DE EN

Datenschutzerklärung

Diese Datenschutzerklärung informiert dich darüber, welche personenbezogenen Daten die App „SurvKit" verarbeitet. Sie gilt für die iOS- und die Android-Fassung und ausschließlich für die App selbst.

SurvKit ist konsequent Privacy by Design (Art. 25 DSGVO) gebaut: Die App verarbeitet personenbezogene Daten ausschließlich lokal auf deinem Gerät. Es gibt keinen Server, kein Konto, keine Cloud, keine Telemetrie und keine Analyse-SDKs. Die einzigen Ausnahmen sind das freiwillige Feedback-Formular, die Abwicklung des In-App-Kaufs und die abschaltbaren Absturzberichte - alle drei unten im Detail beschrieben.

Die Android-Fassung verarbeitet weniger. Sie hat kein Feedback-Formular und keine Absturzberichte; sie geht nur für zwei Dinge ins Netz, die du selbst anstößt: den In-App-Kauf, den Google Play abwickelt, und das Herunterladen von Offline-Kartenpaketen. Der eigene Abschnitt Android-Fassung weiter unten nennt jeden Unterschied einzeln.

Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist die natürliche Person, die „SurvKit" als Einzelentwickler herausgibt:

  • Name: B. Neuhaus
  • Anschrift: Allerstraße 26, 12049 Berlin, Deutschland
  • E-Mail: survkit@borisniehaus.de

Die vollständigen Kontaktangaben finden sich auch im Impressum.

Datenschutzbeauftragter

„SurvKit" wird von einer einzelnen Person als Einzelentwickler herausgegeben. Ein Datenschutzbeauftragter ist daher gesetzlich nicht zu benennen, und es wird keiner benannt.

Kein Konto, kein Server, keine Übertragung

SurvKit erfordert keine Registrierung und betreibt kein Backend. Sämtliche von dir eingegebenen Daten werden ausschließlich lokal auf deinem Gerät gespeichert und an niemanden übermittelt (einzige Ausnahme: das Feedback-Formular, siehe unten):

  • Notfallprofil (z. B. Blutgruppe, Allergien, Notfallkontakte) - lokal, geschützt durch iOS Data Protection
  • Dokumenten-Tresor - lokal, verschlüsselt mit AES-256-GCM, Schlüssel im iOS-Schlüsselbund
  • Standort & Tracks - nur im Arbeitsspeicher bzw. lokal gespeichert, wenn du eine Aufzeichnung startest
  • Vorrat, Notizen, Checklisten, Lernfortschritt - lokal
  • Messenger-Nachrichten - Ende-zu-Ende-verschlüsselt (Curve25519 + ChaChaPoly) direkt an ein Gerät in Bluetooth-/WLAN-Reichweite, ohne Server dazwischen

Rechtsgrundlage für diese rein lokale Verarbeitung ist die Bereitstellung der von dir angeforderten Funktionen (Art. 6 Abs. 1 lit. b DSGVO).

Internetverbindungen nur auf deine Veranlassung

Die App stellt nur dann eine Internetverbindung her, wenn du es aktiv anstößt. Dabei erhält der jeweilige Drittanbieter technisch bedingt deine IP-Adresse und einen User-Agent:

  • Offline-Kartenpakete (GitHub Releases): angefragter Dateiname; Kartendaten © OpenStreetMap (ODbL)
  • Wikipedia-Artikel (Wikipedia REST API): Titel der angefragten Artikel
  • Wetter (Open-Meteo): gerundete Koordinaten für die Vorhersage
  • Lebensmittel-Barcode-Lookup (OpenFoodFacts): die gescannte Barcode-Nummer
  • Lokales KI-Modell (Hugging Face): einmaliger Download der Modell-Datei
  • Fahrzeug-Handbücher: Aufruf des von dir gewählten Hersteller-Portals

Diese Anfragen werden von uns nicht protokolliert; es werden keine Identifikatoren über die technisch notwendigen hinaus übermittelt. Rechtsgrundlage ist die Bereitstellung der von dir ausdrücklich angeforderten Funktion (Art. 6 Abs. 1 lit. b DSGVO). Heruntergeladene Inhalte funktionieren anschließend offline.

Feedback-Formular (Supabase)

Unter Profil → Feedback geben kannst du uns eine Nachricht schicken. Das ist der einzige Weg, auf dem von dir eingegebene Inhalte das Gerät verlassen, und er wird ausschließlich durch dein Antippen von „Senden" ausgelöst - im Hintergrund wird nichts übermittelt.

Übermittelt werden: dein Feedback-Text, eine optionale E-Mail-Adresse (nur wenn du eine Antwort möchtest) sowie zur Einordnung App- und Build-Version, iOS-Version, Gerätemodell und Sprach-Einstellung. Nicht übermittelt werden Notfallprofil, Tresor-Inhalte, Standort, Vorräte, Notizen oder sonstige App-Daten. Empfänger ist eine Supabase-Datenbank (Supabase Inc.); der in der App hinterlegte Schlüssel kann Daten ausschließlich einfügen, nicht lesen. Rechtsgrundlage ist die Bearbeitung deiner Anfrage (Art. 6 Abs. 1 lit. b DSGVO).

In-App-Kauf „SurvKit Pro" (Apple / RevenueCat)

SurvKit lässt sich sieben Tage lang uneingeschränkt testen; danach werden erweiterte Bereiche über einen einmaligen In-App-Kauf freigeschaltet (kein Abo). Die Notfall-Grundfunktionen bleiben dauerhaft kostenlos. Die Kaufabwicklung übernimmt Apple (StoreKit / App Store); zur Preisanzeige, Kauf-Validierung und Wiederherstellung von Käufen nutzt die App das SDK des Dienstleisters RevenueCat, Inc.

RevenueCat erhält dabei eine anonyme, von RevenueCat generierte App-Nutzer-ID, App-Store-Belegdaten, App-Version, Gerätetyp und Sprach-Einstellung - keinen Namen, keine E-Mail-Adresse, keine Apple-ID. Der Kauf-Status wird lokal zwischengespeichert; die App fragt nicht im Hintergrund nach. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Details: Datenschutzerklärung von RevenueCat.

Absturzberichte (Sentry)

Stürzt die App ab, sendet sie beim nächsten Start einen technischen Fehlerbericht. Diese Funktion ist nach der Installation aktiv. Der Datenschutz-Schritt beim ersten Start nennt sie ausdrücklich und zeigt den zugehörigen Schalter direkt daneben; abschalten kannst du sie dort und jederzeit später unter Profil → Über die App → Diagnose. Das Abschalten wirkt sofort - das Sentry-SDK wird beendet und baut keine Verbindung mehr auf.

Übermittelt werden ausschließlich technische Angaben zum Absturz: Fehlermeldung und Aufrufliste (Stacktrace), die Stelle im Programmcode, App- und Build-Version, iOS-Version, Gerätemodell, Sprach-Einstellung und Zeitzone sowie eine pseudonyme Installations-Kennung, die das Sentry-SDK je Gerät vergibt. Nicht übermittelt werden: Bildschirmfotos, dein GPS-Standort sowie sämtliche Inhalte aus Notfallprofil, Dokumenten-Tresor, Vorratsliste oder Notizen. Es wird kein Nutzungsverhalten aufgezeichnet und kein Nutzerprofil gebildet.

Zur IP-Adresse: Die App sendet sie nicht mit. Beim Zustellen des Berichts sieht der Sentry-Server sie technisch bedingt trotzdem - das lässt sich von der App aus nicht verhindern. Für dieses Projekt ist die Option „Prevent Storing of IP Addresses" aktiviert, die Adresse wird also nicht gespeichert. Ein daraus abgeleiteter grober Standort (Land und Stadt) bleibt beim Ereignis gespeichert; das ist eine Server-Funktion von Sentry und nicht abschaltbar.

Dienstleister ist Functional Software, Inc. („Sentry"), San Francisco, Kalifornien, USA. Die Berichte gehen an die EU-Region des Dienstes (ingest.de.sentry.io) und werden in Rechenzentren innerhalb der Europäischen Union gespeichert. Grundlage ist ein Vertrag zur Auftragsverarbeitung (Data Processing Addendum als Bestandteil der Nutzungsbedingungen); für etwaige Übermittlungen in die USA gelten die Standardvertragsklauseln der EU-Kommission. Die Berichte werden nach den Aufbewahrungsfristen von Sentry automatisch gelöscht. Details: Datenschutzerklärung von Sentry.

Rechtsgrundlage ist unser berechtigtes Interesse an einer stabilen und fehlerfreien App (Art. 6 Abs. 1 lit. f DSGVO). Fehler, die nur auf bestimmten Geräten oder in bestimmten Sprachen auftreten, lassen sich anders praktisch nicht finden. Du kannst dieser Verarbeitung jederzeit widersprechen, indem du den Schalter ausschaltest (Art. 21 DSGVO).

Berechtigungen

SurvKit fragt Systemberechtigungen (Standort, Kamera, Mikrofon, Mitteilungen, lokales Netzwerk/Bluetooth) nur an, wenn eine Funktion sie braucht - etwa Kamera für den Dokumentenscanner oder Standort für Karte und Kompass. Die Daten aus diesen Berechtigungen werden ausschließlich lokal verarbeitet und niemals übertragen. Mitteilungen sind rein lokale Benachrichtigungen (z. B. Ablaufdaten im Vorrat) - es gibt keine Push-Server. Diese Aufzählung beschreibt die iOS-Fassung; welche Berechtigungen die Android-Fassung fragt und wofür, steht einzeln unter Android-Fassung.

Android-Fassung

Die Android-Fassung von SurvKit ist funktional schmaler als die für iOS, und das gilt auch für die Datenverarbeitung. Für sie trifft zu:

  • Die App verbindet sich für Offline-Kartenpakete, für das Wetter und für den Kauf. Alle drei stößt du selbst an; von allein geht nichts hinaus. Kartenpakete lädst du herunter, indem du in der Karte auf „Laden" tippst; die Dateien liegen bei GitHub Releases, das dabei technisch bedingt deine IP-Adresse, einen User-Agent und den angefragten Dateinamen erhält (Kartendaten © OpenStreetMap, ODbL). Danach arbeitet die Karte vollständig offline - beim Betrachten wird nichts nachgeladen. Das Wetter holt die App bei Open-Meteo, wenn du den Wetter-Bildschirm öffnest und den Standort freigegeben hast. Übermittelt werden dabei auf zwei Nachkommastellen gerundete Koordinaten - rund einen Kilometer genau, genug für eine Vorhersage und zu grob für eine Adresse. Für den Kauf ist Googles Play-Billing-Bibliothek eingebunden; sie bringt die Berechtigungen INTERNET und ACCESS_NETWORK_STATE mit, um Kaufvorgänge an Google zu melden. Ohne diesen Weg lässt sich in Googles Laden nichts verkaufen. Der Code-Leser schlägt nichts nach: er erkennt den Code auf dem Gerät.
  • Wohin die App sich verbinden darf, steht abschließend im Programm. Jeder Abruf läuft durch eine einzige Stelle, die genau diese sechs Gegenstellen zulässt und alles andere abweist: github.com (Kartenpakete), api.open-meteo.com (Wetter), wikipedia.org (Artikel), world.openfoodfacts.org (Lebensmittel-Barcode), www.ema.europa.eu (Beipackzettel) und huggingface.co (einmaliger Download eines KI-Modells, das anschließend auf dem Gerät rechnet). Wikipedia, die Beipackzettel und das KI-Modell gehören zu Funktionen, die die Android-Fassung derzeit noch nicht hat - sie stehen hier schon, damit dieser Text der App nicht hinterherläuft. Der Lebensmittel-Scanner ist dagegen vorhanden: er schickt die Nummer des Strichcodes an OpenFoodFacts und bekommt Name, Marke, Menge und Zutatenliste zurück. Verglichen mit deinem Allergen-Profil wird auf dem Gerät - die Liste deiner Allergene wird nicht übertragen. Ein einmal geladenes Produkt bleibt danach offline abrufbar. Übermittelt wird jeweils nur das, was die Anfrage ausmacht: ein Dateiname, gerundete Koordinaten, ein Artikeltitel, eine Barcode-Nummer. Cookies, Geräte-Kennungen und Werbe-IDs sendet die App nicht; der User-Agent nennt Name und Fassung der App, weil öffentliche Schnittstellen das verlangen. Es gibt keinen Dienst, der im Hintergrund lädt.
  • Der Bluetooth-Messenger geht nicht ins Internet. Er verbindet dein Telefon unmittelbar mit einem Gerät in der Nähe - über Bluetooth LE oder über das örtliche WLAN, ohne Server dazwischen und auch dann, wenn gar keine Internetverbindung besteht. Nachrichten sind Ende-zu-Ende verschlüsselt (X25519 zum Schlüsseltausch, HKDF-SHA256, ChaCha20-Poly1305); ob wirklich das Gerät gegenüber hängt, lässt sich über eine Sicherheitsnummer aus sechs vierstelligen Gruppen vergleichen, die auf beiden Telefonen gleich stehen muss. Nach außen sichtbar ist, solange der Bildschirm offen ist, der Anzeigename, den du selbst vergibst - wähle dort keinen Klarnamen, wenn du das nicht möchtest. Der Verlauf bleibt auf dem Gerät; gesendete Nachrichten liegen anschließend auch auf dem Gerät des Empfängers, und darüber haben wir keine Verfügung.
  • Kein Feedback-Formular (kein Supabase), keine Absturzberichte (kein Sentry) und kein RevenueCat. Der Einmalkauf läuft direkt über Google Play; ein weiterer Dritter ist nicht beteiligt. Die Zahlung wickelt Google ab (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) - wir bekommen weder deinen Namen noch deine Zahlungsdaten zu sehen, sondern nur die Auskunft, ob dieses Gerätekonto das Produkt besitzt. Dieser Ja-oder-Nein-Wert bleibt auf dem Gerät.
  • Die Testphase misst das Gerät selbst. Die sieben freien Tage stehen als Datum im App-Speicher. Es gibt dafür kein Konto, keine Kennung und keine Abfrage bei uns - wir erfahren nicht, ob oder wann du die App benutzt.
  • Die Berechtigungen, einzeln benannt. Die App trägt dreizehn Einträge im Manifest, die sich zu sieben Dingen zusammenfassen lassen. Jede wird erst dann angefragt, wenn du die Funktion öffnest, die sie braucht - keine beim Start:
  • Mitteilungen (POST_NOTIFICATIONS) für die Erinnerung an ablaufende Vorräte. Gefragt wird erst, wenn du das erste Ablaufdatum einträgst; die Meldung entsteht auf dem Gerät, ohne Push-Server.
  • Start nach dem Neustart (RECEIVE_BOOT_COMPLETED), damit diese Erinnerungen einen Neustart des Telefons überleben.
  • Standort (ACCESS_FINE_LOCATION, ACCESS_COARSE_LOCATION) für die Positionsanzeige im Kompass - Koordinaten, Höhe, UTM und MGRS -, für die eigene Position auf der Karte, für die Wegaufzeichnung und für das Wetter. In allen Fällen bis auf eines bleibt die Position auf dem Gerät: sie wird angezeigt oder, wenn du eine Aufzeichnung startest, dort gespeichert. Die eine Ausnahme ist das Wetter - dorthin gehen auf zwei Nachkommastellen gerundete Koordinaten an Open-Meteo, weil eine Vorhersage ohne Ort keine ist. Kompass und Karte funktionieren auch ohne diese Berechtigung, dann eben ohne Position. Vor Android 12 verlangt zusätzlich die Bluetooth-Suche den Standort; das ist eine Vorgabe des Systems und dient dort dem Finden von Geräten, nicht der Ortung.
  • Mikrofon (RECORD_AUDIO) für den Lärm-Messer. Es wird nichts aufgenommen. Die App rechnet aus dem laufenden Signal die Lautstärke und verwirft es sofort; nichts davon wird gespeichert oder gesendet.
  • Kamera (CAMERA) für den Code-Leser und den Dokumenten-Scanner. Der Code-Leser wertet das Bild auf dem Gerät aus und verwirft es; der Dokumenten-Scanner legt die Aufnahme direkt in den verschlüsselten Tresor auf deinem Gerät. Kein Bild verlässt das Telefon.
  • Bluetooth (BLUETOOTH_SCAN, BLUETOOTH_CONNECT, BLUETOOTH_ADVERTISE; vor Android 12 BLUETOOTH und BLUETOOTH_ADMIN) für den Bluetooth-Messenger. Gefragt wird beim Öffnen dieses Bildschirms. Die Suche trägt die Kennzeichnung neverForLocation: sie dient dem Finden von Geräten und wird nicht zur Ortung verwendet. Lehnst du ab, läuft der Messenger weiter über das örtliche WLAN. Bluetooth ist keine Voraussetzung für die App - fehlt es im Gerät, fehlt nur dieser eine Bildschirm.
  • Vordergrunddienst (FOREGROUND_SERVICE, FOREGROUND_SERVICE_LOCATION) für die Wegaufzeichnung auf der Karte. Das ist das Einzige, was weiterläuft, während die App geschlossen ist - und nur, solange du es gestartet hast: von „Aufzeichnung starten" bis „Aufzeichnung beenden", nie automatisch, nie nach einem Neustart des Telefons. Währenddessen steht eine Mitteilung mit Aus-Knopf sichtbar in der Leiste. Der aufgezeichnete Weg wird auf dem Gerät gespeichert und nirgendwohin gesendet; du kannst ihn in der App wieder löschen.
  • Aus den verwendeten Bibliotheken kommen dazu: com.android.vending.BILLING, INTERNET und ACCESS_NETWORK_STATE für den Kauf sowie USE_BIOMETRIC und USE_FINGERPRINT für App-Sperre und Tresor.
  • Verschlüsselung über den Android-Keystore. Der Dokumententresor verschlüsselt mit AES-256-GCM; der Hauptschlüssel liegt im Keystore des Geräts und lässt sich nicht auslesen. Davor steht auf Wunsch Fingerabdruck, Gesicht oder Geräte-Code. Wo oben von iOS Data Protection und Schlüsselbund die Rede ist, tritt unter Android der Keystore an dieselbe Stelle.
  • Sicherung und Export funktionieren wie beschrieben: nur auf deine Veranlassung, verschlüsselt mit deinem Passwort, abgelegt dort, wohin du sie legst.

Offline-Karte, Wetter, der Bluetooth-Messenger und der Lebensmittel-Scanner sind inzwischen enthalten und oben beschrieben. Sobald die Android-Fassung eine weitere der Funktionen bekommt, die bisher nur die iOS-Fassung hat - Wikipedia, die Beipackzettel oder den KI-Assistenten -, wird dieser Abschnitt vorher angepasst. Die sechs Gegenstellen, die dafür in Frage kommen, stehen oben bereits vollständig.

Speicherdauer und Löschung

Alle Daten liegen ausschließlich auf deinem Gerät und bleiben gespeichert, bis du sie in der App löschst oder die App deinstallierst. Ein verschlüsselter Export (Backup) erfolgt nur, wenn du ihn selbst anstößt, und wird dort gespeichert, wo du ihn ablegst.

Deine Rechte

Dir stehen die Rechte aus Art. 15-21 DSGVO zu (Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Datenübertragbarkeit) sowie das Beschwerderecht bei einer Aufsichtsbehörde (Art. 77 DSGVO). Da alle Daten lokal auf deinem Gerät liegen, kannst du Auskunft, Berichtigung und Löschung jederzeit direkt in der App selbst vornehmen. Für Fragen wende dich an survkit@borisniehaus.de.

Apple und Google als Vertriebsplattformen

SurvKit wird über den Apple App Store und über Google Play vertrieben. Der Bezug der App über einen dieser Stores unterliegt der eigenen Datenverarbeitung von Apple beziehungsweise Google (z. B. im Rahmen deines Accounts und des Downloads), richtet sich nach deren Datenschutzerklärungen und liegt außerhalb des Einflussbereichs des Verantwortlichen.

Cookies und Tracking

SurvKit setzt keine Cookies ein, betreibt kein Tracking und bindet keine Analytics- oder Werbe-SDKs ein. Es gibt keine Werbe-Identifier, keine Profilbildung und keine geräteübergreifende Wiedererkennung. Das einzige eingebundene Diagnose-SDK ist Sentry für Absturzberichte - beschränkt auf Abstürze, ohne Nutzungsverhalten und jederzeit abschaltbar (siehe oben). In der Android-Fassung ist auch das nicht enthalten.

Stand

2026-09-15

← Zurück zur App-Seite