Datenschutzerklärung

Diese Datenschutzerklärung informiert über die Verarbeitung personenbezogener Daten bei Nutzung unserer Landingpage sowie der Laufgeschichten-App (Android & iOS).

1. Verantwortlicher

Pawel Kolb
Bramweg 11
49844 Bawinkel
Deutschland
E-Mail: support@laufgeschichten.de

Hinweis zum Datenschutzbeauftragten: Als Einzelunternehmer sind wir nach Art. 37 DSGVO i. V. m. § 38 BDSG nicht verpflichtet, einen Datenschutzbeauftragten zu benennen. Bei datenschutzrechtlichen Anliegen wenden Sie sich bitte direkt an die o. g. Kontaktadresse.

2. Grundsätze der Datenverarbeitung

Wir verarbeiten personenbezogene Daten ausschließlich im Rahmen der gesetzlichen Vorgaben, insbesondere der Datenschutz-Grundverordnung (DSGVO), des Bundesdatenschutzgesetzes (BDSG) sowie des Telekommunikation-Telemedien-Datenschutz-Gesetzes (TTDSG). Es werden nur solche Daten erhoben, die zur Bereitstellung der jeweiligen Funktionen erforderlich sind (Grundsatz der Datenminimierung, Art. 5 Abs. 1 lit. c DSGVO).

Wir stützen unsere Verarbeitungen auf folgende Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung (z. B. Push-Mitteilungen, optionale Analyse)
• Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung (z. B. Abonnement, Prämienversand, GPS-Laufaufzeichnung)
• Art. 6 Abs. 1 lit. c DSGVO – Erfüllung rechtlicher Verpflichtungen (z. B. steuerliche Aufbewahrungspflichten)
• Art. 6 Abs. 1 lit. f DSGVO – Berechtigte Interessen (z. B. IT-Sicherheit, Betrugsprävention, Verbesserung des Dienstes)
• Art. 9 Abs. 2 lit. a DSGVO – Ausdrückliche Einwilligung für besondere Kategorien personenbezogener Daten (Herzfrequenzdaten)

3. Hosting der Website (Netlify)

Unsere Landingpage wird über Netlify, Inc., 512 2nd Street, Suite 200, San Francisco, CA 94107, USA gehostet. Beim Aufruf der Website werden Server-Logdaten (IP-Adresse, aufgerufene URL, Zeitstempel, Browser-Typ, Referrer) zur Gewährleistung von Stabilität und Sicherheit verarbeitet (Art. 6 Abs. 1 lit. f DSGVO). Die Übertragung in die USA erfolgt auf Basis von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO besteht. Logdaten werden nach spätestens 30 Tagen gelöscht.

4. App-Veröffentlichung (Apple App Store / Google Play Store)

Unsere App ist über den Apple App Store und den Google Play Store verfügbar. Beim Download, der Installation und der Nutzung der App werden durch die jeweiligen Plattformbetreiber eigenverantwortlich Daten (z. B. Apple-ID / Google-Konto, Gerätedaten, Kaufhistorie) gemäß deren eigenen Datenschutzrichtlinien verarbeitet:

• Apple Inc.: apple.com/de/legal/privacy
• Google LLC: policies.google.com/privacy

Wir haben auf diese Datenverarbeitung keinen Einfluss und sind hierfür nicht verantwortlich.

5. App & Nutzerkonto

Zur Nutzung bestimmter Funktionen (Premium, Streak, Punkte, Synchronisation, Revier-Funktion) ist ein Nutzerkonto erforderlich. Wir verarbeiten dabei folgende Daten:

5a. Streak- & Punktesystem

Im Rahmen des Gamification-Systems verarbeiten wir folgende Daten:

Punkte und Streak-Daten werden für die Dauer des aktiven Kontos gespeichert und nach Kontolöschung gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

5b. Revier-Funktion (GPS-Laufaufzeichnung & Herzfrequenz)

GPS-Laufaufzeichnung

Die Revier-Funktion zeichnet während eines aktiven Laufs in regelmäßigen Abständen GPS-Positionsdaten auf und überträgt diese nach Abschluss des Laufs an unsere Server (Supabase, EU-Region Frankfurt). Aus diesen Punkten werden Laufdistanz, -dauer, Höhenmeter, verbrannte Kalorien (Schätzwert) und die zurückgelegte Gebietsfläche berechnet und dauerhaft mit Ihrem Nutzerkonto verknüpft gespeichert.

Sichtbarkeit von Laufdaten: Ihre gelaufene Gebietsfläche (Revier) sowie Laufstatistiken (Distanz, Dauer, Datum) können im Rahmen von Gruppen-Challenges für andere Mitglieder derselben Gruppe sichtbar sein. Eine Anzeige der exakten GPS-Route gegenüber anderen Nutzern erfolgt nur, soweit Sie sich einer Gruppe angeschlossen oder eine Freundschaft bestätigt haben. Herzfrequenzdaten werden zu keiner Zeit für andere Nutzer sichtbar gemacht.

Optionale Herzfrequenzaufzeichnung

Wenn Sie in der App einen kompatiblen Bluetooth-Herzfrequenzsensor (z. B. Polar H10, Garmin HRM) koppeln, zeichnet die App während des Laufs Ihren Puls auf und berechnet den Durchschnitts- und Maximalwert pro Lauf. Diese Werte werden nach Abschluss des Laufs auf unseren Servern (Supabase, EU-Region Frankfurt) gespeichert.

Einwilligung: Die Rechtsgrundlage für die Verarbeitung von Herzfrequenzdaten ist Ihre ausdrückliche Einwilligung gemäß Art. 9 Abs. 2 lit. a DSGVO. Diese erteilen Sie durch das aktive Koppeln eines Bluetooth-Sensors in der App. Vor der ersten Kopplung weist die App ausdrücklich darauf hin, dass dabei Gesundheitsdaten erhoben werden. Die Nutzung des Herzfrequenz-Features ist vollständig optional; sämtliche Kernfunktionen der App sind ohne Sensor uneingeschränkt nutzbar.

Keine medizinische Nutzung: Die aufgezeichneten Herzfrequenzwerte dienen ausschließlich der Auswertung Ihrer eigenen Trainingsläufe. Sie werden nicht an Dritte weitergegeben, nicht für Werbezwecke genutzt und nicht zur Erstellung von Gesundheitsprofilen verwendet. Die Daten stellen keine medizinische Aussage dar und ersetzen keine ärztliche Beratung oder Diagnose.

Widerruf der Einwilligung: Sie können Ihre Einwilligung zur Herzfrequenzaufzeichnung jederzeit widerrufen, indem Sie den Sensor in der App über die Option „Gerät vergessen" entkoppeln. Der Widerruf lässt die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung unberührt. Bereits gespeicherte Herzfrequenzwerte werden auf Ihren Wunsch hin gesondert gelöscht; die Löschanfrage richten Sie an support@laufgeschichten.de. Mit Löschung des Kontos werden alle Herzfrequenzdaten vollständig und unwiderruflich entfernt.

5c. Soziale Funktionen (Freunde, Gruppen & Challenges)

Die App bietet soziale Funktionen, über die Nutzer miteinander in Kontakt treten und sich sportlich herausfordern können:

Freiwilligkeit: Die Teilnahme an sozialen Funktionen ist vollständig optional und kann jederzeit beendet werden. Sie können Freundschaftsanfragen ablehnen und Gruppen verlassen. Beim Verlassen einer Gruppe oder Beenden einer Freundschaft werden Ihre Laufdaten für die andere Partei nicht mehr zugänglich.

Nutzersuchfunktion: Bei der Freundesuche können andere Nutzer über Ihren Nutzernamen oder (sofern Sie dies freigegeben haben) Ihre E-Mail-Adresse gefunden werden. Die Verarbeitung beschränkt sich auf den Abgleich des Suchbegriffs mit den bei uns gespeicherten Nutzerdaten.

Keine Weitergabe von Herzfrequenzdaten: Herzfrequenzdaten werden zu keiner Zeit im Rahmen von sozialen Funktionen, Gruppen oder Challenges für andere Nutzer sichtbar gemacht oder geteilt.

5d. Kartengrundlage (OpenStreetMap / CartoDB)

Zur Darstellung von Laufrouten und Revieren in der App verwenden wir Kartendaten und Kartenkacheln folgender Anbieter:

• OpenStreetMap Foundation (OSMF): Geodaten unter der Open Database Licence (ODbL). Die Daten werden von ehrenamtlichen Beitragenden erhoben. Kartendarstellung: © OpenStreetMap-Mitwirkende. Es findet keine personenbezogene Datenverarbeitung durch die OSMF statt; die Geodaten werden lokal gerendert.
• CartoDB / Carto, S.L., Calle Eloy Gonzalo 27, 28010 Madrid, Spanien: Kartenkacheln (Tile-Server) unter CC BY 3.0. Beim Abruf von Kartenkacheln überträgt die App die IP-Adresse Ihres Geräts an die Carto-Server. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der funktionsfähigen Kartendarstellung). Datenschutzhinweise von Carto: carto.com/privacy.

Pflichtattributierung gemäß den Lizenzbedingungen: © CartoDB (CC BY 3.0) · © OpenStreetMap-Mitwirkende (ODbL) wird in der App an der Kartenansicht angezeigt.

5e. Hintergrund-Standortermittlung & Bluetooth

Hintergrund-Standortermittlung (Background Location)

Die Revier-Funktion erfordert den Zugriff auf den Gerätestandort auch dann, wenn die App in den Hintergrund verschoben oder der Bildschirm gesperrt ist, da ein typischer Lauf mehrere Minuten bis Stunden dauert. Ohne diese Berechtigung wäre eine lückenlose Routenaufzeichnung nicht möglich.

• iOS: Die App fordert die Berechtigung „Immer erlauben" (Always Allow) für den Standortzugriff an. Alternativ genügt „Bei Verwendung" mit aktivierter Hintergrundausführung. Der genaue Zweck (Routenaufzeichnung während des Laufs) wird dem Nutzer vor der Berechtigungsabfrage erläutert.
• Android: Die App fordert die Berechtigung ACCESS_BACKGROUND_LOCATION an. Dem Nutzer wird vor der Anfrage der genaue Verwendungszweck mitgeteilt.

Der Hintergrund-Standortzugriff wird ausschließlich für die aktive Aufzeichnung eines gestarteten Laufs genutzt. Eine kontinuierliche Standortüberwachung außerhalb einer aktiven Laufsitzung findet nicht statt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Bluetooth

Zur Kopplung eines Herzfrequenzsensors benötigt die App Bluetooth-Berechtigungen (BLUETOOTH_SCAN, BLUETOOTH_CONNECT auf Android; NSBluetoothAlwaysUsageDescription auf iOS). Bluetooth wird ausschließlich zur Erkennung und Verbindung mit einem vom Nutzer ausgewählten Herzfrequenzsensor verwendet. Gerätename und -ID des Sensors werden ausschließlich lokal auf dem Gerät gespeichert; es findet keine Übertragung an unsere Server statt. Die Bluetooth-Nutzung ist vollständig optional.

6. Zahlungsabwicklung (Stripe / Apple In-App Purchase / Google Play Billing)

Für kostenpflichtige Abonnements nutzen wir je nach Plattform unterschiedliche Zahlungsabwickler:

• Stripe, Inc., 510 Townsend Street, San Francisco, CA 94103, USA – für Abonnements, die über unsere Landingpage abgeschlossen werden. Stripe verarbeitet Zahlungsdaten als eigenverantwortlicher Dienstleister. Es gelten die Datenschutzrichtlinie von Stripe (stripe.com/de/privacy) sowie EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) als Grundlage für die Übertragung in die USA. Wir erhalten von Stripe keine vollständigen Karteninformationen.
• Apple Inc., One Apple Park Way, Cupertino, CA 95014, USA – für Abonnements, die direkt in der iOS-App über Apple In-App Purchase abgeschlossen werden. Apple verarbeitet Zahlungsdaten gemäß eigener Datenschutzrichtlinie (apple.com/de/legal/privacy). Wir erhalten von Apple keine vollständigen Zahlungsdaten, sondern lediglich eine Bestätigung über den Kaufabschluss.
• Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA – für Abonnements, die in der Android-App über Google Play Billing abgeschlossen werden. Es gelten die Datenschutzrichtlinien von Google (policies.google.com/privacy). Wir erhalten von Google lediglich eine Kaufbestätigung, keine vollständigen Zahlungsdaten.

Soweit Daten an Dienstleister in die USA oder andere Drittländer übertragen werden (Stripe, Netlify, Apple, Google, Carto), erfolgt dies auf Basis von EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO oder eines Angemessenheitsbeschlusses der EU-Kommission.

7. Backend (Supabase)

Wir verwenden Supabase Inc., 970 Trestle Glen Rd, Oakland, CA 94610, USA als Backend-Dienstleister für Datenbanken, Authentifizierung und Datenspeicherung. Der für uns genutzte Serverstandort befindet sich in der EU-Region Frankfurt (Deutschland). Es besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. Für den Fall einer Drittlandübertragung (z. B. Supportzugriff aus den USA) dienen EU-Standardvertragsklauseln als Grundlage (Art. 46 Abs. 2 lit. c DSGVO).

Auf den Supabase-Servern werden gespeichert: Kontodaten, Streaming-Nutzungsdaten, Streak- und Punktedaten, GPS-Laufdaten (Revier-Funktion), Herzfrequenzdaten (sofern Sensor gekoppelt und Einwilligung erteilt), sowie Daten der sozialen Funktionen (Freundeslisten, Gruppen, Challenge-Ergebnisse). Informationen zur Datenverarbeitung durch Supabase finden Sie unter supabase.com/privacy.

8. Prämienversand

Wenn Sie Punkte gegen eine physische Prämie einlösen, erheben wir zur Abwicklung des Versands folgende Daten:

• Vorname und Nachname
• Lieferadresse (Straße, Hausnummer, PLZ, Ort, Land)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Vertrags über die Prämieneinlösung).

Diese Daten werden ausschließlich zur Bearbeitung und Durchführung des Versands sowie zur Erfüllung steuerlicher Aufbewahrungspflichten verwendet. Sie werden an den jeweils eingesetzten Versanddienstleister (z. B. Deutsche Post AG / DHL Group) weitergegeben, soweit dies für die Lieferung erforderlich ist. Ein Auftragsverarbeitungsvertrag besteht. Adressdaten werden nach Abschluss des Versands und Ablauf gesetzlicher Aufbewahrungsfristen (max. 10 Jahre für buchhalterisch relevante Daten) gelöscht.

9. Push-Mitteilungen

Wir versenden Push-Mitteilungen (z. B. Streak-Erinnerungen, Challenge-Benachrichtigungen, Hinweise auf neue Inhalte) ausschließlich mit Ihrer vorherigen ausdrücklichen Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TTDSG).

Zur Zustellung von Push-Mitteilungen verwenden wir den Push-Dienst der jeweiligen Plattform:

• Apple Push Notification Service (APNs) – Apple Inc., USA
• Firebase Cloud Messaging (FCM) – Google LLC, USA

Dabei wird ein gerätespezifisches Push-Token an den jeweiligen Plattformdienst übermittelt. Die Übertragung in die USA erfolgt auf Basis von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Widerruf: Sie können Ihre Einwilligung jederzeit widerrufen, indem Sie Push-Mitteilungen in den App-Einstellungen Ihres Geräts deaktivieren oder uns unter support@laufgeschichten.de kontaktieren. Der Widerruf lässt die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung unberührt. Push-Token werden nach Widerruf unverzüglich gelöscht.

10. Kontolöschung & Datenlöschung

Nutzer können ihr Konto und ihre Daten jederzeit löschen:

• in der App über „Account löschen" (in den Profileinstellungen), oder
• per E-Mail an support@laufgeschichten.de, falls kein App-Zugriff mehr besteht.

Mit der Kontoauflösung werden alle personenbezogenen Daten gelöscht – einschließlich GPS-Laufdaten, Herzfrequenzdaten, sozialer Verbindungen (Freunde, Gruppen) und Streak-/Punktedaten –, soweit keine gesetzlichen Aufbewahrungspflichten (z. B. steuerrechtliche Pflichten nach HGB/AO) einer sofortigen Löschung entgegenstehen. In letzterem Fall werden die Daten gesperrt und nach Ablauf der Frist gelöscht.

Für eine gezielte Löschung ausschließlich der Herzfrequenzdaten (ohne vollständige Kontolöschung) wenden Sie sich bitte an support@laufgeschichten.de. Wir werden diesem Wunsch im Rahmen Ihres Widerrufsrechts nach Art. 9 Abs. 2 lit. a DSGVO unverzüglich nachkommen.

11. Speicherdauer je Datenkategorie

Daten werden nur so lange gespeichert, wie dies für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungsfristen bestehen:

12. Betroffenenrechte

Sie haben gegenüber uns folgende Rechte bezüglich Ihrer personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO): Sie können Auskunft darüber verlangen, ob und welche personenbezogenen Daten wir von Ihnen verarbeiten sowie eine Kopie dieser Daten erhalten.
• Berichtigung (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger oder die Vervollständigung unvollständiger Daten verlangen.
• Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie können unter bestimmten Voraussetzungen verlangen, dass die Verarbeitung Ihrer Daten eingeschränkt wird.
• Datenübertragbarkeit (Art. 20 DSGVO): Sie können verlangen, Ihre Daten in einem strukturierten, gängigen, maschinenlesbaren Format zu erhalten oder an einen anderen Verantwortlichen übertragen zu lassen.
• Widerspruch (Art. 21 DSGVO): Sie können der Verarbeitung Ihrer Daten auf Basis berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) jederzeit widersprechen. Wir verarbeiten Ihre Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen überwiegen.
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Soweit die Verarbeitung auf einer Einwilligung beruht (z. B. Push-Mitteilungen), können Sie diese jederzeit widerrufen, ohne dass die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung berührt wird.
• Widerruf der Einwilligung für Gesundheitsdaten (Art. 9 DSGVO): Die Einwilligung zur Verarbeitung von Herzfrequenzdaten können Sie jederzeit durch Entkoppeln des Bluetooth-Sensors in der App widerrufen. Für die gesonderte Löschung bereits gespeicherter Herzfrequenzdaten wenden Sie sich bitte an support@laufgeschichten.de.

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an: support@laufgeschichten.de

Wir beantworten Ihre Anfrage unverzüglich, spätestens innerhalb eines Monats (Art. 12 Abs. 3 DSGVO). Bei komplexen Anfragen kann diese Frist um weitere zwei Monate verlängert werden; wir informieren Sie darüber.

13. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich jederzeit bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten durch uns zu beschweren (Art. 77 DSGVO). Die für uns zuständige Aufsichtsbehörde ist:

Die Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5
30159 Hannover
Telefon: +49 511 120-4500
E-Mail: poststelle@lfd.niedersachsen.de
Website: www.lfd.niedersachsen.de

Unbeschadet dieses Rechts empfehlen wir, datenschutzrechtliche Anliegen zunächst direkt an uns zu richten, damit wir diese schnell und unkompliziert klären können.