Datenschutzerklärung

3.1 Nutzerkonto und Anmeldung

Für ein Konto werden E-Mail-Adresse und Passwort gespeichert. Das Passwort wird ausschließlich als kryptografischer Hash abgelegt und ist für uns nicht einsehbar. Wahlweise kann die Anmeldung über Google oder über Apple erfolgen; in diesem Fall werden E-Mail-Adresse und die vom jeweiligen Anbieter übermittelte Kennung verarbeitet. Bei „Anmelden mit Apple“ kann die E-Mail-Adresse auf Wunsch über den Weiterleitungsdienst von Apple verborgen bleiben.

Wahlweise lässt sich eine Zwei-Faktor-Anmeldung einrichten; für Konten des Wanderer-Teams ist sie Pflicht. Dafür wird ein geheimer Schlüssel gespeichert, aus dem eine Authenticator-App auf dem eigenen Gerät wechselnde sechsstellige Codes erzeugt; bei der Anmeldung wird der eingegebene Code mit diesem Schlüssel geprüft. Welche Authenticator-App verwendet wird, erfahren wir nicht. Der Schlüssel wird gelöscht, wenn die Zwei-Faktor-Anmeldung ausgeschaltet oder das Konto gelöscht wird.

Zusätzlich werden Zeitpunkt der Registrierung sowie Zeitpunkte der Anmeldungen protokolliert, um Missbrauch der Zugänge nachvollziehen zu können.

3.2 Profil

Im Profil werden Vorname, Nachname, eine freiwillige Selbstbeschreibung sowie ein optionales Profilbild gespeichert, dazu der Stand der Wanderpunkte, der sich aus abgeschlossenen Challenges ergibt. Ein Profil lässt sich in den Einstellungen auf „privat“ stellen; dann sind Inhalte und Verbindungen nur für bestätigte Follower sichtbar. Freiwillig lässt sich außerdem das Geschlecht angeben; es ist für niemanden sichtbar und dient ausschließlich Mitwander-Terminen nur für Frauen (3.22).

Vorname, Nachname und Profilbild sind für andere Nutzerinnen und Nutzer sichtbar, sobald Beiträge veröffentlicht, Kommentare verfasst oder Verbindungen eingegangen werden. Profilbilder werden in einem öffentlich adressierbaren Speicherbereich abgelegt: Wer die Adresse eines Bildes kennt, kann es auch ohne Anmeldung abrufen.

3.3 Standortdaten

Die App greift auf den Standort des Geräts zu, sobald dies im Betriebssystem freigegeben wurde. Die Freigabe kann in den Systemeinstellungen jederzeit widerrufen werden; die App bleibt dann mit eingeschränktem Funktionsumfang nutzbar.

Der Standort wird für vier Zwecke verwendet:

• Kartenanzeige: Die eigene Position wird auf der Karte dargestellt und dient der Suche nach Wegen und Hütten in der Umgebung. Diese Positionsdaten werden nur auf dem Gerät verarbeitet und nicht an unsere Server übertragen. Zur ungefähren Ortung durch die Kartenbibliothek von Mapbox siehe 3.12.
• Notfall-Ansicht: Die aktuellen Koordinaten werden angezeigt, damit sie im Notfall an die Rettungskräfte weitergegeben werden können. Eine automatische Übermittlung an Einsatzorganisationen oder an uns erfolgt nicht. Auf Wunsch übergibt die App die Koordinaten samt Kartenlink als vorbereiteten Text an die Nachrichten-App des Geräts; Empfänger und Versand bestimmt allein die nutzende Person. Die Notfall-Ansicht ist auch ohne Anmeldung erreichbar.
• Tourenaufzeichnung: Wird eine Aufzeichnung gestartet, erfasst die App laufend Position, Seehöhe und Zeitstempel (siehe 3.4). Wird dabei auf einer Wanderung mit hinterlegter Strecke navigiert, vergleicht die App die Positionen fortlaufend mit der Strecke, um den Fortschritt anzuzeigen und bei einer Abweichung hinzuweisen. Dieser Abgleich findet ausschließlich auf dem Gerät statt; gespeichert wird mit der Tour nur, zu welcher Wanderung sie gehört.
• Live-Standort teilen: Nur wenn es während einer Aufzeichnung ausdrücklich gestartet wird, meldet die App die Position etwa alle zwei Minuten an unsere Server, damit Personen mit dem Link sie sehen können (siehe 3.21).

Eine gestartete Aufzeichnung läuft weiter, wenn die App in den Hintergrund wechselt oder das Display gesperrt wird — andernfalls bliebe die Tour unvollständig. Das gilt ausschließlich für die Dauer der Aufzeichnung: Wird lediglich die Karte betrachtet, endet die Ortung, sobald die App in den Hintergrund wechselt. Eine laufende Aufzeichnung ist jederzeit erkennbar, auf iOS am blauen Standortindikator, auf Android an einer dauerhaften Systembenachrichtigung.

3.4 Aufgezeichnete Touren

Wird eine Tour aufgezeichnet und gespeichert, entsteht ein Bewegungsprofil der zurückgelegten Strecke. Gespeichert werden der Streckenverlauf als Abfolge von Koordinaten mit Seehöhe und Zeitstempel, Start- und Endzeit, Dauer, Distanz, Höhenmeter im Auf- und Abstieg sowie die Durchschnittsgeschwindigkeit.

Diese Daten sind dem Konto zugeordnet und dienen der eigenen Auswertung. Sie werden nicht veröffentlicht, solange sie nicht aktiv als Beitrag geteilt werden. Einzelne Aufzeichnungen lassen sich in der App jederzeit löschen und einzeln als GPX-Datei exportieren. Die Datei entsteht auf dem Gerät und wird über das Teilen-Menü des Betriebssystems weitergegeben; wohin, bestimmt allein die nutzende Person. Für einen Dienst, an den sie die Datei weitergibt, gelten dessen Datenschutzbestimmungen.

Eine Aufzeichnung wird zuerst auf dem Gerät gesichert und erst danach an unsere Server übertragen. Besteht beim Speichern keine Verbindung, bleibt sie auf dem Gerät liegen und wird übertragen, sobald wieder eine besteht; bis dahin ist sie in der App als noch nicht übertragen gekennzeichnet und lässt sich dort auch verwerfen. Dasselbe gilt für eine laufende Aufzeichnung, die durch ein Beenden der App unterbrochen wurde: Sie bleibt auf dem Gerät erhalten und kann beim nächsten Start fortgesetzt oder beendet werden. Diese Sicherung findet ausschließlich auf dem Gerät statt.

Wird eine Aufzeichnung als Beitrag geteilt, sieht jede Person, die den Beitrag sehen kann, Datum, Start- und Endzeit, Distanz, Dauer, Höhenmeter, das Höhenprofil und den Streckenverlauf auf einer Karte. Die Zeitpunkte der einzelnen Wegpunkte und die Durchschnittsgeschwindigkeit bleiben dem eigenen Konto vorbehalten. Streckenverläufe können Rückschlüsse auf Wohn- und Aufenthaltsorte zulassen. Vor dem Teilen einer Aufzeichnung in der Community ist daher zu bedenken, dass Start- und Endpunkt für andere sichtbar werden.

3.5 Community-Inhalte

Beiträge, hochgeladene Bilder, Kommentare sowie „Gefällt mir“-Angaben werden mit Zeitpunkt und Kontobezug gespeichert und sind für andere Nutzerinnen und Nutzer sichtbar. Empfehlungen und Bewertungen zu Wanderungen behandelt gesondert Abschnitt 3.20 — sie werden vor der Veröffentlichung geprüft und sind bis dahin nicht sichtbar. Gleiches gilt für die Verbindungen des sozialen Graphen: wem gefolgt wird und wer folgt. Bei privaten Profilen sind diese Angaben auf bestätigte Follower beschränkt; die entsprechende Prüfung erfolgt serverseitig.

Wer Inhalte veröffentlicht, entscheidet selbst über deren Umfang. Von der Veröffentlichung besonderer Kategorien personenbezogener Daten — etwa Gesundheitsdaten — ist abzuraten. Bilder, auf denen andere Personen erkennbar sind, sollten nur mit deren Zustimmung hochgeladen werden.

Veröffentlichte Inhalte lassen sich in der App löschen. Bereits von Dritten angefertigte Kopien oder Bildschirmfotos entziehen sich unserem Einfluss.

Eigene Beiträge lassen sich außerdem nachträglich bearbeiten, und zwar Text und Fotos; die verknüpfte Tour bleibt. Ein bearbeiteter Beitrag trägt den Hinweis „bearbeitet“, gespeichert wird dazu der Zeitpunkt der letzten Änderung. Die frühere Fassung bewahren wir nicht auf; entfernte Fotos werden sofort aus dem Speicher gelöscht. Wurde der Beitrag gemeldet, bleibt der Text zum Zeitpunkt der Meldung bei der Meldung erhalten (3.6).

3.6 Meldungen und Sperren

Beiträge, Kommentare, Profile, Nachrichten und Mitwander-Termine (3.22) können gemeldet werden. Zu einer Meldung werden das meldende Konto, das betroffene Konto, der gewählte Meldegrund, eine allfällige Erläuterung, der Zeitpunkt sowie der Stand der Bearbeitung gespeichert. Zusätzlich wird der beanstandete Text zum Zeitpunkt der Meldung festgehalten, damit die Prüfung auch dann nachvollziehbar bleibt, wenn der Inhalt zwischenzeitlich gelöscht wurde; betrifft die Meldung ein Bild in einer Nachricht, wird an dessen Stelle der Verweis auf die beanstandete Bilddatei festgehalten. Der gemeldeten Person wird die Identität der meldenden Person nicht offengelegt.

Jede Meldung wird an das Postfach info@wanderer-app.cc zugestellt und dort geprüft; der Versand erfolgt über Resend (siehe Abschnitt 4). Je nach Ergebnis werden Inhalte ausgeblendet oder entfernt und Konten gesperrt. Melden mehrere Personen unabhängig voneinander denselben Beitrag, Kommentar oder Termin, wird dieser vorläufig automatisch ausgeblendet, bis die Prüfung abgeschlossen ist. Die verfassende Person sieht den eigenen Inhalt weiterhin; die Entscheidung über die endgültige Entfernung trifft stets ein Mensch.

Ergänzend lassen sich einzelne Konten sperren. Gespeichert wird dabei, wer wen gesperrt hat, samt Zeitpunkt — nur so lassen sich die Inhalte beider Seiten voneinander fernhalten. Eine Sperre wirkt wechselseitig; die gesperrte Person wird darüber nicht verständigt. Bestehende Follower-Verbindungen zwischen den beiden Konten werden dabei gelöscht; war die gesperrte Person bei einem Mitwander-Termin der sperrenden dabei oder umgekehrt, endet diese Teilnahme (3.22).

3.7 Direktnachrichten

Über die Chat-Funktion ausgetauschte Nachrichten werden mit Inhalt, Absender und Zeitstempel auf unseren Servern gespeichert, damit sie auf allen Geräten der Beteiligten zur Verfügung stehen. Eine Nachricht kann auch ein Bild enthalten. Es wird aus der Galerie gewählt oder unmittelbar mit der Kamera aufgenommen, vor dem Hochladen auf dem Gerät verkleinert und getrennt vom Text gespeichert. Anders als Bilder in Beiträgen liegen diese Bilder in einem nicht öffentlichen Speicherbereich: Sie sind nur aus einer angemeldeten Sitzung der am Gespräch beteiligten Konten abrufbar, nicht über eine allgemein zugängliche Adresse. Der Zugriff ist technisch auf die Beteiligten des jeweiligen Gesprächs beschränkt. Eine Ende-zu-Ende-Verschlüsselung besteht nicht: Ein Zugriff durch uns wäre technisch möglich, erfolgt jedoch ausschließlich anlassbezogen — etwa bei einer Meldung nach 3.6, bei begründetem Verdacht auf strafbares Verhalten oder aufgrund behördlicher Anordnung.

Zu jedem Mitwander-Termin (3.22) gehört ein Gruppenchat der anlegenden Person und der Zugesagten. Er funktioniert wie ein Gespräch zu zweit, nimmt aber keine Bilder an, lässt sich bis drei Tage nach dem Termin beschreiben und wird mit dem Termin gelöscht. Wer aus dem Termin aussteigt oder entfernt wird, verlässt auch den Gruppenchat und sieht dessen Nachrichten nicht mehr. Nachrichten einer gesperrten Person (3.6) sind auch in der Gruppe nicht zu sehen.

3.8 Challenges, Wanderpunkte, Prämien und Gewinnchancen

An Challenges nimmt jedes Konto automatisch teil; ein gesondertes Annehmen gibt es nicht. Wie ein Abschluss festgestellt wird, hängt von der Art der Challenge ab.

Challenges, die aus vorhandenen Daten ausgewertet werden: Je nach Aufgabenstellung werden dafür die aufgezeichneten Touren (Strecke, Höhenmeter, Dauer, Anzahl, Datum sowie der zugeordnete Weg und dessen Region) oder die Anzahl eigener Beiträge, Kommentare, Reaktionen und Folge-Verbindungen ausgewertet. Diese Angaben entstehen nicht neu für Challenges — sie werden für die dort genannten Zwecke ohnehin gespeichert und hier zusätzlich für die Auswertung herangezogen. Die Auswertung erfolgt auf unseren Servern und wird bei jeder Anzeige neu berechnet; ein eigener Fortschrittswert wird nicht dauerhaft geführt.

Foto-Challenges: Wer eine Foto-Aufgabe erfüllt, lädt ein Bild hoch, das von unserem Team gesichtet und bestätigt oder abgelehnt wird. Gespeichert werden das Bild, ein allfälliger eigener Kommentar, der Zeitpunkt, der Bearbeitungsstand, das prüfende Teammitglied, der Zeitpunkt der Prüfung sowie eine allfällige Begründung bei Ablehnung. Zur Einordnung der Einreichung halten wir zusätzlich fest, ob das Bild unmittelbar mit der Kamera aufgenommen oder aus der Galerie gewählt wurde, ob am selben Tag eine Tour aufgezeichnet wurde, und — sofern der Standort freigegeben ist — die Entfernung zum Ziel der Challenge in Metern. Die Standortkoordinaten selbst werden dabei nicht gespeichert. Die Freigabe des Standorts ist freiwillig; eine Einreichung ist auch ohne sie möglich. Auf Wunsch kann aus dem Bild zugleich ein Beitrag im Feed werden — dieser Beitrag ist von der Prüfung unabhängig und wird nach Abschnitt 3.5 verarbeitet.

Challenges, die einen Ort verlangen: Wird eine Tour aufgezeichnet, gleichen wir deren Verlauf serverseitig mit dem Ziel der Challenge ab. Alternativ lässt sich vor Ort bestätigen, dass man da ist; dabei wird die aktuelle Position an unseren Server übermittelt, mit dem Ziel verglichen und nicht gespeichert — festgehalten wird allein, ob das Ziel erreicht wurde.

Challenges mit Code: Gespeichert wird, dass der Code eingelöst wurde, nicht der Code selbst je Person.

Wanderpunkte: Über die Wanderpunkte wird ein Konto geführt. Jede Gutschrift und jede Ausgabe wird mit Betrag, Anlass, Bezug zur jeweiligen Challenge oder Prämie und Zeitpunkt festgehalten. Das dient der Nachvollziehbarkeit des Punktestandes — sowohl für die Nutzerinnen und Nutzer, die den Verlauf in der App einsehen können, als auch für uns bei Rückfragen. Punkte werden erst gutgeschrieben, wenn sie in der App abgeholt werden. Ist einer Challenge ein Abzeichen zugeordnet, wird dessen Vergabe mit Zeitpunkt vermerkt.

Einlösen einer Prämie. Beim Einlösen wird der Punktestand um die Kosten der Prämie verringert und die Buchung im Punktekonto festgehalten. Zusätzlich entsteht ein Eintrag über die Einlösung selbst: welche Prämie, zu welchen Kosten, auf welchem Weg sie ausgehändigt wird, der Zeitpunkt und der Bearbeitungsstand. Bezeichnung und Kosten werden dabei so festgehalten, wie sie zum Zeitpunkt der Einlösung galten. Wird ein Gutscheincode aus einem Vorrat zugeteilt oder der Code eines Partnerbetriebs übernommen, wird er im Eintrag gespeichert; er ist der Nachweis und in der App jederzeit einsehbar. Bei einem Gutschein zum Vorzeigen wird zusätzlich festgehalten, wann er vor Ort eingelöst wurde.

Lieferadresse. Nur bei Prämien, die zugeschickt werden, fragen wir Name, Straße, Postleitzahl, Ort und Land ab. Diese Angaben werden ausschließlich an der jeweiligen Bestellung gespeichert, nicht am Konto. Sie werden für den Versand verwendet und danach gelöscht (Frist in Abschnitt 6); bei einer Stornierung entfallen sie sofort.

An Partnerbetriebe werden dabei keine Daten übermittelt — die Abwicklung erfolgt in jedem Fall durch uns.

Bei Gewinnchancen werden Teilnahme, Zeitpunkt und ein allfälliger Teilnahmekommentar gespeichert. Wird eine Teilnahme von der Auslosung ausgeschlossen, halten wir zusätzlich den Grund, den Zeitpunkt und das entscheidende Teammitglied fest.

Die Auslosung selbst wird protokolliert: die gezogene Person, ihr Name zum Zeitpunkt der Ziehung, die Zahl der gültigen Teilnahmen, der Zeitpunkt und das auslösende Teammitglied. Wird eine Ziehung verworfen, kommt die Begründung dazu. Das Protokoll dient dem Nachweis eines ordnungsgemässen Ablaufs und ist nur für unser Team einsehbar; in der App ist allein sichtbar, wer gewonnen hat.

Im Gewinnfall verständigen wir die gezogene Person zweifach: mit einer Mitteilung in der App und mit einer E-Mail an die Adresse des Kontos, versendet über Resend. Der Zeitpunkt der Verständigung und der gesendete Text werden an der Ziehung festgehalten. Weitere zur Abwicklung nötige Angaben sind gesondert bekanntzugeben und werden nach Abwicklung gelöscht, soweit keine Aufbewahrungspflicht besteht.

3.8a „Wanderer der Woche“

Bei diesem Wettbewerb entscheidet der Zuspruch der Community: Gewertet wird je Person der Beitrag einer Kalenderwoche mit den meisten „Gefällt mir“-Angaben. Dafür werden keine neuen Daten erhoben — ausgewertet werden die Beiträge und Angaben, die nach Abschnitt 3.5 ohnehin gespeichert sind; die Auswertung erfolgt auf unseren Servern und wird bei jeder Anzeige neu berechnet.

Nach Ablauf einer Woche prüft unser Team das Ergebnis und schließt die Woche ab. Dabei werden Platzierung, der Name zu diesem Zeitpunkt, die Zahl der „Gefällt mir“-Angaben, der Bezug zum Beitrag, der Zeitpunkt und das abschließende Teammitglied festgehalten. Diese Angaben ändern sich danach nicht mehr — auch dann nicht, wenn Angaben zurückgenommen werden oder der Beitrag gelöscht wird. Das ist der Zweck: Eine Auszeichnung, deren Grundlage sich nachträglich verschiebt, wäre nicht nachvollziehbar.

Wird ein Beitrag von der Wertung ausgeschlossen, halten wir zusätzlich den Grund, den Zeitpunkt und das entscheidende Teammitglied fest — der Nachweis, dass der Ausschluss vor dem Abschluss der Woche und aus einem sachlichen Grund erfolgte.

Wer auf dem Podest steht, wird in der App mit Vor- und Nachnamen, Profilbild und dem ausgezeichneten Beitrag genannt, und zwar auch nach Ablauf der Woche. Beiträge von Konten mit privatem Profil nehmen an der Wertung nicht teil; damit wird niemand genannt, dessen Inhalte nicht ohnehin öffentlich sind.

Die Platzierten werden mit einer Mitteilung in der App verständigt. Gibt es für die Woche ein Goodie, geht zusätzlich eine E-Mail an unser Team — sie enthält Platzierung, Name und die Zahl der Reaktionen und ist der Anlass, den Versand in die Wege zu leiten. Versendet wird sie über Resend (siehe Abschnitt 4).

Für den Versand melden wir uns bei der platzierten Person: mit einer Nachricht in der App und einer E-Mail an die Adresse des Kontos, ebenfalls über Resend. Zeitpunkt und Text halten wir an der Woche fest. Die für den Versand nötigen Angaben, insbesondere die Anschrift, sind uns in der Antwort bekanntzugeben; sie liegen dann in unserem E-Mail-Postfach und werden nach der Abwicklung gelöscht, soweit keine Aufbewahrungspflicht besteht. Eine Adresse am Konto oder an einer Bestellung entsteht dabei nicht — anders als beim Einlösen einer Prämie (Abschnitt 3.8).

3.9 Support-Anfragen

Wird über die App eine Support-Anfrage gestellt, werden Kategorie, Betreff, Nachrichtentext und Kontobezug gespeichert. Im Zuge der Bearbeitung kommen der Bearbeitungsstand, eine interne Einstufung der Dringlichkeit, das zuständige Teammitglied, unsere Antwort sowie allfällige interne Notizen zur Anfrage hinzu. Bei Kontaktaufnahme per E-Mail gilt Entsprechendes für die übermittelten Angaben.

Umgekehrt kann sich unser Team von sich aus an ein Konto wenden — etwa zu einer Meldung, einer Prämien-Einlösung oder einer Betreuungsvereinbarung. Das geschieht auf einem von zwei Wegen. Als Nachricht in der App entsteht dabei eine gewöhnliche Unterhaltung zwischen dem Konto des Teammitglieds und dem angeschriebenen Konto; gespeichert wird sie wie jede andere Direktnachricht (siehe 3.7), und eine Antwort geht denselben Weg zurück. Als E-Mail an die Adresse des Kontos wird der Text an unseren E-Mail-Dienstleister übermittelt (siehe Abschnitt 4) und zusätzlich als Eintrag im Mitteilungsbereich der App angelegt, damit er auch dort nachvollziehbar bleibt; Antworten gehen an info@wanderer-app.cc. Ein gesondertes Protokoll dieser Kontaktaufnahmen führen wir nicht — es bleibt bei der Unterhaltung beziehungsweise beim Eintrag im Mitteilungsbereich.

3.10 Benachrichtigungen

Push-Benachrichtigungen werden nur nach Freigabe im Betriebssystem versendet. Für die Zustellung wird eine Gerätekennung (Push-Token) von Firebase Cloud Messaging bezogen und dem Konto zugeordnet gespeichert, gemeinsam mit der Plattform des Geräts. Ungültig gewordene Kennungen werden automatisch entfernt.

Zu jeder Benachrichtigung wird ein Eintrag im Mitteilungsbereich der App angelegt, damit sie auch nachträglich einsehbar bleibt. Anlässe sind etwa neue Follower, Reaktionen auf eigene Beiträge, Nachrichten, abgeschlossene Challenges, Anfragen, Zusagen, Änderungen und Erinnerungen bei Mitwander-Terminen sowie Mitteilungen unseres Teams zu Vorgängen des Kontos. Die Freigabe kann in den Systemeinstellungen jederzeit widerrufen werden.

Unter „Einstellungen → Benachrichtigungen“ lässt sich zusätzlich festlegen, welche Anlässe auf das Gerät zugestellt werden — insgesamt oder je Kategorie. Diese Wahl wird dem Konto zugeordnet gespeichert, damit sie auf weiteren Geräten und nach einer Neuinstallation erhalten bleibt. Sie betrifft ausschließlich die Zustellung: Der Eintrag im Mitteilungsbereich der App wird weiterhin angelegt, damit im Konto nachvollziehbar bleibt, was geschehen ist.

3.11 Nutzungsanalyse und Absturzberichte

Die App kann Nutzungsstatistiken über Google Analytics für Firebase erheben. Erfasst werden derzeit:

• die aufgerufenen Bereiche der App
• die Anmeldung und die Registrierung samt der dabei verwendeten Methode (E-Mail, Google oder Apple)
• der Start und der Abschluss einer Aufzeichnung — beim Abschluss zusätzlich Distanz, Dauer und Höhenmeter der Tour
• das Öffnen einer Detailseite, mit der Angabe, um welche Art von Inhalt es sich handelt (Wanderung, Hütte, Region, Partnerbetrieb, Beitrag, Gewinnchance, Challenge, Wegweiser oder Prämie) und mit dessen interner Kennung
• das Teilen eines solchen Inhalts, mit denselben beiden Angaben
• der eingegebene Suchbegriff samt der Angabe, in welchem Reiter gesucht wurde. Erfasst wird ausschließlich die Suche nach Wanderungen, Hütten, Regionen und Partnerbetrieben; die Suche nach Personen und die Suche in Beiträgen sind ausgenommen
• die Kontaktaufnahme mit einem Partnerbetrieb aus der App heraus, mit dessen Kennung und der Angabe, ob angerufen, geschrieben oder dessen Website geöffnet wurde
• die Einblendung und das Antippen eines Werbebanners, mit dessen Kennung und der Position in der App

Übermittelt werden dabei zusätzlich die Konto-Kennung in Form der internen Benutzer-ID, eine vom SDK vergebene Instanz-Kennung, Gerätetyp, Betriebssystemversion, App-Version sowie der ungefähre Standort auf Länderebene. Name, E-Mail-Adresse und Streckenverläufe werden nicht übermittelt.

Bewusst nicht an Google übermittelt werden Vorgänge, die ohnehin einen Eintrag in unserer Datenbank erzeugen — verfasste Beiträge und Kommentare, vergebene und eingelöste Wanderpunkte, abgeschlossene Challenges, Teilnahmen an Gewinnchancen und Folgen-Beziehungen. Diese Zahlen werten wir unmittelbar in unserer eigenen Datenbank aus; eine zusätzliche Übermittlung an einen Auswertungsdienst hätte keinen weiteren Zweck.

Diese Statistiken sind pseudonymisiert, nicht anonymisiert. Die Ereignisse tragen weder Namen noch E-Mail-Adresse, bleiben über die Benutzer- und die Instanz-Kennung aber einem Konto und einer App-Installation zuordenbar. Sie gelten damit weiterhin als personenbezogene Daten; die Rechte nach Abschnitt 8 erstrecken sich auch auf sie.

Mit derselben Zustimmung übermittelt die App Berichte über Abstürze und über Fehler, die sie nicht selbst abfängt, an Firebase Crashlytics. Ein Bericht enthält die Fehlermeldung und die Programmstelle, an der der Fehler aufgetreten ist, den Zeitpunkt, die App-Version, Gerätemodell, Betriebssystem und dessen Version, freien Speicher und Arbeitsspeicher sowie eine vom SDK vergebene, zufällige Installationskennung. Beim Übertragen wird technisch bedingt die IP-Adresse verarbeitet. Die Berichte werden nicht mit dem Konto verknüpft; Name, E-Mail-Adresse, Benutzer-ID und Standort gehen nicht mit.

Beides ist standardmäßig deaktiviert und findet ausschließlich nach ausdrücklicher Zustimmung statt. Diese Zustimmung wird beim ersten Anmelden abgefragt und lässt sich in der App unter „Einstellungen → Datenschutz & Analyse“ jederzeit mit Wirkung für die Zukunft widerrufen. Nach einem Widerruf senden die SDKs weder Ereignisse noch Absturzberichte und verwerfen lokal zwischengespeicherte Daten; noch nicht übermittelte Absturzberichte werden gelöscht. Die getroffene Wahl wird dem Konto zugeordnet gespeichert, damit sie auf weiteren Geräten und nach einer Neuinstallation erhalten bleibt.

3.12 Kartendarstellung und Karten ohne Netz

Das Kartenmaterial stammt von Mapbox, einem Dienst der Mapbox, Inc. mit Sitz in den Vereinigten Staaten; dargestellt wird es mit der Kartenbibliothek von Mapbox, die in die App eingebunden ist. Beim Laden von Kartenkacheln, Kartenstil und Schriften wird die IP-Adresse des Geräts an die Server von Mapbox übertragen; ohne diese Übertragung ist eine Anzeige technisch nicht möglich. Aus den abgerufenen Kacheln ist erkennbar, welcher Kartenausschnitt angezeigt wird. Mitgesendet werden der Zugangsschlüssel unseres Kontos, über den Mapbox den Abruf uns zuordnet, und eine zufällig erzeugte Kennung, mit der Mapbox die Zahl der Geräte ermittelt, auf denen im Monat eine Karte geöffnet wurde — danach rechnet Mapbox mit uns ab. Konto-, Aufzeichnungs- oder Community-Daten werden nicht übermittelt. Die eigene Position auf der Karte und in einer Aufzeichnung bestimmt die App selbst und übermittelt sie nicht an Mapbox; zum Kartenbild der Seite beim Live-Teilen siehe 3.21. Die Kartendaten beruhen auf OpenStreetMap.

Unabhängig davon fragt die Kartenbibliothek, sofern die Standortfreigabe erteilt ist, selbst einen ungefähren Standort des Geräts ab (auf etwa einen Kilometer genau) und verwendet ihn für eine Konfigurationsanfrage an Mapbox. Mapbox legt nicht im Einzelnen offen, in welcher Form er dabei übermittelt wird; wir gehen deshalb davon aus, dass ein ungefährer Standort an Mapbox übermittelt wird.

Darüber hinaus kann die Kartenbibliothek Nutzungs- und Diagnosedaten an Mapbox senden (Telemetrie). In der App ist das ab Werk abgeschaltet; über das Symbol ⓘ in der Karte lässt es sich ein- und wieder ausschalten.

Über die Verarbeitung dieser Daten entscheidet Mapbox eigenverantwortlich; ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO besteht daher nicht. Nach seiner Datenschutzerklärung löscht Mapbox IP-Adressen nach 30 Tagen. Die Datenschutzerklärung des Anbieters ist unter mapbox.com/legal/privacy abrufbar.

Karten ohne Netz: Wanderungen und frei gewählte Gebiete lassen sich für den Gebrauch ohne Netz auf dem Gerät speichern. Geladen werden dabei die Kartenkacheln des Gebiets über Mapbox — mit denselben Verbindungsdaten wie oben — und bei einer Wanderung deren Beschreibung, Strecke und Höhenprofil, die Hütten am Weg sowie einzelne Bilder von unseren Servern. Das Gespeicherte bleibt auf dem Gerät; welche Wanderungen oder Gebiete jemand gespeichert hat, wird nicht an uns übermittelt.

3.13 Wetterdaten

Wettervorhersagen für Wege, Hütten und Regionen werden serverseitig in regelmäßigen Abständen abgerufen und zwischengespeichert. Der Abruf erfolgt für den jeweiligen Ort, nicht für einzelne Nutzerinnen und Nutzer; ein Personenbezug entsteht dabei nicht.

3.14 Partnerinhalte und Werbeflächen

In der App werden Hinweise auf Partnerbetriebe und Angebote eingeblendet. Diese Inhalte stammen von unseren eigenen Servern; Werbenetzwerke Dritter, Tracking-Pixel oder Wiedererkennungsmerkmale für Werbezwecke kommen nicht zum Einsatz. Eine Ausspielung nach persönlichen Interessen findet nicht statt.

3.15 Bewertung im App Store

Unter „Einstellungen → App bewerten“ öffnet die App ihre Seite im App Store beziehungsweise bei Google Play; bewertet wird dort. Ob und was bewertet wird, erfahren wir nicht. Für die weitere Verarbeitung ist der jeweilige Store-Betreiber verantwortlich.

3.16 Gemerkte Wege und Hütten

Wege und Hütten lassen sich als Favorit markieren. Gespeichert werden dabei der markierte Eintrag, der Kontobezug und der Zeitpunkt. Diese Merkliste ist für andere Nutzerinnen und Nutzer nicht sichtbar; die Markierung lässt sich in der App jederzeit wieder aufheben.

3.17 Betreuung von Hütten, Regionen und Partnerbetrieben

Hütten, Regionen und Partnerbetriebe können von den zuständigen Betrieben selbst gepflegt werden. Dafür laden wir die zuständige Person per E-Mail ein. Zur Einladung werden die E-Mail-Adresse, die betroffene Hütte, Region oder der betroffene Partnerbetrieb, das einladende Teammitglied sowie der Zeitpunkt gespeichert.

Meldet sich die eingeladene Person mit einem Konto an, das dieselbe E-Mail-Adresse trägt, wird die Einladung automatisch eingelöst: Es entsteht eine Zuordnung zwischen Konto und Betrieb, festgehalten mit Zeitpunkt und einladendem Teammitglied, und die Einladung wird als angenommen vermerkt. Diese Zuordnung allein entscheidet darüber, welche Inhalte bearbeitet werden dürfen; eine eigene Kontoart entsteht dadurch nicht — es bleibt ein gewöhnliches Nutzerkonto, das die App unverändert nutzen kann. Am Konto wird zusätzlich vermerkt, dass eine Betreuung besteht. Dieser Vermerk ergibt sich aus den Zuordnungen, entfällt mit der letzten davon und dient allein der Übersicht in unserer Verwaltung: In der App ist er nicht zu sehen, und er verleiht keine weitergehenden Rechte. Die Pflege selbst erfolgt nicht in der App, sondern in einem gesonderten Verwaltungsbereich im Web.

Eine Einladung lässt sich widerrufen, ebenso eine bestehende Zuordnung wieder entfernen. Nicht angenommene und widerrufene Einladungen werden zwölf Monate danach automatisch gelöscht. Angenommene Einladungen und die Zuordnungen selbst bleiben, solange die Betreuung dauert — sie belegen, wer eine Berechtigung erteilt hat und wer sie ausübt.

3.18 Teilen von Inhalten

Beiträge, der Wegweiser des Tages, Wanderungen, Hütten, Regionen, Gewinnchancen, Challenges, Partnerbetriebe und Mitwander-Termine lassen sich über die Teilen-Funktion des Betriebssystems weitergeben — an einen Messenger, per E-Mail oder in ein soziales Netzwerk. Weitergegeben wird dabei eine Adresse der Form wanderer-app.cc/s/… Wer sie öffnet und die App installiert hat, landet unmittelbar in der App; alle anderen sehen eine Seite auf unserer Website, die den geteilten Inhalt anzeigt und die App anbietet. Beim Wegweiser des Tages geht zusätzlich das Motiv als Bilddatei mit, weil dort das Bild der Inhalt ist.

Wer teilt, macht den Inhalt für jede Person zugänglich, die den Link erhält — auch ohne Konto. Für Beiträge gilt dabei eine serverseitig geprüfte Einschränkung: Sie werden auf dieser Seite nur angezeigt, wenn das Profil der verfassenden Person öffentlich ist. Beiträge aus privaten Profilen sowie ausgeblendete oder gelöschte Beiträge zeigt die Seite nicht; der Link führt dann auf einen Hinweis ohne Inhalt. Für Mitwander-Termine zeigt die Seite Wanderung, Zeitpunkt, Ort, Tempo und freie Plätze; wer einlädt und den Text dazu nur bei einem Termin des Teams oder eines Partnerbetriebs oder wenn das Profil der anlegenden Person öffentlich ist. Wer an einem Termin teilnimmt, steht nie darauf, und ausgeblendete Termine zeigt die Seite nicht (3.22). Die Seiten sind für Suchmaschinen gesperrt und werden daher nicht in Suchergebnissen erscheinen.

Teilen kann nicht nur die verfassende Person, sondern jede, die den Beitrag in der App sieht. Ein einmal weitergegebener Link lässt sich nicht zurückholen; wird der Beitrag gelöscht oder das Profil auf privat gestellt, zeigt die Seite den Inhalt aber spätestens fünfzehn Minuten später nicht mehr an. Kopien, die Empfänger bereits angefertigt haben, entziehen sich unserem Einfluss — dasselbe gilt innerhalb der App (siehe 3.5).

Beim Aufruf einer solchen Seite verarbeiten wir IP-Adresse, Zeitpunkt, angeforderte Adresse und die Angaben des Browsers, um die Seite auszuliefern und Störungen zu erkennen. Diese Protokolle entstehen bei Firebase Hosting und Cloud Functions (siehe Abschnitt 4); die Seite selbst wird in einem Rechenzentrum in Belgien erzeugt.

3.19 Newsletter

Wer beim Anlegen des Kontos oder später in den Einstellungen zustimmt, erhält einige Male im Jahr eine E-Mail mit Hinweisen auf neue Wege, Hütten, Regionen und Gewinnchancen. Verarbeitet werden dafür die E-Mail-Adresse und der Vorname des Kontos sowie der Zeitpunkt und der Ort der Zustimmung — ob sie beim Anlegen des Kontos oder in den Einstellungen erteilt wurde. Der Vorname dient allein der Anrede.

Ohne Zustimmung wird keine solche E-Mail versendet. Die Zustimmung ist nicht vorausgewählt und für die Nutzung der App nicht erforderlich. Sie lässt sich jederzeit mit Wirkung für die Zukunft widerrufen: mit einem Tipp auf den Abmeldelink am Fuß jeder dieser E-Mails — dafür ist keine Anmeldung nötig — oder in der App unter Einstellungen → Benachrichtigungen. Nach dem Widerruf wird keine weitere Aussendung mehr zugestellt, auch keine, die zu diesem Zeitpunkt bereits vorbereitet war.

Zu jeder Aussendung wird festgehalten, an welche Adresse zugestellt wurde und ob die Zustellung gelungen ist. Das ist erforderlich, um eine doppelte Zustellung zu verhindern und einer Beschwerde nachgehen zu können. Eine Messung, ob eine E-Mail geöffnet oder ein Link darin angeklickt wurde, findet nicht statt — die Aussendungen enthalten keine Zählpixel und keine umgeschriebenen Links.

Zeitpunkt und Ort jeder Zustimmung und jedes Widerrufs werden gesondert protokolliert. Ohne diesen Nachweis gilt eine Einwilligung nach Art. 7 Abs. 1 DSGVO als nicht erteilt; das Protokoll dient ausschließlich diesem Zweck und wird mit dem Konto gelöscht.

Der Versand läuft über Resend (siehe Abschnitt 4), denselben Dienst, über den auch die E-Mails zum Konto versendet werden.

3.20 Empfehlungen und Vorschläge für Wanderungen

Eine Wanderung lässt sich in der App empfehlen. Gespeichert werden dabei die Begründung, eine freiwillige Bewertung von einem bis fünf Sternen, allfällige Fotos, der Zeitpunkt und der Kontobezug. Betrifft die Empfehlung eine Wanderung, die es in der App noch nicht gibt, kommen die Angaben zu diesem Weg hinzu: Name, Startpunkt, Startort sowie freiwillig Beschreibung, Länge, Gehzeit, Höhenmeter und Schwierigkeit. Wird dafür eine eigene Aufzeichnung als Grundlage gewählt, wird deren Streckenverlauf als Kopie in den Vorschlag übernommen — die Aufzeichnung selbst bleibt unberührt und wird dadurch nicht veröffentlicht.

Jede Einreichung wird vor der Veröffentlichung von einem Menschen geprüft. Bis dahin ist sie nur für die einreichende Person und für unser Team sichtbar. Zu jeder Entscheidung werden der Zeitpunkt, das entscheidende Konto und bei einer Ablehnung der Grund festgehalten. Dieser Prüfvermerk ist zugleich der Nachweis dafür, dass negative Bewertungen nicht zurückgehalten werden (§ 2 Abs. 4 Z 2 UWG).

Nach der Freigabe erscheint die Empfehlung öffentlich bei der Wanderung — mit Vorname, Nachname, Profilbild, Bewertung, Text und Fotos, auch für nicht angemeldete Besucherinnen und Besucher einer geteilten Seite. Wer das nicht möchte, reicht keine Empfehlung ein; die Funktion ist freiwillig und für die Nutzung der App nicht erforderlich. Zurückziehen lässt sich eine Empfehlung jederzeit in der App unter Profil → Meine Empfehlungen; damit werden Text, Bewertung und Fotos gelöscht.

Zu den Fotos: Sie werden beim Auswählen auf dem Gerät verkleinert und neu kodiert. Dabei fallen die in der Datei mitgeführten Zusatzangaben weg, insbesondere Aufnahmezeit und allfällige GPS-Koordinaten. Was von einem Foto übrig bleibt, ist das Bild.

Wird ein Foto mit gesonderter Zustimmung eingereicht, kann es als Bild der Wanderung übernommen werden. Es wird dadurch redaktioneller Inhalt der App, erscheint unabhängig von der Empfehlung und bleibt nach dem Zurückziehen der Empfehlung oder nach einer Kontolöschung bestehen. Diese Zustimmung ist nicht vorausgewählt, keine Bedingung für die Veröffentlichung und jederzeit über privacy@wanderer-app.cc widerrufbar; wir entfernen das Bild dann.

Für eine veröffentlichte Empfehlung und für einen übernommenen Vorschlag wird eine Punktebuchung angelegt (Abschnitt 3.8). Über die Entscheidung verständigt eine Mitteilung in der App (Abschnitt 3.10). Beim Eingang einer Einreichung geht eine E-Mail an unser Postfach info@wanderer-app.cc; sie enthält den eingereichten Text, den Anzeigenamen und einen Verweis auf die Einreichung, keine E-Mail-Adresse.

3.21 Live-Standort teilen

Während einer Aufzeichnung lässt sich der eigene Standort mit selbst gewählten Personen teilen — etwa mit Angehörigen, die wissen möchten, wo man unterwegs ist. Die App erzeugt dafür einen Link der Form wanderer-app.cc/live/… und übergibt ihn an das Teilen-Menü des Betriebssystems; an wen er geht, bestimmt allein die nutzende Person. Ohne diesen ausdrücklichen Schritt wird keine Position geteilt.

Solange geteilt wird, meldet die App etwa alle zwei Minuten die zuletzt ermittelte Position samt Zeitpunkt an unsere Server; bei fehlendem Empfang die nächste, sobald wieder eine Verbindung besteht. Die Meldung läuft auch bei gesperrtem Display weiter, solange die Aufzeichnung läuft (3.3). In der Aufzeichnung ist erkennbar, dass geteilt wird und wann die letzte Position angekommen ist.

Wer den Link hat, sieht ohne Konto und ohne App: den Vornamen, die Wanderung, falls die Aufzeichnung auf einer gestartet wurde, die letzte Position mit Koordinaten und Zeitpunkt sowie den Weg der letzten Stunden auf einem Kartenbild. Nachname, Profilbild und andere Angaben aus dem Konto zeigt die Seite nicht. Der Link enthält eine zufällige Zeichenfolge, ist nicht aus Konto- oder Gerätekennungen abgeleitet und nicht erratbar; er ist aber nicht an eine Person gebunden — wer ihn weitergeleitet bekommt, sieht dasselbe. Die Seite ist für Suchmaschinen gesperrt.

Das Teilen endet mit der Aufzeichnung — beim Beenden, Speichern oder Verwerfen —, von Hand in der Aufzeichnung und spätestens nach 24 Stunden. Mit dem Ende werden alle gemeldeten Positionen gelöscht; der Link zeigt danach nur noch an, dass nicht mehr geteilt wird. Besteht beim Beenden keine Verbindung, holt die App das Löschen nach, sobald wieder eine besteht; unabhängig davon endet das Teilen am Server nach 24 Stunden.

Das Kartenbild der Seite erzeugt unser Server bei Mapbox (3.12): Er übermittelt dafür die zuletzt gemeldeten Positionen, ohne Namen, Link oder sonstige Kennung. Die IP-Adresse der Person, die die Seite ansieht, erreicht Mapbox dabei nicht. Die Schaltflächen „In Google Maps öffnen“ und „In Apple Karten öffnen“ übergeben die letzte Position an den jeweiligen Dienst — erst, wenn sie angetippt werden; dann gelten dessen Datenschutzbestimmungen.

Beim Aufruf der Seite verarbeiten wir wie bei geteilten Inhalten (3.18) IP-Adresse, Zeitpunkt, angeforderte Adresse und die Angaben des Browsers, um die Seite auszuliefern und Störungen zu erkennen.

Die Funktion ersetzt keinen Notruf. Ob eine Position ankommt, hängt von Empfang, Akku und den Einstellungen des Geräts ab; eine Ortung durch Einsatzorganisationen findet darüber nicht statt.

3.22 Mitwandern

Unter „Mitwandern“ lässt sich ein Termin an einer Wanderung der App anlegen, zu dem andere mitkommen können. Gespeichert werden die Wanderung, Datum und Uhrzeit, die Zahl der freien Plätze, das gewünschte Tempo, ein frei formulierter Text und der Treffpunkt, dazu wer den Termin angelegt hat und wann. Wer mitkommen möchte, fragt an; gespeichert werden die Anfrage samt einer allfälligen kurzen Nachricht, ihr Zeitpunkt und ob sie angenommen, abgelehnt oder zurückgezogen wurde.

Termine können auch unser Team und Partnerbetriebe anlegen („offizielle Termine“). Ein Termin des Teams nennt die Person aus dem Team, die ihn angelegt hat — mit Vorname, Nachname, Profilbild und Team-Abzeichen —, ein Termin eines Partnerbetriebs dessen Namen; angelegt wird er über das Konto eines Teammitglieds beziehungsweise einer Person, die den Betrieb in der App betreut, und dieses Konto ist Mitglied des Gruppenchats. Offizielle Termine haben bis zu 30 Plätze und können Anfragen sofort annehmen, solange Plätze frei sind — dann ist man mit der Anfrage dabei.

Für alle angemeldeten Personen sichtbar sind der Termin mit Wanderung, Zeitpunkt, Tempo, freien Plätzen und Text sowie Vorname, Nachname und Profilbild der anlegenden Person und die Zahl der Touren, die sie in der App aufgezeichnet hat — auch wenn ihr Profil privat ist (3.2). Die App weist vor dem Anlegen darauf hin. Personen, die einander gesperrt haben (3.6), sehen die Termine der jeweils anderen nicht.

Ein Termin lässt sich als Link teilen (3.18). Die Seite dazu zeigt auch ohne Anmeldung Wanderung, Zeitpunkt, Ort, Tempo und freie Plätze — Name und Text der anlegenden Person aber nur, wenn ihr Profil öffentlich ist. Bei offiziellen Terminen steht der Text immer da, dazu der Name des Betriebs beziehungsweise „Wanderer-Team“, bei öffentlichem Profil mit dem Vornamen des Teammitglieds. Wer teilnimmt, nennt die Seite nie. Offizielle Termine können wir zusätzlich in der App hervorheben.

Nur die anlegende Person und die Zugesagten sehen den genauen Treffpunkt, wer zugesagt hat, und den Gruppenchat (3.7). Die anlegende Person sieht zusätzlich die offenen Anfragen mit Vorname, Nachname, Profilbild, Zahl der aufgezeichneten Touren und der Nachricht zur Anfrage — auch hier unabhängig davon, ob das Profil der anfragenden Person privat ist. Die Nachricht zur Anfrage sehen andere Teilnehmende nicht. Die Zahl der Touren wird bei jedem Abruf aus den gespeicherten Touren berechnet und nicht eigens festgehalten; Strecken, Zeiten oder Orte der Touren gibt die Funktion nicht heraus.

Über Anfragen, Zusagen, Absagen, geänderte Zeiten oder Treffpunkte und abgesagte Termine benachrichtigt die App die Beteiligten (3.10), dazu einmal zwischen 24 Stunden und einer Stunde vor Beginn mit einer Erinnerung. Termin, Anfragen, Teilnahmen, Treffpunkt und Gruppenchat samt Nachrichten werden 90 Tage nach dem Termin automatisch gelöscht (Abschnitt 6).

Für Challenges (3.8) kann eine Mitwanderung zählen: als dabei gilt, wer den Termin angelegt hat oder zugesagt war, der Termin nicht abgesagt wurde und am selben Tag eine Tour auf genau dieser Wanderung aufgezeichnet hat. Ausgewertet wird das auf unserem Server aus den vorhandenen Daten; eigens gespeichert wird dafür nichts.

Termine nur für Frauen. Ein Termin kann als „nur für Frauen“ ausgeschrieben werden. Anlegen und dort anfragen kann nur, wer als Geschlecht „weiblich“ angegeben hat. Die Angabe ist freiwillig — im Onboarding, unter „Einstellungen → Konto“ oder beim ersten Frauen-Termin — und lautet „weiblich“, „männlich“, „divers“ oder „keine Angabe“. In der App und in unserem Verwaltungsbereich ist sie für niemanden sichtbar, auch nicht für die anlegende Person; sie steht weder im Profil noch auf der Seite eines geteilten Links. Ausgewertet wird sie nur auf unserem Server, wenn jemand einen Frauen-Termin anlegt, dort anfragt oder zugesagt bekommt. Nachgeprüft wird sie nicht. Wer „keine Angabe“ wählt, löscht sie; mit dem Konto wird sie ebenfalls gelöscht.

Wir vermitteln nur den Kontakt. Ob und wie man sich trifft, entscheiden die Beteiligten selbst; die Regeln dafür stehen in Abschnitt 8c der Nutzungsbedingungen.