Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
RelationPlay
Giuseppe [Nachname]
[Adresse einfügen]
Wien, Österreich
E-Mail: datenschutz@relationplay.at

2. Grundsatz: Zero-Knowledge-Architektur

Die Grenze des Prinzips: Im Moment der Analyse gilt es nicht. Starten Sie eine KI-Auswertung, läuft der Inhalt über unseren eigenen Server in Frankfurt, der ihn an das KI-Modell weitergibt. Dort wird er ausgewertet, aber nicht gespeichert — danach liegt er nur wieder verschlüsselt in Ihrem Konto. Kurz gesagt: Zero-Knowledge schützt Ihre gespeicherten Daten, nicht den Augenblick der Auswertung.

3. Welche Daten werden verarbeitet?

3.1 Registrierungsdaten

Bei der Anmeldung über Google Sign-In oder Apple Sign-In werden lediglich eine anonymisierte Benutzer-ID (Firebase UID) und optional eine E-Mail-Adresse gespeichert. Diese Daten dienen ausschließlich der Authentifizierung.

3.2 Nutzungsinhalte (verschlüsselt)

Sämtliche von Ihnen eingegebenen Texte (Chatverläufe, Reflexionen, Journaleinträge) werden clientseitig verschlüsselt, bevor sie den Browser verlassen. In unserer Datenbank (Firebase Firestore, EU-Region europe-west3) liegen ausschließlich verschlüsselte Chiffretexte, die ohne Ihren privaten Schlüssel nicht rekonstruierbar sind.

3.3 Automatische Pseudonymisierung von Texteingaben (Privacy Scrubber)

Vor jeder KI-gestützten Analyse von Texteingaben werden personenbezogene Daten (Namen, Adressen, E-Mail-Adressen, Telefonnummern, IBAN, Sozial- und Rentenversicherungsnummern, Kfz-Kennzeichen) automatisch durch Platzhalter ersetzt (z.B. [PERSON_1], [EMAIL], [TEL], [ADRESSE], [IBAN]). In Texteingaben sehen die KI-Modelle zu keinem Zeitpunkt reale Identitäten. Für Sprachaufnahmen und Bilder gilt dieses Verfahren nicht — siehe Abschnitt 3.5.

Datenschutz-Vorschau & Kontrolle: Bevor irgendetwas Ihr Gerät verlässt, zeigt Ihnen ein Vorschau-Schritt genau, welche Namen und Daten maskiert werden. Sie können dort falsch Erkanntes wieder freigeben oder fehlende Namen ergänzen. Erst nach Ihrer ausdrücklichen Bestätigung wird der pseudonymisierte Text übermittelt.

Grenzen des Verfahrens (Transparenz): Die automatische Erkennung ist sehr zuverlässig, aber keine Garantie. Indirekte Identifikatoren (z.B. „meine Chefin bei der Sparkasse Linz“) und einmalig genannte, ungewöhnliche Spitznamen kann die Automatik nicht in jedem Fall erkennen. Genau dafür gibt es die Vorschau: Sie sind die letzte Kontrollinstanz und können solche Angaben vor dem Absenden selbst entfernen.

3.4 Pseudonymisierte Telemetrie (optional)

Sofern Sie der pseudonymisierten Telemetrie zugestimmt haben, werden pseudonymisierte Nutzungsstatistiken (z.B. „Feature X wurde gestartet“) an unseren Backend-Server übermittelt. Diese Daten enthalten keine Inhalte, sondern ausschließlich Zähler und Zeitstempel, verknüpft mit einer pseudonymen Geräte-ID (SHA-256 Hash). Sie können die Telemetrie jederzeit in den Einstellungen deaktivieren.

Speicherdauer: Pseudonyme Telemetrie-Rohdaten (Nutzungsereignisse und technische Fehlerprotokolle) werden automatisch nach 90 Tagen gelöscht (täglicher Löschlauf, Art. 5 Abs. 1 lit. e DSGVO). Ausgenommen ist freiwillig abgegebenes, inhaltliches Nutzer-Feedback, das wir zur Qualitätssicherung der KI-Funktionen aufbewahren, bis Sie dessen Löschung verlangen.

3.5 Sprachaufnahmen und Bilder (keine Vor-Maskierung)

4. Rechtsgrundlagen der Verarbeitung (Art. 6 und Art. 9 DSGVO)

• Vertragserfüllung (Art. 6 Abs. 1 lit. b): Kontoverwaltung, Speicherung Ihrer verschlüsselten Inhalte, Bereitstellung der App-Funktionen sowie Abwicklung eines Premium-Abonnements.
• Einwilligung (Art. 6 Abs. 1 lit. a): Pseudonymisierte Telemetrie sowie die KI-gestützte Analyse Ihrer Eingaben — bei Texten in pseudonymisierter Form, bei Sprachaufnahmen und Bildern unmaskiert (Abschnitt 3.5). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f): Betriebs- und Missbrauchssicherheit sowie die revisionssichere Protokollierung Ihrer Zustimmung zu den Nutzungsbedingungen (consentLog).
• Ausdrückliche Einwilligung in besondere Datenkategorien (Art. 9 Abs. 2 lit. a): Die Analyse Ihrer Kommunikation kann Daten über Ihre seelische Gesundheit, Ihr Beziehungs- und Intimleben erfassen; erkennt das System Krisensignale, verarbeitet es auch diese. Dafür holen wir vor der ersten Analyse eine gesonderte, ausdrückliche Einwilligung ein — getrennt von den Nutzungsbedingungen. Sie ist freiwillig und jederzeit mit Wirkung für die Zukunft in den Sicherheitseinstellungen widerrufbar; ohne sie bleiben die Analyse-Funktionen gesperrt.

4a. Profilbildung und automatisierte Entscheidungen

RelationPlay macht aus Ihren Eingaben Einschätzungen: zu Ihren Kommunikationsmustern, zu wiederkehrenden Konfliktthemen, zu Bindungs- und Beziehungsmustern. Rechtlich ist das Profilbildung (Art. 4 Nr. 4 DSGVO) — die App nennt es selbst so, und wir tun es hier auch.

Wie die Auswertung entsteht: Vollständig automatisch, durch KI-Sprachmodelle. Kein Mensch liest Ihre Inhalte — wir könnten es nicht einmal, denn gespeichert sind sie verschlüsselt. Die Ergebnisse sind statistische Schätzungen und können danebenliegen.

Welche Folgen sie hat: Keine. Die Auswertungen sind Denkanstöße für Sie persönlich — sonst nichts. Sie entscheiden nicht über Zugang, Preis oder Leistungen, gehen an niemanden weiter und fließen in keine Bewertung Ihrer Person durch uns ein. Eine automatisierte Einzelentscheidung im Sinne des Art. 22 DSGVO findet nicht statt.

Ihre Kontrolle: Die Profilbildung beruht auf Ihrer Einwilligung (Abschnitt 4). Sie können sie jederzeit widerrufen — danach entstehen keine neuen Auswertungen mehr. Bestehende Ergebnisse löschen Sie einzeln oder komplett. Und halten Sie eine Einschätzung für falsch, können Sie ihr widersprechen (Art. 21 DSGVO) und Berichtigung verlangen (Art. 16 DSGVO).

5. KI-Verarbeitung (Drittanbieter)

Für die KI-gestützte Analyse nutzt RelationPlay die Google Gemini API. Texteingaben werden ausschließlich pseudonymisiert übermittelt (nach Durchlauf des Privacy Scrubbers); Sprachaufnahmen und Bilder dagegen unmaskiert (Abschnitt 3.5). Gemäß den Google AI API Terms of Service werden über die API gesendete Daten nicht für das Training von KI-Modellen verwendet und nicht dauerhaft gespeichert. Wo genau Google verarbeitet, können wir für diesen Schritt nicht festlegen — die Standortwahl liegt beim Anbieter. Übermittelt wird nur, was Sie zur Auswertung geben: Texte pseudonymisiert, Sprachaufnahmen und Bilder unmaskiert. Ihre gespeicherten Inhalte verlassen den EWR nicht und liegen dort ausschließlich verschlüsselt (siehe Abschnitt 6).

5b. Übermittlung in Drittländer

Der KI-Analyseschritt kann Daten in ein Land außerhalb des EWR führen, weil wir den Verarbeitungsort bei diesem Dienst nicht festlegen können (Abschnitt 5). Bei Texten betrifft das nur Fragmente, die Ihr Gerät vorher pseudonymisiert hat — keine Klarnamen, keine Kontaktdaten. Sprachaufnahmen und Bilder gehen dagegen unmaskiert mit (Abschnitt 3.5); dieser Teil kann also personenbezogene Daten im Klartext enthalten. Ihre gespeicherten Inhalte bleiben in jedem Fall im EWR.

Diese Übermittlung stützen wir auf zwei voneinander unabhängige Grundlagen: auf den Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO) sowie ergänzend auf die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO), die Bestandteil des mit Google geschlossenen Auftragsverarbeitungsvertrags sind. Die zweite Grundlage besteht bewusst zusätzlich: Sollte der Angemessenheitsbeschluss künftig entfallen, bleibt die Übermittlung ohne Unterbrechung abgesichert.

5a. Daten dritter Personen in Uploads und Aufnahmen

Wenn Sie einen Chatverlauf hochladen, enthält dieser zwangsläufig auch Daten von Personen, die selbst nicht Nutzerinnen oder Nutzer von RelationPlay sind — Ihre Gesprächspartner und im Text erwähnte Dritte. Dasselbe gilt für Screenshots und für Sprachaufnahmen eines Gesprächs. Verantwortlich für den Upload bzw. die Aufnahme sind Sie; wir verarbeiten diese Daten ausschließlich in Ihrem Auftrag zur Erstellung Ihrer Auswertung.

Zum Schutz dieser Personen maskiert RelationPlay Namen und erkennbare Merkmale bereits auf Ihrem Gerät, bevor Text übertragen wird; die Zuordnung zu einer realen Person verbleibt lokal bei Ihnen. Eine Information der betroffenen Dritten nach Art. 14 DSGVO ist uns nicht möglich: Uns liegen weder Kontaktdaten noch die Klarnamen dieser Personen vor — gerade weil die Pseudonymisierung vor der Übertragung greift. Wir stützen uns insoweit auf die Ausnahme des Art. 14 Abs. 5 lit. b DSGVO (Unmöglichkeit bzw. unverhältnismäßiger Aufwand).

Besonderheit bei Sprachaufnahmen und Bildern: Bei Ton und Bild greift die Maskierung nicht (Abschnitt 3.5): Die Stimme oder das Gesicht der anderen Person wird so übertragen, wie sie sind. Nehmen Sie ein Gespräch deshalb nur auf, wenn die andere Person es weiß und einverstanden ist. Heimliches Mitschneiden nicht-öffentlicher Gespräche ist in Österreich und Deutschland strafbar — und die Verantwortung dafür liegt bei Ihnen, nicht bei uns.

Laden Sie nur Konversationen hoch, an denen Sie selbst beteiligt waren, und nur, wenn Sie dazu berechtigt sind. Betroffene Dritte können ihre Rechte über die unten genannten Kontaktwege geltend machen; wir unterstützen bei der Zuordnung, soweit uns das ohne zusätzliche Datenerhebung möglich ist.

5c. Weitere Dienstleister und Empfänger

Neben der KI-Verarbeitung arbeiten wir mit drei weiteren Dienstleistern. Alle sind vertraglich auf die Zwecke dieser Erklärung beschränkt — und keiner erhält Ihre verschlüsselten Inhalte:

• Stripe (Zahlungsabwicklung): Kommt nur ins Spiel, wenn Sie ein kostenpflichtiges Abo abschließen. Bezahlt wird auf einer Seite, die Stripe betreibt — Ihre Zahlungsdaten geben Sie dort ein, wir sehen und speichern sie nie. Zu uns zurück kommt nur: Abo aktiv oder nicht, Zahlung erfolgreich oder nicht. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Stripe verarbeitet auch außerhalb des EWR; das ist über Standardvertragsklauseln abgesichert.
• Sentry (Fehlerdiagnose, optional): Sammelt technische Fehlerberichte, damit wir Abstürze finden und beheben können. Jeder Text darin durchläuft vorher unsere Pseudonymisierung. Sitzungsaufzeichnungen („Session Replay“) haben wir bewusst abgeschaltet — sie würden dem Zero-Knowledge-Prinzip widersprechen. Sentry läuft für uns in der EU-Region. Rechtsgrundlage: unser berechtigtes Interesse an einem funktionierenden Dienst (Art. 6 Abs. 1 lit. f DSGVO).
• Firebase Cloud Messaging (Push-Benachrichtigungen, optional): Nur aktiv, wenn Sie Benachrichtigungen einschalten. Gespeichert wird dafür eine Geräte-Kennung, die selbst keinen Inhalt trägt — und auch die Benachrichtigungen verraten nichts aus Ihren Auswertungen. Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); zum Widerrufen schalten Sie die Benachrichtigungen einfach wieder aus.

Weitere Empfänger gibt es nicht. An Behörden geben wir Daten nur weiter, wenn ein Gesetz uns dazu verpflichtet — und selbst dann wären Ihre Inhalte nichts als unlesbare Chiffretexte.

6. Hosting & Datenresidenz

Alle Daten werden ausschließlich auf Servern innerhalb des Europäischen Wirtschaftsraums (EWR) gespeichert:

• Firebase Firestore: Region europe-west3 (Frankfurt, Deutschland)
• Firebase Authentication: EU-Datenresidenz
• Backend / API: Firebase Cloud Functions, Region europe-west3 (Frankfurt, Deutschland)

Die Speicherung erfolgt ausschließlich auf Servern im EWR. Firebase wird von Google, einem US-Unternehmen, betrieben; ein Restrisiko behördlicher Zugriffe nach US-Recht (z.B. CLOUD Act) lässt sich daher nicht vollständig ausschließen. Ihre Inhalte sind hiervon jedoch faktisch nicht betroffen: Sie liegen ausschließlich Ende-zu-Ende-verschlüsselt vor — eine Herausgabe beträfe nur unlesbare Chiffretexte. Für Authentifizierungsdaten (Google Sign-In) stützt sich Google auf das EU-US Data Privacy Framework (Art. 45 DSGVO).

7. Speicherdauer

• Kontodaten: bis zur Löschung Ihres Kontos.
• Verschlüsselte Inhalte: bis zur Löschung durch Sie; ohne Ihren Schlüssel sind sie zudem dauerhaft unlesbar (Krypto-Shredding).
• Mit Partner:innen geteilte Inhalte: Nachrichten oder Auswertungen, die Sie in einem gemeinsamen Bereich (Space) mit einer anderen Person geteilt haben, verbleiben in deren Kopie und bleiben für diese lesbar, auch wenn Sie Ihre eigenen Daten löschen. Das Krypto-Shredding wirkt nur auf Ihren eigenen Schlüssel; eine bereits an die Gegenseite ausgelieferte, mit dem gemeinsamen Bereichsschlüssel entschlüsselte Kopie können wir technisch nicht zurückholen (vergleichbar einer bereits versendeten Nachricht).
• Zustimmungsprotokoll (consentLog): wird zur Nachweisführung für die Dauer der gesetzlichen Verjährungsfristen aufbewahrt, auch nach Kontolöschung.
• Telemetrie: nur pseudonymisierte Zähler; eine Zuordnung zu Ihrer Person ist nicht möglich.

8. Ihre Rechte nach DSGVO

Ihnen stehen folgende Rechte zu:

• Auskunft (Art. 15 DSGVO): Sie können jederzeit Auskunft über die bei uns gespeicherten Daten verlangen.
• Berichtigung (Art. 16 DSGVO): Sie können unrichtige Daten korrigieren lassen.
• Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen. Hinweis: Da wir Ihre verschlüsselten Daten nicht lesen können, empfehlen wir die Nutzung der In-App-Funktion „Alle Daten löschen“.
• Datenübertragbarkeit (Art. 20 DSGVO): Sie haben das Recht auf Herausgabe Ihrer Daten in einem maschinenlesbaren Format.
• Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie können verlangen, dass wir Ihre Daten vorerst nur noch speichern und nicht weiter verarbeiten — etwa solange geklärt wird, ob eine Angabe richtig ist.
• Widerspruch (Art. 21 DSGVO): Soweit wir uns auf ein berechtigtes Interesse stützen (Abschnitt 4), können Sie der Verarbeitung jederzeit aus Gründen widersprechen, die sich aus Ihrer besonderen Situation ergeben.
• Widerruf der Einwilligung (Art. 7 DSGVO): Eine erteilte Einwilligung (z.B. Telemetrie oder die Analyse Ihrer Inhalte) kann jederzeit mit Wirkung für die Zukunft widerrufen werden.
• Beschwerde (Art. 77 DSGVO): Sie haben das Recht auf Beschwerde bei der österreichischen Datenschutzbehörde (dsb.gv.at). Nutzer:innen in Deutschland können sich an die Datenschutzaufsichtsbehörde ihres Bundeslandes wenden.

Hinweis für Nutzer:innen in der Schweiz

Für Nutzer:innen in der Schweiz gilt ergänzend das revidierte Schweizer Datenschutzgesetz (revDSG). Die in dieser Erklärung beschriebenen Grundsätze (Zweckbindung, Datenminimierung, Verschlüsselung, Auskunfts- und Löschrechte) wenden wir gleichermaßen an. Zuständige Aufsichtsbehörde in der Schweiz ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB, edoeb.admin.ch). Die Datenverarbeitung findet in der EU (EWR) statt; die Schweiz verfügt über einen Angemessenheitsbeschluss der EU-Kommission, sodass eine Übermittlung in beide Richtungen datenschutzkonform möglich ist.

9. Cookies & lokale Speicherung

RelationPlay verwendet keine Tracking-Cookies und keine Werbe-Cookies. Die Anwendung speichert Ihre Einstellungen, Ihren Verschlüsselungsschlüssel und Ihre Sitzung ausschließlich lokal auf Ihrem Gerät (localStorage und IndexedDB); diese Daten verlassen Ihr Endgerät nicht. Wenn Sie ein kostenpflichtiges Abonnement abschließen, setzt die Bezahlseite von Stripe auf ihrer eigenen Domain technisch notwendige Cookies — darauf haben wir keinen Zugriff.

10. Auftragsverarbeitung (AVV)

Für den Enterprise-/B2B-Einsatz stellen wir eine standardisierte AVV-Vorlage (Vertrag zur Auftragsverarbeitung) gemäß Art. 28 DSGVO zur Verfügung. Enterprise-Kunden können diese über die Seite Sicherheit & AVV anfordern.