Datenschutzerklärung Vicino

Stand: 28. September 2026 · Gilt für die App Vicino (iOS und Android, com.slash.vicino).

Inhalt

1. Verantwortlicher
2. Übersicht
3. Anonymes Konto (Firebase Authentication)
4. Kontoverknüpfung mit Apple/Google
5. Spieldaten, Statistik, Streaks (Firestore)
6. Rangliste und Anzeigename
7. Melden-Funktion und Moderation
8. Teilen der Wortbrücke (System-Share-Sheet)
9. Serverseitige Verarbeitung (Cloud Functions)
10. Rätseldateien (Cloud Storage)
11. Diese Rechtsseiten (Firebase Hosting)
12. App Check
13. Werbung, Analyse und Absturzberichte
14. Server-Logs und Audit-Protokolle
15. Backups
16. Speicherdauer und Kontolöschung
17. Empfänger und Übermittlung in Drittländer
18. Rechtsgrundlagen im Überblick
19. Deine Rechte
20. Zielgruppe und Minderjährige
21. Änderungen dieser Erklärung

1. Verantwortlicher

Karim Belkacem – SB-Techworks
Lilienthalstr. 38
93049 Regensburg
Deutschland

E-Mail: info@sb-techworks.de

Ein gesondertes Impressum (§ 5 DDG) findest du unter sb-techworks.de/impressum. Ein Datenschutzbeauftragter ist bei diesem Datenumfang und dieser Betriebsgröße nicht bestellt (Art. 37 DSGVO macht das bei diesem Verarbeitungsumfang nicht erforderlich).

2. Übersicht

Kurzfassung, Details in den folgenden Abschnitten:

Die App verarbeitet kein Zielwort und keine Rätsellösung auf eine Weise, die dich als Person betrifft — Zielwörter und Ranglisten-Rohdaten sind Spielinhalte, keine personenbezogenen Daten. Werbung, Analyse-Tools und Absturzberichte setzen wir derzeit nicht ein (Abschnitt 13).

3. Anonymes Konto (Firebase Authentication)

Beim ersten Start meldet die App dich automatisch anonym bei Firebase Authentication an. Dabei entsteht eine zufällige, für dich eindeutige Nutzer-ID (uid). Diese uid ist nötig, damit dein Spielstand, deine Statistik und deine Ranglistenplätze dir zugeordnet werden können, ohne dass du dich mit Namen, E-Mail-Adresse oder Telefonnummer registrieren musst. Ohne diese anonyme Anmeldung kann die App keine Tagesrätsel-Inhalte laden, weil diese ausschließlich über serverseitig geprüfte Zugriffe funktionieren.

Bleibt ein anonymes Konto ca. 13 Monate (396 Tage) inaktiv, ist eine automatische Löschung vorgesehen. Dieser Aufräum-Job ist während des geschlossenen Tests noch ausgeschaltet und wird vor dem allgemeinen Store-Start aktiviert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erbringung der von dir nachgefragten Spielfunktion).

4. Kontoverknüpfung mit Apple/Google

Optional kannst du dein anonymes Konto mit Sign in with Apple oder Sign in with Google verknüpfen. Ziel ist ausschließlich, deinen Spielstand geräteübergreifend zu sichern — die uid bleibt gleich, es wird kein neues Profil angelegt. Von Apple/Google übernimmt die App nur den technischen Anmeldenachweis, keine zusätzlichen Profildaten wie echten Namen oder Kontaktliste. Ist dieselbe Apple-/Google-Adresse bereits einem anderen Konto zugeordnet, wechselt die App nach Warnung in dieses bestehende Konto; das bisherige anonyme Konto wird dabei sofort gelöscht.

Meldest du dich von einem verknüpften Konto ab, geht die App wieder anonym weiter; deine Daten bleiben erhalten und kommen mit erneuter Anmeldung zurück.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (du forderst die Verknüpfung aktiv an).

5. Spieldaten, Statistik, Streaks (Firestore)

Für das Tagesrätsel speichert ausschließlich der Server (nie die App selbst) in Firestore:

• Profil (users/{uid}): Anzeigename/Pseudonym, Erstellungszeitpunkt, UI-Sprache, Rätselsprache und ähnliche Einstellungen.
• Tagesrätsel-Spielstände (users/{uid}/dailyGames/…): deine Tipps mit Rang und Zeitstempel, genutzte Hinweise, Start-/Lösezeit. Nur du selbst kannst diese Dokumente lesen.
• Statistik (users/{uid}/stats/…): gespielte/gelöste Rätsel, aktuelle und beste Streak, durchschnittliche Tippanzahl.

Für Endlos und Archiv läuft die Prüfung dagegen komplett lokal auf deinem Gerät (offene Ranglisten-Dateien, kein Server-Zugriff nötig); diese Spielstände verlassen dein Gerät nicht, außer du teilst sie aktiv (Abschnitt 8).

Missbrauchsschutz: Damit Ranglisten nicht durch automatisierte oder unplausibel schnelle Läufe verzerrt werden, prüft der Server pro Tipp ein Ratenlimit (mindestens 250 ms Abstand, höchstens 3.000 Tipps je Tagesrätsel-Spiel) und markiert auffällige Lösungen (sehr wenige Tipps, sehr kurze Zeit, großer Sprung im Rang) intern als flagged. Diese Markierung ist nur für Missbrauchsschutz und die öffentliche Rangliste relevant, nicht für dich selbst sichtbar eingeschränkt.

Ein Mehrspieler-Modus ist für eine spätere Version geplant; sobald er verfügbar ist, aktualisieren wir diese Erklärung (Abschnitt 21).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Kernfunktion, Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer funktionierenden, fairen Rangliste) für Ratenlimit und Plausibilitätsprüfung.

6. Rangliste und Anzeigename

Wenn du ein Tagesrätsel löst, kann dein Ergebnis (Anzeigename bzw. automatisch vergebenes Pseudonym, Score, Tippanzahl, benötigte Hinweise, Dauer) in einer öffentlich lesbaren Tages-Rangliste erscheinen. Standardmäßig bekommst du ein automatisch erzeugtes, lokalisiertes Pseudonym (z. B. „Neugieriger Fuchs 042"); ein eigener Anzeigename ist optional und wird gefiltert (Schimpfwortfilter über alle 5 Sprachen). Du kannst dich in den Einstellungen jederzeit aus öffentlichen Ranglisten ausblenden; dein Ergebnis zählt dann weiter für deine eigene Statistik, erscheint aber nicht mehr für andere.

Auffällig schnelle/kurze Lösungen (Abschnitt 5) erscheinen nicht in der öffentlichen Top-Liste, wohl aber weiterhin in deiner eigenen Statistik.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (du nimmst aktiv an der Rangliste teil, kannst dich jederzeit ausblenden).

7. Melden-Funktion und Moderation

Anzeigenamen in der Rangliste kannst du melden, wenn du sie für unangemessen hältst. Eine Meldung legt einen Eintrag in einer nur serverseitig lesbaren Warteschlange an (kein Client, auch nicht der gemeldete Nutzer, kann sie einsehen). Ein Mensch — zum Start der Owner persönlich — prüft offene Meldungen über ein Kommandozeilenwerkzeug mit eigenen Google-Zugangsdaten und entscheidet (Zurücksetzen des Namens, Sperren oder Verwerfen der Meldung). Jede Entscheidung wird protokolliert (Prüfprotokoll ohne Meldername/uid im Klartext der Notiz). Jede Meldung verfällt außerdem spätestens 180 Tage nach ihrer Erstellung automatisch, auch wenn niemand darüber entschieden hat; Meldungen über dich oder von dir werden zusätzlich sofort mit deiner Kontolöschung entfernt (Abschnitt 16). Es gibt keine automatische Sperre allein aufgrund einer Anzahl von Meldungen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer Community ohne missbräuchliche Anzeigenamen, App-Store-Vorgabe 1.2 für nutzergenerierte Inhalte).

8. Teilen der Wortbrücke (System-Share-Sheet)

Auf dem Lösungsbildschirm kannst du deine „Wortbrücke" (deinen Rateverlauf, ohne Zielwort) über die Teilen-Funktion deines Betriebssystems (System-Share-Sheet) weitergeben, z. B. per Mail oder Messenger. Dabei übermittelt die App selbst nichts an unsere Server; welche App den Text empfängt, bestimmst du im Systemdialog deines Geräts, und für die weitere Verarbeitung gelten dann deren eigene Datenschutzbestimmungen.

Rechtsgrundlage: Es findet insoweit keine Verarbeitung durch uns statt; soweit man die Übergabe an das Betriebssystem überhaupt als Verarbeitung ansieht, Art. 6 Abs. 1 lit. a DSGVO (du entscheidest aktiv, ob und wie du teilst).

9. Serverseitige Verarbeitung (Cloud Functions)

Tagesrätsel-Tipps, Hinweise und die Wortbrücke laufen über Cloud Functions (Google Cloud, Region europe-west3, Frankfurt). Das ist eine bewusste Architekturentscheidung: Die Zielwörter und die zugehörigen Rangdaten dieser geschützten Modi liegen nur serverseitig vor, damit sie nicht durch Analyse der App-Daten vorab bekannt werden können. Jeder Aufruf verlangt eine gültige (anonyme) Anmeldung und eine App-Check-Bestätigung (Abschnitt 12). Cloud-Functions-Instanzen laufen unter einem eigens eingerichteten, auf das Nötige beschränkten Google-Dienstkonto (vicino-functions bzw. — für Kontolöschung — vicino-functions-account, jeweils nur mit den Rechten, die die jeweilige Funktion tatsächlich braucht).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

10. Rätseldateien (Cloud Storage)

Die App lädt Vokabular- und Ranglisten-Dateien aus zwei Google-Cloud-Storage-Bereichen:

• Öffentlicher Bucket (Firebase-Standard-Bucket, technisch bedingt in der Region US-EAST1): enthält nur die öffentlichen Rätseldaten für Archiv und Endlos-Modus (Vokabular, Ranglisten-Binärdateien). Diese Dateien enthalten keine personenbezogenen Daten, nur Sprachdaten (Wörter, Nachbarschaftsbeziehungen). Zum Lesen ist aus Kostengründen ebenfalls eine (anonyme) Anmeldung nötig, ein direkter, nicht authentifizierter Download ist nicht vorgesehen.
• Privater Bucket (eigener Google-Cloud-Storage-Bucket, Region europe-west3, ausschließlich per Google-IAM-Berechtigung zugänglich, niemals mit Firebase Storage verknüpft): enthält die geschützten Rätseldaten für das Tagesrätsel. Clients haben hierauf keinen direkten Zugriff, nur die Cloud Functions lesen daraus.

Beide Speicherbereiche enthalten ausschließlich Spiel-/Sprachdaten, keine Nutzerprofile.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

11. Diese Rechtsseiten (Firebase Hosting)

Diese Datenschutzerklärung sowie die übrigen rechtlichen Seiten (Übersicht, Konto löschen) werden über Firebase Hosting (Google) ausgeliefert. Beim Aufruf entstehen die für jeden Webserver üblichen technischen Zugriffs-Logs (IP-Adresse, Zeitpunkt, aufgerufene Seite, User-Agent). Diese Seiten selbst setzen keine Cookies, kein Tracking und keine eingebetteten Drittanbieter-Inhalte ein — nur eine lokal eingebundene Schriftart und ein Stylesheet, beides vom selben Server ausgeliefert (siehe hosting/README.md, Abschnitt „Security headers"). Das Impressum liegt bewusst nicht auf dieser Seite, sondern unter sb-techworks.de/impressum (Abschnitt 1).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb der Webseite).

12. App Check

Damit Tipps und Hinweise nicht von manipulierten Apps, Bots oder automatisierten Skripten stammen, prüft Firebase App Check die Echtheit der App-Installation: auf Android über Play Integrity, auf iOS über App Attest. Dabei übermitteln Google bzw. Apple eine Geräte-/App-Integritätsbestätigung; es wird kein Nutzerprofil und keine dauerhafte Geräte-Werbekennung übertragen. Im Entwicklungsmodus (nicht im veröffentlichten Store-Build) wird stattdessen ein Debug-Verfahren genutzt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Missbrauchs- und Kostenschutz).

13. Werbung, Analyse und Absturzberichte

Werbung, Analyse und Absturzberichte setzen wir derzeit nicht ein; bevor sich das ändert, passen wir diese Erklärung an und holen, wo nötig, deine Einwilligung ein.

14. Server-Logs und Audit-Protokolle

Bei jedem Aufruf einer Cloud Function fallen technische Anwendungslogs an (welche Funktion, Status, Sprache, Rätselnummer, Antwortzeit) — bewusst ohne Zielwort, Tippinhalt oder uid im Klartext: Ein Redaktionsschritt ersetzt deine uid und betroffene Dokumentpfade in diesen Logs durch Platzhalter. Aufbewahrung: 30 Tage (Google-Plattformstandard für Cloud Logging).

Zusätzlich fallen zwei Arten von Plattform-Logs an, die außerhalb unserer Kontrolle liegen und sich nicht abschalten lassen:

• Firebase-/Identity-Platform-Audit-Logs (z. B. „Konto gelöscht", „Kontoinformation geändert") nennen deine uid im Klartext und werden von Google 400 Tage aufbewahrt.
• Anfrage-Logs der Ausführungsumgebung (Cloud Run) enthalten deine IP-Adresse und den User-Agent deines Geräts (aber keine uid) für 30 Tage.

Diese beiden Logs bleiben auch nach einer Kontolöschung für die genannte Dauer bei Google gespeichert — eine Löschung „ohne jede Spur" ist hier technisch nicht möglich, das teilen wir dir hiermit ausdrücklich mit.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Betriebssicherheit, Fehlerdiagnose und Missbrauchserkennung).

15. Backups

Für Firestore laufen tägliche Backups mit 7 Tagen Aufbewahrung. Gelöschte Daten (z. B. nach einer Kontolöschung) verschwinden dadurch innerhalb von bis zu 7 Tagen auch aus diesen Sicherungen, nicht sofort.

16. Speicherdauer und Kontolöschung

Solange du die App nutzt, bleiben Profil, Spielstände und Statistik bestehen. Ein inaktives anonymes Konto wird nach ca. 13 Monaten automatisch gelöscht (Abschnitt 3, unter dem dort genannten Vorbehalt).

Konto löschen: In den Einstellungen kannst du dein Konto vollständig löschen. Das läuft technisch in zwei Schritten ab, damit die Löschung auch bei einem Abbruch zuverlässig zu Ende geführt wird:

1. Sofort: dein Konto wird für neue Anmeldungen gesperrt (bereits ausgestellte Zugriffstoken werden ungültig gemacht).
2. Nach ca. 65 Minuten: dein Profil, alle Spielstände (dailyGames), deine Statistik, alle Ranglisteneinträge, offene und geschlossene Meldungen über oder von dir sowie dein Moderationsverlauf werden endgültig gelöscht; dein Firebase-Auth-Konto wird entfernt.

Nach Abschluss dieser beiden Schritte ist laut Architektur keine Spur deines Kontos mehr in Firestore oder Firebase Authentication auffindbar — mit den in Abschnitt 14 und 15 genannten Ausnahmen (Plattform-Audit-Logs 400 Tage, IP-Logs 30 Tage, Backups bis zu 7 Tage) sowie offenen Meldungen über dich, die unabhängig davon spätestens nach 180 Tagen verfallen (Abschnitt 7). War dein Konto mit Apple oder Google verknüpft, widerruft die App zusätzlich die Anmeldeberechtigung bei diesem Anbieter (bei Apple über eine erneute Authentifizierung, bei Google über disconnect()).

Wechselst du dein anonymes Konto durch eine Kontoverknüpfung zu einem bereits bestehenden Konto (Abschnitt 4, Konfliktfall), wird das bisherige anonyme Konto sofort gelöscht, nicht erst nach 13 Monaten.

Kontaktweg ohne die App: Für Löschanfragen, Auskunftsersuchen oder sonstige Datenschutzanliegen, wenn du die App nicht mehr installiert hast:

info@sb-techworks.de

Wir bestätigen den Eingang und schließen die Löschung ab; interne Zielvorgabe ist eine Reaktion innerhalb von 24 Stunden.

17. Empfänger und Übermittlung in Drittländer

Auftragsverarbeiter bzw. Empfänger deiner Daten:

Wo Daten in die USA oder andere Länder außerhalb der EU/des EWR übermittelt werden, stützt sich das auf Standardvertragsklauseln (SCC) aus dem jeweiligen Auftragsverarbeitungsvertrag (Google Cloud/Firebase Data Processing Addendum) und/oder die Selbstzertifizierung der jeweiligen Anbieter unter dem EU-US Data Privacy Framework (DPF).

18. Rechtsgrundlagen im Überblick

• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung/vorvertragliche Maßnahme): anonymes Konto, Spielstände, Statistik, Tagesrätsel-Funktion, Rangliste, Kontoverknüpfung und -löschung — all das, was du aktiv nutzt, indem du die App startest bzw. eine Funktion auswählst.
• Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse): Missbrauchs- und Kostenschutz (App Check, Ratenlimits, Plausibilitätsprüfung), Moderation nutzergenerierter Anzeigenamen, Betriebssicherheit/Logging, sicherer Betrieb dieser Rechtsseiten.
• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung): käme erst mit Werbung oder Analyse-Tools ins Spiel, sobald wir sie einführen (Abschnitt 13) — derzeit nicht einschlägig.

19. Deine Rechte

Nach der DSGVO hast du, soweit die jeweiligen Voraussetzungen vorliegen:

• Auskunft über die zu dir gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung („Recht auf Vergessenwerden", Art. 17 DSGVO) — in der App direkt über „Konto löschen" umsetzbar, siehe Abschnitt 16,
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO) für die auf einer Einwilligung oder einem Vertrag beruhenden, automatisiert verarbeiteten Daten,
• Widerspruch gegen auf berechtigtem Interesse gestützte Verarbeitung (Art. 21 DSGVO),
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO), soweit wir einmal eine Einwilligung von dir einholen,
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO), insbesondere beim Bayerischen Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, lda.bayern.de — das ist die für den Verantwortlichen (Abschnitt 1, Bayern) zuständige Aufsichtsbehörde.

Zur Ausübung dieser Rechte wende dich an die Kontaktdaten aus Abschnitt 1 bzw. 16.

20. Zielgruppe und Minderjährige

Vicino richtet sich an eine Zielgruppe 16 Jahre und älter (wegen der deutschen Einwilligungsaltersgrenze aus Art. 8 DSGVO für Dienste der Informationsgesellschaft). Die App richtet sich nicht gezielt an Kinder unter 16 Jahren und erhebt wissentlich keine Daten von ihnen. Diese Altersgrenze ist eine Produktentscheidung, keine abschließende Prüfung sämtlicher App-Store- bzw. Play-Jugendschutz-Anforderungen.

21. Änderungen dieser Erklärung

Diese Erklärung wird bei jeder wesentlichen Änderung der Datenverarbeitung aktualisiert, insbesondere sobald wir Werbung, Analyse-Tools oder Absturzberichte einführen (Abschnitt 13) oder einen Mehrspieler-Modus veröffentlichen (Abschnitt 5). Es gilt jeweils die zum Zeitpunkt deines App-Aufrufs aktuelle, über die App bzw. die Web-Seite abrufbare Fassung.

Stand dieser Fassung: 28. September 2026.