Datenschutzerklärung

Wir nehmen den Schutz deiner Daten ernst und verarbeiten so wenig wie möglich. Diese Erklärung sagt dir in einfacher Sprache, was wir mit deinen Daten machen, warum, auf welcher Rechtsgrundlage und wie lange.

1. Verantwortlicher

Verantwortlich für die Verarbeitung deiner personenbezogenen Daten ist:

Datenschutzbeauftragter: Ein Datenschutzbeauftragter ist gesetzlich nicht erforderlich und wurde daher nicht bestellt. Für alle Anliegen rund um den Datenschutz wende dich bitte an die oben genannte Kontaktadresse.

2. Diese Landingpage

Die Einladungs-Landingpage setzt keine Tracker und keine Cookies und bindet keine externen Dienste (Schriften, CDN) ein. Es werden keine Informationen auf deinem Endgerät gespeichert oder ausgelesen, die einer Einwilligung nach § 25 Abs. 1 TDDDG (vormals TTDSG) bedürften.

Zur Anzeige des Hunt-Namens auf der Einladungsseite wird der Einladungscode an unsere eigene API (Hosting in der EU bei Hetzner) gesendet. Es werden keine personenbezogenen Profile gebildet und keine Daten an Dritte übermittelt.

Beim Aufruf unserer Server (Landingpage und API) wird in einem Server-Zugriffsprotokoll automatisch deine IP-Adresse zusammen mit Zeitpunkt, angefragter Adresse und technischen Angaben (z. B. Statuscode) gespeichert. Die IP-Adresse ist nach der Rechtsprechung des EuGH (Urteil vom 19.10.2016, C-582/14, Breyer) ein personenbezogenes Datum. Das Protokoll dient ausschließlich dem sicheren und stabilen Betrieb sowie der Abwehr und Aufklärung von Angriffen und Missbrauch (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO). Diese Protokolle werden rollierend gespeichert und nach spätestens 14 Tagen automatisch gelöscht. Eine Zusammenführung mit anderen Daten oder eine Profilbildung findet nicht statt.

Auf der Seite /kontakt kannst du uns über ein Kontaktformular erreichen. Die dort eingegebenen Daten (Name, E-Mail-Adresse, Nachricht) verarbeiten wir ausschließlich, um deine Anfrage zu bearbeiten und zu beantworten (Art. 6 Abs. 1 lit. b und lit. f DSGVO). Eine Einwilligung ist hierfür nicht erforderlich. Die Nachricht wird über unseren E-Mail-Dienstleister Brevo (siehe Abschnitt 3.4) an uns zugestellt; eine darüber hinausgehende Speicherung des Formularinhalts findet nicht statt. Wir bewahren deine Anfrage nur so lange auf, wie es zu ihrer Bearbeitung erforderlich ist.

3. Die App „Spottera"

Spottera ist ein gemeinsames Foto-Spiel. Wir verarbeiten nur die Daten, die für das Spiel nötig sind, und verzichten auf Werbung, Tracking und Profilbildung.

3.1 Anmeldung ohne Konto (gerätebasiert)

Die App meldet dein Gerät automatisch mit einer anonymen, zufälligen Kennung an. Ein Name, eine E-Mail-Adresse oder andere Klardaten sind dafür nicht erforderlich. Den im Spiel angezeigten Anzeigenamen wählst du selbst (gern ein Spitzname).

3.2 Welche Daten verarbeitet werden

3.3 Zwecke und Rechtsgrundlagen

• Bereitstellung des Spiels (Hunts, Fotos, Raster, Reaktionen, Bewertungen): Art. 6 Abs. 1 lit. b DSGVO (Erfüllung der unentgeltlichen Nutzungsbedingungen) sowie ergänzend Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse am Betrieb eines funktionierenden sozialen Foto-Spiels).
• Push-Benachrichtigungen: deine Einwilligung in der App über den entsprechenden Hinweis vor der Aktivierung (Art. 6 Abs. 1 lit. a DSGVO); technisch umgesetzt durch die anschließende Geräteberechtigung. In der App und in den Geräteeinstellungen jederzeit widerrufbar.
• Kamerazugriff und Zugriff auf die Foto-Galerie: deine Einwilligung in der App über den jeweiligen Erklärungs-Hinweis (Art. 6 Abs. 1 lit. a DSGVO); technisch umgesetzt durch die anschließende Geräteberechtigung. Jederzeit in den Geräteeinstellungen widerrufbar.
• Standortdaten (gemeinsame Hunt- und Urlaubs-Karte): deine Einwilligung in der App über den Schalter „Standort teilen" im jeweiligen Hunt, Art. 6 Abs. 1 lit. a DSGVO; technisch umgesetzt durch die anschließende Geräteberechtigung. Zweck: Verortung deiner Fotos auf der gemeinsamen Karte des Hunts für die übrigen Mitglieder. Jederzeit widerrufbar.
• Optionale Konto-Sicherung per E-Mail (Anmeldung auf weiteren Geräten): Art. 6 Abs. 1 lit. b DSGVO.
• Kurze Aufbewahrung nach einer Löschanfrage (30 Tage): berechtigtes Interesse an der Prävention von Missbrauch und an der Möglichkeit, versehentliche Löschungen zurückzunehmen, Art. 6 Abs. 1 lit. f DSGVO. Wir vermeiden damit insbesondere Lösch- und Neuanlage-Zyklen zur Umgehung von Blockierungen oder Moderations-Maßnahmen. In dieser Karenzzeit sind deine Inhalte für andere Nutzer:innen bereits sofort unsichtbar; die Daten sind im Sinne von Art. 18 DSGVO eingeschränkt verarbeitet (nur noch Speicherung, keine weitere Nutzung).
• Mindestalter-Prüfung (Jugendschutz): unser berechtigtes Interesse am Schutz Minderjähriger und an unserer eigenen Compliance, Art. 6 Abs. 1 lit. f DSGVO, gegebenenfalls in Verbindung mit Art. 6 Abs. 1 lit. c DSGVO. Art. 8 DSGVO ist hierbei der Wirksamkeitsmaßstab für die Einwilligung Minderjähriger, nicht selbst Rechtsgrundlage.
• Nachweis deiner Zustimmung zu Nutzungsbedingungen und Datenschutzerklärung (Speicherung von Zeitpunkt und Version): berechtigtes Interesse an der Erfüllung unserer Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO), Art. 6 Abs. 1 lit. f DSGVO.
• IT-Sicherheit und Betrieb (z. B. Schutz vor Angriffen, Stabilitätsanalyse): unser berechtigtes Interesse an einem sicheren und stabilen Betrieb, Art. 6 Abs. 1 lit. f DSGVO.

3.4 Empfänger, Auftragsverarbeiter und weitere Verantwortliche

Wir arbeiten mit den folgenden sorgfältig ausgewählten Dienstleistern zusammen.

Auftragsverarbeiter (Art. 28 DSGVO): Mit diesen Dienstleistern haben wir einen Auftragsverarbeitungsvertrag geschlossen. Sie verarbeiten Daten ausschließlich nach unserer Weisung.

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland: Hosting von Server, Datenbank, Foto-Speicher und Backups (ausschließlich in der EU).
• Brevo SAS (vormals Sendinblue SAS), 106 Boulevard Haussmann, 75008 Paris, Frankreich: Versand von E-Mails (E-Mail-Code/Magic-Link bei optionaler Konto-Sicherung sowie betriebliche Benachrichtigungen).
• 650 Industries, Inc. (Expo), San Francisco, USA: Vermittlung der Push-Benachrichtigungen (Expo Push Service). Übermittlung des Push-Tokens und der Push-Inhalte in die USA, siehe Abschnitt „Drittlandtransfer (USA)".

Eigenständig Verantwortliche (Empfänger nach Art. 13 Abs. 1 lit. e DSGVO): Diese Anbieter sind für die jeweilige Übermittlung in eigener datenschutzrechtlicher Verantwortung tätig und entscheiden selbst über Zwecke und Mittel der Verarbeitung. Es gelten deren eigene Datenschutzhinweise.

• Apple Inc., One Apple Park Way, Cupertino, CA 95014, USA: Apple Push Notification Service (APNs) zur Zustellung auf iOS-Geräten. Datenschutzhinweise: https://www.apple.com/legal/privacy/.
• Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA: Firebase Cloud Messaging (FCM) zur Zustellung auf Android-Geräten. Datenschutzhinweise: https://policies.google.com/privacy.

Mit-Spieler:innen als Empfänger: Inhalte, die du in einen Hunt einbringst (Anzeigename, Avatar, Fotos, Reaktionen, Bewertungen und gegebenenfalls Standortdaten zu deinen Fotos), werden den übrigen Mitgliedern desselben Hunts angezeigt. Diese Personen sind im Sinne von Art. 4 Nr. 9 DSGVO Empfänger deiner Daten. Wir haben keinen Einfluss darauf, ob Mitspieler:innen die Inhalte mit eigenen Mitteln (z. B. Screenshot) weiterverwenden.

Hosts: Die Person, die einen Hunt anlegt (Host), steuert bestimmte Spielparameter, etwa das Aktivieren der gemeinsamen Karte oder das vorzeitige Beenden des Hunts. Verantwortlich für die Verarbeitung im Sinne des Art. 4 Nr. 7 DSGVO bleibt ausschließlich Spottera; eine datenschutzrechtliche Mit-Verantwortung des Hosts (gemeinsame Verantwortlichkeit, Art. 26 DSGVO) besteht nicht.

Fotos und Spieldaten werden ausschließlich in der EU gespeichert und nicht an Dritte zu Werbezwecken weitergegeben.

Drittlandtransfer (USA)

Für die Zustellung von Push-Benachrichtigungen kann es zur Übermittlung deines Push-Tokens und der Push-Inhalte in die USA kommen. Die rechtlichen Garantien je Empfänger:

• Apple Inc. ist unter dem EU-US Data Privacy Framework (DPF) zertifiziert; die Übermittlung erfolgt auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission vom 10. Juli 2023.
• Google LLC ist ebenfalls unter dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss vom 10. Juli 2023).
• 650 Industries, Inc. (Expo) ist ebenfalls unter dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss vom 10. Juli 2023).

Da Apple, Google und 650 Industries (Expo) unter dem EU-US Data Privacy Framework zertifiziert sind, erfolgt die Übermittlung auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission; ergänzender Garantien bedarf es daneben nicht. Sollte die Zertifizierung eines Anbieters entfallen, stützen wir die betreffende Übermittlung auf die Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss 2021/914) nebst ergänzenden Maßnahmen. Unabhängig davon halten wir die Übermittlung gering: Der Push-Token ist eine geräte- und anbieterspezifische Kennung ohne Klardaten zur Person, die Push-Inhalte sind bewusst kurz gehalten und enthalten keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO). Den aktuellen Zertifizierungsstatus kannst du unter dataprivacyframework.gov nachvollziehen; eine Kopie etwaiger ergänzender Garantien erhältst du auf Anfrage unter hallo@spottera.app.

Push ist optional. Ohne deine Erlaubnis (Einwilligung in der App und Geräteberechtigung) findet keine Übermittlung in die USA statt.

3.5 Sichtbarkeit für andere

Deine Fotos, dein Anzeigename, deine Reaktionen und Bewertungen sind für die Mitglieder desselben Hunts sichtbar, das ist der Zweck des Spiels. Wenn du Standortdaten freigegeben hast und der Host die gemeinsame Karte aktiviert hat, sehen die Mitglieder die Verortung deiner Fotos auf dieser Karte.

Außerhalb eines gemeinsamen Hunts sind deine Inhalte für andere nicht zugänglich.

3.6 Speicherdauer und Löschung

Wir speichern deine Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist:

„Solange du die App nutzt" bedeutet: Eine automatische Löschung bei längerer Inaktivität ist derzeit nicht vorgesehen. Du kannst dein Konto und alle Daten aber jederzeit selbst in der App löschen („Konto und Daten löschen"). Dabei werden deine Inhalte sofort für Mitspieler:innen unsichtbar. Aus Gründen der Missbrauchs- und Rechtsverstoß-Prävention bewahren wir die Daten anschließend für 30 Tage auf und löschen sie danach endgültig und unwiderruflich (einschließlich gespeicherter Fotos). Aus rollierenden Sicherungskopien werden gelöschte Daten spätestens mit dem Ablauf des Backup-Zyklus (derzeit innerhalb von 14 Tagen) entfernt.

3.7 Pflicht zur Bereitstellung

Du bist gesetzlich oder vertraglich nicht verpflichtet, uns deine Daten bereitzustellen. Für die Nutzung der App sind allerdings einige Angaben technisch erforderlich:

• Geräte-Kennung (anonym): zwingend erforderlich für die Anmeldung. Ohne kannst du die App nicht nutzen.
• Geburtsdatum: zwingend erforderlich für die Mindestalter-Prüfung. Ohne kannst du die App nicht nutzen.
• Anzeigename: erforderlich, damit Mitspieler:innen dich im Hunt erkennen.
• Push-Berechtigung, Kamerazugriff, Galerie-Zugriff, Standortdaten, E-Mail-Adresse: freiwillig. Du kannst die App ohne diese Berechtigungen nutzen; einzelne Komfortfunktionen (Push-Benachrichtigungen, eigene Fotos, gemeinsame Karte, Konto auf weiteren Geräten) stehen dann allerdings nicht oder nur eingeschränkt zur Verfügung.

3.8 Automatisierte Entscheidungen und Profiling

Es findet keine automatisierte Entscheidung im Einzelfall im Sinne von Art. 22 DSGVO statt. Es findet kein Profiling im Sinne von Art. 4 Nr. 4 DSGVO statt.

Die App ermittelt für hochgeladene Fotos automatisch die dominante Farbe und nutzt diese Information als spielerisches Feedback im Raster. Diese Auswertung entfaltet keine rechtliche Wirkung und beeinträchtigt dich nicht in vergleichbarer Weise. Insbesondere wird ein Foto-Upload nicht durch das Ergebnis der Farberkennung verhindert oder beschränkt.

3.9 Sicherheit der Verarbeitung

Wir treffen geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO, um deine Daten vor Verlust, Missbrauch und unbefugtem Zugriff zu schützen. Dazu zählen insbesondere eine durchgängige Transportverschlüsselung (TLS/HTTPS), das Hosting in der Europäischen Union sowie restriktive Zugriffskontrollen, die sicherstellen, dass deine Inhalte nur berechtigten Mitspieler:innen zugänglich sind. Wir überprüfen unsere Maßnahmen regelmäßig und passen sie dem Stand der Technik an.

3.10 Kinder und Jugendliche

Spottera richtet sich an Personen ab 16 Jahren. Personen unter 16 Jahren dürfen die App nicht nutzen. Bereits beim ersten Start prüfen wir das Mindestalter über die Eingabe des Geburtsdatums (Age-Gate). Wir verarbeiten wissentlich keine personenbezogenen Daten von Kindern unter 16 Jahren.

Wird uns bekannt, dass ein Konto unter falscher Altersangabe von einer Person unter 16 Jahren angelegt wurde, sperren wir das Konto und löschen die zugehörigen Daten innerhalb der oben beschriebenen Fristen. Eltern oder Sorgeberechtigte, die einen entsprechenden Verdacht haben, können sich formlos unter hallo@spottera.app an uns wenden; wir prüfen den Fall vertraulich und veranlassen die Sperrung und Löschung umgehend.

3.11 Deine Rechte

Als betroffene Person hast du uns gegenüber die folgenden Rechte:

• Auskunft (Art. 15 DSGVO) über die zu deiner Person gespeicherten Daten.
• Berichtigung unrichtiger Daten (Art. 16 DSGVO).
• Löschung (Art. 17 DSGVO).
• Einschränkung der Verarbeitung (Art. 18 DSGVO).
• Datenübertragbarkeit (Art. 20 DSGVO): Erhalt deiner Daten in einem strukturierten, gängigen, maschinenlesbaren Format.
• Widerspruch gegen Verarbeitungen, die auf einem berechtigten Interesse beruhen (Art. 21 DSGVO).
• Mitteilung an Empfänger (Art. 19 DSGVO): Soweit wir deine Daten an Empfänger weitergegeben haben, teilen wir diesen jede Berichtigung, Löschung oder Einschränkung deiner Daten mit, es sei denn, dies erweist sich als unmöglich oder ist mit unverhältnismäßigem Aufwand verbunden.

Für die Ausübung deiner Rechte aus Art. 15 (Auskunft) und Art. 20 (Übertragbarkeit) steht dir in der App ein Datenexport im Self-Service zur Verfügung („Deine Daten exportieren"). Die Löschung kannst du ebenfalls direkt in der App auslösen („Konto und Daten löschen"). Für die übrigen Rechte genügt eine formlose Nachricht an hallo@spottera.app.

Widerruf von Einwilligungen (Art. 7 Abs. 3 DSGVO): Soweit eine Verarbeitung auf deiner Einwilligung beruht (insbesondere Push-Benachrichtigungen, Kamerazugriff, Galerie-Zugriff, Standortdaten, E-Mail-Versand bei Konto-Sicherung), kannst du diese jederzeit mit Wirkung für die Zukunft widerrufen. Den Widerruf erklärst du am einfachsten in der App (Einstellungen bzw. der Schalter „Standort teilen" im jeweiligen Hunt) und/oder in den Systemeinstellungen deines Geräts (Berechtigungen). Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt vom Widerruf unberührt.

Beschwerderecht bei einer Aufsichtsbehörde (Art. 77 DSGVO): Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung deiner personenbezogenen Daten zu beschweren. Die für uns zuständige Aufsichtsbehörde ist:

Du kannst dich aber auch an die Aufsichtsbehörde deines üblichen Aufenthaltsorts oder Arbeitsplatzes wenden.

3.12 Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, wenn sich die zugrunde liegende Verarbeitung ändert oder neue rechtliche Vorgaben dies erfordern. Sollten wir Daten für andere als die hier genannten Zwecke weiterverarbeiten wollen, informieren wir dich vor dieser Weiterverarbeitung gemäß Art. 13 Abs. 3 DSGVO. Die jeweils aktuelle Fassung findest du unter https://spottera.app/datenschutz.html.

Stand: 16. Juni 2026