Datenschutzerklärung

Der Schutz deiner Daten ist uns wichtig. Diese App ist „offline-first" – deine Daten liegen primär auf deinem Gerät und werden für die geräteübergreifende Nutzung in deiner persönlichen Cloud gespeichert. Wir zeigen keine Werbebanner, binden keine Werbenetzwerke ein und verkaufen keine Daten. Die Teile-Empfehlung verlinkt Shops teilweise über Provisionslinks – gekennzeichnet und ohne Mehrkosten für dich (siehe Abschnitt 13). Zur Verbesserung der App erheben wir eine pseudonyme Nutzungsstatistik, der du in den Einstellungen jederzeit widersprechen kannst (siehe Abschnitt 10). Auf unseren öffentlichen Marketing-Seiten setzen wir Web-Analyse zusätzlich nur mit deiner Einwilligung ein (siehe Abschnitt 10).

1. Verantwortlicher

Tobias Meixner, c/o Online-Impressum #7711, Europaring 90, 53757 Sankt Augustin, Deutschland.
E-Mail: support@bikecare.app

2. Konto (E-Mail/Passwort, „Mit Apple anmelden", „Mit Google anmelden")

Zur Anmeldung speichern wir deine E-Mail-Adresse, deinen optionalen Namen und dein Passwort ausschließlich als kryptografischen Hash (PBKDF2) – niemals im Klartext. Zweck: Anmeldung und geräteübergreifende Speicherung. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Alternativ kannst du dich „Mit Apple anmelden" oder „Mit Google anmelden". Dabei erhalten wir von Apple bzw. Google eine eindeutige Nutzerkennung und – sofern du zustimmst – deine E-Mail-Adresse, um dein Konto anzulegen bzw. zuzuordnen. Bei „Mit Apple anmelden" kannst du wählen, ob deine echte Adresse oder eine anonyme Weiterleitungsadresse („…@privaterelay.appleid.com") übermittelt wird. Rechtsgrundlage: Vertragserfüllung bzw. vorvertragliche Maßnahme (Art. 6 Abs. 1 lit. b DSGVO). Apple (Apple Distribution International Ltd., Irland) und Google (Google Ireland Ltd.) betreiben ihren jeweiligen Anmeldedienst als eigenständig Verantwortliche; dafür gelten zusätzlich deren eigene Datenschutzhinweise (Apple: apple.com/legal/privacy/data/de/sign-in-with-apple). Die Verknüpfung kannst du in den Einstellungen jederzeit trennen.

3. App-Daten (Räder, Teile, Touren, Service)

Die von dir erfassten Daten werden in deiner persönlichen Cloud gespeichert, um sie auf all deinen Geräten verfügbar zu halten. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Dokumente & Belege (optional). Wenn du Belege hochlädst (z. B. Kaufrechnung, Werkstattrechnung, Garantie, Foto), speichern wir die Datei privat in deinem Konto bei Cloudflare R2 mit Speicherort in der EU, dazu Dateiname, Dateityp, Größe, Prüfsumme, optionales Dokumentdatum und die Zuordnung zu Rad oder Service. Nur du kannst sie abrufen; sie erscheinen weder in der Käufer-Vorschau noch in Freigabe-Links oder im PDF. BikeCare prüft weder Inhalt noch Echtheit. Belege können Angaben Dritter enthalten (z. B. Name des Händlers) – lade nur hoch, was du speichern darfst. Du kannst jeden Beleg jederzeit löschen; beim endgültigen Löschen des Rads oder deines Kontos werden sie mitgelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Eigenes Rad-Foto (optional, BikeCare Pro). Mit Pro kannst du je Rad ein eigenes Foto hinterlegen, das die App statt der Zeichnung zeigt. Die App verkleinert es vor dem Hochladen auf deinem Gerät; unser Server entfernt zusätzlich die eingebetteten Metadaten (z. B. Aufnahmeort, Kameradaten, Beschreibung). Wir speichern das Foto privat in deinem Konto bei Cloudflare R2 mit Speicherort in der EU, dazu Dateityp, Größe, Prüfsumme und Zeitpunkt. Nur du kannst es abrufen; wir werten es nicht aus, und es erscheint weder in der Käufer-Vorschau noch in Freigabe-Links, im PDF oder bei der Übergabe des Rads. Endet Pro, bleibt das Foto gespeichert und wird nur unscharf angezeigt, bis du wieder Pro hast oder es löschst. Du kannst es jederzeit löschen (Rad bearbeiten → Foto entfernen), auch ohne Pro; beim endgültigen Löschen des Rads oder deines Kontos wird es mitgelöscht. Eine Kopie liegt auf deinem Gerät (Abschnitt 9). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Freigabe-Link für Käufer (optional). Erstellst du einen Freigabe-Link, speichern wir einen eingefrorenen Auszug deines Serviceberichts (Marke/Modell, Wartungsverlauf; ohne Kosten, Notizen und Belege; Rahmennummern nur maskiert). Jede Person mit dem Link kann ihn bis zum Ablauf (7 bis 180 Tage) abrufen. Du kannst ihn jederzeit widerrufen; abgelaufene oder widerrufene Freigaben werden nach 30 Tagen gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

BikeCare-Pass und Übergabe an einen neuen Besitzer (optional). Öffnest du für ein Rad den BikeCare-Pass, legen wir dazu einen Datensatz an: eine Pass-Kennung und die Angabe, dass dieses Rad seit wann in deinem Konto geführt wird. Der Pass zeigt, wer ein Rad in BikeCare führt; er ist kein rechtlicher Eigentumsnachweis. Übergibst du das Rad, erzeugen wir auf deinen Wunsch einen Übertragungslink: einmal verwendbar, gültig für 7 Tage und nur bei der Erstellung sichtbar. Wer ihn einlöst, übernimmt das Rad und erhält die dokumentierte technische Historie und den aktuellen neutralen Fahrradstatus als eigenen Abschnitt des Passes – ohne jede Angabe zu dir: ohne Name, ohne E-Mail-Adresse, ohne Notizen, ohne Kosten, ohne Strava-Aktivitäten und ohne Belege. Dein Rad bleibt bei dir als archivierte private Kopie. Übernimmst du umgekehrt ein Rad, siehst du die Abschnitte früherer Perioden, ebenfalls ohne Angaben zu den Personen. Löschst du das Rad endgültig oder dein Konto, wird der Pass mitgelöscht, solange kein früherer Besitzer einen Abschnitt daran hat; gibt es einen, bleibt der Pass ohne aktuellen Besitzer bestehen, und deine geschlossene Periode verliert den Bezug zu deinem Konto. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die Abschnitte früherer Perioden unser berechtigtes Interesse und das des jeweiligen Besitzers an einer nachvollziehbaren Historie (Art. 6 Abs. 1 lit. f DSGVO).

Partnerwerkstätten – nur nach deiner Freigabe. Gibst du ein einzelnes Rad für eine Partnerwerkstatt frei, kann diese die Wartungsangaben dieses einen Rades in einer begrenzten Form einsehen und einen Vorgang bestätigen. Ohne deine Freigabe erhält keine Werkstatt Zugriff, und nie auf ein anderes deiner Räder. Du stellst dafür einen Code aus, der genau einmal verwendbar ist und binnen 30 Minuten eingelöst werden muss; wir speichern ihn nur als Prüfsumme. Die Freigabe gilt höchstens 90 Tage. Du kannst sie jederzeit widerrufen – das wirkt sofort –, und sie endet von selbst, wenn du das Rad weitergibst. Die Aufzeichnung einer beendeten Freigabe löschen wir nach 30 Tagen; löschst du das Rad endgültig oder dein Konto, sofort.

Was die Werkstatt sieht: Baujahr, Radtyp und Motorsystem, Kilometer und ihre Aufteilung nach Quelle, die Arten der Bauteile und den Wartungsverlauf – jeweils nur als Werte aus unserem Katalog – sowie eine Angabe darüber, was in der Dokumentation fehlt. Alle frei eingegebenen Texte bleiben außen vor, also auch Marke und Modell: In ein Freitextfeld kann jeder alles schreiben, und wir können nicht prüfen, ob dort etwas Persönliches steht. Ebenfalls nicht übermittelt werden dein Name und deine E-Mail-Adresse, deine Notizen, Kosten und Kaufpreise, einzelne Fahrten, Strecken- und Standortdaten, Verbindungen zu anderen Diensten, Unterhaltungen mit den KI-Funktionen, Belege und deine übrigen Räder. Rahmen- und Seriennummern erhält die Werkstatt nicht, auch nicht verkürzt – weniger also, als ein Kaufinteressent über einen Freigabe-Link sieht.

Wenn eine Werkstatt einen Vorgang bestätigt. Die Bestätigung erscheint neben deinem Eintrag und in der Zusammenfassung, die ein späterer Käufer sieht. Darin stehen der Tag des Vorgangs, der Kilometerstand soweit erfasst, die Art des Bauteils und die Tätigkeiten aus unserem Katalog sowie der Name der Werkstatt zum Zeitpunkt der Aussage. Freie Texte gibt es nicht: Die Werkstatt kann keine Notiz, keine Empfehlung und keine Beschreibung hinterlassen – den Inhalt bilden wir aus deinem eigenen Eintrag, die Werkstatt sagt dazu nur ja. Eine Bestätigung ist kein Prüfsiegel und keine Aussage über den Zustand deines Rades: Wir prüfen nicht, ob der Vorgang stattgefunden hat, sondern nur, dass die Werkstatt zu diesem Zeitpunkt von dir freigeschaltet war und die Aussage zu einem vorhandenen Eintrag passt. Nutzt deine Werkstatt unsere Programmierschnittstelle, kann sie einen Vorgang auch selbst einliefern; dann entsteht beim nächsten Abgleich deines Geräts ein neuer Eintrag in deiner Historie, gekennzeichnet als von außen gekommen. Eingeliefert werden können nur Datum, Kilometerstand, Katalog-Tätigkeiten, Kosten und die Angabe, ob über Garantie abgerechnet oder keine Rechnung erteilt wurde – kein freier Text. Kommt es nicht binnen 30 Tagen zu einem Abgleich, verfällt die Einlieferung.

Wie lange eine Bestätigung bleibt, und deine Rechte. Sie bleibt bei dem Rad – auch wenn du die Freigabe widerrufst, die Werkstatt den Vertrag beendet oder du dein Konto löschst, dann jedoch ohne Bezug zu deinem Konto. Grund: Eine Aussage über die Vergangenheit, die man später entfernen kann, hätte für einen Käufer keinen Wert. Sie bleibt aber nicht länger als das Rad selbst: Löschst du das Rad endgültig oder dein Konto und hat das Rad in BikeCare nie jemand anderes besessen, wird sein Datensatz vollständig entfernt – und die Bestätigung mit ihm, weil sie dann niemand mehr sehen könnte. Hat das Rad schon einmal den Besitzer gewechselt, bleibt sein Datensatz für den anderen Besitzer bestehen und die Bestätigung mit ihm. Rechtsgrundlage ist unser berechtigtes Interesse und das des jeweiligen Besitzers an einer nachvollziehbaren Historie (Art. 6 Abs. 1 lit. f DSGVO). Die Werkstatt kann ihre Bestätigung jederzeit zurückziehen; danach siehst du, dass eine Bestätigung bestand und wann sie zurückgezogen wurde – den Inhalt nicht mehr. Dein eigener Eintrag bleibt davon unberührt; er ist deine Angabe, nicht die der Werkstatt. Du kannst der weiteren Speicherung einer Bestätigung aus Gründen deiner besonderen Situation widersprechen (Art. 21 DSGVO); wir prüfen dann, ob zwingende schutzwürdige Gründe überwiegen – insbesondere das Interesse eines aktuellen oder künftigen Besitzers an einer lückenlosen Historie – und halten die Entscheidung mit Begründung fest. Schreib an support@bikecare.app.

Wer wofür verantwortlich ist. Für die Speicherung und Darstellung einer Bestätigung sind wir verantwortlich. Dass die Werkstatt eine Aussage abgibt, entscheidet sie selbst; dafür ist sie eigenständig verantwortlich und hat eigene Informationspflichten. Wir haben mit jeder Partnerwerkstatt vereinbart, wer welche Pflichten erfüllt: Wir informieren dich und beantworten deine Anfragen zu den bei uns gespeicherten Angaben; die Werkstatt beantwortet Anfragen zum Inhalt ihrer Aussage und informiert ihre eigenen Kunden und Beschäftigten. Deine Rechte kannst du bei jeder der beiden Seiten geltend machen; Anlaufstelle bei uns ist support@bikecare.app.

4. Strava-Verbindung (optional) – einschließlich Gesundheitsdaten

Verbindest du Strava aktiv, verarbeiten und speichern wir Strava-Zugriffstokens sowie abgerufene Aktivitätsdaten (z. B. Distanz, Dauer, Strecke, Höhenmeter, Rad-Zuordnung). Sofern deine Strava-Aktivitäten sie enthalten, gehören dazu auch Herzfrequenz und Leistungsdaten (Watt/Kilojoule). Herzfrequenzdaten sind Gesundheitsdaten im Sinne von Art. 9 DSGVO. Wir verarbeiten sie ausschließlich, um dir deine Touren, Statistiken und Rekorde anzuzeigen – es findet keine darüber hinausgehende Auswertung, kein Scoring und keine Weitergabe statt; in der Community werden sie nie geteilt.

Rechtsgrundlage: deine ausdrückliche Einwilligung, die du beim Verbinden deines Strava-Kontos erteilst (Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO). Du kannst die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem du in den Einstellungen „Strava trennen" wählst – bereits importierte Touren bleiben in deinem Konto und können dort von dir einzeln oder per Konto-Löschung vollständig entfernt werden.

5. Push-Benachrichtigungen (optional)

Aktivierst du Erinnerungen, speichern wir dein Geräte-Push-Abo, um dir Wartungs-Erinnerungen zu senden. Je nach Gerät läuft die Zustellung über einen anderen Dienst:

• Web / installierte Web-App: über den Web-Push-Dienst deines Browsers (Endpoint + Schlüssel).
• Android-App: über Firebase Cloud Messaging (FCM) von Google – dabei wird ein Geräte-Token an Google übermittelt.
• iOS-App: über den Apple Push Notification service (APNs) von Apple – dabei wird ein Geräte-Token an Apple übermittelt.

Übertragen werden nur das technische Token und der Inhalt der Erinnerung (z. B. „Kette bald fällig"). Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Widerruf jederzeit über „Benachrichtigungen deaktivieren" in den Einstellungen.

6. Wetter (optional)

Für den Wetter-Tipp auf der Übersicht werden – nur mit deiner Standortfreigabe – ungefähre Koordinaten an Open-Meteo (open-meteo.com) übermittelt. Für importierte Touren wird zusätzlich der auf etwa einen Kilometer gerundete Startort mit dem Tourdatum abgefragt, um Regenfahrten zu erkennen und die Temperatur zu ergänzen; du kannst das in den Strava-Einstellungen abschalten. Es werden dabei keine Konto- oder Identitätsdaten gesendet. Bei Open-Meteo wird nichts gespeichert; das Ergebnis („nass", Temperatur) steht anschließend in deiner Tour. Rechtsgrundlage: Einwilligung / berechtigtes Interesse (Art. 6 Abs. 1 lit. a/f DSGVO).

7. Freunde & Vergleich (optional)

Aktivierst du das Teilen, sind für von dir verbundene Freunde/Gruppen ausschließlich aggregierte Kennzahlen (z. B. Kilometer, Höhenmeter, Streak, Abzeichen, Rekorde) und dein Anzeigename sichtbar – niemals Kosten, Orte oder einzelne Touren. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Widerruf: Teilen ausschalten bzw. Verbindung/Gruppe verlassen.

8. Passwort-Reset-E-Mails

Forderst du ein neues Passwort an, versenden wir eine E-Mail mit einem zeitlich begrenzten Link über unseren Dienstleister Amazon Web Services (Amazon SES, Rechenzentrum Frankfurt am Main). Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

9. Lokale Speicherung auf dem Gerät

Für die Offline-Funktion speichert die App deine Inhalte lokal (IndexedDB/localStorage). Hast du ein eigenes Rad-Foto hinterlegt (Abschnitt 3), liegt eine Kopie davon in einem eigenen Speicher der App, damit es auch offline erscheint; beim Abmelden wird sie gelöscht. Diese Speicherung ist für den Betrieb der App technisch erforderlich (Art. 6 Abs. 1 lit. b DSGVO, § 25 Abs. 2 TDDDG) und dient nicht der Werbung. Zur pseudonymen Nutzungsstatistik und der dafür genutzten Gerätekennung siehe Abschnitt 10.

10. Nutzungsanalyse

a) In der App (iOS-/Android-App sowie im eingeloggten Web): Um zu verstehen, welche Funktionen genutzt werden, und die App zu verbessern, erheben wir eine pseudonyme Nutzungsstatistik über Google Analytics 4 / Firebase (Google Ireland Ltd., Dublin). Erfasst werden Ereignisse wie „Rad angelegt", „Wartung dokumentiert" oder „KI-Bericht erstellt" samt technischer Rahmendaten (Plattform, App-Version) und einer zufälligen App-Instanz-Kennung. Wir übermitteln keine Werbe-ID (kein IDFA; auf iOS erscheint daher kein „App-Tracking"-Dialog nach ATT), betreiben kein Profiling zu Werbezwecken, zeigen keine Werbebanner und verkaufen keine Daten. Die Statistik wird nicht mit den Provisions-Links der Teile-Empfehlung verknüpft (Abschnitt 13): Wir erfahren nicht, wer worauf geklickt oder was gekauft hat. Rechtsgrundlage: unser berechtigtes Interesse an einer bedarfsgerechten Verbesserung der App (Art. 6 Abs. 1 lit. f DSGVO). Du kannst der Nutzungsstatistik jederzeit widersprechen – unter Einstellungen → Daten → „Anonyme Nutzungsstatistik"; danach werden keine Analyse-Ereignisse mehr erhoben.

Absturz- und Fehlerberichte: Stürzt die iOS-/Android-App ab oder tritt ein Programmfehler auf, übermittelt sie einen technischen Bericht an Firebase Crashlytics (Google Ireland Ltd., Dublin): Fehlerart und Programmstelle, Gerätemodell, Betriebssystem- und App-Version, eine zufällige Installations-Kennung, den zuletzt geöffneten Bildschirm, den erreichten Startschritt, die zuletzt erfassten Ereignisse der Nutzungsstatistik (z. B. „Anmeldung“, „Bildschirm aufgerufen“) und deine pseudonyme Konto-Kennung (keine E-Mail-Adresse, kein Name). Zusätzlich meldet die App – auch im Browser – Programmfehler an unseren eigenen Server, der uns per E-Mail benachrichtigt: Fehlertext, technischer Programmablauf, aufgerufene Seite, App-Version und die Browser-/Gerätekennung. Inhalte wie Notizen, Standorte, Zugangsdaten oder deine E-Mail-Adresse sind nicht enthalten; wir entfernen solche Angaben vor dem Versand aus den Fehlertexten. Zweck ist ausschließlich das Finden und Beheben von Fehlern. Rechtsgrundlage: unser berechtigtes Interesse an einer fehlerfreien, sicheren App (Art. 6 Abs. 1 lit. f DSGVO). Google verarbeitet die Absturzberichte als unser Auftragsverarbeiter (Übermittlungen in die USA auf Grundlage von EU-Standardvertragsklauseln und dem EU-US Data Privacy Framework) und speichert sie höchstens 90 Tage. Den Absturzberichten an Crashlytics kannst du mit demselben Schalter widersprechen wie der Nutzungsstatistik (Einstellungen → Daten → „Anonyme Nutzungsstatistik"); der Widerspruch wirkt ab dem nächsten App-Start, noch nicht gesendete Berichte werden dann verworfen.

b) Auf unseren öffentlichen Marketing-Seiten (Startseite, Funktionen, Preise, FAQ, Login usw.) setzen wir – ausschließlich mit deiner Einwilligung über das Cookie-Banner – Google Tag Manager und Google Analytics 4 (Google Ireland Ltd., Dublin) ein, um die Nutzung unserer Website zu verstehen (z. B. Seitenaufrufe, Herkunft der Besucher, Klicks auf „Kostenlos starten"). Ohne Einwilligung werden keine Analyse-Cookies gesetzt und keine Daten an Google übertragen (Google Consent Mode v2, Voreinstellung: abgelehnt). Die Einwilligung verwalten wir über das Consent-Tool CookieScript; du kannst sie jederzeit über „Cookie-Einstellungen" im Footer widerrufen oder anpassen. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG).

c) Serverseitige Conversion-Messung. Zusätzlich übermittelt unser Server bestimmte Ereignisse direkt (Server-zu-Server, Google Measurement Protocol) an Google Analytics 4: Anmeldung/Registrierung, Kauf- und Abo-Vorgänge (inkl. Transaktions-ID und Bestellwert), Abo-Kündigung/-Reaktivierung sowie Konto-Löschung. Die Übermittlung erfolgt pseudonym anhand der GA4-Client-ID und nur, wenn du der Analyse nicht widersprochen hast (In-App-Statistik aktiv, Abschnitt a) bzw. im Web eingewilligt hast (Abschnitt b) – schaltest du die Statistik ab, wird die Client-ID entfernt und es werden keine solchen Ereignisse mehr gesendet. Zweck: Conversion-Messung (Anmeldungen, Käufe). Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) bzw. Einwilligung im Web (lit. a).

Google verarbeitet die Analysedaten als unser Auftragsverarbeiter. Übermittlungen in die USA stützen sich auf EU-Standardvertragsklauseln und das EU-US Data Privacy Framework. Aufbewahrung in Google Analytics: maximal 14 Monate.

d) Meta-Pixel und Meta-Conversions-API (Werbewirkungsmessung). Wenn du im Cookie-Banner der Kategorie „Targeting" zustimmst, setzen wir das Meta-Pixel ein und übermitteln bestimmte Ereignisse an Meta Platforms Ireland Ltd. (Dublin, Irland). Zweck ist die Messung und Optimierung unserer Werbeanzeigen auf Facebook und Instagram sowie die Bildung von Zielgruppen. Übermittelt werden: Seitenaufrufe, abgeschlossene Registrierung, Anlegen eines Rads, Verbinden von Strava, erster berechneter Wartungsbedarf, Aufruf der Pro-Seite und Start eines Bezahlvorgangs; serverseitig zusätzlich Beginn eines Gratiszeitraums und Abo-Abschluss (inkl. Betrag und Währung). Dabei verarbeitet werden die Meta-Cookies _fbp/_fbc, deine IP-Adresse, dein Browser-Kennzeichen (User-Agent) sowie eine verschlüsselte (gehashte) interne Konto-Kennung. Nicht übermittelt werden E-Mail-Adresse, Name oder Telefonnummer – das sogenannte erweiterte Abgleichverfahren ist abgeschaltet. Ohne deine Einwilligung wird kein Meta-Skript geladen, es werden keine Meta-Cookies gesetzt und es werden auch serverseitig keine Ereignisse an Meta gesendet. In den mobilen Apps gibt es kein Cookie-Banner; dort steuerst du das unter Einstellungen › Daten › Werbe-Messung. Diese Messung ist dort standardmäßig aktiv und lässt sich mit einem Schalter jederzeit und dauerhaft abschalten. Ist sie aktiv, starten wir das Meta-SDK. Es meldet Installation und App-Starts sowie – ohne weitere Angaben zu dir oder deinem Rad – drei Schritte: abgeschlossene Registrierung, Anlegen des ersten Rads und den ersten berechneten Wartungsbedarf. Außerdem geben wir eine anonyme, app-eigene Geräte-Kennung an unseren Abo-Dienstleister RevenueCat weiter, der damit Abo-Ereignisse an Meta meldet. Auf iPhone und iPad geschieht das zusätzlich nur dann, wenn du im Apple-Dialog „Tracking" zustimmst – lehnst du dort ab, wird nichts übermittelt, unabhängig vom Schalter. Eine Werbe-ID (IDFA bzw. Google-Werbe-ID) wird zu keinem Zeitpunkt verwendet. Du kannst die Einwilligung jederzeit widerrufen – im Web über „Cookie-Einstellungen" im Footer, in den Apps über denselben Schalter. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Wir und Meta sind für die Erhebung und Übermittlung der Daten gemeinsam Verantwortliche (Art. 26 DSGVO); die weitere Verarbeitung durch Meta erfolgt in dessen alleiniger Verantwortung. Meta verarbeitet Daten auch in den USA; Grundlage sind EU-Standardvertragsklauseln und das EU-US Data Privacy Framework. Einzelheiten: Datenschutzrichtlinie von Meta unter facebook.com/privacy/policy.

e) Anzeigen-Klicks und serverseitige Conversion-Messung (Google Ads, OpenAI Ads). Kommst du über eine Anzeige von Google, Meta oder OpenAI (ChatGPT) auf unsere Website und stimmst du im Cookie-Banner der Kategorie „Targeting" zu, speichern wir die Klick-Kennung, die die Anzeige an die Adresse anhängt (gclid, gbraid, wbraid, fbclid, oppref), die Kampagnen-Angaben (utm_*), die Einstiegsseite (ohne Adress-Parameter), den Zeitpunkt des Klicks und deinen Einwilligungsstand – zunächst in deinem Browser, nach der Anmeldung an deinem Konto. Ohne diese Einwilligung wird nichts davon gespeichert. Registrierst du dich danach, beginnst einen Gratiszeitraum oder schließt dein erstes Abo ab (auch später in der App), übermittelt unser Server dieses Ereignis an die Werbeplattform, von der dein Klick stammt: Google Ads (Google Ireland Ltd., Dublin) direkt über Googles Schnittstelle „Data Manager API“ – übermittelt werden Art des Ereignisses, Zeitpunkt, die Google-Klick-Kennung, ob es im Web oder in der App geschah und dein Einwilligungsstand, beim Kauf zusätzlich Transaktions-ID, Betrag und Währung; OpenAI Ads (OpenAI) über unseren eigenen Server-Container bei Stape (withoutsense.bikecare.app, Auftragsverarbeiter) – übermittelt werden Art des Ereignisses, Zeitpunkt, die OpenAI-Klick-Kennung und Kampagnen-Angaben, die Einstiegsseite, eine gehashte Konto-Kennung, eine pseudonyme Ereignis-Kennung und dein Einwilligungsstand, beim Kauf zusätzlich Transaktions-ID, Tarif, Betrag und Währung. Nicht übermittelt werden E-Mail-Adresse, Name, Telefonnummer oder IP-Adresse. Zweck ist zu messen, welche Anzeigen zu Registrierungen und Käufen führen. Die Kennungen bleiben höchstens 90 Tage ab dem Klick am Konto gespeichert und werden mit dem Konto gelöscht. Du kannst die Einwilligung jederzeit über „Cookie-Einstellungen" im Footer widerrufen; beim nächsten angemeldeten Besuch löschen wir dann auch die am Konto gespeicherten Kennungen. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Google und OpenAI verarbeiten Daten auch in den USA; Grundlage sind EU-Standardvertragsklauseln bzw. das EU-US Data Privacy Framework.

11. Zahlungsabwicklung – BikeCare Pro (Stripe, App-Stores, RevenueCat)

Für kostenpflichtige Pro-Abos nutzen wir den Zahlungsdienstleister Stripe (im EWR: Stripe Payments Europe, Ltd., Dublin, Irland). Verarbeitet werden Zahlungs-/Abrechnungsdaten (z. B. Name, E-Mail, Zahlungsmittel, Rechnungs- und Abo-Daten). Vollständige Kartendaten verarbeitet ausschließlich Stripe – sie liegen nicht auf unseren Servern. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) sowie Betrugsprävention (lit. f). Übermittlungen in die USA stützen sich auf EU-Standardvertragsklauseln und das EU-US Data Privacy Framework. Datenschutz von Stripe: stripe.com/de/privacy.

Käufe in den Apps (iOS/Android): Schließt du das Pro-Abo in der App ab, wickelt ausschließlich der jeweilige Store die Zahlung ab (Apple bzw. Google, nach deren eigenen Datenschutzbestimmungen) – wir erhalten keine Zahlungsdaten. Für die Zuordnung und Verwaltung dieser Store-Abos nutzen wir RevenueCat (RevenueCat, Inc., USA) als Auftragsverarbeiter. Verarbeitet werden deine Konto-ID sowie pseudonyme Kauf- und Abo-Statusdaten (Produkt, Laufzeit, Store, Transaktionskennungen) – keine Namen, E-Mail-Adressen oder Zahlungsmittel. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); Übermittlungen in die USA stützen sich auf EU-Standardvertragsklauseln. Datenschutz von RevenueCat: revenuecat.com/privacy.

12. KI-Funktionen – BikeCare Pro (Anthropic & Perplexity)

Nutzt du die KI-Funktionen, werden die dafür nötigen Eingaben/Rad-Daten an unsere KI-Dienstleister übermittelt – ausschließlich zur Erbringung der jeweiligen Funktion (Art. 6 Abs. 1 lit. b DSGVO):

• Anthropic (Claude) – Copilot-Chat. Über die API übermittelte Inhalte werden nicht zum Training verwendet und nach max. 7 Tagen automatisch gelöscht.
• Perplexity (Sonar) – Live-Web-Recherche fürs Rad-Auto-Setup/Datenblatt. Zero Data Retention: Anfragen/Antworten werden nicht gespeichert und nicht zum Training genutzt.

Beide verarbeiten in den USA (EU-Standardvertragsklauseln). Bitte gib in den KI-Funktionen keine besonders sensiblen Daten ein – sie sind dafür nicht erforderlich.

13. Shop-Empfehlungen & Affiliate-Links

Die Teile-Empfehlung schlägt dir passende Ersatzteile vor und verlinkt sie in Online-Shops. Ein Teil dieser Links sind Provisions-Links (Affiliate-Links) der Netzwerke ADCELL (Firstlead GmbH, Rosenstr. 17, 10178 Berlin) und AWIN (AWIN AG, Eichhornstr. 3, 10785 Berlin). Kaufst du nach einem Klick darauf etwas, erhalten wir eine Provision vom Shop. Für dich ändert sich der Preis dadurch nicht. Diese Links sind in der App als Anzeige gekennzeichnet.

Beim Klick auf einen solchen Link leitet dich das Netzwerk zum Shop weiter und setzt dabei ein Cookie bzw. eine Kennung, um den Kauf unserer Empfehlung zuordnen zu können. Diese Verarbeitung findet erst nach deinem Klick und im Verantwortungsbereich des jeweiligen Netzwerks bzw. Shops statt – solange du nicht klickst, wird nichts an sie übermittelt. Wir erhalten von den Netzwerken nur aggregierte Abrechnungsdaten, keine personenbezogenen Angaben zu deiner Bestellung (keine Namen, keine Adressen, keine Warenkörbe mit Personenbezug). Rechtsgrundlage für die Einbindung der Links ist unser berechtigtes Interesse an der Finanzierung der kostenlosen Funktion (Art. 6 Abs. 1 lit. f DSGVO); für die Verarbeitung nach dem Klick sind die Netzwerke und Shops eigenständig verantwortlich. Es gelten deren Datenschutzhinweise (adcell.de/datenschutz, awin.com/de/rechtliches).

Die Auswahl der Produkte richtet sich allein nach der Passgenauigkeit zu deinem Rad – nicht nach der Höhe der Provision. Wo wir kein passendes Teil bei einem Partner-Shop finden, verlinken wir andere Shops ohne Provision. Preis- und Verfügbarkeitsangaben stammen aus den Produktdaten der Händler und werden täglich aktualisiert; maßgeblich ist immer der Preis im Shop zum Zeitpunkt deiner Bestellung. Die Empfehlungen sind unverbindliche Hinweise – bitte prüfe die Kompatibilität vor dem Kauf.

14. Empfänger / Auftragsverarbeiter

• Cloudflare, Inc. (Hosting, Datenbank, Worker, Dateispeicher R2) – Auftragsverarbeiter mit entsprechendem Vertrag (DPA).
• Strava, Inc. – nur bei aktiver Strava-Verbindung.
• Open-Meteo – nur Koordinaten für die Wettervorhersage.
• Amazon Web Services (Amazon Simple Email Service, Rechenzentrum Frankfurt am Main) – Versand der E-Mails von BikeCare (z. B. Passwort-Reset, Bestätigungscodes, Erinnerungen), Auftragsverarbeiter mit entsprechendem Vertrag (DPA).
• Resend – Ersatzweg für den E-Mail-Versand, nur bei einer Störung von Amazon SES.
• Stripe – Zahlungsabwicklung (nur BikeCare Pro, Kauf über die Website). Siehe Abschnitt 11.
• RevenueCat – Verwaltung der App-Store-Abos (nur BikeCare Pro, Kauf in der App). Siehe Abschnitt 11.
• Anthropic (Claude) & Perplexity – KI-Funktionen (nur Pro). Siehe Abschnitt 12.
• ADCELL (Firstlead GmbH) & AWIN AG – Affiliate-Netzwerke für die Shop-Links der Teile-Empfehlung; beide eigenständig verantwortlich, Verarbeitung erst nach deinem Klick. Siehe Abschnitt 13.
• Google Ireland Ltd. (Tag Manager, Analytics 4, Firebase) – Web-Analyse auf den Marketing-Seiten (nur mit Einwilligung), In-App-Nutzungsstatistik, Absturzberichte der App (Firebase Crashlytics) sowie serverseitige Conversion-Messung (Measurement Protocol) und Google Ads über die Data Manager API (nur mit Einwilligung). Siehe Abschnitt 10.
• Stape – Betrieb unseres Server-Containers für Tag Manager und Conversion-Messung (withoutsense.bikecare.app), Auftragsverarbeiter; leitet serverseitige Conversions an OpenAI weiter. Siehe Abschnitt 10.
• OpenAI – Werbewirkungsmessung für Anzeigen in ChatGPT (nur mit Einwilligung). Siehe Abschnitt 10 e.
• CookieScript – Consent-Management (Cookie-Banner) auf den Marketing-Seiten.
• Apple Distribution International Ltd. (Irland) – „Mit Apple anmelden" (nur bei Nutzung, Apple als eigenständig Verantwortlicher) sowie Apple Push Notification service (nur in der iOS-App bei aktivierten Benachrichtigungen). Siehe Abschnitte 2 und 5.
• Google Ireland Ltd. (Firebase Cloud Messaging) – Zustellung der Push- Benachrichtigungen in der Android-App (nur bei aktivierten Benachrichtigungen), Auftragsverarbeiter. Siehe Abschnitt 5.
• Partnerwerkstätten – nur das eine Rad, das du selbst freigegeben hast, und nur für die Dauer deiner Freigabe. Eine Partnerwerkstatt ist kein Auftragsverarbeiter, sondern für ihren Entschluss, einen Vorgang zu bestätigen, eigenständig verantwortlich. Siehe Abschnitt 3.
• Der neue Besitzer eines Rades – nur, wenn du das Rad selbst über den BikeCare-Pass übergibst, und nur die technische Historie ohne Angaben zu dir. Siehe Abschnitt 3.

Soweit dabei Daten in die USA übermittelt werden, erfolgt dies auf Grundlage geeigneter Garantien: Cloudflare, Stripe, Google, Apple und Amazon Web Services sind unter dem EU-US Data Privacy Framework zertifiziert; mit den übrigen US-Anbietern (Anthropic, Perplexity, Resend, Strava) bestehen EU-Standardvertragsklauseln (SCC).

15. Speicherdauer

Wir speichern deine Daten, solange dein Konto besteht. Bei Konto-Löschung (in der App jederzeit möglich) werden deine Daten einschließlich aller Community-Einträge entfernt. Kurzlebige Sicherheitsdaten löschen sich automatisch: Passwort-Reset-Links nach 60 Minuten, E-Mail-Bestätigungscodes nach 30 Minuten, Login-Sitzungen spätestens nach 180 Tagen. Rechnungs-/Zahlungsdaten zu Pro-Abos bewahren wir bzw. Stripe aus steuer- und handelsrechtlichen Gründen bis zu 10 Jahre auf (§ 147 AO).

Zwei Ausnahmen, beide in Abschnitt 3 beschrieben: Hat jemand anderes dein Rad über den BikeCare-Pass übernommen, bleibt der Abschnitt deiner Besitzperiode als Herkunft seiner Historie bestehen – ohne Bezug zu deinem Konto und ohne Angaben zu dir. Dasselbe gilt für die Bestätigung einer Partnerwerkstatt, solange es den Datensatz des Rades noch gibt – sonst wird auch sie entfernt (Abschnitt 3). Beides sind Aussagen über die Vergangenheit eines Fahrrads, deren Wert gerade darin liegt, dass man sie nicht nachträglich entfernen kann. Du kannst ihnen nach Art. 21 DSGVO widersprechen (Abschnitt 3).

16. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit sowie Widerspruch. Erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Außerdem steht dir ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu – für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach; du kannst dich aber auch an die Aufsichtsbehörde deines Wohnsitzes wenden. Es findet keine automatisierte Entscheidungsfindung statt.

Anfragen richte bitte an support@bikecare.app.

17. Mindestalter

Unser Angebot richtet sich an Personen, die mindestens 18 Jahre alt sind. Mit der Registrierung bestätigst du, dieses Mindestalter erreicht zu haben. Wir erheben wissentlich keine Daten von Kindern.

Stand: 21. Oktober 2026