Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Marian Kulisch
encirkl powered by CursusX
Republic of Korea
E-Mail: contact@cursusx.de

Eine vollständige postalische Anschrift wird auf berechtigte Anfrage bereitgestellt.

Diese Datenschutzerklärung gilt für den Dienst encirkl (erreichbar unter encirkl.de / encirkl.com) und für die Download-Seite cursusx.app (siehe 6.5). encirkl ist eine Anwendung aus der CursusX-Familie und wird auf der technischen Plattform CursusX betrieben.

Verhältnis zur App-Datenschutzerklärung: Diese Seite beschreibt die Datenverarbeitung auf den Websites encirkl.de / encirkl.com und cursusx.app sowie — zusammenfassend und inhaltlich mit ihr abgestimmt — in der mobilen encirkl-App. Die vollständige, technisch verbindliche Beschreibung der App- und Plattform-seitigen Datenverarbeitung führt die CursusX-Plattform-Datenschutzerklärung unter cursusx.de/privacy. Sie ist die technisch führende Quelle für App-spezifische Details und wird bei App-Änderungen zuerst aktualisiert.

2. Überblick der Datenverarbeitung

Diese Erklärung unterscheidet zwischen zwei Datensubjekten mit grundsätzlich unterschiedlicher Verarbeitung: anonymen Endnutzer:innen (Gehende, Läufer:innen, Fahrer:innen — die Loop-Validierung erfolgt vollständig auf dem eigenen Gerät, serverseitig werden nur wenige, konkret definierte Elemente pro Loop gespeichert, siehe Abschnitt 3.2) und Partnern als Geschäftskunden (reguläre geschäftliche Stammdatenverarbeitung gemäß Partnervertrag, siehe Abschnitt 5). Die folgenden Grundsätze beziehen sich, sofern nicht anders angegeben, auf die Verarbeitung von Endnutzer-Daten.

2.1 Welche Dienste betrifft diese Erklärung?

• encirkl: Urbanes Loyalty-Programm — Loop-Validierung, Badge-System, Wallet-Karte, Partner-Benefits, Klima-Territorien, Grüne Labels, CO₂-Visualisierung, Team-Loops
• CursusX-Plattform: Technische Infrastruktur, auf der encirkl betrieben wird — GPS-Validierung, NFC-Wegpunkte, App-Auslieferung, Partner-API

3. Art der erhobenen Daten

3.1 Nutzungsdaten (automatisch erhoben)

3.2 Standortdaten (GPS)

3.3 Freiwillig bereitgestellte Daten

3.4 Top100 (öffentliche Loop-Rangliste)

Das Top100 ist eine optionale, öffentliche Übersicht abgeschlossener Loops. Die Teilnahme ist freiwillig und wird von Ihnen pro Loop einzeln festgelegt — Sie entscheiden bei jedem abgeschlossenen Loop, ob er im Top100 erscheint oder privat bleibt. Ohne Ihre aktive Freigabe wird kein Loop öffentlich angezeigt.

Ein im Top100 geteilter Loop wird so dargestellt, dass keine Rückschlüsse auf Ihre private Wohn- oder Startadresse möglich sind. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit widerrufen können, indem Sie die Freigabe für den jeweiligen Loop zurücknehmen.

3.5 Daten aus Website-Kontaktformularen

Auf den Websites encirkl.de und encirkl.com bieten wir drei Kontaktformulare an, die als Modals geöffnet werden: Partner-Anfrage, Förder- und Stadt-Gespräch und allgemeiner Kontakt. Eine Übermittlung erfolgt erst, wenn Sie das Formular aktiv absenden.

Zusätzlich werden technisch automatisch übertragen: der Formular-Typ (form_type) und die aufrufende Seite (page_uri) — beide ausschließlich zur Zuordnung der Anfrage.

Übermittlung: Die Daten werden per verschlüsselter HTTPS-Verbindung an unseren E-Mail-Endpoint https://cursusx.de/email/ gesendet und dort als E-Mail an contact@cursusx.de zugestellt. Empfänger und Verantwortlicher ist der unter §1 genannte Betreiber.

Fallback bei Übertragungsfehler: Sollte die Übermittlung scheitern (z. B. Netzwerkfehler), wird automatisch Ihr lokales E-Mail-Programm mit den eingegebenen Daten als E-Mail-Entwurf an contact@cursusx.de geöffnet. Sie entscheiden in diesem Fall selbst, ob die E-Mail versendet wird.

Speicherdauer: Die Daten werden so lange aufbewahrt, wie es zur Bearbeitung Ihrer Anfrage und für eventuelle Rückfragen erforderlich ist, längstens jedoch 24 Monate ab letztem Kontakt. Gesetzliche Aufbewahrungspflichten (z. B. Handels- oder Steuerrecht) bleiben unberührt.

3.6 Optionale Angaben bei Partner-Challenges & Kamera-Zugriff

Bestimmte partnerbetriebene Challenges oder Prämienprogramme können zusätzlich optionale Angaben abfragen, etwa E-Mail-Adresse, Telefonnummer oder Geburtsdatum. Diese Angaben werden ausschließlich mit Ihrer ausdrücklichen Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) und nur für die konkrete Challenge oder Prämie erhoben.

Die mobile App kann außerdem Zugriff auf die Gerätekamera anfragen — ausschließlich für Funktionen wie das Scannen von QR-Codes, das Einlösen von Vorteilen oder das Wiederherstellen einer App-Kennung. Bilder werden dabei nur für die jeweils angeforderte Aktion verarbeitet und nicht dauerhaft auf dem Server gespeichert, sofern nicht ausdrücklich anders angegeben (z. B. bei freiwilligen Foto-Uploads gemäß Abschnitt 3.3).

4. Wallet-Karte und App

encirkl wird als native App über den Google Play Store (Android) und als Beta über Apple TestFlight (iOS) ausgeliefert. Die Wallet-Karte wird lokal auf Ihrem Gerät gespeichert (Apple Wallet / Google Wallet). Dafür werden folgende Daten auf dem Gerät hinterlegt:

• Anzeigename (falls angegeben)
• Badge-Status und freigeschaltete Badges
• Aktueller Partner-Benefit-Status

Die Wallet-Karte kommuniziert über die CursusX-API mit dem Server, um den Badge-Status in Echtzeit zu aktualisieren und Partner-Benefits freizuschalten. Diese Kommunikation erfolgt verschlüsselt (TLS).

5. Datenweitergabe an Partner

5.1 Anonymisierte Bewegungsberichte

Ankerpartner (Ebene 1) können anonymisierte, statistische Bewegungsberichte erhalten. Diese enthalten ausschließlich anonymisierte Kennzahlen — niemals individuelle Routen, Standortverläufe oder personenbezogene Daten.

5.2 Badge-Status an Routen-Partner

Wenn Sie einen Partner-Benefit einlösen (z. B. Rabatt bei einem Routen-Partner), wird Ihr aktueller Badge-Status über die CursusX-API an das Kassensystem des Partners übermittelt. Übermittelt werden ausschließlich:

• Badge-Status-Level (z. B. „Stadtläufer")
• Berechtigung für den konkreten Benefit (ja/nein)

Es werden keine Namen, Standortdaten, Bewegungshistorie oder sonstige personenbezogene Daten an Partner übermittelt.

5.3 Grüne Labels und Stadtgrün-Daten

Grüne Labels (gesetzte Markierungen an Bäumen und Grünflächen) können anonymisiert an Missions-Partner wie das Insel Projekt Berlin oder die Stadtverwaltung weitergegeben werden, um die Stadtgrün-Pflege zu unterstützen. Ein Rückschluss auf die setzende Person ist dabei nicht möglich.

6. Cookies und lokale Speicherung

Wir verwenden ausschließlich technisch notwendige Speichermechanismen — keine Marketing-Cookies, keine Pixel von Werbenetzwerken, kein Profiling durch Drittanbieter.

6.1 In der App

• Lokaler Cache: Für die Offline-Fähigkeit der App
• Session-Token: Zur Zuordnung laufender Loops (temporär)
• Wallet-Daten: Lokale Speicherung des Badge-Status auf Ihrem Gerät

6.2 Auf der Website (encirkl.de / encirkl.com)

• Browser-localStorage encirkl-theme: Speichert ausschließlich Ihre Wahl für Hell-/Dunkelmodus (Werte: auto, light, dark). Diese Information verbleibt zu 100 % auf Ihrem Gerät, wird nicht an unseren Server übertragen und enthält keine personenbezogenen Daten. Sie können den Eintrag jederzeit über die Browser-Entwicklertools oder das Löschen der Website-Daten entfernen.
• Keine Cookies: Die Website setzt keinerlei Cookies — weder eigene noch von Dritten.

6.3 Plausible Analytics

Für die Reichweitenmessung setzen wir Plausible Analytics ein, einen Dienst der Plausible Insights OÜ, Västriku tn 2, 50403 Tartu, Estland. Plausible verarbeitet die Daten in unserem Auftrag; ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO besteht (plausible.io/dpa). Die Daten werden in der Europäischen Union verarbeitet und gespeichert; eine Übermittlung in Drittländer findet nicht statt.

Funktionsweise: Plausible setzt keine Cookies, speichert nichts im Browser-Speicher (LocalStorage, SessionStorage, IndexedDB) und erstellt keine Geräte-Fingerabdrücke. Damit Besuche gezählt werden können, erhält Plausible bei jedem Aufruf Ihre IP-Adresse und die Browserkennung (User-Agent). Daraus bildet Plausible zusammen mit der Domain der Website und einem täglich wechselnden Zufallswert (Salt) eine Kennung (Hash). Der Salt wird nach 24 Stunden gelöscht; danach lässt sich die Kennung keinem Besuch mehr zuordnen. Aus der IP-Adresse wird außerdem der ungefähre Standort (Land, Region, Stadt) abgeleitet, aus dem User-Agent Browser, Betriebssystem und Gerätetyp. IP-Adresse und User-Agent selbst werden nicht gespeichert.

Erfasste Angaben: aufgerufene Seiten, Verweisquellen, UTM-Parameter, Browser, Betriebssystem, Gerätetyp, ungefährer Standort (Land, Region, Stadt) sowie folgende Ereignisse ohne Inhalte von Eingaben: CTAClick, ModalOpen, FormSubmit (nur der Formular-Typ Beta/Partner/Förderer/Kontakt), VideoPlay, VideoComplete, ThemeToggle, AdLanded (UTM-Parameter aus Werbeklicks), Outbound Link: Click und 404. Plausible wertet diese Angaben nur zusammengefasst aus; Profile einzelner Besucher:innen werden nicht erstellt.

First-Party-Übermittlung: Die Plausible-Skripte werden über die Domain der jeweiligen Website ausgeliefert (z. B. www.encirkl.de/js/…), und Ereignisse werden an deren Pfad /api/event gesendet und von dort an Plausible weitergeleitet. Ihr Browser baut dabei keine direkte Verbindung zu Domains Dritter auf.

Rechtsgrundlage: Plausible speichert keine Informationen auf Ihrem Endgerät und liest dort keine gespeicherten Informationen aus; eine Einwilligung nach § 25 Abs. 1 TDDDG holen wir daher nicht ein. Die Verarbeitung der IP-Adresse und des User-Agents stützen wir auf unser berechtigtes Interesse an einer statistischen Reichweitenmessung ohne Cookies (Art. 6 Abs. 1 lit. f DSGVO). Sie können dieser Verarbeitung nach Art. 21 DSGVO widersprechen. Weitere Informationen von Plausible: plausible.io/data-policy.

6.4 Selbst-gehostete Schriften

Die Schriftarten Roca Two und Nunito werden lokal vom Server ausgeliefert. Es findet keine Verbindung zu Google Fonts, Adobe Typekit oder anderen Drittanbietern statt; Ihr Browser fragt keine externen Schrift-CDNs ab.

6.5 Download-Seite cursusx.app

cursusx.app ist die Download-Seite der encirkl-App. Sie wird auf der technischen Plattform CursusX betrieben und leitet Besucher:innen zum passenden App-Store weiter (Android: Google Play, iPhone: Apple TestFlight). Verantwortlich ist der in § 1 genannte Verantwortliche; diese Datenschutzerklärung gilt für cursusx.app in vollem Umfang.

Cookies und lokale Speicherung: cursusx.app setzt keine Cookies und bindet keine Werbe-Pixel oder Tracking-Skripte von Werbenetzwerken ein. Wie auf encirkl.de wird im Browser-localStorage höchstens der Eintrag encirkl-theme (Hell-/Dunkelmodus, siehe 6.2) gespeichert. Schriften werden lokal ausgeliefert (siehe 6.4).

Server-Logdateien: Beim Aufruf verarbeitet der Webserver von cursusx.app technisch notwendige Zugriffsdaten (IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse einschließlich der Link-Parameter, Referrer, Browser- und Gerätetyp), um die Seite auszuliefern und Missbrauch abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Seite wird bei der Alfahosting GmbH, Edmund-von-Lippmann-Straße 13-15, 06112 Halle (Saale), betrieben, die die Daten in unserem Auftrag verarbeitet; ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist abgeschlossen. Die Logdateien werden nach 7 Tagen gelöscht.

Reichweitenmessung: cursusx.app nutzt Plausible Analytics wie unter 6.3 beschrieben. Skript und Ereignisse laufen über cursusx.app/js/… und cursusx.app/api/event (First-Party-Weiterleitung an Plausible); dabei wird Ihre IP-Adresse an Plausible weitergereicht, damit Plausible die Kennung (Hash) bilden und den ungefähren Standort ableiten kann (siehe 6.3); gespeichert wird sie nicht. Erfasste Ereignisse: Seitenaufrufe, Verweisquellen, Gerätetyp, UTM-Parameter, AdLanded (Quelle der Anzeige, Gerätetyp, Kampagnenname, Aufruf über Anzeige oder QR-Code), QRScanned (Seite wurde über den QR-Code der Desktop-Ansicht geöffnet), StoreClick (gewählter Store, Seitenbereich, Gerätetyp, automatische oder getippte Weiterleitung), StoreRedirectCancelled, Outbound Link: Click und 404.

Zuordnung von Installationen zu Werbekampagnen und Kanälen: Rufen Sie cursusx.app über eine Anzeige oder einen unserer Links auf (z. B. aus Newsletter, Social-Media-Profil oder QR-Code), enthält der Link Kampagnen-Parameter (UTM-Parameter wie Quelle, Medium und Kampagnenname). Kurzlinks wie cursusx.app/ig leiten dafür nur auf die Seite mit diesen Parametern weiter; dabei wird nichts gespeichert. Der Server von cursusx.app übermittelt dann folgende Angaben direkt von Server zu Server und ohne Ihre IP-Adresse an die CursusX-Plattform (cursusx.de/api):

• Quelle der Anzeige (Meta, LinkedIn, Google oder „organic“ für Aufrufe ohne Anzeige)
• Gerätetyp (Android, iPhone oder Desktop, abgeleitet aus der Browserkennung)
• Klick-Kennung der Werbeplattform, falls im Link enthalten (gclid, gbraid, wbraid, fbclid, li_fat_id)
• Kampagnen-Angaben, falls im Link enthalten (campaign_id, campaign_name bzw. utm_campaign, ad_group_id, adset_id, ad_id)

Die Plattform gibt eine zufällige Kennung (Attributions-Token) zurück, die dem Google-Play-Link als Installations-Referrer angehängt wird. Nach der Installation liest die encirkl-App diesen Referrer einmalig aus und meldet ihn an die Plattform, sodass gezählt werden kann, welche Kampagne zu einer Installation geführt hat. Name, E-Mail-Adresse oder Standortdaten werden dabei nicht verarbeitet. Für iPhone-Installationen über TestFlight findet diese Zuordnung nicht statt.

Zweck und Rechtsgrundlage: Erfolgsmessung unserer Werbekampagnen; Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an wirtschaftlicher Kampagnensteuerung). Die Website speichert hierfür nichts auf Ihrem Endgerät und liest nichts aus.

Weitergabe an Werbeplattformen: Die Angaben werden nicht an Google, Meta, LinkedIn oder andere Werbeplattformen weitergegeben.

Speicherdauer: Die Zuordnungsdaten werden 90 Tage nach dem Seitenaufruf gelöscht. Danach bleiben nur zusammengefasste Zahlen pro Kampagne.

Widerspruch: Sie können der Verarbeitung nach Art. 21 DSGVO jederzeit widersprechen (contact@cursusx.de). Ohne Zuordnung gelangen Sie zur App, wenn Sie Google Play oder TestFlight direkt aufrufen statt über einen Anzeigen-Link.

QR-Code am Computer: Am Computer zeigt cursusx.app einen QR-Code, der dieselbe Seite mit denselben Kampagnen-Parametern auf dem Smartphone öffnet (ergänzt um via=qr). Der Code wird lokal im Browser erzeugt; es wird kein externer Dienst aufgerufen.

Automatische Weiterleitung: Auf Smartphones leitet cursusx.app nach einem kurzen Hinweis automatisch zum passenden Store weiter. Die Gerätekennung wird dafür nur im Browser ausgewertet und nicht gespeichert. Mit „Erst mal umschauen“ brechen Sie die Weiterleitung ab.

7. Hosting und Auftragsverarbeitung

Die technische Infrastruktur (CursusX-Plattform) wird auf Servern innerhalb der Europäischen Union gehostet. Ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO ist mit dem Hosting-Anbieter abgeschlossen.

Hosting-Anbieter: Server innerhalb der EU. Details auf Anfrage an contact@cursusx.de.

7.1 Gesetzliche Pflichten und Anfragen von Behörden

Wir geben Daten an Behörden nur heraus, wenn wir gesetzlich dazu verpflichtet sind, insbesondere aufgrund einer gerichtlichen oder staatsanwaltschaftlichen Anordnung in einem Strafverfahren (z. B. §§ 94, 95 Strafprozessordnung) oder eines Auskunftsersuchens nach dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG). Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO. Herausgegeben werden kann nur, was bei uns gespeichert ist. Welche Daten das sind und wie lange wir sie speichern, ist in den Abschnitten oben beschrieben.

Freiwillig geben wir keine Daten heraus. Jede Anordnung wird vor einer Herausgabe rechtlich geprüft. Soweit es gesetzlich zulässig ist, informieren wir die betroffene Person. Einmal jährlich veröffentlichen wir, wie viele Anfragen welcher Art wir erhalten haben und was herausgegeben wurde.

Außerhalb unseres Einflusses liegen Pflichten und Befugnisse, die Dritte betreffen, insbesondere die Speicherung von IP-Adressen durch Internetzugangsanbieter, soweit sie gesetzlich vorgeschrieben ist, Maßnahmen von Ermittlungsbehörden am Endgerät der Nutzerin oder des Nutzers sowie die Verarbeitung durch Google (Google Play, Google Wallet) und Apple (TestFlight) nach deren eigenen Datenschutzbestimmungen.

8. Ihre Rechte

Sie haben gemäß DSGVO folgende Rechte:

• Auskunftsrecht (Art. 15): Sie können Auskunft darüber verlangen, welche Daten über Sie verarbeitet werden.
• Berichtigungsrecht (Art. 16): Sie können die Berichtigung unrichtiger Daten verlangen.
• Löschungsrecht (Art. 17): Sie können die Löschung Ihrer Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Einschränkung der Verarbeitung (Art. 18): Sie können die Einschränkung der Verarbeitung Ihrer Daten verlangen.
• Datenübertragbarkeit (Art. 20): Sie können Ihre Daten in einem strukturierten, gängigen Format erhalten.
• Widerspruchsrecht (Art. 21): Sie können der Verarbeitung Ihrer Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO widersprechen.
• Widerruf der Einwilligung (Art. 7 Abs. 3): Sie können erteilte Einwilligungen (insbesondere für Standortdaten und Foto-Uploads) jederzeit widerrufen. Der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung.

Zur Ausübung Ihrer Rechte wenden Sie sich an: contact@cursusx.de

Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Da sich die Dienste primär an Nutzer in Deutschland richten, ist jede deutsche Landesdatenschutzbehörde zuständig. Für in Berlin ansässige Nutzer ist dies:

Berliner Beauftragte für Datenschutz und Informationsfreiheit
Alt-Moabit 59–61, 10555 Berlin
www.datenschutz-berlin.de

9. Nutzung durch Minderjährige

encirkl richtet sich an Nutzer ab 16 Jahren. Wir erheben wissentlich keine personenbezogenen Daten von Personen unter 16 Jahren ohne Einwilligung der Erziehungsberechtigten. Sollten wir Kenntnis davon erlangen, dass solche Daten verarbeitet wurden, löschen wir sie unverzüglich. Erziehungsberechtigte können sich jederzeit unter contact@cursusx.de melden.

10. Sicherheit der Datenverarbeitung

Wir setzen technische und organisatorische Maßnahmen ein, um Ihre Daten vor zufälliger oder vorsätzlicher Manipulation, Verlust, Zerstörung oder dem Zugriff unberechtigter Personen zu schützen. Dazu gehören u. a. TLS-Verschlüsselung (HTTPS) auf allen Websites, Zugriffskontrollen auf der CursusX-Plattform, lokale Verarbeitung von Standortdaten auf dem Endgerät und Self-Hosting der Schriften. Unsere Sicherheitsmaßnahmen werden entsprechend der technologischen Entwicklung fortlaufend verbessert.

11. Aktualisierung dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder um Änderungen unserer Leistungen in der Datenschutzerklärung umzusetzen. Für Ihren erneuten Besuch gilt dann die neue Datenschutzerklärung. Stand: Oktober 2026.