1. Verantwortlicher
Verantwortlich für die Datenverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
Marian Kulisch
encirkl powered by CursusX
Republic of Korea
E-Mail: contact@cursusx.de
Eine vollständige postalische Anschrift wird auf berechtigte Anfrage bereitgestellt.
Diese Datenschutzerklärung gilt für den Dienst encirkl (erreichbar unter encirkl.de / encirkl.com), der auf der technischen Plattform CursusX betrieben wird.
Verhältnis zur App-Datenschutzerklärung: Diese Seite beschreibt die Datenverarbeitung auf den Websites encirkl.de / encirkl.com sowie — zusammenfassend und inhaltlich mit ihr abgestimmt — in der mobilen encirkl-App. Die vollständige, technisch verbindliche Beschreibung der App- und Plattform-seitigen Datenverarbeitung führt die CursusX-Plattform-Datenschutzerklärung unter cursusx.de/privacy. Sie ist die technisch führende Quelle für App-spezifische Details und wird bei App-Änderungen zuerst aktualisiert.
2. Überblick der Datenverarbeitung
Diese Erklärung unterscheidet zwischen zwei Datensubjekten mit grundsätzlich unterschiedlicher Verarbeitung: anonymen Endnutzer:innen (Gehende, Läufer:innen, Fahrer:innen — die Loop-Validierung erfolgt vollständig auf dem eigenen Gerät, serverseitig werden nur wenige, konkret definierte Elemente pro Loop gespeichert, siehe Abschnitt 3.2) und Partnern als Geschäftskunden (reguläre geschäftliche Stammdatenverarbeitung gemäß Partnervertrag, siehe Abschnitt 5). Die folgenden Grundsätze beziehen sich, sofern nicht anders angegeben, auf die Verarbeitung von Endnutzer-Daten.
Unser Grundprinzip: Datenschutz by Architecture. Die encirkl-App ist so gestaltet, dass möglichst viele Informationen direkt auf Ihrem eigenen Gerät verarbeitet werden, statt sie an den Server zu übertragen. Wo eine Funktion es erfordert — etwa die Echtzeit-Validierung eines Loops, Bestenlisten oder Challenges —, können jedoch ausgewählte Aktivitäts- und Standortdaten (einschließlich ungefährer oder genauer Positionsdaten, Routen- und Distanzinformationen, Zeitstempel und Höhendaten) an die CursusX-Plattform übermittelt werden, um die jeweils angeforderte Funktion bereitzustellen. Wir bilden keine dauerhaften, funktionsübergreifenden Bewegungsprofile einzelner Nutzer:innen. Details zur App-seitigen Verarbeitung: siehe Hinweis in §1 und Abschnitt 3.2.
2.1 Welche Dienste betrifft diese Erklärung?
- encirkl: Urbanes Loyalty-Programm — Loop-Validierung, Badge-System, Wallet-Karte, Partner-Benefits, Klima-Territorien, Grüne Labels, CO₂-Visualisierung, Team-Loops
- CursusX-Plattform: Technische Infrastruktur, auf der encirkl betrieben wird — GPS-Validierung, NFC-Wegpunkte, App-Auslieferung, Partner-API
3. Art der erhobenen Daten
3.1 Nutzungsdaten (automatisch erhoben)
| Datenkategorie | Zweck | Rechtsgrundlage | Speicherdauer |
|---|---|---|---|
| Geräte-ID (pseudonymisiert) | Session-Management, Zuordnung von Badges | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) | Bis zur Löschung des Kontos / der App |
| Browser- und Gerätetyp | App-Optimierung, Kompatibilitätsprüfung | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) | 90 Tage |
| IP-Adresse (gekürzt) | Sicherheit, Missbrauchsschutz | Art. 6 Abs. 1 lit. f DSGVO | 7 Tage |
3.2 Standortdaten (GPS)
Besonders sensible Verarbeitung: Standortdaten werden nur erhoben, wenn Sie aktiv einen Loop starten. Die Erhebung erfolgt ausschließlich auf Basis Ihrer ausdrücklichen Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie können die Standortfreigabe jederzeit in Ihren Geräteeinstellungen widerrufen.
| Datenkategorie | Zweck | Verarbeitung |
|---|---|---|
| GPS-Koordinaten während eines Loops (ungefähr oder genau) | Echtzeit-Validierung: Distanz, Geschwindigkeit, Lückenfreiheit des Rundwegs; Bereitstellung von Challenges, Bestenlisten und Loop-Funktionen | Je nach genutzter Funktion werden ausgewählte Standort- und Aktivitätsdaten (u. a. Positionsdaten, Route, Distanz, Zeitstempel, Höhenverlauf) an die CursusX-Plattform übermittelt. Wo technisch möglich, verbleibt die Verarbeitung auf dem Gerät. Verbindliche technische Details: cursusx.de/privacy. |
| Loop-Abschluss | Badge-Vergabe, Klima-Territorium-Zuordnung, CO₂-Berechnung, Top100-Anzeige (siehe 3.4) | Wird an die CursusX-Plattform übermittelt und für die Dauer der jeweiligen Funktion bzw. bis zur Löschung des Kontos gespeichert (siehe Abschnitt 13 der App-Datenschutzerklärung) |
| NFC-Scan-Ereignisse | Physischer Nachweis an Wegpunkten | Zuordnung zur Session, nicht zur Person |
3.3 Freiwillig bereitgestellte Daten
| Datenkategorie | Zweck | Rechtsgrundlage |
|---|---|---|
| Name / Anzeigename | Anzeige auf Wallet-Karte, Bestenlisten, personalisierte Badges | Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) |
| Foto-Uploads (Fotowalks) | Community-Galerie, GPS-validierte Einreichung | Art. 6 Abs. 1 lit. a DSGVO |
| Grüne Labels (Baum-Markierungen) | Bürgergetragene Stadtgrün-Daten, Baumbewässerungsmeldungen | Art. 6 Abs. 1 lit. a DSGVO |
| Team-Zugehörigkeit | Team-Loops, kollaborative Badges | Art. 6 Abs. 1 lit. b DSGVO |
| Einladungslinks | Community-Wachstum (Ankerpunkt-Badge) | Art. 6 Abs. 1 lit. a DSGVO |
3.4 Top100 (öffentliche Loop-Rangliste)
Das Top100 ist eine optionale, öffentliche Übersicht abgeschlossener Loops. Die Teilnahme ist freiwillig und wird von Ihnen pro Loop einzeln festgelegt — Sie entscheiden bei jedem abgeschlossenen Loop, ob er im Top100 erscheint oder privat bleibt. Ohne Ihre aktive Freigabe wird kein Loop öffentlich angezeigt.
Ein im Top100 geteilter Loop wird so dargestellt, dass keine Rückschlüsse auf Ihre private Wohn- oder Startadresse möglich sind. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit widerrufen können, indem Sie die Freigabe für den jeweiligen Loop zurücknehmen.
3.5 Daten aus Website-Kontaktformularen
Auf den Websites encirkl.de und encirkl.com bieten wir drei Kontaktformulare an, die als Modals geöffnet werden: Partner-Anfrage, Förder- und Stadt-Gespräch und allgemeiner Kontakt. Eine Übermittlung erfolgt erst, wenn Sie das Formular aktiv absenden.
| Formular | Erhobene Felder | Zweck | Rechtsgrundlage |
|---|---|---|---|
| Partner-Anfrage | Vor- und Nachname, E-Mail, Unternehmen, Partner-Typ, Nachricht | Bearbeitung Ihrer Partner-Anfrage | Art. 6 Abs. 1 lit. b DSGVO |
| Förder-/Stadt-Gespräch | Vor- und Nachname, E-Mail, Organisation, Rolle, Nachricht | Terminvereinbarung und Pilotprojekt-Klärung | Art. 6 Abs. 1 lit. b DSGVO |
| Kontakt | Vor- und Nachname, E-Mail, Betreff, Nachricht | Beantwortung Ihrer Anfrage | Art. 6 Abs. 1 lit. a/f DSGVO (Einwilligung / berechtigtes Interesse) |
Zusätzlich werden technisch automatisch übertragen: der Formular-Typ (form_type) und die aufrufende Seite (page_uri) — beide ausschließlich zur Zuordnung der Anfrage.
Übermittlung: Die Daten werden per verschlüsselter HTTPS-Verbindung an unseren E-Mail-Endpoint https://cursusx.de/email/ gesendet und dort als E-Mail an contact@cursusx.de zugestellt. Empfänger und Verantwortlicher ist der unter §1 genannte Betreiber.
Fallback bei Übertragungsfehler: Sollte die Übermittlung scheitern (z. B. Netzwerkfehler), wird automatisch Ihr lokales E-Mail-Programm mit den eingegebenen Daten als E-Mail-Entwurf an contact@cursusx.de geöffnet. Sie entscheiden in diesem Fall selbst, ob die E-Mail versendet wird.
Speicherdauer: Die Daten werden so lange aufbewahrt, wie es zur Bearbeitung Ihrer Anfrage und für eventuelle Rückfragen erforderlich ist, längstens jedoch 24 Monate ab letztem Kontakt. Gesetzliche Aufbewahrungspflichten (z. B. Handels- oder Steuerrecht) bleiben unberührt.
3.6 Optionale Angaben bei Partner-Challenges & Kamera-Zugriff
Bestimmte partnerbetriebene Challenges oder Prämienprogramme können zusätzlich optionale Angaben abfragen, etwa E-Mail-Adresse, Telefonnummer oder Geburtsdatum. Diese Angaben werden ausschließlich mit Ihrer ausdrücklichen Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) und nur für die konkrete Challenge oder Prämie erhoben.
Die mobile App kann außerdem Zugriff auf die Gerätekamera anfragen — ausschließlich für Funktionen wie das Scannen von QR-Codes, das Einlösen von Vorteilen oder das Wiederherstellen einer App-Kennung. Bilder werden dabei nur für die jeweils angeforderte Aktion verarbeitet und nicht dauerhaft auf dem Server gespeichert, sofern nicht ausdrücklich anders angegeben (z. B. bei freiwilligen Foto-Uploads gemäß Abschnitt 3.3).
4. Wallet-Karte und App
encirkl wird als native App über den Google Play Store und Apple App Store ausgeliefert. Die Wallet-Karte wird lokal auf Ihrem Gerät gespeichert (Apple Wallet / Google Wallet). Dafür werden folgende Daten auf dem Gerät hinterlegt:
- Anzeigename (falls angegeben)
- Badge-Status und freigeschaltete Badges
- Aktueller Partner-Benefit-Status
Die Wallet-Karte kommuniziert über die CursusX-API mit dem Server, um den Badge-Status in Echtzeit zu aktualisieren und Partner-Benefits freizuschalten. Diese Kommunikation erfolgt verschlüsselt (TLS).
5. Datenweitergabe an Partner
5.1 Anonymisierte Bewegungsberichte
Ankerpartner (Ebene 1) können anonymisierte, statistische Bewegungsberichte erhalten. Diese enthalten ausschließlich anonymisierte Kennzahlen — niemals individuelle Routen, Standortverläufe oder personenbezogene Daten.
5.2 Badge-Status an Routen-Partner
Wenn Sie einen Partner-Benefit einlösen (z. B. Rabatt bei einem Routen-Partner), wird Ihr aktueller Badge-Status über die CursusX-API an das Kassensystem des Partners übermittelt. Übermittelt werden ausschließlich:
- Badge-Status-Level (z. B. „Stadtläufer")
- Berechtigung für den konkreten Benefit (ja/nein)
Es werden keine Namen, Standortdaten, Bewegungshistorie oder sonstige personenbezogene Daten an Partner übermittelt.
5.3 Grüne Labels und Stadtgrün-Daten
Grüne Labels (gesetzte Markierungen an Bäumen und Grünflächen) können anonymisiert an Missions-Partner wie das Insel Projekt Berlin oder die Stadtverwaltung weitergegeben werden, um die Stadtgrün-Pflege zu unterstützen. Ein Rückschluss auf die setzende Person ist dabei nicht möglich.
6. Cookies und lokale Speicherung
Wir verwenden ausschließlich technisch notwendige Speichermechanismen — keine Marketing-Cookies, keine Tracking-Pixel, kein Profiling durch Drittanbieter.
6.1 In der App
- Lokaler Cache: Für die Offline-Fähigkeit der App
- Session-Token: Zur Zuordnung laufender Loops (temporär)
- Wallet-Daten: Lokale Speicherung des Badge-Status auf Ihrem Gerät
6.2 Auf der Website (encirkl.de / encirkl.com)
- Browser-localStorage
encirkl-theme: Speichert ausschließlich Ihre Wahl für Hell-/Dunkelmodus (Werte:auto,light,dark). Diese Information verbleibt zu 100 % auf Ihrem Gerät, wird nicht an unseren Server übertragen und enthält keine personenbezogenen Daten. Sie können den Eintrag jederzeit über die Browser-Entwicklertools oder das Löschen der Website-Daten entfernen. - Keine Cookies: Die Website setzt keinerlei Cookies — weder eigene noch von Dritten.
6.3 Plausible Analytics
Für die anonyme Auswertung der Website-Nutzung setzen wir Plausible Analytics ein, betrieben von der Plausible Insights OÜ, Västriku tn 2, 50403 Tartu, Estland. Die Verarbeitung erfolgt vollständig in der Europäischen Union; es findet keine Übermittlung in Drittländer statt.
Technisch: Plausible setzt keinerlei Cookies, schreibt nichts in den Browser-Speicher (LocalStorage, SessionStorage, IndexedDB) und erstellt keine Geräte-Fingerabdrücke. IP-Adresse und User-Agent werden mit einem täglich rotierenden Server-Salt zu einem irreversiblen Hash verarbeitet — nach 24 Stunden ist eine Re-Identifizierung technisch ausgeschlossen.
Erfasste Ereignisse: Seitenaufrufe, Verweisquellen, Gerätetyp, sowie folgende anonyme Konversions-Events ohne Inhalt oder personenbezogene Identifikatoren: CTAClick, ModalOpen, FormSubmit (mit Formular-Typ Beta/Partner/Förderer/Kontakt), VideoPlay, VideoComplete, ThemeToggle, AdLanded (UTM-Parameter aus Werbeklicks), Outbound Link: Click und 404.
First-Party-Übermittlung: Die Plausible-Skripte werden über www.encirkl.com/js/… ausgeliefert und Ereignisse an www.encirkl.com/api/event gesendet (intern an Plausible weitergeleitet). Es entstehen keine direkten Verbindungen Ihres Browsers zu Domains Dritter.
Rechtsgrundlage: Da Plausible keine personenbezogenen Daten verarbeitet, ist nach § 25 Abs. 1 TTDSG keine Einwilligung erforderlich; soweit für die aggregierte Auswertung dennoch ein Rechtsgrund nötig ist, stützen wir die Verarbeitung auf unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) an der statistischen Reichweitenmessung. Weitere Informationen direkt von Plausible: plausible.io/data-policy.
6.4 Selbst-gehostete Schriften
Die Schriftarten Roca Two und Nunito werden lokal vom Server ausgeliefert. Es findet keine Verbindung zu Google Fonts, Adobe Typekit oder anderen Drittanbietern statt — die Browser fragen keine externen Schrift-CDNs ab.
7. Hosting und Auftragsverarbeitung
Die technische Infrastruktur (CursusX-Plattform) wird auf Servern innerhalb der Europäischen Union gehostet. Ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO ist mit dem Hosting-Anbieter abgeschlossen.
Hosting-Anbieter: Server innerhalb der EU. Details auf Anfrage an contact@cursusx.de.
8. Ihre Rechte
Sie haben gemäß DSGVO folgende Rechte:
- Auskunftsrecht (Art. 15): Sie können Auskunft darüber verlangen, welche Daten über Sie verarbeitet werden.
- Berichtigungsrecht (Art. 16): Sie können die Berichtigung unrichtiger Daten verlangen.
- Löschungsrecht (Art. 17): Sie können die Löschung Ihrer Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
- Einschränkung der Verarbeitung (Art. 18): Sie können die Einschränkung der Verarbeitung Ihrer Daten verlangen.
- Datenübertragbarkeit (Art. 20): Sie können Ihre Daten in einem strukturierten, gängigen Format erhalten.
- Widerspruchsrecht (Art. 21): Sie können der Verarbeitung Ihrer Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO widersprechen.
- Widerruf der Einwilligung (Art. 7 Abs. 3): Sie können erteilte Einwilligungen (insbesondere für Standortdaten und Foto-Uploads) jederzeit widerrufen. Der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung.
Zur Ausübung Ihrer Rechte wenden Sie sich an: contact@cursusx.de
Beschwerderecht
Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Da sich die Dienste primär an Nutzer in Deutschland richten, ist jede deutsche Landesdatenschutzbehörde zuständig. Für in Berlin ansässige Nutzer ist dies:
Berliner Beauftragte für Datenschutz und Informationsfreiheit
Alt-Moabit 59–61, 10555 Berlin
www.datenschutz-berlin.de
9. Nutzung durch Minderjährige
encirkl richtet sich an Nutzer ab 16 Jahren. Wir erheben wissentlich keine personenbezogenen Daten von Personen unter 16 Jahren ohne Einwilligung der Erziehungsberechtigten. Sollten wir Kenntnis davon erlangen, dass solche Daten verarbeitet wurden, löschen wir sie unverzüglich. Erziehungsberechtigte können sich jederzeit unter contact@cursusx.de melden.
10. Sicherheit der Datenverarbeitung
Wir setzen technische und organisatorische Maßnahmen ein, um Ihre Daten vor zufälliger oder vorsätzlicher Manipulation, Verlust, Zerstörung oder dem Zugriff unberechtigter Personen zu schützen. Dazu gehören u. a. TLS-Verschlüsselung (HTTPS) auf allen Websites, Zugriffskontrollen auf der CursusX-Plattform, lokale Verarbeitung von Standortdaten auf dem Endgerät und Self-Hosting der Schriften. Unsere Sicherheitsmaßnahmen werden entsprechend der technologischen Entwicklung fortlaufend verbessert.
11. Aktualisierung dieser Datenschutzerklärung
Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder um Änderungen unserer Leistungen in der Datenschutzerklärung umzusetzen. Für Ihren erneuten Besuch gilt dann die neue Datenschutzerklärung. Stand: August 2026.