Datenschutzerklärung

für die App „Terulo“ und die Website terulo.app

1. Verantwortliche Stelle

Verantwortliche Stelle für die in dieser Datenschutzerklärung beschriebene Datenverarbeitung ist die Knust Labs UG (haftungsbeschränkt), Am Henninger Turm 6, 60599 Frankfurt am Main, E-Mail: support@terulo.app.

2. Datenschutzbeauftragter

Wir haben derzeit keinen Datenschutzbeauftragten benannt, da die Voraussetzungen des Art. 37 DSGVO nach derzeitigem Stand nicht vorliegen. Fragen zum Datenschutz können Sie jederzeit an support@terulo.app richten. Sollten wir künftig einen Datenschutzbeauftragten benennen, werden wir diese Datenschutzerklärung entsprechend aktualisieren.

3. Geltungsbereich und Grundprinzipien der App

Diese Datenschutzerklärung gilt für die iOS-App „Terulo" (nachfolgend „App"). Sie informiert darüber, welche personenbezogenen Daten wir bei der Nutzung der App verarbeiten, zu welchen Zwecken dies erfolgt, auf welchen Rechtsgrundlagen die Verarbeitung beruht, welche Empfänger Daten erhalten und welche Rechte Ihnen als betroffene Person zustehen. Für den Download und die Bereitstellung der App über den Apple App Store verarbeitet Apple personenbezogene Daten in eigener datenschutzrechtlicher Verantwortlichkeit; hierfür gelten die Datenschutzbestimmungen von Apple. Auf Art und Umfang dieser Verarbeitung haben wir grundsätzlich keinen Einfluss.

Die App ist derzeit vollständig kostenlos und ohne In-App-Käufe. Wir zeigen keine Werbung an und setzen keine Tracking-, Analyse- oder Crash-Reporting-Dienste ein. Ihr Standort wird ausschließlich während einer von Ihnen gestarteten Aktivität erfasst (siehe Ziffer 6).

4. Gastmodus (Nutzung ohne Nutzerkonto)

Die App kann im Gastmodus ohne Nutzerkonto genutzt werden. Im Gastmodus verbleiben Ihre in der App erzeugten Daten – etwa gelaufene Loops, Statistiken und lokal gespeicherte Einstellungen – ausschließlich lokal auf Ihrem Gerät. Eine Übermittlung Ihrer Nutzerdaten an unser Backend findet nicht statt. Beim Abruf von Loops, Kartendaten und sonstigen App-Inhalten werden diese Inhalte zwar vom Server geladen; dabei werden jedoch keine nutzerbezogenen Profildaten übermittelt. Die geräteübergreifende Synchronisation, Freundesfunktionen und die serverseitige Bereitstellung von Partnercodes sind nur mit Nutzerkonto möglich.

5. Nutzerkonto und „Anmelden mit Apple"

Die Anmeldung erfolgt ausschließlich über „Anmelden mit Apple" (Sign in with Apple). Dabei übermittelt Apple eine geräte- und kontobezogene Apple-Nutzer-ID sowie – nur wenn Sie dies bei der Anmeldung freigeben – Ihren Namen und Ihre E-Mail-Adresse; als E-Mail-Adresse können Sie eine von Apple bereitgestellte, anonymisierte Relay-Adresse verwenden. Die Authentifizierung der Anmeldung erfolgt über unseren Dienstleister Supabase (Serverstandort Frankfurt am Main) im Rahmen einer Auftragsverarbeitung. Die Apple-Nutzer-ID dient der eindeutigen Zuordnung Ihres Kontos; Name und E-Mail-Adresse nutzen wir nur für die Kontoführung und die Kommunikation mit Ihnen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsvertrags, vgl. Ziffer 2.4 unserer AGB). Bei der Löschung Ihres Nutzerkontos wird auch die Verknüpfung mit Ihrer Apple-ID („Sign in with Apple") gelöscht bzw. widerrufen.

Nach der Registrierung erhalten Sie einmalig eine Willkommens-E-Mail an die bei der Anmeldung übermittelte E-Mail-Adresse (auch an eine Apple-Relay-Adresse). Sie enthält eine kurze Einführung und unsere Support-Kontaktdaten; ein Newsletter oder Werbung wird nicht versendet. Der Versand erfolgt über unseren Dienstleister Brevo (Ziffer 15). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

6. Standort- und Bewegungsdaten (Kernfunktion der App)

Die Erfassung Ihres Standorts ist Kernfunktion der App: Sie ermöglicht die Aufzeichnung Ihrer Aktivitäten (Laufen und, soweit freigeschaltet, Radfahren), das Absolvieren der kuratierten Loops, das Erobern und Anzeigen von Territory-Feldern, die Berechnung von Distanz, Dauer und Coins sowie die Prüfung der Aktivität.

Berechtigungen und Umfang

Die App fragt lediglich die iOS-Standortberechtigung „Beim Verwenden der App" an. Eine dauerhafte „Immer"-Berechtigung wird nicht verwendet. Während einer aktiven Aktivität läuft die Standorterfassung auch dann im Hintergrund weiter, wenn das Display gesperrt ist; sie endet automatisch mit dem Beenden der Aktivität. Außerhalb aktiver Aktivitäten wird Ihr Standort nicht laufend überwacht; wir erstellen keine über die Kernfunktion hinausgehenden Bewegungsprofile.

Verarbeitung im Backend

Die während der Aktivität aufgezeichnete Rohroute wird zur Prüfung der Aktivität (insbesondere Tempo- und Plausibilitätsprüfungen zur Abwehr von Manipulation) an unseren Server übertragen, dort aber nicht dauerhaft gespeichert. Dauerhaft gespeichert werden lediglich die von Ihnen eroberten Territory-Felder und die zugehörigen Ereignisdaten (Datum, Umfang und Dauer der gewerteten Aktivität). Start- und Zielbereiche werden dabei ausgeblendet, um Ihren Wohn- oder Arbeitsbereich zu schützen. Territory-Ereignisse werden nach zwölf Monaten gelöscht. Zusätzlich führen wir mit Ihrem Nutzerkonto ein persönliches Logbuch der von Ihnen jemals erlaufenen Territory-Felder (Feld, Sportart, erster und letzter Zeitpunkt, Anzahl der Besuche; keine Route). Es ist nur für Sie sichtbar, im Datenexport enthalten und wird mit Ihrem Konto gelöscht.

Rechtsgrundlagen

Die Verarbeitung der Standort- und Bewegungsdaten zur Bereitstellung der Kernfunktion beruht auf Art. 6 Abs. 1 lit. b DSGVO i. V. m. dem Nutzungsvertrag. Für den Zugriff auf Ihr Endgerät gilt § 25 TDDDG: Die Standorterfassung während einer von Ihnen ausdrücklich gestarteten Aktivität ist für die von Ihnen ausdrücklich gewünschte Kernfunktion der App unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); Sie können die Berechtigung jederzeit über die iOS-Einstellungen widerrufen; in diesem Fall ist die Aktivitätsaufzeichnung nicht mehr möglich. Verarbeitungen über die Kernfunktion hinaus erfolgen nur auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG).

Gesundheitsbezug

Wir verwenden Ihre Standort- und Bewegungsdaten ausschließlich zur Bereitstellung der App-Funktionen und nicht zur Analyse Ihres Gesundheitszustands. Soweit einzelne Verarbeitungen einen Gesundheitsbezug aufweisen können (Apple Health, Ziffer 7), holen wir hierfür eine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO ein; Körperdaten (Ziffer 8) verarbeiten wir ausschließlich lokal auf Ihrem Gerät.

7. Apple Health

Die App kann auf Ihre freiwillige Entscheidung hin mit Apple Health verbunden werden. Die Funktion ist standardmäßig deaktiviert und wird ausschließlich durch Sie aktiviert. Die Anbindung ist auf einen Schreibzugriff („write only") beschränkt: Die App kann Daten wie Distanz, Dauer und Kalorienverbrauch an Apple Health übermitteln. Es werden keine Daten aus Apple Health ausgelesen; wir erhalten keinerlei Zugriff auf Ihre in Apple Health gespeicherten Daten. Rechtsgrundlage ist Ihre jederzeit widerrufbare Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG; wegen des möglichen Gesundheitsdatenbezugs zusätzlich Art. 9 Abs. 2 lit. a DSGVO). Sie können die Verbindung in der App und über die iOS-Einstellungen jederzeit trennen.

8. Profil- und Spielstanddaten

Mit Ihrem Nutzerkonto werden folgende Daten in unserem Backend (Supabase, Frankfurt am Main) verarbeitet: Anzeigename, Apple-Nutzer-ID, Teamname, Coins, Lifetime-Coins, Gesamtdistanz, Gesamtdauer, Laufhistorien, Fortschrittsdaten sowie die Anzeige Ihrer kumulierten Ersparnisse aus Partnerangeboten (Ersparnisanzeige). Für den Hinweis „Neuer Loop in deiner Nähe“ speichern wir zusätzlich lediglich eine Stadt-Kennung (z. B. „Frankfurt“), die aus der Stadt Ihres zuletzt absolvierten Loops abgeleitet oder von Ihnen gewählt wird; Koordinaten werden hierfür nicht gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der Konto- und Spielfunktionen).

Körperdaten (Körpergewicht, Körpergröße, Geschlecht) können Sie freiwillig angeben, um die Schätzung Ihres Kalorienverbrauchs zu verbessern. Diese Angaben werden nicht an unser Backend übertragen; sie verbleiben ausschließlich lokal auf Ihrem Gerät, werden allein für die lokale Kalorienberechnung verwendet und können in der App jederzeit gelöscht werden (Profil → „Körperdaten löschen“).

9. Freunde, Ranglisten und Empfehlungen (Referral)

Sie können Freundschaftsanfragen senden und annehmen, Freundeslisten pflegen und Ranglisten einsehen. Für Ranglisten werden Anzeigename und Spielfortschritt (z. B. Distanz- und Coin-Werte, eroberte Territory-Felder) innerhalb des jeweils vorgesehenen Nutzerkreises angezeigt. Ein Upload Ihrer Gerätekontakte findet nicht statt; die App fordert keine Adressbuchberechtigung an. Einladungen im Rahmen des Empfehlungssystems (Referral) können ausschließlich über die Teilen-Funktion von iOS versendet werden; dabei erhalten wir keine Kontaktdaten der von Ihnen eingeladenen Personen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der sozialen Funktionen).

10. Coins, Rewards und Partnerangebote

Für gewertete Aktivitäten erhalten Sie Coins und Rewards, darunter Rabatt- und Gutscheincodes lokaler Partner (Partner-Loops). Für die Bereitstellung, Einlösung und Absicherung der Codes werden verarbeitet: der jeweilige Code, sein Status (gültig/ungültig bzw. eingelöst), die Angebotsbezeichnung, der Zeitpunkt der Einlösung sowie technische Protokolldaten (Audit-Logs) zum Nachweis der einmaligen Einlösung und zur Missbrauchsprüfung.

Keine Weitergabe von Bewegungsdaten: Unsere Partner erhalten keine personenbezogenen Bewegungsdaten von Ihnen. Insbesondere erhalten sie keine Routendaten, keine Lauf- oder Aktivitätsdaten und keine Distanz- oder Zeitangaben. Dem Partner sind lediglich die Gültigkeit des Codes, die Angebotsbezeichnung und ein Tageszähler (Anzahl der eingelösten Codes pro Tag) sichtbar. Das Einlösegeschäft kommt ausschließlich zwischen Ihnen und dem Partner zustande; wir sind nicht Vertragspartei dieses Geschäfts.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der Rewards- und Code-Funktion) sowie, soweit Audit-Logs und Missbrauchsprüfungen betroffen sind, Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verhinderung von Missbrauch und Manipulation, insbesondere der mehrfachen Einlösung von Einmal-Codes).

11. Kamera (Finisher-Foto)

Die App enthält keine QR-Code-Scanning-Funktion. Die Kamera Ihres Geräts wird ausschließlich für die optionale Aufnahme eines Finisher-Fotos am Ende einer Aktivität genutzt. Das Foto wird ausschließlich lokal auf Ihrem Gerät verarbeitet und gespeichert; eine Übertragung an uns oder an Dritte findet nicht statt. Rechtsgrundlage des Zugriffs auf die Kamera ist die von Ihnen im iOS-Berechtigungsdialog erteilte Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG), die Sie jederzeit über die iOS-Einstellungen widerrufen können.

12. Push-Benachrichtigungen

Die App kann Ihnen lokale Erinnerungen (z. B. vor einer Challenge oder zu einer offenen Reward-Wahl) sowie, nur mit Ihrer Zustimmung, Push-Benachrichtigungen unseres Servers anzeigen, etwa zu neuen Loops in Ihrer Nähe, zum Verlust eines Territory-Felds, zu Freundschaftsanfragen, Coin-Gutschriften oder zum Monats-Champion. Einzelne Hinweisarten (Challenge-Erinnerungen, Hinweise auf Loops in Ihrer Nähe) können Sie in den Einstellungen gesondert abschalten. Für den Versand wird der Apple Push Notification Service (APNs) genutzt; hierzu wird auf Ihrem Gerät ein gerätespezifisches Push-Token erzeugt und bei uns gespeichert, damit Apple die Benachrichtigungen an Ihr Gerät ausliefern kann. Die Aktivierung der Push-Benachrichtigungen erfolgt freiwillig auf Grundlage eines Opt-in; Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG). Sie können Ihre Zustimmung jederzeit über die iOS-Einstellungen widerrufen. Das Push-Token wird gelöscht, wenn Sie die Benachrichtigungen deaktivieren, Ihr App-Konto löschen oder die App deinstallieren. Google-Push-Dienste (Firebase Cloud Messaging) oder Android-Push-Dienste werden nicht verwendet.

13. Monats-Champion

Wir küren regelmäßig den Nutzer mit den meisten eroberten Territory-Feldern innerhalb eines Monats („Monats-Champion"; vgl. Ziffer 10 unserer AGB zu spielerischen Aktionen). Die Ermittlung erfolgt ausschließlich durch interne Auswertung der ohnehin vorhandenen Territory-Daten; hierfür werden keine zusätzlichen Daten erhoben. Der Monats-Champion wird per Push-Benachrichtigung benachrichtigt. Für die Übermittlung eines etwaigen Sachpreises nehmen wir nur dann Kontakt auf, wenn Sie sich freiwillig bei uns melden (z. B. per E-Mail). Angaben zur Zusendung (z. B. Ihre Versandadresse) verarbeiten wir nur, wenn Sie uns diese für die Abwicklung mitteilen; sie werden nicht automatisch gespeichert, sondern nach Abwicklung der Zusendung gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten bestehen. Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO für die spielimmanente Auswertung im Rahmen der App-Funktionen, Art. 6 Abs. 1 lit. f DSGVO für die Abwicklung der Preisübergabe.

14. Kontakt und Support

Wenn Sie uns per E-Mail kontaktieren (support@terulo.app), verarbeiten wir Ihre Anfrage und die darin enthaltenen personenbezogenen Daten (z. B. Name, E-Mail-Adresse und Ihr Anliegen) zum Zweck der Bearbeitung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage der Durchführung des Nutzungsverhältnisses dient, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der effektiven Bearbeitung der an uns gerichteten Anfragen). Die Daten werden nach abgeschlossener Bearbeitung gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten bestehen. Für die interne E-Mail- und Büroorganisation nutzen wir Microsoft 365 im Rahmen einer Auftragsverarbeitung.

15. Empfänger, Dienstleister und Datenübermittlung in Drittländer

a) Auftragsverarbeiter (Art. 28 DSGVO): Supabase (Backend, Datenbank und Authentifizierung; Serverstandort Frankfurt am Main); Vercel (Hosting und Auslieferung der App-Dienste); Microsoft 365 (interne E-Mail-Kommunikation und Administration); Brevo (Versand der einmaligen Willkommens-E-Mail sowie technischer System-E-Mails; Anbieter mit Sitz in der EU). Mit allen Dienstleistern bestehen Verträge über die Auftragsverarbeitung.

b) Apple: Der Download der App über den Apple App Store, „Anmelden mit Apple" und der Apple Push Notification Service erfolgen in eigener datenschutzrechtlicher Verantwortung von Apple; insoweit gelten die Datenschutzbestimmungen von Apple. Auf Art und Umfang dieser Verarbeitungen haben wir grundsätzlich keinen Einfluss. Für die Funktion „Apple Health" gilt Ziffer 7 (write only; wir erhalten keine Health-Daten). Die Kartendarstellung in der App (einschließlich Stadtsuche und Streckenvorschau) erfolgt über Apple MapKit. Dabei ruft Ihr Gerät Kartenkacheln und Suchvorschläge direkt bei Apple ab; Apple erhält hierbei Ihre IP-Adresse und den angezeigten Kartenausschnitt und verarbeitet diese Daten in eigener Verantwortung. Wenn Sie sich den Weg zu einem Startpunkt oder Partner anzeigen lassen, übergibt die App lediglich die Zielkoordinate an Apple Karten oder, sofern installiert, Google Maps; ab der Übergabe gelten die Datenschutzbestimmungen der jeweiligen Karten-App.

c) Brevo (E-Mail-Versanddienst): Brevo erhält zum Zeitpunkt des Versands Ihre E-Mail-Adresse und Ihren Anzeigenamen, um Ihnen die Willkommens-E-Mail zuzustellen. Außerdem versenden wir über Brevo technische System-E-Mails an Partnerbetriebe (z. B. Einladungen und Passwort-Links für Partner-Zugänge). Brevo ist ein Anbieter mit Sitz in der EU; mit Brevo besteht ein Vertrag über die Auftragsverarbeitung.

d) Nicht eingesetzt werden: Werbe-, Tracking- oder Analyse-SDKs, insbesondere Firebase (Crashlytics), Google AdMob, Sentry sowie Zahlungsdienste (Stripe) oder E-Mail-Dienste (Resend).

e) Datenübermittlung in Drittländer: Der Serverstandort von Supabase befindet sich in Frankfurt am Main (EU). Soweit im Zusammenhang mit den Diensten von Apple, Microsoft und Vercel Daten in die USA übermittelt werden, beruht dies auf den anerkannten Garantien der EU-Standardvertragsklauseln bzw. – soweit der jeweilige Anbieter zertifiziert ist – des EU-US Data Privacy Framework (Art. 45 Abs. 3, Art. 46 Abs. 2 lit. c und d DSGVO).

16. Speicherdauer und Löschung

Territory-Ereignisse werden nach zwölf Monaten gelöscht. Die Rohrouten werden nicht dauerhaft gespeichert (Ziffer 6). Konto- und Profildaten (Ziffer 8) verarbeiten wir bis zur Löschung Ihres Nutzerkontos. Audit-Logs und Daten der Missbrauchsprüfung (Ziffer 10) löschen wir, sobald der Prüfungszweck entfallen ist, spätestens jedoch nach zwölf Monaten. Support-Anfragen werden nach abgeschlossener Bearbeitung gelöscht (Ziffer 14). Das Push-Token wird bei Deaktivierung der Benachrichtigungen, bei der Kontolöschung oder bei der Deinstallation der App gelöscht. Im Übrigen verarbeiten wir Ihre personenbezogenen Daten nur so lange, wie der jeweilige Verarbeitungszweck besteht oder gesetzliche Aufbewahrungspflichten eingreifen; danach werden sie gelöscht.

17. Datenexport und Kontolöschung

Sie können folgende Funktionen direkt in der App nutzen: die vollständige Löschung Ihres Nutzerkontos einschließlich der zugehörigen Cloud-Daten (hierbei wird auch die Verknüpfung mit Ihrer Apple-ID bzw. „Anmelden mit Apple" gelöst), den In-App-Datenexport Ihrer Kontodaten und Territory-Daten sowie – im Gastmodus – den Export der lokal auf Ihrem Gerät gespeicherten Daten. Die Kontolöschung können Sie alternativ auch per E-Mail an support@terulo.app verlangen. Mit der Löschung des Kontos werden die in Ziffer 8 genannten Daten gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten bestehen.

18. Datensicherheit

Wir setzen dem Stand der Technik angemessene technische und organisatorische Maßnahmen (Art. 32 DSGVO) ein, insbesondere die Verschlüsselung der Datenübertragung (TLS), Zugangskontrollen und Zugriffsbeschränkungen nach dem Need-to-know-Prinzip, Protokollierung sowie regelmäßige Sicherungen. Die zentrale Verarbeitung Ihrer Standort- und Kontodaten erfolgt auf Servern innerhalb der Europäischen Union (Supabase, Frankfurt am Main).

19. Ihre Rechte als betroffene Person

Ihnen stehen im Rahmen der DSGVO folgende Rechte zu:

Recht auf Auskunft (Art. 15 DSGVO): Sie haben das Recht Auskunft über bei uns Ihre gespeicherten personenbezogenen Daten zu verlangen.

Recht auf Berichtigung (Art. 16 DSGVO): Sie haben das Recht, die Berichtigung Sie betreffender unrichtiger personenbezogener Daten zu verlangen. Unter Berücksichtigung des Verarbeitungszwecks haben Sie ferner das Recht, die Vervollständigung unvollständiger personenbezogener Daten zu verlangen.

Recht auf Löschung (Art. 17 DSGVO): Sie haben das Recht, die Löschung Ihrer personenbezogenen Daten zu verlangen.

Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie haben das Recht, die Einschränkung der Verarbeitung der Sie betreffenden personenbezogenen Daten zu verlangen.

Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Sie haben das Recht, personenbezogene Daten, die wir automatisiert, auf Grundlage Ihrer Einwilligung oder in Erfüllung eines Vertrags verarbeiten an sich oder an einen anderen Verantwortlichen in einem gängigen, maschinenlesbaren Format aushändigen zu lassen. Sofern Sie die direkte Übertragung der Daten an einen anderen Verantwortlichen verlangen, erfolgt dies nur, soweit es technisch machbar ist.

Widerspruchsrecht gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. e oder f DSGVO beruhen (Art. 21 DSGVO); dabei können Sie sich jederzeit aus Gründen, die sich aus Ihrer besonderen Situation ergeben, gegen die Verarbeitung Ihrer personenbezogenen Daten zum Zwecke der Missbrauchsprüfung (Ziffer 10) wenden.

Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO); Berechtigungen und Verknüpfungen (z. B. Standortfreigabe, Apple Health) verwalten Sie zusätzlich selbst über die iOS-Einstellungen und die App-Einstellungen. Zur Ausübung Ihrer Rechte genügt eine E-Mail an support@terulo.app.

Darüber hinaus haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO); zuständig ist für uns insbesondere der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Wiesbaden.

20. Kinder und Jugendliche

Die App richtet sich nicht an Kinder. Die Nutzung ist gemäß unseren AGB erst ab Vollendung des 16. Lebensjahres zulässig; sind Nutzer noch nicht volljährig, gilt Ziffer 2.4 unserer AGB (Zustimmung der gesetzlichen Vertreter für die Begründung des Nutzungsverhältnisses und die Kontoeröffnung). Soweit Einwilligungen betroffen sind, die besondere Kategorien personenbezogener Daten (insbesondere Gesundheitsdaten) betreffen, gilt die Altersgrenze des Art. 9 Abs. 2 lit. a i. V. m. Art. 8 Abs. 1 DSGVO (in Deutschland: 16 Jahre); die datenschutzrechtliche Einwilligungsfähigkeit lässt die vertragsrechtliche Vertretungsbedürftigkeit unberührt.

21. Automatisierte Entscheidungsfindung und Profiling

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt. Insbesondere zeigen wir keine auf Nutzungsprofile gestützte Werbung an und erstellen keine Verhaltensprofile zu Marketing- oder Analysezwecken. Die regelbasierten Plausibilitäts- und Missbrauchsprüfungen (Ziffern 6 und 10) führen nicht zu automatisierten Entscheidungen mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung; Maßnahmen gegen Nutzer (etwa Sperrungen) erfolgen erst nach Prüfung und unter Wahrung der in unseren AGB (Ziffer 7) vorgesehenen Stellungnahmemöglichkeiten.

22. Änderungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung anpassen, wenn sich die App, die eingesetzten Dienstleister oder die Rechtslage ändern. Die jeweils aktuelle Fassung stellen wir in der App bereit. Verschärfungen der Datenverarbeitung (etwa neue Zwecke oder neue Dienstleister) teilen wir Ihnen vorab in der App oder per E-Mail mit; soweit hierfür eine Einwilligung erforderlich ist, holen wir diese gesondert ein. Bestehende Rechtsgrundlagen werden durch Änderungen dieser Erklärung nicht erweitert.

Ergänzungen (Oktober 2026)

Technische Zugriffsdaten

Bei jeder Verbindung der App mit unserem Backend fallen technisch bedingt Zugriffsdaten an (insbesondere IP-Adresse, Zeitpunkt der Anfrage, aufgerufene Schnittstelle, Statuscode sowie Geräte- und App-Version). Wir nutzen diese Daten ausschließlich zur Bereitstellung, Stabilität und Sicherheit des Dienstes sowie zur Fehler- und Missbrauchsanalyse; eine Zusammenführung mit Ihrem Nutzungsverhalten findet nicht statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb). Die Protokolle werden bei unserem Dienstleister Supabase kurzfristig gespeichert, in der Regel bis zu sieben Tage, und danach automatisch gelöscht.

Zustimmung und Feedback

Beim ersten Start bitten wir Sie, diese Datenschutzerklärung und unsere AGB zu bestätigen. Den Zeitpunkt Ihrer Bestätigung speichern wir zu Nachweiszwecken (Art. 7 Abs. 1 DSGVO) auf Ihrem Gerät und, sofern Sie ein Konto nutzen, in Ihrem Nutzerkonto.

Über „Feedback senden“ im Profil können Sie uns eine Nachricht schicken. Dabei verarbeiten wir Ihren Nachrichtentext, eine freiwillige Kontaktangabe für Rückfragen, App-Version, Gerätemodell und Zeitpunkt sowie, sofern Sie angemeldet sind, die Zuordnung zu Ihrem Konto. Zweck ist die Verbesserung der App und die Fehlerbehebung (Art. 6 Abs. 1 lit. f DSGVO; die Kontaktangabe ist freiwillig). Nachrichten werden nach Bearbeitung gelöscht; bei Löschung Ihres Kontos wird die Zuordnung zu Ihrem Konto entfernt.

Melden und Blockieren

Sie können andere Nutzer melden (z. B. wegen eines beleidigenden Anzeigenamens) und blockieren. Bei einer Meldung speichern wir Ihre Nutzer-ID, die ID der gemeldeten Person, den gewählten Grund, Ihre optionale Beschreibung, App-Version und Gerätemodell, um den Vorfall zu prüfen (Art. 6 Abs. 1 lit. f DSGVO, Schutz der Nutzer und des Dienstes; AGB Ziffer 7). Meldungen werden nach Bearbeitung gelöscht. Blockierungen speichern wir in Ihrem Konto (Ihre ID, blockierte ID, Zeitpunkt), damit blockierte Personen Ihnen keine Freundschaftsanfragen mehr senden können und aus Ihren Listen und Ranglisten ausgeblendet werden; die blockierte Person wird nicht informiert. Sie können Blockierungen jederzeit in der App aufheben (Profil → Privatsphäre & Daten → Blockierte Nutzer).

Website terulo.app, Partner-Kontaktformular und Partner-Scan-Seite

Diese Datenschutzerklärung gilt auch für unsere Website terulo.app. Die Website setzt keine Cookies und keine Analyse- oder Werbedienste ein und lädt keine Inhalte von Dritt-Servern. Sie wird bei Vercel Inc. (USA) gehostet; beim Aufruf verarbeitet Vercel technisch notwendige Verbindungsdaten (IP-Adresse, Zeitpunkt, aufgerufene Seite, Browser-Kennung) in Server-Protokollen zur Auslieferung und Sicherheit der Website (Art. 6 Abs. 1 lit. f DSGVO); zur Drittlandübermittlung siehe Ziffer 15 e).

Partner-Kontaktformular: Interessierte Betriebe können uns über ein Formular kontaktieren (Geschäftsname, Kontakt-E-Mail, optional Nachricht und Logo). Die Angaben werden in unserem Backend gespeichert und zur Anbahnung einer Partnerschaft verarbeitet (Art. 6 Abs. 1 lit. b DSGVO). Zum Schutz vor Missbrauch speichern wir kurzzeitig einen nicht rückrechenbaren Prüfwert der IP-Adresse, nicht die IP-Adresse selbst (Art. 6 Abs. 1 lit. f DSGVO). Anfragen werden nach Bearbeitung gelöscht, sofern keine Partnerschaft zustande kommt.

Partner-Scan-Seite und Partnerzugänge: Für teilnehmende Betriebe richten wir Zugänge zu einer Scan-Seite ein, mit der Rabattcodes entwertet werden. Hierfür verarbeiten wir die geschäftliche E-Mail-Adresse der benannten Ansprechperson und ein Passwort (Art. 6 Abs. 1 lit. b DSGVO, Durchführung der Partnerschaft); die Anmeldung wird im Browser gespeichert, damit sich der Betrieb nicht bei jedem Scan neu anmelden muss. Die Kamera wird ausschließlich lokal im Browser zum Lesen des QR-Codes genutzt; personenbezogene Daten der App-Nutzer sind für den Partner nicht sichtbar (Ziffer 10). Einladungs- und Passwort-E-Mails an Partner versenden wir über Brevo (Ziffer 15).

Stand: Oktober 2026 (vorläufige Fassung für die Beta-Phase)