Datenschutzerklärung

1. Worum es geht

KOSMO zeigt dir Menschen in deiner Nähe, die dieselben Dinge unternehmen möchten wie du. Du markierst Aktivitäten mit einem Herz; wer dasselbe mag, kann miteinander schreiben. Dafür verarbeiten wir die unten beschriebenen Daten. Wir zeigen keine Werbung, setzen kein Tracking ein und verkaufen keine Daten.

2. Welche Daten wir verarbeiten und warum

2.1 Konto

E-Mail-Adresse, Passwort (nur verschlüsselt als Hash gespeichert), Vorname, Geburtsdatum, Kontotyp; bei Business-Konten zusätzlich Firmenname, Adresse und Website. Aus dem Geburtsdatum berechnen wir dein Alter; anderen wird nur das Alter gezeigt, nie das Geburtsdatum. Zweck: Bereitstellung deines Kontos. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag).

2.2 Profil und Mood Board

Profilfotos (bis zu 6) und dein Mood Board (Bilder und Texte). Diese Inhalte sehen andere angemeldete Nutzer. Das Mood Board ist erst sichtbar, wenn du es selbst einschaltest. Wir entfernen Ortsangaben (EXIF) aus Fotos, bevor sie hochgeladen werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

2.3 Standort

Wenn du es in deinem Telefon erlaubst, lesen wir deinen Standort und speichern ihn als Punkt in unserer Datenbank, zusammen mit Stadt und Land. Damit zeigen wir dir Menschen und Aktivitäten im Umkreis von etwa 10 km – und dich ihnen. Andere Nutzer sehen weder deinen genauen Standort noch eine Entfernung. Um aus den Koordinaten Stadt und Land zu bestimmen, nutzt dein Telefon den Ortungsdienst von Apple (iPhone) bzw. Google (Android). Du kannst die Standortfreigabe jederzeit in den Einstellungen deines Telefons widerrufen; ohne Standort kann KOSMO dir niemanden in der Nähe zeigen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; der Zugriff auf das Gerät erfolgt mit deiner Einwilligung (§ 25 Abs. 1 TDDDG).

2.4 Likes, Chats und Interaktionen

Welche Aktivitäten du an welchem Tag magst (für andere sichtbar), deine Chat-Nachrichten, in Chats geteilte Fotos, Reaktionen, Lesebestätigungen und die Anzeige „schreibt…“. Nachrichten sehen nur die Personen im jeweiligen Chat. Sie werden verschlüsselt übertragen und gespeichert, sind aber nicht Ende-zu-Ende-verschlüsselt. Außerdem speichern wir, wann du die App zuletzt genutzt hast. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

2.5 Löschen, Blockieren und Melden

Wen du gelöscht (blockiert) hast und welche Kategorien du ausgeblendet hast, speichern wir, damit diese Personen und Inhalte für dich verborgen bleiben. Wenn du jemanden meldest, speichern wir die Meldung (wer, wen, Grund, ggf. Chat). Unser Team prüft gemeldete Inhalte und kann Konten sperren. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO (berechtigtes Interesse an einer sicheren Community).

2.6 Kontaktformular

Nachrichten, die du über „Contact us“ sendest, speichern wir zusammen mit deinem Namen, deiner E-Mail-Adresse, App-Version und Gerätetyp, und leiten sie per E-Mail an unser Team weiter, damit wir antworten können. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO. Wir löschen sie spätestens nach 12 Monaten.

2.7 E-Mails

Wir senden dir E-Mails zur Bestätigung deiner Adresse und zum Zurücksetzen deines Passworts. Bestätigungs- und Passwort-Links öffnen eine Seite auf unserer Website. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

2.8 Push-Benachrichtigungen

Wenn du Benachrichtigungen erlaubst, speichern wir ein Geräte-Token, um dir neue Nachrichten anzuzeigen. Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG), widerrufbar in den Einstellungen deines Telefons.

2.9 Absturzberichte

Stürzt die App ab, erhalten wir einen technischen Bericht (Fehlerablauf, Gerätemodell, Betriebssystem, App-Version, eine zufällige Installations-ID). Wir nutzen ihn nur, um Fehler zu beheben. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer funktionierenden App).

2.10 Schriftart

Die App lädt ihre Schriftart beim ersten Start von Servern von Google (Google Fonts). Dabei wird deine IP-Adresse an Google übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

3. Empfänger und Dienstleister

• Supabase Inc. – Datenbank, Anmeldung, Dateispeicher – Server in Stockholm, Schweden (EU); Supabase ist ein US-Unternehmen, ein Zugriff aus den USA ist daher möglich
• Sendinblue SAS (Brevo) – Versand von E-Mails – Frankreich (EU)
• Google Ireland Ltd. (Firebase) – Push-Benachrichtigungen, Absturzberichte, Schriftart – EU; Übermittlung in die USA möglich
• Apple Inc. – Push-Zustellung auf iPhones, Ortsbestimmung – USA
• Vercel Inc. – Website mit Bestätigungs- und Passwort-Seite – USA, Auslieferung über EU-Server
• Cloudflare, Inc. – Bot-Schutz für das Kontaktformular der Website (Turnstile) – USA

Mit diesen Dienstleistern bestehen, soweit erforderlich, Verträge zur Auftragsverarbeitung (Art. 28 DSGVO). Übermittlungen in die USA stützen sich auf das EU-US Data Privacy Framework bzw. auf EU-Standardvertragsklauseln. Andere Nutzer sehen die in Abschnitt 2 als sichtbar beschriebenen Inhalte.

4. Speicherdauer

• Deine Daten speichern wir, solange dein Konto besteht.
• Löschst du dein Konto in der App (Settings → Delete account), werden Konto, Profil, Fotos, Mood Board, Likes, deine Chats und Nachrichten, Kontaktanfragen und Geräte-Tokens sofort gelöscht. Die E-Mail-Adresse ist danach wieder frei.
• Meldungen, die du über andere abgegeben hast, bleiben ohne Bezug zu deiner Person erhalten, bis sie bearbeitet sind. Meldungen über dich werden mit deinem Konto gelöscht.
• Sicherungskopien unserer Datenbank werden nach spätestens 30 Tagen überschrieben.
• Absturzberichte werden nach 90 Tagen gelöscht, E-Mail-Versandprotokolle nach den Fristen von Brevo.
• Konten aus der früheren Version der App (Google Firebase) haben wir in die neue App übernommen, wenn sie in den letzten 12 Monaten genutzt wurden. Die übrigen alten Konten werden gelöscht.

5. Mindestalter

KOSMO ist ab 18 Jahren. Wir löschen Konten, wenn wir erfahren, dass sie von Jüngeren angelegt wurden.

6. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Schreib uns dazu einfach eine E-Mail.

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel bei der für uns zuständigen: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf, www.ldi.nrw.de.

7. Sicherheit

Alle Verbindungen sind verschlüsselt (TLS). Passwörter speichern wir nur als Hash. Zugriffsregeln in der Datenbank stellen sicher, dass jeder nur sieht, was er sehen darf.

8. Keine Werbung, kein Profiling

Wir nutzen deine Daten nicht für Werbung, geben sie nicht zu Werbezwecken weiter und treffen keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO.

9. Änderungen

Wenn sich die App ändert, passen wir diese Erklärung an. Die aktuelle Fassung findest du auf unserer Website.

1. Hosting und Server-Protokolle

Unsere Website wird von Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA, betrieben und über Server in der EU ausgeliefert. Beim Aufruf jeder Seite verarbeitet Vercel technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Browser und Betriebssystem. Das ist nötig, um die Website sicher und zuverlässig auszuliefern. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Mit Vercel besteht ein Vertrag zur Auftragsverarbeitung; Übermittlungen in die USA stützen sich auf das EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln.

2. Keine Cookies, kein Tracking

Die öffentliche Website setzt keine Cookies und verwendet keine Tracking- oder Werbedienste. Deshalb fragen wir auch nicht nach einer Cookie-Einwilligung. Nur der Admin-Bereich für unser Team nutzt technisch notwendige Cookies für die Anmeldung. Ausnahme: Auf der Kontaktseite läuft der Bot-Schutz Cloudflare Turnstile (siehe unten).

3. Reichweitenmessung mit Vercel Web Analytics

Um zu verstehen, wie oft welche Seiten besucht werden, nutzen wir Vercel Web Analytics. Der Dienst arbeitet ohne Cookies und ohne Wiedererkennung über mehrere Tage: Besucher werden nur über einen Hash aus Anfragedaten unterschieden, der nach 24 Stunden verworfen wird. Wir sehen ausschließlich zusammengefasste Zahlen (z. B. Seitenaufrufe, Herkunftsland, Gerätetyp), keine einzelnen Personen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer bedarfsgerechten Website).

4. Schriftarten

Die Schriftart der Website wird von unserem eigenen Server ausgeliefert. Es findet keine Verbindung zu Google Fonts statt.

5. E-Mail-Bestätigung und Passwort zurücksetzen

Die Links in unseren E-Mails zur Bestätigung deiner Adresse und zum Zurücksetzen deines Passworts öffnen Seiten auf dieser Website. Diese Seiten verarbeiten den einmaligen Code aus dem Link in deinem Browser und senden ihn – beim Passwort zusammen mit deinem neuen Passwort – verschlüsselt direkt an unseren Anmeldedienst (Supabase, Server in Stockholm, Schweden). Auf dieser Website wird nichts davon gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

6. Kontaktformular, E-Mail und Telefon

Über das Kontaktformular auf dieser Website senden uns Besucher Name, E-Mail-Adresse und Nachricht. Wir speichern sie in unserer Datenbank (Supabase, Server in Stockholm) und leiten sie per E-Mail über Brevo (Sendinblue SAS, Frankreich) an unser Team weiter, um zu antworten. Zum Schutz vor Missbrauch speichern wir außerdem einen nicht umkehrbaren, gesalzenen Hash deiner IP-Adresse – nie die Adresse selbst – und begrenzen damit die Zahl der Nachrichten pro Stunde. Nachrichten löschen wir, wenn die Anfrage erledigt ist, spätestens nach 12 Monaten.

Um das Formular vor Spam-Bots zu schützen, nutzen wir Cloudflare Turnstile (Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA). Turnstile wird nur auf der Kontaktseite geladen und prüft anhand technischer Merkmale deines Browsers und deiner IP-Adresse, ob ein Mensch das Formular nutzt. Es setzt keine Cookies zu Werbe- oder Trackingzwecken; technisch notwendige Informationen im Browser nutzt es nur, um die Anfrage zu prüfen, die du selbst stellst (§ 25 Abs. 2 Nr. 2 TDDDG). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz vor Missbrauch); Übermittlungen in die USA stützen sich auf das EU-US Data Privacy Framework.

Wenn du uns direkt schreibst oder anrufst, verarbeiten wir deine Angaben ebenso nur, um deine Anfrage zu beantworten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b bzw. f DSGVO.

7. Links zu anderen Diensten

Die Website verlinkt auf den App Store (Apple), Google Play und Instagram. Erst wenn du einen dieser Links anklickst, werden Daten an den jeweiligen Anbieter übertragen; dort gelten dessen Datenschutzbestimmungen.

8. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO). Schreib uns dazu eine E-Mail. Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel bei der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf, www.ldi.nrw.de.

9. Änderungen

Wir passen diese Erklärung an, wenn sich die Website ändert.