Datenschutzerklärung

1. Verantwortlicher und Kontakt

Verantwortlicher für deine personenbezogenen Daten (im Sinne der DSGVO) ist:

• Rafał Wasil, Einzelunternehmer unter der Firma WASIL RAFAŁ
• Anschrift: ul. Rezydencka 11, Grzepnica, 72-003 Dobra (Szczecińska), Polen
• Steuernummer (NIP): 8512906989 · REGON: 320846551 · eingetragen im CEIDG (Polen)
• Hilfe: support@gridhunt.app
• Datenschutzangelegenheiten: privacy@gridhunt.app
• Adresse für elektronische Zustellungen (Polen): AE:PL-37059-17121-TTEWJ-25

Einen Datenschutzbeauftragten haben wir nicht benannt (dazu sind wir nicht verpflichtet). Bei allen Fragen zu deinen Daten schreib an privacy@gridhunt.app. Diese Erklärung gilt für gridhunt.app, die Apps für iPhone und Apple Watch, die Connect-IQ-Apps (Garmin), die Karoo-Erweiterung und die in den Nutzungsbedingungen beschriebenen Integrationen.

2. Welche Daten wir verarbeiten

• Konto: dein Name oder Anzeigename, deine E-Mail-Adresse, dein Profilbild (Bildadresse vom Anmeldeanbieter), deine Sprache, die Kennung deines Anmeldeanbieters (Strava, Apple, Google, Facebook) sowie deine Einstellungen und Einwilligungen (mit Datum). Andere sehen den Anzeigenamen, den du in Gridhunt festlegst (siehe Strava-Daten und öffentliche Funktionen).
• Aktivitäten: Name, Sportart, Datum, Distanz und GPS-Track. Aus dem Track berechnen wir die eroberten Kacheln und speichern eine vereinfachte Route, die wir dir anzeigen. Die rohen GPS-Punkte von Aktivitäten, die aus anderen Diensten importiert wurden, löschen wir nach der Verarbeitung. Bei Fahrten, die mit der Gridhunt-App auf dem iPhone aufgezeichnet wurden, behalten wir die Originaldatei (GPX), damit sie erneut verarbeitet oder an Strava gesendet werden kann. Zu jeder Aktivität speichern wir ihre Quelle (z. B. Strava API, hochgeladene Datei, Aufzeichnung in der Gridhunt-App, verbundene App), denn davon hängt ab, wo die Aktivität gezeigt werden darf.
• Ziele und Routen: Gebiete, die du erobern willst, und geplante Routen (GPX-Dateien).
• Integrationen: deine Konto-ID und dein Name im verbundenen Dienst, der gewährte Zugriffsumfang und die Zugriffstokens (verschlüsselt). Deine Passwörter für diese Dienste kennen wir nicht. Eine Ausnahme ist die aktuelle komoot-Verbindung: Du gibst dein Passwort einmal ein; es dient nur dazu, einen Token zu erhalten, und wird nie gespeichert.
• Geräte: der Name eines gekoppelten Geräts (Garmin, Karoo, Wahoo), der Zeitpunkt der letzten Verbindung und ein Hash seines Tokens. Während einer Fahrt sendet das Gerät seine aktuelle Position, um die Kacheln in deiner Umgebung abzurufen; diese Position speichern wir nicht.
• Community: Freundschaften, Meldungen „unerreichbarer“ Kacheln, Abstimmungen, Kommentare und Fotos (mit EXIF-Metadaten, die Ort und Zeit der Aufnahme enthalten können) sowie deine Einstellungen für Rangliste und öffentlichen Link.
• Premium: deine Stripe-Kunden- und Abo-IDs, Plan, Status, Zeitraum, Land, Beträge und Belege. Deine Kartendaten sehen wir nie.
• Technische und Sicherheitsdaten: Ereignisprotokolle (Anmeldungen, Änderungen an Einstellungen, Zahlungen) mit IP-Adresse, Zähler zur Missbrauchsverhinderung (E-Mail-Adresse, IP) und Serverprotokolle.
• Kontakt: der Inhalt von Nachrichten, die du uns schickst (Hilfe, Reklamationen, DSGVO-Anfragen).
• Fehlerberichte und Meldungen: Tritt in der Gridhunt-App oder auf der Website ein Fehler auf, senden wir mit deiner Einwilligung einen technischen Bericht: Fehlertyp, Stacktrace, App-Version, Geräte- oder Browsermodell, Systemversion und deine letzten Schritte in der App (z. B. geöffnete Bildschirme). Der Bericht enthält nicht deine E-Mail-Adresse; E-Mail-Adressen, Tokens und Koordinaten entfernen wir automatisch. Position und Status der Fahrt fügen wir nur hinzu, wenn du „Fahrtkontext anhängen“ auswählst. Du entscheidest jedes Mal oder einmalig in den Einstellungen → Datenschutz („fragen / immer / nie“). Mit deinem Konto verknüpfen wir einen Bericht nur auf deinen Wunsch; dann siehst du seinen Status unter „Meine Meldungen“. Meldungen, die du selbst sendest (Beschreibung, Gerätedaten, optionaler Screenshot), verarbeiten wir ebenso; einen Screenshot geben wir dem Team nur mit deiner Einwilligung als Anhang weiter. Rechtsgrundlage für Fehlerberichte: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit in den Einstellungen widerrufen kannst; für Meldungen: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

3. Woher die Daten stammen

Die meisten Daten gibst du selbst an, oder sie entstehen, wenn du Gridhunt nutzt. Manche stammen aus Diensten, die du selbst verbindest:

• Anmeldung: Strava, Apple, Google und Facebook übermitteln uns deinen Namen, deine E-Mail-Adresse (sofern sie sie weitergeben), dein Profilbild und eine Kennung.
• Aktivitäten: (1) deine Strava-Verbindung über die Strava API (automatischer Import, nachdem du dein Konto verbunden hast); (2) Dateien und Archive, die du hochlädst (GPX, FIT, TCX, ZIP), auch ein aus Strava oder Garmin Connect exportiertes Kontoarchiv; (3) in den Gridhunt-Apps aufgezeichnete Fahrten (iPhone, Apple Watch, künftig Android); (4) andere verbundene Apps: Wahoo, Garmin Connect, Suunto, COROS, Polar, Ride with GPS (einige Integrationen sind in Vorbereitung); (5) komoot. Hochgeladene Dateien löschen wir nach der Verarbeitung, spätestens nach 7 Tagen; die daraus berechneten Aktivitäten und Kacheln bleiben.
• App für iPhone und Apple Watch: der GPS-Track einer aufgezeichneten Fahrt (auch im Hintergrund, während du aufzeichnest) sowie Fotos aus der Kamera oder Mediathek, wenn du eine Kachel meldest. Die Watch-App liest deine Herzfrequenz aus Apple Health (HealthKit), um sie während der Fahrt anzuzeigen, und speichert das Training in Apple Health. HealthKit-Daten, einschließlich der Herzfrequenz, senden wir nicht an unsere Server.
• Garmin- und Karoo-Geräte: Sie laden nur Daten von Gridhunt herunter (Kacheln, Ziel, Routen, deinen Vornamen und die Initiale deines Nachnamens); Aktivitäten laden sie nicht hoch.

4. Zwecke und Rechtsgrundlagen

• Bereitstellung des Dienstes (Konto, Anmeldung per E-Mail-Link oder Anbieter, Zählen der Kacheln, Karte, Ziele, Planer, Freunde, Geräte, Integrationen, Export und Löschung von Daten, Hilfe): Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO.
• Premium und Zahlungen (Abo, Testzeitraum, Berechtigungen): Vertragserfüllung, Art. 6 Abs. 1 lit. b. Reklamationen, Widerrufe, steuer- und handelsrechtliche Pflichten: rechtliche Verpflichtung, Art. 6 Abs. 1 lit. c DSGVO.
• Quadrat-Rangliste und Hilfe für andere im Planer: deine Einwilligung (du aktivierst sie in den Einstellungen), Art. 6 Abs. 1 lit. a DSGVO; du widerrufst sie, indem du die Option ausschaltest.
• Analyse mit Cookies (Google Analytics 4, Microsoft Clarity) und Werbesignale von Google: Einwilligung, Art. 6 Abs. 1 lit. a DSGVO.
• Sicherheit, Verhinderung von Missbrauch und Schummeln in der Rangliste, Moderation von Inhalten (DSA), Statistiken ohne Cookies, Geltendmachung und Abwehr von Rechtsansprüchen: unsere berechtigten Interessen, Art. 6 Abs. 1 lit. f DSGVO.

5. Wer deine Daten sehen kann

Standardmäßig nur du. Anderen zeigen wir deine Daten nur in den folgenden Fällen, die du selbst aktivierst:

• Freunde (nachdem beide Seiten angenommen haben): deine eroberten Kacheln (z14 und z17), die Anzahl deiner Aktivitäten sowie die Zahl deiner Fahrten und Kilometer pro Jahr. Routen, Daten und Ziele sehen sie nicht. Du kannst eine Freundschaft jederzeit beenden.
• Quadrat-Rangliste („Mich in der Quadrat-Rangliste zeigen“): Angemeldete Nutzer sehen deinen Anzeigenamen (siehe unten), deinen Avatar, Größe und Lage von bis zu 10 deiner Quadrate und die Kacheln darin. Routen und Daten sehen sie nicht. Den Ortsnamen für den Mittelpunkt jedes Quadrats ermitteln wir über OpenStreetMap Nominatim und übermitteln dabei nur Koordinaten. Wenn du die Option ausschaltest, wirst du sofort aus der Rangliste entfernt. Bedenke, dass die Lage eines Quadrats verraten kann, in welcher Gegend du wohnst oder trainierst.
• Hilfe für andere im Planer: Andere erfahren nur, dass „jemand“ durch eine Kachel gefahren ist, die in OpenStreetMap ein Hindernis ist, niemals deinen Namen, deine Routen oder Daten. Wenn du die Option ausschaltest, wird dein Beitrag entfernt.
• Öffentlicher Link (Einstellungen → Teilen): Alle, die den Link haben, sehen deinen Anzeigenamen, deine eroberten z14-Kacheln nach Jahren und deine Ziele (Name und Umriss). Routen und z17-Kacheln sehen sie nicht. Der Link läuft nicht von selbst ab und wird von Suchmaschinen nicht indexiert. Wenn du ihn ausschaltest, wird er gelöscht; wenn du ihn neu erzeugst, entsteht ein neuer Link.
• Meldungen „unerreichbarer“ Kacheln, Kommentare und Fotos sehen alle angemeldeten Nutzer, zusammen mit deinem Namen und Avatar.
• Freundschaftseinladungen: Alle, die deinen Einladungslink haben, sehen deinen Anzeigenamen.

Nur Daten außerhalb der Strava API. Alles oben Beschriebene berechnen wir ausschließlich aus Aktivitäten, die nicht über die Strava API kamen. Über die Strava API abgerufene Daten zeigen wir niemand anderem, in keiner Form, auch nicht, wenn diese Optionen aktiviert sind (siehe Strava-Daten und öffentliche Funktionen). Andere sehen den Anzeigenamen, den du in Gridhunt festlegst, nie den Namen oder das Profilbild aus deinem Strava-Konto. Video-Reels erstellt dein Browser oder dein Handy; sie erreichen unsere Server nie.

Administrativen Zugriff hat nur der Anbieter des Dienstes. Den GPS-Track einer Aktivität sehen wir uns nur an, wenn die Aktivität automatisch markiert wurde, weil sie durch eine als unerreichbar gemeldete Kachel führt; jeder solche Zugriff wird protokolliert. Ob die Aktivität ausgeschlossen wird, entscheidet ein Mensch.

6. Strava-Daten und öffentliche Funktionen

Wir speichern die Quelle jeder Aktivität. Sie bestimmt, wer die daraus berechneten Kacheln sehen darf.

• Strava API: nur für dich. Aktivitäten, die nach dem Verbinden deines Strava-Kontos automatisch importiert werden, und die daraus berechneten Kacheln und Routen zeigen wir nur dir: auf deiner Karte, in deinen Statistiken, im Planer, bei deinen Fahrten und in Reels, die auf deinem Gerät entstehen. Wir verwenden sie nie für die Quadrat-Rangliste, Freundesfunktionen, deinen öffentlichen Link, Community-Daten (Hilfe für andere im Planer) oder Marketingmaterial. Das verlangen die Regeln der Strava API.
• Öffentliche Quellen. Funktionen, die anderen etwas zeigen, nutzen nur Dateien und Archive, die du hochlädst (auch ein aus Strava oder Garmin Connect exportiertes ZIP-Archiv), in den Gridhunt-Apps aufgezeichnete Fahrten, Geräte und andere verbundene Apps (z. B. Wahoo, Garmin, Ride with GPS, komoot). Sie funktionieren nur, wenn du sie aktivierst (siehe Wer deine Daten sehen kann).
• Eine Fahrt, eine Kopie. Kommt dieselbe Fahrt aus mehreren Quellen, behalten wir eine Kopie in dieser Reihenfolge: Aufzeichnung in der Gridhunt-App, Garmin-Gerät (Connect IQ), hochgeladene Datei oder Archiv, andere verbundene Apps, komoot und zuletzt die Strava API. Eine Aktivität aus einem Strava-ZIP-Archiv ersetzt dieselbe, zuvor über die Strava API abgerufene Aktivität.
• Strava API: höchstens 7 Tage. Eine über die Strava API abgerufene Aktivität und die daraus berechneten Kacheln und Strecken speichern wir höchstens 7 Tage ab dem Abruf. Danach löschen wir sie, es sei denn, du importierst dieselbe Aktivität selbst (ZIP-Archiv oder Datei) oder zeichnest sie in der Gridhunt-App auf – dann bleibt deine Kopie aus dieser Quelle erhalten. Löschst du eine Aktivität auf Strava, entfernen wir nur die über die Strava API abgerufene Kopie, nie eine Kopie, die du selbst hochgeladen hast.
• Deine Strava-Historie öffentlich machen. Wenn deine bisherigen Strava-Aktivitäten in der Rangliste und bei Freunden zählen sollen, lade bei Strava dein Kontoarchiv herunter und lade die ZIP-Datei in Gridhunt hoch. Schritt-für-Schritt-Anleitung: Datenquellen.
• Öffentlicher Name. Andere sehen den Anzeigenamen, den du in Gridhunt festlegst. Hast du keinen festgelegt, zeigen wir den Namen aus einer anderen Anmeldemethode (E-Mail, Apple, Google, Facebook) nur, wenn du Strava nicht verbunden hast; sonst eine neutrale Bezeichnung mit Nummer. Namen und Profilbild aus deinem Strava-Konto zeigen wir anderen nie.

7. Empfänger der Daten

Auftragsverarbeiter, die in unserem Auftrag handeln (auf Grundlage von Auftragsverarbeitungsverträgen):

• Microsoft Ireland Operations Ltd. (Azure): Server, Datenbank, Dateispeicher, Key Vault (Verschlüsselungsschlüssel), Protokolle und Monitoring (Application Insights) sowie der Versand von E-Mails mit Anmeldelinks (Azure Communication Services). Region: West Europe (Niederlande); Speicherort der E-Mail-Daten: Europa.
• Cloudflare, Inc. (USA): DNS, CDN, Schutz vor Angriffen (WAF) und Cloudflare Web Analytics. Der Datenverkehr zur Website, einschließlich deiner IP-Adresse, läuft über Cloudflare.
• Google Ireland Ltd. (Google Analytics 4) und Microsoft Ireland Operations Ltd. (Clarity): nur mit deiner Einwilligung, siehe Cookies.
• Microsoft Ireland Operations Ltd. (Azure DevOps): Bearbeitung von Fehlern und Meldungen durch das Team. Übermittelt werden die technische Fehlerbeschreibung bzw. der Text der Meldung, die Anzahl der Vorkommen und eine interne Kennung, ohne deinen Namen, deine E-Mail-Adresse und ohne den Rohbericht.

Eigenständige Verantwortliche (die Daten nach ihren eigenen Bedingungen verarbeiten):

• Stripe: Stripe Payments Europe, Ltd. (Irland) und Sold through Link, LLC (USA) im Rahmen von Stripe Managed Payments. Sie wickeln Zahlung, Steuern, Belege, Betrugsprävention und den Support zur Transaktion ab. Wir übermitteln ihnen deine E-Mail-Adresse, deinen Namen, deine Nutzer-ID und deine Sprache; deine Kartendaten gibst du direkt bei Stripe ein. Datenschutzhinweise: stripe.com/privacy, link.com/privacy.
• Dienste, die du verbindest: Strava, komoot, Wahoo, Garmin, Suunto, COROS, Polar, Ride with GPS und Anmeldeanbieter (Apple, Google, Meta/Facebook). Auf deinen Wunsch senden wir ihnen Daten (z. B. eine Fahrt an Strava oder eine Route an Wahoo) und rufen Aktivitäten von ihnen ab.
• Apple (App Store, Apple Health auf deinem Gerät) und Garmin (Connect IQ Store): nach ihren eigenen Bedingungen.

Kartendienste: Dein Browser lädt Kartenkacheln von OpenFreeMap (tiles.openfreemap.org), das deine IP-Adresse und den angezeigten Kartenausschnitt sieht. Unser Server fragt OpenStreetMap Nominatim nach Ortsnamen und Overpass-API-Server nach Straßendaten und übermittelt dabei nur Koordinaten oder ein Gebiet, nichts über dich. Das Routing (BRouter) läuft auf unserem eigenen Server. Avatare von Google, Facebook oder Strava lädt dein Browser direkt von den Servern dieser Unternehmen.

Wir können Daten außerdem an Behörden weitergeben, wenn das Gesetz es verlangt, sowie an Berater (Steuerberater, Rechtsanwälte), die zur Verschwiegenheit verpflichtet sind.

8. Übermittlungen außerhalb des EWR

Unsere Server stehen in der EU. Daten können über Cloudflare, Google, Microsoft (Clarity), Stripe/Link und die von dir verbundenen Dienste in Länder außerhalb des Europäischen Wirtschaftsraums gelangen, vor allem in die USA. Rechtsgrundlage ist der Angemessenheitsbeschluss der Europäischen Kommission (EU-US Data Privacy Framework, sofern der Empfänger zertifiziert ist) oder Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Informationen zu den Garantien schicken wir dir auf Anfrage. Wenn du einen Dienst mit Sitz außerhalb des EWR verbindest, erfolgt die Übermittlung auf deinen Wunsch im Rahmen deines Vertrags mit diesem Dienst.

9. Wie lange wir Daten speichern

• Konto, Aktivitäten, Kacheln, Ziele, Routen, Freundschaften: bis du dein Konto löschst. Konten löschen wir sofort, ohne Karenzzeit. Backups von Datenbank und Dateien verfallen nach 7 Tagen.
• Strava-Daten: Wenn du Gridhunt trennst (in den Gridhunt-Einstellungen oder bei Strava), löschen wir alle über die Strava API abgerufenen Aktivitäten und die daraus berechneten Daten (Kacheln, Routen). Aktivitäten aus Dateien, die du selbst hochgeladen hast (auch aus einem Strava-ZIP-Archiv), und in Gridhunt aufgezeichnete Fahrten bleiben, bis du sie oder dein Konto löschst. Ansonsten löschen wir über die Strava API abgerufene Aktivitäten spätestens 7 Tage nach dem Abruf und eine auf Strava gelöschte Aktivität sofort (nur die Kopie aus der Strava API).
• Andere Integrationen: Wenn du sie trennst, entziehen wir den Zugriff und löschen die Tokens; importierte Aktivitäten bleiben, bis du sie oder dein Konto löschst.
• Hochgeladene Dateien: nach der Verarbeitung gelöscht, spätestens nach 7 Tagen.
• Kachelmeldungen und Kommentare: bleiben nach der Kontolöschung ohne deinen Namen und Avatar erhalten; Fotos werden gelöscht.
• Sicherheitsprotokolle mit IP-Adresse: 12 Monate; Zähler zur Missbrauchsverhinderung: bis zu 30 Tage; Serverprotokolle: 30 Tage.
• Abo-Daten: bei uns bis zur Kontolöschung; Stripe/Link bewahrt Belege und Transaktionsdaten so lange auf, wie das Steuerrecht es verlangt.
• Korrespondenz und Reklamationen: bis zu 3 Jahre nach Abschluss der Angelegenheit (Abwehr von Ansprüchen).
• Analyse: Google Analytics 14 Monate; Clarity: Aufzeichnungen bis zu 30 Tage, aggregierte Daten bis zu 13 Monate.
• Fehlerberichte: Rohberichte 90 Tage; alle mit deinem Konto verknüpften Berichte löschen wir zusammen mit dem Konto. Meldungen: solange der Fall offen ist, danach wie Korrespondenz; nach Löschung des Kontos bleiben sie ohne Bezug zu dir erhalten.

10. Deine Rechte

Du hast das Recht auf Auskunft über deine Daten und auf eine Kopie, auf Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit, auf Widerspruch gegen eine Verarbeitung auf Grundlage unserer berechtigten Interessen und darauf, eine Einwilligung jederzeit zu widerrufen (ohne dass die Rechtmäßigkeit der bisherigen Verarbeitung berührt wird).

• Selbst: In den Einstellungen kannst du deine Daten herunterladen (eine JSON-Datei mit Profil, Aktivitäten, Kacheln, Zielen, Freunden und Abo), sie berichtigen, Integrationen trennen, die Rangliste, die Hilfe im Planer und den öffentlichen Link ausschalten und dein Konto löschen.
• Per E-Mail: an privacy@gridhunt.app; wir antworten innerhalb eines Monats. Wir können dich bitten, zu bestätigen, dass die Anfrage vom Kontoinhaber stammt.
• Beschwerde: bei der polnischen Aufsichtsbehörde, dem Präsidenten des Amts für den Schutz personenbezogener Daten (UODO, ul. Stawki 2, 00-193 Warschau, uodo.gov.pl), oder bei der Datenschutzaufsichtsbehörde in deinem Land. In Deutschland ist das die Datenschutzaufsichtsbehörde deines Bundeslandes; eine Übersicht bietet die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (bfdi.bund.de).

Die Angabe von Daten ist freiwillig. Ohne E-Mail-Adresse oder Konto bei einem Anmeldeanbieter kannst du aber kein Konto anlegen, und ohne Aktivitäten können wir keine Kacheln zählen.

11. Cookies und ähnliche Technologien

Notwendig (ohne Einwilligung; Art. 6 Abs. 1 lit. b und f DSGVO sowie Art. 5 Abs. 3 der ePrivacy-Richtlinie):

• Anmeldesitzung (authjs.session-token, bis zu 30 Tage) und Absicherung der Anmeldung (authjs.csrf-token, authjs.callback-url, Sitzungscookies);
• Sprache (NEXT_LOCALE, 12 Monate) und deine Cookie-Auswahl (gh_consent, 6 Monate);
• kurzlebige Cookies zum Verbinden von Integrationen (gh_*_oauth, 10 Minuten);
• lokaler Speicher des Browsers (localStorage) für Ansichtseinstellungen, z. B. im Planer und bei Reels.

Analyse, nur mit deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO):

• Google Analytics 4 (Google Ireland Ltd.): Statistiken zu Besuchen und Ereignissen (z. B. Registrierung, Verbinden einer App, Erstellen eines Reels, Premium-Kauf mit Betrag und Währung, Sprachwechsel), ohne deinen Namen, deine E-Mail-Adresse oder deine Routen. Seitenadressen werden ohne Parameter und Kennungen übermittelt, IP-Adressen werden gekürzt. Cookies _ga, _ga_* bis zu 13 Monate; gh_ae (5 Minuten) übermittelt ein Anmeldeereignis. Wir nutzen den Google Consent Mode v2, bei dem die Einwilligung standardmäßig verweigert ist.
• Microsoft Clarity (Microsoft Ireland Operations Ltd.): Heatmaps und Aufzeichnungen von Interaktionen ausschließlich auf öffentlichen Seiten (Startseite, Preise, Anmeldung, Rechtstexte), mit Maskierung der Inhalte. In der angemeldeten App läuft Clarity nicht. Cookies _clck (bis zu 1 Jahr) und _clsk (1 Tag).

Marketing: Wir setzen keine Werbe-Tools ein. Die Einwilligung „Marketing“ aktiviert nur die Werbesignale von Google in GA4 (Google Signals, personalisierte Werbung). Bevor wir andere Tools einsetzen, aktualisieren wir diese Erklärung und bitten um deine Einwilligung.

Statistiken ohne Cookies (berechtigtes Interesse): Cloudflare Web Analytics, also aggregierte Daten zu Zugriffen und Ladezeiten, ohne Cookies, ohne Kennungen und ohne seitenübergreifendes Tracking.

Die Zahlungsseite von Stripe/Link läuft auf der Domain von Stripe und verwendet eigene Cookies (es gilt die Datenschutzerklärung von Stripe).

Du kannst deine Einwilligung jederzeit ändern oder widerrufen: Cookie-Einstellungen. Die Schaltfläche findest du auch in der Fußzeile und in den Einstellungen. Nach dem Widerruf löschen wir die Analyse-Cookies. Du kannst Cookies auch in deinem Browser blockieren, ohne die notwendigen Cookies kannst du dich aber nicht anmelden.

12. Sicherheit

Verbindungen sind verschlüsselt (HTTPS), und gespeicherte Daten sind im Ruhezustand verschlüsselt. Tokens für Strava und andere Dienste sind zusätzlich verschlüsselt (AES-256-GCM), mit einem Schlüssel in Azure Key Vault. Geräte-Tokens und Kopplungscodes speichern wir nur als Hashes. Gridhunt-Passwörter gibt es nicht, denn du meldest dich per E-Mail-Link oder über einen Anbieter an. Der administrative Zugriff ist beschränkt und wird protokolliert. Wenn eine Verletzung des Schutzes personenbezogener Daten ein Risiko für dich darstellt, benachrichtigen wir dich und die Aufsichtsbehörde, wie es die DSGVO verlangt.

13. Kinder

Gridhunt ist für Personen ab 16 Jahren. Wir erheben nicht wissentlich Daten von jüngeren Kindern; erfahren wir davon, löschen wir das Konto. Wenn du ein Elternteil bist und glaubst, dass dein Kind ein Konto angelegt hat, schreib an privacy@gridhunt.app.

14. Profiling, KI und Datenverkauf

• Wir treffen keine ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidungen über dich, die dir gegenüber rechtliche Wirkung entfalten oder dich in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO). Der einzige automatisierte Schritt ist die Markierung von Aktivitäten zur Prüfung durch einen Menschen (siehe oben).
• Wir nutzen deine Daten nicht zum Training von KI-Modellen und geben sie zu diesem Zweck nicht an andere weiter.
• Wir verkaufen keine personenbezogenen Daten und geben sie nicht an Werbetreibende oder Datenhändler weiter.

15. Änderungen dieser Erklärung und Änderungshistorie

Über wesentliche Änderungen informieren wir dich in der App oder per E-Mail, bevor sie wirksam werden. Wenn eine Änderung deine Einwilligung erfordert, bitten wir dich darum.

• 29.09.2026. (zur rechtlichen Prüfung) Fehlerberichte und Meldungen: erfasste Daten, Einwilligung und Einstellung „fragen / immer / nie“, Speicherung von Rohberichten für 90 Tage, Löschung zusammen mit dem Konto, Azure DevOps (Microsoft) als Auftragsverarbeiter.
• 29.09.2026. Datenquellen: Über die Strava API abgerufene Daten sieht nur der Kontoinhaber, und sie fließen nicht in Rangliste, Freundesfunktionen, öffentliche Links oder Community-Daten ein; öffentliche Funktionen nutzen hochgeladene Dateien und Archive, Aufzeichnungen in den Gridhunt-Apps und andere verbundene Quellen; Rangfolge der Quellen bei Duplikaten; in Gridhunt festgelegter Anzeigename; was nach dem Trennen von Strava mit den Daten geschieht. Daten aus der Strava API speichern wir höchstens 7 Tage, außer du lädst dieselbe Aktivität hoch oder zeichnest sie in Gridhunt auf; das Löschen einer Aktivität auf Strava entfernt nicht deine hochgeladene Kopie.
• 28.09.2026. Neue Fassung: vollständige Angaben zum Verantwortlichen, Zwecke und Rechtsgrundlagen, neue Datenquellen (komoot, Wahoo, Garmin und weitere, die App für iPhone und Apple Watch, Geräte), Stripe Managed Payments, öffentliche Links, Kachelmeldungen, Speicherfristen, Rechte, Mindestalter 16 Jahre, die Adresse gridhunt.app.
• Davor: Early-Access-Fassung mit Informationen zu Cookies und Analyse.