Datenschutzerklärung

1Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
Lukas Johannes Münch
Studio Münch
Zum Stausee 27
55743 Idar-Oberstein
Deutschland
E-Mail: sup.studiomuench@gmail.com

2Überblick und Grundsätze

CarDex verbindet reale Fahrzeugentdeckungen mit einer digitalen Kartensammlung. Nutzer können Fahrzeuge fotografieren, das Fahrzeug mithilfe künstlicher Intelligenz erkennen lassen, Karten und optionale Fundorte verwalten, Google-Play-Games- beziehungsweise Apple-Game-Center-Funktionen verwenden sowie optionale Käufe tätigen. CarDex verarbeitet personenbezogene Daten nur, soweit dies zur Bereitstellung der App erforderlich ist, eine Einwilligung erteilt wurde, ein berechtigtes Interesse besteht oder eine gesetzliche Verpflichtung erfüllt werden muss. Es werden keine personenbezogenen Daten verkauft.

3Konto, Anmeldung, Play Games und Game Center

3.1Kontoerstellung

Ein CarDex-Konto wird auf Android über Google Play Games und auf iOS über Apple Game Center eingerichtet beziehungsweise mit einem bestehenden Konto verknüpft. Dabei können insbesondere folgende Daten verarbeitet werden:

• Google-Play-Games-Spieler-ID,
• in Google Play Games hinterlegter Anzeigename,
• Apple-Game-Center-Spieler-ID und dort hinterlegter Anzeigename,
• interne CarDex-Nutzer-ID,
• Anmeldeanbieter und technische Verknüpfungskennungen,
• Zeitpunkte der Kontoerstellung und letzter Aktualisierungen,
• kurzlebige Zugriffs- und länger gültige Aktualisierungstokens für die CarDex-Sitzung.

CarDex erhält über diesen Anmeldevorgang grundsätzlich keine E-Mail-Adresse, kein Google- oder Apple-Passwort und keine Telefonnummer. Google beziehungsweise Apple verarbeiten die Anmeldung zusätzlich in eigener Verantwortlichkeit. Es gelten ergänzend deren Datenschutzbestimmungen. Für ältere App-Versionen oder Übergangsvorgänge können pseudonyme Installations-, Gast- oder Migrationskennungen verarbeitet werden. Diese dienen ausschließlich dazu, ein bereits vorhandenes Inventar dem richtigen CarDex-Konto zuzuordnen.

3.2Zweck und Rechtsgrundlage

Die Verarbeitung erfolgt zur Anmeldung, zur kontenübergreifenden Wiederherstellung der Sammlung, zur Synchronisierung und zum Schutz vor unberechtigtem Zugriff. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO. Sicherheits- und Missbrauchsschutzmaßnahmen beruhen ergänzend auf Art. 6 Abs. 1 Buchst. f DSGVO.

4Technische Bereitstellung und Cloudflare

CarDex nutzt Dienste von Cloudflare, Inc. sowie verbundenen Unternehmen, insbesondere Cloudflare Workers, D1/KV-Speicher und technische Betriebsmetriken. Dabei können verarbeitet werden:

• IP-Adresse,
• Datum und Uhrzeit einer Anfrage,
• aufgerufener Endpunkt und Antwortstatus,
• Geräte-, Browser-, App- und Netzwerkmetadaten, soweit diese bei einer Internetanfrage technisch übermittelt werden,
• Authentifizierungs- und Sicherheitsinformationen,
• die für die jeweilige Funktion benötigten Inhalte, zum Beispiel Karten-, Inventar-, Kauf- oder Standortdaten.

Cloudflare verarbeitet diese Daten zur Auslieferung der Backend-Funktionen, zur Abwehr von Angriffen, zur Ratenbegrenzung, zur Fehleranalyse und zur Sicherstellung der Verfügbarkeit. Rechtsgrundlagen sind Art. 6 Abs. 1 Buchst. b und f DSGVO. Weitere Informationen enthält die Datenschutzerklärung von Cloudflare. CarDex verwendet keine eigenständige allgemeine Tracking- oder Nutzeranalyseplattform in der App. Technische Aufruf- und Fehlermetriken des Backends können jedoch durch Cloudflare bereitgestellt werden.

5Kamera, Fahrzeugfotos und Kartenerstellung

5.1Aufnahme und lokale Speicherung

Die Kamerafunktion wird nur verwendet, wenn Nutzer aktiv ein Fahrzeug fotografieren. Das Originalfoto wird im privaten App-Speicher des Geräts abgelegt und zur Darstellung der selbst erstellten Karte verwendet. Zusätzlich können Nutzer eine Karte über Betriebssystemfunktionen teilen oder eine Kopie bewusst in der Galerie speichern. Eine in der Galerie gespeicherte oder über andere Apps geteilte Kopie befindet sich außerhalb des von CarDex kontrollierten App-Speichers. Sie wird bei der Löschung einer Karte oder des CarDex-Kontos nicht automatisch entfernt und muss gegebenenfalls vom Nutzer in der jeweiligen App oder Galerie gelöscht werden.

5.2Übertragung zur Fahrzeugerkennung

Für die Erkennung wird eine komprimierte Verarbeitungskopie des Fotos erstellt. Soweit technisch möglich, werden dabei Bildmetadaten wie EXIF-Daten nicht übernommen. Diese Bildkopie wird verschlüsselt an das CarDex-Backend übertragen und von dort zur Analyse an OpenAI weitergeleitet. CarDex speichert die übertragenen Bilddaten nicht dauerhaft im Cloudflare-Inventar. Im Inventar kann jedoch eine interne lokale Dateireferenz gespeichert werden, damit die App das Foto auf dem Gerät der passenden Karte zuordnen kann. Der Anbieter der KI-Verarbeitung kann übermittelte Inhalte und technische Protokolldaten nach seinen eigenen Aufbewahrungsregeln vorübergehend speichern; Einzelheiten stehen in Abschnitt 6. Nutzer sollten nur Fotos aufnehmen, zu denen sie berechtigt sind, und nach Möglichkeit vermeiden, dass Personen, Kennzeichen oder andere unnötige personenbezogene Informationen erkennbar sind.

5.3Rechtsgrundlage

Soweit die Fotoverarbeitung personenbezogene Daten des Nutzers betrifft und für die von ihm angeforderte Fahrzeugerkennung und Kartenerstellung erforderlich ist, beruht sie auf Art. 6 Abs. 1 Buchst. b DSGVO. Soweit ein Fahrzeugfoto lediglich beiläufig personenbezogene Daten Dritter enthält, etwa erkennbare Personen oder ein Kfz-Kennzeichen mit Personenbezug, stützt CarDex die auf die Fahrzeugerkennung beschränkte Verarbeitung auf Art. 6 Abs. 1 Buchst. f DSGVO. Das berechtigte Interesse besteht darin, die ausdrücklich angeforderte Fahrzeugerkennung technisch bereitzustellen, ohne dabei eine Identifizierung oder Beobachtung der abgebildeten Personen zu bezwecken. CarDex berücksichtigt die Interessen betroffener Dritter insbesondere durch Datenminimierung, zweckgebundene Bildverarbeitung sowie die automatische Unkenntlichmachung erkannter Gesichter und Kennzeichen. Die Kameraberechtigung kann jederzeit in den Android- oder iOS-Einstellungen entzogen werden; danach ist die Aufnahmefunktion nicht mehr verfügbar. Die Kamera kann unabhängig von einer Standortfreigabe verwendet werden.

6KI-gestützte Fahrzeugerkennung durch OpenAI

CarDex nutzt die API von OpenAI Ireland Ltd. zur Analyse der aufgenommenen Fahrzeugbilder. Übermittelt werden insbesondere:

• die komprimierte Bildkopie,
• eine technische Aufgabenbeschreibung zur Fahrzeugerkennung,
• gegebenenfalls für die Erkennung notwendige Kontextinformationen,
• technische Anfrage- und Sicherheitsmetadaten.

Die KI liefert beispielsweise Angaben zu Marke, Modell, Fahrzeugtyp, Baujahr oder einer geschätzten Einordnung zurück. Ergebnisse können fehlerhaft sein und sollten nicht als verbindliche technische oder wirtschaftliche Bewertung verstanden werden. Nach den veröffentlichten Angaben von OpenAI werden Daten aus der API grundsätzlich nicht zum Training oder zur Verbesserung der Modelle verwendet, sofern der API-Kunde nicht ausdrücklich einer entsprechenden Datennutzung zustimmt. Sicherheits- und Missbrauchsprotokolle können standardmäßig bis zu 30 Tage gespeichert werden, soweit keine längere Aufbewahrung gesetzlich erforderlich oder zum Schutz der Dienste oder Dritter vernünftigerweise notwendig ist. Bei der Responses API können darüber hinaus abhängig von der konkreten API-Konfiguration Anwendungszustandsdaten gespeichert werden. OpenAI beschreibt für die standardmäßige Speicherung der Responses API derzeit eine Aufbewahrungsdauer von 30 Tagen und weist darauf hin, dass Response-Daten dabei mindestens 30 Tage gespeichert werden. Die tatsächlich für CarDex geltende Aufbewahrung hängt daher auch von der eingesetzten OpenAI-Konfiguration und den für das API-Projekt aktivierten Datenkontrollen ab. Weitere Informationen: OpenAI API Data Controls und OpenAI Data Processing Addendum. Für die Rechtsgrundlagen der Bildverarbeitung gilt Abschnitt 5.3. OpenAI verarbeitet die übermittelten Inhalte im Rahmen der beauftragten KI-Analyse. CarDex verwendet auf Bildern enthaltene Personen- oder Kennzeichendaten nicht gezielt zur Identifizierung von Personen.

7Sammlung, Karten und Favoriten

Zur Bereitstellung der Sammlung verarbeitet CarDex insbesondere:

• interne Karten-ID und Nutzerzuordnung,
• erkannte oder vom Nutzer bestätigte Fahrzeugdaten,
• Erstellungs- und Änderungszeitpunkte,
• Kartenstatus, Quelle und Sortierinformationen,
• gekaufte oder freigeschaltete Karten und Berechtigungen,
• optional den Fundort,
• technische Nutzungszähler und Limits,
• lokal gesetzte Favoriten und App-Einstellungen.

Das serverseitige Inventar wird dem CarDex-Konto zugeordnet. Bestimmte Daten, etwa Fotos, Favoriten, Einstellungen und zwischengespeicherte Inventardaten, werden zusätzlich oder ausschließlich lokal auf dem Gerät gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO. Beim Löschen einer einzelnen Karte wird deren serverseitiger Karteneintrag entfernt. Eine bereits im privaten App-Speicher vorhandene Bilddatei kann technisch bis zur Kontolöschung, Deinstallation oder manuellen Löschung der App-Daten bestehen bleiben. In der Galerie oder anderen Apps gespeicherte Kopien bleiben ebenfalls bestehen.

8Standortdaten und Fundortkarte

Nutzer können CarDex auf Android oder iOS erlauben, den Standort beim Erstellen einer Karte zu erfassen. Je nach erteilter Berechtigung kann dies ein ungefährer oder genauer Standort sein. Verarbeitet werden insbesondere Breiten- und Längengrad sowie der zugehörige Karten- und Aufnahmezeitpunkt. Der Standort dient dazu, den Fundort einer Karte in der persönlichen Sammlung und auf der interaktiven Karte anzuzeigen. Die in CarDex gespeicherten Fundorte werden nicht automatisch öffentlich oder anderen Nutzern angezeigt. Die Standortverarbeitung erfolgt auf Grundlage der Einwilligung nach Art. 6 Abs. 1 Buchst. a DSGVO. Die Einwilligung kann jederzeit über die Berechtigungseinstellungen des Geräts mit Wirkung für die Zukunft widerrufen werden. Kamera und Kartenerstellung bleiben ohne Standortfreigabe nutzbar; lediglich standortbezogene Funktionen sind eingeschränkt.

9Kartendarstellung durch OpenFreeMap

Für die Darstellung der interaktiven Karte lädt CarDex Kartenstile und Kartendaten von Open-FreeMap, betrieben durch Hyperknot Software Kft., Ungarn. Bei diesen Abrufen können technisch notwendige Daten wie IP-Adresse, Zeitpunkt, App-/Geräteinformationen und der angeforderte Kartenausschnitt verarbeitet werden. Die konkreten in CarDex gespeicherten Karten und Fundortmarker werden nicht als solche an OpenFreeMap übermittelt; der angeforderte Kartenausschnitt kann jedoch Rückschlüsse auf die betrachtete Region ermöglichen. Nach Angaben von OpenFreeMap werden IP-Adressen nicht regulär in Standardprotokollen gespeichert. Bei Sicherheitsvorfällen können IP-Protokolle vorübergehend, grundsätzlich höchstens 30 Tage, aktiviert werden. Weitere Informationen: OpenFreeMap Privacy Policy. Die Verarbeitung dient der Bereitstellung der vom Nutzer aufgerufenen Kartenfunktion. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO; die sichere und effiziente Bereitstellung beruht ergänzend auf Art. 6 Abs. 1 Buchst. f DSGVO.

10Google Play Games, Apple Game Center, Erfolge und Ranglisten

CarDex verwendet auf Android Google Play Games und auf iOS Apple Game Center unter anderem für Anmeldung, Erfolge, Ranglisten und Spielfunktionen. Dabei können die jeweilige Spieler-ID, der Anzeigename, Spielfortschritt, freigeschaltete Erfolge und Ranglistenwerte an Google beziehungsweise Apple übermittelt werden. Google und Apple verarbeiten diese Daten in eigener Verantwortlichkeit gemäß ihren Datenschutzbestimmungen. Die Verarbeitung erfolgt zur Bereitstellung der angeforderten Spiel- und Kontofunktionen auf Grundlage von Art. 6 Abs. 1 Buchst. b DSGVO.

11Werbung und Einwilligungsverwaltung

In der kostenlosen Version kann CarDex Werbung über Google AdMob anzeigen. Zur Abfrage und Verwaltung datenschutzrechtlicher Auswahlmöglichkeiten wird die Google User Messaging Platform (UMP) eingesetzt. Abhängig von Region, Einwilligung, Geräteeinstellungen und technischer Verfügbarkeit können personalisierte, nicht personalisierte oder eingeschränkte Anzeigen ausgeliefert werden. Dabei können insbesondere verarbeitet werden:

• IP-Adresse und ungefähre Region,
• Geräte- und App-Informationen,
• Werbe-ID, sofern verfügbar und zulässig,
• Interaktionen mit Anzeigen,
• Einwilligungs- und Datenschutzsignale,
• technische Informationen zur Auslieferung, Betrugsabwehr, Reichweitenmessung und Begrenzung der Anzeigenhäufigkeit.

Auch nicht personalisierte Anzeigen können kontextbezogene Informationen und in bestimmten Modi lokale Kennungen für Auslieferung, Berichte oder Häufigkeitsbegrenzung verwenden. Im eingeschränkten Anzeigenmodus werden Funktionen mit lokalen Kennungen reduziert beziehungsweise deaktiviert. Weitere Informationen bieten die Google-Datenschutzbestimmungen, die AdMob-Datenschutzinformationen und die AdMob-Anzeigenmodi. Soweit eine Einwilligung erforderlich ist, beruht die Verarbeitung auf Art. 6 Abs. 1 Buchst. a DSGVO und – soweit Informationen im Endgerät gespeichert oder daraus ausgelesen werden – auf § 25 Abs. 1 TDDDG. Auf iOS wird die App-Tracking-Transparency-Abfrage nur eingesetzt, soweit ein entsprechender Zugriff angefordert wird; eine Ablehnung verhindert nicht die grundlegende Nutzung der App. Eine erteilte Auswahl kann über die in CarDex angebotenen Datenschutzoptionen oder die Geräte-, Google- beziehungsweise Apple-Einstellungen geändert werden. Durch den Kauf von „Remove Ads“ oder der „Full Version“ kann die Werbeanzeige in CarDex deaktiviert werden. Für Kaufdaten gilt Abschnitt 12.

12In-App-Käufe über Google Play und Apple

CarDex bietet optionale In-App-Käufe wie „Remove Ads“, „Unlimited Collection“ oder die „Full Version“ über Google Play Billing beziehungsweise Apple StoreKit an. Die Zahlungsabwicklung erfolgt durch Google oder Apple. CarDex erhält keine vollständigen Zahlungs- oder Kreditkartendaten. Zur Prüfung, Zuordnung, Wiederherstellung und Verhinderung mehrfacher Einlösung verarbeitet CarDex insbesondere:

• Produkt-ID,
• Google-Play-Kauftoken,
• Apple-Transaktions-ID und signierte Apple-Transaktionsdaten,
• Bestell-ID, soweit von Google bereitgestellt,
• einen Hashwert des Kauftokens,
• Kauf-, Bestätigungs- und Zuordnungsstatus,
• Zeitpunkt und zugehörige CarDex-Nutzer-ID,
• daraus abgeleitete Freischaltungen im Inventar.

Der Kauftoken beziehungsweise die signierten Transaktionsdaten werden zur serverseitigen Überprüfung an die Google Play Developer API beziehungsweise Apple App Store Server API übermittelt. Die Verarbeitung erfolgt zur Vertragserfüllung nach Art. 6 Abs. 1 Buchst. b DSGVO, zur Betrugsvermeidung nach Art. 6 Abs. 1 Buchst. f DSGVO und, soweit erforderlich, zur Erfüllung gesetzlicher Pflichten nach Art. 6 Abs. 1 Buchst. c DSGVO. Bei einer CarDex-Kontolöschung werden CarDex-seitige Kaufzuordnungen und Freischaltungen gelöscht. Die bei Google oder Apple gespeicherte Kaufhistorie und gesetzlich erforderliche Zahlungsunterlagen werden dadurch nicht gelöscht. Berechtigte Plattformkäufe können gegebenenfalls später wiederhergestellt werden.

13Lokale Speicherung und Geräte-Backups

CarDex speichert auf dem Gerät insbesondere Fotos selbst erstellter Karten, Favoriten, Einstellungen, Cache- und Inventardaten. Sitzungstokens werden im geschützten Speicher von Android beziehungsweise iOS abgelegt. Je nach Plattform und Geräteeinstellung können lokale App-Daten durch Android Auto Backup, Geräteübertragung oder Apple-Systembackups gesichert und nach einer Neuinstallation wiederhergestellt werden. Diese Backups werden durch Google beziehungsweise Apple und den Nutzer kontrolliert. Die Löschung innerhalb von CarDex entfernt Daten auf dem aktuell verwendeten Gerät und dem CarDex-Backend, kann aber bereits vorhandene Sicherungskopien nicht unmittelbar aus dem Plattformkonto entfernen. Rechtsgrundlage der lokalen Speicherung ist Art. 6 Abs. 1 Buchst. b DSGVO; für technisch erforderliche Speicherzugriffe gilt ergänzend § 25 Abs. 2 Nr. 2 TDDDG.

14Externe Links, Teilen, Bewertungen und Updates

CarDex enthält freiwillig aufrufbare externe Links, unter anderem zu YouTube, Instagram, TikTok oder X. Erst bei aktiver Auswahl wird die jeweilige externe App oder Website geöffnet. Dabei gelten die Datenschutzbestimmungen des jeweiligen Anbieters. Wenn Nutzer Karten über die Teilen-Funktion weitergeben, bestimmen sie selbst den Empfänger beziehungsweise die ausgewählte Drittanbieter-App. Verweise auf Bewertungen oder Updates öffnen Google Play beziehungsweise den Apple App Store und unterliegen den Datenschutzbestimmungen des jeweiligen Plattformanbieters.

15App-Berechtigungen

CarDex kann je nach Plattform insbesondere folgende Berechtigungen anfragen:

• Kamera: Aufnahme eines Fahrzeugs,
• Standort: optionaler Fundort einer Karte und Kartenfunktionen; die Kameranutzung ist davon unabhängig,
• Internet: Kommunikation mit Backend- und Drittanbieterdiensten,
• Tracking beziehungsweise Werbe-ID: Werbeauslieferung, soweit verfügbar, zulässig und gegebenenfalls eingewilligt,
• Benachrichtigungen oder Galerie/Medienzugriff: nur soweit eine entsprechende optionale Funktion genutzt und vom Betriebssystem verlangt wird.

Berechtigungen können in den Android- oder iOS-Einstellungen widerrufen werden. Der Widerruf wirkt für die Zukunft und kann die jeweilige Funktion einschränken.

16Empfänger und Auftragsverarbeiter

Je nach Nutzung können Daten an folgende Kategorien von Empfängern übermittelt werden:

• Cloudflare: Backend, Datenbank, Netzwerk- und Sicherheitsdienste,
• OpenAI Ireland Ltd. und gegebenenfalls weitere OpenAI-Unternehmen/Unterauftragsverarbeiter:

KI-gestützte Fahrzeugerkennung,

• Google: Play Games, Google Play Billing/Developer API, AdMob, UMP und Android-Backup,
• Apple: Game Center, StoreKit, App Store Server API und Plattform-Backups,
• OpenFreeMap / Hyperknot Software Kft.: Abruf von Kartenstilen und Kartendaten,
• vom Nutzer ausgewählte Apps und externe Dienste: nur bei aktivem Teilen oder Öffnen eines Links,
• Behörden oder sonstige Stellen, soweit eine gesetzliche Verpflichtung besteht.

Soweit Anbieter als Auftragsverarbeiter tätig sind, werden sie auf Grundlage eines Vertrags nach Art. 28 DSGVO eingesetzt. Einige Anbieter verarbeiten Daten daneben für eigene Zwecke und sind insoweit selbst verantwortlich.

17Übermittlung in Drittländer

CarDex setzt international tätige Dienstleister ein. Dadurch können personenbezogene Daten – je nach Dienst, Vertragsgestaltung und technischer Verarbeitung – auch außerhalb des Europäischen Wirtschaftsraums verarbeitet oder von dort aus zugänglich gemacht werden. Dies betrifft insbesondere Dienste von Cloudflare, OpenAI, Google und Apple. Für API-Kunden mit Sitz im EWR ist nach den aktuellen OpenAI-Vertragsbedingungen grundsätzlich OpenAI Ireland Ltd. die Vertragspartnerin; auch dabei können Übermittlungen an verbundene Unternehmen oder Unterauftragsverarbeiter außerhalb des EWR stattfinden. Soweit personenbezogene Daten in ein Drittland übermittelt werden, erfolgt dies nach Maßgabe der Art. 44 ff. DSGVO. Als Übermittlungsgrundlage kommen insbesondere ein Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO – etwa das EU-US Data Privacy Framework bei wirksamer Zertifizierung des jeweiligen Empfängers – oder geeignete Garantien nach Art. 46 DSGVO, insbesondere die EU-Standardvertragsklauseln, in Betracht. Soweit erforderlich, werden ergänzende technische und organisatorische Schutzmaßnahmen berücksichtigt. Nutzer können Informationen zu den konkret eingesetzten Übermittlungsmechanismen und Garantien über die in Abschnitt 1 genannte E-Mail-Adresse anfordern.

18Speicherdauer

Personenbezogene Daten werden nur so lange gespeichert, wie dies für den jeweiligen Zweck erforderlich ist. Insbesondere gelten folgende Kriterien:

• Konto-, Inventar- und Berechtigungsdaten grundsätzlich bis zur Löschung des CarDex-Kontos,
• einzelne serverseitige Kartendaten bis zur Löschung der Karte oder des Kontos,
• lokale Fotos und App-Daten bis zur Kontolöschung, Deinstallation, manuellen Löschung der App-Daten oder Entfernung durch das Betriebssystem; eine Bilddatei kann nach dem Löschen nur einer Karte lokal verbleiben,
• Sitzungs- und Aktualisierungstokens bis zu ihrem Ablauf, ihrer Ersetzung, Abmeldung oder Kontolöschung,
• Sicherheits-, Ratenbegrenzungs- und Missbrauchsdaten so lange, wie sie für Schutz und Durchsetzung der jeweiligen Limits erforderlich sind; unmittelbar kontozugeordnete Einträge werden bei der Kontolöschung entfernt, soweit keine vorrangige Aufbewahrungspflicht besteht,
• CarDex-seitige Kaufzuordnungen bis zur Kontolöschung; bei Google verbleibende Kauf- und Zahlungsdaten nach den dort geltenden Fristen,
• OpenAI-Inhalte und Sicherheitsprotokolle grundsätzlich nach den in Abschnitt 6 genannten Anbieterfristen,
• technische Protokolle und Sicherungskopien nach den Lösch- und Aufbewahrungszyklen des jeweiligen Infrastruktur- oder Plattformanbieters,
• Daten, die gesetzlichen Aufbewahrungspflichten unterliegen, für die Dauer der jeweiligen gesetzlichen Frist.

Nach Zweckfortfall werden Daten gelöscht oder anonymisiert, sofern keine gesetzlichen Pflichten oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen eine weitere Aufbewahrung erfordern.

19Karten, Konto und Daten löschen

19.1Einzelne Karten und lokale Kopien

Löschbare selbst erstellte Karten können direkt in CarDex entfernt werden. Dadurch wird der serverseitige Karteneintrag gelöscht. Wie in Abschnitt 7 erläutert, kann die lokale Bilddatei bis zur Kontolöschung, Deinstallation oder manuellen Löschung der App-Daten bestehen bleiben. In der Galerie oder anderen Apps gespeicherte beziehungsweise geteilte Kopien müssen dort separat gelöscht werden.

19.2CarDex-Konto in der App löschen

Das CarDex-Konto kann in der App über folgenden Weg gelöscht werden: Favoriten-/Profilansicht → Einstellungen (Zahnradsymbol) → „Delete CarDex Account“. Nach einer erneuten Bestätigung sendet die App eine authentifizierte Löschanfrage an das CarDex-Backend. Dabei werden insbesondere das CarDex-Nutzerkonto, das serverseitige Inventar, Karten und Fundorte, Freischaltungen, kostenlose Kartenansprüche, CarDex-seitige Kaufzuordnungen, aktive Sitzungen sowie unmittelbar zugeordnete Nutzungs- und Sicherheitszähler gelöscht. Anschließend entfernt die App lokale CarDex-Daten und Sitzungstokens vom aktuell verwendeten Gerät. Nicht automatisch gelöscht werden insbesondere:

• Daten im Google-Play-Games- oder Apple-Game-Center-Konto, etwa Erfolge oder Ranglistenwerte,
• die Kauf- und Zahlungshistorie bei Google Play oder Apple,
• Bilder, die in der Galerie gespeichert oder mit anderen Apps geteilt wurden,
• bereits vorhandene Plattform- oder Gerätesicherungskopien,
• Daten, die ein Anbieter in eigener Verantwortlichkeit oder aufgrund gesetzlicher Pflichten weiter aufbewahren muss,
• ausschließlich technische, nicht mehr direkt einem aktiven Konto zugeordnete Sicherheitsprotokolle bis zum Ablauf der jeweiligen Anbieterfrist.

Die Kontolöschung ist endgültig. Ein späteres Anmelden kann ein neues CarDex-Konto erzeugen. Berechtigte Google-Play- oder Apple-Käufe können gegebenenfalls wiederhergestellt werden; die gelöschte Kartensammlung wird dadurch nicht wiederhergestellt.

19.3Löschung ohne installierte App anfordern

Nutzer können die Löschung ihres CarDex-Kontos und der zugehörigen Daten auch ohne Neuinstallation der App per E-Mail an sup.studiomuench@gmail.com anfordern. Empfohlener Betreff: CarDex-Kontolöschung. Zur Zuordnung sollten der Google-Play-Games- oder Apple-Game-Center-Anzeigename und – sofern verfügbar – die interne CarDex-ID angegeben werden. Bitte niemals Passwörter, Kauftokens oder Fahrzeugfotos per E-Mail senden. Zum Schutz vor unbefugter Löschung kann eine angemessene Identitätsbestätigung verlangt werden. Die Anfrage wird grundsätzlich innerhalb eines Monats bearbeitet; gesetzliche Ausnahmen bleiben vorbehalten.

20Sicherheit

CarDex setzt angemessene technische und organisatorische Maßnahmen ein, unter anderem verschlüsselte HTTPS-Verbindungen, geschützte Sitzungstokens, serverseitige Authentifizierung, Kaufprüfung, Ratenbegrenzung und Plausibilitätsprüfungen. Kein System kann jedoch absolute Sicherheit garantieren. Nutzer sollten den Zugriff auf ihr Google- beziehungsweise Apple-Konto und Gerät schützen und Auffälligkeiten über die Kontaktadresse melden.

21Rechtsgrundlagen im Überblick

Je nach Verarbeitung beruht diese insbesondere auf:

• Art. 6 Abs. 1 Buchst. a DSGVO: Einwilligung, etwa für optionale genaue Standortverarbeitung oder einwilligungsbedürftige Werbung,
• Art. 6 Abs. 1 Buchst. b DSGVO: Bereitstellung des Kontos, der Fahrzeugerkennung,

Sammlung, Karte, Käufe und sonstiger angeforderter App-Funktionen,

• Art. 6 Abs. 1 Buchst. c DSGVO: Erfüllung gesetzlicher Pflichten,
• Art. 6 Abs. 1 Buchst. f DSGVO: IT-Sicherheit, Stabilität, Fehleranalyse, Missbrauchs-,

Betrugs- und Manipulationsprävention sowie Durchsetzung angemessener Nutzungslimits,

• § 25 Abs. 1 TDDDG: einwilligungsbedürftiges Speichern von oder Zugreifen auf Informationen im Endgerät,
• § 25 Abs. 2 TDDDG: technisch erforderliche Speicherung beziehungsweise erforderlicher Endgerätezugriff.

Soweit eine Verarbeitung auf berechtigten Interessen beruht, bestehen die Interessen insbesondere in einem sicheren, stabilen und missbrauchsresistenten Betrieb von CarDex.

22Erforderlichkeit der Datenbereitstellung und Folgen der Nichtbereitstellung

Die Bereitstellung personenbezogener Daten ist grundsätzlich weder gesetzlich vorgeschrieben noch besteht eine allgemeine Pflicht, optionale Daten bereitzustellen. Bestimmte Angaben und Verarbeitungsvorgänge sind jedoch technisch oder vertraglich erforderlich, wenn die jeweilige Funktion genutzt werden soll. Insbesondere gilt:

• Für die Einrichtung und Nutzung eines CarDex-Kontos sind die für die Google-Play-Games- beziehungsweise Apple-Game-Center-Anmeldung und Kontozuordnung erforderlichen Kennungen notwendig. Ohne diese Daten können kontobezogene Funktionen, Synchronisierung und Wiederherstellung nicht vollständig bereitgestellt werden.
• Für die KI-gestützte Fahrzeugerkennung muss eine Verarbeitungskopie des aufgenommenen Fahrzeugfotos an das Backend und den KI-Dienst übermittelt werden. Ohne diese Übermittlung ist die automatische Fahrzeugerkennung nicht möglich.
• Standortdaten sind optional. Ohne Standortfreigabe kann CarDex grundsätzlich weiter genutzt werden; Fundortfunktionen sind dann eingeschränkt.
• In-App-Käufe sind optional. Die hierfür erforderlichen Kauf- und Transaktionskennungen werden nur verarbeitet, wenn ein Kauf durchgeführt, geprüft oder wiederhergestellt werden soll.
• Eine Einwilligung in einwilligungsbedürftige Werbe- oder Endgerätezugriffe ist freiwillig und kann mit Wirkung für die Zukunft widerrufen werden. Die konkrete Werbeauslieferung kann sich dadurch ändern; kostenpflichtige, werbefreie Funktionen bleiben hiervon unberührt.

23Rechte betroffener Personen

Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen insbesondere das Recht auf:

• Auskunft nach Art. 15 DSGVO,
• Berichtigung nach Art. 16 DSGVO,
• Löschung nach Art. 17 DSGVO,
• Einschränkung der Verarbeitung nach Art. 18 DSGVO,
• Datenübertragbarkeit nach Art. 20 DSGVO,
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 Buchst. e oder f DSGVO nach Art. 21 DSGVO,
• Widerruf einer Einwilligung mit Wirkung für die Zukunft nach Art. 7 Abs. 3 DSGVO.

Der Widerruf einer Einwilligung berührt nicht die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung. Anfragen können an die in Abschnitt 1 genannte E-Mail-Adresse gerichtet werden. Zur Verhinderung unberechtigter Auskünfte oder Löschungen kann ein geeigneter Identitätsnachweis verlangt werden.

24Beschwerderecht

Betroffene Personen können sich gemäß Art. 77 DSGVO bei einer Datenschutzaufsichtsbehörde beschweren. Für den Verantwortlichen ist insbesondere der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz zuständig. Informationen und Kontaktdaten sind unter www.datenschutz.rlp.de abrufbar. Das Recht, sich an eine andere zuständige Aufsichtsbehörde zu wenden, bleibt unberührt.

25Automatisierte Verarbeitung und KI-Ergebnisse

Die KI-gestützte Fahrzeugerkennung dient ausschließlich dazu, Vorschläge für Fahrzeugdaten und Karteninhalte zu erzeugen. Technische Manipulations-, Limit- oder Sicherheitsprüfungen können eine einzelne Anfrage automatisch ablehnen. Diese Vorgänge entfalten keine rechtliche oder ähnlich erhebliche Wirkung im Sinne von Art. 22 DSGVO. Bei einem erkennbaren Fehler können Nutzer die Funktion erneut versuchen oder sich an die Kontaktadresse wenden.

26Änderungen dieser Datenschutzerklärung

Diese Datenschutzerklärung kann angepasst werden, wenn sich Funktionen, Anbieter, rechtliche Anforderungen oder Datenverarbeitungen ändern. Die jeweils aktuelle Fassung wird in der App beziehungsweise über die im Store-Eintrag angegebene Datenschutz-Webseite bereitgestellt. Bei wesentlichen Änderungen werden Nutzer in angemessener Weise informiert.

1Controller

The controller within the meaning of the General Data Protection Regulation (GDPR) is:
Lukas Johannes Münch
Studio Münch
Zum Stausee 27
55743 Idar-Oberstein
Germany
Email: sup.studiomuench@gmail.com

2Overview and Principles

CarDex combines real-world vehicle discoveries with a digital card collection. Users can photograph vehicles, have a vehicle identified using artificial intelligence, manage cards and optional discovery locations, use Google Play Games or Apple Game Center features, and make optional purchases. CarDex processes personal data only to the extent necessary to provide the App, where consent has been given, where a legitimate interest exists, or where a legal obligation must be fulfilled. Personal data is not sold.

3Account, Sign-In, Play Games and Game Center

3.1Account Creation

A CarDex account is created or linked through Google Play Games on Android and Apple Game Center on iOS. In particular, the following data may be processed:

• Google Play Games player ID,
• display name stored in Google Play Games,
• Apple Game Center player ID and display name,
• internal CarDex user ID,
• sign-in provider and technical linking identifiers,
• timestamps relating to account creation and latest updates,
• short-lived access tokens and longer-lived refresh tokens for the CarDex session.

As a general rule, CarDex receives no email address, Google or Apple password, or telephone number through this sign-in process. Google or Apple also processes the sign-in under its own responsibility and its respective privacy policy applies. For older App versions or migration processes, pseudonymous installation, guest or migration identifiers may be processed. These are used solely to assign an existing inventory to the correct CarDex account.

3.2Purpose and Legal Basis

The processing is carried out for sign-in, cross-device or cross-account restoration of the collection, synchronization, and protection against unauthorized access. The legal basis is Art. 6(1)(b) GDPR. Security and abuse-prevention measures are additionally based on Art. 6(1)(f) GDPR.

4Technical Provision and Cloudflare

CarDex uses services provided by Cloudflare, Inc. and affiliated companies, in particular Cloudflare Workers, D1/KV storage and technical operational metrics. The following data may be processed:

• IP address,
• date and time of a request,
• requested endpoint and response status,
• device, browser, App and network metadata to the extent technically transmitted with an internet request,
• authentication and security information,
• content required for the respective function, for example card, inventory, purchase or location data.

Cloudflare processes this data to deliver backend functions, defend against attacks, apply rate limiting, analyze errors and ensure availability. The legal bases are Art. 6(1)(b) and (f) GDPR. Further information is available in the Cloudflare Privacy Policy. CarDex does not use a separate general tracking or user analytics platform within the App. However, technical request and error metrics for the backend may be provided by Cloudflare.

5Camera, Vehicle Photos and Card Creation

5.1Capture and Local Storage

The camera function is used only when users actively photograph a vehicle. The original photo is stored in the App’s private storage on the device and is used to display the user’s self-created card. Users may also share a card using operating-system functions or deliberately save a copy to the gallery. A copy saved in the gallery or shared through another app is located outside the App storage controlled by CarDex. It is not automatically removed when a card or the CarDex account is deleted and, where necessary, must be deleted by the user in the relevant app or gallery.

5.2Transmission for Vehicle Recognition

For recognition, a compressed processing copy of the photo is created. Where technically possible, image metadata such as EXIF data is not included. This image copy is transmitted in encrypted form to the CarDex backend and then forwarded to OpenAI for analysis. CarDex does not permanently store the transmitted image data in the Cloudflare inventory. However, an internal local file reference may be stored in the inventory so that the App can associate the photo stored on the device with the correct card. The AI-processing provider may temporarily store submitted content and technical log data in accordance with its own retention rules; details are provided in Section 6. Users should only take photos that they are entitled to take and should, where possible, avoid capturing identifiable persons, license plates or other unnecessary personal information.

5.3Legal Basis

To the extent that processing of a photo concerns personal data of the user and is necessary for the vehicle recognition and card creation requested by that user, the processing is based on Art. 6(1)(b) GDPR. Where a vehicle photo only incidentally contains personal data of third parties, such as identifiable persons or a vehicle license plate that can be linked to a person, CarDex bases the processing limited to vehicle recognition on Art. 6(1)(f) GDPR. The legitimate interest is to provide the expressly requested recognition without intending to identify or monitor individuals. CarDex applies data minimization, purpose-limited processing, and automatic obscuring of detected faces and license plates. Camera permission can be revoked in the Android or iOS settings. The camera can be used independently of location permission.

6AI-Based Vehicle Recognition by OpenAI

CarDex uses the API of OpenAI Ireland Ltd. to analyze captured vehicle images. In particular, the following data is transmitted:

• the compressed image copy,
• a technical task description for vehicle recognition,
• where applicable, contextual information required for recognition,
• technical request and security metadata.

The AI may return information such as make, model, vehicle type, model year or an estimated classification. Results may be incorrect and should not be understood as a binding technical or economic assessment. According to OpenAI’s published information, data from the API is generally not used to train or improve models unless the API customer expressly opts in to such use. Safety and abuse-monitoring logs may be retained for up to 30 days by default, unless longer retention is legally required or reasonably necessary to protect the services or third parties. With the Responses API, application-state data may additionally be stored depending on the specific API configuration. OpenAI currently describes a 30-day retention period for standard Responses API storage and states that response data is retained for at least 30 days in that configuration. The retention period actually applicable to CarDex therefore also depends on the OpenAI configuration used and the data controls enabled for the API project. Further information: OpenAI API Data Controls and OpenAI Data Processing Addendum. The legal bases for image processing are set out in Section 5.3. OpenAI processes the submitted content as part of the commissioned AI analysis. CarDex does not intentionally use personal or license-plate data contained in images to identify individuals.

7Collection, Cards and Favorites

To provide the collection, CarDex processes in particular:

• internal card ID and user assignment,
• vehicle data recognized or confirmed by the user,
• creation and modification timestamps,
• card status, source and sorting information,
• purchased or unlocked cards and entitlements,
• optionally the discovery location,
• technical usage counters and limits,
• locally stored favorites and App settings.

The server-side inventory is assigned to the CarDex account. Certain data, such as photos, favorites, settings and cached inventory data, is additionally or exclusively stored locally on the device. The legal basis is Art. 6(1)(b) GDPR. When an individual card is deleted, its server-side card record is removed. An image file already stored in the App’s private storage may technically remain until the account is deleted, the App is uninstalled, or the App data is manually deleted. Copies saved in the gallery or in other apps also remain there.

8Location Data and Discovery Map

Users can allow CarDex on Android or iOS to capture their location when creating a card. Depending on the permission granted, this may be an approximate or precise location. Latitude and longitude and the associated card and capture timestamp are processed. The location is used to display where a card was discovered in the personal collection and on the interactive map. Discovery locations are not automatically made public or displayed to other users. Processing is based on consent under Art. 6(1)(a) GDPR and can be withdrawn through the device permission settings. The camera and card creation remain available without location permission; only location-related features are limited.

9Map Display via OpenFreeMap

To display the interactive map, CarDex loads map styles and map data from OpenFreeMap, operated by Hyperknot Software Kft., Hungary. During these requests, technically necessary data such as the IP address, time, App/device information and the requested map area may be processed. The specific cards and discovery markers stored in CarDex are not transmitted as such to OpenFreeMap; however, the requested map area may allow conclusions to be drawn about the region being viewed. According to OpenFreeMap, IP addresses are not routinely stored in standard logs. In the event of security incidents, IP logging may temporarily be enabled, generally for no more than 30 days. Further information: OpenFreeMap Privacy Policy. The processing serves to provide the map function requested by the user. The legal basis is Art. 6(1)(b) GDPR; secure and efficient provision is additionally based on Art. 6(1)(f) GDPR.

10Google Play Games, Apple Game Center, Achievements and Leaderboards

CarDex uses Google Play Games on Android and Apple Game Center on iOS for sign-in, achievements, leaderboards and game features. The respective player ID, display name, game progress, unlocked achievements and leaderboard scores may be transmitted to Google or Apple. Both providers process this data under their own responsibility and privacy policies. Processing is carried out to provide the requested game and account functions on the basis of Art. 6(1)(b) GDPR.

11Advertising and Consent Management

In the free version, CarDex may display advertising through Google AdMob. Google User Messaging Platform (UMP) is used to obtain and manage privacy-related choices. Depending on region, consent, device settings and technical availability, personalized, non-personalized or limited ads may be served. In particular, the following data may be processed:

• IP address and approximate region,
• device and App information,
• advertising ID, where available and permitted,
• interactions with ads,
• consent and privacy signals,
• technical information for delivery, fraud prevention, reach measurement and frequency capping.

Non-personalized ads may also use contextual information and, in certain modes, local identifiers for delivery, reporting or frequency capping. Further information is available in the Google Privacy Policy and AdMob privacy information. Where consent is required, processing is based on Art. 6(1)(a) GDPR and, for terminal-device access, Section 25(1) TDDDG. On iOS, App Tracking Transparency is requested only where corresponding access is sought; declining it does not prevent basic use of the App. Choices can be changed through CarDex privacy options or the device, Google or Apple settings. Advertising can be disabled by purchasing “Remove Ads” or the “Full Version”. Section 12 applies to purchase data.

12In-App Purchases through Google Play and Apple

CarDex offers optional in-app purchases such as “Remove Ads”, “Unlimited Collection” and the “Full Version” through Google Play Billing or Apple StoreKit. Payment processing is handled by Google or Apple. CarDex does not receive complete payment or credit-card details. For verification, assignment, restoration and prevention of multiple redemption, CarDex processes in particular:

• product ID,
• Google Play purchase token,
• Apple transaction ID and signed Apple transaction data,
• order ID, where provided by Google,
• a hash value of the purchase token,
• purchase, acknowledgment and assignment status,
• timestamp and associated CarDex user ID,
• entitlements derived from the purchase in the inventory.

The purchase token or signed transaction data is transmitted to the Google Play Developer API or Apple App Store Server API for server-side verification. Processing is carried out for performance of the contract under Art. 6(1)(b) GDPR, fraud prevention under Art. 6(1)(f) GDPR and legal obligations under Art. 6(1)(c) GDPR. Deleting a CarDex account removes CarDex-side purchase assignments and entitlements, but does not delete purchase history or legally required records held by Google or Apple. Eligible platform purchases may be restored later where applicable.

13Local Storage and Device Backups

CarDex stores photos of self-created cards, favorites, settings, cache and inventory data on the device. Session tokens are stored in protected Android or iOS storage. Depending on the platform and device settings, local App data may be included in Android Auto Backup, device transfer or Apple system backups and restored after reinstallation. Such backups are controlled by Google or Apple and the user. Deletion within CarDex removes data from the current device and CarDex backend but cannot immediately remove existing platform backup copies. The legal basis is Art. 6(1)(b) GDPR; Section 25(2) no. 2 TDDDG additionally applies to technically necessary storage access.

14External Links, Sharing, Reviews and Updates

CarDex contains optional external links, including links to YouTube, Instagram, TikTok or X. The relevant external app or website opens only after active selection and its privacy policy then applies. When users share cards, they choose the recipient or third-party app themselves. Links to reviews or updates open Google Play or the Apple App Store and are subject to the respective platform provider’s privacy policy.

15App Permissions

Depending on the platform, CarDex may request the following permissions:

• Camera: capturing a vehicle,
• Location: optional discovery location and map features; camera use is independent of this permission,
• Internet: communication with backend and third-party services,
• Tracking or advertising ID: ad delivery where available, permitted and, where required, consented to,
• Notifications or gallery/media access: only where a corresponding optional function is used and the operating system requires such permission.

Permissions can be revoked in the Android or iOS settings. Revocation applies for the future and may restrict the respective function.

16Recipients and Processors

Depending on use, data may be transmitted to the following categories of recipients:

• Cloudflare: backend, database, network and security services,
• OpenAI Ireland Ltd. and, where applicable, other OpenAI companies/sub-processors:

AI-based vehicle recognition,

• Google: Play Games, Google Play Billing/Developer API, AdMob, UMP and Android Backup,
• Apple: Game Center, StoreKit, App Store Server API and platform backups,
• OpenFreeMap / Hyperknot Software Kft.: retrieval of map styles and map data,
• apps and external services selected by the user: only when the user actively shares content or opens a link,
• public authorities or other bodies where there is a legal obligation to disclose data.

Where providers act as processors, they are engaged on the basis of a contract pursuant to Art. 28 GDPR. Some providers additionally process data for their own purposes and are independently responsible for such processing.

17Transfers to Third Countries

CarDex uses internationally operating service providers. Depending on the service, contractual structure and technical processing, personal data may therefore also be processed outside the European Economic Area or made accessible from outside it. This applies in particular to services provided by Cloudflare, OpenAI, Google and Apple. Under OpenAI’s current contractual terms, OpenAI Ireland Ltd. is generally the contracting entity for API customers established in the EEA; nevertheless, transfers to affiliated companies or sub-processors outside the EEA may also take place. Where personal data is transferred to a third country, this is carried out in accordance with Arts. 44 et seq. GDPR. Transfer mechanisms may in particular include an adequacy decision of the European Commission under Art. 45 GDPR - such as the EU-U.S. Data Privacy Framework where the respective recipient is validly certified - or appropriate safeguards under Art. 46 GDPR, in particular the EU Standard Contractual Clauses. Where necessary, supplementary technical and organizational safeguards are taken into account. Users can request information about the specific transfer mechanisms and safeguards used by contacting the email address stated in Section 1.

18Retention Periods

Personal data is stored only for as long as necessary for the respective purpose. In particular, the following criteria apply:

• account, inventory and entitlement data generally until the CarDex account is deleted,
• individual server-side card data until the card or account is deleted,
• local photos and App data until account deletion, uninstallation, manual deletion of App data or removal by the operating system; an image file may remain locally after deletion of only an individual card,
• session and refresh tokens until they expire, are replaced, the user signs out, or the account is deleted,
• security, rate-limiting and abuse-prevention data for as long as required for protection and enforcement of the relevant limits; records directly associated with the account are removed when the account is deleted unless a superior retention obligation applies,
• CarDex-side purchase assignments until account deletion; purchase and payment data remaining with Google or Apple in accordance with the retention periods applicable there,
• OpenAI content and security logs generally in accordance with the provider retention periods stated in Section 6,
• technical logs and backups in accordance with the deletion and retention cycles of the respective infrastructure or platform provider,
• data subject to statutory retention obligations for the duration of the respective statutory period.

Once the purpose no longer applies, data is deleted or anonymized unless legal obligations or the establishment, exercise or defense of legal claims require continued retention.

19Deleting Cards, Account and Data

19.1Individual Cards and Local Copies

Deletable self-created cards can be removed directly in CarDex. This deletes the server-side card record. As explained in Section 7, the local image file may remain until the account is deleted, the App is uninstalled, or the App data is manually deleted. Copies saved in the gallery or other apps, or copies that have been shared, must be deleted separately there.

19.2Deleting the CarDex Account in the App

The CarDex account can be deleted in the App using the following path: Favorites/Profile view -> Settings (gear icon) -> “Delete CarDex Account”. After an additional confirmation, the App sends an authenticated deletion request to the CarDex backend. In particular, the CarDex user account, server-side inventory, cards and discovery locations, entitlements, freecard claims, CarDex-side purchase assignments, active sessions, and directly associated usage and security counters are deleted. The App then removes local CarDex data and session tokens from the device currently in use. The following data, in particular, is not automatically deleted:

• data in the Google Play Games or Apple Game Center account, such as achievements or leaderboard scores,
• purchase and payment history at Google Play or Apple,
• images saved in the gallery or shared with other apps,
• existing platform or device backup copies,
• data that a provider must continue to retain under its own responsibility or because of legal obligations,
• purely technical security logs that are no longer directly associated with an active account, until the applicable provider retention period expires.

Account deletion is final. Signing in again later may create a new CarDex account. Eligible Google Play or Apple purchases may, where applicable, be restored; the deleted card collection will not be restored as a result.

19.3Requesting Deletion Without the App Installed

Users can also request deletion of their CarDex account and associated data without reinstalling the App by emailing sup.studiomuench@gmail.com. Recommended subject: CarDex Account Deletion. To identify the account, users should provide their Google Play Games or Apple Game Center display name and, if available, the internal CarDex ID. Please never send passwords, purchase tokens or vehicle photos by email. Appropriate identity confirmation may be requested. Requests are generally handled within one month, subject to statutory exceptions.

20Security

CarDex implements appropriate technical and organizational measures, including encrypted HTTPS connections, protected session tokens, server-side authentication, purchase verification, rate limiting and plausibility checks. However, no system can guarantee absolute security. Users should protect access to their Google or Apple account and device and report irregularities using the contact address.

21Overview of Legal Bases

Depending on the processing activity, processing is based in particular on:

• Art. 6(1)(a) GDPR: consent, for example for optional precise location processing or advertising requiring consent,
• Art. 6(1)(b) GDPR: provision of the account, vehicle recognition, collection, map, purchases and other requested App functions,
• Art. 6(1)(c) GDPR: compliance with legal obligations,
• Art. 6(1)(f) GDPR: IT security, stability, error analysis, prevention of abuse, fraud and manipulation, and enforcement of reasonable usage limits,
• Section 25(1) TDDDG: storing information in, or accessing information from, terminal equipment where consent is required,
• Section 25(2) TDDDG: technically necessary storage or necessary access to terminal equipment.

Where processing is based on legitimate interests, those interests consist in particular in the secure, stable and abuse-resistant operation of CarDex.

22Requirement to Provide Data and Consequences of Not Providing It

As a general rule, the provision of personal data is neither legally required nor is there a general obligation to provide optional data. However, certain information and processing operations are technically or contractually necessary if the respective function is to be used. In particular:

• To create and use a CarDex account, the identifiers required for Google Play Games or Apple Game Center sign-in and account assignment are necessary. Without this data, account-related functions, synchronization and restoration cannot be provided in full.
• For AI-based vehicle recognition, a processing copy of the captured vehicle photo must be transmitted to the backend and the AI service. Without this transmission, automatic vehicle recognition is not possible.
• Location data is optional. Without granting location permission, CarDex can generally still be used; discovery-location functions will then be limited.
• In-app purchases are optional. The purchase and transaction identifiers required for them are processed only when a purchase is made, verified or restored.
• Consent to advertising or terminal-device access requiring consent is voluntary and can be withdrawn with effect for the future. The specific ad delivery may change as a result; paid ad-free functions are unaffected.

23Rights of Data Subjects

Subject to the applicable legal requirements, data subjects have in particular the right to:

• access under Art. 15 GDPR,
• rectification under Art. 16 GDPR,
• erasure under Art. 17 GDPR,
• restriction of processing under Art. 18 GDPR,
• data portability under Art. 20 GDPR,
• object to processing based on Art. 6(1)(e) or (f) GDPR under Art. 21 GDPR,
• withdraw consent with effect for the future under Art. 7(3) GDPR.

Withdrawal of consent does not affect the lawfulness of processing carried out on the basis of consent before its withdrawal. Requests may be sent to the email address stated in Section 1. Appropriate proof of identity may be requested in order to prevent unauthorized disclosure or deletion.

24Right to Lodge a Complaint

Data subjects may lodge a complaint with a data protection supervisory authority in accordance with Art. 77 GDPR. For the controller, the competent authority is in particular the State Commissioner for Data Protection and Freedom of Information of Rhineland-Palatinate (Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz). Information and contact details are available at www.datenschutz.rlp.de. The right to contact another competent supervisory authority remains unaffected.

25Automated Processing and AI Results

AI-based vehicle recognition is used solely to generate suggestions for vehicle data and card content. Technical manipulation, limit or security checks may automatically reject an individual request. These processes do not produce legal effects or similarly significant effects within the meaning of Art. 22 GDPR. If an obvious error occurs, users can try the function again or contact CarDex using the contact address.

26Changes to this Privacy Policy

This Privacy Policy may be updated if functions, providers, legal requirements or data-processing activities change. The current version will be made available in the App and/or through the privacy webpage specified in the store listing. Users will be informed in an appropriate manner of material changes.