BEARTRACK Beta

Datenschutzerklärung

1. Überblick

Diese Seite gehört zur Android-App BearTrack, einem privaten Lauf-Tracker. Sie erfüllt zwei Aufgaben: sie stellt die App vor, und sie ist das Backend, zu dem die App auf Wunsch synchronisiert. Ein Account ist freiwillig — die App funktioniert vollständig ohne, dann verlassen Ihre Daten das Gerät nicht.

Der Abschnitt 6. Die App und Ihre Aktivitätsdaten ist der wichtigste: dort steht, was beim Synchronisieren übertragen und gespeichert wird.

2. Verantwortliche Stelle



Verantwortliche Stelle ist die natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.

3. Hosting

Diese Website und das Backend werden bei der ALL-INKL.COM — Neue Medien Münnich, Inh. René Münnich, Hauptstraße 68, 02742 Friedersdorf, betrieben. Die Server stehen in Deutschland. Details entnehmen Sie der Datenschutzerklärung von All-Inkl. Wir haben mit All-Inkl einen Vertrag zur Auftragsverarbeitung geschlossen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO — wir haben ein berechtigtes Interesse an einem zuverlässigen Betrieb.

4. Beim Besuch dieser Website

Server-Logfiles

Der Hoster erhebt automatisch Informationen, die Ihr Browser übermittelt:

  • Browsertyp und -version
  • verwendetes Betriebssystem
  • Referrer-URL
  • Hostname des zugreifenden Rechners
  • Uhrzeit der Serveranfrage
  • IP-Adresse

Eine Zusammenführung dieser Daten mit anderen Datenquellen findet nicht statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO: der technisch fehlerfreie Betrieb.

Cookies

Diese Website setzt keine Analyse- oder Werbe-Cookies. Gesetzt werden ausschließlich technisch notwendige Cookies: ein Sitzungs-Cookie und ein CSRF-Token, beide nur dort, wo ein Formular abgeschickt wird (Passwort-Reset). Sie werden beim Schließen des Browsers hinfällig. Für technisch notwendige Cookies ist keine Einwilligung erforderlich (§ 25 Abs. 2 TDDDG).

Keine Analyse, keine externen Schriften

Es sind kein Analyse-Werkzeug, kein Tracking-Pixel und keine externen Schriftarten oder Skripte eingebunden. Die Seite lädt nichts von Servern Dritter — alles, was Ihr Browser anfordert, kommt von dieser Domain.

SSL-/TLS-Verschlüsselung

Diese Seite und die gesamte Kommunikation mit der App laufen ausschließlich über HTTPS. Eine unverschlüsselte Verbindung wird nicht angeboten.

5. Formulare auf dieser Website

Beta-Anmeldung

Wenn Sie sich für die geschlossene Beta eintragen, speichern wir die von Ihnen angegebene E-Mail-Adresse sowie optional Name und Kommentar. Zusätzlich erfassen wir IP-Adresse und User-Agent zur Missbrauchsprävention. Zweck ist die Freischaltung für den Google-Play-Testzugang und die Kontaktaufnahme dazu. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage). Die Daten werden gelöscht, sobald das Beta-Programm endet oder Sie die Löschung verlangen.

Registrierung eines Accounts

Bei der Registrierung geben Sie Name, E-Mail-Adresse und ein Passwort an. Das Passwort wird nur als bcrypt-Hash gespeichert, nie im Klartext. Die Registrierung läuft im Double-Opt-in-Verfahren: zunächst wird nur eine vorläufige Anmeldung gespeichert und eine Bestätigungsmail verschickt. Erst wenn Sie den Link darin anklicken, entsteht ein Account. Klicken Sie nicht, wird die vorläufige Anmeldung nach 48 Stunden automatisch gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Versand von Systemmails

Für Bestätigungs- und Passwort-Reset-Mails nutzen wir Brevo (Brevo GmbH, Köpenicker Str. 126, 10179 Berlin). Übermittelt wird die Empfängeradresse samt Mailinhalt; die Server stehen in Deutschland. Es findet keine Öffnungs- oder Klickmessung statt — es werden ausschließlich transaktionale Mails verschickt, kein Newsletter. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Mit Brevo besteht ein Vertrag zur Auftragsverarbeitung. Näheres in der Datenschutzerklärung von Brevo.

6. Die App und Ihre Aktivitätsdaten

Ohne Account bleibt alles auf dem Gerät

BearTrack funktioniert vollständig ohne Account. In diesem Fall liegen alle Aufzeichnungen ausschließlich in der lokalen Datenbank auf Ihrem Telefon, und es findet keine Übertragung an uns statt. Alles Folgende gilt nur, wenn Sie sich anmelden und damit den Sync einschalten.

Berechtigungen, die die App anfordert

Jeweils erst bei Bedarf und mit der Möglichkeit zur Verweigerung:

  • Standortzugriff (ACCESS_FINE_LOCATION, ACCESS_COARSE_LOCATION) — zur Aufzeichnung der GPS-Spur während einer Aufnahme, auch bei gesperrtem Bildschirm.
  • Vordergrund-Dienst und Wake-Lock (FOREGROUND_SERVICE, FOREGROUND_SERVICE_LOCATION, WAKE_LOCK) — damit das Betriebssystem die laufende Aufnahme nicht beendet.
  • Aktivitätserkennung (ACTIVITY_RECOGNITION) — ausschließlich zum Zählen der Schritte über den geräteseitigen Schrittsensor. Es findet keine automatische Klassifizierung von Bewegungsarten statt.
  • Benachrichtigungen (POST_NOTIFICATIONS) — zur Anzeige der laufenden Aufnahme.
  • Akku-Optimierung ignorieren (REQUEST_IGNORE_BATTERY_OPTIMIZATIONS) — optional; verhindert, dass die Aufnahme bei längeren Läufen vom System abgewürgt wird.
  • Internet und Netzwerkstatus (INTERNET, ACCESS_NETWORK_STATE) — für den Sync und die einmalige Wetterabfrage je Aufnahme.

Die App fordert keinen Hintergrund-Standortzugriff (ACCESS_BACKGROUND_LOCATION) und keinen Schreibzugriff auf den externen Speicher an. Beide Berechtigungen sind bewusst nicht im App-Manifest enthalten. Standortdaten werden ausschließlich erfasst, solange Sie selbst eine Aufnahme gestartet haben; nur in dieser Zeit läuft der Vordergrund-Dienst.

Was beim Sync übertragen wird

  • Account-Daten: E-Mail-Adresse, Anzeigename, Passwort-Hash.
  • Aktivitätsdaten je Aufnahme: Start- und Endzeit, Distanz, Dauer, Pace und Durchschnittsgeschwindigkeit, Höchstgeschwindigkeit, Höhenmeter (Anstieg, Abstieg, Minimum, Maximum), Kilometer-Splits, Aktivitätsart, optional Name und Notiz.
  • GPS-Spur: die vollständige Route wird als GPX-Datei auf dem Server abgelegt — Längen- und Breitengrad, Höhe und Zeitstempel je Trackpunkt.
  • Optionale Zusatzdaten: Schrittzahl, Schrittfrequenz in 30-Sekunden-Intervallen, persönliches Befinden (Bewertung 1–5), Wetter-Snapshot zum Aufnahmebeginn (Temperatur, Wind, Luftfeuchte, Wettercode), Gerätemodell.

Eine GPS-Spur ist ein Bewegungsprofil. Uns ist bewusst, dass das die sensibelste Datenkategorie in diesem Projekt ist — deshalb ist der Sync freiwillig, die Übertragung ausschließlich verschlüsselt, und die übertragenen Aktivitätsdaten werden nicht an Dritte weitergegeben. Eine einzige Ausnahme betrifft nicht diesen Server, sondern die App selbst: die Wetterabfrage beim Aufnahmestart übermittelt Ihre Koordinaten an Open-Meteo — beschrieben im nächsten Abschnitt.

Rechtsgrundlage

Die Verarbeitung der Account- und Aktivitätsdaten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsverhältnisses). Für die optionalen Zusatzdaten — Schritte, Kadenz, Befinden, Wetter — ist die Grundlage Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, die Sie durch das Erteilen der jeweiligen Berechtigung bzw. durch freiwillige Eingabe erteilen und jederzeit widerrufen können.

Übertragung und Authentifizierung

Die Übertragung zwischen App und Server erfolgt ausschließlich TLS-verschlüsselt (HTTPS). Nach dem einmaligen Login arbeitet die App mit einem gerätespezifischen Token, das auf dem Telefon im hardwaregestützten Android-Keystore verschlüsselt abgelegt wird. Serverseitig wird nur ein Hash des Tokens gespeichert. Ein Token, der 90 Tage lang nicht benutzt wurde, verfällt automatisch und wird gelöscht.

Speicherdauer und Löschung

Die Daten verbleiben auf dem Server, solange der Account besteht. Sie haben drei Wege:

  • Einzelne Aktivität: direkt in der App löschen — die Löschung wird zum Server synchronisiert und entfernt dort auch die GPX-Datei.
  • Nur den Sync beenden: in der App abmelden. Der Token wird verworfen, neue Aufzeichnungen bleiben lokal.
  • Kompletten Account löschen: selbst im Konto-Dashboard unter „Account löschen", sofort und ohne Wartezeit — oder formlos per E-Mail an die unter Punkt 2 genannte Adresse. Dabei werden Account, alle Aktivitäten, alle GPX-Dateien und alle Zugriffs-Token gelöscht. Der ganze Ablauf steht auf Konto und Daten löschen.

Unabhängig davon bleiben Ihre Aufzeichnungen in der App auf dem Telefon erhalten — der Server ist eine Kopie, nicht das Original.

Externe Wetterabfrage (Open-Meteo)

Anders als der übrige Teil dieses Abschnitts gilt das Folgende auch ohne Account. Die Wetterabfrage hängt an keiner Anmeldung; sie läuft bei jeder Aufnahme, sobald der erste GPS-Punkt vorliegt.

Zu Beginn jeder Aufnahme ruft die App — direkt vom Gerät aus, ohne Umweg über diesen Server — die freie Wetter-API Open-Meteo (Open-Meteo, Bubenbergplatz 1, 3011 Bern, Schweiz) mit den aktuellen Koordinaten ab. Open-Meteo erhält dabei die IP-Adresse Ihres Geräts und die übergebenen Koordinaten; Account-Daten werden nicht übermittelt. Die Schweiz ist von der EU-Kommission per Angemessenheitsbeschluss als sicheres Drittland anerkannt. Hinweise des Anbieters: open-meteo.com.

Kartendarstellung (OpenStreetMap)

Für Karten verwendet die App die offenen Kartenkacheln der OpenStreetMap Foundation (OSMF), 132 Maney Hill Road, Sutton Coldfield, West Midlands, B72 1JU, Vereinigtes Königreich. Beim Anzeigen einer Karte werden die benötigten Kacheln direkt von Servern der OSMF geladen; die OSMF erhält dabei die IP-Adresse Ihres Geräts und den angeforderten Kartenausschnitt. Datenschutzrichtlinie: wiki.osmfoundation.org.

Keine Weitergabe, kein Tracking

App und Backend nutzen kein Analyse-Werkzeug, kein Crash-Reporting und keine Drittanbieter-SDKs zur Auswertung Ihres Nutzungsverhaltens. Eine Weitergabe Ihrer Aktivitäts- oder Standortdaten an Dritte findet nicht statt. Es gibt keine Werbung und keinen Verkauf von Daten.

7. Ihre Rechte

Sie haben jederzeit das Recht auf:

  • Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO)
  • Berichtigung unrichtiger Daten (Art. 16 DSGVO)
  • Löschung (Art. 17 DSGVO)
  • Einschränkung der Verarbeitung (Art. 18 DSGVO)
  • Datenübertragbarkeit in einem maschinenlesbaren Format (Art. 20 DSGVO) — Ihre Aktivitäten lassen sich zusätzlich jederzeit selbst als GPX-Datei aus der App exportieren
  • Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
  • Widerruf einer erteilten Einwilligung, mit Wirkung für die Zukunft

Wenden Sie sich dafür an die unter Punkt 2 genannte Adresse. Außerdem steht Ihnen ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu (Art. 77 DSGVO), insbesondere bei der Behörde Ihres gewöhnlichen Aufenthaltsorts.