Onboarding-Einwilligungen (Entwurf)

Ziel: eine granulare Einwilligung (Live-Standort-Teilen), opt-in (unangehakt/nicht vorausgewählt), bevor die native OS-Berechtigungsabfrage (iOS/Android Standort) erscheint. Reihenfolge wichtig: App-Erklärung zuerst ("Priming"), dann erst der System-Dialog – erhöht Akzeptanz und ist auf iOS gängige Praxis.

Änderung 07/2026: Der frühere Consent-Screen B (Notfall-Verlauf) wurde MIT dem Feature ersatzlos entfernt – es wird kein Standortverlauf mehr gespeichert, auch nicht anonymisiert. Der Server behält das Consent-Flag und den PATCH-Endpunkt nur zur Kompatibilität mit alten Beta-Builds; aufgezeichnet wird unabhängig davon nichts.

Reihenfolge im Onboarding

  1. Telefonnummer-Eingabe + SMS-OTP-Verifizierung (kein separates Consent-Häkchen nötig – Vertragserfüllung, aber Hinweistext siehe unten)
  2. Consent-Screen A: Live-Standort-Teilen
  3. Erst danach: native Permission-Dialoge (Standort "Bei App-Nutzung" → später ggf. Upgrade auf "Immer")

Hinweistext bei Telefonnummer-Eingabe

Wir verwenden deine Telefonnummer, um dein Konto zu verifizieren und dir zu ermöglichen, Kontakte anhand ihrer Nummer zu Gruppen hinzuzufügen. [Mehr in der Datenschutzerklärung →]

Consent-Screen A – Live-Standort-Teilen

Titel: Standort mit deinen Gruppen teilen

Text:

Damit Mitglieder deiner Gruppen sehen können, wo du dich gerade befindest, teilen wir deinen Live-Standort mit ihnen. Du kannst das Teilen jederzeit pro Gruppe pausieren, ohne die Gruppe zu verlassen. Nur dein aktueller Standort wird angezeigt – kein Verlauf.

Checkbox (nicht vorausgewählt):

☐ Ich stimme zu, dass mein Live-Standort mit Mitgliedern meiner Gruppen geteilt wird. [Datenschutzerklärung →]

Buttons: Zustimmen und weiter (deaktiviert, bis Checkbox aktiv) · Nicht jetzt (führt aus der App / erklärt, dass Kernfunktion ohne Zustimmung nicht nutzbar ist)

Consent-Screen B – Notfall-Verlauf (ENTFERNT 07/2026)

Das Feature „Standortverlauf für Notfälle" wurde ersatzlos gestrichen (Entscheidung Patrick, 14.07.2026): kein Verlauf, keine Anonymisierung, kein Statistik-Pool. Damit entfällt Screen B vollständig. Der historische Wortlaut ist über die Git-Historie dieses Dokuments auffindbar; die zugehörigen Consent-Events (Audit-Trail) bleiben gespeichert, dokumentieren aber eine Verarbeitung, die nicht mehr stattfindet.

Datenmodell-Implikation: Ein Consent-Flag pro Nutzer (consent_live_sharing) mit Zeitstempel der Zustimmung/des Widerrufs. Live-Standort-Updates an die Gruppe dürfen nur gesendet werden, wenn consent_live_sharing = true. (consent_history_emergency existiert nur noch als totes Kompatibilitäts-Flag für alte Builds.)

Widerruf (Einstellungen)