Datenschutzerklärung

Für die Website und die App „circli“ (Arbeitstitel). Stand: 18.09.2026

1. Verantwortlicher

Ein Datenschutzbeauftragter ist nicht benannt, weil dafür keine gesetzliche Pflicht besteht. Bei Fragen zum Datenschutz schreib uns einfach an die oben genannte Adresse.

2. Website

2.1 Hosting über Cloudflare

Die Website wird über Cloudflare ausgeliefert (Cloudflare, Inc., USA). Beim Aufruf verarbeitet Cloudflare technisch notwendige Verbindungsdaten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Referrer sowie Browser- und Betriebssystemangaben. Das dient der Auslieferung der Seite und dem Schutz vor Angriffen und Missbrauch.

Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren und funktionierenden Website (Art. 6 Abs. 1 lit. f DSGVO). Mit Cloudflare besteht ein Vertrag zur Auftragsverarbeitung. Zur Übermittlung in die USA siehe Abschnitt 5. Cloudflare speichert diese Daten nur kurzfristig nach eigenen Löschfristen.

2.2 Schriftarten

Die Schrift „Archivo“ liegt auf unserem eigenen Server. Beim Aufruf der Seite wird keine Verbindung zu Google oder anderen Schriftanbietern aufgebaut.

2.3 Warteliste

Wenn du dich auf die Warteliste einträgst, speichern wir deine E-Mail-Adresse, optional deine Stadt bzw. deinen Kiez, den Zeitpunkt der Eintragung und die Fassung des Einwilligungstexts, die du gesehen hast. IP-Adressen speichern wir dabei nicht. Zweck ist, dir einmalig Bescheid zu geben, wenn der Testlauf (in deiner Gegend) startet. Es gibt keinen Newsletter und keine Weitergabe.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit ohne Angabe von Gründen widerrufen, eine E-Mail an hi@circli-app.com genügt. Wir löschen deinen Eintrag dann. Was bis zum Widerruf verarbeitet wurde, bleibt rechtmäßig.

Die Einträge liegen in einer Datenbank von Cloudflare (Cloudflare D1), die auf Rechenzentren in der EU beschränkt ist. Zum Schutz vor Missbrauch wird deine IP-Adresse beim Absenden kurz genutzt, um die Zahl der Anfragen zu begrenzen. Gespeichert wird sie nicht.

Wir löschen deinen Eintrag, sobald wir dir die Nachricht geschickt haben, spätestens 12 Monate nach der Eintragung.

2.4 Kontakt per E-Mail

Wenn du uns schreibst, verarbeiten wir deine E-Mail-Adresse und den Inhalt deiner Nachricht, um dir zu antworten (Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO). E-Mails an hi@circli-app.com nimmt Cloudflare (Email Routing) entgegen und leitet sie ohne Speicherung an unser Postfach bei Google (Gmail) weiter. Wir löschen die Nachricht, sobald dein Anliegen erledigt ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

3. App

3.1 Kennung statt Login

Beim ersten Start legt die App bei unserem Datenbank-Anbieter Supabase ein Konto mit einer zufälligen Kennung an. Name, E-Mail-Adresse, Telefonnummer und Passwort werden dafür nicht abgefragt. Der zugehörige Schlüssel wird im geschützten Speicher deines Geräts abgelegt (iOS-Schlüsselbund bzw. Android Keystore).

Diese Speicherung ist unbedingt erforderlich, damit die App funktioniert (§ 25 Abs. 2 Nr. 2 TDDDG). Rechtsgrundlage für die Verarbeitung ist die Bereitstellung der App, die du nutzen möchtest (Art. 6 Abs. 1 lit. b DSGVO).

3.2 Profil

Du gibst deinen Namen an, so erscheinst du bei deinen Freunden. Ein Vorname oder Spitzname genügt. Optional trägst du die Namen deiner Kinder ein. Diese Liste sieht nur du. Deine Freunde sehen Kindernamen nur als Teil eines Status, bei dem du angibst, dass die Kinder dabei sind („Chris mit Marie“). Alter und Fotos fragen wir nicht ab. Die Angaben zu deinen Kindern machst du als Elternteil. Bitte trag nur so viel ein, wie deine Freunde zum Wiedererkennen brauchen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.3 Freunde und Einladungen

Wir speichern, mit wem du verbunden bist und wen du pausiert hast. Einladungen erfolgen über einen persönlichen Code oder Link. Er gilt höchstens 7 Tage und wird erst wirksam, wenn die einladende Person bestätigt. Für gemeinsame Treffen kann es zusätzlich einen Gruppen-Code geben, der höchstens 30 Tage gilt: Wer ihn einlöst, wird mit den anderen verbunden, die ihn ebenfalls eingelöst haben, und findet sie in einem gleichnamigen Kreis.

Du kannst deine Freunde in Kreise einteilen (z. B. „Spielkreis“, „Laufgruppe“). Kreise sind privat: Nur du siehst sie, niemand erfährt, in welchem deiner Kreise er ist. Wir speichern die Kreise, ihre Mitglieder und an welche Kreise ein Status geht, bis du den Kreis oder dein Konto löschst.

Offene und abgelaufene Einladungen löschen wir spätestens 7 Tage nach Ablauf. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.4 Status

Ein Status besteht aus einer Aktivität (z. B. „Spielplatz“), einem Ort, den du selbst eingibst, einer Start- und Endzeit, optional den Namen der Kinder, die dabei sind, und der Angabe „wöchentlich“. Ihn sehen nur deine bestätigten Freunde, bei Auswahl von Kreisen nur deren Mitglieder, und das nur, solange keiner von euch den anderen pausiert hat.

Wir erfassen keinen Standort per GPS. Bitte überleg dir gut, ob du deine Wohnadresse teilst, zum Beispiel bei „Zuhause, offene Tür“.

Ein Status wird 15 Minuten nach seiner Endzeit automatisch gelöscht. Bei wöchentlichen Status legen wir zu diesem Zeitpunkt den nächsten Termin neu an. Vergangene Status bewahren wir nicht auf. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.5 „Ich komme dazu“

Wenn du bei einem Status „Ich komme dazu“ wählst, speichern wir das zusammen mit der Uhrzeit. Deinen Namen sieht die Person, die den Status eingetragen hat, sowie andere, die mit dir befreundet sind. Alle anderen sehen nur, dass eine weitere Person dazukommt. Die Angabe wird zusammen mit dem Status gelöscht.

3.6 Nur auf deinem Gerät

Deine Standard-Dauer, deine Standard-Aktivität und deine Lieblingsorte bleiben auf deinem Gerät. Sie werden nicht an uns übertragen. Das Widget auf deinem Homescreen bekommt seine Daten ebenfalls direkt von der App auf deinem Gerät.

3.7 Server-Protokolle

Beim Zugriff der App auf die Datenbank verarbeitet Supabase technische Daten wie IP-Adresse, Zeitpunkt und angefragte Schnittstelle. Das dient dem Betrieb, der Fehlersuche und der Sicherheit (Art. 6 Abs. 1 lit. f DSGVO). Die Protokolle werden nach den Fristen des Anbieters automatisch gelöscht, in der Regel nach wenigen Tagen.

3.8 App-Aktualisierungen über Expo

Beim Start fragt die App bei Expo (650 Industries, Inc., USA) nach, ob es eine neue Version gibt, und lädt sie gegebenenfalls herunter. Dabei werden IP-Adresse, App-Version, Plattform und technische Geräteangaben übermittelt. Rechtsgrundlage ist unser berechtigtes Interesse, Fehler schnell beheben zu können (Art. 6 Abs. 1 lit. f DSGVO). Zur Übermittlung in die USA siehe Abschnitt 5.

3.9 App Store, TestFlight und Google Play

Die App wird über Apple (App Store, TestFlight) und Google (Google Play) verteilt. Diese Anbieter verarbeiten Daten beim Herunterladen und Installieren in eigener Verantwortung nach ihren Datenschutzbestimmungen.

In der Testphase erhalten wir über TestFlight bzw. die Google-Play-Konsole gegebenenfalls Absturzberichte und Feedback, das du dort aktiv abschickst. Bei Einladungen per E-Mail erfahren wir außerdem deine E-Mail-Adresse. Diese Daten nutzen wir nur, um die App zu verbessern (Art. 6 Abs. 1 lit. f DSGVO).

3.10 Push-Mitteilungen

Wenn du Mitteilungen erlaubst, speichern wir ein Push-Token deines Geräts (eine zufällige Adresse, über die Mitteilungen zugestellt werden), die Plattform (iOS oder Android) sowie die in der App eingestellte Sprache und die Zeitzone deines Geräts, damit Mitteilungen in deiner Sprache und mit der richtigen Uhrzeit ankommen. Rechtsgrundlage ist deine Einwilligung über die Abfrage deines Betriebssystems (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Du kannst sie jederzeit in den Einstellungen deines Geräts widerrufen. Für einzelne Personen schaltest du Mitteilungen in der App mit der Glocke unter „Freunde“ ab.

Wir benachrichtigen deine Freunde, wenn du einen Status einträgst oder änderst, und dich, wenn jemand bei deinem Status „Ich komme dazu“ wählt. Die Mitteilung enthält Namen, Aktivität, Ort und Uhrzeit. Sie wird über den Expo Push Service (650 Industries, Inc., USA) und den Push-Dienst von Apple (Apple Push Notification service) zugestellt, bei Android-Geräten künftig über Google Firebase Cloud Messaging. Zusätzlich senden wir eine unsichtbare Nachricht, damit die App das Widget auf dem Homescreen aktualisieren kann.

Damit niemand doppelt benachrichtigt wird, speichern wir bis zu 24 Stunden, für welches Ereignis bereits eine Mitteilung verschickt wurde. Push-Tokens löschen wir, sobald ein Gerät nicht mehr erreichbar ist, spätestens 90 Tage nach dem letzten Start der App und sofort mit deinem Konto.

3.11 Melden und Blockieren

Du kannst in der App einen Status oder eine Person melden. Wir speichern dann, wer wen gemeldet hat (die Kennungen beider Konten), den gewählten Grund, deine optionale Beschreibung, den Namen der gemeldeten Person sowie Aktivität und Ort des gemeldeten Status zum Zeitpunkt der Meldung. Die gemeldete Person erfährt nicht, wer sie gemeldet hat. Zweck ist, Verstöße gegen die Nutzungsbedingungen zu prüfen und zu beenden (Art. 6 Abs. 1 lit. b und lit. f DSGVO). Meldungen löschen wir nach 180 Tagen.

Nach dem Absenden öffnet die App zusätzlich dein eigenes E-Mail-Programm mit einer vorausgefüllten Nachricht an uns. Schickst du sie ab, erhalten wir auch deine E-Mail-Adresse; dafür gilt Abschnitt 2.4. Unser Postfach wird bei Google betrieben.

Blockierst du jemanden, speichern wir das Blockieren und den Namen der Person, bis du es aufhebst oder dein Konto löschst. Die blockierte Person erfährt davon nichts.

3.12 Was die App nicht tut

Kein Tracking, keine Werbung, keine Analyse- oder Statistik-Tools, keine Weitergabe oder Verkauf von Daten, keine Profilbildung, keine Werbe-Mitteilungen.

4. Empfänger und Auftragsverarbeiter

Mit Supabase, Cloudflare und Expo bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO. Apple stellt Mitteilungen als Betreiber des iOS-Push-Dienstes nach eigenen Bedingungen zu. Deine Freunde sehen die Angaben, die in Abschnitt 3 beschrieben sind. Darüber hinaus geben wir keine Daten weiter, außer wir sind gesetzlich dazu verpflichtet.

5. Übermittlung in Drittländer

Einige Anbieter haben ihren Sitz in den USA oder können von dort auf Daten zugreifen. Die Übermittlung erfolgt auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission zum EU-US Data Privacy Framework, soweit der Anbieter danach zertifiziert ist. Andernfalls stützt sie sich auf die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

6. Speicherdauer im Überblick

• Status und „Ich komme dazu“: automatisch 15 Minuten nach Ende des Status
• Einladungen und Gruppen-Codes: spätestens 7 Tage nach Ablauf
• Warteliste: bis wir dir Bescheid gegeben haben, spätestens 12 Monate nach der Eintragung, bei Widerruf sofort
• Profil, Kinderliste, Kreise und Freundesliste: bis du sie bzw. dein Konto löschst
• Push-Tokens: bis das Gerät nicht mehr erreichbar ist, spätestens 90 Tage nach dem letzten App-Start, sofort mit deinem Konto
• Protokoll versendeter Mitteilungen: 24 Stunden
• Meldungen: 180 Tage
• Blockierte Personen: bis du die Blockierung aufhebst oder dein Konto löschst
• Technische Protokolle: nach den Fristen der Anbieter, in der Regel wenige Tage
• E-Mails an uns: bis dein Anliegen erledigt ist

Wir behalten uns vor, nicht mehr genutzte Konten nach 12 Monaten ohne Aktivität zu löschen.

7. Konto löschen

In der App unter Einstellungen (Zahnrad) → „Konto löschen“. Dabei werden dein Profil, deine Kinderliste, Kreise, Freundschaften, Einladungen, Status und „Ich komme dazu“-Angaben sofort gelöscht. Hast du keinen Zugriff mehr auf die App, schreib uns. Mehr dazu auf der Seite Konto löschen.

8. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine formlose E-Mail an uns genügt.

Widerspruchsrecht: Beruht eine Verarbeitung auf unserem berechtigten Interesse (Art. 6 Abs. 1 lit. f DSGVO), kannst du ihr aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO).

Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), insbesondere in dem Bundesland oder Mitgliedstaat, in dem du wohnst.

9. Weitere Hinweise

• Du bist nicht verpflichtet, uns Daten zu geben. Ohne Namen und Status kann die App aber nicht funktionieren.
• Es findet keine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO statt.
• Die App richtet sich an Erwachsene. Kinder nutzen sie nicht selbst.
• Wenn wir die App um neue Funktionen erweitern, die Daten verarbeiten, passen wir diese Erklärung vorher an. Maßgeblich ist die jeweils hier veröffentlichte Fassung.