Datenschutz

Das Wichtigste in Kürze

• AutoversteCar hat kein Konto, keine Werbung, kein Tracking und keine Analyse. In der App steckt kein Fremd-SDK.
• Dein Standort wird auf deinem iPhone ausgewertet. Niemand sieht dich live auf der Karte, auch der Server nicht.
• Eine Ausnahme gibt es: den Fundort. Meldet ein Sucher einen Fund, geht sein Standort in diesem Moment an die Runde, auf etwa 10 Meter gerundet. Alle in der Runde sehen ihn auf der Karte.
• Der Spielserver speichert nur, was eine Runde braucht: Spielnamen, Gebiet, Zeiten, Rollen und Funde. Jede Runde wird spätestens 48 Stunden nach dem Anlegen gelöscht.
• Wer Runden eröffnet, kann Rundenpakete kaufen. Dafür führt der Server ein getrenntes Kontobuch ohne Namen. Dieses Kontobuch hat keine automatische Löschfrist (Abschnitt 6).
• Die Proberunde läuft nur auf deinem iPhone, ohne Server.

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung ist:

• Leo Dietrich, Einzelunternehmer, Geschäftsbezeichnung „Conclence“
• Arnsdorfer Weg 5, 02681 Wilthen, Deutschland
• E-Mail: hello@conclence.de

Wenn in diesem Text „ich“ steht, ist der Verantwortliche gemeint.

2. So ist AutoversteCar aufgebaut

AutoversteCar besteht aus drei Teilen:

• Die App auf deinem iPhone. Sie zeigt Karte, Rollen und Funde und wertet deinen Standort aus.
• Der Spielserver. Er hält die Runde auf allen iPhones gleich, lost die Rollen aus und führt das Kontobuch für Rundenpakete. Er läuft bei Cloudflare.
• Apple. Der App Store liefert die App und wickelt Käufe ab. Apple liefert auch die Karten.

3. Welche Daten wann verarbeitet werden

3.1 Proberunde

Die Proberunde spielt mit simulierten Mitspielern nur auf deinem iPhone. Sie hat keinen Kontakt zum Spielserver, kein Widget, keine Mitteilungen und nie Standort im Hintergrund.

3.2 Runde eröffnen oder beitreten

Die App schickt an den Spielserver:

• Spielname (1 bis 24 Zeichen, frei gewählt). Du musst keinen echten Namen nehmen.
• Vom Host: das Spielgebiet (die Ecken des Vielecks, 3 bis 32) sowie Versteck- und Suchzeit.
• Eine zufällige Gerätekennung, die die App einmal erzeugt. Der Server speichert nur ihren SHA-256-Hash. Damit erkennt er dasselbe iPhone wieder, etwa nach einem Verbindungsabbruch oder einer Neuinstallation.
• Ein Sitzungstoken, das die App bei jeder Anfrage mitschickt. Der Server speichert nur seinen Hash.

Der Server erzeugt und speichert dazu zufällige Kennungen für Runde, Teilnehmer und Befehle, den sechsstelligen Rundencode, Zeitpunkte (Anlegen, Beitritt, Phasenwechsel, Ende), die ausgelosten Rollen und die Funde.

Wer sieht was. Alle in derselben Runde sehen Spielnamen, Gebiet, Zeiten, die Rollenkarte und die Funde mit Zeitpunkt, Melder und Fundort. Gerätekennung und Token-Hashes gibt der Server nie weiter. Wer den Rundencode kennt, kann der Lobby beitreten und sieht dann diese Angaben. Gib den Code nur an Leute, die du kennst. Der Host kann Personen aus der Lobby entfernen.

Folgerunde. Legt der Host nach dem Ende eine Folgerunde an, übernimmt der Server Spielnamen, Gebiet, Zeiten, die Hashes der Gerätekennungen und die Angabe, wer zuletzt gesucht hat, in eine neue Runde. So folgen alle automatisch und werden als dieselben Personen erkannt. Die Folgerunde hat eigene Löschfristen.

3.3 Fundort

Meldet ein Sucher einen Fund, schickt die App seinen Standort in diesem Moment mit. Das passiert nur, wenn die letzte Messung höchstens 90 Sekunden alt und höchstens 100 Meter ungenau ist. Die App rundet vorher auf vier Nachkommastellen (etwa 10 Meter), der Server rundet ebenfalls. Alle in der Runde sehen den Fundort als Markierung mit dem Namen der gefundenen Person. Der Fundort gehört zur Runde und wird mit ihr gelöscht.

Ohne brauchbare Messung zählt der Fund genauso, nur ohne Markierung. Vom Host nachgetragene Funde haben keinen Ort. Nimmt der Melder einen Fund zurück, löscht der Server den Fundort, und die Markierung verschwindet. Im Rundenstand bleibt nur, dass es einen zurückgenommenen Fund gab.

3.4 Dein Standort auf dem iPhone

• Karte, Gebietsprüfung, Wegweiser zurück ins Gebiet und die Warnung beim Verlassen des Gebiets rechnet die App nur auf deinem iPhone. Genauigkeit, Abstand zur Grenze und dein Weg verlassen das iPhone nie. Niemand sieht deine aktuelle Position.
• Die App fragt nach der Erlaubnis „Beim Verwenden der App“, in echten Runden schon in der Lobby. „Immer“ fragt sie nie. Ist „Genauer Standort“ aus, fragt iOS einmal, ob die App für diese Runde genau messen darf.
• Im Hintergrund misst die App nur während deiner eigenen laufenden Runde (Versteck- und Suchzeit), damit sie dich bei gesperrtem iPhone warnen kann, wenn du das Gebiet verlässt. iOS zeigt dazu den blauen Standorthinweis. Gefunden werden, Rundenende, Abbruch oder Verlassen der Runde beenden die Messung sofort.
• Für den Gebietsvorschlag holt die App vor deiner ersten eigenen Runde eine einzelne Messung, wenn der Standort schon erlaubt ist. Das Gebiet liegt dann um dich, die Mitte auf etwa 1 Kilometer gerundet. Zum Server geht nur das Gebiet, das der Host am Ende festlegt.

3.5 Netzwerkadresse und Anfragezähler

Jede Verbindung zum Spielserver trägt technisch deine IP-Adresse. Der Server nutzt sie nur als Schutz vor Überlastung und Missbrauch. Er zählt Anfragen pro Minute, zum Beispiel beim Anlegen von Runden, beim Beitreten und bei Anfragen zu Rundenpaketen. Dazu bildet er aus der Netzwerkadresse (bei IPv6 aus dem /64-Netz) mit einem geheimen Zusatz („Salt“) einen Hash. Gespeichert wird nur dieser Hash mit einem Zähler und dem Beginn des Zeitfensters, nicht die Adresse. Auch der Rundencode, den du beim Beitreten eingibst, wird so gezählt. Ein Zähler wird nach spätestens 24 Stunden gelöscht.

Ein Hash ist keine Anonymisierung. Wer den Zusatz und eine Adresse kennt, kann den Hash nachrechnen. Der Zusatz bleibt auf dem Server und wird nicht ausgegeben.

3.6 Rundenpakete und Käufe

Mitspielen ist immer kostenlos. Wer Runden eröffnet, hat 2 Gratisrunden und kann danach Rundenpakete (3 oder 10 Runden) kaufen. Es gibt kein Konto. Der Server ordnet Runden deiner Apple-ID über eine Kennung zu, die Apple für dich und diese App signiert (die App-Transaktions-ID).

So läuft es ab:

• Rundenstand abfragen. Wenn du die Einstellungen oder die Rundenpakete öffnest, als Host in der Lobby bist oder eine Runde startest, schickt die App Apples signierte App-Transaktion an den Spielserver. Beim App-Start geschieht das nur, wenn noch ein Kauf auf seine Gutschrift wartet. Wer nur mitspielt, schickt sie nicht. Der Server prüft die Apple-Signatur selbst, ohne Apple zu fragen. Aus der App-Transaktions-ID bildet er mit einem geheimen Zusatz („Pepper“) einen Hash und liest damit deinen Stand. Hast du noch nie eine Runde gestartet und nie ein Paket gekauft, legt er dafür nichts an.
• Runde starten. Beim Start einer Runde reserviert der Server eine Runde deines Kontos. Das Kontobuch weiß nur bis zur Abrechnung, welche Runde zu deinem Konto gehört, höchstens 48 Stunden. Die Runde selbst kennt dein Konto nie. Am Ende bucht der Server sie ab oder gibt sie frei.
• Kaufen. Die Zahlung läuft über Apple. Danach schickt die App Apples signierte Transaktion an den Server. Er prüft Signatur, App, Produkt und Umgebung und schreibt die Runden gut, jede Transaktion genau einmal.
• Rückerstattung. Erstattet Apple einen Kauf, meldet Apple das dem Server (App Store Server Notifications). Der Server nimmt dann die noch nicht gespielten Runden dieses Kaufs zurück. Schon gespielte bleiben gespielt. Nimmt Apple die Erstattung zurück, kommen genau diese Runden wieder. Andere Mitteilungen von Apple beantwortet der Server, ohne sie zu speichern.

Im Kontobuch stehen:

• der Hash deines Kontos (getrennt für echte Käufe und für Apples Testkäufe, die „Sandbox“),
• der Zeitpunkt der Anlage und die Zähler: verbrauchte Gratisrunden, gekaufte und verbrauchte Runden,
• offene Reservierungen (Runden-ID und Zeitpunkt) bis zur Abrechnung,
• zu jedem Kauf: Transaktions-ID, Produkt, Zahl der Runden, Zeitpunkt der Gutschrift und gegebenenfalls die Erstattung.

Nicht im Kontobuch stehen: Name, Spielname, Gerätekennung, Standort, Apple-ID, E-Mail-Adresse und Zahlungsdaten. Die Zahlungsdaten und deine Apple-ID kennt nur Apple.

Das Kontobuch ist pseudonym, nicht anonym. Mit der App-Transaktions-ID und dem Zusatz lässt sich ein Eintrag finden.

3.7 Einladungslink und QR-Code

Der Link zu einer Runde führt auf eine einfache Seite des Spielservers. Sie zeigt den Rundencode, einen Knopf zum App Store und einen Knopf „In der App öffnen“. Sie lädt nichts von Dritten, setzt selbst keine Cookies und enthält keine Skripte. Sie prüft auch nicht, ob es die Runde gibt. Der QR-Code entsteht auf deinem iPhone und enthält denselben Link. Tippst du auf den Knopf zum App Store, verarbeitet Apple diese Anfrage.

3.8 Karten und Straßenansicht

Die Karten zeigt die App mit Apples MapKit. Dein iPhone lädt Kartendaten direkt von Apple, und Apple sieht dabei, welchen Kartenausschnitt dein iPhone anfragt. Das gilt auch für die Straßenansicht (Look Around) der Gebietsmitte. Apple verarbeitet das nach eigenen Bedingungen. Der Spielserver ist daran nicht beteiligt.

3.9 Mitteilungen und Widget

Mitteilungen (Phasenende, Rundenende, Gebiet verlassen) plant die App lokal auf deinem iPhone. Es gibt keine Push-Mitteilungen und keinen Push-Token. Fürs Widget legt die App Phase, Rolle, Zähler, Rundencode und Phasenende in einem gemeinsamen Speicher (App-Gruppe) auf deinem iPhone ab, nie Standortdaten.

3.10 Kontakt per E-Mail

Schreibst du mir, verarbeite ich deine E-Mail-Adresse und den Inhalt deiner Nachricht, um zu antworten. Bitte schick keinen Rundencode, keinen Standort und keine privaten Namen mit. Ich lösche die Korrespondenz, sobald dein Anliegen erledigt ist und keine gesetzliche Aufbewahrungspflicht dagegen steht.

4. Was auf deinem iPhone bleibt

• Einstellungen: dein Spielname, das gewählte Design und ob du „So geht's“ schon gesehen hast.
• Schlüsselbund: die Sitzung der laufenden Runde, der zuletzt bestätigte Rundenstand und die zufällige Gerätekennung. Diese Einträge bleiben auf diesem iPhone und gehen nicht auf andere Geräte über. Mit dem Stand kann die App nach einem Neustart oder Netzwechsel die Runde fortsetzen.
• Widget-Speicher: der Rundenstatus fürs Widget (Abschnitt 3.9).
• Standort: Messungen, Gebietsprüfung und Wegverlauf wertet die App nur auf dem iPhone aus. Sie gehen nie an den Server.

Unter Einstellungen & Hilfe → Lokale Daten löschen entfernst du Sitzung, letzten Rundenstand, Namen und die zufällige Gerätekennung von diesem iPhone. Die Standorterlaubnis in iOS bleibt, wie sie ist; die änderst du in den iOS-Einstellungen. iOS kann Schlüsselbund-Einträge behalten, wenn du die App löschst. Willst du sie loswerden, nutze erst „Lokale Daten löschen“ und lösche dann die App.

5. Empfänger und Auftragsverarbeiter

• Mitspielende in derselben Runde sehen die Angaben aus Abschnitt 3.2 und 3.3.
• Cloudflare hostet den Spielserver. Der Rundenspeicher (Durable Objects) liegt in der EU-Jurisdiktion von Cloudflare. Ich lasse keine Anfrageprotokolle bei Cloudflare mitschreiben (Workers-Protokollierung ausgeschaltet). Dein iPhone verbindet sich mit dem Cloudflare-Standort, der ihm am nächsten liegt. Dort wird die Anfrage angenommen und an den Speicher in der EU weitergereicht. Dabei verarbeitet Cloudflare technisch deine IP-Adresse. Cloudflare, Inc. sitzt in den USA. Mit Cloudflare besteht ein Vertrag zur Auftragsverarbeitung mit Standardvertragsklauseln, und Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert.
• Apple liefert die App über den App Store, wickelt Zahlungen und Käufe ab, liefert Karten und Straßenansicht, öffnet Einladungslinks direkt in der App und sendet Erstattungsmeldungen an den Server. Apple verarbeitet Daten dabei als eigener Verantwortlicher nach den Datenschutzbestimmungen von Apple (apple.com/legal/privacy). Ich bekomme von Apple weder Zahlungsdaten noch deinen Namen, nur zusammengefasste Statistiken wie Download- und Verkaufszahlen. Hast du in iOS erlaubt, Analysedaten mit App-Entwicklern zu teilen, kann Apple mir zusammengefasste Absturzberichte bereitstellen. Die App selbst sammelt keine.

Weitere Empfänger gibt es nicht. Ich verkaufe keine Daten und gebe sie nicht für Werbung weiter.

6. Speicherdauer

Eine Folgerunde zählt als neue Runde mit eigenen Fristen. Alle Fristen gelten für Spielnamen, Gebiet, Zeiten, Rollen, Funde, Fundorte, Token-Hashes und Hashes der Gerätekennung, denn sie liegen in der Runde.

Zum Kontobuch ehrlich: Es hat keine automatische Löschfrist. Es muss bestehen bleiben, solange deine gekauften Runden gelten, und die verfallen nicht. Du kannst es jederzeit selbst löschen (Abschnitt 9). Dann verfallen die gekauften Runden, die noch darin stehen.

7. Kein Tracking, keine Werbung

Es gibt nicht:

• ein Konto, eine Anmeldung oder eine Pflicht, E-Mail-Adresse oder Telefonnummer anzugeben,
• Zugriff auf Kontakte, Fotos, Kamera oder Mikrofon,
• Werbung, Werbe-ID oder Tracking (die App fragt deshalb auch nicht nach Tracking),
• Analyse-, Absturz- oder Session-Replay-Dienste in der App,
• Bibliotheken oder SDKs von Dritten,
• einen Chat oder Fotos in Runden.

8. Rechtsgrundlagen

Pflicht zur Angabe. Ohne Spielnamen kannst du keine Runde spielen. Der Standort ist freiwillig. Ohne ihn fehlen Gebietsprüfung und Fundort. Ohne Apples App-Transaktion kannst du mitspielen, aber keine Runden eröffnen. Es gibt keine automatisierte Entscheidung mit rechtlicher Wirkung. Der Server lost die Rollen nur zufällig aus.

9. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitung auf Grundlage berechtigter Interessen (Art. 21). Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Schreib dazu an hello@conclence.de.

Lokale Daten löschen. In der App unter Einstellungen & Hilfe → Lokale Daten löschen (siehe Abschnitt 4). Die Standorterlaubnis entziehst du in den iOS-Einstellungen unter Datenschutz & Sicherheit → Ortungsdienste → AutoversteCar. Ein Gast, der die Lobby verlässt, wird sofort aus der Runde entfernt.

Daten auf dem Server. Rundendaten löscht der Server von selbst, nach den Fristen in Abschnitt 6. Dafür musst du nichts tun.

Auskunft und Löschung. AutoversteCar kennt dich nicht mit Namen. Eine Runde lässt sich deshalb nur mit Rundencode, Spielname und Zeitraum zuordnen. Sie ist nach spätestens 48 Stunden gelöscht. Das Kontobuch speichert nur einen Hash der App-Transaktions-ID und lässt sich ohne diese ID nicht durchsuchen (Art. 11 DSGVO). Deinen Stand siehst du in der App unter Einstellungen → „Deine Runden“.

Rundenkonto löschen. In der App unter Einstellungen → Rundenpakete → „Rundenkonto löschen“. Die App weist sich dabei mit Apples App-Transaktion aus, der Server löscht dann deinen Eintrag. Noch nicht gespielte, gekaufte Runden verfallen. Damit Löschen keine neuen Gratisrunden bringt, bleibt unter dem Hash nur die Zahl deiner schon verbrauchten Gratisrunden stehen. Die Kennungen alter Käufe bleiben ohne Bezug zu einem Konto, damit kein Kauf ein zweites Mal gutgeschrieben wird.

10. Beschwerderecht

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), zum Beispiel an deinem Wohnort oder am Sitz des Verantwortlichen. Zuständig für den Verantwortlichen ist die Sächsische Datenschutz- und Transparenzbeauftragte. Eine Liste aller Behörden führt der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (bfdi.bund.de).

11. Kinder und Jugendliche

AutoversteCar richtet sich an Erwachsene. Im App Store ist die App ab 18 Jahren eingestuft. Die App prüft das Alter nicht selbst. Bist du unter 18, nutze die App bitte nicht. Merken Eltern, dass ihr Kind mitspielt, können sie mir unter hello@conclence.de schreiben.

12. Sicherheit

Die App und der Spielserver sprechen nur verschlüsselt miteinander (HTTPS und WSS). Sitzungstoken und Gerätekennung liegen auf dem Server nur als Hash. Für die Echtzeitverbindung nutzt die App kurzlebige Einmal-Tickets (30 Sekunden), nie in einer Adresse. Sitzung und Gerätekennung liegen auf dem iPhone im Schlüsselbund. Absolute Sicherheit gibt es nicht.

13. Änderungen

Ändert sich die App oder die Datenverarbeitung, passe ich diese Erklärung an. Das Datum oben zeigt den Stand. Die App verlinkt diese Seite unter Einstellungen & Hilfe → Datenschutzerklärung.

Diese Webseite

Für den Besuch dieser Webseite gilt die Datenschutzerklärung von conclence.de.

Anbieterangaben stehen im Impressum.