Datenschutz (App)

Stand: 2026-10-09

Diese Erklärung gilt für die AUDIVY-App. Für den Besuch der Website audivy.net (Formulare, Newsletter, Web-Analyse) gilt die separate Datenschutzerklärung der Website.

AUDIVY ist eine standortbasierte Audio-Guide-App, die dir automatisch erzeugte Audio-Inhalte zu Sehenswürdigkeiten in deiner Nähe vorliest. Der Schutz deiner Daten ist uns wichtig. Diese Datenschutzerklärung erklärt, welche personenbezogenen Daten AUDIVY verarbeitet, zu welchem Zweck, an welche Dritten sie weitergegeben werden, wie lange sie gespeichert werden und wie du der Verarbeitung widersprechen oder eine Löschung verlangen kannst.

Hinweis zur Verteilung. AUDIVY ist im Apple App Store und bei Google Play erhältlich. Daneben gibt es Testfassungen für geschlossene Testgruppen (TestFlight, Google-Play-Testkanäle, Firebase App Distribution), die zusätzliche Funktionen enthalten können. Wo das für die Datenverarbeitung eine Rolle spielt, steht es an der betreffenden Stelle.

Hinweis zum AUDIVY-Server. AUDIVY betreibt einen eigenen Server in Deutschland (api.audivy.net). Er erfüllt zwei Aufgaben: er verwaltet dein Konto (siehe „Kontodaten aus der Registrierung") und er erzeugt die Audio-Inhalte — jede Anfrage an das Sprachmodell und an die Sprachausgabe läuft über ihn, angemeldet mit deinem Konto (siehe „Daten bei der Erzeugung der Audio-Inhalte"). Deine Hörhistorie, deine Bewertungen und deine Lesezeichen werden dort nicht gespeichert, und es entsteht kein Standortverlauf: in die Datenbank geht von den Inhalts-Anfragen nur ein tagesbezogener Zähler zur Kostenkontrolle. In den technischen Betriebsprotokollen steht daneben je erzeugter Erzählung eine Zeile mit der Kennung des Ortes (siehe Abschnitt 5). Deine genauen Koordinaten erreichen den AUDIVY-Server nicht; sie gehen zur Laufzeit ausschließlich an die Wikipedia-Geosuche. Der Kartenkachel-Dienst erhält davon getrennt nur die Koordinaten des Kartenausschnitts, den du gerade siehst (siehe „Drittparteien").

Verantwortliche Stelle

Verantwortlich für die Datenverarbeitung im Sinne der DSGVO:

araucon GmbH
Blasius-Hogger-Weg 4, 83404 Ainring, Deutschland
Geschäftsführer: Florian Auer
Kontakt für Datenschutz-Anfragen: privacy@audivy.net

Die vollständigen Anbieterangaben (Handelsregister, Umsatzsteuer-Identifikationsnummer) findest du im Impressum auf https://audivy.net/impressum.

Datenkategorien — welche Daten verarbeitet werden

1. Standortdaten

AUDIVY benötigt deinen Standort, um Sehenswürdigkeiten (POIs) in deiner Nähe zu finden und dir passende Audio-Inhalte abzuspielen. Je nach gewähltem Modus fragt die App die Standortberechtigung „Beim Verwenden der App" oder „Immer" (für den Hintergrund-Auto-Modus) ab.

• Deine Standortkoordinaten (Breiten- und Längengrad) werden zur Laufzeit an die Wikipedia-Geosuche übermittelt, um nahegelegene Orte zu ermitteln (siehe „Drittparteien").
• Beim Anzeigen der Karte werden Kartenausschnitts-Koordinaten (Kartenkachel-Anfragen, die ungefähr deinem aktuell sichtbaren Kartenbereich entsprechen) an den Kartenkachel-Dienst CARTO übermittelt, um die Basiskarte darzustellen (siehe „Drittparteien").
• Beim Erzeugen eines Audio-Inhalts erhält der AUDIVY-Server keine Koordinaten, sondern nur eine grobe Entfernungs- und Richtungsangabe zu dem einen Ort, um den es geht („du stehst unmittelbar davor" / „weniger als 200 Meter entfernt" / „einige hundert Meter entfernt" / „nicht vor Ort", dazu ein Richtungswort wie „nördlich"). Einzelheiten dazu, was dabei übertragen wird, stehen unter „5. Daten bei der Erzeugung der Audio-Inhalte".
• AUDIVY führt keinen Standortverlauf: Deine Koordinaten werden nirgends gespeichert, und in der Datenbank des AUDIVY-Servers entsteht keine Historie der von dir besuchten Orte (Privacy by Design). Die Angaben aus dem vorigen Punkt werden für die Erzeugung verwendet und nicht in der Datenbank abgelegt. Getrennt davon laufen die technischen Betriebsprotokolle des Servers: dort steht zu jeder erzeugten Erzählung eine Zeile mit der Kennung des betreffenden Ortes (siehe Abschnitt 5 und „Speicherdauer").

2. Kontodaten aus der Registrierung

Für die Nutzung von AUDIVY ist eine Anmeldung erforderlich. Du kannst dich mit E-Mail-Adresse und Passwort registrieren oder „Mit Apple anmelden" bzw. „Mit Google anmelden" verwenden.

Bei der Registrierung mit E-Mail und Passwort schicken wir dir eine einmalige Bestätigungsmail mit einem Link („Double Opt-In"). Dein Konto wird erst freigeschaltet, wenn du diesen Link geöffnet hast — vorher ist keine Anmeldung möglich. So ist nachweisbar, dass die Adresse dir gehört, und niemand kann mit einer fremden Adresse ein Konto auf deinen Namen anlegen. Bestätigst du nicht, bleibt das Konto gesperrt und lässt sich nicht nutzen; auf Zuruf an support@audivy.net entfernen wir es. Bei „Mit Apple anmelden" und „Mit Google anmelden" entfällt dieser Schritt: dort hat der jeweilige Anbieter die Adresse bereits geprüft.

Dabei werden auf dem AUDIVY-Server folgende Daten gespeichert:

• eine Konto-Kennung, aus der hervorgeht, auf welchem Weg du dich angemeldet hast (Apple, Google oder E-Mail und Passwort)
• deine E-Mail-Adresse — bei „Mit Apple anmelden" auch dann, wenn du die Weitergabe deiner echten Adresse ablehnst und Apple eine Weiterleitungsadresse erzeugt; gespeichert wird dann diese Weiterleitungsadresse
• bei der Registrierung mit E-Mail und Passwort: der von dir eingegebene Name und das Passwort ausschließlich als kryptografischer Hash, niemals im Klartext
• bei „Mit Apple/Google anmelden": die Kennung, unter der dich Apple bzw. Google führt, und der Name des Anbieters. Einen von dort übermittelten Anzeigenamen speichert AUDIVY nicht.
• Erneuerungs-Token, damit du angemeldet bleibst, ebenfalls nur als Hash. Der eigentliche Zugriffs-Token wird nicht gespeichert; er wird bei jeder Anmeldung neu erzeugt und läuft nach 60 Minuten ab.
• ein Zähler fehlgeschlagener Anmeldeversuche und, falls dein Konto deshalb vorübergehend gesperrt wird, der Zeitpunkt, bis zu dem die Sperre gilt — zum Schutz vor Angriffen auf dein Passwort
• wenn du dein Passwort zurücksetzen lässt: der Wiederherstellungs-Code (nur als Hash) sowie kurzzeitig ein Eintrag in der Versand-Warteschlange mit deiner E-Mail-Adresse und dem Text der Nachricht (siehe „Speicherdauer")
• ob deine E-Mail-Adresse bestätigt ist, und — bis zur Bestätigung — der Bestätigungs-Token aus der Bestätigungsmail, ebenfalls nur als Hash; dazu kurzzeitig derselbe Eintrag in der Versand-Warteschlange wie oben (siehe „Speicherdauer")

Wo das läuft: Der Server wird von AUDIVY selbst betrieben, steht in Deutschland (Hetzner Online GmbH, siehe „Drittparteien") und ist von außen ausschließlich über eine verschlüsselte Verbindung (HTTPS) erreichbar; die Datenbank ist nicht aus dem Internet erreichbar. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags).

Was dort NICHT gespeichert wird: deine Hörhistorie, deine Bewertungen und deine Lesezeichen. Diese Daten bleiben auf deinem Gerät (siehe Abschnitt 3). Ein Standortverlauf entsteht nicht (siehe Abschnitt 1 und Abschnitt 5).

Löschung: Du kannst dein Konto jederzeit löschen. Dabei werden dein Konto-Eintrag, die Verknüpfung zu Apple bzw. Google und alle Erneuerungs-Token endgültig gelöscht. Was dabei heute nicht mitgelöscht wird, steht unter „Widerruf und Löschung deiner Daten" — dort findest du auch, wie du dessen Löschung verlangen kannst.

3. Nutzungsdaten auf dem Gerät

Folgende Daten werden ausschließlich lokal auf deinem Gerät in einer App-eigenen Datenbank gespeichert und nicht an AUDIVY oder Dritte übertragen:

• Hörhistorie — welche POI-Audios du angehört hast
• Bewertungen — deine Daumen-hoch/-runter-Bewertungen von Inhalten
• Lesezeichen / Merkliste — von dir gemerkte POIs
• Abo-/Entitlement-Status — lokaler Freemium-Zähler und Berechtigungen
• Kurzumfrage-Antworten — deine Antworten auf In-App-Kurzumfragen, einschließlich etwaiger Freitext-Eingaben. Der Freitext verbleibt ausschließlich auf dem Gerät; an PostHog wird nur eine normalisierte, PII-bereinigte Fassung übermittelt (siehe „Diagnose- und Analyse-Telemetrie").
• POI-Inhalts-Cache — zwischengespeicherte Orts-Beschreibungen, Audio-Inhalte und Ortsbilder (lokaler Datei-Cache u. a. für Wikipedia-Vorschaubilder)

4. Diagnose- und Analyse-Daten (nur mit deiner Zustimmung)

AUDIVY kann pseudonymisierte, PII-bereinigte Absturz-, Diagnose- und Nutzungs-Ereignisse erfassen, um die App stabiler und besser zu machen. Diese Absturz- und Nutzungs-Telemetrie ist standardmäßig deaktiviert und erfolgt nach deiner Zustimmung (Opt-In im Onboarding oder über den Schalter in den Einstellungen). Ausnahme in den Testfassungen: In den Fassungen, die derzeit über TestFlight, die Google-Play-Testkanäle und Firebase App Distribution verteilt werden, ist dieser Schalter beim ersten Start vorbelegt auf „an", damit die Testgruppe nicht einzeln zustimmen muss. Du kannst ihn dort jederzeit in den Einstellungen ausschalten.

Was ein „Nein" bedeutet — und was nicht. Lehnst du ab oder schaltest du den Schalter aus, endet die oben beschriebene Erfassung vollständig. AUDIVY zählt danach jedoch weiterhin anonym mit, wie oft einzelne Schritte der App-Einrichtung und der Abo-Ansicht aufgerufen werden. Diese Zählung ist eine eigene, technisch getrennte Verarbeitung: sie speichert und liest nichts auf deinem Gerät, verwendet eine nur im Arbeitsspeicher erzeugte Sitzungs-Kennung, die spätestens beim nächsten Start der App wechselt, und lässt sich weder dir noch deinem Gerät zuordnen. Sie ist deshalb nicht einwilligungsbedürftig. Die vollständige Liste der dabei erfassten Ereignisse und Merkmale steht unter „Anonyme Nutzungsstatistik (ohne Einwilligung)".

Fehlerberichte, die du selbst absendest. Meldest du über „Problem melden" in den Einstellungen einen Fehler, werden dein Beschreibungstext, die von dir ausgewählten Bilder und die jüngste App-Protokolldatei an Sentry übertragen. Du löst diese Übermittlung aktiv aus, und sie ist vom Diagnose-Schalter unabhängig. Was du in den Text schreibst und welche Bilder du auswählst, entscheidest du — sieh sie bitte vorher durch, sie werden unverändert übertragen.

Davon getrennt gibt es In-App-Kurzumfragen: Wenn du eine Kurzumfrage beantwortest oder ausdrücklich schließt, wird ein pseudonymisiertes, PII-bereinigtes Ereignis (Umfrage-Kennung, normalisierter Antwortwert bzw. Schließen-Grund, Bearbeitungsdauer) übermittelt. Mit übertragen werden dabei Plattform und App-Fassung, eine grobe Bewegungsklasse (stehend, gehend oder im Fahrzeug) und — sofern du der Diagnose-Erfassung zugestimmt hast — die Kennung der zugehörigen Bildschirmaufzeichnung. Diese Kurzumfrage-Erfassung ist über einen eigenen Schalter „Kurzumfragen erlauben" in den Einstellungen steuerbar und ist standardmäßig aktiviert; das Beantworten oder Schließen der Umfrage gilt dabei als deine Einwilligung in diese einzelne Übermittlung. Du kannst sie jederzeit in den Einstellungen abschalten. Details siehe Abschnitt „Diagnose- und Analyse-Telemetrie".

5. Daten bei der Erzeugung der Audio-Inhalte

Die Texte und die Sprachausgabe zu einem Ort entstehen nicht auf deinem Gerät. Die App fragt sie beim AUDIVY-Server an (api.audivy.net, betrieben in Deutschland), und dieser holt sie bei den Sprach- und Sprachausgabe-Diensten in der Tabelle unter „Drittparteien". Die Anfrage ist mit deinem Konto angemeldet, ist AUDIVY also zuordenbar.

Übermittelt werden dabei:

• Name und Kategorie des Ortes und der Quelltext, aus dem die Erzählung entsteht (in der Regel der Wikipedia-Artikel zu diesem Ort)
• deine Inhalts-Einstellungen: gewählte Sprache, gewählte Altersstufe, gewählte Interessen und deren Tiefe, Art der Fortbewegung, gewünschte Länge sowie Stimme und Sprechgeschwindigkeit
• eine grobe Entfernungs- und Richtungsangabe zu genau diesem einen Ort (siehe Abschnitt 1) — keine Koordinaten. Bewegst du dich gerade, kommt die Lage des Ortes relativ zu deiner Fahrtrichtung hinzu („auf 11 Uhr")
• die Kennung des Ortes, damit der Server die Anfrage technisch zuordnen kann
• der erzeugte Text, wenn er anschließend in Sprache umgewandelt wird

Nicht gespeichert werden: die Anfrage selbst, der Quelltext, der erzeugte Text und die erzeugte Audio-Datei. Der Server leitet sie weiter bzw. an dein Gerät zurück und behält sie nicht. Die fertige Audio-Datei wird auf deinem Gerät zwischengespeichert (siehe Abschnitt 3).

Gespeichert wird ein Zähler zur Kostenkontrolle. Damit die Kosten der Erzeugung begrenzt bleiben und ein einzelnes Konto sie nicht aufbrauchen kann, zählt der Server pro Konto und pro Tag, wie viele Erzeugungs-Anfragen gestellt wurden. Gespeichert werden dafür nur die Konto-Kennung, der Tag, diese Zahl und der Zeitpunkt der letzten Zählung — kein Ort, kein Inhalt und keine Angabe zu einzelnen Anfragen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Begrenzung der Betriebskosten und an der Verhinderung von Missbrauch).

Technische Server-Protokolle. Wie bei jedem Webdienst entstehen beim Betrieb Protokolle (Zugriffsprotokoll des Webservers, Systemprotokoll des Dienstes). Sie dienen ausschließlich dem Betrieb und der Fehlersuche und werden nicht zur Bildung von Nutzungsprofilen ausgewertet. Sie enthalten die IP-Adresse und die angefragte Adresse; das Systemprotokoll hält außerdem zu jeder erzeugten Erzählung eine Zeile mit der Kennung des betreffenden Ortes fest und, wenn eine Anfrage am Kostendeckel abgewiesen wird, die Konto-Kennung. Zur Aufbewahrung siehe „Speicherdauer".

6. Benachrichtigungen von AUDIVY (Gerätetoken)

AUDIVY kennt zwei Arten von Mitteilungen, und sie verarbeiten unterschiedliche Daten. Der Unterschied ist wichtig, weil nur die zweite überhaupt einen Server berührt.

a) Mitteilungen in der Nähe eines Ortes — bleiben auf deinem Gerät. Kommst du in die Nähe eines Ortes und hast diese Zustellart gewählt, erzeugt die App die Mitteilung selbst, auf dem Gerät. Dabei verlässt nichts dein Gerät: kein Standort, keine Kennung, keine Mitteilung. Es gibt hierfür keinen Server.

b) „Neuigkeiten von AUDIVY" — gelegentliche Hinweise von uns. Damit wir dich auf neue Inhalte und Funktionen hinweisen können, ohne dass du die App offen hast, braucht es einen technischen Zustellweg. Dafür stellt dein Betriebssystem ein Gerätetoken aus — eine lange, zufällige Zeichenfolge, mit der genau dein Gerät erreichbar ist. Die App meldet dieses Token an den AUDIVY-Server (api.audivy.net, betrieben in Deutschland).

Gespeichert wird dazu:

• das Gerätetoken selbst,
• eine Installations-Kennung (eine zufällige Zeichenfolge, die die App einmal auf deinem Gerät erzeugt) und die Plattform (Android oder iOS),
• die App-Version, die Sprache und die Zeitzone deines Geräts,
• der Zeitpunkt der Anmeldung und der letzten Aktualisierung,
• falls du ein Konto hast und angemeldet bist: zusätzlich die Kennung deines Kontos. Ohne Konto bleibt der Eintrag ohne diese Verknüpfung — der Zustellweg gehört dem Gerät, nicht einem Konto.

Ausdrücklich NICHT gespeichert: kein Standort, keine Koordinaten, kein Ort, an dem du warst oder bist. Die Zeitzone ist die einzige Angabe mit einem entfernten Ortsbezug; sie steht dort allein, damit eine Mitteilung nicht mitten in der Nacht bei dir ankommt, und sie hat die Genauigkeit eines Kontinent-Viertels.

Empfänger. Um dein Gerät zu erreichen, gibt es keinen Weg an den Plattform-Betreibern vorbei. Der AUDIVY-Server übermittelt die Mitteilung an Google (Firebase Cloud Messaging) auf Android bzw. an Apple (Apple Push Notification service) auf iOS; von dort wird sie an dein Gerät zugestellt. Dabei werden das Gerätetoken sowie Titel und Text der Mitteilung übermittelt. Siehe die Tabelle unter „Drittparteien".

Rechtsgrundlage. Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Die Einwilligung ist die Erlaubnis für Mitteilungen, die du deinem Betriebssystem gegeben hast, zusammen mit dem Schalter „Neuigkeiten von AUDIVY" in den App-Einstellungen (Einstellungen → App).

Widerruf — auf zwei Wegen, beide sofort wirksam:

• In der App: Einstellungen → App → „Neuigkeiten von AUDIVY" ausschalten. Die App meldet den Eintrag beim Server ab.
• Im Betriebssystem: Mitteilungen für AUDIVY abschalten. Dann kann dich keine Mitteilung mehr erreichen. Den Eintrag auf dem Server meldet die App beim nächsten Öffnen ab.

Ein abgemeldeter Eintrag wird deaktiviert und nicht mehr für Mitteilungen verwendet; das Gerätetoken bleibt zunächst gespeichert (siehe „Speicherdauer"). Löschst du dein Konto, werden alle mit diesem Konto verknüpften Einträge vollständig gelöscht.

Was wir hierzu zählen. Wir zählen, wie viele Geräte die Erlaubnis erteilt haben, wie viele eine Mitteilung angetippt haben und wie viele sie wieder abbestellen — damit wir merken, wenn es zu viele Mitteilungen werden. Diese Zählung läuft über die in Abschnitt 4 beschriebene Analyse-Telemetrie und enthält weder das Gerätetoken noch die Installations-Kennung.

Zweck der Verarbeitung

• Funktionsbereitstellung — Ermittlung naheliegender Sehenswürdigkeiten und Erzeugung der zugehörigen Audio-Inhalte (Art. 6 Abs. 1 lit. b DSGVO, Erfüllung des Nutzungsvertrags).
• Personalisierung — Anpassung des POI-Audio-Streams an deine Interessen und deinen Standort (Art. 6 Abs. 1 lit. b DSGVO; Hörhistorie, Bewertungen und Lesezeichen verbleiben dafür auf dem Gerät).
• Begrenzung der Betriebskosten und Missbrauchsverhinderung — Zählung der Erzeugungs-Anfragen pro Konto und Tag (Art. 6 Abs. 1 lit. f DSGVO, siehe Abschnitt 5).
• Betrieb und Fehlersuche — technische Server-Protokolle des AUDIVY-Servers und serverseitige Fehlerberichte (Art. 6 Abs. 1 lit. f DSGVO, siehe Abschnitt 5 und „Drittparteien").
• Fehleranalyse und Verbesserung — nur bei erteilter Zustimmung: Stabilität, Absturzanalyse und Verständnis der Nutzung zur Produktverbesserung.
• Anonyme Nutzungsstatistik — ohne Einwilligung, weil weder eine Speicherung noch ein Auslesen auf deinem Endgerät stattfindet (§ 25 Abs. 1 TDDDG) und die Angaben keiner Person zuordenbar sind: Erkennen, an welcher Stelle die App-Einrichtung abgebrochen wird. Einzelheiten unter „Anonyme Nutzungsstatistik (ohne Einwilligung)".

Minderjährige (Art. 8 DSGVO)

AUDIVY richtet sich an ein erwachsenes Publikum und ist nicht gezielt auf Kinder ausgerichtet. Der Kindermodus (kindgerechte Inhaltsfilterung) ist nicht in jeder Fassung von AUDIVY enthalten; derzeit wird er ausschließlich in den geschlossenen Testfassungen angeboten. Wo er angeboten wird, gilt: Er setzt kein Kinderkonto voraus und verlangt keine Angaben zur Person des Kindes — kein Name, kein Geburtsdatum, kein Foto. Das für die Nutzung erforderliche Konto ist das Konto der erwachsenen Person, die AUDIVY einrichtet; für den Kindermodus wird kein eigenes Kinderkonto angelegt (siehe Abschnitt „Kontodaten aus der Registrierung").

Übertragen wird bei aktivem Kindermodus die gewählte Altersstufe (z. B. „4 bis 6 Jahre") — als Einstellung des Erwachsenen-Kontos, damit die Erzählung altersgerecht erzeugt wird. Sie geht denselben Weg wie die übrigen Inhalts-Einstellungen (siehe Abschnitt 5). Sie sagt etwas über das Alter, für das die Erzählung gedacht ist, aber nichts darüber, wer zuhört: weder Name noch Geburtsdatum, und kein eigener Datensatz zum Kind.

Soweit sich AUDIVY für die Diagnose- und Analyse-Telemetrie auf eine Einwilligung als Rechtsgrundlage stützt (Art. 6 Abs. 1 lit. a DSGVO), ist diese Erfassung standardmäßig deaktiviert und nur nach ausdrücklichem Opt-In wirksam. Bei Kindern unter 16 Jahren ist eine solche Einwilligung nach Art. 8 Abs. 1 DSGVO nur wirksam, soweit sie durch die Träger der elterlichen Verantwortung erteilt oder gebilligt wird. Wir bitten Eltern und Erziehungsberechtigte daher, die Nutzung durch Minderjährige zu begleiten und die Diagnose-/Analyse-Erfassung nur mit ihrer Zustimmung zu aktivieren. Erhalten wir Kenntnis, dass uns ohne erforderliche Einwilligung personenbezogene Daten eines Kindes übermittelt wurden, löschen wir diese unverzüglich — wende dich hierzu an privacy@audivy.net.

Drittparteien — an wen Daten weitergegeben werden

Zur Erzeugung der Audio-Inhalte und zur Fehleranalyse bindet AUDIVY folgende externe Dienste ein. Die Spalte „Weg" sagt, ob der Dienst direkt von deinem Gerät angefragt wird — dann erreicht ihn technisch bedingt auch die IP-Adresse deines Geräts, sofern in der Zeile nichts anderes steht — oder über den AUDIVY-Server, der dann als Absender auftritt (siehe Abschnitt 5). Die Hetzner-Zeile beschreibt keinen Empfänger im Netz, sondern den Betreiber des AUDIVY-Servers selbst:

Dienst	Anbieter	Weg	Übermittelte Daten	Zweck
Wikipedia / Geosuche	Wikimedia Foundation, Inc. (USA)	direkt vom Gerät	ungefähre Standortkoordinaten, Orts-Suchbegriffe, Artikel- und Bild-Bezeichner	Ermittlung naheliegender Sehenswürdigkeiten, Quelltexte und Ortsbilder
CARTO (Basiskarte)	CARTO, Inc. (USA)	direkt vom Gerät	Kartenkachel-Anfragen (Kartenausschnitts-Koordinaten, die ungefähr deinem sichtbaren Kartenbereich entsprechen)	Anzeige der Basiskarte (Kartenkacheln)
Azure OpenAI (Sprachmodell)	Microsoft (Azure)	über den AUDIVY-Server	Name und Kategorie des Ortes, der Quelltext zu diesem Ort, deine Inhalts-Einstellungen und die grobe Entfernungs- und Richtungsangabe zu diesem Ort (siehe Abschnitt 5) — keine Kontodaten, keine Koordinaten, nicht die IP-Adresse deines Geräts	Erzeugung der Orts-Beschreibungstexte
Azure Text-to-Speech	Microsoft (Azure)	über den AUDIVY-Server	der erzeugte Beschreibungstext, Stimme und Sprechgeschwindigkeit — keine Kontodaten, nicht die IP-Adresse deines Geräts	Umwandlung des Textes in gesprochene Audio-Ausgabe (Standard-Stimme)
ElevenLabs (Premium-Stimme, USA)	ElevenLabs Inc. (USA)	über den AUDIVY-Server	der erzeugte Beschreibungstext, Stimme und Sprechgeschwindigkeit — keine Kontodaten, nicht die IP-Adresse deines Geräts (als Absender tritt der AUDIVY-Server auf)	Umwandlung des Textes in die Premium-Audio-Ausgabe („Leon"); Standard für alle, in den Einstellungen abschaltbar. Übermittlung auf Grundlage des EU-US Data Privacy Framework (Art. 45 DSGVO)
Azure Communication Services (E-Mail-Versand, EU-Region)	Microsoft (Azure)	über den AUDIVY-Server	deine E-Mail-Adresse und der Inhalt der Nachricht (ein einmalig verwendbarer Code bzw. ein einmalig verwendbarer Bestätigungs-Link, kein Passwort, keine Kontodaten)	Versand der Bestätigungsmail bei der Registrierung mit E-Mail und Passwort sowie der E-Mail, mit der du dein Passwort zurücksetzen kannst
Sentry (SaaS, EU-Region) — Fehlerkanal der App	Functional Software, Inc. / Sentry	direkt vom Gerät	pseudonymisierte, PII-bereinigte Absturz- und Diagnose-Ereignisse (nur nach Opt-In)	Absturz- und Fehleranalyse, Produktverbesserung
PostHog (Cloud, EU-Region / Frankfurt) — Verarbeitung 1: mit Einwilligung	PostHog, Inc. (Hosting in der EU)	direkt vom Gerät	pseudonymisierte, PII-bereinigte Produkt-Nutzungs-Ereignisse (nur nach Opt-In), verknüpft mit einer zufälligen anonymen Kennung (keine Werbe-ID); IP-Adresse wird nicht ausgewertet ($geoip_disable); zusätzlich Bildschirmaufzeichnungen in Wireframe-Darstellung (Text-Eingaben und Bilder maskiert, keine Logausgaben — Details siehe „Bildschirmaufzeichnungen (Session Replay)") sowie Kurzumfrage-Ereignisse (normalisierter Antwortwert, kein Freitext; steuerbar über „Kurzumfragen erlauben")	Produkt-Analyse (Funnel, Feature-Adoption), Auswertung von Kurzumfragen und Nachvollziehen gemeldeter Fehler zur Produktverbesserung
PostHog (Cloud, EU-Region / Frankfurt) — Verarbeitung 2: anonyme Nutzungsstatistik, ohne Einwilligung	PostHog, Inc. (Hosting in der EU)	direkt vom Gerät	eine abschließende Liste von zehn Zähl-Ereignissen mit zehn kategorischen Merkmalen (namentlich aufgeführt unter „Anonyme Nutzungsstatistik"), verknüpft mit einer nur im Arbeitsspeicher erzeugten Sitzungs-Kennung, die spätestens beim nächsten Start der App wechselt und nirgends gespeichert wird; die IP-Adresse wird verworfen ($ip = null); kein Personenprofil, kein Ortsbezug, keine Bewegungsangabe, keine Bildschirmaufzeichnung	Erkennen, an welcher Stelle Nutzerinnen und Nutzer die App-Einrichtung abbrechen — ohne Bezug zu einer Person oder einem Gerät
Firebase Cloud Messaging (Mitteilungen an Android-Geräte)	Google Ireland Limited / Google LLC	über den AUDIVY-Server	das Gerätetoken deines Android-Geräts sowie Titel und Text der Mitteilung — keine Kontodaten, kein Standort, nicht die IP-Adresse deines Geräts (als Absender tritt der AUDIVY-Server auf)	Zustellung der Mitteilungen „Neuigkeiten von AUDIVY“ (siehe Abschnitt 6). Nur wenn du den Schalter in den App-Einstellungen aktiviert hast
Apple Push Notification service (Mitteilungen an iOS-Geräte)	Apple Distribution International Ltd. / Apple Inc.	über den AUDIVY-Server	das Gerätetoken deines iPhone/iPad sowie Titel und Text der Mitteilung — keine Kontodaten, kein Standort, nicht die IP-Adresse deines Geräts (als Absender tritt der AUDIVY-Server auf)	Zustellung der Mitteilungen „Neuigkeiten von AUDIVY“ (siehe Abschnitt 6). Nur wenn du den Schalter in den App-Einstellungen aktiviert hast
RevenueCat (Abo-Verwaltung, USA)	RevenueCat, Inc. (USA)	direkt vom Gerät	eine von RevenueCat selbst erzeugte anonyme App-Nutzerkennung (nicht dein AUDIVY-Konto, nicht deine E-Mail-Adresse), der Kaufbeleg aus dem App Store bzw. Google Play, die gekaufte Produkt-Kennung und technische Geräte- und Plattformangaben	Prüfen, ob ein Abo aktiv ist, und Wiederherstellen von Käufen auf einem neuen Gerät. Nur im Store-Kanal aktiv; im Beta-Kanal findet kein Kauf statt
Hetzner (Betrieb des AUDIVY-Servers, Deutschland)	Hetzner Online GmbH, Gunzenhausen	Betreiber des AUDIVY-Servers	die unter „Kontodaten aus der Registrierung" genannten Kontodaten, die Inhalts-Anfragen aus Abschnitt 5 und der dortige Zähler, technisch bedingt auch Verbindungsdaten wie die IP-Adresse	Betrieb der Server, auf denen der AUDIVY-Dienst läuft (Konto und Erzeugung der Audio-Inhalte)
Sentry (SaaS, EU-Region) — Fehlerkanal des Servers, unabhängig von deiner Zustimmung	Functional Software, Inc. / Sentry	über den AUDIVY-Server	Fehlerberichte des Servers, weitgehend bereinigt: E-Mail-Adresse, IP-Adresse, Anfrage-Inhalt und Anfrage-Parameter werden vor dem Senden entfernt. In den technischen Begleitzeilen eines Fehlers (Fehlertext, Aufrufliste, die letzten Protokollzeilen) können eine Orts-Kennung, eine Konto-Kennung und die Kennung deiner App-Fassung (User-Agent) enthalten sein	Erkennen von Störungen des AUDIVY-Servers (Art. 6 Abs. 1 lit. f DSGVO)

Es findet kein Verkauf personenbezogener Daten an Dritte statt. Die Übermittlung an Wikipedia, CARTO, das Azure-Sprachmodell, die Azure-Sprachausgabe und ElevenLabs erfolgt ausschließlich, um die Kernfunktion (naheliegende Orte finden, Karte darstellen, Audio erzeugen) bereitzustellen; der Mailversand über Azure Communication Services dient allein dem Versand der Bestätigungsmail bei der Registrierung und der Passwort-Wiederherstellung. Bei den Sprach- und Sprachausgabe-Diensten tritt dabei der AUDIVY-Server als Absender auf, nicht dein Gerät; diese Dienste erhalten daher weder deine Kontodaten noch die IP-Adresse deines Geräts (siehe Abschnitt 5).

Deine E-Mail-Adresse wird an Azure Communication Services nur in genau zwei Fällen übermittelt: wenn du dich mit E-Mail und Passwort registrierst (für die einmalige Bestätigungsmail, siehe Abschnitt 2) und wenn du selbst eine Passwort-Wiederherstellung oder eine erneute Bestätigungsmail anforderst. Nicht bei der Anmeldung und nicht im laufenden Betrieb. Der Versand läuft über die EU-Region desselben Microsoft-Vertragsrahmens wie die übrigen Azure-Dienste oben.

Die Übermittlung von Absturz- und Diagnose-Ereignissen an Sentry sowie von Produkt-Nutzungs-Ereignissen an PostHog (EU-Region) erfolgt nur, wenn du der Diagnose- und Analyse-Erfassung zugestimmt hast; die Übermittlung von Kurzumfrage-Ereignissen an PostHog erfolgt, solange der Schalter „Kurzumfragen erlauben" (standardmäßig aktiviert) nicht abgeschaltet ist.

Davon zu unterscheiden ist der Fehlerkanal des AUDIVY-Servers (letzte Zeile der Tabelle). Er läuft unabhängig von deiner Zustimmung, weil er zum Betrieb des Dienstes gehört und nicht der Produktanalyse dient. E-Mail-Adresse, IP-Adresse, Anfrage-Inhalt und Anfrage-Parameter werden vor dem Senden entfernt. Vollständig anonym ist der Kanal damit nicht: die technischen Begleitzeilen eines Fehlers werden nicht bereinigt und können eine Orts-Kennung, eine Konto-Kennung und die Kennung deiner App-Fassung enthalten. Ausgewertet werden sie ausschließlich zur Störungsbehebung.

Davon zu unterscheiden ist die anonyme Nutzungsstatistik (Verarbeitung 2 in der Tabelle oben). Sie läuft auch ohne deine Einwilligung und ist der Grund, weshalb ein „Nein" beim Zustimmungs-Dialog nicht bedeutet, dass gar nichts mehr erfasst wird. Sie ist eine eigenständige, technisch getrennte Verarbeitung mit einer eigenen, abschließenden Feldliste — Einzelheiten und die vollständige Aufzählung findest du unter „Anonyme Nutzungsstatistik (ohne Einwilligung)".

Kauf und Abo. Der Kauf selbst läuft über Apple bzw. Google, die dabei als eigene Verantwortliche handeln; AUDIVY erhält weder deine Zahlungsdaten noch deine Rechnungsanschrift. RevenueCat übernimmt nur die Prüfung des Kaufbelegs und die Wiederherstellung auf einem neuen Gerät und arbeitet dabei mit einer eigenen anonymen Kennung, die AUDIVY nicht mit deinem Konto verknüpft. RevenueCat, Inc. sitzt in den USA und ist nicht unter dem EU-US Data Privacy Framework zertifiziert; Grundlage der Übermittlung sind die EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.

Hinweis zur Premium-Stimme (ElevenLabs) und zum US-Datentransfer. Die Premium-Stimme („Leon") ist standardmäßig für alle aktiv und kann in den Einstellungen unter „Sprachausgabe" jederzeit auf die Standard-Stimme (Azure) zurückgestellt werden. ElevenLabs verarbeitet den erzeugten Beschreibungstext auf Servern in den USA. Grundlage dieser Übermittlung ist der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO): die Eleven Labs Inc. ist unter dem EU-U.S. Data Privacy Framework aktiv zertifiziert (Teilnehmerliste des US-Handelsministeriums, https://www.dataprivacyframework.gov/list). Ergänzend bindet der Auftragsverarbeitungsvertrag von ElevenLabs die EU-Standardvertragsklauseln ein. Die EU-Datenresidenz mit Zero-Retention ist bei ElevenLabs nur im Enterprise-Tarif verfügbar; AUDIVY nutzt den Standard-Tarif (US-Hosting), der erzeugte Beschreibungstext kann dort also gespeichert bleiben. Dieses verbleibende Restrisiko ist dokumentiert.

Speicherdauer

• Daten auf dem Gerät (Hörhistorie, Bewertungen, Lesezeichen, Abo-Status): bleiben gespeichert, bis du sie löschst — entweder über die jeweiligen Lösch-Funktionen in den Einstellungen oder durch Deinstallation der App.
• POI-Inhalts-Cache: wird automatisch nach 24 Stunden als veraltet behandelt und neu geladen; eine Deinstallation entfernt den Cache vollständig.
• Diagnose-/Absturz-Ereignisse (Sentry): werden gemäß den Aufbewahrungsfristen von Sentry (EU-Region) gespeichert; die Erfassung kann jederzeit über den Einstellungs-Schalter beendet werden.
• Produkt-Nutzungs-Ereignisse (PostHog, EU-Region): werden gemäß den Aufbewahrungsfristen von PostHog (EU-Region / Frankfurt) gespeichert; die Erfassung kann jederzeit über denselben Diagnose-/Analyse-Schalter beendet werden.
• Anonyme Nutzungsstatistik (PostHog, EU-Region): unterliegt denselben Aufbewahrungsfristen. Ein Widerruf ist hier weder vorgesehen noch möglich — weil die Angaben keiner Person zuordenbar sind, gibt es niemanden, für den gelöscht werden könnte. Die Sitzungs-Kennung verfällt ohnehin mit dem Schließen der App.
• Gerätetoken für Mitteilungen (Abschnitt 6): bleibt gespeichert, solange der Zustellweg besteht. Schaltest du „Neuigkeiten von AUDIVY“ aus oder entziehst du im Betriebssystem die Erlaubnis, wird der Eintrag deaktiviert und nicht mehr für Mitteilungen verwendet; das Gerätetoken selbst bleibt dabei zunächst gespeichert, damit „abbestellt“ von „nie angemeldet“ unterscheidbar bleibt. Meldet die Plattform (Google bzw. Apple), dass das Token nicht mehr gültig ist — etwa nach einer Deinstallation —, wird der Eintrag ebenfalls deaktiviert. Löschst du dein Konto, werden alle mit diesem Konto verknüpften Einträge vollständig gelöscht. Eine automatische Frist für Einträge ohne Konto-Verknüpfung gibt es derzeit nicht; sie werden mit der Deinstallation der App auf dem Gerät unbrauchbar, der Eintrag auf dem Server verbleibt bis zur nächsten Rückmeldung der Plattform.
• Kontodaten (E-Mail-Adresse, Name, Passwort-Hash bzw. Kennung von Apple oder Google): werden gespeichert, solange dein Konto besteht. Löschst du dein Konto, werden sie unmittelbar und endgültig gelöscht.
• Sitzungs-Token: Der Zugriffs-Token läuft nach 60 Minuten ab und wird nicht gespeichert; er wird bei der Anmeldung und bei jeder Erneuerung neu erzeugt. Der Erneuerungs-Token ist 30 Tage gültig. Beim Abmelden und bei jeder Erneuerung wird er entwertet — der entwertete Eintrag (der Hash, die Konto-Kennung und die Zeitstempel, nicht der Token selbst) bleibt gespeichert, damit eine Wiederverwendung erkannt werden kann, und wird erst bei der Kontolöschung entfernt. Eine automatische Frist gibt es dafür derzeit nicht.
• Bestätigungs-Token aus der Bestätigungsmail: ab dem Versand der E-Mail 24 Stunden einlösbar, danach wertlos. Der Hash wird spätestens 24 Stunden nachdem er eingelöst, ersetzt oder abgelaufen ist gelöscht; der Eintrag in der Versand-Warteschlange wird nach dem Versand sofort um den Nachrichtentext gekürzt und spätestens 24 Stunden später vollständig gelöscht.
• Wiederherstellungs-Code fürs Passwort: ab dem Versand der E-Mail 60 Minuten einlösbar. Der Eintrag in der Versand-Warteschlange wird nach dem Versand sofort um den Nachrichtentext gekürzt und spätestens 24 Stunden später vollständig gelöscht; ebenso der Code-Hash, spätestens 24 Stunden nachdem er eingelöst, ersetzt oder abgelaufen ist.
• Zähler zur Kostenkontrolle (Konto-Kennung, Tag, Anzahl, Zeitpunkt der letzten Zählung — siehe Abschnitt 5): wird derzeit nicht automatisch gelöscht und bleibt auch nach einer Kontolöschung stehen. Näheres und der Weg zur Löschung stehen unter „Widerruf und Löschung deiner Daten".
• Technische Server-Protokolle: Das Zugriffsprotokoll des Webservers wird täglich gewechselt und nach 14 Tagen gelöscht. Das Systemprotokoll des Dienstes ist der Größe nach begrenzt und wird laufend von neuen Einträgen überschrieben; eine feste Frist gibt es dafür derzeit nicht.

Widerruf und Löschung deiner Daten

• Diagnose-/Analyse-Erfassung widerrufen: Schalte die Zustimmung jederzeit in den App-Einstellungen aus. Ab dem Widerruf werden keine weiteren Diagnose-Ereignisse mehr gesendet. Die anonyme Nutzungsstatistik läuft danach weiter — sie beruht nicht auf deiner Einwilligung und ist daher auch nicht widerrufbar; es gibt bei ihr weder eine Kennung noch einen Datensatz, der dir zugeordnet werden könnte. Was sie erfasst, steht abschließend unter „Anonyme Nutzungsstatistik (ohne Einwilligung)".
• Kurzumfrage-Telemetrie abschalten: Deaktiviere den Schalter „Kurzumfragen erlauben" in den App-Einstellungen. Danach werden keine Kurzumfrage-Ereignisse mehr an PostHog übermittelt.
• Lokale Daten löschen: In den Einstellungen gibt es „Hörverlauf löschen" (unter „App") und „Bewertungen löschen". Gemerkte Orte entfernst du in der Bibliothek unter „Gespeicherte AUDIVYs" über „Auswählen" (auch mehrere zugleich); einen einzelnen Ort entfernst du über das Lesezeichen-Symbol, während sein Audio läuft. Eine Deinstallation der App entfernt alle gerätelokalen Daten, auch den Inhalts-Cache.
• Standortzugriff widerrufen: Entziehe AUDIVY die Standortberechtigung jederzeit in den Systemeinstellungen deines Geräts.
• Konto löschen: In den Einstellungen unter „Konto löschen". Gelöscht werden dabei dein Konto-Eintrag mit E-Mail-Adresse und Name, ein gespeicherter Passwort-Hash, die Verknüpfung zu Apple bzw. Google und alle Erneuerungs-Token. Die Anleitung dazu steht auch auf der Seite zur Kontolöschung.
• Was die Kontolöschung heute NICHT mitlöscht: zwei Einträge. (1) Den Zähler zur Kostenkontrolle aus Abschnitt 5 — er bleibt als tagesbezogene Zahl zu deiner Konto-Kennung stehen, auch wenn es das Konto nicht mehr gibt, und enthält keinen Ort und keinen Inhalt. (2) In dem seltenen Fall, dass eine von dir angeforderte Wiederherstellungs-Mail nie versendet werden konnte, den zugehörigen, dauerhaft unbrauchbaren Code-Eintrag (Hash des Codes, Konto-Kennung, Zeitpunkt). Beide sind nur über die Konto-Kennung zuzuordnen — frage ihre Löschung daher am besten unter privacy@audivy.net an, bevor du dein Konto löschst, solange die Zuordnung zu deiner E-Mail-Adresse noch besteht. Danach können wir sie dir nicht mehr zuordnen. Eine automatische Löschung ist vorgesehen, hat aber noch keinen Termin.
• Auskunft / weitergehende Löschanfragen: Wende dich an privacy@audivy.net. Wir bearbeiten deine Anfrage im Rahmen der gesetzlichen Fristen.

Diagnose- und Analyse-Telemetrie (Detail)

AUDIVY trennt Observability und Produkt-Analyse auf zwei EU-Backends: Absturz- und Fehler-Ereignisse laufen über Sentry SaaS in der EU-Region, Produkt-Nutzungs-Ereignisse über PostHog Cloud in der EU-Region / Frankfurt (löst den vormaligen Sentry-Analyse-Pfad ab). Beide laufen durch einen strikten Opt-In-Gate: Ohne deine ausdrückliche Zustimmung (Onboarding-Schritt oder Einstellungen-Schalter) wird kein solches Ereignis gesendet. Davon getrennt läuft die anonyme Nutzungsstatistik auch ohne Einwilligung — mit eigener, abschließender Feldliste und ohne jede Speicherung auf deinem Gerät; siehe den gleichnamigen Abschnitt unten. In-App-Kurzumfragen sind davon getrennt geregelt (eigener Schalter „Kurzumfragen erlauben", standardmäßig aktiviert — siehe unten). Jedes gesendete Ereignis durchläuft zusätzlich einen Filter („Allowlist gewinnt") — nicht ausdrücklich freigegebene Felder werden verworfen.

Anonyme Nutzungsstatistik (ohne Einwilligung)

Diese Verarbeitung ist von der oben beschriebenen getrennt und läuft unabhängig davon, ob du der Diagnose- und Analyse-Erfassung zugestimmt hast.

Warum sie ohne Einwilligung zulässig ist. Sie speichert nichts auf deinem Endgerät und liest nichts von ihm aus (§ 25 Abs. 1 TDDDG), und die übermittelten Angaben sind keiner Person zuordenbar. Die dabei verwendete Kennung ist eine Zufallszahl, die im Arbeitsspeicher erzeugt und nirgends gespeichert wird. Sie lebt genau so lange, wie die App im Speicher deines Geräts gehalten wird, und ist spätestens nach einem Neustart der App eine andere. Holst du AUDIVY aus dem Hintergrund zurück, ohne dass dein Gerät die App zwischenzeitlich beendet hat, bleibt es dieselbe Zufallszahl. Aus diesem Grund kann AUDIVY über diesen Weg nicht verlässlich erkennen, ob du wiederkehrst — das ist eine bewusst in Kauf genommene Einschränkung, keine Nebenwirkung.

Erfasste Ereignisse — diese elf und keine weiteren:

Ereignis	Bedeutung
app_open	Die App wurde geöffnet.
onboarding_step_completed	Ein Schritt der App-Einrichtung wurde abgeschlossen.
onboarding_skipped	Ein Schritt der App-Einrichtung wurde übersprungen.
paywall_shown	Die Abo-Ansicht wurde angezeigt.
paywall_upgrade_clicked	In der Abo-Ansicht wurde auf „Upgrade" getippt.
paywall_dismissed	Die Abo-Ansicht wurde geschlossen.
coming_soon_clicked	Ein noch nicht verfügbares Feature wurde angetippt.
kids_upsell_shown	Der Hinweis auf den Kinder-Modus wurde angezeigt.
kids_upsell_clicked	Der Hinweis auf den Kinder-Modus wurde angetippt.
best_of_charts_opened	Die „Best of"-Liste wurde geöffnet.
session_expired_relogin	Die Anmeldung war abgelaufen und die App hat zur erneuten Anmeldung geführt.

Erfasste Merkmale — diese elf und keine weiteren: step_name, last_step, reason, dismiss_reason, feature_key, screen, surface, cold_or_warm, count, top_score, trigger. Alle sind kategorisch (fest aufgezählte Werte oder vor-gruppierte Zahlen), keines enthält Freitext.

Hinzu kommen technische Angaben zum Build: Betriebssystem und dessen Hauptversion, App-Version, Abo-Stufe (free / basic / pro / beta_tester) und der Release-Kanal. Außerdem trägt jedes Ereignis das Merkmal consent_tier mit dem festen Wert anonymous — es sagt nichts über dich aus, sondern kennzeichnet, zu welcher der beiden getrennten Verarbeitungen der Datensatz gehört, damit die einwilligungsbasierten und die einwilligungsfreien Daten auch in der Auswertung nie vermischt werden.

Ausdrücklich nicht übermittelt werden über diesen Weg: die Kennung des einwilligungsbasierten Pfades, Ortsangaben jeder Art (auch keine Sehenswürdigkeits-Kennung), Bewegungs- oder Aktivitätsangaben, Personenprofile oder Personen-Merkmale, sowie Bildschirmaufzeichnungen — eine Aufzeichnung ist ihrem Wesen nach nicht anonymisierbar und ist von dieser Verarbeitung dauerhaft ausgeschlossen.

Zur IP-Adresse: Im einwilligungsbasierten Pfad wird sie nicht ausgewertet ($geoip_disable). In der anonymen Nutzungsstatistik wird sie darüber hinaus verworfen ($ip = null) und damit nicht gespeichert.

Standort-Berechtigungs-Funnel

Zwei Ereignisse messen den Verlauf von der Standort-Berechtigungs-Anfrage bis zum Ergebnis, getrennt nach Auslöser und Berechtigungs-Stufe:

Ereignis	Merkmale (Tags)	Bedeutung
location_permission_requested	request_source, permission_type	Ein System-Dialog zur Standort-Berechtigung wird angezeigt.
location_permission_outcome	request_source, permission_type, outcome	Ergebnis nach der Nutzer-Entscheidung.

Es werden keine GPS-Koordinaten, keine Berechtigungs-Klartext-Begründung und kein Gerätemodell übertragen — nur kategorische, fest aufgezählte Ergebnis-Tags.

Bildschirmaufzeichnungen (Session Replay)

Hast du der Diagnose- und Analyse-Erfassung zugestimmt, zeichnet AUDIVY zusätzlich den Ablauf deiner Nutzung auf und übermittelt diese Aufzeichnung an PostHog (EU-Region / Frankfurt). Die Aufzeichnung hängt am selben Opt-In-Schalter wie alle übrigen Analyse-Ereignisse: Ohne deine ausdrückliche Zustimmung wird nichts aufgezeichnet und nichts gesendet. Schaltest du die Diagnose- und Analyse-Erfassung in den Einstellungen ab, endet auch die Aufzeichnung.

Aufgezeichnet wird:

• eine Wireframe-Darstellung der Oberfläche — kein Bildschirmfoto, sondern Position, Größe und Art der Bedienelemente,
• die angezeigten Beschriftungen und Texte der Oberfläche, soweit sie nicht in ein Eingabefeld eingegeben wurden — also z. B. Titel von Orten, Überschriften und Schaltflächen-Beschriftungen. Daraus ist ersichtlich, welche Inhalte dir zum Zeitpunkt der Aufzeichnung angezeigt wurden,
• deine Tipp- und Wischgesten sowie die Wechsel zwischen den Bildschirmen.

Ausdrücklich nicht aufgezeichnet werden:

• Text-Eingaben (z. B. E-Mail-Adresse, Passwort, Freitext) — sie werden maskiert,
• Bilder (z. B. Ortsfotos) — sie werden maskiert,
• Log-Ausgaben der App,
• die Karte: Sie erscheint in der Aufzeichnung als leere Fläche. Dein Kartenausschnitt und damit dein Aufenthaltsort sind in der Aufzeichnung nicht erkennbar.

Zweck ist ausschließlich, gemeldete Fehler und Bedienprobleme nachvollziehen zu können, statt sie aus einer Beschreibung rekonstruieren zu müssen.

In-App-Kurzumfragen

Beantwortest oder schließt du eine In-App-Kurzumfrage, wird ein eigenes Ereignis an PostHog übermittelt:

Ereignis	Merkmale (Tags)	Bedeutung
microsurvey_submitted	survey_id, response_value_normalized, time_to_response_seconds	Eine Kurzumfrage wurde beantwortet.
microsurvey_dismissed	survey_id, dismiss_reason	Eine Kurzumfrage wurde geschlossen.

Diese Ereignisse sind nicht an den allgemeinen Diagnose-Opt-In gekoppelt, sondern an den eigenen Schalter „Kurzumfragen erlauben" in den Einstellungen (standardmäßig aktiviert). Ein etwaiger Freitext deiner Antwort verbleibt ausschließlich lokal — an PostHog geht nur der normalisierte Antwortwert, niemals der Rohtext.

Datensicherheit

Die Übertragung an den AUDIVY-Server und an alle externen Dienste erfolgt ausschließlich verschlüsselt über HTTPS/TLS. Die publizierte Fassung dieser Datenschutzerklärung ist ebenfalls nur über HTTPS erreichbar.

Auf dem AUDIVY-Server gilt zusätzlich:

• Passwörter werden nie im Klartext gespeichert, sondern als Hash mit dem Verfahren PBKDF2 (ASP.NET Core Identity) mit Zufallswert je Konto.
• Erneuerungs-Token und Wiederherstellungs-Codes werden nur als SHA-256-Hash gespeichert. Aus der Datenbank lässt sich keiner von ihnen zurückgewinnen.
• Die Datenbank ist nicht aus dem Internet erreichbar; der Anwendungsdienst ist es nur über den Webserver, der die Verschlüsselung beendet.
• Jede Anfrage zur Erzeugung von Inhalten setzt eine gültige Anmeldung voraus.

Änderungen dieser Datenschutzerklärung

Wir aktualisieren diese Datenschutzerklärung, sobald sich die Datenverarbeitung ändert (z. B. bei Einbindung weiterer Dienste oder bei einer Erweiterung der auf dem AUDIVY-Server gespeicherten Daten). Das jeweils gültige Stand-Datum findest du am Anfang dieses Dokuments.

Änderung vom 9. Oktober 2026. Der Hinweis zur Verteilung wurde an die öffentliche Verfügbarkeit im App Store und bei Google Play angepasst.

Änderung vom 25. September 2026. Die Erzeugung der Texte und der Sprachausgabe läuft seit einer Aktualisierung der App nicht mehr direkt zwischen deinem Gerät und den Anbietern, sondern über den AUDIVY-Server. Der neue Abschnitt 5 beschreibt, was dabei übermittelt wird, dass die Anfragen nicht gespeichert werden und dass der Server pro Konto und Tag einen Zähler zur Kostenkontrolle führt. Ergänzt wurden außerdem: die Empfängerliste (Weg der Übermittlung je Dienst, Fehlerkanal des Servers), konkrete Angaben zur Speicherdauer von Token, Wiederherstellungs-Codes und Server-Protokollen, die Angaben zur Datensicherheit auf dem Server sowie der Hinweis, was eine Kontolöschung heute noch nicht mitlöscht. Die Angaben zum Kindermodus wurden an den Stand der öffentlich erhältlichen Fassung angepasst. Neu ist außerdem der Satz am Anfang, der diese Erklärung von der Datenschutzerklärung der Website abgrenzt.

Im selben Zug wurden mehrere Angaben berichtigt, die zu weit gefasst waren: entwertete Erneuerungs-Token bleiben gespeichert und werden erst bei der Kontolöschung entfernt; die Betriebsprotokolle des Servers halten zu jeder erzeugten Erzählung die Kennung des Ortes fest, nicht nur im Fehlerfall; der serverseitige Fehlerkanal ist bereinigt, aber nicht vollständig anonym; die Kontolöschung lässt in einem Sonderfall auch einen unbrauchbaren Wiederherstellungs-Code stehen; die Telemetrie-Einwilligung ist in den Testfassungen vorbelegt; und neu benannt sind die Daten, die du beim Absenden eines Fehlerberichts selbst mitschickst.