Onboarding-Einwilligungen (Entwurf)

Ziel: eine granulare Einwilligung (Live-Standort-Teilen), opt-in (unangehakt/nicht vorausgewählt), bevor die native OS-Berechtigungsabfrage (iOS/Android Standort) erscheint. Reihenfolge wichtig: App-Erklärung zuerst ("Priming"), dann erst der System-Dialog – erhöht Akzeptanz und ist auf iOS gängige Praxis.

Änderung 07/2026: Der frühere Consent-Screen B (Notfall-Verlauf) wurde MIT dem Feature ersatzlos entfernt – es wird kein Standortverlauf mehr gespeichert, auch nicht anonymisiert. Der Server behält das Consent-Flag und den PATCH-Endpunkt nur zur Kompatibilität mit alten Beta-Builds; aufgezeichnet wird unabhängig davon nichts.

Reihenfolge im Onboarding

  1. Telefonnummer-Eingabe + SMS-OTP-Verifizierung (kein separates Consent-Häkchen nötig – Vertragserfüllung, aber Hinweistext siehe unten)
  2. Consent-Screen A: Live-Standort-Teilen
  3. Erst danach: native Permission-Dialoge (Standort "Bei App-Nutzung" → später ggf. Upgrade auf "Immer")

Hinweistext bei Telefonnummer-Eingabe

Wir verwenden deine Telefonnummer, um dein Konto zu verifizieren und dir zu ermöglichen, Kontakte anhand ihrer Nummer zu Gruppen hinzuzufügen. [Mehr in der Datenschutzerklärung →]

Consent-Screen A – Live-Standort-Teilen

Titel: Standort mit deinen Gruppen teilen

Text:

Damit Mitglieder deiner Gruppen sehen können, wo du dich gerade befindest, teilen wir deinen Standort mit ihnen. Das geschieht ausschließlich, wenn du es auslöst: beim Setzen eines Status wird genau eine Position geteilt, und mit der Live-Freigabe folgt dein Standort dir, solange die App geöffnet ist. Im Hintergrund wird nie ein Standort erfasst. Du kannst das Teilen jederzeit pro Gruppe pausieren, ohne die Gruppe zu verlassen. Nur dein aktueller Standort wird angezeigt – kein Verlauf.

Checkbox (nicht vorausgewählt):

☐ Ich stimme zu, dass mein Live-Standort mit Mitgliedern meiner Gruppen geteilt wird. [Datenschutzerklärung →]

Buttons: Zustimmen und weiter (deaktiviert, bis Checkbox aktiv) · Nicht jetzt (führt aus der App / erklärt, dass Kernfunktion ohne Zustimmung nicht nutzbar ist)

Consent-Screen B – Notfall-Verlauf (ENTFERNT 07/2026)

Das Feature „Standortverlauf für Notfälle" wurde ersatzlos gestrichen (Entscheidung Patrick, 14.07.2026): kein Verlauf, keine Anonymisierung, kein Statistik-Pool. Damit entfällt Screen B vollständig. Der historische Wortlaut ist über die Git-Historie dieses Dokuments auffindbar; die zugehörigen Consent-Events (Audit-Trail) bleiben gespeichert, dokumentieren aber eine Verarbeitung, die nicht mehr stattfindet.

Datenmodell-Implikation: Ein Consent-Flag pro Nutzer (consent_live_sharing) mit Zeitstempel der Zustimmung/des Widerrufs. Live-Standort-Updates an die Gruppe dürfen nur gesendet werden, wenn consent_live_sharing = true. (consent_history_emergency existiert nur noch als totes Kompatibilitäts-Flag für alte Builds.)

Änderung 09/2026 (Textfassung 2026-09-04): Der Wortlaut nennt jetzt BEIDE Wege, auf denen eine Position entsteht – den Status-Check-in und die Live-Freigabe – und stellt ausdrücklich klar, dass im Hintergrund nie erfasst wird. Der Versionsstempel in CONSENT_TEXT_VERSIONS ist mitgezogen, damit consent_events festhält, welche Fassung jemand angenommen hat. Bestandsnutzer werden dadurch NICHT erneut gefragt (der Router-Guard hängt an „schon einmal entschieden", nicht an der Version): für sie ist der Startknopf der Live-Freigabe selbst die eindeutige bestätigende Handlung, und die Datenschutzerklärung beschreibt beide Wege. Punkt für die ausstehende juristische Prüfung.

Widerruf (Einstellungen)