Datenschutz
CHODIGO ist eine App für kleine Freundeskreise. Ihr beantwortet dieselbe Frage, und erst wer selbst geantwortet hat, liest die Antworten der anderen. Das heisst: Es geht hier um sehr persönliche Texte. Diese Seite sagt, was damit passiert — in normaler Sprache.
Wer verantwortlich ist
Royce Manavalan
Seestrasse 22
8610 Uster, Schweiz
[email protected]
CHODIGO ist ein privates Projekt und befindet sich in einer geschlossenen Testphase mit einer kleinen Zahl eingeladener Personen. Es gibt kein Unternehmen dahinter, und die App ist während des Tests kostenlos.
Welche Daten verarbeitet werden
| Daten | Wann sie entstehen | Wofür |
|---|---|---|
| E-Mail-Adresse und Passwort | Registrierung | Damit du dich anmelden kannst. Das Passwort wird nur als kryptografischer Abdruck gespeichert, nie im Klartext. |
| Anzeigename, Profilbild | Du legst sie selbst an | Damit die anderen in deinem Kreis dich erkennen. Beides ist freiwillig veränderbar. |
| Deine Briefe (Antworttexte) | Wenn du auf eine Frage antwortest | Das ist der Inhalt der App. Wer sie zu sehen bekommt, steht unten unter „Wer deine Briefe liest“. |
| Kreise und Mitgliedschaften | Kreis gründen, beitreten, einladen | Damit Fragen und Briefe den richtigen Personen zugeordnet werden. |
| Push-Token deines Geräts | Wenn du Benachrichtigungen erlaubst | Um dir zu melden, dass eine neue Frage da ist oder jemand geantwortet hat. Du kannst das in den Systemeinstellungen jederzeit abschalten. |
| Gerätekennung und E-Mail-Adresse – nur als Abdruck | Beim Start der kostenlosen Testphase | Damit dieselbe Person die dreimonatige Testphase nicht beliebig oft neu beginnt. Gespeichert wird ausschliesslich ein nicht umkehrbarer Abdruck (HMAC-SHA256 mit geheimem Zusatz) — weder die Kennung noch die Adresse selbst. |
| Reaktionen auf Briefe | Wenn du auf den Brief einer anderen Person reagierst | Damit sichtbar wird, dass ein Brief angekommen ist. Gespeichert wird, wer mit welchem der sechs Zeichen auf welchen Brief reagiert hat — eigenen Text gibt es hier bewusst nicht. Der Verfasser sieht es, ebenso alle, die den Brief sehen dürfen. |
| Zustellprotokoll der Benachrichtigungen | Beim Versand einer Benachrichtigung | Um zu sehen, ob Benachrichtigungen überhaupt ankommen — sonst lässt sich „niemand hat geantwortet“ nicht von „die Meldung kam nie an“ unterscheiden. Gespeichert werden Zeitpunkt, Anlass und deine Konto-Nummer, nie Titel oder Text der Meldung. |
| Rückmeldungen | Wenn du „Fehler melden“ benutzt | Dein Text, dazu App-Version, Gerätetyp und deine Konto-Nummer — damit sich ein Fehler einordnen lässt. Nie der Inhalt deiner Briefe. |
| Antworten auf Umfragen | Nur wenn du freiwillig an einer Umfrage teilnimmst (Einladung per E-Mail) | Damit wir verstehen, was an CHODIGO gut ist und was fehlt. Gespeichert wird, was du ins Formular eingibst. Die Umfrage ist nicht mit deinem Konto verbunden und hat keinen Zugriff auf deine Briefe. Sie läuft über Tally (siehe unten). |
| Sprache deines Geräts | Beim Start der App | Damit die Benachrichtigungen in deiner Sprache formuliert werden. Gespeichert wird ein dreibuchstabiger Sprachcode, kein Standort. |
| Ereignisse in deinen Kreisen | Neue Frage, Antwort, Mehrheit, Beitritt, Pause | Sie lösen die Benachrichtigungen aus. Gespeichert wird die Art des Ereignisses, der Kreis und wer es ausgelöst hat — nie ein Inhalt. |
| Einladungslinks | Wenn du einen Link für deinen Kreis erstellst | Der Link selbst, wer ihn erstellt hat, wie oft er benutzt wurde und wann er abläuft. So lässt sich ein Link zurückziehen und begrenzen. |
| Austrittsdatum | Wenn du einen Kreis verlässt | Damit du danach nichts Neues mehr siehst und deine bisherigen Briefe für die anderen bleiben. Gespeichert wird der Kreis und der Zeitpunkt. |
| Fristen der Testphase | Beim ersten App-Start | Anfang und Ende deiner dreimonatigen Gratisphase, damit die App weiss, ob dein Zugang offen ist. |
| Anmeldezeitpunkte und IP-Adresse | Bei jeder Anmeldung und jeder Anfrage | Sie entstehen in den Protokollen des Servers, wie bei jedem Dienst im Internet — für Betrieb und Missbrauchserkennung. Sie werden nicht ausgewertet, und der Anbieter löscht diese Protokolle spätestens nach 7 Tagen. Zu jeder bestehenden Anmeldung speichert der Server zusätzlich die IP-Adresse und den Gerätetyp, bis du dich abmeldest oder dein Konto löschst; dazu den Zeitpunkt deiner letzten Anmeldung, solange das Konto besteht. |
| Daten auf deinem Gerät | Während der Nutzung | Deine Anmeldung liegt im verschlüsselten Schlüsselspeicher des Geräts; Kreisnamen und eine noch nicht eingelöste Einladung liegen im App-Speicher, damit die App ohne Netz etwas anzeigen kann. Beides verschwindet, wenn du die App löschst. |
| Fehlerberichte | Wenn die App abstürzt oder ein Fehler auftritt | Technische Angaben zum Absturz plus deine Konto-Nummer. E-Mail-Adresse, Name, IP-Adresse und Inhalte von Anfragen werden vorher entfernt. |
Was nicht passiert: keine Werbung, keine Weitergabe und kein Verkauf an Dritte, kein Profiling, kein Tracking-Baustein und kein Analytics-Anbieter in der App, keine automatisierte Auswertung der Briefinhalte. Deine Briefe werden nicht gelesen, um daraus etwas abzuleiten.
Wie die Nutzung ausgewertet wird
Um zu verstehen, ob die App trägt, werten wir die Nutzung in Summen aus — mit Abfragen auf der eigenen Datenbank, ohne Analytics-Anbieter und ohne Baustein in der App. Angesehen werden Zahlen wie: wie viele Kreise es gibt, wie viele Mitglieder sie haben, wie viele auf eine Frage geantwortet haben, wie lange ein Brief etwa war (in drei Stufen: kurz, mittel, lang) und ob Benachrichtigungen zugestellt wurden.
Der Text deiner Briefe kommt darin nicht vor — weder als Inhalt noch als Ausschnitt; nur seine Länge als Stufe. Diese Auswertungen sind nur mit dem Server-Schlüssel lesbar und für niemanden in der App sichtbar. Grundlage ist das berechtigte Interesse (Art. 6 Abs. 1 lit. f DSGVO), ein Produkt vor der Veröffentlichung beurteilen zu können.
Wer deine Briefe liest
Das ist der Kern der App, deshalb ausführlich: Deine Antwort auf eine Frage sehen die anderen Mitglieder deines Kreises — aber nur, wenn sie selbst auf dieselbe Frage geantwortet haben. Wer nicht antwortet, sieht nichts, auch später nicht. Diese Regel wird auf dem Server erzwungen, nicht nur in der Anzeige.
- Auch Kreis-Admins können diese Regel in der App nicht umgehen. Ihre zusätzlichen Rechte betreffen nur den Kreis selbst — Name, Takt, Tiefe, Mitglieder —, nie das Lesen fremder Briefe. Auch nach Ablauf einer Frage gibt es keine Umgehung.
- Verlässt du einen Kreis, siehst du weiterhin, was bis zu deinem Austritt geschrieben wurde — nichts danach. Umgekehrt bleiben deine bis dahin geschriebenen Briefe für die anderen sichtbar.
- Wer Zugang zum Server hat, könnte technisch auf die Daten zugreifen. Die Briefe sind auf dem Server nicht Ende-zu-Ende verschlüsselt — das schliesst sich mit dem schrittweisen Sichtbarwerden und dem Archiv gegenseitig aus.
Auf welcher Grundlage
- Zur Erfüllung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO): Konto, Profil, Kreise, Fragen, Briefe, Benachrichtigungen. Ohne diese Daten funktioniert die App nicht.
- Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): die Teilnahme an Umfragen. Sie ist freiwillig; wer nicht teilnimmt, hat keinerlei Nachteil.
- Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Fehlerberichte, um die App stabil zu halten; gelegentliche E-Mails an Teilnehmende der Testphase, etwa die Einladung zu einer Umfrage; die Abdrücke der Gerätekennung, um die kostenlose Testphase nicht beliebig wiederholbar zu machen; die Protokolle des Servers für Betrieb und Missbrauchserkennung; die in Summen gerechnete Auswertung der Nutzung, um das Produkt vor einer Veröffentlichung beurteilen zu können.
Für Nutzerinnen und Nutzer in der Schweiz gilt sinngemäss das revidierte Datenschutzgesetz (revDSG); die Rechte unten bestehen dort ebenso.
Wer die Daten sonst noch verarbeitet
Für den Betrieb sind Dienstleister nötig. Sie verarbeiten Daten nur in unserem Auftrag und nicht für eigene Zwecke:
| Dienst | Wofür | Wo |
|---|---|---|
| Supabase | Datenbank, Konten, Dateispeicher — hier liegen Profile, Kreise und Briefe | Rechenzentrum in Irland (EU) |
| Resend | Versand der E-Mails (Bestätigung, Passwort zurücksetzen, Einladungen an Teilnehmende der Testphase) | Versand über Server in der EU; Anbieter mit Sitz in den USA |
| Tally | Formulare für freiwillige Umfragen — hier liegen deine Antworten, wenn du teilnimmst | Rechenzentrum in Belgien (EU); Anbieter mit Sitz in Belgien |
| Sentry | Fehlerberichte aus der App | EU-Region (Deutschland); Anbieter mit Sitz in den USA |
| Expo | Zustellung der Push-Benachrichtigungen | USA |
| Google (Firebase Cloud Messaging) | Zustellung der Push-Benachrichtigungen auf Android-Geräten | USA |
| Apple (APNs) | Zustellung der Push-Benachrichtigungen auf iPhones — erst, sobald es eine iOS-Fassung gibt | USA |
| Cloudflare | Namensauflösung der Domain, Auslieferung dieser Webseiten und Weiterleitung der E-Mails an info@, feedback@ und noreply@ — wer uns schreibt, dessen Nachricht läuft dort durch | Weltweites Netz, Anbieter mit Sitz in den USA |
Bei den drei zuletzt genannten werden Daten in die USA übermittelt. Das betrifft im Wesentlichen den Push-Token deines Geräts und den kurzen Benachrichtigungstext (etwa „Eine neue Frage wartet auf dich“) — nicht den Inhalt deiner Briefe. Grundlage sind die Standardvertragsklauseln der EU-Kommission beziehungsweise das EU-US Data Privacy Framework. Wenn du keine Benachrichtigungen erlaubst, entfällt dieser Weg vollständig.
Resend versendet die E-Mails technisch über Amazon SES in der EU-Region Irland; das ist ein Unterauftragsverarbeiter von Resend.
Kein Zahlungsdienstleister. Die App ist während der Testphase kostenlos, es gibt keinen Kaufweg und keine Zahlungsdaten. Sollte später ein Abo dazukommen, wird diese Erklärung vorher ergänzt — Karten- oder Kontodaten würden ohnehin nie bei uns liegen, sondern beim jeweiligen Anbieter.
Wie die Daten geschützt sind
- Die Verbindung zwischen App und Server ist durchgehend verschlüsselt (TLS); die Datenbank ist beim Anbieter auch im Ruhezustand verschlüsselt.
- Die Sichtbarkeitsregel steht in der Datenbank, nicht in der Anzeige: Der Server gibt fremde Briefe erst heraus, wenn du selbst geantwortet hast. Das lässt sich nicht durch eine veränderte App umgehen.
- Dein Passwort liegt nur als kryptografischer Abdruck vor, deine Anmeldung auf dem Gerät im verschlüsselten Schlüsselspeicher.
- Profilbilder sind nicht öffentlich abrufbar. Sie werden nur über kurzlebige, signierte Adressen ausgeliefert, und auch das nur an Personen, mit denen du einen Kreis teilst.
- Die Auswertungen und Protokolle sind ausschliesslich mit dem Server-Schlüssel lesbar, der nicht in der App steckt.
Wie lange
- Solange dein Konto besteht. Es gibt keine automatische Löschfrist, weil das Archiv der eigenen Briefe Teil der App ist.
- Beim Löschen des Kontos (in der App unter Einstellungen → Konto löschen) werden gelöscht: dein Profil und Profilbild, deine Briefe, deine Reaktionen, deine Mitgliedschaften, deine Einladungslinks, die Benachrichtigungs-Token, das Zustellprotokoll, deine Rückmeldungen, die Fristen deiner Testphase und — falls vorhanden — Abo-Angaben. Ein Kreis, in dem du das letzte Mitglied warst, verschwindet mit dir. Nichts davon wird anonymisiert: In Kreisen von vier bis acht Menschen wäre „anonym“ nur pseudonym und damit weiterhin personenbezogen.
- Was ohne Bezug zu dir übrig bleibt: Kreise, in denen andere weiterbestehen, samt ihrer Fragen und der Briefe der anderen; die Einträge im Ereignisprotokoll dieser Kreise („eine Antwort ist eingegangen“) verlieren dabei den Verweis auf dich. Die anderen in deinem Kreis sehen deine Briefe danach nicht mehr — sie werden mit dem Konto gelöscht. Willst du nur einen Kreis verlassen, bleiben deine bisherigen Briefe dort für die anderen sichtbar.
- Was bewusst bleibt: die oben beschriebenen Abdrücke von Gerätekennung und E-Mail-Adresse. Ohne sie wäre Löschen und Neuanmelden eine unbegrenzt wiederholbare Gratisphase. Aus einem Abdruck lässt sich die Adresse nicht zurückrechnen, und er steht mit keinem Konto mehr in Verbindung.
- Protokolle des Servers (Anmeldezeitpunkte, IP-Adressen) werden spätestens nach 7 Tagen gelöscht. Die IP-Adresse einer bestehenden Anmeldung bleibt bis zur Abmeldung gespeichert.
- Fehlerberichte werden nach 90 Tagen automatisch gelöscht.
- Antworten auf Umfragen werden aufbewahrt, solange sie für die Weiterentwicklung von CHODIGO gebraucht werden, und danach gelöscht. Weil sie nicht mit deinem Konto verbunden sind, verschwinden sie nicht automatisch mit dem Konto. Hast du in einer Umfrage etwas angegeben, woran sich deine Antworten erkennen lassen (etwa deinen Namen), genügt eine Nachricht an [email protected], um sie vorher zu entfernen.
Deine Rechte
Du kannst Auskunft über deine Daten verlangen, sie berichtigen oder löschen lassen, ihre Verarbeitung einschränken, einer Verarbeitung widersprechen, die auf berechtigtem Interesse beruht, und eine Übertragung deiner Daten verlangen. Das Löschen geht am schnellsten direkt in der App; für alles andere genügt eine formlose Nachricht an [email protected].
Du kannst dich ausserdem bei einer Aufsichtsbehörde beschweren — in der Schweiz beim EDÖB, in der EU bei der Datenschutzbehörde deines Wohnsitzlandes.
Es findet keine automatisierte Entscheidungsfindung und kein Profiling im Sinne von Art. 22 DSGVO statt. Welche Frage ein Kreis bekommt, entscheidet eine feste Regel (die am längsten nicht gestellte Frage der gewählten Tiefe) — keine Auswertung deiner Person.
Änderungen
Ändert sich etwas Wesentliches an der Verarbeitung, wird diese Seite angepasst. Solange die Testphase läuft, informieren wir Teilnehmende zusätzlich direkt.
Stand: 11. Oktober 2026