Datenschutzerklärung

Stand: 23. Oktober 2026

Abenteuer und Einladungen

Wenn du ein Abenteuer startest, speichern wir den gewählten Inhalt, abgehakte Schritte und Start-, Änderungs- und Abschlusszeit in deinem Konto. Abhaken ist deine eigene Angabe, kein GPS-Nachweis. Die letzten sechs geöffneten Abenteuer mit Fortschritt können verschlüsselt auf deinem Gerät zum Offline-Lesen liegen. Begleitungs-Einladungen verbinden das Abenteuer mit dem einladenden und gegebenenfalls dem annehmenden Konto. Ihr Link ist 14 Tage gültig; abgelaufene Einladungen werden beim täglichen Bereinigungslauf gelöscht. Teile einen solchen Link nur mit der gewünschten Person. Öffentliche Vorschauen zeigen keine Konto- oder Standortdaten von dir. Freiwillige Entdeckungsnotizen, ausgewählte Details und Fotos bleiben auf deinem Gerät und werden beim Abmelden oder Kontowechsel entfernt. Sie sind nicht Teil des Serverexports oder der Cloud-Sicherung. Du kannst Notizen über das Teilen-Menü exportieren. Bei einer Erinnerungskarte kannst du ein eigenes Foto auswählen; Titel, Datum und öffentlicher Abenteuerlink werden mitgeteilt, Notizen und genaue Koordinaten nicht. Fotos können sichtbare Ortsmerkmale enthalten. Die im Konto gespeicherten Abenteuer- und Einladungsdaten dienen der gewünschten Funktion (Art. 6 Abs. 1 lit. b DSGVO), sind Teil deines Exports und werden mit deinem Konto gelöscht.

Nutzung und Zahlungsübersicht

Für interne Gesamtzahlen zu Nutzung und Bezahlung zählen wir vorhandene Aufgaben-, Sitzungs- und Abenteuerdaten. Bei einem Abenteuerstart kann zusätzlich die allgemeine Herkunft des Links gespeichert werden, etwa „first-discovery“ oder ein Kampagnenname, ohne Werbe-Kennung. Wir speichern eine aktualisierte Zusammenfassung der von Stripe bestätigten ersten und letzten Zahlung, des Zahlbetrags der letzten 28 vollständigen Tage nach Erstattungen sowie Probezeitraum und Vertragsstatus. Freigeschalteter Zugang zählt dabei nicht automatisch als Kauf. Zweck ist, die Nutzung und Wirtschaftlichkeit des Dienstes zu verstehen; Rechtsgrundlage ist unser berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO. Du kannst dieser Auswertung über privacy@glenby.de widersprechen. Es gibt dafür keine zusätzlichen Werbe-Cookies, Bewegungsprofile oder Einsicht in private Nachrichten. Die kontoabhängigen Zusammenfassungen sind exportierbar und werden bei Kontolöschung entfernt; gesetzlich aufzubewahrende Zahlungsbelege beim Zahlungsdienstleister bleiben davon unberührt.

Verantwortlicher

Verantwortlich für die Datenverarbeitung ist Senorit (siehe Impressum), erreichbar unter privacy@glenby.de.

Konto

Für Glenby brauchst du ein Konto. Ohne Anmeldung lässt sich die App nicht nutzen; es gibt keinen rein lokalen Modus. Wir verarbeiten dafür deine E-Mail-Adresse und dein Passwort. Dein Passwort überträgst du bei der Anmeldung über eine verschlüsselte Verbindung an unseren Server. Wir speichern es dort nur als bcrypt-Hash, nicht im Klartext. Zum Wiederherstellen deines Chat-Verlaufs sichern wir außerdem eine mit deinem Passwort oder deinem Wiederherstellungscode verschlüsselte Kopie deines Schlüssels. Solange dein Passwort oder dein Code bei uns eintrifft, hindert uns technisch nichts daran, diese Kopie zu öffnen. Wir tun das nicht. Konten, die vor Version 0.56.0 angelegt wurden, stellen wir erst um, wenn die Umstellung freigeschaltet ist; das ist derzeit nicht der Fall. Bis zur Umstellung, bei Anmeldung mit einer älteren App-Version und bei der ersten Anmeldung auf einem neu installierten Gerät kann dein Passwort noch an unseren Server übertragen werden (nur über eine verschlüsselte Verbindung, nur als bcrypt-Hash gespeichert). Dieser Übergang endet spätestens am 13. April 2027. Meldest du dich mit Google an, tritt an die Stelle des Passworts eine Kennung deines Google-Kontos. Zum Konto gehören außerdem dein Anzeigename, dein Freundescode und dein Fortschritt (XP, Level, Serie, erledigte Aufgaben). Damit der Schutz deiner Serie auf mehreren Geräten übereinstimmt, speichern wir auch erhaltene und verbrauchte Schutzguthaben sowie geschützte Tage. Diese Angaben sind Teil deines Datenexports. Bei der Registrierung speichern wir mit Zeitpunkt, dass du erklärt hast, mindestens 18 Jahre alt zu sein. Dein Geburtsdatum bleibt auf deinem Gerät.

Benutzername

Wählst du einen Benutzernamen, speichern wir ihn zusammen mit dem Zeitpunkt der letzten Änderung und deiner Einstellung, ob du darüber auffindbar sein willst. Ist sie aus, findet dich niemand über den Namen. Frühere Namen merken wir uns nur so lange, wie sie nach einer Änderung gesperrt bleiben, damit sie nicht sofort von jemand anderem übernommen werden.

Profilangaben

Füllst du dein Profil aus, speichern wir deine Angaben zu Tempo, Gelände, Distanz, Erfahrung und Verfügbarkeit, dein gewähltes Avatar-Motiv, deinen Kurztext und deine Antworten auf die Profilfragen. Sie dienen dazu, dir und einer befreundeten Person gemeinsame Vorschläge zu machen. Alle Angaben sind freiwillig und lassen sich jederzeit ändern oder leeren.

Mein Ausflug

Nutzt du Mein Ausflug, speichern wir deinen aktuellen Plan mit Zeitbudget, Schwerpunkt, ausgewählten Aufgaben und besuchten Stationen in deinem Konto. So bleibt er nach einer Neuinstallation oder einem Gerätewechsel erhalten. Auf deinem Gerät liegt zusätzlich eine verschlüsselte Kopie zum Offline-Lesen. Änderungen werden online gespeichert. Ein neuer Plan ersetzt den bisherigen; bei einer Kontolöschung wird der gespeicherte Plan gelöscht. Er ist Teil deines Datenexports.

Heimatregion

Damit die App erkennt, wann du unterwegs bist, speichern wir eine grobe Heimatregion samt dem Zeitpunkt, zu dem du sie gesetzt oder geändert hast. Das ist eine Region, kein genauer Ort, und sie ersetzt keine laufende Ortung.

Standort

Beim Erledigen einer Aufgabe wird einmalig dein ungefährer Standort (GPS) als Echtheitsnachweis erfasst und mit der Erledigung gespeichert. Außerhalb des Live-Teilens gibt es keine Hintergrund-Ortung und kein Bewegungsprofil. Teilst du deinen Standort live, erfasst die App ihn, solange das Teilen läuft und die App geöffnet ist. Die App sendet ihn Ende-zu-Ende verschlüsselt an die Freunde, die du gewählt hast. Unser Server leitet ihn weiter und speichert ihn nicht. Einen einzelnen Standort-Pin aus dem Anhang-Menü eines Chats sendest du selbst, als Ende-zu-Ende verschlüsselte Nachricht.

Fotos

Aufgaben-Fotos bleiben lokal auf deinem Gerät. Ob ein Foto zur Aufgabe passt, prüfen Bilderkennungsmodelle ausschließlich auf deinem Gerät (allgemeine Bildbeschriftung sowie Modelle für Vögel, Insekten und Pflanzen); dabei wird nichts übertragen oder gespeichert. Teilst du ein Foto mit Freunden, wird es zuvor auf deinem Gerät auf schädliche Inhalte geprüft, von Standort-Metadaten (EXIF/GPS) befreit und Ende-zu-Ende-verschlüsselt übertragen. Wir speichern nur den verschlüsselten Inhalt und können ihn nicht lesen.

Sichere Rückmeldung

Aktivierst du eine sichere Rückmeldung, speichern wir bis zum Ablauf: die von dir gewählte Zeit, die von dir gewählte Kontaktperson und deinen letzten Standort, diesen ausschließlich Ende-zu-Ende-verschlüsselt für diese eine Person. Wir können ihn nicht lesen. Er wird erst nach Ablauf der Frist an deine Kontaktperson freigegeben, vorher nie. Meldest du dich zurück oder brichst ab, wird der Eintrag gelöscht (spätestens nach sieben Tagen; ausgelöste Rückmeldungen nach 30 Tagen). Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, die du jederzeit widerrufen kannst. Die Funktion ist kein Notruf.

SOS, Notfallkarte und Sturzerkennung

Löst du SOS aus, geht an die von dir gewählte Kontaktperson dieselbe Ende-zu-Ende-verschlüsselte Standortmeldung wie bei einer abgelaufenen Rückmeldung, nur sofort. Wir können sie nicht lesen, und es wird niemand angerufen: die Funktion ist kein Notruf und ersetzt die 112 nicht. Deine Notfallkarte (Blutgruppe, Allergien, Vorerkrankungen, Kontakte) sind Gesundheitsdaten nach Art. 9 DSGVO. Sie liegen verschlüsselt auf deinem Gerät, sind in keinem Backup und werden mit der App gelöscht. Hast du das Teilen der Karte eingeschaltet, wird sie während einer laufenden Rückmeldung zusammen mit deinem Standort Ende-zu-Ende-verschlüsselt übertragen. Wir können sie nicht lesen, und deine Kontaktperson kann sie erst öffnen, wenn ein Alarm ausgelöst wird. Rechtsgrundlage ist deine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO. Die Sturzerkennung wertet die Bewegungssensoren deines Geräts nur auf dem Gerät selbst aus, nur solange eine Rückmeldung läuft und nur wenn du sie eingeschaltet hast; Sensordaten verlassen dein Gerät nie.

Abonnements und Zahlung

Für kostenpflichtige Abos wickelt unser Zahlungsdienstleister Stripe die Zahlung ab. Wir speichern keine vollständigen Zahlungsdaten, sondern nur die zur Vertragsverwaltung nötige Kennung und deinen Tarifstatus. Kaufst du in der Android-App über den externen Zahlungslink, melden wir die Transaktion an Google Play. Wir melden Betrag ohne Steuer, Steuerbetrag, Währung, Zeitpunkt, Land, eine eigene Transaktionskennung (abgeleitet von der Rechnungsnummer) und das Token, das Google Play für den Kauf ausgegeben hat. Das gilt auch für Folgezahlungen und Rückerstattungen. Name und E-Mail-Adresse melden wir nicht.

Videoanrufe

1:1-Videoanrufe werden direkt zwischen den Geräten übertragen (WebRTC, verschlüsselt) und nicht aufgezeichnet. Ein Relay-Dienst (Cloudflare) vermittelt nur die Verbindung.

Sprachbefehle und Sprachnachrichten als Text

Sprachbefehle („Glen“) werden vollständig auf deinem Gerät verarbeitet. Die Spracherkennung übernimmt der Offline-Erkenner deines Android-Systems (Google, ab Android 12) oder, wo es den nicht gibt, ein lokales Sprachmodell in der App; das Verstehen des Befehls übernimmt ein kleines Modell in der App. Weder das Audio noch der erkannte Text noch der Befehl verlassen dein Gerät, und wir speichern nichts davon. Ausgeführt wird nur, was du auf dem Gerät bestätigst; ein Befehl, der Sichere Rückmeldung, SOS oder deinen Standort betrifft, wartet immer auf deine Bestätigung. Dasselbe lokale Sprachmodell wandelt auf Wunsch Sprachnachrichten in Text um (Glenby+). Fehlt der Offline-Erkenner oder wünschst du die Transkription, lädt die App einmalig ein Sprachmodell (etwa 57 MB) von Hugging Face, Inc. (USA) herunter, erst nachdem du zugestimmt hast; dabei erhält Hugging Face deine IP-Adresse, aber keine Inhalts- oder Kontodaten. In Versionen, die du über Google Play installierst, liefert Google Play das Sprachmodell als Teil der App-Auslieferung (Play Asset Delivery); dort gibt es keinen eigenen Zustimmungsdialog und kein Herunterladen von Hugging Face. Lädt dein Android-System ein Sprachpaket nach, geschieht das über Googles Dienste nach dessen Bedingungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der Funktion, die du nutzt).

Offline-Routen

Auf Android kann Glenby Routen direkt auf deinem Gerät berechnen. Erst wenn du die Downloadgröße prüfst oder Wegdaten herunterlädst oder aktualisierst, kontaktiert dein Gerät brouter.de. Dabei werden deine IP-Adresse und die angefragte Region (5 × 5 Grad) übermittelt, keine Kontodaten und keine genauen Start- oder Zielkoordinaten. Die Wegdaten bleiben bis zum Entfernen auf deinem Gerät; sie enthalten keine persönlichen Routen. Routenberechnung mit vorhandenen Wegdaten erfolgt lokal. Ist sie nicht möglich, kann bei Internetverbindung die Online-Routenberechnung über unseren Server genutzt werden. Kartenbilder werden unabhängig davon über das Karten-SDK geladen.

Freunde und Benachrichtigungen

Für die Freundesfunktion verarbeiten wir deinen Freundescode und deine Verbindungen. Wählst du eine Namens- oder Nachrichtenfarbe, speichern wir die gewählten Farb-Kennungen (keine Inhalte), damit deine Freunde sie anzeigen können. Aktivierst du Erinnerungen und bist angemeldet, speichern wir einen Geräte-Push-Token und stellen Benachrichtigungen über Firebase Cloud Messaging (Google) zu. Die Benachrichtigungen laufen dabei über Googles Server und enthalten je nach Art zum Beispiel den Anzeigenamen der absendenden Person, die Kennung der Unterhaltung, bei Anrufen die Art des Anrufs, bei der Sicheren Rückmeldung den Fälligkeitszeitpunkt, bei Ausflugs-Einladungen den Gruppencode und bei Chat-Nachrichten die Ende-zu-Ende-verschlüsselte Nachricht (den verschlüsselten Umschlag, nicht den Klartext). Legst du in den Datenschutz-Einstellungen fest, wer dich anrufen, zu Ausflügen einladen, dein Profilbild sehen oder bei weitergeleiteten Nachrichten deinen Namen sehen darf, speichern wir die gewählte Stufe und deine Ausnahmen (die Kennungen der betroffenen Freunde) in deinem Konto, damit unser Server die Regel durchsetzen kann. Für die Geräteliste speichern wir pro Anmeldung Gerätename, Plattform, App-Version und den Zeitpunkt der letzten Aktivität, aber keine IP-Adresse und keinen Standort. Beides ist Teil deines Datenexports.

Chats und Nachrichten

Nachrichten, Fotos und Sprachnachrichten in Einzelchats sind Ende-zu-Ende-verschlüsselt. Wir können sie nicht lesen. Die verschlüsselten Inhalte und die zugehörigen Foto- und Sprachdateien liegen derzeit auf unseren Servern, bis die absendende Person ihr Konto löscht (deine gesendeten Nachrichten also, bis du dein Konto löschst, empfangene, bis es die andere Person tut); Ausnahmen sind Fotos mit einmaliger Ansicht, die nach ihrem Ablauf verschwinden, und gemeldete Nachrichten (siehe unten). Eine Löschung nach Alter läuft zurzeit noch nicht. Wir führen sie ein. Sobald sie aktiv ist, gilt: Haben alle deine angemeldeten Geräte eine Nachricht sicher gespeichert, löschen wir unsere Kopie spätestens nach 7 Tagen. Eine Nachricht, die wir nicht zustellen können, etwa weil dein Gerät lange offline ist, löschen wir spätestens 30 Tage nachdem sie bei uns eingegangen ist. Das gilt auch für zugehörige Foto- und Sprachdateien. Den Start der automatischen Löschung kündigen wir vorher in der App und auf senorit.app/de/glenby/privacy an. Für Nachrichten, die schon vor dem Start bei uns lagen, gilt statt der 30 Tage eine Übergangsfrist von 60 Tagen ab dem Tag, an dem wir die Löschung aktiviert haben. Danach liegt dein Chatverlauf nur noch auf deinen Geräten und, wenn du es aktivierst, in deiner eigenen Google-Drive-Sicherung. Richtest du ein neues Gerät ein oder installierst die App neu, lässt sich ein älterer Verlauf dann nur aus dieser Sicherung wiederherstellen. Löschst du dein Konto, löschen wir die Nachrichten und Dateien, die du gesendet hast. Löschst du eine Nachricht für alle, entfernt das sie auf den Geräten und aus der Echtzeit-Zustellung; unsere verschlüsselte Kopie wird dadurch nicht vorzeitig entfernt, sondern erst durch die Löschung nach Alter. Kurzlebige technische Zwischenspeicher: Die Echtzeit-Zustellung auf unseren Servern bewahrt Nachrichten derzeit bis zu 30 Tage auf; wir verkürzen das auf 3 Tage. Push-Benachrichtigungen liegen bei Google nach höchstens 24 Stunden nicht mehr vor. Meldest du eine Nachricht, bewahren wir sie bis zum Abschluss der Meldung auf, längstens 30 Tage. Technische Sicherungskopien unserer Datenbank laufen nach 30 Tagen ab. Gelöschte Inhalte können dort bis zu 30 Tage länger vorhanden sein.

Verschwindende Nachrichten

Optional, pro Chat: Du und dein Kontakt könnt für einen Chat einstellen, dass neue Nachrichten nach 24 Stunden, 7 Tagen oder 90 Tagen gelöscht werden. Die Löschung geschieht auf den Geräten, auf denen eine aktuelle Version von Glenby läuft, nicht auf unseren Servern. Auf Geräten mit einer älteren Version bleiben Nachrichten bestehen. Der Inhalt der Einstellung ist Ende-zu-Ende-verschlüsselt. Wir sehen aber, dass und wann eine verschlüsselte Reaktions- oder Steuernachricht gesendet wird, und können sie nicht von einer Emoji-Reaktion unterscheiden. Auf deinem Gerät entfernen wir abgelaufene Nachrichten aus der Datenbank und überschreiben die frei gewordenen Speicherbereiche. Eine vollständige forensische Löschung können wir nicht zusichern. Wie lange verschlüsselte Nachrichten auf unseren Servern liegen, beschreibt der Abschnitt "Chats und Nachrichten". Die Einstellung verkürzt das nicht. Eine bereits erstellte Sicherung kann eine abgelaufene Nachricht bis zur nächsten Sicherung noch enthalten. Wir können nicht verhindern, dass dein Kontakt einen Screenshot oder ein Foto vom Bildschirm macht oder eine Nachricht vor dem Ablauf kopiert oder weiterleitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der von dir gewählten Funktion). Die kurze Speicherdauer unterstützt Art. 5 Abs. 1 lit. e DSGVO.

Entschlüsselte Medien auf deinem Gerät

Entschlüsselte Fotos und Sprachnachrichten legen wir zur schnellen Anzeige im geschützten App-Zwischenspeicher deines Geräts ab. Eine feste Aufbewahrungszeit gibt es nicht. Überschreitet der Zwischenspeicher ein Größenlimit, entfernt die App automatisch die Dateien, die am längsten ungenutzt sind. Beim Kontowechsel löscht die App sie, beim Deinstallieren entfernt Android sie. Die Android-Datensicherung enthält diesen Speicher nicht.

Meldungen

Wenn du eine einzelne Nachricht meldest, speichern wir die Meldung mit Grund, Kategorie, deinem Konto und dem gemeldeten Konto. Den Inhalt der Nachricht erhält unser Team nur, wenn du ihn selbst als Beleg mitsendest (höchstens 4000 Zeichen; bei Textnachrichten der Text, bei Fotos und Sprachnachrichten nur Eckdaten). Ohne Beleg speichern wir keinen lesbaren Nachrichteninhalt mit der Meldung. Wir benachrichtigen die gemeldete Person nicht automatisch. Bei Einzelchats bewahren wir die Nachricht zusätzlich verschlüsselt auf, für uns nicht lesbar, bis die Meldung abgeschlossen ist, höchstens 30 Tage, und löschen sie danach. Das gilt auch, wenn die absendende Person die Nachricht danach für alle löscht oder ein Foto mit einmaliger Ansicht abläuft. Die Meldung samt deinem Beleg bewahren wir als Nachweis auf: abgeschlossene Meldungen bis zu 24 Monate nach Eingang, offene bis zu ihrem Abschluss.

Datenexport

Der Datenexport enthält die gespeicherten Orte der Saisonringe, die Anruf-Diagnoseprotokolle (die letzten 200) und die Liste deiner registrierten Geräte. Er enthält auch die Meldungen, die du eingereicht hast, mit Grund, Kategorie, Status, Zeitpunkten und dem Beleg, den du mitgesendet hast. Unter Einstellungen > Deine Daten kannst du deine Chats zusätzlich als lesbare Datei (JSON) exportieren. Dein Gerät erstellt sie aus dem lokalen Verlauf. Der Server hat nur verschlüsselte Nachrichten.

Übersetzung von Nachrichten

Auf Android kannst du einzelne Nachrichten oder die letzten Nachrichten eines Chats übersetzen lassen. Die Spracherkennung und die Übersetzung laufen vollständig auf deinem Gerät (Google ML Kit, Funktionen „Language Identification“ und „On-device Translation“). Der Text der Nachricht und die Übersetzung verlassen dein Gerät nicht; wir und Google erhalten sie nicht. Beim ersten Gebrauch einer Sprache lädt dein Gerät ein Sprachpaket (etwa 30 MB) von Google herunter, standardmäßig nur im WLAN, über mobile Daten nur, wenn du es erlaubst oder im Moment bestätigst. Dabei erhält Google technisch bedingt deine IP-Adresse und die Kennung des Sprachpakets. Außerdem übermittelt ML Kit selbst verschlüsselt Diagnose- und Nutzungsdaten an Google: Gerätedaten (Hersteller, Modell, Android-Version), Paketname und App-Version, Leistungswerte, Ereignis- und Fehlercodes, eine Installationskennung sowie die eingestellte Ausgangs- und Zielsprache und die erkannte Sprache. Google nutzt diese Daten nach eigener Angabe nur für Diagnose und Nutzungsstatistik und gibt sie nicht an Dritte weiter. Nachrichteninhalte und Kontodaten sind nicht darunter. Deine Einstellungen dazu (Übersetzen-Button, Sprachen, die du nicht übersetzen lassen willst, Übersetzungsleiste je Chat) speichern wir mit deinen übrigen App-Einstellungen in deinem Konto, damit sie nach einer Neuinstallation erhalten bleiben; sie enthalten keine Nachrichteninhalte. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der Funktion, die du nutzt).

Chat-Ordner

Legst du Chat-Ordner an, speichern wir den Namen jedes Ordners, die Einstellungen seiner Regeln und die Kennungen der darin gewählten Freunde zusammen mit deinen App-Einstellungen in deinem Konto, damit die Ordner auf allen deinen Geräten gleich sind. Die Ordnernamen liegen dort nicht Ende-zu-Ende-verschlüsselt; Nachrichteninhalte sind darin nicht enthalten.

Chat-Backup in deiner eigenen Google-Cloud

Auf Wunsch sicherst du deinen Chat-Verlauf in einen versteckten App-Ordner (appDataFolder) deines eigenen Google-Kontos. Diese Funktion ist standardmäßig aus und startet erst, wenn du sie einschaltest und Google um Zugriff bittest. Wir verwenden ausschließlich die Berechtigung "drive.appdata", die nur auf diesen einen von Glenby angelegten Ordner passt: auf deine übrigen Google-Drive-Dateien haben wir keinen Zugriff und können sie weder sehen noch verändern. Der Ordner ist in der Drive-Oberfläche nicht sichtbar und zählt zum Speicherplatz deines Google-Kontos, nicht zu unserem. Die Sicherung wird auf deinem Gerät verschlüsselt, bevor sie hochgeladen wird; der Schlüssel wird aus deinem Identitätsschlüssel abgeleitet. Google speichert also nur einen unlesbaren Datenblock, und auch wir können ihn nicht öffnen, solange kein Passwort oder Code bei uns eintrifft. Verantwortlich für die Speicherung in deinem Google-Konto bist du selbst; du kannst die Sicherung jederzeit in den Einstellungen löschen. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Rechtsgrundlagen

Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) für Konto, Kernfunktionen und kostenpflichtige Verträge; Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) für Push-Benachrichtigungen, Standortfunktionen, Unwetterwarnungen und die sichere Rückmeldung samt SOS; deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO) für die Gesundheitsdaten in der Notfallkarte, die nur Ende-zu-Ende-verschlüsselt übertragen wird; berechtigtes Interesse (lit. f) zur Missbrauchs- und Betrugsvermeidung; gesetzliche Pflichten (lit. c) für Melde- und Aufbewahrungspflichten.

Auftragsverarbeiter

Die Datenbank (Cloudflare D1) liegt mit dem Standorthinweis Westeuropa bei Cloudflare, ohne Lesereplikate in anderen Regionen; eine Speicherung ausschließlich in der EU ist nicht zugesichert. Die Anfragen verarbeitet Cloudflare auf seinem weltweiten Netzwerk im jeweils nächstgelegenen Rechenzentrum, Medien (Cloudflare R2) liegen ohne EU-Beschränkung; Vertragspartner ist Cloudflare, Inc. (USA), abgesichert über EU-Standardvertragsklauseln. Ende-zu-Ende-verschlüsselte Fotos und Sprachnachrichten speichert Cloudflare als unlesbaren Ciphertext; Cloudflare stellt außerdem Chat-Nachrichten zu und vermittelt Anrufe (TURN). Die Zahlungsabwicklung übernimmt Stripe; Push-Benachrichtigungen laufen über Firebase Cloud Messaging (Google), die Kartendarstellung über das Google-Maps-SDK, die App-Integritätsprüfung über Google Play Integrity. Meldest du dich mit deinem Google-Konto an, verarbeitet Google (Google Sign-In) dabei deine E-Mail-Adresse, deinen Namen und dein Profilbild zur Authentifizierung. Absturzberichte gehen an Firebase Crashlytics (Google), aber nur wenn du sie in den Einstellungen einschaltest (standardmäßig aus); sie enthalten App-Version, Gerätemodell, Gerätezustand, den Stacktrace und eine zufällige Installations-ID, nie aber Nachrichten, Fotos oder Sprachnachrichten. Wenn du die App im Play Store bewertest, zeigt Google selbst das Bewertungsfenster an; deine Sterne und dein Text gehen dabei direkt an Google und werden von uns weder erhoben noch gespeichert. Wetterdaten fragt dein Gerät direkt beim Norwegischen Meteorologischen Institut (MET Norway, api.met.no) an: dabei werden deine IP-Adresse und ein auf zwei Nachkommastellen gerundeter Standort (etwa ein Kilometer) übermittelt. Schaltest du die Unwetterwarnungen in den Sicherheits-Einstellungen ein (standardmäßig aus), fragt dein Gerät beim Öffnen der sicheren Rückmeldung zusätzlich den für deinen Standort zuständigen nationalen Wetterdienst ab: in Deutschland den Deutschen Wetterdienst (maps.dwd.de), in den USA den National Weather Service (api.weather.gov), in Norwegen MET Norway. Auch dabei übermitteln wir nur deine IP-Adresse und den gerundeten Standort (zwei Nachkommastellen, etwa ein Kilometer), nie deine Kennung, deinen Namen oder wem du dich zurückmeldest. Orte-, Online-Routen-, Ortsinfo- und Arten-Sichtungsdaten (Ortsdaten © OpenStreetMap-Mitwirkende, ODbL; Overpass über die Betreiber overpass-api.de (Deutschland) und overpass.private.coffee (Österreich), openrouteservice/HeiGIT, Wikimedia, Artenfunde © GBIF.org und die dort gelisteten Datenlieferanten, ausschließlich CC0 oder CC BY) fragt unser Server ab, ohne deine Identität weiterzugeben; das Offline-Transkriptionsmodell lädt dein Gerät einmalig von Hugging Face (keine Inhaltsdaten). Transaktionale E-Mails versendet Cloudflare Email Service (E-Mail-Adresse, Anzeigename, Nachrichteninhalt). Bei der Registrierung prüft unser Server, ob die Domain deiner E-Mail-Adresse E-Mails empfangen kann; dafür fragt er per DNS-over-HTTPS bei Cloudflare (cloudflare-dns.com) nur den Domainteil nach dem @ ab, nicht die ganze Adresse. Übermittlungen in die USA stützen sich auf das EU-US Data Privacy Framework und/oder EU-Standardvertragsklauseln; mit allen Auftragsverarbeitern bestehen Vereinbarungen nach Art. 28 DSGVO.

Speicherdauer

Kontodaten speichern wir bis zur Löschung des Kontos. Lokale Daten bleiben bis zur Deinstallation oder zum Zurücksetzen in der App. Rechnungs- und Zahlungsbelege unterliegen gesetzlichen Aufbewahrungspflichten (§ 147 AO, § 257 HGB: acht Jahre, gerechnet ab dem Ende des Kalenderjahres, in dem der Beleg entstanden ist); der zugehörige Beleg-Datensatz bei unserem Zahlungsdienstleister Stripe bleibt deshalb auch nach einer Kontolöschung für diese Frist erhalten, dein laufendes Abo wird bei der Löschung beendet. Kündigungs- und Widerrufserklärungen bewahren wir sechs Jahre ab Eingang auf und löschen sie danach. Die Meldedatensätze zu Käufen über den externen Zahlungslink an Google Play (Betrag, Steuer, Zeitpunkt, Land, Transaktionskennung, Token) bewahren wir ebenfalls aus steuer- und handelsrechtlichen Gründen auf: Bei einer Kontolöschung lösen wir die Verknüpfung zu deinem Stripe-Kundenkonto, und neun Jahre nach der Transaktion löschen wir sie. Diagnosedaten zu fehlgeschlagenen Exporten (App-Version, Netzstatus, Fehlercodes) und zur Chat-Listenleistung (App-Version, Gerätemodell, Zähl- und Zeitwerte, ohne Inhalte) speichern wir 90 Tage und löschen sie danach.

Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Auskunft (Export) und Löschung kannst du direkt in der App unter „Deine Daten“ ausführen. Außerdem steht dir ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu.

Empfehlungen

Kommst du über den Einladungslink einer anderen Person, speichern wir, wer dich eingeladen hat, und ob die Empfehlung bereits belohnt wurde. Das dient allein dazu, die Belohnung genau einmal zu vergeben.

Automatische Löschung

Du kannst festlegen, dass dein Konto nach einer Zeit ohne Anmeldung automatisch gelöscht wird. Wir speichern dafür die gewählte Frist und, falls wir dich vorher erinnert haben, wann das war.

Keine Werbe-Tracker

Wir setzen keine Werbe-Tracker ein und erstellen keine Profile zu Werbezwecken. Wir verfolgen dich auch nicht über andere Websites oder Apps hinweg.

Hinweise für Nutzerinnen und Nutzer in den USA

Glenby wird aus Deutschland betrieben und richtet sich nach der DSGVO; die dort beschriebenen Rechte gewähren wir allen Nutzenden, unabhängig vom Wohnort. Für Kalifornien gilt zusätzlich: Wir verkaufen und teilen keine personenbezogenen Daten im Sinne des CCPA und erhalten keine Gegenleistung dafür. Wir erfassen keine Daten über dein Verhalten auf fremden Websites oder Apps; da wir eine solche Erfassung nicht betreiben, gibt es auch nichts, worauf ein „Do Not Track“-Signal deines Browsers wirken könnte, und wir erlauben Dritten keine derartige Erfassung über Glenby. Deine Daten einsehen oder löschen kannst du jederzeit selbst in der App unter „Deine Daten“; Fragen beantworten wir unter privacy@glenby.de.

Änderungen an dieser Erklärung

Ändert sich etwas an dieser Erklärung, aktualisieren wir das Datum oben. Die jeweils geltende Fassung steht immer hier in der App und auf senorit.app/de/glenby/privacy. Ein Blick auf das Datum sagt dir, ob sich seit deinem letzten Lesen etwas getan hat. Eine gesonderte Benachrichtigung verschicken wir nicht.