Datenschutz­erklärung

01Verantwortlicher

Verantwortlich im Sinne der DSGVO:

02Überblick

KFZetti ist ein Sammelspiel für deutsche Kfz-Kennzeichen. Für die Nutzung ist ein Konto erforderlich. Wir verarbeiten nur die Daten, die für Konto und Spielbetrieb nötig sind. Die App zeigt keine Werbung, nutzt kein Tracking und keine Analyse- oder Werbe-SDKs.

Für diese Website (kfzetti.app) nutzen wir Google Analytics, um zu sehen, welche Seiten gelesen werden. Das geschieht nur mit deiner Einwilligung; ohne sie wird nichts davon geladen (siehe Abschnitt 06).

03Welche Daten wir verarbeiten

Kontodaten (bei Registrierung)

• E-Mail-Adresse
• Anzeigename / Name
• Passwort (ausschließlich als kryptografischer Hash gespeichert, nie im Klartext)
• alternativ „Mit Google anmelden“ oder „Mit Apple anmelden“: eine anbieterspezifische Konto-ID, E-Mail-Adresse und gegebenenfalls Anzeigename. Bei Apple kann dies eine von Apple bereitgestellte Weiterleitungsadresse sein; dein Google- oder Apple-Passwort erhalten wir nicht

Spieldaten (bei Nutzung)

• gesammelte Kennzeichen-Kürzel und Spielfortschritt (XP, Level, Streak, Orden)
• Freunde-Code und bestehende Freundschaften bzw. offene Anfragen (siehe Abschnitt 04)

Technische Daten (Betrieb & Sicherheit)

• IP-Adresse und Zeitstempel von Anfragen (z. B. zur Missbrauchs- und Rate-Limit-Abwehr)
• Geräte-Token für Benachrichtigungen; Registrierung ab Version 1.9.0 erst nach Einschalten, Unterschiede bei älteren Versionen siehe Abschnitt 05

Wir fragen keinen Gerätestandort, keine Werbe-ID und keine Kontakte ab. Kamerabilder verarbeitet der Scanner lokal; Fotos werden in der regulären App nicht gespeichert oder hochgeladen. Lokale App-Dateien speichern unter anderem deinen Spielstand und technische Scan-Diagnosen.

Kamera und lokale Scan-Diagnose

Der Scan-Modus braucht deine Kamera-Erlaubnis. Android erkennt den Text mit Google ML Kit auf dem Gerät, iOS mit Apple Vision. Die Bildauswertung erfolgt lokal. Wir laden keine Kamerabilder auf unsere Server hoch. Ein gesammeltes Herkunftskürzel – etwa „LB“, nicht das vollständige Kennzeichen – wird zusammen mit Fundzeit und Spielfortschritt mit deinem KFZetti-Konto synchronisiert.

Für die Fehlersuche hält die App eine begrenzte lokale Textdiagnose im App-Speicher vor: App-Version, Gerätemodell beziehungsweise Systemversion, Sitzungszeit, Auflösung, Laufzeiten und technische Zähler zur Erkennung. Ab Version 1.9.0 enthält diese Diagnose keinen erkannten Text. Ältere Versionen konnten Textausschnitte fehlgeschlagener Erkennungen speichern. Beim Update auf 1.9.0 wird die alte Diagnose verworfen; dein Album bleibt erhalten.

Der Bericht wird nicht automatisch übertragen. Du kannst ihn in den Einstellungen zurücksetzen oder bewusst über den Teilen-Dialog deines Betriebssystems an einen von dir gewählten Empfänger senden. Dann gelten zusätzlich dessen Datenschutzbedingungen. Beim Deinstallieren beziehungsweise Löschen der App-Daten wird auch die lokale Diagnose entfernt.

04Freundinnen und Freunde

Das Freundinnen-Feature ist freiwillig. Wer es nutzt, macht einen Teil des eigenen Profils für die verbundenen Konten sichtbar – und nur für die.

Freunde-Code

Jedes Konto erhält beim Anlegen einen festen Freunde-Code (Beispiel: „MARA 42"). Er entsteht aus dem Anzeigenamen und Zufallsziffern, ist nicht änderbar und dient allein dazu, gefunden zu werden. Du entscheidest, wem du ihn gibst: als Code, als QR-Code oder als Einladungslink kfzetti.app/f/<Code>. Wer den Code kennt, kann dir eine Anfrage schicken – verbunden seid ihr erst, wenn du sie annimmst.

Was verbundene Konten sehen

• Anzeigename und Nutzername
• Level und Anzahl gesammelter Kennzeichen
• die zuletzt gefangenen Kürzel
• wann du diese Kürzel gefangen hast – Datum und Uhrzeit
• den XP-Stand in eurer gemeinsamen Rangliste

Bei einer offenen Anfrage sieht die angefragte Person dieselben Angaben, zusätzlich die Anzahl gemeinsamer Freundinnen und Freunde – damit sie einschätzen kann, wen sie da annimmt. E-Mail-Adresse und Kontodaten sind nie sichtbar, Standortdaten gibt es gar nicht.

Beenden

Du kannst eine Anfrage ablehnen oder zurückziehen und eine bestehende Freundschaft jederzeit in der App beenden. Der gegenseitige Einblick entfällt damit sofort; die Verbindung wird gelöscht, nicht nur verborgen. Eine abgelehnte Anfrage sieht die andere Person nicht.

05Benachrichtigungen (Push)

Benachrichtigungen sind standardmäßig aus. Schaltest du sie in den Einstellungen ein, meldet die App ein Gerätekennzeichen (FCM-Registrierungs-Token) bei uns an. Wir verknüpfen es mit deinem Konto und nutzen es ausschließlich für diese Nachrichten:

• eine neue Freundschaftsanfrage
• jemand hat dich in eurer Rangliste überholt
• die Person direkt hinter dir hat aufgeholt
• eine Zusammenfassung, was im Freundeskreis gesammelt wurde
• Ankündigungen von uns zur App

Jede dieser Arten lässt sich einzeln abschalten, unter Profil → Einstellungen → Benachrichtigungen. Die beiden Zusammenfassungen entstehen gebündelt und enthalten Namen aus deinem Freundeskreis, die Anzahl ihrer Funde und den Punkteabstand – also dieselben Angaben, die du in der Rangliste ohnehin siehst. Welche Kennzeichen jemand gefangen hat, steht nicht darin.

Zugestellt wird über Firebase Cloud Messaging (Google Ireland Limited / Google LLC). Google verarbeitet dafür das Gerätekennzeichen, eine Firebase-Installations-ID und technische Angaben wie die App-Version. Analyse- und Werbefunktionen von Firebase setzen wir nicht ein – die App enthält kein Analytics-SDK. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Auf dem iPhone erfolgt die Zustellung zusätzlich über den Apple Push Notification service (APNs). Ab Version 1.9.0 startet die Registrierung bei Firebase beziehungsweise APNs erst nach deinem Push-Opt-in. Frühere Versionen konnten schon beim Start einen Firebase-Token erzeugen.

Du kannst den Hauptschalter jederzeit wieder umlegen oder die Erlaubnis in den Android- beziehungsweise iOS-Einstellungen entziehen. Beim Ausschalten werden Nachrichten für dein Konto deaktiviert; die App fordert außerdem die Abmeldung ihres Tokens an. Das erfordert eine Netzwerkverbindung. Beim Abmelden versucht sie ebenfalls, den Token vor dem Entfernen der Sitzung abzumelden. Ungültige Token entfernen wir serverseitig. Die Systemerlaubnis allein ändert deine KFZetti-Kontoeinstellung nicht.

06Website-Analyse mit Google Analytics

Auf kfzetti.app nutzen wir Google Analytics 4 von Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Damit sehen wir, wie viele Menschen die Website besuchen, welche Seiten sie lesen und woher sie kommen. Die App selbst enthält kein Google Analytics.

Nur mit Einwilligung

Beim ersten Besuch fragen wir, ob wir mitzählen dürfen. Erst wenn du „Zulassen“ wählst, lädt dein Browser das Skript von Google und Cookies werden gesetzt. Lehnst du ab oder entscheidest du dich gar nicht, geht keine Analytics-Anfrage an Google. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Deine Wahl speichern wir im lokalen Speicher deines Browsers (localStorage), damit wir nicht bei jedem Aufruf neu fragen müssen. Zustimmung und Ablehnung gelten gleich lange: Nach 6 Monaten fragen wir neu. Bis du dann wieder zustimmst, lädt die Seite kein Google Analytics, und wir löschen die Analytics-Cookies in deinem Browser.

Welche Daten

• aufgerufene Seiten, Verweildauer und die Seite, von der du kommst
• Klicks zu offiziellen Besuchs- und Zulassungsangeboten sowie zu den App-Stores; dabei erfassen wir die Linkart, gegebenenfalls das Kennzeichenkürzel und die Zieldomain
• Gerätetyp, Betriebssystem, Browser, Bildschirmgröße und Sprache
• ungefährer Standort (Land, Region, Stadt), abgeleitet aus der IP-Adresse
• eine zufällige Kennung in den Cookies _ga und _ga_…, mit der wiederkehrende Besuche als solche erkannt werden

Google Analytics 4 speichert laut Google keine IP-Adressen. Google-Signale und Werbefunktionen haben wir ausgeschaltet; die Daten werden nicht mit einem Google-Konto verknüpft und nicht für Werbung genutzt.

Empfänger und Übermittlung in die USA

Google verarbeitet die Daten als unser Auftragsverarbeiter. Dabei kann es zu einer Übermittlung an die Google LLC in den USA kommen. Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert; die Übermittlung stützt sich auf den Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).

Speicherdauer

Die Cookies laufen nach höchstens 2 Jahren ab. Die Auswertungsdaten in Google Analytics löschen wir nach 2 Monaten automatisch.

Widerruf

Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen: über „Cookie-Einstellungen“ ganz unten auf jeder Seite, dort „Ablehnen“ wählen. Wir löschen dann die Analytics-Cookies in deinem Browser und laden die Seite ohne Google Analytics neu.

Deine lokale Merkliste auf der Website

Wenn du bei einer Entdeckung „Merken“ wählst, speichern wir ihre Kennung im lokalen Speicher dieses Browsers unter kfzetti.discovery.saved.v1. Die Auswahl bleibt bis zum Entfernen des Eintrags oder Löschen der Website-Daten erhalten. Es gibt keine Synchronisierung mit einem Konto oder anderen Geräten.

Zum Anzeigen der aktuellen Beschreibungen fragt dein Browser diese Kennungen bei unserer Website ab. Wir legen dafür keine serverseitige Merkliste an und übermitteln die Auswahl nicht an Google oder andere Anbieter. Allgemeine technische Zugriffsdaten fallen wie bei anderen Website-Aufrufen an. Die Merkliste funktioniert unabhängig von deiner Entscheidung zur Reichweitenmessung.

Quiz, externe Links und Store-Buttons

Das Kennzeichen-Quiz wertet deine Antworten nur in der geöffneten Seite aus. Wir speichern oder übertragen weder Antworten noch Punktestand. Ein Seitenaufruf kann bei erteilter Analytics-Einwilligung wie oben beschrieben gezählt werden.

Karten, Suchmaschinen, Wikipedia, Behörden, Besuchsziele und App-Stores öffnen sich erst, wenn du ihrem Link folgst. Dabei erhält der jeweilige Anbieter technische Verbindungsdaten wie deine IP-Adresse; seine Datenschutzbedingungen gelten. Wir binden keine interaktive Google-Karte ein und rufen beim Besuch der Website keine Google-Places-API auf. Store-Badges und Illustrationen werden von unserer Website geladen.

07Zwecke und Rechtsgrundlagen (Art. 6 DSGVO)

08Empfänger / Auftragsverarbeiter

• Hosting: Hetzner Online GmbH, Deutschland (Server in der EU) – Auftragsverarbeitung (AVV).
• E-Mail-Versand: Resend (Resend, Inc., USA) – transaktionale E-Mails (z. B. Verifizierung); verarbeitet die Empfänger-E-Mail-Adresse ausschließlich zur Zustellung. Die Übermittlung in die USA wird durch die EU-Standardvertragsklauseln (SCC) abgesichert.
• Google-Anmeldung (optional): Google Ireland Ltd. / Google LLC, wenn der Nutzer den Google-Login wählt.
• Apple-Anmeldung (optional): Apple Distribution International Ltd. beziehungsweise Apple Inc., wenn du „Mit Apple anmelden“ wählst. Informationen dazu: Mit Apple anmelden und Datenschutz.
• Push-Zustellung auf iOS: zusätzlich Apple über APNs; verarbeitet werden das APNs-Gerätekennzeichen und die zur Zustellung nötigen Nachrichten- und Verbindungsdaten.
• Push-Zustellung (optional): Google Ireland Ltd. / Google LLC – Firebase Cloud Messaging. Der Registrierungszeitpunkt unterscheidet sich bei älteren App-Versionen; siehe Abschnitt 05. Verarbeitet werden Gerätekennzeichen, Firebase-Installations-ID und technische Angaben zur Zustellung; die Übermittlung in die USA wird durch die EU-Standardvertragsklauseln (SCC) abgesichert. Analyse- und Werbedienste von Firebase sind nicht eingebunden.
• Website-Analyse (optional): Google Ireland Ltd. / Google LLC – Google Analytics 4, nur auf kfzetti.app und nur nach deiner Einwilligung (siehe Abschnitt 06).

Zu Werbezwecken geben wir keine Daten weiter. Zu Analysezwecken nur auf der Website und nur mit deiner Einwilligung.

09Speicherdauer & Löschung

Wir speichern Konto- und Spieldaten, bis du dein Konto löschst. Du kannst dein Konto jederzeit selbst löschen:

• In der App: Profil → Konto → „Konto löschen" (löscht Konto und alle zugehörigen Daten unwiderruflich, technisch via DELETE /v1/me).
• Über das Web: per formloser E-Mail an robin@shroomlife.de – wir löschen dein Konto und alle zugehörigen Daten nach Prüfung deiner Berechtigung.

Nach Löschung werden die zugehörigen Daten entfernt – auch Freundschaften, offene Anfragen und angemeldete Geräte-Token; technische Log- und Sicherungsdaten werden im Rahmen gesetzlicher und technischer Fristen gelöscht.

10Sicherheit

Die Übertragung erfolgt verschlüsselt (HTTPS/TLS). Passwörter werden nur gehasht gespeichert. Der Session-Token liegt auf Android in einem vom Android-Keystore geschützten Speicher, auf iOS in der Keychain.

11Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (16), Löschung (17), Einschränkung (18), Datenübertragbarkeit (20) und Widerspruch (21) sowie das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77). Kontakt: siehe Abschnitt 01.

12Kinder

KFZetti richtet sich an Personen ab 16 Jahren und ist nicht für Kinder bestimmt.