche Freigabe); ob Sie tauchen dürfen, entscheiden die Tauchbasis und Ihr Arzt.

10. Müssen Sie uns Daten geben?

Sie müssen Dive Base nicht nutzen. Für ein Betreiberkonto brauchen wir Namen, E-Mail-Adresse und Passwort; ohne sie können wir kein Konto bereitstellen. Welche Angaben eine Tauchbasis für eine Buchung braucht, entscheidet die Tauchbasis.

11. Kinder

Betreiberkonten sind für Erwachsene, die für eine Tauchbasis handeln. Buchungen und Haftungsausschlüsse für Minderjährige erfolgen durch Eltern oder Erziehungsberechtigte über die Tauchbasis.

12. Änderungen

Ändert sich diese Erklärung, veröffentlichen wir die neue Fassung hier mit Datum und halten frühere Fassungen bereit. Die vorige Fassung ist die Fassung vom 13. Juni 2026.

13. Kontakt

E-Mail an info@divebase.io oder Post an Adler Net UG (haftungsbeschränkt) i.L., Courbierestraße 9, 10787 Berlin, Deutschland.

Zur Startseite