Datenschutzerklärung

1. Wer wir sind

IDarU („wir“) ist die App für private Challenges unter Freunden, für iOS und Android, mit einer Website unter idaru.app. Verantwortlicher für die Datenverarbeitung ist ⚠️ Identifikation des Verantwortlichen noch nicht veröffentlicht — nach Art. 13 DSGVO erforderlich, erreichbar unter privacy@idaru.app.

Diese Erklärung erläutert, was wir erheben, wofür und auf welcher Rechtsgrundlage, wer es sehen kann, wer uns bei der Verarbeitung hilft, wie lange wir es speichern und welche Rechte du hast. Sie gilt für die App und die Website.

2. Daten, die wir erheben

Konto: E-Mail, Passwort (von unserem Authentifizierungsanbieter ausschließlich als sicherer Hash gespeichert) oder die Kennung aus „Mit Apple anmelden“ bzw. „Mit Google anmelden“; Nutzername, Anzeigename und Profilbild (die letzten beiden optional); sowie das Datum, an dem du die Nutzungsbedingungen akzeptiert und das Mindestalter bestätigt hast.

Profil-Extras (optional): eine kurze Bio, ein Motto, eine Profilfarbe, die Trophäen, die du anheftest, und ob dein öffentliches Profil eingeschaltet ist (standardmäßig ist es aus). Wer sie sieht, steht in den Abschnitten 4 und 5.

Challenges und Fortschritt: Challenges, die du erstellst oder denen du beitrittst, Ziele, Check-ins, Serien, Trophäen sowie deine Platzierung in der Rangliste und auf der Gruppenkarte jeder Challenge (ein Raster der geschafften und verpassten Tage jedes Mitglieds — keine geografische Karte: Wir erheben nie deinen Standort).

Beweisfotos: mit der Kamera in der App aufgenommen, mit dem Datum, dem Ziel und der Challenge, zu denen sie gehören. Fotos werden vor dem Hochladen auf deinem Gerät neu codiert, wodurch Metadaten wie der GPS-Standort entfernt werden.

Abstimmungen über Beweise: Wenn ein Mitglied einen Beweis als „Bestätigt“ oder „Netter Versuch“ markiert, speichern wir, wer abgestimmt hat, wie, wann, und die optionale Begründung (bis zu 140 Zeichen), die zu einem „Netter Versuch“ geschrieben wurde.

Chat: Textnachrichten, die GIFs, die du auswählst, Fotonachrichten (aus der Kamera oder deiner Galerie, auf deinem Gerät neu codiert, wodurch Metadaten entfernt werden), Sprachnachrichten (bis zu 60 Sekunden, nur aufgenommen, solange du die Aufnahmetaste gedrückt hältst, plus eine kleine Wellenform, mit der sie dargestellt werden), Reaktionen auf Nachrichten sowie Absender und Zeitpunkt jedes Elements. Der Chat zeigt außerdem automatische Ereigniskarten (jemand ist beigetreten, hat abgehakt, eine Serie erreicht, einen Beweis gepostet, die Endplatzierung), die aus der Aktivität in der Challenge erzeugt werden.

Tipp-Anzeige: Während du schreibst, sehen Mitglieder, die den Chat geöffnet haben, „schreibt…“. Das Signal wird über eine Echtzeitverbindung übertragen, enthält nur deine Nutzer-ID und wird nicht gespeichert.

Anstupser und Benachrichtigungen: Wenn du einen Freund anstupst, stellen wir eine Benachrichtigung mit deinem Namen und der Challenge in die Warteschlange und führen einen Zähler, um Anstupser zu begrenzen. Außerdem stellen wir Benachrichtigungen für Erinnerungen, Chatnachrichten, Abstimmungen über Beweise und verlorene Serien in die Warteschlange.

Nachrichtenkontingent und Guthaben: wie viele Nachrichten du in jeder Challenge an jedem Tag gesendet hast, und etwaiges Zusatzguthaben, das du durch das Ansehen einer Belohnungsanzeige erhalten hast. Bei Belohnungsanzeigen sendet uns Google eine Bestätigung mit einer Transaktions-ID, dem Anzeigenblock und der Belohnung, damit wir prüfen können, ob die Belohnung echt ist.

Moderation: Meldungen, die du abgibst oder die deine Inhalte betreffen (Art, Grund, optionale Details, Datum, Ergebnis), und die Konten, die du blockiert hast.

Einstellungen: Sprache, Zeitzone (um zu wissen, wann dein Tag endet), Benachrichtigungseinstellungen, Erinnerungszeit und das helle oder dunkle Design (das Design wird nur auf deinem Gerät gespeichert).

Gerät: Push-Benachrichtigungs-Token (Expo) und Plattform (iOS/Android).

Nutzungsereignisse: eine kurze, abschließende Liste von Ereignissen in der App, verknüpft mit deiner Nutzer-ID, mit Uhrzeit und wenigen groben Angaben (zum Beispiel, welche Vorlage verwendet wurde oder ob ein Ergebnis perfekt war): onboarding_done (Einführung abgeschlossen), challenge_created (Challenge erstellt), template_used (Vorlage verwendet), invite_shared (Einladung geteilt), feed_post_copied (Challenge aus dem Feed übernommen), result_shared (Ergebnis geteilt), trophy_shared (Trophäe geteilt), share_card_shared (Bild geteilt) und profile_shared (Profil geteilt). Sie enthalten nie Nachrichtentext, Namen, Fotos, Audio, Kontakte oder mit wem du etwas geteilt hast, und werden nicht für Werbung verwendet.

Werbung: Google AdMob zeigt Werbung in der App, beschränkt auf Inhalte, die für Personen ab 13 Jahren geeignet sind (Googles Einstufung „T“, Teenager). Unter iOS fragen wir über Apples Abfrage zur App-Tracking-Transparenz (ATT) um Erlaubnis, bevor die Werbekennung (IDFA) genutzt werden kann; erlaubst du es nicht, steht die Kennung weder uns noch Google zur Verfügung, und die Werbung ist nicht personalisiert. Auf beiden Plattformen braucht personalisierte Werbung außerdem deine Einwilligung im Einwilligungsformular; ohne sie ist die Werbung nicht personalisiert und nutzt nach Googles eigenen Bedingungen dennoch begrenzte Daten (etwa die IP-Adresse) zur Betrugsprävention und zur Begrenzung der Anzeigenhäufigkeit.

Diagnose: Fehlerberichte (Sentry) mit App-Version, Gerätemodell, Betriebssystem, dem technischen Fehlerverlauf und deiner Nutzer-ID — nie mit dem Inhalt deiner Nachrichten, Fotos oder Sprachnachrichten und ohne Bildschirmfotos.

GIF-Suche: Wenn du die GIF-Auswahl öffnest, spricht dein Gerät direkt mit GIPHY (siehe Abschnitt 7).

Warteliste der Website: E-Mail, die Sprache der Anmeldung, das Datum und, falls du eine Reservierung beantragst, der Nutzername — gespeichert als ausstehende Anfrage mit einem einmaligen Bestätigungstoken, bis du sie über die E-Mail bestätigst, die wir dir senden.

Technische Protokolle: Unsere Hosting- und Backend-Anbieter führen kurzlebige technische Protokolle (IP-Adresse, Browser, Uhrzeit, aufgerufene Adresse), um den Dienst bereitzustellen und zu schützen. Bei der Warteliste wird deine IP-Adresse nur zur Begrenzung von Missbrauch verwendet (siehe Abschnitt 9).

Angaben zu deiner Gesundheit oder deinen Gewohnheiten: Manche Challenges können etwas über deine Gesundheit oder deine Gewohnheiten verraten (zum Beispiel ein rauchfreier Monat oder ein Monat ohne Alkohol). Das sind Informationen, die du selbst aufschreibst und mit den Mitgliedern teilst, die du einlädst; wir nutzen sie nur, um die Challenge durchzuführen, und du kannst sie jederzeit löschen. Schreib keine Gesundheitsdetails auf, die die Mitglieder der Challenge nicht sehen sollen.

Was wir NICHT erheben: deine Kontakte, deinen Standort, Daten aus Gesundheits-Apps oder Sensoren oder Audio im Hintergrund — das Mikrofon wird nur genutzt, solange du die Aufnahmetaste gedrückt hältst. Wir verkaufen deine Daten nicht und verfolgen dich ohne deine Einwilligung nicht über Apps oder Websites anderer Unternehmen hinweg.

3. Wofür wir die Daten nutzen und auf welcher Rechtsgrundlage

Bereitstellung des Dienstes — Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Konto, Challenges, Check-ins, Beweise und Abstimmungen, Chat (Text, GIFs, Fotos, Sprachnachrichten, Reaktionen, Ereigniskarten, Tipp-Anzeige), Rangliste und Gruppenkarte, Trophäen und Serien, das tägliche Nachrichtenkontingent und das Belohnungsguthaben, der optionale öffentliche Feed, das optionale öffentliche Profil und die Suche nach Nutzernamen, die auf deinem Gerät erzeugten Bilder zum Teilen, der Datendownload in der App und die Kontolöschung.

Benachrichtigungen — Einwilligung (Art. 6 Abs. 1 lit. a), erteilt über die Berechtigungsabfrage deines Handys und die Schalter unter Einstellungen → Benachrichtigungen: Erinnerungen, Chatnachrichten, Abstimmungen über Beweise, Anstupser von Freunden und Hinweise auf verlorene Serien. Jede Art lässt sich einzeln abschalten, und wenn du die Berechtigung auf deinem Handy entziehst, werden alle gestoppt.

Personalisierte Werbung — Einwilligung (Art. 6 Abs. 1 lit. a), über das Einwilligungsformular (Google UMP) und, unter iOS, Apples Abfrage zur App-Tracking-Transparenz, die akzeptiert sein muss, bevor die Werbekennung genutzt wird. Nicht personalisierte Werbung (beschränkt auf Inhalte ab 13 Jahren) und die Überprüfung von Belohnungsanzeigen — berechtigtes Interesse (Art. 6 Abs. 1 lit. f) an der Finanzierung eines kostenlosen Dienstes und an der Verhinderung von Belohnungsbetrug.

Sicherheit, Missbrauchsprävention und Moderation — berechtigtes Interesse (Art. 6 Abs. 1 lit. f) und, soweit anwendbar, rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c) nach dem Gesetz über digitale Dienste (DSA): Begrenzungen für jeden Schreibvorgang (einschließlich IP-basierter Begrenzungen bei der Warteliste), Bearbeitung von Meldungen, Blockierungen, der Sprachfilter, Sperrungen und die Aufbewahrung von Beweismitteln, wo das Gesetz es verlangt.

Stabilität und Verbesserung — berechtigtes Interesse (Art. 6 Abs. 1 lit. f): Fehlerberichte und die abschließende Liste von Nutzungsereignissen (Abschnitt 2), um Fehler zu finden und zu verstehen, welche Funktionen genutzt werden. Unser Interesse ist zu wissen, was funktioniert, um eine kostenlose App zu verbessern; die Ereignisse enthalten keine Inhalte und keine Kontaktdaten, werden nur als Tagessummen ausgewertet und nie für Werbung genutzt oder an Dritte weitergegeben, deshalb sind die Auswirkungen auf deine Privatsphäre minimal. Du kannst jederzeit widersprechen (Abschnitt 11).

Warteliste — Einwilligung (Art. 6 Abs. 1 lit. a): dich informieren, wenn die App öffnet, und, falls du es beantragt hast, deinen Nutzernamen reservieren. In jeder E-Mail kannst du dich abmelden.

Rechtliche Pflichten und Ansprüche — rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c) und berechtigtes Interesse (Art. 6 Abs. 1 lit. f): Beantwortung rechtmäßiger Anfragen von Behörden sowie Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

4. Wer sieht, was du erstellst

Challenges sind privat: Nur vom Ersteller bestätigte Mitglieder sehen die Challenge, ihre Ziele, den Fortschritt der Mitglieder, die Rangliste und die Gruppenkarte, den Chat und die Beweise. Diese Regel wird in der Datenbank durchgesetzt (Row-Level Security): keine Bestätigung, kein Zugriff.

Beweisfotos: liegen in privatem Speicher und werden nur bestätigten Mitgliedern derselben Challenge gezeigt, über signierte Links, die nach einer Stunde ablaufen, und nur, solange die Challenge aktiv ist. Sie sind nie öffentlich, landen nie im Feed und werden nie für Werbung genutzt.

Abstimmungen und „Netter Versuch“-Begründungen: Die Mitglieder der Challenge sehen, wer einen Beweis bestätigt oder angezweifelt hat, und die angegebene Begründung. Schreib nur Begründungen, bei denen es dir recht ist, dass alle in der Challenge — einschließlich der betroffenen Person — sie lesen.

Chatfotos und Sprachnachrichten: liegen in privatem Speicher und werden nur bestätigten Mitgliedern der Challenge gezeigt, über signierte Links, die nach einer Stunde ablaufen. Wenn du jemanden blockierst, siehst du dessen Nachrichten, Fotos und Sprachnachrichten nicht mehr.

Anstupser: Nur der Freund, den du anstupst, erhält die Benachrichtigung.

Benachrichtigungsvorschauen: Benachrichtigungen über Chatnachrichten können je nach den Einstellungen des Handys der empfangenden Person die ersten 120 Zeichen einer Nachricht auf deren Sperrbildschirm anzeigen.

Profil: Dein Nutzername, Anzeigename, Bild und deine Trophäen sind für die Mitglieder deiner Challenges sichtbar, für Personen, die eine Einladung von dir öffnen, und, wenn du postest, für Nutzer des Feeds. Das Profilbild wird über einen öffentlichen Link ausgeliefert, damit es überall erscheinen kann, wo dein Name erscheint: Jeder mit diesem Link kann es öffnen, also wähle ein Bild, das du auch Fremden gern zeigst. Wer in der App nach deinem Nutzernamen sucht, sieht nur deinen Nutzernamen, deinen Anzeigenamen und dein Bild. Bio, Motto, Profilfarbe und angeheftete Trophäen erscheinen dort, wo dein Profil in der App erscheint, und nur wenn du das öffentliche Profil einschaltest, auch im Web (Abschnitt 5).

Unser Team greift nur dann auf bestimmte Inhalte zu, wenn sie gemeldet wurden, um Missbrauch oder einen Sicherheitsvorfall zu untersuchen, oder wenn das Gesetz es verlangt.

5. Öffentlicher Feed und öffentliches Profil (optional)

Nichts landet von allein im Feed: nur, was du teilen willst, Beitrag für Beitrag, wenn eine Challenge endet oder einen Meilenstein erreicht.

Ein Beitrag zeigt Namen, Emoji, Ziele und Dauer der Challenge, das Ergebnis (geschaffte Tage, beste Serie, Abschluss), den Meilenstein, deinen Kommentar und dein öffentliches Profil (Nutzername, Name, Bild und Trophäen). Er ist für alle angemeldeten Nutzer der App sichtbar, außer für Personen, die du blockiert hast oder die dich blockiert haben, und andere können ihn mit „Gefällt mir“ markieren, reposten oder die Challenge als Vorlage verwenden.

Nie im Feed: Fotos jeglicher Art (die Datenbank lehnt sie ab), Chatnachrichten, Sprachnachrichten, Abstimmungen, deine anderen Challenges oder wer die Mitglieder deiner Challenges sind.

Du kannst einen Beitrag jederzeit löschen; er ist dann nicht mehr im Feed zu sehen.

Öffentliches Profil: standardmäßig aus. Wenn du es in deinen Profileinstellungen einschaltest, kann jeder — auch ohne Konto — deine Seite unter idaru.app/de/u/nutzername öffnen und deinen Anzeigenamen, Nutzernamen, dein Bild, deine Bio, dein Motto, deine Profilfarbe, angeheftete Trophäen und Summen wie deine beste Serie, gewonnene Trophäen und abgeschlossene Challenges sehen. Sie zeigt nie deine Chats, Beweisfotos, Abstimmungen, die Mitglieder deiner Challenges oder deine E-Mail-Adresse.

Du kannst das öffentliche Profil jederzeit an derselben Stelle ausschalten; die Seite ist dann nicht mehr verfügbar (Kopien, die jemand bereits gemacht hat, etwa Screenshots, liegen außerhalb unserer Kontrolle). Profillinks, die du teilst, funktionieren nur, solange dein Profil öffentlich ist.

Bilder zum Teilen: Ergebnis-, Trophäen- und Profilkarten werden auf deinem Gerät aus Daten erzeugt, die schon in der App sind. Wir erhalten und speichern das Bild nicht: Du entscheidest, ob und über welche App (Messenger, soziale Netzwerke) du es teilst, und dann gelten die Bedingungen und die Datenschutzerklärung dieser App. Wir veröffentlichen nie etwas in deinem Namen; wir erfassen nur, dass geteilt wurde (ein Nutzungsereignis), nie das Bild oder den Empfänger.

6. Abstimmungen über Beweise: keine automatisierten Entscheidungen

Ob ein Beweis zählt, entscheiden Menschen — die anderen Mitglieder der Challenge. Ein Beweis wird nur dann abgelehnt („Netter Versuch“), wenn mindestens die Hälfte der anderen Mitglieder ihn anzweifelt und es mehr Zweifel als Bestätigungen gibt; abgestimmt werden kann 48 Stunden lang nach dem Foto. Ein abgelehnter Beweis zählt für diesen Tag nicht mehr, was sich auf deine Serie auswirken kann.

Kein Algorithmus, keine künstliche Intelligenz und keine Bildanalyse beurteilt deine Fotos, und IDarU trifft keine ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidungen, die dir gegenüber rechtliche Wirkung entfalten oder dich in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO). Unser einziger automatisierter Schritt ist ein Wortfilter, der beleidigende Sprache in Namen, Nachrichten und Begründungen blockiert.

Wenn du meinst, dass eine Abstimmung oder eine Begründung missbräuchlich war, melde sie (siehe Nutzungsbedingungen, Abschnitt 8).

7. Dienstleister und wo deine Daten verarbeitet werden

Supabase (Datenbank, Authentifizierung, Speicherung von Beweisfotos, Chatfotos, Sprachnachrichten und Profilbildern, geplante Bereinigungsaufgaben): Europäische Union — Frankfurt, Deutschland.

Vercel (Hosting der Website und die Schnittstelle (API) der Warteliste): globales Netzwerk; Anfragen können außerhalb der EU bearbeitet werden.

Cloudflare Turnstile (Bot-Prüfung im Formular der Warteliste, ohne Cookies; erhält deine IP und technische Browserdaten nur für diese Prüfung): globales Netzwerk, Vereinigte Staaten.

Resend (E-Mail-Versand: Bestätigung und Willkommensnachricht der Warteliste sowie interne Moderationshinweise mit minimalen Daten): Vereinigte Staaten.

Expo — 650 Industries (Zustellung von Push-Benachrichtigungen, die anschließend über den Apple Push Notification Service und Google Firebase Cloud Messaging laufen): Vereinigte Staaten.

Sentry (Fehlerberichte): Projekt in der EU-Region von Sentry gehostet (Frankfurt, Deutschland), auf Grundlage des Auftragsverarbeitungsvertrags von Sentry.

Google (AdMob-Werbung und das Einwilligungsformular sowie „Mit Google anmelden“, falls du es nutzt): Vereinigte Staaten/Irland. Für die Personalisierung von Werbung handelt Google als eigenständiger Verantwortlicher nach seinen eigenen Richtlinien.

Apple („Mit Apple anmelden“, falls du es nutzt, und Zustellung von Push-Benachrichtigungen unter iOS): Vereinigte Staaten/Irland.

GIPHY, Inc. (USA) stellt die GIF-Suche und die GIFs selbst bereit. Jede Suche und jedes angezeigte GIF ist eine Anfrage deines Geräts an die Server von GIPHY, die den Suchbegriff, deine IP-Adresse, den User-Agent deines Geräts und die App-Sprache erhalten. Wir übermitteln GIPHY weder dein Konto noch deine E-Mail noch den Inhalt deiner Nachrichten. GIPHY verarbeitet diese Daten als eigenständiger Verantwortlicher nach seiner eigenen Datenschutzerklärung. Da die Anfrage von deinem Gerät ausgeht und nicht von unseren Servern, exportieren nicht wir diese Daten: Die Rechtsgrundlage für diese Übermittlung in die USA liegt bei GIPHY, nach dessen eigener Erklärung. Du kannst sie vollständig vermeiden, indem du die GIF-Auswahl nicht öffnest — bis du das tust, wird nichts an GIPHY gesendet.

Wir verkaufen deine Daten nicht und teilen sie mit niemandem außerhalb dieser Liste, außer wenn das Gesetz es verlangt (zum Beispiel aufgrund einer gültigen Anordnung eines Gerichts oder einer Behörde).

8. Internationale Übermittlungen

Unsere Hauptdatenbank und unsere Dateien bleiben in der Europäischen Union. Einige der oben genannten Anbieter haben ihren Sitz in den Vereinigten Staaten oder in anderen Ländern außerhalb des Europäischen Wirtschaftsraums oder können von dort auf Daten zugreifen.

In diesem Fall stützen wir uns auf die in der DSGVO vorgesehenen Garantien: die Zertifizierung des Anbieters nach dem EU-US-Datenschutzrahmen, sofern er über eine solche verfügt, und/oder die Standardvertragsklauseln der Europäischen Kommission, die im Auftragsverarbeitungsvertrag des Anbieters enthalten sind, zusammen mit zusätzlichen Maßnahmen wie der Verschlüsselung bei der Übertragung.

Du kannst uns unter privacy@idaru.app um Informationen zu den Garantien bitten, die für einen bestimmten Anbieter gelten.

9. Wie lange wir was speichern

Konto und Profil: solange dein Konto besteht.

Challenges, Fortschritt, Rangliste und Trophäen: solange dein Konto besteht; von dir erstellte Challenges werden mit deinem Konto gelöscht, für alle Mitglieder.

Beweisfotos: werden etwa einen Tag nach dem Ende der Challenge automatisch gelöscht, oder früher, wenn die Challenge oder dein Konto gelöscht wird. Abstimmungen und Begründungen werden mit der Challenge oder mit dem Konto der Person gelöscht, die sie verfasst hat.

Chat (Nachrichten, GIFs, Reaktionen, Fotos, Sprachnachrichten und Ereigniskarten): solange die Challenge besteht. Sie werden gelöscht, wenn die Challenge gelöscht wird oder wenn die Person, die sie verfasst hat, ihr Konto löscht; die Dateien werden durch eine tägliche Bereinigungsaufgabe entfernt. Hochgeladene, aber nie gesendete Fotos oder Sprachnachrichten werden innerhalb von etwa einem Tag gelöscht.

Tipp-Anzeige: wird nicht gespeichert.

Benachrichtigungswarteschlange (einschließlich Anstupser): wird nach dem Versand gelöscht, spätestens nach 7 Tagen.

Zähler zur Missbrauchsprävention (einschließlich der nach IP-Adresse geführten Zähler der Warteliste): werden nach 7 Tagen automatisch gelöscht. Die IP-Adresse wird nicht mit deiner E-Mail verknüpft und für nichts anderes verwendet.

Bestätigungen von Belohnungsanzeigen: 30 Tage. Nachrichtenguthaben, Nutzungsereignisse, Profil-Extras (Bio, Motto, Farbe, angeheftete Trophäen), Push-Token und Einstellungen: solange dein Konto besteht, und sie werden mit ihm gelöscht (ein Push-Token wird ersetzt, wenn es sich ändert). Die Seite des öffentlichen Profils gibt es nur, solange du es eingeschaltet lässt.

Meldungen: bis zu 12 Monate nach ihrer Erledigung, damit wir Wiederholungstäter erkennen können. Blockierungen: bis du sie aufhebst.

Diagnose: bis zu 90 Tage.

Warteliste: bis die App startet und die Liste verwendet wurde, oder bis du deine Entfernung verlangst. Eine Reservierung eines Nutzernamens, die nicht innerhalb von 48 Stunden bestätigt wird, verfällt, und der Name ist dann nicht mehr reserviert.

Sicherungskopien und Protokolle: Unsere Anbieter bewahren Sicherungskopien und technische Protokolle für einen begrenzten Zeitraum auf; gelöschte Daten verschwinden daraus im Zuge der Rotation.

10. Konto löschen

Du kannst dein Konto in der App löschen (Profil → Konto → Konto löschen). Die Löschung erfolgt sofort und unwiderruflich: Sie entfernt dein Profil, die von dir erstellten Challenges (für alle ihre Mitglieder), deinen Fortschritt, deine Trophäen, Beweisfotos, Abstimmungen, Chatnachrichten, Fotos, Sprachnachrichten und Reaktionen, deine Feed-Beiträge und alles andere, was mit deinem Konto verknüpft ist.

Du kannst die Löschung auch per E-Mail an privacy@idaru.app verlangen.

11. Deine Rechte und wie du sie ausübst

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch und Datenübertragbarkeit (Art. 15–21 DSGVO) sowie das Recht, eine Einwilligung jederzeit zu widerrufen.

Vieles davon kannst du in der App erledigen: dein Profil bearbeiten, Benachrichtigungen und die Werbeeinstellung ändern, das öffentliche Profil ein- oder ausschalten und dein Konto löschen. Eine Kopie deiner Daten kannst du jederzeit selbst unter Profil → Meine Daten herunterladen abrufen: eine einzige JSON-Datei (ein strukturiertes, maschinenlesbares Format) mit deinem Profil, deinen Challenges, deinem Fortschritt, Nachrichten, Beweisen, Abstimmungen, Beiträgen, Meldungen und Blockierungen. Wenn du möchtest, oder für jedes andere Anliegen, schreib von der E-Mail-Adresse deines Kontos an privacy@idaru.app. Wir können dich bitten, deine Identität zu bestätigen. Wir antworten innerhalb eines Monats (bei komplexen Anfragen um zwei weitere Monate verlängerbar; in diesem Fall sagen wir dir, warum). Das ist kostenlos, es sei denn, eine Anfrage ist offenkundig unbegründet oder exzessiv.

Du kannst der Verarbeitung auf Grundlage berechtigten Interesses (zum Beispiel Nutzungsereignisse oder Diagnose) jederzeit widersprechen; wir beenden sie, es sei denn, wir haben zwingende schutzwürdige Gründe oder benötigen die Daten für Rechtsansprüche.

Die Einwilligung zu widerrufen ist so einfach wie sie zu geben: Benachrichtigungen unter Einstellungen → Benachrichtigungen; personalisierte Werbung unter Einstellungen → Rechtliches → Datenschutz und Werbung, wo das Einwilligungsformular erneut geöffnet wird; die Warteliste über den Abmeldelink in jeder E-Mail. Der Widerruf berührt die zuvor erfolgte Verarbeitung nicht.

12. Mindestalter

IDarU richtet sich an Personen ab 13 Jahren. Wenn du ein Konto erstellst, bestätigst du, dass du dieses Alter erreicht hast.

In einigen EU-Ländern benötigen Personen unter einem bestimmten Alter (je nach nationalem Recht zwischen 13 und 16 Jahren) für einwilligungsbasierte Online-Dienste die Erlaubnis eines Elternteils oder Erziehungsberechtigten. In Portugal liegt dieses Alter bei 13 Jahren. Wenn dein Land ein höheres Alter festlegt und du darunter liegst, brauchst du die Erlaubnis eines Elternteils oder Erziehungsberechtigten, der diese Erklärung gemeinsam mit dir lesen sollte.

Wir erheben nicht wissentlich Daten von Kindern unter 13 Jahren. Wenn du glaubst, dass ein Kind unter 13 Jahren ein Konto hat, schreib an privacy@idaru.app, und wir löschen es.

13. Sicherheit

Alles wird verschlüsselt übertragen (TLS). Der Zugriff auf Daten wird in der Datenbank durch Row-Level Security entschieden; Beweise, Chatfotos und Sprachnachrichten liegen in privatem Speicher hinter kurzlebigen signierten Links; Passwörter werden vom Authentifizierungsanbieter als Hash gespeichert; die Sitzungsschlüssel auf deinem Handy liegen im sicheren Speicher des Geräts (Keychain/Keystore); Fotos werden neu codiert, um Metadaten zu entfernen; jeder Schreibvorgang unterliegt einer Ratenbegrenzung; und Serverschlüssel folgen dem Prinzip der minimalen Rechtevergabe. Wir überprüfen die Sicherheit der App und der Website regelmäßig.

Kein System ist vollkommen sicher: Behalte dein Passwort für dich und sag uns unter privacy@idaru.app Bescheid, wenn dir etwas Verdächtiges auffällt.

14. Datenschutzverletzungen

Wenn eine Verletzung des Schutzes personenbezogener Daten voraussichtlich zu einem Risiko für deine Rechte führt, melden wir sie der Aufsichtsbehörde (CNPD) innerhalb von 72 Stunden, nachdem sie uns bekannt geworden ist. Ist das Risiko hoch, informieren wir auch dich direkt und unverzüglich darüber, was passiert ist, welche Daten betroffen waren, was wir unternommen haben und was du tun kannst, um dich zu schützen.

15. Cookies, lokaler Speicher und die Website

Die Website verwendet keine Tracking-, Werbe- oder Analyse-Cookies. Sie kann ein funktionales Cookie (NEXT_LOCALE) setzen, um sich die von dir gewählte Sprache zu merken. Wenn du zwischen hellem und dunklem Design wechselst, wird deine Wahl im lokalen Speicher deines Browsers gespeichert (idaru-theme): Sie bleibt auf deinem Gerät, wird nie an uns gesendet, ist rein funktional und erfordert keine Einwilligung. Du kannst sie in den Einstellungen deines Browsers löschen.

Die App speichert auf deinem Handy nur, was sie zum Funktionieren braucht: deine Sitzung (verschlüsselt, mit den Schlüsseln im sicheren Speicher), einen Zwischenspeicher bereits geladener Daten (wird beim Abmelden geleert), dein Design, eine ausstehende Einladung (bis zu 7 Tage), offline aufgenommene Beweisfotos, die auf das Hochladen warten (werden nach dem Senden aus der Warteschlange entfernt), und deine Einwilligungsentscheidungen zur Werbung (verwaltet vom Einwilligungs-SDK von Google; unter iOS speichert das System deine Tracking-Entscheidung).

16. Beschwerden

Wenn du mit dem Umgang mit deinen Daten unzufrieden bist, schreib bitte zuerst an privacy@idaru.app — wir wollen das in Ordnung bringen. Du hast außerdem das Recht, Beschwerde bei einer Aufsichtsbehörde einzulegen: in Portugal bei der Comissão Nacional de Proteção de Dados (CNPD, www.cnpd.pt) oder bei der Behörde des EU-Landes, in dem du lebst, arbeitest oder in dem der mutmaßliche Verstoß stattgefunden hat.

17. Änderungen dieser Erklärung

Wenn wir etwas Wesentliches ändern, aktualisieren wir das Datum oben und informieren dich in der App, bevor die Änderung wirksam wird. Es gilt immer die Fassung auf dieser Seite, und frühere Fassungen senden wir dir auf Anfrage zu.