Datenschutzerklärung

Stand: 8. August 2026

Der Schutz deiner persönlichen Daten ist uns sehr wichtig. In dieser Datenschutzerklärung informieren wir dich darüber, welche Daten wir erheben, wie wir sie verwenden und welche Rechte du hast.

1. Verantwortlicher

Datenschutzbeauftragter (Art. 37 DSGVO)

Wir sind gemäß § 38 BDSG nicht zur Bestellung eines Datenschutzbeauftragten verpflichtet, da weniger als 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unsere Kerntätigkeit erfordert zudem keine umfangreiche regelmäßige und systematische Überwachung (Art. 37 Abs. 1 lit. b DSGVO). Für Datenschutzanfragen: Lenny@gathered.world

2. Welche Daten wir erheben

2.1 Account-Daten

Bei der Registrierung erheben wir:

• Name oder Benutzername
• E-Mail-Adresse
• Profilbild (optional)
• Bei Apple Sign-In: Apple ID (anonymisiert)

2.2 Standortdaten

Mit deiner Erlaubnis erheben wir deinen Standort, um:

• Events in deiner Nähe anzuzeigen
• Die Entfernung zu Events zu berechnen

Wenn du der Standortnutzung zugestimmt hast und noch keine Stadt in deinem Profil hinterlegt ist, leiten wir aus deiner ungefähren Position deine Stadt ab und speichern den Stadtnamen (keine genauen Koordinaten) in deinem Profil — unter anderem für aggregierte Event-Statistiken. Du kannst die Stadt in deinem Profil jederzeit ändern.

Zusätzlich speichern wir eine vergröberte Ortsangabe, damit wir dir Benachrichtigungen über neue Events in deiner Umgebung schicken können. Dabei wird deine Position beim Öffnen der App auf ein Raster von rund 39 km × 20 km gerundet und nur dieses Rasterfeld gespeichert (technisch: ein vierstelliger Geohash) — nie deine genauen Koordinaten und nie ein Bewegungsverlauf. Wir speichern ausschließlich das zuletzt bekannte Rasterfeld, höchstens einmal pro Tag aktualisiert. Bis August 2026 war dieses Raster mit rund 156 km × 156 km deutlich gröber; die Verfeinerung war nötig, weil sich aus einem so großen Feld keine sinnvolle Umkreis-Empfehlung ableiten lässt. Feiner als dieses Raster speichern wir die Angabe nicht.

Du kannst die Standortberechtigung jederzeit in den Geräteeinstellungen widerrufen. Ohne Standortfreigabe erhältst du keine Benachrichtigungen über Events in deiner Umgebung; alle übrigen Funktionen bleiben nutzbar.

2.3 Nutzungsdaten und technische Diagnosedaten

Für Produktverbesserung und technische Diagnose erfassen wir in der normalen App event-only Nutzungsdaten ohne Account-ID und ohne absichtliche Cross-Session-Verknüpfung. Eine ausdrückliche Ablehnung in den Datenschutzeinstellungen stoppt diese Sammlung. Dazu gehören insbesondere:

• besuchte Bildschirme und Interaktionen mit Funktionen und Events
• technische Angaben wie Plattform (iOS/Android), Betriebssystem, App-Version, Session-ID und grobe Performance-Werte
• App-Abstürze, Fehler- und Performance-Metriken
• pseudonyme Analysekennungen; eine Verknüpfung mit deiner internen Account-ID erfolgt nur nach dem separaten Opt-in für personalisierte Analytics

Wir verwenden dafür Firebase Analytics, Firebase Crashlytics, Firebase Performance Monitoring und PostHog. Nachrichten- und Chat-Inhalte, Event-Titel und -Beschreibungen sowie exakte Standortdaten werden nicht als Produkt-Analytics-Eigenschaften an diese Anbieter übermittelt; allenfalls kann eine anonymisierte Funktionsnutzung (z. B. „Nachricht gesendet“) erfasst werden.

2.4 Session Replay (separater Opt-in)

Session Replay von PostHog ist in der normalen App vollständig deaktiviert, bis du die dafür vorgesehene Einwilligung ausdrücklich aktivierst. Bei aktivierter Einwilligung werden bei einer Stichprobe von derzeit 10 % der Sitzungen anonymisierte Bildschirmzustände und Interaktionen zur Fehler- und Usability-Analyse verarbeitet. Texte, Eingabefelder, Bilder und Plattform-Views (z. B. Karten, WebViews oder Kameraansichten) werden bereits auf dem Gerät maskiert. Native Systembildschirme sowie Netzwerk- und Log-Inhalte werden nicht aufgezeichnet.

Für ausdrücklich ausgewählte interne TestFlight-Tester kann ein separat gebauter Testmodus Retention mit einer Account-ID und Session Replay mit 100 % Stichprobe aktivieren. Dieser Build verwendet dasselbe Event-Schema wie die Production-App und ist nicht für öffentliche oder Production-Tracks bestimmt.

Session Replay ist ein eigener Zweck und nicht automatisch Bestandteil der Einwilligung für anonyme Produktstatistiken. Du kannst die Einwilligung jederzeit unter Einstellungen > Datenschutz & Sicherheit widerrufen. Danach werden keine neuen Aufzeichnungen erstellt; bereits gespeicherte Aufzeichnungen werden spätestens nach der derzeitigen PostHog-Aufbewahrungsfrist von 30 Tagen gelöscht, sofern sie nicht vorher gelöscht werden.

2.5 Event-Daten

Wenn du ein Event erstellst, speichern wir:

• Event-Titel und Beschreibung
• Datum, Uhrzeit und Ort
• Event-Bilder
• Teilnehmerlisten

2.6 Technische Daten / Device Fingerprint

Zur Betrugsabwehr erstellen wir einen anonymisierten Geräte-Hash (SHA-256). Dieser wird nur temporär zur Erkennung von Missbrauch (Rate-Limiting) verwendet und nicht dauerhaft gespeichert.

2.7 Aggregierte Event-Statistiken (Crowd Insight)

Für öffentliche Events erstellen wir aggregierte, anonymisierte Statistiken über die zugesagten Gäste ("Crowd Insight"). Dafür verarbeiten wir server-seitig folgende Profilangaben der Gäste:

• Geburtsdatum — ausschließlich umgerechnet in eine Altersgruppe (unterste Gruppe 16–18)
• Geschlecht — für das aggregierte Geschlechter-Verhältnis
• Wohnort-Stadt — nur der im Profil hinterlegte Stadtname, niemals GPS-Daten
• Gewählte Interessen — für die Top-Interessen der Teilnehmer
• Teilnahme-Historie beim jeweiligen Veranstalter — für den Anteil wiederkehrender Gäste

Zweck: Gästen und Veranstaltern einen anonymen Eindruck der erwarteten Crowd eines Events zu geben (z. B. Altersgruppen-Verteilung, Anteil der Gäste aus der Event-Stadt).

Empfänger: Die Statistiken sehen ausschließlich zahlende "Gathered Pro"-Abonnenten sowie der Veranstalter des jeweiligen Events — beide sehen nur die Aggregate. Werte einzelner Gäste sind technisch nicht abrufbar, auch nicht für Abonnenten. Statistiken werden erst ab 2 zugesagten Gästen angezeigt, die vollständige Detail-Ansicht erst ab 5 — so lassen sich keine Rückschlüsse auf einzelne Personen ziehen. Auch Gäste mit privatem Profil fließen in die anonymen Aggregate ein.

Speicherdauer: Die aggregierten Statistiken werden bis 7 Tage nach Event-Ende gespeichert und dann automatisch gelöscht; bei Löschung des Events sofort.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an anonymisierten Event-Statistiken). Widerspruch (Art. 21 DSGVO): Du kannst der Einbeziehung deiner Profilangaben jederzeit widersprechen — du wirst dann nur noch in "unbekannt"-Kategorien gezählt. Bis es dafür einen Schalter in den App-Einstellungen gibt, genügt eine E-Mail an Lenny@gathered.world.

2.8 Bewertungen (Gathered Score)

Nach einem Event können verifizierte Teilnehmer das Event bzw. den Veranstalter mit einem Wert von 0 bis 10 bewerten ("Gathered Score"), optional mit einem öffentlichen Text. Veranstalter können umgekehrt ihre Gäste bewerten. Dabei verarbeiten wir:

• Bewertungswert (0–10) — fließt ausschließlich in einen aggregierten Durchschnitt ein
• Optionaler Bewertungstext — auf deine Wahl anonym oder mit deinem Namen und Profilbild veröffentlicht
• Event-Teilnahme — zur server-seitigen Prüfung, dass nur echte Teilnehmer bewerten
• Konto-Erstellungsdatum — zur Missbrauchs-Abwehr (Bewertungen sehr junger Konten werden geringer gewichtet)

Anonymität: Der reine Zahlenwert wird ohne deinen Namen veröffentlicht — sichtbar ist nur ein laufend aktualisierter Durchschnitt aller Bewertungen. Beachte: bei Events mit sehr wenigen Bewertungen kann der Veranstalter unter Umständen Rückschlüsse auf einzelne Bewertungen ziehen (z. B. wenn nur eine Person bewertet hat). Schreibst du einen Text, entscheidest du selbst, ob er anonym oder mit Namen erscheint (Voreinstellung: anonym); bei anonymen Texten wird der Veröffentlichungszeitpunkt zusätzlich auf den Kalendertag vergröbert. Die Anonymität gilt gegenüber anderen Nutzern — nicht gegenüber uns als Betreiber: server-seitig bleibt deine Bewertung deinem Konto zugeordnet (erforderlich für Moderation, Missbrauchs-Abwehr, Meldungen nach dem Digital Services Act und die Löschung deiner Daten).

Gast-Bewertungen: Bewertungen von Veranstaltern über Gäste sind niemals öffentlich. Veranstalter sehen ausschließlich einen aggregierten Durchschnitt im Kontext von Teilnahme-Anfragen. Deinen eigenen Gast-Durchschnitt kannst du jederzeit in der App einsehen (Art. 15 DSGVO).

Speicherdauer: Bewertungen bleiben gespeichert, solange dein Konto besteht. Bei Löschung deines Kontos werden deine abgegebenen und die über dich abgegebenen Bewertungen gelöscht und die Durchschnittswerte entsprechend korrigiert; öffentliche Texte kannst du zusätzlich jederzeit selbst löschen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bewertungsfunktion als Teil des Dienstes) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem vertrauenswürdigen, sicheren Bewertungssystem und an Missbrauchs-Abwehr).

2.9 Schul-/Uni-Netzwerk ("Deine Schule/Uni")

Du kannst freiwillig deine Schule oder Hochschule angeben, um zu sehen, wer aus deiner Einrichtung Gathered nutzt, und um über neue Events aus deiner Einrichtung informiert zu werden. Dabei verarbeiten wir:

• Name deiner Schule/Hochschule — von dir aus einem vorgegebenen Verzeichnis ausgewählt (keine Freitext-Adresse, keine GPS-Daten)
• Dein Anzeigename und Profilbild — dieselben Daten, die auch sonst in deinem öffentlichen Profil erscheinen
• Zeitpunkt des Eintrags — für die Reihenfolge der Mitgliederliste

Sichtbarkeit: Sobald du eine Schule/Hochschule einträgst, erscheinst du in einer Mitgliederliste, die ausschließlich für andere Nutzer sichtbar ist, die dieselbe Schule/Hochschule eingetragen haben. Sichtbar sind dort nur dein Anzeigename und dein Profilbild — dieselben Daten wie in deinem öffentlichen Profil. Der reine Zähler ("X Personen sind hier") ist aggregiert und lässt keine Rückschlüsse auf einzelne Personen zu. Wir veröffentlichen an keiner Stelle eine durchsuchbare oder für Außenstehende abrufbare Liste einer Schule; der Abruf ist technisch auf angemeldete Mitglieder derselben Einrichtung beschränkt.

Widerspruch / Verbergen (Opt-out): Du kannst deine Sichtbarkeit jederzeit in den Datenschutz-Einstellungen deaktivieren. Du verschwindest dann sofort aus der Mitgliederliste und deine öffentlichen Events werden nicht mehr deiner Einrichtung zugeordnet; der aggregierte Zähler bleibt bestehen. Du kannst deine Schule/Hochschule auch vollständig entfernen.

Event-Benachrichtigungen: Erstellst du ein öffentliches Event, während deine Schul-Sichtbarkeit aktiv ist, können Mitglieder derselben Einrichtung eine Push-Benachrichtigung darüber erhalten (sofern sie Benachrichtigungen zugelassen haben). Private, nur per Link teilbare oder gruppeninterne Events werden hierbei niemals einbezogen.

Freundes-Einladungen: Lädst du Freunde über einen Einladungslink ein, enthält dieser eine Kennung deiner Schule/Hochschule sowie eine Verweis-Kennung, damit die eingeladene Person deine Einrichtung vorgeschlagen bekommt. Es werden dabei keine Kontaktdaten aus deinem Adressbuch verarbeitet.

Hinweis zur Verifikation: Die Angabe der Schule/Hochschule wird nicht gesondert überprüft. Trage nur Angaben ein, die du offenlegen möchtest.

Speicherdauer: Deine Schul-/Hochschul-Zuordnung bleibt gespeichert, solange du sie hinterlegt hast bzw. dein Konto besteht. Bei Entfernen der Angabe oder Löschung deines Kontos wird sie gelöscht und der aggregierte Zähler entsprechend korrigiert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch die freiwillige Eintragung, jederzeit widerrufbar über den Sichtbarkeits-Schalter) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Vernetzung von Nutzern derselben Einrichtung). Bei Minderjährigen ab dem vollendeten 16. Lebensjahr stützen wir uns nach Art. 8 DSGVO auf deren eigene Einwilligung; Gathered ist ab 16 Jahren nutzbar (siehe Ziffer 10).

2.10 Campus-Puls ("Wer macht was / wer geht wohin")

Der Campus-Puls ist ein Teil des Schul-/Uni-Netzwerks (Abschnitt 2.9) und macht für Mitglieder deiner Einrichtung sichtbar, wer gerade an welcher Aktivität oder welchem Event teilnimmt. Es gibt zwei Arten:

• Plan-Puls — von dir selbst erstellt, entweder aus vorgegebenen Vorlagen (z. B. Bibliothek, Mensa, Sport, Kaffee) oder mit einem eigenen Kurztext. Ein Plan-Puls gilt nur für den laufenden Tag, hat einen eigenen Puls-Chat und kann optional eine Beitritts-Bestätigung durch dich verlangen.
• Event-Puls — entsteht automatisch, wenn mehrere Mitglieder deiner Einrichtung demselben öffentlichen Event zusagen.

Dabei verarbeiten wir:

• Bei einem selbst erstellten Plan-Puls: die gewählte Vorlage bzw. deinen Freitext-Titel (max. 60 Zeichen), die Angabe, ob eine Beitritts-Bestätigung nötig ist, sowie dass du der Ersteller bist.
• Teilnehmer-Kennungen — die Nutzer-Kennungen (IDs) derjenigen, die einem Puls beigetreten sind bzw. beim Event-Puls demselben Event zugesagt haben. Namen und Profilbilder werden nicht am Puls gespeichert, sondern erst beim Anzeigen aus der Mitgliederliste deiner Einrichtung ergänzt.
• Beim Event-Puls zusätzlich die Kennung des betreffenden öffentlichen Events.
• Puls-Chat — deine Textnachrichten im Chat eines Pulses.
• Beitritts-Anfragen — verlangt der Ersteller eine Bestätigung, wird ihm dein Anzeigename angezeigt, damit er entscheiden kann.

Keine Standortdaten: Für den Puls selbst werden keine GPS- oder Standortdaten erhoben. Ein Plan-Puls besteht nur aus Vorlage bzw. Kurztext (bitte gib dort keine genaue Adresse ein – ein entsprechender Hinweis erscheint in der App); ein Event-Puls verweist lediglich auf ein bereits öffentliches Event.

Sichtbarkeit: Pulse und ihre Teilnehmer (jeweils Anzeigename und Profilbild – dieselben Daten wie in deinem öffentlichen Profil) sind ausschließlich für angemeldete Mitglieder derselben Einrichtung sichtbar, deren Campus geöffnet ist. Es findet keine Verpixelung statt (echte Namen und Gesichter). Von dir blockierte bzw. dich blockierende Personen sehen deine Pulse nicht und umgekehrt. Ein Puls macht damit für deine Mitschüler bzw. Kommilitonen sichtbar, woran du gerade teilnimmst – erstelle bzw. betrete nur Pulse, deren Sichtbarkeit du in Kauf nehmen möchtest.

Push-Benachrichtigungen: Mitglieder deiner Einrichtung können – sofern sie Benachrichtigungen zugelassen haben – über neue Pulse informiert werden. Diese Sperrbildschirm-Hinweise sind bewusst anonymisiert (kein Name, kein Ort – etwa "Neuer Puls an deinem Campus" oder "X von deinem Campus gehen hin"). Eine Beitritts-Anfrage und deren Bestätigung enthalten den jeweiligen Anzeigenamen und gehen an genau eine Person. Es gelten Ruhezeiten (22–8 Uhr) und eine Tagesobergrenze.

Moderation und Meldung: Freitext-Titel und Chat-Nachrichten durchlaufen eine automatische Inhaltsprüfung; unzulässige Inhalte werden blockiert (siehe Abschnitt zur Content Moderation). Du kannst einen Puls melden (Meldeverfahren nach Art. 16 Digital Services Act).

Speicherdauer: Ein Plan-Puls wird nach Ablauf des Tages automatisch gelöscht; der zugehörige Chat bleibt bis 24 Stunden nach Puls-Ende bestehen und wird dann samt Nachrichten und offenen Anfragen automatisch entfernt. Ein Event-Puls endet mit dem Event bzw. wird sofort gelöscht, wenn das Event abgesagt, auf privat gestellt oder gelöscht wird. Deaktivierst du deine Schul-Sichtbarkeit, wechselst die Einrichtung oder löschst dein Konto, werden deine eigenen Pulse gelöscht und du wirst aus allen Teilnehmerlisten und offenen Anfragen entfernt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch das freiwillige Erstellen bzw. den Beitritt zu einem Puls) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der spontanen Vernetzung von Mitgliedern derselben Einrichtung); die Inhaltsmoderation stützt sich auf Art. 6 Abs. 1 lit. f DSGVO (Sicherheit der Plattform). Bei Minderjährigen ab dem vollendeten 16. Lebensjahr stützen wir uns nach Art. 8 DSGVO auf deren eigene Einwilligung; Gathered ist ab 16 Jahren nutzbar (siehe Ziffer 10).

2.11 Direktnachrichten (1:1-Chat)

Du kannst einzelnen Personen direkt schreiben. Ein solcher Chat ist nur möglich, wenn ihr beide demselben Event zugesagt habt oder ihr euch gegenseitig folgt – ein Anschreiben aus der Suche oder dem Feed heraus gibt es nicht. Die erste Nachricht an eine noch nicht bestätigte Person ist eine Anfrage: bis der Empfänger sie annimmt, kannst du keine weitere Nachricht senden.

Dabei verarbeiten wir:

• Nachrichteninhalte — deine Texte, gesendete Fotos und Sprachaufnahmen sowie Antwort-Bezüge und Reaktionen.
• Beteiligte und Zeitpunkt — die Nutzer-Kennungen beider Gesprächspartner, Sende- und Zustellzeitpunkt sowie der Zeitpunkt, zu dem du einen Chat zuletzt geöffnet hast (für die Ungelesen-Anzeige).
• Anlass des Chats — die Kennung des Events, über das der Kontakt entstanden ist, sowie die Angabe, ob ihr verabredet habt, gemeinsam hinzugehen.

Sichtbarkeit: Ein Chat ist ausschließlich für die beiden Beteiligten lesbar. Wir greifen nicht anlasslos auf Chatinhalte zu; ein Zugriff erfolgt nur, wenn eine Nachricht gemeldet wird oder wir gesetzlich dazu verpflichtet sind.

Keine Ende-zu-Ende-Verschlüsselung: Deine Nachrichten sind auf dem Transportweg (TLS) und auf unseren Servern verschlüsselt gespeichert, jedoch nicht Ende-zu-Ende-verschlüsselt. Technisch bedeutet das: Inhalte könnten von uns eingesehen werden, etwa zur Bearbeitung einer Meldung. Wenn du Nachrichten austauschen möchtest, die niemand außer dem Empfänger einsehen können soll, nutze dafür bitte einen Ende-zu-Ende-verschlüsselten Messenger.

Automatische Inhaltsprüfung – Umfang: Textnachrichten durchlaufen einen automatischen Wortfilter, der Beleidigungen, Bedrohungen und bestimmte Betrugsmuster blockiert. Fotos und Sprachaufnahmen werden nicht automatisch auf ihren Inhalt geprüft, und auch bei Texten erkennt der Wortfilter keine Inhalte, die ohne einschlägige Begriffe auskommen. Wir weisen ausdrücklich darauf hin, damit du dies bei der Entscheidung berücksichtigen kannst, mit wem du schreibst und was du sendest.

Melden und Blockieren: Du kannst jede einzelne Nachricht melden – auch ein Foto oder eine Sprachaufnahme; die betreffende Datei wird der Meldung zur Prüfung beigefügt (Meldeverfahren nach Art. 16 Digital Services Act). Du kannst eine Person jederzeit blockieren; damit ist ein weiterer Austausch in beide Richtungen ausgeschlossen.

Push-Benachrichtigungen: Über eine neue Anfrage informieren wir dich bewusst ohne Absendernamen und ohne Nachrichtentext (etwa „Jemand von einem deiner Events hat dir geschrieben"), damit dich unerwünschte Inhalte nicht ungefragt auf dem Sperrbildschirm erreichen. Erst nach deiner Annahme enthalten Benachrichtigungen Name und Nachrichtentext. Du kannst jeden Chat einzeln stummschalten.

Alter: Innerhalb des 1:1-Chats gibt es keine Beschränkung nach Alter; Gathered ist insgesamt ab 16 Jahren nutzbar (siehe Ziffer 10).

Speicherdauer: Angenommene Chats bleiben dauerhaft bestehen, damit ein entstandener Kontakt nicht verloren geht – du kannst einzelne Nachrichten jederzeit löschen. Eine nicht angenommene Anfrage wird 14 Tage nach Ende des zugrunde liegenden Events automatisch gelöscht. Löschst du dein Konto, werden deine Nachrichten anonymisiert und deine gesendeten Fotos und Sprachaufnahmen gelöscht; der Gesprächsverlauf deines Gegenübers bleibt im Übrigen erhalten, da er auch dessen eigene Daten enthält.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags – die Kommunikation zwischen Teilnehmenden ist Teil der angebotenen Leistung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit der Plattform für Wortfilter, Melde- und Blockierfunktion).

3. Rechtsgrundlagen (Art. 6 DSGVO)

Die Verarbeitung deiner personenbezogenen Daten erfolgt auf Basis folgender Rechtsgrundlagen:

4. Dienste und Drittanbieter

4.1 Firebase (Google)

Wir nutzen Firebase (Betreiber: Google Ireland Limited für EU-Kunden, Sub-Processor: Google LLC, USA) für folgende Dienste:

• Firebase Authentication — Login-Mechanismen (E-Mail, Google Sign-In, Sign in with Apple)
• Cloud Firestore — Event-, Profil- und Chat-Datenbank (Region: europe-west10 Berlin)
• Cloud Storage — Bilder und Medien (Region: europe-west1 Belgien)
• Cloud Functions — Server-Logik (Region: europe-west1)
• Firebase Cloud Messaging (FCM) — Push-Benachrichtigungen; überträgt Device-Token + Nachrichtentext an Google-Server
• Firebase App Check (Play Integrity) — Missbrauchs-Schutz, übermittelt Geräte-Attestierung an Google
• Firebase Analytics — event-only Produkt- und Nutzungsevents ohne Account-ID; eine Account-ID wird erst nach dem separaten personalisierten Analytics-Opt-in gesetzt
• Firebase Crashlytics und Performance Monitoring — Crash-, Fehler- und Performance-Metriken im selben event-only Diagnosekanal
• Firebase Remote Config — Feature-Flags, kein PII-Transfer

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) für Auth/Firestore/Storage/Functions/FCM/App Check; Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Stabilität und Produktverbesserung, vorbehaltlich der dokumentierten Interessenabwägung) für den event-only Diagnosekanal. Die Account-Verknüpfung bleibt ein separater Zweck.

Datenschutzrichtlinie: firebase.google.com/support/privacy

4.2 Stripe

Für kostenpflichtige Events nutzen wir Stripe als Zahlungsdienstleister. Stripe verarbeitet Zahlungsdaten eigenverantwortlich.

Datenschutzrichtlinie: stripe.com/de/privacy

4.3 PostHog

Wir nutzen PostHog für Product Analytics, Feature Flags und — nur nach einem separaten Opt-in — Session Replay. Das Projekt ist auf der EU-Region eu.i.posthog.com konfiguriert.

• Event-only Nutzungsanalyse: Produkt-, Onboarding-, Fehler- und Performance-Metriken ohne Account-ID und ohne absichtliche Cross-Session-Verknüpfung
• Personalisierte Analyse: Verknüpfung mit einer pseudonymen internen Account-ID, nur nach separater Einwilligung nach dem Login
• Session Replay: in der normalen App nur bei aktivierter separater Einwilligung mit 10 % Stichprobe; im gekennzeichneten internen Testmodus 100 % Stichprobe
• Aktuelle Aufbewahrung im PostHog-Projekt: maximal 30 Tage

Datenschutzrichtlinie: posthog.com/privacy

4.4 Umami Analytics

Für unsere Website nutzen wir Umami Analytics — eine cookielose, datenschutzfreundliche Web-Analyse. Es werden keine personenbezogenen Daten erfasst.

Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO)

4.5 OpenAI

Wir nutzen OpenAI für die automatische Inhaltsmoderation (Text-Prüfung auf unangemessene Inhalte). Inhalte werden nur zur Moderation übermittelt und nicht für Training verwendet.

Datenschutzrichtlinie: openai.com/privacy

4.6 Google Cloud Vision

Wir nutzen Google Cloud Vision API zur automatischen Moderation von hochgeladenen Fotos (Erkennung unangemessener Bildinhalte). Hochgeladene Bilder werden zur Analyse an Google übermittelt. Google verarbeitet die Bilder ausschließlich zur Bereitstellung des Dienstes und nicht für eigene Zwecke.

Rechtsgrundlage: Berechtigtes Interesse an der Sicherheit unserer Plattform (Art. 6 Abs. 1 lit. f DSGVO)

4.7 RevenueCat (USA)

Für die Abwicklung von In-App-Käufen (bezahlte Reichweite "Boost" und das Abonnement "Gathered Pro") nutzen wir RevenueCat Inc. (600 California St, San Francisco, CA 94108, USA).

RevenueCat verarbeitet:

• Apple/Google Transaction-IDs — eindeutige Kennung deines Kaufs
• Firebase-User-ID (UID) — als App-User-ID für Zuordnung
• Subscriber-Attributes — z.B. Reservierungs-ID für Slot-Zuordnung
• Kauf-Metadaten — Produkt-ID, Kaufzeitpunkt, Kaufpreis, Refund-Status
• Abo-Status — beim Gathered-Pro-Abonnement zusätzlich Beginn und Ablauf der Abo-Periode sowie Verlängerungs- und Kündigungsstatus

Drittlandsübermittlung: USA. RevenueCat ist nicht im EU-U.S. Data Privacy Framework (TADPF) zertifiziert. Übermittlung erfolgt auf Grundlage von EU-Standardvertragsklauseln (Modul 2, Beschluss 2021/914 der Kommission).

Speicherdauer: Bis zur Löschung deines Accounts oder maximal 7 Jahre nach letzter Transaktion (steuerliche Aufbewahrungspflicht §147 AO).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung)

Datenschutzrichtlinie: revenuecat.com/privacy

4.8 Brevo (EU)

Für transaktionale E-Mails im Rahmen von bezahlter Reichweite ("Boost") nutzen wir Brevo SAS (106 Boulevard Haussmann, 75008 Paris, Frankreich).

Brevo versendet in unserem Auftrag:

• §312f BGB Eingangsbestätigung bei Kauf eines Boost
• §356a BGB Eingangsbestätigung bei Widerruf eines Boost-Vertrags
• Interne Operator-Benachrichtigungen bei Refund-Bedarf

Verarbeitete Daten: E-Mail-Adresse, Name (falls im Widerrufs-Formular angegeben), Bestellnummer/Purchase-ID.

Drittlandsübermittlung: keine — Brevo verarbeitet ausschließlich innerhalb der EU.

Speicherdauer: E-Mail-Versand-Logs werden für 30 Tage gespeichert, danach automatisch gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung — §312f / §356a BGB)

Datenschutzrichtlinie: brevo.com/privacy-policy

4.9 Sentry (USA)

Für Fehler-Monitoring (Crash-Reports, nicht-fatale Server-Errors) nutzen wir Functional Software Inc. dba Sentry (45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA).

Sentry verarbeitet:

• Stack-Traces und Fehler-Metadaten (Datei-Pfade, Funktions-Namen, Browser/Device-Versionen)
• Anonymisierte User-IDs (Firebase UID) — keine Klarnamen oder E-Mail-Adressen
• App-Version, Build-Number, Cloud-Functions-Trace-IDs

Verarbeitete Daten dienen ausschließlich der Stabilität der App und werden nicht für andere Zwecke (Werbung, Profiling) genutzt.

Drittlandsübermittlung: USA. Übermittlung erfolgt auf Grundlage von EU-Standardvertragsklauseln (Modul 2, Beschluss 2021/914 der Kommission).

Speicherdauer: 30 Tage automatische Löschung (Sentry-Default).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse — Bereitstellung eines fehlerfreien Dienstes).

Datenschutzrichtlinie: sentry.io/privacy

4.10 Snap Camera Kit (USA) — AR-Filter in der Event-Kamera

Wenn du beim Erstellen eines Events die Kamera nutzt, kannst du AR-Filter („Linsen") anwenden. Dafür setzen wir Camera Kit von Snap Inc. (3000 31st Street, Santa Monica, CA 90405, USA) ein.

Die Filter laufen auf deinem Gerät. Dein Kamerabild wird ausschließlich lokal verarbeitet und nicht an Snap übertragen. Das aufgenommene Foto oder Video landet allein in deinem Event in unserem EU-Speicher.

An Snap übermittelt werden:

• Eine zufällige, app-eigene Kennung zur Abrechnung und Missbrauchs-Erkennung — sie ist nicht mit deinem Gathered-Konto, deinem Namen oder einem Snapchat-Konto verknüpft
• Geräte- und Nutzungsdaten (Gerätemodell, Betriebssystem-Version, App-Version, welche Linse wie lange genutzt wurde)
• Absturz- und Leistungsdaten des Camera-Kit-Bausteins

Das Datenschutz-Manifest des SDK weist zusätzlich aus, dass es technisch auf präzise Standortdaten sowie auf Umgebungs-, Hand- und Kopfbewegungs-Erkennung zugreifen kann — Letzteres, weil Linsen auf Gesichter und Bewegungen reagieren. Diese Verarbeitung findet auf dem Gerät statt und ist laut Snap nicht mit deiner Person verknüpft; eine Nutzung zu Tracking-Zwecken ist ausdrücklich ausgeschlossen. Gathered selbst betreibt kein App-Tracking.

Snaps eigene Nutzungsbedingungen: Beim ersten Öffnen der Filter zeigt dir Camera Kit selbst einen Hinweis auf Snaps Nutzungsbedingungen, den du bestätigen musst. Ohne diese Bestätigung werden keine Filter geladen.

Freiwilligkeit: Die Filter sind ein Zusatz. Du kannst Fotos und Videos jederzeit ohne Filter aufnehmen; die Kamera funktioniert dann vollständig ohne Snap.

Drittlandsübermittlung: USA. Übermittlung auf Grundlage von EU-Standardvertragsklauseln (Modul 2, Beschluss 2021/914 der Kommission).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Bereitstellung der von dir aufgerufenen Filter-Funktion).

Datenschutzrichtlinie: snap.com/privacy · Camera-Kit-Bedingungen: snap.com/terms/camera-kit

4.11 Snapchat-Verknüpfung (optional) — Bitmoji als Profilbild

Du kannst dein Snapchat-Konto freiwillig verknüpfen, um dein Bitmoji als Gathered-Profilbild zu nutzen. Die Anmeldung läuft über Snaps offizielles Login-Verfahren (OAuth 2.0); dein Snapchat-Passwort erfährt Gathered dabei nie.

Abgerufen wird ausschließlich die Bild-Adresse deines Bitmoji-Avatars. Das Bild wird anschließend wie ein normales Profilfoto in unserem EU-Speicher abgelegt. Das Zugriffs-Token von Snap wird nach dem einmaligen Abruf sofort verworfen und nicht gespeichert — Gathered hat danach keinen Zugriff mehr auf dein Snapchat-Konto.

Freiwillig; du kannst dein Profilbild jederzeit ändern. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), widerrufbar durch Wechsel des Profilbilds.

5. Datenübermittlung in Drittländer (Art. 44-49 DSGVO)

Einige Dienstleister können Daten auch außerhalb der Europäischen Union verarbeiten. Soweit erforderlich, erfolgt die Übermittlung auf Grundlage von EU-Standardvertragsklauseln (Standard Contractual Clauses, SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO und weiterer geeigneter Garantien. Die konkrete Verarbeitung hängt vom jeweils genutzten Dienst ab.

Betroffene Dienstleister:

• Google LLC / Google Ireland Limited (Firebase Auth, Firestore, Cloud Storage, Cloud Functions, FCM, Crashlytics, Firebase Analytics, Performance Monitoring, App Check, Remote Config, Cloud Vision API) — Firebase Authentication wird laut Google ausschließlich in US-Rechenzentren betrieben; bei den übrigen Firebase-Diensten ist das Projekt soweit verfügbar auf EU-Regionen (u. a. europe-west1/europe-west10) eingestellt, wobei eine Verarbeitung auf globaler Google-Infrastruktur bzw. in den USA technisch möglich bleibt
• OpenAI (Content Moderation) — SCCs, es werden keine personenbezogenen Daten übermittelt (nur Content-Texte zur Moderation)
• Stripe (Zahlungsabwicklung) — SCCs, PCI-DSS-zertifiziert
• RevenueCat Inc. (IAP-Abwicklung, Boost-Käufe) — SCCs, keine TADPF-Zertifizierung
• Apple Inc. (App Store, Apple Pay, IAP-Marketplace-Facilitator) — SCCs, DPA Apple Developer Agreement, primäre Verarbeitung in Irland
• PostHog (event-only Product Analytics; Account-Verknüpfung und Session Replay jeweils separat) — EU-Region (eu.i.posthog.com); einzelne Sub-Processor können in den USA sitzen, abgesichert durch die vertraglichen Garantien von PostHog
• Sentry (Functional Software Inc.) (Fehler-Monitoring) — SCCs, anonymisierte User-IDs
• Snap Inc. (Camera Kit — AR-Filter; optional Snapchat-Verknüpfung für das Bitmoji) — SCCs; das Kamerabild verlässt das Gerät nicht, übermittelt werden nur eine app-eigene Zufalls-Kennung sowie Geräte-, Nutzungs- und Absturzdaten

6. Datenspeicherung und Aufbewahrungsfristen

Unsere projektbezogenen Firebase-Datenbanken und Speicher sind soweit verfügbar in EU-Regionen (u. a. europe-west1 und europe-west10) konfiguriert. Einzelne Dienste wie Firebase Authentication oder technische Sub-Processor können hiervon abweichen. Wir speichern Daten nur so lange, wie es für die Bereitstellung der App erforderlich ist oder gesetzliche Aufbewahrungsfristen bestehen.

Die automatische Löschung erfolgt täglich um 3:00 Uhr (Europe/Berlin) durch unser serverseitiges Datenbereinigungssystem.

6a. Analytics-Modell (drei getrennte Zwecke)

Stufe 1 — Anonyme Produktanalyse und technische Diagnose

PostHog und Firebase erhalten standardmäßig event-only Ereignisse zur Analyse von Onboarding, Navigation, Feature-Nutzung, Fehlern und Performance. Die Ereignisse enthalten keine Account-ID und werden nicht absichtlich über App-Starts hinweg verknüpft, solange du die personalisierte Analyse nicht separat aktivierst. Inhalte aus Nachrichten und Chats werden nicht übertragen; es können lediglich anonymisierte Funktionsereignisse erfasst werden. Die Sammlung kann in den Datenschutzeinstellungen abgelehnt werden.

Stufe 2 — Personalisierte Analyse

Eine Verknüpfung von Analyse-Daten mit einer pseudonymen internen Account-ID (keine E-Mail-Adresse und kein Klarname) erfolgt erst nach einer separaten Einwilligung nach dem Login. Die personalisierte Einwilligung ist unabhängig von Session Replay.

Stufe 3 — Session Replay

Session Replay ist ein eigener, höher eingriffsintensiver Zweck. Nur bei aktivem Replay-Schalter verarbeitet PostHog für derzeit 10 % der Sitzungen maskierte Bildschirmzustände und Interaktionen zur Fehler- und Usability-Analyse. Texte, Eingaben, Bilder und Plattform-Views werden vor der Übertragung auf dem Gerät maskiert; native Systembildschirme sowie Netzwerk- und Log-Inhalte werden nicht erfasst. Du kannst den Replay-Consent jederzeit unter Einstellungen > Datenschutz & Sicherheit widerrufen.

Rechtsgrundlage: Für den event-only Kanal Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Produktverbesserung und Stabilität; dokumentierte Interessenabwägung). Account-verknüpfte Retention und Session Replay bleiben freiwillige, getrennte Zwecke nach Art. 6 Abs. 1 lit. a DSGVO. Der interne Testmodus ist ausschließlich für ausgewählte TestFlight-Tester vorgesehen.

7. Automatisierte Entscheidungsfindung (Art. 22 DSGVO)

Wir nutzen maschinelles Lernen zur Personalisierung von Event-Empfehlungen. Es findet keine automatisierte Einzelentscheidung im Sinne von Art. 22 DSGVO statt. Alle Empfehlungen sind unverbindliche Vorschläge, die keine rechtliche Wirkung entfalten.

8. Deine Rechte

Du hast folgende Rechte bezüglich deiner Daten:

• Auskunft (Art. 15 DSGVO): Du kannst Auskunft über deine gespeicherten Daten verlangen.
• Berichtigung (Art. 16 DSGVO): Du kannst fehlerhafte Daten korrigieren lassen.
• Löschung (Art. 17 DSGVO): Du kannst die Löschung deiner Daten verlangen.
• Einschränkung (Art. 18 DSGVO): Du kannst die Verarbeitung einschränken lassen.
• Datenübertragbarkeit (Art. 20 DSGVO): Du kannst deine Daten in einem maschinenlesbaren Format erhalten.
• Widerspruch (Art. 21 DSGVO): Du kannst der Verarbeitung widersprechen (siehe unten).

Widerrufsrecht bei Einwilligung (Art. 7 Abs. 3 DSGVO)

Sofern die Verarbeitung deiner Daten auf deiner Einwilligung beruht (z. B. Push-Benachrichtigungen, personalisierte Analytics oder Session Replay), kannst du die jeweilige Einwilligung jederzeit widerrufen. Für den event-only Analytics-Kanal kannst du jederzeit widersprechen bzw. ihn in den Datenschutzeinstellungen deaktivieren. Der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung. Du kannst deine Einwilligung bzw. deinen Widerspruch wie folgt ausüben:

• In der App: Einstellungen → Datenschutz & Sicherheit → Einwilligungen verwalten; Session Replay hat dort einen eigenen Schalter
• Push-Benachrichtigungen: In den Geräteeinstellungen deaktivieren
• Standort: Standortberechtigung in den Geräteeinstellungen widerrufen
• Per E-Mail: Lenny@gathered.world

Widerspruchsrecht (Art. 21 DSGVO)

Du kannst jederzeit Widerspruch gegen die Verarbeitung deiner Daten einlegen:

• In der App: Einstellungen → Datenschutz → Widerspruch gegen Datenverarbeitung
• Per E-Mail: Lenny@gathered.world

Bei Widerspruch gegen personalisierte Empfehlungen werden deine ML-Daten unverzüglich gelöscht.

Daten exportieren oder löschen

In der App unter Profil > Einstellungen > Datenschutz kannst du:

• Alle deine Daten als JSON exportieren
• Deinen Account und alle Daten vollständig löschen

9. Datensicherheit

Wir setzen technische und organisatorische Maßnahmen ein:

• Verschlüsselte Datenübertragung (TLS/SSL)
• Firebase App Check zur Betrugsabwehr
• Regelmäßige Sicherheitsupdates
• Zugriffsbeschränkungen und Authentifizierung

10. Minderjährige

Die App richtet sich an Personen ab 16 Jahren. Wir erheben wissentlich keine Daten von Kindern unter 16 Jahren.

11. Änderungen

Wir können diese Datenschutzerklärung aktualisieren. Bei wesentlichen Änderungen informieren wir dich in der App.

12. Kontakt & Beschwerderecht

Bei Fragen zum Datenschutz kontaktiere uns:

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, z.B. beim Hessischen Beauftragten für Datenschutz und Informationsfreiheit (HBDI).