Datenschutzerklärung

Zuletzt aktualisiert: 28. Oktober 2026

Diese Datenschutzerklärung erläutert, welche personenbezogenen Daten Experioo verarbeitet, wenn du die Experioo-App oder die Website experioo.com nutzt, warum wir das tun, wie lange wir die Daten speichern und welche Rechte und Wahlmöglichkeiten du hast. Wir haben uns Mühe gegeben, sie verständlich zu halten. Wenn etwas unklar ist, schreib uns bitte an info@a-t.design.

1. Wer wir sind (Verantwortlicher)

Verantwortlicher für die in dieser Erklärung beschriebene Verarbeitung ist:

AT-Design GbR
Steinbahn 91
53721 Siegburg
Deutschland

E-Mail (Datenschutzfragen und allgemeiner Kontakt): info@a-t.design

Wir sind nach DSGVO derzeit nicht verpflichtet, einen Datenschutzbeauftragten zu bestellen. Datenschutzanfragen werden direkt vom Team unter der oben genannten Adresse bearbeitet.

2. Welche personenbezogenen Daten wir verarbeiten

Wenn du Experioo ohne Konto nutzt

Du kannst Experioo auch ohne Konto nutzen (lokaler Modus). Die App legt dann ein gerätegebundenes Profil mit einer zufälligen Kennung und einem Geräte-Geheimnis an; eine E-Mail-Adresse wird nicht erhoben. Deine Aktivitäten werden trotzdem mit unseren Servern synchronisiert und dort verarbeitet, damit Aufzeichnung, Klassifikation und Anzeige funktionieren. Setzt du das lokale Konto in der App zurück, wird es wie bei einer Konto-Löschung gelöscht (siehe Abschnitt 6).

Wenn du ein Konto erstellst (optional)

• E-Mail-Adresse (zur Identifikation deines Kontos und für die Kommunikation)
• Authentifizierungs-Kennung unseres Authentifizierungsdienstleisters
• Optional: Anzeigename und Profilbild

Wenn du Aktivitäten aufzeichnest

• GPS-Tracks: Standort-Punkte mit Zeitstempel, erfasst, während die App Bewegung erkennt
• Bewegungssensor-Signale (Beschleunigung, Gyroskop), die genutzt werden, um zu erkennen, dass du dich bewegst
• Abgeleitete Werte: Distanz, Dauer, Durchschnittsgeschwindigkeit und Pace, Höhenmeter
• Aktivitätsklassifikation (Wandern, Radfahren, Spazieren, Laufen, Städtereise, Flug, Pendelweg) und die zugehörige Wahrscheinlichkeit des Modells

Wenn du einen externen Dienst verbindest (optional)

• Ein OAuth-2.0-Zugriffs- und -Refresh-Token für den verbundenen Dienst, mit AES-256-GCM verschlüsselt auf unseren Servern gespeichert; die importierten Aktivitäten und Routen aus deinem Konto bei diesem Dienst

Wenn du soziale Funktionen nutzt (optional)

• Verbindungen (gegenseitige Verknüpfungen mit anderen Experioo-Nutzern)
• Von dir erstellte Sichtbarkeitsgruppen
• Blockierungen
• Kommentare und Reaktionen, sofern du sie verfasst

Wenn Together-Mode aktiviert ist (optional, Opt-in)

Wenn Together-Mode aktiv ist, werden zusammenfassende Informationen darüber, wo und wann jede Aktivität stattgefunden hat, mit denen deiner verbundenen Nutzer abgeglichen, um gemeinsame Touren zu finden. Together-Mode ist standardmäßig aus und kann jederzeit wieder deaktiviert werden.

Wenn du Push-Benachrichtigungen empfängst (optional)

Ein Push-Registrierungs-Token, das an deine App-Installation gebunden ist. Dieses Token wird von Firebase Cloud Messaging und auf Apple-Geräten vom Apple Push Notification Service erzeugt.

Wenn du Karten ansiehst

Einige Kartenebenen (Raster-Kartenkacheln) lädt die App direkt von Mapbox. Dabei übermittelt dein Gerät deine IP-Adresse und den angefragten Kartenausschnitt an Mapbox.

Wetter zu deinen Aktivitäten

Um das Wetter zu einer Aktivität anzuzeigen, sendet unser Server die Koordinaten und den Zeitraum der Aktivität an den Wetterdienst Open-Meteo. Kontodaten und die IP-Adresse deines Geräts werden dabei nicht übermittelt.

Wenn du Pro kaufst (optional)

In-App-Käufe werden über Apple (App Store) oder Google (Google Play) abgewickelt. Wir erhalten eine Bestätigung des Kaufs und deinen Abo-Status, aber keine Zahlungsdaten.

Geräte- und Diagnose-Daten

• App-Version, Betriebssystem, OS-Version
• Absturz- und Fehlerberichte einschließlich stichprobenartiger Performance-Traces aus den Store-Versionen der App und von unserem Produktionsserver (z. B. Fehlermeldung, technischer Stacktrace, App-Version, Geräte- und OS-Informationen) — verarbeitet über Sentry, siehe Abschnitt 4

Website

• Serverseitige Zugriffs-Logs (IP-Adresse, User-Agent, angeforderte URL, Zeitstempel) — bis zu 30 Tage zur Sicherheit und Missbrauchsabwehr aufbewahrt
• Cookielose, selbst gehostete Besucherstatistik ohne Speicherung von IP-Adressen — siehe Abschnitt 11
• Keine Werbe-Tracker, keine Analyse-Dienste Dritter, keine nicht-notwendigen Cookies

3. Zwecke und Rechtsgrundlagen

• Bereitstellung des Experioo-Dienstes (Aufzeichnung, Synchronisation, Klassifikation, Anzeige deiner Aktivitäten) — Konto-, Aktivitäts- und Gerätedaten. Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung.
• Konto-Erstellung und Anmeldung — E-Mail, Authentifizierungs-Kennung. Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung.
• Sicherheit des Dienstes, Missbrauchsabwehr und Diagnose — Gerätedaten, Server-Logs, Absturz- und Fehlerberichte einschließlich stichprobenartiger Performance-Traces (Sentry). Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse an einem stabilen, sicheren Dienst. Du kannst dem widersprechen (Art. 21 DSGVO, siehe Abschnitt 9).
• Kartenanzeige — IP-Adresse und angefragter Kartenausschnitt (Mapbox). Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung.
• Wetter zu Aktivitäten — Koordinaten und Zeitraum einer Aktivität (Open-Meteo). Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung.
• Pro-Käufe — Kaufbestätigung und Abo-Status. Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung.
• Push-Benachrichtigungen — Push-Registrierungs-Token. Art. 6 Abs. 1 lit. a DSGVO — Einwilligung (jederzeit im OS oder in der App widerrufbar).
• Verbundene externe Dienste — OAuth-Tokens und importierte Daten. Art. 6 Abs. 1 lit. a DSGVO — Einwilligung (jederzeit widerrufbar).
• Soziale Funktionen und Together-Mode — Verbindungen, Sichtbarkeitsgruppen, zusammenfassende Informationen zu Ort und Zeit einer Aktivität. Art. 6 Abs. 1 lit. a DSGVO — Einwilligung; Art. 6 Abs. 1 lit. b DSGVO für die Bereitstellung der verbundenen Erfahrung gegenüber dem anderen Nutzer.
• Aktivitätsklassifikation (Machine-Learning-Modell) — GPS- und Bewegungssignale aus deiner Aktivität. Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung.
• Erfüllung gesetzlicher Pflichten — gesetzlich erforderliche Datensätze. Art. 6 Abs. 1 lit. c DSGVO.

Wir betreiben keine Werbung, verkaufen keine personenbezogenen Daten und nutzen deine Aktivitätsdaten nicht für Werbe-Profiling.

Musst du deine Daten bereitstellen?

Du bist weder gesetzlich noch vertraglich verpflichtet, deine Daten bereitzustellen. Ohne Zugriff auf deinen Standort kann Experioo jedoch keine Aktivitäten aufzeichnen; die Kernfunktionen der App funktionieren dann nicht. Ein Konto ist optional — du kannst Experioo auch ohne Konto nutzen (siehe Abschnitt 2). Optionale Funktionen wie verbundene Dienste, soziale Funktionen, Together-Mode, Push-Benachrichtigungen und Pro verarbeiten die oben genannten Daten nur, wenn du sie nutzt.

Keine automatisierte Entscheidungsfindung

Wir treffen keine ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidungen einschließlich Profiling, die dir gegenüber rechtliche Wirkung entfalten oder dich in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO). Die automatische Erkennung der Aktivitätsart (z. B. Wandern oder Radfahren) ordnet deine Aktivität nur ein und ist keine solche Entscheidung.

Speicherung auf und Zugriff auf dein Gerät (App)

Die App speichert Informationen auf deinem Gerät oder liest sie von dort nur, soweit dies unbedingt erforderlich ist, um eine von dir ausdrücklich gewünschte Funktion bereitzustellen (§ 25 Abs. 2 Nr. 2 TDDDG). Der Zugriff auf Standort, Bewegungs- und Aktivitätsdaten, Benachrichtigungen und die Kamera setzt zusätzlich deine Erlaubnis im Dialog des Betriebssystems voraus, die du jederzeit in den Geräte-Einstellungen widerrufen kannst.

• Anmeldung: das Geräte-Geheimnis und die Kennung deines Profils (lokaler Modus) sowie deine Anmelde-Tokens, abgelegt im sicheren Speicher des Geräts (iOS-Schlüsselbund, Android Keystore).
• App-Betrieb: deine App-Einstellungen, zwischengespeicherte Daten und Kartendaten sowie die Offline-Gebiete, die du herunterlädst.
• Automatische Aufzeichnung: Standort (auch im Hintergrund) und die Bewegungs- und Aktivitätserkennung des Betriebssystems, um Bewegung zu erkennen und deine Aktivitäten aufzuzeichnen.
• Push-Benachrichtigungen: sobald du Benachrichtigungen aktivierst, das Push-Registrierungs-Token (einschließlich der zugehörigen Firebase-Installationskennung).
• Kamera: nur, wenn du ein Profilbild aufnimmst.
• Absturzberichte: Die Store-Versionen der App lesen für Fehlerberichte technische Geräteinformationen (z. B. Gerätemodell, OS-Version) aus und können einen Bericht bis zum Versand auf dem Gerät vorhalten; Rechtsgrundlage wie oben für Sentry beschrieben.

Die App nutzt keine Werbe-IDs und keine Werbe- oder Tracking-SDKs; Firebase dient nur der Zustellung von Push-Benachrichtigungen, seine Analyse-Erfassung ist abgeschaltet.

4. Wo die Daten verarbeitet werden

Die Anwendungsserver und primären Datenbanken von Experioo werden von einem Hosting-Anbieter mit Rechenzentren in Deutschland betrieben. Aktivitätsinhalte liegen in Datenbanken innerhalb dieser Infrastruktur.

Einige Verarbeitungen finden bei externen Dienstleistern (Auftragsverarbeitern) und sonstigen Empfängern statt:

• Auth0 (Okta, Inc., USA) — Anmeldung und Konto-Authentifizierung. Wir nutzen einen Mandanten in der EU-Region; betrieben wird der Dienst von Okta, Inc. (siehe Abschnitt 5). Der Dienstleister sieht deine E-Mail-Adresse und die Tatsache, dass du dich anmeldest.
• Firebase Cloud Messaging (Google Ireland Ltd., Irland, und Google LLC, USA) und Apple Push Notification Service (Apple) — Zustellung von Push-Benachrichtigungen, sofern du Benachrichtigungen aktivierst. Diese Dienste sehen das Push-Registrierungs-Token deiner Installation, den Inhalt der Benachrichtigung (mit minimalem Kontext, z. B. „Deine Aktivität ist abgeschlossen“) und Verbindungs-Metadaten für die Zustellung.
• Sentry (Functional Software, Inc., USA) — empfängt Absturz- und Fehlerberichte einschließlich stichprobenartiger Performance-Traces aus den Store-Versionen der App und von unserem Produktionsserver. Die Daten werden in der EU-Region von Sentry (Deutschland) gespeichert.
• Mapbox (Mapbox, Inc., USA) — liefert Raster-Kartenkacheln an die App. Mapbox erhält deine IP-Adresse und den angefragten Kartenausschnitt.
• Open-Meteo (OpenMeteo GmbH, Schweiz) — Wetterdaten zu deinen Aktivitäten. Unser Server sendet nur die Koordinaten und den Zeitraum einer Aktivität.
• Verbundene Fitnessdienste (z. B. der Anbieter deiner Sportuhr) — nur, wenn du ein solches Konto verbindest. Diese Verbindung wird durch dich initiiert. Der Anbieter sendet uns Aktivitäten über Webhooks; wir senden niemals deine Experioo-Daten an ihn. Die Verbindung kannst du jederzeit aus der App heraus widerrufen.

Bei In-App-Käufen (Pro) sind Apple (App Store) und Google (Google Play) eigenständige Verantwortliche; für die Abwicklung von Kauf und Zahlung gelten deren eigene Datenschutzerklärungen.

Wir setzen keine externen Werbe- oder Marketing-Analyse-Dienste ein. Wir haben keine Werbepartner.

5. Internationale Übermittlungen

Einige der in Abschnitt 4 genannten Anbieter haben ihren Sitz in den USA oder gehören zu US-Unternehmen: Okta, Inc. (Auth0), Functional Software, Inc. (Sentry), Mapbox, Inc., Google LLC (Firebase Cloud Messaging) und Apple Inc. (Apple Push Notification Service). Übermittlungen an diese Anbieter stützen sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), soweit der Anbieter danach zertifiziert ist, und/oder auf Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Wo verfügbar, nutzen wir EU-Regionen: Unser Auth0-Mandant liegt in der EU-Region, und Sentry speichert die Daten in seiner EU-Region in Deutschland; ein Zugriff aus den USA lässt sich dennoch nicht ausschließen. Open-Meteo hat seinen Sitz in der Schweiz, für die ein Angemessenheitsbeschluss der EU-Kommission besteht (Art. 45 DSGVO).

6. Wie lange wir Daten speichern

• Kontodaten (E-Mail, Authentifizierungs-ID, Profil): solange dein Konto besteht.
• Aktivitätsdaten (GPS-Tracks, abgeleitete Werte): solange dein Konto besteht oder bis du die Aktivität einzeln löschst.
• Server-Logs (Web und API): bis zu 30 Tage.
• Absturz- und Fehlerberichte (Sentry): bis zu 90 Tage.
• OAuth-Tokens (verbundene Dienste): solange die Integration aktiv ist; widerrufene Tokens werden innerhalb von 7 Tagen gelöscht.
• Backups: werden beim nächsten geplanten Zyklus überschrieben, i. d. R. innerhalb von 30 Tagen nach der Änderung der Quelldaten.

Wenn du dein Konto löschst oder bei Nutzung ohne Konto dein lokales Profil zurücksetzt, werden Konto- und Aktivitätsdaten innerhalb von 30 Tagen gelöscht oder anonymisiert; Backups, die diese Daten enthalten, werden beim nächsten geplanten Zyklus überschrieben. Bestimmte Datensätze können länger aufbewahrt werden, wenn dies gesetzlich vorgeschrieben ist (z. B. Buchhaltungsbelege).

7. Weitergabe

Wir verkaufen, vermieten oder lizenzieren keine personenbezogenen Daten. Wir geben Daten nur weiter:

• an die in Abschnitt 4 genannten Auftragsverarbeiter und Empfänger — Auftragsverarbeiter auf Basis von Verträgen zur Auftragsverarbeitung gem. Art. 28 DSGVO;
• an andere Experioo-Nutzer ausschließlich nach deiner aktiven Entscheidung — wenn du die Sichtbarkeit einer Aktivität festlegst, eine Verbindung annimmst oder Together-Mode aktivierst;
• soweit gesetzlich verpflichtet (gerichtliche Anordnung, Anfrage einer Datenschutzbehörde u. ä.); soweit zulässig, informieren wir dich über solche Anfragen.

8. Sicherheit

Personenbezogene Daten sind durch technische und organisatorische Maßnahmen geschützt, insbesondere:

• TLS-Verschlüsselung der Übertragung zwischen App und unseren Servern
• Verschlüsselung sensibler Zugangsdaten im Ruhezustand (z. B. AES-256-GCM für OAuth-Tokens verbundener Dienste)
• Zugriffskontrollen und Audit-Logs auf Produktionssystemen
• Regelmäßige Aktualisierungen von Abhängigkeiten und Sicherheitspatches
• Authentifizierung über unseren Authentifizierungsdienstleister; Passwörter werden auf unseren Servern nicht gespeichert
• Anwendungsseitige Isolation zwischen Konten, sodass Daten eines Nutzers nicht aus der Sitzung eines anderen erreichbar sind

Kein System ist absolut sicher. Sollte eine Verletzung des Schutzes personenbezogener Daten auftreten, die voraussichtlich ein Risiko für deine Rechte zur Folge hat, informieren wir dich und die zuständige Aufsichtsbehörde gemäß Art. 33–34 DSGVO.

9. Deine Rechte nach DSGVO

Du hast hinsichtlich deiner personenbezogenen Daten die folgenden Rechte, kostenfrei:

• Auskunft (Art. 15) — Erhalt einer Kopie der über dich gespeicherten Daten.
• Berichtigung (Art. 16) — Korrektur unrichtiger Daten.
• Löschung (Art. 17) — Löschung deines Kontos und der zugehörigen Daten.
• Einschränkung (Art. 18) — Begrenzung der Verarbeitung in bestimmten Situationen.
• Datenübertragbarkeit (Art. 20) — Erhalt deiner Daten in einem strukturierten, maschinenlesbaren Format. Eine Kopie bekommst du jederzeit kostenlos auf Anfrage über info@a-t.design. Der GPX-/FIT-Export direkt aus der App ist zusätzlich Teil des optionalen Pro-Upgrades.
• Widerspruch (Art. 21) — jederzeit, aus Gründen, die sich aus deiner besonderen Situation ergeben, gegen Verarbeitungen auf Basis berechtigter Interessen (z. B. Absturz- und Fehlerberichte über Sentry, Website-Statistik).
• Widerruf der Einwilligung (Art. 7 Abs. 3) — für jede einwilligungsbasierte Verarbeitung (Push-Benachrichtigungen, Integrationen, soziale Funktionen); der Widerruf berührt nicht die Rechtmäßigkeit der bisherigen Verarbeitung.
• Beschwerde (Art. 77) bei einer Datenschutz-Aufsichtsbehörde, insbesondere in dem Mitgliedstaat deines gewöhnlichen Aufenthalts, deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Zuständig für die AT-Design GbR (Siegburg, Nordrhein-Westfalen) ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW).

Zur Ausübung dieser Rechte schreibe eine E-Mail an info@a-t.design von der mit deinem Konto verknüpften Adresse aus oder nutze die Einstellungen in der App (Einstellungen → Datenschutz / Daten). Nutzt du Experioo ohne Konto, ist mit deinem Profil keine E-Mail-Adresse verknüpft; du kannst dich trotzdem an uns wenden, und wir ordnen dein Profil gemeinsam mit dir zu. Die Konto-Löschung ist außerdem auf der Seite Konto löschen beschrieben.

Vor einer Antwort kann es nötig sein, dass wir deine Identität überprüfen, insbesondere bei Auskunfts- und Löschanfragen. Wir antworten innerhalb eines Monats; bei komplexen Anfragen kann die Frist um bis zu zwei weitere Monate verlängert werden (Art. 12 Abs. 3 DSGVO).

10. Kinder

Experioo richtet sich nicht an Kinder unterhalb des nach lokalem Recht erforderlichen Mindestalters für eine Einwilligung (Art. 8 DSGVO; in Deutschland 16 Jahre). Wir legen wissentlich keine Konten für Kinder unterhalb dieses Alters an und verarbeiten deren Daten nicht. Sollte dir ein solcher Fall bekannt werden, wende dich bitte an uns, damit wir das Konto entfernen können.

11. Cookies und Tracking auf dieser Website

Die Experioo-Website (experioo.com) bindet keine Werbeskripte Dritter ein und nutzt keine seitenübergreifenden Tracking-Pixel. Sie öffnet sich in der Sprache, die dein Browser bevorzugt. Sie setzt genau ein Cookie, und nur wenn du aktiv die Sprache wechselst: „lang“ enthält nur „en“ oder „de“, merkt sich deine Wahl ein Jahr lang und ist für diese Funktion unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Sonst wird nichts auf deinem Gerät gespeichert.

Um zu verstehen, wie die Website genutzt wird, betreiben wir ein Open-Source-Statistikwerkzeug auf unserem eigenen Server in Deutschland (stats.experioo.com). Es werden keine Daten an Dritte weitergegeben. Pro Seitenaufruf erfasst das Werkzeug die Seitenadresse, die verweisende Website, Browser, Betriebssystem, Gerätetyp, Bildschirmgröße, Sprache, das aus deiner IP-Adresse abgeleitete Land bzw. die Region/Stadt sowie, wie du mit der Seite interagierst: angeklickte Links und Schaltflächen (z. B. App-Store-Links, Navigation, FAQ-Fragen, Sprachwechsel), welche Abschnitte angesehen wurden und wie weit gescrollt wurde. Deine IP-Adresse selbst wird nicht gespeichert, und Besuche werden über eine pseudonyme Kennung zusammengefasst, die mindestens monatlich neu berechnet wird — kein Profil über längere Zeit, kein Tracking über andere Websites hinweg. Sendet dein Browser ein „Do Not Track“-Signal, werden keine Statistikdaten erhoben. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse an einer pseudonymen, datenschutzfreundlichen Auswertung unserer Website. Du kannst jederzeit widersprechen, z. B. durch Aktivieren von „Do Not Track“ oder mit einer Nachricht an uns.

Abgesehen von diesem Statistikdienst werden sämtliche Skripte, Stylesheets, Schriften und Bilder vom selben Ursprung wie die Seite selbst ausgeliefert. Es wird kein externes CDN und kein Schrift-Anbieter kontaktiert, wenn du diese Seite lädst.

12. Änderungen dieser Erklärung

Wir können diese Erklärung anpassen, wenn sich das Produkt entwickelt oder rechtliche Anforderungen sich ändern. Das oben angegebene Datum „Zuletzt aktualisiert“ gibt die aktuelle Fassung an. Wesentliche Änderungen, die deine Rechte betreffen, kommunizieren wir vor Inkrafttreten in der App oder per E-Mail.

13. Kontakt

Für Datenschutz-Fragen, Anfragen oder Beschwerden: info@a-t.design