Stand: 10. Oktober 2026
Verantwortlich für die Verarbeitung deiner personenbezogenen Daten (Art. 4 Nr. 7 DSGVO) ist:
Finn Strehl (Strehl Digital)Einen Datenschutzbeauftragten haben wir nicht benannt, da wir dazu gesetzlich nicht verpflichtet sind.
Deine E-Mail-Adresse und entweder ein Passwort (von unserem Hosting-Anbieter Supabase nur als Hash gespeichert) oder, wenn du dich mit Google anmeldest, deine Google-Konto-ID, E-Mail-Adresse und dein Name. Deinen Vornamen nutzen wir, um dich in der App zu begrüßen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags).
Für jede Challenge: dein Ziel, Zeitplan, Dauer, Zeitzone, Erinnerungszeit, Betrag pro Verfehlung, gewählte Organisation und Nachweisart, eine eventuelle Beschreibung, wie du den Nachweis erbringst, und bei GPS-Check-ins den gewählten Ort (Name, Koordinaten und Radius). Außerdem speichern wir den Stand jedes Pflichttermins (erledigt, in Prüfung, verfehlt).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Challenge-Vertrags).
Wer deine Nachweise sieht. Foto- und Screenshot-Nachweise werden von Personen geprüft, die wir dazu berechtigt und zur Vertraulichkeit verpflichtet haben. GPS-Check-ins und eigene Bestätigungen werden automatisch akzeptiert und nicht geprüft. Bitte reiche keine Bilder ein, die andere Personen oder sensible Informationen zeigen.
KI-gestützte Prüfung. Künftig können wir automatisierte Werkzeuge, einschließlich KI-gestützter Bildanalyse, zur Unterstützung der Prüfung von Foto- und Screenshot-Nachweisen einsetzen. Bevor wir damit beginnen, ergänzen wir diese Erklärung um den Anbieter und die Einzelheiten der Verarbeitung und informieren dich in der App.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Zu jeder Verfehlung: Betrag, Daten, Status, Organisation und Zahlungsstatus. Zu Einsprüchen: deine Begründung und unsere Entscheidung. Zur Zahlung: deine Stripe-Kunden-ID und die ID deiner hinterlegten Zahlungsmethode. Deine vollständige Kartennummer sehen und speichern wir nie.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die Unterlagen, die wir nach Handels- und Steuerrecht aufbewahren müssen (§ 257 HGB, § 147 AO), Art. 6 Abs. 1 lit. c DSGVO.
Nachrichten, die wir dir in der App anzeigen (z. B. dass ein Nachweis geprüft oder eine Verfehlung bestätigt wurde), und ob du sie gelesen hast. Wenn du Push-Benachrichtigungen erlaubst, ein Push-Token deines Geräts und die Geräteplattform, um dir Benachrichtigungen zu deinen Challenges zu senden.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Push-Benachrichtigungen kannst du jederzeit in den Geräteeinstellungen abschalten.
Die App fragt nach Kamerazugriff (Foto-Nachweise), Standortzugriff während der Nutzung (GPS-Check-ins und Auswahl eines Ortes), Zugriff auf von dir ausgewählte Bilder (Screenshot-Nachweise) und der Erlaubnis, Benachrichtigungen zu senden. Jede Berechtigung wird erst angefragt, wenn du die Funktion nutzt, und lässt sich in den Geräteeinstellungen widerrufen.
Die App speichert deine Anmeldesitzung und eine noch nicht abgeschlossene Challenge-Einrichtung auf deinem Gerät. Unvollständige Einrichtungen werden nach 7 Tagen entfernt. Das ist für die Bereitstellung der App unbedingt erforderlich (§ 25 Abs. 2 TDDDG).
Wenn die App mit unseren Servern kommuniziert, speichert unser Hosting-Anbieter technische Daten wie IP-Adresse, Zeitpunkt und die gestellte Anfrage, um den Dienst sicher und funktionsfähig zu halten. Diese Protokolle werden nur kurz aufbewahrt (höchstens 90 Tage).
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an einem sicheren und stabilen Dienst).
Wir setzen weder in der App noch auf der Website Analyse-, Werbe- oder Tracking-Werkzeuge ein.
Unsere Website wird von Netlify, Inc., 101 2nd Street, San Francisco, CA 94105, USA, gehostet. Beim Besuch verarbeitet Netlify deine IP-Adresse, die aufgerufene Seite, den Zeitpunkt und technische Informationen deines Browsers, um die Seite auszuliefern, und speichert kurzzeitig Server-Logs. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an einer sicheren Auslieferung der Website).
Die Website verwendet keine Cookies und lädt keine externen Schriftarten oder Skripte.
Warteliste. Wenn du deine E-Mail-Adresse einträgst, um informiert zu werden, sobald die App im App Store oder bei Google Play verfügbar ist, speichern wir sie mit Zeitpunkt und Plattform. Wir nutzen sie nur für diese eine Nachricht und löschen sie danach, oder früher, wenn du es verlangst. Rechtsgrundlage: deine Einwilligung, Art. 6 Abs. 1 lit. a DSGVO, die du jederzeit per E-Mail widerrufen kannst.
| Empfänger | Zweck | Daten |
|---|---|---|
| Supabase (Supabase Inc., 970 Toa Payoh North #07-04, Singapur 318992), Auftragsverarbeiter | Datenbank, Anmeldung, Dateispeicher und Serverfunktionen. Unsere Daten werden in der EU (Irland) gespeichert. | Alle in Ziffer 2 genannten Daten |
| Stripe (Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Dublin 2, Irland) | Hinterlegen deiner Karte und Abwicklung von Belastungen | E-Mail-Adresse, Nutzer-ID, bei Stripe eingegebene Kartendaten, Zahlungsdaten |
| Die von dir gewählte Organisation | Empfängt die Zahlung für jede belastete Verfehlung als Händlerin über ihr eigenes Stripe-Konto. Die Organisation ist für ihre Zahlungsunterlagen eigenständig verantwortlich. | Betrag und Datum der Zahlung, Kartendaten wie von Stripe übermittelt (z. B. Kartenmarke, letzte vier Ziffern, Ablaufdatum, Land) |
| Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) | Anmeldung mit Google, nur wenn du sie wählst | Anmeldedaten zwischen dir und Google |
| Expo (650 Industries, Inc., USA), Auftragsverarbeiter | Zustellung von Push-Benachrichtigungen, nur wenn du sie erlaubst | Push-Token, Inhalt der Benachrichtigung |
| Mapbox (Mapbox, Inc., 740 15th Street NW, 5th Floor, Washington, DC 20005, USA) | Anzeige von Karten bei der Ortswahl und beim Check-in | IP-Adresse, angezeigter Kartenausschnitt, Geräteinformationen |
| OpenStreetMap Foundation (St John's Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Vereinigtes Königreich) | Ortssuche und Anzeige der Adresse eines Ortes (Nominatim) | IP-Adresse, Suchtext oder die Koordinaten des gewählten Ortes (nicht dein eigener Standort) |
| Netlify (siehe Ziffer 3) | Hosting der Website | Zugriffsdaten der Website |
Die Karten- und Ortsdienste nutzen wir auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (sie sind für die von dir gewählte GPS-Check-in-Funktion erforderlich) und Art. 6 Abs. 1 lit. f DSGVO. Nutzt du Foto-, Screenshot- oder Dein-Wort-Nachweise, werden keine Daten an Mapbox oder OpenStreetMap übermittelt.
Einige Empfänger sitzen in den USA oder anderen Ländern außerhalb der EU oder können von dort auf Daten zugreifen. Solche Übermittlungen erfolgen auf Grundlage des EU-US Data Privacy Framework (Art. 45 DSGVO), soweit der Empfänger danach zertifiziert ist, und im Übrigen auf Grundlage der Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss (Art. 45 DSGVO).
Einige Entscheidungen werden automatisiert getroffen und können zu einer Belastung führen:
Über Foto- und Screenshot-Nachweise entscheidet ein Mensch (künftig ggf. KI-gestützt, siehe Ziffer 2). Diesem Mechanismus hast du beim Start der Challenge zugestimmt; er ist für den Vertrag erforderlich (Art. 22 Abs. 2 lit. a DSGVO). Zu deinem Schutz gibt es für jede Verfehlung eine Einspruchsfrist von mindestens drei Tagen, bevor etwas belastet wird. Über jeden Einspruch entscheidet ein Mensch, und du kannst deinen Standpunkt darlegen (Art. 22 Abs. 3 DSGVO).
| Daten | Speicherdauer |
|---|---|
| Konto- und Challenge-Daten | Solange dein Konto besteht |
| Nachweisbilder | Gelöscht 30 Tage nach Ende der Challenge. Länger nur, solange ein Nachweis noch geprüft wird, gegen eine Verfehlung noch ein Einspruch läuft oder eine Zahlung dafür noch offen ist; danach gelöscht. |
| Nachweis-Einträge (Datum, Entscheidung, Grund – ohne Bild) | Solange dein Konto besteht |
| Unterlagen zu belasteten Verfehlungen, einschließlich der Bedingungen der zugehörigen Challenge | 10 Jahre (§ 257 HGB, § 147 AO), auch nach Löschung des Kontos |
| Push-Tokens | Bis zur Löschung deines Kontos oder bis das Token ersetzt wird |
| Technische Protokolle | Höchstens 90 Tage |
| E-Mail auf der Warteliste | Bis zum Versand der Start-Nachricht oder bis zum Widerruf deiner Einwilligung |
Wenn du dein Konto löschst, löschen wir alle deine Daten außer denen, die wir gesetzlich aufbewahren müssen. Diese werden nach Ablauf der gesetzlichen Frist gelöscht.
Du hast das Recht auf:
Schreib uns dazu an strehldevs@gmail.com. Wir antworten innerhalb eines Monats.
Du hast außerdem das Recht, dich bei einer Aufsichtsbehörde zu beschweren. Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf, ldi.nrw.de.
Für ein Konto brauchst du eine E-Mail-Adresse, für den Start einer Challenge eine Zahlungskarte. Ohne sie können wir den Dienst nicht erbringen. Alles andere – Google-Anmeldung, Push-Benachrichtigungen, Standort – ist freiwillig und nur für die jeweilige Funktion nötig.
Wir passen diese Erklärung an, wenn sich der Dienst oder die Rechtslage ändert. Über wesentliche Änderungen informieren wir dich in der App oder per E-Mail. Ist für eine Änderung deine Einwilligung nötig, holen wir sie vorher ein.
Fragen zum Datenschutz: strehldevs@gmail.com