Datenschutzerklärung

Wir nehmen den Schutz deiner personenbezogenen Daten ernst. Diese Datenschutzerklärung informiert dich darüber, welche Daten wir bei der Nutzung der FoxRide App und der zugehörigen Webdienste (foxride.app, routes.foxride.app) verarbeiten, zu welchem Zweck und auf welcher Rechtsgrundlage. Sie folgt den Vorgaben der EU-Datenschutz-Grundverordnung (DSGVO) und des österreichischen Datenschutzgesetzes (DSG).

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der DSGVO ist:

2. Welche Daten wir verarbeiten

Je nachdem, wie du FoxRide nutzt, verarbeiten wir unterschiedliche Datenkategorien. Für jede Kategorie nennen wir Zweck und Rechtsgrundlage.

2.1 Account-Daten

Was: E-Mail-Adresse, Name (optional), Anzeigename, Username, gewählte Sprache, gehashtes Passwort. Bei Login: Zeitstempel, IP-Adresse (zur Missbrauchserkennung).

Zweck: Bereitstellung deines Nutzerkontos, Anmeldung, Lizenzverwaltung, Synchronisation deiner Daten zwischen Geräten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Ohne diese Daten können wir dir kein Konto bereitstellen.

2.2 Workout- und Gesundheitsdaten

Was: Aufgezeichnete Workouts mit GPS-Tracks, Distanz, Geschwindigkeit, Höhenmeter, Herzfrequenz (von Apple Health oder verbundenen Sensoren), Trittfrequenz, Leistung (von verbundenen Sensoren), Trainingseffort. Optional: Ghost-Daten (Geister-Vergleichsläufe deiner eigenen früheren Workouts).

Zweck: Workout-Aufzeichnung in der App, Anzeige in deinem Profil, Cloud-Synchronisation auf andere Geräte (nur wenn du Cloud-Sync aktiv eingeschaltet hast).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung) für Gesundheitsdaten wie Herzfrequenz und Trainingseffort.

Wichtig: Herzfrequenz und Trainingseffort sind Gesundheitsdaten im Sinne von Art. 9 DSGVO und genießen besonderen Schutz. Du erteilst die Einwilligung, indem du Apple Health-Zugriff freigibst und/oder einen Herzfrequenz-Sensor verbindest. Ohne diese Einwilligung erfasst FoxRide diese Daten nicht.

2.3 Routen-Daten

Was: Selbst geplante Routen mit Wegpunkten, Streckenname, Distanz, Höhenprofil, optional Notizen. Im RoutePlanner: Standortabfragen für Geocoding (Adresssuche).

Zweck: Speicherung deiner Routen, Anzeige im RoutePlanner und in der App, Cloud-Sync (nur wenn aktiviert).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

2.4 Rechnungs- und Zahlungsdaten

Was: Bei Lizenzkauf über die Website: Vor- und Nachname, Rechnungsadresse, E-Mail, Land. Zahlungsdaten (Kreditkarte, PayPal, etc.) verarbeitet ausschließlich unser Zahlungsdienstleister Mollie B.V. — wir speichern keine Kartendaten.

Zweck: Vertragsabwicklung, Rechnungsstellung, Erfüllung gesetzlicher Aufbewahrungspflichten (UGB, BAO).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) für Aufbewahrung.

2.5 Support- und Feedback-Daten

Was: Wenn du uns über das Kontaktformular oder per E-Mail kontaktierst: Name, E-Mail, Inhalt der Nachricht. In der App: Feedback-Texte, optionale technische Kontextdaten (App-Version, iOS-Version, Geräte-Modell).

Zweck: Bearbeitung deiner Anfrage, Verbesserung der App.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche bzw. vertragliche Maßnahmen) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Produktverbesserung).

2.6 Newsletter

Was: E-Mail-Adresse, Anmeldedatum, Bestätigungsdatum (Double-Opt-In), Sprachpräferenz.

Zweck: Versand des FoxRide-Newsletters mit Produktneuigkeiten, Tipps, Updates.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Du kannst den Newsletter jederzeit am Ende jeder E-Mail oder durch Nachricht an [email protected] abbestellen.

3. iOS App — Berechtigungen und lokale Daten

Die FoxRide iOS App nutzt mehrere Systemberechtigungen. Alle werden im Onboarding einzeln per Tap angefragt — keine Berechtigung wird automatisch beim App-Start aktiviert. Lehnst du eine Berechtigung ab, funktionieren entsprechende Funktionen nicht oder eingeschränkt. Pro Berechtigung erläutern wir nachfolgend: was wir konkret zugreifen, wofür wir es brauchen, wo die Daten gespeichert werden und ob sie an FoxRide-Server übertragen werden.

3.1 Apple Health (HealthKit)

Was wir zugreifen: Lesend: Herzfrequenz (z.B. von Apple Watch), bestehende Workouts. Schreibend: deine FoxRide-Workouts mit Typ (Cycling), Distanz, Dauer, Energieverbrauch, durchschnittlicher Herzfrequenz, Leistung, Trittfrequenz, Routen-Track und (ab iOS 18) Trainingseffort.

Wofür: Anzeige der Live-Herzfrequenz während der Fahrt; Speichern abgeschlossener Workouts in Apple Health, damit sie in der Fitness-App und in Drittanbieter-Apps verfügbar bleiben.

Wo gespeichert: Ausschließlich lokal auf deinem Gerät in Apple Health. Optional verschlüsseltes Cloud-Backup über unseren Server, wenn du Cloud-Sync für Workouts aktiviert hast.

Übertragung an FoxRide-Server: Gelesene Daten (Herzfrequenz, bestehende Workouts) werden NICHT übertragen. Geschriebene Workouts werden NUR an FoxRide-Server übertragen, wenn du Cloud-Sync explizit aktiviert hast. Apple Health-Zugriff kannst du jederzeit unter iOS-Einstellungen → Datenschutz → Health entziehen.

3.2 Standort (GPS)

Was wir zugreifen: GPS-Koordinaten (Breite, Länge, Höhe, Geschwindigkeit, Genauigkeit) während aktiver Workout-Aufzeichnung oder Navigation. Es gibt zwei Stufen: "Beim Verwenden der App" (für Karten-Anzeige und Routenplanung) und "Immer" (zusätzlich für Workout-Aufzeichnung im Hintergrund + Auto-Pause).

Wofür: Workout-Tracking (lückenloser GPS-Track auch bei gesperrtem Display), Navigation entlang einer geplanten Route, Auto-Pause-Erkennung bei Stillstand, Anzeige der aktuellen Position auf der Karte.

Wo gespeichert: GPS-Tracks werden lokal auf deinem Gerät gespeichert. Optional verschlüsseltes Cloud-Backup, wenn Cloud-Sync für Workouts aktiviert ist. Beim öffentlichen Teilen eines Workouts (Community) wird der Track als öffentlich abrufbare Ansicht auf unseren Servern gespeichert.

Übertragung an FoxRide-Server: Übertragung an FoxRide-Server NUR wenn du Cloud-Sync aktivierst oder ein Workout/eine Route bewusst teilst. Während der Aufzeichnung verlassen die Daten dein Gerät nicht.

3.3 Bluetooth (BLE-Sensoren)

Was wir zugreifen: Verbindungsaufbau zu Bluetooth-Low-Energy-Sensoren: Powermeter (z.B. 4iiii, Stages), Shimano Di2-Schaltungen, Speed/Cadence-Sensoren, Herzfrequenz-Gurte. Wir lesen die Sensorwerte (Watt, Schaltstufe, Trittfrequenz, Geschwindigkeit, Herzfrequenz) live aus.

Wofür: Live-Anzeige der Sensordaten auf deinen Dashboards während einer Fahrt; Aufzeichnung der Werte als Teil des Workouts.

Wo gespeichert: Pairing-Informationen (Gerätenamen, MAC-Adressen, letzte Verbindung) werden lokal in der App gespeichert. Aufgezeichnete Sensorwerte landen im jeweiligen Workout.

Übertragung an FoxRide-Server: Pairing-Daten werden NICHT an unsere Server übertragen. Sensorwerte werden nur übertragen, wenn das zugehörige Workout via Cloud-Sync hochgeladen wird.

3.4 Bewegungsdaten (CoreMotion)

Was wir zugreifen: Bewegungssensoren des iPhones (Beschleunigung, Gyroskop). Wir lesen Bewegungsmuster, KEINE detaillierten Sensordaten als Rohwerte.

Wofür: Workout-Auto-Detection — die App erkennt automatisch, wenn du aufs Rad steigst und schlägt das Starten eines Workouts vor. Verbesserung der Aktivitätserkennung (Pause / Fahrt).

Wo gespeichert: Verarbeitung erfolgt ausschließlich lokal auf dem Gerät, kein Logging der Rohdaten.

Übertragung an FoxRide-Server: KEINE Übertragung an FoxRide-Server.

3.5 Apple Music (Media Library)

Was wir zugreifen: Lese-/Steuerungszugriff auf die aktuell auf deinem Gerät laufende Wiedergabe (Apple Music oder Mediathek). Wir lesen Titel, Interpret, Albumcover des aktuellen Tracks.

Wofür: Music-Steuerung während eines Workouts direkt aus FoxRide heraus (Play/Pause/Skip/Vorheriger Titel) sowie Anzeige des aktuellen Tracks im Workout-Screen.

Wo gespeichert: Keine Speicherung, nur Live-Anzeige im Workout-Kontext.

Übertragung an FoxRide-Server: KEINE Übertragung an FoxRide-Server.

3.6 Kamera

Was wir zugreifen: Zugriff auf die Kamera, wenn du in der Bike-Garage ein Foto deines Rades aufnimmst.

Wofür: Aufnahme von Fotos deiner Räder für die Bike-Garage (z.B. Profilbild eines Bikes). Wir öffnen die Kamera nur, wenn du den entsprechenden Button antippst.

Wo gespeichert: Aufgenommene Fotos werden lokal in der App gespeichert. Optional verschlüsseltes Cloud-Backup über unseren Server, wenn Cloud-Sync für Bikes aktiviert ist.

Übertragung an FoxRide-Server: Übertragung an FoxRide-Server NUR wenn Cloud-Sync für Bikes aktiviert ist. Sonst bleiben Fotos ausschließlich auf deinem Gerät.

3.7 Foto-Mediathek (Add-Only)

Was wir zugreifen: Schreibender Zugriff zum Hinzufügen von Bildern. Wir lesen KEINE bestehenden Fotos aus deiner Mediathek.

Wofür: Speichern von Workout-Share-Grafiken (z.B. dein Tour-Statistik-Bild) in deiner Foto-Mediathek, damit du sie in Social-Media-Apps teilen kannst. Wird nur auf dein explizites Tippen ausgelöst.

Wo gespeichert: Bilder landen direkt in deiner iOS-Foto-Mediathek. Wir behalten KEINE Kopie auf unseren Servern.

Übertragung an FoxRide-Server: KEINE Übertragung an FoxRide-Server.

3.8 Push-Benachrichtigungen

Was wir zugreifen: Apple Push Notification Service (APNs) Device-Token (alphanumerischer Identifier deines Geräts für Push).

Wofür: Senden von Benachrichtigungen über Likes, Kommentare, neue Follower oder System-Hinweise (z.B. Lizenz-Status).

Wo gespeichert: Device-Token wird mit deinem User-Account auf unserem Server in Österreich verknüpft. Benachrichtigungen werden über Apple APNs zugestellt.

Übertragung an FoxRide-Server: JA — Device-Token wird an unseren Server übertragen, sobald du Push-Benachrichtigungen aktivierst. Du kannst Push jederzeit pro Kategorie in der App oder global in iOS-Einstellungen deaktivieren.

3.9 Cloud-Synchronisation

Cloud-Sync ist standardmäßig DEAKTIVIERT. Beim ersten Login fragen wir dich, ob du ihn aktivieren möchtest. Wenn aktiviert, synchronisiert die App pro Modul (Workouts, Dashboards, Bikes, Sensoren, Routen, Ghost-Daten) auf unsere Server in Österreich. Du kannst Cloud-Sync jederzeit unter Einstellungen → Cloud & Sicherung global oder pro Modul deaktivieren — bestehende Cloud-Daten bleiben erhalten, bis du sie explizit löschst.

3.10 Crash-Reports

Bei einem App-Absturz speichert FoxRide einen lokalen Bericht (Stack-Trace, App-Version, Geräte-Modell, iOS-Version, letzte 50 Log-Einträge). Dieser Bericht wird NUR übermittelt, wenn du beim nächsten App-Start auf "Senden" tippst. Wir übermitteln keine personenbezogenen Identifikatoren wie Name oder E-Mail — bei eingeloggtem User trägt jedoch der Auth-Header deines Accounts die Anfrage.

3.11 Datenkategorien (Apple Privacy Nutrition Labels)

Apple verlangt im App Store eine Kategorisierung der Daten, die eine App verarbeitet. Hier eine Übersicht analog zu den Apple Privacy Nutrition Labels:

• Health & Fitness: Herzfrequenz, Workouts (Cycling), Distanz, Dauer, Kalorien, Leistung, Trittfrequenz. Quelle: Apple Health (mit deiner Einwilligung), BLE-Sensoren. Übertragung: nur bei aktivem Cloud-Sync.
• Standort: GPS-Tracks während Workouts und Navigation. Übertragung: nur bei aktivem Cloud-Sync oder explizitem Teilen.
• Nutzerinhalte: Bikes (Name, Foto, Komponenten), Workouts (Titel, Notiz), Routen (Name, Wegpunkte), Ghost-Daten (Geister-Track für Vergleichsfahrten). Übertragung: nur bei aktivem Cloud-Sync.
• Identifikatoren: Eindeutige User-ID (intern), E-Mail (für Account), APNs Device-Token (bei aktiviertem Push). Wir nutzen KEINE Werbe-IDs (IDFA) und tracken NICHT über Apps oder Websites hinweg.
• Diagnosedaten: Crash-Reports (nur wenn du auf "Senden" tippst), Performance-Logs (lokal). Keine automatische Übertragung.

4. Empfänger / Auftragsverarbeiter

Folgende Drittanbieter erhalten in unserem Auftrag Zugriff auf personenbezogene Daten. Mit allen bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO.

4.1 Server-Hosting

Unsere API (api.foxride.app), Website (foxride.app), AdminBackend, RoutePlanner sowie alle Datenbank-Inhalte (Accounts, Workouts, Routen) werden auf Servern in Österreich betrieben. Standort: Hetzner Online GmbH, Standort Falkenstein (DE) bzw. Datacenter in Wien. Server werden ausschließlich vom Verantwortlichen (Pocket Systems e.U.) administriert.

4.2 CDN für statische Inhalte

Für Bilder, Icons und CSS/JS nutzen wir Cloudflare R2 (cdn.foxride.app). Beim Abruf wird deine IP-Adresse vorübergehend an Cloudflare übertragen. Cloudflare ist nach EU-Standardvertragsklauseln gebunden.

4.3 E-Mail-Versand

Transaktions-Mails (Bestätigungs-Mails, Passwort-Reset, Newsletter, Rechnungen) versenden wir über Proton Mail (Proton AG, Schweiz). Die Schweiz hat ein Angemessenheitsbeschluss der EU-Kommission, daher gilt sie als sicheres Drittland.

4.4 Zahlungsabwicklung

Bei Lizenzkauf über die Website wickelt Mollie B.V. (Niederlande) die Zahlung ab. Wir geben Mollie nur die für die Zahlung notwendigen Daten weiter (Kaufbetrag, Bestellnummer, E-Mail). Karten- oder Kontodaten verarbeitet ausschließlich Mollie, wir speichern sie nicht. Es gilt die Datenschutzerklärung von Mollie.

4.5 Apple Inc.

Bei App-Kauf, In-App-Kauf, TestFlight oder Push-Benachrichtigungen werden Daten an Apple Inc. (USA) übertragen. Apple ist nach dem EU-US Data Privacy Framework zertifiziert. Es gilt die Datenschutzerklärung von Apple.

4.6 Routing & Geocoding

Routenplanung läuft auf unserem eigenen BRouter-Server in Österreich. Adresssuche (Geocoding) und Karten-Tiles werden über OpenStreetMap-basierte Dienste bezogen, aktuell Nominatim (OpenStreetMap Foundation, EU). Bei jeder Suchanfrage wird eine technische IP-Adresse an den jeweiligen Dienst übertragen.

5. Cookies und ähnliche Technologien

Wir setzen ausschließlich technisch notwendige bzw. funktionale Cookies ein. Wir setzen KEINE Tracking- oder Werbe-Cookies. Eine Einwilligung über ein Cookie-Banner ist daher nicht erforderlich (§ 165 Abs. 3 TKG 2021).

Du kannst Cookies in deinem Browser deaktivieren oder löschen. Beachte, dass dann Login und Sprachpersistenz nicht mehr funktionieren.

6. Webanalyse (Plausible)

Auf foxride.app nutzen wir Plausible Analytics (selbstgehostet auf analytics.pocket-systems.com). Plausible erfasst Seitenaufrufe ohne Cookies, ohne Cross-Site-Tracking, ohne IP-Speicherung und ohne Fingerprinting. Wir sehen aggregierte Statistiken (Anzahl der Besucher, beliebte Seiten, ungefähres Land), niemals einzelne Personen. Plausible ist DSGVO-konform und erfordert keine Einwilligung.

6a. Bio-Link-Klick-Tracking

Zweck: Wenn du auf einen Link auf foxride.app/links klickst, erfassen wir den Slot (z.B. App Store, Routenplaner, Instagram), die UTM-Parameter (woher der Klick kommt, z.B. Instagram), Zeitstempel und einen pseudonymisierten Hash deiner IP-Adresse. Ziel ist die Messung, welche Marketing-Kanäle Reichweite generieren — wir sehen aggregierte Klick-Zahlen, niemals einzelne Personen.

Pseudonymisierung: Der IP-Hash wird mit einem täglich rotierenden Salt erstellt (HMAC-SHA256). Nach 24 Stunden ist die Re-Identifikation technisch unmöglich — die Daten gelten ab diesem Zeitpunkt als anonymisiert (kein Personenbezug mehr). Es wird kein User-Identifikator und keine Browser-Fingerprint-Information gespeichert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Marketing-Effektivitäts-Messung). Eine Einwilligung ist nicht erforderlich, da keine Tracking-Cookies gesetzt werden und die Daten nach 24h technisch anonym sind.

Speicherdauer: Klick-Daten werden nach 12 Monaten gelöscht. Der tagesrotierende Salt selbst wird nicht persistiert — ältere Hashes können nicht mehr auf eine IP zurückgeführt werden, sobald der Tagessalt rotiert ist.

Recht auf Löschung: Da kein User-Identifikator gespeichert wird, ist eine individuelle Löschung einzelner Klick-Datensätze technisch nicht möglich. Nach 24 Stunden ist eine Re-Identifikation ohnehin ausgeschlossen, sodass eine Löschung weder erforderlich noch sinnvoll wäre.

7. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen.

• Account-Daten und User-Inhalte (Workouts, Routen, Bikes, Dashboards): bis zur Löschung des Accounts auf deinen Wunsch. Die Löschung erfolgt unverzüglich.
• Cloud-synchronisierte Workouts und Routen: bis du sie einzeln oder in Bulk löschst, oder bis Account-Löschung.
• Rechnungs- und Zahlungsdaten: 7 Jahre (gesetzliche Aufbewahrungspflicht nach § 132 BAO und § 212 UGB).
• Support-Anfragen: bis zur Klärung des Anliegens, danach gelöscht oder anonymisiert.
• Newsletter-Anmeldung: bis zur Abmeldung. Nach Abmeldung wird deine E-Mail noch maximal 30 Tage in einer Sperrliste behalten, um versehentliche Wieder-Anmeldungen abzuwehren.
• Server-Logs (Zugriffsprotokolle): maximal 14 Tage.

8. Datenübermittlung in Drittländer

Eine Datenübermittlung in Drittländer außerhalb der EU/EWR erfolgt nur im Rahmen der oben genannten Auftragsverarbeiter (insbesondere Apple Inc. in den USA und Cloudflare). Die Übermittlung ist abgesichert durch Angemessenheitsbeschlüsse der EU-Kommission (USA: EU-US Data Privacy Framework), Standardvertragsklauseln (Art. 46 DSGVO) und/oder deine Einwilligung (Art. 49 DSGVO).

9. Deine Rechte

Du hast jederzeit folgende Rechte uns gegenüber:

• Auskunft (Art. 15 DSGVO): Du kannst eine Kopie aller personenbezogenen Daten anfordern, die wir über dich verarbeiten.
• Berichtigung (Art. 16 DSGVO): Unrichtige Daten kannst du selbst in deinem Profil ändern oder uns zur Korrektur melden.
• Löschung (Art. 17 DSGVO): Du kannst die Löschung deiner Daten verlangen. Die Löschung deines Accounts kannst du direkt in der App unter Einstellungen → Account oder per E-Mail an uns auslösen.
• Einschränkung (Art. 18 DSGVO): Du kannst die Einschränkung der Verarbeitung verlangen — wir speichern die Daten dann weiter, verarbeiten sie aber nicht mehr aktiv.
• Datenübertragbarkeit (Art. 20 DSGVO): Du kannst deine Daten in einem strukturierten, gängigen Format (JSON, GPX) erhalten und an einen anderen Anbieter übermitteln. Workouts kannst du bereits in der App als GPX exportieren.
• Widerspruch (Art. 21 DSGVO): Bei Verarbeitung auf Basis berechtigter Interessen kannst du jederzeit aus Gründen, die sich aus deiner besonderen Situation ergeben, widersprechen.
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Eine erteilte Einwilligung (z.B. für Newsletter, HealthKit, Cloud-Sync) kannst du jederzeit mit Wirkung für die Zukunft widerrufen — die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Zur Ausübung deiner Rechte erreichst du uns unter: [email protected]

10. Beschwerderecht

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, wenn du der Ansicht bist, dass wir deine Daten unrechtmäßig verarbeiten. Zuständige Behörde in Österreich:

11. Automatisierte Entscheidungsfindung

Wir setzen keine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO und kein Profiling mit rechtlicher Wirkung gegen dich ein.

12. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich Datenverarbeitungen, Drittanbieter oder gesetzliche Vorgaben ändern. Die jeweils aktuelle Version findest du immer auf dieser Seite. Bei wesentlichen Änderungen informieren wir dich aktiv (z.B. per E-Mail oder In-App-Hinweis).