Datenschutz­erklärung.

1. Wer wir sind

Trail-Safe (der „Dienst“) wird entwickelt und betrieben von der 2552 BV, einem Unternehmen mit Sitz in den Niederlanden. Im App Store von Apple wird die App von der Devidee B.V. veröffentlicht, Betreiberin unseres Apple-Entwicklerkontos. Devidee B.V. verarbeitet keine Daten gesondert: dasselbe Team, dasselbe Backend, dieselbe Richtlinie. Bei jeder Frage zum Datenschutz erreichst du uns unter privacy@paceguard.io.

2. Was wir erheben

Trail-Safe erhebt nur, was es für seine Aufgabe braucht:

• Standortpunkte. Breitengrad, Längengrad, Höhe und Genauigkeit, gesendet von deiner Uhr, während du eine Tour aufzeichnest.
• Herzfrequenz. Schläge pro Minute, jedem Standortpunkt beigefügt, solange der Sensor freigegeben ist und misst. Auf der Apple Watch wird sie nur während der Aufzeichnung einer Tour aus HealthKit gelesen — auf deiner Karte angezeigt und in SOS-Meldungen enthalten, aber nie in iCloud geschrieben und nie für Werbung genutzt. Auf Wear OS liefert sie der Handgelenksensor der Uhr selbst.
• Kontoidentität. Was wir erhalten, hängt davon ab, wie du dich anmeldest: die Google-ID, die E-Mail-Adresse und den Anzeigenamen, die Google Sign-In zurückgibt (Wear OS und Web); oder bei Sign in with Apple (Apple Watch und iPhone) den Namen, den Apple einmalig bei deiner ersten Anmeldung sendet, und eine E-Mail-Adresse — eine Private-Relay-Adresse, wenn du Hide My Email gewählt hast. Bei Anmeldung per E-Mail-Code nur die E-Mail-Adresse; Familiencodes speichern nur, zu welcher Familie du gehörst und welchen Anzeigenamen du wählst.
• Geräte- und Sitzungskennungen. Eine zufällige Sitzungs-ID, die deine Uhr erzeugt, sowie das Gerätemodell, damit wir einzelne Punkte zu einer Tour zusammenfassen können.
• Push-Tokens. Der Push-Token deines Geräts — Firebase Cloud Messaging (FCM) auf Android-Geräten, Apple Push Notification service (APNs) auf Apple-Geräten — damit wir Familienmeldungen zustellen können.
• Statusmeldungen. Kurze „Ping“-Nachrichten (ohne Koordinaten), damit das Dashboard weiß, ob deine Uhr gerade online ist.
• SOS-Signale. Löst du an der Uhr SOS aus, halten wir das zusammen mit deiner letzten bekannten Position fest. Die Nummer deines Notfallkontakts bleibt auf deinem Gerät — unser Backend erhält sie nie. Die einzige SOS-Einstellung, die wir speichern, ist deine Zustimmung, Trail-Safe-Nutzer in der Nähe zu alarmieren (Community-SOS); alles andere bleibt auf dem Gerät.
• Live-Freigabelinks. Erstellst du einen Link, um deinen Live-Standort zu teilen, speichern wir den Link selbst, die Geräte, die du darauf zeigst, seinen Titel und wann er endet. Von jemandem, der den Link öffnet, speichern wir nur eine zufällige Betrachternummer und wann sich seine Seite zuletzt gemeldet hat — keinen Namen, kein Konto, kein Cookie —, damit wir begrenzen können, wie viele Personen gleichzeitig zusehen. Seine IP-Adresse nutzen wir wenige Sekunden lang, um Missbrauch zu begrenzen; wir speichern sie nicht — es sei denn, diese Adresse öffnet immer wieder Links, die nicht existieren (siehe Sicherheitsdaten unten).
• Sicherheitsdaten. Um Familien vor Missbrauch zu schützen, zählen wir Signale wie falsche Familien- oder Ausflugscodes, ungültige Anmelde-Token, Links, die nicht existieren, und Fluten von SOS- oder Check-in-Nachrichten. Erst wenn ein Netzwerk (IP-Adresse) oder ein Konto eine Grenze überschreitet, die normale Nutzung nie erreicht, speichern wir diese Adresse oder dieses Konto, welche Grenze es war und wann. Wir können es dann befristet sperren. Diese Daten nutzen wir für nichts anderes. Wird ein Konto erstellt oder eine Uhr oder ein Telefon registriert, speichern wir außerdem die IP-Adresse und die App- oder Browserversion, von der das geschah, und geben einem neuen Konto eine Risikobewertung. So erkennen wir Wellen automatisierter Anmeldungen, die über viele Adressen verteilt sind. Ein Konto, das während einer solchen Welle erstellt wurde, lässt sich normal nutzen, kann aber erst dann Zugriff mit anderen teilen, wenn es mit einem Gerät oder einem Abo genutzt wurde oder wir es geprüft haben. Diese Daten werden zusammen mit dem Konto oder Gerät gelöscht.
• Schlüssel und Webhooks, die du anlegst. Legst du einen API-Schlüssel (Home Assistant) oder einen SDK-Schlüssel an, speichern wir einen Einweg-Hash davon (nie den Schlüssel selbst), den Namen, den du ihm gibst, wann er angelegt und zuletzt benutzt wurde, und bei einem SDK-Schlüssel die IP-Adressen, von denen aus er benutzt werden darf. Bei einem Webhook speichern wir die URL, das Signaturgeheimnis und ein Zustellprotokoll der letzten 7 Tage.

Wir erheben keine Kontakte, keine Fotos, kein Mikrofonaudio, keine Aktivitäten auf der Uhr außerhalb von Trail-Safe und keinerlei Daten, während die App geschlossen ist. Namen und Nummer eines Notfallkontakts wählst oder tippst du auf deinem eigenen Gerät ein, und dort bleiben sie.

3. Warum wir es erheben

• Um dir deine Touren zu zeigen — die zentrale Funktion des Dashboards.
• Damit die Live-Statusanzeige stimmt — damit du und deine Kontakte sehen können, ob die Uhr gerade verbunden ist.
• Um SOS-Meldungen zuzustellen — damit deine letzte Position verfügbar ist, wenn Hilfe nötig wird.
• Um den Dienst am Laufen zu halten — minimale Betriebsprotokolle (Fehler, Anfragezahlen), damit wir Störungen beheben können.
• Um dich und den Dienst vor Missbrauch zu schützen — Code-Raten, automatisierte Registrierungen, Missbrauch von Anmelde-Token und das Ausprobieren gestohlener Karten erkennen und stoppen.

Nach der DSGVO ist unsere Rechtsgrundlage die Vertragserfüllung (Art. 6 Abs. 1 lit. b) für die Karten- und SOS-Funktionen sowie das berechtigte Interesse (Art. 6 Abs. 1 lit. f) für Fehlerbehebung und Missbrauchsabwehr. Integrationen, die du selbst einrichtest (API-Schlüssel, SDK-Schlüssel, Webhooks), beruhen ebenfalls auf der Vertragserfüllung: Du forderst sie an, und sie laufen nur, solange du sie eingeschaltet lässt.

3a. Was wir bewusst nicht erheben

Der sicherste Umgang mit Daten ist, sie gar nicht erst zu speichern. Trail-Safe erhebt niemals:

• Zugangsdaten. Trail-Safe betreibt keinen Passwortspeicher. Die Identitätsprüfung ist an Google Sign-In (Wear OS und Web) oder Sign in with Apple (Apple-Geräte) ausgelagert; unser Backend erhält ausschließlich das signierte Identitäts-Token, das der Anbieter nach erfolgreicher Anmeldung ausstellt. Dein Google- oder Apple-Passwort sehen oder speichern wir nie.
• Zahlungs- oder Kartendaten. Abonnements rechnet Google Play ab; sobald App-Store-Käufe eingeführt werden, rechnet Apple sie auf dieselbe Weise ab. Unser Backend behält nur das Kauf-Token, das zur Prüfung der Berechtigung nötig ist — keine Kartendaten, niemals.
• Kontakte, Fotos, Mikrofon oder Dateien. Die Uhren-App fordert diese Berechtigungen nicht an, und unser Backend stellt keinerlei Schnittstelle bereit, um sie entgegenzunehmen.
• Verhaltensanalyse. Kein Google Analytics, kein Meta-Pixel, kein Mixpanel, kein Sentry-Profiling, kein Werbe-SDK. Das Dashboard enthält null Tracker von Dritten. Besuche unserer öffentlichen Website zählen wir selbst, ohne Cookies (berechtigtes Interesse: wissen, welche Seiten Menschen weiterhelfen): Pro Tag speichern wir nur, wie oft jede Seite aufgerufen wurde, welche Website darauf verlinkt hat, sowie Land, Geräteart und Sprache. Um zu schätzen, wie viele verschiedene Menschen da waren, werden deine IP-Adresse und dein Browser mit einem Schlüssel gehasht, der täglich wechselt und danach verworfen wird; wir speichern keins von beiden und können dich an einem anderen Tag nicht wiedererkennen. Browser, die Do Not Track oder Global Privacy Control senden, zählen wir nicht, ebenso wenig angemeldete Seiten und Live-Freigabelinks.
• Geräte-Fingerabdrücke. Keine IMEI, keine Werbe-ID, kein Auslesen der Bildschirmauflösung, keine Abfrage installierter Apps. Die einzige Gerätekennung in unseren Systemen ist die UUID, die bei der ersten Registrierung vergeben wird.

Was bei einem Datenleck offenläge. Die Daten, die Trail-Safe vorhält, sind bewusst begrenzt. Bei einem Einbruch in die Datenbank wären es Standortverlauf, der bei der Anmeldung übermittelte Anzeigename samt E-Mail-Adresse (eine Apple-Private-Relay-Adresse, wenn du Hide My Email nutzt) sowie ein Kauf-Token. Keine Zugangsdaten, keine Zahlungsmittel und kein Weg zu deinem Google- oder Apple-Konto — denn dieses Material speichert Trail-Safe zu keinem Zeitpunkt.

4. Wo es gespeichert wird

Alle Standortpunkte, Sitzungen und Kontodaten liegen in einer PostgreSQL-Datenbank, die Trail-Safe innerhalb des Europäischen Wirtschaftsraums betreibt. Die Kommunikation zwischen Uhr, Dashboard und unserem Backend ist mit TLS verschlüsselt.

Wir betreiben außerdem einen Server in den Vereinigten Staaten, damit Trail-Safe für Menschen in Nord- und Südamerika schnell reagiert. Er ist nur ein Anwendungsserver: Er hat keine Datenbank und keinen Dateispeicher und liest und schreibt deine Daten direkt in unserer EU-Datenbank über eine verschlüsselte Verbindung. Dort wird nichts über dich gespeichert außer den minimalen Betriebsprotokollen, die jeder Server führt (siehe Wie lange wir es aufbewahren). Deine Daten werden immer in der EU gespeichert und sind durch die DSGVO geschützt, wo auch immer du Trail-Safe nutzt.

Anmelde-Token liegen auf Apple-Geräten im Keychain und auf Wear OS in Androids EncryptedSharedPreferences (AES-256-GCM), damit ein gestohlenes Gerät sie nicht im Klartext preisgibt. Deine SOS-Einstellungen und die Nummer deines Notfallkontaks liegen im lokalen Speicher deines Geräts und verlassen ihn nie.

5. Wie lange wir es aufbewahren

Zwei verschiedene Uhren. Daten, die beschreiben, wo du warst, verfallen von selbst; Daten, die beschreiben, wer du bist, bleiben, solange das Konto besteht.

Nach 90 Tagen automatisch gelöscht

• Standortverlauf — jeder Standortpunkt, jeder Zwischenpunkt und jede aufgezeichnete Tour.
• Herzfrequenz- und Aktivitätsdaten, die zu diesen Punkten erfasst wurden.
• SOS- und Sturzmeldungen — die Meldung selbst, die dabei geteilte Position und die Antworten darauf.

Ein automatischer Vorgang löscht alles außerhalb dieses Zeitfensters; nichts, was älter als 90 Tage ist, übersteht ihn — ob du darum bittest oder nicht. Punkte, Touren und Sitzungen kannst du selbstverständlich jederzeit auch selbst früher löschen.

Aufbewahrt, bis du dein Konto schließt

• Deine Identität — das Anmeldekonto, die E-Mail-Adresse und der Name.
• Deine Geräte, Familienverbindungen, Heimzonen, gespeicherten Routen und Wegpunkte.
• Abonnement- und Kaufdaten, solange das Konto besteht.

Dafür gibt es keine Frist, denn ihre Löschung würde das Produkt zerstören, während du es noch benutzt. Sie verschwinden, wenn das Konto verschwindet.

Die beiden anderen Uhren

• Kontoschließung: alles Obige wird binnen 30 Tagen nach deinem Antrag gelöscht, Sicherungskopien eingeschlossen. Siehe Abschnitt 6.
• Inaktive Konten: meldest du dich 90 Tage in Folge nicht an (im Dashboard) und verbindest keine Uhr, wird das gesamte Konto automatisch gelöscht. Wir schreiben vorher keine E-Mail; die Löschung ist ja gerade der Sinn. Melde dich jederzeit innerhalb der 90 Tage erneut an, und die Uhr läuft von vorn.
• Betriebsprotokolle: nach 30 Tagen überschrieben.
• Sicherheitsdaten: nach 90 Tagen gelöscht; eine Sperre endet immer von selbst (spätestens nach 30 Tagen).
• Live-Freigabelinks: Ein Link zeigt nichts mehr, sobald er abgelaufen ist oder du ihn beendest (nur ein laufender SOS hält ihn offen, bis der SOS vorbei ist). Der Link-Datensatz wird 7 Tage später gelöscht, der Datensatz eines Betrachters innerhalb einer Stunde, nachdem er die Seite geschlossen hat.
• Widerrufene Schlüssel: Ein API- oder SDK-Schlüssel, den du widerrufst, funktioniert sofort nicht mehr und wird 30 Tage später gelöscht.

Betreiber einer eigenen Installation können diese Fristen im Verwaltungsbereich anpassen. Für Trail-Safe beträgt die Aufbewahrungsfrist 90 Tage und die Löschfrist 30 Tage.

6. Dein Konto löschen

Du kannst dein Konto jederzeit selbst schließen, unter https://trail-safe.app/delete-account/de. Dort anmelden, zweimal bestätigen — den Rest erledigen wir. Kein Fragebogen, kein Anruf, kein Halteangebot.

Was passiert, und wann:

• Sofort: deine Uhren werden abgemeldet, und du verlässt jede Familie, zu der du gehört hast — dein Name und deine Position verschwinden augenblicklich von deren Karte.
• Binnen 30 Tagen: dein Konto und jeder daran hängende Datensatz werden endgültig gelöscht, auch aus unseren verschlüsselten Sicherungskopien.
• Dazwischen: das Konto ist geschlossen, aber wiederherstellbar. Melde dich auf derselben Seite an und brich den Vorgang ab, wenn du es dir anders überlegst. Deine Uhren und Familienverbindungen kommen nicht von selbst zurück — die verknüpfst du neu.

Was gelöscht wird:

• Deine Identität: Anmeldekonto, E-Mail-Adresse, Name und Profilbild.
• Jedes Gerät, seine Sitzung und sein Push-Token.
• Jeder Standortpunkt, jede Tour und jeder Zwischenpunkt, auf jedem Gerät.
• Jede SOS- und Sturzmeldung, die dabei geteilten Positionen und die Antworten.
• Heimzonen, gespeicherte Routen, Wegpunkte, Offline-Kartenbereiche, Wettergebiete und Live-Freigabelinks.
• Familienverbindungen in beide Richtungen sowie alle gesendeten und erhaltenen Einladungen.
• Benachrichtigungen, API-Schlüssel, SDK-Schlüssel und Webhooks, Abonnement- und Kaufdaten sowie Diagnoseprotokolle.

Das Löschen deines Kontos kündigt kein Google-Play-Abonnement. Das verwaltet Google, nicht wir, und nur du kannst es kündigen — im Play Store unter Zahlungen & Abos. Kündige es zuerst dort, sonst zahlst du weiter für ein Konto, das es nicht mehr gibt.

Wir bewahren nur auf, wozu das Gesetz uns verpflichtet, und nur so lange, wie es das verlangt. In der Praxis sind das Rechnungen, und die liegen bei unseren Zahlungsdienstleistern (Google Play, Mollie) unter deren eigenen steuerlichen Aufbewahrungspflichten; unsere eigenen Kopien davon werden mit allem anderen gelöscht. Standort-, Herzfrequenz- oder SOS-Daten werden auf dieser Grundlage nie aufbewahrt.

Kommst du nicht mehr an dein Konto und die Anmeldung schlägt fehl, schreib an privacy@paceguard.io von der Adresse, die zum Konto gehört — dann erledigen wir es von Hand, binnen 30 Tagen.

7. Deine Rechte (DSGVO)

Du kannst jederzeit und kostenlos:

• Alles einsehen, was wir über dich haben — das Dashboard zeigt jeden Standortpunkt und jede Sitzung.
• Deine Daten exportieren — über die Export-Schaltfläche bei jedem Gerät.
• Einzelne Standortpunkte, ganze Sitzungen oder dein gesamtes Konto löschen — in der iPhone-App unter Einstellungen → Konto löschen, im Dashboard oder schriftlich bei uns.
• Deine Einwilligung für Herzfrequenz oder Benachrichtigungen widerrufen (in den Systemeinstellungen der Uhr).
• Beschwerde bei deiner nationalen Datenschutzaufsichtsbehörde einlegen.

Um eines dieser Rechte auszuüben, schreib an privacy@paceguard.io. Wir antworten binnen 30 Tagen.

8. Mit wem wir Daten teilen

Wir geben Daten weiter an:

• Google — nur das ID-Token, das deine Uhr bei der Anmeldung vorlegt, damit wir prüfen können, dass du es wirklich bist; Firebase Cloud Messaging stellt Push-Meldungen auf Android-Geräten zu. Für diesen Teil gilt die Datenschutzerklärung von Google.
• Apple — auf Apple-Geräten verifiziert Sign in with Apple deine Identität, Apple Maps (MapKit) lädt die Kartenkacheln, die dein Gerät anfordert, APNs stellt Push-Meldungen zu, und Apple betreibt das private E-Mail-Relay, wenn du Hide My Email nutzt. Für diesen Teil gilt die Datenschutzerklärung von Apple.
• Mapbox — um die Kartenkacheln auf der Uhr darzustellen. Mapbox sieht den Ausschnitt, den du betrachtest, aber nicht deine Identität.
• Unsere Infrastrukturanbieter — Hosting- und Datenbankanbieter, vertraglich durch Auftragsverarbeitungsverträge gebunden. Alle Speicherung erfolgt innerhalb des EWR; unser Server in den Vereinigten Staaten speichert keine deiner Daten (siehe Wo es gespeichert wird).
• Personen, denen du einen Live-Freigabelink schickst — nur wenn du einen erstellst. Wer den Link hat, sieht die Geräte, die du ausgewählt hast: ihre aktuelle Position, die Route seit Erstellung des Links, die Gerätenamen und einen aktiven SOS, bis der Link endet oder du ihn beendest. Er sieht nichts von vor dem Link und keine anderen Daten über dich. Ein Link funktioniert für jeden, der ihn hat — teile ihn also nur mit Menschen, denen du vertraust; du kannst ihn jederzeit im Dashboard beenden.
• Tools, die du selbst verbindest — nur wenn du eines einrichtest. Mit einem API-Schlüssel (Home Assistant), einem SDK-Schlüssel (Family Plus) oder einem Webhook liest ein System deiner Wahl deine Positionen und Aktivitäten; in einer Familie gehören dazu auch die Standorte deiner Familienmitglieder. Sie werden benachrichtigt, wenn eines angelegt wird, das ihren Standort sehen kann, und sehen es unter Who sees me. Über das SDK geben wir nie IP-Adressen weiter. Was dort mit den Daten geschieht, verantwortet, wer dieses System betreibt. Du kannst einen Schlüssel oder Webhook jederzeit widerrufen; innerhalb einer Minute funktioniert er nicht mehr.

Wir verkaufen deine Daten nie und geben sie nie an Werbenetzwerke, Datenhändler oder Analysedienste weiter, die Profile über dich anlegen.

9. Cookies

Das Dashboard verwendet ein einziges notwendiges Cookie, um dich angemeldet zu halten. Keine Tracking-Pixel, keine Cookies von Dritten und kein Cookie für die Besuchszählung der Website (siehe Verhaltensanalyse oben).

10. Kinder

Trail-Safe ist nicht für Nutzerinnen und Nutzer unter 13 Jahren bestimmt. Wir erheben wissentlich keine Daten von Kindern. Falls du glaubst, dass ein Kind sich angemeldet hat, schreib uns — wir entfernen das Konto.

11. Änderungen dieser Erklärung

Änderungen veröffentlichen wir hier und aktualisieren das Datum oben. Wesentliche Änderungen kündigen wir zusätzlich im Dashboard an.

12. Kontakt

2552 BV (Verantwortlicher)
App-Store-Einträge veröffentlicht von Devidee B.V.
privacy@paceguard.io