Datenschutz­erklärung

Diese Erklärung sagt dir, welche Personendaten wir in CheersFeed bearbeiten, wozu und wer sie sonst noch zu sehen bekommt. Sie richtet sich nach dem revidierten Schweizer Datenschutzgesetz (revDSG, Art. 19 DSG) und gilt für die App und diese Website.

1. Verantwortlich

Benjamin Amhof, Hertensteinstrasse 2, 6004 Luzern, Schweiz.
Für Fragen zum Datenschutz, für Auskunftsbegehren und für Löschwünsche: team@slackers.dev.

2. Was wir bearbeiten

Deine Fotos können auch Personen ohne eigenes CheersFeed-Konto zeigen, etwa andere Gäste im Bild. Für ihr Einverständnis, erkennbar gezeigt zu werden, ist allein die Person verantwortlich, die den Moment hochlädt — nicht wir (Nutzungsbedingungen, Ziffer 6).

3. Wozu wir das bearbeiten

• Um die App bereitzustellen: Feed, Runden, Freundschaften, Karte, Push.
• Um dir Auswertungen zu zeigen: Statistiken, Rückblick der Nacht, Heatmap deiner Orte und der deiner Freunde. Die Karte blickt standardmässig 365 Tage zurück, die Statistiken auf deinem Profil über die ganze Zeit.
• Um Missbrauch zu bekämpfen: gemeldete Inhalte prüfen, Konten sperren. Jedes hochgeladene Foto (beide Kameras) wird dazu einmalig automatisiert durch die Google Gemini API auf Nacktheit und Gewalt geprüft und inhaltlich eingeordnet (z. B. „Gruppenfoto“, „draussen“ — das dient auch dem Rückblick und den Statistiken). Nur bei einer eindeutigen Einstufung — oder wenn das Modell die Auskunft über das Bild verweigert — wird ein Moment automatisch mit einem Warnhinweis verpixelt; das geschieht rein algorithmisch, ohne dass vorher ein Mensch das Bild sieht. Du kannst eine menschliche Überprüfung dieser automatisierten Entscheidung verlangen (Art. 21 DSG, Art. 22 DSGVO) — schreib an team@slackers.dev.
• Um Fehler zu finden und die Sicherheit des Dienstes zu gewährleisten, auch anhand der Fehlermeldungen, die du uns aus der App schickst.

Wir verkaufen keine Daten und geben nichts an Werbenetzwerke weiter. Werbung gibt es in der App derzeit keine. Kommt sie dazu, ist sie für alle gleich — nicht auf dich zugeschnitten, und es fliessen dafür keine Daten von dir an Werbepartner. Deine Fotos werden nicht zum Training von Modellen verwendet.

4. Wer die Daten sonst noch sieht

Andere Nutzerinnen und Nutzer: Alle, die angemeldet sind, können dich über Name oder @handle finden und sehen dann Anzeigenamen, @handle, Profilbild und seit wann du dabei bist. Deine Momente und Runden sehen die Freunde, mit denen du sie teilst.

Auftragsbearbeiter — technische Dienstleister, die für uns und nach unseren Weisungen arbeiten:

Für Google Cloud und Firebase besteht ein Auftragsverarbeitungsvertrag (Google Cloud Data Processing Addendum). Google ist ein US-Unternehmen; die Bekanntgabe stützt sich auf das Swiss–U.S. Data Privacy Framework, das der Bundesrat seit dem 15.09.2024 als angemessen anerkennt. Für Nutzerinnen und Nutzer in der EU stützen wir Übermittlungen zusätzlich auf die Standardvertragsklauseln der EU-Kommission.

Für die Gemini API gilt ein eigenes Vertragswerk (Gemini API Additional Terms of Service), nicht der Google-Cloud-Vertrag der übrigen Dienste. Wir nutzen ausschliesslich den kostenpflichtigen API-Zugang, für den Google laut seinen Bedingungen keine Nutzung der übermittelten Fotos zum Training vorsieht.

Eine Fehlermeldung (Text, Screenshots, technische Angaben) legen wir als Eintrag in unserer nicht öffentlichen Aufgabenliste bei GitHub an. Dein Name, @handle oder deine E-Mail-Adresse gehen dabei nicht mit, nur eine interne Kennung. Auch GitHub ist ein US-Unternehmen; die Bekanntgabe stützt sich ebenfalls auf das Swiss–U.S. Data Privacy Framework. Löschst du dein Konto, entfernen wir deine Meldungen auch dort.

Viele Lokale legen Nutzerinnen und Nutzer selbst an; der Grundstock und die Ortsnamen stammen aus einem Import von OpenStreetMap — Kartendaten © OpenStreetMap-Mitwirkende, ODbL. Dabei fliessen keine Daten von dir zu OpenStreetMap ab; die Orte liegen bei uns in der Datenbank.

Wir selbst: Wir können zur Fehlerbehebung, für Support-Anfragen und zur Prüfung von Meldungen auf Inhalte zugreifen — zweckgebunden, nicht aus Neugier, und beschränkt auf sehr wenige Personen. Behörden nur, wenn wir gesetzlich dazu verpflichtet sind.

5. Rechtsgrundlagen

In der Schweiz gilt das revDSG: Private dürfen Personendaten bearbeiten, solange die Bearbeitungsgrundsätze nach Art. 6 DSG eingehalten sind. Für Nutzerinnen und Nutzer in der EU und im EWR gilt zusätzlich die DSGVO. Wir stützen die Verarbeitung auf:

• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) — Konto, Momente, Freundschaften, Runden. Ohne diese Daten gibt es die App nicht.
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) — Kamera, Fotos, Standort, Mitteilungen und die Route der Nacht. Du erteilst sie über die Systemabfrage deines Geräts beziehungsweise die Nachfrage in der Runde und kannst sie jederzeit zurücknehmen.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) — Betriebslogs, Ratenbegrenzung, automatische Bildprüfung, die Bearbeitung von Meldungen und von Fehlermeldungen. Unser Interesse: eine App, die funktioniert und in der niemand belästigt wird.

6. Wie lange wir speichern

Momente im Feed

24 Stunden sichtbar. Danach nur noch in deiner eigenen Historie und bei Freunden, die an diesem Abend dabei waren — und bei allen Freunden, wenn du den Moment auf deinem Profil anpinnst.

Konto, Fotos, Runden, Freundschaften

Bis du sie oder dein Konto löschst. Es gibt keinen automatischen Löschlauf — Sichtbarkeit und Speicherung sind zwei verschiedene Dinge.

Karte und Heatmap

Zeigen standardmässig die letzten 365 Tage. Gespeichert bleibt der Moment, bis du ihn löschst.

Aufnahmekoordinate eines Moments

So lange wie der Moment selbst — sie hängt an ihm und geht mit ihm. Löschst du den Moment oder dein Konto, ist sie weg; ein eigenes Verfallsdatum hat sie nicht.

Wegpunkte der Route, Start- und „Zuhause“-Ort

90 Tage, danach automatisch gelöscht.

Signierte Bildlinks

1 Stunde gültig, danach wertlos.

Einladungen

QR-Code 15 Minuten; geteilter Profil-Link 7 Tage (wer ihn einlöst, ist direkt mit dir befreundet — das Teilen gilt als deine Bestätigung); Rundenlink, solange die Runde läuft.

Meldungen

Solange der gemeldete Moment oder Kommentar und das Konto der meldenden Person bestehen. Wird eines davon gelöscht, verschwindet die Meldung mit.

Kommentare

Bis du sie löschst, die Person, der der Moment oder Rückblick gehört, sie entfernt, oder der Moment, der gepostete Rückblick oder dein Konto gelöscht wird.

Fehlermeldungen

Samt Screenshots und dem Ticket bei GitHub, bis du dein Konto löschst. Anders als der Rest deiner Daten liegt das Ticket nicht in Zürich, sondern bei GitHub in den USA.

Betriebslogs

30 Tage (Google Cloud Logging).

Auf deinem Gerät

Zwischenspeicher für Feed, Profil und Bilder sowie deine Getränkeliste liegen nur lokal. Ein Moment, der ohne Empfang noch nicht gesendet ist, wartet samt Fotos, Standort und Text auf dem Gerät, bis er gesendet ist oder du ihn verwirfst. Älter als 7 Tage nimmt der Server ihn nicht mehr an.

7. Wer was sieht

• Momente gehen an bestätigte Freunde — auch in einer Runde. Die einzige Ausnahme ist ein geposteter Rückblick (unten). Wer mit dir in einer Runde ist, ohne mit dir befreundet zu sein, sieht nur Name, @handle, Bild und wann du zuhause warst. Es gibt keine öffentliche Ansicht und kein Web-Profil.
• Ein geteilter Rundenlink zeigt im Browser nichts ausser einer Weiterleitung in die App: Wer nicht mit jemandem aus der Runde befreundet ist, landet als Anfrage und muss bestätigt werden, bevor er etwas sieht.
• Auf der Karte steht ein Moment am Punkt des Lokals, nicht an deinem. Hat er kein Lokal — weil dort keines eingetragen ist —, steht er an seiner eigenen Stelle: für dich metergenau, für alle anderen auf ein festes Raster von rund 50 Metern gerundet, dieselbe Genauigkeit, für die ein Lokal-Pin ohnehin steht. Damit verrät ein Moment vom Sofa aus keine Wohnadresse. Die exakte Koordinate liefert die Schnittstelle an niemanden ausser dir aus.
• Deine Route der Nacht, dein Startpunkt und dein „Zuhause“-Ort sind genaue Punkte. Sie sehen deine Freunde, die in derselben Runde waren, im Rückblick — und für 24 Stunden nach dem Ende der Runde auch deine übrigen Freunde. Wer nicht mit dir befreundet ist, sieht Start- und „Zuhause“-Ort nie.
• Zahlen und angepinnte Momente auf einem Profil sehen nur Freunde — dazu gehören die Lokale, in denen du warst, und deine Getränke. Deine Momente fliessen ausserdem gezählt pro Lokal in die Heatmap deiner Freunde ein. Wer aus der Suche kommt, sieht Name, @handle, Bild und Beitrittsmonat — sonst nichts.
• Postet jemand aus deiner Runde den Rückblick in den Feed, sehen ihn seine Freunde 24 Stunden lang so, wie er ihn sieht: mit den Leuten, Momenten und Wegen der Runde, also auch mit deinen, wenn ihr befreundet seid. Das gilt auch für seine Freunde, die nicht mit dir befreundet sind; Anfang und Ende deines Wegs bekommen sie nicht zu sehen. Wer in der Runde war, kann den Rückblick immer öffnen.
• Kommentare und Reaktionen unter einem Moment oder Rückblick sehen alle, die ihn sehen dürfen, mit deinem Namen und Bild. Das sind die Freunde der Person, die ihn gepostet hat, auch wenn sie nicht mit dir befreundet sind.
• Exportierst du eine Rückblick-Folie als Bild, entscheidest du, wohin sie geht — was du teilst, liegt ausserhalb von CheersFeed.
• Der Sozial-Score bleibt bei dir. Er wird an niemanden ausgeliefert, auch nicht an Freunde.
• Blockierte Personen verschwinden beidseitig aus Feed, Suche und Listen.

8. Sicherheit

Der gesamte Verkehr läuft über TLS. Jeder Endpunkt ausser der Statusabfrage und den Weiterleitungsseiten geteilter Links (die nichts preisgeben) verlangt ein gültiges Firebase-ID-Token. Die Fotos liegen in einem privaten Speicher ohne öffentlichen Zugriff und serverseitig verschlüsselt (AES-256); die App erhält jeweils nur kurzlebige signierte Links mit einer Stunde Gültigkeit. Der Zugriff ist auf den Backend-Dienst und wenige Administratoren beschränkt.

Eine zusätzliche Ende-zu-Ende-Verschlüsselung gibt es nicht — sie wäre mit dem Teilen von Momenten und mit der Missbrauchsprüfung nicht vereinbar. Das ist eine bewusste Entscheidung und keine Nachlässigkeit, und sie steht hier, damit du sie kennst.

9. Kein Tracking, keine personalisierte Werbung

In der App steckt kein Analytics-SDK, kein Werbenetzwerk und keine geräteübergreifende Kennung zu Werbezwecken. Es gibt keine Werbe-ID, keine ATT-Abfrage und keine Tracking-Domains. Was an Google geht, geht dorthin, weil Login, Push, Karte, Speicher oder die Bildprüfung es brauchen. Werbung gibt es in der App derzeit keine. Kommt sie dazu, ist sie gekennzeichnet und für alle gleich — kein Profil von dir entscheidet, was du siehst. Die Aufstellung nach den Kategorien des App Store steht in den Datenbestimmungen.

10. Deine Rechte

Du hast das Recht auf Auskunft (Art. 25 DSG), auf Berichtigung, auf Löschung und auf Datenherausgabe (Art. 28 DSG); nach der DSGVO zusätzlich auf Einschränkung und Widerspruch. Eine erteilte Einwilligung kannst du jederzeit für die Zukunft widerrufen.

• Vieles erledigst du direkt in der App: Profil ändern, Momente löschen, Route ausschalten, Nutzer blockieren, Konto löschen (Einstellungen → Konto löschen; das entfernt auch deine Fotos) — so geht das, auch ohne Zugriff auf die App.
• Für alles Übrige schreib an team@slackers.dev. Wir antworten innerhalb von 30 Tagen.
• Beschweren kannst du dich beim EDÖB (edoeb.admin.ch), in der EU bei der Aufsichtsbehörde deines Wohnsitzlandes.

11. Berechtigungen auf dem Gerät

Jede Berechtigung kannst du in den Systemeinstellungen jederzeit widerrufen. Die App bleibt nutzbar, nur eingeschränkt.

12. Änderungen

Wir passen diese Erklärung an, wenn sich die App ändert. Das Datum oben sagt, wann zuletzt. Bei wesentlichen Änderungen fragen wir dich in der App erneut um deine Zustimmung.