Datenschutzerklärung

Stand: 04.08.2026

Zquady ist eine App, mit der sich Menschen ab 18 Jahren in ihrer Umgebung zu gemeinsamen Unternehmungen verabreden — wir nennen diese Verabredungen „Zquads“. Weil man sich hier im echten Leben trifft, gehen wir mit deinen Daten so sparsam wie möglich um: In der App und in der Browser-Version setzen wir keine Analyse-, Tracking- oder Werbedienste ein, wir verkaufen keine Daten und wir binden kein externes Absturz-Berichtssystem ein. Einzig auf dieser Website läuft eine cookielose Zugriffszählung ohne Wiedererkennung — was sie erhebt, steht unter 2.10. Auf dieser Seite steht, was wir trotzdem brauchen, warum, und wer es zu sehen bekommt.

Geltungsbereich: Diese Erklärung gilt für die App Zquady (iOS und Android), für die Website zquady.com samt den Link-Vorschauseiten unter /z/… und /u/… sowie für die Browser-Version app.zquady.com. Wo etwas nur für einen dieser Wege gilt, steht es ausdrücklich dabei.

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung in der App Zquady, auf der Website zquady.com und in der Browser-Version app.zquady.com ist:

Samuel Schwaninger «Straße und Hausnummer» «PLZ und Ort» Österreich

Rechtsform: Einzelunternehmen
Telefon: +43 664 99216386
E-Mail: privacy@zquady.com

Datenschutzbeauftragte/r: «bestellt ja/nein — falls ja, Name und Kontakt eintragen»

2. Welche Daten wir verarbeiten

Wir verarbeiten nur Daten, die du uns selbst gibst oder die beim Betrieb der App technisch anfallen. Im Einzelnen:

2.1 Konto und Anmeldung

Deine E-Mail-Adresse und dein Passwort (das Passwort wird nur als kryptografischer Hash gespeichert, nie im Klartext).
Wenn du dich über einen anderen Anbieter anmeldest: die Verknüpfung zu diesem Konto und die Daten, die der Anbieter uns dabei übermittelt (in der Regel E-Mail-Adresse und eine Anbieter-Kennung, bei Apple auf Wunsch nur eine Weiterleitungsadresse). Freigeschaltet sind alle drei Anmeldewege: Apple, Google und Discord.
Dein Geburtsdatum und die Bestätigung, dass du volljährig bist. Beides wird dauerhaft bei deinem Konto gespeichert, nicht nur einmalig geprüft.
Deine Sprachauswahl, damit E-Mails von uns in deiner Sprache ankommen.
Wenn du die Zwei-Faktor-Anmeldung einschaltest: der zugehörige Sicherheitsfaktor sowie deine Wiederherstellungscodes. Die Codes speichern wir ausschließlich als Hash — wir können sie dir nicht noch einmal anzeigen.
Deine Anmelde-Sitzung wird auf deinem Gerät im geschützten Systemspeicher abgelegt (iOS-Schlüsselbund bzw. Android-Keystore), damit du angemeldet bleibst.

2.2 Profil

Deinen Benutzernamen. Du tippst ihn nicht frei ein, sondern wählst aus generierten Vorschlägen — das hält Namen sauber und anonym. Wir speichern außerdem, wann du ihn zuletzt geändert hast, weil eine Änderung nur alle 30 Tage möglich ist.
Deinen Avatar: entweder ein Emoji, ein aus deinem Konto errechnetes abstraktes Bild oder ein selbst hochgeladenes Foto. Ein hochgeladenes Foto wird auf 400 × 400 Pixel verkleinert und in unserem Dateispeicher abgelegt.
Deine Bio, sofern du eine schreibst.
Deine Privatsphäre-Einstellungen (wer dein Profilbild, deine Bio sehen und dir schreiben darf) und ob du „Anwesenheit vor Ort“ freigegeben hast (standardmäßig aus).
Die Summe der Daumen hoch und Daumen runter, die du als Gastgeber bekommen hast.

2.3 Standort

Deinen Standort fragen wir nur ab, wenn du die Berechtigung erteilst, und nur, während die App im Vordergrund läuft. Wir verwenden dabei bewusst eine mittlere Genauigkeit (grob etwa 100 Meter) und bevorzugen die zuletzt bekannte Position deines Geräts.

Deine Koordinaten werden weder auf deinem Gerät noch bei uns in der Datenbank gespeichert. Sie liegen nur für die Dauer der Sitzung im Arbeitsspeicher der App. Entfernungen zu Zquads („1,2 km entfernt“) rechnet dein Telefon selbst aus.

Trotzdem verlassen deine Koordinaten das Gerät an drei Stellen, und das sollst du wissen:

Um den Ortsnamen in der Kopfzeile anzuzeigen, fragen wir damit den Dienst Nominatim von OpenStreetMap ab.
Für den personalisierten „Für dich“-Feed übergeben wir sie als Rechenwert an unsere eigene Serverfunktion. «Bitte serverseitig prüfen und hier ergänzen: werden die übergebenen Koordinaten in Datenbank- oder Funktions-Logs geschrieben?»
Beim Öffnen der Karte lädt dein Gerät Kartenausschnitte von einem Kartenserver; dieser erfährt dadurch, welchen Ausschnitt du ansiehst, und deine IP-Adresse.

Zusätzlich gilt: Wenn du beim Erstellen eines Zquads „aktuellen Standort verwenden“ antippst, wird genau dieser Punkt zur Adresse des Treffpunkts — er wird dauerhaft gespeichert und ist für alle angemeldeten Nutzerinnen und Nutzer auf der Karte sichtbar.

2.4 Inhalte, die du erstellst

Zquads mit Titel, Beschreibung, Tags, Kategorie, Kostenangabe, Zeitpunkt und Dauer, Platzzahl sowie Ort inklusive Koordinaten.
Deine Mitgliedschaften in Zquads und den Zeitpunkt des Beitritts.
Nachrichten in Gruppenchats und Direktnachrichten samt Lesestatus, Reaktionen auf Nachrichten.
Beitrittsanfragen einschließlich der persönlichen Nachricht, die du dem Gastgeber dabei schreiben kannst, sowie Einladungen und Wartelisten-Einträge.
Deine Bewertung eines Gastgebers nach einem Treffen (Daumen hoch oder runter). Der Gastgeber sieht nur die Gesamtsumme, nie deine einzelne Stimme.

2.5 Verbindungen und persönliche Listen

Wem du folgst und welchen Themen (Tags) du folgst. Beides ist für angemeldete Nutzerinnen und Nutzer einsehbar und steuert, was dir angezeigt wird.
Gemerkte und ausgeblendete Zquads, deine Blockliste, deine Chat-Einstellungen (angepinnt, stumm, geleert, ausgeblendet, als ungelesen markiert), deine Lesestände und gespeicherte Suchen. Diese Listen sind nur für dich sichtbar.

2.6 Benachrichtigungen

Wenn du Push-Benachrichtigungen erlaubst, speichern wir die Gerätekennung für den Versand (Push-Token) und die Plattform (iOS, Android oder Web).
Deine Einstellungen dazu, welche Arten von Benachrichtigungen du bekommen willst und welcher Ton gespielt wird.
Die Benachrichtigungen selbst, damit du sie in der App nachlesen kannst.

2.7 Technische Daten und Fehlerberichte

Wenn in der App ein Fehler auftritt, senden wir einen Fehlerbericht an unsere eigene Datenbank: die Fehlermeldung, den technischen Ablaufpfad, die Stelle im Programm, dein Betriebssystem, die App-Version und deine Nutzerkennung. Pro Sitzung sind höchstens 25 solcher Berichte möglich, gleiche Fehler werden nur einmal gemeldet, und vor der Anmeldung wird gar nichts gesendet. Wir setzen dafür bewusst keinen externen Absturzdienst ein.

Wie bei jedem Internetdienst fallen bei unseren Dienstleistern beim Abruf technische Verbindungsdaten an, insbesondere IP-Adresse, Zeitpunkt, aufgerufene Adresse und Geräte-/Browserkennung. «Aufbewahrungsdauer der Server-, Authentifizierungs- und Funktions-Logs bei den unter Punkt 4 genannten Dienstleistern — bitte dort nachsehen und eintragen.»

In der App und in der Browser-Version verwenden wir keine Analyse- oder Werbedienste, kein Nutzungs-Tracking und keine Werbe-IDs. Die unter 2.10 beschriebene cookielose Zugriffszählung läuft ausschließlich auf der Website zquady.com.

2.8 Sicherheit

Fehlgeschlagene Versuche, dein Passwort erneut einzugeben oder einen Wiederherstellungscode einzulösen, werden gezählt (ab fünf Fehlversuchen in 15 Minuten wird kurz gesperrt).
Der Zeitpunkt deiner letzten E-Mail- oder Passwortänderung, weil beides nur einmal in 24 Stunden möglich ist.

2.9 Support und Meldungen

Schreibst du uns über das Support-Formular, übermitteln wir deinen Benutzernamen, deine E-Mail-Adresse, deine Nutzerkennung sowie Kategorie, Betreff und Text deiner Anfrage per E-Mail an unser Postfach.
Meldest du eine Person, ein Zquad oder eine Nachricht, speichern wir Art und Ziel der Meldung, eine Bezeichnung des gemeldeten Inhalts (etwa den Benutzernamen), deinen Meldegrund und deine Nutzerkennung. Deine Kennung nehmen wir dabei aus deiner gültigen Anmeldung, damit Meldungen nicht gefälscht werden können.
Wir zählen mit, wie viele E-Mails unser System verschickt, um das Kontingent unseres Versanddienstes zu überwachen und Missbrauch zu begrenzen.

2.10 Besuch unserer Website und Link-Vorschauen

Für die Website zquady.com — also auch für die Seite, die du gerade liest — brauchst du kein Konto und musst dich nicht anmelden. Beim Aufruf fallen beim Webhoster die üblichen Server-Protokolle an: IP-Adresse, Zeitpunkt, aufgerufene Adresse, verweisende Seite und Browserkennung. Wir nutzen sie, um die Seiten auszuliefern und Angriffe abzuwehren; Rechtsgrundlage ist unser berechtigtes Interesse an einem funktionierenden, sicheren Auftritt (Art. 6 Abs. 1 lit. f DSGVO). «Aufbewahrungsdauer der Server-Protokolle beim Webhoster (united-domains AG) eintragen.»

Teilt jemand einen Zquad- oder Profil-Link, führt dieser auf eine Vorschauseite unter zquady.com/z/… beziehungsweise zquady.com/u/…. Wird so ein Link in einen Messenger oder ein soziales Netzwerk eingefügt, ruft dessen Server die Seite selbstständig ab, um die Vorschaukarte zu erzeugen — der jeweilige Anbieter erfährt dabei die aufgerufene Adresse und damit, dass dieser Link geteilt wurde. Die Vorschauseite holt bei uns nur die öffentlichen Eckdaten des Zquads beziehungsweise des Profils; sie zeigt weder Chats noch Kontaktdaten und setzt keine Anmeldung voraus.

Die Website setzt keine Cookies und bindet keine Werbedienste ein. Schriftart und Bilder liefern wir vom eigenen Webspace aus, ein Abruf bei Google oder anderen Anbietern findet nicht statt.

Eine Ausnahme gibt es: Wir zählen die Zugriffe mit Cloudflare Web Analytics. Dafür lädt jede Seite ein kleines Zählskript von static.cloudflareinsights.com nach; dabei erfährt Cloudflare deine IP-Adresse, die aufgerufene Adresse, die verweisende Seite und deine Browserkennung. Der Dienst arbeitet ohne Cookies und legt keine Kennung in deinem Browser ab — er erkennt dich bei einem späteren Besuch also nicht wieder und bildet kein Profil. Wir selbst sehen ausschließlich Summen: wie viele Seitenaufrufe es gab, aus welchen Ländern und über welche verweisenden Seiten. Rechtsgrundlage ist unser berechtigtes Interesse daran zu erfahren, ob und worüber unsere Seite gefunden wird (Art. 6 Abs. 1 lit. f DSGVO). Weil dabei nichts auf deinem Gerät gespeichert oder ausgelesen wird, fragen wir keine Einwilligung ab und zeigen keinen Cookie-Banner. «Bitte anwaltlich bestätigen, dass Cloudflare Web Analytics mangels Speicherung bzw. Auslesen im Endgerät nicht unter § 165 Abs. 3 TKG 2021 bzw. Art. 5 Abs. 3 ePrivacy-Richtlinie fällt und damit einwilligungsfrei ist. Zusätzlich eintragen: Auftragsverarbeitungsvertrag mit Cloudflare sowie die Rechtsgrundlage für die Übermittlung in die USA (Standardvertragsklauseln bzw. Data Privacy Framework).»

Deine Sprach- und Design-Wahl speichert die Website lokal in deinem Browser (localStorage); diese Angaben verlassen dein Gerät nicht.

2.11 Speicherung auf deinem Gerät

Neben dem, was auf unseren Servern liegt, legt die App ein paar Dinge direkt auf deinem Gerät ab:

Deine Anmelde-Sitzung im geschützten Systemspeicher (iOS-Schlüsselbund bzw. Android-Keystore), damit du angemeldet bleibst — siehe 2.1.
Deine Anzeige-Einstellungen im normalen App-Speicher: gewähltes Erscheinungsbild (System, hell, dunkel), gewählte Sprache und die zuletzt gewählte Sortierung der Startseite.
Zwei Merker: dass dir die Einführung beim ersten Start bereits gezeigt wurde, und zu welchen Zquads du schon eine Beitrittsanfrage gestellt hast (damit der Knopf nicht wieder auf „anfragen“ springt).

Mehr wird nicht abgelegt: keine Werbe-Kennungen, keine Analyse-Werte, keine Profilbildung. Alles davon dient ausschließlich Funktionen, die du selbst angefordert hast — deine Anmeldung und deine eigenen Einstellungen. «Bitte anwaltlich bestätigen, dass diese Speicherung als technisch erforderlich im Sinne von § 165 Abs. 3 TKG 2021 bzw. Art. 5 Abs. 3 ePrivacy-Richtlinie gilt und damit keine Einwilligung braucht.»

Du wirst das alles los, indem du die App deinstallierst.

Die Browser-Version unter app.zquady.com legt dieselben Dinge im Speicher deines Browsers ab (localStorage) statt im Systemspeicher: deinen Anmelde-Token, dein gewähltes Erscheinungsbild und — sobald du einen Ort setzt oder deinen Standort freigibst — den zuletzt verwendeten Ort samt Koordinaten, damit die Karte nach dem Neuladen nicht wieder auf Anfang springt. Diese Angaben bleiben in deinem Browser; ausgewertet werden sie dort nur von der Anwendung selbst. Analyse- oder Werbedienste bindet die Browser-Version nicht ein — die unter 2.10 beschriebene Zugriffszählung läuft ausschliesslich auf der Website zquady.com, nicht in der Anwendung. Du entfernst alles durch Abmelden oder durch Löschen der Website-Daten für app.zquady.com.

3. Zwecke und Rechtsgrundlagen

Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO — alles, was nötig ist, damit die App das tut, wofür du sie installiert hast: dein Konto und deine Anmeldung, dein Profil, das Erstellen und Finden von Zquads, Beitritte und Anfragen, Gruppen- und Direktchats, Bewertungen und die dazugehörigen Hinweise in der App.

Einwilligung, Art. 6 Abs. 1 lit. a DSGVO — Verarbeitungen, die nur mit deiner ausdrücklichen Freigabe stattfinden und die du jederzeit widerrufen kannst: Zugriff auf deinen Standort, Push-Benachrichtigungen, Zugriff auf deine Fotos beim Hochladen eines Profilbilds, Eintragen eines Termins in deinen Kalender und die freiwillige Anwesenheitsanzeige „ich bin schon vor Ort“. Die Freigaben kannst du in den Systemeinstellungen deines Geräts und teilweise direkt in der App zurücknehmen; der Widerruf gilt für die Zukunft.

Berechtigte Interessen, Art. 6 Abs. 1 lit. f DSGVO — Sicherheit und Missbrauchsabwehr: Begrenzung von Anmelde- und Änderungsversuchen, Blockier- und Meldefunktion, Bearbeitung von Meldungen, Fehlerberichte zur Stabilität der App sowie die Beschränkung von Namensänderungen. Unser Interesse ist ein sicherer Dienst, auf dem sich Fremde tatsächlich gefahrlos begegnen können.

Rechtliche Verpflichtungen, Art. 6 Abs. 1 lit. c DSGVO — «falls einschlägig eintragen, z. B. Aufbewahrungspflichten oder Auskunftspflichten gegenüber Behörden».

Die Altersangabe verarbeiten wir, weil Zquady ausschließlich für Volljährige bestimmt ist. «Bitte anwaltlich festlegen, ob dies auf lit. b oder lit. f gestützt wird.»

4. Empfänger und eingesetzte Dienste

Wir geben keine Daten zu Werbezwecken weiter und verkaufen keine Daten. Wir setzen aber Dienstleister ein, ohne die die App nicht funktioniert. Für jeden gilt: «Sitz des Unternehmens, Serverstandort, Auftragsverarbeitungsvertrag abgeschlossen ja/nein, bei Übermittlung außerhalb der EU/des EWR die Rechtsgrundlage (z. B. Standardvertragsklauseln) — bitte je Dienst prüfen und eintragen.»

Supabase — unser Backend: Konten und Anmeldung, Datenbank, Dateispeicher für Profilfotos, Echtzeit-Verbindung für Chats und Serverfunktionen. Hier liegen praktisch alle unter Punkt 2 genannten Daten. Unser Projekt läuft in der Region Irland; Datenbank, Authentifizierung und Dateispeicher liegen damit innerhalb der EU beziehungsweise des EWR, eine Übermittlung in ein Drittland findet dafür nicht statt.
Cloudflare — vorgeschaltet vor unserer Programmierschnittstelle; ausserdem Hosting der Browser-Version unter app.zquady.com. Cloudflare verarbeitet dabei die technischen Verbindungsdaten aller Anfragen. Zusätzlich zählt Cloudflare Web Analytics die Zugriffe auf die Website zquady.com — cookielos und ohne Wiedererkennung, Einzelheiten unter 2.10.
Expo — Versand von Push-Benachrichtigungen. Wichtig und leicht zu übersehen: Der Benachrichtigungstext geht dabei im Klartext mit. Bei einer Direktnachricht sind das der Name des Absenders und die ersten rund 120 Zeichen der Nachricht, im Gruppenchat zusätzlich der Zquad-Titel, bei Beitrittsanfragen ein Ausschnitt deiner persönlichen Nachricht. Von Expo geht die Zustellung weiter an Apple (APNs) auf iOS bzw. Google (FCM) auf Android. Wenn du das nicht möchtest, schalte die betreffenden Benachrichtigungen in der App oder im System ab.
Expo/EAS Updates — beim Start prüft die App, ob eine neue Programmversion vorliegt. Dabei werden technische Angaben wie IP-Adresse, Plattform und App-Version übermittelt, keine Kontodaten.
Resend — E-Mail-Versand: Bestätigungs- und Wiederherstellungscodes an dich, Support-Anfragen und Missbrauchsmeldungen an unser Postfach sowie ein interner Tagesbericht mit reinen Summenzahlen an «Empfängeradresse des internen Statistikberichts».
Nominatim (OpenStreetMap Foundation) — Umwandlung von Koordinaten in Ortsnamen und Ortssuche. Übermittelt werden deine Koordinaten beziehungsweise dein Suchbegriff und deine IP-Adresse.
OpenFreeMap sowie Kartendaten der OpenStreetMap-Mitwirkenden — Kartenhintergrund in der App.
Anmeldeanbieter (Apple, Google, Discord) — nur wenn du dich darüber anmeldest. Der jeweilige Anbieter erfährt dabei, dass und wann du dich bei Zquady anmeldest.
united-domains AG, Deutschland (united-domains.de) — Hosting der Website zquady.com mit den Rechtstexten und den Link-Vorschauen. «Vollständige Firmenanschrift und Auftragsverarbeitungsvertrag bitte ergänzen.»
CARTO — Kartenhintergrund in der Browser-Version unter app.zquady.com. Beim Laden der Karte werden Kartenkacheln direkt von basemaps.cartocdn.com abgerufen; CARTO erhält dabei deine IP-Adresse, deine Browserkennung und — aus dem angeforderten Kartenausschnitt — den Bereich, den du dir gerade ansiehst.
unpkg.com (Cloudflare) und Fontshare — Nachladen einer Programmbibliothek für die Karte beziehungsweise der Schriftart in der Browser-Version. Beide erhalten IP-Adresse und Browserkennung. «Empfehlung an die Entwicklung: Bibliothek und Schrift vom eigenen Server ausliefern, dann entfallen diese beiden Empfänger ersatzlos.»

Zwei Besonderheiten, die keine klassischen Dienstleister sind:

Fügt jemand im Chat einen Link zu einem Bild oder GIF ein, lädt deine App dieses Bild direkt vom fremden Server. Dieser Server erfährt dabei deine IP-Adresse. Wir haben darauf keinen Einfluss.
Tippst du „In Karten öffnen“ an, übergibt dein Gerät die Adresse des Treffpunkts an deine Karten-App (Apple Karten oder Google Maps). Trägst du einen Zquad in deinen Kalender ein, bleibt der Eintrag zunächst auf deinem Gerät — wenn dein Kalender mit einem Onlinedienst synchronisiert, landet er auch dort.

5. Speicherdauer und Löschung

Grundsatz: Deine Nachrichten, deine Zquads und dein Profil speichern wir, solange dein Konto besteht. Für die übrigen Kategorien gelten feste Fristen; nach ihrem Ablauf werden die Daten automatisch gelöscht:

Benachrichtigungen: 90 Tage.
Fehlerberichte: 90 Tage.
Zähler unseres E-Mail-Versands: 90 Tage.
Meldungen über Nutzerinnen und Nutzer: 12 Monate ab Erledigung der Meldung.
Gezählte Fehlversuche bei der Anmeldung: 2 Tage.
Nachrichten, Zquads und Profil: solange dein Konto besteht — was bei der Löschung passiert, steht in Punkt 5.1.

5.1 Was passiert, wenn du dein Konto löschst

Du kannst dein Konto jederzeit selbst in den Profileinstellungen löschen. Die Löschung erfolgt sofort und ist nicht umkehrbar — es gibt keine Wartefrist und keinen Papierkorb. Gelöscht werden dabei deine Anmeldedaten samt verknüpfter Anmeldeanbieter, dein Profil, deine Nachrichten (auch die in fremden Gruppenchats und beide Seiten deiner Direktchats), deine Mitgliedschaften, Anfragen, Listen, Einstellungen und Push-Token. Deine E-Mail-Adresse ist danach sofort wieder für eine Neuanmeldung frei.

Wichtig für andere: Zquads, die du erstellt hast, verschwinden vollständig — samt Gruppenchat und den Mitgliedschaften der anderen Teilnehmer.

5.2 Was die Löschung überdauert

Nicht alles verschwindet mit dem Konto. Was bleibt, steht hier vollständig — und bei jedem Punkt steht dabei, ob er noch einen Bezug zu dir hat.

Missbrauchsmeldungen bleiben erhalten, damit die Löschung eines Kontos kein Werkzeug wird, um Spuren zu verwischen. Hast du selbst gemeldet, wird deine Kennung dabei entfernt. Die Bezeichnung des gemeldeten Inhalts — etwa ein Benutzername — bleibt im Klartext gespeichert; wurdest du gemeldet, kann die Meldung dich also weiterhin benennen. Rechtsgrundlage: berechtigtes Interesse an der Aufklärung von Verstößen (Art. 6 Abs. 1 lit. f DSGVO). Meldungen werden 12 Monate nach ihrer Erledigung automatisch gelöscht.
Fehlerberichte bleiben erhalten; die Nutzerkennung wird dabei entfernt. Der Text eines Fehlerberichts ist technischer Natur, kann aber im Einzelfall Reste eines Programmablaufs enthalten. Fehlerberichte werden nach 90 Tagen automatisch gelöscht.
Ein hochgeladenes Profilfoto bleibt derzeit im Dateispeicher liegen — der Löschvorgang fasst den Dateispeicher nicht an. Die Datei liegt unter einem Pfad, der sich aus deiner Nutzerkennung ergibt; sie ist also weiterhin dir zuzuordnen. Wenn du das nicht möchtest, entferne dein Foto in den Profileinstellungen, bevor du das Konto löschst. «HANDLUNGSBEDARF: Das ist eine Lücke, kein gewollter Zustand. Empfehlung: den Löschvorgang um das Entfernen der Datei ergänzen — danach diesen Punkt streichen.»
Der Zähler unseres E-Mail-Versands behält die Nutzerkennung des Kontos, für das eine Mail verschickt wurde. Auch dieser Eintrag ist damit noch personenbezogen, obwohl er nur aus Zeitpunkt, Anlass und Kennung besteht. Er wird nach 90 Tagen automatisch gelöscht. «HANDLUNGSBEDARF: ebenfalls eine Lücke. Empfehlung: die Kennung beim Löschen mitentfernen oder gar nicht erst speichern — danach diesen Punkt streichen.»

«Sicherungskopien: Wie lange bewahrt der Backend-Anbieter Backups und Wiederherstellungspunkte auf? Eine gelöschte Zeile kann darin nachwirken — bitte Dauer eintragen.»

6. Deine Rechte

Du hast nach der DSGVO das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen, die auf unser berechtigtes Interesse gestützt sind (Art. 21). Erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3).

Vieles davon kannst du direkt in der App tun: Profil, Bio und Avatar ändern, Sichtbarkeiten einstellen, Benachrichtigungsarten einzeln abschalten, Berechtigungen prüfen und zurücknehmen, Personen blockieren, Chats leeren, dein Konto löschen.

Für die Datenübertragbarkeit gibt es in den Profileinstellungen einen Export als Datei. Er enthält deine Konto-Eckdaten, dein Profil, die von dir erstellten Zquads, deine Mitgliedschaften und die Themen, denen du folgst. Nicht enthalten sind unter anderem Nachrichten, Benachrichtigungen, Blockierungen, gespeicherte Suchen und Meldungen — dafür schreib uns bitte an privacy@zquady.com, dann stellen wir dir die restlichen Daten zusammen. «Alternativ den Export erweitern und diesen Absatz anpassen.»

Wenn du glaubst, dass wir deine Daten falsch verarbeiten, kannst du dich bei einer Aufsichtsbehörde beschweren. Zuständig ist die Österreichische Datenschutzbehörde, dsb.gv.at.

7. Besonderheiten von Zquady

Die folgenden Punkte stehen so in keiner Mustervorlage, sind für dich aber die wichtigsten.

7.1 Was andere von deinem Standort sehen

Andere Nutzerinnen und Nutzer sehen deinen Standort nicht. Was sie sehen, ist der Treffpunkt eines Zquads — also der Ort, den der Gastgeber beim Erstellen eingetragen hat. Dieser Ort ist mit Koordinaten gespeichert und für alle angemeldeten Personen auf der Karte sichtbar, unabhängig davon, ob sie teilnehmen.

Deshalb der Hinweis an Gastgeber: Wenn du „aktuellen Standort verwenden“ wählst, machst du deinen damaligen Aufenthaltsort öffentlich. Gib lieber einen Treffpunkt an, den du auch öffentlich nennen würdest.

Die Anwesenheitsanzeige ist freiwillig und standardmäßig aus. Ist sie eingeschaltet, entscheidet dein Telefon selbst, ob es nahe am Treffpunkt ist, und überträgt nur ein Ja oder Nein. Deine Koordinaten verlassen dabei das Gerät nicht, und die anderen Mitglieder sehen nur eine Anzahl — nie, wer da ist, und nie, wo genau.

«ABZUGLEICHEN: Der Berechtigungstext im App Store sagt derzeit, der Standort werde niemals gespeichert, geteilt oder anderen angezeigt. Nach Punkt 2.3 werden Koordinaten an den Ortsdienst und an unsere Serverfunktion übermittelt. Entweder der Store-Text wird präzisiert oder diese Erklärung bleibt maßgeblich — beides zugleich geht nicht.»

7.2 Wer dein Profil sieht

Dein Benutzername ist für alle angemeldeten Personen sichtbar; er enthält aber bewusst keinen Klarnamen. Für Profilbild, Bio und Direktnachrichten kannst du einzeln einstellen, wer sie sehen darf: alle, nur Personen aus gemeinsamen Zquads, nur Personen, denen du folgst, oder niemand. Deine Initialen bleiben immer sichtbar. Die Einstellung für Direktnachrichten wird direkt in der Datenbank durchgesetzt: Wer nicht darf, kann dir gar keine Nachricht anlegen.

Wem du folgst und welchen Themen du folgst, ist für angemeldete Nutzerinnen und Nutzer einsehbar.

«OFFENZULEGEN ODER TECHNISCH ZU SCHLIESSEN: Hochgeladene Profilfotos liegen derzeit in einem öffentlich lesbaren Dateispeicher unter einem aus der Nutzerkennung ableitbaren Pfad. Die Einstellung „Wer sieht mein Profilbild?“ wirkt auf dem Weg über die App zuverlässig, nicht aber gegenüber jemandem, der die direkte Datei-Adresse kennt. Empfehlung: auf signierte Adressen umstellen; bis dahin muss dieser Absatz genau so stehen bleiben.»

7.3 Chats, Blockieren und Löschen

Gruppenchats können nur die Mitglieder des jeweiligen Zquads und der Gastgeber lesen, Direktnachrichten nur die beiden Beteiligten. Blockierst du jemanden, verschwinden dessen Nachrichten für dich und er kann dich nicht mehr erreichen; das ist ebenfalls in der Datenbank durchgesetzt, nicht nur in der Anzeige.

„Verlauf leeren“ blendet den Verlauf nur für dich aus — die Nachrichten bleiben für die anderen Beteiligten bestehen. Löschst du dein Konto, werden deine Nachrichten dagegen überall entfernt.

Nachrichten sind nicht Ende-zu-Ende-verschlüsselt. Sie sind auf dem Transportweg verschlüsselt und liegen in unserer Datenbank; technisch können sie im Rahmen der Fehlersuche und der Bearbeitung von Meldungen eingesehen werden. «Bitte eintragen, welche Personen Zugriff auf die Verwaltungsoberfläche der Datenbank haben.»

Und noch einmal, weil es leicht übersehen wird: Bei eingeschalteten Push-Benachrichtigungen wird ein Ausschnitt des Nachrichtentextes an den Zustelldienst und an Apple beziehungsweise Google übermittelt (siehe Punkt 4).

7.4 Volljährigkeit und Geburtsdatum

Zquady ist ausschließlich für Personen ab 18 Jahren, weil sich hier Fremde im echten Leben treffen. Vor der Kontoerstellung fragen wir dein Geburtsdatum ab; liegt es unter 18 Jahren, wird das Konto nicht angelegt beziehungsweise eine bereits begonnene Anmeldung sofort beendet.

Das ist eine Selbstauskunft. Wir prüfen keine Ausweise und setzen keinen Altersverifikationsdienst ein. Dein Geburtsdatum bleibt bei deinem Konto gespeichert, damit die Bestätigung nachvollziehbar ist und nicht bei jeder Anmeldung neu abgefragt werden muss.

8. Minderjährige

Die App richtet sich nicht an Personen unter 18 Jahren, und wir verarbeiten wissentlich keine Daten von Minderjährigen. Wenn du bemerkst, dass eine minderjährige Person ein Konto angelegt hat, melde es uns bitte über die Meldefunktion in der App oder an privacy@zquady.com. Wir löschen ein solches Konto samt der zugehörigen Daten.

9. Änderungen dieser Erklärung

Wenn wir die App weiterentwickeln, kann sich auch diese Erklärung ändern. Es gilt jeweils die hier veröffentlichte Fassung; das Datum am Anfang zeigt dir, wann sie zuletzt geändert wurde. Bei Änderungen, die dich wesentlich betreffen, informieren wir dich «Art der Information festlegen, z. B. Hinweis in der App oder E-Mail».

10. Kontakt

Bei Fragen zum Datenschutz oder zur Ausübung deiner Rechte erreichst du uns unter privacy@zquady.com oder telefonisch unter +43 664 99216386. In der App findest du außerdem unter Profil › Hilfe ein Support-Formular.

Postanschrift:

Samuel Schwaninger «Straße und Hausnummer» «PLZ und Ort» Österreich