Datenschutzerklärung

Zuletzt aktualisiert: 11. Oktober 2026

Diese Datenschutzerklärung erläutert, welche personenbezogenen Daten Experioo verarbeitet, wenn du die Experioo-App oder die Website experioo.com nutzt, warum wir das tun, wie lange wir die Daten speichern und welche Rechte und Wahlmöglichkeiten du hast. Wir haben uns Mühe gegeben, sie verständlich zu halten. Wenn etwas unklar ist, schreib uns bitte an info@a-t.design.

1. Wer wir sind (Verantwortlicher)

Verantwortlicher für die in dieser Erklärung beschriebene Verarbeitung ist:

AT-Design GbR
Steinbahn 91
53721 Siegburg
Deutschland

E-Mail (Datenschutzfragen und allgemeiner Kontakt): info@a-t.design

Wir sind nach DSGVO derzeit nicht verpflichtet, einen Datenschutzbeauftragten zu bestellen. Datenschutzanfragen werden direkt vom Team unter der oben genannten Adresse bearbeitet.

2. Welche personenbezogenen Daten wir verarbeiten

Wenn du ein Konto erstellst

• E-Mail-Adresse (zur Identifikation deines Kontos und für die Kommunikation)
• Authentifizierungs-Kennung unseres Authentifizierungsdienstleisters
• Optional: Anzeigename und Profilbild

Wenn du Aktivitäten aufzeichnest

• GPS-Tracks: Standort-Punkte mit Zeitstempel, erfasst, während die App Bewegung erkennt
• Bewegungssensor-Signale (Beschleunigung, Gyroskop), die genutzt werden, um zu erkennen, dass du dich bewegst
• Abgeleitete Werte: Distanz, Dauer, Durchschnittsgeschwindigkeit, Höhenmeter
• Aktivitätsklassifikation (Wandern, Radfahren, Spazieren, Laufen, Städtereise, Flug, Pendelweg) und die zugehörige Wahrscheinlichkeit des Modells

Wenn du einen externen Dienst verbindest (optional)

• Ein OAuth-2.0-Zugriffs- und -Refresh-Token für den verbundenen Dienst, mit AES-256-GCM verschlüsselt auf unseren Servern gespeichert; die importierten Aktivitäten, Routen und Herzfrequenzdaten aus deinem Konto bei diesem Dienst

Wenn du soziale Funktionen nutzt (optional)

• Verbindungen (gegenseitige Verknüpfungen mit anderen Experioo-Nutzern)
• Von dir erstellte Sichtbarkeitsgruppen
• Blockierungen
• Kommentare und Reaktionen, sofern du sie verfasst

Wenn Together-Mode aktiviert ist (optional, Opt-in)

Wenn Together-Mode aktiv ist, werden zusammenfassende Informationen darüber, wo und wann jede Aktivität stattgefunden hat, mit denen deiner verbundenen Nutzer abgeglichen, um gemeinsame Touren zu finden. Together-Mode ist standardmäßig aus und kann jederzeit wieder deaktiviert werden.

Wenn du Push-Benachrichtigungen empfängst (optional)

Ein Push-Registrierungs-Token, das an deine App-Installation gebunden ist. Dieses Token wird vom Zustelldienst für Push-Benachrichtigungen erzeugt.

Geräte- und Diagnose-Daten

• App-Version, Betriebssystem, OS-Version
• Absturzberichte — nur wenn du zustimmst

Website

• Serverseitige Zugriffs-Logs (IP-Adresse, User-Agent, angeforderte URL, Zeitstempel) — bis zu 30 Tage zur Sicherheit und Missbrauchsabwehr aufbewahrt
• Cookielose, selbst gehostete Besucherstatistik ohne Speicherung von IP-Adressen — siehe Abschnitt 11
• Keine Werbe-Tracker, keine Analyse-Dienste Dritter, keine nicht-notwendigen Cookies

3. Zwecke und Rechtsgrundlagen

• Bereitstellung des Experioo-Dienstes (Aufzeichnung, Synchronisation, Klassifikation, Anzeige deiner Aktivitäten) — Konto-, Aktivitäts- und Gerätedaten. Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung.
• Konto-Erstellung und Anmeldung — E-Mail, Authentifizierungs-Kennung. Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung.
• Sicherheit des Dienstes, Missbrauchsabwehr und Diagnose — Gerätedaten, Server-Logs und Absturzberichte (nach Opt-in). Art. 6 Abs. 1 lit. f DSGVO — berechtigte Interessen.
• Push-Benachrichtigungen — Push-Registrierungs-Token. Art. 6 Abs. 1 lit. a DSGVO — Einwilligung (jederzeit im OS oder in der App widerrufbar).
• Verbundene externe Dienste — OAuth-Tokens und importierte Daten. Art. 6 Abs. 1 lit. a DSGVO — Einwilligung (jederzeit widerrufbar).
• Soziale Funktionen und Together-Mode — Verbindungen, Sichtbarkeitsgruppen, zusammenfassende Informationen zu Ort und Zeit einer Aktivität. Art. 6 Abs. 1 lit. a DSGVO — Einwilligung; Art. 6 Abs. 1 lit. b DSGVO für die Bereitstellung der verbundenen Erfahrung gegenüber dem anderen Nutzer.
• Aktivitätsklassifikation (Machine-Learning-Modell) — GPS- und Bewegungssignale aus deiner Aktivität. Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung.
• KI-Zusammenfassungen — die jeweilige Aktivität, für die eine Zusammenfassung erzeugt wird. Art. 6 Abs. 1 lit. a DSGVO — Einwilligung.
• Erfüllung gesetzlicher Pflichten — gesetzlich erforderliche Datensätze. Art. 6 Abs. 1 lit. c DSGVO.

Wir betreiben keine Werbung, verkaufen keine personenbezogenen Daten und nutzen deine Aktivitätsdaten nicht für Werbe-Profiling.

4. Wo die Daten verarbeitet werden

Die Anwendungsserver und primären Datenbanken von Experioo werden in Deutschland betrieben. Aktivitätsinhalte liegen in Datenbanken innerhalb dieser Infrastruktur.

Einige Verarbeitungen finden bei externen Auftragsverarbeitern statt:

• Authentifizierungsdienstleister — Anmeldung und Konto-Authentifizierung. Der von uns genutzte Mandant wird in der EU gehostet. Der Dienstleister sieht deine E-Mail-Adresse und die Tatsache, dass du dich anmeldest.
• Zustelldienst für Push-Benachrichtigungen — Zustellung von Push-Benachrichtigungen, sofern du Benachrichtigungen aktivierst. Der Dienst sieht das Push-Registrierungs-Token deiner Installation, den Inhalt der Benachrichtigung (mit minimalem Kontext, z. B. „Deine Aktivität ist abgeschlossen") und Verbindungs-Metadaten für die Zustellung. Er wird von der EU-Tochtergesellschaft eines US-Unternehmens erbracht; die US-Muttergesellschaft kann an der Verarbeitung beteiligt sein (siehe Abschnitt 5).
• Verbundene Fitnessdienste (z. B. der Anbieter deiner Sportuhr) — nur, wenn du ein solches Konto verbindest. Diese Verbindung wird durch dich initiiert. Der Anbieter sendet uns Aktivitäten über Webhooks; wir senden niemals deine Experioo-Daten an ihn. Die Verbindung kannst du jederzeit aus der App heraus widerrufen.

Wir setzen keine externen Werbe- oder Marketing-Analyse-Dienste ein. Wir haben keine Werbepartner.

5. Internationale Übermittlungen

Soweit ein Auftragsverarbeiter oder dessen Muttergesellschaft außerhalb der EU/des EWR liegt, setzen wir die nach DSGVO zulässigen Garantien ein (i. d. R. Standardvertragsklauseln) und nutzen, wo möglich, europäische Tochtergesellschaften — beispielsweise erfolgt die Zustellung von Push-Benachrichtigungen über die EU-Tochtergesellschaft des Anbieters. Der in der EU gehostete Mandant unseres Authentifizierungsdienstleisters stellt sicher, dass die Authentifizierung in der EU verarbeitet wird.

6. Wie lange wir Daten speichern

• Kontodaten (E-Mail, Authentifizierungs-ID, Profil): solange dein Konto besteht.
• Aktivitätsdaten (GPS-Tracks, abgeleitete Werte): solange dein Konto besteht oder bis du die Aktivität einzeln löschst.
• Server-Logs (Web und API): bis zu 30 Tage.
• Absturzberichte (nach Opt-in): bis zu 90 Tage.
• OAuth-Tokens (verbundene Dienste): solange die Integration aktiv ist; widerrufene Tokens werden innerhalb von 7 Tagen gelöscht.
• Backups: werden beim nächsten geplanten Zyklus überschrieben, i. d. R. innerhalb von 30 Tagen nach der Änderung der Quelldaten.

Wenn du dein Konto löschst, werden Konto- und Aktivitätsdaten innerhalb von 30 Tagen gelöscht oder anonymisiert; Backups, die diese Daten enthalten, werden beim nächsten geplanten Zyklus überschrieben. Bestimmte Datensätze können länger aufbewahrt werden, wenn dies gesetzlich vorgeschrieben ist (z. B. Buchhaltungsbelege).

7. Weitergabe

Wir verkaufen, vermieten oder lizenzieren keine personenbezogenen Daten. Wir geben Daten nur weiter:

• an die in Abschnitt 4 genannten Auftragsverarbeiter, auf Basis von Verträgen zur Auftragsverarbeitung gem. Art. 28 DSGVO;
• an andere Experioo-Nutzer ausschließlich nach deiner aktiven Entscheidung — wenn du die Sichtbarkeit einer Aktivität festlegst, eine Verbindung annimmst oder Together-Mode aktivierst;
• soweit gesetzlich verpflichtet (gerichtliche Anordnung, Anfrage einer Datenschutzbehörde u. ä.); soweit zulässig, informieren wir dich über solche Anfragen.

8. Sicherheit

Personenbezogene Daten sind durch technische und organisatorische Maßnahmen geschützt, insbesondere:

• TLS-Verschlüsselung der Übertragung zwischen App und unseren Servern
• Verschlüsselung sensibler Zugangsdaten im Ruhezustand (z. B. AES-256-GCM für OAuth-Tokens verbundener Dienste)
• Zugriffskontrollen und Audit-Logs auf Produktionssystemen
• Regelmäßige Aktualisierungen von Abhängigkeiten und Sicherheitspatches
• Authentifizierung über unseren Authentifizierungsdienstleister; Passwörter werden auf unseren Servern nicht gespeichert
• Anwendungsseitige Isolation zwischen Konten, sodass Daten eines Nutzers nicht aus der Sitzung eines anderen erreichbar sind

Kein System ist absolut sicher. Sollte eine Verletzung des Schutzes personenbezogener Daten auftreten, die voraussichtlich ein Risiko für deine Rechte zur Folge hat, informieren wir dich und die zuständige Aufsichtsbehörde gemäß Art. 33–34 DSGVO.

9. Deine Rechte nach DSGVO

Du hast hinsichtlich deiner personenbezogenen Daten die folgenden Rechte, kostenfrei:

• Auskunft (Art. 15) — Erhalt einer Kopie der über dich gespeicherten Daten.
• Berichtigung (Art. 16) — Korrektur unrichtiger Daten.
• Löschung (Art. 17) — Löschung deines Kontos und der zugehörigen Daten.
• Einschränkung (Art. 18) — Begrenzung der Verarbeitung in bestimmten Situationen.
• Datenübertragbarkeit (Art. 20) — Erhalt deiner Daten in einem strukturierten, maschinenlesbaren Format. Eine Kopie bekommst du jederzeit kostenlos auf Anfrage über info@a-t.design. Der GPX-/FIT-Export direkt aus der App ist zusätzlich Teil des optionalen Pro-Upgrades.
• Widerspruch (Art. 21) — gegen Verarbeitungen auf Basis berechtigter Interessen.
• Widerruf der Einwilligung (Art. 7 Abs. 3) — für jede einwilligungsbasierte Verarbeitung (Push-Benachrichtigungen, KI-Zusammenfassungen, Integrationen); der Widerruf berührt nicht die Rechtmäßigkeit der bisherigen Verarbeitung.
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde. Zuständig für die AT-Design GbR ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW); du kannst dich jedoch auch an die Behörde deines gewöhnlichen Aufenthalts wenden.

Zur Ausübung dieser Rechte schreibe eine E-Mail an info@a-t.design von der mit deinem Konto verknüpften Adresse aus oder nutze die Einstellungen in der App (Einstellungen → Datenschutz / Daten). Die Konto-Löschung ist außerdem auf der Seite Konto löschen beschrieben.

Vor einer Antwort kann es nötig sein, dass wir deine Identität überprüfen, insbesondere bei Auskunfts- und Löschanfragen. Wir antworten innerhalb eines Monats; bei komplexen Anfragen kann die Frist um bis zu zwei weitere Monate verlängert werden (Art. 12 Abs. 3 DSGVO).

10. Kinder

Experioo richtet sich nicht an Kinder unterhalb des nach lokalem Recht erforderlichen Mindestalters für eine Einwilligung (Art. 8 DSGVO; in Deutschland 16 Jahre). Wir legen wissentlich keine Konten für Kinder unterhalb dieses Alters an und verarbeiten deren Daten nicht. Sollte dir ein solcher Fall bekannt werden, wende dich bitte an uns, damit wir das Konto entfernen können.

11. Cookies und Tracking auf dieser Website

Die Experioo-Website (experioo.com) setzt keine Cookies, bindet keine Werbeskripte Dritter ein und nutzt keine seitenübergreifenden Tracking-Pixel. Nur wenn du aktiv die Sprache wechselst, merkt sich dein Browser diese Wahl in seinem lokalen Speicher (Local Storage); dieser Wert bleibt auf deinem Gerät und wird nicht an uns übertragen.

Um zu verstehen, wie die Website genutzt wird, betreiben wir ein Open-Source-Statistikwerkzeug auf unserem eigenen Server in Deutschland (stats.experioo.com). Es werden keine Daten an Dritte weitergegeben. Pro Seitenaufruf erfasst das Werkzeug die Seitenadresse, die verweisende Website, Browser, Betriebssystem, Gerätetyp, Bildschirmgröße, Sprache, das aus deiner IP-Adresse abgeleitete Land bzw. die Region/Stadt sowie, wie du mit der Seite interagierst: angeklickte Links und Schaltflächen (z. B. App-Store-Links, Navigation, FAQ-Fragen, Sprachwechsel), welche Abschnitte angesehen wurden und wie weit gescrollt wurde. Deine IP-Adresse selbst wird nicht gespeichert, und Besuche werden über eine pseudonyme Kennung zusammengefasst, die mindestens monatlich neu berechnet wird — kein Profil über längere Zeit, kein Tracking über andere Websites hinweg. Sendet dein Browser ein „Do Not Track"-Signal, werden keine Statistikdaten erhoben. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse an einer anonymen, datenschutzfreundlichen Auswertung unserer Website. Du kannst jederzeit widersprechen, z. B. durch Aktivieren von „Do Not Track" oder mit einer Nachricht an uns.

Abgesehen von diesem Statistikdienst werden sämtliche Skripte, Stylesheets, Schriften und Bilder vom selben Ursprung wie die Seite selbst ausgeliefert. Es wird kein externes CDN und kein Schrift-Anbieter kontaktiert, wenn du diese Seite lädst.

12. Änderungen dieser Erklärung

Wir können diese Erklärung anpassen, wenn sich das Produkt entwickelt oder rechtliche Anforderungen sich ändern. Das oben angegebene Datum „Zuletzt aktualisiert" gibt die aktuelle Fassung an. Wesentliche Änderungen, die deine Rechte betreffen, kommunizieren wir vor Inkrafttreten in der App oder per E-Mail.

13. Kontakt

Für Datenschutz-Fragen, Anfragen oder Beschwerden: info@a-t.design