Datenschutzerklärung Suhrid

Stand: 18.10.2026 (gültig ab 19.11.2026) Version: 1.13

Suhrid ist eine App, um neue Menschen persönlich kennenzulernen. Du postest, worauf du Lust hast und wo, passende Personen in deiner Nähe können Interesse zeigen, und sobald du jemanden auswählst, könnt ihr chatten. Diese Erklärung beschreibt in klarer Sprache, welche personenbezogenen Daten wir verarbeiten, warum, und welche Rechte du hast. Sie erfüllt die Transparenzpflichten der Art. 12–14 der EU-Datenschutz-Grundverordnung (DSGVO).

Registrieren kann sich jede volljährige Person mit Wohnsitz oder Aufenthalt in der EU bzw. im EWR. Broadcasts und Treffpunkte gibt es derzeit nur in Deutschland. Bei der Registrierung findet keine Standortprüfung statt.

1. Verantwortlicher

• Verantwortlicher: Suhrid.de, Florian Berninger
• Anschrift: Lehmkuhlen 4a, 25337 Elmshorn, Deutschland
• E-Mail: support [at] suhrid [punkt] de
• Datenschutz-Kontakt: Florian Berninger, support [at] suhrid [punkt] de (ein Datenschutzbeauftragter ist nicht bestellt; eine Benennungspflicht nach Art. 37 DSGVO / § 38 BDSG besteht für einen Betrieb dieser Größe nicht)

Der Verantwortliche ist die Stelle, die über Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet (Art. 4 Nr. 7 DSGVO).

2. Die Kurzfassung

• Wir erheben nur, was die App zum Funktionieren braucht. Es gibt keine Analyse-, Werbe- oder Tracking-SDKs Dritter — nur unsere eigene, datensparsame Nutzungsstatistik (Abschnitt 3.14) in der App; dafür liest die App nichts aus deinem Gerät aus. Crash-Berichte existieren, sind aber aus, solange du nicht ausdrücklich zustimmst (Abschnitt 3.8).
• Unsere Website setzt keine Cookies und bindet keine Analyse- oder Tracking-Dienste ein — ein Cookie-Banner musst du hier nicht wegklicken (Abschnitt 3.13).
• Deine Chat-Nachrichten sind Ende-zu-Ende-verschlüsselt. Wir lesen sie nicht und geben sie nicht heraus. Damit deine Chats ein vergessenes Passwort überleben, verwahren wir eine versiegelte Kopie deines Verschlüsselungsschlüssels, die nur ein getrennt gesicherter Wiederherstellungsdienst öffnen kann (Abschnitt 7). Technisch könnten wir Nachrichten daher im Ausnahmefall entschlüsseln — wir tun das nicht, und ein Zugriff durch Dritte ist ohne beide Bausteine (Datenbank und Wiederherstellungsschlüssel) nicht möglich.
• Dein exaktes Geburtsdatum sehen andere Nutzer nie — sie sehen nur deine grobe Altersgruppe (z. B. „26–35"). Für uns ist es zur Kontoverwaltung und für anonyme Altersstatistiken lesbar gespeichert (Abschnitt 3.1).
• Deine GPS-Position wird von uns nie gespeichert. Um dir Broadcasts in der Nähe zu zeigen, sendet die App eine bewusst vergröberte Position (ca. 110 m genau) mit der Feed-Anfrage — sie wird nur zur Beantwortung dieser Anfrage genutzt und nicht gespeichert (Abschnitt 3.3).
• Zu deinem Profil gehört ein Profilbild (genau eins, du wählst es aus). Dass es ein Gesicht zeigt, prüft die App ausschließlich auf deinem Gerät — es gibt keine Gesichtserkennung und keinen biometrischen Abgleich, weder bei uns noch bei Dritten. Andere sehen das Bild auf deinem Profil, in Anfragen und Chats, nie im Broadcast-Feed (Abschnitt 3.1).
• Das Löschen deines Kontos löscht sofort Profil, Profilbild, Broadcasts, Matches und Nachrichten. Wenige, eng begrenzte Nachweise bleiben befristet bestehen (Abschnitt 4).

Der Rest dieser Erklärung ist die ausführliche Fassung dieser Aussagen.

3. Welche Daten wir verarbeiten, warum und auf welcher Rechtsgrundlage

Die DSGVO verlangt für jede Nutzung personenbezogener Daten eine Rechtsgrundlage (Art. 6 Abs. 1). Für das meiste, was Suhrid tut, ist die Grundlage, dass die Verarbeitung zur Bereitstellung des von dir gewünschten Dienstes erforderlich ist — Art. 6 Abs. 1 lit. b (Vertragserfüllung). Wo eine andere Grundlage gilt, sagen wir es.

3.1 Konto- und Profildaten

Bei der Registrierung erheben wir:

Rechtsgrundlage: Art. 6 Abs. 1 lit. b — diese Daten sind für Konto und Matching, den Kern des Dienstes, erforderlich.

Profilbild und Gesichtsprüfung: Ein Profilbild ist für die Registrierung nicht nötig, aber ohne sichtbares Bild kannst du kein Interesse an einem Broadcast zeigen — die Person, die du treffen würdest, soll wissen, wer kommt. Broadcasts posten geht auch ohne Bild. Bevor ein Bild hochgeladen wird, prüft die App auf deinem Gerät, dass genau ein Gesicht darauf zu sehen ist und dass es sich um ein Farbfoto eines echten Gesichts handelt (nicht um eine Zeichnung, einen Cartoon, einen Screenshot, eine Statue o. Ä.), schneidet das Bild um das Gesicht herum zu und verkleinert es. Dafür nutzen wir auf Android die Gesichtserkennungs- und Bildklassifizierungs-Bibliotheken ML Kit von Google, die vollständig lokal in der App laufen (die Modelle werden über die Google-Play-Dienste auf dein Gerät geladen); auf iPhone und iPad übernimmt diese Prüfung das in iOS eingebaute Vision-Framework von Apple, ebenfalls ausschließlich auf dem Gerät. Hinzu kommt eine einfache Farbstatistik des Gesichtsbereichs; das Bild verlässt dein Gerät dafür nicht. Die Gesichtserkennung liefert nur die Position des Gesichts im Bild, die Klassifizierung nur allgemeine Bildkategorien (etwa „Zeichnung") — beides erzeugt kein biometrisches Merkmal und identifiziert niemanden. Wir verarbeiten also keine biometrischen Daten im Sinne von Art. 9 Abs. 1 und führen weder auf unseren Servern noch über Dritte eine Gesichtserkennung durch. Bilder ohne oder mit mehreren Gesichtern sowie Bilder, die kein Foto eines echten Gesichts sind, lehnt die App ab, ohne sie zu übertragen. Das gespeicherte Bild können nur angemeldete Nutzer abrufen, denen die App dein Profil zeigt; Nutzer, die du blockiert hast oder die dich blockiert haben, erhalten es nicht, und jeder Abruf wird vom Server einzeln autorisiert. Beim Ersetzen wird das vorherige Bild sofort gelöscht, beim Entfernen und beim Löschen deines Kontos ebenfalls. Gemeldete Profilbilder darf unser Moderationsteam sichten und bei Verstößen gegen die Nutzungsbedingungen entfernen (Art. 6 Abs. 1 lit. f — Sicherheit der Plattform, Kinderschutz-Standards; zu Meldungen siehe Abschnitt 3.15). Mit Suhrid Plus kannst du dein Bild vor allen anderen verbergen (Abschnitt 3.9). Rechtsgrundlage für das Profilbild: Art. 6 Abs. 1 lit. b.

Verwaltung und Statistik: E-Mail-Adresse und Geburtsdatum liegen zusätzlich in unserer Profildatenbank (neben dem Anmeldesystem), damit unser Support-/Moderationsteam dein Konto verwalten kann und wir aggregierte, ausschließlich eigene Statistiken (z. B. Altersverteilung der Nutzerschaft) berechnen können. Rechtsgrundlage: Art. 6 Abs. 1 lit. b für die Kontoverwaltung, Art. 6 Abs. 1 lit. f (berechtigtes Interesse, den eigenen Dienst zu verstehen und zu verbessern) für die aggregierte Statistik. Diese Felder sind nie für andere Nutzer sichtbar, werden nie an Dritte weitergegeben, sind im Export aus der App und in der Kopie, die wir dir auf Anfrage zur Verfügung stellen, enthalten (Art. 15/20) und werden mit dem Konto gelöscht (Art. 17). Der Statistiknutzung kannst du jederzeit widersprechen (Art. 21, Abschnitt 5): support [at] suhrid [punkt] de.

Altersbestätigung: Bei der Registrierung bestätigst du per Pflicht-Checkbox aktiv, dass du mindestens 18 bist. Die Speicherung dieser Bestätigung dient dem Nachweis, dass du die Teilnahmevoraussetzungen erfüllst (Art. 6 Abs. 1 lit. b und lit. f — Nachweis und Schutz Minderjähriger; Abschnitt 10). Sie ist keine Einwilligung: Ohne die Bestätigung ist eine Registrierung nicht möglich.

Hinweis zu Antworten und Profiltext: Beschreibung und Fragen-Antworten sind lesbar gespeichert, damit das Matching funktioniert, und für andere sichtbar — die Antworten stammen aus festen Auswahloptionen. Bitte schreibe keine sensiblen Informationen (etwa zu Gesundheit, Religion oder Sexualleben — „besondere Kategorien" nach Art. 9) in Freitextfelder; wir fragen sie nicht ab und wollen sie nicht.

3.2 Registrierungsland

Bei der Registrierung übermittelt die App einmalig ein Land (zwei Buchstaben, z. B. „AT“): das Land, das dein App-Store-Konto (Google Play bzw. App Store) meldet. Liefert der Store kein Land, wird kein Land gespeichert; die in deinem Gerät eingestellte Region liest die App dafür seit dem 30.09.2026 nicht mehr aus. Dafür wird keine Standortberechtigung benötigt und kein Standort ermittelt. Wir speichern auch, woher die Angabe stammt. Bei Konten, die vor dem 30.09.2026 angelegt wurden, kann das noch die Geräteregion sein. Die Angabe wird nicht überprüft.

Zweck: Statistik über die Herkunft neuer Registrierungen und Nachweis, dass die Registrierung allen Personen in der EU bzw. im EWR offensteht (Verordnung (EU) 2018/302). Das Land wird nicht verwendet, um eine Registrierung zuzulassen oder abzulehnen.

Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).

Speicherdauer: am Profil, bis du dein Konto löschst oder widersprichst (Abschnitt 5). Zusätzlich wird ohne jeden Bezug zu dir die Zahl der Registrierungen pro Land und Tag gezählt; diese Zahl bleibt dauerhaft erhalten (Abschnitt 3.14).

3.3 Broadcasts, Interessen und Matches

• Broadcasts: eine Aktivität, ein Treffpunkt (Name und Adresse), ein 2-Stunden-Zeitfenster und optional eine Kurzbeschreibung (Freitext, höchstens 20 Zeichen, z. B. „Locker kennenlernen"). Die Kurzbeschreibung ist Teil des Broadcasts und für dieselben Nutzer sichtbar wie Aktivität und Treffpunkt — schreibe deshalb keine personenbezogenen Daten hinein (Namen, Telefonnummern, Adressen; Kontaktdaten werden ohnehin abgewiesen). Beim Posten wird der Text automatisch mit einer Liste unzulässiger Begriffe (beleidigend, sexuell, diskriminierend) abgeglichen; bei einem Treffer wird der Broadcast nicht angenommen und nichts gespeichert. Sie wird zusammen mit dem Broadcast gelöscht. Beim Eintippen der Adresse schlägt die App reale Adressen in Deutschland vor (siehe „Adresssuche"); du wählst eine aus, und die Koordinaten dieses Treffpunkts werden mit dem Broadcast gespeichert. Das sind die Koordinaten des von dir gewählten öffentlichen Ortes — nie deine eigene GPS-Position. Broadcasts sehen Nutzer, die zu deinen Kriterien passen und deren Suchradius (in den Einstellungen wählbar; bis 10 km, mit Plus bis 50 km — vom Server durchgesetzt) um die eigene Position den Treffpunkt abdeckt.
• Geplante Broadcasts (Plus): Mit Plus kann das 2-Stunden-Fenster bis zu 24 Stunden in der Zukunft beginnen („Abendessen um 19 Uhr"). Ein geplanter Broadcast ist ab dem Posten für andere sichtbar — dir sollte bewusst sein, dass du damit im Voraus ankündigst, wo du sein wirst. Die Daten werden vom Posten bis zum Ende des geplanten Fensters gespeichert (höchstens ca. 26 Stunden) und dann durch die in Abschnitt 4 beschriebene Bereinigung gelöscht, sofern kein Match entstand.
• Adresssuche: Während du eine Treffpunkt-Adresse tippst, wird der getippte Text an den Geocoding-Dienst Photon gesendet (betrieben von der komoot GmbH, Deutschland; auf Basis von OpenStreetMap-Daten — Abschnitt 8), um Adressvorschläge zu holen. Damit nahe Orte zuerst erscheinen, kann die App zusätzlich einen bewusst vergröberten Punkt (ca. 1 km genau) aus deiner Geräteposition sowie einen daraus abgeleiteten Suchbereich mitsenden. Photon liefert passende Adressen zurück; nichts davon wird in deinem Suhrid-Profil gespeichert. Wie komoot mit diesen Daten umgeht, beschreibt die Datenschutzerklärung von komoot.
• Deine Position für den Feed („in der Nähe"): Um zu bestimmen, welche Broadcasts in deinem Radius liegen, sendet die App deine auf ca. 110 m vergröberte Geräteposition mit der Feed-Anfrage. Sie dient nur der Beantwortung dieser Anfrage, wird nicht gespeichert, nicht dem Profil hinzugefügt; eine Positionshistorie existiert nicht. Verweigerst oder entziehst du die Standortberechtigung, wird gar kein Standort abgerufen und der Feed abgeschaltet; die App erklärt das mit einem Hinweis, und du kannst den Feed jederzeit durch Erteilen der Berechtigung reaktivieren (auf Android: Einstellungen → Apps → Berechtigungen; auf iPhone und iPad: Einstellungen → Apps → Suhrid → Standort).
• Interessen: Tippst du bei einem Broadcast auf „Interessiert", sieht das der Broadcast-Ersteller.
• Matches: Akzeptiert der Ersteller ein Interesse, entsteht ein Match und der Chat öffnet sich.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b — Broadcasts posten (einschließlich Geocoding der von dir eingegebenen Adresse), Broadcasts in der Nähe anzeigen, Interesse zeigen und Matchen ist der Dienst, für den du dich angemeldet hast.

3.4 Chat-Nachrichten

Nachrichten zwischen gematchten Nutzern sind Ende-zu-Ende-verschlüsselt (Details in Abschnitt 7). Unsere Server speichern nur die verschlüsselten Nachrichtendaten sowie die zur Zustellung nötigen Metadaten: wer im Match ist und wann Nachrichten gesendet wurden. Nachrichteninhalte lesen wir nicht; entschlüsselbar wären sie nur mit dem getrennt gesicherten Wiederherstellungsschlüssel (Abschnitt 7), den wir ausschließlich für deine eigene Passwort-Wiederherstellung einsetzen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b — die Zustellung deiner Nachrichten ist Teil des Dienstes.

3.5 E-Mails von uns

Wir versenden fünf Arten von Konto-E-Mails, alle von tanja [at] suhrid [punkt] de über Brevo (Sendinblue GmbH; Abschnitt 8): eine einmalige Willkommens-E-Mail direkt nach der Registrierung (auf Deutsch oder Englisch, je nach Gerätesprache bei der Registrierung), die zugleich bestätigt, dass der Vertrag über die kostenlose Nutzung zustande gekommen ist, und die Widerrufsbelehrung samt Muster-Widerrufsformular als PDF-Anhang enthält, einen Bestätigungscode für deine E-Mail-Adresse (nach der Registrierung und, wenn du deine Adresse in der App änderst oder nach einer Änderung durch den Support, an die neue Adresse), einen Hinweis an deine bisherige Adresse, sobald deine E-Mail-Adresse geändert wurde, Passwort-Zurücksetzungs-E-Mails auf deine Anforderung und Moderations-E-Mails mit der Begründung, wenn wir eine Maßnahme zu deinem Konto oder deinen Inhalten treffen, sie prüfen, aufheben oder über deine Beschwerde entscheiden (Abschnitt 3.15). Brevo verarbeitet Empfängeradresse und Inhalt als unser Auftragsverarbeiter allein zur Zustellung. Marketing-E-Mails versenden wir nicht; die Willkommens-E-Mail enthält bewusst keine Werbung.

E-Mail-Bestätigung: Deine Adresse musst du innerhalb von 3 Tagen mit dem Code bestätigen; danach ist die Anmeldung bis zur Bestätigung gesperrt, gelöscht wird dabei nichts. Wir speichern dafür, wann du bestätigt hast bzw. seit wann die Adresse unbestätigt ist, und bis zur Bestätigung (der Code ist höchstens 24 Stunden gültig) nur einen Hashwert des Codes, nie den Code selbst. Bei der Registrierung und bei einer Adressänderung prüfen wir außerdem die Domain deiner Adresse gegen eine Liste von Wegwerf-Adressen; Adressen unserer eigenen Domains nehmen wir weder bei der Registrierung noch bei einer Adressänderung an.

E-Mail-Adresse ändern: Du kannst deine E-Mail-Adresse in der App ändern (Einstellungen → Konto & Profil). Dafür speichern wir die neue Adresse zusammen mit einem Hashwert des Codes, den wir an sie schicken, bis du den Code eingibst. Weil deine Schlüssel auch aus deiner E-Mail-Adresse abgeleitet werden (Abschnitt 7), berechnet die App sie mit deinem Passwort für die neue Adresse neu und verschlüsselt deinen Hauptschlüssel neu; erst dann stellen wir Anmeldung und Konto auf die neue Adresse um, die damit als bestätigt gilt. Danach schicken wir einen Hinweis an die bisherige Adresse, der die neue Adresse nur teilweise zeigt (z. B. „a***@example.org“).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b — die Willkommens-E-Mail bestätigt den Kontostart; dass sie den Vertragsschluss bestätigt und die Widerrufsbelehrung auf einem dauerhaften Datenträger mitliefert, schreibt uns § 312f Abs. 2 BGB vor (Art. 6 Abs. 1 lit. c). Der Bestätigungscode stellt sicher, dass die Adresse dir gehört und wir dich darüber erreichen können, und über die Passwort-Zurücksetzung musst du dein Konto wiederherstellen können. Moderations-E-Mails erfüllen unsere gesetzliche Begründungspflicht (Art. 6 Abs. 1 lit. c i. V. m. Art. 17 DSA). Die Prüfung auf Wegwerf-Adressen stützt sich zusätzlich auf unser berechtigtes Interesse, Missbrauch und Mehrfachkonten zu verhindern (Art. 6 Abs. 1 lit. f). Der Hinweis an deine bisherige Adresse lässt dich eine Änderung bemerken, die du nicht selbst vorgenommen hast, und schützt dein Konto so vor einer Übernahme (Art. 6 Abs. 1 lit. b und f).

3.6 Nutzungsstatistik der Schnellantworten

Der Chat bietet vorgefertigte „Schnellantworten" (nach Themen gruppiert — Zeit, Ort, Begrüßung usw.), die du statt Tippen antippen kannst. Tippst du eine an, speichern wir separat, welche vorgefertigte Nachricht (Kategorie und feste interne ID — nicht ihr Text) du gewählt hast, um zu sehen, welche Schnellantworten nützlich sind, und das Angebot zu verbessern. Das ist aggregierte Nutzungsstatistik, keine Kopie deiner Unterhaltung: Wir speichern nicht, in welchem Match oder Gespräch sie genutzt wurde, und sie wird in der App nie mit dir verknüpft. In der App werden sie nicht angezeigt; sie sind aber Teil deines Datenexports („Meine Daten herunterladen") und der Kopie, die wir dir auf Anfrage schicken.

Rechtsgrundlage: unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f) zu verstehen, welche Schnellantworten nützlich sind.

3.7 Präsenzinformation

Für den Betrieb halten wir eine kleine technische Angabe in deinem Profil:

• Wann du die App zuletzt genutzt hast — ein ungefährer Zeitstempel, höchstens alle paar Minuten aktualisiert, während du Suhrid nutzt. Er wird mit der Uhr unseres Servers gesetzt, wenn sich die App bei uns meldet; aus deinem Gerät wird dafür nichts ausgelesen. Es existiert nur der jeweils letzte Zeitstempel; eine Online-Historie führen wir nicht.

Wir nutzen das, um zu sehen, wie viele Menschen Suhrid verwenden. Es sind keine Standortdaten, keine Nutzungshistorie, und die Angabe wird mit dem Konto gelöscht.

Kein Gerätemodell mehr: Bis zum 29.09.2026 hat die App hier zusätzlich Modell und Betriebssystem-Version deines Geräts übermittelt. Seit dem 30.09.2026 tut sie das nicht mehr, und unser Server speichert den Wert auch dann nicht, wenn eine ältere App-Version ihn noch sendet. Alle bis dahin gespeicherten Gerätemodelle haben wir am 30.09.2026 gelöscht.

Rechtsgrundlage: unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f) am Betrieb und Support des Dienstes.

3.8 Crash-Berichte (optional — nur mit deiner Einwilligung)

Nur wenn du ausdrücklich zustimmst, sendet die App Absturzberichte an Google Firebase Crashlytics (Google Ireland Ltd. / Google LLC), damit wir Fehler finden und beheben können. Ein Bericht enthält technische Angaben zum Absturz: Stacktrace, Gerätemodell, Betriebssystem- und App-Version sowie eine Crashlytics-interne Installations-ID. Er enthält keine Profildaten, keine Nachrichten, keinen Standort.

Crash-Berichte sind standardmäßig aus. Du kannst sie über die optionale Checkbox beim Anmelden oder unter Einstellungen → Privatsphäre → Absturzberichte aktivieren und die Einwilligung dort jederzeit widerrufen (Art. 7 Abs. 3); der Widerruf verwirft auch noch nicht gesendete, auf dem Gerät wartende Berichte. Ohne Einwilligung sendet die App nichts an Crashlytics.

Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a). Google handelt als unser Auftragsverarbeiter (Art. 28); zu Übermittlungen siehe Abschnitte 8 und 9.

3.9 Plus-Abo (Google Play / App Store)

Wenn du Suhrid Plus auf einem Android-Gerät abonnierst, wickelt Google Play den Kauf vollständig ab: Im Europäischen Wirtschaftsraum tritt Google Commerce Limited (Irland) als Händler auf und verarbeitet deine Zahlungs- und Google-Kontodaten als eigenständiger Verantwortlicher nach den Google-Play-Bedingungen, der Datenschutzerklärung von Google und den Datenschutzhinweisen von Google Payments. Wir sehen und speichern deine Zahlungsdaten (Kartennummern, Bankdaten) nie.

Selbst verarbeiten wir — um deinem Konto die Plus-Funktionen zu geben und Missbrauch zu verhindern:

• deine pseudonyme Konto-ID, dem Kauf als „verschleierte Konto-Kennung" beigefügt, damit Googles Server unseren mitteilen können, zu welchem Konto eine Verlängerung gehört
• das von Google gemeldete Kauf-Token, die Bestellnummer und den Abo-Zeitraum — gespeichert in einem kontogebundenen Kaufregister
• das daraus resultierende Plus-Ablaufdatum in deinem Profil

Namen, Anschrift oder Zahlungsmittel erhalten wir von Google nicht. Für die genannten Daten, die wir von Google erhalten, sind wir Verantwortlicher; Google ist insoweit nicht unser Auftragsverarbeiter.

Auf iPhone und iPad wickelt Apple den Kauf ab, nicht Google. Schließt du das Abo über den App Store ab, übernimmt Apple den Kauf vollständig; im Europäischen Wirtschaftsraum tritt Apple Distribution International Ltd. (Hollyhill Industrial Estate, Hollyhill, Cork, Irland) als Händler auf. Dein Zahlungsvertrag besteht mit Apple, und Apple verarbeitet deine Zahlungs- und Apple-Konto-Daten als eigenständiger Verantwortlicher nach der Apple-Datenschutzerklärung. Deine Zahlungsdaten sehen und speichern wir nie. Auch Apple ist für den Kauf nicht unser Auftragsverarbeiter.

Was Apple uns übermittelt und was wir selbst verarbeiten, ist dieselbe kurze Liste wie bei Google Play — nur die Feldnamen unterscheiden sich:

• eine von Apples Servern kryptografisch signierte Transaktion mit der Transaktions-ID, der ursprünglichen Transaktions-ID (der Kennung des ersten Kaufs dieses Abos, die über alle Verlängerungen hinweg gleich bleibt), der Produkt-Kennung und dem Ablaufdatum des laufenden Zeitraums
• das App-Konto-Token — deine pseudonyme Konto-ID, die unsere App dem Kauf vor dem Abschluss beifügt, damit Apples Bestätigungen und Verlängerungsmeldungen deinem Konto zugeordnet werden können
• das daraus resultierende Plus-Ablaufdatum in deinem Profil

Deinen Namen, deine Anschrift, dein Zahlungsmittel, deine Apple-Konto-E-Mail-Adresse oder sonstige Apple-Kennungen erhalten wir nicht. Die Signatur prüft unser Server selbst, offline, gegen das veröffentlichte Stammzertifikat von Apple; die Plus-Berechtigung vergibt ausschließlich unser Server, nie die App. Zusätzlich benachrichtigt Apple unseren Server, wenn sich das Abo verlängert, gekündigt wird, abläuft, erstattet oder widerrufen wird (App Store Server Notifications); diese Meldungen enthalten dieselben Felder und keine weiteren personenbezogenen Daten.

Weil Apple und nicht wir als Händler auftritt, kannst nur du selbst ein App-Store-Abo kündigen (Einstellungen → dein Name (Apple-Konto) → Abos). Wir haben bei Apple keine Möglichkeit, eine Verlängerung zu stoppen oder eine Erstattung auszulösen; Erstattungen laufen über Apples eigenes Antragsverfahren (reportaproblem.apple.com).

Das Kaufregister (für Google-Play- und App-Store-Käufe dasselbe) wird mit dem Konto gelöscht (Art. 17). Ein Administrator kann Plus auch befristet kostenlos gewähren; dabei werden gar keine Daten mit Google oder Apple geteilt.

Zu den Plus-Funktionen gehört, dein Profilbild zu verbergen (Abschnitt 3.1): Ob es verborgen ist, speichern wir als Schalter in deinem Profil. Ein verborgenes Bild geben wir an keinen anderen Nutzer heraus; es bleibt auch dann verborgen, wenn Plus endet, bis du es selbst wieder sichtbar machst.

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b) — du hast das Abo angefordert.

3.10 Freunde einladen (Empfehlungslinks)

Du kannst einen persönlichen Einladungslink teilen (https://suhrid.app/share/<code>). Der Code ist eine zufällige 8-Zeichen-Kennung deines Kontos — er enthält selbst keine personenbezogenen Daten.

• Link-Klicks: Öffnet jemand deinen Link im Browser, zählen wir einen anonymen Klick — gespeichert werden nur Code und Zeitstempel. Keine IP-Adresse, keine Browser-Informationen, nichts über die Person. (Wie bei jedem Webseitenaufruf verarbeiten Cloudflare, über das die Einladungsseite auf suhrid.app ausgeliefert wird, und unser Hosting-Anbieter Supabase dabei technisch deine IP-Adresse, Abschnitte 3.13 und 8; wir speichern sie nicht.)
• Registrierungen: Installiert jemand die App über deinen Link und registriert sich, wird das neue Konto einmalig (pseudonym, per Konto-ID) mit deinem Code verknüpft, damit wir deine erfolgreichen Einladungen zählen können. Google Play reicht den Code per Install-Referrer an die App weiter; über die Person erhalten wir von Google keine Daten.
• Auf dem iPhone: Ist Suhrid bereits installiert, öffnet der Link die App direkt (Universal Link); der Code wird dann nur auf deinem Gerät zwischengespeichert und bei einer Registrierung wie oben verknüpft. Eine Installation über den App Store kann den Code nicht mitnehmen — Apple bietet keinen Install-Referrer; wir erhalten von Apple keinerlei Daten über die Person, und eine Zuordnung findet dann nicht statt.
• Kampagnen-Zählung: Werben wir für Suhrid, verlinken wir auf die App bei Google Play und hängen Kampagnen-Parameter an (utm_source, utm_medium, utm_campaign, etwa „instagram / social / herbst“). Google Play reicht sie wie den Einladungscode per Install-Referrer an die App weiter. Nach deiner Registrierung sendet die App einmalig diese drei Werte und die Plattform (Android oder iOS) an unseren Server; ohne solche Parameter zählt die Registrierung als „direkt“ (auf dem iPhone immer, außer bei einem Einladungslink). Der Server erhöht davon nur eine anonyme Tageszahl pro Kampagne, ohne Verbindung zu deinem Konto. Damit dieselbe Registrierung nicht mehrfach gezählt wird, vermerken wir an deinem Konto nur, dass es gezählt wurde, nicht welche Kampagne; diesen Vermerk löschen wir 8 Tage nach deiner Registrierung. Klick-Kennungen von Werbenetzwerken (etwa die gclid von Google Ads) verlassen dein Gerät nicht, und die App enthält weiterhin kein Werbe- oder Tracking-SDK. Wie bei allen Tageszahlen gilt: Bei sehr kleinen Zahlen ließe sich theoretisch über das Registrierungsdatum ein Rückschluss ziehen; eine solche Verknüpfung nehmen wir nicht vor.
• Belohnung: Sobald sich 5 Personen über deinen Link registriert haben, erhält dein Konto einmalig 30 Tage Plus. Das geschieht automatisch auf unserem Server.
• Löschung: Wird ein geworbenes Konto gelöscht, wird seine Verknüpfung zu deinem Code sofort entfernt; nur der anonyme Zähler bleibt, damit eine bereits gewährte Belohnung nachvollziehbar bleibt. Dein Code und alle zugehörigen Ereignisse werden mit deinem Konto gelöscht.

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b) für die von dir aktiv genutzte Einladungsfunktion. Klick-Ereignisse ohne IP-Adresse, Gerätekennung oder sonstigen Personenbezug sind keine personenbezogenen Daten (Art. 4 Nr. 1). Den Install-Referrer übergibt Google Play auf deinem Gerät an die App; Google verarbeitet ihn nicht in unserem Auftrag und ist deshalb in Abschnitt 8 nicht als Auftragsverarbeiter aufgeführt. Gleiches gilt für Apple, das den Link lediglich auf deinem Gerät an die App durchreicht. Für die Kampagnen-Zählung ist Rechtsgrundlage unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f), zu erfahren, welche Werbung neue Nutzerinnen und Nutzer bringt; verarbeitet werden nur drei Kampagnen-Bezeichnungen, gespeichert nur die anonyme Tageszahl und der kurzlebige Vermerk. Du kannst dem widersprechen (Art. 21, Abschnitt 5); wir löschen den Vermerk dann sofort.

3.11 Push-Benachrichtigungen

Wenn du Benachrichtigungen erlaubst (das Betriebssystem fragt um Erlaubnis — auf Android ab Version 13, auf iPhone und iPad beim ersten Mal; zusätzlich gibt es Schalter je Benachrichtigungsart in Einstellungen → Benachrichtigungen), registriert die App ein Push-Token bei Google Firebase Cloud Messaging (FCM), damit unser Server dich benachrichtigen kann. Ob und an wen eine Benachrichtigung geht, entscheidet unser Server vor dem Versand — auf Android ebenso wie auf iPhone und iPad. Die Benachrichtigungen selbst enthalten so wenig wie möglich:

• Neue Nachricht / neues Match: Die Benachrichtigung enthält nur einen Typ und die Match-ID — keinen Nachrichtentext, keinen Absendernamen. Google erfährt nur „irgendeine Nachricht in irgendeinem Match"; dein Telefon lädt und entschlüsselt dann lokal.
• Neue Broadcasts in der Nähe: Die Benachrichtigung enthält nur den Typ, die Broadcast-ID, die Aktivität und den Namen des Treffpunkts — weder, wer den Broadcast erstellt hat, noch die Koordinaten des Treffpunkts. Unser Server schickt sie nur an Personen in der Nähe, deren Kriterien der Broadcast erfüllt und die nicht blockiert sind. Die Entfernung schätzen wir dabei über eine grobe Gebietskachel, daher etwas großzügiger als der Feed — du kannst also auch über einen Broadcast benachrichtigt werden, den dir der Feed nicht zeigt. Im Einzelnen: Der Treffpunkt liegt in ihrem gewählten Umkreis (ohne Plus höchstens 10 km, mit Plus höchstens 50 km; gemessen wie unten beschrieben), die Person, die den Broadcast erstellt hat, passt zu den Kriterien, die die empfangende Person für Treffen eingestellt hat, keine der beiden hat die andere blockiert, und beide Konten sind aktiv. Google erfährt daraus nur, dass dieser Broadcast für den Inhaber dieses Push-Tokens in Frage kommt — also dass dessen gespeichertes Gebiet in der Nähe des Treffpunkts liegt —, aber nicht, wer du bist. Für deine eigenen Broadcasts bekommst du keine Benachrichtigung. Diese Benachrichtigungsart ist standardmäßig aus.

Damit unser Server so entscheiden kann, speichert er neben deinem Push-Token:

• deine Auswahl je Benachrichtigungsart — welche der drei Arten eingeschaltet sind, mehr nicht. Wir brauchen sie, um dir etwas eben nicht zu schicken. Sie wird zusammen mit dem Token gelöscht (beim Abmelden, wenn du alle Arten ausschaltest, und mit deinem Konto).
• für „Neue Broadcasts in der Nähe" eine grobe Gebietskachel und deinen gewählten Umkreis — die Kachel ist ein Rasterfeld von rund 20 × 39 km (Geohash mit 4 Stellen), das deine App aus deiner auf ca. 110 m vergröberten Feed-Position berechnet; deine tatsächliche Position wird nie gespeichert. Kachel und Umkreis werden nur gespeichert, solange diese Benachrichtigungsart eingeschaltet ist; schaltest du sie aus, werden sie sofort gelöscht, ebenso beim Abmelden und beim Löschen des Kontos. Ein neuer Broadcast wird mit dem Mittelpunkt dieses Rasterfelds verglichen, nicht damit, wo du gerade bist; damit du am Rand deines Rasterfelds nichts verpasst, rechnet unser Server zu deinem Umkreis etwa 22 km hinzu (eine halbe Diagonale des Rasterfelds).

Das Push-Token ist eine pseudonyme Kennung in deinem Profil (nur du und unser Backend haben Zugriff); es wird beim Abmelden und, wenn alle Benachrichtigungsarten aus sind, entfernt und mit dem Konto gelöscht.

Ältere App-Versionen: Bis zum 02.10.2026 liefen Broadcast-Benachrichtigungen auf Android über ein FCM-Topic, und ob ein Broadcast in der Nähe war, prüfte das Gerät. Dieses Topic nutzen wir nicht mehr: Eine Android-App-Version von vor dem 03.10.2026 erhält keine Broadcast-Benachrichtigungen mehr, und die aktuelle App meldet sich nach dem Update vom Topic ab.

iPhone und iPad — Apple Push Notification service (APNs) als zusätzlicher Übertragungsweg: Wir übergeben die Benachrichtigung wie auf Android an Google Firebase Cloud Messaging, das sie an Apples Push-Dienst weiterreicht, der sie deinem Gerät zustellt. Weil Apples Push-Dienst eine zugestellte Benachrichtigung nicht mehr unterdrücken kann, steht ihr Text schon in der Nachricht: bei neuer Nachricht und neuem Match nur ein Textschlüssel wie „neue Nachricht", den Text setzt dein Gerät selbst ein; bei einem Broadcast in der Nähe zusätzlich die Aktivität und der Name des Treffpunkts, damit sie in der Benachrichtigung stehen können. Auf Android setzt die App den Text aus denselben Angaben selbst zusammen. Eine Zustellung auf Apple-Geräte ist nur über APNs möglich; Apple (Apple Distribution International Ltd., Irland, und Apple Inc., USA) betreibt diesen Dienst nach seinen eigenen Entwicklerbedingungen und ist dabei Empfänger, nicht unser Auftragsverarbeiter (Abschnitte 6, 8 und 9).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b — Zustellung der Nachrichten, Matches und Broadcast-Hinweise, die du angefordert hast; Broadcast-Benachrichtigungen (samt Kachel und Umkreis) sind aus, bis du sie einschaltest. Google handelt bei der Zustellung als unser Auftragsverarbeiter (Abschnitte 8 und 9); die Weitergabe an Apple ist auf iPhone und iPad für die Zustellung erforderlich.

3.12 Tester-Programm (Formular auf suhrid.de)

Wenn du dich über das Formular auf unserer Website als Tester:in anmeldest, speichern wir deine E-Mail-Adresse, das gewählte Betriebssystem (Android oder iOS), die von dir angegebene Stadt und die Sprache des Formulars. Wir nutzen diese Angaben ausschließlich, um dir den Zugang zur Testversion zu schicken und die Testplätze sinnvoll auf Städte und Plattformen zu verteilen. Über jede neue Anmeldung benachrichtigt unser Server unser Team per E-Mail an bittedanke [at] suhrid [punkt] de — mit deiner E-Mail-Adresse, der Plattform, der Stadt, der Sprache und dem Zeitpunkt der Anmeldung; deine Adresse steht darin als Antwortadresse, damit wir dir direkt antworten können. Diese E-Mail versenden wir über Brevo (Abschnitt 8). Rechtsgrundlage für Speicherung und Nutzung deiner Anmeldedaten ist deine Einwilligung durch das Absenden des Formulars (Art. 6 Abs. 1 lit. a); du kannst sie jederzeit per E-Mail an bittedanke [at] suhrid [punkt] de widerrufen — dann löschen wir deinen Eintrag und entfernen dich auch aus der Testerliste bei Apple bzw. Google.

Laden wir dich zum Test ein, tragen wir deine E-Mail-Adresse als Tester:in bei der jeweiligen Plattform ein — für iPhone und iPad in Apples TestFlight, für Android in die Testerliste eines Google-Play-Testtracks; Apple bzw. Google erhalten dabei nur diese E-Mail-Adresse, keine weiteren Angaben aus deiner Anmeldung. Apple (Apple Distribution International Ltd., Irland, und Apple Inc., USA) und Google (Google Ireland Ltd. und Google LLC, USA) betreiben ihr jeweiliges Testprogramm als eigenständige Verantwortliche nach ihren eigenen Bedingungen und Datenschutzerklärungen, nicht als unsere Auftragsverarbeiter (Abschnitte 6, 8 und 9). Für die Weitergabe deiner E-Mail-Adresse an Apple bzw. Google bei der Einladung ist Rechtsgrundlage Art. 6 Abs. 1 lit. b: Du hast mit deiner Anmeldung um die Teilnahme gebeten, und ohne diesen Eintrag können wir dir keinen Testzugang geben.

Zum Schutz vor Missbrauch verarbeiten wir außerdem für höchstens 24 Stunden einen gesalzenen Hash deiner IP-Adresse (nicht die Adresse selbst), um die Zahl der Anmeldungen pro Anschluss zu begrenzen (Art. 6 Abs. 1 lit. f). Die Anmeldedaten löschen wir spätestens drei Monate nach Ende des Testprogramms und entfernen dich bis dahin auch aus der Testerliste bei Apple bzw. Google; ein Testkonto in der App unterliegt danach den Regeln dieser Erklärung wie jedes andere Konto.

3.13 Website: Cookies und Speicher in deinem Browser

Unsere Website suhrid.de setzt keine Cookies. Es gibt kein Analyse-Werkzeug, keinen Tag-Manager, kein Werbe- oder Tracking-Pixel und keine eingebetteten Inhalte von Dritten. Auch die Schriftarten liegen auf unserem eigenen Server — beim Aufruf der Seite wird keine Verbindung zu Google Fonts oder einem anderen fremden Anbieter aufgebaut. Deshalb gibt es hier auch kein Cookie-Banner: Es gibt schlicht nichts, wofür wir dich um Einwilligung bitten müssten.

Drei kleine Einträge legt die Website im Speicher deines Browsers ab (localStorage bzw. sessionStorage). Sie sind für die von dir angeforderten Funktionen unbedingt erforderlich und deshalb nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei. Keiner enthält eine Kennung, keiner wird an uns oder an Dritte übertragen, und keiner erlaubt es, dich wiederzuerkennen:

Du kannst diese Einträge jederzeit über die Einstellungen deines Browsers löschen („Website-Daten löschen"). Die Seite funktioniert danach unverändert — sie hat lediglich deine Sprachwahl vergessen und zeigt das Tester-Formular erneut an.

Kampagnen-Parameter (utm_source und ähnliche): Erreichst du uns über einen Link mit solchen Parametern, reisen sie beim Wechsel zwischen unseren Seiten in der Adresszeile mit; auf deinem Gerät wird dafür nichts gespeichert. Schickst du das Tester-Formular ab, werden sie mitgesendet, damit wir sehen, welche Aktion Anmeldungen bringt. Unser Server merkt sich davon nur eine anonyme Tageszahl pro Kampagne — ohne Verbindung zu deiner Anmeldung, deiner E-Mail-Adresse oder deinem Gerät. Wie Kampagnen-Parameter bei einer Registrierung in der App gezählt werden, steht in Abschnitt 3.10.

Auslieferung der Website: suhrid.de und suhrid.app (dort liegen die Einladungsseiten aus Abschnitt 3.10) werden über Cloudflare Pages (Cloudflare, Inc.) ausgeliefert. Wie jeder Webserver verarbeitet Cloudflare dabei die technisch notwendigen Verbindungsdaten — insbesondere deine IP-Adresse —, um dir die Seite auszuliefern und Angriffe abzuwehren; Einzelheiten dazu in den Abschnitten 8 und 9. Wir werten diese Daten nicht aus und führen keine Zugriffsstatistik. Zur Abwehr automatisierter Angriffe kann Cloudflare eigene, rein technische Cookies setzen (etwa __cf_bm oder cf_clearance); sie dienen ausschließlich der Sicherheit, nie der Analyse deines Verhaltens.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f — unser berechtigtes Interesse am sicheren und funktionierenden Betrieb der Website. Für die oben genannten Einträge im Browser gilt zusätzlich § 25 Abs. 2 Nr. 2 TDDDG, der für unbedingt erforderliche Speicherung keine Einwilligung verlangt.

3.14 Nutzungsstatistik der App

Um zu sehen, ob Suhrid tatsächlich funktioniert — ob Menschen wiederkommen, ob sie jemanden finden und wo die App zu leer ist, um zu nützen — zählen wir, wie sie genutzt wird. Wir tun das, ohne ein Protokoll dessen anzulegen, was du persönlich getan hast.

Was zu dir gespeichert wird: für jeden Kalendertag, an dem du die App genutzt hast, zwei Zahlen an deinem Konto — wie oft sich die App bei uns gemeldet hat, weil du sie in den Vordergrund geholt hast, und wie viele getrennte Sitzungen das waren (eine neue Sitzung beginnt nach 30 Minuten Pause). Beides zählt unser Server mit seiner eigenen Uhr, wenn sich die App meldet; aus deinem Gerät liest die App dafür nichts aus. Sonst nichts: keine Uhrzeiten, keine Abfolge von Aktionen, keine besuchten Bildschirme, kein Standort, keine Nutzungsdauer, kein Gerätemodell. Diese Zahlen werden nach 90 Tagen automatisch gelöscht — und sofort, wenn du dein Konto löschst.

Seit dem 30.09.2026 nicht mehr erhoben: Bis zum 29.09.2026 hat die App zusätzlich gemessen, wie lange sie geöffnet war, und diese Dauer sowie das Gerätemodell an uns übermittelt. Beides wurde auf deinem Gerät ermittelt und war für den Dienst nicht erforderlich (§ 25 TDDDG); die App sendet es seitdem nicht mehr, unser Server verwirft es, falls eine ältere App-Version es noch schickt, und alle bis dahin gespeicherten Nutzungsdauern und Gerätemodelle haben wir am 30.09.2026 gelöscht.

Was ohne jede Verbindung zu dir gespeichert wird: Tagessummen — Registrierungen, Broadcasts, Interessen, Matches, Nachrichten, Anmeldungen sowie bei Broadcasts die Tagesstunde und die nächstgelegene größere Stadt zum Treffpunkt. Zusätzlich zählen wir Broadcasts je Quadrat von rund 5,5 × 5,5 km, höchstens 90 Tage lang, um zu sehen, welche Regionen aktiv sind. Diese Summen enthalten keinerlei Kennung, und wir ordnen sie niemandem zu — deshalb behalten wir die Tagessummen dauerhaft.

Außerdem, jeweils ohne Bezug zu dir: Registrierungen pro Land, Kontolöschungen pro Land, genutzte Schnellantworten, ausgelöste Spam-Regeln sowie wie viele Konten einen Aktivierungsschritt (App geöffnet, Broadcast erstellt, Interesse gezeigt, Match, Nachricht gesendet) erstmals erreicht haben. Für die Aktivierungsschritte merkt sich dein Profil, welche Schritte bereits gezählt wurden (damit jeder nur einmal zählt); dieser Vermerk wird mit deinem Konto gelöscht. Jede Nacht werden außerdem Tageskennzahlen (aktive Konten pro Tag/Woche/Monat, Verteilung der Aktivität, Wiederkehr pro Anmeldewoche) als reine Summen und Anteile festgehalten. Aus der Zeit bis zum 29.09.2026 bleiben außerdem reine Summen zu Gerätemodellen (je Konto nur das erste) und zur täglichen Nutzungsdauer (Verteilung, Median) erhalten; neue Werte kommen dort nicht hinzu. All diese Zahlen enthalten keine Kennung, wir ordnen sie keiner Person zu, und sie bleiben auch nach Löschung deines Kontos dauerhaft erhalten. Werte unter 5 werden im Verwaltungsbereich nur als „< 5“ angezeigt. Ganz ausschließen lässt sich ein Rückschluss bei sehr kleinen Zahlen allerdings nicht: Eine Tageszahl von 1 (etwa eine Kontolöschung in einem Land an einem Tag) ließe sich theoretisch mit dem Löschnachweis (Abschnitt 4) oder dem Registrierungsdatum eines Kontos in Verbindung bringen. Eine solche Verknüpfung nehmen wir nicht vor, und den Löschnachweis löschen wir nach 3 Jahren.

Bewusste Grenzen. Die Raster-Quadrate werden nie mit der Uhrzeit kombiniert, ein „wer war wann wo" lässt sich daraus also nicht rekonstruieren. Die Treffpunkt-Koordinaten selbst werden weiterhin mit dem Broadcast gelöscht (Abschnitt 4) — übrig bleibt nur die anonyme Quadrat-Zahl. Bei der internen Kartendarstellung blenden wir Quadrate mit weniger als fünf Broadcasts vollständig aus. Und die Anmeldezahl stammt aus den Anmelde-Protokollen, die unser Hosting-Anbieter ohnehin führt (Abschnitt 4); übernommen wird nur die Tagessumme, nie eine IP-Adresse.

Keine Analyse-Dienste Dritter. All das zählen wir in unserer eigenen Datenbank. Kein Analyse-SDK, kein Tracking-Pixel, keine Werbe-ID, und nichts davon wird an Dritte weitergegeben.

Rechtsgrundlage: unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f), einen Dienst zu verstehen und zu verbessern, den wir betreiben. Die Verarbeitung personenbezogener Daten zu statistischen Zwecken gilt nach Art. 5 Abs. 1 lit. b und Art. 89 Abs. 1 ausdrücklich als vereinbarer Weiterverarbeitungszweck; die von Art. 89 Abs. 1 geforderten Garantien sind genau die oben beschriebenen: Zähler statt Ereignisprotokolle, 90-Tage-Grenze und Aggregation. Weil die App für diese Statistik nichts auf deinem Gerät speichert oder daraus ausliest, ist keine Einwilligung nach § 25 Abs. 1 TDDDG nötig. Du kannst jederzeit nach Art. 21 widersprechen (Abschnitt 5), eine Begründung brauchst du dafür nicht: Schreib an support [at] suhrid [punkt] de. Wir setzen dann einen Widerspruchsvermerk an deinem Konto; damit löschen wir die oben beschriebenen kontobezogenen Zähler, erheben sie für dein Konto nicht weiter und löschen auch den Vermerk, welche Aktivierungsschritte für dein Konto bereits gezählt wurden. Dein Konto wird danach auch in den Aktivierungsschritten nicht mehr mitgezählt. (Die anonymen Tagessummen haben keinerlei Bezug zu dir — darin gibt es nichts zurückzunehmen.)

3.15 Meldungen, Blockierungen und Missbrauchsschutz

Meldungen. Meldest du ein Profil, einen Chat oder einen Broadcast, speichern wir, wer wen oder was gemeldet hat, den Grund, den Zusammenhang (Profil, Chat mit Match-Kennung oder Broadcast), den Zeitpunkt und deinen optionalen Kommentar (höchstens 500 Zeichen); bei einem Broadcast zusätzlich dessen öffentliche Angaben (Aktivität, Name des Treffpunkts, Kurzbeschreibung, Startzeit, keine Koordinaten), weil der Broadcast selbst nach kurzer Zeit gelöscht wird. Nachrichteninhalte sind nie Teil einer Meldung. Die gemeldete Person erfährt nicht, wer sie gemeldet hat. Meldungen über dich stammen von anderen Nutzern (Art. 14); nur unser Moderationsteam sieht sie.

Blockierungen. Blockierst du jemanden, speichern wir, wer wen wann blockiert hat, damit ihr euch gegenseitig nicht mehr seht und nicht mehr schreiben könnt.

Automatischer Missbrauchsschutz. Unser Server erkennt Spam-Muster — etwa Kontaktdaten in Benutzername, Profiltext oder Treffpunkt oder sehr viele Broadcasts, Interessen oder Nachrichten in kurzer Zeit — und vermerkt die ausgelöste Regel mit den auslösenden Angaben an deinem Konto. Ein solcher Treffer sperrt das Konto automatisch und vorläufig. Ebenso wird ein Konto automatisch und vorläufig gesperrt, wenn Meldungen anderer Nutzer einen festgelegten Schwellenwert erreichen: Jede Meldung zählt nach ihrem Grund gewichtet („minderjährig“ am höchsten), berücksichtigt werden nur Meldungen der letzten 30 Tage von Konten, die selbst aktiv sind (nach der Aufhebung einer Sperre nur die danach eingegangenen), und jede Person kann ein Konto nur einmal melden. Ein Broadcast, den mehrere Nutzer gemeldet haben, wird automatisch aus dem Feed genommen. Wie du eine solche Entscheidung von einem Menschen überprüfen lassen kannst, steht in Abschnitt 11.

Moderationsentscheidungen und Begründungen. Für jede Maßnahme, die wir gegen dein Konto oder deine Inhalte treffen (Sperre, Ausblenden oder Löschen eines Broadcasts, Entfernen des Profilbilds, Ändern von Benutzername oder Profiltext), und für jede Aufhebung speichern wir einen Entscheidungsdatensatz: Entscheidungs-ID, Konto-ID, Art und Gegenstand der Maßnahme, Regel und AGB-Abschnitt, die dir mitgeteilten Tatsachen, ob Meldungen zugrunde lagen und ob die Entscheidung automatisch getroffen wurde, ihren Status (vorläufig, bestätigt, aufgehoben), wer aus unserem Moderationsteam entschieden oder geprüft hat (wann, mit interner Notiz), den Zustellstatus der E-Mail sowie deine Beschwerde (Eingangsdatum, Zusammenfassung, Ergebnis). Die Begründung schicken wir dir per E-Mail über Brevo (Abschnitt 8); bei einer Kontosperre zeigt die App sie zusätzlich an, Maßnahmen zu deinen Inhalten erscheinen auch in deinem Postfach in der App. Wer dich gemeldet hat, steht in keiner Begründung.

Beweissicherung bei Kontolöschung. Wird dein Konto gelöscht, nachdem in den letzten 6 Monaten eine Meldung zu dir oder eine Moderationsentscheidung vorlag, bewahren wir einen Auszug auf: Konto-ID, Benutzername und Profiltext zum Löschzeitpunkt, die Meldungen zu dir (Grund, Zusammenhang, Kommentar, bei Broadcasts dessen öffentliche Angaben, Zeitpunkt — ohne die Identität der meldenden Personen) und die Kennungen der Entscheidungen. Profilbild und Chats gehören nie dazu.

Rechtsgrundlage (Moderation): Art. 6 Abs. 1 lit. c i. V. m. Art. 17 DSA für Entscheidungsdatensatz und Begründung; Art. 6 Abs. 1 lit. f für die Bearbeitung von Beschwerden und die Beweissicherung (Verteidigung gegen Rechtsansprüche, Art. 17 Abs. 3 lit. e DSGVO).

Speicherdauer (Moderation): Entscheidungsdatensätze und Beweissicherungs-Auszüge löschen wir automatisch 6 Monate nach dem letzten Vorgang (Entscheidung, Prüfung, Zustellung, Beschwerde; beim Auszug frühestens 6 Monate nach der Kontolöschung) — auch wenn dein Konto schon gelöscht ist. Eine noch geltende Kontosperre und eine offene Beschwerde halten den Datensatz so lange vor. Länger nur, wenn wir ihn für ein konkretes rechtliches Verfahren sichern müssen (Sperrvermerk, bis das Verfahren abgeschlossen ist).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f — unser berechtigtes Interesse und das unserer Nutzer an einer sicheren Plattform, am Schutz Minderjähriger und an der Durchsetzung der Nutzungsbedingungen; für die automatische Sperre siehe Abschnitt 11 (Art. 22 Abs. 2 lit. a).

Speicherdauer: Meldungen, bis wir sie als unbegründet verwerfen oder eines der beteiligten Konten gelöscht wird (zum Beweissicherungs-Auszug siehe oben); Blockierungen, bis du sie aufhebst oder eines der beiden Konten gelöscht wird; Spam-Vermerke, bis dein Konto gelöscht wird.

3.16 Zustimmung zu Nutzungsbedingungen und Datenschutzerklärung

Wenn du dich registrierst, eine neue Fassung der Nutzungsbedingungen oder dieser Erklärung in der App bestätigst oder Suhrid nach dem Stichtag einer nicht wesentlichen Änderung weiter nutzt, speichern wir an deinem Konto, welche Fassung du wann und auf welchem Weg (Registrierung, Hinweis, Sperrbildschirm, Weiternutzung) akzeptiert bzw. zur Kenntnis genommen hast. Für Konten, die bei Einführung dieser Funktion bereits bestanden, haben wir die damals gültigen Fassungen (AGB 1.9, Datenschutzerklärung 1.8) als Ausgangsstand vermerkt.

Zweck: Nachweis, welche Bedingungen für dich gelten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung) und lit. f (unser berechtigtes Interesse, die geltende Vertragsfassung nachweisen zu können). Speicherdauer: bis zur Löschung deines Kontos.

3.17 Was wir NICHT erheben

• Keine Analyse- oder Werbe-SDKs von Dritten; Crash-Berichte nur mit ausdrücklicher Einwilligung (Abschnitt 3.8)
• Keine Werbe-IDs
• Kein Hintergrund- oder Dauer-Standorttracking
• Keine Kontakte, kein Gerätemodell (seit 30.09.2026, Abschnitt 3.7) und keine sonstigen Gerätedaten — außer in freiwilligen Crash-Berichten (Abschnitt 3.8); von deinen Fotos nur das eine Profilbild, das du selbst über die Systemauswahl aussuchst — die App greift nicht auf deine Galerie zu (Abschnitt 3.1)

4. Speicherdauer

Wir speichern personenbezogene Daten nicht länger als nötig (Art. 5 Abs. 1 lit. e):

• Fast alles hängt an deinem Konto. Löschst du es (Einstellungen → „Konto löschen"), werden Profil, Profilbild, alle Broadcasts, Interessen, Matches und Nachrichten sofort und endgültig aus der Datenbank und dem Dateispeicher gelöscht, ebenso Push-Token, Kaufregister, Nutzungszähler, Meldungen, Blockierungen und Spam-Vermerke zu deinem Konto. Es ist ein hartes Löschen — es gibt keine Karenzzeit und kein Zurück.

• Nach der Kontolöschung verbleibt: (a) dein Benutzername für 28 Tage auf einer Sperrliste, damit sich niemand sofort unter deinem Namen neu registriert und von deinen früheren Kontakten für dich gehalten wird; (b) ein Löschnachweis aus pseudonymer Konto-ID, Registrierungs- und Löschzeitpunkt und Löschweg (selbst gelöscht oder durch uns); (c) Einträge im Protokoll unserer Verwaltungsoberfläche, welche Administratorin oder welcher Administrator wann welche Aktion zu deinem Konto vorgenommen hat, ohne die geänderten Inhalte; (d) falls in den letzten 6 Monaten eine Meldung zu dir oder eine Moderationsentscheidung vorlag, die Moderationsentscheidungen und ein Beweissicherungs-Auszug (Abschnitt 3.15), die wir 6 Monate nach dem letzten Vorgang löschen. (b) und (c) löschen wir nach 3 Jahren (regelmäßige Verjährungsfrist, § 195 BGB). Zweck: Nachweis der Löschung und Verteidigung gegen Ansprüche (Art. 5 Abs. 2, Art. 17 Abs. 3 lit. e DSGVO); Rechtsgrundlage Art. 6 Abs. 1 lit. f. Außerdem bleibt dein Land als anonyme Tageszahl der Kontolöschungen pro Land erhalten (Abschnitt 3.14).

• Profilbild: bleibt gespeichert, bis du es ersetzt (das vorherige Bild wird dabei sofort gelöscht), entfernst oder dein Konto löschst.

• Broadcasts: Ein Broadcast verschwindet mit Ablauf seines 2-Stunden-Fensters aus den aktiven Listen; ein stündlicher Bereinigungsjob löscht den abgelaufenen Datensatz (samt Name, Adresse und Koordinaten des Treffpunkts) dann tatsächlich, sofern kein Match entstand. Ein gematchter Broadcast bleibt als Teil der Match-Historie und wird mit dem Match bzw. Konto gelöscht. Für geplante Broadcasts (Plus, Abschnitt 3.3) gilt dasselbe am Ende des geplanten Fensters — Gesamtspeicherdauer ab Posten höchstens ca. 26 Stunden (bis zu 24 Stunden Vorlauf plus 2-Stunden-Fenster); die Maximaldauer erzwingt der Server.

• Nachrichten: Verschlüsselte Nachrichten bleiben für deine Chat-Historie gespeichert, bis das Konto (bzw. die Match-Daten über die Kontolöschung) gelöscht wird.

• Bestätigungsnachweise (z. B. deine 18+-Bestätigung) bleiben für die Dauer des Kontos als Eignungsnachweis gespeichert.

• E-Mail-Bestätigung (Abschnitt 3.5): Der Hashwert eines Bestätigungscodes wird bei erfolgreicher Bestätigung sofort gelöscht, ein abgelaufener Code (gültig höchstens 24 Stunden) spätestens 7 Tage nach Ablauf; der Zeitpunkt der Bestätigung bleibt für die Dauer des Kontos gespeichert.

• Änderung der E-Mail-Adresse (Abschnitt 3.5): Die angegebene neue Adresse und der Hashwert des Codes werden gelöscht, sobald die Änderung abgeschlossen ist; eine nicht abgeschlossene Anfrage spätestens 7 Tage nach Ablauf des Codes (gültig höchstens 24 Stunden) und in jedem Fall mit dem Konto.

• Meldungen, Blockierungen, Spam-Vermerke und Moderationsentscheidungen: siehe Abschnitt 3.15.

• Technische Anmelde-Logs: Das Anmeldesystem unseres Hosting-Anbieters (Supabase Auth) führt interne technische Protokolle über Authentifizierungsereignisse (z. B. Anmeldungen, Passwort-Zurücksetzungen) für bis zu 28 Tage, danach werden sie automatisch gelöscht. Sie enthalten keine Profilinhalte und dienen nur Sicherheit und Betrieb.

• Kampagnen-Zählung (Abschnitt 3.10): Den Vermerk, dass dein Konto gezählt wurde, löschen wir 8 Tage nach deiner Registrierung, spätestens mit deinem Konto. Die anonymen Tageszahlen pro Kampagne enthalten keinen Personenbezug und werden ohne zeitliche Begrenzung aufbewahrt.

• Nutzungszähler (Abschnitt 3.14): Die zwei Tageszähler an deinem Konto werden 90 Tage nach dem beschriebenen Tag automatisch gelöscht — und sofort, wenn du dein Konto löschst oder nach Art. 21 widersprichst. Auch die regionalen Rasterzahlen werden nach 90 Tagen gelöscht. Anonyme Tageszahlen und nächtliche Kennzahlen (Abschnitt 3.14) enthalten keinen Personenbezug (Art. 4 Nr. 1, ErwGr. 26) und werden ohne zeitliche Begrenzung aufbewahrt, auch nach Löschung deines Kontos.

• Gerätemodell und Nutzungsdauer (Abschnitte 3.7 und 3.14): werden seit dem 30.09.2026 nicht mehr erhoben; alle bis dahin gespeicherten Werte haben wir am 30.09.2026 gelöscht.

• Zustimmungen zu Nutzungsbedingungen und Datenschutzerklärung (Abschnitt 3.16): bis zur Löschung deines Kontos.

5. Deine Rechte

Widerspruchsrecht (Art. 21 DSGVO). Soweit wir Daten auf Grundlage berechtigter Interessen verarbeiten (Art. 6 Abs. 1 lit. f — insbesondere Abschnitte 3.1 Altersstatistik, 3.2 Registrierungsland, 3.5 Prüfung auf Wegwerf-Adressen, 3.6, 3.7, 3.14 und 3.15), kannst du dieser Verarbeitung aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die deine Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Für die Statistiken (Abschnitte 3.1, 3.2, 3.6 und 3.14) verzichten wir auf eine Begründung. Schreib einfach an support [at] suhrid [punkt] de. Einen Widerspruch gegen die Nutzungsstatistik (Abschnitt 3.14) setzen wir über einen Widerspruchsvermerk an deinem Konto um, der die kontobezogenen Zähler löscht und nicht weiter erheben lässt; bei den übrigen Verarbeitungen teilen wir dir mit, wie wir deinem Widerspruch nachkommen.

Dir stehen nach der DSGVO folgende Rechte zu, alle kostenlos. Wir antworten innerhalb eines Monats (Art. 12 Abs. 3); bei ungewöhnlich komplexen Anfragen können wir um bis zu zwei weitere Monate verlängern und begründen das innerhalb des ersten Monats.

• Auskunft (Art. 15): erfahren, welche Daten wir über dich haben, und eine Kopie erhalten.
• Berichtigung (Art. 16): unrichtige Daten korrigieren lassen. Das meiste kannst du direkt in der App bearbeiten, auch deine E-Mail-Adresse.
• Löschung / „Recht auf Vergessenwerden" (Art. 17): deine Daten löschen lassen. Einstellungen → „Konto löschen" erledigt das jederzeit selbst und sofort; welche wenigen Nachweise danach befristet bestehen bleiben, steht in Abschnitt 4.
• Datenübertragbarkeit (Art. 20): deine Daten in einem übertragbaren, maschinenlesbaren Format erhalten. Einstellungen → Konto & Profil → „Meine Daten herunterladen" exportiert alles, was wir auf unseren Servern zu deinem Konto speichern — Profil, Broadcasts, Interessenbekundungen, Matches, Blockierungen, Meldungen, Moderationsentscheidungen, Zustimmungen zu Nutzungsbedingungen und Datenschutzerklärung, Posteingang, Käufe, Empfehlungen, Nutzungszähler, Spam- und Schnellantwort-Einträge, Push-Einstellungen sowie Admin-Vorgänge zu deinem Konto —, dazu dein Profilbild und deine eigenen entschlüsselten Nachrichten. Meldungen gegen dich enthalten Grund, Bereich und Datum, aber keine Angaben zur meldenden Person; Blockierungen durch andere erscheinen nur als Anzahl. Daten, die wir nach einer Kontolöschung noch aufbewahren (Löschnachweis, Moderationsentscheidungen und Beweissicherung, Protokoll der Verwaltungsoberfläche), erhältst du auf Anfrage unter support [at] suhrid [punkt] de.
• Einschränkung der Verarbeitung (Art. 18): die Verarbeitung einfrieren lassen, z. B. während ein Streit über die Richtigkeit geklärt wird.
• Widerspruch (Art. 21): gegen Verarbeitung auf Basis berechtigter Interessen (etwa die Nutzungsstatistik, Abschnitt 3.14) widersprechen — Einzelheiten im hervorgehobenen Hinweis oben.
• Einwilligung widerrufen (Art. 7 Abs. 3): einwilligungsbasierte Verarbeitung jederzeit für die Zukunft beenden; die Rechtmäßigkeit der bisherigen Verarbeitung bleibt unberührt.
• Beschwerde bei einer Aufsichtsbehörde (Art. 77): insbesondere bei der Behörde deines Bundeslandes. Für uns zuständig: Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein (ULD), Holstenstraße 98, 24103 Kiel, www.datenschutzzentrum.de.

Für Rechte, die du nicht in der App ausüben kannst, schreibe an support [at] suhrid [punkt] de. Wir prüfen verhältnismäßig (Art. 12 Abs. 6), dass die Anfrage wirklich vom Kontoinhaber stammt.

Eine ehrliche Einschränkung: Nachrichten sind Ende-zu-Ende-verschlüsselt; entschlüsselt werden sie nur in der App auf deinem Gerät. Wir als Betreiber stellen deine Nachrichten außerhalb der App nicht in lesbarer Form bereit; dein Export aus der App enthält sie im Klartext — bewahre die Datei sicher auf. Über „Passwort vergessen“ wird dein Schlüssel nach Bestätigung per E-Mail-Code wiederhergestellt, sodass deine Chats erhalten bleiben (Abschnitt 7). Verlierst du den Zugriff auf deine E-Mail-Adresse, können verschlüsselte Inhalte dauerhaft unwiederbringlich sein.

6. Empfänger deiner Daten

• Andere Nutzer: Benutzername, Profilbild (sofern vorhanden und nicht verborgen), Altersgruppe, Geschlecht, Profilbeschreibung, deine Antworten auf die Matching-Fragen (mit markierten Favoriten) und ein Match-Prozent im Vergleich zum Betrachter sind für angemeldete Nutzer sichtbar, denen die App dich zeigt; deine Broadcasts sehen passende Nutzer in der Nähe.
• Supabase (Hosting-/Backend-Anbieter) — Abschnitte 8 und 9.
• Brevo (E-Mail-Versand) — deine E-Mail-Adresse und der Inhalt der Konto-E-Mails, die wir dir schicken (Willkommens-E-Mail mit Vertragsbestätigung, Bestätigungscodes, Hinweis nach einer Adressänderung, Passwort-Zurücksetzung, Moderations-E-Mails), sowie nach einer Tester-Anmeldung die interne Benachrichtigung an unser Team (Abschnitte 3.5, 3.12 und 8).
• Cloudflare (Auslieferung unserer Websites und unsere Verwaltungsoberfläche) — wenn du suhrid.de oder eine Einladungsseite auf suhrid.app im Browser aufrufst: die für jeden Seitenaufruf technisch notwendigen Verbindungsdaten, insbesondere deine IP-Adresse (Abschnitte 3.13, 8 und 9). Außerdem, wenn unser Support- oder Moderationsteam dein Konto in unserer Verwaltungsoberfläche aufruft oder bearbeitet: die dabei angezeigten Konto-, Profil- und Meldedaten (Abschnitt 8). Die Anfragen der App selbst gehen nicht über Cloudflare.
• Google (Firebase Cloud Messaging) — wenn du Benachrichtigungen aktiviert hast: das pseudonyme Push-Token und die Benachrichtigungen aus Abschnitt 3.11 (bei Nachrichten und Matches inhaltsfrei, bei Broadcasts Aktivität und Name des Treffpunkts).
• Google (Firebase Crashlytics) — nur bei deiner Einwilligung (Abschnitt 3.8), nur die dort beschriebenen technischen Absturzdaten.
• Apple (Push-Zustellung auf iPhone/iPad) — wenn du dort Benachrichtigungen erlaubst: Push-Token und die in Abschnitt 3.11 beschriebenen Benachrichtigungsinhalte, übermittelt über Firebase Cloud Messaging an den Apple Push Notification service.
• Google bzw. Apple als Händler — nur, wenn du Plus kaufst: Die Stores sind für den Kauf eigenständig verantwortlich; wir erhalten von ihnen nur die in Abschnitt 3.9 genannten Kaufdaten.
• Apple bzw. Google für das Tester-Programm — nur, wenn wir dich nach deiner Anmeldung über unser Website-Formular zum Test einladen: deine E-Mail-Adresse, eingetragen in TestFlight bzw. in die Testerliste von Google Play; beide sind dafür eigenständig verantwortlich (Abschnitt 3.12).
• komoot (Photon-Adresssuche) — nur beim Eintippen einer Treffpunkt-Adresse: der Suchtext und optional ein vergröberter (~1 km) Punkt fürs Ranking (Abschnitt 3.3).
• Sonst niemand. Wir verkaufen keine Daten, teilen nichts mit Werbetreibenden und geben nichts an Analyse-Unternehmen.

Behörden gegenüber würden wir Daten nur bei rechtlicher Verpflichtung offenlegen (Art. 6 Abs. 1 lit. c). Nachrichteninhalte liegen bei uns ausschließlich verschlüsselt; eine Entschlüsselung wäre nur mit dem getrennt gesicherten Wiederherstellungsschlüssel (Abschnitt 7) und nur aufgrund einer rechtlich bindenden Anordnung denkbar.

7. Sicherheit (Art. 32)

• Ende-zu-Ende-Verschlüsselung der Nachrichten: Chats sind mit moderner, auditierter Kryptografie versiegelt (libsodium XChaCha20-Poly1305). Bildlich: Jede Nachricht wird auf deinem Telefon verschlossen, und nur das Telefon deines Matches hat den Schlüssel. Unsere Server sehen nur verschlossene Kisten — einzige Ausnahme ist die versiegelte Schlüsselkopie für die Passwort-Wiederherstellung (unten).
• Schlüssel aus deinem Passwort: Deine Schlüssel werden auf deinem Gerät per Argon2id aus deinem Passwort (und deiner E-Mail-Adresse) abgeleitet — ein bewusst langsames Verfahren, das Rate-Angriffe unpraktikabel macht. Meldest du dich mit deiner E-Mail-Adresse an, verlässt dein Passwort dein Gerät nie in einer zur Entschlüsselung nutzbaren Form. Meldest du dich mit deinem Benutzernamen an, sendet die App das Passwort über eine verschlüsselte Verbindung (TLS) an unsere eigene Server-Funktion für die Benutzernamen-Anmeldung; sie prüft es, bevor sie der App die E-Mail-Adresse deines Kontos zurückgibt, und speichert oder protokolliert es nicht. Änderst du deine E-Mail-Adresse in der App, sendet die App nicht das Passwort, sondern die beiden daraus abgeleiteten Anmeldeschlüssel (für die alte und die neue Adresse) und deinen neu verschlüsselten Hauptschlüssel an unsere eigene Server-Funktion für die Adressänderung; diese prüft den alten Anmeldeschlüssel und hinterlegt nur den neuen beim Anmeldesystem.
• Gerätegebundene Schlüssel: Master- und Identitätsschlüssel je Gerät liegen nur auf deinem Gerät, geschützt durch den Android Keystore (wo verfügbar hardwaregestützt) bzw. auf iPhone und iPad durch den iOS-Schlüsselbund (Keychain).
• Schlüssel-Wiederherstellung bei vergessenem Passwort: Damit deine Chats nicht verloren gehen, versiegelt die App deinen Hauptschlüssel zusätzlich mit einem öffentlichen Wiederherstellungsschlüssel von Suhrid (libsodium Sealed Box) und speichert diese Kopie in deinem Profil. Der passende private Schlüssel liegt ausschließlich in einem getrennt gesicherten Wiederherstellungsdienst, nicht in der Datenbank. Er wird nur verwendet, wenn du „Passwort vergessen“ nutzt und den per E-Mail zugesandten Code bestätigt hast — und nur innerhalb weniger Minuten nach dieser Bestätigung. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b), damit dein Chat-Verlauf erhalten bleibt. Konsequenz: Wer Zugriff auf dein E-Mail-Postfach hat, könnte über diesen Weg deinen Schlüssel erlangen — schütze dein Postfach entsprechend. Die versiegelte Kopie wird mit deinem Konto gelöscht (Art. 17).
• Geburtsdatum: Dein exaktes Geburtsdatum liegt zusätzlich Ende-zu-Ende-verschlüsselt in deinem Profil-Datensatz; eine lesbare Kopie hält der Server für Kontoverwaltung und Altersstatistik (Abschnitt 3.1). Andere Nutzer sehen nur die grobe Altersgruppe.
• Profilbild: Dein Profilbild ist — wie Benutzername, Beschreibung und Antworten — nicht Ende-zu-Ende-verschlüsselt, weil wir gemeldete Bilder sonst nicht prüfen könnten (Kinderschutz-Standards). Es liegt in einem privaten Dateispeicher, der jeden Abruf einzeln autorisiert: Nur angemeldete Nutzer, denen die App dein Profil zeigt, erhalten das aktuelle Bild; verborgene, ersetzte und gelöschte Bilder sind nicht abrufbar. Die Gesichtsprüfung läuft nur auf deinem Gerät (Abschnitt 3.1).
• Keine Tracker: Kein Analyse-/Werbe-/Tracking-SDK von Dritten. Crashlytics ist konstruktionsbedingt deaktiviert bis zu deiner Einwilligung (Art. 25 — Datenschutz durch Technikgestaltung und Voreinstellungen). Die Bildprüfung (Gesicht, Bildkategorie) läuft auf Android mit den lokal laufenden ML-Kit-Bibliotheken, auf iPhone und iPad mit Apples systemeigenem Vision-Framework; sie überträgt nichts.
• Transportverschlüsselung (TLS) schützt jede Kommunikation zwischen App und Servern.

8. Unsere Dienstleister (Auftragsverarbeiter) und weitere Empfänger

Wir nutzen Supabase (Postgres-Datenbank, Authentifizierung, Realtime-Infrastruktur, Dateispeicher für Profilbilder) für das Suhrid-Backend. Supabase verarbeitet Daten in unserem Auftrag als Auftragsverarbeiter mit Auftragsverarbeitungsvertrag (Art. 28).

• Hosting-Region: Unser Supabase-Projekt läuft in der EU (AWS-Region eu-west-1, Irland); Amazon Web Services ist dort Hosting-Subunternehmer von Supabase. Supabase Inc. ist ein US-Unternehmen — für etwaige Zugriffe von außerhalb des EWR (z. B. Support) gelten die Garantien aus Abschnitt 9.

Wir nutzen Brevo (Sendinblue GmbH, Köpenicker Str. 126, 10179 Berlin) als Auftragsverarbeiter (Art. 28) für den E-Mail-Versand: Willkommens-E-Mails, Bestätigungscodes, Hinweise nach einer Adressänderung, Moderations-E-Mails und Passwort-Zurücksetzungs-E-Mails gehen als tanja [at] suhrid [punkt] de über Brevos SMTP-Relay, auf Grundlage des Brevo-Auftragsverarbeitungsvertrags. Außerdem stellt Brevo die interne Benachrichtigung über neue Tester-Anmeldungen an unser Team zu (Abschnitt 3.12). Brevo verarbeitet Adresse und Inhalt nur zur Zustellung, auf Servern in der EU.

Wir nutzen Google (Google Ireland Ltd., mit Google LLC als Subunternehmer) als Auftragsverarbeiter (Art. 28) für zwei Firebase-Dienste, beide nach den Firebase-Datenverarbeitungsbedingungen: Push-Zustellung (Firebase Cloud Messaging — pseudonymes Push-Token und die Benachrichtigungen aus Abschnitt 3.11: bei Nachrichten und Matches inhaltsfrei, bei Broadcasts Aktivität und Name des Treffpunkts) und Crash-Berichte (nur nach Einwilligung, Abschnitt 3.8) über Firebase Crashlytics.

Wir nutzen Cloudflare (Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA) als Auftragsverarbeiter (Art. 28) für zwei Zwecke, beide auf Grundlage des Auftragsverarbeitungsvertrags (Data Processing Addendum), der in die Cloudflare-Geschäftsbedingungen für unser Konto einbezogen ist:

• Auslieferung unserer Websites suhrid.de und suhrid.app über Cloudflare Pages. Cloudflare verarbeitet dabei die für jeden Seitenaufruf technisch notwendigen Verbindungsdaten — insbesondere IP-Adresse, angefragte Adresse, Zeitpunkt und Browserkennung —, um die Seite auszuliefern und Angriffe abzuwehren.
• Unsere interne Verwaltungsoberfläche für Support und Moderation, die über Cloudflare Workers läuft und durch Cloudflare Access abgesichert ist (nur namentlich freigegebene Administratorinnen und Administratoren können sich anmelden). Ruft eine Administratorin oder ein Administrator dort ein Konto auf oder bearbeitet es, werden die angezeigten Konto-, Profil- und Meldedaten (z. B. E-Mail-Adresse, Benutzername, Geburtsdatum, Profilbild, Meldungen, Datenexporte) über Cloudflare übertragen. Cloudflare verarbeitet sie nur zur Auslieferung; technische Protokolle der Verwaltungsoberfläche (etwa aufgerufene Adresse und Zeitpunkt) bewahrt Cloudflare nur wenige Tage auf.

Anfragen beantwortet Cloudflare in der Regel aus dem nächstgelegenen Rechenzentrum, für Europa also üblicherweise innerhalb der EU; eine vertragliche Zusicherung auf EU-Rechenzentren haben wir nicht gebucht, ein Zugriff aus den USA ist daher nicht ausgeschlossen (Abschnitt 9). Die Anfragen der App selbst gehen nicht über Cloudflare, sondern direkt an Supabase.

Wir nutzen Photon (Geocoding-Dienst der komoot GmbH, Potsdam, auf OpenStreetMap-Basis) für die Treffpunkt-Adresssuche beim Erstellen eines Broadcasts (Abschnitt 3.3). Zu Photon gelangen: der getippte Adresstext, optional ein vergröberter (~1 km) Ranking-Punkt und — bei jeder Webanfrage technisch unvermeidbar — deine IP-Adresse. Verarbeitung in der EU. komoot betreibt Photon als öffentlichen, entgeltfreien Dienst in eigener Verantwortung (eigenständiger Verantwortlicher nach Art. 4 Nr. 7, kein Auftragsverarbeiter — es besteht keine Weisungsbindung und kein Vertrag nach Art. 28). Wir übermitteln nur die genannten Daten, speichern von der Antwort nur die von dir ausgewählte Adresse und stützen die Übermittlung auf Art. 6 Abs. 1 lit. b (die Adresssuche ist Teil der von dir angestoßenen Broadcast-Erstellung). Einzelheiten: Datenschutzerklärung von komoot.

Apple ist nicht unser Auftragsverarbeiter, erhält aber in drei Fällen Daten — in den ersten beiden, wenn du Suhrid auf iPhone oder iPad nutzt:

• Push-Zustellung (Abschnitt 3.11): Für die Zustellung von Push-Nachrichten an iPhone und iPad reicht Firebase Cloud Messaging die Benachrichtigung an den Apple Push Notification service (Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland, und Apple Inc., One Apple Park Way, Cupertino, CA 95014, USA) weiter. Apple betreibt diesen Dienst nach seinen eigenen Entwicklerbedingungen; eine Zustellung an Apple-Geräte ist nur auf diesem Weg möglich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b.
• Kauf von Plus im App Store (Abschnitt 3.9): Apple Distribution International Ltd. (Hollyhill Industrial Estate, Hollyhill, Cork, Irland) ist als Händler eigenständiger Verantwortlicher.
• Tester-Programm (Abschnitt 3.12): Laden wir dich als Tester:in für iPhone und iPad ein, tragen wir deine E-Mail-Adresse in Apples TestFlight ein; für TestFlight ist Apple eigenständiger Verantwortlicher. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b.

Google erhält außerhalb seiner Rolle als unser Auftragsverarbeiter deine E-Mail-Adresse, wenn wir dich als Tester:in für Android in die Testerliste eines Google-Play-Testtracks eintragen (Abschnitt 3.12); für das Testprogramm von Google Play ist Google eigenständiger Verantwortlicher. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b.

Die Gesichtsprüfung mit Apples Vision-Framework und die Schlüsselablage im iOS-Schlüsselbund laufen ausschließlich auf deinem Gerät; dabei erhält Apple keine Daten von uns.

9. Internationale Datenübermittlungen

Soweit unsere Dienstleister, deren Subunternehmer oder die unten genannten Empfänger Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten, stützen wir uns auf die Garantien von Kapitel V DSGVO (Art. 44–49) — Angemessenheitsbeschluss (Art. 45) oder Standardvertragsklauseln (Art. 46 Abs. 2 lit. c).

• Datenbank- und Backend-Hosting (Supabase): Alle Daten liegen in der EU (AWS eu-west-1, Irland). Für etwaige Zugriffe von außerhalb des EWR ist Supabase Inc. (USA) durch Standardvertragsklauseln (Art. 46 Abs. 2 lit. c) gebunden.
• Auslieferung der Websites und Verwaltungsoberfläche (Abschnitte 3.13 und 8): Cloudflare, Inc. ist ein US-Unternehmen. Anfragen aus Europa beantwortet üblicherweise ein Rechenzentrum in der EU, ein Zugriff aus den USA ist aber nicht ausgeschlossen. Cloudflare, Inc. ist unter dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss, Art. 45); die Standardvertragsklauseln (Art. 46 Abs. 2 lit. c) aus dem Cloudflare-Auftragsverarbeitungsvertrag gelten als Rückfallebene. Betroffen sind Besuche unserer Websites und Zugriffe unseres Teams über die Verwaltungsoberfläche, nicht die Anfragen der App.
• E-Mail-Versand (Abschnitt 3.5): Brevo (Sendinblue GmbH) ist ein deutsches Unternehmen und verarbeitet in der EU — keine Drittlandübermittlung.
• Adresssuche (Abschnitt 3.3): Photon betreibt die komoot GmbH, ein deutsches Unternehmen, Verarbeitung in der EU — keine Drittlandübermittlung.
• Push-Benachrichtigungen (Abschnitt 3.11) und Crash-Berichte (nur mit Einwilligung, Abschnitt 3.8): Google kann diese Daten in den USA verarbeiten. Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss, Art. 45); Standardvertragsklauseln (Art. 46 Abs. 2 lit. c) gelten als Rückfallebene: Sollte der Angemessenheitsbeschluss entfallen, stützt sich die Übermittlung ohne Unterbrechung auf diese Klauseln.
• Push-Zustellung auf iPhone und iPad (Abschnitte 3.11 und 8): Apple kann diese Daten in den USA (Apple Inc.) verarbeiten. Apple stützt Übermittlungen personenbezogener Daten aus dem EWR nach eigenen Angaben auf Standardvertragsklauseln (Art. 46 Abs. 2 lit. c). Für den Kauf im App Store (Abschnitt 3.9) ist Apple eigenständiger Verantwortlicher; es gelten Apples eigene Angaben in der Apple-Datenschutzerklärung.
• Tester-Programm (Abschnitte 3.12 und 8): Apple und Google sind für ihr Testprogramm eigenständige Verantwortliche und können die E-Mail-Adresse in den USA (Apple Inc., Google LLC) verarbeiten. Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss, Art. 45); für Apple gelten Apples eigene Angaben in der Apple-Datenschutzerklärung.

Auch im Übermittlungsfall bleiben Nachrichteninhalte Ende-zu-Ende-verschlüsselt; der Wiederherstellungsschlüssel (Abschnitt 7) wird nicht mitübertragen, sodass die Inhalte für den Empfänger unlesbar sind.

10. Kinder und Mindestalter

Suhrid ist strikt nur für Erwachsene: Du musst mindestens 18 Jahre alt sein. Das Alter wird bei der Registrierung per Geburtsdatum selbst erklärt und per Pflicht-Checkbox ausdrücklich bestätigt. Wissentlich verarbeiten wir keine Daten von Personen unter 18; erfahren wir davon, löschen wir das Konto. Eltern oder Erziehungsberechtigte, die eine Nutzung durch Minderjährige vermuten, wenden sich an support [at] suhrid [punkt] de.

11. Automatisierte Entscheidungsfindung

Match-Vorschläge basieren auf deinen Kriterien und Fragen-Antworten. Das angezeigte Match-Prozent ist eine einfache, transparente Rechnung: der Anteil identisch beantworteter Fragen unter den von euch beiden beantworteten, wobei eine Frage einfach zählt und für jede Person, die sie als Lieblingsfrage markiert hat, einmal zusätzlich (ausgeblendet bei weniger als drei gemeinsamen Antworten; auf Feed-Karten und in Anfragelisten zusätzlich unter 70 %, auf der Profilseite einer Person wird der volle Wert angezeigt). Es ist rein informativ — es sortiert, filtert oder verbirgt niemanden, und jede Entscheidung (Interesse zeigen, Match annehmen) triffst du.

Automatische vorläufige Sperre. Erreicht ein Konto durch Meldungen anderer Nutzer (nach Grund gewichtet — „minderjährig“ am höchsten —, nur Meldungen der letzten 30 Tage von aktiven Konten) oder durch automatisch erkannte Spam-Muster einen festgelegten Schwellenwert, wird es automatisch vorläufig gesperrt; ein Mensch prüft die Sperre innerhalb von 7 Tagen und bestätigt oder hebt sie auf, und die Gründe erfährst du per E-Mail und in der App (Abschnitt 3.15); ein von mehreren Nutzern gemeldeter Broadcast wird automatisch ausgeblendet (Abschnitt 3.15). Das ist zum Schutz der Nutzer und für die Vertragsdurchführung erforderlich (Art. 22 Abs. 2 lit. a). Du kannst jederzeit unter support [at] suhrid [punkt] de verlangen, dass ein Mensch die Entscheidung überprüft, deinen Standpunkt darlegen und die Entscheidung anfechten (Art. 22 Abs. 3). Darüber hinaus trifft Suhrid keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22.

12. Änderungen dieser Erklärung

Neue Fassungen dieser Erklärung kündigen wir mindestens 30 Tage vor ihrem Stichtag in der App an, mit einer kurzen Zusammenfassung und einem Link zur vollständigen Fassung, und aktualisieren das Stand-Datum oben. Wann du welche Fassung zur Kenntnis genommen hast, speichern wir wie in Abschnitt 3.16 beschrieben.

13. Kontakt

• Verantwortlicher: Suhrid.de, Florian Berninger, Lehmkuhlen 4a, 25337 Elmshorn, Deutschland
• Support: support [at] suhrid [punkt] de
• Datenschutz-Kontakt: Florian Berninger, support [at] suhrid [punkt] de