1. Verantwortlicher

ToolMate wird von einer Privatperson betrieben. Die App ist kostenlos, enthält keine Werbung und keine In-App-Käufe.

2. Welche Daten werden verarbeitet?

2.1 Konto- und Anmeldedaten

Für die Nutzung von ToolMate ist ein Konto erforderlich. Je nach gewähltem Anmeldeverfahren werden verarbeitet:

• Anmeldung mit E-Mail und Passwort: E-Mail-Adresse. Das Passwort wird ausschließlich von Firebase Authentication verwaltet und ist für uns nicht einsehbar.
• Anmeldung mit Google: E-Mail-Adresse und die Kennung deines Google-Kontos, die Google an die App übermittelt.
• Anmeldung mit Apple: Apple-ID-Kennung und E-Mail-Adresse. Wenn du „E-Mail verbergen“ wählst, erhalten wir nur die anonymisierte Weiterleitungsadresse von Apple (@privaterelay.appleid.com).

Zusätzlich speichert Firebase Authentication Zeitpunkt der Kontoerstellung und der letzten Anmeldung. Bei jeder Anmeldung werden außerdem die verwendete App-Version, die Plattform („android“ oder „ios“) und die Betriebssystem-Version (etwa „Android 15“ oder „iOS 18.2“) zusammen mit dem Zeitpunkt in einem geschützten, nur für dich selbst lesbaren Bereich deines Profils vermerkt. Das hilft uns, gemeldete Probleme einer bestimmten Version und Plattform zuzuordnen und den Umstieg auf neue Versionen einzuschätzen. Das Gerätemodell wird dabei ausdrücklich nicht gespeichert.

2.2 Profildaten

• Anzeigename – wird anderen Nutzerinnen und Nutzern angezeigt, damit ersichtlich ist, wem ein Werkzeug gehört und wer es ausgeliehen hat.
• Telefonnummer und Adresse (freiwillig) – werden getrennt vom übrigen Profil in einem geschützten Bereich gespeichert und sind ausschließlich für dich selbst lesbar.

2.3 Benachrichtigungsdaten

• Push-Kennung (Firebase Cloud Messaging): eine geräteseitig vergebene Kennung, ohne die keine Push-Mitteilungen zugestellt werden können. Sie liegt in einem geschützten Bereich deines Profils, den nur dein eigenes Konto lesen darf, und wird beim Abmelden entfernt.
• Benachrichtigungs-Einstellungen: ob du Push-Mitteilungen erhalten möchtest.

Eine Liste deiner Geräte wird nicht geführt.

2.4 Nutzungsdaten

• Erstellte Werkzeuge (Bezeichnung, Beschreibung, Bilder, Kategorie, Standortbezeichnung)
• Selbst angelegte Standorte und Kategorien
• Community-Mitgliedschaften und -Rollen
• Reservierungen, Anfragen und Ausleihen samt Zeiträumen und Status
• Beitrittsanfragen an öffentliche Communities (siehe 2.9)
• Benachrichtigungen innerhalb der App (Anfragen, Zusagen, Erinnerungen, Hinweise auf neue Werkzeuge in deinen Communities) und deren Lesestatus

Woher die Bilder kommen: Du wählst sie aus deiner Fotosammlung aus oder nimmst sie mit der Kamera auf. Beides läuft über die Auswahl deines Geräts – ToolMate erhält ausschließlich das eine Bild, das du auswählst oder aufnimmst, und hat zu keinem Zeitpunkt Zugriff auf deine Fotosammlung. Die App fordert dafür weder eine Kamera- noch eine Foto-Berechtigung an. Bilder in deine Fotosammlung speichert die App nicht.

2.5 Feedback

Wenn du die Feedback-Funktion nutzt, werden übermittelt: Art der Meldung (Fehler oder Wunsch), Titel, Beschreibung, deine Nutzerkennung, deine E-Mail-Adresse, die App-Version, die Plattform sowie Gerätemodell und Betriebssystem-Version (etwa „iPhone 14 Pro“ und „iOS 18.2“). Die beiden letzten Angaben sind nötig, weil sich manche Fehler nur auf bestimmter Hardware zeigen; der von dir vergebene Gerätename wird dabei ausdrücklich nicht übermittelt. Bei einer Kontolöschung werden Nutzerkennung und E-Mail-Adresse aus der Meldung entfernt (siehe Abschnitt 8).

2.6 Missbrauchsschutz (App Check)

Damit ausschließlich die echte ToolMate-App auf die Datenbank zugreifen kann, kommt Firebase App Check zum Einsatz. Dabei bestätigt das Betriebssystem die Echtheit der App-Installation – unter iOS über DeviceCheck (Apple), unter Android über Play Integrity (Google). An uns wird dabei nur das Prüfergebnis übermittelt, keine Gerätekennung.

2.7 Server-Protokolle

Beim Aufruf dieser Seite sowie des Handbuchs über Firebase Hosting verarbeitet Google technische Zugriffsdaten (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browserkennung). Das geschieht zur Auslieferung und Absicherung der Seiten.

2.8 Nutzungsstatistik

Um zu wissen, wie viele Menschen ToolMate tatsächlich benutzen, vermerkt die App beim ersten Start eines Tages ein Datum ohne Uhrzeit zu deinem Konto – höchstens einen Eintrag je Tag. Dieser Eintrag wird beim nächsten Mal überschrieben; es entsteht also kein Verlauf deiner Nutzung, sondern immer nur die Angabe „zuletzt an diesem Tag aktiv“.

In der Nacht darauf zählt ein automatischer Ablauf, wie viele Konten den jeweiligen Tag tragen, und speichert ausschließlich diese Zahl. Ab diesem Punkt besteht kein Bezug mehr zu einer Person.

Der Eintrag ist für niemanden lesbar – weder für andere Nutzerinnen und Nutzer noch für dich selbst; ausgewertet wird er allein serverseitig. Mit deinem Konto wird er gelöscht (siehe Abschnitt 8). Es kommt kein Analyse-Dienst zum Einsatz: Es werden keine Geräte- oder Werbekennungen verarbeitet, kein Nutzungsverhalten innerhalb der App aufgezeichnet und keine Daten an Dritte übermittelt.

2.9 Öffentliche Communities und Suche in der Nähe

Wer eine Community oder einen Verein verwaltet, kann sie öffentlich machen. Dann sind Name, Postleitzahl und Ort der Community, ob es ein Verein ist und wie man beitritt, für alle angemeldeten Nutzerinnen und Nutzer sichtbar. Zur Postleitzahl wird ihr ungefährer Mittelpunkt gespeichert, damit die Suche Entfernungen berechnen kann. Mitglieder, Einladungscode und Werkzeuge bleiben den Mitgliedern vorbehalten. Bei einer kleinen Nachbarschafts-Community lässt sich aus Postleitzahl und Ort ungefähr erkennen, wo ihre Mitglieder wohnen – deshalb ist eine Community nur öffentlich, wenn ihre Verwaltung das ausdrücklich einstellt.

Die Suche nach Communities in der Nähe verwendet ausschließlich die Postleitzahl oder den Ort, den du eingibst. Die App fragt deinen Standort nicht ab und benötigt keine Standortberechtigung. Deine Eingabe wird auf dem Gerät in ein Suchgebiet umgerechnet; an die Datenbank geht nur die Abfrage nach diesem Gebiet, gespeichert wird sie nicht. Die Zuordnung von Postleitzahlen zu Mittelpunkten stammt von GeoNames und ist in der App enthalten – an GeoNames werden dabei keine Daten übermittelt.

Stellst du eine Beitrittsanfrage, sehen Ersteller und Admins der Community deinen Anzeigenamen und die Anfrage.

2.10 Bewertung nach der Ausleihe

In Communities, in denen die Bewertung eingeschaltet ist, kann die verleihende Seite eine abgeschlossene Ausleihe bis 14 Tage nach der Rückgabe einmal bewerten – mit drei vorgegebenen Antworten, ohne Freitext: Zustand bei Rückgabe (wie verliehen, kleine Mängel, beschädigt), ob Absprachen eingehalten wurden und ob das Werkzeug rechtzeitig zurückkam. Die Angaben stammen von der verleihenden Seite, nicht von der bewerteten Person selbst. Gespeichert werden dazu die bewertete und die bewertende Person, das Werkzeug, der Ausleihzeitraum, die Community und der Zeitpunkt. Leiht ein Verein als Ganzes aus, wird der Verein bewertet. Ausleihen ohne App werden nicht bewertet.

Aus den Bewertungen entsteht je Community eine Zusammenfassung aus Zählern (etwa „14 Ausleihen · 13 pünktlich · 1 mit kleinen Mängeln“). Sie erscheint erst ab drei Bewertungen und nur in der Community, in der bewertet wurde. Du siehst deine eigenen Bewertungen in der App unter Profil → Meine Bewertungen, einzeln mit Werkzeug und Datum. Der Name der Person, die bewertet hat, wird nicht angezeigt – aus Werkzeug und Datum lässt er sich aber in der Regel erschließen.

Möchtest du nicht bewertet werden, schreib eine E-Mail an die Adresse in Abschnitt 9. Die bereits vorhandenen Bewertungen über dich werden dann gelöscht, neue entstehen nicht mehr, und statt der Zähler steht „Keine Angaben“.

Hältst du eine Bewertung für falsch, schreib uns ebenfalls an diese Adresse. Wir prüfen sie und löschen sie gegebenenfalls.

3. Zweck der Verarbeitung

• Bereitstellung der App-Funktionen und Verwaltung deines Kontos
• Verwaltung von Werkzeugen, Standorten und Communities
• Finden öffentlicher Communities in der Umgebung und Beitritt zu ihnen
• Abwicklung von Anfragen, Reservierungen und Ausleihen zwischen Mitgliedern
• Bewertung abgeschlossener Ausleihen, damit Verleihende einschätzen können, wem sie etwas anvertrauen (nur wo eine Community sie eingeschaltet hat, siehe 2.10)
• Benachrichtigung über Vorgänge, die dich betreffen (in der App, per Push und per E-Mail)
• Einmal täglicher Hinweis auf neue Werkzeuge anderer Mitglieder in deinen Communities (in der App und per Push, nicht per E-Mail; in den Einstellungen abschaltbar)
• Bearbeitung von Feedback und Fehlermeldungen
• Schutz vor missbräuchlicher Nutzung der Schnittstellen

Es findet keine Auswertung deines Verhaltens zu Werbezwecken und kein Tracking über Drittanbieter statt. Eine Profilbildung findet nicht statt – abgesehen von der Zusammenfassung der Bewertungen nach 2.10, die auf eine Community beschränkt ist und keine automatisierten Entscheidungen auslöst.

4. Rechtsgrundlage

• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) – für Konto, Werkzeuge, Ausleihen, Beitrittsanfragen und die damit verbundenen Benachrichtigungen; ohne diese Daten ist die App nicht nutzbar.
• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) – für freiwillige Angaben wie Telefonnummer und Adresse, für Push-Mitteilungen sowie für das Veröffentlichen einer Community samt Postleitzahl und Ort. Du kannst die Einwilligung jederzeit widerrufen, indem du die Angabe löschst, den Schalter in den Einstellungen umlegst oder die Community auf „privat“ stellst.
• Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) – für Missbrauchsschutz (App Check), Server-Protokolle, die bei der Anmeldung erfasste App-Version sowie die Nutzungsstatistik nach 2.8. Unser Interesse besteht darin, den Betrieb der App einschätzen und weiterentwickeln zu können; dem steht ein einzelnes, überschriebenes Datum ohne Uhrzeit gegenüber, aus dem sich kein Nutzungsverhalten ableiten lässt.
• Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) – für die Bewertung nach 2.10. Das Interesse der Verleihenden besteht darin, einschätzen zu können, wem sie ein Werkzeug anvertrauen. Dem stehen eng begrenzte Angaben gegenüber: drei vorgegebene Antworten ohne Freitext, sichtbar nur in der jeweiligen Community, Verfall nach 24 Monaten, Einsicht in die eigenen Bewertungen und ein Widerspruchsrecht.

5. Eingesetzte Dienste

ToolMate nutzt Dienste von Google (Firebase). Anbieter für Nutzerinnen und Nutzer im Europäischen Wirtschaftsraum ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.

• Firebase Authentication – Anmeldung und Kontoverwaltung
• Cloud Firestore – Datenbank für Profile, Werkzeuge, Ausleihen und Benachrichtigungen
• Firebase Storage – Speicherung der Werkzeugbilder
• Cloud Functions – serverseitige Abläufe (Einladungen, Beitritt zu öffentlichen Communities, Kontolöschung, Versand von Benachrichtigungen)
• Firebase Cloud Messaging – Zustellung von Push-Mitteilungen
• Firebase App Check – Missbrauchsschutz (siehe 2.6)
• Firebase Hosting – Auslieferung dieser Datenschutzerklärung und des Handbuchs
• Firebase-Erweiterung „Trigger Email“ – Versand von Benachrichtigungs-E-Mails

Datenschutzhinweise von Firebase: https://firebase.google.com/support/privacy

Der E-Mail-Versand erfolgt über ein Google-Mail-Postfach (SMTP). Empfängeradresse und Inhalt der Nachricht werden dabei an Google übermittelt.

Bei der Anmeldung mit Google bzw. Apple sowie beim Missbrauchsschutz treten zusätzlich Google LLC bzw. Apple Inc. als eigene Verantwortliche auf. Es gelten deren Datenschutzhinweise.

6. Speicherorte und Übermittlung in Drittländer

Der Versand von Benachrichtigungs-E-Mails wird also in den USA ausgeführt: Die betreffende Nachricht samt Empfängeradresse verlässt dafür die EU. Gleiches gilt für die Zustellung von Push-Mitteilungen.

Grundlage der Übermittlung sind die Standardvertragsklauseln der EU-Kommission, die Google mit seinen Kunden abschließt, sowie das EU-US Data Privacy Framework, unter dem Google LLC zertifiziert ist.

7. Wer sieht welche Daten?

• Für alle angemeldeten Nutzerinnen und Nutzer lesbar ist allein dein Anzeigename. Er ist nötig, damit erkennbar ist, wem ein Werkzeug gehört und wer es ausgeliehen hat.
• Nur für dich lesbar sind Telefonnummer, Adresse, die Push-Kennung sowie App-Version, Plattform, Betriebssystem-Version und Zeitpunkt deiner letzten Anmeldung. Sie liegen in einem geschützten Bereich deines Profils, auf den nur dein eigenes Konto zugreifen darf.
• Nur innerhalb deiner Communities sichtbar sind deine Werkzeuge samt Bildern, Standortbezeichnung und Verfügbarkeit.
• Für alle angemeldeten Nutzerinnen und Nutzer lesbar sind außerdem Name, Postleitzahl und Ort einer Community, die ihre Verwaltung öffentlich gemacht hat (siehe 2.9) – nicht aber ihre Mitglieder.
• Deine Beitrittsanfrage sehen nur Ersteller und Admins der betreffenden Community.
• Nur für die Beteiligten sichtbar sind Ausleihen und Anfragen – also für dich und die jeweils andere Seite.
• Die Zusammenfassung deiner Bewertungen (2.10) sehen Mitglieder der Community, in der bewertet wurde, solange die Bewertung dort eingeschaltet ist; angezeigt wird sie, wenn sie eine Anfrage von dir bestätigen. Eine einzelne Bewertung sieht nur, wer sie abgegeben hat, und du selbst – ohne Anzeige, wer sie abgegeben hat.
• Keine Weitergabe an Dritte zu Werbe- oder Analysezwecken. Ein Verkauf von Daten findet nicht statt.

8. Speicherdauer

• Deine Daten werden gespeichert, solange dein Konto besteht.
• Bei der Kontolöschung werden unmittelbar entfernt: Profil samt Kontaktdaten, deine Werkzeuge und deren Bilder, deine persönlichen Standorte, deine Benachrichtigungen, die für dich erzeugten E-Mail-Aufträge, deine Community-Mitgliedschaften, deine Beitrittsanfragen, Bewertungen über dich und von dir samt Zusammenfassungen und Widerspruch (2.10), der Eintrag der Nutzungsstatistik nach 2.8 sowie das Anmeldekonto selbst. Die bereits gebildeten Tageszahlen bleiben bestehen – sie enthalten keinen Personenbezug.
• Ausleihvorgänge werden anonymisiert statt gelöscht: Der Bezug zu deiner Person wird entfernt, der Vorgang selbst bleibt als Historie bei der Besitzerin bzw. dem Besitzer des Werkzeugs erhalten. So bleibt für die andere Seite nachvollziehbar, dass und wann ein Werkzeug verliehen war.
• Beitrittsanfragen bleiben nach der Entscheidung als Verlauf bei der Community, bis diese gelöscht wird oder du dein Konto löschst. Offene Anfragen verfallen, wenn die Community wieder auf „privat“ gestellt wird.
• Standorte, die einem Verein gehören, bleiben bestehen, auch wenn du sie angelegt hast – sie werden von den übrigen Mitgliedern weiterverwendet.
• Bewertungen (2.10) werden nach 24 Monaten automatisch gelöscht. Der Vermerk, dass eine Ausleihe noch bewertet werden kann, wird nach 14 Tagen gelöscht.
• Feedback-Meldungen werden ebenfalls anonymisiert statt gelöscht: Nutzerkennung und E-Mail-Adresse werden entfernt. Die eigentliche Meldung bleibt erhalten, damit ein gemeldeter Fehler weiter behoben werden kann – ein Personenbezug besteht danach nicht mehr.
• Technisch bedingte Sicherungskopien bei Google können für einen kurzen Übergangszeitraum noch Restbestände enthalten.

9. Kontolöschung

Du kannst dein Konto jederzeit selbst löschen:

• In der App: Profil → Konto löschen. Aus Sicherheitsgründen wirst du dabei erneut zur Anmeldung aufgefordert.
• Alternativ per E-Mail an rudolf.stefan.rauch@gmail.com

Die Löschung ist nicht möglich, solange noch offene Vorgänge bestehen – etwa wenn ein Werkzeug von dir gerade verliehen ist, du selbst ein Werkzeug ausgeliehen hast oder eine Anfrage von dir noch unbeantwortet ist. Die App benennt in diesem Fall die betroffenen Werkzeuge.

10. Deine Rechte

Du hast das Recht auf:

• Auskunft über deine gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung deiner Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO)

Wende dich für alle Anliegen an rudolf.stefan.rauch@gmail.com.

Zuständige Aufsichtsbehörde ist die

Du kannst dich auch an die Aufsichtsbehörde deines Aufenthaltsorts, deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes wenden.

11. Änderungen dieser Erklärung

Diese Datenschutzerklärung wird angepasst, wenn sich die App oder die eingesetzten Dienste ändern. Maßgeblich ist die jeweils hier veröffentlichte Fassung; das Datum oben zeigt den aktuellen Stand.

12. Kontakt

Bei Fragen zum Datenschutz:

1. Data Controller

ToolMate is operated by a private individual. The app is free of charge and contains no advertising and no in-app purchases.

2. What Data We Process

2.1 Account and Sign-In Data

Using ToolMate requires an account. Depending on the sign-in method you choose, we process:

• Email and password: your email address. The password is managed exclusively by Firebase Authentication and is not visible to us.
• Sign in with Google: your email address and the Google account identifier Google passes to the app.
• Sign in with Apple: your Apple ID identifier and email address. If you choose “Hide My Email”, we only receive Apple's anonymised relay address (@privaterelay.appleid.com).

Firebase Authentication additionally stores the time your account was created and the time of your last sign-in. At every sign-in, the app version in use, the platform (“android” or “ios”) and the operating system version (for example “Android 15” or “iOS 18.2”) are also recorded together with the time, in a protected area of your profile that only your own account may read. This helps us relate reported problems to a specific version and platform and gauge how the rollout of new versions is progressing. The device model is expressly not stored.

2.2 Profile Data

• Display name – shown to other users so it is clear who owns a tool and who has borrowed it.
• Phone number and address (optional) – stored separately from the rest of your profile in a protected area readable only by you.

2.3 Notification Data

• Push identifier (Firebase Cloud Messaging): an identifier issued on the device, without which push messages cannot be delivered. It is held in a protected area of your profile that only your own account may read, and it is removed when you sign out.
• Notification preferences: whether you want to receive push messages.

No list of your devices is kept.

2.4 Usage Data

• Tools you create (name, description, images, category, location label)
• Locations and categories you add yourself
• Community memberships and roles
• Reservations, requests and borrowings including periods and status
• Requests to join public communities (see 2.9)
• In-app notifications (requests, approvals, reminders, notices about new tools in your communities) and their read status

Where the images come from: You either pick them from your photo library or take them with the camera. Both go through your device's own picker – ToolMate only ever receives the single image you select or capture and never has access to your photo library. The app requests neither a camera nor a photo permission for this. It does not save images to your photo library.

2.5 Feedback

If you use the feedback function, the following is submitted: type of report (bug or feature request), title, description, your user identifier, your email address, the app version, the platform and the device model and operating system version (for example “iPhone 14 Pro” and “iOS 18.2”). The last two are needed because some bugs only appear on particular hardware; the device name you chose yourself is expressly not transmitted. If you delete your account, the user identifier and email address are removed from the report (see section 8).

2.6 Abuse Protection (App Check)

To ensure that only the genuine ToolMate app can access the database, Firebase App Check is used. The operating system confirms the authenticity of the app installation – via DeviceCheck (Apple) on iOS and Play Integrity (Google) on Android. Only the verification result is passed to us, no device identifier.

2.7 Server Logs

When this page or the manual is requested via Firebase Hosting, Google processes technical access data (IP address, timestamp, requested address, browser identifier) in order to deliver and secure the pages.

2.8 Usage Statistics

So that we can tell how many people actually use ToolMate, the app records a date without a time against your account on the first launch of each day – at most one entry per day. That entry is overwritten the next time; no history of your usage is built up, only the statement “last active on this day”.

During the following night an automated job counts how many accounts carry a given day and stores that number alone. From that point on there is no longer any link to a person.

The entry is readable by no one – neither by other users nor by you; it is evaluated on the server side only. It is deleted along with your account (see section 8). No analytics service is used: no device or advertising identifiers are processed, no in-app behaviour is recorded, and no data is passed to third parties.

2.9 Public Communities and Nearby Search

Whoever manages a community or club can make it public. Its name, postcode and town, whether it is a club, and how to join then become visible to all signed-in users. The approximate centre of the postcode is stored alongside so that the search can calculate distances. Members, invitation code and tools remain reserved for members. For a small neighbourhood community, postcode and town roughly indicate where its members live – which is why a community is only public if those who manage it explicitly choose so.

The search for nearby communities uses only the postcode or town you enter. The app does not request your location and needs no location permission. Your input is converted into a search area on your device; only the query for that area is sent to the database, and it is not stored. The mapping of postcodes to their centres comes from GeoNames and is included in the app – no data is sent to GeoNames.

If you send a request to join, the creator and admins of the community see your display name and the request.

2.10 Rating After a Borrowing

In communities where rating is switched on, the lending side can rate a completed borrowing once, up to 14 days after its return – with three predefined answers and no free text: condition on return (as lent, minor defects, damaged), whether arrangements were kept, and whether the tool came back on time. The details come from the lending side, not from the rated person themselves. For this, the rated and the rating person, the tool, the borrowing period, the community and the time are stored. If a club borrows as a whole, the club is rated. Borrowings recorded for people without the app are not rated.

From the ratings, a summary of counts is formed per community (for example “14 borrowings · 13 on time · 1 with minor defects”). It appears only from three ratings onwards and only in the community where the ratings were given. You can see your own ratings in the app under Profile → My ratings, each with tool and date. The name of the person who gave a rating is not shown – although it can usually be inferred from the tool and the date.

If you do not want to be rated, email the address given in section 9. The existing ratings about you will then be deleted, no new ones will be created, and “No information” is shown instead of the counts.

If you believe a rating is wrong, please also write to this address. We will review it and delete it where appropriate.

3. Purpose of Processing

• Providing app functionality and managing your account
• Managing tools, locations and communities
• Finding public communities nearby and joining them
• Handling requests, reservations and borrowings between members
• Rating completed borrowings so that lenders can judge whom they entrust something to (only where a community has switched it on, see 2.10)
• Notifying you about events that concern you (in-app, via push and by email)
• A once-daily notice about new tools from other members in your communities (in-app and via push, not by email; can be switched off in the settings)
• Processing feedback and bug reports
• Protecting the interfaces against abuse

Your behaviour is not analysed for advertising purposes, and there is no third-party tracking. There is no profiling – apart from the summary of ratings described in 2.10, which is limited to one community and does not trigger any automated decisions.

4. Legal Basis

• Art. 6(1)(b) GDPR (performance of a contract) – for the account, tools, borrowings, join requests and the related notifications; without this data the app cannot be used.
• Art. 6(1)(a) GDPR (consent) – for optional details such as phone number and address, for push messages, and for making a community public together with its postcode and town. You may withdraw consent at any time by deleting the entry, turning off the switch in the settings, or setting the community to “private”.
• Art. 6(1)(f) GDPR (legitimate interests) – for abuse protection (App Check), server logs, the app version recorded at sign-in, and the usage statistics described in 2.8. Our interest is in being able to assess and develop the operation of the app; set against this is a single overwritten date without a time, from which no usage behaviour can be derived.
• Art. 6(1)(f) GDPR (legitimate interests) – for the rating described in 2.10. The lenders’ interest lies in being able to judge whom they entrust a tool to. Set against this are narrowly limited details: three predefined answers without free text, visible only in the community concerned, expiry after 24 months, access to your own ratings, and a right to object.

5. Services Used

ToolMate uses services provided by Google (Firebase). For users in the European Economic Area the provider is Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland.

• Firebase Authentication – sign-in and account management
• Cloud Firestore – database for profiles, tools, borrowings and notifications
• Firebase Storage – storage of tool images
• Cloud Functions – server-side operations (invitations, joining public communities, account deletion, dispatch of notifications)
• Firebase Cloud Messaging – delivery of push messages
• Firebase App Check – abuse protection (see 2.6)
• Firebase Hosting – delivery of this privacy policy and the manual
• Firebase extension “Trigger Email” – sending notification emails

Firebase privacy information: https://firebase.google.com/support/privacy

Emails are sent through a Google mail account (SMTP). The recipient address and the content of the message are transmitted to Google in the process.

For sign-in with Google or Apple and for abuse protection, Google LLC and Apple Inc. respectively act as controllers in their own right. Their privacy policies apply.

6. Storage Locations and Transfers to Third Countries

Notification emails are therefore dispatched in the United States: the message concerned, including the recipient address, leaves the EU for this purpose. The same applies to the delivery of push messages.

Such transfers are based on the European Commission's Standard Contractual Clauses, which Google concludes with its customers, and on the EU-US Data Privacy Framework, under which Google LLC is certified.

7. Who Can See What?

• Readable by all signed-in users: your display name and nothing else. It is required so that it is clear who owns a tool and who has borrowed it.
• Readable only by you: your phone number, address, push identifier, and the app version, platform, operating system version and time of your last sign-in. They are held in a protected area of your profile that only your own account may access.
• Visible only within your communities: your tools including images, location label and availability.
• Also readable by all signed-in users: the name, postcode and town of a community whose managers have made it public (see 2.9) – but not its members.
• Your request to join is seen only by the creator and admins of the community concerned.
• Visible only to those involved: borrowings and requests – that is, you and the other party.
• The summary of your ratings (2.10) is seen by members of the community where the ratings were given, as long as rating is switched on there; it is shown when they confirm a request from you. An individual rating is seen only by the person who gave it, and by you – without showing who gave it.
• No disclosure to third parties for advertising or analytics purposes. Data is not sold.

8. Data Retention

• Your data is stored for as long as your account exists.
• On account deletion the following is removed immediately: your profile including contact details, your tools and their images, your personal locations, your notifications, the email jobs created for you, your community memberships, your requests to join communities, ratings about you and by you together with summaries and any objection (2.10), the usage-statistics entry described in 2.8, and the sign-in account itself. The daily totals already calculated remain – they contain no personal reference.
• Borrowing records are anonymised rather than deleted: the link to you as a person is removed, while the record itself remains as history for the owner of the tool. This keeps it traceable for the other party that and when a tool was on loan.
• Requests to join remain with the community as history once decided, until the community is deleted or you delete your account. Open requests lapse when the community is set back to private.
• Locations owned by a club remain in place even if you created them – they continue to be used by the other members.
• Ratings (2.10) are deleted automatically after 24 months. The note that a borrowing can still be rated is deleted after 14 days.
• Feedback reports are likewise anonymised rather than deleted: the user identifier and email address are removed. The report itself is retained so that a reported bug can still be fixed – it no longer relates to an identifiable person afterwards.
• For technical reasons, backup copies held by Google may still contain residual data for a short transitional period.

9. Account Deletion

You can delete your account yourself at any time:

• In the app: Profile → Delete account. For security reasons you will be asked to sign in again.
• Alternatively by email to rudolf.stefan.rauch@gmail.com

Deletion is not possible while transactions are still open – for example if a tool of yours is currently on loan, you have borrowed a tool yourself, or a request of yours is still unanswered. In that case the app names the tools concerned.

10. Your Rights

You have the right to:

• Access your stored data (Art. 15 GDPR)
• Rectification of incorrect data (Art. 16 GDPR)
• Erasure of your data (Art. 17 GDPR)
• Restriction of processing (Art. 18 GDPR)
• Data portability (Art. 20 GDPR)
• Object to processing (Art. 21 GDPR)
• Withdraw consent with effect for the future (Art. 7(3) GDPR)
• Lodge a complaint with a data protection supervisory authority (Art. 77 GDPR)

For all such matters please contact rudolf.stefan.rauch@gmail.com.

The competent supervisory authority is the

You may also contact the supervisory authority of your place of residence, your place of work or the place of the alleged infringement.

11. Changes to This Policy

This privacy policy is updated when the app or the services it uses change. The version published here is the authoritative one; the date at the top shows the current status.

12. Contact

For privacy-related questions: