Informationen zur Beschaffung

GeoQuestr ist ein Webdienst, der auf unseren eigenen Servern in der EU läuft. Administratoren melden sich an, um Erlebnisse zu erstellen. Teilnehmende treten per Link oder QR-Code im Browser oder in der App mit anonymen Konten bei und müssen weder ihren echten Namen noch ihre E-Mail-Adresse angeben. Die Spieldaten der Teilnehmenden (Spielername, Avatar, Punkte, Fortschritt, Antworten und eingereichte Bilder) werden gespeichert, um die Aktivität durchzuführen und für Berichte. Positionsdaten werden nie gespeichert und nicht über das Netz gesendet. Sie werden nur lokal auf dem Gerät der Teilnehmenden verarbeitet. Besondere Kategorien personenbezogener Daten nach Artikel 9 DSGVO dürfen nicht verarbeitet werden. Der KI-Richter läuft mit einem offenen KI-Modell auf unserem eigenen Server in der EU (Hetzner, Finnland). Er liest ein eingereichtes Bild im Arbeitsspeicher, bewertet, wie gut es die Aufgabe erfüllt, macht daraus Bonuspunkte und speichert keine Kopie. Eingereichte Bilder und Videos werden nicht an OpenAI gesendet. Der KI-Richter filtert keine Inhalte; der Veranstalter prüft die eingereichten Bilder selbst. Der Veranstalter kann die KI-Funktionen vollständig deaktivieren. Der Veranstalter entscheidet, ob ein Bericht öffentlich geteilt wird. Ein öffentlicher Bericht zeigt Statistiken und die Bestenliste mit Spielernamen, aber keine eingereichten Bilder. Alle Kategorien personenbezogener Daten sind in unserer Datenschutzerklärung beschrieben.

• Verschlüsselung bei der Übertragung (HTTPS/TLS) und im Ruhezustand. • Eigener Anmeldedienst, bei dem jede Anfrage auf dem Server auf Berechtigung geprüft wird, sodass Administratoren nur auf die Daten der eigenen Organisation zugreifen können. Passwörter werden nur als gesalzene Hashwerte gespeichert. • Nur befugtes Personal hat Zugriff auf die Produktionsumgebung, mit persönlichen SSH-Schlüsseln und Zwei-Faktor-Authentifizierung. • Alle, die die personenbezogenen Daten verarbeiten, haben sich zur Vertraulichkeit verpflichtet. • Datenminimierung: Teilnehmende sind anonym, und Positionsdaten werden nicht gespeichert. • Sicherungskopien werden täglich erstellt, verschlüsselt in der EU gespeichert und höchstens 30 Tage lang aufbewahrt.

• Die Daten der Teilnehmenden werden spätestens 6 Monate nach dem Ende der Runde automatisch gelöscht oder anonymisiert. • Administratorkonten werden spätestens 90 Tage nach Vertragsende gelöscht. • Innerhalb von 90 Tagen nach Vertragsende können Sie Ihre Inhalte anfordern: Texte, Aufgaben und Orte als JSON-Datei und Bilder im Originalformat. • Sicherungskopien werden höchstens 30 Tage lang aufbewahrt, sodass gelöschte Daten auch dort verschwinden. • Auf Anfrage bestätigen wir die Löschung schriftlich.

Wenn Sie Aktivitäten in GeoQuestr veranstalten, sind Sie der Verantwortliche und wir sind Auftragsverarbeiter. Wir schließen Auftragsverarbeitungsverträge nach Artikel 28 DSGVO ab. Im Vertrag verpflichten wir uns unter anderem, • personenbezogene Daten nur nach Ihren schriftlichen Weisungen zu verarbeiten, • Sie mindestens 30 Tage vorher schriftlich zu informieren, bevor ein Unterauftragsverarbeiter hinzugefügt oder ausgetauscht wird. Sie können Einspruch erheben, und wenn wir uns nicht einigen können, dürfen Sie den Vertrag kostenfrei kündigen, • Ihnen bei der Beantwortung von Anträgen betroffener Personen zu helfen, zum Beispiel auf Auskunft oder Löschung, und Sie bei Datenschutz-Folgenabschätzungen zu unterstützen, • Ihnen oder einem unabhängigen, zur Verschwiegenheit verpflichteten Prüfer zu ermöglichen, die Einhaltung des Vertrags nach schriftlicher Mitteilung mindestens 30 Tage im Voraus zu prüfen. Es gilt schwedisches Recht. Schreiben Sie an upphandling@geoquestr.com und nennen Sie Ihre Organisationsnummer, dann senden wir Ihnen den Vertrag.

Bei einer Verletzung des Schutzes personenbezogener Daten benachrichtigen wir Sie unverzüglich, spätestens jedoch innerhalb von 36 Stunden, nachdem sie uns bekannt geworden ist. Die Meldung enthält die nach Artikel 33 Absatz 3 DSGVO erforderlichen Angaben, soweit sie bekannt sind. Um ein Sicherheitsproblem oder eine vermutete Schwachstelle zu melden: Schreiben Sie an security@geoquestr.com mit dem Betreff „Vermutete Schwachstelle“. Fragen zu personenbezogenen Daten können Sie an dieselbe Adresse senden. Beschreiben Sie Ihr Anliegen und Ihre Beziehung zum Konto oder zur Aktivität.

Unsere Plattform ist darauf ausgelegt, WCAG 2.1 Stufe AA für zentrale Marketingseiten und Ersteller-Flows zu erfüllen, wo möglich. Teilnehmende nutzen Karten, auf denen ein 3D-Avatar sich bewegt, sobald sich die Person fortbewegt. Wie die erstellende Person ihre Runde gestaltet, ist entscheidend für eine hohe Barrierefreiheit. Alle Texte sind so gestaltet, dass sie gut lesbar und zugänglich sind; Aufgaben lassen sich zudem in der gewählten Sprache vorlesen. Bei Anforderungen der öffentlichen Hand: Schildern Sie Ihre Bedürfnisse bei der Kontaktaufnahme, damit wir mögliche Anpassungen besprechen können.

Kartenzahlungen im Self-Service wickelt Stripe ab. Bei Bestellungen, Rechnungen, individuellen Teilnehmerlimits oder kommunaler Beschaffung: Nutzen Sie den Komplettservice auf der Preisseite oder die Kontaktformulare der Lösungen, dann klären wir das im Einzelfall. Organisationen, die per Rechnung bezahlen, sind von Stripe nicht betroffen.

GeoQuestr setzt die folgenden Unterauftragsverarbeiter ein. Jeder erhält nur die Daten, die seine Funktion erfordert. Unterauftragsverarbeiter außerhalb der EU/des EWR erhalten personenbezogene Daten nur auf Grundlage eines Angemessenheitsbeschlusses, zum Beispiel des EU–US Data Privacy Framework, oder der Standardvertragsklauseln der EU-Kommission. Organisationen mit Auftragsverarbeitungsvertrag werden mindestens 30 Tage vorher schriftlich informiert, bevor ein Unterauftragsverarbeiter hinzugefügt oder ausgetauscht wird.

Alle personenbezogenen Daten, einschließlich Sicherungskopien und Protokollen, werden in der EU auf unseren eigenen Servern bei der Hetzner Online GmbH in Rechenzentren in Finnland und Deutschland gespeichert. Stripe speichert Zahlungsdaten von Kunden, die mit Karte bezahlen. OpenAI wird nicht zur Speicherung personenbezogener Daten genutzt. Ortssuche und Wegbeschreibung laufen auf unseren eigenen Servern.