Datenschutzerklärung

Wer wir sind und worum es hier geht

GeoQuestly ist eine ortsbezogene Social App der Mandrill Software GmbH. Diese Erklärung gilt für diese Website und für die GeoQuestly App, denn für dich sind sie ein Dienst.

Kurz gesagt: Das Teilen deines Standorts ist ausgeschaltet, bis du es einschaltest. Du entscheidest, wer dich sieht und wie genau, und du kannst jederzeit aufhören. Jemandem zu folgen ist nicht dasselbe, wie zu sehen, wo diese Person ist — das sind in GeoQuestly zwei verschiedene Dinge, und das war immer so.

Wir verkaufen keine Personendaten, wir schalten keine Werbung, und es gibt kein Tracking über andere Websites oder Apps hinweg. Alles Folgende wurde aus dem Quellcode und der Konfiguration des Produkts geschrieben und nicht daraus, was in einer Datenschutzerklärung üblicherweise steht.

Diese Website

Die Website besteht aus vorab erzeugten Seiten, die ein Webserver ausliefert. Es gibt kein Konto, kein Kontaktformular, keine Kommentarfunktion und keinen Shop.

Sie setzt keine Cookies. Sie enthält keine Analyse, keine Werbung und keine Social-Media-Buttons, und sie lädt weder Schriften noch Skripte noch Bilder von Dritten — alles kommt von derselben Adresse, die du gerade liest.

Sie speichert genau eine Sache in deinem Browser:

• einen einzigen Eintrag namens geoquestly.locale mit einem zweibuchstabigen Sprachcode wie «de» — und sonst nichts,
• er wird nur geschrieben, wenn du im Sprachmenü selbst eine Sprache wählst,
• er bleibt auf deinem Gerät, wird nie an uns gesendet und enthält keinerlei Kennung,
• wenn du die Websitedaten in deinem Browser löschst, ist er weg, und die Seite folgt danach wieder der Sprache deines Browsers.

Dieser Eintrag ist dafür da, dass du deine Sprache nicht bei jedem Besuch neu wählen musst. Technische Verbindungsdaten — deine IP-Adresse, die Zeit, die angeforderte Seite — werden zwangsläufig von unserem Hosting-Anbieter verarbeitet, damit die Seite überhaupt bei dir ankommt. Wir haben für die Website keine Protokollierung aktiviert und führen keine Besucherstatistik.

Dein Konto

Die Anmeldung läuft über Microsoft Entra External ID, einen Identitätsdienst von Microsoft. Deine Zugangsdaten werden dort verarbeitet; GeoQuestly sieht dein Passwort nie.

In der Datenbank von GeoQuestly steht zu deinem Konto Folgendes:

• eine GeoQuestly Benutzer-ID, dein Anzeigename und dein Handle,
• die Kennungen, die dein Konto mit dem Verzeichnis verbinden, das dich authentifiziert,
• der Status deines Kontos und die Zeitpunkte seiner Änderungen — aktiviert, deaktiviert, Löschung verlangt,
• deine Geräte: eine Installations-ID, die Plattform, ein optionaler Gerätename, die App-Version und wann das Gerät zuletzt gesehen wurde.

GeoQuestly speichert deine E-Mail-Adresse nicht. Sie liegt im Microsoft-Verzeichnis, das dich anmeldet; die App liest sie weder aus dem Anmelde-Token noch speichert sie sie.

Ein Profilbild, das du hochlädst, liegt in unserem Medienspeicher unter deiner Benutzer-ID und wird ersetzt oder entfernt, wenn du es änderst oder löschst.

Menschen, Gruppen und Events

GeoQuestly ist eine Social App, also hält sie die Verbindungen fest, die du darin knüpfst:

• Freundschaften sowie gesendete und erhaltene Freundschaftsanfragen,
• wem du folgst und wer dir folgt,
• die Gruppen, in denen du bist, und deine Rolle darin,
• Event-Einladungen und ob du sie angenommen hast.

Wer eine Gruppe, ein Event oder einen Beitrag sehen darf, ergibt sich aus dessen eigenen Einstellungen und daraus, ob du Mitglied bist — geprüft bei jeder Anfrage am aktuellen, verbindlichen Stand und nie an einer gemerkten Antwort.

Was du schreibst und teilst

Beiträge, Chatnachrichten, Gruppenchats und die angehängten Medien werden gespeichert, damit die Menschen sie sehen können, für die sie bestimmt sind:

• der Text von Beiträgen und Nachrichten,
• Bilder und andere Medien, die du anhängst,
• Reaktionen, Hashtags und Erwähnungen,
• welche Unterhaltungen du gelesen hast.

Der Text von Chatnachrichten und Beiträgen wird dort, wo er gespeichert ist, verschlüsselt abgelegt und ist in der Datenbank selbst nicht lesbar.

Wenn du einem Beitrag oder einer Nachricht bewusst einen Ort anhängst, gehört dieser Ort zum Inhalt und ist für alle sichtbar, für die der Beitrag sichtbar ist. Das ist eine andere Entscheidung als das Teilen des Live-Standorts, um das es im nächsten Abschnitt geht.

Standort

Das Teilen deines Standorts ist ausgeschaltet, bis du es einschaltest. Vorher wird nichts über deine Position geteilt, gespeichert oder jemandem angezeigt.

Wenn du es einschaltest, entscheidest du vier Dinge: ob überhaupt, wie lange, wer dich sehen darf — die Gruppen, die du auswählst, und deine Einstellungen für Freundinnen und Freunde — und wie genau, von deiner exakten Position über einen groben Bereich bis zu gar nichts.

Die Genauigkeit, die jemand tatsächlich erhält, ist die kleinste von drei Grenzen: wie genau dein Gerät messen durfte, welche Grenze du gesetzt hast, und wozu diese Person berechtigt ist. Eine empfangende Person kann sie nie erhöhen.

Jemandem zu folgen heisst nicht, sehen zu können, wo diese Person ist. Das Teilen des Standorts ist eine eigene Entscheidung der Person, um deren Standort es geht, und Folgen war nie ein Teil davon.

Wenn du es erlaubst, kann die App auch dann Positionen empfangen, wenn sie im Hintergrund läuft oder dein Bildschirm aus ist. Genau das lässt geteilten Standort weiterlaufen, wenn du dein Telefon in die Tasche steckst, und sowohl iOS als auch Android zeigen dir, dass es geschieht. Du kannst die Berechtigung jederzeit in den Geräteeinstellungen zurückziehen, und du kannst das Teilen in der App ausschalten, ohne die Berechtigung anzurühren.

Solange du teilst, gibt es Folgendes:

• deine aktuelle geteilte Position, in einem kurzlebigen Zwischenspeicher, der nach rund 30 Minuten verfällt und von jeder neuen Position ersetzt wird,
• einen Fixpunkt deiner letzten geteilten Position auf deinem Freigabe-Datensatz, höchstens alle paar Minuten geschrieben, damit Empfangende auch dann etwas sehen, wenn der Zwischenspeicher verloren geht,
• das Publikum und die Dauer, die du gewählt hast,
• ob die App gerade offen ist — das verfällt kurz danach von selbst,
• ob du dich gerade bewegst; das ist ein kurzlebiger Zustand und keine Route.

GeoQuestly führt keinen Standortverlauf. Es gibt keine Spur, keine Tabelle vergangener Positionen und keine Aufzeichnung darüber, wo du gewesen bist — es gibt deine letzte Position, solange du teilst, und der Fixpunkt trägt den Zeitpunkt seiner tatsächlichen Messung, sodass eine zwanzig Minuten alte Position das auch sagt, statt so zu tun, als wäre sie aktuell.

Wenn du das Teilen ausschaltest oder die gewählte Dauer abläuft, werden der Schalter, das Publikum und der gespeicherte Fixpunkt in einem einzigen Schritt gemeinsam gelöscht, und die kurzlebige Kopie verfällt von selbst.

Ankunfts- und Abfahrtsalarme

Ein Ort in GeoQuestly kann jemanden benachrichtigen, wenn eine Person dort ankommt oder ihn verlässt. Es gibt zwei Arten: einen Alarm, den die Verantwortlichen einer Gruppe für diese Gruppe einrichten, und einen persönlichen Ortsalarm, den du für dich selbst setzt.

Beide werden aus einer Position berechnet, die du ohnehin schon teilst. Es gibt keine separate Ortung, keine zweite Berechtigung und keine zusätzliche Erhebung: Wenn du deinen Standort mit der betreffenden Gruppe oder Person nicht teilst, wird nichts ausgewertet. Das Teilen ist die Erlaubnis.

Ein Gruppenalarm benachrichtigt die Personen, welche die Konfiguration der Gruppe nennt; ein persönlicher Alarm benachrichtigt nur dich. Die Aufzeichnungen der Ankünfte und Abfahrten werden befristet aufbewahrt — derzeit sieben Tage — und danach automatisch entfernt.

Push-Mitteilungen

Wenn du Mitteilungen erlaubst, gibt dein Gerät der App eine Zustelladresse dafür. Wir speichern:

• das von Apple oder Google ausgestellte Push-Token, das eine Zustelladresse ist und sich mit der Zeit ändert,
• eine Installations-ID, die Plattform und die App-Sprache, damit die Mitteilung in der richtigen Sprache auf dem richtigen Gerät ankommt,
• wann das Gerät zuletzt gesehen wurde.

Die Zustellung läuft über Azure Notification Hubs, die Mitteilungen an Apple oder Google zur Auslieferung an dein Gerät weitergeben. Wer eine Mitteilung erhält, wird im Moment des Sendens aus unserer eigenen Datenbank ermittelt und nie vom Mitteilungsdienst. Eine Mitteilung sagt der App, wo sie nachschauen soll; die App lädt den Inhalt danach selbst, mit deiner Sitzung und deinen Berechtigungen.

KI-gestütztes Entwerfen

GeoQuestly hat einen Assistenten, der einer Administratorin oder einem Administrator hilft, eine Gruppe oder eine Reihe von Events zu entwerfen: Sie schreiben einen Auftrag, hängen optional ein Dokument an und erhalten einen Entwurf zurück.

An den KI-Anbieter geht für einen solchen Lauf:

• der geschriebene Auftrag und die genannte Region,
• ein allfällig angehängtes Dokument — ein PDF, ein Bild, eine Seite,
• die Sprache der Anfrage und ihre technischen Vorgaben,
• sonst nichts.

Verwendet werden derzeit Anthropic und OpenAI; wer den Lauf startet, wählt aus. Die Anfrage kann eine Websuche enthalten, die der Anbieter durchführt. GeoQuestly prüft die vorgeschlagenen Orte danach gegen Kartendatenquellen, und ein Mensch öffnet das Ergebnis im normalen Editor und entscheidet, was davon gespeichert wird.

Nicht gesendet wird alles andere: keine Kontodaten, keine Freundeslisten, keine Nachrichten, keine Positionen und nichts über die Menschen, welche die Gruppe oder das Event später sehen werden.

Der Assistent veröffentlicht nie etwas von selbst. Jede Gruppe und jedes Event entsteht dadurch, dass ein Mensch im selben Editor auf Speichern drückt, der auch für von Hand Geschriebenes gilt. Angehängte Dokumente werden automatisch entfernt, wenn sie nicht verwendet werden — derzeit nach 48 Stunden, bei einem Lauf ohne Entwurf nach 6 Stunden.

Karten und andere Dienste, die dein Gerät kontaktiert

Eine Karte wird aus Kacheln gezeichnet, die andere Organisationen veröffentlichen, und dein Gerät holt sie direkt bei diesen Organisationen. So funktionieren Karten, und es bedeutet, dass diese Organisationen die Anfrage sehen:

• Basiskarten von OpenStreetMap, OpenFreeMap, Esri und CARTO,
• die optionalen Schweizer Zusatzebenen — swisstopo und geo.admin.ch, die Bundesämter für Umwelt und Strassen, MeteoSchweiz, Basel-Stadt, Basel-Landschaft und geodienste.ch —, die ausgeschaltet sind, bis du sie einschaltest,
• GIPHY, wenn du im Chat oder in einem Beitrag die GIF-Auswahl öffnest. GIPHY verlangt, dass Apps direkt anfragen, und erlaubt uns nicht, das für dich zu übernehmen,
• was all diese sehen können, ist das, was jede Webanfrage zeigt: deine IP-Adresse, was du angefragt hast, und die technischen Angaben deines Geräts.

Andere Abfragen laufen auf den Servern von GeoQuestly statt auf deinem Gerät, sodass du diese Anbieter nicht kontaktierst und deine IP-Adresse sie nicht erreicht: die Suche nach Orten und Adressen (Photon), die Berechnung von Routen (OpenRouteService), die Prüfung der vom KI-Assistenten vorgeschlagenen Orte (Nominatim, Overpass) und das Finden von Bildern zu Orten (Wikimedia Commons).

Alle diese Organisationen sind von uns unabhängig; für das, was sie mit einer erhaltenen Anfrage tun, gelten ihre eigenen Bedingungen und Datenschutzerklärungen.

Wenn du eine optionale Zusatzebene ausschaltest, hören ihre Anfragen auf, und wenn du die GIF-Auswahl nicht öffnest, geht gar keine Anfrage an GIPHY.

Wo deine Daten liegen und wer sie bearbeitet

GeoQuestly läuft auf Microsoft Azure. Verantwortlich für deine Daten bleibt die Mandrill Software GmbH; Azure bearbeitet sie in unserem Auftrag und zu keinem eigenen Zweck.

Wo die Teile des Dienstes laufen:

• die Anwendungsdatenbank mit Konto, Inhalten und Freigabeeinstellungen — Schweiz (Switzerland North),
• der Zwischenspeicher und die Echtzeitverbindung, welche die Karte lebendig hält — Schweiz (Switzerland North),
• der Medienspeicher für Bilder und Anhänge — Schweiz (Switzerland North),
• die Zustellung von Mitteilungen — Schweiz (Switzerland West) und von dort an Apple oder Google,
• die Anmeldung über Microsoft Entra External ID — das Verzeichnis ist für die Schweiz registriert, und Microsoft hält dessen Identitätsdaten in seiner europäischen Region.

Manche Daten verlassen zwangsläufig die Schweiz: an Apple und Google, wenn eine Mitteilung an dein Gerät zugestellt wird, an den KI-Anbieter, wenn eine Administratorin oder ein Administrator einen Entwurf startet, an die Karten- und GIF-Anbieter, die dein eigenes Gerät kontaktiert, und innerhalb der europäischen Infrastruktur von Microsoft, wenn du dich anmeldest.

Die Schweiz anerkennt die Staaten der EU und des EWR als Staaten mit einem angemessenen Datenschutzniveau, und seit dem 15. September 2024 auch die Vereinigten Staaten für Unternehmen, die nach dem Swiss–U.S. Data Privacy Framework zertifiziert sind.

Wenn du wissen möchtest, welche Garantie für eine bestimmte Bekanntgabe gilt, frag uns, und wir sagen es dir.

Wie lange etwas aufbewahrt wird

Daten werden so lange aufbewahrt, wie sie einen Zweck haben, und nicht länger:

• Konto, Profil, Beiträge, Nachrichten, Gruppen und Events: solange dein Konto besteht oder bis du sie löschst,
• deine geteilte Position: die kurzlebige Kopie verfällt nach rund 30 Minuten, und der Fixpunkt wird in dem Moment gelöscht, in dem du aufhörst zu teilen,
• ob die App offen ist: wenige Minuten, nachdem sie das nicht mehr meldet,
• von Ortsalarmen aufgezeichnete Ankünfte und Abfahrten: derzeit sieben Tage,
• Dokumente, die an einen KI-Entwurf angehängt wurden: 48 Stunden, wenn sie nie verwendet werden, 6 Stunden bei einem Lauf ohne Entwurf.

Alles, was oben nicht genannt ist, bleibt so lange, wie es dem in dieser Erklärung beschriebenen Zweck dient, und wird entfernt, wenn du dein Konto löschst.

Deine Rechte

Nach schweizerischem Datenschutzrecht kannst du von uns kostenlos Folgendes verlangen:

• Auskunft: die Bestätigung, ob wir Daten über dich bearbeiten, und eine Kopie davon,
• Berichtigung unrichtiger Daten,
• Löschung deines Kontos und der dazugehörigen Daten,
• Widerspruch gegen eine bestimmte Bearbeitung oder Widerruf einer erteilten Erlaubnis — das Ausschalten der Standortfreigabe ist genau das,
• in bestimmten Fällen die Herausgabe der von dir bereitgestellten Daten in einem gängigen maschinenlesbaren Format.

Vieles davon kannst du selbst tun, ohne jemanden zu fragen: dein Profil bearbeiten, eigene Beiträge und Nachrichten löschen, eine Gruppe verlassen, das Teilen des Standorts ausschalten und dein Konto in der App unter «Konto» endgültig löschen. Die Kontolöschung entfernt deine GeoQuestly Daten und dein GeoQuestly Anmeldekonto; ein Konto bei einem Anbieter, über den du dich angemeldet hast, wird dabei nicht gelöscht.

Für alles, was die App nicht kann — eine Auskunft, eine Berichtigung, die wir für dich vornehmen müssen —, schreib uns. Wir müssen dich unter Umständen zuerst bitten, dich auszuweisen, denn deine Daten der falschen Person zu geben wäre der schlimmere Fehler.

Solange keine eigene Adresse veröffentlicht ist, können Anfragen über mandrill.software an die Mandrill Software GmbH gerichtet werden.

Sicherheit

Die Massnahmen, die hier am meisten zählen, auf einem Niveau, das sich öffentlich sinnvoll nennen lässt:

• alles zwischen deinem Gerät und unseren Servern läuft über verschlüsselte Verbindungen,
• der Inhalt von Nachrichten und Beiträgen wird dort, wo er gespeichert ist, zusätzlich verschlüsselt,
• ob jemand etwas sehen darf, wird bei jeder einzelnen Anfrage aus der massgebenden Datenbank entschieden und nie aus einer zwischengespeicherten Antwort, die veraltet sein könnte,
• die Anmeldung übernimmt der Identitätsdienst von Microsoft, dein Passwort erreicht GeoQuestly also nie.

Kein System ist vollkommen sicher, und wir behaupten das auch nicht. Kommt es zu einer Verletzung der Datensicherheit, die voraussichtlich zu einem hohen Risiko für deine Persönlichkeit oder deine Grundrechte führt, melden wir sie so rasch als möglich dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten und informieren dich, wo das Gesetz es verlangt oder wo es dir hilft, dich zu schützen.

Änderungen dieser Erklärung

GeoQuestly wird aktiv weiterentwickelt, also ändert sich diese Erklärung mit dem Produkt. Die aktuelle Fassung ist immer die auf dieser Seite.

Version und Datum oben sagen, wann sie zuletzt geändert wurde. Auf eine Änderung, die wesentlich beeinflusst, wie deine Daten verwendet werden, weisen wir in der App hin, statt sie hier zum Entdecken liegen zu lassen.