Datenschutzkonzept der Radbonus App

Stand 20.02.2026

Einleitung

Zweck und Ziel des Datenschutzkonzepts

Die Radbonus-App ermöglicht es Nutzern, ihre Radfahraktivitäten zu erfassen und an Challenges teilzunehmen. In der hier dokumentierten GPS-Variante werden Streckendaten serverseitig gespeichert, um den Nutzern eine Routenansicht, den Partnern aggregierte Streckenanalysen (Heatmaps) und Radbonus eine serverseitige Plausibilitätsprüfung (Fraud Detection) zu ermöglichen. Da die serverseitige Speicherung von GPS-Daten in Verbindung mit einer stabilen Nutzerkennung einen Personenbezug im Sinne der DSGVO begründet, unterliegt diese Variante vollständig den Anforderungen der DSGVO. Dieses Datenschutzkonzept dokumentiert die Rechtsgrundlagen, technischen und organisatorischen Maßnahmen sowie die Rechte der Nutzer.

Geltungsbereich der Datenschutzmaßnahmen

Dieses Datenschutzkonzept gilt für die gesamte Radbonus-App sowie alle zugehörigen Serveranwendungen und Dienste im Rahmen der jeweiligen Partner-Welt, soweit die GPS-Variante aktiviert ist. Es beschreibt die Erhebung, Verarbeitung, Speicherung und den Schutz der personenbezogenen Daten. Das Konzept wird vom Nutzer beim Betreten der Partner-Welt akzeptiert und gilt für die gesamte Dauer der Nutzung innerhalb dieser Partner-Welt.

Definitionen und Begriffe

Radbonus-App: Eine mobile Anwendung für iOS und Android, die es Nutzern ermöglicht, ihre Fahrradaktivitäten zu erfassen und an Challenges teilzunehmen.
Nutzer: Jede natürliche Person, die die Radbonus-App verwendet.
DSGVO: Datenschutz-Grundverordnung der Europäischen Union, die den Schutz personenbezogener Daten regelt.
Personenbezogene Daten: Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.
Pseudonymisierung: Die Verarbeitung personenbezogener Daten in einer Weise, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können (Art. 4 Nr. 5 DSGVO).
Identifikationsnummer (Radbonus-ID): Eine mittels Zufallsgenerator erzeugte, rein technische Kennung, die bei der Installation der Radbonus-App erstellt wird. Die ID hat keinen Bezug zum Gerät, zur Person oder zu sonstigen identifizierenden Merkmalen. Sie dient als pseudonymer Schlüssel zur Zuordnung von Nutzungsdaten innerhalb des Systems.
Geo-Hash: Ein Verfahren zur Kodierung geographischer Koordinaten in kurze alphanumerische Zeichenketten. Geo-Hashes aggregieren Standortdaten in definierte Rasterzellen und ermöglichen räumliche Analysen ohne Offenlegung exakter Koordinaten oder individueller Routen.
Heatmap: Eine aggregierte, visuelle Darstellung der Nutzungsintensität auf Streckenabschnitten, basierend auf Geo-Hashes. Heatmaps zeigen, welche Strecken insgesamt häufig befahren werden — nicht, welcher Nutzer welche Strecke gefahren ist.
Fraud Detection: Serverseitige Plausibilitätsprüfung von gemeldeten Fahrten anhand von GPS-Daten, um unrealistische oder manipulierte Aktivitäten zu erkennen (z.B. unrealistische Geschwindigkeiten, teleportierte Startpunkte, Routen auf Autobahnen).
Partner-Welt: Eine innerhalb der Radbonus-App konfigurierte Umgebung eines Partners, in der spezifische Herausforderungen, Wettkämpfe und Missionen angeboten werden.

Datenschutzansatz

Die Radbonus-App verfolgt auch in der GPS-Variante einen datensparsamen Ansatz, der im Bereich der Mitarbeiter-Fitness- und Radförderungs-Apps ohne vergleichbares Gegenstück ist:

Pseudonyme Nutzung ohne Account-Daten: Nutzer verwenden die App ohne Registrierung, ohne E-Mail-Adresse, ohne Namen und ohne Telefonnummer. Die technische Zuordnung erfolgt ausschließlich über eine mittels Zufallsgenerator erzeugte Radbonus-ID. Es existiert bei Radbonus keine Zuordnungstabelle, die eine Verknüpfung zwischen der ID und einer natürlichen Person ermöglicht.
GPS-Daten mit Zweckbindung: Streckendaten werden serverseitig gespeichert und ausschließlich für drei definierte Zwecke verwendet: (1) Routenansicht für den Nutzer selbst, (2) serverseitige Plausibilitätsprüfung (Fraud Detection), (3) Erstellung aggregierter Geo-Hash-Analysen für Partner. Individuelle Routen werden zu keinem Zeitpunkt an Partner oder andere Nutzer weitergegeben.
Aggregation vor Weitergabe: Partner erhalten ausschließlich aggregierte Geo-Hash-Heatmaps und Statistiken. Individuelle Fahrtprofile, Routen, Zeitstempel oder Aktivitätsmuster einzelner Nutzer sind für Partner nicht einsehbar.
Sichere Serverinfrastruktur: Alle Daten werden auf eigenen, in Deutschland betriebenen Bare Metal Servern in hochsicheren Rechenzentren gespeichert, die nach ISO/IEC 27001 zertifiziert sind. Es erfolgt keine Speicherung in Cloud-Diensten.
Verschlüsselte Kommunikation: Die Datenübertragung zwischen der App und den Servern erfolgt über verschlüsselte Verbindungen (SSL/TLS).

Obwohl in dieser Variante GPS-Daten serverseitig gespeichert werden, bleibt der Grundsatz erhalten: Radbonus kennt die Identität der Nutzer nicht. Die Kombination aus pseudonymer Kennung und Standortdaten begründet jedoch einen Personenbezug im Sinne der DSGVO, dem diese Variante vollständig Rechnung trägt.

Verantwortlichkeiten

Datenschutzbeauftragter

Der Datenschutzbeauftragte der Radbonus GmbH ist Johannes Milczewski. Er ist verantwortlich für die Überwachung und Einhaltung der datenschutzrechtlichen Vorschriften innerhalb des Unternehmens. Er ist der zentrale Ansprechpartner für alle datenschutzrelevanten Fragen und Anliegen.

Aufgaben des Datenschutzbeauftragten

Überwachung der Einhaltung der Datenschutzvorschriften: Sicherstellung, dass alle datenschutzrechtlichen Anforderungen gemäß DSGVO und anderen relevanten Gesetzen erfüllt werden. Regelmäßige Überprüfung und Aktualisierung der Datenschutzrichtlinien und -verfahren.
Beratung und Schulung: Beratung der Geschäftsführung und der Mitarbeiter in allen datenschutzrechtlichen Belangen. Durchführung von Schulungen und Sensibilisierungsmaßnahmen.
Zusammenarbeit mit der Aufsichtsbehörde: Kontaktstelle für die Datenschutzaufsichtsbehörde und Unterstützung bei Anfragen oder Prüfungen.
Überwachung der Datenverarbeitungsprozesse: Regelmäßige Überprüfung der Datenverarbeitungsprozesse, insbesondere der GPS-Datenverarbeitung, der Geo-Hash-Aggregation und der Fraud-Detection-Logik. Implementierung und Überwachung technischer und organisatorischer Maßnahmen zum Schutz der Daten.
Dokumentation und Berichterstattung: Führung eines Verzeichnisses von Verarbeitungstätigkeiten und Erstellung von Berichten über die Datenschutzmaßnahmen und deren Wirksamkeit.

Verantwortliche Stellen und Kontaktinformationen

Die Radbonus GmbH, vertreten durch die Geschäftsführer Marius-Eugen Gerdan und Katharina Gerdan-Dörenhoff, ist die verantwortliche Stelle für den Betrieb der Radbonus-App. Bei Fragen oder Anliegen zum Datenschutz können Sie sich an den Datenschutzbeauftragten Johannes Milczewski wenden.

Kontaktinformationen des Datenschutzbeauftragten:

Johannes Milczewski
E-Mail: privacy@radbonus.com
Telefon: +49 221 177 32 99 - 0

Datenerhebung und -verarbeitung

Datenschutzrechtliche Einordnung

Die GPS-Variante der Radbonus-App verarbeitet pseudonymisierte personenbezogene Daten im Sinne des Art. 4 Nr. 1 i.V.m. Art. 4 Nr. 5 DSGVO. Obwohl Radbonus keine Identitätsdaten (Name, E-Mail, Telefon) erhebt und über keine Zuordnungstabelle verfügt, begründet die Kombination aus einer stabilen Kennung (Radbonus-ID) und serverseitig gespeicherten GPS-Streckendaten einen Personenbezug: Bewegungsprofile weisen eine hohe Individualisierungskraft auf und können — insbesondere bei regelmäßigen Pendlerrouten — theoretisch mit externen Datenquellen korreliert werden, um eine natürliche Person zu bestimmen.

Radbonus behandelt die verarbeiteten Daten daher als personenbezogene Daten und wendet die DSGVO vollständig und ohne Einschränkung an. Gleichzeitig ist festzuhalten, dass Radbonus selbst über keinerlei Mittel verfügt, die Radbonus-ID einer natürlichen Person zuzuordnen — die Pseudonymisierung ist architektonisch verankert und nicht umkehrbar ohne externe Informationen, über die Radbonus nicht verfügt.

Arten der erhobenen Daten und deren Verarbeitung

Radbonus-ID

Eine mittels Zufallsgenerator erzeugte, rein technische Kennung, die bei der Installation der App erstellt wird.
Die ID hat keinen Bezug zum Gerät, zur Telefonnummer, zu Hardware-Kennungen oder zu sonstigen identifizierenden Merkmalen des Nutzers. Es existiert bei Radbonus keine Zuordnungstabelle.
Die ID dient als pseudonymer Schlüssel: Sie ermöglicht die technische Zuordnung von Nutzungsdaten, ohne dass Radbonus die Identität des Nutzers kennt.
Die ID kann vom Nutzer zur Übertragung seiner Nutzungsdaten auf ein anderes Gerät verwendet werden.

GPS-Streckendaten (Kernunterschied zur anonymen Variante)

Bei aktivierter GPS-Variante werden die Geokoordinaten der gefahrenen Strecken an den Radbonus-Server übermittelt und dort gespeichert.
Die Streckendaten umfassen: GPS-Koordinaten entlang der Route (Breitengrad, Längengrad), Zeitstempel der einzelnen GPS-Punkte, berechnete Distanz und Geschwindigkeit.
Zweckbindung: Die Streckendaten werden ausschließlich für folgende Zwecke verarbeitet:
- Routenansicht (Nutzer): Der Nutzer kann seine gefahrenen Strecken in der App auf einer Karte einsehen.
- Fraud Detection (Radbonus): Serverseitige Plausibilitätsprüfung zur Erkennung unrealistischer oder manipulierter Fahrten (z.B. unrealistische Geschwindigkeiten >80 km/h, teleportierte Startpunkte, Routen auf gesperrten Straßen/Autobahnen). Die Fraud Detection erfolgt regelbasiert und automatisiert; sie hat keine rechtliche Wirkung gegenüber dem Nutzer, sondern markiert auffällige Fahrten zur manuellen Überprüfung durch Radbonus.
- Geo-Hash-Aggregation (Partner-Heatmaps): Die GPS-Koordinaten werden in Geo-Hashes mit einer Auflösung von ca. 150m × 150m (Geo-Hash-Präzision Level 7) umgerechnet. Die daraus erstellten Heatmaps zeigen die aggregierte Nutzungsintensität auf Streckenabschnitten — nicht individuelle Routen. Die Aggregation erfolgt über alle Nutzer einer Partner-Welt; eine Zuordnung einzelner Strecken zu einzelnen Nutzern ist aus den Heatmap-Daten nicht möglich.
Keine Weitergabe individueller Routen: Individuelle GPS-Tracks, Fahrtprofile oder Streckendaten einzelner Nutzer werden zu keinem Zeitpunkt an Partner, andere Nutzer oder Dritte weitergegeben.

Gefahrene Distanzen

Informationen über die gefahrenen Distanzen mit Start- und End-Zeitpunkt.
Diese Daten werden den entsprechenden Herausforderungen, Wettkämpfen und Missionen zugeordnet.

Optional: Nickname

Nutzer können freiwillig einen Nickname als Anzeige-Kennung in öffentlichen Rankings vergeben. Wird kein Nickname vergeben, wird ein stark gekürztes Fragment der Radbonus-ID als Platzhalter angezeigt. Die Anzeige-Kennung ist partnerweltbezogen und nicht über verschiedene Partner-Welten hinweg verknüpfbar.
Aktive Bestätigung vor Eingabe: Vor Freischaltung des Eingabefeldes wird der Nutzer informiert: „Dein Nickname ist für andere Teilnehmer sichtbar. Bitte wähle einen Namen, der keine Rückschlüsse auf deine Person zulässt — also keinen echten Namen, keine Initialen, keine Abteilung und keinen Firmennamen." Der Nutzer muss aktiv bestätigen: „Ich bestätige, dass mein Nickname keine personenbezogenen Daten enthält und nicht auf meine Person rückschließen lässt."
Automatisierte Validierung vor Speicherung: Jeder Nickname durchläuft eine zweistufige automatisierte Prüfung:Stufe 1 — Regelbasierte Mustererkennung: E-Mail-Adressen, Telefonnummern, Datumsformate/Geburtsjahre (1940–2015), URLs, Social-Media-Handles.Stufe 2 — KI-gestützte semantische Analyse (lokales LLM): Ein lokal auf der Radbonus-Infrastruktur betriebenes Sprachmodell prüft auf: Klarnamen, Vornamen mit identifizierendem Zusatz, Abteilungs-/Rollenbezeichnungen, Initialen-Kombinationen, Standort-/Filialbezeichnungen mit Personenbezug. Es werden keine Nickname-Eingaben an externe Dienste übermittelt.
Bei Ablehnung erhält der Nutzer einen konkreten Hinweis. Abgelehnte Nicknames werden nicht gespeichert und nicht protokolliert. Die automatisierte Prüfung stellt keine automatisierte Entscheidung im Sinne des Art. 22 DSGVO dar, da sie keine rechtliche Wirkung entfaltet und keine erhebliche Beeinträchtigung begründet. Das System ist konservativ kalibriert (im Zweifel Ablehnung). Das Prüfmodell unterliegt einer dokumentierten Model Governance: Versionierung, Validierung gegen internen Testkorpus, Änderungsprotokollierung und Freigabe durch qualifizierte Mitarbeiter. Sollte ein Nutzer der Auffassung sein, dass sein Nickname fälschlich abgelehnt wurde, kann er über den Datenschutzbeauftragten eine manuelle Prüfung anfordern — dabei wird ausschließlich der Nickname-Text bewertet.

Optional: Device-Tokens (Push-Notifications)

Werden für den Versand von Push-Notifications verwendet, wenn der Nutzer dies ausdrücklich wünscht.
Technische Umsetzung: Der Versand erfolgt über Firebase Cloud Messaging (FCM). Device-Tokens werden auf den Radbonus-Servern verschlüsselt und getrennt von den übrigen Nutzungsdaten gespeichert. Push-Payloads enthalten ausschließlich generische, für alle Empfänger identische Benachrichtigungen — keine nutzerspezifischen Inhalte, Radbonus-IDs, Leistungsdaten oder Profilinformationen. Die Einhaltung wird serverseitig durch vordefinierte Nachrichtenvorlagen erzwungen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (ausdrückliche Einwilligung über den OS-Berechtigungsdialog).
Auftragsverarbeitung: Google agiert als Auftragsverarbeiter gemäß Art. 28 DSGVO auf Grundlage der Firebase Data Processing and Security Terms.
Internationaler Datentransfer: SCCs gemäß Art. 46 Abs. 2 lit. c DSGVO sowie EU-U.S. Data Privacy Framework gemäß Art. 45 DSGVO. Ein TIA wurde durchgeführt.
Speicherdauer: Bei Deaktivierung oder Widerruf werden Tokens unverzüglich gelöscht. Inaktive Tokens werden regelmäßig bereinigt.

App- und Betriebssysteminformationen

App-Version, Betriebssystem und dessen Version. Dienen der Fehlerbehebung und Optimierung.

Fahrradtyp

Der Typ des verwendeten Fahrrads (z.B. MTB, BMX). Dient der Analyse und Anpassung der App-Funktionen.

Optional: Zugehörigkeit zu einem Team

Bei Teilnahme an Team-Aktivitäten. Es werden keine Team-Wettbewerbe mit weniger als 15 Teilnehmern angeboten.

Zugehörigkeit zu einer Partner-Welt, Favoriten, Preisgewinn

Wie in der anonymen Variante: keine identifizierenden Daten involviert.

Nicht gespeicherte Daten

Auch in der GPS-Variante speichert die Radbonus-App bewusst keine Identitätsdaten:

Keine Account-Daten: Name, Anschrift, E-Mail, Telefonnummern werden nicht erhoben.
Keine Geräte-IDs: Keine IDFA/GAID, keine MAC-Adressen, keine Hardware-Kennungen.
IP-Adresse: Radbonus speichert, protokolliert und wertet IP-Adressen von App-Nutzern zu keinem Zeitpunkt aus.Schicht 1 — Transportweg (Telekommunikationsanbieter): Verarbeitung durch Netzbetreiber im Rahmen eigener Verantwortlichkeit.Schicht 2 — Load-Balancer (Hetzner Online GmbH): Der Load-Balancer verarbeitet IP-Adressen auf Netzwerkebene (TCP/IP-Kommunikation). Radbonus hat keinen Zugriff auf Verbindungsdaten. AV-Vertrag gem. Art. 28 DSGVO besteht.Schicht 3 — Radbonus-Anwendungsserver: X-Forwarded-For ist deaktiviert. Die IP-Adresse ist auf Anwendungsebene technisch nicht verfügbar. Es existiert kein Code-Pfad, der auf IP-Informationen zugreift.

Zweck der Datenerhebung und -verarbeitung

Verarbeitungszweck	Datenkategorien	Rechtsgrundlage
Serviceerbringung (Challenges, Wettbewerbe)	Radbonus-ID, Distanzen, Zeitstempel, Challenge-Teilnahmen	Art. 6 Abs. 1 lit. b DSGVO
Routenansicht für den Nutzer	GPS-Streckendaten	Art. 6 Abs. 1 lit. b DSGVO
Fraud Detection (Plausibilitätsprüfung)	GPS-Streckendaten, Geschwindigkeitsprofile	Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Integrität des Wettbewerbs)
Geo-Hash-Heatmaps für Partner	GPS-Streckendaten (aggregiert zu Geo-Hashes)	Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Partners an Infrastrukturplanung)
Push-Notifications	Device-Tokens	Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)
Nickname in Rankings	Nickname-Text	Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, aktive Bestätigung)
Fehlerbehebung und Optimierung	App-/OS-Version	Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse)

Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO:

Fraud Detection: Das berechtigte Interesse der Radbonus GmbH und der Partner an der Integrität des Wettbewerbssystems überwiegt das Interesse der Nutzer, da die Prüfung ausschließlich auf technischen Plausibilitätschecks basiert (keine manuelle Routenanalyse), keine automatisierte Entscheidung mit rechtlicher Wirkung trifft und die Nutzer über die Verarbeitung informiert sind.
Geo-Hash-Heatmaps: Das berechtigte Interesse der Partner an der Analyse meistbefahrener Strecken (z.B. für Radinfrastrukturplanung, Verkehrssicherheit) überwiegt das Interesse der Nutzer, da die Daten vor Weitergabe irreversibel aggregiert werden und eine Zuordnung zu einzelnen Nutzern aus den Heatmap-Daten nicht möglich ist. Die Aggregation auf Geo-Hash-Ebene (ca. 150m × 150m) stellt sicher, dass keine individuellen Start-/Endpunkte (Wohnort, Arbeitsplatz) erkennbar sind.

Preisgewinn

Wie in der anonymen Variante: Die Gewinnabwicklung erfolgt vollständig außerhalb der Radbonus-App ohne Erhebung personenbezogener Daten durch Radbonus.

Rechtsgrundlagen und Einordnung der Datenverarbeitung

Einordnung der verarbeiteten Daten

Die GPS-Variante der Radbonus-App verarbeitet pseudonymisierte personenbezogene Daten. Die Pseudonymisierung wird durch folgende Architektur erreicht:

Die Radbonus-ID wird mittels Zufallsgenerator erzeugt und hat keinen Bezug zu Gerät, Person oder sonstigen Identifikatoren.
Es existiert bei Radbonus keine Zuordnungstabelle und kein technischer Pfad zur Re-Identifizierung.
Die Pseudonymisierung ist nicht umkehrbar durch Radbonus allein — eine De-Pseudonymisierung würde externe Informationen erfordern, über die Radbonus nicht verfügt.

Gleichwohl ist die Kombination aus stabiler Kennung und GPS-Streckendaten als personenbezogen einzustufen, da Bewegungsprofile eine hohe Individualisierungskraft aufweisen und unter Heranziehung externer Datenquellen theoretisch einer natürlichen Person zugeordnet werden könnten (ErwG 26 DSGVO). Radbonus wendet die DSGVO daher vollständig an.

Einordnung nach §25 TTDSG (Endgerätezugriff)

Die Speicherung der Radbonus-ID auf dem Endgerät ist unbedingt erforderlich im Sinne des §25 Abs. 2 Nr. 2 TTDSG. Die Erhebung von Standortdaten erfolgt über die systemeigene Standortberechtigung des Betriebssystems und wird vom Nutzer aktiv erteilt. Die Speicherung von Device-Tokens für Push-Notifications erfolgt auf Grundlage der ausdrücklichen Einwilligung (§25 Abs. 1 TTDSG i.V.m. Art. 6 Abs. 1 lit. a DSGVO).

Datenschutz-Folgenabschätzung (DSFA)

Da die GPS-Variante Standortdaten serverseitig speichert und mit einer stabilen Kennung verknüpft, hat die Radbonus GmbH eine Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO durchgeführt. Auslösende Kriterien: systematische Verarbeitung von Standortdaten (Art. 35 Abs. 3 lit. a i.V.m. Positivliste der DSK).

Risiko	Eintrittswahrscheinlichkeit	Schwere	Gegenmaßnahme	Restrisiko
Re-Identifikation durch Radbonus	Sehr gering — keine Identitätsdaten, keine Zuordnungstabelle	Mittel — GPS-Daten haben hohe Individualisierungskraft	Architektonische Trennung: Radbonus kennt weder Identität noch Unternehmensstruktur der Nutzer. Keine Account-Daten, keine Geräte-IDs	Gering
Re-Identifikation durch Partner	Sehr gering — Partner erhalten ausschließlich aggregierte Geo-Hash-Heatmaps	Gering — keine individuellen Routen verfügbar	Irreversible Aggregation zu Geo-Hashes vor Weitergabe. Mindest-Aggregationsniveau (≥50 Fahrten pro Geo-Hash-Zelle). Keine individualisierten Daten für Partner	Vernachlässigbar
Inferenz durch Kollegen (Ranking)	Gering — nur gerundeter Gesamt-km sichtbar, keine Routen/Zeiten	Gering — Vermutung nicht verifizierbar	Mindestteilnehmerzahl (15), km-Rundung, verzögertes Update, Nickname-Validierung	Vernachlässigbar
Externer Datenabfluss (Leak GPS-Daten)	Gering — Bare-Metal-Server, ISO 27001, verschlüsselte Speicherung	Hoch — GPS-Daten könnten Re-Identifikation ermöglichen	Verschlüsselung at rest und in transit, PenTests (vierteljährlich), Zugriffskontrollen, Least Privilege, automatische Löschung nach Retention	Gering
Kombination GPS-Daten mit externen Quellen	Gering — kein gemeinsamer Identifier (keine E-Mail, keine Geräte-ID, keine IP)	Mittel — bei regelmäßigen Pendlerrouten theoretisch möglich	Keine Account-Daten, keine Geräte-IDs, keine IP auf Anwendungsebene, keine Drittanbieter-APIs. GPS-Retention begrenzt (12 Monate)	Gering
Fraud Detection als Profiling	Sehr gering — regelbasierte Plausibilitätschecks, keine Verhaltensanalyse	Gering — keine automatisierte Entscheidung mit rechtlicher Wirkung	Manuelle Überprüfung bei Auffälligkeiten, keine automatische Sperrung, Transparenz gegenüber Nutzern	Vernachlässigbar

Ergebnis der DSFA: Die implementierten technischen und organisatorischen Maßnahmen — insbesondere die Pseudonymisierung ohne Zuordnungstabelle, die Aggregation zu Geo-Hashes vor Weitergabe an Partner, die begrenzte GPS-Retention und die verschlüsselte Speicherung — reduzieren die identifizierten Risiken auf ein akzeptables Niveau. Das höchste Restrisiko besteht im Leak-Szenario; diesem wird durch Verschlüsselung, Zugriffskontrollen und regelmäßige Penetrationstests begegnet.

Informationspflichten — Privacy Notice (Art. 13 DSGVO)

Pflichtangabe (Art. 13 DSGVO)	Umsetzung
Verantwortlicher (Abs. 1 lit. a)	Radbonus GmbH, vertreten durch Marius-Eugen Gerdan und Katharina Gerdan-Dörenhoff
Datenschutzbeauftragter (Abs. 1 lit. b)	Johannes Milczewski, privacy@radbonus.com, +49 221 177 32 99 - 0
Zwecke und Rechtsgrundlagen (Abs. 1 lit. c/d)	Serviceerbringung inkl. Routenansicht (Art. 6 Abs. 1 lit. b): Distanzen, Zeitstempel, GPS-Streckendaten, Challenge-Teilnahmen. Fraud Detection (Art. 6 Abs. 1 lit. f): GPS-Daten, Geschwindigkeitsprofile. Geo-Hash-Heatmaps (Art. 6 Abs. 1 lit. f): GPS-Daten, aggregiert. Einwilligung (Art. 6 Abs. 1 lit. a): Push-Notifications, Nickname
Berechtigtes Interesse (Abs. 1 lit. d)	Fraud Detection: Integrität des Wettbewerbssystems. Geo-Hash-Heatmaps: Infrastrukturplanung und Radverkehrsförderung. App-Optimierung: Fehlerbehebung
Empfänger (Abs. 1 lit. e)	Hetzner Online GmbH (Infrastruktur, AV gem. Art. 28); Google/Firebase (FCM Push, AV gem. Art. 28); Apple (APNs iOS-Zustellung). Partner erhalten ausschließlich aggregierte Geo-Hash-Heatmaps und Statistiken — keine individuellen Routen, Kennungen oder Nutzerdaten
Drittlandtransfer (Abs. 1 lit. f)	FCM/APNs: SCCs gem. Art. 46 Abs. 2 lit. c; EU-U.S. Data Privacy Framework gem. Art. 45 (Google)
Speicherdauer (Abs. 2 lit. a)	GPS-Streckendaten: 12 Monate ab Erfassung, danach automatische Löschung. Nutzungsdaten: aktive Nutzung, max. 24 Monate Inaktivität. Device-Tokens: bis Widerruf. Geo-Hashes (aggregiert): unbegrenzt (kein Personenbezug). Details siehe Retention-Tabelle
Betroffenenrechte (Abs. 2 lit. b/c/d)	Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch gegen Verarbeitung auf Basis berechtigten Interesses (Art. 21), Widerruf der Einwilligung (Art. 7 Abs. 3)
Beschwerderecht (Abs. 2 lit. d)	Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
Erforderlichkeit (Abs. 2 lit. e)	GPS-Daten sind für Routenansicht und Fraud Detection erforderlich. Push und Nickname sind freiwillig
Automatisierte Entscheidungsfindung (Abs. 2 lit. f)	Fraud Detection: Regelbasierte Plausibilitätsprüfung, keine automatisierte Entscheidung mit rechtlicher Wirkung. Auffällige Fahrten werden manuell geprüft. Nickname-Validierung: Keine automatisierte Entscheidung gem. Art. 22 (siehe Abschnitt Datenerhebung)

Datenweitergabe

Die Radbonus-App verfolgt ein striktes Prinzip der Datensouveränität.

Keine Weitergabe individueller Daten

Individuelle GPS-Tracks, Fahrtprofile, Routen oder sonstige nutzerbezogene Daten werden zu keinem Zeitpunkt an Partner, andere Nutzer oder Dritte weitergegeben.

Geo-Hash-Heatmaps für Partner

Partner erhalten aggregierte Heatmaps basierend auf Geo-Hashes. Diese zeigen die Nutzungsintensität auf Streckenabschnitten und ermöglichen Analysen zur Radinfrastrukturplanung. Die Aggregation stellt sicher:

Mindest-Aggregationsniveau: Geo-Hash-Zellen werden erst ab einer Mindestanzahl von 50 Fahrten in der jeweiligen Zelle in die Heatmap aufgenommen. Zellen mit geringerer Nutzung werden unterdrückt, um Rückschlüsse auf individuelle Routen zu verhindern.
Keine Zeitstempel: Die Heatmaps enthalten keine zeitlichen Informationen — es ist nicht erkennbar, wann eine Strecke befahren wurde.
Keine Nutzer-Zuordnung: Die Heatmap-Daten enthalten keine Radbonus-IDs, Anzeige-Kennungen oder sonstige nutzerbezogene Informationen. Eine Rückführung auf einzelne Fahrten oder Nutzer ist aus den aggregierten Daten nicht möglich.
Irreversible Aggregation: Die Geo-Hash-Aggregation ist ein Einwegprozess — aus den aggregierten Zählwerten können die ursprünglichen GPS-Koordinaten nicht rekonstruiert werden.

Anzeige-Kennung in Rankings

Wie in der anonymen Variante: Rankings erst ab 15 aktiven Nutzern, km-Rundung, verzögertes Update, Nickname-Validierung durch lokales LLM. Weder Partner noch andere Nutzer sehen Routen, Einzelereignisse, Zeitstempel oder GPS-Daten.

Zugriffsmodell (Wer sieht was)

Nutzer (eigene App): Sieht seine eigenen Routen auf einer Karte, Startzeiten, Endzeiten, Fahrtdauer, Einzelereignisse und Gesamt-Kilometer.
Andere Nutzer (Ranking): Sehen — erst ab 15 aktiven Nutzern — ausschließlich Anzeige-Kennung und gerundeten Gesamt-Kilometerstand. Keine Routen, keine Zeiten, keine GPS-Daten.
Partner: Erhalten aggregierte Geo-Hash-Heatmaps (ab 50 Fahrten pro Zelle), aggregierte Statistiken (Gesamtkilometer, Teilnehmerzahlen, Challenge-Abschlussraten). Keine individuellen Routen, keine Kennungen, keine Zeitstempel.
Radbonus (Ops/Admin): Verarbeitet die Daten zur Serviceerbringung und Fraud Detection. Besitzt keine Identitätsdaten. Radbonus kennt weder die Identität der Nutzer noch die internen Strukturen der Partnerunternehmen.

Zugriffsmatrix (detaillierte Übersicht):

Datenkategorie / Zugriffsebene	Nutzer (eigene App)	Andere Nutzer (Ranking)	Partner	Radbonus (Ops/Admin)	Hetzner (Infra)	Google (FCM)	Apple (APNs)
Identitätsdaten (Name, E-Mail, Telefon)	Nein	Nein	Nein	Nein	Nein	Nein	Nein
Radbonus-ID (vollständig)	Ja	Nein	Nein	Ja	Nein	Nein	Nein
Anzeige-Kennung (Nickname/ID-Fragment)	Ja	Ja (ab 15 Teilnehmer)	Optional (nur öffentliche Rankings)	Ja	Nein	Nein	Nein
GPS-Streckendaten (individuelle Routen)	Ja	Nein	Nein	Ja (Fraud Detection)	Nein	Nein	Nein
Geo-Hash-Heatmaps (aggregiert)	Nein	Nein	Ja (ab 50 Fahrten/Zelle)	Ja	Nein	Nein	Nein
Gesamt-Kilometer (Wettbewerbszeitraum, gerundet)	Ja	Ja (ab 15 Teilnehmer)	Nur aggregiert	Ja	Nein	Nein	Nein
Einzelereignisse (Fahrten)	Ja	Nein	Nein	Ja	Nein	Nein	Nein
Start-/Endzeitpunkte	Ja	Nein	Nein	Ja	Nein	Nein	Nein
Teamzugehörigkeit	Optional	Nein	Nur aggregiert	Ja	Nein	Nein	Nein
Fahrradtyp	Optional	Nein	Nur aggregiert	Ja	Nein	Nein	Nein
IP-Adressen (Anwendungsebene)	Nein	Nein	Nein	Nein	Nein	Nein	Nein
IP-Adressen (Netzwerkebene/Load-Balancer)	Nein	Nein	Nein	Nein	Ja (Transport)	Nein	Nein
Device-Token (Push)	Optional	Nein	Nein	Ja (separat, verschlüsselt)	Nein	Ja (Transport)	Ja (Transport)

Die Matrix zeigt: Kein externer Akteur erhält individuelle GPS-Routen. Die Zeile „Identitätsdaten" bestätigt durchgehend „Nein". Partner erhalten ausschließlich aggregierte Geo-Hash-Heatmaps — keine Informationen, die eine Zuordnung zu einzelnen Nutzern ermöglichen.

Datenschutzrechtliche Rolle der Partner

Partner sind datenschutzrechtlich weder gemeinsam Verantwortliche (Art. 26 DSGVO) noch Auftragsverarbeiter (Art. 28 DSGVO). Die Konfiguration einer Partner-Welt (Challenges, Ziele, visuelle Gestaltung) betrifft die inhaltliche Ausgestaltung, nicht die Zwecke und Mittel der Datenverarbeitung. Partner erhalten ausschließlich aggregierte, nicht personenbezogene Heatmap-Daten und Statistiken.

Sollte im Einzelfall eine gemeinsame Verantwortlichkeit angenommen werden, stellt die Radbonus GmbH eine Vereinbarung gemäß Art. 26 DSGVO bereit.

Speicherfristen und Datenlebenszyklus

Datenkategorie	Speicherort	Zweck	Standard-Retention	Lösch-Trigger
GPS-Streckendaten	Radbonus Bare-Metal-Server (Frankfurt), verschlüsselt	Routenansicht, Fraud Detection	12 Monate ab Erfassung	Automatische Löschung nach 12 Monaten; Löschung auf Antrag (Art. 17)
Geo-Hash-Aggregate	Radbonus Bare-Metal-Server (Frankfurt)	Partner-Heatmaps	Unbegrenzt (kein Personenbezug nach Aggregation)	—
Radbonus-ID + Nutzungsdaten	Radbonus Bare-Metal-Server (Frankfurt)	Serviceerbringung	Dauer der aktiven Nutzung	24 Monate Inaktivität; Deaktivierung; Ende Partner-Welt
Nickname	Radbonus Bare-Metal-Server (Frankfurt)	Anzeige-Kennung	Dauer der aktiven Nutzung	Deaktivierung; Entfernung durch Nutzer
Device-Token (Push)	Radbonus Bare-Metal-Server (Frankfurt), verschlüsselt + getrennt	Push-Zustellung	Solange Einwilligung aktiv	Widerruf; Deaktivierung; Inaktivitätsbereinigung
App-/OS-Version	Radbonus Bare-Metal-Server (Frankfurt)	Fehlerbehebung	Dauer der aktiven Nutzung	24 Monate Inaktivität
Backups (verschlüsselt)	Radbonus Bare-Metal-Server (Frankfurt)	Disaster Recovery	6 Monate rollierend	Automatische Überschreibung

Die GPS-Retention von 12 Monaten ist bewusst begrenzt: Nach Ablauf werden die Roh-GPS-Daten gelöscht; die daraus erstellten Geo-Hash-Aggregate bleiben erhalten, da sie keinen Personenbezug mehr aufweisen.

Datenspeicherung und -sicherheit

Speicherorte

Bare Metal Server: In Deutschland, in ISO/IEC 27001-zertifizierten Rechenzentren.
Keine Cloud-Speicherung.
GPS-Daten verschlüsselt at rest: Individuelle Streckendaten werden zusätzlich zur Transportverschlüsselung auch im Ruhezustand verschlüsselt gespeichert (encryption at rest).

Technische und organisatorische Sicherheitsmaßnahmen

Verschlüsselung: SSL/TLS für Transport, Encryption at rest für GPS-Daten und Device-Tokens.
Zugangskontrollen: Multi-Faktor-Authentifizierung, strenge Passwort-Richtlinien, Least-Privilege-Prinzip.
Datensicherung: Verschlüsselte Backups, 6 Monate rollierend, RTO 4h / RPO 24h.
Überwachung und Protokollierung: Datenbankzugriffe, Authentifizierungsversuche, Systemressourcen-Metriken, Anwendungsfehler. Retention: 90 Tage, automatische Löschung. Zugriff nur für MFA-gesicherte Administratoren. Keine IP-Adressen in Logs (X-Forwarded-For deaktiviert).
Schlüsselmanagement: Intern, qualifizierte Mitarbeiter, restriktive Zugriffsrechte, definierter Rotationsplan.
Rollen- und Rechtekonzept: Least Privilege, regelmäßige Überprüfung.
Penetrationstests: Vierteljährlich extern.
Secure SDLC: Code-Reviews, SAST/DAST, Freigabeprozedur vor Deployment.
GPS-Zugriffskontrolle: Der Zugriff auf individuelle GPS-Routen ist auf das Fraud-Detection-System und autorisierte Administratoren beschränkt. Routinezugriff auf GPS-Daten durch Mitarbeiter ist nicht vorgesehen und wird protokolliert.

Maßnahmen bei Sicherheitsvorfällen

Meldepflicht: Bei Kompromittierung personenbezogener Daten (insbesondere GPS-Streckendaten) erfolgt eine Bewertung und ggf. Meldung an die Aufsichtsbehörde gemäß Art. 33 DSGVO (72-Stunden-Frist) sowie eine Benachrichtigung betroffener Nutzer gemäß Art. 34 DSGVO, soweit ein hohes Risiko besteht.
Sofortmaßnahmen: Isolation betroffener Systeme, Invalidierung kompromittierter Tokens, forensische Analyse.
Transparenz: Information über Vorfall, Umfang und Gegenmaßnahmen.

Rechte der Nutzer

Die DSGVO findet auf die GPS-Variante vollständig Anwendung. Die Radbonus GmbH gewährt den Nutzern sämtliche Betroffenenrechte:

Authentifizierung bei Rechteausübung

Da Radbonus keine Identitätsdaten speichert, erfolgt die Authentifizierung über den Besitz der Radbonus-ID auf dem Endgerät. Die ID ist lokal gespeichert und von außen nicht einsehbar. Ein Erraten ist aufgrund des Zufallsgenerators und der Schlüssellänge praktisch ausgeschlossen. Der Datenabruf erfolgt ausschließlich über die App — keine externe API. Bei E-Mail-Anfragen an den DSB wird der Nutzer zur Mitteilung seiner Radbonus-ID aufgefordert.

Auskunftsrecht (Art. 15 DSGVO)

Nutzer können Auskunft über alle zu ihrer Radbonus-ID gespeicherten Daten erhalten: Distanzen, Zeitstempel, GPS-Streckendaten, Challenge-Teilnahmen, Nickname, Fahrradtyp, Teamzugehörigkeit.

Recht auf Berichtigung (Art. 16 DSGVO)

Berichtigung unrichtiger Daten, insbesondere optionaler Angaben (Nickname, Fahrradtyp, Teamzugehörigkeit).

Recht auf Löschung (Art. 17 DSGVO)

Auf Antrag werden sämtliche zur Radbonus-ID gespeicherten Daten gelöscht, einschließlich GPS-Streckendaten, Device-Tokens und optionaler Angaben. Bereits in Geo-Hash-Aggregate eingeflossene Daten sind nicht mehr löschbar, da sie keinen Personenbezug mehr aufweisen. Aggregierte Challenge-Ergebnisse bleiben erhalten, um öffentliche Gruppenergebnisse nicht zu verfälschen.

Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)

Auf Antrag wird die Verarbeitung eingeschränkt — die Daten werden gesperrt und nicht weiter verarbeitet, aber nicht gelöscht.

Recht auf Datenübertragbarkeit (Art. 20 DSGVO)

Nutzer können einen Export ihrer Daten in einem strukturierten, gängigen, maschinenlesbaren Format (JSON) anfordern.

Widerspruchsrecht (Art. 21 DSGVO)

Nutzer können der Verarbeitung auf Basis berechtigten Interesses (Art. 6 Abs. 1 lit. f) widersprechen — insbesondere der Fraud Detection und der Geo-Hash-Aggregation. Bei berechtigtem Widerspruch wird die jeweilige Verarbeitung eingestellt.

Widerruf der Einwilligung

Einwilligungen (Push-Notifications, Nickname) können jederzeit widerrufen werden. Der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung.

Kontakt

Nutzer können sich bei Fragen oder Anliegen an den Datenschutzbeauftragten wenden (Kontaktdaten siehe Abschnitt „Datenschutzbeauftragter").

Unterauftragsverarbeitung (Subprocessor)

Hetzner Online GmbH (Infrastruktur): Rechenzentrumsbetreiber und Load-Balancer-Service, Standort Frankfurt am Main. AV-Vertrag gem. Art. 28 DSGVO. Kein Drittlandtransfer.
Firebase Cloud Messaging / Google (Push-Notifications): AV gem. Art. 28 DSGVO. SCCs + DPF für Drittlandtransfer. TIA durchgeführt.
Apple Push Notification Service / APNs (iOS-Zustellung): Unter-Auftragsverarbeiter von Google im Rahmen der FCM-Infrastruktur. Keine Radbonus-spezifischen Daten an Apple.

Darüber hinaus bestehen keine Unterauftragsverarbeitungsverhältnisse. Insbesondere werden keine Analyse-, Tracking-, Werbe- oder Marketingdienste Dritter eingesetzt.

Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen

Privacy by Design

Pseudonyme Identifikation: Zufallsgenerierte Radbonus-ID ohne Bezug zu Gerät oder Person.
GPS-Daten mit Zweckbindung und Retention: Serverseitige Speicherung nur für definierte Zwecke, automatische Löschung nach 12 Monaten.
Aggregation vor Weitergabe: Geo-Hashes statt individueller Routen für Partner.
Fraud Detection ohne Profiling: Regelbasierte Plausibilitätschecks, keine Verhaltensanalyse, keine automatisierte Entscheidung.
Minimaler Datenfluss: Keine Account-Daten, keine Geräte-IDs, keine IP auf Anwendungsebene.
Nickname-Validierung durch lokales LLM: Zweistufige Prüfung, aktive Nutzerbestätigung.
Verschlüsselte Kommunikation und Speicherung: SSL/TLS + Encryption at rest für GPS-Daten.

Privacy by Default

Datensparsamkeit: Nur für die Funktionalität erforderliche Daten.
GPS standardmäßig deaktiviert: Standortberechtigung muss vom Nutzer aktiv erteilt werden.
Opt-In für Push und Nickname.
Keine Drittanbieter-Tracking oder Analytics.

Operationale Kleinwelt-Controls

Mindestteilnehmerzahl (15) für Rankings.
Kilometer-Rundung in der Ranking-Darstellung.
Verzögertes Ranking-Update (definierte Intervalle, nicht Echtzeit).
Keine Routen-Sichtbarkeit für Dritte: Weder Partner noch andere Nutzer sehen individuelle Routen.
Mindest-Aggregationsniveau (50 Fahrten) für Geo-Hash-Heatmaps.

Regelmäßige Überprüfung und Aktualisierung

Interne und externe Sicherheitsaudits (inkl. Burp Suite, Penetrationstests).
Überprüfung der Pseudonymisierungswirksamkeit: Regelmäßige Bewertung, ob die technischen und organisatorischen Maßnahmen unter Berücksichtigung aktueller technologischer Entwicklungen und Rechtsprechung weiterhin eine wirksame Pseudonymisierung gewährleisten.
DSFA-Review: Die Datenschutz-Folgenabschätzung wird bei wesentlichen Änderungen der Verarbeitungstätigkeiten (neue Datenquellen, geänderte Geo-Hash-Auflösung, neue Partner-Funktionen) aktualisiert.
Kontinuierliche Verbesserung auf Basis von Audit-Ergebnissen und Rechtsänderungen.
Dokumentation und Protokollierung aller Änderungen.

Schulung und Sensibilisierung

Regelmäßige Schulungen zum Thema Datenschutz und Datensicherheit für alle Mitarbeiter.
Spezialisierte Weiterbildung für Mitarbeiter mit Zugriff auf GPS-Daten und Fraud-Detection-Systeme.
Einführungsseminare für neue Mitarbeiter.
Sensibilisierungsmaßnahmen: Regelmäßige Erinnerungen, Workshops, Informationsmaterialien.
Offene Kommunikation und Feedback-Schleifen.

Schlussbestimmungen

Gültigkeitsdauer

Dieses Datenschutzkonzept tritt am 01.02.2026 in Kraft und bleibt bis auf Weiteres gültig. Es wird regelmäßig überprüft und bei Bedarf angepasst.

Verfahren zur Bekanntmachung

Intern: Allen Mitarbeitern durch Schulungen und interne Mitteilungen.
Extern: Nutzern und Partnern über die Website und innerhalb der Partner-Welt.

Ansprechpartner

Bei Fragen oder Anliegen bezüglich dieses Datenschutzkonzepts können Sie sich an den Datenschutzbeauftragten wenden (Kontaktdaten siehe Abschnitt „Datenschutzbeauftragter").