Stand: 6. November 2026 · Version 2026-11-06

1. Verantwortlicher

Warden ist eine App, mit der Menschen ihren Standort freiwillig und gegenseitig mit ihren eigenen Leuten teilen — in sogenannten Kreisen (z. B. Familie, Partner, Freunde, WG). Verantwortlicher im Sinne der DSGVO:

Eduard Bruch
Kleinfeld 28c
21149 Hamburg, Deutschland
E-Mail: support@eduardbruch.com

Weitere Anbieterangaben: Impressum. Für alle Datenschutzanfragen genügt eine E-Mail an die oben genannte Adresse.

2. So funktioniert Warden — Freigabe nur mit Ihrer eigenen Zustimmung

• Kreise und Einladungen: Wer einen Kreis startet, ist dessen Eigentümer (in der App „Admin“ bzw. „Besitzer“) und kann andere mit einem Einladungscode einladen. Einladungscodes sind 7 Tage gültig; danach erhält der Eigentümer automatisch einen neuen Code und der alte funktioniert nicht mehr. Der Eigentümer kann den Code jederzeit vorzeitig erneuern.
• Beitritt: Wer den Code auf dem eigenen Handy eingibt, stellt eine Beitrittsanfrage. Der Eigentümer bestätigt oder lehnt sie ab. Über Anfragen wird der Eigentümer informiert, über Beitritte, Austritte und Entfernungen alle Mitglieder.
• Standortfreigabe ist standardmäßig aus. Nach dem Beitritt zeigt die App einen Einwilligungsbildschirm, der erklärt, wer was sieht. Die Freigabe kann nur das Mitglied selbst auf seinem eigenen Gerät einschalten — für jeden Kreis einzeln. Niemand kann sie für eine andere Person einschalten.
• Wer sieht was: Alle aktiven Mitglieder eines Kreises sehen, wer im Kreis ist. Standort, Akkustand, Geschwindigkeit, Standortverlauf und Benachrichtigungen über ein Mitglied (Ankunft/Verlassen von Orten, längere Inaktivität, niedriger Akku) erhalten die anderen nur, solange es mit diesem Kreis teilt; den Verlauf nur ab dem Zeitpunkt, ab dem es (erneut) mit diesem Kreis teilt. Jedes Mitglied sieht in der App jederzeit, wer seinen Standort sehen kann.
• Pausieren, beenden, verlassen — jederzeit: Sie können die Freigabe pro Kreis ausschalten, auf dem Gerät pausieren oder einen Kreis verlassen. Solange Sie mit keinem Kreis teilen, werden keine neuen Standorte gespeichert; die anderen sehen „pausiert“ und erhalten einmalig einen Hinweis.
• SOS: Wenn Sie den SOS-Knopf drücken, senden Sie bewusst Ihre aktuelle (oder, falls keine verfügbar ist, Ihre zuletzt bekannte) Position an alle aktiven Mitglieder aller Ihrer Kreise — auch wenn die laufende Freigabe gerade aus ist.
• Eigentümer-Rolle: Der Eigentümer bestätigt oder lehnt Anfragen ab, entfernt Mitglieder, sieht und erneuert den Einladungscode und benennt den Kreis um. Er sieht keine zusätzlichen Standortdaten. Verlässt der Eigentümer den Kreis oder löscht sein Konto, geht die Rolle an das am längsten aktive Mitglied über.
• Keine verdeckte Ortung: Warden hat keine versteckten Modi und keine Abhörfunktion und greift nicht auf das Mikrofon zu. Jemanden ohne sein Wissen zu orten, ist verboten.

Warden ersetzt keinen Notruf. Wählen Sie im Notfall immer die örtliche Notrufnummer (in der EU 112).

3. Welche Daten wir verarbeiten, wozu und auf welcher Rechtsgrundlage

Wir verarbeiten nur, was die App zum Funktionieren braucht. Wir schalten keine Werbung und betten keine Tracking-, Analyse- oder Werbe-SDKs von Drittanbietern ein.

Kategorie	Was	Wozu	Rechtsgrundlage
Genauer Standort	Koordinaten, Genauigkeit, Geschwindigkeit, Zeitpunkt, auch im Hintergrund — nur während Sie mit mindestens einem Kreis teilen, für den ein Abo aktiv ist (SOS ausgenommen). Häufigkeit je nach Standortmodus: unterwegs etwa alle 30 Sekunden bis 3 Minuten, im Stillstand alle 5–30 Minuten, zusätzlich bei „Jetzt orten“ und SOS. Genauigkeit je nach Modus und Empfang von wenigen Metern (GPS) bis zu einem ungefähren Gebiet; Positionen ungenauer als 500 m werden verworfen.	Karte Ihrer Kreise; Orts-, Akku- und Inaktivitäts-Benachrichtigungen; „Jetzt orten“; SOS	Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; Zugriff auf den Gerätestandort: § 25 Abs. 1 TDDDG), jederzeit widerrufbar durch Ausschalten oder Pausieren
Standortverlauf	Ausgedünnte Spur (höchstens ein Punkt pro 3 Minuten bzw. 150 m), nur gespeichert, solange für einen Kreis, mit dem Sie teilen, ein Abo aktiv ist	Verlauf für Kreise, mit denen Sie teilen	Einwilligung
Akkustand	Batterie-Prozentwert des Geräts, zusammen mit dem Standort übertragen	Anzeige für Ihre Kreise; Akku-Hinweise	Einwilligung
Freigabe-Einstellungen	Pro Kreis: Rolle, Status (angefragt/aktiv), Freigabe an/aus, Zeitpunkt und Version Ihrer Einwilligung; Gerätestatus (an, pausiert, Standortzugriff aus, nur bei geöffneter App)	Ihre Entscheidung umsetzen; anderen „pausiert“ anzeigen; Einwilligung nachweisen	Vertrag (Art. 6 Abs. 1 lit. b); rechtliche Pflicht zum Nachweis der Einwilligung (Art. 6 Abs. 1 lit. c i. V. m. Art. 7 Abs. 1)
Bewegungsdaten	Nur auf dem Gerät verarbeitet, um die GPS-Frequenz zu steuern; wird nicht an unsere Server übertragen	Akku-Optimierung	Einwilligung (Geräteberechtigung)
Profil- und Kreisdaten	Vorname/Spitzname, App-Sprache, Kreisnamen, Einladungscode, Beitrittsanfragen	Konto betreiben; Mitglieder unterscheiden; Mitteilungen in Ihrer Sprache	Vertrag (Art. 6 Abs. 1 lit. b)
Orte	Name, Koordinaten und Radius der Orte eines Kreises (z. B. „Zuhause“), für alle Mitglieder des Kreises sichtbar; ob ein teilendes Mitglied gerade an einem Ort ist	Ankunfts- und Verlassen-Meldungen	Vertrag; für Ihre eigene Anwesenheit: Einwilligung
Nachrichten & Ereignisse	Nachrichten innerhalb eines Kreises; Ereignisse (Ankunft, Verlassen, Check-in, SOS mit Position, Akku, Inaktivität, Beitritt, Austritt)	Nachrichten und Meldungs-Feed zustellen	Vertrag; SOS: Einwilligung durch Drücken des Knopfes
Push-Token	Apple- (APNs) oder Google- (FCM) Push-Kennung, Plattform	Benachrichtigungen und stille Standortanfragen	Vertrag
Apple- oder Google-Kennung (optional)	Bei „Mit Apple anmelden“ bzw. der Google-Wiederherstellung die stabile Nutzerkennung. Von Apple erhalten wir weder E-Mail noch Namen. Das Google-Anmeldetoken enthält auch E-Mail-Adresse und Namen; wir lesen nur die Kennung aus und speichern E-Mail und Namen nicht.	Kontowiederherstellung	Vertrag (von Ihnen gewählte Funktion)
Kaufdaten	Abo-/Entitlement-Status, Produkt, Ablaufdatum und Kaufkennung; RevenueCat erhält dazu Ihre Warden-Nutzerkennung und technische Gerätedaten. Zahlungsdaten (Karte, Name, Rechnungsadresse) sehen wir nie.	Premium freischalten und verwalten	Vertrag
Nutzungsereignisse (eigene Statistik)	Eine zufällige Installations-ID, die auf Ihrem Gerät gespeichert wird, Plattform und wenige Meilensteine wie „App installiert“, „Einrichtung abgeschlossen“, „Abo-Seite angezeigt“; nach der Anmeldung mit Ihrem Konto verknüpft. Keine Standortdaten, verarbeitet nur auf unseren eigenen Servern, kein Drittanbieter.	Verstehen, wo die Einrichtung scheitert	Berechtigtes Interesse (Art. 6 Abs. 1 lit. f) — Sie können widersprechen (Ziffer 9)
Technische Zugriffsdaten	IP-Adresse und Anfragedaten, die bei jedem Zugriff auf unsere Server anfallen. In unserer Datenbank speichern wir keine IP-Adressen, nur einen Einweg-Hashwert für Missbrauchsgrenzen (höchstens 2 Tage).	Betrieb, Sicherheit, Missbrauchsabwehr	Berechtigtes Interesse (Art. 6 Abs. 1 lit. f)

Wir erheben nicht: E-Mail-Adresse, Telefonnummer, Kontakte, Fotos, Browserverlauf oder Audio. Diese Website verwendet keine Cookies und keine Tracking-Technologien.

Pflicht zur Bereitstellung: Für ein Konto brauchen wir nur einen Namen (ein Spitzname genügt). Alles andere ist freiwillig; ohne Standortfreigabe können Sie Warden weiter nutzen (Karte der anderen, SOS, Nachrichten), erscheinen aber als „pausiert“.

4. Wie wir die Daten verwenden

Ausschließlich, um: Ihre Kreise auf der Karte anzuzeigen (nur für Mitglieder, die teilen); Benachrichtigungen und Nachrichten zu senden; SOS und Check-in bereitzustellen; Abos zu verwalten; Konten zu sichern und wiederherzustellen; den Dienst sicher und missbrauchsfrei zu betreiben; und gesetzliche Pflichten zu erfüllen. Wir verkaufen keine Daten und nutzen sie nicht für Werbung oder Profiling. Es findet keine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO statt.

5. Empfänger

Auftragsverarbeiter (Art. 28 DSGVO, mit Auftragsverarbeitungsvertrag):

• Cloudflare, Inc. (USA) — Hosting und Datenbank (Cloudflare Workers + D1). Die Datenbank liegt in der Region Osteuropa (EU); Anfragen werden im Cloudflare-Netz in der Regel im Rechenzentrum nahe Ihrem Standort verarbeitet, das auch außerhalb der EU liegen kann.
• RevenueCat, Inc. (USA) — Abo-Verwaltung (erhält Kaufdaten und Ihre Warden-Nutzerkennung).
• Apple Inc. und Google LLC — Zustellung von Push-Mitteilungen (APNs, Firebase Cloud Messaging).

Eigenständig Verantwortliche (es gelten deren Datenschutzhinweise):

• Apple bzw. Google als Verkäufer bei Käufen im App Store bzw. bei Google Play und bei „Mit Apple anmelden“ bzw. der Google-Anmeldung.
• Kartendienste: Auf dem iPhone zeigt Apple Karten (MapKit) die Karte an und wandelt die Koordinaten eines Mitglieds in eine Adresse um; Apple erhält dafür den Kartenausschnitt bzw. die Koordinaten. Auf Android lädt Ihr Gerät Kartenkacheln direkt von OpenFreeMap (openfreemap.org); dabei werden Ihre IP-Adresse und der angezeigte Kartenausschnitt übertragen.

Innerhalb eines Kreises sehen die anderen Mitglieder die oben beschriebenen Daten. Eine Offenlegung darüber hinaus erfolgt nur, wenn wir gesetzlich dazu verpflichtet sind.

6. Übermittlung in Drittländer

Cloudflare, RevenueCat, Apple und Google können Daten in den USA oder anderen Ländern außerhalb der EU verarbeiten. Grundlage ist der Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO), soweit der Anbieter zertifiziert ist, und im Übrigen die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie der Garantien erhalten Sie auf Anfrage.

7. Speicherdauer

• Letzter Standort: wird fortlaufend überschrieben; nur die letzte Position bleibt. Sie ist für niemanden sichtbar, solange Sie nicht teilen, und wird nur bei einem SOS weitergegeben, wenn keine aktuelle Position verfügbar ist.
• Standortverlauf: automatische Löschung nach 30 Tagen.
• Ereignisse/Meldungen (Ankunft, Verlassen, SOS u. ä.): automatische Löschung nach 90 Tagen.
• Verlassen eines Kreises (selbst oder durch Entfernen): Ihre Mitgliedschaft, Ihre Meldungen und Ihre Nachrichten in diesem Kreis werden sofort gelöscht.
• Konto-, Profil- und Nachrichtendaten: bis zur Kontolöschung bzw. zum Verlassen des Kreises. Ein Kreis ohne Mitglieder wird samt Orten, Meldungen und Nachrichten gelöscht.
• Einladungscodes: 7 Tage gültig, danach ersetzt.
• Nutzungsereignisse: Nach 14 Monaten — oder sofort bei Kontolöschung — entfernen wir Installations-ID, Konto- und Kreis-Kennung; danach bleibt nur ein anonymer Zählwert.
• Missbrauchsgrenzen (Hashwerte): höchstens 2 Tage. Kauf-Benachrichtigungen von RevenueCat: 12 Monate (Nachweis und Fehlersuche bei Abos).
• Sie können Ihr Konto samt Ihrer Daten jederzeit in der App löschen (Einstellungen → Konto & Daten löschen).

8. Sicherheit

Daten sind bei der Übertragung (TLS/HTTPS) und im Ruhezustand verschlüsselt; Zugriffe sind mit einem geheimen Geräte-Token authentifiziert, das wir nur als Hashwert speichern. Warden ist nicht Ende-zu-Ende-verschlüsselt: Um den Standort eines Mitglieds seinem Kreis anzuzeigen, müssen unsere Server ihn verarbeiten. Wir setzen auf Datenminimierung (Speicherung nur bei aktiver Freigabe und aktivem Abo, Verlauf ausgedünnt, automatische Löschung).

9. Ihre Rechte

Sie haben nach der DSGVO das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3) — am einfachsten, indem Sie die Freigabe ausschalten oder pausieren, einen Kreis verlassen oder die Standortberechtigung im Betriebssystem entziehen. Kreise verlassen und Ihr Konto löschen können Sie direkt in der App; alles andere (z. B. Auskunft, Datenexport als JSON-Datei oder die Berichtigung Ihres Namens) per E-Mail an support@eduardbruch.com.

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage berechtigter Interessen verarbeiten (eigene Nutzungsstatistik, technische Zugriffsdaten), können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Für die Nutzungsstatistik genügt eine formlose E-Mail; wir entfernen dann die Verknüpfung zu Ihnen.

Beschwerderecht: Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in Ihrem Wohnsitzland. Für uns zuständig ist Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Straße 22, 20459 Hamburg, datenschutz-hamburg.de.

So funktioniert eine Löschanfrage

• Schnellster Weg (sofort): In der App Einstellungen → Konto & Daten löschen. Damit werden Ihr Konto und Ihre Daten unmittelbar gelöscht: Standortverlauf, letzte Position, Mitgliedschaften, Nachrichten, Meldungen, Push-Token und eine verknüpfte Apple-/Google- Kennung. Kreise, deren Eigentümer Sie sind, gehen an das am längsten aktive Mitglied über; ist niemand mehr im Kreis, wird der Kreis samt Orten gelöscht. Die Konten und Daten anderer Personen werden dabei nie gelöscht.
• Per E-Mail: Anfrage an support@eduardbruch.com — wir antworten spätestens innerhalb eines Monats (Art. 12 Abs. 3 DSGVO). Warden-Konten sind pseudonym (keine E-Mail-Adresse hinterlegt). Damit wir Ihr Konto zuordnen können, nennen Sie uns bitte z. B. den Namen Ihres Kreises, einen Einladungscode oder Ihren Anzeigenamen. Können wir Sie nicht identifizieren, sind wir nach Art. 11 DSGVO ggf. nicht in der Lage, die Anfrage umzusetzen — wir informieren Sie in dem Fall.
• Ausnahmen (Art. 17 Abs. 3): Kaufbelege verbleiben bei Apple/Google, soweit dort gesetzliche Aufbewahrungspflichten bestehen; ein laufendes Abo wird durch die Kontolöschung nicht gekündigt.

10. Mindestalter

Warden ist eine App für ein allgemeines Publikum. Sie richtet sich nicht an Nutzer unter 13 Jahren, und wir bewerben sie nicht gezielt bei Minderjährigen. Die App fragt kein Alter ab. Wer jünger als 16 Jahre ist, darf Warden nur mit Zustimmung eines Erziehungsberechtigten nutzen (Art. 8 DSGVO); in anderen Ländern gilt die dort vorgeschriebene Altersgrenze, in den USA mindestens 13 Jahre. Auch bei jüngeren Mitgliedern gilt: Die Freigabe schaltet nur das Mitglied selbst auf dem eigenen Gerät ein. Erfahren wir, dass Daten einer Person unterhalb der Altersgrenze ohne die erforderliche Zustimmung verarbeitet werden, löschen wir sie.

11. Änderungen

Wenn sich die App oder die Rechtslage ändert, passen wir diese Erklärung an und aktualisieren Datum und Version. Über wesentliche Änderungen informieren wir in der App, bevor sie gelten; wo eine neue Einwilligung nötig ist, fragen wir Sie erneut.

---

Effective date: 6 November 2026 · Version 2026-11-06

1. Who we are

Warden is an app for sharing your location voluntarily and mutually with your own people — in circles (e.g. family, partner, friends, flatmates). Data controller under the GDPR:

Eduard Bruch
Kleinfeld 28c
21149 Hamburg, Germany
Email: support@eduardbruch.com

Full provider details: Impressum. For any privacy request, an email to the address above is enough.

2. How Warden works — sharing only with your own consent

• Circles and invites: whoever starts a circle is its owner and can invite others with an invite code. Invite codes are valid for 7 days; after that the owner automatically gets a new code and the old one stops working. The owner can also renew it at any time.
• Joining: entering the code on your own phone sends a join request. The owner approves or declines it. The owner is told about requests; all members are told about joins, leaves and removals.
• Location sharing is off by default. After joining, the app shows a consent screen explaining who sees what. Sharing can be turned on only by the member themselves, on their own device — separately for each circle. Nobody can turn it on for someone else.
• Who sees what: all active members of a circle see who is in it. A member's location, battery level, speed, location history and notifications about them (arriving at or leaving places, long inactivity, low battery) reach the others only while that member shares with that circle, and history only from when they (re)started sharing with it. Every member can see at any time who can see their location.
• Pause, stop, leave — anytime: you can turn sharing off per circle, pause it on your device, or leave a circle. While you share with no circle, no new locations are stored; the others see “paused” and get a single notice.
• SOS: pressing SOS deliberately sends your current position (or, if none is available, your last known one) to all active members of all your circles — even if continuous sharing is off at that moment.
• The owner role: the owner approves or declines requests, removes members, sees and renews the invite code and renames the circle. The owner sees no extra location data. If the owner leaves or deletes their account, the role passes to the longest-standing active member.
• No covert tracking: Warden has no hidden modes, no listen-in feature and no microphone access. Locating anyone without their knowledge is prohibited.

Warden is not a substitute for emergency services. In an emergency always call your local emergency number (112 in the EU, 911 in the US).

3. What data we process, why, and on what legal basis

We only process what the app needs. No advertising, no third-party analytics, tracking, or ad SDKs.

Category	What	Why	Legal basis
Precise location	Coordinates, accuracy, speed, time, incl. in the background — only while you share with at least one circle that has an active subscription (SOS excepted). Frequency depends on the location mode: about every 30 seconds to 3 minutes while moving, every 5–30 minutes while still, plus on “update location now” and SOS. Precision ranges from a few metres (GPS) to an approximate area, depending on mode and reception; fixes less accurate than 500 m are discarded.	Your circles' map; place, battery and inactivity notifications; update-now; SOS	Consent (Art. 6(1)(a) GDPR; access to device location: § 25(1) German TDDDG), withdrawable anytime by turning sharing off or pausing
Location history	Downsampled trail (at most one point per 3 minutes or 150 m), stored only while a circle you share with has an active subscription	History for circles you share with	Consent
Battery level	Device battery percentage, sent with your location	Shown to your circles; low-battery notices	Consent
Sharing settings	Per circle: role, status (requested/active), sharing on/off, time and version of your consent; device state (on, paused, location access off, only while app open)	Apply your choice; show “paused” to others; prove consent	Contract (Art. 6(1)(b)); legal obligation to demonstrate consent (Art. 6(1)(c) with Art. 7(1))
Motion activity	Processed on-device only to tune GPS frequency; never transmitted	Battery optimisation	Consent (device permission)
Profile and circle data	First name/nickname, app language, circle names, invite code, join requests	Run your account; tell members apart; notifications in your language	Contract (Art. 6(1)(b))
Places	Name, coordinates and radius of a circle's places (e.g. “Home”), visible to all its members; whether a sharing member is currently at a place	Arrive and leave alerts	Contract; for your own presence: consent
Messages & events	Messages within a circle; events (arrive, leave, check-in, SOS with position, battery, inactivity, join, leave)	Messaging and activity feed	Contract; SOS: consent by pressing the button
Push token	APNs/FCM identifier, platform	Notifications and silent location requests	Contract
Apple or Google identifier (optional)	Stable user id from Sign in with Apple or Google recovery. Apple sends us no email or name. The Google sign-in token also contains your email address and name; we only read the identifier and do not store email or name.	Account recovery	Contract (a feature you choose)
Purchase data	Entitlement status, product, expiry and purchase identifier; RevenueCat also receives your Warden user id and technical device data. We never see payment details (card, name, billing address).	Unlock and manage Premium	Contract
App usage events (first-party)	A random install ID stored on your device, platform and a few milestones such as “app installed”, “setup completed”, “subscription page viewed”; linked to your account after sign-up. No location data, processed only on our own servers, no third party.	Understanding where setup fails	Legitimate interest (Art. 6(1)(f)) — you may object (section 9)
Technical access data	IP address and request data generated whenever you contact our servers. We store no IP addresses in our database, only a one-way hash for abuse limits (2 days at most).	Operation, security, abuse prevention	Legitimate interest (Art. 6(1)(f))

We do not collect your email, phone number, contacts, photos, browsing history, or audio. This website sets no cookies and uses no tracking technologies.

Do you have to provide data? An account only needs a name (a nickname is fine). Everything else is optional; without location sharing you can still use Warden (others' map, SOS, messages) but appear as “paused”.

4. How we use data

Only to show your circles' map (for members who share), send notifications and messages, provide SOS and check-in, manage subscriptions, secure and recover accounts, keep the service safe, and comply with law. We do not sell data and do not use it for advertising or profiling. There is no automated decision-making within the meaning of Art. 22 GDPR.

5. Recipients

Processors (Art. 28 GDPR, under a data processing agreement):

• Cloudflare, Inc. (USA) — hosting and database (Workers + D1). The database is located in the Eastern Europe (EU) region; requests are usually handled in the Cloudflare data centre closest to you, which may be outside the EU.
• RevenueCat, Inc. (USA) — subscription management (receives purchase data and your Warden user id).
• Apple Inc. and Google LLC — push delivery (APNs, Firebase Cloud Messaging).

Independent controllers (their own privacy policies apply):

• Apple and Google as the seller for App Store / Google Play purchases and for Sign in with Apple / Google sign-in.
• Maps: on iPhone, Apple Maps (MapKit) draws the map and turns a member's coordinates into an address, so Apple receives the map area or coordinates. On Android your device loads map tiles directly from OpenFreeMap (openfreemap.org), which receives your IP address and the map area shown.

Within a circle, the other members see the data described above. Beyond that we only disclose data where required by law.

6. International transfers

Cloudflare, RevenueCat, Apple and Google may process data in the United States or other countries outside the EU. Transfers rely on the EU-US Data Privacy Framework adequacy decision (Art. 45 GDPR) where the provider is certified, and otherwise on the EU Standard Contractual Clauses (Art. 46(2)(c) GDPR). You can request a copy of the safeguards.

7. Retention

• Last location: continuously overwritten; only the latest position kept, visible to nobody while you don't share, and only passed on by an SOS when no current position is available.
• History: auto-deleted after 30 days.
• Events/alerts (arrive, leave, SOS etc.): auto-deleted after 90 days.
• Leaving a circle (yourself or by removal): your membership, alerts and messages in that circle are deleted immediately.
• Account, profile, messages: until account deletion / leaving the circle. A circle with no members left is deleted together with its places, alerts and messages.
• Invite codes: valid for 7 days, then replaced.
• Usage events: after 14 months — or immediately when you delete your account — we remove the install ID and account and circle identifiers; only an anonymous count remains.
• Abuse limits (hashes): 2 days at most. Purchase notifications from RevenueCat: 12 months (subscription records and troubleshooting).
• Delete anytime in-app: Settings → Delete account & data.

8. Security

Encrypted in transit (TLS) and at rest; requests are authenticated with a secret per-device token that we store only as a hash. Warden is not end-to-end encrypted — servers must process a member's location to show it to their circle. We practise data minimisation (stored only while sharing, history premium-only, downsampled, auto-deleted).

9. Your rights

Under the GDPR you have the right of access (Art. 15), rectification (Art. 16), erasure (Art. 17), restriction (Art. 18) and data portability (Art. 20). You can withdraw consent at any time with effect for the future (Art. 7(3)) — most easily by turning sharing off or pausing it, leaving a circle, or revoking the location permission in your OS. You can leave circles and delete your account directly in the app; for everything else (e.g. access, a data export as a JSON file, or correcting your name) email support@eduardbruch.com.

Right to object (Art. 21 GDPR): where we rely on legitimate interests (first-party usage statistics, technical access data) you may object at any time on grounds relating to your particular situation. For usage statistics an informal email is enough; we then remove the link to you.

Right to complain: you may lodge a complaint with a data protection supervisory authority, in particular in your country of residence. The authority responsible for us is the Hamburg Commissioner for Data Protection and Freedom of Information (HmbBfDI), Ludwig-Erhard-Straße 22, 20459 Hamburg, Germany, datenschutz-hamburg.de.

How a deletion request works

• Fastest (instant): in the app, Settings → Delete account & data. This immediately deletes your account and your data: location history, last position, memberships, messages, alerts, push token and any linked Apple/Google identifier. Circles you own pass to their longest-standing active member; a circle with nobody left is deleted with its places. Other people's accounts and data are never deleted.
• By email: write to support@eduardbruch.com — we respond within one month at the latest (Art. 12(3) GDPR). Warden accounts are pseudonymous (no email address on file). To locate your account, please include e.g. your circle's name, an invite code, or your display name. If we cannot identify you, Art. 11 GDPR may prevent us from fulfilling the request — we will tell you if so.
• Exceptions (Art. 17(3)): purchase records remain with Apple/Google where they must keep them by law; deleting your account does not cancel a running subscription.

10. Minimum age

Warden is a general-audience app. It is not directed at users under 13, and we do not market it to minors. The app does not ask for your age. Anyone under 16 may only use Warden with a legal guardian's consent (Art. 8 GDPR); in other countries the age limit set by local law applies, and in the US users must be at least 13. Younger members, too, can only turn sharing on themselves, on their own device. If we learn that data of someone below the age limit is processed without the required consent, we delete it.

11. Changes

When the app or the law changes, we update this policy, its date and version. We tell you in the app about material changes before they take effect, and ask again where new consent is needed.