Diese Seite ist eine Übersetzung der englischen Originalfassung. Im Zweifel gilt die englische Fassung.

Datenschutz­erklärung

Dieses Dokument erklärt, welche Daten Roadby verarbeitet: sowohl in der mobilen App als auch auf dieser Website (roadby.app). Es ist ein einziges Dokument in zwei Teilen, weil Google Play für die App eine einzige öffentliche Adresse für die Datenschutzerklärung verlangt, und es erscheint uns ehrlicher, dass dieselbe Adresse auch erklärt, was die Website selbst tut.

Verantwortlicher

Verantwortlicher für die in diesem Dokument beschriebenen personenbezogenen Daten ist der Betreiber von Roadby („wir“, „uns“), der entscheidet, warum und wie sie verarbeitet werden. Innerhalb von Roadby ist der Zugriff auf diese Daten auf die Mindestzahl von Personen beschränkt, die für den Betrieb des Dienstes erforderlich ist.

Roadby veröffentlicht den rechtlichen Namen, die Steuernummer und die Postanschrift seines Betreibers noch nicht: Sie erscheinen hier, sobald die rechtliche Prüfung dieser Erklärung abgeschlossen ist. Bis dahin erreichst du den Verantwortlichen zu allem, was diese Erklärung betrifft, einschließlich der Ausübung deiner Rechte, unter support@roadby.app, und wir antworten dir von dieser Adresse aus.

A. Daten, die die App Roadby verarbeitet

Roadby ist eine App für Autofahrer: Sie verbindet Menschen, die sich physisch nahe sind, per Sprache in Echtzeit und lässt sie einander Textnachrichten schreiben, zu zweit und in Gruppen. Im Folgenden beschreiben wir so genau wie möglich, welche Daten jeder Teil der App erzeugt, wo sie landen und wie lange sie gespeichert werden.

A.1 Konto

Um Roadby zu nutzen, legst du ein Konto mit deiner E-Mail-Adresse, einem Passwort, einem Namen und einem @Nutzernamen an und bestätigst deine E-Mail-Adresse über einen Link, der nur einmal funktioniert, oder du legst es mit deinem Google-Konto an (siehe A.1a). In beiden Fällen akzeptierst du die Nutzungsbedingungen und diese Datenschutzerklärung und bestätigst, dass du mindestens 18 Jahre alt bist. Es gibt keine Zwei-Faktor-Authentifizierung.

• Deine E-Mail-Adresse dient als Kennung des Kontos, und nur du (und die Administratoren von Roadby) können sie sehen; sie wird anderen Nutzern nie angezeigt.
• Dein Passwort wird als Hash gespeichert (unumkehrbar verschlüsselt): Niemand, nicht einmal die Administratoren von Roadby, kann es lesen.
• Wenn du in der App deine E-Mail-Adresse oder dein Passwort ändern oder dein Konto löschen willst, fragen wir erneut nach deinem aktuellen Passwort. Hat dein Konto kein Passwort, weil du dich nur mit Google anmeldest, bietet dir die App nicht an, deine E-Mail-Adresse oder dein Passwort zu ändern (über „Passwort vergessen?“ kannst du ein Passwort erstellen), und zum Löschen des Kontos fragt sie stattdessen nach einem 6-stelligen Code, den wir dir per E-Mail schicken. Wenn du uns lieber per E-Mail darum bittest, bestätigen wir es mit dir, wie auf der Seite Konto löschen erklärt.
• Wir speichern, wann du dich registriert, deine E-Mail-Adresse bestätigt und dich zuletzt angemeldet hast; dass du bestätigt hast, mindestens 18 Jahre alt zu sein, und wann (nicht dein Geburtsdatum: Wir überprüfen es nicht); die Fassung der Nutzungsbedingungen, die du akzeptiert hast, und wann; und die Sprache, in der du die App nutzt, damit dich unsere E-Mails in dieser Sprache erreichen.
• Für jede Sitzung und jede Anmeldung zeichnet das Authentifizierungssystem deine IP-Adresse und die Art des Geräts oder Browsers in einem Protokoll der Zugriffsereignisse auf (Registrierung, Anmeldung, Änderungen, Löschung). Die technischen Protokolle der von uns genutzten Plattform (Supabase) und des Sprachservers (LiveKit) enthalten, wie bei jedem Internetdienst, ebenfalls die IP-Adresse jeder Verbindung.

A.1a Anmeldung mit Google

Du kannst dein Konto bei Roadby auch mit deinem Google-Konto erstellen und dich damit anmelden („Weiter mit Google“). Die Anmeldung mit Apple ist noch nicht verfügbar.

• Was wir von Google erhalten. Eine Kennung deines Google-Kontos, deine E-Mail-Adresse und ob Google sie bestätigt hat, deinen Namen (Vor- und Nachname) und die Adresse deines Google-Profilfotos. Wir fragen bei Google nur diese grundlegenden Anmeldedaten an: Wir erhalten keinen Zugriff auf deine Kontakte, Drive, Gmail oder sonst etwas, und wir veröffentlichen nie etwas in deinem Google-Konto.
• Was wir verwenden. Deine E-Mail-Adresse wird zur E-Mail-Adresse deines Kontos, und dein Vorname (nie dein Nachname) wird als Name deines Profils vorausgefüllt; du kannst ihn ändern, bevor du das Konto erstellst. Deinen @Nutzernamen wählst du selbst. Dein Google-Foto verwenden wir nicht.
• Was gespeichert bleibt. Unser Authentifizierungsanbieter (Supabase) speichert, was Google sendet, einschließlich deines vollständigen Namens und der Adresse deines Google-Fotos, verknüpft mit deinem Konto, solange es besteht, und aktualisiert es jedes Mal, wenn du dich mit Google anmeldest. Roadby verwendet diese Angaben nach deiner Registrierung nicht.
• Bevor das Konto existiert. Zwischen „Weiter mit Google“ und der Erstellung deines Kontos werden der @Nutzername und der Name, die du wählst, deine E-Mail-Adresse, deine Google-Kennung und deine beiden Bestätigungen höchstens eine Stunde lang in einer privaten Tabelle aufbewahrt und dann gelöscht.
• Auf deinem Handy. Die App merkt sich, welche Google-Konten sich auf diesem Handy angemeldet haben (eine Kennung von Google und die Kennung deines Roadby-Kontos), damit sie dich beim nächsten Mal schneller anmelden kann. Das Abmelden entfernt diese Angabe nicht; das Löschen deines Kontos auf diesem Handy schon.
• Wenn du schon ein Konto mit dieser E-Mail-Adresse hast. Die Anmeldung mit Google verknüpft Google mit diesem Konto. Wurde dieses Konto nie bestätigt, wird es zu deinem: Sein altes Passwort, seine Sitzungen und alle ausstehenden Links oder Codes werden entfernt, das Kästchen für „Neuigkeiten und Angebote“ wird abgewählt, und die Altersbestätigung und die Annahme der Nutzungsbedingungen, die von der Person erfasst wurden, die es erstellt hat, werden gelöscht.
• Die Rolle von Google. Google ist für seine eigene Anmeldung verantwortlich und erfährt, dass du Roadby nutzt: Google führt Roadby unter den verbundenen Apps deines Google-Kontos auf, wo du die Verbindung auch trennen kannst.
• Die Nutzung und Übertragung von Informationen, die Roadby von Google-APIs erhält, entspricht der Google API Services User Data Policy.
• Dein Konto löschen. Hat dein Konto kein Passwort, weil du dich nur mit Google anmeldest, fragt die App beim Löschen nach einem 6-stelligen Code, den wir dir per E-Mail schicken (er funktioniert einmal und 1 Stunde lang).

A.2 Öffentliches Profil und Foto

Dein Profil hat genau diese Felder: Anzeigename, @Nutzername, eine optionale Bio (bis zu 80 Zeichen) und ein optionales Foto. Abgesehen von der Bestätigung, dass du mindestens 18 Jahre alt bist (A.1), fragen wir nicht nach deinem Alter, deiner Telefonnummer oder sonst etwas.

• Deine Karte (Name, @Nutzername, Bio, Foto) sehen folgende Personen: alle, die in deiner Reichweite sind (siehe A.3), ob du in der Sprachlobby bist oder nicht; deine Freunde; alle, die dir eine Freundschaftsanfrage geschickt oder von dir eine erhalten haben; alle, die dich in ihrem Verlauf haben; alle, mit denen du eine Unterhaltung hast, und die Mitglieder jeder Gruppe, in der du bist; alle, die dich blockiert haben (in ihrer Liste blockierter Nutzer, damit sie die Blockierung aufheben können); und alle Nutzer, die deinen @Nutzernamen kennen.
• Jeder kann, auch ohne Konto, prüfen, ob ein @Nutzername existiert (deine Karte erhält man dabei nicht).
• Wer dein Profil öffnet, sieht deine Karte, deine Abzeichen (siehe A.6a) und die Freunde, die ihr gemeinsam habt (A.5). Die Zeit, die ihr beide zusammen in einer Lobby verbracht habt, erscheint bei euch beiden im Verlauf (A.6) und neben einer Freundschaftsanfrage, die jemand von euch beiden von der anderen Person erhält.
• Unser Server berechnet außerdem einige Zähler über dich (Gesamtzeit in Lobbys, Tage in Lobbys, getroffene Menschen und Zahl der Freunde). Er sendet sie, zusammen mit dem Monat deiner Registrierung, nur an deine eigene App, nie an jemand anderen, und die App zeigt sie derzeit nicht an.
• Dein Profilfoto wird in einem öffentlichen Dateispeicher (Bucket) abgelegt: Wer seine Adresse hat, kann es ohne Anmeldung ansehen, auch wenn du diese Person danach blockierst. Es wird gelöscht, wenn du dein Konto löschst oder es durch ein anderes ersetzt. Es kann nur ein Foto geben, und derzeit kannst du es in der App nicht entfernen, ohne es zu ersetzen; wenn du es entfernt haben möchtest, schreib uns, und wir erledigen das für dich.

Automatischer Fotofilter. Wenn du ein Profilfoto hochlädst, senden wir es zur automatischen Prüfung auf explizite Inhalte an die SafeSearch-API von Google Cloud Vision (Google LLC), und zwar über den europäischen Endpunkt des Dienstes. Die vertragliche Zusage von Google zum Speicherort der Daten gilt bei Cloud Vision nur für die Texterkennung, daher können wir nicht garantieren, dass diese Analyse ausschließlich in der Europäischen Union verarbeitet wird. Google liefert eine Wahrscheinlichkeit für fünf Kategorien (nicht jugendfreie, gewalttätige, medizinische oder freizügige Inhalte sowie gefälschte oder manipulierte Bilder); Roadby lehnt ein Foto nur ab, wenn Google nicht jugendfreie oder gewalttätige Inhalte auf der höchsten Stufe meldet, und wir fordern keine weitere Analysefunktion an (Labels, Gesichter, Text). Wird ein Foto abgelehnt, bleibt in den technischen Protokollen des Servers nur das Urteil von Google, ohne das Bild und ohne deine Kontokennung. Ist der Filter nicht verfügbar (wegen eines Fehlers oder einer fehlenden Konfiguration), wird das Foto ohne Analyse veröffentlicht, und ein Vermerk darüber, ebenfalls ohne dich zu identifizieren, bleibt in denselben Protokollen. Um Missbrauch einzuschränken, kannst du dein Profilfoto höchstens zweimal innerhalb von 24 Stunden ändern (auch ein Foto, das der Filter ablehnt, zählt mit), und wir analysieren höchstens 5 Fotos pro Konto und Tag. Um das zu zählen, bewahrt der Server den Zeitpunkt und einen Fingerabdruck (eine kryptografische Zusammenfassung) jedes Versuchs 24 Stunden lang auf sowie einen täglichen Zähler der Versuche, der am nächsten Tag, an dem du es versuchst, überschrieben wird; beides wird mit deinem Konto gelöscht. Gruppenfotos durchlaufen denselben Filter (siehe A.5b).

A.3 Standort

Das sind die sensibelsten Daten der App, und mit ihnen gehen wir am sorgfältigsten um:

• Außerhalb einer Sprachlobby wird deine Position nur erfasst, während die App auf dem Bildschirm zu sehen ist und du angemeldet bist, mit der Standortberechtigung „Während der Nutzung der App“. Während du in einer Sprachlobby bist (ab dem Moment, in dem du auf „Beitreten“ tippst, bis du auf „Verlassen“ tippst), erfasst und teilt Roadby deine Position weiter, auch wenn dein Bildschirm aus ist oder eine andere App, etwa eine Karte, im Vordergrund ist, damit dich Leute in deiner Nähe während der Fahrt weiter hören können. Unter Android läuft das als Vordergrunddienst mit einer dauerhaften Benachrichtigung, die anzeigt, dass die Lobby aktiv ist, und es endet, sobald du die Lobby verlässt. Vor deinem ersten Beitreten erklärt dir die App das und lässt dich entscheiden, nicht beizutreten. Wir fragen nie nach der Standortberechtigung „Immer zulassen“ (im Hintergrund). Erhält dein Handy zwei Minuten lang keine neue GPS-Position, hört die App auf, deine letzte bekannte Position zu teilen, statt sie zu wiederholen, und du verschwindest vom Radar, bis das Signal zurückkommt.
• Deine genaue Position wird verschlüsselt an den Server übertragen und durchläuft ihn, bevor sie gespeichert wird; vor dem Speichern wird sie auf ein Raster von etwa 50 Metern gerundet. Wir speichern nur deine letzte Position: Es gibt keinerlei Standortverlauf. Um die Zeit zu zählen, die du mit anderen Menschen teilst (A.6), hält der Server außerdem bis zu 5 Minuten lang fest, welche Nutzerpaare zueinander in Reichweite waren und wann – nie wo.
• Diese Position läuft nach 5 Minuten ab und ist für andere nach 45 Sekunden ohne Aktualisierung nicht mehr sichtbar.
• Eine andere Person erhält nie deine Position, deine Entfernung oder deine Richtung. Was deinen Standort angeht, erhält ihre App nur zwei Dinge: ob du in Reichweite bist, und eine Lautstärkestufe in vier Schritten (voll, drei Viertel, halb und ein Viertel). Die Reichweite ist für alle gleich und wird von unserem Server festgelegt: Ihr seid füreinander in Reichweite, wenn ihr höchstens etwa 400 Meter voneinander entfernt seid. Bis etwa 300 Meter ist die Lautstärke voll, unabhängig von der Entfernung zwischen euch; zwischen etwa 300 und 400 Metern wird sie Schritt für Schritt leiser; jenseits von etwa 400 Metern seid ihr füreinander nicht mehr in Reichweite und verschwindet vom Radar des jeweils anderen. Zwischen 300 und 400 Metern grenzt die Lautstärkestufe die Entfernung zwischen euch auf Bereiche von etwa 25 Metern ein. Alle Entfernungen sind ungefähr: Positionen werden auf ein Raster von etwa 50 Metern gerundet und können bei Autobahngeschwindigkeit einige Sekunden alt sein.
• Der Server verwirft unmögliche Positionen (Sprünge, die kein Fahrzeug machen könnte) und wendet für alle dieselbe Reichweite an; die App kann sie nicht ändern.

A.4 Stimme

• Die Sprachlobby wird von LiveKit Cloud bereitgestellt. Dort wirst du über einen zufälligen Code pro Sitzung identifiziert, der weder mit deinem Konto noch mit deinem Namen oder deiner E-Mail-Adresse verknüpft ist. Der Zugangspass, den unser Server deinem Handy gibt, erlaubt nur das Senden von Mikrofon-Audio (kein Video, kein Bildschirm, keine Daten), und LiveKit erhält nie deinen Namen, deinen @Nutzernamen, deine E-Mail-Adresse, dein Konto, deine Position oder deine Nachrichten.
• Dein Mikrofon ist nur verbunden, solange dich jemand in deiner Lobby hören kann, und wird 2 Minuten, nachdem die letzte dieser Personen gegangen ist, wieder getrennt; solange du allein in der Lobby bist, ist deine Stimme gar nicht verbunden. Du kannst dich jederzeit stummschalten.
• Die Stimme ist live und wird zu keinem Zeitpunkt aufgezeichnet, exportiert oder transkribiert.
• Nur die Personen, die in diesem Moment in Reichweite sind, können dich hören (siehe A.3): in voller Lautstärke bis etwa 300 Meter, danach leiser bis etwa 400 Meter. Niemand, den du blockiert hast oder der dich blockiert hat, kann dich je hören; im Modus „Freunde“ können dich nur deine Freunde hören.
• Unter Android hält, während du in der Lobby bist, ein Vordergrunddienst mit einer dauerhaften Benachrichtigung das Mikrofon offen und deinen Standort aktuell, auch wenn du den Bildschirm sperrst oder eine andere App öffnest. Die Benachrichtigung zeigt, wie es um die Lobby steht (zum Beispiel, wie viele Personen verbunden sind oder dass auf ein GPS-Signal gewartet wird), und hat die Buttons „Stummschalten“ und „Verlassen“. Wenn du beigetreten bist, ohne das Mikrofon zu erlauben, hält der Dienst nur deinen Standort aktuell. Er wird beendet, wenn du die Lobby verlässt.
• Solange deine Sprachsitzung dauert, speichert unser Server, in welcher Lobby du bist („Global“ oder „Freunde“), wann sich dein Handy zuletzt gemeldet hat, ob deine Stimme verbunden ist und, wenn du in der Lobby einen Anruf annimmst, wann der Anruf begann und endete (diese Zeit zählt nicht in deinem Verlauf). All das wird gelöscht, wenn die Sitzung endet. Unabhängig davon summiert der Server eine einzige monatliche Gesamtzahl an Sprachminuten für ganz Roadby, ohne Namen oder Zeitpunkte, um im Tarif unseres Sprachanbieters zu bleiben.

A.5 Freunde, Anfragen und Blockierungen

• Freundschaftsanfragen bleiben für Absender und Empfänger sichtbar, bis sie angenommen, abgelehnt oder zurückgezogen werden.
• Um das Senden auf 50 Anfragen pro Tag zu begrenzen, führt der Server 7 Tage lang einen internen Eintrag darüber, wer jede Anfrage an wen gesendet hat; er wird niemandem angezeigt.
• Andere Nutzer sehen nie deine vollständige Freundesliste: Wer dein Profil öffnet, sieht nur die Freunde, die ihr gemeinsam habt, als Liste mit ihren Namen und Fotos (eine heute geschlossene Freundschaft erscheint erst ab dem nächsten Tag).
• Wenn du jemanden blockierst, erfährt diese Person davon nichts: Die App antwortet ihr so, als gäbe es dein Konto nicht, und in ihren Chats erscheinst du als „Roadby-Nutzer“. Die Blockierung gilt sofort und gegenseitig: Ihr seht euch nicht mehr auf dem Radar, in der Lobby, in eurem Verlauf und in Benachrichtigungen; jede Nachricht von ihr, die dich noch nicht erreicht hatte, wird von unserem Server gelöscht, eine Nachrichtenanfrage von ihr verschwindet, und eure Unterhaltung bleibt auf deinem Handy, damit du sie lesen kannst. In einer Gruppe, in der ihr beide seid, bleibt ihr beide Mitglieder und seht weiterhin Name, @Nutzername und Foto des jeweils anderen (die andere Person könnte die Blockierung also erahnen), aber ihre Nachrichten erreichen dich eingeklappt („Nachricht von jemandem, den du blockiert hast.“), ihre Links lassen sich nicht öffnen, und sie kann dich weder benachrichtigen noch erwähnen. Du kannst die Blockierung unter Einstellungen › Konto › Blockierte Nutzer aufheben.

A.5a Nachrichten und Nachrichtenanfragen

Du kannst anderen Nutzern Textnachrichten schreiben, zu zweit und in Gruppen (A.5b). Nachrichten bestehen nur aus Text: Du kannst darin keine Fotos, Sprachnachrichten, Videos oder Dateien senden, und die App erstellt keine Linkvorschauen.

• Wer dir schreiben kann. Deine Freunde und alle, mit denen du bereits eine angenommene Unterhaltung hast, können dir direkt schreiben. Alle anderen können dir eine Nachrichtenanfrage senden, die du annehmen oder löschen kannst; eine weitere können sie erst senden, wenn du angenommen hast. Wenn du eine Anfrage liest, erfährt die Person, die sie gesendet hat, davon nichts, und wenn du sie löschst, wird sie nicht benachrichtigt. Unter Einstellungen › Nachrichten › Wer dir schreiben darf legst du fest, wer dir Anfragen senden darf: „Alle“ (Standard), „Leute, die du getroffen hast“ (alle, die eine Lobby mit dir geteilt haben) oder „Nur Freunde“. Es gibt kein Nutzerverzeichnis: Jemand kann dich nur über die Lobby, den eigenen Verlauf, gemeinsame Freunde oder deinen genauen @Nutzernamen erreichen.
• Wo Nachrichten liegen. Nachrichten liegen auf euren Handys, im privaten Speicher der App. Unser Server bewahrt jede Nachricht nur so lange auf, bis sie alle Handys der Person erreicht hat, an die sie gerichtet ist, und löscht sie dann; eine Nachricht, die niemand abruft, wird nach 30 Tagen gelöscht, und die Kopien deiner eigenen Nachrichten für deine anderen Handys nach 14 Tagen.
• Keine Ende-zu-Ende-Verschlüsselung. Nachrichten werden verschlüsselt übertragen (HTTPS), sind aber nicht Ende-zu-Ende-verschlüsselt: Während eine Nachricht auf unserem Server auf ihre Zustellung wartet (höchstens 30 Tage), ist sie dort lesbar gespeichert, und die Administratoren von Roadby könnten sie technisch lesen. Wir lesen keine Nachrichten, außer den Kopien, die einer Meldung beigefügt sind (A.7).
• Was der Server ohne den Text speichert. Für jede Unterhaltung: zwischen wem sie besteht, wann sie begonnen hat, bis wohin jede Person sie empfangen und gelesen hat (für „Zugestellt“ und „Gesehen“), die Zahl der ungelesenen Nachrichten, ob sie angenommen, eine Anfrage oder abgelehnt ist, ob jede Person sie stummgeschaltet hat und ob jede Person jemals bei stehendem Auto darin geschrieben hat (für ein Abzeichen, A.6a). Das wird nach 12 Monaten ohne Nachrichten gelöscht oder wenn eine der beiden Personen ihr Konto löscht. Außerdem speichern wir, ohne jeden Text, eine Kennung jeder gesendeten Nachricht (7 Tage), damit ein erneuter Sendeversuch nicht doppelt ankommt, die Handys, die deine Nachrichten abrufen (bis zu 30 Tage ohne Nutzung), und deine Nachrichteneinstellungen.
• „Zugestellt“ und „Gesehen“. „Zugestellt“ zeigt an, wann eine Nachricht eines der Handys der anderen Person erreicht. „Gesehen“ erscheint nur in angenommenen Unterhaltungen und nur, wenn ihr beide „Lesebestätigungen“ eingeschaltet habt (standardmäßig an); das Ausschalten wirkt in beide Richtungen.
• Während der Fahrt. Zeigt das GPS deines Handys, dass das Auto fährt, verdeckt die App deine Nachrichten und einige andere Bildschirme, bis du bestätigst, dass jemand anderes fährt („Ich fahre nicht selbst“). Das wird auf deinem Handy ermittelt; unser Server erhält mit jeder Nachricht, die du sendest, nur die Angabe, ob das Auto fuhr, und nur, um die oben beschriebenen Markierungen zu führen.
• Löschen. Wenn du einen Chat löschst, wird er für dich gelöscht, auf allen deinen Handys; die andere Person behält ihre Kopie. Was du gesendet hast, bleibt auf den Handys der Personen, die es erhalten haben, auch wenn du dein Konto löschst.
• Abmelden. Deine Nachrichten bleiben gesperrt auf deinem Handy und sind wieder da, wenn du dich mit demselben Konto erneut anmeldest; ein anderes Konto auf diesem Handy kann sie nicht öffnen.
• Links. Links in Nachrichten werden auf deinem Handy erkannt und öffnen sich außerhalb von Roadby in deinem Browser; wir rufen sie nicht auf, erstellen keine Vorschauen und wissen nicht, welche Links du öffnest. Die Website, die du öffnest, sieht deinen Besuch wie jeden anderen, und wer sie kontrolliert, kann erfahren, dass du die Nachricht gelesen hast. Verdächtig aussehende Links werden markiert und verlangen vor dem Öffnen eine Bestätigung.

A.5b Gruppen

• Nur deine Freunde können dich zu einer Gruppe hinzufügen, und du musst nicht zustimmen; Fremde können dich nie hinzufügen. Eine Gruppe kann bis zu 256 Mitglieder haben. Innerhalb einer Gruppe sehen alle Name, @Nutzername und Foto jedes Mitglieds, auch von Freunden von Freunden, die sie nicht kennen.
• Gruppennachrichten funktionieren wie die anderen Nachrichten (A.5a): Jede wartet ohne Ende-zu-Ende-Verschlüsselung auf unserem Server, bis sie die Handys jedes Mitglieds erreicht (höchstens 30 Tage), und liegt dann nur noch auf den Handys der Mitglieder. Was du schreibst, bleibt auf den Handys der anderen Mitglieder, auch wenn du die Gruppe verlässt oder dein Konto löschst.
• Erwähnungen. Wenn du jemanden mit @ erwähnst, enthält die Nachricht die Liste der Personen, die sie erwähnt; diese Liste erreicht jedes Mitglied, wartet mit der Nachricht und wird ohne den Text, mit den Kennungen der Nachrichten, 30 Tage lang aufbewahrt. Eine Erwähnung benachrichtigt die erwähnte Person, auch wenn sie die Gruppe stummgeschaltet hat (lautlos, solange sie in der Lobby ist oder fährt).
• Info. Für jede deiner eigenen Nachrichten der letzten 30 Tage kannst du sehen, wer sie gelesen und wer sie empfangen hat, ohne Uhrzeiten. „Gelesen“ wird nur angezeigt, wenn ihr beide „Lesebestätigungen“ eingeschaltet habt und keine Blockierung besteht; „empfangen“ wird auch angezeigt, wenn die andere Person „Lesebestätigungen“ ausgeschaltet hat.
• Was der Server speichert. Den Namen der Gruppe, ihr Foto, wer sie erstellt hat, wer den angezeigten Namen und das angezeigte Foto festgelegt hat (damit eine Meldung über die Gruppe an diese Person gerichtet werden kann), wie viele Mitglieder sie hat und wann zuletzt jemand geschrieben hat; und für jedes Mitglied, ob es dabei ist, ob es Admin ist, wer es hinzugefügt hat, wann es beigetreten ist oder die Gruppe verlassen hat, bis wohin es sie empfangen und gelesen hat und ob es sie stummgeschaltet hat. Für Personen, die die Gruppe verlassen haben, 30 Tage.
• Gruppenfoto. Jedes Mitglied kann es festlegen oder entfernen. Jede Person kann innerhalb von 24 Stunden höchstens 2 Gruppenfotos festlegen, über alle ihre Gruppen hinweg (auch ein Foto, das der Filter ablehnt, zählt mit; das Entfernen eines Fotos nicht). Vor allem anderen entfernt unser Server die versteckten Daten des Fotos (etwa seinen GPS-Standort, das Datum und das Handymodell), und es durchläuft immer den Filter von Google Cloud Vision (A.2): Ist der Filter nicht verfügbar, wird das Foto nicht festgelegt. Gruppenfotos werden privat gespeichert: Nur die aktuellen Mitglieder können das angezeigte sehen, über Links, die nach 1 Stunde ablaufen. Für jede Änderung speichern wir 24 Stunden lang, wer sie vorgenommen hat, in welcher Gruppe, wann und einen Fingerabdruck des Fotos. Ein entferntes oder ersetztes Foto wird gelöscht, es sei denn, eine Meldung über die Gruppe aus den letzten 90 Tagen bezieht sich darauf; dann wird es aufbewahrt, bis diese 90 Tage vergangen sind. Das Gruppenfoto gehört der Gruppe: Es wird nicht gelöscht, wenn das Mitglied, das es festgelegt hat, sein Konto löscht.
• Verlassen und Schließen. Wenn du eine Gruppe verlässt, sehen das nur die Admins, es sei denn, du kreuzt „Alle benachrichtigen“ an; die Unterhaltung behältst du zum Lesen. Admins können Mitglieder entfernen, und Roadby kann eine Gruppe schließen (einen Vermerk, dass wir sie geschlossen haben, bewahren wir 12 Monate lang auf). Gruppennamen wählen die Mitglieder, und sie werden über Meldungen moderiert.

A.6 Verlauf der gemeinsamen Zeit

Für jedes Nutzerpaar speichern wir die Sekunden, die ihr insgesamt gemeinsam in einer Sprachlobby verbracht habt, sowie Datum und Uhrzeit eurer ersten und letzten Begegnung; nie den Ort, die Liste der einzelnen Begegnungen oder den Inhalt des Audios. Es zählt nur die Zeit mit Personen, die unser Server in den vorangegangenen 90 Sekunden in deine Reichweite gebracht hat, mit verbundener Stimme und nicht, solange jemand von euch beiden telefoniert. Es ist eine einzige Zeile, die ihr beide teilt: Wenn eine Person ihr Konto löscht, verliert auch die andere diese Zeit aus ihrem Verlauf; wenn du jemanden blockierst, wird die Zeile nicht gelöscht, sondern für die Dauer der Blockierung ausgeblendet. Die App lässt dich noch keine einzelnen Einträge aus deinem Verlauf löschen; wenn du einen löschen lassen möchtest, ohne dein Konto zu löschen, schreib uns an support@roadby.app, und wir erledigen das für dich (da die Zeile geteilt ist, verliert auch die andere Person diese Zeit). Wenn du in deinem Verlauf suchst, wird das, was du eingibst, nur zur Beantwortung der Suche an unseren Server gesendet, innerhalb der Anfrage (nie in der Webadresse), und nicht gespeichert; die Suche umfasst nur Personen, mit denen du eine Lobby geteilt hast.

A.6a Abzeichen

Roadby hat fünf Abzeichen mit Stufen von 1 bis 10 („Getroffene Nutzer“, „Bekannte Gesichter“, „Truppe“, „Kontakte“ und „Geteilte Zeit“). Sie werden aus deinem Verlauf, deinen Freundschaften, den Markierungen deiner Unterhaltungen (A.5a) und deiner Zeit in Lobbys berechnet. Sie verwenden nie deine Position, Orte oder Kilometer; die einzige Fahrangabe, die sie verwenden, ist, ob das Auto fuhr, als du geschrieben hast, denn „Kontakte“ zählt nur Nachrichten, die bei stehendem Auto geschrieben wurden (eine Nachricht, die geschrieben wurde, während das Auto fuhr, zählt nicht, auch wenn du auf „Ich fahre nicht selbst“ getippt hast). Wer dein Profil öffnet, sieht die Stufe jedes Abzeichens, einen Fortschrittsbalken in Schritten von 10 % und bis zu 3 Abzeichen, die du angeheftet hast. Unter Einstellungen › Konto › Abzeichen in meinem Profil zeigen kannst du sie alle vor anderen verbergen (standardmäßig eingeschaltet). Unser Server speichert für jedes Abzeichen, was du erreicht hast, und die Zahlen dahinter, deine angehefteten Abzeichen und ob du sie verbirgst sowie, um Betrug zu verhindern, ob ein Konto von Hand eingefroren wurde und die Tage, an denen es die Tagesgrenze von 12 Stunden in Lobbys erreicht hat (35 Tage). All das wird mit deinem Konto gelöscht. Der Tab „Shop“ zeigt kostenpflichtige Abzeichen als „Demnächst“: Es kann nichts gekauft werden, und die App ist nicht mit dem Abrechnungssystem von Google Play verbunden.

A.7 Meldungen

Du kannst einen anderen Nutzer über sein Profil melden, eine Unterhaltung oder Nachrichtenanfrage über ihr Menü, eine einzelne Nachricht, indem du sie gedrückt hältst, und eine Gruppe über ihr Menü. Die Gründe sind eine feste Liste: „Belästigung oder Mobbing“, „Hassrede“, „Gefährliches Verhalten im Straßenverkehr“, „Spam oder Betrug“, „Sexuelle Inhalte oder eine minderjährige Person betroffen“ und „Etwas anderes“; es gibt kein Freitextfeld. Die Meldung ist für die gemeldete Person (und in einer Gruppe für die anderen Mitglieder) anonym, nicht aber für die Administratoren von Roadby, die sie prüfen können.

• Wenn du aus einem Chat meldest, sendet dein Handy eine Kopie der letzten 5 Nachrichten, die die gemeldete Person dort gesendet hat, so wie sie dich erreicht haben (keine deiner eigenen), mit einem Siegel, das unser Server beim Senden jeder Nachricht hinzugefügt hat, damit niemand Beweise erfinden kann. Eine Meldung über eine Gruppe richtet sich an die Person, die das angezeigte Foto festgelegt hat, oder, wenn es keines gibt, an die Person, die den Namen festgelegt hat, und bewahrt das Foto auf, das angezeigt wurde (A.5b).
• Jede neue Meldung schickt den Administratoren von Roadby eine Benachrichtigung, die nur sagt, dass es eine neue Meldung gibt und wie viele noch nicht geprüft sind: nie den Grund oder wer beteiligt ist.
• Kopien gemeldeter Nachrichten werden mindestens 90 Tage ab ihrer Erstellung aufbewahrt; danach werden sie gelöscht, sobald die Meldung geprüft ist, spätestens aber 12 Monate nach ihrer Erstellung. Löscht die gemeldete Person ihr Konto, wird die Meldung selbst entfernt, aber die Kopie der Nachrichten bleibt bis 90 Tage nach ihrer Erstellung erhalten. Wenn du dein Konto löschst, bleiben die von dir abgegebenen Meldungen ohne deinen Namen erhalten.
• Kontosperren. Wir können ein Konto, das gegen unsere Regeln verstößt, für eine bestimmte Zeit oder unbefristet sperren. Ein gesperrtes Konto kann der Lobby nicht beitreten, auf niemandes Radar erscheinen und keine Nachrichten oder Anfragen senden, kann sich aber weiterhin anmelden, seine eigenen Nachrichten lesen, melden, blockieren und sich selbst löschen. Wir speichern, wann die Sperre beginnt und endet, und den Grund, den wir notiert haben; die App weiß nur, dass das Konto gesperrt ist und bis wann. Das wird mit dem Konto gelöscht.

A.8 Push-Benachrichtigungen

Roadby sendet diese Benachrichtigungen: Jemand möchte mit dir befreundet sein; jemand hat deine Freundschaftsanfrage angenommen; jemand hat dir eine Nachricht geschickt (mit dem Anzeigenamen der Person und der Anzahl, nie mit dem Text); du hast eine neue Nachrichtenanfrage (ohne zu sagen, von wem); und in einer Gruppe eine neue Nachricht (mit dem Namen der Gruppe und dem Anzeigenamen der Person, die sie gesendet hat), dass dich jemand zu einer Gruppe hinzugefügt hat oder dass dich jemand erwähnt hat. Benachrichtigungen werden in der Sprache der App auf dem jeweiligen Handy verfasst, daher speichern wir diese Sprache zusammen mit dem Token des Handys. Um sie zuzustellen, verwenden wir ein technisches Token deines Geräts (über Expo und unter Android über Firebase Cloud Messaging von Google), und die Benachrichtigung läuft mit den darin angezeigten Namen über diese beiden Dienste; sie enthält nie den Text einer Nachricht, dein Foto, deinen @Nutzernamen oder deinen Standort. Für Android Auto (A.8a) erhält dein Handy außerdem reine Datenbenachrichtigungen mit dem Anzeigenamen der Person, die geschrieben hat, der Unterhaltung oder Gruppe, der Zahl der ungelesenen Nachrichten und, wenn du erwähnt wurdest, dem Namen der Person, die dich erwähnt hat, wiederum ohne den Text, damit dein Handy die neuen Nachrichten selbst abrufen kann. Wir speichern 30 Tage lang, wer wen benachrichtigt hat (Art, Zeitpunkt und bis zu welcher Nachricht), ausschließlich um zu begrenzen, wie viele Benachrichtigungen gesendet werden. Die Administratoren von Roadby erhalten außerdem Benachrichtigungen über neue Meldungen und über die Nutzung des Sprachdienstes, die keine Daten von irgendjemandem enthalten.

A.8a Android Auto

Wenn du dein Handy mit Android Auto verbindest, werden die ungelesenen Nachrichten deiner Freunde und aus deinen Gruppen (von jedem Mitglied außer Personen, die du blockiert hast; höchstens die letzten 10 jeder Unterhaltung, jede auf 500 Zeichen gekürzt) auf dem Bildschirm deines Autos angezeigt und von der Stimme von Google vorgelesen. Nachrichten von Personen, die nicht zu deinen Freunden gehören, einschließlich Nachrichtenanfragen, werden im Auto nie vorgelesen, außer innerhalb einer Gruppe. Zum Antworten diktierst du: Google transkribiert, was du sagst, und Roadby erhält nur den Text, der als normale Nachricht gesendet wird. Der Chat öffnet sich nie auf dem Bildschirm des Autos. Das geschieht zwischen dir, deinem Handy und Google, nach den eigenen Bedingungen von Google: Roadby erhält kein Audio und hat keinen Einfluss darauf, was Google speichert. Wenn du die Verbindung trennst, enthalten die Benachrichtigungen wieder keinen Text, und beim Abmelden werden sie entfernt.

A.9 E-Mails zum Konto

Wir senden E-Mails, um die Registrierung zu bestätigen, dein Passwort zurückzusetzen und deine E-Mail-Adresse zu ändern, und, wenn dein Konto kein Passwort hat, den 6-stelligen Code zum Löschen des Kontos (er funktioniert einmal und 1 Stunde lang). Sie werden über unseren Authentifizierungsanbieter (Supabase) mit Resend als Versandserver von no-reply@mail.roadby.app gesendet, in der Sprache, in der du die App nutzt (auf Englisch, wenn wir sie noch nicht kennen). Die E-Mails zur Bestätigung deiner Registrierung, zum Festlegen eines neuen Passworts oder zur Änderung deiner E-Mail-Adresse zeigen ihren Button als Bild, das dein E-Mail-Programm von roadby.app herunterlädt, wenn es die E-Mail anzeigt: Cloudflare, das diese Website hostet (Teil B), erhält dann deine IP-Adresse und die Art des E-Mail-Programms oder Browsers. Das Bild ist für alle gleich, die diese E-Mail in derselben Sprache lesen, daher erfahren wir dadurch nicht, wer sie geöffnet hat. Unser Authentifizierungsanbieter kann dir außerdem Sicherheitshinweise senden, wenn sich dein Passwort oder deine E-Mail-Adresse ändert oder wenn eine neue Anmeldemethode mit deinem Konto verknüpft wird; das sind Service-E-Mails, keine Werbung. Sie werden nicht in jedem Fall gesendet: zum Beispiel nicht, wenn du dein Passwort unter Einstellungen › Konto änderst, und auch nicht, wenn die Anmeldung mit Google Google mit einem bestehenden Konto mit derselben E-Mail-Adresse verknüpft.

A.10 E-Mails mit Neuigkeiten und Angeboten (optional)

Bei der Registrierung gibt es ein optionales Kästchen, das standardmäßig nicht angekreuzt und von dem Pflichtkästchen getrennt ist, mit dem du die Nutzungsbedingungen und diese Datenschutzerklärung akzeptierst: „Neuigkeiten und Angebote von Roadby per E-Mail erhalten“. Wenn du es ankreuzt, speichern wir dieses Ja mit seinem Datum; jedes Mal, wenn du es danach ein- oder ausschaltest, speichern wir auch diese Änderung mit ihrem Datum. Jeder Eintrag hält außerdem fest, wo er vorgenommen wurde (Registrierung, die Einstellungen der App oder der Abmeldelink einer E-Mail) und welche Fassung des Wortlauts du gesehen hast, damit wir nachweisen können, worin du eingewilligt hast und wann. Du kannst deine Meinung jederzeit unter Einstellungen › Konto › „Neuigkeiten und Angebote per E-Mail“ ändern. Wir schreiben nur an bestätigte E-Mail-Adressen, und nur die Administratoren von Roadby können die Liste der Empfänger abrufen. Wir haben noch keinen Anbieter für diese E-Mails ausgewählt, und bis heute wurde keine versendet; wir nennen den Anbieter hier, bevor die erste versendet wird.

A.11 Was auf deinem Gerät bleibt

Deine Sitzungstokens (die deine E-Mail-Adresse und deine Kontokennung enthalten) werden im privaten Speicher der App aufbewahrt und gelöscht, wenn du dich abmeldest oder dein Konto in der App löschst; wenn du dich von Roadby abmeldest, wirst du auf allen deinen Handys abgemeldet. Deine Nachrichten liegen in einer Datenbank auf deinem Handy, im privaten Speicher der App, zusammen mit dem Stand jeder Unterhaltung (Zahl der ungelesenen Nachrichten, ob du sie stummgeschaltet hast, und jeder Entwurf, den du noch nicht gesendet hast), deinen Gruppen, den Erwähnungen jeder Nachricht, dem Link zu jedem Gruppenfoto (der nach 1 Stunde abläuft) und einem Index der Wörter deiner Nachrichten für die Suche in „Chats“. Diese Datenbank enthält außerdem eine Karte für jede Person, mit der du eine Unterhaltung hast, und für jedes Mitglied deiner Gruppen: ihren Namen, ihren @Nutzernamen und die Adresse ihres Fotos, ob du sie blockiert hast, ob sie inzwischen als „Roadby-Nutzer“ erscheint (A.5) und, in Gruppen, ihre Rolle und ob sie noch Mitglied ist. Die Datenbank bleibt auf dem Handy, wenn du dich abmeldest, und wird gelöscht, wenn du dein Konto auf diesem Handy löschst (wenn das in diesem Moment nicht möglich ist, beim nächsten Öffnen der App mit Verbindung; wenn wir das Konto nach einer Anfrage per E-Mail für dich löschen, ebenfalls beim nächsten Öffnen der App mit Verbindung). Die App speichert außerdem einen zufälligen Code dieses Handys für den Chat, welche Google-Konten sich darauf angemeldet haben (A.1a), die Sprache und die Darstellung, die du gewählt hast, und höchstens 7 Tage lang einen Einladungslink, den du geöffnet hast, bevor du ein Konto hattest. Abgesehen von diesen Karten befinden sich das Radar, deine Freundesliste, dein Verlauf und die Profile anderer im Arbeitsspeicher und verschwinden, wenn du die App schließt; das zugeschnittene Foto kann im temporären Cache bleiben, bis das System ihn leert. Geräteeinstellungen (Lobby-Modus, Audioeinstellungen, Lobby-Töne, „Beim Parken stummschalten“ und „Beim Parken verlassen“) werden lokal gespeichert: Sie bleiben nach dem Abmelden erhalten, da sie zum Gerät und nicht zum Konto gehören, und werden auf ihre Standardwerte zurückgesetzt, wenn du dein Konto von diesem Gerät aus löschst. Auch der Schalter „Nachrichten sichern“ (A.11a) gehört zum Handy, für alle Konten, die sich darauf anmelden: Das Löschen deines Kontos ändert ihn nicht, und er bleibt so, wie du ihn eingestellt hast, bis du ihn änderst oder die App deinstallierst.

Testversionen der App (die wir von Hand verteilen, solange Roadby fertiggestellt wird, nie die Version für Google Play) führen außerdem ein Protokoll mit Zeitmessungen auf dem Handy: wann du der Lobby beitrittst und sie verlässt, wie lange es dauert, bis die Stimme verbunden ist, Unterbrechungen der Stimme, die Zeit, die Roadby im Hintergrund verbringt, fehlgeschlagene Anfragen an unseren Server und Fehler der App, ohne Kontokennungen, Namen, @Nutzernamen oder Positionen. Es behält nur die letzten beiden Male, die die App geöffnet wurde, wird gelöscht, wenn du dich abmeldest, und verlässt dein Handy nur, wenn du es selbst mit „Share timing log“ teilst, unter Einstellungen › Konto › Hilfe und Support.

A.11a Deine Nachrichten in der Sicherung deines Handys

Wenn dein Handy Apps in deinem Google-Konto sichert und eine Displaysperre hat, kann Android die Nachrichtendatenbank von Roadby in diese Sicherung aufnehmen, verschlüsselt mit deiner Displaysperre (höchstens einmal am Tag und nur bis 25 MB). Sonst gelangt nichts von Roadby hinein. Unter Einstellungen › Nachrichten › Nachrichten sichern kannst du deine Nachrichten davon ausnehmen (standardmäßig eingeschaltet, für jedes Handy einzeln); die nächste Sicherung lässt sie dann weg, meist innerhalb eines Tages. Wenn du deine Daten direkt von einem Handy auf ein anderes überträgst, kommen deine Nachrichten mit, auch wenn dieser Schalter aus ist. Die Sicherung liegt in deinem Google-Konto: Roadby kann sie weder sehen noch steuern.

A.12 An wen wir Daten weitergeben (Auftragsverarbeiter und andere Empfänger)

Wenn ein Anbieter seinen Hauptsitz außerhalb des Europäischen Wirtschaftsraums hat oder Daten dort verarbeitet, kann eine internationale Übermittlung von Daten stattfinden. Unsere Rechtsberatung klärt derzeit, welche Garantie jede dieser Übermittlungen absichert (zum Beispiel die Standardvertragsklauseln der Europäischen Kommission), und dieser Abschnitt wird sie nach Abschluss der Prüfung für jeden Anbieter nennen.

A.13 Was Roadby nicht tut und welche Berechtigungen die App anfordert

Die App verwendet keinerlei Analyse-, Werbe- oder Tracking-Tools (der in A.12 beschriebene Update-Dienst erhält höchstens den Text des letzten Fehlers, der die App geschlossen hat); sie greift weder auf deine Kontakte noch auf die Kamera zu (die Kameraberechtigung ist in der App gesperrt); sie fragt nicht nach der Berechtigung, deine Fotos oder Dateien zu lesen: Sie öffnet nur die Fotoauswahl des Systems, wenn du ein Profil- oder Gruppenfoto auswählst, und erhält nur das Bild, das du auswählst; sie zeichnet die Stimme der Lobby nie auf, speichert sie nie und transkribiert sie nie (was du in Android Auto diktierst, transkribiert Google, A.8a); sie verwendet keine Entsperrung per Fingerabdruck, Gesicht oder PIN; und sie fordert nicht die Standortberechtigung „Immer zulassen“ an: Sie nutzt deinen Standort mit der App im Hintergrund nur, während du in einer Sprachlobby bist, wie in A.3 beschrieben. Das sind die Berechtigungen, die die App unter Android angibt, und wofür jede davon dient:

• Standort (genau und ungefähr, nur während der Nutzung der App): um zu wissen, wer in deiner Nähe ist (A.3).
• Mikrofon: für deine Stimme in der Lobby (A.4); die App fragt danach, nachdem du dein Konto erstellt hast, auf einem Bildschirm, der vorher erklärt, wofür, oder wenn du auf „Beitreten“ tippst.
• Vordergrunddienst für Mikrofon und Standort: hält die Lobby mit ihrer dauerhaften Benachrichtigung in Betrieb, während der Bildschirm aus ist oder eine andere App im Vordergrund ist, und endet, wenn du die Lobby verlässt (A.3 und A.4).
• Benachrichtigungen: um dir die in A.8 beschriebenen Benachrichtigungen und die Benachrichtigung der Lobby anzuzeigen.
• Empfang von Push-Benachrichtigungen (Firebase Cloud Messaging): damit diese Benachrichtigungen dein Handy erreichen (A.8).
• Bluetooth: damit die Stimme der Lobby über das Bluetooth deines Autos laufen kann und damit „Beim Parken stummschalten“ und „Beim Parken verlassen“ erkennen können, wann sich das Bluetooth deines Autos trennt; das wird auf deinem Handy ermittelt und nicht an uns gesendet. Ab Android 12 fragt die App zusammen mit dem Mikrofon danach.
• Eigene Anrufe verwalten: würde die Lobby unter Android als Anruf funktionieren lassen, sodass Android selbst die Stimme an dein Auto sendet und ein echter Telefonanruf die Lobby in die Warteschleife setzt; das ist derzeit ausgeschaltet, und die App nutzt es nicht.
• Google-Play-Abrechnung: kommt mit der Bibliothek für den Kauf von Abzeichen im Shop; derzeit kann nichts gekauft werden, und die App ist nicht mit dem Abrechnungssystem von Google Play verbunden (A.6a).
• Installationsquelle (Install Referrer): kommt mit einer Bibliothek, die die Benachrichtigungen verwenden, und würde der App erlauben, Google Play zu fragen, woher sie installiert wurde; Roadby fragt das nie.
• Systemdialoge schließen (nur unter Android 11 und älter): kommt mit der Bibliothek, die die Benachrichtigung der Lobby anzeigt, und gewährt keinen Zugriff auf Daten.
• Technische Berechtigungen, die keinen Zugriff auf personenbezogene Daten gewähren: Internet, Netzwerkstatus, Audioeinstellungen (um die Stimme an den Lautsprecher, die Hörmuschel oder Bluetooth zu senden), Vibration (für das haptische Feedback der App und für Benachrichtigungen) und das Wachhalten des Geräts (für die Lobby bei ausgeschaltetem Bildschirm).

A.14 Rechtsgrundlagen

Das Datenschutzrecht verlangt für jede Nutzung deiner Daten eine Rechtsgrundlage. Auf diese stützen wir uns:

• Bereitstellung des Dienstes, für den du dich registriert hast (Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO): dein Konto und Profil, die Anmeldung mit Google, Standort und Sprachlobby, Freunde, Nachrichten und Gruppen, dein Verlauf und deine Abzeichen, Benachrichtigungen, E-Mails zum Konto und die Löschung deines Kontos, also das, was die App braucht, um so zu funktionieren, wie es die Nutzungsbedingungen beschreiben.
• Sicherheit von Roadby (unser berechtigtes Interesse, die Menschen, die Roadby nutzen, und den Dienst selbst zu schützen, Art. 6 Abs. 1 lit. f DSGVO): der Fotofilter, die Begrenzungen für Anfragen, Nachrichten und Fotoänderungen, die Zugriffsprotokolle, Meldungen und Kopien gemeldeter Nachrichten, Kontosperren, die technischen Protokolle unserer Anbieter und die E-Mails zu einem Antrag auf Löschung eines Kontos, damit wir nachweisen können, wie wir ihn bearbeitet haben.
• Deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): E-Mails mit Neuigkeiten und Angeboten (A.10), der Newsletter (B.3) und, sobald sie eingeschaltet sind, die optionalen Cookies dieser Website (B.1). Du kannst sie jederzeit widerrufen; das berührt nicht, was zuvor geschehen ist.
• Rechtliche Pflichten (Art. 6 Abs. 1 lit. c DSGVO): die Aufbewahrung des Nachweises, worin du eingewilligt hast und wann, sowie die Aufbewahrung oder Herausgabe von Informationen, wenn das Gesetz es verlangt, zum Beispiel an die Behörden nach unseren Kinderschutzstandards.

Unsere Rechtsberatung prüft diese Rechtsgrundlagen im Rahmen der Prüfung dieser Erklärung; dieser Abschnitt kann sich ändern, wenn die Prüfung abgeschlossen ist.

B. Daten, die diese Website verarbeitet (roadby.app)

Dieser Teil betrifft nur die öffentliche Website, die du gerade liest: die Startseite (die alle Abschnitte enthält – So funktioniert es, Datenschutz, Hilfe und Neuigkeiten – sowie das Spendenfenster), diese Erklärung, die Nutzungsbedingungen, die Cookie-Richtlinie, die Seite zum Löschen deines Kontos, die Kinderschutzstandards, die Seiten, auf die unsere E-Mails zum Konto und unsere Einladungen verlinken, und die Bilder der Buttons, die einige unserer E-Mails zum Konto zeigen (A.9). Sie teilt keine Systeme mit der mobilen App, mit Ausnahme von zwei Arten von Seiten: roadby.app/confirm/, wohin dich die Links in unseren E-Mails zum Konto führen; diese Seite kommuniziert direkt mit unserem Authentifizierungsanbieter (Supabase), um deine E-Mail-Adresse zu bestätigen oder ein neues Passwort festzulegen, hält die Sitzung nur im Speicher dieses Tabs und lädt kein Skript von Dritten; und Einladungslinks (roadby.app/add/ gefolgt von einem @Nutzernamen), die nur diesen @Nutzernamen enthalten, der ohnehin öffentlich ist, und unsere Server nichts fragen. Diese Website wird von Cloudflare (Cloudflare Pages) gehostet, das auch ihre Domain verwaltet: Wie bei jedem Hoster erhält das Netz von Cloudflare bei jedem Besuch deine IP-Adresse, deinen Browser und die Seite, die du aufrufst.

B.1 Cookies und Reichweitenmessung

Bevor du etwas akzeptierst, verwenden wir nur, was für das Funktionieren der Website unbedingt erforderlich ist (zum Beispiel, um deine Entscheidung zu Cookies zu speichern, die in deinem Browser abgelegt wird). Der Cookie-Hinweis fragt außerdem, ob du zwei optionale Kategorien akzeptierst:

Die Reichweitenmessung ist noch nicht eingeschaltet: Derzeit lädt diese Website kein Skript von Google und setzt keines dieser Cookies, auch wenn du sie akzeptierst. Bevor wir sie einschalten, aktualisieren wir diese Erklärung und die Cookie-Richtlinie.

Sobald sie eingeschaltet ist, startet sie nur, wenn du zustimmst: Bis dahin wird diese Website kein Skript von Google laden und Google nichts senden (Google Consent Mode v2 in der einfachen Version). Deine Entscheidung wird zusammen mit ihrem Datum in deinem Browser gespeichert; wir fragen dich nach 24 Monaten erneut oder früher, wenn sich die Kategorien ändern. Du kannst sie jederzeit über den Cookie-Button in der Ecke jeder Seite ändern.

Die Cookie-Richtlinie führt jedes Cookie mit seinem Namen auf, mit seinem Zweck, seiner Dauer und wer es speichert.

B.2 Spenden

Der Button „Spendier uns einen Kaffee“ führt dich zu unserer Seite bei Ko-fi (ko-fi.com/roadby), wo Zahlungen über Stripe oder PayPal abgewickelt werden. Roadby erhält nie deine Karten- oder Zahlungsdaten: Diese Beziehung besteht direkt zwischen dir und Ko-fi und seinen Zahlungsanbietern, nach deren eigenen Datenschutzerklärungen. Ko-fi zeigt uns die Angaben zu jeder Spende, die es mit Creators teilt (etwa den Namen oder das Pseudonym und die Nachricht, die du hinterlässt, sowie den Betrag). Der Button erscheint nie in der App oder auf diesen rechtlichen Seiten.

B.3 Newsletter

Das Anmeldeformular hat einen einzigen Zweck: dir Neuigkeiten von Roadby per E-Mail zu schicken. Mit deiner Anmeldung bittest du darum, sie zu erhalten, und wir verwenden deine E-Mail-Adresse für nichts anderes. Das Formular hat ein Pflichtkästchen, standardmäßig nicht angekreuzt, mit dem du bestätigst, dass du diese Erklärung gelesen hast und die Nutzungsbedingungen akzeptierst. Dein Häkchen wird mit einer Kennung des genauen Wortlauts gespeichert, dem du zugestimmt hast (terms-web-v1), damit es später nachgewiesen werden kann.

Wir versenden den Newsletter auf Grundlage deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du durch die Anmeldung und die Bestätigung deiner Adresse erteilst. Du kannst sie jederzeit widerrufen, indem du dich abmeldest; die zuvor gesendeten E-Mails berührt das nicht.

Deine E-Mail-Adresse, dieser Eintrag und ein Vermerk, dass du dich auf roadby.app angemeldet hast, würden bei dem E-Mail-Anbieter gespeichert, über den wir den Newsletter versenden. Der Newsletter läuft noch nicht: Das Anmeldeformular ist ausgeschaltet und sendet nichts, und wir nennen diesen Anbieter hier, mit dem Land, in dem er seinen Sitz hat, bevor es losgeht. Dieser Anbieter wird dir zuerst eine Bestätigungs-E-Mail schicken, und du wirst erst in die Liste aufgenommen, wenn du dem Link darin folgst. Du kannst dich jederzeit über den Link in jeder E-Mail abmelden, die wir dir schicken. Diese Liste ist von dem Kästchen für Neuigkeiten in der App selbst getrennt (Abschnitt A.10).

B.4 Hilfe und Kontakt

Wenn du uns an support@roadby.app oder über den Abschnitt „Hilfe“ der Startseite (den Button „E-Mail an den Support“) schreibst, verwenden wir deine E-Mail-Adresse und den Inhalt deiner Nachricht, um dir zu antworten. Wenn du uns gebeten hast, dein Konto zu löschen, bewahren wir diese E-Mails auf, wie unter „Wie lange wir Daten speichern“ erklärt; wenn du uns eine Sorge um die Sicherheit eines Kindes mitgeteilt hast, können wir sie aufbewahren und an die Behörden weitergeben, wie in unseren Kinderschutzstandards erklärt. E-Mails an support@roadby.app erreichen uns über den Weiterleitungsdienst von Porkbun in einem Gmail-Postfach, und wir beantworten sie über Resend (siehe A.12).

Wie lange wir Daten speichern

• Konto, Profil, Foto, Freundschaften, Blockierungen, Verlauf (mit den Daten eurer ersten und letzten Begegnung), Abzeichen, angeheftete Abzeichen, Zähler, deine Altersbestätigung, die Nutzungsbedingungen, die du akzeptiert hast, deine Nachrichteneinstellungen und die Sprache deines Kontos: solange dein Konto besteht oder bis du sie rückgängig machst.
• Meldungen: Die Meldungen gegen dich werden mit deinem Konto gelöscht; die, die du selbst abgibst, bleiben in anonymisierter Form erhalten. Die Ausnahme: Bevor wir ein Konto wegen sexuellen Missbrauchs oder sexueller Ausbeutung von Kindern schließen, bewahren wir für die Behörden eine Kopie der Kontodaten, der Meldungen und der Zugriffsprotokolle auf, wie in unseren Kinderschutzstandards erklärt.
• Einwilligung in E-Mails mit Neuigkeiten: solange dein Konto besteht, mit dem Datum des Ja und, wenn du sie widerrufst, dem Datum des Widerrufs.
• Letzte Position: bis zu 5 Minuten.
• Eintrag, welche Nutzer zueinander in Reichweite waren (ohne Positionen): bis zu 5 Minuten.
• Sprachsitzung: bis du die Lobby verlässt, höchstens 1 Stunde ohne Verlängerung.
• Interner Eintrag gesendeter Freundschaftsanfragen: 7 Tage.
• Eintrag gesendeter Benachrichtigungen: 30 Tage.
• Fotoversuche (Zeitpunkt und Fingerabdruck): 24 Stunden; der tägliche Zähler der Versuche wird am nächsten Tag, an dem du es versuchst, überschrieben.
• Nachrichten, die auf unserem Server auf ihre Zustellung warten: bis sie die Handys der Person erreichen, an die sie gerichtet sind, höchstens 30 Tage; Kopien für deine eigenen anderen Handys: 14 Tage.
• Unterhaltungsdaten ohne Text (A.5a): 12 Monate ohne Nachrichten.
• Kennungen von Nachrichten: 7 Tage (in Gruppen, mit der Liste der Erwähnungen und ohne Text: 30 Tage); Handys, die Nachrichten abrufen: 30 Tage ohne Nutzung; nach der Löschung eines Kontos der zufällige Code jedes seiner Handys: 90 Tage.
• Gruppen: solange die Gruppe besteht; Mitglieder, die sie verlassen haben, 30 Tage; eine geschlossene Gruppe wird nach 30 Tagen gelöscht und unser Vermerk, dass wir sie geschlossen haben, nach 12 Monaten; Einträge zu Änderungen des Gruppenfotos, 24 Stunden; ein entferntes Gruppenfoto, auf das sich eine Meldung bezieht, 90 Tage.
• Kopien gemeldeter Nachrichten: mindestens 90 Tage ab ihrer Erstellung; danach bis die Meldung geprüft ist, höchstens 12 Monate.
• Kontosperren: bis das Konto gelöscht wird.
• Laufende Registrierung mit Google (A.1a): höchstens 1 Stunde. Einträge zu den Codes, die zum Löschen eines Kontos angefordert oder ausprobiert wurden: 60 bis 75 Minuten.
• E-Mails zu einem Antrag auf Löschung deines Kontos: 3 Jahre nach der Löschung des Kontos oder nach unserer letzten Antwort, wenn der Antrag nie bestätigt wird.
• Andere E-Mails an support@roadby.app: so lange, wie wir sie zur Bearbeitung deiner Frage benötigen; die Frist, nach der wir sie löschen, wird hier veröffentlicht, sobald die rechtliche Prüfung abgeschlossen ist. Die zur Sicherheit eines Kindes, wie in unseren Kinderschutzstandards erklärt.
• Eintrag deiner Änderungen der Einwilligung in E-Mails mit Neuigkeiten: solange dein Konto besteht.
• Benachrichtigungstoken des Geräts und die Sprache dieses Handys: 60 Tage ohne Nutzung oder bis du dich abmeldest.
• Sitzungen: bis du dich abmeldest (wenn du dich von Roadby abmeldest, wirst du auf allen deinen Handys abgemeldet) oder dein Konto löschst. Das Zugriffsprotokoll des Authentifizierungssystems (das auch deine E-Mail-Adresse erfasst) und Datenbank-Backups: Wir klären mit unserem Anbieter (Supabase), wie lange sie aufbewahrt werden, und veröffentlichen es hier; sie können die Löschung deines Kontos überdauern.
• E-Mail-Adresse für den Newsletter: bis du dich abmeldest.
• Analyse- oder Werbe-Cookies: wie in der Cookie-Richtlinie einzeln aufgeführt und jederzeit über den Cookie-Button in der Ecke der Seite widerrufbar.

Was passiert, wenn du dein Konto löschst

Du kannst dein Konto selbst in der App löschen (öffne den Tab „Profil“, tippe oben rechts auf das Zahnrad, dann auf Konto › Konto löschen, und gib dein aktuelles Passwort ein oder, wenn dein Konto kein Passwort hat, weil du dich nur mit Google anmeldest, den 6-stelligen Code, den wir dir per E-Mail schicken) oder, wenn du die App nicht mehr hast, uns bitten, es zu löschen, indem du von der E-Mail-Adresse deines Kontos an support@roadby.app schreibst, wie auf der Seite Konto löschen erklärt. Wir versuchen, innerhalb von 24 Stunden zu antworten, und löschen das Konto nach deiner Bestätigung innerhalb von 7 Tagen. Kein anderer Nutzer kann dein Konto löschen. Auf welchem Weg das Konto auch gelöscht wird, die Löschung wirkt sofort in der Datenbank: Das Konto wird entfernt und mit ihm, kaskadierend, das Profil, die Position, die Sprachsitzung, Anfragen, Freundschaften, Blockierungen, der Verlauf (auch für die andere Person jedes Paares), deine Unterhaltungen auf unserem Server und alles, was noch auf die Zustellung wartet, deine Mitgliedschaft in Gruppen, deine Abzeichen, angehefteten Abzeichen und Zähler, deine Altersbestätigung und die akzeptierten Nutzungsbedingungen, eine etwaige Sperre des Kontos, die Meldungen anderer Nutzer über dich, die Benachrichtigungstokens, der Benachrichtigungseintrag, der interne Eintrag gesendeter Anfragen, die Einträge zu deinen Fotos und der Eintrag deiner Einwilligung in E-Mails mit Neuigkeiten; anschließend wird das Foto aus dem Bucket gelöscht, und auf dem Handy, auf dem du das Konto löschst, löscht die App auch deine Nachrichten. Was die Löschung überdauert: die Nachrichten, die du gesendet hast, auf den Handys der Personen, die sie erhalten haben; ein Gruppenfoto, das du festgelegt hast, denn es gehört der Gruppe; deine Nachrichtendatenbank auf einem Handy, auf dem du dich bereits abgemeldet hattest, und deine letzte Android-Sicherung, bis die nächste sie ersetzt; die von dir abgegebenen Meldungen, anonymisiert; Kopien von Nachrichten, die Meldungen über dich beigefügt sind, bis zu 90 Tage nach ihrer Erstellung; der zufällige Code jedes deiner Handys, 90 Tage lang, damit sie deine Nachrichten beim nächsten Öffnen löschen; das Zugriffsprotokoll des Authentifizierungssystems (Kontokennung, E-Mail-Adresse, Aktion und IP-Adresse) und Backups, für die unter „Wie lange wir Daten speichern“ genannten Fristen; lokal auf deinen Handys gespeicherte Einstellungen (das Löschen des Kontos in der App setzt sie nur auf diesem Handy zurück; wenn wir es nach einer Anfrage per E-Mail für dich löschen, bleiben sie auf allen Handys); das Benachrichtigungstoken, das Expo und Google bereits kennen und um dessen Löschung wir sie nicht bitten; und, wenn du uns per E-Mail gefragt hast, deine Anfrage und unsere Antworten, 3 Jahre lang nach der Löschung, als Nachweis, dass wir sie bearbeitet haben. Wenn wir ein Konto nach unseren Kinderschutzstandards schließen, sichern wir zuerst eine Kopie der Informationen, die die Behörden benötigen könnten, wie auf jener Seite erklärt; diese Kopie wird außerhalb des Kontos aufbewahrt, bis die Behörden sie nicht mehr benötigen, auch wenn die Person, der das Konto gehört, es später löscht.

Deine Rechte

Du kannst auf deine Daten zugreifen, uns bitten, sie zu berichtigen oder zu löschen, einer bestimmten Nutzung widersprechen oder die Übertragbarkeit dessen verlangen, was technisch möglich ist. Derzeit geht das so:

• Auskunft: Das Wesentliche ist in der App sichtbar (Profil, E-Mail-Adresse unter „E-Mail ändern“, Freunde, Anfragen, blockierte Nutzer, Verlauf mit seinen Daten, deine Nachrichten auf deinem Handy und deine Abzeichen); für den Rest (Registrierungsdatum, die in A.2 beschriebenen Zähler, von dir abgegebene Meldungen, registrierte Geräte, technische Protokolle) oder für eine vollständige Kopie schreib uns, und wir stellen sie von Hand zusammen.
• Berichtigung: direkt in der App, unter „Profil bearbeiten“, „E-Mail ändern“ und „Passwort ändern“.
• Löschung: Einstellungen › Konto › Konto löschen in der App (mit deinem Passwort oder, ohne Passwort, mit einem Code, den wir dir per E-Mail schicken) oder ohne die App per E-Mail, wie auf der Seite Konto löschen erklärt. Du kannst auch einen Chat (für dich) löschen, eine Nachrichtenanfrage löschen, eine Gruppe verlassen oder das Foto einer Gruppe entfernen.
• Widerspruch und Einschränkung: Berechtigungen des Betriebssystems, das Blockieren von Nutzern, der Modus „Freunde“, „Stummschalten“, „Wer dir schreiben darf“, „Lesebestätigungen“, „Nachrichten sichern“, „Abzeichen in meinem Profil zeigen“, das Stummschalten einer Unterhaltung oder einer Gruppe, „Beim Parken stummschalten“ und der Schalter „Neuigkeiten und Angebote per E-Mail“.
• Alle anderen Anliegen (einschließlich der Datenübertragbarkeit oder der Abmeldung vom Newsletter): indem du an support@roadby.app schreibst; wir bearbeiten sie manuell.

Du hast außerdem das Recht, dich bei der spanischen Datenschutzbehörde (aepd.es) zu beschweren, wenn du der Meinung bist, dass wir dein Anliegen nicht ordnungsgemäß bearbeitet haben.

Minderjährige

Roadby ist nur für Personen ab 18 Jahren. Wenn du ein Konto erstellst, in der App oder mit Google, musst du bestätigen, dass du mindestens 18 Jahre alt bist; wir speichern nur, dass und wann du es bestätigt hast, nicht dein Geburtsdatum, und wir überprüfen es nicht. Wenn wir erfahren, dass ein Konto einer Person unter 18 gehört, können wir es sperren oder schließen.

Unsere Kinderschutzstandards erklären, was wir zum Schutz von Kindern tun und wie du eine Sorge melden kannst.

Sicherheit

Alle Informationen werden verschlüsselt übertragen (HTTPS/WSS). Passwörter werden als Hashes gespeichert; die sensibelsten Tabellen (Standort, Stimme, Meldungen, Tokens, Nachrichten, Abzeichen, Alter, akzeptierte Nutzungsbedingungen und Kontosperren) sind nicht einmal für die Person, zu der die Daten gehören, über die App lesbar, sondern nur über Serverfunktionen mit festen Regeln. Nachrichten sind nicht Ende-zu-Ende-verschlüsselt (A.5a). Der administrative Zugriff ist auf die Mindestzahl von Personen beschränkt, die für den Betrieb des Dienstes erforderlich ist.

Änderungen dieser Erklärung

Wenn wir dieses Dokument ändern, aktualisieren wir das oben angegebene Datum. Solange dies eine vorläufige Fassung ist, kann es sich nach der rechtlichen Prüfung noch ändern. Sobald es endgültig ist, informieren wir dich zusätzlich, wenn wir eine wichtige Änderung vornehmen.

Kontakt

Bei Fragen zu dieser Erklärung oder zu deinen Daten: support@roadby.app.