Datenschutzerklärung

Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) sowie des österreichischen Datenschutzgesetzes (DSG) ist:

Daniel Studera, Schröttergasse 41/4/5, 1100 Wien, Österreich

E-Mail: daniel.studera@swiva.app

Ein Datenschutzbeauftragter ist gesetzlich nicht erforderlich und wurde nicht bestellt.

Geltungsbereich

Diese Erklärung gilt für die Website swiva.app sowie für die mobile App Swiva (iOS und Android). Punkte, die ausschließlich die App betreffen, sind entsprechend gekennzeichnet.

Rechte der betroffenen Personen

Du hast nach Art. 15 bis 22 DSGVO das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit sowie Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen. Erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen.

Anfragen kannst du formlos per E-Mail an daniel.studera@swiva.app richten. Wir bestätigen den Eingang in der Regel innerhalb weniger Tage und antworten spätestens innerhalb eines Monats. Bei der Identitätsprüfung kann es nötig sein, dass wir dich um zusätzliche Informationen bitten, soweit Zweifel an deiner Identität bestehen.

Du hast unbeschadet anderer Rechtsbehelfe das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist insbesondere die Österreichische Datenschutzbehörde, Barichgasse 40-42, 1030 Wien (dsb.gv.at). Nutzerinnen und Nutzer aus Deutschland können sich an die für ihren Wohnsitz zuständige Landesdatenschutzbehörde, Nutzerinnen und Nutzer aus der Schweiz an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB, edoeb.admin.ch) wenden.

Website-Hosting (Cloudflare Pages)

Die Website wird als statische Website über Cloudflare Pages der Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA, ausgeliefert. Beim Aufruf werden technisch notwendige Server-Log-Daten verarbeitet (IP-Adresse, Datum und Uhrzeit, abgerufene Ressource, übertragene Datenmenge, Browsertyp und -version, Betriebssystem, Referrer, Statuscode, Sicherheitsereignisse).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Berechtigtes Interesse ist die sichere, stabile und missbrauchsfreie Auslieferung der Website. Cloudflare kann Daten auch in die USA übermitteln; Cloudflare verwendet hierfür nach eigenen Angaben EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.

Für öffentliche Listen, den nicht in der normalen Navigation verlinkten Listen-Katalog sowie geteilte Profil-, Listen- und Aktivitäts-Links führt die Website zusätzlich serverseitige Funktionen bei Cloudflare aus. Dabei werden der aufgerufene Pfad, gegebenenfalls Link-Parameter und die Sprachpräferenz des Browsers (Accept-Language) verarbeitet und die öffentlich sichtbaren Daten serverseitig von der Swiva-API abgerufen. Dies dient der Webansicht, Link-Vorschauen und der technischen Auffindbarkeit öffentlicher Listen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO (Bereitstellung der gewählten öffentlichen Sichtbarkeit und berechtigtes Interesse an funktionsfähigen Web- und Linkansichten).

Cloudflare Web Analytics

Die Website kann Cloudflare Web Analytics einsetzen, um aggregierte Nutzungs- und Performance-Statistiken (Seitenaufrufe, Web Vitals, Referrer, ungefährer Standort auf Länderebene) zu erheben. Nach Angaben von Cloudflare arbeitet das Produkt ohne Cookies und Fingerprinting-Mechanismen, dient nicht der seitenübergreifenden Wiedererkennung und identifiziert keine einzelnen Personen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse ist die datensparsame Messung von Reichweite und technischer Qualität.

Spracheinstellung (technisch notwendiges Cookie)

Wenn du eine sprachspezifische Seite aufrufst oder die Sprache der Website wechselst, speichern wir deine Auswahl für höchstens ein Jahr im technisch notwendigen Cookie „swiva-language“. Dadurch kann die Website bereits beim nächsten Seitenaufruf serverseitig in der gewählten Sprache ausgeliefert werden. Das Cookie dient ausschließlich der Spracheinstellung und enthält keine Nutzerkennung oder Tracking-Daten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO bzw. § 165 Abs. 3 TKG 2021 (technisch erforderliche Speicherung).

Konto und Authentifizierung (App)

Für die Nutzung der App ist ein Nutzerkonto erforderlich. Bei der Registrierung verarbeiten wir je nach gewähltem Verfahren E-Mail-Adresse, vergebenes Passwort (ausschließlich als Hash), Anzeigename, Spracheinstellung sowie technische Session-Token. Optional sind Profilangaben wie Altersgruppe, Geschlecht und Region. Diese Angaben sind freiwillig.

Alternativ kannst du dich über Drittanbieter anmelden (Sign in with Apple oder Sign in with Google). Dabei übermitteln die Anbieter eine pseudonyme Kennung sowie, soweit verfügbar, Name und E-Mail-Adresse an Swiva. Inhalt und Umfang richten sich nach deinen Einstellungen beim jeweiligen Anbieter.

Zur Absicherung und Verwaltung deiner Sitzung verarbeiten wir außerdem eine zufällig erzeugte Gerätekennung, User-Agent-Informationen, Login-Zeitpunkte, Token-Versionen und Session-Status. Sessions werden als signierte Tokens mit begrenzter Lebensdauer ausgestellt, die du in den Geräteeinstellungen widerrufen kannst. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung und vorvertragliche Maßnahmen).

Für Support, technische Kompatibilität und die Beurteilung der Verbreitung neuer App-Versionen speichern wir zu angemeldeten App-Installationen außerdem Plattform, App- und Build-Version, Expo-Runtime und Update-Kennung, Betriebssystemversion, Gerätehersteller, Gerätemodell, Gerätetyp, Simulatorstatus sowie den Zeitpunkt des letzten Kontakts. Die zufällige Gerätekennung verknüpft diese Angaben mit deinem Konto; sie ist keine Hardware-Seriennummer oder Werbe-ID. Diese Verarbeitung erfolgt unabhängig von der optionalen PostHog-Analyse und wird nicht für Tracking oder Werbung verwendet. Installationseinträge werden spätestens zwölf Monate nach dem letzten Kontakt oder bei endgültiger Kontolöschung gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Profil, Avatare und Uploads (App)

Du kannst ein Avatarbild hochladen oder ein vorgefertigtes Avatar-Preset wählen. Hochgeladene Bilder werden zur Reduktion von Metadaten serverseitig neu kodiert, EXIF-Daten werden dabei entfernt, und im Objektspeicher des Backend-Providers abgelegt. Avatarbilder sind über eine pseudonymisierte URL abrufbar.

Profile können deinen Nutzernamen, Anzeigenamen, Profilbild, Pronomen, Kurz-Bio und das von dir ausgewählte Profil-Interesse anzeigen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Aktivitäten, Listen und Sharing (App)

Die Kernfunktion der App ist das Anlegen und Organisieren von Aktivitäten und Listen. Verarbeitet werden die von dir eingegebenen Inhalte (Titel, Beschreibung, Kategorien, Tags, hinterlegte Links), Zeitstempel, Sichtbarkeitsstatus (privat oder öffentlich) sowie gegebenenfalls mit anderen Konten geteilte Bearbeitungsrechte.

Wenn du eine Liste öffentlich freigibst, ist sie auch ohne Swiva-Konto über eine dauerhafte Webadresse sowie über einen paginierten, nicht in der normalen Website-Navigation verlinkten Katalog abrufbar. Die Webansicht zeigt Listentitel, Beschreibung, Kategorie, Illustration, deinen Nutzernamen und Avatar, die Anzahl der Saves sowie eine automatisch zusammengestellte Auswahl von höchstens zwölf sichtbaren Aktivitäten jeweils mit Titel, Beschreibung, Tags, Wiederholbar-Status und hinterlegten HTTP(S)-Links. Zusätzlich wird die Zahl der weiteren sichtbaren Aktivitäten angegeben. Interne Kennungen, E-Mail-Adresse, Bearbeitungsrechte, Aktivitäts-Ersteller und persönliche Erledigungsstände werden nicht veröffentlicht.

Öffentliche Listenseiten und der Katalog dürfen von Suchmaschinen und anderen Such- oder Assistenzdiensten gecrawlt, indexiert und in Suchergebnissen angezeigt werden. Beim Wechsel auf privat oder nach einer Moderationsmaßnahme werden die Live-Webseite und der Sitemap-Eintrag entfernt; bereits gespeicherte Suchergebnisse, Link-Vorschauen und Drittanbieter-Caches können jedoch zeitverzögert aktualisiert werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Wenn du eine einzelne Aktivität per Link teilst, kann ihr Titel in einer Linkvorschau (z. B. in Messenger-Apps) sichtbar werden, auch wenn die zugehörige Liste privat ist. Angemeldete Personen mit diesem Link können in der App die einzelne Aktivität einschließlich ihrer Inhalte sowie den Namen und die Kategorie der zugehörigen privaten Liste ansehen; auf die übrigen Inhalte der privaten Liste erhalten sie dadurch keinen Zugriff. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Profil-Links und öffentliche Profilansicht

Jedes Profil ist über einen öffentlichen Profil-Link (swiva.app/u/<nutzername>) erreichbar. Jede Person mit diesem Link kann auch ohne Swiva-Konto die öffentlichen Profilangaben sehen: Nutzername, Anzeigename, Profilbild, Pronomen, Kurz-Bio, Profil-Interesse sowie die Anzahl deiner öffentlich sichtbaren Listen und Aktivitäten. Pronomen und Kurz-Bio sind freiwillige Angaben, die du jederzeit in deinem Profil ändern oder entfernen kannst. E-Mail-Adresse und sonstige Kontodaten sind über den Profil-Link nicht abrufbar.

Profil-Links können von dir, aber auch von anderen Nutzerinnen und Nutzern geteilt werden. In Link-Vorschauen (z. B. in Messenger-Apps) können Anzeigename, Nutzername und Kurz-Bio sichtbar werden; Messenger- und Plattformanbieter können diese Vorschauen nach eigenen Regeln zwischenspeichern, worauf wir keinen Einfluss haben.

Als Schutzmaßnahmen sind Profilseiten für Suchmaschinen mit noindex gekennzeichnet, der zugrunde liegende Abruf ist ratenlimitiert, und Konten im Löschstatus oder gesperrte Konten sind nicht abrufbar. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der Profil- und Sharing-Funktion) sowie für die Anzeige der Vorschau gegenüber nicht angemeldeten Personen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an funktionsfähigen geteilten Links).

Link-Import / Smart Import (App)

Wenn du Inhalte aus anderen Apps (z. B. TikTok, Instagram, Browser, Karten) in Swiva teilst, verarbeitet die Swiva-App die übermittelte URL bzw. den geteilten Text vorübergehend, um die Aktivität zu erstellen. Die geteilten Roh-Inhalte werden dabei ausschließlich lokal auf deinem Gerät zwischengespeichert (Pending Share) und nach 15 Minuten automatisch gelöscht, sofern du sie nicht vorher bestätigst und in eine Liste übernimmst.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Link-Anreicherung

Zur Anzeige von Vorschauen und für den Smart Import ruft die Swiva-App die geteilten URLs bzw. zugehörige Endpunkte ab und wertet öffentlich erreichbare Metadaten aus (Titel, Beschreibung, Vorschaubild, gegebenenfalls Autor). Wenn du den Entwurf bestätigst, werden die übernommenen Metadaten im Kontext der Aktivität gespeichert. Beim Abruf wird die ursprüngliche URL an den Drittanbieter übermittelt, auf den sie verweist bzw. der die Metadaten bereitstellt (z. B. Instagram, TikTok oder YouTube). Auf dessen Verarbeitung haben wir keinen Einfluss.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Google Maps und Karten-Shortlinks (App)

Geteilte Google-Maps- bzw. Karten-Shortlinks werden von der Swiva-App aufgelöst, um den verlinkten Ort als Titel anzuzeigen. In der aktuellen Implementierung erfolgt keine Anbindung der Google Places API; es werden ausschließlich öffentlich zugängliche Metadaten der Ziel-URL verarbeitet. Beim Auflösen wird die URL an den jeweiligen Karten- bzw. Linkanbieter übermittelt. Eine spätere Einbindung weiterer Karten-APIs erfolgt erst nach entsprechender Ergänzung dieser Datenschutzerklärung.

Texterkennung aus Bildschirmaufnahmen (App)

Bei unterstützten Bildschirmaufnahmen und ausgewählten Bildern aus Bildserien erkennt die Swiva-App Text lokal auf deinem Gerät. Vorübergehend angelegte Bilddateien werden nach der Texterkennung gelöscht; der erkannte Text kann anschließend wie anderer geteilter Inhalt für den Smart Import verwendet werden.

KI-gestützte Vorschläge (App)

Beim Smart Import werden geteilte Texte, Beschreibungen und Metadaten verarbeitet, um daraus strukturierte Aktivitätsentwürfe zu generieren. Im Regelfall erfolgt die Generierung über Swivas Backend durch OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland. Soweit Apple Intelligence (Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland) auf deinem Gerät verfügbar und für deinen Zugang aktiviert ist, erfolgt die Generierung stattdessen lokal auf dem Gerät und ohne Cloud-Übermittlung. Welcher Weg für dich aktiv ist, siehst du in den Smart-Import-Einstellungen der App.

Die Cloud-Verarbeitung läuft über den Standard-Endpunkt von OpenAI und findet damit auch in den USA statt; eine ausschließliche Verarbeitung oder Speicherung im EWR erfolgt nicht. Nach den OpenAI-Datenkontrollen werden API-Daten standardmäßig nicht zum Training der Modelle verwendet, sofern der Kunde nicht ausdrücklich zustimmt; Swiva erteilt keine solche Zustimmung. Swiva setzt bei jeder Anfrage zusätzlich die Option, dass die Antwort beim Anbieter nicht zum späteren Abruf vorgehalten wird. Das ist keine vollständige Nichtspeicherung: Im Rahmen des standardmäßigen Missbrauchsmonitorings kann OpenAI Eingaben und Antworten bis zu 30 Tage verarbeiten beziehungsweise aufbewahren. Bei unterstützten Modellen kann zusätzlich ein verschlüsselter technischer Prompt-Cache bis zu 24 Stunden bestehen. Die geteilte Eingabe wird vor der Generierung außerdem über die Moderationsschnittstelle des Anbieters auf bestimmte schwerwiegende unzulässige Inhalte geprüft.

Swiva speichert die übergebenen Eingaben und rohen Modellantworten nicht dauerhaft. Gespeichert wird nur die von dir bestätigte Aktivität. Dazu kommen technische Vermerke: dass sie über Smart Import und nicht manuell angelegt wurde, und – sofern ein KI-Modell den Entwurf erzeugt hat und die verwendete App-Version diesen Vermerk übermittelt – ob das lokal auf dem Gerät oder in der Cloud geschah, gegebenenfalls mit Modell- und Prompt-Version. Der erste Vermerk sagt für sich genommen nicht aus, ob ein KI-Modell gelaufen ist; dafür steht der zweite. Unterstützt die App-Version diesen Vermerk, bleibt die KI-Herkunft bei Kopien intern erhalten. Diese technischen Vermerke werden nicht über öffentliche Listen-Schnittstellen oder Webseiten-Metadaten ausgegeben. Smart Import ist nicht für Gesundheitsdaten oder andere besondere Kategorien personenbezogener Daten bestimmt; übermittle solche Angaben nicht für automatische Vorschläge. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Soweit OpenAI Ireland Ltd. Daten zur Leistungserbringung außerhalb des EWR an verbundene Unternehmen oder Unterauftragsverarbeiter übermittelt, erfolgt dies nach dem OpenAI-Auftragsverarbeitungsvertrag auf Grundlage von Standardvertragsklauseln oder eines Angemessenheitsbeschlusses nach Art. 45 DSGVO.

Sortierung der Swipe-Ansicht (App)

Die Swipe-Ansicht zeigt dir Aktivitäten aus deinen eigenen, geteilten und gespeicherten Listen. In welcher Reihenfolge sie erscheinen, richtet sich auch nach deinem bisherigen Swipe-Verhalten: Verarbeitet werden dafür deine gespeicherten Swipe-Ereignisse und die daraus abgeleitete Nähe zu einzelnen Aktivitäten, Listen, Kategorien, Tags und Ersteller*innen sowie das Alter einer Aktivität. Zusätzlich sorgen eine bewusste Streuung und ein Zufallsanteil dafür, dass die Ansicht abwechslungsreich bleibt.

Die Gewichtung dieser Signale ist von uns fest vorgegeben. Es kommt kein selbstlernendes Modell zum Einsatz; die Auswertung ist eine automatisierte Personalisierung beziehungsweise Profilbildung anhand deines Swipe-Verhaltens. Es werden keine besonderen Kategorien personenbezogener Daten abgeleitet, und die Sortierung beeinflusst ausschließlich die Reihenfolge der angezeigten Freizeitideen, ohne rechtliche oder vergleichbar erhebliche Wirkung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Deine Swipe-Ereignisse werden automatisch 180 Tage nach ihrer Entstehung gelöscht.

Produktanalytics (PostHog, Opt-in)

Wenn du der Produktanalyse zustimmst, verarbeiten wir Nutzungsereignisse (z. B. aufgerufene Screens, ausgelöste Aktionen, Fehler), technische Ereignisparameter und eine pseudonyme Nutzerkennung über PostHog. Anbieter ist PostHog, Inc., 2261 Market Street #4008, San Francisco, CA 94114, USA.

Die Verarbeitung erfolgt ausschließlich nach deiner ausdrücklichen Einwilligung im Rahmen des In-App-Banners. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO. Die Einwilligung kannst du in den Privacy-Einstellungen der App jederzeit widerrufen. Bis zum Widerruf bleibt die Rechtmäßigkeit der bisherigen Verarbeitung unberührt.

Anzeige-Bestätigungen für In-App-Announcements

Bei einzelnen, ausdrücklich dafür freigeschalteten Service- und Produktinformationen übermittelt die App nach der vollständig abgeschlossenen Öffnungsanimation, dass ein bestimmtes Announcement deinem Konto sichtbar präsentiert wurde. Gespeichert werden ausschließlich dein Kontobezug, Campaign, Revision, der serverseitige Bestätigungszeitpunkt und das Löschdatum. Daraus lässt sich nicht ableiten, ob du den Inhalt tatsächlich gelesen oder verstanden hast. Es werden dafür keine IP-Adresse, Gerätekennung, Plattform, Sprache, Klicks, Dismissals, Anzeigeanzahl oder zusätzliche geräteübergreifende Tracking-ID gespeichert.

Zweck ist die zuverlässige Auslieferung wichtiger Service- und Produktinformationen sowie die Support-Diagnose. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Betriebssicherheit und darin, Zustellprobleme nachvollziehen zu können. Die Daten werden nicht für Marketingprofiling, Targeting, Nutzerbewertung oder automatisierte Entscheidungen verwendet und nicht an Analytics-Anbieter übermittelt.

Die Bestätigung wird spätestens 90 Tage nach Ende oder früherer Archivierung beziehungsweise Deaktivierung der Campaign automatisch gelöscht. Bei Kontolöschung wird sie vollständig entfernt. Du kannst dieser Verarbeitung jederzeit mit Wirkung für die Zukunft über support@swiva.app widersprechen. Dann löschen wir vorhandene Bestätigungen und sperren weitere Erfassung, sofern keine zwingenden schutzwürdigen Gründe entgegenstehen.

Feedback (Website und App)

Über das Feedback-Formular auf der Website und die Feedback-Funktion in der App kannst du uns Rückmeldungen senden. Verarbeitet werden Kategorie, Nachricht und Plattform sowie optional deine E-Mail-Adresse für Rückfragen; bei Feedback aus der App zusätzlich dein Nutzername und die App-Version.

Die Übermittlung erfolgt über eine serverseitige Funktion bei Cloudflare; gespeichert wird das Feedback in einer Datenbank bei Notion (Notion Labs, Inc., 2300 Harrison Street, San Francisco, CA 94110, USA). Notion kann Daten in den USA verarbeiten; die Übermittlung stützt sich auf das EU-US Data Privacy Framework bzw. Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung des Produkts und der Bearbeitung von Rückmeldungen) bzw. Art. 6 Abs. 1 lit. b DSGVO, soweit dein Feedback eine Support-Anfrage zu deinem Konto betrifft. Feedback-Einträge werden gelöscht, sobald sie bearbeitet wurden und nicht mehr erforderlich sind.

Push-Benachrichtigungen

Wenn du Push-Benachrichtigungen aktivierst, verarbeiten wir Geräteinformationen (Gerätekennung, Plattform, App-Version, Spracheinstellung, Berechtigungsstatus, Projektkennung und ein vom Plattformbetreiber ausgestelltes Push-Token) sowie Inhalt, Zustellstatus und Zustellzeitpunkt der Benachrichtigungen.

Die Zustellung erfolgt über Expo Push (Expo, USA), Apple Push Notification Service (Apple Inc.) und Firebase Cloud Messaging (Google Ireland Limited). Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung über den System-Dialog).

Backend-Infrastruktur

Die App-Daten werden in einer MongoDB-Datenbank, einem Redis-Cache und einem Objektspeicher für Mediendateien verarbeitet, betrieben über Railway Corp., 539 W Commerce St #1413, Dallas, TX 75208, USA. Sämtliche Ressourcen sind in einer EU-Region von Railway bereitgestellt; eine Verarbeitung der Inhaltsdaten findet damit innerhalb der EU statt. Soweit administrative Zugriffe oder Support durch Railway aus den USA erfolgen, kommen Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO zur Anwendung.

Logs und Sicherheit

Aus Sicherheitsgründen werden technische Ereignisse und Fehler serverseitig protokolliert, insbesondere Request-IDs, Zeitpunkte, Statuscodes, Fehlercodes und technische Kontextdaten. Zusätzlich werden Standardmaßnahmen wie HTTP-Security-Header (Helmet), CORS, Rate-Limiting und Audit-Logs für sicherheitsrelevante Vorgänge eingesetzt. Logs werden routinemäßig spätestens nach 30 Tagen gelöscht, soweit keine konkreten Anhaltspunkte für Missbrauch, Sicherheitsvorfälle oder Rechtsansprüche vorliegen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz der Plattform vor Missbrauch).

Empfänger und Drittlandtransfers

Eine Übermittlung deiner Daten erfolgt nur, soweit dies für den jeweiligen Zweck erforderlich ist. Empfänger können insbesondere sein: Cloudflare (Hosting/CDN/Analytics), Apple und Google (OAuth und Push), Expo (Push), Microsoft (transaktionaler E-Mail-Versand), OpenAI (Cloud-KI), PostHog (Analytics, Opt-in), Notion (Feedback), Railway, MongoDB und Objektspeicher (Backend-Infrastruktur). Apple Intelligence verarbeitet Smart-Import-Inhalte in der aktuellen Implementierung lokal auf deinem Gerät und ist insoweit kein Empfänger dieser Inhalte.

Soweit Empfänger personenbezogene Daten außerhalb der EU bzw. des EWR verarbeiten, basiert die Übermittlung auf Angemessenheitsbeschlüssen (z. B. EU-US Data Privacy Framework, soweit zertifiziert) oder auf Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO sowie gegebenenfalls ergänzenden Garantien.

Speicherdauer

Personenbezogene Daten werden nur so lange gespeichert, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Insbesondere gelten folgende Fristen:

Pending Shares: 15 Minuten. Swipe-Historie: 180 Tage. Transaktionale E-Mails: in der Regel 3 bis 14 Tage. In-App-Notifications und Zustellnachweise: in der Regel 30 Tage. Anzeige-Bestätigungen für freigeschaltete Announcements: bis 90 Tage nach Campaign-Ende, früherer Archivierung oder Deaktivierung. Server-Logs: in der Regel 30 Tage. Sessions: bis zum Ablauf bzw. Widerruf. Technische App-Installationseinträge: zwölf Monate nach dem letzten Kontakt.

Konto-, Profil-, Listen-, Aktivitäts-, Melde- und Blockierdaten werden grundsätzlich bis zur Löschung des Kontos oder bis zur Zweckerfüllung gespeichert. Nach Löschung des Kontos werden die unmittelbar zuordenbaren Konto-, Profil-, Listen- und Aktivitätsdaten aus den aktiven Systemen entfernt. Einzelne Sicherheits-, Moderations-, Missbrauchs- und Zustellnachweise können länger gespeichert werden, soweit dies zur Plattformsicherheit, zur Bearbeitung von Meldungen oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist. Technische Backup-Kopien werden im Rahmen der jeweiligen Backup-Rotation überschrieben.

Account-Löschung und Grace Period

Du kannst dein Konto jederzeit in den App-Einstellungen löschen. Nach Anstoß der Löschung beginnt eine Gnadenfrist von 7 Tagen, in der du die Löschung rückgängig machen kannst, indem du dich erneut anmeldest. Nach Ablauf der Frist wird das Konto endgültig gelöscht; deine eigenen Listen und Aktivitäten werden entfernt. Inhalte, die andere Nutzerinnen und Nutzer zuvor in eigene Listen übernommen haben, verbleiben dort als deren eigenständige Inhalte.

Keine automatisierten Entscheidungen mit Rechtsfolge

Eine ausschließlich automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO findet nicht statt. Die KI-gestützten Vorschläge sind Entwürfe, die ausschließlich auf deine Bestätigung hin gespeichert werden.

Änderungen dieser Datenschutzerklärung

Wir aktualisieren diese Erklärung, wenn sich Funktionen, eingesetzte Anbieter oder die Rechtslage ändern. Die jeweils aktuelle Fassung ist unter swiva.app/de/datenschutz abrufbar.

Stand: 13. August 2026.