Datenschutzerklärung Orbit (Entwurf, anwaltlich zu prüfen)
1. Worum es geht
Orbit ist eine App, um neue Leute mit gleichen Interessen kennenzulernen und sicher zu chatten. Diese Erklärung beschreibt, welche Daten wir verarbeiten, warum, wie lange und welche Rechte du hast. Sie gilt für die App (iOS, Android) und das Admin-Web. Es gelten das Schweizer Datenschutzgesetz (DSG) und, für Personen in der EU/im EWR, die DSGVO.
2. Welche Daten wir verarbeiten
| Daten | Woher | Zweck | Rechtsgrundlage (DSGVO) | |---|---|---|---| | E-Mail-Adresse, Login-Anbieter (Apple, Google) | von dir | Konto, Anmeldung, Sicherheit | Vertrag (Art. 6 Abs. 1 b) | | Vorname, Pronomen, Fotos, Videos, Audio-Prompt, Prompt-Antworten, Sprachen, Interessen, Absicht, Region (Land) | von dir | dein Profil, das Personen in deiner Altersgruppe sehen; Matching | Vertrag | | Geburtsdatum | aus deinem Ausweis (Stripe Identity) | Mindestalter, strikte Trennung von Jugendlichen (13–17) und Erwachsenen (18+) | Vertrag, rechtliche Pflicht / Jugendschutz (Art. 6 Abs. 1 c, f) | | Ausweisbild, Selfie, Dokumentdaten | von dir, verarbeitet durch Stripe Identity | Prüfung, dass du echt bist und wie alt du bist | Vertrag; besondere Kategorie (biometrischer Abgleich) mit deiner ausdrücklichen Einwilligung (Art. 9 Abs. 2 a) | | Identitäts-Hash (nicht umkehrbarer Prüfwert aus Dokumentnummer und Land), Geräte-Hash | abgeleitet | gesperrte Personen dauerhaft fernhalten | berechtigtes Interesse (Sicherheit, Art. 6 Abs. 1 f) | | Likes, Skips, Matches, Blockierungen, Meldungen | aus deiner Nutzung | Discovery, Match-Prinzip, Schutz vor Belästigung | Vertrag | | Nachrichten, Bilder, Videos, Sprachnachrichten, Anrufe | von dir | Chat und Anrufe zwischen Matches | Vertrag. Inhalte sind Ende-zu-Ende-verschlüsselt; wir können sie nicht lesen. Wir sehen nur Metadaten (wer wann mit wem, Grösse). | | Orbs-Buchungen, Käufe, Abo-Status | von dir, Apple/Google, RevenueCat | Währung, Shop, Abo «Orbit+» | Vertrag | | Push-Token, Benachrichtigungseinstellungen | von deinem Gerät | Push-Benachrichtigungen | Vertrag, Einwilligung (Systemdialog) | | Werbe-ID | von deinem Gerät, nur mit Einwilligung | Werbevideos für Orbs (nur Gratis-Nutzer, nie bei Minderjährigen) | Einwilligung (Art. 6 Abs. 1 a); jederzeit widerrufbar | | Crash-Berichte, technische Logs (Gerätemodell, App-Version, Fehler) | automatisch | Stabilität, Fehlersuche | berechtigtes Interesse | | Moderationsdaten (Prüfergebnisse zu Fotos/Texten, Fälle, Sanktionen) | automatisch, durch unser Team | Schutz der Community, Jugendschutz | berechtigtes Interesse, rechtliche Pflicht |
Keine GPS-Standortdaten. Keine Kontaktbuch-Zugriffe. Keine Weitergabe deines Profils ausserhalb der App.
3. Verschlüsselung und was wir trotzdem prüfen
Chats und Anrufe sind Ende-zu-Ende-verschlüsselt (Signal-Protokoll, WebRTC/SRTP). Die Schlüssel liegen nur auf deinem Gerät. Deshalb prüfen wir Chats nicht auf dem Server. Stattdessen: (a) deine App prüft Nachrichten vor dem Senden lokal auf verbotene Inhalte und warnt oder blockiert; (b) wenn du einen Chat meldest, sendet deine App die letzten Nachrichten entschlüsselt an unser Moderationsteam, und Medien der gemeldeten Person werden für das Team verschlüsselt in einer Quarantäne abgelegt (max. 90 Tage, Zugriff nur nach Freigabe durch zwei Personen, protokolliert).
Profilinhalte (Fotos, Prompts, Audio) sind nicht verschlüsselt und werden vor der Sichtbarkeit automatisch (Hive) und bei Verdacht manuell geprüft.
4. Empfänger und Auftragsverarbeiter
| Dienst | Zweck | Standort | |---|---|---| | Supabase (AWS) | Datenbank, Speicher, Auth, Serverfunktionen | Zürich (Schweiz); Backup-Fallback Frankfurt (EU) | | Stripe Identity | Ausweisprüfung | EU/USA (Standardvertragsklauseln); Ausweisdaten werden nach der Prüfung bei Stripe gelöscht (Redaction) | | Hive | automatische Bild-/Textmoderation | USA (Standardvertragsklauseln); nur Profilinhalte, keine Chats | | RevenueCat, Apple App Store, Google Play | Käufe, Abos | USA/EU | | Google AdMob | Werbevideos (nur mit Einwilligung, nie bei Minderjährigen) | USA | | Firebase Cloud Messaging / Apple Push | Push-Benachrichtigungen (ohne Nachrichteninhalt) | USA/EU | | LiveKit (TURN) | Anrufe hinter strengen Firewalls weiterleiten (verschlüsselt, nicht lesbar) | EU | | Sentry | Crash-Berichte (ohne personenbezogene Inhalte) | EU |
Behörden erhalten Daten nur bei gesetzlicher Pflicht.
5. Speicherdauer
- Konto und Profil: bis zur Löschung durch dich (Einstellungen → Konto löschen) oder nach 24 Monaten Inaktivität nach Vorwarnung.
- Verschwindende Nachrichten: 24 Stunden nach dem Senden, unwiderruflich auf Server und Geräten. Behaltene Nachrichten: bis zur Löschung des Chats/Kontos; die Gegenseite behält ihre Kopie.
- Quarantäne-Beweise bei Meldungen: max. 90 Tage.
- Identitäts- und Geräte-Hash gesperrter Konten: unbefristet (Zweck: Wiederanmeldung verhindern). Anwaltlich zu bestätigen.
- Ausweisdaten: nur bei Stripe während der Prüfung, danach gelöscht; bei uns nur Geburtsdatum.
- Käufe, Buchungen: 10 Jahre (Buchführung).
- Backups: 7 Tage. Datenexporte: 7 Tage. Logs: 30 Tage.
6. Deine Rechte
Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch, Widerruf von Einwilligungen. In der App: Einstellungen → «Meine Daten exportieren» (ZIP mit allen Daten) und «Konto löschen». Sonst per E-Mail an privacy@vyntro.dev. Beschwerden: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB) oder deine EU-Aufsichtsbehörde.
7. Jugendliche
Orbit ist ab 13 Jahren (in einigen Ländern höher, gemäss nationalem Recht). Jugendliche sehen nur Jugendliche; Erwachsene nur Erwachsene. Für Jugendliche gibt es keine personalisierte Werbung, strengere Inhaltsfilter und keine Anrufe in den ersten 48 Stunden nach einem Match. Eltern können sich an privacy@vyntro.dev wenden.
8. Änderungen
Wir informieren in der App über wesentliche Änderungen. Frühere Versionen sind auf Anfrage erhältlich.