GRYDX · Stand: 10. Oktober 2026
Verantwortlich für die Verarbeitung deiner Daten in der App GRYDX ist:
Josia Becker & Fynn Huber GbR
vertreten durch die Gesellschafter Josia Becker und Fynn Huber
Kohlenbacher Talstraße 2
79183 Waldkirch, Deutschland
E-Mail: info@grydx.app
Telefon: +49 7681 4672093
Für alle Fragen zum Datenschutz und um deine Rechte auszuüben, schreib uns an diese E-Mail-Adresse. Einen Datenschutzbeauftragten haben wir derzeit nicht benannt.
Wir verarbeiten deine Daten ausschließlich, um dir die Funktionen von GRYDX bereitzustellen, sie sicher zu betreiben und gesetzliche Pflichten zu erfüllen. Wir zeigen keine Werbung, bilden keine Profile für Werbezwecke, verkaufen keine Daten und geben sie nur an die unten genannten Dienstleister und — so wie beschrieben — an andere Nutzerinnen und Nutzer weiter.
Wo wir eine Wahl haben, ist die datensparsame Einstellung voreingestellt: Was andere über dich sehen können, ist zunächst auf deine bestätigten Freunde und deine Gruppe beschränkt.
Welche Daten: deine E-Mail-Adresse, dein Passwort (wir speichern es nur als Hash, kennen es also nicht), Zeitpunkt der Registrierung und der Anmeldungen sowie deine Bestätigung bei der Registrierung — dass du mindestens 16 Jahre alt bist und welche Fassung der Nutzungsbedingungen du wann akzeptiert hast.
Wofür und Rechtsgrundlage: um dein Konto zu führen, dich anzumelden und deine Daten zwischen deinen Geräten abzugleichen (Art. 6 Abs. 1 lit. b DSGVO, Vertrag). Die Bestätigung bewahren wir als Nachweis auf, dass die Nutzungsbedingungen gelten und die Altersgrenze eingehalten ist (Art. 6 Abs. 1 lit. b und f DSGVO).
Wie lange: solange dein Konto besteht.
GRYDX fragt nur nach der Freigabe „Beim Verwenden der App“ und nach dem genauen Standort. Während einer Aufnahme läuft sie auch bei gesperrtem Bildschirm weiter; Android zeigt dann eine Benachrichtigung, iOS die blaue Anzeige. Mit dem Ende der Aufnahme endet auch die Standortnutzung im Hintergrund.
Die Umrechnung von GPS-Punkten in GRYD Tiles geschieht auf deinem Gerät. GPS-Punkte liegen nur während einer laufenden Fahrt als Absturzsicherung auf deinem Gerät und werden gelöscht, sobald die Fahrt gespeichert ist. GPS-Punkte werden nie an uns übertragen.
Welche Daten auf unserem Server landen: die GRYD Tiles, die du aufgedeckt hast, jeweils mit dem Zeitpunkt der ersten Befahrung; zu jeder Fahrt Beginn und Ende, Dauer, Strecke, Höhenmeter, Höchstgeschwindigkeit, der Name, den du ihr gibst, und welche Tiles zu ihr gehören, in der Reihenfolge, in der du sie durchfahren hast. Daraus lässt sich der Weg einer Fahrt grob nachzeichnen; sehen kannst das nur du.
Importierst du eine GPX-Datei, liest die App darin nur Position, Zeit und Höhe — weitere Werte wie Herzfrequenz oder Trittfrequenz liest sie nicht. Danach löscht sie die Kopie, die sie dafür angelegt hat; deine Originaldatei bleibt, wo sie war. Damit dieselbe Datei nicht zweimal gezählt wird, merkt sich die App auf deinem Gerät Startpunkt, Start- und Endzeit, Länge und eine Prüfsumme jeder importierten Datei. Diese Angaben verlassen dein Gerät nicht.
Rechtsgrundlage: Den Zugriff auf den Standort deines Geräts erlaubst du über die Standortfreigabe (Einwilligung, § 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO); du kannst sie in den Einstellungen deines Geräts jederzeit widerrufen. Ohne Freigabe kannst du GPX-Dateien importieren, aber keine Fahrten aufnehmen. Die Tiles und Fahrten auf dem Server speichern wir, weil sie der Kern der App sind (Art. 6 Abs. 1 lit. b DSGVO). Ein Widerruf der Standortfreigabe löscht sie nicht; dafür löschst du einzelne Fahrten oder dein Konto.
Wie lange: solange dein Konto besteht. Löschst du eine Fahrt, werden ihre Daten gelöscht, und Tiles, die nur diese Fahrt aufgedeckt hat, gehen zurück in den Nebel.
Ohne Anmeldung sieht niemand etwas von dir. Deine E-Mail-Adresse, deine GPS-Punkte, deine einzelnen Fahrten und dein Münzstand sind für niemanden sichtbar.
Bestätigte Freunde und die Mitglieder deiner Gruppe sehen deinen Benutzernamen, dein Profilbild, die Räder in deiner Sammlung, deine Zahl an Tiles, deine gefahrenen Kilometer und deine Zahlen der laufenden Saison, und auf deinem Profil dein Level und deine XP, deine Serie, deine Auszeichnungen (ohne Datum), die Zahl deiner Fahrten, deine längste Fahrt, deine Höhenmeter insgesamt und die Zahl der Zonen, in denen du Tiles hast — nur die Zahl, nicht welche.
Gruppe: Die Mitglieder deiner Gruppe (höchstens 30) sehen außerdem deine Tiles auf der gemeinsamen Gruppenkarte, dazu deine Rolle, Farbe und das Datum deines Beitritts. Damit sehen sie, wo du gefahren bist. Die ersten und die letzten Tiles jeder Fahrt — ab Werk je 4, im Gruppen-Tab von 0 bis 5 einstellbar — bekommen sie nicht zu sehen, damit nicht ablesbar ist, wo du losfährst und ankommst, etwa zu Hause; fährst du bei einer anderen Fahrt mitten durch einen solchen Ort, ist er sichtbar. Das gilt nur für die anderen: Deine eigene Karte bleibt vollständig. Tritt jemand aus der Gruppe aus, sieht er deine Tiles nicht mehr, und du seine nicht.
Herausforderung: Legt eure Gruppe ein gemeinsames Ziel oder einen Zeitraum fest (eine „Herausforderung“; ein Zeitraum dauert mindestens eine Woche), zeigt die Gruppenkarte, solange sie läuft, stattdessen die Tiles, die die Fahrten der Mitglieder seit ihrem Start berührt haben — auch Orte, an denen du schon früher warst, ohne die eingestellten ersten und letzten Tiles jeder Fahrt —, und in deiner Farbe die, auf denen du dabei als Erste oder Erster warst. Daraus lässt sich ablesen, wo du in diesem Zeitraum gefahren bist — weil er mindestens eine Woche dauert, aber nicht, an welchem Tag. Alle Mitglieder sehen außerdem, wie viele Kilometer und Tiles die Gruppe darin zusammen gefahren ist und wann sie begonnen hat, und in der Rangliste der Gruppe für jedes Mitglied einzeln, wie viele Kilometer und Tiles es seit dem Start gefahren ist und wie viele Quests es dabei abgeschlossen hat. Deine einzelnen Fahrten mit Datum und Strecke sehen sie nicht. Gezählt werden nur Fahrten, die nach dem Start begonnen haben, und nur von Mitgliedern, die noch in der Gruppe sind; wer austritt, nimmt seine Fahrten aus der Wertung mit. Ist die Herausforderung vorbei, zeigt die Gruppenkarte wieder alle Tiles wie zuvor.
Feed: Texte und Bilder, die du postest, sehen nur du und deine bestätigten Freunde. Teilst du das Bild einer Fahrt, sehen deine Freunde darauf den Weg der Fahrt, ihren Namen, Datum und Uhrzeit und ihre Zahlen. Endet eine Freundschaft, sieht die andere Person deine Posts nicht mehr.
Was jemand anderes bereits gesehen und selbst festgehalten hat, etwa mit einem Bildschirmfoto, können wir nicht zurückholen. Überlege deshalb, wen du als Freund bestätigst und welcher Gruppe du beitrittst.
Rechtsgrundlage: Diese Funktionen sind Teil der App, die du nutzt (Art. 6 Abs. 1 lit. b DSGVO). Wer etwas sieht, bestimmst du, indem du Freundschaften bestätigst, einer Gruppe beitrittst oder etwas postest; Blockieren schneidet alles davon in beide Richtungen ab.
Auffindbar: Schaltest du es im Profil ein, können andere Angemeldete dich über deinen genauen Benutzernamen finden und dir eine Freundschaftsanfrage schicken. Dabei erfahren sie, dass es diesen Benutzernamen gibt.
„In deiner Gegend“: Schaltest du es ein, speichern wir pro Zone und Monat die Zahl der Tiles, die du dort neu aufgedeckt hast. Andere, die ebenfalls gelistet sind und in einer dieser Zonen Tiles haben, sehen dort deinen Benutzernamen, dein Profilbild und diese Zahl und können dein Profil öffnen, mit denselben Angaben, die deine Freunde dort sehen. Damit wird sichtbar, in welcher Zone du fährst, in Deutschland also in welchem Landkreis oder welcher kreisfreien Stadt — eine genauere Position, eine Route oder eine Fahrt nie. Wer „In deiner Gegend“ einschaltet, wird damit auch auffindbar.
Rechtsgrundlage ist jeweils deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Beides ist ausgeschaltet, bis du es selbst einschaltest. Wir speichern, seit wann du eingewilligt hast. Du widerrufst, indem du den Schalter im Profil ausschaltest; die Zahlen pro Zone werden dabei sofort gelöscht.
Ein Profilbild ist freiwillig. Wählst du eines aus, greift GRYDX nur auf dieses eine Bild aus deiner Fotomediathek zu. Es wird auf deinem Gerät quadratisch zugeschnitten und auf 512 × 512 Pixel verkleinert; nur diese verkleinerte Fassung wird hochgeladen, das Original bleibt auf deinem Gerät.
Sehen können dein Profilbild genau die, die auch dein Profil öffnen können: deine bestätigten Freunde, die Mitglieder deiner Gruppe und – nur wenn du „In deiner Gegend sichtbar“ eingeschaltet hast – andere dort gelistete Personen mit einer gemeinsamen Zone. Wer dich blockiert hat oder von dir blockiert wurde, sieht es nicht. Das Bild liegt in einem nicht öffentlichen Speicher und wird nur über Links ausgeliefert, die nach einer Stunde ungültig werden.
Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du widerrufst, indem du das Bild entfernst. Ein ersetztes oder entferntes Bild wird vom Server gelöscht, ebenso mit deinem Konto.
Welche Daten: XP, Level, Serie, Auszeichnungen, abgeschlossene Orte und Saison-Quests, Münzen, Kisten, gefundene Teile mit dem Tile, auf dem du sie gefunden hast, und deine gebauten Räder.
Wofür und Rechtsgrundlage: für die Spielfunktionen der App (Art. 6 Abs. 1 lit. b DSGVO). Münzen und Kisten sind Spielinhalte ohne Geldwert; es gibt keine Käufe mit echtem Geld und keinen Zahlungsdienst.
Wie lange: solange dein Konto besteht.
Welche Daten: wen du blockiert hast; Meldungen, die du abgibst, mit einer Kopie des gemeldeten Inhalts (Benutzername, Text, Bild); unsere Entscheidung dazu; und wie oft beim Beitritt zu einer Gruppe ein falscher Einladungscode eingegeben wurde, damit Codes nicht durchprobiert werden können. Ein Wortfilter prüft Benutzernamen, Gruppennamen und Posts, bevor sie gespeichert werden.
Meldet jemand dich oder einen deiner Inhalte, verarbeiten wir die Meldung und die Kopie deines Inhalts, die wir dabei von der meldenden Person erhalten (Art. 14 DSGVO). Wer gemeldet hat, erfährt die gemeldete Person nicht.
Wofür und Rechtsgrundlage: um verletzende und rechtswidrige Inhalte zu erkennen und zu entfernen, Missbrauch zu verhindern und die Pflichten aus dem Digital Services Act zu erfüllen (Art. 6 Abs. 1 lit. c und f DSGVO). Unser berechtigtes Interesse ist eine sichere App für alle.
Wie lange: Blockierungen, solange du sie nicht aufhebst. Meldungen löschen wir, sobald sie bearbeitet sind und nicht mehr gebraucht werden, spätestens zwölf Monate nach der Bearbeitung — auch dann, wenn die gemeldete Person ihr Konto vorher löscht.
Absturzberichte senden wir nur mit deiner Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Sie ist ab Werk aus; du erteilst und widerrufst sie im Profil unter „Absturzberichte“. Ohne sie wird der dafür nötige Dienst gar nicht erst gestartet.
Stimmst du zu und stürzt die App ab oder zeigt sie einen Fehlerbildschirm, geht ein Bericht an Sentry (Functional Software Inc., USA; Speicherung in der EU): die Fehlermeldung und wo im Code sie auftrat, dazu technische Angaben zu Gerät und App: Gerätemodell und Hersteller, Betriebssystem- und App-Version, Spracheinstellung und Zeitzone, Arbeitsspeicher, Speicherplatz und Akkustand, Art der Verbindung (WLAN oder Mobilfunk) und welche Berechtigungen die App hat, außerdem eine zufällige Kennung dieser App-Installation, damit wir sehen, wie viele Geräte ein Fehler betrifft. Mit deinem Konto ist sie nicht verbunden. Keine Standortdaten, keine Inhalte, keine E-Mail-Adresse, kein Benutzername, keine Konto-ID; deine IP-Adresse wird beim Empfang nicht gespeichert. Wir nutzen die Berichte nur, um Fehler zu finden und zu beheben, und löschen sie nach 90 Tagen.
Beim Aufruf unserer Dienste wird deine IP-Adresse übertragen; das ist technisch nötig, damit eine Antwort ankommt. Unser Dienstleister Supabase speichert bei Anmeldungen und Serveraufrufen IP-Adresse, Zeitpunkt und Gerätetyp (User-Agent) in Protokollen.
Wofür und Rechtsgrundlage: zum sicheren Betrieb, um Angriffe und Missbrauch zu erkennen und Fehler zu finden (Art. 6 Abs. 1 lit. f DSGVO). Das ist zugleich unser berechtigtes Interesse.
Wie lange: Die Protokolle werden automatisch gelöscht, spätestens nach 7 Tagen.
Die Karte lädt ihre Kacheln, Schriften und Stile direkt von OpenFreeMap (tiles.openfreemap.org) und die Höhendaten für die Geländeschattierung von den „Terrain Tiles“ auf Amazon Web Services (Amazon Web Services, Inc., USA). Diese Dienste erfahren deine IP-Adresse und welchen Kartenausschnitt du ansiehst. Weil die Karte meist dort steht, wo du bist, lässt das auf deine ungefähre Gegend schließen. Wer du bist und wo du gefahren bist, erfahren sie nicht; wir geben ihnen keine Daten über dich weiter.
Rechtsgrundlage: Das Laden der Karte ist nötig, um sie dir zu zeigen (Art. 6 Abs. 1 lit. b DSGVO); dass wir dafür frei verfügbare Kartendienste statt eines eigenen Servers nutzen, beruht auf unserem berechtigten Interesse an einem sparsamen Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Beide Dienste verarbeiten die Anfragen in eigener Verantwortung.
Beim Start fragt die App bei Expo (650 Industries, Inc., USA) nach, ob es eine verbesserte Fassung der App gibt, und lädt sie im Hintergrund; sie gilt ab dem nächsten Start. So können wir Fehler beheben, ohne auf eine neue Version im App-Store zu warten. Die App wartet dabei nie: Ohne Netz startet sie wie gewohnt.
Dabei erfährt Expo deine IP-Adresse, Gerätetyp und Betriebssystem, die Version der App und eine zufällige Kennung dieser Installation, mit der gezählt wird, auf wie vielen Geräten ein Update angekommen ist. Wer du bist, wo du fährst oder was in deinem Konto steht, erfährt Expo nicht. Die Kennung bleibt auf deinem Gerät, bis du die App deinstallierst.
Wofür und Rechtsgrundlage: damit die App sicher und wie beschrieben funktioniert (Art. 6 Abs. 1 lit. b DSGVO) und Fehler schnell behoben werden können (unser berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO). Das Speichern der Kennung auf deinem Gerät ist dafür unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Expo verarbeitet die Anfragen als unser Auftragsverarbeiter und speichert sie [BITTE AUSFÜLLEN: wie lange Expo Update-Anfragen speichert, z. B. „höchstens 30 Tage“ — steht im Auftragsverarbeitungsvertrag von Expo].
Wir schicken dir nur E-Mails, die für dein Konto nötig sind: Bestätigungs- und Rücksetzcodes, und wenn wir dir nach einer Meldung oder einer Moderationsentscheidung antworten müssen. Keine Werbung, kein Newsletter. Die Codes verschickt IONOS SE (Montabaur, Deutschland) in unserem Auftrag; dafür werden deine E-Mail-Adresse und der Code übertragen (Art. 6 Abs. 1 lit. b DSGVO).
Die App speichert deine Fahrten (ohne GPS-Spur), deine Karte, deinen Spielstand, deine Anmeldung und deine Einstellungen auf deinem Gerät, damit alles auch ohne Netz funktioniert und du angemeldet bleibst. Das ist für die App, die du nutzt, unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).
Beim Löschen des Kontos werden diese Daten auch vom Gerät entfernt, ebenso zwischengespeicherte Bilder, Videos und Exporte; beim Deinstallieren der App löscht dein Gerät sie. Nur Darstellungseinstellungen wie Farbschema und Einheiten bleiben bis zur Deinstallation.
Nutzt du die Sicherung deines Geräts (Google-Backup oder iCloud), können diese Daten samt Anmeldung in deiner Sicherung landen. Diese Sicherung verwaltet der Hersteller deines Geräts für dich; wir haben darauf keinen Zugriff.
Mit unseren Auftragsverarbeitern haben wir Verträge nach Art. 28 DSGVO geschlossen; sie dürfen deine Daten nur nach unserer Weisung verarbeiten.
Supabase, Sentry, Expo und Amazon Web Services sind Unternehmen mit Sitz in den USA. Auch wenn Daten in der EU gespeichert werden, ist ein Zugriff aus den USA nicht ausgeschlossen. Grundlage dafür ist der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), soweit das Unternehmen danach zertifiziert ist, und im Übrigen die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), die wir mit unseren Auftragsverarbeitern vereinbart haben.
Eine Kopie der Standardvertragsklauseln erhältst du auf Anfrage an info@grydx.app. Trotz dieser Garantien kann ein Restrisiko bleiben, dass US-Behörden auf Daten zugreifen.
Löschst du dein Konto (Profil → „Konto löschen“), werden alle Daten auf dem Server sofort gelöscht, auch deine Bilder und dein Profilbild. Eine Gruppe, die du gegründet hast, geht mit ihrem Namen an das Mitglied über, das am längsten dabei ist.
Für ein Konto brauchen wir deine E-Mail-Adresse und ein Passwort; ohne sie kannst du GRYDX nicht nutzen. Alle anderen Angaben, etwa Benutzername, Profilbild oder Posts, sind freiwillig. Gesetzlich bist du zu keiner Angabe verpflichtet.
Es gibt keine automatisierte Entscheidung im Einzelfall, die dir gegenüber rechtliche Wirkung entfaltet oder dich ähnlich erheblich beeinträchtigt (Art. 22 DSGVO). Automatisch laufen nur der Wortfilter, das vorläufige Ausblenden eines mehrfach gemeldeten Posts bis zu unserer Prüfung und die Plausibilitätsprüfung importierter Fahrten (etwa: zu schnell für ein Fahrrad).
Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen; was bis dahin geschehen ist, bleibt rechtmäßig.
Wie du eine Kopie deiner Daten bekommst und was darin steht, erklärt der nächste Abschnitt. Alle anderen Anliegen schick uns an info@grydx.app; wir antworten innerhalb eines Monats und kostenlos.
Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren, etwa bei der Behörde deines Wohnorts. Für uns zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart.
Eine Kopie deiner Daten erstellst du jederzeit selbst, mit dem Knopf am Ende dieses Abschnitts — in der App unter Profil → Rechtliches → Datenschutzerklärung. Du bekommst eine JSON-Datei, ein gängiges, maschinenlesbares Format (Art. 15 und 20 DSGVO), die du speichern oder an einen anderen Dienst weitergeben kannst. Dafür braucht die App eine Internetverbindung.
In der Datei steht alles, was wir in unserer Datenbank zu deinem Konto speichern:
Nicht in der Datei, aber auf Anfrage an info@grydx.app — innerhalb eines Monats und kostenlos:
Gar nicht enthalten:
Verarbeiten wir Daten auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO), kannst du dem jederzeit aus Gründen widersprechen, die sich aus deiner besonderen Situation ergeben. Dann verarbeiten wir diese Daten nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Schreib dafür formlos an info@grydx.app.
Hast du die App nicht mehr, schreib uns von der E-Mail-Adresse deines Kontos an info@grydx.app mit dem Betreff „Konto löschen“. Wir löschen das Konto und alle Daten dazu innerhalb von 30 Tagen und bestätigen es dir per E-Mail.
GRYDX ist für Menschen ab 16 Jahren. Bei der Registrierung bestätigst du, dass du mindestens 16 bist. Erfahren wir, dass ein Konto einer jüngeren Person gehört, löschen wir es.
Alle Verbindungen zwischen der App und unserem Server sind verschlüsselt. Jede Tabelle der Datenbank ist so abgesichert, dass ein Konto nur lesen kann, was es sehen darf. Bilder liegen in nicht öffentlichen Speichern. Werden trotzdem Daten offengelegt und entsteht daraus ein hohes Risiko für dich, benachrichtigen wir dich (Art. 34 DSGVO).
Ändert sich, was die App mit Daten tut, passen wir diese Erklärung an, bevor die Änderung wirksam wird, und weisen in der App auf wesentliche Änderungen hin. Brauchen wir für etwas Neues deine Einwilligung, fragen wir dich vorher.
Stand: 10. Oktober 2026