Datenschutzerklärung

Stand: 10. Oktober 2026

1. Worum es geht

SpotMates („wir“, „die App“) ist eine App, um Aktivitäten und Reiseziele zu entdecken, zu planen und mit Freunden zu teilen. Diese Erklärung beschreibt, welche personenbezogenen Daten wir verarbeiten, wozu, und welche Rechte du nach der Datenschutz-Grundverordnung (DSGVO) und dem deutschen Datenschutzrecht hast.

2. Verantwortlicher

Nikolai Marburger
Krumbacher Str. 11, 80798 München, Deutschland
E-Mail: nikmar332@yahoo.de

3. Welche Daten wir verarbeiten

Konto

• E-Mail-Adresse und Passwort (über Firebase Authentication; dein Passwort sehen wir nie)
• Vorname, Nachname, Benutzername, optional Geburtsdatum, Profilbild und Profiltext

Deine Inhalte

• Aktivitäten (Titel, Beschreibung, Ort, Fotos und Videos, Kategorie, Tags, Links, GPX-Tracks)
• Einträge zu erledigten Aktivitäten (mit Fotos, Bewertung, Tags, Notizen und Kommentaren)
• Ordner, Reisepläne und SpotStories, einschließlich Notizen, Unterkünften, Transfers, Flugnummern, Plan-Rankings und Bewertungen
• „My Notes“ zu Aktivitäten — sichtbar für dich und deine Freunde
• Kommentare, Likes, Chat-Nachrichten und Ordner-Einladungen
• In geteilten Ordnern ein Verlauf, wer was hinzugefügt, geändert oder entfernt hat
• Mitteilungen in der App zu Likes, Kommentaren, Freundschaftsanfragen, Einladungen und Nachrichten

Kamera und ausgewählte Fotos

Fotos, die du für eine Aktivität oder einen Eintrag aufnimmst oder auswählst, werden mit diesem hochgeladen. Beim Import von Fotos, um daraus Aktivitäten anzulegen, liest die App Aufnahmedatum und -ort auf deinem Gerät, um den Ort vorzuschlagen.

Fotomediathek-Scan (nur wenn du ihn startest)

In einer SpotStory kannst du „Scan my photos“ wählen. Die App liest dann auf deinem Gerät Datum und Ort der Fotos aus dem Reisezeitraum. Deine Fotos werden dabei nicht hochgeladen. Gespeichert wird nur das Ergebnis im Ordner: eine vereinfachte Route (Positionen mit Zeitpunkten), eine Dichtekarte und die Anzahl der Fotos. Mitglieder des Ordners können es sehen. Du kannst deinen Scan jederzeit über das X an deinem Eintrag entfernen.

Standort

Wenn du es erlaubst, wird dein aktueller Standort während der Nutzung auf deinem Gerät verwendet, um dich auf der Karte zu zeigen und Orte in der Nähe zu finden. Er wird nicht auf unseren Servern gespeichert.

Moderation

Zur Veröffentlichung eingereichte Aktivitäten prüfen unsere Moderatoren, bevor sie öffentlich werden; dabei können sie dir Hinweise hinterlassen. Deine Meldungen und die daraufhin ergriffenen Maßnahmen speichern wir, um die Community zu schützen.

Technische Daten

• Ein Token deines Geräts für Push-Mitteilungen
• Absturzberichte (Gerätemodell, Betriebssystem, App-Version und der Fehler) über Firebase Crashlytics

4. Zwecke und Rechtsgrundlagen

• Bereitstellung der App und ihrer Funktionen, deines Kontos und der Inhalte, die du teilst — Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
• Push-Mitteilungen — deine Einwilligung über die Systemabfrage (Art. 6 Abs. 1 lit. a DSGVO), widerrufbar in den Einstellungen deines Geräts.
• Fotomediathek-Scan, Foto-Import und Standort — deine Einwilligung über die Systemberechtigung und das Starten der Funktion (Art. 6 Abs. 1 lit. a DSGVO).
• Absturzberichte, Sicherheit und Moderation gemeldeter Inhalte — unser berechtigtes Interesse an einer stabilen und sicheren App (Art. 6 Abs. 1 lit. f DSGVO).

5. Dienstleister

Wir setzen folgende Auftragsverarbeiter ein. Soweit Daten außerhalb der EU verarbeitet werden, stützt sich die Übermittlung auf das EU-US Data Privacy Framework und/oder die Standardvertragsklauseln der EU-Kommission.

• Google Firebase (Google Ireland Ltd. / Google LLC): Anmeldung, Datenbank, Dateispeicher, Cloud Functions, Push-Mitteilungen und Absturzberichte. Unsere Datenbank liegt in der EU. Unsere Cloud Functions laufen teils in Belgien (europe-west1), teils in den USA (us-central1); einige Firebase-Dienste, etwa Anmeldung, Mitteilungen und Absturzberichte, können Daten ebenfalls in den USA verarbeiten.
• Mapbox Inc. (USA): Kartendarstellung und Adresssuche. Beim Laden der Karte oder bei einer Adresssuche werden deine IP-Adresse und der Kartenausschnitt bzw. der Suchtext an Mapbox übermittelt.
• OpenAI (USA): erstellt Texte wie Zusammenfassungen, Vorschläge und SpotStory-Texte und wertet aus, was du in die Suche eingibst. Wir übermitteln die jeweiligen Aktivitäts- und Reiseangaben (z. B. Titel, Beschreibungen, Orte und Daten) bzw. deinen Suchtext, nicht deinen Namen oder deine E-Mail-Adresse.
• Google Places API (Google): löst importierte Google-Maps-Links zu einem Ort auf.
• AeroDataBox über RapidAPI: Wenn du in einer Reise einen Flug abfragst, werden Flugnummer und Datum übermittelt, um den Flugplan abzurufen.
• Resend (USA): versendet die Bestätigungs-E-Mail, wenn du dein Konto löschst.
• Apple: stellt Push-Mitteilungen auf iOS-Geräten zu. Eine Mitteilung kann Inhalte enthalten, etwa den Namen des Absenders und den Text einer Chat-Nachricht; sie läuft über Firebase Cloud Messaging und Apples Push-Dienst.

6. Wer deine Inhalte sieht

Veröffentlichte Aktivitäten und Einträge sehen andere Nutzer. Entwürfe, Ordner und SpotStories sind entsprechend der von dir gewählten Sichtbarkeit (privat, Freunde, öffentlich) und für die Mitglieder eines geteilten Ordners sichtbar. Chat-Nachrichten sehen die Teilnehmer der Unterhaltung.

7. Speicherdauer

Wir speichern deine Daten, solange dein Konto besteht. Löschst du dein Konto (Einstellungen), werden dein Profil, deine Einträge, Likes, Freundschaften und Anfragen, Mitteilungen, deine eigenen Ordner und deine hochgeladenen Fotos endgültig gelöscht, und du wirst aus mit dir geteilten Ordnern entfernt. Von dir veröffentlichte Aktivitäten bleiben für andere ohne deinen Namen und dein Profilbild verfügbar; ihre Fotos werden gelöscht. Auch deine Kommentare und die Chat-Nachrichten, die du gesendet hast, werden gelöscht; die Nachrichten der anderen Beteiligten bleiben bei ihnen. Absturzberichte werden 90 Tage aufbewahrt.

8. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch sowie das Recht, eine Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen. Schreib uns dazu an die oben genannte E-Mail-Adresse. Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel beim Bayerischen Landesamt für Datenschutzaufsicht (BayLDA).

9. Sicherheit

Daten werden verschlüsselt übertragen (TLS). Der Zugriff auf gespeicherte Daten ist durch Anmeldung und Sicherheitsregeln beschränkt.

10. Kinder

SpotMates richtet sich nicht an Kinder unter 16 Jahren. Wir verarbeiten wissentlich keine Daten von Kindern unter 16.

11. Änderungen

Wir können diese Erklärung aktualisieren. Die aktuelle Fassung findest du immer hier und in der App unter Einstellungen.