Datenschutzerklärung

Diese Datenschutzerklärung gilt für die Website halfwayapp.de, die Web-App app.halfwayapp.de und die Android-App „Halfway“.

1. Verantwortlicher

Nicolas Jansohn, handelnd unter KikuchiLabs
Am Kastanienberg 55
69151 Neckargemünd
Deutschland
E-Mail: info@kikuchilabs.de

Einen Datenschutzbeauftragten haben wir nicht benannt; eine Pflicht dazu besteht nicht. Wenden Sie sich bei Fragen zum Datenschutz bitte an die oben genannte Adresse.

2. Überblick und Bereitstellung Ihrer Daten

Halfway berechnet faire Treffpunkte zwischen mehreren Startorten. Dafür verarbeiten wir die Orte, die Sie eingeben, sowie technische Daten, die beim Aufruf jeder Website anfallen. Die Website und die App können Sie ohne Konto nutzen.

Die Bereitstellung Ihrer E-Mail-Adresse ist für die Registrierung erforderlich; ohne sie können Sie Halfway nur im kostenlosen Umfang ohne Konto nutzen. Für einen Kauf sind die Angaben erforderlich, die unser Zahlungspartner im Checkout abfragt. Im Übrigen sind Sie weder gesetzlich noch vertraglich verpflichtet, Daten bereitzustellen; ohne die eingegebenen Orte kann allerdings kein Treffpunkt berechnet werden.

3. Hosting und Server-Logs

Hosting: Unsere Website und App werden auf einem Server der netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, Deutschland, betrieben. netcup verarbeitet die Daten in unserem Auftrag (Art. 28 DSGVO). Auf demselben Server betreiben wir auch die Routen- und Erreichbarkeitsberechnung (OSRM, Valhalla) und die Statistik (Umami, Abschnitt 9); diese Daten verlassen den Server nicht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sicherer, effizienter Betrieb) bzw. Art. 6 Abs. 1 lit. b DSGVO.

Server-Logs: Beim Aufruf unserer Seiten speichert unser Webserver Zugriffsdaten (gekürzte IP-Adresse, Datum und Uhrzeit, aufgerufene URL ohne Suchbegriffe, Statuscode, User-Agent, Referrer). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Betriebssicherheit, Fehleranalyse, Missbrauchsabwehr). Die Logs werden nach 7 Tagen automatisch gelöscht.

4. Nutzung der App

4.1 Treffpunktberechnung und Adresssuche

Die von Ihnen eingegebenen Orte und Suchbegriffe sendet Ihr Browser an unseren Server. Dieser berechnet Routen und Erreichbarkeitszonen mit eigenen Instanzen von OSRM und Valhalla. Für die Adresssuche leitet unser Server den Suchbegriff an den Geocoding-Dienst Photon der komoot GmbH (Deutschland) weiter, für die Suche nach Orten wie Cafés oder Restaurants Koordinaten an die öffentliche Overpass API (overpass-api.de, OpenStreetMap-Daten) und – für Detailinformationen, Bewertungen und Fotos – an die Google Places API (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Fotos von Google lädt unser Server und reicht sie an Sie durch. Bei all diesen Anfragen tritt unser Server gegenüber dem Anbieter auf; Ihre IP-Adresse wird nicht übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Die Berechnungsergebnisse werden nicht dauerhaft auf unserem Server gespeichert. Zur Durchsetzung der Nutzungslimits zählen wir die Berechnungen je Tag (bei angemeldeten Nutzern mit der E-Mail-Adresse); diese Zähler werden nach 60 Tagen gelöscht, technische Protokolle der Anfragen an externe Dienste nach 90 Tagen.

4.2 Live-Verkehr (TomTom)

Für die optionale Funktion „Live Traffic“ übermittelt unser Server die Koordinaten der Routenpunkte, nicht aber Ihre IP-Adresse, an TomTom International B.V., De Ruijterkade 154, 1011 AC Amsterdam, Niederlande. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

4.3 Kartendarstellung

Zur Darstellung der Karte lädt Ihr Browser Kartenkacheln, Schriften und Symbole direkt von OpenFreeMap (tiles.openfreemap.org; ausgeliefert über Cloudflare, Inc., USA) bzw. bei entsprechender Kartenwahl von VersaTiles (tiles.versatiles.org). Dabei werden Ihre IP-Adresse, der Kartenausschnitt und technische Browserdaten an den jeweiligen Anbieter übermittelt; ohne diese Verbindung kann die Karte nicht angezeigt werden. Es werden dabei keine Cookies gesetzt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer funktionsfähigen Kartendarstellung).

4.4 Geteilte Pläne

Wenn Sie einen Plan über „Teilen“ freigeben, speichern wir die Planung (Orte, Parameter) unter einer zufälligen Kennung auf unserem Server, damit der Link funktioniert; bei angemeldeten Nutzern verknüpft mit der E-Mail-Adresse. Jeder, der den Link kennt, kann den Plan abrufen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Gespeicherte Pläne löschen wir mit Ihrem Konto oder auf Anfrage.

5. Benutzerkonto

5.1 Registrierung und Anmeldung (Supabase)

Für Konten nutzen wir Supabase (Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513) als Auftragsverarbeiter; unsere Datenbank liegt in der EU-Region Frankfurt. Verarbeitet werden Ihre E-Mail-Adresse, ein Passwort-Hash bzw. die Anmeldedaten des gewählten Anbieters, der Registrierungszeitpunkt und Ihr Tarif. Zur Anmeldung setzt Supabase ein technisch notwendiges Sitzungs-Token in Ihrem Browser. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Zur Drittlandübermittlung siehe Abschnitt 13.

5.2 E-Mail-Versand (Mailjet)

Für den Versand von System-E-Mails (Bestätigung der Registrierung, Passwort-Zurücksetzen) nutzen wir über Supabase den Dienst Mailjet (Mailjet SAS, Frankreich, Teil der Sinch-Gruppe) als Auftragsverarbeiter. Verarbeitet werden Ihre E-Mail-Adresse und der Inhalt der Nachricht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

5.3 Anmeldung mit Google

Sie können sich optional mit Ihrem Google-Konto anmelden. Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Dabei werden Sie zu Google weitergeleitet; wir erhalten von Google Ihren Namen, Ihre E-Mail-Adresse und ggf. Ihr Profilbild. Eine Übermittlung an die Google LLC in den USA ist möglich (siehe Abschnitt 13). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

5.4 Konto löschen

Sie können Ihr Konto jederzeit in der App löschen; wie das geht, steht unter halfwayapp.de/konto-loeschen. Dabei löschen wir Ihre Kontodaten und gespeicherten Pläne. Kaufbelege bewahren wir bzw. unser Zahlungspartner so lange auf, wie es Handels- und Steuerrecht verlangen.

6. Käufe (Premium)

Web: Käufe in der Web-App werden über Lemon Squeezy (Link, LLC, vormals Lemon Squeezy LLC, USA; ein Unternehmen der Stripe-Gruppe) abgewickelt. Lemon Squeezy ist Verkäufer (Merchant of Record) und für die Zahlungs-, Rechnungs- und Steuerdaten, die Sie im Checkout eingeben, selbst verantwortlich; es gilt die Datenschutzerklärung von Lemon Squeezy. Erst wenn Sie auf „Kaufen“ klicken, übermitteln wir Ihre E-Mail-Adresse und den gewählten Tarif an Lemon Squeezy und leiten Sie auf die Checkout-Seite weiter; vorher lädt die App nichts von Lemon Squeezy. Lemon Squeezy teilt uns den Zahlungsstatus, eine Bestell-ID und den Tarif mit; Kartendaten erhalten wir nicht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Länderprüfung: Premium ist derzeit nur in Europa erhältlich. Beim Start des Checkouts ermittelt unser Server das Land Ihrer IP-Adresse lokal mit der Datenbank „IP to Country Lite“ von DB-IP (Lizenz CC BY 4.0) und gibt es als Vorauswahl für das Rechnungsland an Lemon Squeezy weiter. Ihre IP-Adresse wird dazu an niemanden übermittelt und nicht gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Android: Käufe in der Android-App laufen über Google Play (Google Ireland Limited). Google teilt uns ein Kauf-Token, das Produkt und den Status mit; wir prüfen den Kauf über die Google Play Developer API. Für die Zahlung selbst gilt die Datenschutzerklärung von Google. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Unsere Kaufdaten (Bestell-ID, Tarif, Laufzeit, E-Mail-Adresse) speichern wir für die Dauer des Vertrags und danach, soweit gesetzliche Aufbewahrungspflichten bestehen (bis zu 10 Jahre, § 147 AO, § 257 HGB).

7. Cookies und lokale Speicherung

Website und App setzen vor einer Anmeldung keine Cookies. Nach der Anmeldung speichert die App ein Sitzungs-Token, ohne das die Anmeldung nicht funktioniert.

Im lokalen Speicher (localStorage) Ihres Browsers legt die App folgende Einträge ab, damit Ihre Einstellungen und Eingaben beim nächsten Besuch erhalten bleiben:

• theme, language, tileStyle, advancedMode, providerPreferences: Darstellung, Sprache, Kartenstil und Berechnungseinstellungen
• currentPlan und savedPlans: Ihre aktuelle bzw. gespeicherte Planung, also die eingegebenen Startpunkte und Ziele einschließlich Koordinaten und Berechnungsparameter
• poi-drawer-filters: Ihre Filter für die Ortssuche
• umami.disabled: nur, wenn Sie der Statistik widersprochen haben (Abschnitt 9)

Diese Daten bleiben auf Ihrem Gerät, bis Sie sie in der App zurücksetzen oder die Websitedaten in Ihrem Browser löschen. Der Zugriff ist für die von Ihnen gewünschte Funktion unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); Rechtsgrundlage für die Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO.

8. Eingebettete YouTube-Videos

Auf unserer Startseite binden wir kurze Videos unseres YouTube-Kanals ein. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google“).

Wir nutzen dafür eine Zwei-Klick-Lösung: Beim Aufruf der Seite wird lediglich ein Vorschaubild von unserem eigenen Server geladen; es findet keine Verbindung zu YouTube oder Google statt. Erst wenn Sie auf das Vorschaubild klicken, wird das Video über den erweiterten Datenschutzmodus (youtube-nocookie.com) nachgeladen. Dabei werden Daten wie Ihre IP-Adresse, Browser- und Geräteinformationen sowie die aufgerufene Seite an Google übertragen; Google kann zudem Cookies oder vergleichbare Technologien einsetzen und Daten in die USA übermitteln (siehe Abschnitt 13).

Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG, die Sie durch den Klick auf das Vorschaubild erteilen. Sie können sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO): Ohne Klick werden keine Daten an Google übertragen; laden Sie die Seite neu, ist das Video wieder deaktiviert. Weitere Informationen: Datenschutzerklärung von Google.

9. Statistik (Umami)

Zur statistischen Auswertung nutzen wir die Open-Source-Software Umami, die wir selbst auf unserem Server in Deutschland betreiben (analytics.halfwayapp.de). Umami setzt keine Cookies und speichert nichts auf Ihrem Gerät. Beim Seitenaufruf übermittelt Ihr Browser die aufgerufene Seite, den Referrer, Bildschirmgröße, Sprache sowie Browser-, Betriebssystem- und Gerätetyp; außerdem zählen wir einzelne Klicks (z. B. auf „App öffnen“) und abgeschlossene Käufe (ohne Zahlungsdaten). Aus Ihrer IP-Adresse werden Land, Region und Stadt abgeleitet; die IP-Adresse selbst wird von Umami nicht gespeichert, sondern nur zusammen mit dem User-Agent und einem regelmäßig wechselnden Salt zu einer Kennung gehasht. Die Daten sind damit pseudonym, nicht anonym. Eine Zusammenführung mit anderen Daten oder eine Weitergabe an Dritte findet nicht statt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung unseres Angebots). Die Rohdaten werden nach 13 Monaten gelöscht.

Widerspruch: Sie können die Erfassung für diesen Browser abschalten. Die Einstellung wird lokal gespeichert (umami.disabled) und gilt getrennt für die Website und die Web-App.

Statistik deaktivieren Statistik in der Web-App deaktivieren

10. Links zu Social Media und Partnerangeboten

Social Media: Auf unserer Website verweisen wir auf unsere Profile bei Instagram (Meta Platforms Ireland Ltd.) und YouTube (Google Ireland Limited). Dabei handelt es sich um einfache Links, nicht um Social-Media-Plugins: Beim Besuch unserer Seite werden keine Daten an diese Anbieter übertragen. Erst wenn Sie einem Link folgen, gelangen Sie auf die Plattform des jeweiligen Anbieters; dort gelten dessen Datenschutzbestimmungen.

Partnerangebote: Die App kann Links zu Booking.com, CHECK24, GetYourGuide und Quandoo anzeigen, die den Ort des Treffpunkts als Suchparameter enthalten. Auch das sind einfache Links ohne Tracking auf unserer Seite; vor dem Klick werden keine Daten übertragen. Ist für einen Partner eine Partner-Kennung hinterlegt, enthält der Link diese feste Kennung von Halfway, aber keine Kennung von Ihnen oder Ihrer Sitzung; wir erhalten dann im Fall einer Buchung ggf. eine Provision. Nach dem Klick gelten die Datenschutzbestimmungen des Anbieters. Rechtsgrundlage für das Anzeigen der Links: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an nützlichen Empfehlungen und an der Finanzierung des Dienstes).

11. Kontaktformular und E-Mail-Kontakt

Sie können uns über unser Kontaktformular oder per E-Mail an info@kikuchilabs.de erreichen. Dabei verarbeiten wir Ihre E-Mail-Adresse, Ihre Nachricht und, falls angegeben, Ihren Namen, um Ihre Anfrage zu beantworten. E-Mail-Adresse und Nachricht sind erforderlich, weil wir Ihnen sonst nicht antworten können; der Name ist freiwillig.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage einen Vertrag mit uns (z. B. Ihr Konto oder einen Kauf) oder dessen Anbahnung betrifft; bei allen anderen Anfragen Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse, Anfragen zu beantworten).

Weg der Nachricht und Empfänger: Das Formular sendet Ihre Angaben an unseren Server (Abschnitt 3). Dieser speichert sie nicht, sondern leitet sie sofort als E-Mail über Mailjet (Mailjet SAS, Frankreich; Auftragsverarbeiter, siehe Abschnitt 5.2) an unser Postfach info@kikuchilabs.de weiter; Öffnungs- und Klick-Tracking sind dabei abgeschaltet. Das Postfach liegt auf einem von uns selbst betriebenen E-Mail-Server. Schreiben Sie uns direkt per E-Mail, ist Mailjet nicht beteiligt.

Schutz vor Missbrauch: Gegen massenhafte Einsendungen zählt unser Server die Anfragen je IP-Adresse (höchstens 5 pro Stunde und 20 pro Tag). Dazu hält er die IP-Adresse nur als Prüfwert (Hash) flüchtig im Arbeitsspeicher und verwirft sie nach spätestens 24 Stunden. Die Formularverarbeitung übernimmt die IP-Adresse weder in die E-Mail noch in ein Protokoll; für die allgemeinen Zugriffsprotokolle des Webservers gilt Abschnitt 3. Außerdem enthält das Formular ein für Menschen unsichtbares Feld und eine Mindest-Ausfüllzeit; ein Captcha oder Dienste Dritter setzen wir nicht ein. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz unseres Angebots vor Spam).

Speicherdauer: Wir löschen Ihre Anfrage, sobald sie erledigt ist, spätestens aber nach Ablauf gesetzlicher Aufbewahrungsfristen, falls solche bestehen (etwa wenn die Korrespondenz einen Kauf betrifft, § 147 AO, § 257 HGB).

12. Testphase der Android-App (beendet)

Vor der Veröffentlichung im Google Play Store konnten Sie sich über unsere Startseite für eine Testphase der Android-App anmelden. Diese Testphase ist beendet; neue Anmeldungen sind nicht mehr möglich.

Gespeichert sind noch die bei der Anmeldung angegebenen E-Mail-Adressen und die daran gebundenen Gutscheincodes (Premium-Codes, die sich nur von einem Konto mit genau dieser Adresse einlösen lassen). Die Codes sind bis einschließlich 15.10.2026 einlösbar. Nach Ablauf dieser Einlösefrist löschen wir die E-Mail-Adressen und die an sie gebundenen Codes. Ein bereits eingelöstes Premium bleibt davon unberührt.

Am 01.10.2026 haben alle Angemeldeten einmalig eine Abschluss-E-Mail mit dem Hinweis auf das Ende der Testphase und die Einlösefrist erhalten. Absender war hallo@halfwayapp.de, versendet über Mailjet als Auftragsverarbeiter (Abschnitt 5.2). Weitere E-Mails an diese Adressen senden wir nicht; eine Verwendung zu Werbezwecken oder eine Weitergabe an Dritte findet nicht statt.

Rechtsgrundlage ist wie bei der Anmeldung Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); für die Einlösung des Gutscheincodes zusätzlich Art. 6 Abs. 1 lit. b DSGVO. Sie können Ihre Einwilligung jederzeit formlos an info@kikuchilabs.de widerrufen; wir löschen Ihre Adresse dann vorzeitig samt zugehörigem Code.

13. Übermittlung in Drittländer

Eine Übermittlung in Drittländer (insbesondere die USA) kann bei folgenden Empfängern erfolgen:

• Supabase Pte. Ltd. (Singapur; Kontoverwaltung; Hosting in Frankfurt/EU, Zugriff aus Drittländern wie Singapur und den USA möglich): abgesichert durch EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) im Auftragsverarbeitungsvertrag von Supabase.
• Google LLC (Places-Suche über unseren Server, Anmeldung mit Google, YouTube nach Klick, Google Play): Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO); Google LLC ist danach zertifiziert.
• Cloudflare, Inc. (Auslieferung der Kartenkacheln von OpenFreeMap): EU-US Data Privacy Framework (Art. 45 DSGVO); Cloudflare ist danach zertifiziert.
• Lemon Squeezy (Link, LLC, USA) (Verkauf als Merchant of Record, eigener Verantwortlicher): Die Übermittlung Ihrer E-Mail-Adresse beim Kauf ist zur Erfüllung des von Ihnen gewünschten Vertrags erforderlich (Art. 49 Abs. 1 lit. b DSGVO).

Kopien der Garantien erhalten Sie auf Anfrage unter info@kikuchilabs.de.

14. Speicherdauer im Überblick

• Server-Logs: 7 Tage, IP-Adresse gekürzt
• Statistik (Umami): 13 Monate
• Nutzungszähler: 60 Tage; Protokolle der Anfragen an externe Dienste: 90 Tage
• Absturzberichte der Android-App (ohne Kontodaten): 90 Tage
• Kontaktanfragen: bis zur Erledigung, bei gesetzlichen Aufbewahrungspflichten bis zu deren Ablauf; Zähler für das Kontaktformular: höchstens 24 Stunden im Arbeitsspeicher
• Testphase der Android-App: E-Mail-Adressen und gebundene Gutscheincodes bis zum Ablauf der Einlösefrist am 15.10.2026, danach Löschung
• Konto, gespeicherte und geteilte Pläne: bis zur Löschung des Kontos bzw. auf Anfrage
• Kaufdaten: Vertragsdauer und gesetzliche Aufbewahrungsfristen (bis zu 10 Jahre)
• Daten im lokalen Speicher Ihres Browsers: bis Sie sie löschen

15. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20 DSGVO). Schreiben Sie dazu an info@kikuchilabs.de.

Widerspruchsrecht: Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO).

Widerruf: Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).

Beschwerderecht: Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts. Für uns zuständig ist: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart, www.baden-wuerttemberg.datenschutz.de.

Eine automatisierte Entscheidungsfindung einschließlich Profiling (Art. 22 DSGVO) findet nicht statt.

16. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich unser Angebot oder die Rechtslage ändert.

Stand: Oktober 2026