Datenschutzerklärung

Diese Erklärung informiert dich darüber, welche personenbezogenen Daten wir in der GeoWunder-App, beim Mitspielen im Browser (play.geowunder.com) und auf der Website geowunder.com verarbeiten — gemäß Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO).

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne von Art. 4 Nr. 7 DSGVO ist:

GeoWunder GmbH
Vertreten durch die Geschäftsführer: Damir Orec, Martin Albers, Ulrich Koj
Kirschgartenstr. 6/4, 69126 Heidelberg, Deutschland
E-Mail: info@geowunder.com

Datenschutz-Anfragen zur GeoWunder-App und zur Website geowunder.com richte bitte an info@geowunder.com.

Eine:n Datenschutzbeauftragte:n haben wir gesetzlich nicht zu benennen.

2. Auf einen Blick

Die folgende Übersicht fasst zusammen, welche Daten wir wofür verarbeiten. Details findest du in den nachfolgenden Abschnitten.

3. Konto und Anmeldung

Du kannst GeoWunder zunächst anonym nutzen — beim ersten Start wird automatisch ein anonymes Konto mit einer technischen Firebase-Kennung angelegt. Unter dieser Kennung speichern wir deinen Spielstand in unserer Datenbank (Abschnitt 4), damit du eine Rallye fortsetzen kannst. Wenn du dich anmeldest, verarbeiten wir je nach gewähltem Anbieter:

• Sign in with Apple: Apple übermittelt uns eine pseudonyme Nutzer-ID und — sofern du zustimmst — eine reale oder von Apple maskierte E-Mail-Adresse.
• Google Sign-In: Google übermittelt uns eine Nutzer-ID, deinen Anzeigenamen und deine E-Mail-Adresse.
• Anonymes Konto: Es wird ausschließlich eine technische Firebase-Kennung erstellt; keine Profildaten.
• Magic-Link per E-Mail: Wir senden dir einen Anmeldelink an deine E-Mail-Adresse. Der Versand erfolgt über Resend (siehe Abschnitt 13).

Auftragsverarbeiter: Firebase Authentication (Google Ireland Limited bzw. Google LLC).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
Speicherdauer: bis du dein Konto löschst.

4. Standortdaten (GPS)

Die Kernfunktion von GeoWunder beruht darauf, dass die App deinen Standort verwendet, um dich zu Stationen einer Rallye zu navigieren und automatisch zu erkennen, wenn du einen Wegpunkt erreicht hast.

Während einer aktiven Spielsitzung schreibt die App deinen Spielstand in unsere Datenbank: aktuelle Position, Zeitpunkt, Fortschritt (gelöste und übersprungene Aufgaben, genutzte Hinweise), Spieldauer, gelaufene Strecke und den Akkustand deines Geräts. Das geschieht bei Fortschritt sowie etwa alle 30 Meter bzw. 30 Sekunden; im Solo-Spiel liegt der Spielstand in deinem eigenen Nutzerbereich. Außerhalb einer Spielsitzung verwendet die App deinen Standort nur einmalig, wenn du es auslöst — etwa für die Umkreissuche in „Entdecken“ oder als Startpunkt beim Erstellen einer Rallye; die Koordinaten gehen dabei an unser Backend (Abschnitte 7 und 8). Tippst du in die Ortssuche, ohne dass eine Karte zu sehen ist, geht deine Position auf etwa 1 km gerundet mit — nur wenn du die Standort-Berechtigung schon erteilt hast (Abschnitt 8).

4.1 Standort-Berechtigung und Hintergrund (iOS und Android)

Die App fragt auf iOS und Android nur die Standort-Berechtigung „Beim Verwenden der App“ an; die Berechtigung „Immer“ fordert sie nicht an. Auf Android nutzt die App keinen Hintergrund-Standort. Auf iOS kann die App während einer laufenden Rallye den Standort auch bei gesperrtem Bildschirm weiter erhalten, damit die Live Activity auf dem Sperrbildschirm Entfernung und Richtung zur nächsten Station anzeigen kann; diese Werte werden auf deinem Gerät berechnet. Du kannst die Berechtigung jederzeit in den Systemeinstellungen widerrufen.

4.2 Standort-Teilen im Party-Modus

Wenn du an einer Gruppen-Rallye („Party-Modus“) teilnimmst, wird dein aktueller Spielfortschritt — einschließlich deiner Position auf der Spielroute — an die anderen Teilnehmer:innen derselben Session übermittelt. Diese Daten werden in einer temporären Spielsession (Pin) gespeichert und nach Ende der Session, spätestens nach etwa 24 Stunden, automatisch gelöscht.

Zum Spielstand in der Session gehören neben der Position auch dein Fortschritt, die gelaufene Strecke und der Akkustand deines Geräts; die Spielleitung sieht die Teams auf einer Karte. Wer im Browser mitspielt (Abschnitt 15), übermittelt keine GPS-Position.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); im Party-Modus zusätzlich Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch Beitritt zur Session).

5. Hochgeladene Fotos und Videos

Beim Speichern und Spielen von Rallyes können Mediendateien auf zwei unterschiedliche Arten anfallen — wir behandeln sie getrennt:

5.1 Vom Tour-Ersteller hochgeladene Inhalte

Wenn du eine eigene Rallye erstellst, kannst du eigene Intro-Videos, Referenzbilder für Bild-Aufgaben sowie Video-Aufgaben hochladen. Diese Dateien werden in unserer verschlüsselten Cloud-Speicher-Instanz (Firebase Storage) abgelegt. Sie sind nur für dich und — in Gruppen-Sessions — für die Mitspieler:innen derselben Session sichtbar.

Speicherort: Google Cloud Storage, Region europe-west6 (Zürich, Schweiz).
Auftragsverarbeiter: Google Ireland Limited bzw. Google LLC.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Speicherdauer: bis du die zugehörige Rallye oder dein Konto löschst (die serverseitige Konto-Löschung entfernt diese Dateien automatisch mit).

5.2 Beim Spielen aufgenommene Foto-Beweise (Foto-Missionen)

Bei reinen Verifikations-Foto-Aufgaben während des Spielens nimmst du ein Bild mit der Kamera oder aus deiner Mediathek auf. Dieses Bild wird nicht in unserer Cloud gespeichert. Es wird zusammen mit dem Aufgabentext ausschließlich zur Verifikation über unser Backend an den KI-Dienst durchgereicht (Details in Abschnitt 6) und nach der Analyse verworfen. Wir speichern bei deinem Spielstand nur das Ergebnis der Verifikation (gelöst / nicht gelöst), nicht das Bild selbst. Damit dieselbe Aufnahme nicht mehrfach geprüft werden muss, halten wir für 30 Tage einen nicht umkehrbaren Prüfwert (Hash) des Bildes zusammen mit dem Prüfergebnis vor — das Bild lässt sich daraus nicht wiederherstellen. Hast du unterwegs kein Netz, bewahrt die App bis zu zehn Aufnahmen lokal auf deinem Gerät auf und prüft sie nach, sobald wieder eine Verbindung besteht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Speicherdauer: Bild: keine — es wird verworfen, nachdem die KI die Antwort geliefert hat. Prüft im Ersatzfall OpenAI das Bild, kann OpenAI es in der Regel bis zu 30 Tage zur Missbrauchserkennung aufbewahren (Abschnitt 7.1). Prüfwert (Hash) und Ergebnis: 30 Tage.

5.3 Beiträge im gemeinsamen Gruppen-Feed (Fotos und Baustein-Sätze)

In bestimmten Gruppen-Spielmodi — etwa Team-Wettbewerben über mehrere Routen — gibt es einen gemeinsamen Session-Feed sowie Foto- und Story-Staffeln, bei denen der Beitrag eines Teams zur Aufgabe für ein anderes Team wird. Frei getippte Texte gibt es dort nicht: Text-Beiträge setzt du aus vorgegebenen Bausteinen bzw. einer festen Auswahl zusammen, übertragen wird nur die Kennung deiner Auswahl. Fotos, die du dort postest, werden — anders als die Verifikations-Fotos aus Abschnitt 5.2 — in unserem Cloud-Speicher gespeichert und den anderen Teilnehmer:innen derselben Session angezeigt. Das gilt nur für Sitzungen, die die Spielleitung als „Ab 13 Jahren“ angelegt hat; zum Jugend-Modus siehe Abschnitt 22.

Vor der Veröffentlichung wird jedes Foto automatisiert durch eine KI geprüft (Sicherheit der Inhalte und ggf. Aufgabenbezug, Details in Abschnitt 6 und 24). Ohne Freigabe wird der Beitrag nicht angezeigt; schlägt die Prüfung aus technischen Gründen fehl, wird er vorsorglich ebenfalls nicht veröffentlicht. Am Ende einer Session können Beitrags-Sätze, Spielstatistiken und bis zu drei Fotos für eine spielerische „Award-Zeremonie“ erneut an den KI-Dienst übermittelt werden (Abschnitt 6); Spielernamen werden dem KI-Dienst dabei nicht übermittelt. Im Jugend-Modus findet keine Award-Zeremonie statt.

Speicherort: Google Cloud Storage, Region europe-west6 (Zürich, Schweiz); Abruf durch Mitspieler:innen über zeitlich begrenzte Zugriffs-Links.
Auftragsverarbeiter: Google Ireland Limited bzw. Google LLC.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Speicherdauer: bis zum Ende der Spielsession, spätestens ca. 24 Stunden — Beiträge und Fotos werden zusammen mit der Session automatisch gelöscht.

5.4 Themen-Scan bei der Rallye-Erstellung (Texterkennung auf dem Gerät)

Beim Erstellen einer Rallye kannst du optional eigene Unterlagen (z. B. ein Arbeitsblatt oder eine Buchseite) mit der Kamera fotografieren oder ein Bild aus deiner Mediathek wählen, um daraus das Thema abzuleiten. Die Texterkennung (OCR) läuft dabei vollständig lokal auf deinem Gerät (Google ML Kit, On-Device-Verarbeitung): Das Foto wird weder gespeichert noch an uns oder Dritte übertragen und direkt nach der Erkennung verworfen.

Nur der erkannte Text, den du vor der Verwendung vollständig einsehen, bearbeiten und löschen kannst, wird — wie ein von dir eingetipptes Thema — als Teil deiner Generierungs-Anfrage an unser Backend übermittelt und dort zur Rallye-Erstellung an den KI-Dienst weitergegeben (Abschnitt 7). Er wird mit dem Generierungs-Auftrag kurzzeitig in deinem Nutzerbereich gespeichert und automatisch gelöscht; als Teil der Generierungs-Anfrage kann er außerdem im Generierungs-Protokoll stehen (Abschnitt 7).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Speicherdauer des Fotos: keine — es verlässt dein Gerät nicht.

6. Bild- und Inhalts-Prüfung durch generative KI

Zur automatischen Verifikation von Foto-Aufgaben, zur Prüfung von Antworten, die du bei Rätseln und Freitext-Aufgaben frei eintippst, zur automatisierten Prüfung von Gruppen-Feed-Beiträgen vor ihrer Veröffentlichung (Abschnitt 5.3) sowie für die Award-Zeremonie am Ende einer Gruppen-Session übermitteln wir die jeweiligen Inhalte (Foto und Aufgabentext; bei eingetippten Antworten Rätsel- oder Aufgabentext, deine Antwort und die erwartete Lösung; bei Awards Beitrags-Sätze, Spielstatistiken und einzelne Fotos — keine Spielernamen) an einen KI-Dienst. Wir nutzen dafür zwei Anbieter: Google Gemini über Vertex AI (EU) und OpenAI (Verarbeitung auch in den USA, Abschnitt 7.1). Welcher Anbieter eine Anfrage bekommt, hängt von der Aufgabe ab:

• Fotos zur Aufgaben-Prüfung: Gemini prüft zuerst. Nur wenn Gemini ausfällt, prüft OpenAI das Foto — und das nur bei Foto-Missionen und Foto-Jagden in Sitzungen „Ab 13 Jahren“ oder im Einzelspiel mit einer Tour für Jugendliche, Erwachsene, Freundesgruppen oder Teams. Alle anderen Fotos, etwa aus Sitzungen im Jugend-Modus, aus Touren für Kinder, Familien oder Schulklassen, aus dem Stadt-Atlas oder aus Foto-Staffeln, prüft ausschließlich Gemini.
• Fotos im Gruppen-Feed (Prüfung vor der Veröffentlichung): ausschließlich Gemini.
• Frei eingetippte Antworten (Rätsel und Freitext-Aufgaben): Kann die App deine Antwort nicht selbst der Lösung zuordnen, prüft OpenAI sie. Fällt OpenAI aus oder liefert keine verwertbare Antwort, prüft Gemini. Das gilt im Einzelspiel und in allen Sitzungen, auch im Jugend-Modus.
• Award-Zeremonie: ohne Fotos zuerst OpenAI; Gemini springt ein, wenn OpenAI ausfällt oder keine verwertbare Antwort liefert. Sind Fotos dabei, ausschließlich Gemini.

Die Anbieter verwenden die Inhalte, um die jeweilige Anfrage zu beantworten; OpenAI prüft sie zusätzlich auf Missbrauch (Abschnitt 7.1). Eine Verwendung für das Training der KI-Modelle ist bei beiden Anbietern vertraglich ausgeschlossen. Bei Gemini werden die Inhalte nach der Verarbeitung verworfen. OpenAI bewahrt Anfragen und Antworten zur Missbrauchserkennung in der Regel bis zu 30 Tage auf (Abschnitt 7.1).

Damit dieselbe Antwort nicht erneut geprüft werden muss, speichern wir bei eingetippten Antworten deine Antwort, den Anfang des Rätsel- oder Aufgabentexts, die erwartete Lösung und das Ergebnis samt kurzer Begründung für 30 Tage — ohne deine Nutzer-Kennung.

Empfänger: Google Ireland Limited (über Vertex AI) und OpenAI Ireland Ltd. (Abschnitt 7.1).
Verarbeitungsregion: Gemini: EU — Vertex AI über den EU-Endpunkt eu (Verarbeitung in Rechenzentren innerhalb der EU-Mitgliedstaaten). OpenAI: auch USA, abgesichert über EU-Standardvertragsklauseln (Abschnitt 7.1).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

7. KI-gestützte Tour-Erstellung

Wenn du eine KI-Tour erstellen lässt, übermitteln wir deine Eingaben (Start- und ggf. Zielort als Koordinaten, eine vorgegebene oder importierte Route, Thema, Zielgruppe, Schwierigkeitsgrad, Sprache sowie ggf. den Text aus dem Themen-Scan, Abschnitt 5.4) an unser Backend und von dort an einen KI-Dienst: vorrangig OpenAI (Abschnitt 7.1); fällt OpenAI aus oder liefert keine verwertbare Antwort, Google Gemini über Vertex AI. Einzelne Schritte laufen immer über Gemini, etwa die Übersetzung der erzeugten Aufgaben und die Auswertung von Ortsfotos. Dasselbe gilt, wenn du im Tour-Editor eine einzelne Aufgabe neu erzeugen lässt; dann gehen auch die bisherige Aufgabe und ein Stichwort mit, das du dafür eingibst. Auf dieser Basis schlägt die KI Stationen, Beschreibungen und Aufgaben vor. Du gibst dabei keine personenbezogenen Daten anderer Personen ein und solltest dies auch unterlassen.

Die Antworten der KI werden in deiner persönlichen Rallye-Bibliothek gespeichert und sind nur für dich sichtbar, bis du sie aktiv mit anderen teilst (z. B. durch Start einer Gruppen-Session).

Um Ortsbeschreibungen mit Fakten zu unterlegen, fragt unser Backend zu den öffentlichen Orten einer Tour zusätzlich Wikipedia, Wikidata und Wikimedia Commons ab. Übermittelt werden dabei Ortsnamen, Koordinaten des Tour-Gebiets und die Sprache — keine Konto-Daten und nicht deine IP-Adresse. Die Google-Suche nutzen wir dafür nicht mehr.

Generierungs-Protokoll: Zu jeder Generierung speichern wir die Anfrage-Parameter (Start-, Ziel- und Ankerkoordinaten, Thema, Zielgruppe, Dauer, Sprache) und die Herkunft der Stationsdaten — ohne deine Nutzer-Kennung, aber über eine Kennung mit der erzeugten Rallye verknüpft. Während der Beta speichern wir zusätzlich das beschaffte Rohmaterial (z. B. Wikipedia- und OpenStreetMap-Daten) sowie die an die KI gesendeten Anfragen und ihre Antworten für bis zu 180 Tage, um die Qualität der Touren zu analysieren. Diese Protokolle enthalten weder deine Nutzer-Kennung noch deine Position beim Spielen noch Bilder.

Empfänger: OpenAI Ireland Ltd. (vorrangig, Abschnitt 7.1) und Google Ireland Limited (über Vertex AI, als Ersatz für OpenAI und für einzelne Schritte).
Verarbeitungsregion: OpenAI: auch USA, abgesichert über EU-Standardvertragsklauseln (Abschnitt 7.1). Gemini: EU — Vertex AI über den EU-Endpunkt eu (Verarbeitung innerhalb der EU-Mitgliedstaaten).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

7.1 KI-Anbieter OpenAI

Seit September 2026 nutzen wir für Texte vorrangig die Sprachmodelle von OpenAI. Das betrifft die Tour-Erstellung (Abschnitt 7), die Beschreibungstexte zu öffentlichen Orten, die Prüfung frei eingetippter Antworten (Rätsel und Freitext-Aufgaben) und die Award-Zeremonie ohne Fotos (Abschnitt 6). Fällt OpenAI aus oder liefert keine verwertbare Antwort, übernimmt Google Gemini. Bei Fotos ist es umgekehrt: Gemini prüft zuerst, OpenAI nur ersatzweise und nur in den Fällen aus Abschnitt 6. Die Sprachausgabe (Vorlese-Audio) bleibt bei Google.

An OpenAI geht nur der Inhalt der jeweiligen Anfrage. Deine Nutzer-Kennung, deinen Namen und deine E-Mail-Adresse senden wir nicht mit; deine IP-Adresse erfährt OpenAI nicht, weil die Anfrage von unserem Backend ausgeht. Die Ablage der Antworten bei OpenAI für spätere Abrufe haben wir abgeschaltet. Nach dem Vertrag nutzt OpenAI die Daten nicht, um seine Modelle zu trainieren oder zu verbessern.

Empfänger (Auftragsverarbeiter): OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland.
Verarbeitungsregion und Drittlandtransfer: OpenAI verarbeitet die Daten auch in den USA, unter anderem durch die OpenAI OpCo, LLC. Wir nutzen keine EU-Datenresidenz von OpenAI. OpenAI Ireland Ltd. gibt die Daten an Konzerngesellschaften und Dritte außerhalb des EWR, darunter die OpenAI OpCo, LLC in den USA, nur auf Grundlage von Verträgen mit EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) oder eines Angemessenheitsbeschlusses der EU-Kommission (Art. 45 DSGVO) weiter (Ziffer 4.1 des Auftragsverarbeitungsvertrags mit OpenAI).
Speicherdauer beim Anbieter: OpenAI bewahrt Anfragen und Antworten zur Erkennung von Missbrauch bis zu 30 Tage auf. Länger nur, wenn ein Gesetz es verlangt oder wenn es nötig ist, um die Dienste von OpenAI oder Dritte vor Schaden zu schützen. Bilder prüft OpenAI beim Eingang automatisch auf Darstellungen sexuellen Kindesmissbrauchs; schlägt diese Prüfung an, bewahrt OpenAI das Bild für eine Prüfung durch Menschen auf.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Weitere Informationen: Datenschutz bei OpenAI für Geschäftskunden und Umgang von OpenAI mit API-Daten.

8. Karten- und Ortsdaten

Kartenanzeige in der App

Die Karte in der App stammt nicht mehr von Google Maps. Die App zeichnet die Karte selbst (Open-Source- Bibliothek MapLibre) aus OpenStreetMap-Daten, die sie als Kartenkacheln von unserem eigenen Kartenserver tiles.geowunder.com lädt. Der Server steht bei der Hetzner Online GmbH in Falkenstein (Deutschland); ein Content-Delivery-Netz ist nicht zwischengeschaltet. Beim Abruf verarbeitet der Server technisch bedingt deine IP-Adresse, Angaben zu App bzw. Gerät (User-Agent) und den angefragten Kartenausschnitt. Diese Zugriffe werden in einem Zugriffsprotokoll festgehalten, das auf eine feste Größe begrenzt ist und fortlaufend überschrieben wird. Schriften und Symbole der Karte sind in der App enthalten und werden nicht nachgeladen.

Offline-Kartenpakete

Damit die Karte während einer Tour auch ohne Netz funktioniert, kann die App ein Kartenpaket für das Tour-Gebiet herunterladen. Unser Backend stellt dafür einen kurzlebigen, signierten Download-Link aus; der Download läuft direkt von deinem Gerät zum Hetzner Object Storage (Standort Falkenstein, Deutschland). Dabei fällt deine IP-Adresse bei Hetzner an. Wir führen je Konto einen Tageszähler der ausgestellten Links; er wird nach spätestens zwei Tagen gelöscht. Das Kartenpaket liegt anschließend lokal auf deinem Gerät.

Wege und Orte (eigene OpenStreetMap-Server)

Fuß- und Radwege berechnen wir ausschließlich auf eigenen Servern mit OpenStreetMap-Daten (weltweite Abdeckung), und auch Orte entlang einer Tour suchen wir in erster Linie dort. Die Server stehen bei Hetzner in Falkenstein (Deutschland) und Helsinki (Finnland). Die Anfragen stellt unser Backend, nicht dein Gerät; sie enthalten ausschließlich Koordinaten, Suchradius bzw. Routenpunkte und keine Konto-Daten. Auch den Ortsnamen zu einer Koordinate ermittelt das Backend auf diesen eigenen Servern.

Ortssuche (eigener Datenbestand)

Für die Ortssuche (Vorschläge beim Eintippen eines Start- oder Zielorts) nutzt unser Backend einen eigenen Datenbestand aus OpenStreetMap- und Wikidata-Daten. Er liegt in unserer Firestore-Datenbank in der Region europe-west6 (Zürich, Schweiz). Übermittelt werden dein Suchtext, die Sprache und — damit Orte in deiner Nähe zuerst erscheinen — optional ein Bezugspunkt: die Mitte der gerade angezeigten Karte oder, wenn keine Karte zu sehen ist, deine Geräte-Position, auf 0,01° gerundet (etwa 1 km). Die Geräte-Position geht nur mit, wenn du die Standort-Berechtigung schon erteilt hast; eigens gefragt wirst du dafür nicht. Suchtext und Bezugspunkt nutzen wir nur für die Antwort und speichern sie nicht. Die Ortsdaten beruhen teilweise auf OpenStreetMap (© OpenStreetMap contributors) und stehen unter der Open Database License (ODbL) 1.0 (openstreetmap.org/copyright; Details im Impressum).

Die Google Places API, das Google-Maps-SDK und die Google Routes API setzen wir nicht mehr ein; Ortsfotos von Google zeigen wir nicht mehr an.

Wir speichern keine Google-Maps-Inhalte dauerhaft. Aus der früheren Ortssuche über die Google Places API liegen in unserer Datenbank noch die laut Maps-Lizenz dauerhaft zulässigen Identifikatoren — Place-ID und Koordinaten. Neue kommen nicht hinzu; die alten Einträge werden spätestens mit Ablauf ihrer Speicherfrist gelöscht. Unsere eigenen Anreicherungen zu öffentlichen Orten (KI-generierte Beschreibungstexte, Mission-Hinweise, Fakten aus Wikipedia/Wikidata) können bis zu 12 Monate gespeichert werden, Ortsdaten aus OpenStreetMap bis zu zwei Jahre. Sie beziehen sich auf öffentliche Orte, nicht auf dich.

Bilder von Wikimedia Commons

Vorschaubilder von Orten in „Entdecken“ und historische Vergleichsbilder in Foto-Missionen stammen von Wikimedia Commons. Die App lädt diese Bilder direkt von den Servern der Wikimedia Foundation; dabei werden deine IP-Adresse und Angaben zu App bzw. Gerät an Wikimedia übermittelt. Details: Datenschutzerklärung der Wikimedia Foundation.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an funktionierender Navigation).

9. Multiplayer-Chat im Party-Modus

Im Party-Modus kannst du Nachrichten an Mitspieler:innen senden. Du wählst sie aus einem festen Katalog vorgegebener Nachrichten — frei verfasste Texte sind nicht möglich; gespeichert wird nur die Kennung der gewählten Nachricht. Die Nachrichten werden im Rahmen der temporären Spielsession gespeichert und sind nur für die Teilnehmer:innen derselben Session sichtbar. Im Jugend-Modus (Abschnitt 22) ist der Chat abgeschaltet.

Fotos im gemeinsamen Gruppen-Feed (Abschnitt 5.3) werden vor ihrer Veröffentlichung automatisiert durch eine KI geprüft; ohne Freigabe werden sie den Mitspieler:innen nicht angezeigt. Wenn dir Inhalte begegnen, die gegen unsere Nutzungsbedingungen oder Gesetze verstoßen, kannst du die Funktion „Melden“ verwenden. Gemeldete Inhalte werden an uns übermittelt und durch uns geprüft.

Meldest du eine Chat-Nachricht, speichern wir eine Kopie dieser Nachricht beim Melde-Vorgang. Sie überlebt damit die 24-Stunden-Löschung der Spielsession — sonst wäre die Meldung genau dann nicht mehr prüfbar, wenn jemand sie prüft. Speicherdauer dieser Kopie: siehe Abschnitt 17 (Meldungen nach DSA Art. 16).

Speicherdauer: bis zum Ende der Spielsession, spätestens nach ca. 24 Stunden.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

10. Push-Benachrichtigungen und Live Activities

GeoWunder kann dir während einer laufenden Spielsession Push-Benachrichtigungen senden (z. B. wenn dein Team wieder an der Reihe ist). Dafür nutzen wir Firebase Cloud Messaging (FCM) von Google — auf Android-Geräten und für klassische Benachrichtigungen auch auf iOS. Erlaubst du der App Push-Benachrichtigungen, wird beim Beitritt zu einer Spielsession ein Geräte-Push-Token erzeugt und zusammen mit der Sprache deiner App für die Dauer der Spielsession in deinem Eintrag der Mitspielerliste gespeichert; es wird mit der Session wieder gelöscht. Dieser Eintrag ist technisch für die Mitglieder derselben Session lesbar.

Auf iOS-Geräten kann GeoWunder zusätzlich „Live Activities“ auf dem Sperrbildschirm und in der Dynamic Island anzeigen, um dir aktuelle Spielinformationen (Position, Punktestand der Mitspieler:innen) ohne Öffnen der App zugänglich zu machen. Dafür übermittelt unser Backend Spielstand-Updates über den Apple Push Notification Service (APNs). Für Live Activities speichern wir in der Session zusätzlich ein von Apple vergebenes Live-Activity-Push-Token und den zuletzt angezeigten Spielstand; beides wird mit der Session gelöscht.

Empfänger: Google Ireland Limited / Google LLC (Firebase Cloud Messaging) sowie Apple Inc., One Apple Park Way, Cupertino, CA 95014, USA (APNs).
Drittlandtransfer: Übermittlung in die USA über EU-Standardvertragsklauseln.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; Push-Benachrichtigungen werden nur versendet, wenn du sie in den Systemeinstellungen erlaubt hast.

11. Nutzungsstatistik (Firebase Analytics) und Fehlerberichte (Crashlytics)

Um die App zu verbessern, erfassen wir nur mit deiner Einwilligung Nutzungsereignisse (z. B. „Rallye gestartet“, „Aufgabe gelöst“) sowie Geräte- und Versionsinformationen. Die Ereignisse sind pseudonym: Wir verknüpfen sie mit deiner Firebase-Nutzer-ID, jedoch nicht mit deinem Klarnamen. Google ergänzt sie um eine App-Instanz-Kennung, Gerätemerkmale, die App-Version und eine aus der IP-Adresse abgeleitete ungefähre Region; wir ergänzen die Kennung der gespielten Rallye und des Spieldurchlaufs. Eine Werbe-ID erfassen wir nicht. Die Ereignisse werden täglich in unser Google-BigQuery-Projekt (Region europe-west6, Zürich) exportiert und dort ausgewertet. Es findet kein Profiling für Werbezwecke statt — wir verkaufen, vermieten oder teilen deine Daten nicht zu Marketing-Zwecken mit Dritten.

Stürzt die App ab, übermittelt Firebase Crashlytics — ebenfalls nur mit deiner Einwilligung — einen Fehlerbericht mit Stack-Trace, Geräte- und Versionsangaben sowie deiner Firebase-Nutzer-ID an Google. Dem Bericht sind die letzten technischen Protokollzeilen der App beigefügt; sie können die PIN einer Spielsession, deine Nutzer-ID und — bei einem Anmelde-Konflikt — deine E-Mail-Adresse enthalten. Wir nutzen diese Informationen ausschließlich zur Fehleranalyse.

Du kannst deine Einwilligung jederzeit über den Punkt Einstellungen → Datenschutz → Anonyme Nutzungsstatistik in der App widerrufen; für die Zukunft werden dann keine weiteren Analytics- oder Crashlytics-Daten mehr gesendet.

Empfänger: Google LLC. Für Firebase Analytics besteht eine gemeinsame Verantwortlichkeit (Joint Controllership) nach Art. 26 DSGVO zwischen uns und Google; die Vereinbarung dazu findest du unter firebase.google.com/terms/data-processing-terms.
Speicherdauer: 14 Monate (Firebase-Analytics-Standard, von uns konfigurierbar), Crashlytics-Crash-Daten bis zu 90 Tage.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

12. App-Verifikation (Firebase App Check)

Zur Abwehr von Missbrauch unserer Backend-Funktionen verwenden wir Firebase App Check (mit Apple App Attest bzw. Google Play Integrity). Dabei werden geräte- und installationsspezifische Attestierungs-Token erzeugt, jedoch keine inhaltlichen oder personenbezogenen Daten ausgewertet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit und Missbrauchsschutz).

13. E-Mail-Versand (Resend)

Für den Versand von Anmeldelinks („Magic Links“), Einmalcodes für das Web-Dashboard, E-Mails zu Organisations-Lizenzen (Aktivierung, Einladungen) und des Download-Links zu einem Datenexport nutzen wir den Dienst Resend. Dabei übermitteln wir deine E-Mail-Adresse sowie den Inhalt der jeweiligen E-Mail (z. B. Link oder Code) an Resend. Über Resend erhalten wir außerdem interne Benachrichtigungen an unser eigenes Postfach, wenn jemand das Kontakt- bzw. Vertriebsformular nutzt oder einen Inhalt meldet; diese E-Mails enthalten die im Formular gemachten Angaben (Name, E-Mail-Adresse, Nachricht, Browser-Kennung) bzw. die Angaben der Meldung.

Empfänger: Resend, Inc., 2261 Market Street #4667, San Francisco, CA 94114, USA.
Drittlandtransfer: Übermittlung in die USA über EU-Standardvertragsklauseln.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

14. In-App-Käufe

Bestimmte Funktionen („AI-Coins“) können per In-App-Kauf erworben werden. Die Abwicklung erfolgt ausschließlich über die Stores von Apple (App Store) bzw. Google (Play Store); Zahlungsdaten wie Kreditkartennummern erhalten wir nicht. Nach einem Kauf übermittelt die App die Produkt-Kennung und den Kaufbeleg des Stores an unser Backend; dieses lässt den Beleg bei Apple bzw. Google prüfen und schreibt erst danach die Münzen gut. Dein Münz-Guthaben und die zugehörigen Buchungen führen wir ausschließlich serverseitig unter deiner Nutzer-Kennung; sie werden mit deinem Konto gelöscht.

Willkommens-Guthaben: Schutz vor Mehrfach-Einlösung

Neue Konten mit bestätigter E-Mail-Adresse oder Apple- bzw. Google-Anmeldung erhalten einmalig ein Start-Guthaben. Damit es je Gerät nur einmal vergeben wird, übermittelt die App dabei eine Geräte-Kennung (Android: die Android-ID; iOS: die anbieterbezogene Kennung „identifierForVendor“) an unser Backend. Wir speichern davon ausschließlich einen nicht umkehrbaren Hash-Wert zusammen mit deiner Nutzer-Kennung und dem Zeitpunkt. Auf iOS nutzen wir zusätzlich Apples Dienst DeviceCheck: Die App erzeugt ein Geräte-Token, unser Backend lässt bei Apple eine Markierung für dieses Gerät setzen bzw. abfragen. Außerdem zählen wir Einlösungen je IP-Adresse in einem 24-Stunden-Fenster; gespeichert wird auch hier nur ein Hash-Wert der IP-Adresse. Löschst du dein Konto, entfernen wir deine Nutzer-Kennung aus dem Geräte-Eintrag; der Hash-Wert selbst bleibt bestehen, damit das Start-Guthaben nicht durch Löschen und Neuanlegen erneut ausgelöst werden kann.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit und Missbrauchsschutz).

Empfänger: Apple Inc. (für iOS), Google LLC (für Android).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

15. Besuch der Website geowunder.com

Beim Aufruf der Website werden technisch notwendige Daten (IP-Adresse, Datum/Uhrzeit, User-Agent) durch unseren Hosting-Anbieter Google Firebase Hosting in Server-Logs erfasst. Diese Daten dienen ausschließlich der technischen Auslieferung der Seite und der Abwehr von Angriffen. Schriftarten (Nunito, Inter) liefern wir selbst aus (Selbsthosting, keine Übermittlung an Dritte). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Cookielose Reichweitenmessung

Wir zählen Seitenaufrufe mit einem eigenen, cookielosen Zähler: gespeichert werden ausschließlich aggregierte Tageszähler je Seite — keine IP-Adressen, keine Geräte-Kennungen, keine Profile, keine Cookies. Ein Personenbezug ist nicht herstellbar. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Reichweitenmessung).

Mitspielen und Spielleitung im Browser (play.geowunder.com)

Unter play.geowunder.com kannst du ohne App an einer Gruppen-Session teilnehmen oder eine Session leiten. Die Seite wird über Google Firebase Hosting ausgeliefert. Beim Aufruf wird — wie in der App — ein anonymes Konto mit einer technischen Firebase-Kennung angelegt; Spielleiter:innen können sich zusätzlich mit E-Mail, Google oder Apple anmelden. In der Mitspielerliste der Session speichern wir deinen gewählten Spielernamen (aus einer festen Namensliste) und deinen Fortschritt; eine GPS-Position übermitteln Mitspieler:innen im Browser nicht. Im Browser-Speicher (localStorage) deines Geräts legt die Seite die Kennung deines Spielernamens, die Sprache, deine Entscheidung zur Nutzungsstatistik und noch nicht gesendete Meldungen ab.

Zum Schutz vor Missbrauch verwendet die Seite Firebase App Check mit Google reCAPTCHA Enterprise; dabei erhebt Google Browser- und Gerätemerkmale, um ein Prüf-Token auszustellen. In der Ansicht für die Spielleitung (Karte der Teams, Routenplaner) wird die Karte über die Google Maps JavaScript API geladen; dabei werden die IP-Adresse und Browser-Daten der Spielleitung sowie die angezeigten Kartenausschnitte an Google übermittelt. Der Routenplaner fragt auf Wunsch einmalig den Browser-Standort ab. Nutzungsstatistik (Firebase Analytics) erfassen wir im Browser nur nach deiner Zustimmung im Hinweis-Banner. Tritt ein technischer Fehler auf, speichert die Seite unabhängig davon einen Fehlerbericht in deinem Nutzerbereich unserer Datenbank (Fehlertext, Anfang des Stack-Trace, die letzten Bedienschritte, Versionsstand — keine Standort- oder Inhaltsdaten); er ist mit einer Löschfrist von 14 Tagen versehen.

Google Analytics 4 (nur mit deiner Einwilligung)

Derzeit ist Google Analytics 4 auf geowunder.com nicht aktiviert: Es wird weder ein Cookie-Banner angezeigt noch ein Analytics-Skript geladen. Der folgende Absatz gilt erst, wenn wir den Dienst aktivieren. Sofern du über unseren Cookie-Banner einwilligst, setzen wir Google Analytics 4 ein, einen Webanalysedienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Ohne Einwilligung werden keine Analytics-Cookies gesetzt. Zweck ist die Reichweitenmessung und Verbesserung unseres Angebots (aufgerufene Seiten, Verweildauer, Klicks auf Download- und Kauf-Schaltflächen). Die IP-Anonymisierung ist aktiv; Werbe-Funktionen sind deaktiviert. Analytics-Cookies (z. B. _ga) werden bis zu 2 Jahre gespeichert. Eine Übermittlung in die USA ist möglich; Google ist unter dem EU-US Data Privacy Framework zertifiziert. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TTDSG. Widerruf: jederzeit über „Cookie-Einstellungen“ im Seitenfuß — der Widerruf ist so einfach wie die Erteilung.

Vertriebs- und Kontaktformulare

Wenn du unser Vertriebs- oder Feedback-Formular nutzt, verarbeiten wir die von dir angegebenen Daten (Name, E-Mail-Adresse, ggf. Organisation, Nachricht) zur Beantwortung deiner Anfrage. Zusätzlich speichern wir die Browser-Kennung (User-Agent) und — zum Schutz vor Spam — einen gekürzten Hash-Wert deiner IP-Adresse; die IP-Adresse selbst speichern wir nicht. Über den Eingang werden wir per E-Mail benachrichtigt (Abschnitt 13). Die Daten werden nach 90 Tagen automatisch gelöscht, sofern keine Geschäftsbeziehung entsteht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen).

Organisations-Dashboard und Lizenzkonten

Für Organisations-Lizenzen (Schulen, Unternehmen) verarbeiten wir die Arbeits-E-Mail-Adresse, die Rolle in der Organisation und aggregierte Nutzungszahlen (Anzahl KI-Erzeugungen je Monat). Die Anmeldung am Web-Dashboard erfolgt per E-Mail-Einmalcode; dabei wird ggf. ein Nutzerkonto angelegt. Organisations-Admins sehen je Mitglied nur, ob der Lizenz-Sitz im laufenden Monat genutzt wurde — keine Einzelzähler. Jede über eine Lizenz ausgelöste KI-Erzeugung halten wir zusätzlich als einzelnen Eintrag mit der Nutzer-Kennung des Mitglieds fest, um die Nutzung im Streitfall nachweisen zu können; diese Einträge werden nach etwa 24 Monaten automatisch gelöscht. Einmalcodes verfallen nach 10 Minuten, offene Einladungen nach 14 Tagen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Zahlungsabwicklung über Paddle

Lizenzen werden über Paddle.com Market Limited (Judd House, 18–29 Mora Street, London EC1V 8BT, UK) als Händler (Merchant of Record) abgeschlossen. Paddle verarbeitet Rechnungs- und Zahlungsdaten in eigener Verantwortung; Details in der Datenschutzerklärung von Paddle. Wir erhalten von Paddle keine vollständigen Zahlungsdaten, sondern nur Vertrags-Stammdaten (z. B. Abo-Status, Sitze, Kontakt-E-Mail).

16. Auftragsverarbeitung und Drittland-Übermittlung

Wir setzen folgende Auftragsverarbeiter ein:

Darüber hinaus ruft unser Backend öffentlich zugängliche Dienste ab, ohne dabei Konto-Daten oder deine IP-Adresse zu übermitteln: Wikipedia, Wikidata und Wikimedia Commons (Wikimedia Foundation, Abschnitt 7). Bilder von Wikimedia Commons lädt die App direkt (Abschnitt 8).

Datenresidenz für KI-Verarbeitung: Sämtliche Inhalte von dir, die wir an Gemini schicken (Fotos, Tour-Themen, Standort-Eingaben, Texte aus dem Themen-Scan), werden über den EU-Endpunkt von Vertex AI ausschließlich in Rechenzentren innerhalb der EU-Mitgliedstaaten verarbeitet. Inhalte, die wir an OpenAI schicken (Eingaben zur Tour-Erstellung wie Tour-Themen, Standort-Eingaben und Texte aus dem Themen-Scan, beim Neu-Erzeugen einer Aufgabe die bisherige Aufgabe und dein Stichwort, frei eingetippte Antworten, Beitrags-Sätze und Spielstatistiken für die Award-Zeremonie, im Ersatzfall Fotos aus Foto-Missionen und Foto-Jagden), verarbeitet OpenAI auch in den USA (Abschnitt 7.1). Eine weitere Ausnahme betrifft keine Nutzerdaten: Das Vorlese-Audio zu öffentlichen Orten erzeugt Google in der Region us-central1 (USA); dorthin geht ausschließlich der Beschreibungstext zu einem öffentlichen Ort (von uns kuratiert bzw. aus öffentlichen Quellen wie Wikipedia/Wikidata erzeugt) — kein Inhalt von dir, keine Position, keine Kennung.

Datenresidenz für Backend: Firestore, Cloud Storage und Cloud Functions liegen in europe-west6. Von der Datenbank bestehen ein rollierender Wiederherstellungs-Verlauf und tägliche Sicherungen mit jeweils sieben Tagen Aufbewahrung; gelöschte Daten können dort bis zu sieben Tage fortbestehen. Unsere Karten- und OpenStreetMap-Server sowie der Speicher für Offline-Kartenpakete stehen bei Hetzner in Deutschland und Finnland. Die Authentifizierungs- und Plattform-Komponenten (Firebase Auth, App Check, im Browser Maps JavaScript API und reCAPTCHA Enterprise) werden von Google als globale Dienste betrieben; dabei können Anfragen über US-Infrastruktur geroutet werden.

Verbleibende Drittland-Transfers (Crashlytics/Analytics opt-in, Apple-Dienste, Resend, OpenAI, Google-Plattform-Komponenten einschließlich der Sprachsynthese) erfolgen auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) bzw. — soweit anwendbar — auf Basis des EU-US Data Privacy Framework (Angemessenheitsbeschluss vom 10. Juli 2023).

17. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist:

• Spielsessions im Party-Modus (Pin, Mitspielerliste, Chat, Standort, Feed-Beiträge einschließlich Fotos): automatische Löschung spätestens etwa 24 Stunden nach Sessionende.
• Solo-Rallyes und hochgeladene Medien: bis du sie aktiv löschst oder dein Konto entfernst.
• Anreicherungs-Daten zu öffentlichen Orten (KI-generierte Beschreibungen): bis zu 12 Monate ab Erstellung.
• Rate-Limit-Zähler (z. B. für Anmeldelinks, Formulare, Meldungen, Willkommens-Guthaben): je nach Zähler zwischen 20 Minuten und 24 Stunden.
• Analytics-Daten: max. 14 Monate; Crashlytics-Daten: bis zu 90 Tage.
• Server-Logs der Website: max. 14 Tage.
• Zugriffsprotokolle unserer Karten- und OpenStreetMap-Server (Hetzner): auf eine feste Größe begrenzt und fortlaufend überschrieben; eine feste Frist in Tagen ist nicht eingestellt.
• Prüfwerte (Hash) und Ergebnisse der KI-Fotoprüfung; geprüfte Antworten mit Ergebnis (ohne Nutzer-Kennung, Abschnitt 6): 30 Tage.
• Generierungs-Protokolle (Abschnitt 7): Anfrage-Parameter ohne Nutzer-Kennung unbefristet; Rohmaterial und KI-Anfragen während der Beta bis zu 180 Tage.
• Münz-Guthaben und Buchungen: bis zur Konto-Löschung.
• Geräte-Nachweis für das Willkommens-Guthaben (Abschnitt 14): Hash-Wert dauerhaft, nach Konto-Löschung ohne Nutzer-Kennung.
• Nutzungs-Einträge von Organisations-Lizenzen: etwa 24 Monate.
• Datenexport: Die Export-Datei wird nach 8 Tagen gelöscht, der Download-Link gilt 72 Stunden.
• Verlauf bereits gespielter Fall-Varianten (damit sich Fälle nicht wiederholen; nur technische Kennungen): 180 Tage rollierend.
• Auswertungen zur Qualität von Stationen und Aufgaben: aggregiert, ohne Nutzer-Kennung und ohne Position, 90 bis 180 Tage.
• Datenbank-Sicherungen: 7 Tage (Abschnitt 16).
• Meldungen nach DSA Art. 16 (Vorgang: Zeitpunkt, Gegenstand, Grund, Fundstelle, Bearbeitungsstand): unbefristet, weil wir nachweisen müssen, dass wir Meldungen bearbeitet haben. Der gesicherte Beleg — die Kopie des gemeldeten Beitrags — wird nach 30 Tagen automatisch gelöscht.

Wenn du dein Konto in der App löschst (Einstellungen → Konto löschen), werden alle deiner Kennung zugeordneten Daten — einschließlich hochgeladener Fotos und Videos sowie deiner Rallyes — gelöscht. Verwaiste Spielsession-Daten unter Pins werden über das oben beschriebene 24-Stunden-Verfahren entfernt. Gelöscht werden dabei auch dein Münz-Guthaben samt Buchungen, deine Organisations-Mitgliedschaft sowie deine Spielsessions und deine Beiträge in fremden Sessions. Bestehen bleiben — jeweils ohne deine Nutzer-Kennung — der Geräte-Hash des Willkommens-Guthabens (Abschnitt 14) und die Generierungs-Protokolle (Abschnitt 7). In den Datenbank-Sicherungen bleiben gelöschte Daten bis zu sieben Tage enthalten.

Eine benannte Ausnahme: Meldungen, die du nach DSA Art. 16 abgesetzt hast, bleiben als Vorgang bestehen — wir sind verpflichtet, den Umgang mit Meldungen belegen zu können (Art. 17 Abs. 3 lit. b und lit. e DSGVO). Dein Personenbezug fällt dabei weg: beim Löschen deines Kontos entfernen wir deine Kennung und deine E-Mail-Adresse aus diesen Vorgängen. Übrig bleiben Zeitpunkt, Gegenstand, Grund, Fundstelle und Bearbeitungsstand — ohne dich. Meldungen, die andere über einen Beitrag von dir abgesetzt haben, bleiben unverändert bestehen: sie sind der Gegenstand der Prüfung und nicht deine Daten-Spur.

18. Deine Rechte

Nach der DSGVO stehen dir folgende Rechte zu:

• Auskunft über die zu deiner Person gespeicherten Daten (Art. 15 DSGVO).
• Berichtigung unrichtiger Daten (Art. 16 DSGVO).
• Löschung („Recht auf Vergessenwerden“, Art. 17 DSGVO).
• Einschränkung der Verarbeitung (Art. 18 DSGVO).
• Datenübertragbarkeit (Art. 20 DSGVO).
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO).
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO).

Auskunfts- und Löschanfragen kannst du formlos per E-Mail an info@geowunder.com richten. Die Konto-Löschung kannst du selbständig in der App unter Einstellungen → Konto löschen durchführen.

19. Zuständige Aufsichtsbehörde

Für dich ist in der Regel die Datenschutz-Aufsichtsbehörde deines Bundeslandes zuständig. Unsere zuständige Behörde ist die Aufsichtsbehörde am Sitz des Verantwortlichen:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Lautenschlagerstraße 20
70173 Stuttgart
www.baden-wuerttemberg.datenschutz.de

20. Pflicht zur Bereitstellung

Die Bereitstellung der Daten ist weder gesetzlich noch vertraglich vorgeschrieben. Du bist nicht verpflichtet, ein Konto anzulegen oder die App zu nutzen. Wenn du dies nicht tust, kannst du die App jedoch nur eingeschränkt oder gar nicht verwenden.

21. Datensicherheit (Art. 32 DSGVO)

Wir setzen technische und organisatorische Maßnahmen ein, um deine Daten gegen unbefugten Zugriff, Verlust oder Manipulation zu schützen:

• Verschlüsselte Übertragung sämtlicher Daten ausschließlich über HTTPS / TLS 1.2+.
• Verschlüsselung gespeicherter Daten in Firebase Firestore und Firebase Storage (AES-256 at rest).
• Firebase App Check mit Apple App Attest bzw. Google Play Integrity zur Abwehr nicht-authentischer Backend-Zugriffe.
• Restriktive Firestore-Sicherheitsregeln, die jedem Account nur Zugriff auf eigene Daten erlauben; Backend-Funktionen mit Admin-Rechten werden ausschließlich durch geprüfte Server-Logik aufgerufen.
• Rate-Limiting auf öffentlich erreichbaren Endpunkten (z. B. Anmeldelinks, Meldefunktion, Feedback-Formular).
• Regelmäßige Aktualisierung verwendeter Abhängigkeiten und Reaktion auf bekannt gewordene Sicherheitslücken.
• Pseudonymisierung wo möglich (z. B. IP-Adressen im Feedback-Formular werden gehasht, nicht im Klartext gespeichert).

22. Kinder und Jugendliche

GeoWunder richtet sich an Personen ab 13 Jahren. Wir verarbeiten wissentlich keine personenbezogenen Daten von Kindern unter 13 Jahren — diese Altersgrenze gewährleistet auch die Vereinbarkeit mit dem US Children's Online Privacy Protection Act (COPPA). Falls dir bekannt wird, dass ein Kind unter 13 Jahren unsere App nutzt, bitten wir um Mitteilung an info@geowunder.com; wir löschen die Daten unverzüglich.

Für Nutzer:innen zwischen 13 und 15 Jahren (Art. 8 DSGVO) ist die Einwilligung in die Verarbeitung personenbezogener Daten — insbesondere die optionale Analytics-Einwilligung und die Übermittlung an Auftragsverarbeiter in Drittländer — nur mit Zustimmung der Erziehungsberechtigten zulässig. Mit der Akzeptanz dieser Datenschutzerklärung versichern Minderjährige, diese Zustimmung eingeholt zu haben.

Im Schul- oder Bildungskontext können Lehrkräfte ihren Klassen die Nutzung anonym (ohne persönlichen Account) ermöglichen — in dem Fall werden keine Klarnamen oder E-Mail-Adressen erhoben.

Jugend-Modus in Gruppen-Sessions: Beim Anlegen einer Gruppen-Session legt die Spielleitung fest, für welche Gruppe die Runde ist („Kinder bis 12“ oder „Ab 13 Jahren“) — die Spielenden selbst werden nicht nach ihrem Alter gefragt, und fehlt die Angabe, gilt der Jugend-Modus. Im Jugend-Modus sehen die Teams nur das gemeinsame Ergebnis: Es gibt keine Liste einzelner Beiträge, keinen Chat, keine Zuordnung von Beiträgen zu Personen, keine Award-Zeremonie und keinen Bild-Export. Fotos werden nicht im Feed veröffentlicht; die App übermittelt ein Foto höchstens zur automatischen Prüfung der Aufgabe (Abschnitt 5.2), danach wird es verworfen. Diese Foto-Prüfung übernimmt im Jugend-Modus ausschließlich Google Gemini in der EU. Frei eingetippte Antworten (Rätsel und Freitext-Aufgaben) prüft auch im Jugend-Modus vorrangig OpenAI (Abschnitt 6). Spielernamen stammen in allen Sessions aus einer festen Namensliste.

23. Cookies und vergleichbare Technologien

Die Website geowunder.com setzt keine Cookies und verwendet keine Tracking-, Analyse- oder Marketing-Pixel — mit zwei technisch bedingten Ausnahmen: (1) Startest du auf der Preisseite einen Kaufvorgang, laden wir erst in diesem Moment die Checkout-Bibliothek unseres Zahlungsanbieters Paddle (Abschnitt 15); dabei können durch Paddle technisch notwendige Cookies gesetzt werden (§ 25 Abs. 2 TTDSG, Art. 6 Abs. 1 lit. b DSGVO). (2) Im passwortgeschützten Web-Dashboard werden technisch notwendige Firebase-Bibliotheken von Google-Servern geladen. Die App selbst speichert Einstellungen und Sitzungsdaten ausschließlich lokal auf deinem Gerät (App-Sandbox); es handelt sich nicht um Cookies im Sinne des § 25 TTDSG. Google Analytics 4 (Abschnitt 15) ist derzeit nicht aktiviert und setzt daher keine Cookies. Die Browser-Version unter play.geowunder.com legt Einstellungen (die Kennung deines Spielernamens, die Sprache, die Ton-Einstellung, deine Entscheidung zur Nutzungsstatistik) im lokalen Browser-Speicher ab und lädt zum Schutz vor Missbrauch Google reCAPTCHA Enterprise sowie — nur in der Ansicht für die Spielleitung — die Google Maps JavaScript API; Google kann dabei eigene Cookies bzw. vergleichbare Kennungen verwenden.

24. Automatisierte Entscheidungen

Eine automatisierte Bewertung von Fotos und frei eingetippten Antworten durch KI dient ausschließlich der Spielmechanik (Aufgabe gelöst / nicht gelöst). Auch die automatisierte Prüfung von Feed-Beiträgen vor ihrer Veröffentlichung (Abschnitt 5.3) dient allein dem Schutz der Mitspieler:innen und der Spielmechanik; ein nicht freigegebener Beitrag wird lediglich nicht angezeigt — du erhältst in der App einen Hinweis mit Begründung und kannst die Entscheidung über das Beschwerdeverfahren der Nutzungsbedingungen (Abschnitt 10) beanstanden. Es findet keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO statt, die für dich rechtliche Wirkung entfaltet oder dich in vergleichbarer Weise erheblich beeinträchtigt.

25. Behördenanfragen

Wir geben deine Daten ausschließlich dann an Strafverfolgungs- oder andere Behörden weiter, wenn wir gesetzlich dazu verpflichtet sind (z. B. richterlicher Beschluss). Wir prüfen jede Anfrage auf Rechtmäßigkeit und Verhältnismäßigkeit.

26. Änderungen dieser Erklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, wenn sich die rechtliche Lage oder die Funktionen unserer App ändern. Über wesentliche Änderungen informieren wir dich in der App. Die jeweils aktuelle Version findest du stets unter geowunder.com/datenschutz.

Stand: 26. September 2026 · Version 1.8