Datenschutzerklärung

Entwurf. Dieser Text zeigt, welche Abschnitte die Datenschutzerklärung haben wird, nicht ihren endgültigen Wortlaut. Bis zur juristischen Prüfung gelten nur die tatsächlichen technischen Zusagen dieser Website (z. B. keine Cookies, Abschnitt 8).

1. Verantwortlicher

Verantwortlich für die Bearbeitung deiner Daten ist Varatharajan Solutions, Einzelunternehmen, Am Mattenhof 2b, 6010 Kriens, Schweiz (UID CHE-437.293.198). Kontakt für Datenschutzanfragen: support@anyup.app.

2. Überblick: welche Daten wir verarbeiten

anyup verarbeitet personenbezogene Daten, um das Produkt überhaupt anbieten zu können: insbesondere für Konto und Anmeldung, Identitäts- und Altersprüfung, dein Profil, Aktivitäten und Teilnahme, den Gruppen-Chat, Melden und Blockieren sowie den Support. Welche Daten wir je Zweck verarbeiten und auf welcher Rechtsgrundlage, steht in den folgenden Absätzen und in Abschnitt 3.

• Konto, Anmeldung und Identitäts-/Altersprüfung
• Profil (Vorname, Alter, Geschlecht, Fotos, gesprochene Sprachen, freiwillig deine Interessen und, wenn du willst, deine Nationalität), siehe unten
• Standort: nur im Vordergrund, nur auf deinen Tipp, verlässt das Gerät nie
• Aktivitäten, Teilnahme und Einladungen
• Nachrichten im Aktivitäts-Chat
• Melden und Blockieren
• Support-Fälle und Widerspruch gegen Massnahmen, siehe unten
• Updates der App: Abruf bei jedem Start, siehe unten
• Schutz der Anmeldung: Geräte-Bestätigung, siehe unten

Fehlerbehebungen liefern wir aus, ohne dass du im Store etwas laden musst. Dafür fragt die App bei jedem Start bei unserem Dienstleister Expo (650 Industries, USA) nach, ob es einen neueren Stand gibt. Diese Anfrage enthält deine IP-Adresse, die Plattform, die Version der App und des Betriebssystems, die Spracheinstellung deines Geräts, den Kanal und eine zufällige Kennung deiner Installation, die Expo zum Zählen aktiver Installationen braucht. Sie enthält keine Kontodaten und nichts, was dich als Person benennt; die Kennung hat keinen Bezug zu deinem Konto und fällt mit der Deinstallation weg. Dafür gibt es keinen Schalter, weil ohne diesen Abruf Sicherheitskorrekturen nicht ankommen würden. Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren, funktionierenden App (Art. 6 Abs. 1 lit. f DSGVO).

Wenn du dich mit deiner E-Mail-Adresse anmeldest, weist die App nach, dass die Anfrage aus der echten anyup-App auf einem echten Gerät kommt. So schützen wir die Anmeldung und fremde Postfächer vor automatisierten Anfragen. Auf dem iPhone nutzen wir dafür Apple App Attest, auf Android Google Play Integrity. Dein Gerät lässt dabei von Apple bzw. Google (beide mit Sitz in den USA) bestätigen, dass App und Gerät echt sind, und übermittelt dafür Angaben über Gerät und App; deine E-Mail-Adresse erfahren sie nicht. Bei uns speichern wir auf dem iPhone die Kennung eines Geräteschlüssels, den öffentlichen Schlüssel und einen Zähler, ohne Bezug zu deinem Konto, deiner E-Mail-Adresse oder deiner IP-Adresse. Wird der Schlüssel sechs Monate nicht benutzt, löschen wir ihn. Das Ergebnis von Google werten wir nur aus und speichern es nicht. Weil der Schlüssel keinem Konto zugeordnet ist, können wir ihn dir bei einer Auskunft nicht zuordnen, ohne dafür zusätzliche Daten über dich zu sammeln (Art. 11 DSGVO). Kann dein Gerät diesen Nachweis nicht liefern, zeigen wir stattdessen eine kurze Aufgabe von hCaptcha. Rechtsgrundlage ist unser berechtigtes Interesse am Schutz vor Missbrauch (Art. 6 Abs. 1 lit. f DSGVO).

Mit deinem Ausweis bestätigst du deine Identität über Stripe Identity. Dafür fotografierst du bei Stripe deinen Ausweis und dich selbst, und Stripe vergleicht dein Selfie mit dem Foto im Ausweis. Bei diesem Vergleich verarbeitet Stripe biometrische Daten. Bei uns kommen nur das Ergebnis, ein grober Grund, das geprüfte Geburtsdatum, der Zeitpunkt und eine Referenznummer von Stripe an, nie dein Ausweisbild, dein Selfie oder dein Name aus dem Ausweis. Rechtsgrundlage für den Vergleich ist deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO; Art. 6 Abs. 7 lit. a DSG). Du erteilst sie in der App vor der Prüfung, und wir halten fest, wann und in welcher Fassung. Die Einwilligung ist freiwillig, denn anyup geht auch ohne Ausweis: über den Weg „von Personen bestätigt“. Bestätigen dir fünf mit Ausweis geprüfte Hosts nach fünf verschiedenen gemeinsamen Aktivitäten, dass du die Person auf deinem Profil bist, darfst du anfragen und chatten. Nur zum Hosten brauchst du die Prüfung mit Ausweis. Selfie und Ausweisbild lassen wir bei Stripe nach jeder abgeschlossenen Prüfung löschen; bei Stripe kann das bis zu vier Tage dauern. Deine Einwilligung kannst du jederzeit unter „Konto & Datenschutz“ widerrufen. Dein Konto bleibt dann verifiziert, weil die Prüfung bis dahin rechtmässig war. Eine laufende Prüfung brechen wir ab, und was von deinen Prüfungen noch bei Stripe liegt, lassen wir löschen, auch das kann bis zu vier Tage dauern. Eine neue Prüfung startet erst nach einer neuen Einwilligung. Den Nachweis deiner Einwilligung (Fassung, Zeitpunkt der Erteilung und eines Widerrufs) bewahren wir auf, bis dein Konto endet, und danach noch 6 Monate.

Meldet uns Stripe, dass du das Mündigkeitsalter nicht erreichst, speichern wir nur diese Tatsache und den Zeitpunkt, keinen Text von Stripe. Dein Konto bleibt bestehen, eine weitere Ausweisprüfung ist dafür nicht mehr möglich. Der Zweck: wir vermeiden weitere kostenpflichtige Prüfungen, die Stripe ohnehin ablehnt, und stellen das Mindestalter fürs Hosten sicher. Rechtsgrundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Der Vermerk steht in deiner Datenauskunft, die Moderation kann ihn einsehen, andere Nutzende nie. Er wird gelöscht, wenn dein Konto endet; danach bleibt das Prüfergebnis ohne Personenbezug noch 6 Monate. Ergibt die Prüfung ein geprüftes Alter unter 18, endet dein Konto sofort endgültig. Es bleiben der nicht rückrechenbare Fingerabdruck deines Ausweises mit Zustand, das Prüfergebnis ohne Personenbezug und deine Einwilligungen als Nachweis, je 6 Monate.

Hauptfotos prüft unsere Moderation. Entfernst du dein Hauptfoto, solange die Prüfung noch offen ist, ist es sofort für alle anderen unsichtbar, und auch du siehst es nicht mehr. Die Moderation behält es bis zu ihrem Entscheid, höchstens 30 Tage. Der Zweck: die Fotoprüfung soll sich nicht umgehen lassen, indem jemand ein Foto rechtzeitig entfernt. Mit dem Entscheid endet diese Ausnahme. Rechtsgrundlage ist unser berechtigtes Interesse an der Sicherheit der Plattform (Art. 6 Abs. 1 lit. f DSGVO).

In deinem Profil gibst du an, welche Sprachen du sprichst. Das ist Pflicht: mindestens eine und höchstens fünf aus einer festen Liste, ohne Freitext. Welche du nennst, entscheidest du. Der Zweck: wer sich mit dir trifft, soll wissen, in welcher Sprache ihr euch verständigen könnt. Deine Sprachen sieht, wer dein Profil sehen darf, auch der Host, wenn du bei einer Aktivität anfragst. Rechtsgrundlage ist die Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO).

Freiwillig kannst du bis zu fünf Interessen aus einer festen Liste wählen, etwa Wandern oder Brettspiele, ohne Freitext. Der Zweck: wer dein Profil ansieht, soll einschätzen können, ob ihr zusammenpasst, auch der Host, wenn du bei einer Aktivität anfragst. Deine Interessen sieht, wer dein Profil sehen darf. Interessen, die ihr teilt, stehen dabei vorne; den Vergleich macht die App auf dem Gerät der ansehenden Person, wir speichern dazu nichts. Du kannst deine Auswahl jederzeit ändern oder ganz entfernen. Die Liste enthält keine Einträge zu Religion, Weltanschauung, Politik, Gewerkschaften, Gesundheit, Sexualleben oder Herkunft. Rechtsgrundlage ist die Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO).

Deine Nationalität kannst du freiwillig angeben, bis zu zwei Länder. Wir speichern sie, weil du sie eingibst (Einwilligung, Art. 6 Abs. 1 lit. a DSGVO), und du kannst sie jederzeit wieder entfernen. Andere sehen sie nur, wenn du den Schalter „In meinem Profil zeigen“ einschaltest. Die Vorgabe ist aus; dann siehst nur du sie. Weil die Nationalität Rückschlüsse auf deine Herkunft zulassen kann, ist das Einschalten deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO, Art. 6 Abs. 7 DSG). Jede Umstellung halten wir mit Zeitpunkt fest. Du widerrufst die Einwilligung, indem du den Schalter ausschaltest oder alle Länder entfernst; der Widerruf wirkt sofort.

Wir verwenden Sprachen, Interessen und Nationalität für keinen Filter, keine Suche, keine Rangfolge und keine Zugangsregel einer Aktivität. In Fehlerberichten stehen sie nicht. Sie stehen in deinem Datenexport, die Interessen mit ihren Namen und dem Zeitpunkt der letzten Änderung, die Nationalität zusammen mit dem Stand des Schalters und deinen Einwilligungen. Wir löschen sie mit deinem Konto wie deinen Vornamen, sobald die Löschung nach sieben Tagen endgültig ist; in diesen sieben Tagen sieht sie niemand sonst. Endet dein Konto, weil die Prüfung ein Alter unter 18 ergibt, löschen wir sie sofort.

Über den Support in der App kannst du eine Frage stellen, ein Problem melden oder Widerspruch gegen eine Massnahme einlegen, die wir gegen dein Konto verhängt haben. Das geht auch, wenn dein Konto eingeschränkt oder gesperrt ist. Für einen Support-Fall speichern wir die Art des Anliegens, deine Nachrichten (je bis 2000 Zeichen), die Antworten unseres Teams und die Zeitpunkte. Bei einem Widerspruch verknüpfen wir den Fall mit der Massnahme und halten deren Art, Grund und Zeitraum im Fall fest. Den Fall sehen nur du und unser Team. In der Ansicht eines Falls sieht das Team den Fall mit seinem Verlauf, bei einem Widerspruch zusätzlich den aktuellen Stand der Massnahme, und von deinem Konto deinen Vornamen und den Zustand deines Kontos, etwa ob es gesperrt ist, dazu seine interne Kennung. Weitere Daten über dich, etwa Meldungen oder Chats, zeigt diese Ansicht nicht. Über einen Widerspruch entscheidet immer ein Mensch. Lehnt das Team ihn ab, nennt es dir den Grund der Massnahme und begründet, warum dein Widerspruch daran nichts ändert. Antwortet das Team, bekommst du eine Benachrichtigung mit dem Text „Der Support hat geantwortet“, nie mit dem Inhalt der Antwort. Deine Nachrichten sind Freitext: Schreib nur, was wir für dein Anliegen brauchen, und lass Angaben zu Gesundheit, Religion, politischer Meinung oder sexueller Orientierung weg, wenn sie dafür nicht nötig sind. Ein Fall wird sechs Monate nach seinem Abschluss samt Verlauf gelöscht. Löschst du dein Konto, schliessen wir deine offenen Fälle sofort; sobald die Löschung nach sieben Tagen endgültig ist, löschen wir alle deine Fälle. Im internen Protokoll unserer Verwaltung halten wir zwölf Monate lang fest, wer aus dem Team wann auf einen Fall geantwortet, ihn mit einem älteren Fall verknüpft oder geschlossen hat. Der Eintrag enthält die Kennungen deines Kontos und der Fälle, beim Schliessen zusätzlich eine Begründung, die das Team angeben muss, aber nie den Text der Nachrichten. Diese Einträge bleiben die zwölf Monate bestehen, auch wenn du dein Konto löschst. Rechtsgrundlage ist die Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO).

3. Rechtsgrundlagen

Wir nennen die Rechtsgrundlagen nach der Datenschutz-Grundverordnung der EU (DSGVO). Das Schweizer Datenschutzgesetz (DSG) verlangt für eine Bearbeitung keine Rechtsgrundlage; wo es eine ausdrückliche Einwilligung verlangt, holen wir sie ein (Art. 6 Abs. 7 DSG). Für die Absätze in Abschnitt 2 steht die Rechtsgrundlage jeweils dort.

Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO). Ohne diese Daten können wir anyup nicht anbieten:

• Konto und Anmeldung: deine E-Mail-Adresse, der Anmeldeweg (Apple, Google oder E-Mail) mit der dortigen Nutzer-Kennung, der Zustand deines Kontos, der Zeitpunkt der Registrierung und deine Sitzung. Meldest du dich per E-Mail an, schicken wir dir einen Einmalcode; er gilt zehn Minuten und liegt bei uns nur als nicht rückrechenbarer Hashwert.
• Identitäts- und Altersprüfung ausser dem Selfie-Abgleich: das Ergebnis, ein grober Grund, das geprüfte Geburtsdatum, der Zeitpunkt und eine Referenznummer von Stripe. anyup steht nur geprüften Erwachsenen offen.
• Profil: Vorname, Geburtsdatum, Geschlecht, Fotos, Sprachen und Interessen. Andere sehen davon Vorname, Alter, Geschlecht, Sprachen, Interessen, ob du verifiziert bist und seit wann du dabei bist. Dein genaues Geburtsdatum und deine E-Mail-Adresse sieht niemand ausser dir. Dein Hauptfoto sehen Host und angenommene Teilnehmende gemeinsamer Aktivitäten bis 7 Tage nach deren Ende, deine Freunde und der Host einer Aktivität, bei der du anfragst.
• Aktivitäten: Titel, Beschreibung, Kategorie, Sprachen, Zeit, Plätze und der Treffpunkt als genaue Adresse mit einem Hinweis für die Gruppe. Bevor der Host jemanden annimmt, sieht diese Person nur ein Quartier-Label und einen Kartenpunkt, der um 200 bis 500 Meter versetzt ist. Die genaue Adresse sehen nur Personen, die der Host angenommen hat.
• Karte: an unseren Server geht der Kartenausschnitt, den du dir ansiehst, damit wir dir die Aktivitäten darin zeigen. Einen Verlauf deiner Ausschnitte speichern wir nicht.
• Anfragen, Teilnahme und Einladungen: deine Anfrage mit ihrem Zustand und den Zeitpunkten, deine Teilnahme und Einladungen, die du erhältst oder aussprichst. Der Host sieht deine Anfrage; zurückgezogene Anfragen sieht er nicht.
• Chat: deine Nachrichten im Wortlaut (bis 2000 Zeichen), Antwortbezüge, Reaktionen und ein Lesezeiger pro Chat. Vom Lesezeiger sehen die anderen nur eine Zahl, nie einen Namen und nie einen Zeitpunkt. Dass jemand tippt, wird angezeigt, aber nie gespeichert. Wir werten die Inhalte nicht aus. Was du schreibst, ist Freitext: lass Angaben zu Gesundheit, Religion, politischer Meinung oder sexueller Orientierung weg, wenn du sie nicht teilen willst. Löschst du dein Konto, bleiben deine Nachrichten stehen, aber ohne deinen Namen, damit das Gespräch für die anderen lesbar bleibt.

Deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit widerrufen; der Widerruf wirkt ab sofort:

• Push-Benachrichtigungen: wir speichern eine Push-Kennung deines Geräts und dessen Sprache, keinen Gerätenamen, kein Modell, keine Betriebssystemversion und keine IP-Adresse. Eine Benachrichtigung nennt die Art des Ereignisses, den Titel der Aktivität und den Vornamen der beteiligten Person, nie den Wortlaut einer Nachricht und nie ein Foto. Sie ist gegenüber den Zustelldiensten nicht verschlüsselt: Expo, Apple und Google sehen den Text. Du erlaubst Benachrichtigungen je Kategorie, und wir halten Erteilung und Widerruf mit Zeitpunkt fest.
• Standort: nur, wenn du darauf tippst, und nur, solange die App im Vordergrund ist. Er zentriert die Karte und dient dazu, Entfernungen auf deinem Gerät zu berechnen; deine Position geht nie an unseren Server. Die App funktioniert auch ohne Standort.
• Hauptfoto beim Entdecken: mit dem Schalter „Foto beim Entdecken zeigen“ sehen es auch Personen ausserhalb des Kreises oben, darunter Personen, die ihre Identität noch nicht bestätigt haben. Die Vorgabe ist aus.
• Fehlerberichte über Sentry: erst nach deiner Einwilligung, die Vorgabe ist aus. Sie enthalten deine Nutzer-Kennung, aber keine E-Mail-Adresse, keine Token und keine Codes.

Unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO), vor allem an der Sicherheit der Nutzenden:

• Missbrauchsschutz: wir zählen Handlungen wie Anmeldeversuche, Codeversand, Prüfungen, neue Aktivitäten, Anfragen, Einladungen, Nachrichten und Meldungen je Konto und Zeitfenster, bei der Anmeldung auch je IP-Adresse und E-Mail-Adresse. Erreicht jemand eine Grenze, halten wir das als Sicherheitsereignis fest.
• Melden: wir speichern Art und Kennung des gemeldeten Ziels, einen von sieben festen Gründen, deine freiwillige Ergänzung (bis 500 Zeichen) und den Zeitpunkt. Dazu frieren wir den gemeldeten Inhalt als Kopie ein, bei einer Nachricht zusammen mit bis zu fünf Nachrichten davor und danach, auch von Unbeteiligten. Die Ergänzung liest nur die Moderation; schreib keine Angaben zu Gesundheit, Religion, Herkunft, Sexualität oder politischer Meinung hinein. Die gemeldete Person erfährt weder, dass gemeldet wurde, noch von wem, weil eine solche Mitteilung den Schutz der meldenden Person aufheben würde (Art. 14 Abs. 5 lit. b DSGVO, Art. 20 Abs. 3 DSG).
• Blockieren: wir speichern, wer wen wann blockiert hat. Die blockierte Person erfährt davon nichts.
• Moderation: unser Team sieht gemeldete Inhalte nur zum jeweiligen Fall, nicht als durchsuchbare Sammlung. Hauptfotos prüft ein Mensch nach den Foto-Regeln, ohne technische Gesichtserkennung und ohne Abgleich mit dem Selfie aus der Identitätsprüfung; dieses Selfie sieht unser Team nie. Wir berechnen Hinweise auf auffälliges Verhalten, die nur eine Prüfung durch einen Menschen auslösen. Jede Massnahme gegen ein Konto trifft ein Mensch; eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO gibt es nicht.
• Kurzfristiger Rückzug: gibst du weniger als sechs Stunden vor Beginn einen zugesagten Platz zurück, vermerken wir dein Konto, die Aktivität und den Zeitpunkt. Der Vermerk wird niemandem angezeigt.
• Bestätigung durch Hosts: welcher Host nach welcher Aktivität bestätigt hat, dass eine Person die Person auf ihrem Profil ist. Wir speichern nur das Ja.
• Datensicherung: wir sichern die Datenbank täglich, um sie nach einem Ausfall wiederherstellen zu können.
• Diese Website: unser Hoster protokolliert technisch nötige Zugriffe mit IP-Adresse, Zeitpunkt und aufgerufenem Pfad.

Nachweis (Art. 6 Abs. 1 lit. c und Art. 7 Abs. 1 DSGVO): wir halten fest, wann du welche Einwilligung erteilt oder widerrufen und wann du bestätigt hast, dass du mindestens 18 bist, jeweils mit der Fassung von AGB und Datenschutzerklärung.

4. Empfänger und Auftragsverarbeiter

Wir setzen Dienstleister ein, die Daten in unserem Auftrag verarbeiten (u. a. für Hosting, Identitätsprüfung, E-Mail-Versand, Fehlerdiagnose und die Auslieferung von App-Updates). Wir verkaufen keine Daten und setzen keine Werbenetzwerke ein. In unserem Auftrag arbeiten:

• Supabase: Datenbank, Anmeldung und Dateien, auch deine Fotos. Die Daten liegen in Zürich, Schweiz. Der Anbieter hat seinen Sitz in den USA.
• Stripe: Identitäts- und Altersprüfung. Ausweisbild, Selfie, Name und Geburtsdatum liegen bei Stripe. Sitz in den USA, Bearbeitung weltweit.
• Resend: Versand der Anmelde-E-Mails mit deiner E-Mail-Adresse und dem Code, aus Irland. Sitz in den USA.
• hCaptcha (Intuition Machines): Schutz der Anmeldung, wenn die Geräte-Bestätigung nicht gelingt, mit IP-Adresse sowie Browser- und Gerätesignalen. Sitz in den USA, Bearbeitung weltweit.
• Expo (650 Industries): Zustellung der Push-Benachrichtigungen mit Push-Kennung und Text, dazu die Auslieferung von App-Updates (Abschnitt 2). Sitz in den USA.
• Vercel: Betrieb dieser Website und unserer Verwaltung. Die Server stehen in Frankfurt, Deutschland; die Seiten werden über Standorte weltweit ausgeliefert, jeweils nahe bei dir. Sitz in den USA.
• Sentry: Fehlerberichte, nur nach deiner Einwilligung. Die Daten liegen in Deutschland. Sitz in den USA.
• Mapbox: Karte und Ortssuche, siehe unten.

Für einige Schritte sind Apple und Google selbst verantwortlich: wenn du dich mit ihnen anmeldest (E-Mail-Adresse und Nutzer-Kennung), wenn sie Benachrichtigungen auf dein Gerät zustellen (Apple Push Notification Service, Firebase Cloud Messaging) und bei der Geräte-Bestätigung (Apple App Attest, Google Play Integrity, Abschnitt 2). Dafür gelten ihre eigenen Datenschutzerklärungen, etwa apple.com/legal/privacy. Beide haben ihren Sitz in den USA.

Karte und Ortssuche: Karte und Ortssuche in der App liefert Mapbox. Wenn du die Karte benutzt oder eine Adresse suchst, gehen der Kartenausschnitt, dein Suchbegriff, deine IP-Adresse und Gerätesignale direkt von deinem Gerät an Mapbox, ohne Umweg über unseren Server. Mapbox verarbeitet diese Daten in unserem Auftrag. Die Nutzungs- und Diagnosetelemetrie des Karten-SDK haben wir abgeschaltet; an Mapbox geht nur, was für Kacheln und Suche nötig ist. Mapbox speichert die Daten in den USA und bewahrt IP-Adressen 30 Tage auf. Mapbox nutzt Anfragedaten auch in anonymisierter, zusammengefasster Form, um seine Dienste zu verbessern.

5. Übermittlung in Drittländer

Deine Anwendungsdaten liegen in der Schweiz, in Zürich. Für Personen in der EU braucht das keine weiteren Garantien, weil die Europäische Kommission der Schweiz ein angemessenes Schutzniveau bescheinigt hat. Einige Dienstleister aus Abschnitt 4 bearbeiten Daten in anderen Staaten. Wir geben Daten in diese Staaten bekannt:

• Irland (Resend) und Deutschland (Sentry, die Server von Vercel). Beide Staaten haben nach Schweizer Recht ein angemessenes Datenschutzniveau.
• USA (Stripe, hCaptcha, Expo, Vercel, Mapbox, Apple und Google). Die USA haben kein allgemein angemessenes Datenschutzniveau. Mapbox und Expo sind unter dem Data Privacy Framework zwischen der EU, der Schweiz und den USA zertifiziert und haben zusätzlich Standardvertragsklauseln der EU-Kommission mit uns vereinbart. Stripe stützt sich auf das Data Privacy Framework und Standardvertragsklauseln, hCaptcha und Google auf das Data Privacy Framework, Vercel und Apple auf Standardvertragsklauseln.
• Belarus: Mapbox setzt eine Konzerngesellschaft in Belarus als Unterauftragnehmer ein. Mapbox haftet dafür nach seinem Vertrag mit uns. Die aktuelle Liste steht unter mapbox.com/legal/subprocessors.
• Weitere Staaten: Stripe und hCaptcha bearbeiten Daten weltweit, Mapbox und Vercel liefern über Zwischenspeicher in vielen Staaten aus, und Apple und Google stellen Benachrichtigungen weltweit zu. Diese Staaten können wir nicht einzeln nennen.

6. Speicherdauer

• Prüfergebnis ohne Personenbezug: 6 Monate nach dem Ende des Kontos
• Einwilligungsnachweis nach dem Ende des Kontos: 6 Monate
• Fingerabdruck deines Ausweises gegen Sperrumgehung: 6 Monate nach der Löschung des Kontos
• Moderationsfälle: bis zum Abschluss, danach 6 Monate
• Internes Protokoll unserer Verwaltung: 12 Monate, ohne den Text deiner Nachrichten
• Entferntes Hauptfoto mit offener Prüfung: bis zum Entscheid der Moderation, höchstens 30 Tage
• Datensicherungen unserer Datenbank: 7 Tage; was wir löschen, ist danach auch aus den Sicherungen verschwunden (Fotos sind darin nicht enthalten)
• Konto und Profil: bis du dein Konto löschst; die Löschung ist 7 Tage umkehrbar, danach endgültig
• Entfernte Fotos: innerhalb von 24 Stunden; ist zum Foto eine Meldung offen, bis zum Abschluss des Falls
• Abgelehnte Fotos: 30 Tage, länger nur in einem offenen Moderationsfall
• Frühere Vornamen: 6 Monate
• Einmalcode für die Anmeldung: 10 Minuten
• Treffpunkt und Hinweis des Hosts: 3 Monate nach dem Ende der Aktivität
• Bezug einer Aktivität zum Host: 12 Monate nach ihrem Ende; danach bleiben Titel, Kategorie, Gebiet und Zeiten ohne Personenbezug
• Anfragen und Einladungen, die nicht zu einer Teilnahme geführt haben: 3 Monate nach dem Ende der Aktivität
• Teilnahmen: 12 Monate nach dem Ende der Aktivität
• Vermerk über einen kurzfristigen Rückzug: 6 Monate
• Chat-Nachrichten: 3 Monate nach dem Ende der Aktivität
• Bestätigungen durch Hosts: 12 Monate ab Abgabe, danach ein Abdruck ohne die Kennung des Hosts für weitere 12 Monate
• Massnahmen gegen ein Konto: 6 Monate nach Ablauf oder Aufhebung
• Support-Fälle: 6 Monate nach dem Abschluss
• Push-Kennung deines Geräts: bis du dich abmeldest oder dein Konto löschst, sonst 6 Monate nach der letzten erfolgreichen Zustellung
• Zähler gegen Missbrauch: 24 Stunden
• Sicherheitsereignisse: 6 Monate
• Geräteschlüssel der Anmeldung auf dem iPhone: 6 Monate nach der letzten Nutzung
• Fehlerberichte: 30 Tage
• Zugriffsprotokolle dieser Website beim Hoster: 1 Tag

Den Fingerabdruck deines Ausweises behalten wir nach einer Löschung, damit sich eine Sperre nicht mit einem neuen Konto umgehen lässt. Er ist nicht rückrechenbar und entsteht nur, wenn du deine Identität geprüft hast. Ein Moderationsfall, etwa zu einer Meldung über dich, bleibt bestehen, auch wenn ein beteiligtes Konto gelöscht wird; so läuft eine Meldung nicht ins Leere. Im internen Protokoll halten wir fest, was unser Team in der Verwaltung an deinem Konto oder deinen Support-Fällen getan hat, damit nachvollziehbar bleibt, wer im Team was getan hat. Diese Einträge bleiben die 12 Monate bestehen, auch wenn du dein Konto löschst. Für den Fingerabdruck und die Moderationsfälle ist die Rechtsgrundlage unser berechtigtes Interesse an der Sicherheit der Nutzenden (Art. 6 Abs. 1 lit. f DSGVO).

Wo die Liste für Daten deines Kontos keine eigene Frist nennt, bewahren wir sie auf, solange dein Konto besteht. Löschst du es, gilt der Ablauf aus Abschnitt 7. Endet dein Konto, weil die Prüfung ein Alter unter 18 ergibt, löschen wir sofort und endgültig; was danach bleibt, steht in Abschnitt 2.

7. Deine Rechte

Du hast, je nach anwendbarem Recht, Anspruch auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit, Widerspruch sowie das Recht, dich bei einer Aufsichtsbehörde zu beschweren. Konto löschen, Daten exportieren und Einwilligungen verwalten kannst du direkt in der App.

In der App löschst du dein Konto unter „Konto & Datenschutz“. Du wirst sofort abgemeldet, und für andere ist dein Konto ab dann unsichtbar und anonymisiert. 7 Tage lang kannst du die Löschung rückgängig machen, indem du dich wieder anmeldest; danach ist sie endgültig. Eine Wiederherstellung bringt dein Konto mit Profil, Fotos und Einstellungen zurück, dazu die Blockierungen in beide Richtungen. Nicht zurück kommen deine Beziehungen zu anderen (Teilnahmen, Anfragen, Einladungen, Freundschaften, Bewertungen) und deine abgesagten Termine. Auch ein bestätigtes Business-Profil kommt nicht zurück. Alle Benachrichtigungen sind danach aus, bis du sie selbst wieder einschaltest. Was nach einer Löschung länger bleibt, steht in Abschnitt 6.

Kannst du die App nicht nutzen, etwa weil dein Konto gesperrt ist, beantragst du die Löschung per E-Mail an support@anyup.app, aus der Adresse, mit der dein Konto angemeldet ist. Der Antrag gilt erst, wenn du ihn aus diesem Postfach bestätigt hast; ab dann dauert die Bearbeitung höchstens 30 Tage. Wir löschen dein Konto auf demselben Weg wie in der App, die Löschung ist also ebenfalls 7 Tage umkehrbar. Eine Sperre bleibt dabei bestehen. Um dein Konto zu finden, sucht unser Team in der Verwaltung nur nach der genauen Adresse; eine Liste oder eine Teilsuche gibt es nicht. Die Suche hinterlässt keinen Eintrag, und die gesuchte Adresse wird nirgends aufgezeichnet. Ins interne Protokoll kommt nur die Löschung selbst, mit der Kennung deines Kontos und der Begründung, ohne deine Adresse. Die E-Mail mit deinem Antrag bleibt in unserem Support-Postfach, bis der Antrag erledigt ist, und wird 30 Tage danach gelöscht.

Fragst du, ob andere dich gemeldet haben, nennen wir Anzahl und groben Status dieser Meldungen, aber keine Namen und keine Inhalte, damit die meldenden Personen geschützt bleiben (Art. 15 Abs. 4 DSGVO, Art. 26 Abs. 1 lit. b DSG). Anfragen zu deinen Rechten beantworten wir innerhalb von 30 Tagen. Zuständige Aufsichtsbehörde in der Schweiz ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB), Feldeggweg 1, 3003 Bern. Wohnst du in der EU, kannst du dich an die Aufsichtsbehörde deines Wohnsitzlandes wenden.

8. Diese Website: keine Cookies, kein Tracking

Dieser Webauftritt (anyup.app) setzt keine Cookies, lädt kein Tracking und keine Analytics und stellt keine Anfragen an Dritte. Schriften und Bilder liegen beim Auftritt selbst. Deshalb gibt es hier keinen Consent-Banner: Es gibt nichts einzuwilligen. Das ist keine Zusage über die App, sondern ausschliesslich über diese Website.

9. Datensicherheit

Wir schützen deine Daten mit technischen und organisatorischen Massnahmen (Art. 32 DSGVO, Art. 8 DSG):

• Wer welche Daten sehen darf, erzwingt die Datenbank selbst mit Regeln je Zeile (Row Level Security), nicht nur die App. Automatische Tests prüfen diese Regeln, auch darauf, dass sie Unbefugte abweisen.
• Fotos liegen in einem privaten Speicher und sind nur über befristete Adressen abrufbar.
• Anmeldecodes speichern wir nur als Hashwert, deinen Ausweis nur als nicht rückrechenbaren Fingerabdruck. Ausweisbild und Selfie speichern wir nie.
• Unser Team meldet sich in der Verwaltung mit einem zweiten Faktor an und hat eine von zwei Rollen, Admin oder Moderation. Jede Handlung mit erweiterten Rechten halten wir im internen Protokoll fest.
• Diese Website und unsere Verwaltung sind nur verschlüsselt über HTTPS erreichbar.
• Gegen Missbrauch begrenzen wir Handlungen je Konto und Zeitfenster (Abschnitt 3).
• Die Datenbank sichern wir täglich und bewahren die Sicherungen 7 Tage auf.

10. Änderungen dieser Erklärung

Wir können diese Erklärung anpassen. Die jeweils aktuelle Fassung steht unter dieser URL; es gibt keine separaten, versionierten Adressen für ältere Fassungen.

11. Kontakt

Fragen zum Datenschutz richtest du an support@anyup.app.