Datenschutzerklärung

1. Verantwortlicher

Mathys IT, Inhaber: Tizian Mathys, c/o Adressgeber #2105, An der Alten Ziegelei 38, 48157 Münster, E-Mail: info@countryrush.app

2. Hosting (Website)

Diese Website wird bei IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, gehostet. Beim Aufruf der Seiten verarbeitet IONOS technisch notwendige Daten (IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, User-Agent) in Server-Logfiles. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und stabilen Betrieb). Die Logfiles werden von IONOS nach spätestens acht Wochen automatisch gelöscht. Mit IONOS besteht ein Vertrag über Auftragsverarbeitung gemäß Art. 28 DSGVO.

3. Cookies und Tracking

Diese Website setzt keine Cookies ein und verwendet keine Analyse- oder Tracking-Dienste.

4. Schriftarten (lokal eingebunden)

Diese Website nutzt die Schriftart Baloo 2, die lokal auf unserem Server liegt. Beim Laden der Schrift wird keine Verbindung zu Google oder anderen Drittanbietern aufgebaut; es werden dabei keine Daten an Dritte übermittelt.

5. Datenverarbeitung in der App

Dieser Abschnitt gilt für die mobile App CountryRush. Er beschreibt, welche Daten die App verarbeitet, an wen sie übermittelt werden und auf welcher Rechtsgrundlage.

5.1 Lokal auf deinem Gerät

Spielstände, Statistiken, gesammelte Länder, Tickets und Einstellungen speichert die App auf deinem Gerät. Sobald eine Internetverbindung besteht, meldet sie dich automatisch anonym an und gleicht Spielstände, Statistiken, gesammelte Länder und Tickets mit unserem Server ab (siehe 5.2). Dafür musst du dich nicht selbst anmelden und nichts eingeben. Ohne Verbindung bleiben die Daten auf dem Gerät und werden nachgereicht, sobald die App wieder online ist.

5.2 Konto und Online-Funktionen (Supabase)

Für Bestenlisten, Wettflüge, Freundesliste und die geräteübergreifende Sicherung meldet die App dich beim Start automatisch anonym an (anonyme Nutzer-ID, ohne dass du Daten eingeben musst). Dabei verarbeiten wir über unseren Backend-Dienstleister Supabase: die anonyme Nutzer-ID, deinen Anzeigenamen, Spielergebnisse (Punkte, Modus, richtige und falsche Antworten, längste Serie, Zeitpunkt und dein lokaler Kalendertag), deine Gesamtstatistik (Spiele, Antworten, Spielzeit, beste Serie, Punkte, eingesetzte Tickets), deinen Ticket-Stand, gesammelte Länder und bereits gesehene Flaggen, Umrisse und Städte, Wettflüge und deren Ergebnisse, Freundschaften, Blockierungen und Meldungen sowie eingelöste Promo-Codes. Den Anzeigenamen tippst du nicht selbst: die App zieht ihn zufällig aus festen Wortlisten (z. B. „SwiftFalcon417“), du kannst nur zwischen gezogenen Vorschlägen wählen. Meldest du dich zusätzlich mit Google oder Apple an, speichert Supabase die Angaben, die der Anbieter dabei übermittelt, damit dein Konto auf einem neuen Gerät wiederhergestellt werden kann. Bei Google sind das deine E-Mail-Adresse, dein Name, die Adresse deines Profilbilds und deine Google-Kennung. Bei Apple auf dem iPhone fragt die App nur die E-Mail-Adresse ab (auf Wunsch Apples anonyme Weiterleitungsadresse), dazu kommt deine Apple-Kennung. Auf Android läuft die Apple-Anmeldung über den Browser; dort fragt Supabase zusätzlich deinen Namen ab, den Apple nur bei der ersten Anmeldung mitschickt. Namen und Profilbild aus diesen Konten nutzt die App nicht und zeigt sie niemandem an. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der von dir genutzten Funktionen). Dein Anzeigename und deine Ergebnisse sind für andere Nutzer in Bestenlisten, Wettflügen und der Freundesliste sichtbar. Meldungen und Blockierungen anderer Nutzer verarbeiten wir zur Moderation und Sicherheit (Art. 6 Abs. 1 lit. f DSGVO).

5.3 Push-Benachrichtigungen (Firebase Cloud Messaging)

Wenn du Benachrichtigungen aktivierst (z. B. für Wettflüge, Freundschaftsanfragen oder die Daily-Trip-Erinnerung), verarbeiten wir über Firebase Cloud Messaging (Google) einen gerätebezogenen Push-Token samt Plattform (Android oder iOS), App-Sprache und Zeitzone (z. B. „Europe/Berlin“). Die Zeitzone brauchen wir, damit Erinnerungen zu deiner Ortszeit ankommen und nicht mitten in der Nacht. Ob du Benachrichtigungen möchtest, fragt dich die App selbst, mit zwei gleichwertigen Antworten („Nein“ und „Ja, gerne“); deine Antwort kannst du jederzeit unter „Optionen“ > „Mitteilungen“ ändern. Erst nach deinem Ja fragt auch dein Gerät nach seiner Erlaubnis, sofern es dafür eine eigene Abfrage hat (Android ab Version 13 und iOS; ältere Android-Versionen haben keine, dort ist dein Ja in der App die einzige Abfrage). Den Push-Token erzeugt die App nur, wenn du in der App zugestimmt hast und dein Gerät Benachrichtigungen erlaubt. Vorher legt Firebase auf deinem Gerät keinen Token an, und an unseren Server geht nichts. Sagst du in der App Nein, schaltest du die Mitteilungen dort aus oder entziehst du die Erlaubnis in den Systemeinstellungen deines Geräts, löscht die App den Token auf dem Gerät und auf unserem Server: in der App sofort, nach einem Entzug in den Systemeinstellungen beim nächsten Öffnen der App. Ist dein Gerät in dem Moment offline, holt die App das Löschen auf unserem Server beim nächsten Öffnen mit Verbindung nach. Rechtsgrundlage ist deine Einwilligung über die Frage in der App (§ 25 Abs. 1 TDDDG für das Erzeugen und Speichern des Tokens auf dem Gerät, Art. 6 Abs. 1 lit. a DSGVO für die Verarbeitung).

5.4 Werbung (Google AdMob)

In der kostenlosen Version zeigt die App Werbung über Google AdMob. Für die Werbeauslieferung ist Google eigenständig verantwortlich, nicht unser Auftragsverarbeiter. Bei jeder Anzeigenanfrage verarbeitet Google Geräteinformationen (z. B. Modell, Betriebssystem, Sprache), die IP-Adresse sowie Einblendungen und Klicks und, soweit du es erlaubst, die Werbe-ID deines Geräts (Android: Werbe-ID von Google, iOS: IDFA).

Einwilligung im EWR, in Großbritannien und der Schweiz. Vor der ersten Anzeige holt die App dort über Googles zertifiziertes Consent-Tool (UMP, nach dem IAB-Standard TCF) deine Auswahl ein. Mit Einwilligung darf Google personalisierte Anzeigen ausliefern und dafür ein Interessenprofil über Apps und Websites hinweg bilden und nutzen. Lehnst du ab, zeigt die App weiterhin Werbung: Google liefert dann je nach deiner Auswahl nicht-personalisierte Anzeigen oder eingeschränkte Anzeigen („Limited Ads“). Eingeschränkte Anzeigen verzichten auf jede Personalisierung und auf Gerätekennungen; Speicher auf dem Gerät nutzt Google dabei höchstens zur Erkennung von Betrug und ungültigen Klicks. Lässt das Consent-Tool nach deiner Auswahl gar keine Anzeige zu, bietet die App die Wahl, Werbung zuzulassen oder den werbefreien Modus zu kaufen. Deine Auswahl kannst du in der App jederzeit unter „Optionen“ > „Datenschutz-Einstellungen“ ändern.

Tracking-Abfrage auf iOS (App Tracking Transparency). Auf dem iPhone fragt die App nach dem Consent-Tool über Apples Systemdialog, ob sie dich über Apps und Websites anderer Unternehmen hinweg tracken darf. Nur wenn du zustimmst, kann AdMob die IDFA lesen und für personalisierte Werbung und die Messung von Werbung nutzen. Lehnst du ab, gibt iOS der App statt der IDFA nur Nullen. Die Erlaubnis kannst du jederzeit in den iOS-Einstellungen unter „Datenschutz & Sicherheit“ > „Tracking“ widerrufen. Im EWR, in Großbritannien und der Schweiz braucht personalisierte Werbung auf iOS beides: deine Einwilligung im Consent-Tool und die Tracking-Erlaubnis.

Belohnungsvideos. Schaust du freiwillig ein Video an, um ein Ticket zu bekommen, übergibt die App Google zusätzlich deine anonyme Nutzer-ID und die Art des Tickets (Skip oder Zeit). Google schickt beides nach dem Video in einer signierten Bestätigung an unseren Server, damit wir dir das Ticket gutschreiben können. Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. b DSGVO.

Rechtsgrundlage für personalisierte Werbung ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Für nicht-personalisierte und eingeschränkte Anzeigen stützen wir uns auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, die kostenlose Version über Werbung zu finanzieren). Das Speichern von Informationen auf deinem Gerät und das Auslesen der Werbe-ID erfolgen nur mit deiner Einwilligung nach § 25 Abs. 1 TDDDG, die wir über das Consent-Tool und auf iOS zusätzlich über Apples Tracking-Abfrage einholen. Wie Google Daten in seinem Werbenetzwerk verarbeitet, erläutert Google unter policies.google.com/technologies/partner-sites. Wer keine Werbung möchte, kann den werbefreien Modus als In-App-Kauf erwerben.

5.5 In-App-Käufe (RevenueCat, App-Stores)

Käufe (werbefrei, Ticket-Pakete) wickelt der jeweilige App-Store (Google Play bzw. Apple App Store) ab; wir erhalten keine Zahlungsdaten. Zur Zuordnung und Wiederherstellung deiner Käufe nutzen wir den Dienst RevenueCat. Die App meldet sich dort beim Start mit deiner anonymen Nutzer-ID an, damit ein Kauf deinem Konto auch auf einem anderen Gerät folgt; bei einem Kauf kommt der Kaufbeleg hinzu. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Abwicklung des Kaufs).

5.6 Absturzberichte (Firebase Crashlytics)

Absturzberichte sendet die App nur, wenn du zustimmst. Sie fragt dich beim ersten Start danach, beide Antworten sind gleichwertig. Ohne deine Zustimmung bleibt Firebase Crashlytics (Google) ausgeschaltet, und Berichte, die das Crashlytics-Modul bei einem Absturz trotzdem auf dem Gerät ablegt, löscht die App bei jedem Start ungesendet. Stimmst du zu, löscht die App zuerst alle bis dahin gespeicherten Berichte, sodass nur Abstürze nach deiner Zustimmung übermittelt werden.

Ein Bericht enthält den Fehlerverlauf (Stacktrace) samt Fehlermeldung, bei Fehlern der Anmeldung auch den Fehlertext, den der Anmeldedienst zurückgibt; dazu Gerätemodell, Betriebssystem- und App-Version, den Zeitpunkt sowie zwei zufällige Kennungen: die Crashlytics-Installations-UUID und die Firebase-Installations-ID. Wir verknüpfen diese Kennungen nicht mit deinem Konto. Die Berichte helfen uns, Abstürze zu finden und zu beheben. Firebase Crashlytics bewahrt Berichte und Kennungen 90 Tage auf und löscht sie danach.

Rechtsgrundlage ist deine Einwilligung: § 25 Abs. 1 TDDDG für das Speichern und Auslesen auf deinem Gerät, Art. 6 Abs. 1 lit. a DSGVO für die Verarbeitung der Berichte. Du kannst sie jederzeit in der App unter „Optionen“ > „Absturzberichte senden“ widerrufen; die App schaltet Crashlytics dann ab und löscht noch nicht gesendete Berichte. Google verarbeitet die Daten als unser Auftragsverarbeiter nach den Firebase Data Processing and Security Terms. Zur Übermittlung in die USA siehe 5.8.

5.7 Direkte Abrufe bei Wikimedia und Google

Tippst du in der Statistik ein entdecktes Land an, lädt die App dessen Steckbrief zuerst von unserem Server. Liegt dort noch keiner vor, fragt sie die Eckdaten direkt bei Wikidata und die Kurzbeschreibung bei Wikipedia ab (beides Wikimedia Foundation, USA). Vor einigen Online-Aktionen (Steckbrief, Anmeldung, Ticket-Shop, Einwilligungsabfrage) prüft die App außerdem mit einer leeren Anfrage an www.gstatic.com (Google), ob eine Internetverbindung besteht. In beiden Fällen sieht der Empfänger deine IP-Adresse, den Zeitpunkt und die angefragte Adresse, aber keine Nutzer-ID und keine Spieldaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für den von dir angetippten Steckbrief und Art. 6 Abs. 1 lit. f DSGVO für die Verbindungsprüfung (berechtigtes Interesse, offline eine klare Meldung zu zeigen statt einer hängenden Anzeige).

5.8 Eingesetzte Dienstleister und Drittlandübermittlung

Als Auftragsverarbeiter setzen wir ein: Supabase (Backend, Authentifizierung, Datenbank), Google (Firebase Cloud Messaging, Firebase Crashlytics) und RevenueCat (Kauf-Zuordnung). Eigenständig verantwortlich sind Google für AdMob und Google Play, Apple für den App Store, die Tracking-Abfrage und „Mit Apple anmelden“ sowie die Wikimedia Foundation für Wikidata und Wikipedia. Dabei können Daten in Drittländer außerhalb der EU bzw. des EWR, insbesondere in die USA, übermittelt werden. Die Übermittlung erfolgt auf Grundlage der EU-Standardvertragsklauseln (Art. 46 DSGVO) bzw., soweit vorhanden, eines Angemessenheitsbeschlusses. Ein eigenes Analysewerkzeug (etwa Firebase Analytics) ist in der App nicht eingebaut. Google AdMob erhebt bei der Werbeauslieferung aber selbst Nutzungs- und Gerätedaten, misst Einblendungen und Klicks und bildet mit deiner Einwilligung bzw. Tracking-Erlaubnis Werbeprofile (siehe 5.4).

5.9 Konto und Daten löschen

Du kannst dein Konto samt aller serverseitig gespeicherten Daten jederzeit direkt in der App löschen: „Optionen“ > „Account löschen“. Damit werden dein Konto und alle zugehörigen Daten (Profil, Spielergebnisse, gesammelte Länder, Wettflüge, Freundschaften, Blockierungen, Push-Token) unwiderruflich vom Server entfernt. Alternativ kannst du die Löschung per E-Mail an info@countryrush.app verlangen; wir löschen dein Konto dann zeitnah.

5.10 Speicherdauer

Lokale Daten bleiben auf deinem Gerät, bis du sie in der App zurücksetzt oder die App deinstallierst. Serverseitige Konto- und Spieldaten speichern wir, solange dein Konto besteht, und löschen sie mit der Kontolöschung (siehe 5.9). Push-Token entfernen wir, sobald du Mitteilungen in der App ablehnst oder ausschaltest, die Erlaubnis in den Systemeinstellungen entziehst (wirksam beim nächsten Öffnen der App) oder das Konto löschst. Server-Logfiles unseres Backend-Dienstleisters werden kurzfristig zur Missbrauchs- und Fehleranalyse vorgehalten und regelmäßig gelöscht.

5.11 Mindestalter

Die App richtet sich nicht an Kinder unter 16 Jahren. Nutzer unter 16 Jahren benötigen für die Nutzung der Online-Funktionen die Einwilligung der Sorgeberechtigten.

6. Kontaktaufnahme

Wenn du uns per E-Mail kontaktierst, verarbeiten wir die übermittelten Angaben (Name, E-Mail-Adresse, Thema und Inhalt der Nachricht) ausschließlich zur Bearbeitung deiner Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, sofern deine Anfrage mit einem Vertrag zusammenhängt, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen). Die Angabe deiner Daten ist freiwillig, ohne sie können wir deine Anfrage allerdings nicht beantworten. Die Daten werden gelöscht, sobald sie für die Bearbeitung nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten bestehen.

7. Drittlandübermittlung und Profiling

Über diese Website findet keine Übermittlung deiner Daten in Länder außerhalb der EU bzw. des EWR statt. Für die Datenverarbeitung in der App gilt Abschnitt 5.8 (Übermittlung an Dienstleister, unter anderem in die USA, auf Grundlage der EU-Standardvertragsklauseln). Eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO, die dir gegenüber rechtliche Wirkung entfaltet, findet nicht statt. Profiling gibt es aber bei personalisierter Werbung: Hast du eingewilligt, bildet Google Interessenprofile und wählt danach Anzeigen aus (siehe 5.4). Ohne deine Einwilligung entfällt das.

8. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO). Soweit eine Verarbeitung auf deiner Einwilligung beruht (z. B. Push-Benachrichtigungen, Absturzberichte, personalisierte Werbung), kannst du diese jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO), ohne dass die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung berührt wird. Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO).

9. Stand

1. Oktober 2026. Diese Erklärung wird bei Änderungen der App oder Website aktualisiert.