Datenschutzerklärung

Stand: 25.10.2026

Hier informieren wir Sie über die Verarbeitung personenbezogener Daten bei der Nutzung der App "ForUsOnly" und unserer zugehörigen Webseiten gemäß der Datenschutz-Grundverordnung (DSGVO).

1. Verantwortlicher

Cyberschmiede GmbH
Im See 1
87629 Füssen, Deutschland
Handelsregister: HRB 15167, Amtsgericht Kempten (Allgäu)
USt-IdNr.: DE330910379
E-Mail: forusonly@cyberschmiede.net
Geschäftsführer: Joachim Benjamin Sahler

2. Rechtsgrundlagen der Verarbeitung

Wir verarbeiten Ihre Daten auf Basis von:

• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung): Für die Bereitstellung der Kernfunktionen (Chat, Login, Medien, Anrufe, Kalender, Spiele, Partnerverknüpfung und Support) sowie für die Echtzeit-Standortanzeige zwischen den Partnern (inkl. Hintergrunderfassung) als Kernleistung der App. Die Weitergabe des Standorts an den Partner können Sie jederzeit über die Me-Time-Funktion pausieren.
• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung): Für den Zugriff auf Kamera, Mikrofon, Fotos, Kalender und Push-Benachrichtigungen, für personalisierte Werbung sowie für die Übermittlung von Nutzereingaben und Beziehungs-Kontextdaten (Abschnitt 3.6) an Google Vertex AI / Gemini im Rahmen der KI-Funktionen ("Nova", Chat mit dem KI-Demo-Partner einschließlich Gedächtnis, Live-Bildern und KI-Texten in Spielen, Bildanalyse und KI-Bildbearbeitung). Geräteberechtigungen können Sie jederzeit in den Geräteeinstellungen entziehen. Die Einwilligung in die KI-Funktionen und in personalisierte Werbung können Sie jederzeit mit Wirkung für die Zukunft widerrufen — die Einwilligung in personalisierte Werbung direkt in der App über "Einstellungen → Werbe-Einstellungen" oder über die Privatsphäre-/Werbeeinstellungen Ihres Geräts, im Übrigen formlos per E-Mail an forusonly@cyberschmiede.net. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Die Einwilligung in die KI-Funktionen ist freiwillig und keine Bedingung für die Nutzung der App; ohne sie stehen Nova, die Beschreibung geteilter Momente und die KI-Bearbeitung im Bildeditor nicht zur Verfügung, und der KI-Demo-Partner antwortet nur aus einem festen Textvorrat der App, merkt sich nichts und schickt keine Live-Bilder. Sie können sie jederzeit in der App unter "Einstellungen → KI-Funktionen" erteilen und widerrufen.
• Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse): Für Sicherheitsmaßnahmen (App Check, Rate Limiting, Missbrauchsprävention), Fehleranalyse (Crashlytics), nicht-personalisierte Werbung, Supportbearbeitung und technische Qualitätssicherung.

2a. Mindestalter

Die Nutzung der App setzt die Vollendung des 16. Lebensjahres voraus (Art. 8 DSGVO). Personen unter 16 Jahren dürfen die App nicht nutzen. Eine Verarbeitung personenbezogener Daten von Kindern unter 16 Jahren findet wissentlich nicht statt, abgesehen von dem Schutzvermerk nach Abschnitt 3.14.

3. Kategorien verarbeiteter Daten und Zwecke

3.1. Bestandsdaten und Anmeldung:

• E-Mail-Adresse, User-ID, Profilbild, Nickname, Verbindungsstatus, Erstellungs- und Aktualisierungszeitpunkte.
• Zweck: Identifikation, Account-Verwaltung, Anmeldung und Partnerverknüpfung.
• Bei Google Sign-In: Google-Profildaten (Name, E-Mail, Profilbild) gemäß Google-OAuth.
• Bei Apple Sign-In: Apple-ID-Token, eindeutige Apple-Kennung sowie Name und E-Mail-Adresse, soweit von Apple bzw. vom Nutzer freigegeben.
• Anwesenheitsstatus: Ob die App bei Ihnen gerade geöffnet ist oder im Hintergrund läuft, sowie der Zeitpunkt des letzten Lebenszeichens (im Vordergrund alle 30 Sekunden erneuert). Ihr Partner sieht daraus, ob Sie online sind bzw. seit wann Sie offline sind. Gespeichert wird nur der jeweils letzte Stand.

3.2. Partnerverbindung, Einladungen und Pairing:

• Invite-Links, Pairing-Codes, QR-Code-Inhalte, Token-Status, Ablaufzeit, Ersteller, Einlöser und technische Reservierungs-/Missbrauchsschutzdaten.
• Zweck: Sichere Herstellung und Verwaltung der exklusiven Paar-Verbindung.
• Annahme einer neuen Anfrage bei bestehender Verbindung: Nehmen Sie eine Verbindungsanfrage an, während Ihre Paar-Verbindung besteht, wird die bestehende Verbindung in demselben Schritt beendet; die Folgen für die gemeinsamen Inhalte beschreibt Abschnitt 9.
• Zwischenablage: Um Ihnen Tipparbeit zu ersparen, kann die App den Inhalt der Zwischenablage lokal prüfen — beim Start auf einen ForUsOnly-Einladungslink oder -Code, beim Öffnen der Dialoge zum Teilen von Musik bzw. zum Starten einer Jam-Sitzung auf einen Musik-Link, sowie im Eingabefeld für den Partner-Code erst dann, wenn Sie die Einfügen-Schaltfläche ausdrücklich antippen. Die Prüfung erfolgt ausschließlich auf dem Gerät; andere Inhalte der Zwischenablage werden weder gespeichert noch übermittelt.
• Einladung über Ihre eigenen Apps: Laden Sie Ihren Partner per Messenger oder E-Mail ein, stellt die App auf Ihrem Gerät einen Einladungstext mit Ihrem Code und Links zu den App-Stores zusammen und übergibt ihn an die von Ihnen gewählte App (z.B. einen Messenger oder Ihre Mail-App); versendet wird die Einladung von dieser App, nicht von uns. Den Empfänger wählen bzw. tragen Sie dort selbst ein. Einen für die Anrede eingegebenen Vornamen verwendet die App nur für diesen Text und speichert ihn nicht; Ihre zuletzt verwendete Unterschrift merkt sie sich nur lokal auf Ihrem Gerät. Name oder Adresse des Empfängers werden nicht an unsere Server übermittelt. Für die Übermittlung durch den gewählten Messenger- oder E-Mail-Dienst gelten dessen Datenschutzbestimmungen.
• Abschiedshinweis am Ende der Verbindung: Endet eine Paar-Verbindung, hinterlegen wir für den verbleibenden Partner einen Hinweis mit dem Anzeigenamen des anderen, dem Zeitpunkt und dem Anlass — Trennung, Löschung des Kontos oder automatische Löschung nach sechs Monaten Inaktivität. Bei einer Trennung enthält er zusätzlich den Abschiedstext, den der andere Partner freiwillig verfasst hat. Dieser Hinweis wird unverschlüsselt beim Empfänger gespeichert, damit er ihn auch dann erhält, wenn die Push-Benachrichtigung ausbleibt (Gerät ausgeschaltet, Mitteilungen abgeschaltet). Er besteht damit bewusst über das Ende der Verbindung hinaus fort — abweichend von der Regel, dass mit der Verbindung alle gemeinsamen Inhalte entfallen — und wird gelöscht, sobald der Empfänger ihn in der App zur Kenntnis genommen hat, spätestens bei Löschung von dessen Konto (Abschnitt 9).

3.3. Standortdaten (Besonderer Hinweis):

• Art: GPS-Koordinaten, Höhe, Geschwindigkeit, Zeitstempel und technische Genauigkeitsinformationen.
• Zweck: Berechnung der Distanz zum Partner in Echtzeit und Anzeige auf Karten.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) — die Echtzeit-Ortbarkeit zwischen den Partnern ist die Kernleistung der App. Die Weitergabe an den Partner können Sie jederzeit über die Me-Time-Funktion pausieren.
• Verarbeitung: Daten werden TLS-verschlüsselt übertragen. Gespeichert wird serverseitig nur der jeweils letzte Standort (wird überschrieben). Es erfolgt keine dauerhafte Speicherung von Bewegungshistorien auf unseren Servern.
• Hintergrunderfassung: Bei aktivierter Standortfreigabe wird der Standort auch im Hintergrund erfasst und übermittelt. Dies ist für die Kernfunktion der Echtzeit-Distanzanzeige erforderlich.
• Standortanfrage des Partners: Bittet Ihr Partner um Ihren aktuellen Standort, sendet unser Server Ihrem Gerät eine stille Push-Benachrichtigung und, bleibt diese unbeantwortet, eine sichtbare. Android startet daraufhin den Standortdienst der App, sofern Sie die Standortfreigabe eingeschaltet haben. Auf iOS ermittelt eine Mitteilungs-Erweiterung der App den Standort einmalig bzw. während einer Live-Ansicht fortlaufend und übermittelt ihn an unseren Server; als Berechtigung dient ein von unserem Server signiertes, zehn Minuten gültiges Token in der Benachrichtigung. Voraussetzung ist in beiden Fällen die erteilte Standortberechtigung und eine bestehende Paar-Verbindung.
• Live-Ansicht der Karte: Solange Ihr Partner die Karte in der App geöffnet hat, sendet seine App etwa alle 20 Sekunden eine Anfrage an Ihr Gerät. Ihr Gerät ermittelt den Standort dann mit hoher Genauigkeit (auch im Hintergrund) und übermittelt ihn je nach Bewegung alle 5 bis 30 Sekunden. Kommt keine Anfrage mehr, endet dies nach spätestens 45 Sekunden; nach 5 Minuten muss Ihr Partner die Fortsetzung bestätigen. Voraussetzung sind die erteilte Standortfreigabe und dass keine Me-Time aktiv ist. Auch dabei speichern wir nur den jeweils letzten Standort.
• Gerätestatus für Ihren Partner: Damit Ihr Partner versteht, warum Ihr Standort gerade nicht aktuell ist, und Sie gezielt bitten kann, etwas einzuschalten, meldet die App den Stand Ihrer Geräteeinstellungen an unsere Datenbank: ob Mitteilungen erlaubt sind, welche Standortberechtigung erteilt ist (auf iOS auch, ob der genaue Standort freigegeben und die Hintergrundaktualisierung eingeschaltet ist), ob ein Energie- bzw. Stromsparmodus das Teilen des Standorts einschränkt, die Plattform Ihres Geräts (Android oder iOS) und auf iOS den Zeitpunkt der Meldung. Lesen können diese Angaben nur Sie und Ihr Partner, solange Ihre Paar-Verbindung besteht. Gespeichert wird nur der jeweils letzte Stand; er wird mit Ihrem Konto gelöscht.
• Android nutzt u.a. Google Play Services Location, Google Maps SDK, Google Places SDK und die Geocoding-Schnittstelle des Systems (auf Geräten mit Google-Diensten von Google bereitgestellt). iOS nutzt CoreLocation, Apple MapKit und CLGeocoder. Die Erdkugel und die Karte auf der Startseite zeichnen beide Plattformen mit der Open-Source-Bibliothek MapLibre; die Kartenkacheln stammen von OpenFreeMap (siehe Abschnitt 7).
• Sie können die Standortfreigabe jederzeit in den App-Einstellungen oder den Geräteeinstellungen deaktivieren.
• Bei Auflösung der Paar-Verbindung wird die gegenseitige Standortfreigabe automatisch und sofort beendet. Der zuletzt gespeicherte Standort wird gelöscht.
• Hinweis: Der "jeweils letzte" Standort bezieht sich auf den Live-Standort der Distanzanzeige. Für den Aufnahmeort geteilter Fotos und Videos gilt Abschnitt 3.11.
• Demo-Modus: Im Demo-Modus ist die Standortfreigabe nicht erforderlich; ohne sie zeigen Liebeskompass und Karte Beispielorte. Geben Sie Ihren Standort im Demo-Modus über die Kartenansicht frei, verwendet die App ihn nur auf Ihrem Gerät (Anzeige im Liebeskompass, nur während die App geöffnet ist); er wird weder an unsere Server übermittelt noch in unserer Datenbank gespeichert. Um den Namen Ihres Ortes und drei Straßenpunkte in bis zu 5 km Entfernung als Aufenthaltsorte des KI-Demo-Partners zu bestimmen, übermittelt die App Koordinaten an den Geocoding-Dienst des Betriebssystems (Android: Geocoder, auf Geräten mit Google-Diensten von Google bereitgestellt; iOS: Apple CLGeocoder). Ortsname und Straßenpunkte speichert die App nur auf Ihrem Gerät; sie werden gelöscht, wenn Sie die Standortberechtigung entziehen oder der Demo-Modus endet.
• KI-Funktionen: Standortkoordinaten werden nicht an die KI übermittelt. Als KI-Kontext kann lediglich der daraus abgeleitete Nähe-Status ("in der Nähe"/"räumlich getrennt") verwendet werden (Abschnitt 3.6). Im Demo-Modus kann zusätzlich der Name Ihres Ortes (ohne Koordinaten) an die KI übermittelt werden (Abschnitt 3.6).

3.4. Inhaltsdaten, Chat, Medien und Linkvorschauen:

• Chat-Nachrichten, Bilder, Videos, Sprachnachrichten, Status-Updates, geteilte Links und Linkvorschau-Metadaten.
• Zweck: Übermittlung an den verknüpften Partner, Darstellung von Medien und Links, Missbrauchsprävention und technische Zustellung.
• Chat-Nachrichten und bestimmte Inhaltsdaten werden anwendungsseitig verschlüsselt gespeichert. Metadaten und technisch notwendige Zustellinformationen können zur Funktionserbringung in Firebase gespeichert werden.
• Zustell- und Lesestatus: Für die Haken an Ihren Nachrichten speichern wir je Partner den Zeitpunkt, zu dem Nachrichten auf dessen Gerät eingegangen sind, sowie den Zeitpunkt, bis zu dem er den Chat gelesen hat. Damit der Zustellhaken auch dann gesetzt werden kann, wenn die App gerade nicht geöffnet ist, wird die Push-Benachrichtigung im Hintergrund verarbeitet.
• Reaktionen: Reagieren Sie auf eine Nachricht, werden das gewählte Symbol (Emoji), die Kennung der Nachricht, Ihre Nutzerkennung und der Zeitpunkt gespeichert und dem Partner angezeigt.
• Zustell- und Lesestatus sowie Reaktionen sind Funktionsdaten und werden — anders als der Nachrichtentext — unverschlüsselt gespeichert. Sie werden mit der zugehörigen Unterhaltung gelöscht, spätestens mit der Löschung eines der beiden Konten (Abschnitt 9).
• Bei geteilten Links kann serverseitig eine Linkvorschau erzeugt werden. Dabei wird die URL von unseren Servern technisch z.B. per Server-/Puppeteer-Browser-Abruf abgerufen; bei YouTube kann der YouTube-oEmbed-Dienst genutzt werden. Gespeichert werden z.B. Titel, Beschreibung, Vorschaubild und Ziel-URL.
• Speicherort von Fotos, Videos und Profilbildern: Diese Dateien werden verschlüsselt übertragen, automatisiert geprüft (Abschnitt 3.5) und bei uns nur bis zur Zustellung an beide Geräte gespeichert. Nach der Zustellung an beide Geräte löschen wir sie spätestens innerhalb von 24 Stunden; kommt eine Zustellung nicht zustande, spätestens 30 Tage nach dem Hochladen. Dauerhaft liegen sie in der App auf den Geräten beider Partner. Verlieren beide Geräte ihre Kopie, können wir die Datei nicht wiederherstellen. Fehlt einem Gerät eine Datei, kann es sie beim Gerät des Partners anfordern; dabei wird vermerkt, welches Gerät welche Datei angefordert, welches sie erhalten und welches gemeldet hat, sie nicht mehr zu besitzen.
• Vor einer Paar-Verbindung findet kein Austausch von Bildern statt (ausgenommen Inhalte, die Sie selbst im Demo-Modus teilen). Eine Verbindungsanfrage enthält kein Profilbild. Ein vor der Verbindung gewähltes Profilbild verbleibt bis dahin auf Ihrem Gerät.
• Live-Bilder der KI-Begleitung laden nicht Sie hoch; für sie gilt nicht die Speicherung bis zur Zustellung, sondern Abschnitt 3.14.

3.5. Medienmoderation und Bild-/Videoanalyse:

• Hochgeladene Bilder und Videos können automatisiert auf unzulässige Inhalte geprüft werden.
• Eingesetzt werden dafür Bilderkennungs- und KI-Dienste von Google in der Europäischen Union: Google Cloud Vision SafeSearch bzw. Google Vertex AI (Verarbeitung in der Europäischen Union). Bei Videos werden einzelne über die Laufzeit verteilte Einzelbilder ausgewertet.
• Diese Prüfung erfüllt eine Schutzpflicht und findet unabhängig von Ihrer Einwilligung in die KI-Funktionen (Abschnitt 3.6) statt. Sie lässt sich nicht abwählen.
• Zweck: Sicherheit, Jugendschutz, Durchsetzung der AGB und Schutz vor rechtswidrigen Inhalten.
• Das Ergebnis kann zur Freigabe, Ablehnung, Löschung oder Markierung von Medien führen. Es findet keine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO statt.
• Überprüfung auf Ihren Wunsch: Verlangen Sie nach einer Sperre die in den Nutzungsbedingungen (Ziffer 3.4a) vorgesehene Überprüfung, wird die Datei ein weiteres Mal an Google Vertex AI übermittelt, diesmal an ein leistungsfähigeres Modell. Ergebnis, Begründung und verwendetes Modell werden zur Sperre gespeichert; ein Freitext wird dabei nicht erhoben.
• Meldung durch den Partner: Meldet Ihr Partner einen geteilten Moment, speichern wir dessen Nutzerkennung, den Zeitpunkt, den aus einer festen Liste gewählten Grund und die Kennung des Moments in einem nur für uns zugänglichen Bereich und senden dieselben Angaben per E-Mail an unser Support-Postfach (Abschnitt 3.10). Meldungen bewahren wir zur Nachweisbarkeit auch nach der Löschung eines Kontos für eine angemessene Frist auf.

3.6. KI-Interaktionsdaten (Nova, Bildanalyse & Beziehungs-Kontext):

• Texteingaben an den KI-Berater "Nova", Bilder zur KI-gestützten Analyse bzw. Bearbeitung und für die Antwortgenerierung relevante Kontextdaten.
• Zweck: Generierung von KI-Antworten, Bildanalysen und personalisierten Beziehungshinweisen.
• Verarbeitung: Eingaben werden an Google Vertex AI / Gemini übermittelt. Zur Verbesserung der KI-Antworten können - soweit vorhanden - Auszüge aus Nova-Verlauf, Hauptchat (einschließlich unverschlüsselter Linkvorschau-Titel und aggregierter Kommunikationsstatistiken wie Nachrichtenanzahl je Partner), Momenten/AI-Analysen (einschließlich des ggf. aus Foto-Metadaten abgeleiteten Ortsnamens des Moments), Beziehungsaktivität (einschließlich Herz-Aktivität und Love Level), Stimmungsverlauf, Matches-Profilen, gemeinsamen Kalender-Einträgen (z.B. Jahrestage, Geburtstage), der gemeinsamen Wunschliste, geteilter Musik (Titel, Interpret, Widmungen), Spiele-Aktivität (Spielzeitpunkte, Highscore-Kommentare) sowie dem abgeleiteten Nähe-Status (nur "in der Nähe"/"räumlich getrennt", ohne Standortkoordinaten) verarbeitet und an Vertex AI / Gemini übermittelt werden. Chat-Nachrichten und Nova-Verlauf sind dabei verschlüsselt gespeichert und werden für diese Verarbeitung serverseitig entschlüsselt; die übrigen Kontextdaten sind unverschlüsselt gespeichert. Diese Kontextdaten sind nicht zwingend anonym, da sie Nicknames und Beziehungskontext enthalten können. Google verwendet diese Daten laut eigenen Angaben nicht zum Training der Basismodelle.
• Chat mit dem KI-Demo-Partner: Vor bzw. ohne Partnerverbindung können Sie die App mit einem KI-Demo-Partner kennenlernen — einer von mehreren frei erfundenen Personas, die Sie selbst wählen. Es handelt sich um keine reale Person: Name, Bild, Charakter, Alltag, Momente, Songs, Status und Antworten der Persona sind erfunden bzw. mit KI erzeugt. Die Bilder der Personas sind vorab mit KI erzeugt, werden mit der App ausgeliefert und sind als KI-erzeugt gekennzeichnet (sichtbar in der App, maschinenlesbar als IPTC-Herkunftsvermerk). Mit Ihrer Einwilligung in die KI-Funktionen werden für jede Antwort an Google Vertex AI / Gemini übermittelt: Ihre aktuelle Nachricht (ein geteilter Song nur als Titel und Interpret), ein im Demo-Chat oder als Moment geteiltes Bild bzw. das Vorschaubild eines Videos in verkleinerter Form, die letzten 12 Nachrichten des Demo-Chats, die gewählte Persona, Uhrzeit und Wochentag, Aufenthalt und Status der Persona, das Gedächtnis der Persona samt Fotobeschreibungen, Terminen und der Zusammenfassung des letzten Gesprächs, das aktuelle Datum und die Angabe, ob heute noch ein Live-Bild möglich ist (Abschnitt 3.14), sowie — nur wenn Sie Ihren Standort im Demo-Modus freigegeben haben — der Name Ihres Ortes, nie Koordinaten (Abschnitt 3.3). Die Antworten erzeugt Google Vertex AI / Gemini über den EU-Endpunkt; antwortet das Hauptmodell nicht rechtzeitig, antwortet ein weiteres Gemini-Modell desselben Dienstes (kein zusätzlicher Empfänger). Ohne Einwilligung wird nichts davon an die KI übermittelt; der Demo-Partner antwortet dann aus einem festen Textvorrat der App. Die gewählte Persona speichern wir zu Ihrem Konto (Kennung der Persona und einer Standardstadt), damit sie auch nach einer Neuinstallation erhalten bleibt. Nachrichten, Momente, Termine, Wünsche und Songs des Demo-Modus liegen wie Inhalte einer Paar-Verbindung in unserer Datenbank; Fotos und Videos, die Sie im Demo-Modus teilen, werden wie in den Abschnitten 3.4 und 3.5 beschrieben übertragen, automatisiert geprüft und bei uns nur bis zur Zustellung gespeichert, im Demo-Chat ebenso wie als Moment; als zugestellt gelten sie, sobald Ihr eigenes Gerät sie hat, da die KI-Begleitung kein Gerät hat. Danach liegen sie nur noch auf Ihrem Gerät. Haben Sie in den Einstellungen die automatische Sicherung eingeschaltet, legt die App diese eigenen Fotos und Videos sowie Ihr Profilbild auch im Demo-Modus in den Fotos Ihres Geräts ab; Bilder der Personas und Live-Bilder sichert sie nie. Melden Sie eine Antwort des Demo-Partners, speichern wir Ihre Nutzerkennung, den Zeitpunkt, den gewählten Grund sowie Kennung und Wortlaut der Antwort in einem nur für uns zugänglichen Bereich und senden dieselben Angaben per E-Mail an unser Support-Postfach (wie in Abschnitt 3.5).
• Wetter im Demo-Chat: Haben Sie Ihren Standort im Demo-Modus freigegeben, bestimmt die App auf Ihrem Gerät die nächstgelegene Stadt aus einer festen Liste (nur bis 150 km Entfernung) und übermittelt mit Ihrer Nachricht allein deren Kennung, nie Koordinaten. Für diese Stadt — ohne Freigabe für die Stadt der Persona; liegt ein Ortsname, aber keine Kennung vor, entfällt das Wetter — ruft unser Server das aktuelle Wetter beim Deutschen Wetterdienst (DWD) über den Dienst Bright Sky ab und gibt es als kurzen Satz an die KI weiter. Dabei werden nur die festen Koordinaten der Stadt übermittelt, keine Angaben über Sie. Wetterdaten: Deutscher Wetterdienst (DWD), abgerufen über Bright Sky.
• Mini-Chat vor der Anmeldung: In der Persona-Wahl können Sie vorgegebene Fragen stellen; die Antworten sind fest in der App hinterlegt, eine KI ist nicht beteiligt. Der Verlauf bleibt bis zur Anmeldung verschlüsselt auf Ihrem Gerät und verlässt es nicht; mit der Anmeldung wird er in den Demo-Chat übernommen und dann wie oben beschrieben gespeichert. Melden Sie sich nicht an, löscht die App ihn nach spätestens 7 Tagen; ebenso, wenn Sie "Ich habe schon ein Konto" oder den Weg über einen Einladungscode wählen.
• KI-Begleitung wechseln, Gedächtnis, Live-Bilder und Spiele: siehe Abschnitt 3.14.

3.7. Anrufdaten (VoIP) und Push-Benachrichtigungen:

• Zeitpunkt, Dauer, Art (Audio/Video), Signalisierungsdaten sowie technische Push- und Geräteinformationen.
• Zweck: Ermöglichung der Anruffunktion, Zustellung von Anruf-, Chat-, Standort- und Systembenachrichtigungen.
• Verarbeitung: Anrufe werden Peer-to-Peer über WebRTC transportverschlüsselt (DTLS-SRTP) übertragen. Es erfolgt keine Aufzeichnung von Gesprächen durch den Anbieter. Signalisierungsdaten werden über Firebase Realtime Database übermittelt.
• Push-Daten können FCM Token, APNs Token, PushKit VoIP Token, Plattform, Gerätekennung, Aktualisierungszeitpunkt und Zustellstatus umfassen. Empfänger sind je nach Plattform Google Firebase Cloud Messaging und Apple Push Notification Service.
• Inhalt von Push-Benachrichtigungen: Über die Push-Dienste von Google und Apple werden nur die Art des Ereignisses (z.B. neue Nachricht, Herz, Moment, Status, Termin, Wunsch, Bildbitte, Anruf, Spiel- oder Hör-Einladung, Beziehungs-Meilenstein, Standortanfrage) und der Anzeigename des Partners übermittelt, dazu technische Kennungen wie Verbindungs-, Nachrichten- und Absenderkennung, Zeitpunkt und die Zahl ungelesener Nachrichten. Nachrichtentexte, Statustexte, Termin- und Wunschinhalte werden nicht über die Push-Dienste übertragen. Um Mehrfachmeldungen zu vermeiden, speichern wir je Ereignisart den Zeitpunkt der letzten Benachrichtigung an Sie.
• Beziehungs-Meilensteine: Aus dem Beginn Ihrer Paar-Verbindung berechnet unser Server täglich, ob ein Meilenstein bevorsteht, und benachrichtigt Sie drei Tage vorher und am Tag selbst.

3.8. Kalenderdaten:

• Termine, Events und Wunschlisten-Einträge.
• Zweck: Gemeinsame Terminplanung mit dem Partner.
• Sofern Sie die KI-Funktionen nutzen, können Kalender- und Wunschlisten-Einträge zudem als Kontext für die KI-Beziehungsberatung "Nova" verwendet werden (Abschnitt 3.6).
• Optional: Synchronisation mit dem System-Kalender (nur bei ausdrücklicher Freigabe der Kalenderberechtigung).

3.9. Spieldaten:

• Spielstände, Highscores und Spielstatistiken.
• Zweck: Speicherung des Spielfortschritts und Anzeige von Bestenlisten.
• Für Spiele mit der KI-Begleitung im Demo-Modus gilt Abschnitt 3.14.
• Sofern Sie die KI-Funktionen nutzen, können Spielzeitpunkte und Highscore-Kommentare zudem als Kontext für die KI-Beziehungsberatung "Nova" verwendet werden (Abschnitt 3.6).

3.10. Technische Daten, Diagnose- und Supportdaten:

• Gerätetyp, Betriebssystem, App-Version, Build-Version, Absturzberichte, Performance- und Diagnoseinformationen, Sprache, Zeitzone und technische Ereignisdaten.
• Zweck: Fehlerbehebung, Qualitätssicherung, Missbrauchsprävention, Support und Weiterentwicklung der App.
• Absturzberichte werden über Firebase Crashlytics verarbeitet und können technische Geräte-, App- und Fehlerdaten enthalten. Firebase Analytics wird für den ersten öffentlichen Release nicht zur App-Analyse oder zum Nutzertracking eingesetzt; eine Auswertung des Nutzerverhaltens zu Werbe-, Profiling- oder Marketingzwecken findet nicht statt.
• Support-Anfragen können UID, E-Mail-Adresse, Nachrichtentext, App-Version, Debug-Informationen sowie freiwillig übermittelte Screenshots oder Anhänge enthalten. Die Bearbeitung kann über Gmail/Google Workspace der Cyberschmiede GmbH erfolgen.
• Tägliche Kennzahlen: Einmal täglich zählt unser Server, wie viele Paar-Verbindungen bestehen und wie viele Partner bzw. Nutzer in den letzten 7 und 30 Tagen aktiv waren. Grundlage ist der zu Ihrem Konto gespeicherte Zeitpunkt der letzten Aktivität. Gespeichert werden ausschließlich die Summen ohne Personenbezug; Rechtsgrundlage ist unser berechtigtes Interesse am Betrieb und an der Planung des Dienstes (Art. 6 Abs. 1 lit. f DSGVO).
• Prüf- und Testkonten: Für die Prüfung der App durch Apple und Google und für Tester, die mit uns einen Test vereinbart haben, führen wir in einem nur für uns zugänglichen Bereich eine von Hand gepflegte Liste der dafür genutzten E-Mail-Adressen. Wird ein Konto mit einer bestätigten E-Mail-Adresse dieser Liste angelegt oder genutzt, vermerken wir seine Nutzerkennung als Prüfkonto. Für Prüfkonten gelten höhere Tageskontingente (etwa für Live-Bilder der KI-Begleitung), und damit eine Prüfung jederzeit mit vollständigen Inhalten möglich ist, sind sie von der automatischen Löschung inaktiver Konten und die Mediendateien ihrer Paar-Verbindung von der Löschung nach der Zustellung (Abschnitt 9) ausgenommen; das gilt auch für die Mediendateien des Partners eines Prüfkontos in dieser Verbindung. Rechtsgrundlage ist unser berechtigtes Interesse an der Prüfung und Qualitätssicherung der App (Art. 6 Abs. 1 lit. f DSGVO). Einträge entfernen wir, wenn die Prüfung bzw. der Test endet.

3.11. Foto- und Video-Metadaten:

• Bei Zugriff auf Fotos und Videos können deren Metadaten (EXIF bei Fotos, entsprechende Metadatenfelder bei Videos, jeweils inkl. eingebetteter Standortinformationen und Aufnahmezeitpunkt) ausgelesen werden.
• Zweck: Intelligente Bildverarbeitung (z.B. automatischer Bildzuschnitt mittels ML Kit Face Detection, Freistellen der abgebildeten Person für die Hintergrundunschärfe) sowie die zeitlich und örtlich korrekte Einordnung geteilter Medien.
• Hintergrundunschärfe: Um den Hintergrund eines Bildes weichzuzeichnen, berechnet die App eine Personenmaske — also die Information, welche Bildpunkte zur abgebildeten Person gehören. Android nutzt dafür die Selfie-Segmentierung von Google ML Kit, iOS das Vision-Framework von Apple. Angeboten wird das im Bildeditor für das Profilbild sowie nach einer Aufnahme mit der App-Kamera.
• Die Verarbeitung durch ML Kit Face Detection sowie die Berechnung der Personenmaske erfolgen lokal auf Ihrem Gerät; Bild und Maske werden dafür nicht an uns oder Dritte übertragen. Für serverseitige Medienmoderation gelten zusätzlich Abschnitt 3.5 und die dort genannten Google-Cloud-Dienste.
• Aufnahmeort geteilter Fotos und Videos: Beim Teilen von Fotos und Videos (z.B. als "Momente" oder im Chat) können der in der Datei eingebettete Aufnahmeort (GPS-Koordinaten), der daraus abgeleitete Ortsname sowie der Aufnahmezeitpunkt zusammen mit der Datei gespeichert und dem Partner angezeigt werden (z.B. als Orts-Hinweis am Moment). Enthält die Datei keine Standortinformationen, kann stattdessen der zum Zeitpunkt des Teilens ermittelte Gerätestandort verwendet werden. Diese Angaben bleiben — anders als der Live-Standort nach Abschnitt 3.3 — wie andere Inhaltsdaten bis zur Löschung der Datei bzw. des Kontos gespeichert.
• Sofern Sie die KI-Funktionen nutzen, kann der Ortsname geteilter Momente zudem als Kontext für die KI-Beziehungsberatung "Nova" verwendet werden (Abschnitt 3.6).

3.12. Persönlichkeitsprofile (Matches-Spiel):

• Im Rahmen des Matches-Quiz werden Persönlichkeitseigenschaften und Vorlieben erhoben (z.B. Lieblingsessen, Hobbys).
• Zweck: Spielerische Interaktion zwischen den Partnern und Verbesserung der KI-basierten Beziehungsberatung durch "Nova".
• Verarbeitung: Die Daten werden in unserer Datenbank gespeichert und ausschließlich innerhalb Ihrer Paar-Verbindung sowie für die von Ihnen genutzten KI-Funktionen verwendet. Bei Kontolöschung werden alle Daten vollständig entfernt, soweit keine gesetzlichen Aufbewahrungspflichten bestehen.

3.13. Nachweis Ihrer Zustimmungen und Einwilligungen:

• Wenn Sie den Nutzungsbedingungen und der Datenschutzerklärung zustimmen, speichern wir zu Ihrem Konto, welche Fassung Sie bestätigt haben (je eine Versionsnummer für beide Dokumente) und wann dies geschah. Der Zeitpunkt wird dabei vom Server vergeben, nicht von der Uhr Ihres Geräts.
• Ebenso wird gespeichert, ob Sie die gesonderte Einwilligung in die KI-Funktionen (Abschnitt 3.6) erteilt oder widerrufen haben. Diese Einwilligung ist freiwillig; die übrigen Funktionen der App bleiben ohne sie nutzbar.
• Zweck: Nachweis- und Rechenschaftspflicht. Für die Zustimmung zu den Nutzungsbedingungen trägt der Anbieter die Beweislast; für Einwilligungen muss deren Erteilung nachweisbar sein (Art. 7 Abs. 1 DSGVO).
• Rechtsgrundlage: Rechtliche Verpflichtung bzw. berechtigtes Interesse an der Nachweisbarkeit (Art. 6 Abs. 1 lit. c und lit. f DSGVO).
• Gespeichert werden ausschließlich die Versionsnummern, der Zeitpunkt und der Ja/Nein-Wert der KI-Einwilligung — nicht der Text der Dokumente selbst. In der App ist unter "Rechtliches" die jeweils aktuelle Fassung einsehbar; frühere Fassungen bewahren wir auf und stellen sie Ihnen auf Anfrage an forusonly@cyberschmiede.net zur Verfügung.
• Bei Löschung Ihres Kontos wird auch dieser Nachweis entfernt.

3.14. KI-Begleitung: Stand je Persona, Gedächtnis, Live-Bilder und Spiele:

• Stand je Persona: Die Inhalte des Demo-Modus (Abschnitt 3.6: Nachrichten, Momente, Termine, Wünsche, Songs, Status und Spielstände sowie Ihr Verlauf mit Nova während des Demo-Modus) speichern wir je Persona getrennt zu Ihrem Konto; Inhalte verschiedener Personas werden nicht vermischt. Wählen Sie über "KI-Begleitung wechseln" eine andere Persona, bewahren wir den bisherigen Stand in einem Bereich unserer Datenbank auf, auf den die App keinen direkten Zugriff hat, und stellen ihn wieder her, wenn Sie diese Persona erneut wählen. Aufbewahrt werden je Persona höchstens die letzten 5.000 Nachrichten; ältere entfallen dabei. Fotos und Videos, die Sie im Demo-Modus geteilt haben, liegen nur auf Ihrem Gerät, sobald es sie erhalten hat; für eine noch nicht zugestellte Kopie gelten auch im aufbewahrten Stand die Fristen nach Abschnitt 3.4. Ihr Profilbild gehört nicht zum Stand einer Persona: Es bleibt beim Wechsel und beim Löschen einer Persona erhalten. Verbinden Sie sich mit einem echten Partner, wird die KI-Begleitung auf dieselbe Weise pausiert und ausgeblendet, nicht gelöscht; nach einer Trennung führt die App Sie zur zuletzt genutzten Persona zurück. Zu jeder Persona speichern wir außerdem eine Übersicht (ob sie gerade genutzt wird, Zeitpunkt der letzten Nachricht, Anzahl der aufbewahrten Nachrichten), welche Persona Sie zuletzt genutzt haben und seit wann sie wegen einer Paar-Verbindung pausiert ist. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Demo-Modus).
• Löschen: Unter "Einstellungen → KI-Begleitung" können Sie den Verlauf einer einzelnen Persona (Chat, Momente, Live-Bilder, Gedächtnis und Nova-Verlauf) oder den gesamten KI-Verlauf löschen. Ausgenommen ist ein Vermerk, den unser Server automatisch zu Ihrem Konto setzt, wenn Sie im Demo-Chat ein Alter unter 16 Jahren nennen (er prüft dafür Ihre Nachricht und den vom Gerät mitgeschickten Chatverlauf); danach schreibt die KI-Begleitung bei keiner Persona mehr romantisch. Der Vermerk enthält nur den Zeitpunkt und wird erst mit Ihrem Konto gelöscht (Art. 6 Abs. 1 lit. f DSGVO, Schutz Minderjähriger). Mit der Löschung Ihres Kontos werden alle Inhalte der KI-Begleitung gelöscht. Ein Widerruf Ihrer Einwilligung in die KI-Funktionen löscht das Gedächtnis (Abschnitt 9); Chat und Live-Bilder bleiben, bis Sie sie löschen. Außerdem löschen wir den aufbewahrten Stand einer Persona automatisch, wenn darin seit 12 Monaten keine Nachricht mehr eingegangen ist; ausgenommen sind die gerade genutzte und die wegen einer Paar-Verbindung pausierte Persona. Für sie gilt die Löschung inaktiver Konten nach 6 Monaten (Abschnitt 9).
• Gedächtnis: Mit Ihrer Einwilligung in die KI-Funktionen (Abschnitt 3.6) merkt sich die KI-Begleitung kurze Angaben, die Sie ihr im Chat selbst erzählen, etwa Ihren Namen, Vorlieben, Hobbys, ein Haustier oder ein anstehendes Ereignis. Diese Angaben ermittelt Google Vertex AI / Gemini im selben Aufruf, der die Antwort erzeugt; ein zusätzlicher Aufruf findet nicht statt. Gespeichert werden je Persona höchstens 60 Einträge aus je einem kurzen Satz (höchstens 140 Zeichen) mit Zeitpunkt und einer Wichtigkeit, die das Modell vergibt; ist die Grenze erreicht, fällt zuerst ein weniger wichtiger, sonst ein älterer Eintrag weg. Ändert sich eine Angabe, ersetzt der neue Eintrag den alten. Erzählen Sie von einem Ereignis mit Zeitbezug (etwa einem Termin am nächsten Tag), wird zum Eintrag der Tag des Ereignisses gespeichert, höchstens 60 Tage im Voraus. Ab dem Folgetag kann die Persona einmal nachfragen, wie es war — nur wenn Sie den Chat nutzen, ohne Benachrichtigung. 14 Tage nach dem Ereignis wird der Eintrag nicht mehr verwendet und nicht mehr angezeigt und beim nächsten Gespräch mit der Persona automatisch gelöscht. Zusätzlich speichern wir je Persona eine kurze Zusammenfassung des letzten Gesprächs (höchstens 300 Zeichen), die im selben Aufruf entsteht und ersetzt wird, sobald eine neue entsteht; sie erscheint als eigener Eintrag des Gedächtnisses. Nicht gespeichert werden sollen Angaben insbesondere zu Gesundheit, Religion, politischer Einstellung, Sexualität und ethnischer Herkunft (darunter besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO), zu Straftaten sowie zu Finanzen, Adressen, Telefonnummern, E-Mail-Adressen und Zugangsdaten wie Passwörtern, auch nicht in der Zusammenfassung: Das Modell ist angewiesen, solche Angaben nicht aufzunehmen, und unser Server verwirft zusätzlich jeden Eintrag und jede Zusammenfassung, der nach festen Wortlisten auf eine dieser Kategorien hindeutet. Diese Prüfung ist automatisiert und kann im Einzelfall fehlgehen. Bei jeder weiteren Antwort der Persona wird ihr Gedächtnis an Google Vertex AI / Gemini übermittelt. Rechtsgrundlage ist Ihre Einwilligung in die KI-Funktionen (Art. 6 Abs. 1 lit. a DSGVO). Unter "Einstellungen → KI-Begleitung" ("Was [Name der Persona] sich merkt") können Sie die Einträge jederzeit ansehen und einzeln oder alle löschen. Widerrufen Sie die Einwilligung in die KI-Funktionen, wird das Gedächtnis aller Personas einschließlich der Fotobeschreibungen, Termine und Zusammenfassungen automatisch gelöscht.
• Fotobeschreibung: Zu einem Bild, das Sie im Demo-Chat teilen und das dafür an Google Vertex AI / Gemini übermittelt wird (Abschnitt 3.6), erzeugt das Modell im selben Aufruf einen kurzen Satz, der das Bild beschreibt. Dieser Satz wird mit Zeitpunkt und einem Verweis auf das geteilte Bild als Eintrag des Gedächtnisses gespeichert (höchstens 15 der 60 Einträge), damit die Persona später darauf eingehen kann. Es gelten dieselben Regeln und Prüfungen wie für das Gedächtnis; zusätzlich verwirft unser Server Beschreibungen, die Alter, Herkunft oder Aussehen einer abgebildeten Person oder Kinder nennen. Das Bild selbst wird dafür nicht zusätzlich gespeichert; für das geteilte Foto gilt allein die Speicherung bis zur Zustellung (Abschnitt 3.6).
• Live-Bilder: Mit Ihrer Einwilligung in die KI-Funktionen kann Ihnen die Persona im Chat Fotos von sich schicken, die mit KI erzeugt werden — auf Ihre Bitte oder wenn es sich im Gespräch anbietet. Dafür wählt Google Vertex AI / Gemini im Rahmen der Chat-Antwort eine Szene aus festen Listen (Ort, Tätigkeit, Tageszeit); diese Angaben halten wir als Bildauftrag höchstens 15 Minuten vor. Das Bild erzeugt ein Bildmodell von Google Vertex AI / Gemini aus einem festen Porträt der Persona und der Beschreibung der Szene; Ihre Nachrichten werden dafür nicht übermittelt. Die Erzeugung läuft bis längstens 08.03.2027 in der Region europe-west1 (Belgien), danach über den EU-Endpunkt von Google. Je Nutzer und Kalendertag werden höchstens drei Live-Bilder ausgeliefert; dafür zählen wir die ausgelieferten Bilder je Tag zu Ihrer Nutzerkennung und löschen diese Zählerstände nach wenigen Tagen. Jedes Live-Bild ist in der App als "KI" bzw. "KI-erzeugt" gekennzeichnet und trägt einen maschinenlesbaren Herkunftsvermerk (IPTC/XMP); zusätzlich bettet Google nach eigenen Angaben ein unsichtbares Wasserzeichen (SynthID) ein. Gespeichert werden das Bild verschlüsselt in Google Cloud Storage — abrufbar nur über eine nicht erratbare Adresse, die zu Ihrem Konto gespeichert ist —, ein Eintrag mit Zeitpunkt, Art, Szene, verwendetem Modell, dieser Speicheradresse und den Kennungen der zugehörigen Chat-Nachricht und gegebenenfalls des Bibliotheksbildes sowie die zugehörige Chat-Nachricht der Persona. Das Bild bleibt gespeichert, bis es nach den obigen Regeln gelöscht wird. Angezeigt wird es im Chat und, über den genannten Eintrag, in den Momenten der KI-Begleitung. In die Fotos Ihres Geräts sichern oder teilen lässt es sich in der App nicht. Rechtsgrundlage ist Ihre Einwilligung in die KI-Funktionen (Art. 6 Abs. 1 lit. a DSGVO).
• Bibliothek: Bilder, die ausschließlich die Persona zeigen, enthalten keine Angaben über Sie. Wir legen sie ohne Bezug zu Ihrem Konto in einer Bibliothek ab (höchstens vier je Szene) und schicken sie frühestens 24 Stunden nach ihrer Entstehung bei passender Szene auch anderen Nutzern; ebenso kann ein Live-Bild, das Sie erhalten, aus dieser Bibliothek stammen. Melden Sie ein Live-Bild, speichern wir Ihre Nutzerkennung, den Zeitpunkt, den gewählten Grund sowie die Kennungen von Persona und Bild in einem nur für uns zugänglichen Bereich, senden dieselben Angaben per E-Mail an unser Support-Postfach (wie in Abschnitt 3.5) und sperren ein gemeldetes Bild der Bibliothek dauerhaft für jede weitere Auslieferung; es bleibt zur Prüfung der Meldung gespeichert.
• Spiele mit der KI-Begleitung: Im Demo-Modus können Sie Memory, Matches und Love Breaker mit bzw. gegen Ihre KI-Begleitung spielen. Die Züge der Persona berechnet die App auf Ihrem Gerät. Mit Ihrer Einwilligung in die KI-Funktionen werden an Google Vertex AI / Gemini übermittelt: für eine Matches-Runde die Persona, die gewählte Kategorie und die zuvor gestellten Fragen (damit sich keine wiederholt); für einen kurzen Kommentar der Persona die Persona, das Spiel, das Spielereignis (z.B. ein gefundenes Paar oder das Spielende) und gegebenenfalls der Punktestand. Ihr Name, Ihre Nutzerkennung und Ihre Antworten im Matches-Quiz werden nicht an die KI übermittelt. Fragen und Kommentare speichern wir nicht; Partien mit der KI-Begleitung erzeugen keine Highscores und fließen nicht in Ihr Matches-Profil (Abschnitt 3.12) ein. Die zuletzt gewählte Schwierigkeitsstufe merkt sich die App je Persona nur auf Ihrem Gerät. Ohne Einwilligung stammen Fragen und Kommentare aus einem festen Vorrat der App.

4. Empfänger und Drittländer (Internationaler Transfer)

Unsere Infrastruktur basiert überwiegend auf Google Cloud Platform Services (Firebase).

• Empfänger Google: Google Ireland Limited (Irland) und Google LLC (USA).
• Drittlandtransfer: Da Google Server weltweit unterhält, ist ein Datentransfer in die USA technisch möglich.
• Garantien: Google ist unter dem EU-US Data Privacy Framework zertifiziert, womit ein angemessenes Datenschutzniveau für Transfers in die USA als sichergestellt gilt. Ergänzend gelten die EU-Standardvertragsklauseln (SCCs).
• Empfänger IONOS (E-Mail-Versand): 1&1 IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Deutschland. Versand von System- und Transaktions-E-Mails (z.B. E-Mail-Verifizierung, Passwort-Zurücksetzen, Inaktivitäts-Hinweise) über den SMTP-Dienst (Absender noreply@forusonly.app). Verarbeitete Daten: E-Mail-Adresse und E-Mail-Inhalt. Serverstandort Deutschland (EU) — kein Drittlandtransfer.
• Empfänger Metered (TURN-Relay für Anrufe und Echtzeit-Spiele): Metered (metered.ca). Stellt TURN-Relay-Server bereit, über die Audio-/Video-Anrufe und die Peer-to-Peer-Verbindungen der Echtzeit-Spiele geleitet werden, wenn keine direkte Verbindung möglich ist. Verarbeitete Daten: IP-Adressen der Teilnehmer sowie die transportverschlüsselten (DTLS-SRTP) Datenströme; die Inhalte sind für den Anbieter nicht im Klartext einsehbar. Bei Transfer in ein Drittland abgesichert über die EU-Standardvertragsklauseln (SCCs).
• STUN-Server (Google): Zur Verbindungsherstellung von Anrufen und Echtzeit-Spielen können STUN-Server von Google (stun.l.google.com) kontaktiert werden. Verarbeitete Daten: IP-Adressen der Teilnehmer.
• Zeitserver (Google): Damit ein gemeinsam gehörter Titel bei beiden Partnern zugleich beginnt, gleicht die App ihre Uhr einmal je Sitzung mit dem Zeitserver time.google.com ab. Übermittelt wird dabei lediglich eine leere Zeitanfrage samt Ihrer IP-Adresse; die ermittelte Abweichung verbleibt im Arbeitsspeicher der App.
• Empfänger Spotify (Musik-Metadaten): Spotify AB, Regeringsgatan 19, 111 53 Stockholm, Schweden. Beim Teilen bzw. Anzeigen von Spotify-Links ruft die App Titel-Metadaten über den Spotify-oEmbed-Dienst ab — auch direkt von Ihrem Endgerät. Verarbeitete Daten: IP-Adresse und die geteilte Song-URL (EU — kein Drittlandtransfer). Zusätzlich ruft unser Server Titel, Interpret und Cover geteilter Titel über die Spotify-Web-API ab, beim Auspacken eines Albums oder einer Playlist auch deren Songs; Spotify erhält dabei nur die Adresse des Titels, Albums oder der Playlist und die IP-Adresse unseres Servers, nicht Ihre IP-Adresse oder Kontodaten. Steuert die App zusätzlich die Wiedergabe (Abschnitt 6.8), erhält Spotify die Angaben aus dem Berechtigungsvorgang und die Steuerbefehle.
• Empfänger Branch Metrics (Auflösung von Spotify-Kurzlinks): Branch Metrics, Inc., 1400 Seaport Blvd, Redwood City, CA 94063, USA. Spotify-Kurzlinks (spotify.link) werden technisch über Branch weitergeleitet; erst dahinter steht der eigentliche Song- oder Jam-Link. Diese Auflösung führt unser Server durch, nicht Ihr Endgerät: Branch erhält dadurch den geteilten Kurzlink und die IP-Adresse unseres Servers, nicht Ihre IP-Adresse. Es werden keine Konto-, Geräte- oder Standortdaten übermittelt.
• Empfänger OpenFreeMap (Kartenkacheln der Startseite): Hyperknot Software Kft., Ungarn. Liefert Kartenkacheln, Schriften und Symbole für die Erdkugel und die Karte auf der Startseite (Abschnitt 7.4); der Abruf erfolgt direkt von Ihrem Endgerät, ohne Konto oder API-Schlüssel. Verarbeitete Daten: IP-Adresse, die abgerufenen Kartenausschnitte samt Zoomstufe, Zeitpunkt und technische Angaben des Abrufs. Für die Auslieferung kann Cloudflare, Inc. (USA) als Netzwerkdienstleister eingesetzt werden; Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert, ergänzend gelten die EU-Standardvertragsklauseln (SCCs).

Genutzte Dienste (Anbieter: Google):

• Firebase Authentication: Anmeldung und Kontoverwaltung (inkl. Google Sign-In; auf iOS auch in Verbindung mit Apple Sign-In).
• Firestore & Realtime Database: Chat-, Standort-, Kalender-, Spiel-, Musik-, Push-, Support- und Verbindungsdaten sowie Stand, Gedächtnis und Bildeinträge der KI-Begleitung (Serverstandort soweit konfiguriert: europe-west).
• Cloud Storage: Mediendateien (Bilder, Videos, Profilbilder) bis zur Zustellung an beide Geräte (danach längstens 24 Stunden), im Übrigen längstens 30 Tage (Abschnitt 3.4). Live-Bilder der KI-Begleitung verschlüsselt bis zu ihrer Löschung sowie, ohne Bezug zu Ihrem Konto und unverschlüsselt, die Bibliothek der Bilder, die nur die Persona zeigen (Abschnitt 3.14).
• Cloud Functions: Serverseitige Geschäftslogik (z.B. Push-Versand, Partnerverknüpfung, Linkvorschau, Support, Medienmoderation).
• Firebase Cloud Messaging (FCM): Push-Benachrichtigungen und FCM Token.
• Vertex AI / Gemini (Verarbeitung in der Europäischen Union über den EU-Endpunkt von Google): KI-Verarbeitung — Nova, Chat mit dem KI-Demo-Partner (einschließlich Gedächtnis, Fotobeschreibung und KI-Texten in Spielen), Erzeugung von Live-Bildern, Beschreibung geteilter Momente, KI-Bearbeitung von Bildern im Bildeditor sowie die automatisierte Prüfung von Bildern und von Einzelbildern aus Videos auf unzulässige Inhalte. Die KI-Bearbeitung im Bildeditor und die Erzeugung von Live-Bildern laufen bis längstens 08.03.2027 in der Region europe-west1 (Belgien), danach ebenfalls über den EU-Endpunkt. Daten werden laut Google AGB nicht zum Training der Basismodelle verwendet.
• Google Cloud Vision SafeSearch: Automatisierte Prüfung von Bildern und von Einzelbildern aus Videos auf unzulässige Inhalte (Aufruf über den EU-Endpunkt von Google Cloud Vision).
• Firebase Crashlytics: Absturzberichte zur Fehleranalyse.
• Firebase Remote Config: App-Konfiguration und Update-Benachrichtigungen.
• Firebase App Check: Schutz vor missbräuchlichem API-Zugriff (Android: Play Integrity; iOS: App Attest/DeviceCheck; in Debug-Builds ggf. Debug Provider). Je nach Plattform können technische Integritäts- und Geräteinformationen an Google bzw. Apple übermittelt werden.
• Google AdMob: Werbeanzeigen (siehe Abschnitt 5).
• Google Maps SDK, Google Places SDK, Google Play Services Location und Geocoding-Schnittstelle des Systems (Android): Kartenanzeige, Standort- und Ortssuche sowie Bestimmung von Ortsnamen aus Koordinaten (siehe Abschnitt 7).
• ML Kit (Face Detection und Selfie-Segmentierung): Gesichtserkennung zur Bildoptimierung und Freistellen der abgebildeten Person für die Hintergrundunschärfe (Android); die Verarbeitung erfolgt lokal auf dem Gerät.
• Gmail / Google Workspace: Empfang und Bearbeitung von Support-Anfragen inklusive Anhängen und Reply-To-Adresse.
• YouTube oEmbed: Abruf von Metadaten für YouTube-Linkvorschauen.

Genutzte Dienste (Anbieter: Apple, insbesondere iOS):

• Sign in with Apple: Anmeldung über Apple-ID, soweit vom Nutzer gewählt.
• Apple Push Notification Service (APNs), PushKit und CallKit: Zustellung von Push- und VoIP-Anrufbenachrichtigungen.
• Apple MapKit, CoreLocation und CLGeocoder: Kartenanzeige, Standortverarbeitung und Geocoding auf iOS.
• Vision: Freistellen der abgebildeten Person für die Hintergrundunschärfe (iOS); die Verarbeitung erfolgt lokal auf dem Gerät.
• App Attest / DeviceCheck: Plattformspezifische App- und Geräteintegritätsprüfung im Rahmen von Firebase App Check.
• Drittlandtransfer Apple: Apple-Dienste (insbesondere APNs) können Daten in die USA übermitteln. Apple Inc. ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten die EU-Standardvertragsklauseln (SCCs).

5. Werbung (Google AdMob)

5.1. Die App kann Werbeanzeigen enthalten, die von Google AdMob bereitgestellt werden. Anzeigen erscheinen derzeit im Beziehungsberater "Nova", während der KI-Bearbeitung im Bildeditor und im Matches-Quiz.
5.2. Verarbeitete Daten: Werbe-ID des Geräts, IP-Adresse, grobe Geräte- und Nutzungsinformationen sowie ggf. Nutzungsverhalten zur Personalisierung von Anzeigen.
5.3. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) für personalisierte Werbung. Nicht-personalisierte Werbung auf Basis berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO), soweit zulässig. Auf iOS holt die App im Europäischen Wirtschaftsraum Ihre Einwilligung zunächst über das Einwilligungsformular von Google (User Messaging Platform) ein. Nur wenn Sie dort einwilligen, fragt iOS anschließend mit dem Systemdialog "App-Tracking-Transparenz", ob die App Ihre Aktivitäten über Apps und Websites anderer Unternehmen hinweg verfolgen darf; erst mit dieser Erlaubnis gibt iOS die Werbe-ID des Geräts frei. Außerhalb des Europäischen Wirtschaftsraums entfällt das Formular, und iOS fragt direkt. Personalisierte Werbung erhalten Sie auf iOS nur, wenn Sie beidem zugestimmt haben; andernfalls werden nicht-personalisierte Anzeigen ausgespielt.
5.4. Opt-out: Sie können Ihre Einwilligung jederzeit direkt in der App über "Einstellungen → Werbe-Einstellungen" ändern oder widerrufen. Auf iOS führt "Einstellungen → Tracking-Erlaubnis (iOS)" zu den iOS-Einstellungen der App, in denen Sie die Tracking-Erlaubnis jederzeit entziehen können. Zusätzlich können Sie personalisierte Werbung in den Android-/Google-Einstellungen oder in iOS über die Privatsphäre-/Tracking- und Werbeeinstellungen einschränken.
5.5. Weitere Informationen: https://policies.google.com/privacy

6. Musik-Teilen und Linkvorschauen

6.1. Die App ermöglicht das Teilen von Song-Links, allgemeinen Links und Musikempfehlungen zwischen den Partnern.
6.2. Verarbeitete Daten: Geteilte URLs, Song-Links, Titel, Interpret, optionale Kommentare und automatisch erzeugte Vorschau-Metadaten (z.B. Titel, Beschreibung, Bild).
6.3. Die geteilten Daten werden als Inhaltsdaten auf unseren Servern gespeichert. Dazu gehören auch die gemeinsame Reihenfolge der Liste und die gemeinsam gewählte Wiedergabeart (etwa der Reihe nach, endlos oder zufällig, samt Startwert der Zufallsfolge), damit auf beiden Geräten dieselbe Abfolge läuft; beim gemeinsamen Hören reiht die App den jeweils nächsten Titel dieser Liste in der Spotify-App ein.
6.4. Für Linkvorschauen kann unser Server die Ziel-URL technisch z.B. per Server-/Puppeteer-Browser-Abruf abrufen; bei YouTube kann YouTube oEmbed genutzt werden. Dabei kann die Zielseite bzw. YouTube erkennen, dass unsere Server die URL abrufen. Bei Spotify-Links ruft die App Titel-Metadaten über den Spotify-oEmbed-Dienst ab; dieser Abruf kann direkt von Ihrem Endgerät erfolgen, wobei Spotify Ihre IP-Adresse und die geteilte URL erhält (siehe Abschnitt 4). Titel, Interpret und Cover ruft zusätzlich unser Server über die Spotify-Web-API ab. Teilen Sie ein Album oder eine Playlist, fragt die App, ob die Songs einzeln in Ihre gemeinsame Liste sollen; dafür ruft unser Server die Songs (Titel, Interpret, Cover) über die Spotify-Web-API ab. Spotify erhält dabei jeweils nur die Adresse des Titels, Albums oder der Playlist, nicht Ihre IP-Adresse oder Kontodaten. Liefert die Spotify-Web-API die Songs nicht und ist die Spotify-App nach Abschnitt 6.8 mit unserer App verbunden, fragt die App die Songs (Titel, Interpret, Adresse) stattdessen auf Ihrem Gerät bei der Spotify-App ab; Spotify erfährt dabei, welches Album bzw. welche Playlist abgefragt wird. In Ihre gemeinsame Liste übernommen und damit bei uns gespeichert werden die Songs erst, wenn Sie das bestätigen.
6.5. Die Wiedergabe erfolgt über externe Dienste (z.B. Spotify, Apple Music, YouTube Music, YouTube oder die jeweilige Zielseite). Für deren Nutzung gelten die jeweiligen Datenschutzrichtlinien der Anbieter.
6.6. Gemeinsames Hören und Jam-Sitzungen: Die App kann Einladungen zum gemeinsamen Hören sowie Links zu Spotify-Jam-Sitzungen an Ihren Partner übermitteln (per Push-Benachrichtigung und als Inhalt in der App) und dazu die Spotify-App öffnen. Verarbeitete Daten: der Jam- bzw. Song-Link, Zeitpunkt und die beteiligten Partner-Kennungen. Damit ein gemeinsam gehörter Titel bei beiden zugleich beginnt, wird zusätzlich festgehalten, wann die Einladung angenommen wurde, wann sich das Gerät jedes Partners bereit gemeldet hat, welcher gemeinsame Startzeitpunkt gilt und welche Fassung des Startverfahrens verwendet wird. Lädt ein Partner ein, während der Titel bei ihm bereits läuft, enthält die Einladung zusätzlich die aktuelle Abspielstelle und den Zeitpunkt ihrer Messung, damit der andere an derselben Stelle einsteigen kann; ob der Eingeladene so einsteigt, wird ebenfalls vermerkt. Für den gemeinsamen Startzeitpunkt gleicht die App ihre Uhr mit einem Zeitserver ab (Abschnitt 4); gelingt das nicht, hinterlegt sie stattdessen einen Server-Zeitstempel in unserer Datenbank. Die Jam-Sitzung selbst findet vollständig in Spotify statt; welche Daten Spotify dabei verarbeitet, richtet sich nach den Datenschutzbestimmungen von Spotify.
6.7. Kurzlinks: Wird ein Spotify-Kurzlink (spotify.link) geteilt, löst unser Server ihn auf, um daraus den eigentlichen Song- oder Jam-Link zu ermitteln. Der Abruf erfolgt bewusst serverseitig, damit Ihre IP-Adresse dabei nicht an den Weiterleitungsdienst gelangt; siehe den Empfänger Branch Metrics in Abschnitt 4.

6.8. Steuerung der Wiedergabe (Android und iOS): Damit ein Titel bei beiden Partnern gleichzeitig startet und ein einzeln ausgewählter Titel abgespielt wird, kann die App die Wiedergabe in der auf Ihrem Gerät installierten Spotify-App steuern. Dazu gehört auch, den Titel vorab zu laden und bis zum gemeinsamen Startzeitpunkt pausiert bereitzuhalten. Dazu erteilen Sie gegenüber Spotify einmalig eine Berechtigung mit dem Umfang "app-remote-control"; Spotify erfährt dabei, dass Sie diese App nutzen. Die Steuerung selbst läuft unmittelbar zwischen Ihrem Gerät und der Spotify-App. Auf Android sieht unsere App das ausgestellte Zugangsmerkmal zu keinem Zeitpunkt, da die Spotify-App die Freigabe dort selbst verwaltet. Auf iOS verlangt Spotify es bei jedem Verbindungsaufbau von der App; die Freigabe läuft dort über einen von Spotify vorgegebenen Austausch, bei dem unser Server den von Spotify erhaltenen Freigabecode und später das Erneuerungsmerkmal gegen ein gültiges Zugangsmerkmal eintauscht, weil nur er das dafür nötige Geheimnis kennt. Unser Server reicht Spotifys Antwort an Ihr Gerät durch und speichert oder protokolliert die Merkmale nicht. Auf Ihrem Gerät werden sie im verschlüsselten, gerätegebundenen Systemspeicher für Zugangsdaten ("Keychain") abgelegt und beim Widerruf gelöscht; an Dritte werden sie nicht weitergegeben. Zusätzlich wird auf Ihrem Gerät vermerkt, dass die Berechtigung erteilt wurde. Damit ein Titel bei beiden gleichzeitig beginnt und an derselben Stelle bleibt, tauschen die Geräte der Partner während einer gemeinsamen Hörrunde Abgleichsdaten über unsere Datenbank aus: den Titel, die Abspielposition, den Zeitpunkt, ob pausiert wird, die Plattform Ihres Geräts (Android oder iOS), den Hörweg (ob Spotify mit der App verbunden ist oder der Titel nur über einen Link geöffnet wurde), die gemessene Ausgabeverzögerung Ihres Geräts, Mess- und Sprungkennzahlen (Messgenauigkeit, Streuung der Sprünge, Startdauer), Ihren Feinabgleich nach Gehör, Steuerbefehle (Start, Pause, Weiter, Titelwechsel, Verlassen) mit den Start- und Pausenzeitpunkten und Abspielstellen, Zeit- und Messmarken zum Abgleich der Abspielstelle sowie Häkchen, welche Titel der Liste in dieser Runde gespielt wurden (Kennung des Titels und Startzeitpunkt; als gespielt gilt ein Titel, der bis zum Ende oder mindestens 30 Sekunden lief). Die Ausgabeverzögerung misst die App, indem sie kurz ein stummes Signal ausgibt; das Mikrofon wird dafür nicht verwendet. Die Einstellung für den Feinabgleich nach Gehör zeigt die App nur an, wenn beide Geräte nach den ohnehin geteilten Standorten (Abschnitt 3.3) nahe beieinander sind; diese Prüfung findet allein auf Ihrem Gerät statt, gespeichert oder übermittelt wird dafür nichts. Diese Abgleichsdaten sind nur für Sie und Ihren Partner lesbar und werden am Ende jeder Hörrunde gelöscht. Verlässt einer von Ihnen die gemeinsame Runde, hinterlegt die App für den anderen einen Hinweis (wer, wann, bei welchem Titel); er wird mit der nächsten Einladung zum gemeinsamen Hören ersetzt, spätestens mit der Löschung eines der beiden Konten gelöscht. Hören Sie allein, merkt sich die App die gespielten Titel nur im Arbeitsspeicher Ihres Geräts. Damit eine Liste nach einem Neustart der App lückenlos weiterläuft, sichert die App deren Stand (Abspielauftrag, zuletzt gespielter Titel, bereits eingereihte Titel, erwartetes Titelende) nur auf Ihrem Gerät und verwendet ihn höchstens 6 Stunden lang. Während eine gemeinsame Liste läuft, liest die App aus, ob in der Spotify-App Zufallswiedergabe oder Wiederholung eingeschaltet ist, und schaltet beides ab, damit die Liste in der gewählten Reihenfolge läuft; nach dem Ende der Liste stellt sie diese Einstellungen nicht zurück. Außerdem hinterlegt die App für Ihren Partner, ob Ihr Spotify-Konto Titel auf Wunsch abspielen kann (Ja/Nein mit Zeitpunkt), damit Einladungen zum gemeinsamen Hören nur erscheinen, wenn beide Geräte sie erfüllen können; weitere Angaben zu Ihrem Spotify-Konto werden nicht gespeichert. Widerrufen Sie die Spotify-Freigabe in der App oder erkennt die App beim nächsten Verbinden, dass Sie sie in Ihrem Spotify-Konto widerrufen haben, löscht die App diesen Vermerk sofort; sonst bleibt er bis zur Trennung der Paar-Verbindung oder zur Löschung eines der beiden Konten gespeichert. Sie können die Berechtigung jederzeit in Ihrem Spotify-Konto widerrufen; die App öffnet dann nur noch die Spotify-App. Systembedingt tritt die Spotify-App auf iOS kurz in den Vordergrund, wenn eine neue Freigabe eingeholt werden muss — das ist bei der ersten Nutzung der Fall sowie dann, wenn das Zugangsmerkmal abgelaufen ist (Spotify setzt hierfür rund eine Stunde). Welche Daten Spotify verarbeitet, richtet sich nach den Datenschutzbestimmungen von Spotify.

6.9. Anzeige des laufenden Titels (Android und iOS): Liegt die Berechtigung aus Abschnitt 6.8 vor, kann die App abfragen, welcher Titel in der Spotify-App gerade geladen ist, und ihn Ihnen zur Aufnahme in Ihre gemeinsame Liste anbieten. Verarbeitete Daten: Titel, Interpret, die Adresse des Titels, die Abspielposition und ob die Wiedergabe pausiert ist. Diese Angaben verbleiben auf Ihrem Endgerät; gespeichert und an Ihren Partner übermittelt werden sie erst, wenn Sie den Titel ausdrücklich hinzufügen. Ausgenommen ist der Interpret eines Titels, der bereits in Ihrer gemeinsamen Liste steht, dort aber noch keinen Interpreten hat: Ihn trägt die App einmalig in die Liste ein. Eine fortlaufende Aufzeichnung Ihres Hörverhaltens findet nicht statt: Abgefragt wird ausschließlich, während die App im Vordergrund ist, und nur in dem Moment, in dem Sie sie öffnen oder zu ihr zurückkehren.

6.10. Direktziel im Teilen-Menü (nur Android): Damit Sie Inhalte schneller an Ihren Partner senden können, meldet die App beim Betriebssystem Ihres Geräts ein Direktziel für das Teilen-Menü an. Dabei wird der Anzeigename Ihres Partners an das Teilen-Menü übergeben und dort angezeigt. Die Angabe verbleibt auf Ihrem Endgerät und wird nicht an uns oder Dritte übermittelt; sie wird entfernt, sobald die Verbindung beendet wird.

7. Karten, Orte und Geocoding

7.1. Die App nutzt Kartendienste zur Anzeige von Standorten und zur Suche nach Orten (z.B. für gemeinsame Aktivitäten).
7.2. Android: Google Maps SDK, Google Places SDK, Google Play Services Location und die Geocoding-Schnittstelle des Systems (Geocoder; auf Geräten mit Google-Diensten von Google bereitgestellt) können aktuellen Standort (bei Freigabe), Suchanfragen, Geocoding-Anfragen (Koordinaten bzw. Ortsnamen), Geräteinformationen und technische Nutzungsdaten verarbeiten. Empfänger: Google Ireland Limited / Google LLC.
7.3. iOS: Apple MapKit, CoreLocation und CLGeocoder können aktuellen Standort (bei Freigabe), Suchanfragen, Geocoding-Anfragen und technische Nutzungsdaten verarbeiten. Empfänger: Apple Distribution International Ltd. bzw. Apple Inc.
7.4. Erdkugel und Karte auf der Startseite (Android und iOS): Die Erdkugel auf der Rückseite des Polaroids und die Karte, die nach dem Finden Ihres Partners bis auf beide Orte heranzoomt, zeichnet die App mit der Open-Source-Bibliothek MapLibre. Kartenkacheln, Schriften und Symbole ruft Ihr Gerät direkt bei OpenFreeMap (tiles.openfreemap.org) ab; Anbieter ist die Hyperknot Software Kft., Ungarn. Übermittelt werden dabei Ihre IP-Adresse (technisch zwingend), die abgerufenen Kacheln (Kartenausschnitt und Zoomstufe), der Zeitpunkt und technische Angaben des Abrufs (Kennung von App und Betriebssystem). Beim Heranzoomen liegt der Ausschnitt um den Standort Ihres Partners und zeigt auch Ihren eigenen; daraus lässt sich die ungefähre Gegend beider Standorte ableiten. Eine Kennung Ihres Kontos, Ihr Name oder Koordinaten als solche werden nicht übermittelt. OpenFreeMap setzt keine Cookies und kein Tracking ein. Zugriffsprotokolle enthalten nach Angaben des Anbieters keine IP-Adresse (nur Browsertyp, Referrer, Datum/Uhrzeit und Betriebssystem); Fehlerprotokolle können IP-Adresse und abgerufene Adresse (URL) enthalten. Die Protokolle werden nach 7 Tagen gelöscht; bei Sicherheitsvorfällen kann die IP-Adresse bis zu 30 Tage protokolliert werden. Für die Auslieferung kann Cloudflare, Inc. (USA) als Netzwerkdienstleister eingesetzt werden; Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert, ergänzend gelten die EU-Standardvertragsklauseln (SCCs). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Karte mit beiden Orten, die zur Distanz- und Kompassanzeige als Kernleistung gehört (Abschnitt 3.3); für die Erdkugel, solange der Partner nicht gefunden ist, Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Darstellung der Startseite). Die Vollbild-Karte nutzt weiterhin die in Abschnitt 7.2 und 7.3 genannten Dienste.
7.5. Es gelten ergänzend die Datenschutzbestimmungen von Google (https://policies.google.com/privacy) bzw. Apple (https://www.apple.com/legal/privacy/) sowie für die Startseite von OpenFreeMap (https://openfreemap.org/privacy/).

8. Webseiten und Web-Dienste

8.1. Wir betreiben zugehörige Webseiten (z.B. E-Mail-Verifizierung, Kontolöschung, Impressum, Einladungsseite, Weiterleitung zum App Store und ggf. Beta- oder Informationsseiten) über Firebase Hosting.
8.2. Beta-Registrierung: Falls eine Beta-Registrierung angeboten wird, können Name, E-Mail-Adresse und optional Telefonnummer erhoben und in Firebase Firestore gespeichert werden. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Diese Daten werden nach Ende der Beta-Phase gelöscht, soweit keine andere Rechtsgrundlage besteht.
8.3. Technisch notwendige Daten: Firebase Hosting verarbeitet technisch notwendige Daten (IP-Adresse, Zugriffszeitpunkt, User-Agent) in Server-Logs. Diese dienen der Sicherheit und werden nicht zur Profilbildung verwendet.
8.4. Unsere Webseiten verwenden nach aktuellem Stand keine Tracking-Cookies und kein Web-Analytics. Die mobile App verwendet für den ersten öffentlichen Release keine Firebase Analytics zur App-Analyse oder zum Nutzertracking; Crashlytics dient ausschließlich der technischen Fehler- und Absturzanalyse.

9. Speicherdauer

• Gemeinsame Inhalte nach einer Trennung: Wird die Paar-Verbindung getrennt, beenden wir die Standortfreigabe und löschen den zuletzt geteilten Standort. Chats, Momente, Kalender, Wünsche, Spielstände, geteilte Musik und die zugehörigen Funktionsdaten bleiben der Paar-Verbindung zugeordnet gespeichert, damit sie wieder zur Verfügung stehen, wenn dieselben beiden Partner die Verbindung erneut eingehen (Art. 6 Abs. 1 lit. b DSGVO). Endgültig gelöscht werden sie, sobald einer der beiden Partner sein Konto löscht oder es nach 6 Monaten Inaktivität gelöscht wird.
• Chats: Bis zur Löschung durch den Nutzer. Spätestens bei Kontolöschung oder automatischer Löschung nach 6 Monaten Inaktivität werden alle Inhalte entfernt, soweit keine gesetzlichen Aufbewahrungspflichten bestehen.
• Mediendateien (Fotos, Videos, Profilbilder): Bei uns nur bis zur Zustellung an beide Geräte und höchstens 24 Stunden darüber hinaus (ausgenommen Paar-Verbindungen mit einem Prüf- oder Testkonto, Abschnitt 3.10); kommt eine Zustellung nicht zustande, längstens 30 Tage ab dem Hochladen. Die dauerhafte Speicherung erfolgt auf den Geräten beider Partner und endet dort mit der Löschung durch den Nutzer oder der Deinstallation der App (Abschnitt 3.4); eine Trennung entfernt die auf den Geräten gespeicherten Kopien nicht.
• Angaben zur Zustellung von Mediendateien (welches Gerät eine Datei erhalten, angefordert oder als fehlend gemeldet hat, Verfallszeitpunkt): Wie der zugehörige Moment; spätestens mit der Löschung eines der beiden Konten.
• Linkvorschau-Metadaten: Wie zugehörige Chat- bzw. Inhaltsdaten, bis zur Löschung des Inhalts oder Kontos.
• Zustell- und Lesestatus sowie Reaktionen (Abschnitt 3.4): Wie die zugehörige Unterhaltung; spätestens mit der Löschung eines der beiden Konten.
• Abgleichsdaten des gemeinsamen Hörens (Abschnitt 6.8): Bis zum Ende der jeweiligen Hörrunde; das gilt auch für die Häkchen gespielter Titel. Der Hinweis, dass ein Partner die Runde verlassen hat: bis zur nächsten Einladung zum gemeinsamen Hören, längstens bis zur Löschung eines der beiden Konten. Der Stand der Liste für die Fortsetzung nach einem Neustart: nur auf Ihrem Gerät, verwendet höchstens 6 Stunden. Der Vermerk, ob Ihr Spotify-Konto Titel auf Wunsch abspielen kann: bis zum Widerruf der Spotify-Freigabe (Abschnitt 6.8), längstens bis zur Trennung der Paar-Verbindung oder zur Löschung eines der beiden Konten.
• Anwesenheitsstatus (Abschnitt 3.1): Nur der jeweils letzte Stand, wird überschrieben.
• Meldungen zu Momenten (Abschnitt 3.5): Auch nach Löschung eines Kontos für eine angemessene Nachweisfrist.
• Zeitpunkt der letzten Push-Benachrichtigung je Ereignisart (Abschnitt 3.7): Wird bei der nächsten Benachrichtigung überschrieben.
• Tägliche Kennzahlen (Abschnitt 3.10): Dauerhaft, ohne Personenbezug.
• Abschiedshinweis (Abschnitt 3.2): Bis der Empfänger ihn in der App zur Kenntnis genommen hat; spätestens bei Löschung von dessen Konto. Ruft der Empfänger die App nicht mehr auf, bleibt der Hinweis bis dahin bestehen.
• Demo-Modus und KI-Begleitung (Abschnitte 3.6 und 3.14): Persona-Wahl und Inhalte des Demo-Modus bleiben je Persona gespeichert — auch beim Wechsel der KI-Begleitung und während einer Paar-Verbindung —, bis Sie sie in den Einstellungen löschen, längstens bis zur Löschung Ihres Kontos. Ausgenommen sind Fotos und Videos, die Sie selbst im Demo-Modus teilen: Sie liegen bei uns nur bis zur Zustellung an Ihr Gerät, wie unter "Mediendateien" beschrieben. Der aufbewahrte Stand einer Persona, die weder gerade genutzt wird noch wegen einer Paar-Verbindung pausiert ist, wird 12 Monate nach der letzten Nachricht automatisch gelöscht. Dasselbe gilt für Gedächtnis, Fotobeschreibungen und Live-Bilder der jeweiligen Persona; Einträge des Gedächtnisses einschließlich der Gesprächszusammenfassung können Sie zudem einzeln löschen, und mit dem Widerruf der Einwilligung in die KI-Funktionen wird das gesamte Gedächtnis einschließlich Terminen und Zusammenfassungen automatisch gelöscht. Einträge mit einem Ereignis werden 14 Tage nach dem Ereignis beim nächsten Gespräch mit der Persona gelöscht; die Zusammenfassung wird ersetzt, sobald eine neue entsteht. Ein Vermerk, dass Sie im Demo-Chat ein Alter unter 16 Jahren genannt haben (Abschnitt 3.14), bleibt bis zur Löschung Ihres Kontos. Bildaufträge: höchstens 15 Minuten; Zählerstände der Live-Bilder: wenige Tage. Bilder der Bibliothek, die nur die Persona zeigen, haben keinen Bezug zu Ihnen und bleiben dauerhaft. Ortsname und Straßenpunkte des Demo-Standorts liegen nur auf Ihrem Gerät (Abschnitt 3.3). Meldungen zu Antworten und Live-Bildern des Demo-Partners werden wie Meldungen zu Momenten aufbewahrt. Der Mini-Chat der Persona-Wahl liegt nur auf Ihrem Gerät, ohne Anmeldung höchstens 7 Tage.
• Standort: Nur temporär (jeweils letzter Punkt, wird überschrieben); bei Auflösung der Paar-Verbindung wird der zuletzt gespeicherte Standort gelöscht. Der Aufnahmeort geteilter Fotos und Videos (Abschnitt 3.11) wird wie Inhaltsdaten bis zur Löschung der Datei bzw. des Kontos gespeichert.
• Kalenderdaten: Bis zur Löschung durch den Nutzer oder bei Kontolöschung.
• Spieldaten und Matches-Profile: Dauerhaft zur Anzeige von Highscores und für Paarfunktionen; bei Kontolöschung werden alle Daten gelöscht.
• KI-Konversationen und KI-Kontextdaten: Werden bei Kontolöschung gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten bestehen.
• KI-Antwort-Cache: Ein technischer Zwischenspeicher für Nova-Antworten wird automatisch spätestens nach 7 Tagen gelöscht.
• Push-Token: Bis zur Abmeldung, Deinstallation, Token-Erneuerung oder Kontolöschung; ungültige Token können vorher entfernt werden.
• Support-Anfragen: Bis zur abschließenden Bearbeitung und anschließend für eine angemessene Nachweisfrist.
• Absturzberichte: 90 Tage (Firebase Crashlytics Standard), soweit nicht anders konfiguriert.
• Inaktive Konten: Konten werden nach 6 Monaten Inaktivität automatisch gelöscht. Vor der Löschung werden Sie nach aktueller technischer Umsetzung ungefähr 30 Tage vorher per E-Mail und — soweit ein gültiges Push-Token vorliegt — zusätzlich per Push-Benachrichtigung gewarnt. Ausgenommen sind Prüf- und Testkonten (Abschnitt 3.10).

10. Automatisierte Entscheidungsfindung

Es findet keine ausschließlich automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO statt, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt. Automatisierte Medienmoderation kann jedoch Inhalte markieren, ablehnen oder zur Prüfung/Löschung vormerken, um Sicherheit, Jugendschutz und AGB-Durchsetzung zu gewährleisten.

11. Ihre Rechte als Betroffener

Sie haben gegenüber uns folgende Rechte:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung / "Recht auf Vergessenwerden" (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruchsrecht (Art. 21 DSGVO): Insbesondere gegen Verarbeitung auf Basis von berechtigtem Interesse. Im Fall des Widerspruchs gegen Direktwerbung wird die Verarbeitung unverzüglich eingestellt.
• Widerrufsrecht: Erteilte Einwilligungen können jederzeit mit Wirkung für die Zukunft widerrufen werden (Art. 7 Abs. 3 DSGVO).
• Beschwerderecht bei einer Aufsichtsbehörde, insbesondere beim Bayerischen Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

Ausübung Ihrer Rechte: Ihr Konto samt aller zugehörigen Daten können Sie jederzeit direkt in der App löschen (Einstellungen → Konto löschen); Verlauf, Gedächtnis und Fotos der KI-Begleitung löschen Sie unter "Einstellungen → KI-Begleitung"; die Einwilligung in personalisierte Werbung ändern Sie direkt in der App über "Einstellungen → Werbe-Einstellungen". Für alle weiteren Anliegen genügt eine formlose Nachricht an forusonly@cyberschmiede.net.

12. Datensicherheit

Wir setzen technische und organisatorische Sicherheitsmaßnahmen ein:

• Transport: TLS 1.2/1.3 für Datenübertragungen.
• Anwendungsseitige Verschlüsselung: Bestimmte Inhaltsdaten (z.B. Chat-/Nova-Texte) sowie alle Mediendateien einschließlich der Profilbilder werden zusätzlich anwendungsseitig verschlüsselt, bevor sie unser Speicher erreichen. Metadaten und technische Betriebsdaten können zur Funktionserbringung in Firebase gespeichert werden.
• Chat: Chat-Inhalte werden mit paarspezifischen Schlüsseln verschlüsselt. Für bestimmte Funktionen (z.B. KI-Kontext für "Nova", Linkvorschau, Inhaltsmoderation) werden Inhalte serverseitig entschlüsselt und verarbeitet. Die anwendungsseitige Verschlüsselung ist daher keine Ende-zu-Ende-Verschlüsselung und schützt nicht gegen einen Zugriff durch den Anbieter.
• Anrufe: Medienströme werden über WebRTC transportverschlüsselt (DTLS-SRTP) übertragen.
• Zugriffskontrolle: Firebase Security Rules und serverseitige Prüfungen begrenzen den Zugriff auf berechtigte Nutzer und die jeweilige Paar-Verbindung.
• Abmelden und Kontowechsel: Melden Sie sich ab oder wechseln Sie das Konto, löscht die App die Ihrem Konto zugeordneten Einstellungen, Einwilligungsvermerke und Zwischenspeicher auf dem Gerät; den Zwischenspeicher unserer Datenbank leert sie beim nächsten Start. Fotos, Videos und die Chat-Kopie Ihrer Paar-Verbindung bleiben auf dem Gerät, weil sie dort die einzige Kopie sein können; sie sind Ihrer Verbindung zugeordnet und werden einem anderen Konto nicht angezeigt. Mit der Löschung Ihres Kontos entfernt die App auch sie.
• Missbrauchsprävention: Rate Limiting, App Check und weitere serverseitige Prüfungen schützen vor automatisierten Angriffen.

13. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung bei Bedarf anzupassen, z.B. bei Änderungen der Rechtslage oder bei Einführung neuer Funktionen. Über wesentliche Änderungen werden Sie in der App informiert. Die aktuelle Version ist stets in der App und auf unserer Webseite abrufbar.

14. Kontakt bei Fragen

Bei Fragen zum Datenschutz kontaktieren Sie uns bitte:
E-Mail: forusonly@cyberschmiede.net
Cyberschmiede GmbH, Im See 1, 87629 Füssen, Deutschland