Datenschutzerklärung

1. Wer ist verantwortlich?

Verantwortlich für die Datenverarbeitung bei varyAlive (App und Website) ist:

2. Welche Daten speichern wir?

Hier erklären wir genau, welche Daten wir speichern und wofür.

2.1 Account-Daten

• Vorname, Nachname, E-Mail-Adresse: Damit du dich anmelden kannst und deine Freund:innen dich bei einer Freundschaftsanfrage finden.
• Anmeldung: In der App kannst du dich per Apple Sign-In, Google Sign-In (OAuth 2.0) oder per E-Mail und Passwort anmelden. Bei Apple/Google erhalten wir eine eindeutige Anbieter-ID sowie deinen Namen und deine E-Mail-Adresse — die Authentifizierung wird von Apple bzw. Google abgewickelt. Bei Apple Sign-In kann die E-Mail-Adresse von Apple auf Wunsch verschleiert werden — Apple stellt dann eine Weiterleitungsadresse (@privaterelay.appleid.com) bereit, die wir anstelle der echten E-Mail-Adresse erhalten und speichern. Bei E-Mail-Anmeldung wird dein Passwort verschlüsselt gespeichert. Im Veranstalter-Dashboard auf der Website ist die Anmeldung per E-Mail und Passwort möglich.
• Benachrichtigungs-Einstellungen: Welche Push-Benachrichtigungen du erhalten möchtest (z.B. Nachrichten, Freundschaftsanfragen, Meetings).
• Profilbild: Du kannst ein Profilbild hochladen. Es wird in Supabase Storage abgelegt und ist öffentlich zugänglich (z.B. für deine Freund:innen und in der App sichtbar).
• Städte: Du kannst eine oder mehrere Städte angeben, in denen du aktiv bist. Diese Angabe ist freiwillig und wird nicht aus deinem Standort abgeleitet — du wählst die Städte selbst aus.

2.2 Freundschaften und Kontakte

• Verbindungen: Wer mit wem befreundet ist, damit ihr gemeinsam Aktivitäten planen könnt.
• Freundschaftsanfragen: Offene Anfragen zwischen Nutzer:innen.
• Erinnerungen: Wenn du eine Erinnerung einstellst, damit du den Kontakt zu Freund:innen nicht verlierst, speichern wir das Intervall und den letzten Kontaktzeitpunkt.
• Veranstalter-Follows: Wenn du einem Veranstalter folgst, speichern wir diese Zuordnung, damit du über neue Aktivitäten informiert werden kannst.

2.3 Nachrichten

• Direktnachrichten: Textnachrichten zwischen dir und deinen Freund:innen. Nur Sender und Empfänger können die Nachrichten lesen.
• Gruppennachrichten: Nachrichten in Gruppen. Nur Gruppenmitglieder können diese lesen.

2.4 Aktivitäten und Matching

• Interessen: Deine ausgewählten Interessen (z.B. Sport, Kochen, Fotografie), damit wir dir und deinen Freund:innen passende Aktivitäten vorschlagen können.
• Swipes: Welche Aktivitäten du mit welchem Freund nach rechts oder links gewischt hast. Daraus ergeben sich Matches, wenn beide Seiten interessiert sind.
• Gruppen-Swipes: Abstimmungen innerhalb von Gruppen über gemeinsame Aktivitäten.
• Bonus-Swipes: Wenn du und ein:e Freund:in alle 10 täglichen Aktivitäten durchgewischt habt, ohne ein Match zu finden, könnt ihr 5 zusätzliche Aktivitäten freischalten. Wir speichern, ob und wann diese Bonus-Swipes gewährt wurden.
• Aktivitäts-Links: Wenn du eine Aktivität per Link teilst, erstellen wir einen einmaligen Teilen-Token. Wir speichern, wer den Link erstellt hat.

2.5 Meetings und Erinnerungen

• Meeting-Vorschläge: Datum und Titel von vorgeschlagenen Treffen zwischen dir und Freund:innen oder in Gruppen.
• Meetings: Start- und Endzeit, Teilnehmer:innen und die zugehörige Aktivität. Nach einem Meeting wird daraus eine Erinnerung.
• Erinnerungen (Memories): Zeitstempel, Titel und ein Schnappschuss der Aktivität zum Zeitpunkt des Treffens. Nur Teilnehmer:innen haben Zugriff.

2.6 Fotos und Kommentare

• Erinnerungs-Fotos: Fotos, die du zu einer Erinnerung (Memory) hochlädst, werden in einem geschützten Speicher abgelegt. Nur Teilnehmer:innen des Meetings können sie sehen, hochladen und löschen.
• Kommentare: Textnachrichten, die du zu einer Erinnerung (Memory) hinterlässt. Nur Teilnehmer:innen des zugehörigen Meetings können sie lesen, erstellen und löschen.

2.7 Social Battery

• Batterie-Werte: Dein selbst angegebenes soziales Energielevel. Dein aktueller Wert wird deinen Freund:innen angezeigt. Ältere Werte speichern wir für deine persönlichen Statistiken.

2.8 Einladungen

• Einladungslinks: Wenn du einen Einladungslink erstellst, speichern wir wer ihn erstellt hat und ob er verwendet wurde.

2.9 Feedback

• In-App-Feedback: Wenn du einen Fehlerbericht oder Verbesserungsvorschlag über die App sendest, speichern wir den Inhalt, die Art des Feedbacks (Bug, Feature-Wunsch, Allgemein) und den Bearbeitungsstatus. Das Feedback ist mit deinem Account verknüpft, damit wir bei Rückfragen auf dich zukommen können.

2.10 Meldungen und Blockierungen

• Meldungen: Wenn du einen Nutzer oder Inhalt meldest, speichern wir den Meldegrund, ggf. einen Freitext und den Zeitpunkt der Meldung. Diese Daten sind mit deinem Account verknüpft. Meldungen werden vom varyAlive-Team geprüft.
• Blockierungen: Wenn du einen Nutzer blockierst, speichern wir, wen du blockiert hast und wann. Blockierungsdaten werden bei Löschung deines Accounts entfernt.

2.11 Vorgemerkte Kontakte

• Vorgemerkte Kontakte: Du kannst Personen, die varyAlive noch nicht nutzen, als vorgemerkten Kontakt anlegen, um Aktivitäten mit ihnen zu planen oder Treffen festzuhalten. Dabei speichern wir den von dir angegebenen Namen sowie optional eine Telefonnummer und Notizen. Diese Angaben sind ausschließlich für dich sichtbar.

3. Daten für Veranstalter

Wenn du dich als Veranstalter registrierst, speichern wir zusätzlich:

• Organisations-Daten: Name, Beschreibung, Kategorie, Logo und Banner deiner Organisation.
• Kontaktdaten: E-Mail, Telefon, Website und Adresse deiner Organisation.
• Aktivitäten: Titel, Beschreibung, Preise, Bilder und alle Details der Aktivitäten, die du erstellst.
• Statistiken: Aggregierte, anonymisierte Kennzahlen darüber, wie deine Aktivitäten in der App genutzt werden — wie oft eine Aktivität Nutzer:innen zum Swipen angezeigt wurde, wie oft sie nach rechts gewischt wurde, wie viele Matches daraus entstanden sind, wie oft daraufhin ein Treffen vorgeschlagen wurde und wie viele Treffen tatsächlich stattgefunden haben. Es handelt sich um reine Nutzungszahlen, nicht um Aufrufe einer Webseite.

Veranstalter sehen nur aggregierte, anonymisierte Daten über ihre Aktivitäten — keine persönlichen Daten einzelner Nutzer:innen.

4. Wofür nutzen wir deine Daten?

• App bereitstellen: Damit du dich anmelden, Freund:innen finden und Aktivitäten planen kannst.
• Aktivitäten vorschlagen: Anhand deiner Interessen zeigen wir dir passende Aktivitäten.
• Benachrichtigungen senden: Über neue Nachrichten, Freundschaftsanfragen und Meeting-Einladungen — nur wenn du es erlaubst.
• Erinnerungen bewahren: Damit du vergangene Treffen und Fotos wiederfinden kannst.
• Plattform verbessern: Um Fehler zu finden und die App besser zu machen.

5. Auf welcher Rechtsgrundlage?

• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Die meisten Daten brauchen wir, damit die App funktioniert — also um den Dienst zu erbringen, für den du dich registriert hast.
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Für Push-Benachrichtigungen und Kamera-Zugriff fragen wir vorher um Erlaubnis. Du kannst diese jederzeit in deinen Geräteeinstellungen widerrufen.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Für die Verbesserung der Plattform (Nutzungsstatistik aus vorhandenen Daten, siehe Abschnitt 11) und die Sicherheit deines Accounts.

6. Wer verarbeitet deine Daten noch?

Wir verkaufen deine Daten nicht und geben sie nicht zu Werbezwecken an Dritte weiter. Zur Bereitstellung des Dienstes setzen wir sorgfältig ausgewählte Dienstleister als Auftragsverarbeiter nach Art. 28 DSGVO ein. Mit ihnen bestehen Auftragsverarbeitungsverträge. Soweit dabei Daten in Länder außerhalb der EU/des EWR übermittelt werden, ist dies durch EU-Standardvertragsklauseln (Art. 46 DSGVO) abgesichert. Eine Ausnahme bildet Abschnitt 6.7 — dort handelt es sich nicht um eine Auftragsverarbeitung, sondern um eine Offenlegung an einen Dritten auf Grundlage eines Angemessenheitsbeschlusses (Art. 45 DSGVO); dies ist dort gesondert erläutert. Folgende Dienste nutzen wir:

6.1 Supabase (Datenbank und Backend)

• Was: Alle deine Daten (Account, Nachrichten, Fotos, etc.) werden bei Supabase gespeichert.
• Wo: EU-Region (Frankfurt). Deine Daten verlassen die EU nicht.
• Sicherheit: SOC 2 Typ II zertifiziert. Es besteht ein Auftragsverarbeitungsvertrag (DPA) nach DSGVO.
• Verschlüsselung: Alle Daten werden verschlüsselt übertragen (HTTPS/TLS). Zusätzlich sind alle Daten in der Datenbank durch Supabase verschlüsselt gespeichert (Encryption-at-Rest). Der Zugriff ist durch Authentifizierung und Row-Level-Security geschützt, sodass du nur deine eigenen Daten sehen kannst.

6.2 Firebase Cloud Messaging (Push-Benachrichtigungen)

• Was: Um dir Push-Benachrichtigungen zu schicken, nutzen wir Firebase Cloud Messaging (FCM) von Google.
• Daten: Ein Geräte-Token und der Inhalt der Benachrichtigung.
• Wo: Google (USA). Die Datenübertragung ist durch EU-Standardvertragsklauseln abgesichert.
• Mehr Infos: Firebase Datenschutz

6.3 EmailJS (Kontaktformular)

• Was: Wenn du das Kontaktformular auf der Website nutzt, wird deine Nachricht über EmailJS an uns weitergeleitet.
• Daten: Dein Name, E-Mail-Adresse und deine Nachricht.
• Wo: EmailJS (USA). Die Datenübertragung ist durch EU-Standardvertragsklauseln abgesichert.
• Mehr Infos: EmailJS Datenschutz

6.4 Anthropic (KI-Textvorschläge)

• Was: Im Veranstalter-Dashboard unterstützt dich eine KI (Claude von Anthropic) beim Erstellen von Aktivitäts- und Organisationstexten.
• Daten: Nur die von dir eingegebenen Texte (z.B. Stichworte zur Aktivität). Es werden keine personenbezogenen Nutzerdaten aus der App übermittelt.
• Wo: Anthropic (USA). Die Datenübertragung ist durch EU-Standardvertragsklauseln abgesichert. Anthropic nutzt die Inhalte nicht zum Training seiner Modelle.
• Mehr Infos: Anthropic Datenschutz

6.5 Together.ai (KI-Bilderzeugung)

• Was: Im Veranstalter-Dashboard kannst du Bilder für deine Aktivitäten und deine Organisation per KI erzeugen lassen. Dafür nutzen wir Together.ai.
• Daten: Nur der von dir bzw. aus deinen Angaben erzeugte Bild-Prompt (Text). Es werden keine personenbezogenen Nutzerdaten aus der App übermittelt.
• Wo: Together.ai (USA). Die Datenübertragung ist durch EU-Standardvertragsklauseln abgesichert.
• Mehr Infos: Together.ai Datenschutz

6.6 united-domains (Webhosting)

• Was: Unsere Website wird bei united-domains gehostet. Beim Aufruf der Website verarbeitet united-domains technisch notwendige Server-Logdaten.
• Daten: IP-Adresse, Zeitpunkt des Zugriffs, aufgerufene Seite und Browser-Informationen — zur Auslieferung der Website und zur Abwehr technischer Angriffe.
• Wo: united-domains AG, Gautinger Str. 10, 82319 Starnberg, Deutschland. Die Server stehen in Deutschland; die Daten verlassen die EU nicht.
• Mehr Infos: united-domains Datenschutz

6.7 OpenStreetMap Foundation / Nominatim (Adress-Geokodierung)

• Was: Wir nutzen den Geokodierungsdienst Nominatim der OpenStreetMap Foundation (OSMF), um Adress- bzw. Ortsangaben in Koordinaten umzurechnen. Das geschieht auf zwei Wegen: (1) Veranstalter-Website — wenn ein Veranstalter eine Aktivität mit einer Adresse anlegt oder bearbeitet, sendet der Browser des Veranstalters die angegebene Stadt und optional eine Straße an Nominatim (für die Kartenanzeige und das Land der Aktivität, u. a. für die Währungsanzeige). (2) App / Treffen — wenn für ein Treffen ein Treffpunkt als Text hinterlegt ist und dieser für Treffen-Funktionen (insbesondere die Ankunftserkennung beim Teilen des Standorts) in Koordinaten umgerechnet werden muss, senden unsere Server diesen Treffpunkt-Text an Nominatim. Der App-Aufruf erfolgt serverseitig, in der Regel einmal pro Treffen und nur dann, wenn er benötigt wird — nicht vorsorglich für jedes Treffen.
• Daten: Nur der jeweilige Adress- bzw. Treffpunkt-Text. Nutzerkonten, E-Mail-Adressen oder sonstige Kennungen aus der App werden nicht übermittelt. Beim Veranstalter-Aufruf sieht Nominatim technisch bedingt die IP-Adresse des Geräts, von dem aus die Aktivität gespeichert wird; beim App-Aufruf die IP-Adresse unserer Server (nicht die der Teilnehmenden).
• Besonderheit: Anders als die übrigen in diesem Abschnitt genannten Dienste ist die OSMF kein Auftragsverarbeiter nach Art. 28 DSGVO — für die öffentlich nutzbare Nominatim-Instanz besteht kein entsprechender Vertrag. Es handelt sich um eine Offenlegung an einen Dritten auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — die Veröffentlichung einer Aktivität mit Standortangabe bzw. die Bereitstellung der Treffen-Funktionen, für die eine Adressumrechnung erforderlich ist, sind Teil des Dienstes), nicht um eine Auftragsverarbeitung.
• Wo: OpenStreetMap Foundation, St John's Innovation Centre, Cowley Road, Cambridge CB4 0WS, Vereinigtes Königreich (Company No. 05912761). Für Übermittlungen in das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission nach Art. 45 DSGVO; es bedarf daher keiner zusätzlichen Garantien wie Standardvertragsklauseln.
• Mehr Infos: OSMF Datenschutzerklärung

7. Wie lange speichern wir deine Daten?

• Account-Daten, Nachrichten, Interessen, Swipes, Social Battery: Solange dein Account besteht. Bei Löschung werden diese Daten endgültig entfernt.
• Freundschaften: Werden bei Account-Löschung vollständig gelöscht.
• Erinnerungen (Memories): Bleiben für die anderen Teilnehmer:innen erhalten, auch wenn du deinen Account löschst. Dein Name wird dabei entfernt.
• Erinnerungs-Fotos: Werden gelöscht, wenn du sie selbst löschst. Bei Account-Löschung werden deine Fotos aus der Datenbank-Zuordnung entfernt. Die Bilddateien im Speicher werden im Rahmen regelmäßiger Bereinigung nachträglich gelöscht — dies kann kurze Zeit in Anspruch nehmen.
• Kommentare zu Erinnerungen: Werden gelöscht, wenn du sie selbst löschst. Bei Account-Löschung werden deine Kommentare entfernt.
• Profilbild: Wird bei Account-Löschung entfernt.
• Vorgemerkte Kontakte: Bleiben bestehen, solange du sie nicht selbst löschst. Bei Löschung deines Accounts werden sie vollständig entfernt.
• In-App-Feedback: Wird gespeichert, solange es für die Bearbeitung deines Anliegens und die Verbesserung der App erforderlich ist. Bei Account-Löschung wird die Verknüpfung zu deinem Account entfernt.
• Kontaktformular-Nachrichten: Nachrichten, die du über das Kontaktformular auf unserer Website sendest, werden per E-Mail an uns übermittelt und nur so lange aufbewahrt, wie es zur Bearbeitung deiner Anfrage erforderlich ist. Danach werden sie gelöscht.
• Meldungen: Bleiben zur Prüfung und Dokumentation von Verstößen erhalten, solange dies zur Wahrung der Sicherheit auf der Plattform erforderlich ist. Blockierungen werden bei Account-Löschung entfernt.
• Veranstalter-Daten: Werden bei Löschung des Veranstalter-Accounts komplett entfernt, inklusive aller Aktivitäten.

8. Account löschen

Du kannst deinen Account jederzeit selbst löschen:

• App-Nutzer: In der App unter Einstellungen.
• Veranstalter: Im Dashboard unter Konto-Einstellungen.
• Ohne App: Über unsere Web-Löschseite.

Bei der Löschung werden alle deine persönlichen Daten unwiderruflich entfernt. Sollte etwas nicht funktionieren, schreib uns an kontakt@varyalive.de — wir löschen deinen Account dann manuell.

9. Deine Rechte

Du hast nach der DSGVO folgende Rechte:

Für das Recht auf Datenübertragbarkeit stellen wir dir deine Daten in einem strukturierten, gängigen und maschinenlesbaren Format (z.B. JSON) bereit.

Schreib uns an kontakt@varyalive.de — wir antworten unverzüglich, spätestens innerhalb eines Monats. In begründeten Fällen kann sich diese Frist nach Art. 12 Abs. 3 DSGVO um bis zu zwei weitere Monate verlängern; darüber informieren wir dich rechtzeitig.

Du kannst dich auch bei einer Datenschutz-Aufsichtsbehörde beschweren. Die für uns zuständige Aufsichtsbehörde ist:

10. App-Berechtigungen

Die App fragt dich um Erlaubnis, bevor sie auf Funktionen deines Geräts zugreift:

• Kamera: Zum Scannen von QR-Codes (Einladungslinks, Meeting-Codes) und zum Aufnehmen von Fotos für Erinnerungen. Es werden keine Bilder ohne dein Zutun gespeichert oder übertragen.
• Fotos: Um Bilder aus deiner Fotomediathek auszuwählen oder Fotos dort zu speichern.
• Kalender: Um Treffen direkt in deinen Gerätekalender einzutragen. Dabei liest varyAlive nur, in welchen Stunden in deinem Kalender etwas steht. Titel, Orte und Teilnehmer werden nie gelesen und nie gespeichert. Die Berechtigung ist optional und kann jederzeit widerrufen werden.
• Benachrichtigungen: Für Push-Benachrichtigungen über Nachrichten, Anfragen und Meetings.

Du kannst jede Berechtigung jederzeit in den Systemeinstellungen deines Geräts widerrufen.

11. Cookies, Tracking und Nutzungsstatistik

Wir verwenden keine Tracking-Cookies und keine Analyse-Tools von Drittanbietern. Auf der Website werden nur technisch notwendige Cookies für die Anmeldung im Veranstalter-Dashboard verwendet. In der App werden keine Cookies gesetzt, und die App erfasst nicht, welche Seiten oder Tabs du öffnest.

Nutzungsstatistik aus vorhandenen Daten. Um zu verstehen, welche Funktionen genutzt werden und wo Treffen nicht zustande kommen, zählen wir auf unserem Server Daten, die bei der Nutzung von varyAlive ohnehin entstehen: zum Beispiel wie viele Swipes, Matches, Vorschläge, Pläne, Treffen, Erinnerungen, Nachrichten, Kosteneinträge und Gruppen es pro Woche oder Monat gibt. Dafür erheben wir keine zusätzlichen Daten und lesen nichts von deinem Gerät aus. Inhalte wie Nachrichten, Kommentare oder Fotos werten wir dafür nicht aus.

Das Ergebnis sind nur Summen und Anteile, zum Beispiel pro Monat, Funktion oder Gruppengröße, ohne Namen und ohne Nutzerkennungen. Weil varyAlive noch wenige Nutzer:innen hat, kann eine solche Zahl auch klein sein und nur wenige Personen betreffen. Wir nutzen die Statistik nicht, um nachzuvollziehen, was einzelne Personen tun, und sie führt zu keiner Entscheidung über dich. Zugriff haben nur wir als Betreiber.

Zweck: varyAlive verbessern.
Rechtsgrundlage: unser berechtigtes Interesse an der Verbesserung der App (Art. 6 Abs. 1 lit. f DSGVO). Die Daten wurden für die Bereitstellung der App erhoben; die Auswertung in Form von Summen ist mit diesem Zweck vereinbar (Art. 6 Abs. 4 DSGVO).
Speicherdauer: Es entstehen keine neuen Daten über dich. Die gezählten Daten werden gelöscht, wie in Abschnitt 7 beschrieben; mit deinem Account werden sie auch aus der Statistik entfernt.
Widerspruch: Du kannst der Einbeziehung deiner Daten in diese Statistik jederzeit widersprechen (Art. 21 DSGVO), formlos per E-Mail an die Adresse in Abschnitt 1. Deine Daten werden dann nicht mehr mitgezählt.

12. Mindestalter

varyAlive richtet sich an Personen ab 16 Jahren. Wenn du unter 16 bist, darfst du die App nur mit Zustimmung deiner Erziehungsberechtigten nutzen.

13. Wie schützen wir deine Daten?

• Verschlüsselte Übertragung aller Daten (HTTPS/TLS)
• Verschlüsselte Speicherung in der Datenbank (Encryption-at-Rest)
• Passwörter werden gehasht gespeichert
• Row-Level-Security: Du kannst auf Datenbankebene nur deine eigenen Daten sehen
• Erinnerungs-Fotos in geschütztem, privatem Speicher — nur Meeting-Teilnehmer:innen haben Zugriff. Profilbilder sind in öffentlichem Speicher abgelegt.
• Regelmäßige Sicherheitsupdates

14. Änderungen an dieser Erklärung

Wenn wir diese Datenschutzerklärung ändern, informieren wir dich mindestens 4 Wochen vorher — über ein App-Update oder per E-Mail.

15. Fragen?