Datenschutzerklärung

Stand: 20. Oktober 2026

Diese Erklärung gilt für die App Abmarsch (Handy, Uhr, Widget) und die Webseite abmarsch.app.

Kurz gesagt

Abmarsch funktioniert ohne Konto. Dann bleiben deine Termine, Orte, Pläne und dein Profil auf deinem Gerät.
Ein Konto brauchst du nur für die Familie und um ein Abo deinem Konto zuzuordnen.
Standort wird nur rund um geplante Termine genutzt. Freizeit gibt es für die App nicht.
Deine Live-Position verlässt das Gerät nur Ende-zu-Ende-verschlüsselt, nur während eines aktiven Termins, nur im freigegebenen Zeitfenster und nur an Familienmitglieder, mit denen du diesen Termin auch auf der Live-Karte teilst. Wir können sie nicht lesen.
Bist du unter 16, teilst du in der Familie erst etwas, wenn ein volljähriger Admin deiner Familie eingewilligt hat.
Keine Werbung, keine Analyse- oder Tracking-Dienste, kein Verkauf von Daten.
Du kannst jeder Verarbeitung, die auf unserem berechtigten Interesse beruht, widersprechen (Abschnitt 20).

1. Verantwortlicher

eastfreak Studios, Inhaber Steffen Kilian, Semperstraße 3d, 01069 Dresden, Deutschland, E-Mail: kontakt@abmarsch.app. Einen Datenschutzbeauftragten haben wir nicht benannt, weil keine gesetzliche Pflicht dazu besteht. Für alle Fragen zum Datenschutz erreichst du uns unter kontakt@abmarsch.app.

2. Ohne Konto: alles auf deinem Gerät

Diese Daten speichert die App nur lokal auf deinem Gerät: Orte, Termine mit Etappen, Zeiten und Wiederholung, Routine-Schritte, Ausnahmen, vergangene Wege, Statistik und Abzeichen, Einstellungen, dein Profil (Name, Geburtsjahr, wenn du es angegeben hast, Land, Region, Tonfall, Profilbild) und ein Diagnose-Protokoll (14 Tage). Ohne Konto wird davon nichts an uns übertragen. Auch ohne Konto fragt die App unseren Fahrplan-Server ab (Fahrplan, Karte, Wetter und neue App-Version, Abschnitt 4) und prüft über RevenueCat, ob ein Abo besteht (Abschnitt 11) – jeweils ohne deine Termine, Orte oder dein Profil.

Die App setzt keine Cookies und nutzt keine Werbe-ID. Welche Kennungen sie für einzelne Funktionen auf deinem Gerät anlegt, steht in den Abschnitten 8, 9 und 11.

Sicherung: Hast du die Gerätesicherung deines Handys eingeschaltet (Google-Konto bzw. iCloud), sichert das Betriebssystem diese Daten mit. Das steuerst du in den Einstellungen deines Handys.
Export und Import: Unter „Profil → Meine Daten“ kannst du eine Datei mit deinen Daten erstellen und auf einem neuen Handy einlesen. Die Datei entsteht auf deinem Gerät, du entscheidest, wohin sie geht. Sie enthält nie deinen privaten Schlüssel oder Anmeldedaten.
Vorlesen: Das Vorlesen der Schritte nutzt die Sprachausgabe deines Betriebssystems auf dem Gerät.
Widget: Das Widget auf dem Startbildschirm zeigt Daten, die schon auf deinem Handy liegen.
Lernvorschläge: Die App wertet deine vergangenen Wege nur auf deinem Gerät aus, um dir Vorschläge zu machen (z. B. „Plane 5 Minuten mehr ein“). Das Ergebnis verlässt das Gerät nicht, und nichts ändert sich ohne deine Zustimmung.

3. Standort und Bewegung

Zweck: Erkennen, wann du losgehst und ankommst, deinen Zeitpuffer berechnen und dich warnen, wenn es knapp wird.

Geofences um Start und Ziel deiner Wege (vom Betriebssystem verwaltet)
Genauer Standort (GPS) nur ab Beginn eines geplanten Wegs bis zur Ankunft; dafür läuft eine sichtbare Benachrichtigung
Bewegungserkennung des Handys (gehst, fährst, stehst du) und – wenn du eine Uhr nutzt – Schritte der Uhr, damit der Losgeh-Alarm erst bei echter Bewegung endet

Diese Auswertung passiert auf deinem Gerät. Standortdaten verlassen das Gerät nur in den Fällen aus Abschnitt 4 (Fahrplan- und Wetter-Anfrage) und Abschnitt 6 (Familie). Auf Android bestimmt das Betriebssystem den Standort über die Google-Play-Dienste; ob dabei Daten an Google gehen, hängt von den Standort-Einstellungen deines Handys ab (z. B. „Google-Standortgenauigkeit“), nicht von Abmarsch. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der App, die du nutzen möchtest). Die Berechtigungen kannst du jederzeit in den Einstellungen deines Handys entziehen; dann kann die App das Losgehen nicht mehr erkennen.

4. Bus, Bahn, Karte und Wetter

Für Haltestellensuche, Verbindungen, Abfahrten und Echtzeit fragt die App unseren eigenen Fahrplan-Server ab (Hetzner Online GmbH, Rechenzentrum Falkenstein, Deutschland). Übertragen werden Suchbegriffe, Haltestellen, Koordinaten von Start und Ziel (bei „Hier“ dein aktueller Standort) und Zeiten der Anfrage – ohne Bezug zu deinem Konto. Auch die Kartenbilder kommen von unserem Server, und einmal am Tag fragt die App dort ab, ob es eine neue Version gibt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Wir führen keine Zugriffsprotokolle. Deine IP-Adresse wird nur kurz im Arbeitsspeicher gehalten, um zu viele Anfragen in einer Minute abzuwehren. Scheitert eine Anfrage technisch, kann das Fehlerprotokoll des Servers die Anfrage mit IP-Adresse enthalten; wir nutzen es nur zur Fehlersuche, und es wird nach spätestens 14 Tagen automatisch gelöscht. Rechtsgrundlage dafür: Art. 6 Abs. 1 lit. f DSGVO (sicherer Betrieb).

Wetter: Für die Anzeige „Grad und Wetter“ auf „Heute“ und das Abzeichen „Trotz Regen“ fragt die App ebenfalls nur unseren Server. Übertragen werden die Koordinaten von Start bzw. Ziel deines Wegs, auf zwei Nachkommastellen gerundet (etwa 1 km genau), und die Uhrzeit – nie dein GPS-Standort, ohne Bezug zu deinem Konto. Unser Server holt dazu die offenen Daten des Deutschen Wetterdienstes über Bright Sky (brightsky.dev) ab; dorthin gehen nur der gerundete Ort und die Zeit, nicht deine IP-Adresse. Die Antwort bleibt etwa eine Stunde auf deinem Gerät. Ob es auf einem Weg geregnet hat, wird nur auf deinem Gerät gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Datenquellen: Fahrplandaten DELFI e.V. (CC BY 4.0), Echtzeit gtfs.de (CC BY-SA 4.0), Karten © OpenStreetMap-Mitwirkende (ODbL), Schulferien OpenHolidays API (ODbL), Wetterdaten Deutscher Wetterdienst (CC BY 4.0).

5. Konto (freiwillig)

Ein Konto brauchst du nur für die Familie und damit ein Abo für deine Familie gilt. Anmeldung:

E-Mail-Code: Wir schicken dir einen Code per E-Mail. Die Mail wird über unser Postfach bei der STRATO AG (Deutschland) versendet.
Google bzw. Apple (nur iPhone): Wir erhalten von dort deine E-Mail-Adresse und eine Kennung, nie dein Passwort. Google und Apple können zusätzlich deinen Namen und die Adresse deines Profilbilds mitschicken; unser Anmeldedienst speichert sie mit den Anmeldedaten. Hast du in der App noch keinen Namen eingetragen, schlägt die App deinen Vornamen daraus als Namen vor; du kannst ihn ändern. Das Profilbild von Google oder Apple nutzen wir nicht.
Passwort: gibt es nur für einzelne von uns angelegte Konten, zum Beispiel für die Prüfung durch die App-Stores.

Mit Konto speichern wir: E-Mail-Adresse und Anmeldezeitpunkte, Anzeigename, dein Geburtsjahr (sobald du einer Familie beitrittst oder es im Profil einträgst, Abschnitt 7), Land, Region, Tonfall, optional dein Profilbild, und je Gerät einen öffentlichen Schlüssel für die Verschlüsselung, das Push-Token, die Plattform, die App-Version und wann sich das Gerät zuletzt gemeldet hat. Für jede Anmeldung speichert der Anmeldedienst eine Sitzung mit IP-Adresse und technischer Kennung der App (User-Agent), bis du dich abmeldest oder dein Konto löschst. Meldest du dich ab, entfernen wir die Anmeldung dieses Geräts (Push-Token und öffentlichen Schlüssel) vom Server. Deine Orte bleiben auf dem Gerät. Außerdem führt unser Hosting-Anbieter technische Protokolle der Anfragen an den Server (u. a. IP-Adresse, Zeitpunkt, aufgerufene Funktion), die er nach wenigen Tagen löscht (bei unserem Tarif nach höchstens 7 Tagen).

Hosting: Supabase Inc. (USA), Daten im Rechenzentrum Frankfurt am Main (EU), Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Für mögliche Zugriffe aus den USA (z. B. Wartung durch den Anbieter) gelten die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für Sitzungen und Protokolle zusätzlich Art. 6 Abs. 1 lit. f DSGVO (Schutz deines Kontos und unserer Server vor Missbrauch).

6. Familie

Eine Familie hat Mitglieder und Admins. Wer die Familie gründet, ist Admin; Admins laden ein, entfernen Mitglieder, benennen die Familie um und machen andere zu Admins. Feste Rollen wie „Eltern“ oder „Kind“ gibt es nicht. Jedes Mitglied kann sich eine Bezeichnung geben (z. B. „Papa“, „Oma“); sie ist nur ein Name und gibt keine Rechte. Du trittst nur per Einladung bei (Code, QR-Code oder Link, 24 Stunden gültig, einmal nutzbar) und kannst die Familie jederzeit verlassen; damit endet alles Teilen in dieser Familie. Die Familie gehört zu Abmarsch Plus. Endet Plus, ist die Familie pausiert: Dann wird nichts mehr geteilt, auch kein Status, und es entstehen keine neuen Absprachen oder Anstupser. Die schon gespeicherten Familiendaten bleiben, bis jemand die Familie verlässt oder sein Konto löscht.

Was die Familie sieht und was dafür auf unserem Server liegt:

Name der Familie, Mitglieder, Admins, Bezeichnungen, Anzeigenamen und Profilbilder sowie, ob ein Mitglied unter 16 ist (Abschnitt 7)
Freigaben: mit wem du welchen Termin teilst (Status oder zusätzlich Live-Karte), in welchem Zeitfenster und ob du das Teilen gerade pausiert hast. Du teilst eigene Termine selbst, am Termin unter „Teilen mit“; die andere Person nimmt an. Andere können dich mit „Um Teilen bitten“ darum bitten; geteilt wird erst, wenn du zustimmst.
Geteilte Termine: Teilst du einen Termin, liegt er auf dem Server: Name, Start und Ziel mit Name und Koordinaten, Etappen mit Haltestellen und Linienverlauf, Zeiten und Wiederholung sowie Routine-Schritte. Das gilt auch für Termine, die du mit jemandem abmachst oder von jemandem übernimmst (siehe Absprachen). Bist du unter 16 und hat ein Admin deiner Familie eingewilligt, liegen alle deine Termine auf dem Server (Abschnitt 7). Deine gespeicherten Orte bleiben auf dem Gerät.
Status eines Termins (nur für die Personen, mit denen du ihn teilst): geplante Ankunft, losgegangen, Puffer, Ankunftsprognose, angekommen, verspätet, Bahn verpasst, abgesagt mit Grund. Daraus erzeugt der Server Mitteilungen, auch wenn dein Handy aus ist (z. B. „nicht losgegangen“, „nicht pünktlich da“, „keine Rückmeldung“).
Live-Position (nur für die Personen, mit denen du den Termin auch auf der Live-Karte teilst): Dein Gerät verschlüsselt jede Position einzeln für jedes Empfänger-Gerät (X25519, ChaCha20-Poly1305). Der Server speichert nur den verschlüsselten Text und kann ihn nicht lesen. Ob überhaupt geteilt wird, entscheidet dein Gerät: nur während eines aktiven Termins, im freigegebenen Zeitfenster und nur an diese Personen. Mit der Ankunft endet das Teilen. Ein Banner zeigt dir immer, ob und mit wem gerade geteilt wird. Du kannst das Teilen pausieren, senken oder beenden; das wirkt sofort.
Einsicht-Protokoll: wann jemand deinen Termin oder deine Position angesehen hat. Du siehst es am Termin.
Absprachen: Termin-Vorschläge (der vollständige Termin; er gilt erst, wenn die betroffene Person „Übernehmen“ tippt), vorgegebene Uhrzeiten und Fragen „Wann soll ich da sein?“ mit Ort, Uhrzeit und einer freiwilligen Nachricht (bis 80 Zeichen), Antworten („Passt!“, „Andere Zeit“), Fragen „Fällt … aus?“ für einen Tag eines Termins, Absage- und Verschiebe-Anfragen beim Alarm mit Grund (Auswahl oder kurzer Text bis 80 Zeichen) und neuer Uhrzeit, Tagesausnahmen mit Notiz. Sagst du „Passt!“ oder übernimmst du einen Vorschlag, wird der entstandene Termin automatisch mit der Person geteilt, mit der du ihn abgemacht hast – nur der Status, nicht die Live-Karte. Das zeigt dir die App schon beim Tippen an.
Verlauf: Wer einen Termin geteilt bekommt, sieht dessen Ergebnisse der letzten 28 Tage (pünktlich, verspätet, abgesagt mit Grund) – nie Positionen.
Mitteilungs-Einstellungen: welche Mitteilungen ein Mitglied je Person und Ereignis bekommen möchte.
Anstupser und Bitten ums Teilen: Kurznachrichten (bis 80 Zeichen; Anstupser höchstens 3 pro Stunde).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Familienfunktionen, die du nutzt. Für das Teilen von Status und Standort deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO – du gibst sie, wenn du einen Termin teilst, „Passt!“ sagst oder einen Vorschlag übernimmst. Bei Mitgliedern unter 16 braucht es zusätzlich die Einwilligung nach Art. 8 DSGVO (Abschnitt 7). Mehr teilen geht nur, wenn du zustimmst; weniger teilen und Widerrufen gehen jederzeit sofort in der App.

7. Kinder und Jugendliche unter 16

Abmarsch richtet sich auch an Kinder. Ohne Konto bleibt alles auf dem Handy (Abschnitt 2).
Geburtsjahr: Trittst du einer Familie bei, fragt die App einmal nach deinem Geburtsjahr; ändern kannst du es unter „Profil → Profil bearbeiten“. Wir nutzen es nur, um festzustellen, ob du unter 16 bist; das Jahr, in dem du 16 wirst, zählt dabei noch als unter 16. Es liegt auf deinem Gerät und, wenn du ein Konto hast, in deinem Profil auf unserem Server. Die Familie sieht nur „unter 16“, nicht das Jahr. Wir prüfen das Alter nicht mit Ausweis o. Ä. Ohne Geburtsjahr kannst du keiner Familie beitreten. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 8 DSGVO (wir müssen erkennen, ob für das Teilen die Einwilligung eines Erziehungsberechtigten nötig ist).
Unter 16 erst nach Einwilligung (Art. 8 DSGVO): Ein Mitglied unter 16 teilt nichts mit der Familie – keinen Status, keine Position –, bis ein volljähriger Admin der Familie (mindestens 18 Jahre alt) eingewilligt hat. Einwilligen darf nur, wer für das Kind erziehungsberechtigt oder von den Erziehungsberechtigten dazu ermächtigt ist; der Admin bestätigt das in seiner App. Wir speichern, wer wann welcher Fassung zugestimmt hat. Wir prüfen nicht mit Ausweis o. Ä., ob jemand wirklich erziehungsberechtigt ist, um nicht mehr Daten zu erheben als nötig; wer einwilligt, versichert es.
Was danach geteilt wird: Das Kind entscheidet selbst, welche Termine es mit wem teilt (Status oder zusätzlich Live-Karte). Termine, die es mit jemandem abmacht („Passt!“) oder von jemandem übernimmt („Übernehmen“), werden mit dieser Person als Status geteilt (Abschnitt 6). Hat ein Admin eingewilligt, liegen alle Termine des Kindes auf dem Server; sehen kann sie außer dem Kind nur ein Admin, der eingewilligt hat – damit ihr zusammen planen könnt. Status und Position sieht auch dieser Admin nur bei Terminen, die das Kind mit ihm teilt.
Die Einwilligung kann jederzeit in der Familie widerrufen werden. Hat danach niemand mehr eingewilligt, endet das Teilen sofort.
Absagen beim Alarm: Will ein Mitglied unter 16 einen Termin beim Alarm absagen, fragt die App die erwachsenen Admins der Familie; die erste Antwort zählt. Ab 16 sagt jeder selbst ab.
Termine, Zeiten und Freigaben eines Kindes ändert niemand direkt: Vorschläge und Absprachen gelten erst, wenn das Kind zustimmt.
Wer teilt, sieht auf seinem Gerät immer, ob und mit wem gerade geteilt wird.
Ab 16 entscheidet jedes Mitglied allein, was es teilt; eine Einwilligung braucht es dann nicht mehr.
Keine Werbung, kein Tracking, keine Weitergabe von Kinderdaten zu Werbezwecken. Abmarsch sperrt kein Handy.

8. Mitteilungen (Push)

Erinnerungen und Alarme deines eigenen Wegs erzeugt die App auf dem Gerät. Für Mitteilungen von der Familie und vom Server nutzen wir Firebase Cloud Messaging der Google Ireland Limited (Auftragsverarbeitung); das Gerät wird dafür erst angemeldet, wenn du ein Konto nutzt. Übertragen werden das Push-Token, eine Installations-Kennung, technische Gerätedaten (Modell, Betriebssystem, App-Version) und der Text der Mitteilung, zum Beispiel „Max ist losgegangen“ oder ein Anstupser. Analyse-Funktionen von Firebase nutzen wir nicht. Eine Übermittlung an Google LLC in die USA ist möglich; Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss, Art. 45 DSGVO). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; Token und Installations-Kennung auf dem Gerät sind für die Familien-Mitteilungen, die du nutzt, unbedingt nötig (§ 25 Abs. 2 Nr. 2 TDDDG). Mitteilungen kannst du in den Einstellungen deines Handys abschalten.

Wir zählen pro Stunde und Kanal, wie viele Mitteilungen zugestellt wurden oder fehlschlugen – ohne Bezug zu Personen (Abschnitt 13).

9. Kamera und QR-Code

Die Kamera nutzt die App nur, wenn du einen Einladungs-QR-Code scannst, und für dein Profilbild, wenn du eines aufnimmst. Auf Android erkennt den QR-Code Google ML Kit, das in die App eingebaut ist, direkt auf dem Gerät; auf dem iPhone erkennt ihn Apple Vision auf dem Gerät, ohne dass dabei Daten an Google gehen. In beiden Fällen gilt: Kamerabilder werden nicht übertragen. Beim Scannen auf Android legt ML Kit eine Installations-Kennung auf dem Gerät an und sendet technische Nutzungsdaten an Google (Gerätemodell, Betriebssystem, App-Version, Leistungswerte, diese Kennung), damit Google den Dienst betreiben und verbessern kann. Bevor du zum ersten Mal scannst, zeigt dir die App dazu einen Hinweis und fragt, ob du weitermachen willst. Rechtsgrundlage: deine Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen, indem du den Scanner nicht mehr nutzt und den Code stattdessen eintippst; dann wird ML Kit nicht genutzt.

10. Uhr (Wear OS)

Die Uhr-App für Wear OS zeigt deinen Weg am Handgelenk und meldet Haken, Absagen und Schritte an dein Handy. Die Daten laufen über die Gerätekopplung des Betriebssystems (Google-Play-Dienste) nur zwischen deinen eigenen Geräten. Wir erhalten diese Daten nicht. Für die App auf der Apple Watch gilt das ebenso (Gerätekopplung über iOS).

11. Abos, Käufe und Store

Abmarsch Plus kaufst du über Google Play bzw. den App Store. Den Kaufvertrag schließt du in der EU und im EWR mit dem Store (in der Schweiz mit uns, siehe Nutzungsbedingungen, Abschnitt 7); der Store wickelt die Bezahlung ab und verarbeitet deine Zahlungsdaten in eigener Verantwortung. Wir sehen keine Zahlungsdaten.

Zur Verwaltung der Abos nutzen wir RevenueCat (RevenueCat Inc., USA, Auftragsverarbeitung). Damit die App erkennt, ob Plus aktiv ist, legt sie eine zufällige Kennung auf deinem Gerät an (mit Konto deine Konto-Kennung) und fragt RevenueCat im Hintergrund nach dem Abo-Status. RevenueCat erhält diese Kennung, Kaufdaten (Produkt, Zeitpunkte, Store, Beleg), technische Gerätedaten und die IP-Adresse – keine Standort- oder Wegedaten. Die Übermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Damit Plus für deine ganze Familie gilt, speichern wir auf unserem Server, ob und bis wann dein Konto ein aktives Abo hat (Tarif, Produkt, Store, Ablaufdatum). Diese Angaben meldet RevenueCat unserem Server, wenn sich dein Abo ändert. Erstellst du eine Einladung oder trittst du einer Familie bei und kennt unser Server dein Abo noch nicht (z. B. weil du vor der Anmeldung gekauft hast), fragt unser Server mit deiner Konto-Kennung bei RevenueCat nach dem Abo-Status und speichert das Ergebnis. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; die Kennung auf dem Gerät ist nötig, um Plus freizuschalten (§ 25 Abs. 2 Nr. 2 TDDDG).

Bewertung und Updates: Bittet dich die App um eine Bewertung oder bietet sie ein Update an, nutzt sie die Dialoge von Google Play bzw. dem App Store. Was du dort angibst, verarbeitet der Store in eigener Verantwortung; wir sehen nur öffentliche Bewertungen.

12. „Problem melden“

Nur wenn du in der App „Problem melden“ tippst, erstellt die App einen Bericht und zeigt ihn dir vorher vollständig an: App-Version, Betriebssystem, Gerätemodell, Tarif, Stand der Berechtigungen, die letzten 10 Wege (Datum, Ergebnis, Ursachen) und das Diagnose-Protokoll – nie Koordinaten. Er geht nur an uns, wenn du ihn selbst über dein E-Mail-Programm sendest oder als Datei teilst. Wir nutzen ihn nur, um dein Problem zu lösen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

13. Betriebsdaten (ohne Personenbezug)

Damit wir Ausfälle schnell bemerken, prüft unser Server regelmäßig, ob alle Bausteine laufen. Dafür speichern wir nur Betriebswerte: Ergebnisse der Prüfungen, Antwortzeiten, Auslastung des Servers, Zähler für Mitteilungen pro Stunde, ein Fehler-Protokoll der Server-Funktionen (Kennungen, E-Mail-Adressen und Koordinaten werden vor dem Speichern entfernt) und Nutzungszahlen nur als Summen (z. B. Zahl der Konten, Familien, Wege pro Tag, Anteil pünktlicher Wege). Nie einzelne Personen, Namen, Kennungen oder Orte. Wer ohne Konto nutzt, taucht darin gar nicht auf. Aufbewahrung: 35 Tage. Rechtsgrundlage, soweit doch ein Personenbezug entstehen sollte: Art. 6 Abs. 1 lit. f DSGVO (sicherer und zuverlässiger Betrieb).

Absturzberichte sammeln wir nicht selbst. Google und Apple stellen uns zusammengefasste Absturzstatistiken bereit, wenn du in deinem Handy das Teilen von Diagnosedaten mit dem Hersteller erlaubt hast.

14. Diese Webseite

Die Webseite abmarsch.app läuft auf unserem eigenen Server bei der Hetzner Online GmbH in Deutschland (Auftragsverarbeitung nach Art. 28 DSGVO). Beim Aufruf verarbeitet der Server technisch notwendig deine IP-Adresse, um die Seite auszuliefern. Wir führen keine Zugriffsprotokolle (zum Fehlerprotokoll siehe Abschnitt 4), setzen keine Cookies und nutzen keine Analyse- oder Tracking-Dienste. Schriften, Karten und Programmbibliotheken liegen auf unserem Server; es werden keine Inhalte von Google Fonts oder anderen fremden Servern geladen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sicherer Betrieb der Webseite).

Planer „Wann musst du los?“: Dein Browser schickt die eingegebenen Orte und die Ankunftszeit an unseren Fahrplan-Server; wir speichern diese Anfragen nicht. Tippst du auf „Start merken“ oder „Ziel merken“, speichert dein Browser Name und Position dieses Orts nur lokal (localStorage); mit „×“ oder dem Löschen der Webseitendaten entfernst du ihn. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG, weil du das Speichern ausdrücklich anforderst. Tippst du auf „Mein Standort“, fragt dein Browser um Erlaubnis; nur dann geht dein Standort einmalig für diese Abfrage an unseren Server und wird nicht gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO.

Einladungslinks: Die Seite abmarsch.app/join zeigt nur den Einladungscode aus dem Link an, falls die App nicht installiert ist. Es wird nichts gespeichert.

15. Kontakt per E-Mail

Schreibst du uns an kontakt@abmarsch.app, verarbeiten wir deine Nachricht und Adresse, um dir zu antworten. Die E-Mails liegen bei unserem Mail-Anbieter STRATO AG in Deutschland (Auftragsverarbeitung). Wir löschen sie, wenn sie nicht mehr gebraucht werden, spätestens nach 2 Jahren, sofern keine gesetzliche Aufbewahrungspflicht besteht (z. B. für Geschäftsbriefe). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, wenn es um deine Nutzung von Abmarsch geht, sonst Art. 6 Abs. 1 lit. f DSGVO (deine Anfrage beantworten).

16. Empfänger und Übermittlung in Drittländer

Supabase Inc. (Konto- und Familiendaten, Rechenzentrum Frankfurt) – Auftragsverarbeiter; für Zugriffe aus den USA EU-Standardvertragsklauseln
Hetzner Online GmbH (Fahrplan-Server, Karten, Wetter, Webseite, Deutschland) – Auftragsverarbeiter
STRATO AG (E-Mail, Deutschland) – Auftragsverarbeiter
RevenueCat Inc. (Abo-Verwaltung, USA) – Auftragsverarbeiter; EU-Standardvertragsklauseln
Google Ireland Limited (Firebase Cloud Messaging) – Auftragsverarbeiter; mögliche Übermittlung an Google LLC (USA) nach dem EU-US Data Privacy Framework
Google (ML Kit, Google-Anmeldung, Google Play) und Apple (Apple-Anmeldung, App Store) – für ihre Dienste in eigener Verantwortung
Bright Sky (brightsky.dev, Wetterdaten des Deutschen Wetterdienstes) – bekommt von unserem Server nur gerundete Orte und Zeiten, nichts, was auf dich verweist
Mitglieder deiner Familie – nur das, was du teilst oder mit ihnen abmachst; bei Mitgliedern unter 16 außerdem deren Termine für den Admin, der eingewilligt hat (Abschnitt 7)

Wir verkaufen keine Daten und geben sie nicht für Werbung weiter.

17. Speicherdauer

Daten auf deinem Gerät: bis du sie löschst oder die App entfernst; Diagnose-Protokoll 14 Tage
Live-Positionen (verschlüsselt): 24 Stunden
Ereignisse eines Wegs: 30 Tage
Wege (Status und Ergebnis): 90 Tage
Einsicht-Protokoll: 30 Tage
Einladungen: 24 Stunden gültig, gelöscht 7 Tage nach Ablauf
Entschiedene Absprachen und Anfragen: 90 Tage; Tagesausnahmen (z. B. „heute krank“): 30 Tage nach dem Tag
Anstupser: 30 Tage
Freigaben und Push-Einstellungen: bis zur Änderung, bis zum Verlassen der Familie oder bis zur Löschung des Kontos
Einwilligungen für Mitglieder unter 16: bis zum Widerruf oder bis das Mitglied oder der Admin, der eingewilligt hat, die Familie verlässt
Mitgliedschaft, Admin-Status und Bezeichnung: bis zum Verlassen der Familie oder bis zur Löschung des Kontos
Geräte, die sich 180 Tage nicht gemeldet haben: werden gelöscht
Anmelde-Sitzungen: bis zur Abmeldung oder Löschung des Kontos; technische Protokolle des Hosting-Anbieters: höchstens 7 Tage
Fehlerprotokoll des Fahrplan- und Webservers: wird automatisch gelöscht (Abschnitt 4)
Betriebsdaten (Abschnitt 13): 35 Tage
Konto, Profil (mit Geburtsjahr), Profilbild, geteilte Termine und Abo-Status: bis zur Löschung des Kontos (in der App unter „Profil → Meine Daten“ oder auf abmarsch.app/konto-loeschen). Dabei werden alle Daten des Kontos gelöscht, ebenso Familien, in denen niemand mehr ist, und deine Kaufdaten bei RevenueCat. Hast du dich mit Apple angemeldet, widerrufen wir dabei auch den Zugriff von Abmarsch bei Apple; Apple erhält dafür nur die Kennung der Anmeldung.
Kaufdaten bei RevenueCat ohne Konto: solange die App sie zur Prüfung des Abos braucht; auf Wunsch lassen wir sie löschen. Kaufbelege der Stores bewahren Google bzw. Apple nach ihren Regeln auf.

18. Pflicht oder freiwillig, keine automatisierten Entscheidungen

Du bist nicht verpflichtet, uns Daten zu geben. Ohne Standort-Berechtigung kann die App das Losgehen nicht erkennen, ohne Konto gibt es keine Familie, und ohne Geburtsjahr kannst du keiner Familie beitreten. Wir treffen keine automatisierten Entscheidungen, die dir gegenüber rechtliche Wirkung haben oder dich ähnlich erheblich beeinträchtigen (Art. 22 DSGVO). Lernvorschläge berechnet die App nur auf deinem Gerät (Abschnitt 2).

19. Datensicherheit

Alle Verbindungen der App und der Webseite sind verschlüsselt (HTTPS/TLS). Live-Positionen sind Ende-zu-Ende-verschlüsselt; der private Schlüssel liegt nur im geschützten Speicher deines Handys (Android Keystore bzw. iOS-Schlüsselbund) und verlässt es nie, auch nicht im Export. Auf dem Server sieht jedes Mitglied durch Zugriffsregeln in der Datenbank nur die Daten seiner eigenen Familie.

20. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3), in der App am Termin unter „Teilen mit“ bzw. in der Familie; für den QR-Scan, indem du den Code eintippst (Abschnitt 9). In der App kannst du unter „Profil → Meine Daten“ deine Daten exportieren und dein Konto löschen. Alle anderen Anfragen schickst du an kontakt@abmarsch.app; wir antworten innerhalb eines Monats.

Widerspruchsrecht (Art. 21 DSGVO): Verarbeiten wir Daten auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO – in den Abschnitten 4, 5, 13, 14 und 15 genannt), kannst du dem jederzeit aus Gründen, die sich aus deiner besonderen Situation ergeben, widersprechen. Dann verarbeiten wir diese Daten nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Eine formlose Nachricht an kontakt@abmarsch.app genügt.

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), zum Beispiel bei der für uns zuständigen: Sächsische Datenschutz- und Transparenzbeauftragte, Maternistraße 17, 01067 Dresden (Post: Postfach 11 01 32, 01330 Dresden), www.datenschutz.sachsen.de. Nutzer in der Schweiz können sich auch an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten wenden (www.edoeb.admin.ch).

21. Änderungen

Wir passen diese Erklärung an, wenn sich die App oder die Rechtslage ändert. Die aktuelle Fassung findest du in der App und auf abmarsch.app/datenschutz.