nearspotio - Datenschutz / Privacy

NearSpotio („die App“) ist eine mobile Anwendung, die Points of Interest (POIs) entlang von Rad- und Tourenrouten anzeigt. Deine Privatsphäre ist uns wichtig. Diese Erklärung beschreibt, welche Daten erhoben werden, wie sie verwendet werden und welche Rechte du hast.

Die Abschnitte 1-13 beziehen sich auf die App, Abschnitt 14 auf diese Webseite (nearspotio.app).

Verantwortlicher

1. Daten, die wir nicht erheben

Die App erhebt keine:

Registrierung oder Benutzerkonten
Namen, E-Mail-Adressen oder andere persönliche Identifikationsmerkmale
Automatische Übertragung deines Geräte-Standorts an Server
GPX-Routen oder Track-Dateien auf Servern
Persönliche Daten zur Weitergabe an Dritte zu Marketingzwecken

Hinweis: Wenn du über die App aktiv einen fehlenden oder nicht mehr vorhandenen POI meldest, werden die Koordinaten des betreffenden POIs (nicht dein Geräte-Standort) zusammen mit der pseudonymen Gerätekennung an Google Cloud Firestore übermittelt. Diese Übermittlung erfolgt nur nach deiner ausdrücklichen Bestätigung.

2. Standortdaten

Die App verwendet den Standort deines Geräts nur während der Nutzung, um nahegelegene Points of Interest auf der Karte anzuzeigen. Dein Standort wird lokal auf deinem Gerät verarbeitet und nicht an unsere Server übertragen oder extern gespeichert.

3. Analyse (Firebase Analytics)

Wir verwenden Google Firebase Analytics zur Erhebung pseudonymer Nutzungsstatistiken, wie z.B.:

Welche Funktionen genutzt werden (z.B. Kategorie-Umschaltung, GPX-Export)
Sprachauswahl
App-Sitzungen und allgemeine Nutzungsmuster

Diese Daten werden unter einer zufällig generierten Installations-ID erfasst und enthalten keine Namen, E-Mail-Adressen oder Kontodaten. Firebase kann dabei technische Gerätekennungen und IP-Adressen verarbeiten, die unter der DSGVO als pseudonyme bzw. personenbezogene Daten gelten. Die Verarbeitung erfolgt durch Google Firebase gemäß der Firebase-Datenschutzrichtlinie.

Auf GA4-Seite wird aus der IP-Adresse serverseitig der ungefähre Standort auf Land-/Regionsebene abgeleitet (keine exakte Geolokalisierung). Die IP-Adresse selbst wird von Google gekürzt und nicht gespeichert (IP-Anonymisierung ist standardmäßig aktiv).

Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Die Einwilligung wird über einen Consent-Dialog (Google Certified Consent Management Platform) eingeholt. Analytics-Daten werden erst nach erteilter Einwilligung erhoben. Du kannst deine Einwilligung jederzeit widerrufen, indem du die App deinstallierst und neu installierst oder uns per E-Mail kontaktierst.

4. Absturzberichte (Firebase Crashlytics)

Bei einem App-Absturz wird automatisch ein Absturzbericht an Firebase Crashlytics gesendet. Diese Berichte enthalten:

Gerätetyp und Betriebssystemversion
App-Version
Stack-Trace (technische Fehlerinformationen)

Absturzberichte enthalten keine Namen, Standortdaten oder Routeninformationen. Firebase kann dabei technische Gerätekennungen verarbeiten, die unter der DSGVO als pseudonyme Daten gelten.

Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Absturzberichte werden erst nach erteilter Einwilligung über den Consent-Dialog gesendet.

5. Werbung (Google AdMob)

Die kostenlose Version der App zeigt Werbung von Google AdMob an. AdMob kann folgende Daten erheben:

Werbe-Identifikator (IDFA unter iOS, Advertising ID unter Android)
Allgemeine Geräteinformationen

Werbe-IDs gelten unter der DSGVO als personenbezogene Daten. In der Europäischen Union, dem Vereinigten Königreich und der Schweiz zeigt die App beim ersten Start einen Einwilligungsdialog (Google Certified Consent Management Platform). Du kannst dort wählen, ob du personalisierte Werbung zulässt. Bei Ablehnung werden ausschließlich nicht-personalisierte Anzeigen dargestellt. Unter iOS wird zusätzlich der App-Tracking-Transparenz-Dialog (ATT) angezeigt. Weitere Informationen: Google-Datenschutzerklärung.

Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) über den Consent-Dialog bzw. ATT-Dialog (iOS). Bei nicht-personalisierter Werbung: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).

6. Lokale Datenspeicherung

Die App speichert folgende Daten lokal auf deinem Gerät:

Deine Einstellungen (Design, Sprache, Suchradius etc.)
POI-Datenbank (mit der App gebündelt)
Importierte GPX-Dateien sowie ein Verlauf der zuletzt geöffneten Routen, damit du sie ohne erneuten Import wieder laden kannst
Selbst gesetzte eigene Punkte (z. B. „Zuhause", „Hotel", „Bahnhof") mit Bezeichnung und Koordinaten

Die POI-Datenbank und importierte GPX-Dateien verlassen dein Gerät nur, wenn du eine Datei bewusst exportierst oder teilst.

Hinweis zur Gerätesicherung: Deine Einstellungen und die selbst gesetzten eigenen Punkte werden von der Sicherung deines Geräts erfasst und landen damit - sofern du sie aktiviert hast - im Google-Konto bzw. in iCloud. Da eigene Punkte Koordinaten enthalten können, die auf deinen Wohnort schließen lassen, weisen wir ausdrücklich darauf hin. Die Sicherung erfolgt durch dein Betriebssystem, nicht durch uns; wir haben darauf keinen Zugriff. Die großen Datenbanken (POI-Daten, Karten) sind von der Sicherung ausgenommen.

POI-Daten-Updates

Die App prüft bei jedem Start automatisch, ob aktualisierte POI-Daten verfügbar sind. Dazu wird eine Verbindung zu raw.githubusercontent.com hergestellt und eine kleine Manifest-Datei heruntergeladen. Sind Updates verfügbar, werden sie im Hintergrund heruntergeladen. Um Kosten zu vermeiden, fragen wir vorher nach, wenn das Update größer als 50 MB ist oder wenn du über eine mobile Datenverbindung verbunden bist und das Update größer als 5 MB ist. Dazu wertet die App aus, ob die aktuelle Verbindung ein WLAN ist oder Kosten verursachen kann - der Netzbetreiber und deine Rufnummer werden dabei nicht ausgelesen. Die Prüfung findet auch dann statt, wenn du die Offline-Karte als Kartenquelle eingestellt hast, denn die Kartenquelle sagt nichts darüber aus, ob gerade eine Internetverbindung besteht; in diesem Fall fragen wir über eine mobile Datenverbindung allerdings vor jedem Download nach, unabhängig von der Größe.

Benachrichtigungen

Die App kann dir Benachrichtigungen auf dem Gerät anzeigen, etwa als Erinnerung vor Ablauf der kostenlosen Testphase. Diese Benachrichtigungen werden ausschließlich lokal auf deinem Gerät erzeugt und geplant. Es gibt keine Push-Benachrichtigungen von unseren Servern, und es wird kein Push-Token oder Ähnliches an uns oder an Dritte übermittelt. Du kannst Benachrichtigungen jederzeit in den Systemeinstellungen deines Geräts abschalten.

Hinweise in der App

Beim Start lädt die App eine kleine Textdatei von raw.githubusercontent.com, über die wir gelegentlich Hinweise anzeigen (z. B. zu einer wichtigen Aktualisierung). Dabei wird deine IP-Adresse an GitHub übertragen. Die Datei enthält alle Hinweise; welcher davon zu deiner Plattform und App-Version passt, entscheidet die App auf dem Gerät. Es wird keine Gerätekennung übermittelt, und wir erfahren nicht, wer einen Hinweis gesehen hat.

7. Geräteerkennung und Nutzungsanalyse

Für die kostenlose Testphase (12 Tage volle POI-Sichtbarkeit und 12 kostenlose Pro-Exports) sowie zur pseudonymen Nutzungsanalyse wird eine pseudonyme Gerätekennung in Google Cloud Firestore gespeichert. Diese Kennung wird auf Android zufällig erzeugt und nicht aus Geräteeigenschaften abgeleitet; auf iOS wird eine vom System bereitgestellte, anbieterspezifische Kennung in gehashter Form verwendet. Sie erlaubt keine Identifizierung deiner Person.

Damit die Kennung eine Neuinstallation oder einen Gerätewechsel übersteht (Schutz der einmaligen Testphase), wird sie auf Android zusätzlich über den Google-Play-Services-Dienst Block Store gespeichert und - sofern du die Google-Sicherung aktiviert hast - Ende-zu-Ende-verschlüsselt in deinem Google-Konto gesichert; Google hat dabei keinen Zugriff auf den Klartext. Auf iOS wird die Kennung im Schlüsselbund (Keychain) abgelegt.

Gespeicherte Daten:

Pseudonyme Gerätekennung (nicht direkt einer Person zuordenbar)
Plattform (Android/iOS)
Betriebssystemversion (z. B. „Android 14", „iOS 17.2")
Installationsquelle (z. B. Play Store, App Store)
Registrierungszeitpunkt und Ablaufdaten der Testphase
Export-Zähler (Trial und gesamt) sowie aktive Kategorien bei Exports
Pro-Status und Kaufzeitpunkt (falls zutreffend)
Letzter App-Start (Zeitstempel)
Anzahl der App-Starts
Spracheinstellung
App-Version
Version der lokalen POI-Datenbank (technische Kennzahl, um zu erkennen, ob die POI-Daten aktuell sind)
Verlauf der POI-Datenaktualisierung: Zeitpunkt und Ergebnis der letzten Prüfung auf neue POI-Daten, Größe eines noch offenen Updates, Anzahl und Zeitpunkt zurückgestellter Update-Abfragen sowie Anzahl und Zeitpunkt abgebrochener Update-Vorgänge (technische Kennzahlen, um zu erkennen, warum POI-Daten auf einem Gerät veralten)
Pseudonyme Nutzungsstatistiken: POI-Aktionen (z. B. Navigation, Teilen), Anzahl der Routenimporte, Anzahl gemeldeter POI-Korrekturen
App-Einstellungen (z. B. Kartenquelle, Darstellungsmodus, Suchradius)
Länder/Regionen der exportierten Route-POIs (abgeleitet aus den POI-Daten, nicht aus dem Geräte-Standort)
Gerätehersteller und Gerätemodell (z. B. „Samsung", „SM-S928B")
Absturzzähler (Anzahl der App-Abstürze)
Promo-Code-Versuche (Anzahl der Eingabeversuche), Hash des eingelösten Promo-Codes, Promo-Status (aktiv/inaktiv) und Promo-Ablaufdatum (falls zutreffend)
Angabe, ob die Gerätekennung auf diesem Gerät gegen Neuinstallation gesichert werden konnte (Block Store, nur Android)

Wenn du einen Promo-Code einlöst, wird deine pseudonyme Gerätekennung zusammen mit dem Einlösungszeitpunkt im entsprechenden Code-Eintrag in Google Cloud Firestore gespeichert, um eine Mehrfachnutzung zu verhindern.

Wechsel der Gerätekennung: Stellt die App nach einer Neuinstallation oder einem Gerätewechsel fest, dass zu dir bereits eine gesicherte Kennung gehört, übernimmt sie diese und verwirft die neu erzeugte. Damit der aufgegebene Eintrag nicht als zusätzliches Gerät gezählt wird, vermerken wir in ihm die übernommene Kennung und den Zeitpunkt des Wechsels. Dabei entsteht eine Verknüpfung zwischen zwei pseudonymen Kennungen desselben Geräts. Ebenso vermerken wir es, wenn ein bereits eingelöster Aktionscode nach einem solchen Wechsel einer anderen Kennung zugeordnet werden muss - in diesem Fall wird auch die vorherige Kennung gespeichert, damit wir den Code richtig zuordnen können. Ein Rückschluss auf deine Person ist dadurch nicht möglich; beide Kennungen bleiben pseudonym.

Es werden keine personenbezogenen Daten (Namen, E-Mail-Adressen, Routen) gespeichert. Dein Geräte-Standort wird nicht an Server übermittelt. Die Länder-/Regionsdaten stammen ausschließlich aus den POI-Daten der exportierten Route.

Diese Daten dienen ausschließlich der Produktverbesserung, der Sicherheit der App-Nutzung und dem Schutz vor Missbrauch der kostenlosen Testphase. Sie werden nicht für Werbezwecke oder zur Erstellung personenbezogener Profile verwendet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Vermeidung von Missbrauch der kostenlosen Testphase sowie an der Verbesserung der App).

Speicherdauer: Die Daten werden dauerhaft gespeichert. Auf Anfrage per E-Mail können sie gelöscht werden.

Wenn du deine Nutzungsdaten über die App löschst, werden ab diesem Zeitpunkt nur noch die für die Testphasen-Verwaltung notwendigen Daten gespeichert (Zeitpunkt des letzten App-Starts, App-Version, Anzahl der App-Starts). Alle weiteren Nutzungsstatistiken (z. B. POI-Aktionen, Export-Zähler, Einstellungen, Regionen) werden nicht mehr erhoben.

8. Drittanbieter-Dienste

Die App verwendet folgende Drittanbieter-Dienste:

Google Firebase Analytics (Nutzungsstatistiken) - Betreiber: Google Ireland Limited - Datenschutzrichtlinie
Google Firebase Crashlytics (Absturzberichte) - Betreiber: Google Ireland Limited - Datenschutzrichtlinie
Google AdMob (Werbung) - Betreiber: Google Ireland Limited - Datenschutzrichtlinie
Google Cloud Firestore (Geräteerkennung und Nutzungsanalyse) - Betreiber: Google Ireland Limited - Datenschutzrichtlinie
Google Play Services (Block Store) (Speicherung der pseudonymen Gerätekennung über Neuinstallationen und Gerätewechsel hinweg) - Betreiber: Google Ireland Limited - Datenschutzrichtlinie
Firebase App Check (Missbrauchsschutz) - Die App weist gegenüber unseren Diensten nach, dass die Anfrage aus einer echten, unveränderten NearSpotio-Installation stammt. Dazu wird unter Android die Google-Play-Integrity-Prüfung und unter iOS Apples App Attest verwendet; das Betriebssystem übermittelt dabei Angaben zur Unversehrtheit von App und Gerät an Google bzw. Apple und stellt uns ein zeitlich begrenztes Prüfmerkmal aus. Dieses Merkmal enthält keine Angaben zu deiner Person und wird von uns nicht gespeichert. Betreiber: Google Ireland Limited bzw. Apple Inc. - Datenschutzrichtlinie
Firebase Remote Config (Einstellungen aus der Ferne) - Die App holt beim Start technische Werte ab, mit denen wir das Verhalten der App anpassen können, ohne ein Update zu veröffentlichen. Dabei werden deine IP-Adresse und eine von Firebase vergebene Installationskennung verarbeitet. Betreiber: Google Ireland Limited - Datenschutzrichtlinie
Verbindungsprüfung - Um festzustellen, ob tatsächlich eine Internetverbindung besteht, baut die App eine kurze Testverbindung zu google.com, apple.com und bing.com auf. Dabei wird deine IP-Adresse an Google, Apple und Microsoft übertragen. Es werden keine Inhalte abgerufen und keine Daten von uns mitgesendet; die Verbindung wird sofort wieder beendet. Mehrere Adressen sind nötig, weil einzelne davon in manchen Ländern nicht erreichbar sind.
OpenFreeMap / MapTiler / OpenStreetMap (Kartendarstellung) - Kartenkacheln werden von externen Servern geladen; dabei wird der ungefähre sichtbare Kartenausschnitt als Teil der Standard-Tile-Anfragen übertragen. Je nach gewählter Kartenquelle werden Anfragen an OpenFreeMap, MapTiler AG (Schweiz) oder OpenStreetMap-Server gesendet.
OpenStreetMap Nominatim (Geocoding) - Beim Öffnen geteilter Karten-Links kann eine Adressauflösung über nominatim.openstreetmap.org erfolgen. Dabei wird die Suchanfrage und deine IP-Adresse übertragen. Betreiber: OpenStreetMap Foundation - Datenschutzrichtlinie
GitHub (POI-Daten-Updates und Hinweise in der App) - Die App lädt regelmäßig POI-Updates sowie eine kleine Datei mit Hinweistexten von raw.githubusercontent.com herunter. Dabei wird deine IP-Adresse übertragen. Betreiber: GitHub, Inc. (Microsoft) - Datenschutzrichtlinie

9. Auftragsverarbeitung & Internationale Datenübermittlung

Auftragsverarbeiter für die Firebase- und AdMob-Dienste ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.

Google kann diese Daten auf Servern in den USA verarbeiten. Die Datenübermittlung in die USA erfolgt auf Grundlage von:

dem EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023), sowie
Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO als ergänzende Schutzmaßnahme.

Die konkret genutzten Dienste und die jeweils verarbeiteten Daten:

Firebase Analytics - Pseudonyme Nutzungsstatistiken (Funktionsnutzung, Sitzungsdaten, Gerätekennungen)
Firebase Crashlytics - Automatische Absturzberichte (Geräteinformationen, Stack-Traces)
Google AdMob - Werbe-Identifikatoren (IDFA / Advertising ID), allgemeine Geräteinformationen
Google Cloud Firestore - Pseudonyme Gerätekennung, Plattform, OS-Version, Gerätehersteller, Gerätemodell, Installationsquelle, Ablaufdaten, Export-Zähler, Kategorie-Nutzung, POI-Aktionen, POI-Datenbankversion, Verlauf der POI-Datenaktualisierung, App-Einstellungen, Regionen der Route-POIs, POI-Korrekturmeldungen, Absturzzähler, Promo-Code-Versuche, eingelöster Code-Hash, Promo-Status, Promo-Ablaufdatum sowie Marker zum Wechsel der Gerätekennung (Trial-System, Promo-System und Nutzungsanalyse)
Firebase App Check - Prüfmerkmal zur Unversehrtheit von App und Gerät (Google Play Integrity bzw. Apple App Attest)
Firebase Remote Config - IP-Adresse, Firebase-Installationskennung
Google Play Services (Block Store) - Pseudonyme Gerätekennung (auf dem Gerät verschlüsselt gespeichert; bei aktivierter Google-Sicherung zusätzlich Ende-zu-Ende-verschlüsseltes Cloud-Backup, damit die Kennung Neuinstallation und Gerätewechsel übersteht)

Weiterführende Links:
Google-Datenschutzerklärung · Firebase Datenschutz · EU-US Data Privacy Framework · AdMob

10. Speicherdauer

Firebase Analytics: Nutzungsdaten werden 14 Monate aufbewahrt, danach automatisch gelöscht.
Firebase Crashlytics: Absturzberichte werden 90 Tage aufbewahrt.
AdMob: Werbe-Interaktionsdaten unterliegen den Aufbewahrungsfristen von Google (siehe Google-Aufbewahrungsrichtlinie).
Lokale Daten: Werden mit der Deinstallation der App gelöscht.
Trial-Daten (Cloud Firestore): Dauerhaft gespeichert. Löschung auf Anfrage per E-Mail.

11. Deine Rechte (DSGVO)

Du hast gegenüber dem Verantwortlichen folgende Rechte bezüglich deiner personenbezogenen Daten:

Auskunft (Art. 15 DSGVO) - Recht auf Information, welche Daten über dich verarbeitet werden
Berichtigung (Art. 16 DSGVO) - Recht auf Korrektur unrichtiger Daten
Löschung (Art. 17 DSGVO) - Recht auf Löschung deiner Daten (siehe auch unsere Seite zur Datenlöschung)
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO) - soweit technisch anwendbar
Widerspruch (Art. 21 DSGVO) - insbesondere gegen Verarbeitung auf Basis berechtigter Interessen
Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO) - jederzeit mit Wirkung für die Zukunft (z.B. Tracking über iOS-ATT oder Geräteeinstellungen)

Praktische Maßnahmen:

Tracking über den iOS-ATT-Dialog oder die Android-Werbeeinstellungen ablehnen bzw. widerrufen
Werbe-ID in den Geräteeinstellungen zurücksetzen
Lokal gespeicherte App-Daten durch Deinstallation der App löschen
Nutzungsdaten direkt in der App über Einstellungen → Meine Daten löschen entfernen. Zur Verhinderung von Missbrauch der Testphase wird die pseudonyme Gerätekennung sowie der Testphasen-Status auch nach Löschung beibehalten.

12. Aufsichtsbehörde

Du hast das Recht, eine Beschwerde bei einer Datenschutz-Aufsichtsbehörde einzureichen. Die für uns zuständige Behörde ist:

Österreichische Datenschutzbehörde
Barichgasse 40-42, 1030 Wien
www.dsb.gv.at

Du kannst dich auch an die Aufsichtsbehörde deines Wohnsitzlandes wenden.

13. Hinweise für Nutzer in den USA (CCPA/CPRA)

Wenn du in Kalifornien oder einem anderen US-Bundesstaat mit vergleichbaren Datenschutzgesetzen ansässig bist, hast du folgende zusätzliche Rechte:

Recht auf Auskunft: Du kannst erfahren, welche Kategorien personenbezogener Daten wir erheben und zu welchem Zweck.
Recht auf Löschung: Du kannst die Löschung deiner personenbezogenen Daten beantragen (siehe unsere Seite zur Datenlöschung).
Recht auf Opt-Out: Du hast das Recht, dem „Verkauf" oder der „Weitergabe" deiner personenbezogenen Daten zu widersprechen.

Verkaufen oder teilen wir deine Daten? NearSpotio verkauft deine personenbezogenen Daten nicht. Die kostenlose Version der App zeigt jedoch Werbung über Google AdMob, wobei Werbe-Identifikatoren an Google übermittelt werden. Dies kann unter dem CCPA als „Weitergabe" (Sharing) gelten. Du kannst personalisierte Werbung jederzeit über die Geräteeinstellungen deaktivieren oder im Consent-Dialog ablehnen.

Wir diskriminieren dich nicht aufgrund der Ausübung deiner Datenschutzrechte.

14. Webseite (nearspotio.app)

Die Abschnitte 1-13 betreffen die mobile App. Dieser Abschnitt beschreibt die Datenverarbeitung auf unserer Webseite www.nearspotio.app.

14.1 Hosting

Die Webseite wird als statische Seite über GitHub Pages (GitHub, Inc., 88 Colin P Kelly Jr St, San Francisco, CA 94107, USA) mit einem vorgelagerten Cloudflare-CDN/Proxy (Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA) ausgeliefert. Bei jedem Aufruf werden aus technischen Gründen Server-Logdaten (IP-Adresse, Datum/Uhrzeit, aufgerufene URL, User-Agent, Referrer) kurzzeitig verarbeitet, um die Auslieferung sicherzustellen und Missbrauch abzuwehren.

Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) an einem stabilen, sicheren Betrieb der Webseite.

Drittlandtransfer: Übermittlung in die USA auf Basis des EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023); GitHub und Cloudflare sind zertifiziert.

14.2 Cookies & lokaler Speicher

Die Webseite verwendet nur technisch notwendige Speicherung:

nearspotio-theme (localStorage) - speichert deine Theme-Auswahl (hell/dunkel).
nearspotio-lang (localStorage) - speichert deine Sprach-Auswahl (DE/EN).
cc_cookie (First-Party-Cookie) - speichert deine Cookie-Einwilligung für 6 Monate.

Rechtsgrundlage: § 165 Abs. 3 TKG (AT) bzw. § 25 Abs. 2 DDG (DE) - unbedingt erforderlich; Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

14.3 Webanalyse (Google Analytics 4)

Nach deiner ausdrücklichen Einwilligung über unseren Cookie-Dialog setzen wir Google Analytics 4 ein (Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Zweck: pseudonyme Reichweitenmessung, um die Webseite zu verbessern.

Erhoben werden u. a.:

besuchte Seiten, Verweildauer, Klickpfade innerhalb der Webseite
Sitzungsdauer, Einstiegs- und Ausstiegsseiten
Geräte- und Browsertyp, Bildschirmauflösung, Spracheinstellung
ungefährer Standort auf Land-/Regionsebene (keine exakte Geolokalisierung)
pseudonyme Client-ID (Cookie _ga, _ga_*)

Datenschutzfreundliche Konfiguration:

IP-Anonymisierung ist aktiv (IPv4 wird in GA4 standardmäßig gekürzt und nicht gespeichert).
Google Signals ist deaktiviert (kein geräteübergreifendes Tracking, kein Zusammenführen mit Google-Konten).
Werbefunktionen und Personalisierung sind deaktiviert (allow_ad_personalization_signals=false).
Google Consent Mode v2: ohne Einwilligung wird kein Google-Analytics-Script geladen und kein Cookie gesetzt.
Aufbewahrungsdauer: 2 Monate.

Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs. 3 TKG AT / § 25 Abs. 1 DDG DE). Die Einwilligung ist freiwillig und jederzeit mit Wirkung für die Zukunft widerrufbar.

Drittlandtransfer: Übermittlung an Google LLC in die USA auf Basis des EU-US Data Privacy Framework; Google ist zertifiziert. Zusätzlich bestehen Standardvertragsklauseln gem. Art. 46 Abs. 2 lit. c DSGVO.

Auftragsverarbeitungsvertrag: Mit Google Ireland besteht ein Vertrag gem. Art. 28 DSGVO (Google Ads Data Processing Terms).

14.4 Einwilligung widerrufen

Du kannst deine Cookie-Einwilligung jederzeit widerrufen, indem du unten im Seitenfuß auf „Cookie-Einstellungen" klickst und die Auswahl anpasst. Bereits gesetzte Analytics-Cookies werden dabei gelöscht. Zusätzlich kannst du das Google Analytics Browser-Add-on installieren oder den Global Privacy Control (GPC)-Header in deinem Browser aktivieren, den wir respektieren.

14.5 Externe Ressourcen

Die Webseite lädt keine Google Fonts, keine externen Icon-Bibliotheken und keine Social-Media-Plugins. Alle Schriften und Icons werden von unserer eigenen Domain ausgeliefert.

14.6 Serverseitige Reichweitenmessung (Kampagnen-Links)

Für Links aus unseren Werbekampagnen (z. B. TikTok, Facebook, Instagram), für QR-Codes (z. B. auf Visitenkarten) sowie für die App-Store-Buttons auf unserer Webseite verwenden wir unter www.nearspotio.app/go eine serverseitige, cookielose Reichweitenmessung (Cloudflare Worker). Beim Aufruf eines solchen Links wird der Zugriff gezählt und du wirst sofort in den jeweiligen App-Store bzw. auf unsere Webseite weitergeleitet.

Dabei speichern wir ausschließlich:

Zeitpunkt des Aufrufs
Gerätetyp (Android / iOS / Desktop)
Land (aus der IP-Adresse abgeleitet, die IP selbst wird nicht gespeichert)
Browser-Hauptsprache (z. B. „de")
Referrer-Domain (ohne vollständige URL)
Kampagnenparameter aus dem Link (z. B. utm_source, utm_campaign)

Es werden keine Cookies gesetzt, kein Fingerprinting eingesetzt, keine Nutzerprofile gebildet und keine Daten an Analyse-Drittanbieter weitergegeben. Eine Wiedererkennung einzelner Personen ist nicht möglich. Die Daten werden nach 90 Tagen automatisch gelöscht; zuvor werden sie zu aggregierten, anonymen Tagesstatistiken (z. B. „Klicks pro Tag und Kampagne") verdichtet, die keinerlei Rückschlüsse auf einzelne Personen zulassen und unbefristet aufbewahrt werden.

Zweck: Messung der Reichweite und Wirksamkeit unserer Werbekampagnen.
Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Eine Einwilligung ist nicht erforderlich, da nicht auf Informationen im Endgerät zugegriffen wird (§ 165 Abs. 3 TKG AT / § 25 DDG DE).

15. Kontakt

Bei Fragen zu dieser Datenschutzerklärung kontaktiere uns unter:

NearSpotio ("the App") is a mobile application that displays points of interest (POIs) along cycling and touring routes. Your privacy is important to us. This policy explains what data is collected, how it is used, and your rights.

Sections 1-13 apply to the App; section 14 applies to this website (nearspotio.app).

Data Controller

1. Data We Do Not Collect

The App does not:

Require registration or user accounts
Collect your name, email address, or other personal identifiers
Automatically transmit your device location to servers
Upload your GPX routes or track files
Share personal data with third parties for marketing

Note: If you actively report a missing or no-longer-existing POI via the App, the coordinates of the POI in question (not your device location) are transmitted to Google Cloud Firestore along with your pseudonymous device identifier. This transmission only occurs after your explicit confirmation.

2. Location Data

The App uses your device's location only while the App is in use to display nearby points of interest on the map. Your location is processed locally on your device and is not transmitted to our servers or stored externally.

3. Analytics (Firebase Analytics)

We use Google Firebase Analytics to collect pseudonymous usage statistics, such as:

Which features are used (e.g. category toggles, GPX export)
Language selection
App sessions and general usage patterns

This data is collected under a randomly generated installation ID and does not include names, email addresses, or account data. Firebase may process technical device identifiers and IP addresses, which are considered pseudonymous or personal data under the GDPR. Data is processed by Google Firebase under the Firebase Privacy Policy.

On the GA4 side, the IP address is used server-side to derive approximate location at country/region level (no precise geolocation). The IP address itself is truncated by Google and not stored (IP anonymization is enabled by default).

Legal basis: Consent (Art. 6(1)(a) GDPR). Consent is obtained via a consent dialog (Google Certified Consent Management Platform). Analytics data is only collected after consent has been granted. You can withdraw your consent at any time by reinstalling the app or contacting us by email.

4. Crash Reports (Firebase Crashlytics)

In the event of an App crash, an automatic crash report is sent to Firebase Crashlytics. These reports contain:

Device type and operating system version
App version
Stack trace (technical error information)

Crash reports do not contain names, location data, or route information. Firebase may process technical device identifiers, which are considered pseudonymous data under the GDPR.

Legal basis: Consent (Art. 6(1)(a) GDPR). Crash reports are only sent after consent has been granted via the consent dialog.

5. Advertising (Google AdMob)

The free version of the App displays ads provided by Google AdMob. AdMob may collect:

Advertising identifier (IDFA on iOS, Advertising ID on Android)
General device information

Advertising IDs are considered personal data under the GDPR. In the European Union, the United Kingdom, and Switzerland, the App displays a consent dialog (Google Certified Consent Management Platform) on first launch. You can choose whether to allow personalized advertising. If declined, only non-personalized ads are shown. On iOS, the App Tracking Transparency (ATT) dialog is shown additionally. More information: Google Privacy Policy.

Legal basis: Consent (Art. 6(1)(a) GDPR) via the consent dialog or ATT dialog (iOS). For non-personalized ads: legitimate interest (Art. 6(1)(f) GDPR).

6. Local Data Storage

The App stores the following data locally on your device:

Your preferences (theme, language, search radius, etc.)
POI database (bundled with the App)
Imported GPX files and a history of recently opened routes, so that you can load them again without importing them anew
Your own saved points (e.g. "Home", "Hotel", "Station") with label and coordinates

The POI database and imported GPX files never leave your device unless you explicitly choose to export or share a file.

Note on device backup: Your preferences and your own saved points are included in your device's backup and therefore end up - if you have enabled it - in your Google account or iCloud. Since your own saved points may contain coordinates that reveal where you live, we point this out explicitly. The backup is performed by your operating system, not by us, and we have no access to it. The large databases (POI data, maps) are excluded from the backup.

POI Data Updates

The App automatically checks for updated POI data on every launch. To do so, it connects to raw.githubusercontent.com and downloads a small manifest file. If updates are available, they are downloaded in the background. To avoid unexpected costs, we ask you first if the update is larger than 50 MB, or if you are on a mobile data connection and the update is larger than 5 MB. To do so, the App checks whether the current connection is Wi-Fi or may incur charges - your mobile carrier and phone number are not read. The check also takes place when you have selected the offline map as your map source, because the map source says nothing about whether an internet connection is currently available; in that case, however, we ask before every download on a mobile data connection, regardless of size.

Notifications

The App may show notifications on your device, for example as a reminder before your free trial period ends. These notifications are created and scheduled entirely on your device. There are no push notifications from our servers, and no push token or similar identifier is transmitted to us or to any third party. You can turn notifications off at any time in your device's system settings.

In-App Notices

On launch, the App downloads a small text file from raw.githubusercontent.com that we occasionally use to display notices (e.g. about an important update). Your IP address is transmitted to GitHub in the process. The file contains all notices; which one matches your platform and app version is decided by the App on your device. No device identifier is transmitted, and we do not learn who has seen a notice.

7. Device Identification and Usage Analysis

For the free trial period (12 days of full POI visibility and 12 free pro exports) and for pseudonymous usage analysis, a pseudonymous device identifier is stored in Google Cloud Firestore. On Android this identifier is randomly generated and not derived from device characteristics; on iOS a system-provided, vendor-specific identifier is used in hashed form. It does not allow identifying you.

So that the identifier survives a reinstall or device change (to protect the one-time trial period), on Android it is additionally stored via the Google Play Services Block Store service and - if you have enabled Google Backup - backed up end-to-end encrypted in your Google account; Google has no access to the plaintext. On iOS the identifier is stored in the Keychain.

Stored data:

Pseudonymous device identifier (not directly attributable to a person)
Platform (Android/iOS)
Operating system version (e.g. "Android 14", "iOS 17.2")
Install source (e.g. Play Store, App Store)
Registration timestamp and trial expiry dates
Export counter (trial and total) and active categories per export
Pro status and purchase timestamp (if applicable)
Last app launch (timestamp)
Number of app launches
Language setting
App version
Version of the local POI database (technical value used to detect whether the POI data is up to date)
History of POI data updates: time and result of the last check for new POI data, the size of any update still pending, and the number and time of deferred update prompts and of interrupted update runs (technical values used to understand why POI data becomes outdated on a device)
Pseudonymous usage statistics: POI actions (e.g. navigation, sharing), number of route imports, number of submitted POI corrections
App settings (e.g. map source, display mode, search radius)
Countries/regions of exported route POIs (derived from POI data, not from device location)
Device manufacturer and device model (e.g. "Samsung", "SM-S928B")
Crash counter (number of app crashes)
Promo code attempts (number of input attempts), hash of the redeemed promo code, promo status (active/inactive) and promo expiration date (if applicable)
Whether the device identifier could be secured against reinstallation on this device (Block Store, Android only)

When you redeem a promo code, your pseudonymous device identifier and the redemption timestamp are stored in the corresponding code entry in Google Cloud Firestore to prevent multiple use.

Change of device identifier: If, after a reinstall or a device change, the App finds that a secured identifier already belongs to you, it adopts that one and discards the newly generated identifier. So that the abandoned entry is not counted as an additional device, we record in it the adopted identifier and the time of the change. This creates a link between two pseudonymous identifiers belonging to the same device. We likewise record it when an already redeemed promo code has to be reassigned to a different identifier after such a change - in that case the previous identifier is stored as well, so that we can attribute the code correctly. None of this allows any conclusion about your identity; both identifiers remain pseudonymous.

No personal data (names, email addresses, routes) is stored. Your device location is not transmitted to servers. Country/region data is derived solely from the POI data of the exported route.

This data is used exclusively for product improvement, user safety, and prevention of trial abuse. It is not used for advertising purposes or to create personal profiles.

Legal basis: Legitimate interest (Art. 6(1)(f) GDPR) in preventing abuse of the free trial period and improving the app.

Retention: The data is stored permanently. It can be deleted upon request via email.

If you delete your usage data via the app, only the data necessary for trial management will be stored from that point on (last app launch timestamp, app version, number of app launches). All other usage statistics (e.g. POI actions, export counters, settings, regions) will no longer be collected.

8. Third-Party Services

The App uses the following third-party services:

Google Firebase Analytics (Usage statistics) - Operator: Google Ireland Limited - Privacy Policy
Google Firebase Crashlytics (Crash reports) - Operator: Google Ireland Limited - Privacy Policy
Google AdMob (Advertising) - Operator: Google Ireland Limited - Privacy Policy
Google Cloud Firestore (Device identification and usage analysis) - Operator: Google Ireland Limited - Privacy Policy
Google Play Services (Block Store) (Storing the pseudonymous device identifier across reinstalls and device changes) - Operator: Google Ireland Limited - Privacy Policy
Firebase App Check (Abuse prevention) - The App proves to our services that a request originates from a genuine, unmodified NearSpotio installation. It uses Google Play Integrity on Android and Apple's App Attest on iOS; in the process your operating system transmits information about the integrity of the app and the device to Google or Apple and issues us a time-limited attestation token. This token contains no information about you and is not stored by us. Operator: Google Ireland Limited or Apple Inc. - Privacy Policy
Firebase Remote Config (Remote settings) - On launch, the App retrieves technical values that let us adjust the App's behaviour without publishing an update. Your IP address and an installation identifier assigned by Firebase are processed in doing so. Operator: Google Ireland Limited - Privacy Policy
Connectivity check - To determine whether an internet connection is actually available, the App opens a brief test connection to google.com, apple.com and bing.com. Your IP address is transmitted to Google, Apple and Microsoft in the process. No content is retrieved and no data of ours is sent along; the connection is closed immediately. Several addresses are needed because some of them are unreachable in certain countries.
OpenFreeMap / MapTiler / OpenStreetMap (Map display) - Map tiles are loaded from external servers; your approximate map viewport area is transmitted as part of standard tile requests. Depending on the selected map source, requests are sent to OpenFreeMap, MapTiler AG (Switzerland), or OpenStreetMap servers.
OpenStreetMap Nominatim (Geocoding) - When opening shared map links, address resolution may be performed via nominatim.openstreetmap.org. Your search query and IP address are transmitted. Operator: OpenStreetMap Foundation - Privacy Policy
GitHub (POI data updates and in-app notices) - The App periodically downloads POI updates and a small file containing notice texts from raw.githubusercontent.com. Your IP address is transmitted. Operator: GitHub, Inc. (Microsoft) - Privacy Policy

9. Data Processing & International Data Transfers

The data processor for the Firebase and AdMob services is Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland.

Google may process this data on servers in the United States. Data transfers to the USA are based on:

the EU-US Data Privacy Framework (EU Commission adequacy decision of July 10, 2023), and
Standard Contractual Clauses (SCCs) pursuant to Art. 46(2)(c) GDPR as a supplementary safeguard.

The specific services used and the data they process:

Firebase Analytics - Pseudonymous usage statistics (feature usage, session data, device identifiers)
Firebase Crashlytics - Automatic crash reports (device information, stack traces)
Google AdMob - Advertising identifiers (IDFA / Advertising ID), general device information
Google Cloud Firestore - Pseudonymous device identifier, platform, OS version, device manufacturer, device model, install source, expiry dates, export counter, category usage, POI actions, POI database version, history of POI data updates, app settings, regions of route POIs, POI correction reports, crash counter, promo code attempts, redeemed code hash, promo status, promo expiration date and markers for a change of device identifier (trial system, promo system and usage analysis)
Firebase App Check - Attestation token on the integrity of app and device (Google Play Integrity or Apple App Attest)
Firebase Remote Config - IP address, Firebase installation identifier
Google Play Services (Block Store) - Pseudonymous device identifier (stored encrypted on the device; with Google Backup enabled, additionally backed up end-to-end encrypted so the identifier survives reinstall and device change)

Further information:
Google Privacy Policy · Firebase Privacy · EU-US Data Privacy Framework · AdMob

10. Data Retention

Firebase Analytics: Usage data is retained for 14 months, then automatically deleted.
Firebase Crashlytics: Crash reports are retained for 90 days.
AdMob: Advertising interaction data is subject to Google's retention policies (see Google Retention Policy).
Local data: Deleted when you uninstall the App.
Trial data (Cloud Firestore): Stored permanently. Can be deleted upon request via email.

11. Your Rights (GDPR)

You have the following rights regarding your personal data:

Access (Art. 15 GDPR) - Right to information about what data is processed about you
Rectification (Art. 16 GDPR) - Right to correct inaccurate data
Erasure (Art. 17 GDPR) - Right to deletion of your data (see also our Data Deletion page)
Restriction of processing (Art. 18 GDPR)
Data portability (Art. 20 GDPR) - where technically applicable
Objection (Art. 21 GDPR) - in particular against processing based on legitimate interests
Withdrawal of consent (Art. 7(3) GDPR) - at any time with effect for the future (e.g. tracking via iOS ATT or device settings)

Practical measures:

Deny or revoke tracking via the iOS ATT dialog or Android advertising settings
Reset your advertising identifier in your device settings
Delete locally stored App data by uninstalling the App
Delete usage data directly in the app via Settings → Delete my data. To prevent abuse of the trial period, the pseudonymous device identifier and trial status are retained even after deletion.

12. Supervisory Authority

You have the right to lodge a complaint with a data protection supervisory authority. The authority responsible for us is:

Austrian Data Protection Authority (Österreichische Datenschutzbehörde)
Barichgasse 40-42, 1030 Vienna, Austria
www.dsb.gv.at

You may also contact the supervisory authority in your country of residence.

13. Notice for Users in the United States (CCPA/CPRA)

If you reside in California or another US state with comparable privacy laws, you have the following additional rights:

Right to know: You can request information about what categories of personal data we collect and for what purpose.
Right to delete: You can request the deletion of your personal data (see our Data Deletion page).
Right to opt out: You have the right to opt out of the "sale" or "sharing" of your personal data.

Do we sell or share your data? NearSpotio does not sell your personal data. However, the free version of the App displays advertising via Google AdMob, which involves transmitting advertising identifiers to Google. This may qualify as "sharing" under the CCPA. You can disable personalized advertising at any time via your device settings or by declining in the consent dialog.

We do not discriminate against you for exercising your privacy rights.

14. Website (nearspotio.app)

Sections 1-13 apply to the mobile App. This section describes the data processing on our website www.nearspotio.app.

14.1 Hosting

The website is served as a static site via GitHub Pages (GitHub, Inc., 88 Colin P Kelly Jr St, San Francisco, CA 94107, USA) with a Cloudflare CDN/proxy in front (Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA). For every request, server log data (IP address, date/time, requested URL, user agent, referrer) is briefly processed to deliver the site and prevent abuse.

Legal basis: Legitimate interest (Art. 6(1)(f) GDPR) in stable and secure operation of the website.

International transfer: Data is transferred to the USA on the basis of the EU-US Data Privacy Framework (European Commission adequacy decision of 10 July 2023); GitHub and Cloudflare are certified.

14.2 Cookies & local storage

The website uses only strictly necessary storage:

nearspotio-theme (localStorage) - stores your theme preference (light/dark).
nearspotio-lang (localStorage) - stores your language preference (DE/EN).
cc_cookie (first-party cookie) - stores your cookie consent for 6 months.

Legal basis: § 165(3) TKG (Austria) / § 25(2) DDG (Germany) - strictly necessary; Art. 6(1)(f) GDPR (legitimate interest).

14.3 Web analytics (Google Analytics 4)

Subject to your explicit consent via our cookie dialog, we use Google Analytics 4 (provider: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland). Purpose: pseudonymous reach measurement to improve the website.

Data collected includes:

pages visited, time on site, click paths within the website
session duration, landing and exit pages
device and browser type, screen resolution, language
approximate location at country/region level (no precise geolocation)
pseudonymous client ID (cookies _ga, _ga_*)

Privacy-friendly configuration:

IP anonymisation is enabled (IPv4 is truncated by default in GA4 and not stored).
Google Signals is disabled (no cross-device tracking, no linking with Google accounts).
Ad features and personalisation are disabled (allow_ad_personalization_signals=false).
Google Consent Mode v2: without consent, no Google Analytics script is loaded and no cookies are set.
Retention period: 2 months.

Legal basis: Consent (Art. 6(1)(a) GDPR, § 165(3) TKG Austria / § 25(1) DDG Germany). Consent is voluntary and can be withdrawn at any time with effect for the future.

International transfer: Data is transferred to Google LLC in the USA on the basis of the EU-US Data Privacy Framework; Google is certified. Standard Contractual Clauses under Art. 46(2)(c) GDPR apply additionally.

Data processing agreement: A DPA under Art. 28 GDPR is in place with Google Ireland (Google Ads Data Processing Terms).

14.4 Withdrawing consent

You can withdraw your cookie consent at any time by clicking "Cookie settings" in the footer and adjusting your choice. Analytics cookies that were already set will be deleted. You can also install the Google Analytics browser add-on or enable the Global Privacy Control (GPC) signal in your browser, which we honour.

14.5 External resources

The website does not load Google Fonts, third-party icon libraries, or social-media plugins. All fonts and icons are served from our own domain.

14.6 Server-side reach measurement (campaign links)

For links from our advertising campaigns (e.g. TikTok, Facebook, Instagram), for QR codes (e.g. on business cards) and for the app-store buttons on our website we use server-side, cookie-less reach measurement (Cloudflare Worker) at www.nearspotio.app/go. When such a link is opened, the access is counted and you are immediately redirected to the respective app store or to our website.

We store only:

time of access
device type (Android / iOS / desktop)
country (derived from the IP address; the IP itself is not stored)
primary browser language (e.g. "en")
referrer domain (without the full URL)
campaign parameters from the link (e.g. utm_source, utm_campaign)

No cookies are set, no fingerprinting is used, no user profiles are created and no data is shared with third-party analytics providers. Individual persons cannot be re-identified. The data is automatically deleted after 90 days; before deletion it is condensed into aggregated, anonymous daily statistics (e.g. "clicks per day and campaign") that allow no conclusions about individual persons and are retained indefinitely.

Purpose: measuring the reach and effectiveness of our advertising campaigns.
Legal basis: legitimate interest (Art. 6(1)(f) GDPR). Consent is not required because no information is accessed on your device (Sec. 165(3) TKG AT / Sec. 25 DDG DE).

15. Contact

If you have questions about this privacy policy, please contact us at: