Datenschutzerklärung

Fassung 2026-09-22b. Wir halten beim Anlegen eines Profils fest, welcher Fassung zugestimmt wurde. Ohne diese Angabe hier wäre der Nachweis wertlos, weil sich nicht mehr feststellen ließe, welcher Text gemeint war. Ändert sich etwas Wesentliches, zählen wir die Fassung hoch und fragen erneut.

Verantwortlicher

PentzStudio One, Inhaber David Pentz — Kontakt: contact@pentzstudio.one. Anschrift siehe Nutzungsbedingungen · Impressum.

Grundsatz

Wir sind bewusst datensparsam: keine Cookies, keine Werbe-Pixel, kein Fingerprinting, kein Tracking über Apps oder Websites hinweg. Diese Erklärung gilt für zwei Dinge zugleich, und die verarbeiten unterschiedlich viel: für diese Website mit der Warteliste, und für die App. Was nur die App betrifft, steht ab dem Abschnitt „Die App“.

Reichweitenmessung

Für diese Website nutzen wir Vercel Web Analytics, um zu zählen, wie oft welche Seite aufgerufen wird. Es werden keine Cookies gesetzt und keine IP-Adressen gespeichert. Vercel bildet aus der eingehenden Anfrage einen Erkennungswert, der nach 24 Stunden verfällt, und speichert je Aufruf den Zeitpunkt, die aufgerufene Seite, die verweisende Seite, einen ungefähren Ort auf Ebene von Land, Region und Stadt sowie Betriebssystem, Browser und Geräteart. Ein Profil über mehrere Besuche oder über andere Websites hinweg entsteht daraus nicht. Die Auswertung sehen nur wir. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Reichweitenmessung). Sie können dieser Verarbeitung nach Art. 21 DSGVO widersprechen; eine Mail an contact@pentzstudio.one genügt.

Warteliste

Wenn Sie sich in die Warteliste eintragen, verarbeiten wir Ihre E-Mail-Adresse und den optional gewählten Kiez, um Sie zu benachrichtigen, sobald Pin & Tonic in Ihrer Region startet (Art. 6 Abs. 1 lit. b DSGVO — vorvertragliche Maßnahme auf Ihre Anfrage hin). Die Daten werden per Resend (E-Mail-Zustelldienst) an unser Postfach übermittelt. Eine Weitergabe an Dritte zu Werbezwecken findet nicht statt. Sie können die Löschung Ihrer Eintragung jederzeit per E-Mail verlangen.

Hosting

Die Website wird bei Vercel Inc. gehostet. Beim Aufruf werden technisch notwendige Daten (IP-Adresse, Zeitpunkt, abgerufene Seite, User-Agent) in Server-Logs verarbeitet (Art. 6 Abs. 1 lit. f DSGVO — Betrieb und Sicherheit der Website). Vercel kann Daten in den USA verarbeiten; es bestehen EU-Standardvertragsklauseln.

Schriftarten

Schriften werden über Google Fonts nachgeladen (Art. 6 Abs. 1 lit. f DSGVO). Dabei kann Ihre IP-Adresse an Google LLC (USA) übertragen werden. Google ist unter dem EU-U.S. Data Privacy Framework zertifiziert.

Kontaktaufnahme

Bei Kontakt per E-Mail oder Instagram-Direktnachricht (@pintonic.app) verarbeiten wir die von Ihnen mitgeteilten Daten zur Bearbeitung Ihrer Anfrage (Art. 6 Abs. 1 lit. b DSGVO). Für Instagram gilt ergänzend die Datenschutzerklärung von Meta.

Die App (iOS, geschlossene Beta)

Für die native App verarbeiten wir nur, was die Funktion zwingend braucht. Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO) bzw. Ihre Einwilligung (lit. a), etwa für den Standort. Für Mitteilungen gilt, was unten unter „Mitteilungen“ steht. Konto, Profil, Aufnahmen, Fotos und Nachrichten liegen bei unserem Auftragsverarbeiter Supabase in einem Rechenzentrum in der EU (Frankfurt). Für einzelne Funktionen sind weitere Dienste beteiligt, und beim Vorgespräch verlässt Ihre Stimme dafür auch unsere Datenbank. Welche Stellen das sind und was jede von ihnen bekommt, steht vollständig im Abschnitt „An wen Daten gehen“.

E-Mail-Adresse — für Login und wichtige Hinweise. Nie auf Ihrem Profil sichtbar, nie für Werbung.
Grober Standort — für die Karte wird ausschließlich eine ungefähre Zelle gespeichert, rund 600 mal 700 Meter groß, niemals Ihre genaue Koordinate. Andere sehen nur diese Zelle und ihren Mittelpunkt, nie Ihren echten Ort.
Standort beim BlindCrush — eine Ausnahme, und nur dort: Wenn Sie beim ausgelosten Treffen auf „Wir stehen hier“ tippen, prüfen wir mit Ihrem genauen Standort zweierlei — dass Sie am ausgelosten Treffpunkt sind, und dass beide Telefone beieinander sind. Ohne diese Prüfung ließe sich der Freimonat per Telefon absprechen, ohne dass sich jemand trifft. Dafür wird der Standort der Person, die zuerst bestätigt, vorübergehend gespeichert. Er wird gelöscht, sobald die zweite Person bestätigt hat, spätestens zwei Stunden nach dem Treffen. Der Standort der zweiten Person wird nie gespeichert. Niemand außer der Prüfung selbst kann diese Angabe lesen. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); Sie erteilen sie, indem Sie am BlindCrush teilnehmen und auf „Wir stehen hier“ tippen. Wer nicht teilnimmt, für den passiert nichts davon.
Treffpunkte beim BlindCrush — vor einer Ziehung suchen wir öffentliche Orte in der Gegend der Angemeldeten, also Café, Bar, Restaurant, Park oder Platz. Die Suche läuft über die Overpass-Schnittstelle von OpenStreetMap, einen fremden, von Freiwilligen kostenlos betriebenen Dienst. Dorthin geht ein auf rund einen Kilometer gerundeter Punkt Ihrer Gegend, niemals Ihr genauer Standort und keine Angabe zu Ihrer Person. Zurück kommen Name, Adresse und Lage der gefundenen Orte; die Ziehung sucht sich daraus den nächstgelegenen. Diese Ortsangaben stammen aus OpenStreetMap und stehen unter der Open Database License.
Sprachaufnahmen (Voice) — Ihre Profil-Stimme und Sprachnachrichten. Wer Ihnen eine Anfrage schickt, hört Sie, und Sie hören, wen Sie anfragen; nach einem Match hören Sie einander weiter. Mit Plus kann ein angemeldetes Mitglied Ihres Umkreises Ihre Profil-Stimme anhören, wenn es dafür einen seiner wöchentlichen Kontakte verwendet; diese Kontakte sind begrenzt, auch mit Plus. Wen Sie blockiert haben oder wer Sie blockiert hat, hört Sie nicht. Eine gesprochene Frage an einer Anfrage hört nur die gefragte Person, und beides nur, solange die Anfrage offen ist. Sprachnachrichten im Chat hören nur die beiden Beteiligten. Wird eine Aufnahme gemeldet oder konnte Ihr Telefon sie nicht prüfen, kommt hinzu, was im Abschnitt „Was wir mit Ihrer Stimme nicht tun“ steht. Alle Aufnahmen sind ausschließlich über kurzlebige, signierte Links abrufbar. Eine Neuaufnahme überschreibt die alte.
Vorgespräch (Plus) — nach einem Match können Sie einmal pro Paar zwei Minuten miteinander sprechen. Gespeichert wird davon der Verlauf, nicht das Gespräch: zu welchem Match es gehört, wer gefragt hat, ob zugesagt oder abgelehnt wurde, wann beide bereit waren, wann es begann und endete, und wer aufgelegt hat. Es wird nichts mitgeschnitten, auch nicht „zur Sicherheit“. Die Sprachverbindung selbst läuft nicht über unsere Datenbank, sondern über den Anbieter LiveKit; welche Daten dorthin gehen, steht im Abschnitt „An wen Daten gehen“. Der Zutritt wird für genau diesen einen Raum, für Ihr Konto und für die Dauer des Gesprächs ausgestellt, ausschließlich für Ton und ohne Aufnahmerecht. Der Verlaufseintrag bleibt, solange das Match besteht, und verschwindet mit ihm oder mit Ihrem Konto. In unserem internen Tagesbericht steht davon nur, wie viele Gespräche es im laufenden Monat gab und wie viele Minuten sie zusammen dauerten, ohne Namen.
Tägliche Sprach-Antworten (Abendfunk, Kiezgang) — freiwillige, kurze Sprachantworten auf eine Tagesfrage. Anders als Ihre Profil-Stimme sind diese für alle hörbar, die an diesem Tag ebenfalls geantwortet haben (nicht nur Match/Anfrage) — das ist der Zweck des Formats. Nur über kurzlebige, signierte Links abrufbar, wird am Folgetag vollständig gelöscht (Datei und Datenbank-Eintrag). Ein nächtlicher Lauf entfernt alles, was nicht vom laufenden Tag ist — je nach Uhrzeit der Aufnahme sind das zwischen einigen Stunden und knapp zwei Tagen.
Abendplan — ein Tipp am Tag auf einen von fünf Knöpfen: trinken, rausgehen, erleben, zuhause, früh ins Bett. Gespeichert werden Ihr Konto, das Datum und der gewählte Knopf, sonst nichts. Insbesondere kein Ort und keine Angabe zu Ihrer Stimmung; danach fragen wir bewusst nicht. Niemand sieht, wer was getippt hat. Angezeigt wird nur eine Zahl, wie viele heute unterwegs sind, und auch die erst ab acht Antworten, weil eine kleine Zahl in einer kleinen Gegend kein Aggregat mehr wäre, sondern ein Name. Ein nächtlicher Lauf löscht alles, was nicht vom laufenden Tag ist.
Wingman-Zeugnis (Plus) — optional: eine von Ihnen eingeladene dritte Person kann über einen Link (ohne eigenes Konto) eine kurze Sprachaufnahme über Sie beisteuern, die dann bei Ihrem Profil hörbar ist. Gilt dieselbe Freigabe wie bei Ihrer Profil-Stimme (nur Anfrage/Match). Das Einrichten gehört zu Plus, also Link holen, Link ersetzen und einschalten, und für andere hörbar ist das Zeugnis nur, solange Ihr Plus läuft. Ohne Plus bleiben Ihnen ausdrücklich: ausschalten, löschen, das eigene Zeugnis anhören und ein wartendes prüfen. Wer sein Abo beendet, soll nicht zahlen müssen, um etwas über sich wieder loszuwerden. Sie können es jederzeit ausblenden oder restlos löschen; die einladende Person ist stets Sie selbst — die Aufnahme kommt nie ungefragt zustande.
Paar-Geschichten — haben Sie beide ein Date bestätigt, können Sie gemeinsam zwanzig Sekunden aufnehmen, wie es war. Gespeichert werden die Aufnahme, zu welchem Match sie gehört, wer sie aufgenommen hat, und wann welche Zustimmung erteilt oder zurückgezogen wurde. Hörbar wird sie erst, wenn beide zugestimmt haben. Es gibt zwei getrennte Zustimmungen: in der App hörbar für alle angemeldeten Mitglieder, und zusätzlich außerhalb verwendbar, also auf unserer Website oder in unseren sozialen Kanälen. Die zweite gibt es nur zusammen mit der ersten; ohne sie verlässt die Aufnahme die App nicht. Jede Seite allein kann jederzeit und ohne Begründung zurückziehen, entweder nur die Verwendung außerhalb oder alles, und zwar auch dann noch, wenn das Match längst beendet ist. Ein voller Rückzug ist endgültig: Die Datei wird gelöscht, und für dieses Match entsteht keine neue Aufnahme mehr. Eine Grenze nennen wir ehrlich: Was außerhalb der App bereits veröffentlicht war, nehmen wir bei uns herunter, aber wir können es nicht aus Kopien zurückholen, die andere in der Zwischenzeit gemacht haben. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), für die Verwendung außerhalb der App eine zweite, eigene.
Fotos — existieren erst, wenn beide Seiten ein Date bestätigt haben (Reveal). Vorher gibt es keine. Sie nehmen das Foto in diesem Moment mit der Kamera auf oder wählen eines aus Ihrer Galerie. Beides geschieht nur auf Ihren Tipp hin: Wir greifen nicht im Hintergrund auf Kamera oder Galerie zu und sehen von Ihrer Galerie nichts außer dem Bild, das Sie selbst aussuchen. Zu sehen bekommt es allein die Person, mit der Sie sich getroffen haben.
Wen Sie suchen — Ihre Angabe „ich bin" und „ich will treffen". Daraus lässt sich auf Ihre sexuelle Orientierung schließen. Näheres im Abschnitt „Angaben, die besonders geschützt sind".
Wünsche — einmal pro Woche können Sie uns in einem kurzen Text schreiben, was Ihnen in der App fehlt, zwischen fünf und fünfhundert Zeichen. Gespeichert werden Ihr Konto, der Text und der Zeitpunkt. Es gibt dazu keine öffentliche Liste, kein Abstimmen und keine Kommentare; andere Mitglieder sehen davon nichts. Der Text geht in unseren internen Tagesbericht, eine Mail an unser eigenes Postfach, versendet über Resend. In dieser Mail stehen der Text und eine kurze Kennung, nicht Ihr Name und nicht Ihre E-Mail-Adresse. Bauen wir den Wunsch, schenken wir Ihnen einen Monat Plus; dafür merken wir uns, dass dieser Wunsch erledigt ist. Ihr Wunsch bleibt gespeichert, solange Ihr Konto besteht.
Entwicklerstunde — gelegentlich kündigen wir ein Ereignis an, bei dem Sie dem Entwickler direkt schreiben können, bis er es beendet. Gespeichert werden Ihr Konto, Ihr Text (höchstens fünfhundert Zeichen) und der Zeitpunkt. Ihre Nachricht sieht ausschließlich der Entwickler, seine Antwort sehen ausschließlich Sie. Andere Teilnehmer sehen weder Ihre Nachricht noch, dass Sie dabei sind. Er sieht, von welchem Konto geschrieben wurde, mehr nicht. Nach dem Ende des Ereignisses werden die Nachrichten gelöscht. Eine Ausnahme nennen wir ausdrücklich: Was unbeantwortet blieb, übernehmen wir vorher als Wunsch, damit ein Vorschlag nicht verlorengeht, nur weil jemand nicht drankam. Ab dann gilt dafür dasselbe wie für einen Wunsch.
Was ansteht — die Übersicht, wann Abendfunk, Kiezgang und BlindCrush stattfinden, rechnet Ihr Telefon aus festen Uhrzeiten selbst aus. Dafür wird nichts an uns übertragen, nichts zusätzlich gespeichert und nichts über Sie ausgewertet. Wir nennen sie hier trotzdem, damit diese Erklärung alles aufzählt, was in der App sichtbar ist.
Vertrauensperson — Sie können eine Telefonnummer hinterlegen, um vor und nach einem Date eine kurze Nachricht zu schicken. Diese Nummer verlässt Ihr Gerät nicht. Sie liegt allein in den Einstellungen Ihres Telefons; wir speichern sie nicht und sehen sie nie. Auch verschickt nicht die App die Nachricht, sondern Sie selbst aus Ihrer eigenen Nachrichten-App. Wählen Sie „Ich bin hier“, steht darin ein Kartenlink mit Ihrem genauen Standort; auch der geht ausschließlich an die Nummer, die Sie eingetragen haben, und nicht an uns.
Mitteilungen — nur wenn Sie sie in der Abfrage Ihres Telefons erlauben. Wir melden uns bei Ereignissen, die Sie betreffen: eine neue Anfrage, eine Antwort auf Ihre gesprochene Frage, ein Match, eine neue Nachricht, eine Anfrage zum Vorgespräch und dessen Zusage, ein umgesetzter Wunsch und das Ergebnis eines BlindCrush, an dem Sie teilnehmen. Mitglieder mit Moderationsaufgabe erfahren zusätzlich von neuen Meldungen. Daneben kündigen wir drei Formate an: den Abendfunk und den Kiezgang, solange Sie auf der Karte sichtbar sind und an diesem Tag noch nicht geantwortet haben, und den BlindCrush eine Stunde vor Beginn. In einer Mitteilung kann der Alias einer anderen Person stehen, zum Beispiel wer Ihnen geschrieben hat, mit wem Sie ein Match haben oder wer beim BlindCrush gezogen wurde. Den Inhalt einer Nachricht enthält eine Mitteilung nie.
Dafür speichern wir ein Gerätetoken Ihres Telefons in unserer Datenbank. Es entsteht erst, nachdem Sie in der Abfrage Ihres Telefons zugestimmt haben.
Rechtsgrundlagen: Für das Speichern des Tokens auf Ihrem Gerät und den Zugriff darauf § 25 Abs. 2 Nr. 2 TDDDG, weil ohne es die Mitteilungen, die Sie eingeschaltet haben, technisch nicht zugestellt werden können. Für die Mitteilungen zu Ereignissen, die Sie betreffen, die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO). Für die Ankündigungen unser berechtigtes Interesse, dass Sie Formate, die nur zu einer bestimmten Zeit stattfinden, nicht verpassen (Art. 6 Abs. 1 lit. f DSGVO). Diesen Ankündigungen können Sie nach Art. 21 DSGVO jederzeit widersprechen, eine Mail an contact@pentzstudio.one genügt; danach bekommen Sie sie nicht mehr.
Abschalten können Sie Mitteilungen jederzeit in den Einstellungen Ihres Telefons. Beim Abmelden und beim Löschen Ihres Kontos löschen wir das Token aus unserer Datenbank. Zugestellt werden Mitteilungen auf einem iPhone über Apple, siehe „An wen Daten gehen“. Ohne diesen Dienst gibt es technisch keine Mitteilungen auf dem iPhone.
Nutzungsereignisse — wir zählen mit, welche Funktion wie oft benutzt wird, zum Beispiel wie oft die Karte geöffnet oder eine Anfrage angenommen wurde. Zu diesen Zählungen wird keine Kennung gespeichert, weder Ihre noch die einer anderen Person: In einer Zeile stehen nur der Name des Ereignisses, der Zeitpunkt und bei wenigen Ereignissen ein Ortsbezug, der mit vier Geohash-Zeichen rund zwanzig Kilometer grob ist, also deutlich gröber als die Zelle auf der Karte. Inhalte stehen nicht darin: kein Text, keine Aufnahme, und nicht, wen Sie angefragt haben. Damit lässt sich eine Zählung keiner Person zuordnen, auch uns nicht. Wir brauchen sie, um Fehler zu finden und um zu sehen, ob eine Funktion überhaupt benutzt wird. Sie wird nach 90 Tagen gelöscht.

An wen Daten gehen

Das ist die vollständige Liste. Außer an diese Stellen geben wir nichts aus der App heraus, und zu Werbezwecken gibt niemand etwas weiter.

Supabase — unser Auftragsverarbeiter für Datenbank, Anmeldung, Dateispeicher und Serverfunktionen. Hier liegen Konto, Profil, Aufnahmen, Fotos, Nachrichten und die oben beschriebenen Einträge. Das Projekt liegt in einem Rechenzentrum in der EU (Frankfurt).
Cloudflare — unser Auftragsverarbeiter Supabase setzt seinerseits Cloudflare, Inc als Unterauftragsverarbeiter für den Betrieb seiner Infrastruktur ein (auf Supabases Unterauftragsverarbeiter-Liste geführt unter „Provision of hosting services"). Cloudflare liegt technisch vor den Supabase-Diensten: Beim Verbindungsaufbau zu Konto, Profil, Dateispeicher und Serverfunktionen gehen dorthin Ihre IP-Adresse sowie die für den Verbindungsaufbau nötigen technischen Anfragedaten, bevor die Anfrage Supabase erreicht. Cloudflare, Inc sitzt in den USA. Cloudflare hat sich beim US-Handelsministerium zur Einhaltung des EU-U.S. Data Privacy Framework zertifiziert; sollte diese Zertifizierung entfallen oder ungültig werden, stützt sich Cloudflare nach eigener Angabe auf EU-Standardvertragsklauseln.
LiveKit — die Sprachverbindung des Vorgesprächs, betrieben als LiveKit Cloud. Dorthin gehen für die Dauer des Gesprächs Ihre Stimme, eine aus dem Match gebildete Raumkennung, die Kennung Ihres Kontos und die Verbindungsdaten, die eine Live-Verbindung technisch braucht, darunter Ihre IP-Adresse. Wir zeichnen nichts auf und stellen den Zutritt ohne Aufnahmerecht aus. Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO): Ohne diese Verbindung gibt es kein Vorgespräch. Wer keins führt, für den geht dorthin nichts.
Resend — unser Mailversand, in der EU, Region Irland. Darüber gehen der Anmeldecode an Ihre E-Mail-Adresse, die Bestätigung eines Warteliste-Eintrags und unser interner Tagesbericht an unser eigenes Postfach.
Apple — Mitteilungen auf ein iPhone laufen über den Apple Push Notification Service. Dorthin gehen das Gerätetoken sowie Titel und Text der Mitteilung, darin gegebenenfalls der Alias einer anderen Person. Ist Ihr iPhone nicht erreichbar, bewahrt Apple eine Mitteilung höchstens 24 Stunden auf; diese Frist geben wir bei jeder Mitteilung vor. Nach seinen Entwicklerbedingungen darf Apple technische Informationen über die Nutzung des Dienstes erheben, um ihn zu verbessern. Den Inhalt einer Mitteilung sieht Apple danach nur in Ausnahmefällen an, etwa wegen einer rechtlichen Pflicht oder zur Abwehr von Missbrauch. Apple Inc. sitzt in den USA. Übermittlungen personenbezogener Daten aus dem Europäischen Wirtschaftsraum stützt Apple nach eigener Angabe auf Standardvertragsklauseln der EU-Kommission.
OpenStreetMap, Overpass — die Ortssuche für die Treffpunkte beim BlindCrush, siehe oben. Dorthin geht ein gerundeter Punkt einer Gegend und keine Angabe zu Ihrer Person.
Vercel — Betrieb dieser Website samt Reichweitenmessung, siehe die Abschnitte Hosting und Reichweitenmessung. Die App selbst sendet nichts an Vercel. Öffnen Sie aus der App heraus eine unserer Webseiten, etwa diese Erklärung oder den Wingman-Link, gilt für diesen Aufruf der Abschnitt Hosting.

Schutz vor Missbrauch

Getrennt von der Zählung oben führen wir eine zweite, kurze Spur, und diese ist nicht anonym. Wir sagen das hier offen, weil eine Bremse ohne Kennung niemanden bremsen könnte.

Festgehalten werden drei Vorgänge, jeweils mit Ihrer Kontokennung und dem Zeitpunkt: dass die Karte abgefragt wurde, dass ein Profil angesehen wurde, und dass jemand die Karte auffällig oft in kurzer Zeit abgefragt hat. Beim letzten kommt hinzu, wie viele Abfragen es in der Stunde waren, wie groß der abgefragte Ausschnitt war und in welchem groben Gebiet. Inhalte stehen nie darin, und wer angesehen wurde, ebenfalls nicht.

Wozu: Damit niemand die Karte systematisch absuchen und die Aufenthaltsgegenden anderer Menschen einsammeln kann. Ab einer bestimmten Zahl von Abfragen pro Stunde wird abgebremst, und bei auffälligem Verhalten sieht ein Mensch bei uns nach. Rechtsgrundlage ist unser berechtigtes Interesse und das aller anderen Mitglieder an einer App, in der man nicht ausgespäht wird (Art. 6 Abs. 1 lit. f DSGVO). Sie können nach Art. 21 DSGVO widersprechen; dann prüfen wir, ob Ihre Gründe schwerer wiegen als der Schutz der anderen.

Aufbewahrung: 30 Tage. Die Herleitung, damit Sie die Zahl nachvollziehen können: Der Blick, den ein Mensch bei uns auf auffälliges Verhalten werfen kann, reicht höchstens 30 Tage zurück. Kürzer aufbewahren hieße, dass dieser Blick auf Zeiträume fällt, zu denen nichts mehr da ist. Länger aufbewahren wäre Vorrat ohne Zweck. Löschen Sie Ihr Konto, verschwindet diese Spur sofort und vollständig.

Was wir mit Ihrer Stimme nicht tun

Bei Pin & Tonic ist die Stimme das Profil. Deshalb sagen wir ausdrücklich, was mit Ihren Aufnahmen nicht geschieht. Wir speichern sie und spielen sie den Personen vor, die sie hören dürfen. Wir erstellen keine Stimmprofile, betreiben keine Sprechererkennung und keine automatische Einschätzung von Stimmung, Alter, Herkunft oder Geschlecht. Wir hören Ihre Aufnahmen nicht routinemäßig ab. Zwei Ausnahmen gibt es, und wir nennen beide.

Erstens, eine Meldung. Melden lässt sich nicht nur ein Profil, sondern jede einzelne Aufnahme, die jemand zu hören bekommt: Ihre Profil-Stimme, eine Antwort im Abendfunk oder Kiezgang, eine Paar-Geschichte, eine Sprachnachricht aus einem Chat, eine gesprochene Frage an einer Anfrage, die Antwort darauf und ein Wingman-Zeugnis. Melden kann das nur, wer die Aufnahme selbst zu hören bekommen hat. Ist eine Meldung eingegangen, hört eine Person bei uns genau diese Aufnahme an, um zu beurteilen, ob sie bleibt. Die Freigabe gilt nur für die gemeldete Aufnahme und nur, solange die Meldung offen ist; sie ist keine Erlaubnis, sich anzuhören, was sonst noch von Ihnen da ist. Rechtsgrundlage ist unser berechtigtes Interesse an einer App ohne Übergriffe (Art. 6 Abs. 1 lit. f DSGVO) und die Auflage der App-Store-Betreiber, gemeldete Inhalte innerhalb von 24 Stunden zu prüfen.

Zweitens, eine Aufnahme, die Ihr Telefon nicht prüfen konnte. Dann hört eine Person bei uns sie an, bevor sie für andere hörbar wird. Warum überhaupt geprüft wird, steht im nächsten Absatz.

Und dann ist da die Prüfung auf Ihrem Gerät. Bevor eine Aufnahme aus der App hochgeladen wird, wandelt Ihr Telefon sie in Text um und vergleicht diesen Text mit einer Liste verbotener Wörter. Das geschieht vollständig auf Ihrem Gerät. Der Text wird nicht gespeichert, nicht an uns übertragen und nach dem Vergleich verworfen. Wir sehen ihn nie, und die Aufnahme selbst wird dafür nicht an Dritte gegeben. Wir tun das, weil die Betreiber der App-Stores eine Prüfung nutzergenerierter Inhalte verlangen. Wir weisen Sie beim Anlegen Ihres Profils darauf hin. Rechtsgrundlage ist der Nutzungsvertrag (Artikel 6 Absatz 1 Buchstabe b DSGVO); eine Einwilligung ist dafür nicht nötig und wird auch nicht eingeholt. Findet Ihr Telefon nichts Verbotenes, wird die Aufnahme hochgeladen. Findet es ein verbotenes Wort, wird sie es nicht. Kann Ihr Telefon nicht prüfen — weil Sie die Erlaubnis zur Spracherkennung verweigert haben, weil kein Sprachmodell auf dem Gerät liegt oder weil die Aufnahme zu leise war — wird sie entweder nicht hochgeladen oder vor der Veröffentlichung von einer Person bei uns angehört.

Ein Wingman-Zeugnis nimmt eine andere Person im Browser auf, nicht Sie in der App. Es wird deshalb nicht dort geprüft, sondern auf Ihrem Telefon, wenn Sie es sich anhören. Bis Sie es freigeben, hört es niemand außer Ihnen.

Biometrische Daten im Sinne von Artikel 4 Nummer 14 DSGVO entstehen erst, wenn Merkmale mit speziellen technischen Verfahren gewonnen werden, um eine Person eindeutig zu identifizieren. Genau das tun wir nicht. Ihre Aufnahmen sind deshalb personenbezogene Daten, aber keine besondere Kategorie nach Artikel 9 DSGVO. Rechtsgrundlage ist der Nutzungsvertrag (Artikel 6 Absatz 1 Buchstabe b DSGVO): Ohne Stimme gibt es bei uns kein Profil. Sollten wir jemals eine technische Auswertung von Stimmen einführen, etwa um gefälschte Konten zu erkennen, fragen wir Sie vorher gesondert und ausdrücklich. Ohne Ihr Ja bleibt es bei dem, was hier steht.

Was Sie sagen, entscheiden Sie. Wir fragen in der App nicht nach Gesundheit, Glauben, politischer Meinung oder Herkunft. Bedenken Sie, dass Menschen, die Sie kennen, Sie an der Stimme erkennen können. Blind sind Sie gegenüber Fremden, nicht gegenüber Bekannten.

Wir betreiben kein Tracking über Apps oder Websites hinweg, setzen kein Werbe-SDK ein und geben keine Daten zu Werbezwecken weiter.

Angaben, die besonders geschützt sind

Pin & Tonic fragt, wen Sie treffen möchten. Aus dieser Angabe lässt sich Ihre sexuelle Orientierung ableiten, und damit ist sie eine besondere Kategorie personenbezogener Daten nach Artikel 9 Absatz 1 DSGVO. Der Europäische Gerichtshof hat entschieden, dass es dafür genügt, wenn sich eine solche Information mittelbar erschließen lässt — es kommt nicht darauf an, ob Sie sie ausdrücklich angeben.

Solche Daten dürfen wir nur mit Ihrer ausdrücklichen Einwilligung verarbeiten (Artikel 9 Absatz 2 Buchstabe a DSGVO). Die holen wir beim Anlegen Ihres Profils ein: Der Satz, dem Sie dort zustimmen, benennt genau das. Ohne diese Zustimmung entsteht kein Profil, und ohne Profil sind Sie für niemanden sichtbar.

Wir halten fest, welcher Fassung dieser Erklärung Sie zugestimmt haben und wann. Das verlangt Artikel 7 Absatz 1 DSGVO, und es ist auch in Ihrem Interesse: Ändert sich etwas Wesentliches, sehen wir, wen wir erneut fragen müssen.

Sie können Ihre Einwilligung jederzeit widerrufen (Artikel 7 Absatz 3 DSGVO), ohne Angabe von Gründen und ohne Nachteile. Der Widerruf wirkt für die Zukunft; was bis dahin rechtmäßig verarbeitet wurde, bleibt davon unberührt. In der Praxis widerrufen Sie, indem Sie Ihr Konto in der App löschen — dann verschwinden auch diese Angaben. Eine Mail an contact@pentzstudio.one genügt ebenfalls.

Wie lange wir etwas aufbewahren

Profil, Stimme, Wingman-Zeugnis — solange Ihr Konto besteht. Mit der Löschung des Kontos verschwinden sie, auch die Dateien selbst und nicht nur die Einträge darauf.
Sprachnachrichten und Chats — solange das Match besteht. Löscht eine der beiden Seiten ihr Konto, verschwinden sie bei beiden.
Vorgespräch — der Verlaufseintrag, solange das Match besteht. Das Gespräch selbst wird nicht gespeichert, es gibt also nichts aufzubewahren.
Abendplan — bis zum Folgetag. Ein nächtlicher Lauf löscht alles, was nicht vom laufenden Tag ist.
Paar-Geschichte — solange beide Zustimmungen stehen. Zieht eine Seite ganz zurück, wird auch die Datei gelöscht.
Wünsche — solange Ihr Konto besteht.
Nachrichten aus der Entwicklerstunde — bis kurz nach dem Ende des Ereignisses. Blieb eine unbeantwortet, bleibt ihr Text als Wunsch erhalten.
Nutzungsereignisse — 90 Tage, danach automatisch gelöscht.
Spur zum Schutz vor Missbrauch — 30 Tage, danach automatisch gelöscht, und sofort bei der Löschung Ihres Kontos.
Tägliche Sprach-Antworten (Abendfunk, Kiezgang) — bis zum Folgetag. Ein nächtlicher Lauf löscht alles, was nicht vom laufenden Tag ist.
Fotos — solange Ihr Konto besteht; sie entstehen ohnehin erst nach beidseitig bestätigtem Date.
Standort-Zelle — solange Sie sichtbar sind, längstens sieben Tage. Danach verschwinden Sie von der Karte, ohne dass Sie etwas tun müssen.
Warteliste — bis zur Einladung oder bis Sie widersprechen.
Nachweis Ihrer Einwilligung — solange Ihr Konto besteht, weil wir sonst nicht belegen könnten, dass sie vorlag.
Gerätetoken für Mitteilungen — bis Sie sich abmelden oder Ihr Konto löschen.
Mitteilungen bei Apple — höchstens 24 Stunden, und nur solange Ihr iPhone nicht erreichbar ist. Danach verwirft der Dienst sie.
Server-Protokolle beim Hosting — wenige Tage, zur Abwehr technischer Angriffe.

Mindestalter

Pin & Tonic ist ab 18. Beim Anlegen des Profils wird das Geburtsdatum abgefragt und geprüft; ein jüngeres Datum lässt kein Profil entstehen. Wir verarbeiten wissentlich keine Daten von Minderjährigen. Erfahren wir von einem solchen Konto, löschen wir es.

Löschung. Sie können Ihr Konto jederzeit direkt in der App löschen (Einstellungen → „Konto löschen"). Das entfernt Profil, Stimme, Fotos, Chats, Matches, ein etwaiges Wingman-Zeugnis, eine Paar-Geschichte, Ihre Wünsche und die Spur zum Schutz vor Missbrauch restlos. Tägliche Sprach-Antworten (Abendfunk, Kiezgang) verfallen ohnehin bis zum Folgetag.

Ihre Rechte

Sie haben die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO) sowie das Recht auf Beschwerde bei einer Aufsichtsbehörde.

English version