Datenschutzerklärung

Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) sowie des österreichischen Datenschutzgesetzes (DSG) ist:

Daniel Studera, Schröttergasse 41/4/5, 1100 Wien, Österreich

E-Mail: daniel.studera@swiva.app

Ein Datenschutzbeauftragter ist gesetzlich nicht erforderlich und wurde nicht bestellt.

Geltungsbereich

Diese Erklärung gilt für die Website swiva.app sowie für die mobile App Swiva (iOS und Android). Punkte, die ausschließlich die App betreffen, sind entsprechend gekennzeichnet.

Rechte der betroffenen Personen

Du hast nach Art. 15 bis 22 DSGVO das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit sowie Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen. Erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen.

Anfragen kannst du formlos per E-Mail an daniel.studera@swiva.app richten. Wir bestätigen den Eingang in der Regel innerhalb weniger Tage und antworten spätestens innerhalb eines Monats. Bei der Identitätsprüfung kann es nötig sein, dass wir dich um zusätzliche Informationen bitten, soweit Zweifel an deiner Identität bestehen.

Du hast unbeschadet anderer Rechtsbehelfe das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist insbesondere die Österreichische Datenschutzbehörde, Barichgasse 40-42, 1030 Wien (dsb.gv.at). Nutzerinnen und Nutzer aus Deutschland können sich an die für ihren Wohnsitz zuständige Landesdatenschutzbehörde, Nutzerinnen und Nutzer aus der Schweiz an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB, edoeb.admin.ch) wenden.

Website-Hosting (Cloudflare Pages)

Die Website wird als statische Website über Cloudflare Pages der Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA, ausgeliefert. Beim Aufruf werden technisch notwendige Server-Log-Daten verarbeitet (IP-Adresse, Datum und Uhrzeit, abgerufene Ressource, übertragene Datenmenge, Browsertyp und -version, Betriebssystem, Referrer, Statuscode, Sicherheitsereignisse).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Berechtigtes Interesse ist die sichere, stabile und missbrauchsfreie Auslieferung der Website. Cloudflare kann Daten auch in die USA übermitteln; Cloudflare verwendet hierfür nach eigenen Angaben EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.

Für öffentliche Listen, den nicht in der normalen Navigation verlinkten Listen-Katalog sowie geteilte Profil-, Listen- und Aktivitäts-Links führt die Website zusätzlich serverseitige Funktionen bei Cloudflare aus. Dabei werden der aufgerufene Pfad, gegebenenfalls Link-Parameter und die Sprachpräferenz des Browsers (Accept-Language) verarbeitet und die öffentlich sichtbaren Daten serverseitig von der Swiva-API abgerufen. Dies dient der Webansicht, Link-Vorschauen und der technischen Auffindbarkeit öffentlicher Listen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO (Bereitstellung der gewählten öffentlichen Sichtbarkeit und berechtigtes Interesse an funktionsfähigen Web- und Linkansichten).

Cloudflare Web Analytics

Die Website kann Cloudflare Web Analytics einsetzen, um aggregierte Nutzungs- und Performance-Statistiken (Seitenaufrufe, Web Vitals, Referrer, ungefährer Standort auf Länderebene) zu erheben. Nach Angaben von Cloudflare arbeitet das Produkt ohne Cookies und Fingerprinting-Mechanismen, dient nicht der seitenübergreifenden Wiedererkennung und identifiziert keine einzelnen Personen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse ist die datensparsame Messung von Reichweite und technischer Qualität.

Spracheinstellung (technisch notwendiges Cookie)

Wenn du eine sprachspezifische Seite aufrufst oder die Sprache der Website wechselst, speichern wir deine Auswahl für höchstens ein Jahr im technisch notwendigen Cookie „swiva-language“. Dadurch kann die Website bereits beim nächsten Seitenaufruf serverseitig in der gewählten Sprache ausgeliefert werden. Das Cookie dient ausschließlich der Spracheinstellung und enthält keine Nutzerkennung oder Tracking-Daten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO bzw. § 165 Abs. 3 TKG 2021 (technisch erforderliche Speicherung).

Konto und Authentifizierung (App)

Für die Nutzung der App ist ein Nutzerkonto erforderlich. Bei der Registrierung verarbeiten wir je nach gewähltem Verfahren E-Mail-Adresse, vergebenes Passwort (ausschließlich als Hash), Anzeigename, Spracheinstellung sowie technische Session-Token. Optional sind Profilangaben wie Altersgruppe, Geschlecht und Region. Diese Angaben sind freiwillig.

Alternativ kannst du dich über Drittanbieter anmelden (Sign in with Apple oder Sign in with Google). Dabei übermitteln die Anbieter eine pseudonyme Kennung sowie, soweit verfügbar, Name und E-Mail-Adresse an Swiva. Inhalt und Umfang richten sich nach deinen Einstellungen beim jeweiligen Anbieter.

Zur Absicherung und Verwaltung deiner Sitzung verarbeiten wir außerdem eine zufällig erzeugte Gerätekennung, User-Agent-Informationen, Login-Zeitpunkte, Token-Versionen und Session-Status. Sessions werden als signierte Tokens mit begrenzter Lebensdauer ausgestellt, die du in den Geräteeinstellungen widerrufen kannst. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung und vorvertragliche Maßnahmen).

Für Support, technische Kompatibilität und die Beurteilung der Verbreitung neuer App-Versionen speichern wir zu angemeldeten App-Installationen außerdem Plattform, App- und Build-Version, Expo-Runtime und Update-Kennung, Betriebssystemversion, Gerätehersteller, Gerätemodell, Gerätetyp, Simulatorstatus sowie den Zeitpunkt des letzten Kontakts. Die zufällige Gerätekennung verknüpft diese Angaben mit deinem Konto; sie ist keine Hardware-Seriennummer oder Werbe-ID. Diese Verarbeitung erfolgt unabhängig von der optionalen PostHog-Analyse und wird nicht für Tracking oder Werbung verwendet. Installationseinträge werden spätestens zwölf Monate nach dem letzten Kontakt oder bei endgültiger Kontolöschung gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Profil, Avatare und Uploads (App)

Du kannst ein Avatarbild hochladen oder ein vorgefertigtes Avatar-Preset wählen. Hochgeladene Bilder werden zur Reduktion von Metadaten serverseitig neu kodiert, EXIF-Daten werden dabei entfernt, und im Objektspeicher des Backend-Providers abgelegt. Avatarbilder sind über eine pseudonymisierte URL abrufbar.

Profile können deinen Nutzernamen, Anzeigenamen, Profilbild, Pronomen, Kurz-Bio und das von dir ausgewählte Profil-Interesse anzeigen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Aktivitäten, Listen und Sharing (App)

Die Kernfunktion der App ist das Anlegen und Organisieren von Aktivitäten und Listen. Verarbeitet werden die von dir eingegebenen Inhalte (Titel, Beschreibung, Kategorien, Tags, hinterlegte Links), Zeitstempel, Sichtbarkeitsstatus (privat oder öffentlich) sowie gegebenenfalls mit anderen Konten geteilte Bearbeitungsrechte.

Wenn du eine Liste öffentlich freigibst, ist sie auch ohne Swiva-Konto über eine dauerhafte Webadresse sowie über einen paginierten, nicht in der normalen Website-Navigation verlinkten Katalog abrufbar. Die Webansicht zeigt Listentitel, Beschreibung, Kategorie, Illustration, deinen Nutzernamen und Avatar, die Anzahl der Saves sowie eine automatisch zusammengestellte Auswahl von höchstens zwölf sichtbaren Aktivitäten jeweils mit Titel, Beschreibung, Tags, Wiederholbar-Status und hinterlegten HTTP(S)-Links. Zusätzlich wird die Zahl der weiteren sichtbaren Aktivitäten angegeben. Interne Kennungen, E-Mail-Adresse, Bearbeitungsrechte, Aktivitäts-Ersteller und persönliche Erledigungsstände werden nicht veröffentlicht.

Öffentliche Listenseiten und der Katalog dürfen von Suchmaschinen und anderen Such- oder Assistenzdiensten gecrawlt, indexiert und in Suchergebnissen angezeigt werden. Beim Wechsel auf privat oder nach einer Moderationsmaßnahme werden die Live-Webseite und der Sitemap-Eintrag entfernt; bereits gespeicherte Suchergebnisse, Link-Vorschauen und Drittanbieter-Caches können jedoch zeitverzögert aktualisiert werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Wenn du eine einzelne Aktivität per Link teilst, kann ihr Titel in einer Linkvorschau (z. B. in Messenger-Apps) sichtbar werden, auch wenn die zugehörige Liste privat ist. Angemeldete Personen mit diesem Link können in der App die einzelne Aktivität einschließlich ihrer Inhalte sowie den Namen und die Kategorie der zugehörigen privaten Liste ansehen; auf die übrigen Inhalte der privaten Liste erhalten sie dadurch keinen Zugriff. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Profil-Links und öffentliche Profilansicht

Jedes Profil ist über einen öffentlichen Profil-Link (swiva.app/u/<nutzername>) erreichbar. Jede Person mit diesem Link kann auch ohne Swiva-Konto die öffentlichen Profilangaben sehen: Nutzername, Anzeigename, Profilbild, Pronomen, Kurz-Bio, Profil-Interesse sowie die Anzahl deiner öffentlich sichtbaren Listen und Aktivitäten. Pronomen und Kurz-Bio sind freiwillige Angaben, die du jederzeit in deinem Profil ändern oder entfernen kannst. E-Mail-Adresse und sonstige Kontodaten sind über den Profil-Link nicht abrufbar.

Profil-Links können von dir, aber auch von anderen Nutzerinnen und Nutzern geteilt werden. In Link-Vorschauen (z. B. in Messenger-Apps) können Anzeigename, Nutzername und Kurz-Bio sichtbar werden; Messenger- und Plattformanbieter können diese Vorschauen nach eigenen Regeln zwischenspeichern, worauf wir keinen Einfluss haben.

Als Schutzmaßnahmen sind Profilseiten für Suchmaschinen mit noindex gekennzeichnet, der zugrunde liegende Abruf ist ratenlimitiert, und Konten im Löschstatus oder gesperrte Konten sind nicht abrufbar. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der Profil- und Sharing-Funktion) sowie für die Anzeige der Vorschau gegenüber nicht angemeldeten Personen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an funktionsfähigen geteilten Links).

Link-Import / Smart Import (App)

Wenn du Inhalte aus anderen Apps (z. B. TikTok, Instagram, Browser, Karten) in Swiva teilst, verarbeitet die Swiva-App die übermittelte URL bzw. den geteilten Text vorübergehend, um die Aktivität zu erstellen. Die geteilten Roh-Inhalte werden dabei ausschließlich lokal auf deinem Gerät zwischengespeichert (Pending Share) und nach 15 Minuten automatisch gelöscht, sofern du sie nicht vorher bestätigst und in eine Liste übernimmst.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Link-Anreicherung

Zur Anzeige von Vorschauen und für den Smart Import ruft die Swiva-App die geteilten URLs bzw. zugehörige Endpunkte ab und wertet öffentlich erreichbare Metadaten aus (Titel, Beschreibung, Vorschaubild, gegebenenfalls Autor). Wenn du den Entwurf bestätigst, werden die übernommenen Metadaten im Kontext der Aktivität gespeichert. Beim Abruf wird die ursprüngliche URL an den Drittanbieter übermittelt, auf den sie verweist bzw. der die Metadaten bereitstellt (z. B. Instagram, TikTok oder YouTube). Auf dessen Verarbeitung haben wir keinen Einfluss.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Google Maps und Karten-Shortlinks (App)

Geteilte Google-Maps- bzw. Karten-Shortlinks werden von der Swiva-App aufgelöst, um den verlinkten Ort als Titel anzuzeigen. In der aktuellen Implementierung erfolgt keine Anbindung der Google Places API; es werden ausschließlich öffentlich zugängliche Metadaten der Ziel-URL verarbeitet. Beim Auflösen wird die URL an den jeweiligen Karten- bzw. Linkanbieter übermittelt. Eine spätere Einbindung weiterer Karten-APIs erfolgt erst nach entsprechender Ergänzung dieser Datenschutzerklärung.

Texterkennung aus Bildschirmaufnahmen (App)

Bei unterstützten Bildschirmaufnahmen und ausgewählten Bildern aus Bildserien erkennt die Swiva-App Text lokal auf deinem Gerät. Vorübergehend angelegte Bilddateien werden nach der Texterkennung gelöscht; der erkannte Text kann anschließend wie anderer geteilter Inhalt für den Smart Import verwendet werden.

KI-gestützte Vorschläge (App)

Beim Smart Import werden geteilte Texte, Beschreibungen und Metadaten verarbeitet, um daraus strukturierte Aktivitätsentwürfe zu generieren. Im Regelfall erfolgt die Generierung über Swivas Backend durch OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland. Soweit Apple Intelligence (Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland) auf deinem Gerät verfügbar und für deinen Zugang aktiviert ist, erfolgt die Generierung stattdessen lokal auf dem Gerät und ohne Cloud-Übermittlung.

Die Cloud-Verarbeitung läuft über den Standard-Endpunkt von OpenAI und findet damit auch in den USA statt; eine ausschließliche Verarbeitung oder Speicherung im EWR erfolgt nicht. Nach den OpenAI-Datenkontrollen werden API-Daten standardmäßig nicht zum Training der Modelle verwendet, sofern der Kunde nicht ausdrücklich zustimmt; Swiva erteilt keine solche Zustimmung. Swiva setzt bei jeder Anfrage zusätzlich die Option, dass die Antwort beim Anbieter nicht zum späteren Abruf vorgehalten wird. Das ist keine vollständige Nichtspeicherung: Im Rahmen des standardmäßigen Missbrauchsmonitorings kann OpenAI Eingaben und Antworten bis zu 30 Tage verarbeiten beziehungsweise aufbewahren. Bei unterstützten Modellen kann zusätzlich ein verschlüsselter technischer Prompt-Cache bis zu 24 Stunden bestehen. Die geteilte Eingabe wird vor der Generierung außerdem über die Moderationsschnittstelle des Anbieters auf bestimmte schwerwiegende unzulässige Inhalte geprüft.

Swiva speichert die übergebenen Eingaben und rohen Modellantworten nicht dauerhaft. Gespeichert wird nur die von dir bestätigte Aktivität. Dazu kommen technische Vermerke: dass sie über Smart Import und nicht manuell angelegt wurde, und – sofern ein KI-Modell den Entwurf erzeugt hat und die verwendete App-Version diesen Vermerk übermittelt – ob das lokal auf dem Gerät oder in der Cloud geschah, gegebenenfalls mit Modell- und Prompt-Version. Der erste Vermerk sagt für sich genommen nicht aus, ob ein KI-Modell gelaufen ist; dafür steht der zweite. Unterstützt die App-Version diesen Vermerk, bleibt die KI-Herkunft bei Kopien intern erhalten. Diese technischen Vermerke werden nicht über öffentliche Listen-Schnittstellen oder Webseiten-Metadaten ausgegeben. Smart Import ist nicht für Gesundheitsdaten oder andere besondere Kategorien personenbezogener Daten bestimmt; übermittle solche Angaben nicht für automatische Vorschläge. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Soweit OpenAI Ireland Ltd. Daten zur Leistungserbringung außerhalb des EWR an verbundene Unternehmen oder Unterauftragsverarbeiter übermittelt, erfolgt dies nach dem OpenAI-Auftragsverarbeitungsvertrag auf Grundlage von Standardvertragsklauseln oder eines Angemessenheitsbeschlusses nach Art. 45 DSGVO.

Übersetzung öffentlicher Listen (App und Website)

Titel und Beschreibungen öffentlicher Listen und der darin enthaltenen Aktivitäten übersetzt Swiva automatisch ins Englische, damit auch Menschen sie lesen können, die die Ausgangssprache nicht sprechen. Dazu sendet Swivas Backend diese Texte an OpenAI Ireland Ltd. (Anschrift im Abschnitt „KI-gestützte Vorschläge“). Übermittelt werden nur die Texte selbst und als Kontext Titel und Beschreibung der jeweiligen Liste, keine Nutzernamen, E-Mail-Adressen oder anderen Kontodaten. Private Listen werden nicht übersetzt.

Für die Übermittlung an OpenAI gelten dieselben Bedingungen wie beim Smart Import, insbesondere auch die Verarbeitung in den USA.

Swiva speichert die Übersetzung neben dem Original. Sie wird gelöscht, sobald sich der Originaltext ändert, du die Liste auf privat stellst oder sie löschst.

Andere sehen in der App und auf der Website die Übersetzung, wenn der Inhalt in einer anderen Sprache als ihrer gewählten Sprache geschrieben ist. Auf der Detailseite einer Liste auf der Website können sie zur Originalansicht wechseln.

Mit der Einstellung „Listen übersetzen“ legst du fest, ob dir in der App Übersetzungen angezeigt werden; die Einstellung wird mit deinem Konto gespeichert. Auf der Website gilt sie nicht, weil du dort nicht angemeldet bist. Sie verhindert nicht, dass deine eigenen öffentlichen Listen für andere übersetzt werden. Wenn du das nicht möchtest, stelle die Liste auf privat.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, weil die Übersetzung nach unseren AGB Teil der Bereitstellung öffentlicher Listen ist. Soweit die Texte personenbezogene Daten anderer Personen enthalten, ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, öffentliche Inhalte auch für Menschen anderer Sprachen verständlich zu machen.

Sortierung der Swipe-Ansicht (App)

Die Swipe-Ansicht zeigt dir Aktivitäten aus deinen eigenen, geteilten und gespeicherten Listen. In welcher Reihenfolge sie erscheinen, richtet sich auch nach deinem bisherigen Swipe-Verhalten: Verarbeitet werden dafür deine gespeicherten Swipe-Ereignisse und die daraus abgeleitete Nähe zu einzelnen Aktivitäten, Listen, Kategorien, Tags und Ersteller*innen sowie das Alter einer Aktivität. Zusätzlich sorgen eine bewusste Streuung und ein Zufallsanteil dafür, dass die Ansicht abwechslungsreich bleibt.

Die Gewichtung dieser Signale ist von uns fest vorgegeben. Es kommt kein selbstlernendes Modell zum Einsatz; die Auswertung ist eine automatisierte Personalisierung beziehungsweise Profilbildung anhand deines Swipe-Verhaltens. Es werden keine besonderen Kategorien personenbezogener Daten abgeleitet, und die Sortierung beeinflusst ausschließlich die Reihenfolge der angezeigten Freizeitideen, ohne rechtliche oder vergleichbar erhebliche Wirkung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Deine Swipe-Ereignisse werden automatisch 180 Tage nach ihrer Entstehung gelöscht.

Produktanalytics (PostHog, Opt-in)

Wenn du der Produktanalyse zustimmst, verarbeiten wir Nutzungsereignisse (z. B. aufgerufene Screens, ausgelöste Aktionen, Fehler), technische Ereignisparameter und eine pseudonyme Nutzerkennung über PostHog. Anbieter ist PostHog, Inc., 2261 Market Street #4008, San Francisco, CA 94114, USA.

Die Verarbeitung erfolgt ausschließlich nach deiner ausdrücklichen Einwilligung im Rahmen des In-App-Banners. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO. Die Einwilligung kannst du in den Privacy-Einstellungen der App jederzeit widerrufen. Bis zum Widerruf bleibt die Rechtmäßigkeit der bisherigen Verarbeitung unberührt.

Anzeige-Bestätigungen für In-App-Announcements

Bei einzelnen, ausdrücklich dafür freigeschalteten Service- und Produktinformationen übermittelt die App nach der vollständig abgeschlossenen Öffnungsanimation, dass ein bestimmtes Announcement deinem Konto sichtbar präsentiert wurde. Gespeichert werden ausschließlich dein Kontobezug, Campaign, Revision, der serverseitige Bestätigungszeitpunkt und das Löschdatum. Daraus lässt sich nicht ableiten, ob du den Inhalt tatsächlich gelesen oder verstanden hast. Es werden dafür keine IP-Adresse, Gerätekennung, Plattform, Sprache, Klicks, Dismissals, Anzeigeanzahl oder zusätzliche geräteübergreifende Tracking-ID gespeichert.

Zweck ist die zuverlässige Auslieferung wichtiger Service- und Produktinformationen sowie die Support-Diagnose. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Betriebssicherheit und darin, Zustellprobleme nachvollziehen zu können. Die Daten werden nicht für Marketingprofiling, Targeting, Nutzerbewertung oder automatisierte Entscheidungen verwendet und nicht an Analytics-Anbieter übermittelt.

Die Bestätigung wird spätestens 90 Tage nach Ende oder früherer Archivierung beziehungsweise Deaktivierung der Campaign automatisch gelöscht. Bei Kontolöschung wird sie vollständig entfernt. Du kannst dieser Verarbeitung jederzeit mit Wirkung für die Zukunft über support@swiva.app widersprechen. Dann löschen wir vorhandene Bestätigungen und sperren weitere Erfassung, sofern keine zwingenden schutzwürdigen Gründe entgegenstehen.

Umfragen in der App

Gelegentlich stellen wir in der App eine kurze Frage mit vorgegebenen Antworten. Die Teilnahme ist freiwillig, du kannst jede Umfrage überspringen. Wenn du antwortest, speichern wir deinen Kontobezug, die Umfrage und ihre Revision, deine gewählten Antworten, Sprache, Plattform, App-Version, die Zeit bis zur Antwort und den Antwortzeitpunkt.

Zweck ist, Swiva anhand der Antworten weiterzuentwickeln und dir dieselbe Umfrage nicht noch einmal zu zeigen. Ausgewertet werden die Antworten nur zusammengefasst, als Anzahl pro Antwort, Plattform und Sprache. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Verbesserung unseres Angebots. Die Antworten werden nicht für Werbung, Profiling oder automatisierte Entscheidungen verwendet und nicht an Analytics-Anbieter übermittelt.

Die Antworten werden 90 Tage nach Ende oder früherer Archivierung der Umfrage automatisch gelöscht. Bei Kontolöschung werden sie vollständig entfernt. Du kannst dieser Verarbeitung jederzeit über support@swiva.app widersprechen. Dann löschen wir deine Antworten.

Frage nach der Registrierung (App)

Nach der Registrierung fragen wir einmal, wie du auf Swiva gestoßen bist, zum Beispiel über Social Media, eine Empfehlung oder eine Suche. Die Antwort ist freiwillig, du kannst die Frage überspringen. An deinem Konto speichern wir deine Antwort, bei manchen Antworten zusätzlich die Antwort auf eine kurze Nachfrage oder einen freiwilligen Freitext, außerdem die Position der Antwort in der angezeigten Liste, den Zeitpunkt und die Umfrageversion. Überspringst du die Frage, speichern wir den Überspringvermerk, den Zeitpunkt und die Umfrageversion, aber keine Antwort.

Zweck ist zu verstehen, über welche Wege Menschen Swiva finden, damit wir Swiva gezielter bekannt machen können. Ausgewertet werden die Antworten in erster Linie zusammengefasst. Berechtigte Personen in unserem Team können die Antwort auch beim jeweiligen Konto sehen, etwa um Freitexte einzuordnen oder im Support. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, die Wirksamkeit unserer Kommunikationswege zu verstehen. Die Antwort wird nicht für Werbung, Profiling oder automatisierte Entscheidungen verwendet und nicht an Analytics-Anbieter übermittelt.

Die Antwort bleibt bis zur Löschung deines Kontos gespeichert. Du kannst dieser Verarbeitung jederzeit über support@swiva.app widersprechen. Dann löschen wir deine Antwort.

Feedback (Website und App)

Über das Feedback-Formular auf der Website und die Feedback-Funktion in der App kannst du uns Rückmeldungen senden. Verarbeitet werden Kategorie, Nachricht und Plattform sowie optional deine E-Mail-Adresse für Rückfragen; bei Feedback aus der App zusätzlich dein Nutzername und die App-Version.

Die Übermittlung erfolgt über eine serverseitige Funktion bei Cloudflare; gespeichert wird das Feedback in einer Datenbank bei Notion (Notion Labs, Inc., 2300 Harrison Street, San Francisco, CA 94110, USA). Notion kann Daten in den USA verarbeiten; die Übermittlung stützt sich auf das EU-US Data Privacy Framework bzw. Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung des Produkts und der Bearbeitung von Rückmeldungen) bzw. Art. 6 Abs. 1 lit. b DSGVO, soweit dein Feedback eine Support-Anfrage zu deinem Konto betrifft. Feedback-Einträge werden gelöscht, sobald sie bearbeitet wurden und nicht mehr erforderlich sind.

Kurzbewertung in der App

Wenn du im Feedback-Prompt eine Stimmung auswählst, sendet dein Tipp diese Kurzbewertung direkt an uns. Die Teilnahme ist freiwillig. Das anschließend geöffnete Formular ist optional und wird unabhängig davon versendet. Für die Kurzbewertung speichern wir in unserer Backend-Datenbank deine Kontozuordnung, eine zufällige Antwortkennung zur Vermeidung doppelter Übertragungen, die gewählte Stimmung, den serverseitigen Empfangszeitpunkt und das Löschdatum. Wir speichern dabei keine zusätzlichen Geräte-, Versions- oder Sprachdaten. Die Antworten sind deinem Konto zuordenbar und deshalb nicht anonym.

Zweck ist, die freiwillig mitgeteilte Zufriedenheit mit Swiva zusammengefasst auszuwerten und das Produkt zu verbessern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Bearbeitung und Auswertung ausdrücklich abgegebener Produktrückmeldungen. Die Bewertungen werden nicht für Werbung, Profiling oder automatisierte Entscheidungen verwendet. Die Backend-Auswertung erfolgt unabhängig von deiner optionalen PostHog-Einwilligung. Zusätzliche Analytics-Ereignisse über das Anzeigen, Schließen oder Antippen des Prompts werden weiterhin nur mit dieser Einwilligung an PostHog gesendet.

Kurzbewertungen werden spätestens 90 Tage nach Empfang zur Löschung fällig und ab diesem Zeitpunkt nicht mehr ausgewertet; die technische Bereinigung erfolgt automatisch. Bei endgültiger Kontolöschung werden sie entfernt. Du kannst dieser Verarbeitung jederzeit über support@swiva.app widersprechen. Bei einem akzeptierten Widerspruch löschen wir vorhandene Kurzbewertungen und sperren die weitere Erfassung. Eine spätere Aufhebung der Sperre stellt gelöschte Antworten nicht wieder her.

Push-Benachrichtigungen

Wenn du Push-Benachrichtigungen aktivierst, verarbeiten wir Geräteinformationen (Gerätekennung, Plattform, App-Version, Spracheinstellung, Berechtigungsstatus, Projektkennung und ein vom Plattformbetreiber ausgestelltes Push-Token) sowie Inhalt, Zustellstatus und Zustellzeitpunkt der Benachrichtigungen. Zu jeder Zustellung halten wir außerdem fest, mit welcher Plattform und App-Version das Gerät bei der Planung registriert war.

Die Zustellung erfolgt über Expo Push (Expo, USA), Apple Push Notification Service (Apple Inc.) und Firebase Cloud Messaging (Google Ireland Limited). Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung über den System-Dialog).

Unabhängig davon, ob du Push-Benachrichtigungen erlaubt, abgelehnt oder noch gar nicht entschieden hast, schickt die App nach der Anmeldung einen technischen Statusbericht an unseren Server. Er enthält den Berechtigungsstatus aus den Systemeinstellungen (erlaubt, abgelehnt, noch nicht gefragt oder unbekannt), das Ergebnis der Push-Registrierung, bei einem Fehler einen technischen Fehlercode aus einer festen Liste sowie Plattform und App-Version. Wir ordnen den Bericht deinem Konto und der zufälligen Gerätekennung zu und speichern den Zeitpunkt, zu dem er beim Server eingeht. Push-Token, Fehlermeldungen im Wortlaut und Inhalte von Benachrichtigungen sind nicht enthalten. Der Bericht ändert weder deine Push-Einstellungen noch die Registrierung.

Wir nutzen diese Berichte nur, um Fehler bei der Zustellung von Push-Benachrichtigungen zu erkennen und zu beheben, zum Beispiel wenn eine Registrierung scheitert. Einsehen können sie nur berechtigte Personen im Swiva-Team. Sie fließen nicht in die optionale PostHog-Analyse ein und werden nicht für Werbung verwendet. Pro Konto und Installation gibt es höchstens einen Bericht, den jede neue Meldung überschreibt. 30 Tage nach der letzten Meldung wird er automatisch gelöscht, bei endgültiger Kontolöschung schon vorher. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer zuverlässig funktionierenden Push-Zustellung). Du kannst dieser Verarbeitung jederzeit mit Wirkung für die Zukunft über support@swiva.app widersprechen. Dann löschen wir vorhandene Berichte und sperren weitere Erfassung, sofern keine zwingenden schutzwürdigen Gründe entgegenstehen. Push-Benachrichtigungen bekommst du davon unabhängig weiter.

Backend-Infrastruktur

Die App-Daten werden in einer MongoDB-Datenbank, einem Redis-Cache und einem Objektspeicher für Mediendateien verarbeitet, betrieben über Railway Corp., 539 W Commerce St #1413, Dallas, TX 75208, USA. Sämtliche Ressourcen sind in einer EU-Region von Railway bereitgestellt; eine Verarbeitung der Inhaltsdaten findet damit innerhalb der EU statt. Soweit administrative Zugriffe oder Support durch Railway aus den USA erfolgen, kommen Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO zur Anwendung.

Logs und Sicherheit

Aus Sicherheitsgründen werden technische Ereignisse und Fehler serverseitig protokolliert, insbesondere Request-IDs, Zeitpunkte, Statuscodes, Fehlercodes und technische Kontextdaten. Zusätzlich werden Standardmaßnahmen wie HTTP-Security-Header (Helmet), CORS, Rate-Limiting und Audit-Logs für sicherheitsrelevante Vorgänge eingesetzt. Logs werden routinemäßig spätestens nach 30 Tagen gelöscht, soweit keine konkreten Anhaltspunkte für Missbrauch, Sicherheitsvorfälle oder Rechtsansprüche vorliegen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz der Plattform vor Missbrauch).

Empfänger und Drittlandtransfers

Eine Übermittlung deiner Daten erfolgt nur, soweit dies für den jeweiligen Zweck erforderlich ist. Empfänger können insbesondere sein: Cloudflare (Hosting/CDN/Analytics), Apple und Google (OAuth und Push), Expo (Push), Microsoft (transaktionaler E-Mail-Versand), OpenAI (Cloud-KI für Smart Import und Übersetzungen), PostHog (Analytics, Opt-in), Notion (Feedback), Railway, MongoDB und Objektspeicher (Backend-Infrastruktur). Apple Intelligence verarbeitet Smart-Import-Inhalte in der aktuellen Implementierung lokal auf deinem Gerät und ist insoweit kein Empfänger dieser Inhalte.

Soweit Empfänger personenbezogene Daten außerhalb der EU bzw. des EWR verarbeiten, basiert die Übermittlung auf Angemessenheitsbeschlüssen (z. B. EU-US Data Privacy Framework, soweit zertifiziert) oder auf Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO sowie gegebenenfalls ergänzenden Garantien.

Speicherdauer

Personenbezogene Daten werden nur so lange gespeichert, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Insbesondere gelten folgende Fristen:

Pending Shares: 15 Minuten. Swipe-Historie: 180 Tage. Transaktionale E-Mails: in der Regel 3 bis 14 Tage. In-App-Notifications und Zustellnachweise: in der Regel 30 Tage. Technische Push-Statusberichte: 30 Tage nach der letzten Meldung. Anzeige-Bestätigungen für freigeschaltete Announcements: bis 90 Tage nach Campaign-Ende, früherer Archivierung oder Deaktivierung. Antworten auf Umfragen in der App: bis 90 Tage nach Ende oder früherer Archivierung der Umfrage. Antwort auf die Frage nach der Registrierung: bis zur Löschung des Kontos. Kurzbewertungen in der App: 90 Tage nach Empfang, früher bei endgültiger Kontolöschung oder akzeptiertem Widerspruch. Server-Logs: in der Regel 30 Tage. Übersetzungen öffentlicher Inhalte: solange das Original unverändert und öffentlich ist. Sessions: bis zum Ablauf bzw. Widerruf. Technische App-Installationseinträge: zwölf Monate nach dem letzten Kontakt.

Konto-, Profil-, Listen-, Aktivitäts-, Melde- und Blockierdaten werden grundsätzlich bis zur Löschung des Kontos oder bis zur Zweckerfüllung gespeichert. Nach Löschung des Kontos werden die unmittelbar zuordenbaren Konto-, Profil-, Listen- und Aktivitätsdaten aus den aktiven Systemen entfernt. Einzelne Sicherheits-, Moderations-, Missbrauchs- und Zustellnachweise können länger gespeichert werden, soweit dies zur Plattformsicherheit, zur Bearbeitung von Meldungen oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist. Technische Backup-Kopien werden im Rahmen der jeweiligen Backup-Rotation überschrieben.

Account-Löschung und Grace Period

Du kannst dein Konto jederzeit in den App-Einstellungen löschen. Nach Anstoß der Löschung beginnt eine Gnadenfrist von 7 Tagen, in der du die Löschung rückgängig machen kannst, indem du dich erneut anmeldest. Nach Ablauf der Frist wird das Konto endgültig gelöscht; deine eigenen Listen und Aktivitäten werden entfernt. Inhalte, die andere Nutzerinnen und Nutzer zuvor in eigene Listen übernommen haben, verbleiben dort als deren eigenständige Inhalte.

Keine automatisierten Entscheidungen mit Rechtsfolge

Eine ausschließlich automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO findet nicht statt. Die KI-gestützten Vorschläge sind Entwürfe, die ausschließlich auf deine Bestätigung hin gespeichert werden. Automatische Übersetzungen ändern nur die Anzeige von Texten und treffen keine Entscheidung über dich.

Änderungen dieser Datenschutzerklärung

Wir aktualisieren diese Erklärung, wenn sich Funktionen, eingesetzte Anbieter oder die Rechtslage ändern. Die jeweils aktuelle Fassung ist unter swiva.app/de/datenschutz abrufbar.

Stand: 25. Oktober 2026.