DATENSCHUTZERKLÄRUNG

Stand: 27. Oktober 2026

1. VERANTWORTLICHER

Verantwortlich für die Datenverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

X-Shred UG (haftungsbeschränkt)

Emmerkämpe 24

33039 Nieheim

Deutschland

Ein betrieblicher Datenschutzbeauftragter ist derzeit nicht bestellt, da die gesetzlichen Voraussetzungen hierfür (§ 38 BDSG) nach unserer Einschätzung nicht vorliegen.

2. IHRE RECHTE ALS BETROFFENE PERSON

Sie haben jederzeit das Recht auf:

Auskunft über Ihre bei uns gespeicherten Daten (Art. 15 DSGVO)

Berichtigung unrichtiger Daten (Art. 16 DSGVO)

Löschung Ihrer Daten (Art. 17 DSGVO)

Einschränkung der Verarbeitung (Art. 18 DSGVO)

Datenübertragbarkeit (Art. 20 DSGVO)

Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)

Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Beschwerde bei einer Datenschutzaufsichtsbehörde (Art. 77 DSGVO), z. B. der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen

Zur Ausübung Ihrer Rechte genügt eine E-Mail an info@xshred.de.

3. DATENERFASSUNG BEIM BESUCH UNSERER WEBSITE

3.1 Hosting

Unsere Website wird bei Cloudflare Pages gehostet. Vertragspartner und Auftragsverarbeiter ist Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA. Beim Aufruf der Website werden automatisch technische Zugriffsdaten (u. a. IP-Adresse, Datum/Uhrzeit, aufgerufene Seite, Browsertyp) in sogenannten Server-Logfiles verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an technisch fehlerfreiem Betrieb). Da Cloudflare seinen Sitz in den USA hat, können dabei personenbezogene Daten in die USA übermittelt werden. Grundlage dieser Übermittlung sind die EU-Standardvertragsklauseln nebst ergänzenden Maßnahmen, die über das Cloudflare Data Processing Addendum einbezogen sind.

3.2 Cookies und Einwilligung

Unsere Website setzt keine Cookies zu Statistik- oder Marketingzwecken und lädt keine einwilligungspflichtigen Inhalte Dritter nach. Schriftarten, Bilder und alle übrigen Bestandteile der Seite werden von unserer eigenen Website ausgeliefert; ein Abruf von Google Fonts oder vergleichbaren Diensten Dritter findet nicht statt. Ein Cookie-Banner kommt deshalb nicht zum Einsatz. Sollten wir künftig einwilligungspflichtige Cookies oder Dienste einsetzen, werden diese nur mit Ihrer vorherigen, freiwilligen Einwilligung gesetzt (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO) und diese Datenschutzerklärung entsprechend aktualisiert.

3.3 Beta-Signup-Formular / Warteliste

Wenn Sie sich über unser Formular für die Beta/Warteliste anmelden, erheben wir die von Ihnen freiwillig angegebene E-Mail-Adresse (ggf. weitere von Ihnen angegebene Angaben). Die Anmeldung setzt eine gesonderte, nicht vorausgewählte Checkbox voraus, mit der Sie ausdrücklich zustimmen, dass wir Sie zur Beta-Phase und zum Start der App per E-Mail kontaktieren. Zweck der Verarbeitung ist diese Kontaktaufnahme (Einladungen, Status-Updates, Produktankündigungen). Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) durch Ankreuzen der Checkbox und Absenden des Formulars. Zum Nachweis der Einwilligung speichern wir den genauen Wortlaut der Einwilligungserklärung samt Versionsnummer, den Zeitpunkt (UTC) und die Sprache, in der sie abgegeben wurde. Ihre Daten werden bis zum Abschluss der Beta-Phase bzw. bis zu Ihrem Widerruf gespeichert und danach binnen sechs Monaten gelöscht oder anonymisiert. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen — per E-Mail an info@xshred.de, durch Antwort auf eine unserer E-Mails oder über einen Abmeldelink, soweit vorhanden.

Vor diesem Formular lief die Beta-Warteliste von Juli bis Dezember 2025 über ein Google-Formular. Dort wurden E-Mail-Adresse und freiwillige Angaben (Häufigkeit des Skifahrens, Instagram-Name, Nachricht) mit Zeitpunkt erhoben. Diese Daten werden spätestens am 30.11.2026 gelöscht. Ausgenommen sind Personen, die ausdrücklich gebeten haben, zum Start informiert zu werden; ihre E-Mail-Adresse nutzen wir nur dafür (Art. 6 Abs. 1 lit. a DSGVO), bis sie ihre Einwilligung widerrufen.

3.4 Kontaktformular

Über unser Kontaktformular können Sie uns Name (freiwillig), E-Mail-Adresse und Nachricht übermitteln. Wir verarbeiten diese Angaben ausschließlich, um Ihre Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage der Anbahnung oder Durchführung eines Vertrags dient, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen).

3.5 Speicherort der Formulardaten

Die Angaben aus beiden Formularen (Beta-Anmeldung und Kontakt) werden in einer Datenbank unseres Hosters Cloudflare (Cloudflare D1, Datenbankname „xshred-web-eu“) gespeichert. Diese Datenbank wurde mit der Jurisdiktion „EU“ angelegt und ist damit rechtlich auf die Europäische Union beschränkt. Zusätzlich zu Ihren Eingaben speichern wir das von Cloudflare ermittelte Herkunftsland, bei der Beta-Anmeldung außerdem die von Ihrem Browser übermittelte Sprachkennung. Ihre IP-Adresse wird in dieser Datenbank nicht im Klartext gespeichert: Zum Schutz vor Missbrauch (Bots, automatisiertes Massen-Absenden) bilden wir aus Ihrer IP-Adresse und einem geheimen, nur uns bekannten Zusatzwert einen Hash, aus dem sich die IP-Adresse nicht zurückrechnen lässt. Dieser Hash wird zusammen mit einem Zeitstempel gespeichert, um mehr als fünf Formular-Einsendungen pro Stunde von derselben Adresse zu erkennen, nach etwa einer Stunde automatisch gelöscht und keiner E-Mail-Adresse zugeordnet. Rechtsgrundlage hierfür ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem funktionsfähigen, missbrauchsfreien Formular).

4. DATENVERARBEITUNG IN DER X-SHRED APP

Die folgenden Abschnitte gelten für die Nutzung der X-Shred App (iOS/Android) und ergänzen die website-bezogenen Angaben oben.

4.1 GPS-Tracking

X-Shred bietet eine GPS-Tracking-Funktion zur Aufzeichnung Ihrer Ski-/Snowboard-Abfahrten (Position in ca. 5-Sekunden-Intervallen). Die Funktion ist opt-in, d. h. sie wird nur aktiv, wenn Sie ihr ausdrücklich zustimmen, und ist jederzeit in den App-Einstellungen deaktivierbar. Standortdaten werden primär lokal auf Ihrem Gerät verarbeitet. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Sobald eine Internetverbindung besteht, werden die aufgezeichneten Punkte (Breiten- und Längengrad, Geschwindigkeit, Höhe, Zeitpunkt und Aktivitätsart) in Ihrem Nutzerkonto in unserer Datenbank (Google Firebase) gespeichert und Ihrer Kennung zugeordnet. Zweck der Speicherung: Wir zeigen Ihnen damit Ihre eigenen Fahrtlinien auf der Karte an, auch für vergangene Tage und auf einem neuen Gerät. Nur Sie können diese Punkte sehen. Eine anonymisierte oder gemeinsame Auswertung mit den Daten anderer Nutzer findet nicht statt. Die Daten bleiben gespeichert, solange Ihr Konto besteht, und werden bei der Löschung des Kontos gelöscht (siehe Ziff. 4.6).

4.2 Live-Standort mit Freunden

X-Shred bietet optional die Funktion, Ihren Live-Standort mit von Ihnen ausgewählten und ausdrücklich bestätigten Freunden zu teilen. Diese Funktion ist standardmäßig deaktiviert (opt-in) und kann jederzeit beendet werden. Eine Weitergabe Ihres Live-Standorts an andere Nutzer als die von Ihnen genehmigten Freunde sowie an Dritte außerhalb der App findet nicht statt. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

4.3 Sprachsteuerung / Wake-Word („Hey Shreddy“)

Das Wake-Word („Hey Shreddy“) wird auf Ihrem Gerät erkannt. Sprachbefehle wandelt die Spracherkennung Ihres Betriebssystems in Text um; die App verlangt dafür die Erkennung auf dem Gerät („on-device“). Unter iOS bricht die Erkennung ab, wenn Ihr Gerät oder Ihre Sprache dafür kein Modell bereithält; sie weicht nicht auf einen Server aus. Unter Android ist die Erkennung auf dem Gerät nur eine Vorgabe: Vor Android 12 oder ohne installiertes Offline-Sprachpaket kann Ihr Befehl vom Spracherkennungsdienst Ihres Geräts (in der Regel von Google) verarbeitet werden, ohne dass die App darauf hinweist. Wir selbst laden weder Audioaufnahmen noch den erkannten Befehlstext auf unsere Server hoch; der Befehl wird in der App ausgewertet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung, da Kernfunktion der App) bzw. lit. f (berechtigtes Interesse an Funktionsfähigkeit).

Eine Speicherung von Befehlstexten bei uns, auch eine kurzzeitige, findet nicht statt. Die technische Protokolldatei auf Ihrem Gerät (höchstens 1 MiB) enthält im veröffentlichten Programm keinen gesprochenen Wortlaut.

4.4 Kontoerstellung / Anmeldung

Für die Nutzung bestimmter Funktionen ist ein Nutzerkonto erforderlich. Sie können sich mit E-Mail-Adresse und Passwort, mit Google oder mit Apple anmelden (bereitgestellt über Firebase Authentication, Google Ireland Ltd./Google LLC). Es werden die für die Anmeldung erforderlichen Daten (u. a. E-Mail-Adresse, Anzeigename) verarbeitet. Zusätzlich legen wir ein öffentliches Profil an (Anzeigename, Profilbild, sofern Sie eines hochladen, und Ihre X-Shred-ID). Dieses Profil können andere angemeldete Nutzer über die Suche, per QR-Code oder per Link abrufen. Ihre E-Mail-Adresse können nur Sie und Ihre bestätigten Freunde lesen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

4.5 E-Mails zur Kontolöschung

Wenn Sie Ihr Konto zur Löschung vormerken und wenn es gelöscht wurde, senden wir Ihnen an die Adresse Ihres Kontos je eine Bestätigungs-E-Mail (Absender info@xshred.de); wählen Sie „Sofort endgültig löschen“, entfällt die erste. Wir speichern Ihre Adresse dafür nicht zusätzlich: Sie wird beim Versand aus Ihrem Konto gelesen. Der Versand läuft über Google Workspace. Eine Kopie der Bestätigungs-E-Mail verbleibt in unserem Postfach info@xshred.de als Nachweis, dass die Löschung durchgeführt wurde. Rechtsgrundlage für den Versand ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag); für die aufbewahrte Kopie Art. 6 Abs. 1 lit. c DSGVO (rechtliche Pflicht, Nachweis der Erfüllung von Art. 17 DSGVO) und lit. f DSGVO (berechtigtes Interesse am Nachweis der Löschung).

4.6 Kontolöschung

Sie können Ihr Konto in der App löschen. Es wird dann zur Löschung vorgemerkt, Sie werden abgemeldet, und Ihr öffentliches Profil ist für andere nicht mehr abrufbar. 30 Tage lang können Sie die Löschung durch erneute Anmeldung widerrufen. Danach löscht ein Löschlauf, der alle 6 Stunden läuft, Ihr Konto; die Löschung ist also nach 30 Tagen und bis zu 6 Stunden vollzogen. Wählen Sie „Sofort endgültig löschen“, entfällt die Wartefrist. Gelöscht werden Ihr Konto und Ihr Profil, Ihre Standort- und Aufzeichnungsdaten einschließlich der Heatmap-Punkte, Freundschaften und Anfragen, Blockaden, Benachrichtigungen, Push-Token sowie Profil- und eigene Gruppenbilder. Eigene Gruppen und Treffpunkte, an denen andere beteiligt sind, gehen an die Person über, die am längsten dabei ist; Sie werden aus fremden Gruppen und Treffpunkten entfernt. Meldungen (Ziff. 4.7), die Sie abgegeben haben oder die Sie betreffen, werden nicht mit dem Konto gelöscht, sondern 90 Tage nach Eingang. Rechtsgrundlage der Kontolöschung ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag) bzw. lit. c DSGVO (rechtliche Pflicht aus Art. 17 DSGVO).

4.7 Blockieren und Melden

Sie können andere Nutzer blockieren und melden. Beim Blockieren speichern wir Ihre Kennung, die Kennung des Blockierten, dessen Anzeigenamen (für Ihre Liste „Blockierte Nutzer“) und den Zeitpunkt. Ein blockiertes Konto wird in der Suche ausgeblendet. Der Blockierte kann den Eintrag technisch auslesen; die App zeigt ihn nicht an. Die Blockade gilt, bis Sie sie aufheben oder ein Konto gelöscht wird. Beim Melden speichern wir Ihre Kennung, die Kennung des Gemeldeten, den Grund (Belästigung, Name oder Bild, Spam, Sonstiges), die Stelle der App, an der Sie gemeldet haben, den Zeitpunkt und, wenn Sie ihn schreiben, einen Freitext von höchstens 1.000 Zeichen. Meldungen sind für andere Nutzer nicht lesbar. Bei jeder Meldung senden wir automatisch eine E-Mail an info@xshred.de mit Meldungs-Kennung, Grund, Stelle, Zeitpunkt, beiden Kennungen und der Angabe, ob ein Freitext vorliegt, nicht aber dessen Inhalt; diese E-Mail verbleibt im Postfach info@xshred.de. Gemeldete Vorgänge werden in der Datenbank 90 Tage nach Eingang der Meldung gelöscht, unabhängig von einer Kontolöschung (siehe Ziff. 4.6). Rechtsgrundlage für Blockieren und Melden ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz der Nutzer vor Missbrauch).

4.8 Mitteilungen (Push)

Wenn Sie Mitteilungen zustimmen, speichern wir das Push-Token Ihres Geräts, die Plattform (iOS oder Android), die Gerätesprache und den Zeitpunkt der letzten Aktualisierung und senden darüber Mitteilungen (z. B. zu Freundschaftsanfragen und Treffpunkten) über Firebase Cloud Messaging (Google). In der Mitteilung zu einer Freundschaftsanfrage steht der Anzeigename des Absenders. Widerrufen Sie Ihre Einwilligung, wird das Token entfernt. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

4.9 Absturzberichte und Nutzungsanalyse

Absturzberichte (Firebase Crashlytics) und Nutzungsanalyse (Firebase Analytics) sind ausgeschaltet, bis Sie dem jeweils zustimmen; beides sind getrennte Entscheidungen, und ein Widerruf gilt sofort und bleibt bestehen. Bei Absturzberichten wird Ihre Nutzer-Kennung als Pseudonym mitgesendet, damit ein Absturz Ihrem Konto zugeordnet werden kann, nie Ihre E-Mail-Adresse oder Ihr Name. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG).

4.10 Missbrauchsschutz (App Check)

Beim Start bestätigt die App gegenüber unserem Server über Apple App Attest (iOS) bzw. Google Play Integrity (Android), dass sie eine echte, unveränderte App ist. Dabei wird eine Gerätebestätigung an Apple bzw. Google übermittelt; Inhalte Ihrer Nutzung werden dabei nicht übermittelt. Zweck ist der Schutz vor missbräuchlichen Zugriffen und dadurch verursachten Kosten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit und dem missbrauchsfreien Betrieb unserer Dienste).

5. EMPFÄNGER UND AUFTRAGSVERARBEITER

Wir setzen zur Bereitstellung unserer Dienste u. a. folgende Auftragsverarbeiter und Dienstleister ein: Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA (Hosting der Website und Datenbank für die Formulare), Google Firebase/Google Cloud (Authentifizierung, Datenbank, Backend-Funktionen, Mitteilungen, Absturzberichte und Nutzungsanalyse der App), Google Workspace (Versand der Kontomails, Eingang der Meldungen), Mapbox (Kartendarstellung in der App). Mit diesen Anbietern bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO auf Grundlage der jeweiligen Standard-Auftragsverarbeitungsvereinbarungen der Anbieter; bei Cloudflare ist dies das Cloudflare Data Processing Addendum. Soweit personenbezogene Daten in die USA übermittelt werden, erfolgt dies auf Grundlage der EU-Standardvertragsklauseln nebst ergänzenden Maßnahmen bzw., soweit der jeweilige Anbieter zertifiziert ist, des EU-US Data Privacy Framework. Einen Übersetzungsdienst setzen wir nicht ein: Die deutsche und die englische Fassung dieser Website werden von uns selbst gepflegt.

6. SPEICHERDAUER

Wir speichern personenbezogene Daten nur so lange, wie dies für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen dies vorschreiben (z. B. handels- und steuerrechtliche Fristen bei Rechnungsdaten, bis zu zehn Jahre). Nach einem Löschwunsch werden Ihr Konto und die zugehörigen Daten nach 30 Tagen (Widerrufsfrist) und bis zu 6 Stunden gelöscht, beim Sofort-Löschen ohne Wartefrist, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht (Einzelheiten und Ausnahmen: Ziff. 4.6). Konkrete Fristen je Datenkategorie: GPS-Aufzeichnungen siehe Ziff. 4.1, Kontomails Ziff. 4.5, Meldungen (90 Tage) und Blockaden Ziff. 4.7, Beta-Signup Ziff. 3.3.

7. KEINE AUTOMATISIERTE ENTSCHEIDUNGSFINDUNG

Eine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO (einschließlich Profiling mit Rechtswirkung) findet nicht statt.

8. MINDERJÄHRIGE

Unser Angebot richtet sich nicht gezielt an Kinder unter 16 Jahren. Die Nutzung setzt ein Mindestalter von 16 Jahren voraus. Bei der Registrierung bestätigen Sie, mindestens 16 Jahre alt zu sein.

9. ÄNDERUNGEN DIESER DATENSCHUTZERKLÄRUNG

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslage oder Änderungen unseres Angebots anzupassen. Es gilt jeweils die zum Zeitpunkt Ihres Besuchs aktuelle, auf der Website veröffentlichte Fassung.