Datenschutzerklärung

Stand: [offen: Datum der Veröffentlichung eintragen] · Version: Entwurf 6 (nachgeführt am 05.11.2026: Website birdiebuddy.ch ohne Cookies und Tracking und ihr Zugriffsprotokoll, Abschnitt 12; am 12.10.2026: Gültigkeit der Links zu Chat-Medien, Zähl-Einträge für die Tageslimits, Chat-Medien nicht in andere Speicherbereiche kopierbar, Tageslimit für alle Uploads, Kontolöschung auch für nie verwendete Dateien, keine Uploads mehr nach der Ausführung der Kontolöschung, erneute Prüfung eine Stunde nach der Löschung, Hinweise im Gruppenchat ohne den Namen gelöschter Konten, Datentabelle auf den Stand ohne öffentliche Runden gebracht; am 11.10.2026, Build 2: private Gruppen mit Terminen und Zu-/Absagen, Fotos und Videos in allen Chats, Melden von Nachrichten und Gruppen; öffentliche Runden zum Mitspielen für Fremde entfallen; ebenfalls 11.10.2026: erweiterte Registrierung mit Namen, Spielweise, Zielen und mehreren Profilfotos, Suchwünsche im Matching, Anmeldeprotokoll und seine Löschung mit dem Konto, Server-Protokolle mit ihrer Aufbewahrung; davor 28.09.2026: Anmeldung per Code und mit Apple, Golf-Nachweis)

Entwurf. Sorgfältig vorbereitet, aber keine Rechtsberatung. Vor der öffentlichen Beta gehört der Text durch eine juristische Prüfung und muss mit den App-Privacy-Labels in App Store Connect übereinstimmen ([offen: Labels gegenprüfen]).

1. Verantwortliche Stelle

[offen: Name / Firma], [offen: Strasse und Hausnummer], [offen: PLZ und Ort], Schweiz. Kontakt in allen Datenschutzfragen: [offen: Kontakt-E-Mail, identisch mit BB_SUPPORT_EMAIL].

Es gibt keinen bestellten Datenschutzbeauftragten; die Anfragen beantwortet die verantwortliche Stelle selbst. [offen: Falls eine Vertretung in der EU nötig wird (Art. 27 DSGVO), hier ergänzen.]

2. Grundsatz

BirdieBuddy erhebt so wenig wie möglich. Es gibt keine Werbe-SDKs, kein Tracking-SDK, keine Analyse-Drittanbieter und keine Weitergabe deiner Daten zu Werbezwecken. Bei der Registrierung fragen wir deinen Vor- und Nachnamen ab; andere sehen davon nur deinen Vornamen. Als Anzeigename musst du nicht deinen Klarnamen verwenden. Der Anzeigename ist öffentlich; enthält er deinen Nachnamen, weist dich die App darauf hin und bietet an, ihn auf deinen Vornamen zu ändern. Dein Standort wird nur mit deiner ausdrücklichen Zustimmung verwendet.

3. Welche Daten wir verarbeiten

Wir verarbeiten keine besonderen Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO. Fotos, die du hochlädst, werden vor dem Upload auf dem Gerät verkleinert und von Metadaten (insbesondere GPS-Koordinaten aus dem EXIF-Block) befreit. Videos für Chats werden auf dem Gerät auf höchstens 60 Sekunden und 720p verkleinert; ein Video kann Ton enthalten. Pro Nachricht sind bis zu 10 Fotos oder ein Video möglich.

4. Standort

Der Standort wird ausschliesslich verwendet, wenn du das Matching aktivierst oder die Clubsuche nach Entfernung sortierst — und nur, nachdem iOS dich gefragt hat. Die App rundet ihn vor dem Senden, der Server speichert ihn auf ein Raster von ca. 2 km gerundet (die Mitte eines Rasterfelds; die genauere Position wird nicht gespeichert). Er ist für keinen anderen Nutzer lesbar: andere sehen eine ungefähre Zone (das Rasterfeld, auf der Karte als Kreis) und eine gerundete Entfernung („ca. 12 km"), nie deine Koordinaten. Der Zugriff auf die Standortspalte ist auf Datenbankebene entzogen. Damit niemand dich durch häufiges Umsetzen der eigenen Position eingrenzen kann, lässt sich der Matching-Standort höchstens zehnmal pro Tag ändern. Dafür speichern wir zu jedem Standortwechsel nur den Zeitpunkt (ohne Ort). Diese Einträge werden beim nächsten Wechsel entfernt, sobald sie älter als 24 Stunden sind; änderst du den Standort nicht mehr, bleiben sie bis zur Löschung deines Kontos bestehen. Du kannst die Freigabe jederzeit in den iOS-Einstellungen widerrufen und das Matching in den App-Einstellungen deaktivieren.

Für die Mitspielervorschläge berechnet der Server einen Übereinstimmungswert aus Entfernung, Zeitfenstern, Spielweise, Zielen, Handicap, Alter, Sprachen und Heimclub. Andere sehen dabei weder dein Handicap noch dein Geburtsjahr, sondern nur deine Altersgruppe (z. B. „30–39") und Teilpunkte, die sich aus Stufen ergeben (Handicap in Fünferschritten; Altersgruppen 16–19, dann in Zehnerschritten 20–29 bis 60–69, ab 70 zusammengefasst als „70+"). Als Alter gilt das aktuelle Jahr minus Geburtsjahr. Dazu sehen sie, was ihr gemeinsam habt (zum Beispiel eine Sprache, ein Ziel oder dasselbe Tempo).

Suchwünsche wirken in beide Richtungen. Du wirst nur Personen vorgeschlagen, die auch dich suchen: Wählst du aus, welches Geschlecht du suchst, siehst du nur Personen dieses Geschlechts — und nur solche, deren eigene Suche zu dir passt. Gibst du kein Geschlecht an, erscheinst du nicht bei Personen, die ihre Suche auf ein Geschlecht einschränken. Dasselbe gilt für den Altersbereich (er wirkt in Altersgruppen; ohne Geburtsjahr erscheinst du nicht bei Personen mit Altersbereich) und für den Wunsch nach einer gemeinsamen Sprache. Dein Geschlecht und dein Nachname werden anderen nie angezeigt. Weil der Filter aber wirkt, kann jemand, der seine Suche auf ein Geschlecht einschränkt, aus deiner Aufnahme in seine Vorschläge schliessen, welches Geschlecht du angegeben hast.

4a. Anmeldung

Mit E-Mail und Passwort: Nach der Registrierung schicken wir dir einen 6-stelligen Code an deine E-Mail-Adresse. Erst mit diesem Code ist die Adresse bestätigt. Auch wenn du dein Passwort vergessen hast, bekommst du einen solchen Code. Die Codes sind 10 Minuten gültig und enthalten keinen Link. Dein Passwort speichert nur der Anmeldedienst auf unserem Server, und zwar ausschliesslich als Hash; die App selbst speichert kein Passwort.

Mit Apple („Mit Apple anmelden"): Apple übermittelt uns eine Kennung für dein Konto und eine E-Mail-Adresse — wenn du „E-Mail-Adresse verbergen" wählst, eine Weiterleitungsadresse von Apple statt deiner echten. Deinen Namen gibt Apple nur beim allerersten Anmelden weiter und nur, wenn du das zulässt; wir verwenden ihn ausschliesslich als Vorschlag für deinen Anzeigenamen, den du im Onboarding ändern kannst. Für deine Registrierungsangaben übernimmt die App daraus nur deinen Vornamen als Vorschlag, nie den Nachnamen. Für die Anmeldung bei Apple selbst gilt die Datenschutzerklärung von Apple.

4b. Golf-Nachweis (Verifizierung)

Mit dem Golf-Nachweis zeigst du, dass du Golf spielst. Nach erfolgreicher Prüfung erscheint in deinem Profil ein Verifiziert-Haken.

• Was du angibst: dein Land, die Art des Nachweises (zum Beispiel Swiss Golf ID, DGV-Ausweis oder Club-Mitgliedsnummer), die Nummer und ein Foto deiner Karte bzw. deines Ausweises. Das Foto wählst du aus deiner Fotomediathek aus oder nimmst es — sofern die App das an dieser Stelle anbietet — direkt mit der Kamera auf. Die App verkleinert es vor dem Hochladen und entfernt die Metadaten (zum Beispiel Aufnahmeort).
• Pflicht oder freiwillig: Das hängt von einer Einstellung ab, die wir serverseitig festlegen. Solange der Nachweis freiwillig ist, kannst du BirdieBuddy ohne ihn nutzen. Ist er Pflicht, kannst du dein Konto nach der Einreichung erst vollständig nutzen, wenn die Prüfung abgeschlossen ist: bis dahin kannst du nichts veröffentlichen und erscheinst für andere weder in der Suche noch im Feed, unter Entdecken oder im Matching; Abmelden, Melden, Blockieren und das Löschen deines Kontos gehen jederzeit. Bestehende Konten erhalten beim Wechsel auf Pflicht eine Übergangsfrist von 30 Tagen. [offen: Entscheid „Pflicht oder freiwillig" eintragen, sobald er gefallen ist, und diesen Absatz entsprechend kürzen.]
• Wer prüft: Die Prüfung macht ein Mensch, nicht ein automatischer Abgleich mit einem Verband. Geprüft wird von [offen: Name der prüfenden Person(en) bzw. „die verantwortliche Stelle" eintragen]. Die Prüferin oder der Prüfer öffnet das Foto über einen Link, den unser Server erzeugt und der 5 Minuten gültig ist, im Browser. Das Bild wird dabei angezeigt, aber nicht dauerhaft gespeichert. Du selbst kannst das Foto nach dem Hochladen nicht mehr abrufen. Wir streben eine Entscheidung innerhalb von 24 Stunden an.
• Speicherdauer des Fotos: Das Foto wird gelöscht, sobald über deinen Nachweis entschieden ist (Freigabe oder Ablehnung), sobald du ihn zurückziehst oder wenn du dein Konto löschst. Bleibt ein Nachweis 30 Tage ohne Entscheidung offen, gilt er als abgelaufen; das Foto wird dann spätestens etwa einen Tag nach Ablauf der 30 Tage gelöscht, weil diese Prüfung einmal täglich läuft. Ein Foto, das hochgeladen, aber nie eingereicht wurde, wird spätestens nach etwa 48 Stunden gelöscht. Zu Sicherungskopien siehe Abschnitt 7.
• Speicherdauer der Nummer: Vollständig speichern wir sie nur, solange die Prüfung läuft. Danach behalten wir nur noch die letzten vier Zeichen und einen nicht umkehrbar gedachten Prüfwert (Hash), mit dem wir erkennen, ob dieselbe Nummer schon für ein anderes Konto freigegeben wurde. [offen: Die Nummern haben wenig Zeichen; ein einfacher Hash lässt sich mit Rechenaufwand zurückrechnen (Spezifikation SPEC-N3-N4 §5 Risiko 5). Juristisch prüfen lassen, ob der Text „nicht umkehrbar gedacht" so tragbar ist oder ob der Hash durch ein Verfahren mit Server-Geheimnis ersetzt werden soll.]
• Speicherdauer der übrigen Angaben: Status, Land, Art des Nachweises, Datum und Ergebnis der Prüfung sowie ein Ablehnungsgrund bleiben bis zur Löschung deines Kontos gespeichert, damit ein Nachweis nicht mehrfach geprüft werden muss und Entscheidungen nachvollziehbar bleiben.
• Änderungen: Solange eine Einreichung offen ist, kannst du dein Land nicht ändern. Du kannst eine offene Einreichung jederzeit zurückziehen; das Foto wird dann gelöscht.
• Benachrichtigung: Über das Ergebnis informieren wir dich in der App. Ein Ablehnungsgrund steht nur in der App, nicht in der Push-Nachricht.

5. Wer die Daten sieht

• Andere Nutzer sehen genau das, was du sichtbar machst: dein Profil (darunter Vorname, Profilfotos, Sprachen, Spielweise und Ziele), deine öffentlichen Beiträge, Runden gemäss der von dir gewählten Sichtbarkeit (öffentlich / Buddies / privat), deine Nachrichten in den jeweiligen Chats. Nie sichtbar für andere sind Nachname, Geschlecht, Handicap, Geburtsjahr, Land und deine Suchwünsche.
• Gruppen sind privat. Eine Gruppe, ihre Mitglieder, ihr Chat und ihre Termine (mit den Zu- und Absagen) sind nur für Mitglieder sichtbar; in Suche und Profilen tauchen Gruppen nicht auf. Wer eingeladen ist, sieht bis zur Antwort nur Namen, Beschreibung, Bild, Zahl der Mitglieder und wer eingeladen hat. Einladen kann man nur Personen, mit denen man über das Matching verbunden ist oder denen man gegenseitig folgt, nie Personen, die man blockiert hat oder die einen blockiert haben. Wer eine Gruppe verlässt oder entfernt wird, sieht ihren Chat, ihre Fotos und Videos und ihre Termine ab sofort nicht mehr.
• Fotos und Videos in Chats liegen in einem nicht öffentlichen Speicherbereich. Einen Abruf-Link bekommen nur die aktuellen Teilnehmerinnen und Teilnehmer des jeweiligen Chats. Die App fordert diese Links mit einer Gültigkeit von höchstens einer Stunde an. Technisch begrenzt der Server die Gültigkeit aber nicht: Wer Teilnehmerin oder Teilnehmer ist, kann sich auch einen länger gültigen Link erzeugen. Ein Link funktioniert bis zu seinem Ablauf, auch wenn die Person den Chat danach verlässt oder entfernt wird — längstens so lange, bis das Foto oder Video gelöscht ist (wenn der Absender die Nachricht löscht, die Gruppe aufgelöst oder das Konto des Absenders gelöscht wird; der Server entfernt die Datei dann innert weniger Minuten). Wer einen solchen Link nicht hat, kann die Datei nicht abrufen; die Adresse lässt sich nicht erraten. Wie in jedem Chat können Teilnehmende empfangene Fotos und Videos ausserdem auf ihrem Gerät speichern. Auf dem Server lassen sich die Dateien nicht in einen anderen, etwa öffentlichen, Speicherbereich kopieren oder verschieben — sie liegen nur dort und verschwinden mit dem Löschen vollständig.
• Profilfotos liegen in einem Speicherbereich, aus dem ein Bild abrufbar ist, wenn man seine genaue Adresse kennt. Jedes Foto bekommt eine zufällige Adresse, die sich nicht erraten lässt, und auflisten kannst nur du deine Fotos. Andere Nutzer erhalten die Adressen nur über dein Profil und die Vorschläge; wer dich blockiert hat oder von dir blockiert wurde, bekommt sie nicht mehr. Eine Adresse, die jemand schon kennt (etwa aus der Zeit vor einer Blockierung), bleibt abrufbar, bis du das Foto löschst; gelöschte Fotos entfernt der Server anschliessend auch aus dem Speicher. Ausnahme: Ein Profilbild, das mit einer früheren App-Version hochgeladen wurde, liegt unter einer festen Adresse, die sich aus deiner Nutzerkennung ergibt; es bleibt wie bisher abrufbar, bis du es ersetzt oder entfernst.
• Blockierte Personen sehen nichts von dir und du nichts von ihnen — seit Build 2 auch nicht in gemeinsamen Gruppen: Nachrichten, Fotos und Videos der jeweils anderen Person werden ausgeblendet, die Gruppe selbst bleibt bestehen, und in Mitglieder- und Zusagelisten bleibt nur ein Eintrag ohne Namen und Bild. Einzige Ausnahme ist deine eigene Liste der blockierten Personen: Dort siehst du Anzeigenamen und Benutzernamen der Personen, die du blockiert hast, damit du eine Blockierung wieder aufheben kannst. Profilfotos zeigt die Liste nicht, auch keine, die nach der Blockierung hinzugekommen sind. Ausgenommen ist nur ein Profilbild einer früheren App-Version unter der festen Adresse (siehe oben).
• Den Golf-Nachweis (Nummer und Foto) sieht ausschliesslich, wer ihn für uns prüft (Abschnitt 4b) — andere Nutzer sehen nur den Verifiziert-Haken.
• Auftragsverarbeiter: der Hostinganbieter (siehe Abschnitt 6) und Apple für die Zustellung von Push-Nachrichten (Apple Push Notification service; übermittelt werden Gerätetoken und der Nachrichtentext — bei Fotos und Videos nur der Hinweis „Foto“/„Video“, nie Bild oder Bildunterschrift; bei Gruppen-Einladungen und Terminen der Gruppenname und der Zeitpunkt). Für den Versand der Anmelde- und Passwort-Codes per E-Mail ist ein Mail-Anbieter vorgesehen (geplant: Infomaniak, Schweiz); an ihn gehen deine E-Mail-Adresse und der Inhalt der Code-Mail. [offen: Anbieter mit vollständiger Firma und Sitz eintragen, sobald der Versand eingerichtet ist, und den Auftragsverarbeitungsvertrag abschliessen.]
• Behörden nur, soweit wir gesetzlich dazu verpflichtet sind.

Es findet kein Verkauf und keine Weitergabe zu Werbezwecken statt.

6. Wo die Daten liegen (Serverstandort)

Alle Daten liegen auf einem gemieteten Server bei OVH im Rechenzentrum [offen: Standort bestätigen, z. B. Gravelines (Frankreich) oder Limburg/Frankfurt (Deutschland)]. Das ist innerhalb der EU/des EWR; es findet damit keine Übermittlung in ein Drittland statt — mit Ausnahme der Push-Zustellung über Apple (USA), die auf den Standardvertragsklauseln bzw. dem EU-US Data Privacy Framework beruht.

Datenbank, Dateispeicher und Anmeldedienst laufen selbst gehostet auf diesem Server. Es gibt keinen Cloud-Anbieter dazwischen.

7. Sicherung und Aufbewahrung

• Verbindungen laufen ausschliesslich über TLS (HTTPS).
• Der Datenbankport ist von aussen nicht erreichbar.
• Nächtliche Sicherungen werden verschlüsselt abgelegt; auf dem Server bleiben die Sicherungen der letzten sieben Tage erhalten (je Tag die neueste, dazu alle der letzten 24 Stunden), ältere werden gelöscht. Damit nach einem Ausfall der nächtlichen Sicherung nicht alles Ältere auf einmal verschwindet, bleiben ausserdem immer die sechs neuesten übrigen Sicherungen erhalten; nach einem solchen Ausfall kann eine Sicherung deshalb auch länger als sieben Tage auf dem Server liegen, bis wieder genug neue entstanden sind. Die Sicherungen enthalten die Datenbank und die gespeicherten Dateien. Ein Foto eines Golf-Nachweises, das zum Zeitpunkt einer Sicherung noch vorhanden war, bleibt deshalb nach seiner Löschung im Regelfall noch bis zu 7 Tage in den Sicherungen auf dem Server. Die Datenbank-Sicherung enthält ausserdem die vollständigen Nummern von Nachweisen, die zu diesem Zeitpunkt noch in Prüfung waren.
• Zusätzlich holen wir Sicherungen verschlüsselt auf ein Gerät der verantwortlichen Stelle. Dort bleiben sie — mit denselben Inhalten — bis zur Löschfrist von [offen: Aufbewahrungsfrist für diese Kopien ausserhalb des Servers festlegen — heute löscht sie kein Skript automatisch (infra/backup/pull-backup.sh)].
• Server-Protokolle (Abschnitt 3, „Technische Protokolle"):
  • Zugriffsprotokoll des Servers (IP-Adresse, Zeitpunkt, Pfad, Status; Pfad und Anmelde-Antwort können deine Konto-Kennung enthalten, nicht deine E-Mail-Adresse): Ab 10 MB beginnt eine neue Datei; die älteren löschen wir spätestens 14 Tage danach. Derzeit reicht das Protokoll damit rund zwei Wochen zurück, bei wenig Betrieb auch länger. [offen: Frist bestätigen oder eine feste Höchstdauer verlangen — dafür bräuchte es eine Umschaltung nach Zeit statt nach Grösse.]
  • Protokoll des Lösch-Dienstes (Zeitpunkt, Konto-Kennung, Ergebnis der einzelnen Löschschritte; keine E-Mail-Adresse): heute ohne zeitliche Grenze, nur in der Grösse begrenzt. [offen: Frist festlegen, Vorschlag 14 Tage — braucht eine Einstellung am Systemprotokoll des Servers.]
  • Protokolle der Server-Dienste: der Dateispeicher notiert jeden Abruf mit dem Dateipfad, der deine Konto-Kennung enthält; der Anmeldedienst notiert nur Fehler. Deine E-Mail-Adresse steht dort nur, wenn eine Anfrage mit ihr auf dem Server scheitert (z. B. wenn der Mailversand bei der Registrierung ausfällt). Beide Protokolle sind nur in der Grösse begrenzt (je Dienst 3 × 10 MB) und werden ausserdem bei jeder Aktualisierung des Dienstes verworfen. [offen: Frist festlegen, Vorschlag 14 Tage — heute ohne zeitliche Grenze.]
• Liste erledigter Datei-Löschungen (Speicherort jeder gelöschten Datei, der deine Konto-Kennung enthält, und Zeitpunkt der Löschung): heute unbegrenzt. [offen: Frist festlegen, Vorschlag 14 Tage — braucht einen zusätzlichen Schritt im Lösch-Dienst.]
• Deine Inhalte bleiben, bis du sie oder dein Konto löschst. Das gilt auch für Fotos, die du hochgeladen, aber nicht verwendet hast (z. B. bei einem abgebrochenen Onboarding oder einem verworfenen Beitrag): Sie bleiben bis zur Löschung deines Kontos gespeichert, und ein solches Profilfoto ist wie jedes Profilfoto über seine Adresse abrufbar (Abschnitt 5). Für das Foto eines Golf-Nachweises, den du nicht eingereicht hast, gilt Abschnitt 4b.
• Anmeldeprotokoll und Sitzungen (Abschnitt 3): bis zur Löschung deines Kontos; Sitzungen enden zusätzlich mit dem Abmelden bzw. dem Ablauf der Anmeldung. [offen: Soll das Anmeldeprotokoll laufender Konten nach einer festen Frist gelöscht werden (Vorschlag 90 Tage)? Heute bleibt es bis zur Kontolöschung; eine Frist bräuchte einen zusätzlichen Schritt im Lösch-Dienst.]
• Zeitpunkte deiner Matching-Standortwechsel (ohne Ort, nur für das Limit von zehn Wechseln pro Tag): bis zum nächsten Wechsel nach Ablauf von 24 Stunden, spätestens bis zur Kontolöschung.
• Für die Tageslimits gegen Missbrauch zählen wir, wann du Gruppen erstellt, Personen eingeladen und Termine geplant hast (nur Art und Zeitpunkt), und wann du wie viele Bytes hochgeladen hast — in Chats, als Profil- oder Beitragsfoto oder für den Golf-Nachweis (nur Zeitpunkt und Grösse, nicht die Datei und nicht ihr Ort; höchstens 300 Dateien und 1 GB pro Tag, alles zusammen). Diese Zähl-Einträge löscht der Server nach etwa 24 Stunden (spätestens eine Stunde nach Ablauf), bei einer Kontolöschung sofort.
• Golf-Nachweis: siehe Abschnitt 4b.
• Meldungen (Moderation) bewahren wir bis zu [offen: Frist festlegen, Vorschlag 12 Monate] auf, um wiederholte Verstösse erkennen zu können. Wird eine Nachricht oder Gruppe gemeldet, speichern wir zur Meldung einen Schnappschuss (Text, Absender, Chat bzw. Gruppenname, die Speicheradressen der Fotos/Videos). Die Fotos und Videos selbst werden nicht kopiert; löscht der Absender die Nachricht, verschwinden sie trotzdem.
• Fotos und Videos in Chats: bis du die Nachricht löschst, die Gruppe aufgelöst wird oder du dein Konto löschst. Fotos oder Videos, die zwar hochgeladen, aber nie gesendet wurden (zum Beispiel bei einem abgebrochenen Versand), löscht der Server nach etwa 24 Stunden.
• Gruppen und Termine: bis die Gruppe aufgelöst wird, also wenn das letzte Mitglied sie verlässt. Deine Zu- und Absagen verschwinden, wenn du die Gruppe verlässt.

8. Löschung deines Kontos

In den Einstellungen unter Account löschen beantragst du die Löschung. Bis zur Ausführung kannst du den Auftrag zurücknehmen. Danach:

• Gelöscht werden: Profil samt Namen, Geschlecht, Sprachen, Spielweise und Zielen, Beiträge, Profilfotos und alle anderen Fotos und Dateien, die du hochgeladen hast — auch solche, die du nie verwendet hast (z. B. ein Foto aus einem abgebrochenen Onboarding) —, Likes, Follows, Blockierungen, Meldungen, Runden und Handicap-Verlauf, Matching-Angaben inklusive Standort und Suchwünschen, Golf-Nachweise samt Foto, Geräte-Token, deine Benachrichtigungen und deine Einzelchats (auch beim Gegenüber).
• Das Löschen ist auch dann möglich, wenn dein Konto wegen eines offenen Golf-Nachweises noch gesperrt ist.
• Ebenfalls gelöscht werden: alle Fotos und Videos, die du in Chats gesendet hast (samt Bildunterschrift), ein von dir hochgeladenes Gruppenbild, deine Mitgliedschaften in Gruppen (in der Gruppe erscheint „Gelöschter Nutzer hat die Gruppe verlassen“), Einladungen an dich und deine Zu- und Absagen. Warst du die letzte Person mit Admin-Rolle, übernimmt das am längsten dabei gewesene Mitglied; warst du das letzte Mitglied, wird die Gruppe samt Chat und Terminen aufgelöst.
• Anonymisiert erhalten bleiben: deine Kommentare in Beiträgen anderer, deine Textnachrichten in Gruppenchats, von dir geplante Termine und versandte Einladungen in bestehenden Gruppen, die Hinweise im Gruppenchat, die dich nennen (z. B. „… ist der Gruppe beigetreten“ oder „… hat einen Termin geplant“ — auch unter einem früheren Username), und die Angabe, wer eine Benachrichtigung ausgelöst hat. Dort steht danach „Gelöschter Nutzer". Grund: die Beiträge und Gespräche anderer Personen sollen lesbar bleiben. Was andere selbst geschrieben haben — etwa eine Nachricht oder einen Termintitel mit deinem Namen —, bleibt unverändert.
• Der Anmeldedatensatz wird zuletzt entfernt; danach ist eine Anmeldung nicht mehr möglich. Mit ihm löschen wir auch dein Anmeldeprotokoll (samt E-Mail-Adresse), deine Sitzungen und Anmelde-Tokens sowie offene Anmeldevorgänge.
• Eine bereits bestehende Anmeldung auf einem deiner Geräte bleibt technisch noch bis zu einer Stunde gültig. Dateien nimmt der Server von deinem Konto ab der Ausführung der Löschung trotzdem nicht mehr an — auch nicht von einem solchen Gerät. Sobald diese Stunde vorbei ist, prüfen wir dein Konto noch einmal gezielt und löschen, was sich trotzdem fände. Bliebe dennoch eine Datei ohne Konto liegen (etwa bei einer Löschung ausserhalb des üblichen Ablaufs), löschen wir sie bei der nächsten täglichen Prüfung, spätestens nach etwa 25 Stunden; bis dahin wäre ein solches Profilfoto über seine Adresse abrufbar.
• Was danach noch bleibt, bis die jeweilige Frist aus Abschnitt 7 abläuft: deine Konto-Kennung — eine zufällige Nummer; Profil und Anmeldedaten dazu sind gelöscht — in den Server-Protokollen und in der Liste erledigter Datei-Löschungen. Deine E-Mail-Adresse steht auf unserem Server danach nur noch im Ausnahmefall, den Abschnitt 7 beim Anmeldedienst nennt.
• In den verschlüsselten Sicherungen (Abschnitt 7) sind diese Daten noch enthalten, bis die jeweilige Sicherung rotiert wird (auf dem Server nach 7 Tagen).

9. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch, sowie das Recht, eine Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen. Wende dich dafür an [offen: Kontakt-E-Mail].

Eine Datenauskunft als Datei ist für eine kommende Version geplant; bis dahin stellen wir sie auf Anfrage manuell zusammen.

Beschwerderecht: in der Schweiz beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), in der EU bei der Datenschutzbehörde deines Wohnsitzstaats.

10. Kinder

BirdieBuddy richtet sich nicht an Kinder unter 16 Jahren. Bei der Registrierung fragen wir dein Geburtsjahr ab und lassen nur Jahrgänge zu, die im laufenden Jahr mindestens 16 werden. Weil wir nur das Jahr und nicht das genaue Datum kennen, kann jemand kurz vor seinem 16. Geburtstag durchrutschen. Erfahren wir von einem Konto einer Person unter 16 Jahren, löschen wir es.

11. Änderungen

Wir passen diese Erklärung an, wenn sich die App oder die Rechtslage ändert. Wesentliche Änderungen kündigen wir mindestens 14 Tage vorher in der App an.

12. Website birdiebuddy.ch

Die Website birdiebuddy.ch läuft auf demselben Server wie die App (Abschnitt 6). Sie setzt keine Cookies, verwendet kein Tracking und lädt keine Inhalte von Dritten — auch die Schriften liegen auf unserem Server.

Beim Aufruf einer Seite notiert der Server im Zugriffsprotokoll der Website deine IP-Adresse, den Zeitpunkt, die aufgerufene Adresse, den Statuscode, die Kennung deines Browsers und — falls dein Browser sie mitschickt — die Seite, von der du kommst. Zweck: Betrieb der Website und Abwehr von Missbrauch (berechtigtes Interesse, lit. f). Spätestens nach einem Tag (bei viel Betrieb schon ab 10 MB) beginnt eine neue Datei; die älteren löschen wir 7 Tage danach. Ein Eintrag bleibt damit höchstens 9 Tage gespeichert. [offen: Frist bestätigen.]

Schreibst du uns eine E-Mail (z. B. an die Support-Adresse), verwenden wir deine Adresse und deine Nachricht nur, um dir zu antworten. [offen: E-Mail-Anbieter der Support-Adresse nennen, sobald das Postfach steht — die Domain liegt bei Hostpoint.]