Datenschutz

Wir gehen mit Personendaten sparsam um. Diese Erklärung sagt, was beim Planen einer Ausfahrt, beim Anlegen eines Kontos und beim Laden der Karte tatsächlich anfällt, und was nicht.

1. Verantwortliche Stelle

Verantwortlich für die Bearbeitung von Personendaten nach dem schweizerischen Datenschutzgesetz (DSG) ist der im Impressum genannte Betreiber. Anfragen an info@mofamaps.ch werden innerhalb von 30 Tagen beantwortet.

2. Beim blossen Besuch

Der Webserver hält Zugriffe in Protokolldateien fest: IP-Adresse, Zeitpunkt, aufgerufene Seite, Herkunftsseite, Browser und Betriebssystem. Das dient dem Betrieb, der Sicherheit und der Fehlersuche. Diese Daten werden nicht mit anderen zusammengeführt.

Es gibt keine Zählpixel, keine Werbenetzwerke und keine Besucherstatistik von Dritten. Schriften liefern wir vom eigenen Server aus; es besteht keine Verbindung zu Google Fonts.

Die App für iPhone und Android zeigt dieselbe Seite. Sie hängt an die Browserkennung den Zusatz «ToeffliRouteApp/1» an. Diese Kennung steht wie jede andere in den Protokolldateien des Webservers.

3. Konto

Wer ein Konto anlegt, gibt eine E-Mail-Adresse und ein Passwort an. Das Passwort wird nie im Klartext gespeichert, sondern nur als Argon2id-Prüfwert. Bestätigungs- und Rücksetzlinks liegen ebenfalls nur als Prüfwert vor und verfallen nach kurzer Zeit.

In der iPhone-App geht der Kauf auch ohne Konto. Dann legen wir ein Gerätekonto an, ohne Mailadresse und ohne Namen. Daran hängen der Kauf, deine Touren und Fahrten. Das Gerät behält die Anmeldung bis zu 400 Tage; danach meldet dich «Käufe wiederherstellen» mit Apples Kaufbeleg wieder an. Mail und Passwort kannst du jederzeit unter «Mein Konto» ergänzen, freiwillig. Ein Gerätekonto ohne Kauf und ohne Tour löschen wir, wenn es 30 Tage nicht benutzt wurde. Den Kaufschlüssel für Apple behalten wir, damit ein bezahlter Kauf später noch ankommt. Er ist eine Zufallszahl ohne Bezug zu dir.

Die Anmeldung merkt sich ein Sitzungsmerkmal in einem Cookie. Es dient allein dazu, angemeldet zu bleiben, und wird beim Abmelden ungültig.

So löschst du dein Konto: anmelden, «Mein Konto» öffnen und unten bei «Konto schliessen» auf «Konto löschen» tippen. Hat das Konto ein Passwort, fragen wir es ab. Läuft noch ein Abo, kündigst du es zuerst unter «Abo verwalten». Ohne Anmeldung genügt eine Mail an info@mofamaps.ch.

Mit dem Konto verschwinden sofort und endgültig: gespeicherte Touren, Tourenlinks (Ziffer 18), aufgezeichnete Fahrten samt öffentlicher Fahrtseiten, Sitzungen, die Verknüpfung mit Google oder Apple, der zweite Faktor und die Abo-Einträge bei uns. Bestehen bleiben die Zahlungsbelege (zehn Jahre, Ziffer 10) und Kontaktnachrichten bis zwölf Monate nach ihrer Erledigung, dann ohne Verweis aufs Konto.

4. Anmeldung über Google oder Apple

Wer sich über Google oder Apple anmeldet, wird zu deren Anmeldeseite geleitet. Wir erhalten von dort eine dauerhafte Kennung und die E-Mail-Adresse, nicht das Passwort. Bei Apple kann das eine Weiterleitungsadresse sein, wenn die Adressverschleierung gewählt wird; auch damit funktioniert alles.

Google und Apple erfahren dabei, dass eine Anmeldung bei dieser Seite stattfindet. Sitz von Google Ireland Limited ist Dublin, Sitz von Apple Distribution International Limited ist Cork, beide Irland. Wer das nicht möchte, meldet sich mit E-Mail-Adresse und Passwort an.

Für Google und Apple öffnet sich in der App ein Anmeldefenster des Geräts. Danach gibt unser Server der App einen Code, der nach 60 Sekunden oder beim ersten Gebrauch verfällt. Er liegt nur als Prüfwert vor und dient allein dazu, die Anmeldung in die App zu übertragen.

5. Geplante Ausfahrten

Eine gespeicherte Tour besteht aus den Ortsangaben, die du selbst gesetzt hast, samt Fahrzeugwahl. Sie gehört zu deinem Konto und ist für andere nicht sichtbar, es sei denn, du erzeugst dafür einen Tourenlink (Ziffer 18): dann sieht sie jeder, der den Link hat. Wir werten sie nicht aus und geben sie nicht weiter.

6. Standort

Den Standort des Geräts fragen nur vier Funktionen ab: der Navigator und die Fahrt-Aufzeichnung, wenn du sie startest, die Navigationsseite, sobald du sie öffnest, und der Knopf «Mein Standort» im Planer, wenn du ihn antippst. Navigator und Fahrt-Aufzeichnung fragen ihn laufend ab, solange sie laufen; die Navigation zeichnet die Strecke dabei auch auf, siehe Ziffer 16. Die Navigationsseite fragt ihn laufend ab, solange sie offen ist, damit die Karte deine Position zeigt, auch vor dem Losfahren und nach dem Beenden einer Fahrt. Diese laufende Abfrage zeigt die Position nur auf der Karte und schickt sie nicht an unseren Server; die Kartenbilder rund um deine Position lädt dein Browser dabei von den Kartendiensten nach Ziffer 7. Wählst du auf der Navigationsseite ein Ziel oder lädst du dort eine Route, fragt sie den Standort zusätzlich einmal ab. «Mein Standort» fragt ihn einmal ab. Eine laufende Abfrage ausserhalb von Navigationsseite, Navigation und Fahrt-Aufzeichnung gibt es nicht. Was du in die Suchfelder tippst, geht als Suchbegriff an unseren Server, nicht als Position.

Mit «Mein Standort» im Planer wird die Position zum Startpunkt deiner Route. Auf der Navigationsseite geschieht das ohne eigenen Knopf: wählst du ein Ziel, wird deine Position immer zum Startpunkt; lädst du eine Tour, eine eigene Ausfahrt oder die zuletzt geplante Route, nur dann, wenn diese weiter als 500 m von dir entfernt beginnt. Bei einer Bibliothekstour, von der du ohne Vollzugang nur die erste Etappe siehst, fragt die Navigationsseite den Standort dafür nicht ab. Die so abgefragte Position geht auf zwei Wegen an unseren Server. Erstens für den Ortsnamen: unser Server fragt dafür mit der Position den Dienst Nominatim der OpenStreetMap Foundation an, ohne deine IP-Adresse. Der Aufruf, den dein Browser dafür an unseren Server schickt, trägt die Position in der Adresse und steht darum auch in unseren Protokolldateien (Ziffer 2). Auf der Navigationsseite geschieht das auch dann, wenn eine geladene Route nahe genug beginnt und die Position darum nicht Startpunkt wird. Den gefundenen Namen legen wir 30 Tage in einem Zwischenspeicher ab, unter einem Schlüssel aus der auf rund elf Meter gerundeten Position, ohne Bezug zu dir oder deinem Konto. Zweitens als Wegpunkt für die Routenberechnung, wenn die Position Startpunkt ist und die Route einen zweiten Punkt hat; die Berechnung läuft auf unserem Routendienst (Ziffer 7). Im Browser bleibt die Position als Teil der zuletzt eingegebenen Route, siehe Ziffer 8.

7. Karten, Routen und Ortssuche

Die Kartenbilder kommen direkt von den Servern des Bundesamts für Landestopografie (swisstopo, Wabern BE) und der OpenStreetMap Foundation (Vereinigtes Königreich). Diese erfahren dabei die IP-Adresse deines Geräts. Anders lässt sich eine Karte nicht laden.

Die Routenberechnung und die Ortssuche laufen dagegen über unseren eigenen Server. Der Routendienst steht auf einem von uns betriebenen Rechner in der Schweiz. Für die Ortssuche fragen wir den Dienst Nominatim der OpenStreetMap Foundation an, mit dem Suchbegriff, aber ohne deine IP-Adresse.

8. Speicher im Browser

Damit eine Tour auch ohne Empfang lesbar bleibt, legt die Seite Seiten und Kartenausschnitte im Speicher deines Browsers ab. Diese Daten bleiben auf deinem Gerät. Antworten der Schnittstelle werden bewusst nicht abgelegt. Über den Browser lassen sich diese Daten jederzeit löschen.

Planer und Navigation merken sich ausserdem die zuletzt eingegebene Route: Wegpunkte mit Namen und Koordinaten, das gewählte Fahrzeug und die Routeneinstellungen. Auf der Navigationsseite ist der erste dieser Wegpunkte in der Regel dein Standort zum Zeitpunkt der Zielwahl; er ist dort als Standort gekennzeichnet. Lädst du die Route später wieder und bist weiter als 500 m von diesem Punkt entfernt, ersetzt dein dann aktueller Standort ihn. Auch diese Angaben bleiben auf deinem Gerät und werden nach 30 Tagen nicht mehr verwendet.

9. Kontaktformular

Wer uns über das Formular auf der Hilfeseite schreibt, dessen Nachricht speichern wir zusammen mit der Mailadresse, dem freiwillig angegebenen Namen, der Sprache und der Seite, von der sie kam, bei angemeldeten Nutzern auch mit dem Verweis aufs Konto. Das dient allein dem Beantworten.

Erledigte Nachrichten löschen wir zwölf Monate nach dem Abschluss. Wer darum bittet, beim Start der Bezahlung Bescheid zu bekommen, dem schreiben wir dann einmal. Für anderes verwenden wir die Adresse nicht.

10. Bezahlung

Bezahlt wird über den Zahlungsdienst Stripe, und zwar auf einer Seite von Stripe: Karten- oder TWINT-Daten liegen ausschliesslich dort und erreichen unseren Server nie. Stripe erhält von uns deine Mailadresse und die interne Nummer deines Kontos, damit die Zahlung zugeordnet werden kann; wir erhalten die Bestätigung der Zahlung und eine Kundenkennung. Wer nichts kauft, hinterlässt bei Stripe auch nichts.

Empfängerin ist die Stripe Payments Europe Ltd in Dublin (Irland); dabei können Daten an die Stripe Inc. in den USA gelangen, gestützt auf das Swiss-U.S. Data Privacy Framework (Art. 16 Abs. 1 DSG). Zahlungsbelege unterliegen der zehnjährigen Aufbewahrungspflicht (Art. 958f OR) und bleiben von einer Kontolöschung unberührt.

In der iPhone-App wird über den App Store von Apple gekauft. Apple wickelt die Zahlung ab; Zahlungsdaten erhalten wir keine. Wir erhalten von Apple eine signierte Bestätigung jedes Kaufs mit Produkt, Kaufdatum, Laufzeit und Apples Kennungen des Kaufs. Damit der Kauf deinem Konto zugeordnet werden kann, gibt unser Server der App vor dem Kauf eine zufällige Kennung mit, die Apple in die Bestätigung schreibt; sie enthält weder deinen Namen noch deine Mailadresse. Danach meldet uns Apple Verlängerung, Kündigung und Rückerstattung. Für die Zahlung selbst ist Apple verantwortlich (Apple Distribution International Ltd., Cork, Irland), nach der Datenschutzerklärung von Apple.

In der Android-App wird über Google Play gekauft. Google wickelt die Zahlung ab; Zahlungsdaten erhalten wir keine. Wir erhalten von Google auf Anfrage den Zustand jedes Kaufs mit Produkt, Kaufdatum, Laufzeit und Googles Kennung des Kaufs. Damit der Kauf deinem Konto zugeordnet werden kann, gibt unser Server der App vor dem Kauf eine zufällige Kennung mit, die Google im Kauf ablegt; sie enthält weder deinen Namen noch deine Mailadresse. Danach meldet uns Google Verlängerung, Kündigung, Pause und Rückerstattung über den Benachrichtigungsdienst Cloud Pub/Sub. Für die Zahlung selbst ist Google verantwortlich (Google Commerce Limited, Dublin, Irland, bzw. Google Ireland Limited für Play-Dienste), nach der Datenschutzerklärung von Google.

11. Weitergabe

Ausser an die oben genannten Stellen (Hosting bei der Infomaniak Network AG in Genf, Kartendienste, Anmeldedienste) geben wir keine Daten weiter. Ausgenommen bleibt, wozu uns Behörden gesetzlich verpflichten.

12. Wie lange

Das Konto samt gespeicherten Ausfahrten bleibt, bis du es löschst. Kontaktnachrichten löschen wir zwölf Monate nach ihrer Erledigung. Die Zugriffsprotokolle führt der Hoster; ältere Einträge verfallen dort laufend, und wir bewahren keine Kopien auf.

13. Deine Rechte

Du kannst Auskunft über deine Daten verlangen, sie berichtigen oder löschen lassen, der Bearbeitung widersprechen und deine Daten in einem gängigen Format herausverlangen. Zuständige Aufsichtsstelle ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte.

14. Sicherheit und Änderungen

Die Übertragung ist durchgehend verschlüsselt, Passwörter sind nur als Prüfwert gespeichert, und der Zugriff auf die Datenbank ist beschränkt. Gegen das Durchprobieren zählen wir Versuche je IP-Adresse des Absenders; diese Zähler verfallen nach 24 Stunden. Ändert sich etwas an dieser Erklärung, steht die neue Fassung hier, mit neuem Stand.

15. Fahrt-Aufzeichnung und Fahrtseiten

Die GPS-Aufzeichnung einer Fahrt geschieht auf deinem Gerät. Wir speichern auf unserem Server die ausgedünnte Linie der Fahrtroute und Kennzahlen wie Dauer, Distanz und Höhenmeter. Die Tempo-Spitze ist nur für dich selbst sichtbar.

Eine öffentliche Fahrtseite mit QR-Code entsteht nur auf deinen ausdrücklichen Wunsch. Sie zeigt die Route sowie Tageswerte wie Distanz, Fahrzeit und Höhenmeter. Start- und Zielbereich sind um etwa 500 m gekappt, sofern du das beim Teilen nicht abwählst. Das ist eine grobe Verschleierung, keine Unkenntlichmachung: die Richtung des Anfangsstücks bleibt erkennbar. Aufrufe werden ohne Personenbezug gezählt. Du kannst die Seite jederzeit in deinem Konto zurückziehen; sie antwortet danach mit «410, nicht mehr veröffentlicht».

Die Kontolöschung entfernt auch alle Fahrtseiten und deren Daten endgültig.

16. Navigation

Während der Navigation fragt das Gerät deinen Standort laufend ab, um deine Position auf der Karte zu zeigen und Manöver rechtzeitig anzusagen. Weicht die Fahrt von der geplanten Route ab oder änderst du unterwegs das Ziel, schickt das Gerät die AKTUELLE Position an unseren eigenen Routendienst, damit die Strecke neu gerechnet werden kann. Diese an den Routendienst geschickten Positionen werden nicht gespeichert. Auf der Navigationsseite zeigt die Karte deine Position schon vor dem Losfahren und wieder nach dem Beenden einer Fahrt, siehe Ziffer 6. Ansagen, Neuberechnung und Aufzeichnung beginnen dort erst mit «Los».

Seit dem 11. September 2026 zeichnet die Navigation die gefahrene Strecke ausserdem selbst auf und legt sie am Ziel in deinem Konto ab, wie eine Fahrt-Aufzeichnung nach Ziffer 15. Die Voreinstellung ist EIN. Im Menü des Navigators schaltest du es aus; schaltest du mitten in der Fahrt aus, wird auch die laufende Aufzeichnung verworfen und nichts gespeichert. Veröffentlicht wird dabei nie etwas: eine öffentliche Adresse entsteht nur, wenn du eine Fahrt ausdrücklich teilst.

17. Partnerlinks zu Unterkünften

Bei den Übernachtungsorten einer Mehrtagestour steht ein Link zur Unterkunftssuche bei Booking.com. Er ist als Werbung gekennzeichnet. Buchst du darüber, erhalten wir eine Provision; für dich ändert sich der Preis nicht.

Vor dem Klick wird nichts von Booking.com oder Commission Junction geladen: keine Skripte, keine Bilder, kein eingebettetes Fenster. Solange du den Link nicht antippst, erfahren diese Dienste nichts von deinem Besuch.

Tippst du ihn an, führt der Weg über Commission Junction (Commission Junction LLC, Vereinigte Staaten) zu Booking.com (Booking.com B.V., Niederlande). Dabei werden IP-Adresse, Browserangaben und die Herkunftsseite an diese Dienste übermittelt; Commission Junction setzt eine Klickkennung, um die Provision zuzuordnen. Es gilt deren Datenschutzerklärung.

Wir erhalten keine Personendaten zurück, sondern nur zusammengefasste Berichte über Klicks und Provisionen.

18. Tourenlink für Mitfahrer

Ein Konto mit Vollzugang kann zu einer eigenen gespeicherten Ausfahrt einen Link erzeugen, mit dem andere sie ohne eigenes Konto navigieren können, etwa Mitfahrer einer Gruppenausfahrt. Der Link gilt ab der Erstellung bis und mit dem siebten Tag nach dem gewählten Fahrtag; du kannst ihn jederzeit widerrufen. Ein Konto hält höchstens zwanzig gültige Links gleichzeitig. Gespeichert werden dazu: die Linkkennung, die Tour, dein Konto, der Fahrtag, der Ablauf, ein allfälliger Widerruf, die Zahl der Öffnungen und der Zeitpunkt der Erstellung. Ein abgelaufener oder widerrufener Link bleibt in dieser Liste, bis du die Tour oder dein Konto löschst.

Wer den Link öffnet, braucht kein eigenes Konto. Der Browser erhält dafür ein technisches Sitzungscookie (__Host-tr_gast), signiert und mit der internen Nummer des Links, der Tour und dem Ablauf darin; es verfällt mit dem Link. Es schaltet ausschliesslich die Navigation dieser einen Tour frei. Es entsteht weder ein Konto noch eine Mailadresse. Wie bei jedem Besuch zählen wir die IP-Adresse des Absenders gegen Missbrauch (Ziffer 14, bis zu 24 Stunden), und sie steht wie bei jedem Aufruf im Zugriffsprotokoll des Servers (Ziffer 2). Zusätzlich steigt die Zahl der Öffnungen am Link. Ohne Konto gibt es auch keine Fahrt-Aufzeichnung nach Ziffer 15 oder 16.

Für den Standort während der Navigation gilt dasselbe wie in Ziffer 6 und 16: Weicht die Fahrt von der Route ab, schickt das Gerät die aktuelle Position an unseren Routendienst, um neu zu rechnen; diese Positionen werden nicht gespeichert. Anfragen über einen Tourenlink sind zusätzlich begrenzt, je Link und IP-Adresse des Absenders sowie insgesamt je Link. Dafür zählen wir die IP-Adresse zusammen mit der internen Nummer des Links (Ziffer 14, bis zu 24 Stunden). Wie bei jeder Streckenberechnung zählt auch die IP-Adresse allein.

Die Seite zum Link zeigt jedem, der ihn kennt, den Namen der Tour, ihre Wegpunkte mit Namen und Koordinaten, das gewählte Fahrzeug und, sofern im Konto hinterlegt, den Namen des Veranstalters. Der erste Wegpunkt ist oft der eigene Ausgangsort des Veranstalters. Suchmaschinen sollen die Seite nicht aufnehmen (noindex); beim Weiterklicken gibt der Browser die Adresse nicht weiter (no-referrer).

Freiwillig kannst du beim Erstellen angeben: einen Treffpunkt, die Abfahrtszeit, eine Notiz an die Mitfahrer und an welchen Wegpunkten ein Tag endet. Diese Angaben werden mit dem Link gespeichert. Endet die Ausfahrt nach mehreren Tagen, gilt der Link bis und mit dem siebten Tag nach dem letzten Fahrtag.

Hast du solche Angaben gemacht, zeigt die Seite zum Link auch sie jedem, der den Link kennt: Fahrtag, Treffpunkt, Abfahrtszeit, Notiz und die Einteilung in Tage. Schreib in die Notiz nur, was alle lesen dürfen, die den Link bekommen.

Wird der Link in einem Messenger geteilt, holt dieser eine Vorschau: Name der Tour, Fahrtag, Treffpunkt, Abfahrtszeit, Kilometer und ein Kartenbild der Route mit QR-Code. Das Bild rechnen wir beim ersten Abruf und legen es zwischengespeichert ab; ältere Bilder räumen wir regelmässig weg. Ein widerrufener oder abgelaufener Link liefert es nicht mehr aus; eine Vorschau, die ein Messenger schon zeigt, bleibt dort stehen. Abrufe solcher Vorschaudienste zählen nicht als Öffnung des Links.

Löschst du dein Konto oder die zugrundeliegende Tour, verschwinden alle Tourenlinks dazu mit.

Stand: 19. September 2026