Datenschutzhinweise

Dokumentversion: privacy-personality-discovery-2026-10-15-v1 · Stand: 15. Oktober 2026

1. Verantwortlicher und Kontakt

Robert Simon
Lichtenraderstraße 8
14979 Kleinbeeren

Datenschutzanfragen: sirob0210@gmail.com. Support: sirob0210@gmail.com.

Für Datenschutzfragen ist Robert Simon unter dem oben genannten Datenschutzkontakt erreichbar.

2. Sona und die erforderlichen Angaben

Sona ist eine Dating-App ab 18 Jahren. Für ein Konto und die Partnerentdeckung benötigen wir E-Mail-Adresse, Zugangsdaten, Profilangaben, ungefähren Ort, Profilfotos und einen abgeschlossenen Persönlichkeitstest. Welche Angaben erforderlich sind, zeigt die App an. Ohne die erforderlichen Angaben können wir diese Funktionen nicht anbieten. Optionale Angaben und Fotoverifikation bleiben freiwillig.

3. Daten und Zwecke

4. Rechtsgrundlagen und sensible Angaben

Konto, Anmeldung, Profilbereitstellung, Kontaktfunktionen und die Bearbeitung vertragsbezogener Supportanfragen beruhen auf Art. 6 Abs. 1 Buchst. b DSGVO. Freiwillige Fotoverifikation beruht auf Art. 6 Abs. 1 Buchst. a DSGVO. Sicherheitsmaßnahmen, Missbrauchsabwehr und die Bearbeitung konkreter Meldungen beruhen auf Art. 6 Abs. 1 Buchst. f DSGVO; gesetzlich erforderliche Auskünfte und Aufbewahrung auf Art. 6 Abs. 1 Buchst. c DSGVO, soweit eine konkrete Pflicht besteht.

Datingangaben und Suchpräferenzen können Informationen über Sexualleben oder sexuelle Orientierung erkennen lassen. Solche besonderen Kategorien dürfen nur mit deiner ausdrücklichen Einwilligung nach Art. 9 Abs. 2 Buchst. a DSGVO verarbeitet werden. Eine Zustimmung zu den Nutzungsbedingungen ersetzt diese Einwilligung nicht. Im geschlossenen Zweigerätetest muss die ausdrückliche Einwilligung vor der entsprechenden Dateneingabe separat dokumentiert werden. Freitext und Chat sollten keine unnötigen Gesundheits-, Religions- oder sonstigen besonders sensiblen Angaben enthalten. Du kannst die Einwilligung für die Zukunft beim Datenschutzkontakt widerrufen; ohne die für die Partnerauswahl erforderliche Verarbeitung kann diese Funktion nicht fortgeführt werden. Bereits erfolgte Verarbeitung bleibt rechtmäßig, sofern sie auf wirksamer Einwilligung beruhte.

Unser Interesse besteht im Schutz der Mitglieder, der Verhinderung von Betrug und Belästigung und im zuverlässigen Betrieb. Wir beschränken Sicherheitszähler und Moderationszugriffe auf den jeweiligen Zweck. Meldungen werden individuell geprüft; eine Interessenabwägung berücksichtigt insbesondere die Vertraulichkeit privater Kommunikation. Soweit sensible Daten betroffen sind, ist zusätzlich eine einschlägige Voraussetzung des Art. 9 DSGVO erforderlich; Art. 6 Abs. 1 Buchst. f allein genügt dafür nicht.

5. Sichtbarkeit und Auswahl

Andere angemeldete Mitglieder können die für die Begegnung freigegebenen Profilangaben und Persönlichkeitswerte sehen. Rohantworten, Meldungen und Prüfselfies sind nicht öffentlich. Nachrichten sind für die Beteiligten bestimmt. Pausieren begrenzt neue Entdeckung; vorhandene Kontakte und Daten bleiben bestehen.

Freigegeben sind unter anderem Vorname, Alter in Jahren, Ort, Profilfotos, Profiltexte, Interessen, Lifestyle, Beziehungsabsicht und die fünf Persönlichkeitswerte. Das vollständige Geburtsdatum, Suchpräferenzen, Standortkoordinaten, Rohantworten und interne Kontozustände werden nicht an fremde Mitglieder ausgeliefert. Der Server verwendet private Präferenzen zur gegenseitigen Eignungsprüfung und liefert eine berechnete Entfernung. Profilinformationen sind für angemeldete, berechtigte Mitglieder bestimmt; die App veröffentlicht keine frei zugängliche Profilwebsite. Andere Mitglieder können dennoch eigene Kopien anfertigen.

Die Auswahl berücksichtigt Persönlichkeit, Beziehungsabsicht, Lifestyle, gemeinsame Interessen und reziproke Präferenzen sowie Alters-/Entfernungsfilter. Diese automatisierte Auswahl ist kein wissenschaftlicher Erfolgsnachweis. Der Matchwert ist eine nachvollziehbare Empfehlung auf Basis der gespeicherten Angaben. Mitglieder entscheiden selbst über Likes und Kontakte. Moderationsentscheidungen erfolgen manuell. Sona trifft über diesen Empfehlungswert keine ausschließlich automatisierte Entscheidung mit rechtlicher oder vergleichbar erheblicher Wirkung.

Deine Geschlechtsidentität ist eine eigenständige Profilangabe und für berechtigte Mitglieder sichtbar. Unabhängig davon kannst du freiwillig wählen, bei welcher Suche dein Profil erscheinen darf: Frauen, Männer, Trans oder Divers. Mehrfachauswahl ist möglich. Bei mehreren Zuordnungen kann dein Profil bei jeder dieser Suchgruppen erscheinen; die übrigen gegenseitigen Suchfilter gelten weiterhin. Diese Zuordnung und deine ausgewählten Suchkategorien werden nicht an andere Mitglieder ausgeliefert; der Server verwendet sie ausschließlich für gegenseitige Suchfilter. Sie sind keine Prüfung deiner Identität. Ohne Zuordnung wirst du nur in Suchen mit allen vier ausgewählten Kategorien berücksichtigt. Neue Suchauswahlen werden einzeln getroffen. Alle vier ausgewählten Kategorien schließen freie Identitäten ohne Zuordnung ein; eine ausdrücklich leere neue Suche liefert keine Partnerauswahl. Bereits uneingeschränkte Suchen abgeschlossener Profile behalten ihren bisherigen Umfang.

Bei bestehenden Profilen bleiben ausschließlich die bisherigen eindeutigen Standardangaben Frau, Mann, Nichtbinär und Divers als Suchzuordnung erhalten. Aus unbekanntem Freitext, Namen oder Fotos wird keine Zuordnung abgeleitet. „Nichtbinär“ wird nicht in „Trans“ umgedeutet. Bestehende Identitätstexte bleiben erhalten; eine neue Suchzuordnung wird bewusst gewählt. Neue oder geänderte Identitätstexte bestimmen die Zuordnung nicht automatisch; du kannst sie unabhängig ändern oder entfernen. Unbekannte ältere Suchfilter werden nicht automatisch erweitert. Identität und private Suchangaben bleiben bis zur Änderung oder Kontolöschung gespeichert und sind Bestandteil des eigenen Profilexports; für Sicherungen gelten die unten beschriebenen Fristen. Diese Erweiterung führt keinen zusätzlichen Anbieter oder Trackingdienst ein.

6. Standort und Geräteberechtigungen

Für neue Profile wird der ungefähre Ort ausschließlich durch eine von dir gestartete einmalige Geräteabfrage bestimmt. Nach Abschluss des Einstiegs kannst du unter Entdecken → Einstellungen deinen Suchstandort wahlweise auf einer Karte manuell festlegen oder erneut per GPS bestimmen. Ein manuell gewählter Suchstandort ist keine Aussage über deinen tatsächlichen Aufenthalt. Ohne die erforderliche Standortberechtigung kann ein neues Profil nicht abgeschlossen werden; Kontosicherheit, Abmelden und die zuvor erreichbaren Datenschutzrechte bleiben verfügbar. Gespeichert werden Ortsname und auf ein Raster von 0,1 Grad gerundete Koordinaten für Entfernungsfilter.

Bei der manuellen Wahl kannst du die Karte verschieben oder einen Ort antippen. Apple Maps stellt die Karte bereit und verarbeitet dafür technisch notwendige Karten- und Verbindungsanfragen. Zur Ermittlung des Ortsnamens übermittelt die App die ausgewählte Position an Apples Geocodierung. Die genaue Pinnadelposition verbleibt nur vorübergehend im Arbeitsspeicher der App und wird nicht an das Sona-Backend übertragen. Dort werden ausschließlich Ortsname, auf 0,1 Grad gerundete Koordinaten sowie die private Kennzeichnung als manuelle Kartenwahl und der gemeldete Auswahlzeitpunkt gespeichert. Die Auswahl beeinflusst die Entfernungsfilter und den im Profil sichtbaren Ort. Du übernimmst den gewählten Ort und speicherst anschließend die Entdecken-Einstellungen; Abbrechen übernimmt keinen neuen Ort. Die Kartenwahl benötigt keine GPS-Berechtigung; Karten und Ortsnamenermittlung benötigen eine Verbindung. Bei einem Fehler bleibt der bisher gespeicherte Ort bestehen. Du kannst jederzeit wieder eine einmalige GPS-Abfrage verwenden. Es gibt keinen neuen Anbieter außer den bereits genutzten Apple-Diensten.

iOS fragt gegebenenfalls nach deiner Berechtigung. Zur Ortsnamenermittlung verwendet die App Apples Geocodierung; dabei kann Apple die abgefragte Position und technisch notwendige Verbindungsdaten verarbeiten. Die genaue Geräteposition wird nur vorübergehend zur Ortsbestimmung verwendet; an das Sona-Backend gehen ausschließlich gerundete Koordinaten. Sona speichert keine genaue GPS-Position und führt keine Hintergrundortung oder automatische Ortsaktualisierung durch. Die Geräteberechtigung kannst du jederzeit in iOS entziehen; bereits gespeicherte Ortsdaten werden dadurch nicht automatisch gelöscht.

Im privaten Profil werden die Herkunft der Ortsangabe und der gemeldete Aktualisierungszeitpunkt gespeichert. Bereits vorhandene manuelle Angaben samt Ortskennung, Region, Land und Katalogversion bleiben erhalten und werden nicht nachträglich als Geräteabfrage ausgegeben. Andere Mitglieder erhalten diese Herkunftsdaten und Koordinaten nicht; sie sehen den freigegebenen Ort und eine berechnete ungefähre Entfernung. Profile ohne Herkunftsnachweis bleiben als unbekannt gekennzeichnet. Angaben über 30 Tage werden als möglicherweise veraltet angezeigt; dies löst keine automatische Ortung oder Löschung aus. Der Ort kann im Profil durch eine neue einmalige Geräteabfrage aktualisiert werden. Aktuelle Angaben bleiben grundsätzlich bis zur Änderung oder Kontolöschung gespeichert und sind Teil des eigenen Profilexports.

Ein gespeicherter Ort oder Gerätezeitpunkt ist kein verlässlicher Anwesenheitsnachweis. Entfernungen beruhen auf gerundeten Orten und sind keine exakten Distanzen. Kleine Entfernungsfilter können dadurch ungenau sein; der gewählte Radius wird nicht automatisch erweitert. Die Geräteberechtigung ist getrennt von der Bestätigung dieser Datenschutzhinweise und wird in iOS verwaltet. Die Kamera wird ausschließlich für die freiwillige Prüfaufnahme angefragt; auch Kamera- und Mitteilungsberechtigungen verwaltest du in iOS.

7. Freiwillige manuelle Fotoverifikation

Nach gesonderter freiwilliger Zustimmung wird ein neu aufgenommenes Selfie mit vorgegebener Geste mit aktuellen Profilfotos verglichen. Verarbeitet werden Aufnahme, Geste, Konto-/Anfragekennung, Referenzfotos, Zeiten, Status und gegebenenfalls Ablehnungsgrund. Nur autorisierte Moderation sieht die privaten Prüfaufnahmen. Es gibt keine automatische Gesichtserkennung oder biometrischen Vorlagen.

Nach Freigabe wird nur das Fotoverifiziert-Häkchen angezeigt. Es bestätigt einen manuellen Fotovergleich, keine Identitätsprüfung, Liveness oder Sicherheitsgarantie. Ersatz/Entfernung von Fotos erfordert erneute Prüfung; bloßes Umsortieren nicht. Unter Fotoverifikation kann die Einwilligung für die Zukunft widerrufen werden; Anfrage und Haken werden zurückgenommen. Die Rechtmäßigkeit vorheriger Verarbeitung bleibt unberührt.

8. Empfänger, Verarbeitungsländer und Übermittlungen

Das Backend wird als selbst betriebene Supabase-Installation auf einem bei STRATO GmbH gemieteten Server betrieben. STRATO stellt Hosting und den eingerichteten SMTP-Transport für Kontomails bereit. Es wird kein Supabase-Cloud-Konto zur Speicherung der Mitgliedsdaten eingesetzt. Apple ist an App-Verteilung, TestFlight und APNs-Pushzustellung beteiligt. An den öffentlichen Gmail-Kontakt gesendete Support- und Datenschutzanfragen werden über Googles E-Mail-Dienst verarbeitet. Die autorisierte Moderation erfolgt durch Robert Simon. Sende über E-Mail keine Passwörter, Sitzungstokens oder unnötigen sensiblen Inhalte.

Die eigene Backend-Datenbank und Fotodateien liegen auf dem deutschen Hostingserver. Bei Apple-Diensten und beim Google-E-Mail-Kontakt kann eine Verarbeitung auch außerhalb des EWR stattfinden. Die hierfür geltenden Bedingungen und Transfergrundlagen der tatsächlich genutzten Konten müssen vor einer externen Beta verbindlich geprüft werden. Für den geschlossenen Test werden keine darüber hinausgehenden Analyse- oder Identitätsprüfungsanbieter eingebunden.

9. Aufbewahrung

Kontodaten, Profil, Fotos und Testergebnisse werden grundsätzlich bis zur Kontolöschung gespeichert. Blockieren/Unmatch entfernt die zugehörige Beziehung und Nachrichten. Aktive Meldungen werden bei Löschung eines verknüpften Kontos gelöscht. Die gesonderte, zugriffsbeschränkte Moderationsfallfassung kann höchstens 4000 Zeichen Meldungstext und drei bewusst gesicherte Auszüge von je höchstens 1000 Zeichen aus dem betroffenen Chat enthalten. Personenverweise werden bei Kontolöschung entfernt; Inhalte können weiterhin personenbezogene Angaben enthalten. Fall, Auszüge und Zugriffs-/Entscheidungsereignisse bleiben höchstens 30 Tage nach Abschluss, absolut höchstens 90 Tage ab Eingang. Nicht gesicherte Nachrichten werden nach Unmatch oder Kontolöschung nicht wiederhergestellt. Es besteht kein unbegrenztes Beweisarchiv.

Die tägliche Bereinigung entfernt abgelaufene Moderationsfälle; bei störungsfreiem Betrieb kann die physische Löschung bis zu 24 Stunden später erfolgen. Geschlossene Live-Meldungstexte werden nach 30 Tagen bereinigt, Live-Meldungen nach 90 Tagen gelöscht. Die separate minimierte Moderationshistorie bleibt höchstens 180 Tage; bei Kontolöschung entfällt der Kontobezug. Missbrauchszähler werden nach zwei Tagen bereinigt, Pushjobs nach sieben Tagen. Gerätetokens werden bei Sitzungswiderruf beziehungsweise nach 60 Tagen ohne Registrierungsaktualisierung entfernt. Nicht mehr referenzierte Profiluploads sind nach sieben Tagen zur Bereinigung vorgesehen.

Prüfselfies werden nach Entscheidung unmittelbar gelöscht; technische Fehlversuche übernimmt die tägliche Bereinigung. Zurückgezogene/veraltete Aufnahmen werden bei dieser Bereinigung entfernt. Offene Anfragen laufen nach sieben Tagen ab; abgebrochene Uploads sind nach zehn Minuten zur Bereinigung freigegeben.

Auf dem iPhone können Profilentwürfe, zwischengespeicherte Fotos, lokale Diagnostik und noch nicht bestätigte Nachrichten verbleiben. Ausstehende Nachrichten sind konto- und chatbezogen gespeichert; bestätigte Einträge werden entfernt. Die Kontolöschung entfernt die zugehörige lokale Nachrichtenwarteschlange. Abmelden ist nicht gleichbedeutend mit einer vollständigen Löschung aller Gerätecaches. Kopien, Exporte und von dir angefertigte Bildschirmfotos verwaltest du selbst; beim Entfernen der App wird deren lokaler Datencontainer entfernt.

Der derzeitige Serverbetrieb hält sieben erfolgreiche tägliche und vier wöchentliche Sicherungen vor. Ältere Daten einschließlich gelöschter Kontodaten können bis zur jeweiligen Rotation in diesen zugriffsbeschränkten Sicherungen verbleiben. Die Rotation ist an erfolgreiche Sicherungsläufe gebunden. Ein unabhängig verschlüsseltes externes Backup ist noch nicht produktiv eingerichtet. Vor einer Wiederherstellung mit erneutem Mitgliederzugriff müssen zwischenzeitliche Löschungen berücksichtigt werden; ein Backup hebt eine Kontolöschung nicht auf.

10. Freiwillige Produktmessung, Diagnostik und Website

Zentrale Produktmessung ist standardmäßig ausgeschaltet. Nur deine gesonderte freiwillige ausdrückliche Zustimmung in der App aktiviert sie. Der lokale Nutzungsereignisschalter ist davon unabhängig. Ohne diese Zustimmung bleiben alle Appfunktionen nutzbar.

Verantwortlicher und Zweck: Robert Simon, Lichtenraderstraße 8, 14979 Kleinbeeren; Datenschutz und Support: sirob0210@gmail.com. Die freiwillige Produktmessung hilft uns, allgemeine Nutzungsstufen und die Entstehung gegenseitiger Gespräche zu verstehen und Sona zu verbessern. Sie dient nicht Werbung, individueller Bewertung oder Änderungen deiner Matchwerte.

Freiwillige ausdrückliche Einwilligung: Rechtsgrundlage ist deine freiwillige Einwilligung nach Art. 6 Abs. 1 Buchst. a DSGVO; soweit Dating-Nutzungsstufen sensible Informationen erkennen lassen, zusätzlich deine ausdrückliche Einwilligung nach Art. 9 Abs. 2 Buchst. a DSGVO. Alle Appfunktionen bleiben ohne Zustimmung nutzbar. Der lokale Diagnostik-/Nutzungsereignisschalter, Dating-Einwilligung und Fotoverifikation sind getrennt und aktivieren diese Messung nicht.

Welche Daten verarbeitet werden: Nur feste Nutzungsstufen (zum Beispiel Entdecken geöffnet, Like gesendet, Match entstanden oder Nachricht bestätigt), zufällige Ereignis- und Pseudonymkennungen, numerische Buildnummer und UTC-Tag. Keine Namen, E-Mails, Profiltexte, Nachrichteninhalte, Testantworten, Persönlichkeitswerte, Koordinaten, Fotos, Werbe- oder Gegenüberkennungen in Produktmessdaten. Eine private Kontozuordnung ermöglicht Widerruf, Export und Löschung; pseudonyme Daten bleiben personenbezogen. Zum Nachweis deiner Entscheidung speichern wir Kontobezug, Hinweisversion, Entscheidung und Zeitpunkt.

Gegenseitige Gespräche und Auswertung: Ob ein Gespräch beidseitig begonnen hat, bestimmen wir allein anhand vorhandener Absender- und Zeitmetadaten, ohne Nachrichtentext auszuwerten. Beide Personen müssen vor dem Match freiwillig zugestimmt und binnen sieben Tagen jeweils eine Nachricht gesendet haben. Produktmessdaten enthalten keine Chat-, Match- oder Gegenüber-ID. Die interne Auswertung zählt Konten mit einer Nutzungsstufe, keine Nachrichtenmengen. Gruppen oder Gegenmengen unter 20 Konten werden vollständig unterdrückt. Es gibt keine öffentliche Teilnehmerliste; dies ist keine Anonymitäts- oder Beziehungserfolgsgarantie.

Empfänger und Deutschland: Die Daten werden auf unserem bestehenden selbst betriebenen Supabase-Server bei STRATO in Deutschland verarbeitet. Zugriff erhält nur der verantwortliche Betreiber. Es wird kein zusätzlicher Analytikanbieter eingebunden und kein Werbetracking aktiviert. Bei Übertragung werden technisch notwendige Verbindungsdaten verarbeitet; bestehende Sicherheitsprotokolle bleiben vom freiwilligen Produktzweck getrennt.

Kurze Aufbewahrung und Sicherungen: Rohereignisse werden für den aktuellen und die sechs vorherigen UTC-Tage aufbewahrt. Aktive Zugriffe bereinigen abgelaufene Einträge; die bestehende tägliche Serverbereinigung entfernt sie bei störungsfreiem Betrieb spätestens beim nächsten Lauf (bis zu 24 Stunden später). Auf dem Gerät liegen höchstens 128 geschützte Einträge beziehungsweise 64 KiB; ältere Einträge werden beim nächsten Zugriff entfernt. Es werden keine langfristigen Aggregatreihen gespeichert. Minimale Zustimmungs- und Widerrufsnachweise bleiben bis Kontolöschung; Pseudonymzuordnung und Rohdaten werden bei Widerruf entfernt. Sieben erfolgreiche tägliche und vier wöchentliche Serverbackups können frühere Daten bis zur jeweiligen erfolgreichen Rotation enthalten. Die Rohdatenfrist gilt nicht als Löschgarantie für Backups. Vor Wiederherstellung mit Mitgliederzugriff müssen spätere Löschungen und Widerrufe berücksichtigt werden; ein unabhängiger Restore-Nachweis ist noch offen.

Widerruf und deine Rechte: Du kannst jederzeit unter Einstellungen → Datenschutz → Zentrale Produktmessung erlauben ausschalten. Auf diesem Gerät endet die Sammlung sofort und die Warteschlange wird gelöscht. Bei Verbindung werden die zentrale Zuordnung und Rohdaten entfernt. Offline zeigt Sona den ausstehenden Server-Widerruf und versucht ihn bei der nächsten Nutzung mit Verbindung erneut; bis zur Serverbestätigung kann eine andere angemeldete Installation noch sammeln. Der Widerruf berührt die Rechtmäßigkeit vorheriger Verarbeitung nicht. Kontolöschung entfernt verknüpfte Live-Daten. Eigene Messdaten und Entscheidungshinweise sind im Datenexport enthalten. Für Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit sowie Beschwerden nutze den Datenschutzkontakt oder die zuständige Datenschutzaufsicht. Weitere Informationen stehen unter https://legal.backend-robsi.de/privacy.

Der vollständige versionierte Hinweis und die Zustimmungsfassung stehen unter analytics-2026-10-12-v1. MetricKit-Auswertung bleibt lokal. Apple verwaltet seine TestFlight-Diagnostik. Es gibt kein Werbetracking. Diese Informationsseiten laden keine externen Schriften, Analyseprogramme oder Trackingcookies.

Für diese Informationsseiten ist kein gesondertes HTTP-Zugriffsprotokoll aktiviert. Der Server verarbeitet beim Abruf technisch notwendige Verbindungsdaten, insbesondere die IP-Adresse. Fehler- und Systemprotokolle können technische Verbindungsangaben enthalten. Containerprotokolle sind nach Größe auf drei Dateien zu je 10 MB begrenzt; die Proxy-Systemprotokolle rotieren nach der Systemkonfiguration und haben derzeit keine gesonderte feste Tagesfrist. Diese Protokolle dienen Fehlerbehebung und Sicherheit; sie werden nicht zur Werbung ausgewertet.

11. Rechte, Export und Löschung

Je nach gesetzlicher Voraussetzung hast du Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit. Einwilligungen kannst du für die Zukunft widerrufen. Einer Verarbeitung auf Grundlage berechtigter Interessen kannst du aus Gründen deiner besonderen Situation widersprechen. Wende dich an den oben angegebenen Datenschutzkontakt.

Profilbearbeitung, Pausieren, Blockieren und endgültige Kontolöschung stehen in der App bereit. Der aktuelle App-Export umfasst eigenes Profil, Antworten, Werte, eigene gesendete Nachrichten, Likes, Meldungen und Prüfstatus. Für eine vollständige Anfrage einschließlich Fotos und weiterer Kontodaten nutze den Datenschutzkontakt. Ein geteilter Export ist sensibel; du kontrollierst anschließend erstellte Kopien selbst.

Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere an deinem Aufenthaltsort oder am Ort des mutmaßlichen Verstoßes. Zuständiger Kontakt des Betreibers: Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg, Stahnsdorfer Damm 77, 14532 Kleinmachnow; Poststelle@LDA.Brandenburg.de; https://www.lda.brandenburg.de/.

Ergänzung: freiwillige Apple- und Google-Anmeldung

Du kannst wahlweise dein Apple- oder Google-Konto zur Anmeldung nutzen. Die Anmeldung mit E-Mail und Passwort bleibt verfügbar. Zur Zuordnung verarbeitet unser Authentifizierungsdienst die Anbieterkennung, die bestätigte E-Mail-Adresse und technische Sitzungsdaten. Apple kann auf deinen Wunsch eine Weiterleitungsadresse liefern. Google übermittelt mit dem grundlegenden Profilzugriff gegebenenfalls auch Namen und Profilbildangaben an unseren Authentifizierungsdienst; diese werden nicht automatisch in dein Datingprofil übernommen. Sona fordert keinen Zugriff auf Kontakte, Postfächer oder Kalender an. Deine Zugangsdaten für Apple oder Google erhält Sona nicht.

Wenn du diese Anmeldung startest, werden deine Anfrage und technisch erforderliche Verbindungsdaten wie IP-Adresse und Geräte-/Browserinformationen an Apple beziehungsweise Google übermittelt. Diese Anbieter verarbeiten Anmelde- und Sicherheitsdaten auch für eigene Zwecke nach ihren eigenen Datenschutzhinweisen; Verarbeitung außerhalb Deutschlands und des EWR ist möglich. Sona übermittelt dafür keine Datingprofiltexte, Persönlichkeitstestantworten, Fotos oder Chat- und Audioinhalte. Hinweise zu den Empfängern, internationalen Verarbeitungsorten, Garantien und deinen Einstellungen findest du bei Apple: Mit Apple anmelden und Datenschutz und Google: Datenschutzerklärung. Die Anmeldung ist freiwillig; du kannst stattdessen E-Mail und Passwort verwenden. Die für eine öffentliche beziehungsweise externe Beta erforderliche abschließende Anbieter- und Übermittlungsprüfung ist vom geschlossenen Test zu unterscheiden und bleibt Voraussetzung für dessen Erweiterung.

Die von dir gewählte Kontozugangsart dient der Vertragserfüllung nach Art. 6 Abs. 1 Buchst. b DSGVO. Für Kontowechsel, Sitzungswiderruf und Löschung kann Sona eine erneute Bestätigung beim Anbieter verlangen. Eine zusätzliche verschlüsselte Apple-Widerrufsinformation wird ausschließlich serverseitig für den Widerruf bei Kontolöschung aufbewahrt. Schlüssel und Anmeldetokens werden weder veröffentlicht noch in den Datenexport aufgenommen. Eine Apple-Weiterleitungsadresse kann von einem vorhandenen E-Mail-Konto abweichen; die App führt Konten nicht allein aufgrund einer selbst angegebenen E-Mail zusammen.

Ergänzung: Inkognito-Sichtbarkeit

Wenn du Inkognito einschaltest, erhalten andere Mitglieder Zugriff auf dein Profil und seine Fotos nur, wenn du diese Person selbst gelikt hast oder bereits ein Match mit ihr besteht. Bestehende Matches bleiben erreichbar. Deine Inkognito-Einstellung bleibt privat. Pausieren, Blockieren und die übrigen Zugriffsregeln gelten weiterhin. Bereits von anderen Personen angefertigte Kopien können dadurch nicht zurückgeholt werden.

Ergänzung: Sprachnachrichten

Sprachnachrichten sind freiwillig und nur innerhalb eines bestehenden Matches möglich. Vor einer Aufnahme fragt iOS nach Mikrofonzugriff. Aufgenommen wird nach deinem Start; du kannst die Aufnahme anhören, verwerfen oder ausdrücklich senden. Eine Nachricht ist auf eine Minute und 2 MB begrenzt. Die Funktion verarbeitet deine Stimme, den Aufnahmeinhalt, Dauer, Absender, Unterhaltung und Versandzeit zur Bereitstellung deiner Nachricht nach Art. 6 Abs. 1 Buchst. b DSGVO. Sona erstellt kein Stimmprofil, keine biometrische Identifizierung und keine automatische Transkription.

Aufnahmen werden mit den übrigen Chatdaten auf dem vorgesehenen Server in Deutschland gespeichert, nur für berechtigte Gesprächsteilnehmer bereitgestellt und transportverschlüsselt übertragen. Es besteht keine Ende-zu-Ende-Verschlüsselung. Die technische Dateiprüfung decodiert Audio, begrenzt Umfang und Dauer und entfernt Metadaten; sie ist keine inhaltliche Moderation. Allgemeine Pushtexte enthalten weder Audio noch ein Transkript.

Nicht gesendete Aufnahmen verbleiben zunächst auf dem Gerät. Bei Versandproblemen kann eine geschützte, kontogebundene Kopie zum ausdrücklichen Wiederholen erhalten bleiben; sie wird nach bestätigtem Versand sowie beim Abmelden, Löschen oder Entfernen der Unterhaltung bereinigt. Abgebrochene temporäre Aufnahmedateien werden beim nächsten Start entfernt. Nach Blockieren oder Auflösen eines Matches endet der reguläre Audiozugriff. Nicht mehr referenzierte Serverdateien werden nach Ablauf ihrer Uploadfrist über die bestehende tägliche Bereinigung entfernt. Kontolöschung entfernt eigene Audiodateien; die bestehenden Lösch- und Backupregeln gelten ergänzend. Der Export umfasst zugängliche eigene gesendete Aufnahmen.

Du kannst eine empfangene Sprachnachricht ausdrücklich melden. Dabei wird genau diese Aufnahme für die zuständige Moderation als begrenzter Fallbeleg höchstens sieben Tage zugänglich, soweit sie noch vorhanden ist. Ein zugewiesener, berechtigter Moderator kann sie im Fall prüfen; ein allgemeiner Zugriff auf weitere Aufnahmen oder ganze Chats wird nicht eingeräumt. Es gelten die oben beschriebenen Rechtsgrundlagen und Grenzen für konkrete Sicherheitsmeldungen. Kontolöschung kann die Aufnahme schon früher entfernen.

Ergänzung: geschlossener Betatest und Löschverfahren

In diesem geschlossenen Betatest werden Kontolöschungen nach erneuter Bestätigung deiner Anmeldung auf dem bestehenden Server durchgeführt. Ein lokaler Löschvermerk und eine Sperre weiterer Profil- und Medienänderungen unterstützen die vollständige Bereinigung; bei Fehlern muss die Löschung erneut versucht werden. Ein unabhängiges externes Löschregister ist noch nicht eingerichtet. Bei vollständigem Serververlust oder Wiederherstellung einer alten Sicherung kann der lokale Nachweis fehlen. Vor erneutem Mitgliederzugriff nach einer Wiederherstellung muss der Betreiber zwischenzeitliche Löschungen und Widerrufe daher gesondert abgleichen; ein fehlender Nachweis darf nicht als Zustimmung zur erneuten Veröffentlichung gelten. Ein unabhängig abgesichertes Backup- und Wiederherstellungsverfahren bleibt vor einer Ausweitung der Beta offen.

Ergänzung: „Für dich“ – stündliche Persönlichkeitsauswahl

Sona kann dir unter „Für dich“ zur vollen Stunde bis zu drei passende Persönlichkeiten aus deiner bestehenden Suche zeigen. Die Auswahl verwendet die vorhandenen Persönlichkeits-, Such- und Kompatibilitätsangaben. Deine Filter werden nicht erweitert. Bei geringem Inventar gibt es weniger oder keine Vorschläge.

Zunächst werden nur ein anonymes Persönlichkeitsdiagramm und eine zufällige Auswahlkennung übertragen. Erst wenn du „Profil aufdecken“ wählst, liefert der Server die aktuell zugelassenen öffentlichen Profilangaben. Eine Aufdeckung versendet keinen Like und keinen Pass. Andere reguläre Appbereiche können dasselbe öffentlich sichtbare Profil bereits zeigen; die anonyme Karte garantiert keine globale Nichtwiedererkennbarkeit einer bekannten Persönlichkeit.

Für die verlässliche Auswahl speichern wir intern dein Konto, das Stundenfenster, die ausgewählten Profilkennungen, ihre Reihenfolge sowie Aufdeckung und Like-/Pass-Status. Dadurch bleiben Auswahl und Aufdeckungen nach einem Neustart erhalten und dieselben Personen werden kurzfristig nicht wiederholt empfohlen. Bloßes Anzeigen ist kein Pass. Diese Betriebsdaten werden sieben Tage nach Fensterende zur Löschung vorgesehen; der bestehende tägliche Bereinigungslauf kann die tatsächliche Entfernung um bis zum nächsten erfolgreichen Lauf verzögern. Kontolöschung entfernt eigene Auswahlfenster sofort. Likes, Passes und Matches unterliegen weiterhin den übrigen Aufbewahrungsregeln.

Diese Funktion verwendet den vorhandenen Sona-Server und keine zusätzlichen Analyse-, KI- oder Werbedienste. Sie aktiviert keine zentrale Produktmessung. Datenschutz-Export und Kontolöschung bleiben verfügbar; der Export enthält keine internen Kennungen noch verdeckter Gegenüber.