DATENSCHUTZERKLÄRUNG

Stand: 23. September 2026

1. VERANTWORTLICHER

Verantwortlich für die Datenverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

X-Shred UG (haftungsbeschränkt)

Emmerkämpe 24

33039 Nieheim

Deutschland

Ein betrieblicher Datenschutzbeauftragter ist derzeit nicht bestellt, da die gesetzlichen Voraussetzungen hierfür (§ 38 BDSG) nach unserer Einschätzung nicht vorliegen.

2. IHRE RECHTE ALS BETROFFENE PERSON

Sie haben jederzeit das Recht auf:

Auskunft über Ihre bei uns gespeicherten Daten (Art. 15 DSGVO)

Berichtigung unrichtiger Daten (Art. 16 DSGVO)

Löschung Ihrer Daten (Art. 17 DSGVO)

Einschränkung der Verarbeitung (Art. 18 DSGVO)

Datenübertragbarkeit (Art. 20 DSGVO)

Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)

Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Beschwerde bei einer Datenschutzaufsichtsbehörde (Art. 77 DSGVO), z. B. der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen

Zur Ausübung Ihrer Rechte genügt eine E-Mail an [email protected].

3. DATENERFASSUNG BEIM BESUCH UNSERER WEBSITE

3.1 Hosting

Unsere Website wird bei Cloudflare Pages gehostet. Vertragspartner und Auftragsverarbeiter ist Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA. Beim Aufruf der Website werden automatisch technische Zugriffsdaten (u. a. IP-Adresse, Datum/Uhrzeit, aufgerufene Seite, Browsertyp) in sogenannten Server-Logfiles verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an technisch fehlerfreiem Betrieb). Da Cloudflare seinen Sitz in den USA hat, können dabei personenbezogene Daten in die USA übermittelt werden. Grundlage dieser Übermittlung sind die EU-Standardvertragsklauseln nebst ergänzenden Maßnahmen, die über das Cloudflare Data Processing Addendum einbezogen sind.

3.2 Cookies und Einwilligung

Unsere Website setzt keine Cookies zu Statistik- oder Marketingzwecken und lädt keine einwilligungspflichtigen Inhalte Dritter nach. Schriftarten, Bilder und alle übrigen Bestandteile der Seite werden von unserer eigenen Website ausgeliefert; ein Abruf von Google Fonts oder vergleichbaren Diensten Dritter findet nicht statt. Ein Cookie-Banner kommt deshalb nicht zum Einsatz. Sollten wir künftig einwilligungspflichtige Cookies oder Dienste einsetzen, werden diese nur mit Ihrer vorherigen, freiwilligen Einwilligung gesetzt (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO) und diese Datenschutzerklärung entsprechend aktualisiert.

3.3 Beta-Signup-Formular / Warteliste

Wenn Sie sich über unser Formular für die Beta/Warteliste anmelden, erheben wir die von Ihnen freiwillig angegebene E-Mail-Adresse (ggf. weitere von Ihnen angegebene Angaben). Die Anmeldung setzt eine gesonderte, nicht vorausgewählte Checkbox voraus, mit der Sie ausdrücklich zustimmen, dass wir Sie zur Beta-Phase und zum Start der App per E-Mail kontaktieren. Zweck der Verarbeitung ist diese Kontaktaufnahme (Einladungen, Status-Updates, Produktankündigungen). Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) durch Ankreuzen der Checkbox und Absenden des Formulars. Zum Nachweis der Einwilligung speichern wir den genauen Wortlaut der Einwilligungserklärung samt Versionsnummer, den Zeitpunkt (UTC) und die Sprache, in der sie abgegeben wurde. Ihre Daten werden bis zum Abschluss der Beta-Phase bzw. bis zu Ihrem Widerruf gespeichert und danach binnen sechs Monaten gelöscht oder anonymisiert. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen — per E-Mail an [email protected], durch Antwort auf eine unserer E-Mails oder über einen Abmeldelink, soweit vorhanden.

3.4 Kontaktformular

Über unser Kontaktformular können Sie uns Name (freiwillig), E-Mail-Adresse und Nachricht übermitteln. Wir verarbeiten diese Angaben ausschließlich, um Ihre Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage der Anbahnung oder Durchführung eines Vertrags dient, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen).

3.5 Speicherort der Formulardaten

Die Angaben aus beiden Formularen (Beta-Anmeldung und Kontakt) werden in einer Datenbank unseres Hosters Cloudflare (Cloudflare D1, Datenbankname „xshred-web-eu“) gespeichert. Diese Datenbank wurde mit der Jurisdiktion „EU“ angelegt und ist damit rechtlich auf die Europäische Union beschränkt. Zusätzlich zu Ihren Eingaben speichern wir das von Cloudflare ermittelte Herkunftsland, bei der Beta-Anmeldung außerdem die von Ihrem Browser übermittelte Sprachkennung. Ihre IP-Adresse wird in dieser Datenbank nicht im Klartext gespeichert: Zum Schutz vor Missbrauch (Bots, automatisiertes Massen-Absenden) bilden wir aus Ihrer IP-Adresse und einem geheimen, nur uns bekannten Zusatzwert einen Hash, aus dem sich die IP-Adresse nicht zurückrechnen lässt. Dieser Hash wird zusammen mit einem Zeitstempel gespeichert, um mehr als fünf Formular-Einsendungen pro Stunde von derselben Adresse zu erkennen, nach etwa einer Stunde automatisch gelöscht und keiner E-Mail-Adresse zugeordnet. Rechtsgrundlage hierfür ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem funktionsfähigen, missbrauchsfreien Formular).

4. DATENVERARBEITUNG IN DER X-SHRED APP

Die folgenden Abschnitte gelten für die Nutzung der X-Shred App (iOS/Android) und ergänzen die website-bezogenen Angaben oben.

4.1 GPS-Tracking

X-Shred bietet eine GPS-Tracking-Funktion zur Aufzeichnung Ihrer Ski-/Snowboard-Abfahrten (Position in ca. 5-Sekunden-Intervallen). Die Funktion ist opt-in, d. h. sie wird nur aktiv, wenn Sie ihr ausdrücklich zustimmen, und ist jederzeit in den App-Einstellungen deaktivierbar. Standortdaten werden primär lokal auf Ihrem Gerät verarbeitet. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Zur Verbesserung unseres Angebots (z. B. Pisten-Heatmaps) können anonymisierte, nicht mehr auf Sie persönlich rückführbare Bewegungsdaten aggregiert ausgewertet werden.

Rohdaten Ihrer GPS-Tracks werden für die Dauer der Nutzung Ihres Nutzerkontos gespeichert und bei Löschung des Kontos binnen 30 Tagen dauerhaft gelöscht. Für Heatmaps werden Positionsdaten vor der Aggregation von direkten Identifikatoren (Nutzer-ID, Gerätekennung) getrennt und ausschließlich in räumlich gerasterten, nicht auf Einzelpersonen rückführbaren Cluster-Werten weiterverarbeitet.

4.2 Live-Standort mit Freunden

X-Shred bietet optional die Funktion, Ihren Live-Standort mit von Ihnen ausgewählten und ausdrücklich bestätigten Freunden zu teilen. Diese Funktion ist standardmäßig deaktiviert (opt-in) und kann jederzeit beendet werden. Eine Weitergabe Ihres Live-Standorts an andere Nutzer als die von Ihnen genehmigten Freunde sowie an Dritte außerhalb der App findet nicht statt. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

4.3 Sprachsteuerung / Wake-Word („Hey Shreddy“)

Die Spracherkennung (Wake-Word-Erkennung und Sprachbefehle) erfolgt vollständig lokal auf Ihrem Gerät („on-device“). Es findet kein Upload von Audioaufnahmen an unsere oder fremde Server statt. Lediglich der bereits lokal erkannte Text (z. B. ein umgesetzter Befehl) kann, soweit für die Funktion erforderlich, an unser Backend übermittelt werden — niemals die Audiodatei selbst. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung, da Kernfunktion der App) bzw. lit. f (berechtigtes Interesse an Funktionsfähigkeit).

Ein an unser Backend übermittelter, bereits lokal erkannter Textbefehl wird ausschließlich zur Ausführung der jeweiligen Funktion verarbeitet und nicht über die jeweilige Sitzung hinaus dauerhaft gespeichert; eine technische Zwischenspeicherung von bis zu 24 Stunden zu Diagnose- und Fehlerbehebungszwecken ist möglich.

4.4 SOS-Funktion

X-Shred bietet eine SOS-Funktion, mit der Sie im Notfall Ihren Standort an hinterlegte Kontakte senden können. Wichtiger Hinweis: Die SOS-Funktion ist KEIN Ersatz für den europäischen Notruf 112 oder vergleichbare Notrufnummern und ersetzt keine professionelle Rettung. Im Ernstfall ist immer zuerst der offizielle Notruf zu wählen. Einzelheiten zum Haftungsausschluss finden Sie in unseren Nutzungsbedingungen. Verarbeitete Daten (Standort, hinterlegte Notfallkontakte) werden ausschließlich zur Durchführung der von Ihnen ausgelösten Benachrichtigung verwendet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und, soweit einschlägig, lit. d DSGVO (Schutz lebenswichtiger Interessen).

4.5 Kontoerstellung / Anmeldung

Für die Nutzung bestimmter Funktionen ist ein Nutzerkonto erforderlich (z. B. via Google oder Apple Sign-In, bereitgestellt über Firebase Authentication, Google Ireland Ltd./Google LLC). Es werden die für die Anmeldung erforderlichen Daten (u. a. E-Mail-Adresse, Anzeigename) verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

5. EMPFÄNGER UND AUFTRAGSVERARBEITER

Wir setzen zur Bereitstellung unserer Dienste u. a. folgende Auftragsverarbeiter und Dienstleister ein: Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA (Hosting der Website und Datenbank für die Formulare), Google Firebase/Google Cloud (Authentifizierung, Datenbank, Backend-Funktionen der App), Mapbox (Kartendarstellung in der App). Mit diesen Anbietern bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO auf Grundlage der jeweiligen Standard-Auftragsverarbeitungsvereinbarungen der Anbieter; bei Cloudflare ist dies das Cloudflare Data Processing Addendum. Soweit personenbezogene Daten in die USA übermittelt werden, erfolgt dies auf Grundlage der EU-Standardvertragsklauseln nebst ergänzenden Maßnahmen bzw., soweit der jeweilige Anbieter zertifiziert ist, des EU-US Data Privacy Framework. Einen Übersetzungsdienst setzen wir nicht ein: Die deutsche und die englische Fassung dieser Website werden von uns selbst gepflegt.

6. SPEICHERDAUER

Wir speichern personenbezogene Daten nur so lange, wie dies für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen dies vorschreiben (z. B. handels- und steuerrechtliche Fristen bei Rechnungsdaten, bis zu zehn Jahre). Nach Löschung Ihres Nutzerkontos werden Ihre übrigen personenbezogenen Daten binnen 30 Tagen gelöscht, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Konkrete Fristen je Datenkategorie: GPS-Rohdaten und Voice-Text siehe Ziff. 4.1 und 4.3, Beta-Signup siehe Ziff. 3.3.

7. KEINE AUTOMATISIERTE ENTSCHEIDUNGSFINDUNG

Eine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO (einschließlich Profiling mit Rechtswirkung) findet nicht statt.

8. MINDERJÄHRIGE

Unser Angebot richtet sich nicht gezielt an Kinder unter 16 Jahren. Die Nutzung setzt ein Mindestalter von 16 Jahren voraus bzw. bei jüngeren Nutzern die Einwilligung der Erziehungsberechtigten.

9. ÄNDERUNGEN DIESER DATENSCHUTZERKLÄRUNG

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslage oder Änderungen unseres Angebots anzupassen. Es gilt jeweils die zum Zeitpunkt Ihres Besuchs aktuelle, auf der Website veröffentlichte Fassung.

PRIVACY POLICY

Last updated: September 23, 2026. This English version is provided for convenience only. In case of any discrepancy, the German version above is legally binding.

1. CONTROLLER

The controller responsible for data processing under the General Data Protection Regulation (GDPR) is:

X-Shred UG (haftungsbeschränkt)

Emmerkämpe 24

33039 Nieheim

Germany

Email: [email protected]

We have not appointed a formal Data Protection Officer, as we do not believe the statutory thresholds under German law (§ 38 BDSG) currently apply.

2. YOUR RIGHTS

You have the right at any time to:

request access to your personal data (Art. 15 GDPR)

request rectification of inaccurate data (Art. 16 GDPR)

request erasure of your data (Art. 17 GDPR)

request restriction of processing (Art. 18 GDPR)

data portability (Art. 20 GDPR)

object to processing (Art. 21 GDPR)

withdraw any consent given, with effect for the future (Art. 7(3) GDPR)

lodge a complaint with a data protection supervisory authority (Art. 77 GDPR), e.g. the data protection authority of North Rhine-Westphalia, Germany

To exercise your rights, simply email [email protected].

3. DATA COLLECTION WHEN VISITING OUR WEBSITE

3.1 Hosting

Our website is hosted on Cloudflare Pages. Our contracting party and processor is Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA. When you visit the website, technical access data (e.g. IP address, date/time, page requested, browser type) is automatically processed in server log files. The legal basis is Art. 6(1)(f) GDPR (legitimate interest in technically error-free operation). As Cloudflare is based in the US, personal data may be transferred to the US in this context. Such transfers are based on the EU Standard Contractual Clauses together with supplementary measures, incorporated by way of the Cloudflare Data Processing Addendum.

3.2 Cookies and Consent

Our website sets no cookies for statistical or marketing purposes and loads no third-party content requiring consent. Fonts, images and all other components of the site are served from our own website; no content is retrieved from Google Fonts or comparable third-party services. We therefore do not use a cookie banner. Should we use cookies or services requiring consent in the future, they will only be set with your prior, voluntary consent (§ 25(1) TDDDG, Art. 6(1)(a) GDPR), and this Privacy Policy will be updated accordingly.

3.3 Beta Signup / Waitlist Form

If you sign up via our beta/waitlist form, we collect the email address you voluntarily provide (and any other information you choose to submit). Signing up requires a separate, not pre-ticked checkbox by which you expressly agree that we may contact you about the beta phase and the app launch by email. The purpose of this processing is to contact you as described above (invitations, status updates, product announcements). The legal basis is your consent (Art. 6(1)(a) GDPR), given by ticking the checkbox and submitting the form. As proof of your consent, we store the exact wording of the consent statement together with its version number, the time (UTC) and the language in which it was given. Your data will be stored until the beta phase concludes or until you withdraw your consent, and will then be deleted or anonymized within six months. You may withdraw your consent at any time with effect for the future — by emailing [email protected], by replying to one of our emails, or via an unsubscribe link where provided.

3.4 Contact Form

Our contact form lets you send us your name (optional), your email address and a message. We process this information solely in order to answer your enquiry. The legal basis is Art. 6(1)(b) GDPR where the enquiry relates to entering into or performing a contract, and otherwise Art. 6(1)(f) GDPR (legitimate interest in responding to enquiries).

3.5 Where Form Data Is Stored

The information submitted through both forms (beta signup and contact) is stored in a database operated by our host Cloudflare (Cloudflare D1, database name “xshred-web-eu”). This database was created with the “EU” jurisdiction and is therefore legally confined to the European Union. In addition to your entries, we store the country of origin determined by Cloudflare and, for the beta signup, the language identifier transmitted by your browser. Your IP address is not stored in this database in plain text: to protect against abuse (bots, automated mass submissions) we form a hash from your IP address and a secret value known only to us, from which the IP address cannot be reconstructed. This hash is stored together with a timestamp to detect more than five form submissions per hour from the same address, is automatically deleted after about one hour, and is never linked to an email address. The legal basis for this is Art. 6(1)(f) GDPR (legitimate interest in a functioning form free from abuse).

4. DATA PROCESSING WITHIN THE X-SHRED APP

The following sections apply to use of the X-Shred app (iOS/Android) and supplement the website-related information above.

4.1 GPS Tracking

X-Shred offers a GPS tracking feature to record your ski/snowboard runs (position recorded at approx. 5-second intervals). This feature is opt-in, meaning it is only activated with your express consent, and can be disabled at any time in the app settings. Location data is primarily processed locally on your device. The legal basis is your consent (Art. 6(1)(a) GDPR). To improve our service (e.g. slope heatmaps), anonymized movement data that can no longer be traced back to you personally may be aggregated and analyzed.

Raw data from your GPS tracks is stored for the duration of your user account's use and permanently deleted within 30 days of account deletion. For heatmaps, location data is separated from direct identifiers (user ID, device identifier) prior to aggregation and is processed exclusively as spatially gridded cluster values that cannot be traced back to individual persons.

4.2 Live Location Sharing With Friends

X-Shred optionally offers a feature to share your live location with friends you have selected and expressly approved. This feature is disabled by default (opt-in) and can be stopped at any time. Your live location is never shared with anyone other than your approved friends, nor with any third parties outside the app. The legal basis is your consent (Art. 6(1)(a) GDPR).

4.3 Voice Control / Wake Word (“Hey Shreddy”)

Voice recognition (wake word detection and voice commands) takes place entirely on-device. No audio recordings are uploaded to our servers or any third party. Only the text already recognized locally (e.g. an executed command) may be transmitted to our backend where necessary for the feature to function — never the audio file itself. The legal basis is Art. 6(1)(b) GDPR (performance of contract, as this is a core app function) or (f) (legitimate interest in functionality).

A text command already recognized locally and transmitted to our backend is processed solely to execute the relevant function and is not permanently stored beyond the respective session; a technical intermediate storage of up to 24 hours for diagnostic and troubleshooting purposes is possible.

4.4 SOS Feature

X-Shred offers an SOS feature that lets you send your location to designated emergency contacts. Important: the SOS feature is NOT a substitute for the European emergency number 112 or equivalent emergency numbers, and does not replace professional rescue services. In a real emergency, always call the official emergency number first. For details on the liability disclaimer, see our Terms of Service. Data processed (location, stored emergency contacts) is used exclusively to carry out the notification you trigger. The legal basis is Art. 6(1)(b) and, where applicable, (d) GDPR (protection of vital interests).

4.5 Account Creation / Sign-In

Certain features require a user account (e.g. via Google or Apple Sign-In, provided through Firebase Authentication, Google Ireland Ltd./Google LLC). Data required for sign-in (e.g. email address, display name) is processed. The legal basis is Art. 6(1)(b) GDPR.

5. RECIPIENTS AND PROCESSORS

To provide our services, we use the following processors and service providers, among others: Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA (website hosting and the database behind our forms), Google Firebase/Google Cloud (authentication, database, backend functions of the app), Mapbox (map rendering in the app). Data processing agreements under Art. 28 GDPR are in place with these providers, based on their respective standard data processing agreements; in the case of Cloudflare this is the Cloudflare Data Processing Addendum. Where personal data is transferred to the US, this is done on the basis of the EU Standard Contractual Clauses together with supplementary measures or, where the respective provider is certified, the EU-US Data Privacy Framework. We do not use a translation service: the German and English versions of this website are maintained by us.

6. RETENTION PERIOD

We retain personal data only for as long as necessary for the respective purposes or as required by statutory retention obligations (e.g. commercial and tax law retention periods for invoicing data, up to ten years). After deletion of your user account, your remaining personal data will be deleted within 30 days, unless a statutory retention obligation applies. Specific retention periods by data category: for GPS raw data and voice text see Sections 4.1 and 4.3, for beta signup see Section 3.3.

7. NO AUTOMATED DECISION-MAKING

No automated decision-making within the meaning of Art. 22 GDPR (including profiling with legal effect) takes place.

8. MINORS

Our service is not specifically directed at children under the age of 16. Use of the service requires a minimum age of 16, or, for younger users, the consent of a parent or legal guardian.

9. CHANGES TO THIS PRIVACY POLICY

We reserve the right to amend this privacy policy to reflect changes in the law or in our service. The version published on the website at the time of your visit shall apply.