Datenschutzerklärung

Für die App Glimpse (iOS und Android) und den Server unter dieser Adresse. Stand: 24. Oktober 2026

1. Verantwortlicher

2. Kurz gesagt

• Du kannst ohne E-Mail-Adresse als Gast spielen. Ein Konto mit E-Mail und Passwort ist freiwillig.
• Dein Standort wird nur abgefragt, während die App geöffnet ist und du etwas tust, wofür er gebraucht wird. Es gibt keine Standortverfolgung im Hintergrund und keine öffentliche Karte mit Spielern.
• Keine Werbung, keine Analyse- oder Tracking-Dienste, kein Verkauf und keine Weitergabe von Daten zu Werbezwecken.
• Du kannst dein Konto mit allen Spielständen und eigenen Fotos jederzeit in der App löschen.

3. Welche Daten wir verarbeiten

Konto

Beim ersten Start legt die App ein Gastkonto an. Gespeichert werden eine zufällige Konto-ID, dein Anzeigename, deine Einstellungen (Sound, Sprache, Haptik, Farbschema) und der Zeitpunkt der Erstellung. Den Anzeigenamen wählst du selbst; deinen echten Namen musst du nicht angeben. Registrierst du dich, kommen deine E-Mail-Adresse und ein gesalzener Hashwert deines Passworts (scrypt) hinzu, nie das Passwort selbst.

Für die Anmeldung erhält die App einen zufälligen Sitzungsschlüssel. Der Server speichert davon nur einen Hashwert und das Ablaufdatum; eine Sitzung läuft nach 30 Tagen ab.

Spielstände

Gespielte Runden mit Modus, Route, Punkten, Zeiten, genutzten Hinweisen und dem Ergebnis, außerdem deine gefundenen Orte und Gruppenspiele, an denen du teilnimmst. Daraus entstehen dein Verlauf, deine Sammlung und die Bestenliste.

Standortdaten

Glimpse fragt deinen Standort nur im Vordergrund ab: um einen Startpunkt in deiner Nähe zu finden, um zu prüfen, ob du an einem gesuchten Ort angekommen bist, für Richtungshinweise und beim Anlegen eines eigenen Fotoziels. Dabei werden Position, GPS-Genauigkeit und Zeitpunkt an den Server übertragen. Der Server speichert zu einem laufenden Spiel die zuletzt gemeldete Position, um die Ankunft zu prüfen. Laufwege werden nicht aufgezeichnet.

Eigene Fotos und Routen

Legst du eigene Fotoziele an, werden das Foto, dein Titel, dein Hinweis und der bestätigte Aufnahmeort hochgeladen. Der Server verkleinert das Bild und entfernt dabei alle eingebetteten Metadaten (EXIF, auch GPS-Daten). Eigene Routen sind privat und werden nur über eine Gruppeneinladung geteilt. Bilddateien haben nicht erratbare Adressen, sind mit Kenntnis dieser Adresse aber abrufbar; lade daher keine vertraulichen Fotos hoch.

Meldungen

Meldest du einen Ort als falsch oder nicht erreichbar, speichern wir den Grund, deinen optionalen Text und das betroffene Spiel.

Kamera und Fotomediathek

Die Kamera und die Fotomediathek werden erst geöffnet, wenn du ein eigenes Fotoziel anlegst. Übertragen wird nur das Foto, das du ausdrücklich auswählst oder aufnimmst.

Technische Daten

Bei jeder Verbindung wird deine IP-Adresse verarbeitet. Der Server hält sie nur im Arbeitsspeicher vor, um Missbrauch durch zu viele Anfragen zu begrenzen, und protokolliert keine einzelnen Anfragen, sondern nur Fehler. Der vorgeschaltete Reverse Proxy schreibt Zugriffsprotokolle (IP-Adresse, Zeitpunkt, aufgerufene Adresse) und wehrt Angriffe ab; diese Daten dienen ausschließlich der Sicherheit und werden regelmäßig gelöscht.

Auf deinem Gerät

Sitzungsschlüssel, Sprachwahl, Einstellungen und ein noch nicht gespeicherter Routenentwurf bleiben lokal auf deinem Gerät, der Sitzungsschlüssel im geschützten Speicher des Betriebssystems. Beim Deinstallieren der App werden sie gelöscht.

4. Was andere Spieler sehen

Andere Spieler sehen deinen Anzeigenamen und gewertete Ergebnisse in der Bestenliste. In einem Gruppenspiel sehen die Teilnehmer euren Spielfortschritt. Deine Position sieht niemand.

5. Empfänger und eingesetzte Dienste

• Server: wird vom Verantwortlichen selbst betrieben; es ist kein Hosting-Dienstleister beteiligt.
• Kartenkacheln von OpenStreetMap (OpenStreetMap Foundation, Vereinigtes Königreich): Beim Anzeigen der Karte werden deine IP-Adresse und der angezeigte Kartenausschnitt übertragen. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission.
• jsDelivr (cdn.jsdelivr.net): liefert die Kartenbibliothek Leaflet aus. Dabei wird deine IP-Adresse übertragen, nicht aber dein Standort.
• Expo (650 Industries, Inc., USA): Die App fragt beim Start bei Expo nach Updates und lädt sie herunter. Dabei werden deine IP-Adresse und technische Angaben zur App-Version übertragen. Die Übermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
• Orts- und Fotosuche: Die Suche nach Städten und nach öffentlichen Fotos in deiner Nähe stellt der Server, nicht dein Gerät. Er sendet dafür Suchbegriffe und Koordinaten, aber keine Angaben zu deiner Person oder IP-Adresse an Photon (komoot), Wikimedia Commons (Wikimedia Foundation, USA), die Overpass-API und die OpenStreetMap-API sowie Mapillary (Meta Platforms, USA).
• Sprachhinweise verwenden die Sprachausgabe deines Geräts; dafür werden keine Daten übertragen.
• App Store / Google Play: Download und Updates der App laufen über Apple bzw. Google; dafür gelten deren Datenschutzbestimmungen.

Darüber hinaus geben wir keine Daten weiter, es sei denn, wir sind gesetzlich dazu verpflichtet. Trägst du in der App einen anderen Server ein, ist dessen Betreiber für die dort verarbeiteten Daten verantwortlich.

6. Rechtsgrundlagen

• Art. 6 Abs. 1 lit. b DSGVO: Bereitstellung des Spiels, das du nutzt (Konto, Spielstände, Standort beim Spielen, eigene Fotos und Routen, Bestenliste).
• Art. 6 Abs. 1 lit. a DSGVO: deine Einwilligung, die du über die Systemabfragen für Standort, Kamera und Fotomediathek erteilst. Du kannst sie jederzeit in den Systemeinstellungen widerrufen.
• Art. 6 Abs. 1 lit. f DSGVO: unser berechtigtes Interesse an einem sicheren und fairen Betrieb (Begrenzung von Anfragen, Zugriffs- und Fehlerprotokolle, Meldungen zu Orten, App-Updates).

7. Speicherdauer

• Konto, Spielstände, Sammlung, eigene Fotos, Routen und Meldungen: bis du dein Konto löschst.
• Sitzungen: bis zur Abmeldung, höchstens 30 Tage.
• Zugriffsprotokolle des Reverse Proxys: werden regelmäßig gelöscht.

8. Konto löschen

In der App unter Einstellungen → Konto löschen löschst du sofort dein Konto mit Profil, E-Mail-Adresse, Spielständen, Sammlung, Meldungen, eigenen Routen und hochgeladenen Fotos. Gruppenspiele, die du eröffnet hast, gehen an einen anderen Teilnehmer über. Möchtest du deine Daten ohne die App löschen lassen, schreib uns eine E-Mail.

9. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO) sowie auf Widerspruch gegen Verarbeitungen, die auf berechtigten Interessen beruhen (Art. 21 DSGVO). Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Schreib dafür einfach an die oben genannte E-Mail-Adresse.

Außerdem hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, zum Beispiel bei der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf.

10. Sicherheit

Alle Verbindungen zwischen App und Server sind per TLS verschlüsselt. Passwörter und Sitzungsschlüssel speichert der Server nur als Hashwert. Datenbank und Server laufen mit eingeschränkten Rechten in abgeschotteten Containern; die Datenbank ist von außen nicht erreichbar.

11. Änderungen

Wenn sich die App oder die Datenverarbeitung ändert, passen wir diese Erklärung an. Es gilt jeweils die hier veröffentlichte Fassung.