für die Android-App Track Hero · Stand: 10. August 2026
Diese Datenschutzerklärung beschreibt vollständig, welche Daten die App Track Hero verarbeitet, wofür und wie lange. Alle Verbindungen zwischen der App und unserem Server sind TLS-verschlüsselt; Passwörter werden ausschließlich als bcrypt-Hash gespeichert, niemals im Klartext.
Verantwortlich für die Verarbeitung deiner Daten im Sinne dieser Datenschutzerklärung ist Martin Forstner, Lerchenweg 24, 8302 Kloten, Schweiz (martin@forstner.dev). Track Hero wird Nutzern in Deutschland und Österreich angeboten, weshalb die Datenschutz-Grundverordnung (DSGVO) gemäß Art. 3 Abs. 2 DSGVO zur Anwendung kommt – zusätzlich zum Schweizer Datenschutzrecht (DSG/nDSG) am Sitz des Verantwortlichen.
Für die Erstellung eines Kontos sind eine E-Mail-Adresse sowie entweder ein Passwort (gespeichert als bcrypt-Hash, niemals im Klartext) oder die Google-Anmeldung (Google-Konto-ID und E-Mail-Adresse, serverseitig gegenüber Google verifiziert) erforderlich. Eine Anmeldung ist zur Nutzung der App zwingend erforderlich. Diese Daten werden in einer von Railway gehosteten Postgres-Datenbank in der EU gespeichert.
Nach der Anmeldung wird ein Sitzungs-Token sicher auf dem Gerät (in verschlüsselten SharedPreferences) sowie serverseitig gespeichert; es läuft automatisch nach 30 Tagen ab oder wird beim Abmelden sofort widerrufen. Deine Konto-E-Mail-Adresse und dein Anmeldeanbieter (Google oder E-Mail/Passwort) werden ebenfalls in denselben verschlüsselten Daten auf dem Gerät gespeichert, damit die App anzeigen kann, mit welchem Konto du angemeldet bist.
Zur Erkennung und Verhinderung von Missbrauch protokollieren wir die IP-Adresse und die normalisierte E-Mail-Adresse jedes Registrierungs-, Anmelde- oder Google-Anmeldeversuchs sowie jeder Anfrage zum Zurücksetzen des Passworts, zur Ratenbegrenzung und zum Schutz vor Sperr-Umgehung. Darüber hinaus wird jede Verbindungssuche und Stationssuche, die du über die App durchführst, mit deiner IP-Adresse, deinem Konto (sofern angemeldet) und dem aufgerufenen API-Pfad protokolliert – zur Ratenbegrenzung und Missbrauchsprävention.
Die hinzugefügten Stationen, Daten und Verbindungen werden lokal auf deinem Gerät gespeichert. Solange du angemeldet bist, werden sie – einschließlich deiner Reisetagebuch-Notizen – zusätzlich mit deinem Konto auf unserem Server (gehostet von Railway in der EU) synchronisiert, damit eine Neuinstallation oder ein zweites Gerät sie wiederherstellen kann. Beim Löschen deines Kontos werden auch diese Reisedaten von unserem Server gelöscht.
Ein Foto, das du deinem Reisetagebuch hinzufügst – einem Reise-Stopp oder einer Fahrt zwischen zwei Stopps –, wird auf deinem Gerät gespeichert und zusätzlich im Hintergrund über eine verschlüsselte Verbindung in unserem eigenen, von Railway in der EU gehosteten Speicher gesichert, in einem Bereich, auf den nur dein Konto zugreifen kann. Entfernst oder ersetzt du ein Foto in der App, wird auch die gesicherte Kopie gelöscht. Löschst du dein Konto, werden deine gesicherten Tagebuch-Fotos mit gelöscht. Fotos werden niemals an Dritte weitergegeben.
Wenn du es erlaubst, liest die App den ungefähren Standort deines Geräts an zwei Stellen: einmalig beim Öffnen des Reisetagebuchs, um zum nächstgelegenen Stopp deiner Reise zu springen; und bei der Verbindungssuche, im Reise-Assistenten oder beim Hinzufügen eines Stopps – entweder automatisch (wenn das Feld noch leer ist) oder sobald du auf das Standortsymbol tippst –, um den nächstgelegenen Bahnhof zu finden. Für Pro-Abonnenten liest sie außerdem fortlaufend deinen genauen Standort, während die Streckenkarte im Dashboard geöffnet ist, um deine aktuelle Position auf der Strecke anzuzeigen. Für diese Zwecke lesen wir deinen Standort ausschließlich auf deinem Gerät: Er wird niemals gespeichert, niemals an anderer Stelle angezeigt und niemals an unseren Server oder Dritte übertragen. Jede Berechtigung ist freiwillig und wird einzeln abgefragt – lehnst du eine davon ab, funktioniert die jeweilige Funktion weiterhin, nur mit getippter Suche bzw. ohne deine Position auf der Karte. Die Live-Reiseverfolgung (siehe unten) ist eine separate, freiwillig aktivierte Funktion mit einer eigenen, gesondert beschriebenen Handhabung.
Werden mindestens 3 Zeichen zur Suche nach einer Station eingegeben, wird dieser Text über unseren Server an Transit (external.transitapp.com), einen Drittanbieter für Fahrplandaten, gesendet, um passende Stationsnamen zu ermitteln. Dieser Suchtext wird niemals auf unserem Server gespeichert und erscheint niemals in Absturz- oder Analysedaten.
Schlägt ein Teil der App fehl, erfassen wir ausschließlich technische Angaben – Zeitstempel, betroffene Funktion, Fehlermeldung, Exception-Typ, HTTP-Statuscode und App-Version – verknüpft mit dem Konto. Wir erfassen niemals Passwörter, E-Mail-Adressen oder eingegebenen Freitext. Diese Daten werden in derselben von Railway gehosteten EU-Datenbank wie die Kontodaten gespeichert.
Tippst du in der App auf „Feedback senden“, um ein Problem zu melden oder eine Idee vorzuschlagen, werden der gewählte Meldungstyp (Problem oder Idee), dein Freitext, sowie App-Version, Gerätemodell und App-Sprache an unseren Server übermittelt und mit deinem Konto verknüpft. Diese Daten werden in derselben von Railway gehosteten EU-Datenbank wie die Kontodaten gespeichert. Ein Screenshot oder dein Standort wird dabei nie mitgeschickt.
Wir erfassen eine kleine, feste Menge an Nutzungsereignissen, verknüpft mit deinem Konto, um die Nutzung der App zu verstehen – zum Beispiel Anmeldung, Erstellen einer Reise, Antippen eines Buchungslinks oder des Pro-Angebots, Teilen einer Reise oder Erstellen eines Fotobuchs. Zu jedem Ereignis speichern wir drei Dinge: welche Aktion es war, wann sie stattgefunden hat und wann unser Server das Ereignis empfangen hat. Bei einigen wenigen kommt ein zusätzlicher Wert dazu, immer aus einer kurzen, festen Liste – etwa Ticket oder Hotel bei einem Buchungslink, das Verkehrsmittel, das du für eine Etappe gewählt hast, oder das Ergebnis einer KI-Gestaltung: genutzt, überarbeitet, abgelehnt, fehlgeschlagen oder durch dein Limit gestoppt. Ein Ereignis enthält niemals von dir eingegebenen Freitext, deinen Standort oder deine Stationen, Termine, Notizen oder Fotos. Wir nutzen keine Analyse- oder Werbedienste von Drittanbietern. Du kannst dies jederzeit unter Konto → Nutzungsdaten abschalten. Danach werden keine weiteren Ereignisse erfasst, und noch nicht gesendete werden gelöscht.
Ein Antippen von Ticket buchen oder Hotel finden öffnet den Browser des Geräts über unseren eigenen Weiterleitungsserver mit der Website eines Bahnbetreibers (bahn.de, fahrplan.oebb.at oder sbb.ch, je nach Reiseabschnitt) oder von Booking.com. Die gewählten Stationen (bzw. die Stadt) und Daten dieser Reise werden dabei übermittelt, um die Suche auf der Zielseite vorzubefüllen. Konto- oder personenbezogene Identitätsdaten – etwa deine E-Mail-Adresse oder Konto-ID – werden dabei nicht übertragen, sondern nur die konkreten Reisedaten dieser einen Suche. Manche Hotel-Links können eine Affiliate-Kennung enthalten; für eine daraus entstehende Buchung erhalten wir dann gegebenenfalls eine Provision – ohne Mehrkosten für dich. Nach Verlassen der App gilt die Datenschutzerklärung des jeweiligen Anbieters.
Wenn du dein Passwort zurücksetzt, senden wir eine E-Mail an die von dir eingegebene Adresse. Versendet wird sie über mailomat.swiss, einen in der Schweiz betriebenen E-Mail-Dienst, der für uns als Auftragsverarbeiter tätig ist. Die E-Mail enthält einen einmal gültigen Link, der nach 30 Minuten abläuft. Die Schweiz ist von der Europäischen Kommission als Land mit einem angemessenen Datenschutzniveau anerkannt, sodass für diese Übermittlung keine zusätzlichen Garantien wie Standardvertragsklauseln erforderlich sind. Wie bei anderen Anmeldeversuchen wird auch diese Anfrage mit IP-Adresse und normalisierter E-Mail-Adresse protokolliert – zur selben Ratenbegrenzung wie oben beschrieben.
Wenn du die Live-Reiseverfolgung startest (über die Startseite oder über den Reiseplan einer Reise), führt die App einen Vordergrunddienst aus – solange er aktiv ist, über eine dauerhafte Benachrichtigung angezeigt –, der im Hintergrund deinen genauen Standort liest, um zu erkennen, wenn du dich lange genug an einem Ort aufhältst, dass es sich um einen Reise-Stopp handeln könnte. Die dabei aufgezeichneten rohen Standortpunkte werden ausschließlich auf deinem Gerät in einer eigenen Tabelle gespeichert und automatisch 30 Tage nach dem Ende der jeweiligen Aufzeichnungssitzung wieder gelöscht; sie werden niemals an unseren Server gesendet. Erkennt die App einen Ort, an dem du dich aufgehalten hast, speichert sie diese Erkennung (Station, Datum) auf deinem Gerät und fügt sie, sobald sie übernommen wird, deiner Reise als gewöhnlichen Stopp hinzu – ab diesem Zeitpunkt handelt es sich um Reisedaten wie bei jedem anderen, selbst hinzugefügten Stopp, einschließlich der Synchronisierung mit unserem Server, solange du angemeldet bist. Kurz nachdem du auf Start tippst, liest die App außerdem einmalig im Hintergrund deinen aktuellen Standort, um den Startpunkt der Reise zu setzen und zu benennen – derselbe einmalige Lesevorgang, nie an unseren Server gesendet, nie über diese einmalige Verwendung hinaus gespeichert. Du kannst die Aufzeichnungsdaten einer Reise jederzeit über deren Reiseplan löschen („Aufzeichnungsdaten löschen“), und sie werden auch beim Abmelden oder Löschen deines Kontos gelöscht. Die Aufzeichnung startet ausschließlich, wenn du ausdrücklich auf Start tippst – die dafür nötige Standortberechtigung wird erst in diesem Moment angefragt, nie vorher –, weshalb wir uns für diese Funktion auf deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) stützen, statt auf die unten beschriebene Erforderlichkeit für die Kernfunktionen der App; du kannst diese Einwilligung jederzeit widerrufen, indem du die Aufzeichnung stoppst und ihre Daten wie oben beschrieben löschst.
Auf Wunsch (Pro-Funktion) kannst du im Reiseplan einer Reise einen öffentlichen Link erzeugen, den du mit Familie oder Freunden teilst. Wer diesen Link öffnet, sieht – ohne eigenes Konto und ohne unsere App – den Titel deiner Reise, die vollständige Stationsliste mit Datum sowie, für die gerade laufende oder demnächst startende Zugverbindung, Live-Angaben zu Verspätung und Zeiten. Dein Name, deine E-Mail-Adresse, Tagebuchnotizen, Tagebuchfotos und Buchungsstatus werden auf dieser Seite nie angezeigt. Die vollständige Stationsliste mit Datum lässt jedoch erkennen, an welchen Tagen deine Wohnung voraussichtlich leer steht. Der Link ist so lange gültig, bis du ihn in der App über „Teilen beenden“ widerrufst, oder spätestens 14 Tage nach dem Ende der Reise. „Teilen beenden“ ist der zuverlässige Weg, das Teilen zu beenden. Das Löschen der Reise oder deines Kontos versucht ebenfalls, einen bestehenden Link zu entfernen, ist dafür aber kein verlässlicher Weg. Wir speichern nur den Hash des Links, nicht den Link selbst.
Tippst du beim Fotobuch einer Reise ausdrücklich auf „Von KI gestalten lassen“, werden die dafür ausgewählten Fotos (herunterskaliert) sowie die Reisedaten (Stationen, Termine und Nächte) und Tagebuchnotizen dieser Reise – jede Notiz mit dem Ort und dem Datum, zu dem sie gehört, auch Notizen von Tagen ohne Fotos – an Anthropic übermittelt, um einen Seitenentwurf zu erstellen. Schreibst du beim Anfordern einer Überarbeitung einer von der KI gestalteten Seite einen Feedback-Text (bis zu 500 Zeichen), wird auch dieser Text an Anthropic übermittelt, zusammen mit denselben Fotos und Reisedaten. Der manuelle Weg – dein Fotobuch selbst zu gestalten – sendet nichts an Anthropic: in diesem Fall verlassen deine Fotos, Notizen und Feedback-Texte unseren Server nie in Richtung eines KI-Anbieters. Für das Rendern hochgeladene Fotos sowie das daraus entstehende PDF liegen als vorübergehende Arbeitsobjekte in unserem Speicher. Für ein Fotobuch, das noch nie eine von der KI gestaltete Seite hatte, werden diese entweder direkt nach erfolgreichem Rendern gelöscht oder spätestens nach 7 Tagen automatisch entfernt; das PDF wird 24 Stunden lang aufbewahrt. Sobald der erste KI-Gestaltungsauftrag für ein Fotobuch abgeschlossen ist, werden dessen Fotos, PDF und die von der KI erzeugten Gestaltungsdaten stattdessen so lange aufbewahrt, bis du das Fotobuch ausdrücklich löschst – die 7-Tage-/24-Stunden-Grenze gilt für dieses Fotobuch dann nicht mehr.
Wir speichern deine personenbezogenen Daten grundsätzlich so lange, wie dein Konto besteht. Du kannst dein Konto und alle zugehörigen Daten jederzeit direkt in der App löschen (Über die App → Konto löschen) oder per E-Mail an martin@forstner.dev beantragen. In beiden Fällen löschen wir jeden mit dem Konto verknüpften Datensatz.
Nach der DSGVO hast du das Recht auf Auskunft über die zu dir gespeicherten Daten sowie auf Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch gegen die Verarbeitung (Art. 15–21 DSGVO). Zur Ausübung dieser Rechte genügt eine E-Mail an martin@forstner.dev. Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren, etwa der Behörde deines Wohnorts.
Wir verarbeiten die Daten auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO, da dies zur Bereitstellung der Konto- und Kernfunktionen der App erforderlich ist. Wir führen keine einwilligungsbasierte Marketingverarbeitung durch, weshalb kein Cookie-Consent-Mechanismus erforderlich ist.
Kommen neue Datenverarbeitungen hinzu oder ändern sich bestehende, aktualisieren wir diese Erklärung hier und in der App. Das Datum oben zeigt den jeweils aktuellen Stand.
for the Track Hero Android app · Last updated: 10 August 2026
This privacy policy describes completely which data the Track Hero app processes, what for, and for how long. All connections between the app and our server are TLS-encrypted; passwords are only ever stored as a bcrypt hash, never in plain text.
Martin Forstner, Lerchenweg 24, 8302 Kloten, Switzerland (martin@forstner.dev) is the controller responsible for your data under this privacy policy. Track Hero is offered to users in Germany and Austria, so the EU General Data Protection Regulation (GDPR) applies under Art. 3(2) GDPR, alongside Swiss data protection law (FADP/nDSG) at the controller's home jurisdiction.
Creating an account requires an email address and either a password (stored as a bcrypt hash, never in plain text) or Google Sign-In (your Google account ID and email, verified against Google's servers). Signing in is required to use the app. This data is stored in a Postgres database hosted by Railway in the EU.
After you sign in, a session token is stored securely on your device (in encrypted shared preferences) and on the server; it expires automatically after 30 days, or immediately when you log out. Your account email and sign-in provider (Google or email/password) are also stored in that same on-device encrypted storage, so the app can show who you're signed in as.
To detect and block abuse, we log the IP address and normalized email address used for each registration, login, or Google sign-in attempt, as well as each password-reset request, for rate-limiting and lockout protection. In addition, every connection search or station search request you make through the app is logged with your IP address, your account (if you're signed in), and the specific API path called, for rate-limiting and abuse-prevention purposes.
The stations, dates, and connections you add to your trip are stored locally on your device. While you're signed in, they also sync — including your journal notes — to your account on our server (hosted by Railway in the EU), so a reinstall or a second device can restore them. Deleting your account deletes this trip data from our server too.
A photo you add to your travel journal — to a trip stop or to a ride between two stops — is stored on your device and additionally backed up, in the background over an encrypted connection, to our own storage bucket hosted by Railway in the EU, in an area only your account can access. When you remove or replace a photo in the app, its backed-up copy is deleted too. Deleting your account deletes your backed-up journal photos with it. Photos are never shared with anyone.
If you allow it, the app reads your device's approximate location to help you in two places: once each time you open the journal, to jump to the trip stop nearest to you; and when you search for a connection, use the trip wizard, or add a stop, either automatically (if the field is still blank) or whenever you tap the location icon, to find the station nearest you. For Pro subscribers, it also reads your precise location continuously while the route map on the dashboard is open, to show your live position on the route. For these on-device lookups, your location is never stored, never displayed anywhere else, and never sent to our server or anyone else. Each permission is optional and asked for separately — if you decline any of them, the corresponding feature still works, using typed search or the map without your position instead. Live journey tracking (below) is a separate, opt-in feature with different, disclosed handling.
When you type at least 3 characters to search for a station, that text is sent through our server to Transit (external.transitapp.com), a third-party timetable service, to look up matching station names. This search text is never stored on our server and never appears in crash or analytics data.
If part of the app fails, we record technical details only — a timestamp, the affected feature, an error message, the exception type, an HTTP status code, and the app version — linked to your account. We never record passwords, email addresses, or anything you typed into a text field. This data is stored in the same Railway-hosted EU database as your account.
When you tap Send feedback in the app to report a problem or suggest an idea, the report type you chose (problem or idea), your free-text message, and your app version, device model, and app language are sent to our server and linked to your account. This data is stored in the same Railway-hosted EU database as your account data. No screenshot and no location are ever sent with it.
We record a small, fixed set of app usage events, linked to your account, so we can understand how the app is used — for example signing in, creating a trip, tapping a booking link or the Pro offer, sharing a trip, or creating a photobook. For every event we record three things: which action it was, when it happened, and when our server received it. For a few, we also record one extra value, always from a short fixed list — such as ticket or hotel for a booking link, the transport mode you picked for a leg, or whether an AI design was used, revised, declined, failed, or hit your limit. An event never contains free text you have typed, your location, or your stations, dates, notes, or photos. We do not use any third-party analytics or advertising service. You can turn this off at any time under Account → Usage data. Turning it off stops any further events being recorded and deletes any that have not been sent yet.
Tapping Book this ticket or Find a hotel opens your device's browser, via our own redirect server, to a rail operator's website (bahn.de, fahrplan.oebb.at, or sbb.ch, depending on the journey) or to Booking.com. The selected stations (or city) and dates for that journey are passed along to pre-fill that site's search. No account or personal-identity data — such as your email address or account ID — is included, only the specific journey details for that one search. Some hotel links may carry an affiliate ID, in which case we may earn a commission on a resulting booking — at no extra cost to you. Once you leave the app, that site's own privacy policy applies.
Requesting a password reset sends an email to the address you entered. This email is sent through mailomat.swiss — an email service operated in Switzerland, acting as our processor — and contains a single-use link that expires after 30 minutes. Switzerland is recognized by the European Commission as providing an adequate level of data protection, so no additional transfer safeguards (such as standard contractual clauses) are required. Like other sign-in attempts, password-reset requests are logged with the IP address and normalized email address used, for the same rate-limiting protection described above.
If you start Live journey tracking (from Home, or from a trip's itinerary), the app runs a foreground service — shown for as long as it's active by a persistent notification — that reads your precise location in the background to detect when you dwell somewhere long enough to look like a trip stop. The raw location fixes it records are stored on your device only, in a separate table, and are automatically deleted 30 days after the tracking session that recorded them ends; they are never sent to our server. When the app detects a place you've stayed, it records that detection (station, dates) on your device, and once applied, adds it to your trip as an ordinary stop — from that point on it's trip data like any other stop you add yourself, including syncing to our server while you're signed in. Shortly after you tap Start, the app also reads one live location fix in the background to place and name the trip's starting point — the same one-time read, never sent to our server, never cached beyond that single use. You can delete all tracking data for a trip at any time from that trip's itinerary ("Delete tracking data"), and it is also deleted when you sign out or delete your account. Tracking only ever starts when you explicitly tap Start — the location permission it needs is requested at that moment, never before — so we rely on your consent (Art. 6(1)(a) GDPR) for this specific feature, rather than the contract-necessity basis described below for the app's core functionality; withdraw that consent at any time by stopping tracking and deleting its data as described above.
If you choose to (a Pro feature), you can generate a public link from a trip's itinerary screen and share it with family or friends. Anyone who opens that link — with no account of their own and without our app — sees your trip's title, its full stop-by-stop itinerary with dates, and, for the leg currently underway or departing soon, live delay and timing data. Your name, email address, journal notes, journal photos, and booking status are never shown on that page. The full stop-by-stop itinerary with dates does reveal roughly which days your home is likely unoccupied. The link stays valid until you revoke it in the app via "Stop sharing," or at the latest 14 days after the trip ends. "Stop sharing" is the reliable way to stop sharing. Deleting the trip or your account also attempts to remove any existing link, but is not a reliable way to do so. We store only a hash of the link, never the link itself.
If you explicitly tap "Let AI design it" for a trip's photobook, the selected photos (downscaled), trip details (stations, dates and nights) for that trip, and its journal notes — each note with the place and date it belongs to, including notes on days with no photos — are sent to Anthropic to produce a page layout. If you write feedback text (up to 500 characters) when asking for a revision to a page the AI designed, that feedback text is sent to Anthropic too, alongside the same photos and trip data. Designing a photobook yourself sends nothing to Anthropic — that manual path never sends your photos, notes, or feedback to any AI provider. Photos uploaded for rendering and the resulting PDF sit in our storage as transient work-area objects. For a book that has never had an AI-designed page, these are deleted either right after a successful render or automatically after 7 days at the latest; the PDF is kept for 24 hours. Once a book's first AI design job completes, that book's photos, PDF, and AI-generated design data are kept instead until you explicitly delete the book — the 7-day/24-hour limits no longer apply to it.
We keep your personal data only for as long as your account exists. You can delete your account and all associated data at any time from the About screen (Delete account), or by emailing martin@forstner.dev. Either way, we delete every database row linked to your account.
Under the GDPR you have the right to access the data we store about you, and to have it corrected, deleted, restricted, handed over in a portable format, or to object to its processing (Art. 15–21 GDPR). To exercise any of these rights, email martin@forstner.dev. You also have the right to complain to a data protection supervisory authority, for example the one of your place of residence.
We process your data under Art. 6(1)(b) GDPR, because it is necessary to provide the app's account and core functionality. We do not carry out any consent-based marketing processing, so no cookie-consent mechanism is needed.
If new data processing is added or existing processing changes, we update this policy here and inside the app. The date above shows the current version.