Zurück

Datenschutzerklärung

Stand: 16. Oktober 2026 · Version 1.21

1. Verantwortlicher

Lunchdate UG (haftungsbeschränkt)
c/o betahaus GmbH, Rudi-Dutschke-Straße 23
10969 Berlin
Deutschland

E-Mail: privacy@lunchdate.io

(nachfolgend „Lunchdate", „wir" oder „uns")

2. Geltungsbereich

Diese Datenschutzerklärung gilt für die iOS-App „Lunchdate" und die zugehörige Website unter lunchdate.io (zusammen „Dienst"). Sie gilt nicht für eine Android-App oder für Dienste Dritter, zu denen wir lediglich verlinken. Abweichend davon gelten die in Abschnitt 8.2 beschriebenen Regeln zur serverseitigen Speicherung und Synchronisierung Ihrer optionalen Auswahl auch für Android.

Lunchdate ist eine Plattform für professionelles Networking und persönliche Treffen. Die Nutzung ist Personen ab 18 Jahren vorbehalten.

3. Grundsätze und Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten nur, soweit hierfür eine Rechtsgrundlage besteht. Soweit die Datenschutz-Grundverordnung („DSGVO") anwendbar ist, sind dies insbesondere:

Einwilligungen können jederzeit mit Wirkung für die Zukunft widerrufen werden. Verarbeitungen, die bis zum Widerruf erfolgt sind, bleiben rechtmäßig. Gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, Widerspruch einlegen.

4. Welche Daten wir verarbeiten

4.1 Konto und Anmeldung

Die im iOS-Dienst angebotene Registrierung und Anmeldung erfolgt über Sign in with Apple. Wir verarbeiten dabei:

Authentifizierungsdaten werden in Firebase Authentication verarbeitet. Für Betrieb und Anzeige des Profils speichern wir erforderliche Kontofelder, insbesondere Anzeigename und interne Nutzerkennung, auch in Cloud Firestore.

Für die Anmeldung sind die Apple-Kennung und die von Apple übermittelte echte oder Relay-E-Mail-Adresse erforderlich. Zum Abschluss des Profils benötigen wir einen Anzeigenamen, eine Berufsbezeichnung, mindestens ein Profilfoto, eine Branche, mindestens eine Sprache und ein Networking-Ziel. Ohne diese Angaben können Sie die Registrierung beziehungsweise das Profil nicht abschließen. Das Unternehmen ist freiwillig. Gerätestandort, Push-Mitteilungen, Kalenderzugriff, Produktanalyse und Fehlerdiagnose sind freiwillig; eine Ablehnung verhindert die Kontonutzung nicht, die jeweilige optionale Funktion steht dann jedoch nicht oder nur eingeschränkt zur Verfügung.

4.2 Profil und Einstellungen

Je nach Ihren Angaben verarbeiten wir:

Vor dem Upload entfernt die App lokal EXIF-Metadaten wie GPS-Koordinaten, Kameramodell und Aufnahmedatum, soweit technisch vorhanden.

4.3 Foto- und Inhaltsmoderation

Hochgeladene Profilfotos und, unter iOS, Gruppenfotos übermitteln wir von unseren Servern an Google Cloud Vision, um sie automatisiert auf unzulässige oder unangemessene Inhalte zu prüfen. Empfänger sind Google Ireland Limited und die in Abschnitt 6.2 beschriebenen verbundenen Google-Unternehmen.

Rechtsgrundlage dieser Übermittlung und Prüfung ist Art. 6 Abs. 1 lit. b DSGVO, denn die Prüfung hochgeladener Profil- und Gruppenfotos ist Teil unseres Dienstes und setzt die Foto-Regeln der Nutzungsbedingungen und der Community-Guidelines um; ein Profilfoto ist für die Nutzung erforderlich (Abschnitt 4.1). Daneben stützen wir sie auf Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist es, Nutzer vor rechtswidrigen und unangemessenen Inhalten zu schützen und Missbrauch des Dienstes zu verhindern. Soweit die Prüfung auf Art. 6 Abs. 1 lit. f DSGVO beruht, können Sie ihr nach Art. 21 DSGVO aus Gründen, die sich aus Ihrer besonderen Situation ergeben, widersprechen.

Vor dem ersten Upload bittet die App Sie gesondert um Ihre ausdrückliche Erlaubnis, Bilder an Google Cloud Vision zu übermitteln, weil die App-Store-Richtlinien von Apple eine solche Erlaubnis vor der Weitergabe personenbezogener Daten an KI-Dienste Dritter verlangen. Diese Erlaubnis ist keine Einwilligung im Sinne von Art. 6 Abs. 1 lit. a DSGVO; Kamera- oder Fotomediathek-Berechtigung, AGB-Zustimmung und Kenntnisnahme dieser Erklärung ersetzen sie nicht. Wir speichern Ihre Entscheidung zusammen mit der Version des Hinweises auf unseren Servern. Sie gilt auf allen Geräten und Plattformen desselben Kontos; solange die aktuelle Erlaubnis gilt, fragen wir nicht erneut. Vor jedem neuen Upload und unmittelbar vor der Übermittlung an Google prüft unser Server, ob die Erlaubnis vorliegt. Ohne sie können Sie keine Fotos hochladen; da ein Profilfoto erforderlich ist, können Sie die Registrierung dann nicht abschließen. Sie können die Erlaubnis jederzeit unter „Konto & Sicherheit → Privatsphäre → Bildprüfung“ widerrufen. Danach können Sie keine neuen Fotos hochladen, auch kein neues Profilfoto; bereits veröffentlichte Bilder bleiben erhalten (Abschnitt 8.2), und Textfunktionen bleiben nutzbar.

Für diese Inhaltsprüfung verwenden wir ausschließlich SafeSearch; wir beauftragen dabei keine separate Gesichtsanalyse oder Identifizierung von Personen und erstellen oder speichern keine biometrischen Templates zur Wiedererkennung. Wir senden die Bilddaten ohne zusätzliche Profilangaben wie Namen oder E-Mail-Adresse; das Foto selbst kann personenbezogene Daten enthalten.

Laut Google verarbeitet die dabei verwendete Online-API die Bilddaten nur im Arbeitsspeicher und speichert sie nicht auf Datenträgern. Google protokolliert vorübergehend technische Anfragemetadaten, etwa Zeitpunkt und Größe der Anfrage. Quelle: Google Cloud Vision: Data Usage FAQ. Freigegebene Fotos bleiben bei Lunchdate gespeichert; für Quarantäne- und private Moderationskopien gelten die Fristen in Abschnitt 8.

Ein automatisches Prüfergebnis kann dazu führen, dass ein Bild nicht veröffentlicht, entfernt oder einer menschlichen Prüfung zugeführt wird. Einzelheiten zu Überprüfungsmöglichkeiten finden Sie in Abschnitt 10.

Alle frei bearbeitbaren Profiltexte, die für andere Nutzer sichtbar sind, werden beim Speichern automatisiert durch einen mehrsprachigen, regelbasierten Abgleich von Wörtern und festgelegten Textmustern in allen 15 unterstützten Sprachen geprüft. Dabei wird kein Sprachmodell eingesetzt und keine umfassende semantische Analyse vorgenommen. Dazu zählen Anzeigename, Biografie, Lunch-Ziel, Berufsbezeichnung, Unternehmen, berufliche Themen und Rollenbeschreibung sowie Ziele und eigene Zieleinträge, persönliche und berufliche Interessen und eigene Einträge, Fähigkeiten und eigene Fähigkeitseinträge, Ausbildung und frühere Berufserfahrung sowie frei bearbeitbare Beschriftungen von Profilfotos. Die Bilddatei des Profilfotos bleibt dem oben beschriebenen separaten Bildmoderationsprozess unterworfen. Erkennt die Prüfung eine nach unseren Inhaltsregeln unzulässige Formulierung, können das betroffene Feld, der Listeneintrag oder die Beschriftung automatisch geleert oder entfernt werden. Sowohl die Erkennung als auch die Entscheidung über den Eingriff erfolgen automatisiert; vorab findet keine manuelle Prüfung statt.

Für eine solche Maßnahme erstellen wir einen nutzerlesbaren Entscheidungsbeleg mit den betroffenen Feldern, der konkreten Maßnahme, der vertraglichen Grundlage, der Rolle der Automatisierung, der vollständigen Begründung und einer Fall-ID. Der Beleg enthält weder den ursprünglichen Profiltext noch das erkannte Trefferwort oder einen Modell- beziehungsweise Klassifikatorwert. Sie können kostenlos eine manuelle Überprüfung verlangen, indem Sie auf die Entscheidungs-E-Mail antworten oder support@lunchdate.io kontaktieren.

Jede über den iOS-Dienst gesendete private Textnachricht im 1:1- oder Gruppenchat wird serverseitig geprüft, bevor sie als Nachricht gespeichert und an andere Teilnehmer zugestellt wird. Dabei handelt es sich um einen mehrsprachigen, regelbasierten Abgleich von Wörtern und festgelegten Textmustern in allen 15 unterstützten Sprachen, nicht um ein Sprachmodell oder eine umfassende semantische Analyse. Vor dem Vergleich normalisiert der Server den Text: Er wandelt ihn in Kleinbuchstaben um, entfernt unsichtbare Zeichen und Akzente, wendet Unicode-Normalisierung an und ersetzt festgelegte ähnlich aussehende Zeichen sowie Leetspeak-Schreibweisen. Erkennt die Prüfung eine nach unseren Inhaltsregeln unzulässige Formulierung, wird der Sendeversuch abgelehnt; die Nachricht wird weder gespeichert noch zugestellt.

Um diese Entscheidung nachweisbar und überprüfbar zu machen, erstellen wir einen minimierten, an die konkrete Kontogeneration gebundenen Moderationsnachweis. Er enthält die interne Nutzerkennung und Kontoerstellungszeit, die Chatart, gehashte Gesprächs- und Sendeversuchsreferenzen, Grund und Nichtzustellungsentscheidung, Zeitstempel, Status und Stand des Verstoßzählers, eine Moderations-Fall-ID sowie einen nutzerlesbaren Entscheidungsbeleg. Weder der ursprüngliche Nachrichtentext noch das erkannte Trefferwort werden in Fall, Beweisdaten oder Entscheidungsbeleg kopiert. Beweisdaten verfallen sechs Kalendermonate nach der Entscheidung; Fall, Ereignis und nutzerlesbarer Entscheidungsbeleg nach zwölf Kalendermonaten; der kontogenerationsgebundene Inhalts-Verstoßzähler rollierend 365 Tage nach dem letzten berücksichtigten abgelehnten Sendeversuch. Frühere Löschung und dokumentierte Legal Holds richten sich nach Abschnitt 8.

4.4 Standort, Verfügbarkeit und Kalender

Wir verarbeiten:

Trips und Heimatstadt sieht nur Ihr eigenes Konto. Wir verwenden sie, um Ihnen im Planer an Reisetagen offene Treffen in der Trip-Stadt und für die Tage danach Treffen in Ihrer Heimatstadt zu zeigen. Wählen Sie einen Trip in Entdecken als Ausgangspunkt, gilt er als Ihr Reisestandort: Entdecken sucht dann von der Trip-Stadt aus, bis der letzte Reisetag in der Zeitzone der Trip-Stadt endet, und danach automatisch wieder von Ihrem tatsächlichen Standort aus; löschen Sie den Trip, endet Travel Mode sofort. Andere Nutzer sehen die Ortsbezeichnung eines Reisestandorts nur, solange Entdecken tatsächlich von dort sucht, also mit Pro und, bei einem Trip, bis dieser vorbei ist; entsteht in dieser Zeit eine Verbindung, wird die Reisestadt bei dieser Verbindung vermerkt. Ihre Reisedaten und Ihre weiteren Trips sehen andere nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Verweigert oder beschränkt iOS den Standortzugriff für Lunchdate, meldet die App das an unseren Server; Ihr Profil erscheint dann nicht mehr in Entdecken, bis Sie den Zugriff wieder erlauben. Ihr zuletzt gespeicherter Standort bleibt bis zu seiner Änderung oder bis zur Kontolöschung gespeichert und dient weiterhin dem Planer, offenen Treffen in Ihrer Nähe und den zugehörigen Mitteilungen; Rechtsgrundlage hierfür ist Art. 6 Abs. 1 lit. b DSGVO. Sie können den Standort in der App ändern, etwa indem Sie wieder Ihren aktuellen Standort verwenden. Den aktuellen Gerätestandort erheben wir weiterhin nur mit Ihrer Einwilligung über die iOS-Standortberechtigung (Art. 6 Abs. 1 lit. a DSGVO).

Die App fordert den von iOS bereitgestellten vollen Kalenderzugriff an. Er ist technisch erforderlich, weil iOS einen von der App selbst erstellten Termin nur mit Vollzugriff wieder auffinden lässt, um ihn bei einer Verschiebung oder Absage zu aktualisieren oder zu entfernen. Wir greifen ausschließlich auf die von Lunchdate selbst angelegten Termine zu; bestehende Kalenderereignisse werden weder ausgelesen noch an uns übertragen. Ein von Lunchdate angelegter Eintrag enthält Art, Zeit und Ort des Treffens, bei Treffen zu zweit den Namen Ihres Gegenübers, bei Gruppen-Lunches deren Titel, gegebenenfalls die Beschreibung des Treffens sowie eine Erinnerung. Synchronisiert der verwendete Kalender mit einem Clouddienst wie iCloud, gelangt der Eintrag auch zu diesem Anbieter. Beim Abmelden bleiben die Einträge erhalten; bei der Kontolöschung entfernt die App die von ihr angelegten Einträge, soweit iOS dies zulässt.

Wählen Sie beim Einschalten Ihrer Verfügbarkeit „Kontakte in der Nähe benachrichtigen“, senden wir bestehenden Kontakten eine Push-Mitteilung mit Ihrem Anzeigenamen und der Art Ihrer Verfügbarkeit (etwa Lunch, Kaffee oder Afterwork). Benachrichtigt werden nur Kontakte, die Ihren Status nach Ihrer Auswahl sehen dürfen, die solche Hinweise nach ihren Einstellungen erhalten können und deren tatsächlicher Standort höchstens etwa 25 km sowohl von dem Standort, den Sie beim Einschalten verwenden, als auch von Ihrem tatsächlichen Standort entfernt ist. Als tatsächlicher Standort zählt jeweils der zuletzt gespeicherte Gerätestandort, nie ein in Entdecken gewählter Reisestandort. Je Kontakt senden wir höchstens alle vier Stunden eine solche Mitteilung. Ihr genauer Standort wird dabei nicht übermittelt. Um diese Grenze einzuhalten, speichern wir je Kontaktpaar einen Versandvermerk (beteiligte Konten und deren Verbindung, Aktivierungs- und Ereigniskennung sowie Versandzeitpunkt), der etwa 24 bis 48 Stunden nach dem letzten Versand automatisch gelöscht wird. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; die Zustellung als Push-Mitteilung setzt auf Empfängerseite deren Einwilligung voraus (Abschnitt 5).

4.5 Discovery, Verbindungen, Chats und Treffen

Wir verarbeiten insbesondere:

Der Discovery-Zwischenspeicher enthält interne Nutzerkennungen und numerische Werte, nicht die vollständigen Profile. Profilinformationen werden beim Abruf anhand der aktuellen Sichtbarkeitsregeln neu geladen. Profile, deren Konto seit mehr als 30 Tagen nicht genutzt wurde, zeigt „Entdecken“ nicht an; maßgeblich ist der Zeitpunkt der letzten Nutzung der App, bei neuen Konten bis dahin der Registrierung. Mit der nächsten Nutzung erscheint das Profil wieder.

Neu in Ihrer Nähe. Zeigt Ihnen „Entdecken“ niemanden oder niemanden mehr, obwohl Ihre Suche ohne Filter den größten Umkreis erreicht, können Sie mit „Benachrichtige mich“ anfordern, benachrichtigt zu werden, sobald im Umkreis Ihrer Suche jemand neu dazukommt. Dafür speichern wir diesen Wunsch in Ihrem Profil und, solange er besteht, die Filter Ihrer letzten Suche, interne Kennungen der bis zu 50 Personen, die „Entdecken“ Ihnen zuletzt gezeigt hat, den Zeitpunkt der letzten solchen Benachrichtigung und interne Kennungen neuer Personen, die auf die nächste Benachrichtigung warten. Wird ein neues Konto auffindbar, prüft unser Server nach denselben Regeln wie in „Entdecken“, ob die Person bei Ihnen erscheinen würde (unter anderem Blockierungen, ausgeblendete Unternehmen, pausierte und länger inaktive Profile, Stealth-Modus, Ihre Filter und der Umkreis beider Seiten). Benachrichtigt werden Sie erst, wenn Sie über alle Personen entschieden haben, die „Entdecken“ Ihnen zuletzt gezeigt hat, oder diese dort nicht mehr erscheinen; bis dahin wartet die Ankündigung, längstens bis die neue Person 14 Tage registriert ist. Sie erhalten höchstens eine solche Benachrichtigung innerhalb von 24 Stunden und keine zwischen 21 und 8 Uhr Ihrer Ortszeit; sie nennt Vorname und Berufsbezeichnung der neuen Person sowie die nächstgelegene Großstadt Ihres eigenen Suchstandorts. Neue Personen werden nur denjenigen angekündigt, bei denen sie auch in „Entdecken“ erscheinen würden, und mit keinen weiteren Angaben, als ihre Profilkarte dort ohnehin zeigt; zu jedem neuen Konto vermerken wir, dass seine Ankunft angekündigt wurde, damit das nur einmal geschieht. Der Wunsch besteht, bis Sie ihn in den Einstellungen unter „Benachrichtigungen“ mit „Neu in deiner Nähe“ ausschalten oder Ihr Konto löschen; mit dem Ausschalten löschen wir die dafür gespeicherten Angaben. Ohne aktivierte Push-Benachrichtigungen senden wir nichts. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, weil Sie diese Funktion anfordern und weil sie für neue Personen zur Sichtbarkeit in „Entdecken“ gehört; für die Push-Zustellung gilt Abschnitt 5.

4.6 Venue-Suche und Beiträge

In iOS-Version 1.0 verarbeiten wir für die Ortssuche und Treffpunktauswahl Suchtext, Suchgebiet, Koordinaten und den ausgewählten Venue-Datensatz. Wenn Sie einen Ort anlegen, verarbeiten wir Name, Art, Standort, gegebenenfalls Adresse und Öffnungszeiten sowie Ihre interne Nutzerkennung, Quelle, Zeitstempel, Beitragsstatus und erforderliche Integritäts- und Moderationsdaten.

Version 1.0 bietet keine Venue-Foto- oder Speisekarten-Uploads, Scan-/OCR-Funktionen, Venue-Bildanalyse mit Gemini oder Beitragsprämien. Profilfotos, Gruppenbilder unter iOS und Meldungen bleiben hiervon unberührt. Soweit ältere Venue-Fotos oder Analyse-Arbeitskopien bereits vorhanden sind, verarbeiten wir diese nur für die erforderliche Verwaltung, Moderation und Löschung nach den Fristen in Abschnitt 8; daraus folgt kein Angebot dieser Upload- oder Analysefunktionen in Version 1.0.

4.7 Meldungen, Sicherheit und Moderation

Wenn Sie einen Nutzer, Inhalt, ein Foto oder Venue-Daten melden, verarbeiten wir je nach Meldung:

Die Anzahl von Meldungen führt nicht automatisch zu einer Suspendierung oder dauerhaften Kontosperre. Sie kann die Priorität einer menschlichen Prüfung erhöhen. Einzelheiten finden Sie in Abschnitt 10.

Entfernen wir einen Lunchdate-Tag (@-Nutzernamen) im Rahmen der Moderation, bleibt die Zeichenfolge ohne Verknüpfung zu einem Konto gesperrt, damit sie nicht erneut vergeben und missbraucht werden kann. Gespeichert werden nur die Zeichenfolge, der Sperrgrund und der Sperrzeitpunkt. Die Sperre besteht bis zur manuellen Freigabe; eine Person, deren Name in einem gesperrten Tag enthalten ist, kann die Freigabe unter privacy@lunchdate.io beantragen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Für das kontolos nutzbare Datenschutz- und Bildentfernungsformular verarbeiten wir den Kontaktnamen und die E-Mail-Adresse, die Beziehung zur abgebildeten Person, die angegebene Fundstelle, die Schilderung und gewünschte Maßnahme, die Bestätigung nach bestem Wissen sowie Eingangs-, Bearbeitungs-, Sicherheits-, Verbindungs-, Ratenbegrenzungs- und Missbrauchsschutzdaten. Diese Angaben erhalten wir unmittelbar von der anfragenden Person. Handelt sie für eine andere abgebildete Person, können die Angaben zugleich Informationen über diese Person und über den bezeichneten Inhalt aus der Quelle „anfragende Person beziehungsweise sichtbarer Lunchdate-Inhalt“ im Sinne von Art. 14 DSGVO enthalten.

Bis zur bestätigten Übermittlung speichert der Browser lokal nur eine zufällige Anfrage-ID und einen aus dem Formularinhalt gebildeten SHA-256-Fingerabdruck für eine sichere idempotente Wiederholung; der Klartext des Formularinhalts wird nicht lokal gespeichert. Das Backend verarbeitet außerdem die in dieser Erklärung beschriebenen üblichen Verbindungs- und Ratenbegrenzungsdaten.

Wir verwenden die Angaben, um die Berechtigung zu prüfen, den Inhalt zuverlässig zuzuordnen, den Antrag und seinen Umfang zu bewerten, eine erforderliche Maßnahme umzusetzen, zu antworten, Missbrauch zu verhindern und die Bearbeitung nachzuweisen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 12 bis 17 DSGVO; soweit erforderlich, stützen wir die Sicherung des Dienstes, die Missbrauchsabwehr und die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen zusätzlich auf Art. 6 Abs. 1 lit. f DSGVO.

Eine im Freitext genannte Fundstelle ist ausschließlich ein Prüfhinweis und niemals ein unmittelbarer Löschpfad. Vor einer Maßnahme ermitteln wir die kanonische interne Inhaltsreferenz und prüfen Berechtigung und Umfang. Die Regelfristen für Intake, Fallakten, Ereignisse, Belege und Beweise stehen in Abschnitt 8.

Kontowiederherstellung nach einer Kontoübernahme: Zur sicheren Wiederherstellung verarbeiten wir interne Nutzerkennung, Kontogeneration, Identitätsprüfmethode (etwa Ausweisprüfung im Videogespräch, Support-Videogespräch, bestätigte Unternehmens-E-Mail oder Kontohistorie), eine gehashte Nachweisreferenz, gehashte und gekürzte alte/neue Kontaktdaten sowie Bearbeitungs-, Sicherheits- und Benachrichtigungsstatus. Der technische Vorgangsdatensatz enthält keine Ausweis- oder Videoaufnahme. Dies dient der Vertragsdurchführung und unserem berechtigten Interesse, Konten vor Übernahmen zu schützen (Art. 6 Abs. 1 lit. b und f DSGVO). Die Nachweise werden 730 Tage nach Abschluss oder Abbruch aufbewahrt, auch wenn das Konto zuvor gelöscht wird.

Behördenanfragen: Zur Prüfung, Bearbeitung und Dokumentation rechtmäßiger Auskunfts- und Sicherungsanfragen verarbeiten wir betroffene Konto- und Inhaltsreferenzen, Umfang und Zeitraum der Anfrage, Behörden- und Prüfungsangaben, rechtliche Bewertung sowie Freigabe-, Offenlegungs- und Sicherungsnachweise. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. c DSGVO und, soweit erforderlich, unser berechtigtes Interesse an rechtmäßiger Bearbeitung und Rechtsverteidigung nach Art. 6 Abs. 1 lit. f DSGVO. Die regelmäßige Nachweisfrist beträgt vier Jahre ab Abschluss beziehungsweise Freigabe einer Sicherung; konkret erforderliche rechtliche Aufbewahrungssperren bleiben vorbehalten.

4.8 Pro, Käufe, Spotlight und Prämien

Bei In-App-Käufen und kostenlosen Prämien verarbeiten wir:

Wer einen Empfehlungscode nutzt, erhält seine Prämie mit dem Abschluss des Onboardings. Die werbende Person erhält ihre Prämie erst, wenn die geworbene Person danach ihre erste Verbindung eingeht. Dafür prüfen wir automatisiert, ob das Gegenüber ein berechtigtes Konto hat (etwa nicht gelöscht oder gesperrt und mit abgeschlossenem Onboarding). Die werbende Person erfährt, dass und wann das Onboarding abgeschlossen und die erste Verbindung eingegangen wurde, nicht aber, mit wem. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; für die Prüfung der Daten der Kontaktperson Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an einem missbrauchsfreien Empfehlungsprogramm.

Zahlungsmittel, vollständige Rechnungsadresse und Apple-Account-Zahlungsdaten verarbeitet Apple. Wir erhalten diese Daten nicht. Welche Apple-Gesellschaft rechtlich Händler einer konkreten Store-Transaktion ist, ergibt sich aus dem Kaufdialog, dem Beleg und den Apple Media Services Terms.

Wenn Sie in der App den Widerruf des Lunchdate-Konto-/Nutzungsvertrags elektronisch erklären, verarbeiten wir den von Ihnen angegebenen Namen, die E-Mail-Adresse des angemeldeten Kontos oder die von Ihnen als Vertragskennung und Empfangsmedium angegebene E-Mail-Adresse, den festen Vertragstyp, den vollständigen Erklärungstext, eine zufällige Beleg-ID, eine technische Wiederholungskennung, den serverseitigen Eingangszeitpunkt und den Zustellstatus der Bestätigung. Soweit sich die angegebene Adresse technisch einem bestehenden Konto zuordnen lässt, speichern wir außerdem dessen interne Nutzerkennung; ob eine Zuordnung besteht, wird gegenüber dem Einreichenden nicht offengelegt. Die Funktion ist auch ohne Anmeldung erreichbar. Erklärung und E-Mail-Auftrag werden vor dem ersten Zustellversuch gemeinsam gespeichert. Dies dient der Entgegennahme und unverzüglichen Bestätigung nach § 356a BGB, der Vertragsabwicklung sowie dem Nachweis von Inhalt und Frist. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und c DSGVO sowie für die erforderliche Rechtsverteidigung Art. 6 Abs. 1 lit. f DSGVO.

Zur sicheren Zuordnung und Bearbeitung der Folgen einer öffentlich abgegebenen Erklärung können wir einen Einmalcode an die angegebene E-Mail-Adresse senden. Abgabe, Eingang und Fristwahrung der Erklärung hängen nicht von der Codeeingabe ab; der Code dient ausschließlich der Kontrolle über das E-Mail-Postfach sowie der sicheren Zuordnung und Folgebearbeitung. Die serverseitige Kontosuche erfolgt erst nach erfolgreicher Codeeingabe. Hierfür verarbeiten wir den Hash des Codes, zufällige Challenge- und Verifikations-IDs, eine geheime Wiederholungsbindung, Anzahl und Zeitpunkte der Versuche, die Gültigkeitsdauer von 15 Minuten und den vorgesehenen Löschzeitpunkt nach 24 Stunden, Status und Zeitpunkt der Verifikation, einen Hash der Kontaktadresse, Ergebnis und Zeitpunkt der serverseitigen Kontosuche sowie bei einer Zuordnung den Nachweis der exakten Kontogeneration. Code und Client-Geheimnis speichern wir nicht im Klartext. Weder die Antwort noch die Verifikations-E-Mail legen offen, ob die Adresse mit einem aktuellen Konto verknüpft ist.

Bei E-Mails erfasst der genannte Bestätigungsstatus nur den Versandversuch und, soweit zurückgemeldet, die Annahme durch den Provider; er ist kein Nachweis der endgültigen Zustellung an den Empfänger.

4.9 Geräte-, Protokoll-, Diagnose- und Pushdaten

Je nach Funktion und Ihrer Einstellung verarbeiten wir:

Firebase Remote Config stellt technische Konfiguration, Kompatibilitätsgrenzen und die aktuelle Vertragsversion bereit. Dabei verarbeitet Google Firebase-Installationskennungen (FIDs) und technisch erforderliche Anfrageinformationen. Diese Verarbeitung erfolgt unabhängig von optionaler Produktanalyse zur Bereitstellung und Absicherung des Dienstes (Art. 6 Abs. 1 lit. b und f DSGVO; für erforderliche Endgerätezugriffe § 25 Abs. 2 Nr. 2 TDDDG). Sie dient nicht der Werbung.

Die freiwillige Fehlerdiagnose ist standardmäßig deaktiviert und von der Produktanalyse getrennt. Erst nach Ihrer eigenen ausdrücklichen Diagnose-Einwilligung aktivieren wir Firebase Crashlytics und Apple MetricKit. Crashlytics erhält pseudonymisierte, bereinigte Absturz- und Fehlerberichte. MetricKit stellt der App lokal aggregierte Leistungsmetriken und, soweit verfügbar, symbolisierte Diagnose-Calltrees bereit; wir geben solche Diagnosedaten nur nach dieser Einwilligung weiter.

Wir konfigurieren unsere eigene Fehlererfassung so, dass Klartext-Nutzer-IDs, Namen, E-Mail-Adressen, Initialen, lokalisierte Fehlerbeschreibungen und zugrunde liegende NSError-Objekte nicht bewusst als benutzerdefinierte Daten beigefügt werden. Native Absturzberichte können gleichwohl Funktions- oder Methodennamen, Exception-Klasse und -Nachricht sowie weitere technische Stack-Informationen enthalten; eine unbeabsichtigte Personenbeziehbarkeit lässt sich trotz Bereinigung nicht vollständig ausschließen.

Rechtsgrundlagen sind Ihre Diagnose-Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und, für diagnosebezogene Zugriffe oder Speicherungen auf dem Endgerät, § 25 Abs. 1 TDDDG. Sie können diese Einwilligung getrennt von der Produktanalyse in der App unter „Konto & Sicherheit → Privatsphäre → Fehlerdiagnose“ widerrufen. Unsere eigene Fehlererfassung und die MetricKit-Weitergabe stoppen dann sofort; noch nicht versandte lokale Berichte und Diagnose-Caches sowie der diagnosebezogene installationsgebundene Salt werden entfernt. Der Laufzeit-Schalter von Crashlytics wird nach Vorgabe des SDK erst beim nächsten App-Start wirksam. Bis dahin übergeben unsere eigenen Schnittstellen keine weiteren Fehlerdaten. Ein bereits technisch begonnener Transfer lässt sich nicht zurückrufen; ein danach noch lokal erfasster nativer Absturzbericht wird vor einem späteren Versand entfernt. Bereits rechtmäßig an Crashlytics übermittelte Daten werden nicht allein durch den Einstellungswechsel sofort gelöscht; Abschnitt 8 und Ihre Rechte nach Abschnitt 11 bleiben anwendbar.

Wir verwenden in der iOS-App weder Firebase Analytics noch Firebase Performance Monitoring und greifen nicht auf den Apple IDFA zu.

Wenn Sie Push-Benachrichtigungen aktivieren, kann die Nutzlast Anzeigenamen, Gruppen- oder Venue-Namen, Art und Zeitpunkt eines Treffens und eine Nachrichtenvorschau von bis zu 100 Zeichen enthalten. iOS kann diese Informationen auf dem Sperrbildschirm anzeigen. Die Vorschau lässt sich in den iOS-Einstellungen einschränken oder deaktivieren.

4.10 Freiwillige Produktanalyse mit TelemetryDeck

Produktanalyse ist standardmäßig deaktiviert. Erst wenn Sie in der App ausdrücklich einwilligen, verarbeiten wir Nutzungsereignisse wie Appstart, aufgerufene Bereiche, Funktionsnutzung, Sitzungs- und Onboarding-Schritte sowie technische Geräte- und App-Metadaten. Einzelne Ereignisse können grobe Profilkategorien wie Branche oder Karrierelevel enthalten; Freitexte, Nachrichteninhalte, Namen und E-Mail-Adressen werden nicht zu Analysezwecken übertragen.

Jedes Ereignis enthält außerdem, soweit vorhanden, Ihre Branche, ob Pro aktiv ist (is_premium), welche Fassung des Onboardings auf dem Gerät durchlaufen wurde, den Monat, in dem die Produktanalyse auf diesem Gerät begonnen hat (Kohorte), und die Zahl der Tage seitdem. Das Datum dieses Beginns speichert die App erst nach Ihrer Einwilligung auf dem Gerät; beim Widerruf wird es gelöscht. Leistungsereignisse (perf_*) enthalten Lade- und Antwortzeiten der App, etwa beim Laden von Entdecken oder beim Speichern einer Entscheidung, sowie zugehörige technische Werte wie die Zahl geladener, ausgeschlossener oder bereits interessierter Profile, den Suchradius, die Art der Entscheidung und ob dabei eine Verbindung entstanden ist.

Eine interne Kennung wird auf dem Gerät mit einem zufälligen, installationsgebundenen Schlüssel kryptografisch gehasht. TelemetryDeck hasht diese Kennung vor der Speicherung erneut. Die Kennung ist dadurch nicht über verschiedene Geräte oder Apps hinweg nutzbar. Wir behandeln die Daten vorsorglich als pseudonymisiert.

Rechtsgrundlagen sind Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und, für das Speichern oder Auslesen analysebezogener Informationen auf dem Endgerät, § 25 Abs. 1 TDDDG. Sie können die Einwilligung jederzeit in der App unter „Konto & Sicherheit → Privatsphäre → Nutzungsanalyse“ widerrufen. Danach werden keine neuen Analyseereignisse übermittelt und eine noch nicht versandte lokale Warteschlange wird entfernt.

4.11 Website

Beim Aufruf von lunchdate.io werden IP-Adresse, Zeitpunkt, angeforderte Datei, HTTP-Status sowie Browser- und Geräteinformationen technisch in Hosting-Logs verarbeitet. Die Website setzt keine Analyse- oder Werbecookies. Sie kann die von Ihnen gewählte Sprache lokal im Browser speichern (lunchdate_lang), damit eine ausdrücklich gewünschte Sprachfassung geöffnet wird.

4.12 Freiwilliges Produktfeedback

Wenn Sie über die App freiwillig Produktfeedback, einen Feature-Wunsch, einen Hinweis auf einen Sprachfehler oder sonstiges Feedback senden, verarbeiten wir den gewählten Typ und Ihren eingegebenen Freitext, eine gegebenenfalls mitgesendete Bewertung und Locale (Sprach-/Regionseinstellung), App-Version und Build, Betriebssystemversion, den serverseitigen Eingangszeitpunkt sowie Ihre interne Nutzerkennung zusammen mit der Konto-Generation. Die Konto-Generation ist eine technische Zuordnungsmarkierung, die mit der jeweiligen Kontoerstellung verknüpft ist und verhindert, dass Feedback eines gelöschten Kontos einem später neu angelegten Konto mit derselben internen Kennung zugeordnet wird.

Wir verwenden diese Daten zur Produktverbesserung, Untersuchung von Sprachfehlern, Priorisierung von Feedback und Support-Triage. Rechtsgrundlage ist unser berechtigtes Interesse an der Verbesserung und Unterstützung des Dienstes nach Art. 6 Abs. 1 lit. f DSGVO; soweit das Feedback die Bearbeitung eines vertragsbezogenen Support-Anliegens erfordert, gilt zusätzlich Art. 6 Abs. 1 lit. b DSGVO.

Wir speichern das Feedback 365 Tage ab Eingang. Bei Kontolöschung löschen wir es unabhängig von dieser Regelfrist sofort und generationensicher.

5. Zwecke und Rechtsgrundlagen im Überblick

Zweck Datenkategorien Rechtsgrundlage
Konto, Authentifizierung und Vertragsverwaltung Konto- und Metadaten Art. 6 Abs. 1 lit. b DSGVO
Elektronischer Vertragswiderruf und Eingangsbestätigung Name, Kontaktdaten, Erklärung, Beleg-, Versand- und Provider-Annahmedaten Art. 6 Abs. 1 lit. b und c DSGVO; Rechtsnachweis zusätzlich Art. 6 Abs. 1 lit. f DSGVO
Profil, Discovery, Verbindungen, Chats und Planung Profil-, Standort-, Interaktions- und Inhaltsdaten Art. 6 Abs. 1 lit. b DSGVO
Erhebung des aktuellen Gerätestandorts GPS-Daten Art. 6 Abs. 1 lit. a DSGVO
Weitere Nutzung des zuletzt gespeicherten Standorts für Planer, offene Treffen in der Nähe und zugehörige Mitteilungen; Ausblenden in Entdecken bei verweigertem Standortzugriff gespeicherter Standort, Status des Standortzugriffs Art. 6 Abs. 1 lit. b DSGVO
Von Ihnen gewählter Reisestandort, Trips und Heimatstadt Standort-, Reise- und Profildaten Art. 6 Abs. 1 lit. b DSGVO
Verfügbarkeitsstatus, Auswahl der Sichtbarkeit und Benachrichtigung von Kontakten Verfügbarkeits-, Sichtbarkeits- und Standortdaten, Anzeigename, Aktivierungskennung und Versandvermerk Art. 6 Abs. 1 lit. b DSGVO; Push-Zustellung beim Empfänger Art. 6 Abs. 1 lit. a DSGVO
Push-Benachrichtigungen Push-Token und Benachrichtigungsinhalt Art. 6 Abs. 1 lit. a DSGVO; technische Zustellung zusätzlich Art. 6 Abs. 1 lit. b DSGVO
Benachrichtigung „Neu in Ihrer Nähe“ (4.5) Wunsch, Filter der letzten Suche, Kennungen der zuletzt in „Entdecken“ gezeigten Personen, Versandzeitpunkt, Kennungen wartender neuer Personen; bei neuen Personen Vorname, Berufsbezeichnung und Ankunftsvermerk Art. 6 Abs. 1 lit. b DSGVO; Push-Zustellung wie bei Push-Benachrichtigungen
Kalenderexport Planungsdaten und Event-ID Art. 6 Abs. 1 lit. b DSGVO
Ortssuche und Ortsbeiträge in Version 1.0 Such-, Standort-, Orts- und Beitragsdaten Art. 6 Abs. 1 lit. b DSGVO; Qualitätssicherung und Missbrauchsschutz zusätzlich Art. 6 Abs. 1 lit. f DSGVO
Pro, Spotlight, Empfehlungen und Prämien Kauf- und Prämiendaten; Hashwerte gegen Mehrfachprämien Art. 6 Abs. 1 lit. b DSGVO; gesetzliche Nachweise Art. 6 Abs. 1 lit. c DSGVO; Prüfung der ersten Verbindung und Schutz vor Mehrfachprämien Art. 6 Abs. 1 lit. f DSGVO
Produktanalyse pseudonymisierte Nutzungsdaten Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG
freiwillige Fehlerdiagnose und Stabilität bereinigte Crash-, Fehler- und MetricKit-Daten Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG
Speicherung und Synchronisierung Ihrer Auswahl zu Produktanalyse und Fehlerdiagnose Auswahl, Plattform, Änderungszeitpunkt, Hinweisversion Art. 6 Abs. 1 lit. b DSGVO; Einwilligungsnachweis Art. 6 Abs. 1 lit. c i. V. m. Art. 7 Abs. 1 DSGVO
IT-Sicherheit, Missbrauchsabwehr und Schutz vor wiederholten unerwünschten Kontaktanfragen IP-, App-Check-, Rate-Limit- und Sicherheitsdaten; Vermerke über abgelehnte Direct-Connect-Anfragen Art. 6 Abs. 1 lit. f DSGVO
Google Cloud Vision (4.3) hochgeladene Bilddaten Art. 6 Abs. 1 lit. b DSGVO; Schutz vor rechtswidrigen und unangemessenen Inhalten und Missbrauchsabwehr zusätzlich Art. 6 Abs. 1 lit. f DSGVO
Sonstige Inhaltsprüfung, Meldungen und Moderation Inhalte, Reports, Beweise und Maßnahmen Art. 6 Abs. 1 lit. f DSGVO; bei rechtlicher Pflicht Art. 6 Abs. 1 lit. c DSGVO
Kontolose Datenschutz- und Bildentfernungsanfragen Kontakt, Beziehung zur abgebildeten Person, Fundstelle, Schilderung, Bestätigung nach bestem Wissen, Bearbeitungs-, Verbindungs-, Ratenbegrenzungs- und Missbrauchsschutzdaten Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 12–17 DSGVO; soweit erforderlich zusätzlich Art. 6 Abs. 1 lit. f DSGVO
Rechtsdurchsetzung und Behördenanfragen erforderliche Nachweis- und Protokolldaten Art. 6 Abs. 1 lit. c oder f DSGVO
Produktfeedback und Support-Triage Typ, Freitext, gegebenenfalls Bewertung/Sprach- und Regionseinstellung, App-Version/-Build, Betriebssystemversion, Eingangszeitpunkt, interne Nutzerkennung und Konto-Generation Art. 6 Abs. 1 lit. f DSGVO; bei vertragsbezogenen Support-Anliegen zusätzlich Art. 6 Abs. 1 lit. b DSGVO
Bereitstellung der Website Verbindungs- und Logdaten Art. 6 Abs. 1 lit. f DSGVO; § 25 Abs. 2 Nr. 2 TDDDG für erforderliche Endgerätezugriffe

6. Sichtbarkeit und Empfänger

6.1 Andere Nutzer

Je nach Funktion und Ihren Einstellungen sehen andere Nutzer Profilfelder, Fotos, ungefähre oder ausgewiesene Entfernung, Verfügbarkeitsstatus, Beiträge, Nachrichten sowie Informationen zu gemeinsamen oder offenen Treffen. E-Mail-Adresse, interne Nutzerkennung und exakte Koordinaten werden nicht als Profilbestandteil angezeigt. Zu einer Empfehlung erfährt die werbende Person nur die in Abschnitt 4.8 genannten Angaben, nicht aber, mit wem die geworbene Person ihre erste Verbindung eingeht.

6.2 Google Firebase und Google Cloud

Wir setzen Google Ireland Limited und verbundene Google-Unternehmen, insbesondere Google LLC, für folgende Dienste ein:

Dienst Zweck und Daten
Firebase Authentication Apple-User-Identifier, E-Mail-Adresse, Auth- und Sitzungstoken
Cloud Firestore Konto-, Profil-, Verbindungs-, Chat-, Treffen-, Kauf-, Beitrags- und Moderationsdaten
Cloud Storage Profil-, Chat-, Gruppen- und private Moderationsbilder; gegebenenfalls ältere Venue-Medien nach Abschnitt 4.6
Cloud Functions serverseitige Geschäfts-, Sicherheits-, Kauf- und Löschlogik
Firebase Crashlytics nur nach gesonderter Diagnose-Einwilligung: pseudonymisierte und bereinigte Absturz-/Fehlerdaten
Firebase Cloud Messaging Push-Token und Benachrichtigungsnutzlast
Firebase App Check kurzlebige App-Attest- und Integritätstoken
Cloud Vision automatisierte Inhaltsprüfung hochgeladener Bilder
Firebase Hosting Website und technische Zugriffslogs
Firebase Remote Config / Firebase Installations technische Konfiguration, Kompatibilitäts- und Vertragsversionen; Installationskennungen und Anfrageinformationen

Firestore, Storage und unsere Cloud Functions verwenden vorrangig EU-Regionen, insbesondere eur3 und europe-west1 (Belgien). Der Standort einzelner Produkte kann abweichen: Firebase Authentication wird nach den Produktangaben von Google in US-Rechenzentren betrieben; weitere Firebase-Dienste können globale Infrastruktur nutzen. Google wird je nach Dienst als Auftragsverarbeiter oder eigenständig Verantwortlicher tätig.

Wir binden Firebase Analytics, Firebase Performance Monitoring und das Google Ads On-device Conversion SDK nicht in das ausgelieferte iOS-App-Target ein.

Weitere Informationen: https://firebase.google.com/support/privacy und https://policies.google.com/privacy

6.3 TelemetryDeck

Nach Ihrer Einwilligung nutzen wir TelemetryDeck GmbH, Von-der-Tann-Straße 54, 86159 Augsburg, Deutschland, als Dienstleister für Produktanalyse. TelemetryDeck verarbeitet die in Abschnitt 4.10 beschriebenen Ereignisse auf europäischer Infrastruktur. Nach Angaben des Anbieters werden IP-Adressen für App-Analytics nicht gespeichert. Es findet kein app- oder geräteübergreifendes Tracking statt.

Weitere Informationen: https://telemetrydeck.com/privacy/ und https://telemetrydeck.com/docs/guides/privacy-faq/

6.4 Apple-Dienste

Wir nutzen je nach Funktion:

Apple erhält dabei die technisch erforderlichen Geräte-, Account-, Standort-, Karten-, Push- oder Kaufdaten. Für die Verarbeitung in Apple-Diensten ist Apple regelmäßig eigenständig verantwortlich.

Weitere Informationen: https://www.apple.com/legal/privacy/

6.5 OpenStreetMap und Karten

Venue-Stammdaten stammen insbesondere aus OpenStreetMap und Geofabrik-Extracts. Wir importieren diese Daten serverseitig in unsere eigene Datenbank. Reguläre Venue-Suchen werden daher nicht an OpenStreetMap-Server übermittelt. Die Kartenansicht wird über Apple MapKit gerendert; die von uns bereitgestellten Venue-Punkte werden darübergelegt.

OpenStreetMap-Daten stehen unter der Open Database License 1.0. Weitere Informationen: https://www.openstreetmap.org/copyright

6.6 Link-Vorschauen

Enthält eine Nachricht einen Weblink, sendet die App die URL an unsere Cloud Function. Diese ruft Titel, Beschreibung und Bildmetadaten ab; die Zielseite sieht dabei die IP-Adresse unserer Cloud Function. Metadaten können bis zu sieben Tage zwischengespeichert werden. Das Vorschaubild oder Favicon kann die App direkt von der Ziel- oder CDN-Domain laden. Diese Domain erhält dann technisch Ihre IP-Adresse, Zeitpunkt und angeforderte URL. Wir fügen keine Lunchdate-Nutzerkennung hinzu.

6.7 E-Mail, operative Alarme und interne Moderation

6.8 Weitere Empfänger

Wir übermitteln Daten außerdem, soweit erforderlich, an beruflich zur Vertraulichkeit verpflichtete Berater, Prüfer, Zahlungs- und IT-Dienstleister sowie an Gerichte oder Behörden, wenn wir hierzu verpflichtet sind oder dies zur Rechtsdurchsetzung erforderlich ist.

7. Drittlandübermittlungen

Einige Empfänger oder Unterauftragnehmer verarbeiten Daten außerhalb der EU/des EWR, insbesondere in den USA. Soweit kein Angemessenheitsbeschluss nach Art. 45 DSGVO greift, verwenden wir geeignete Garantien nach Art. 46 DSGVO, insbesondere die Standardvertragsklauseln der Europäischen Kommission, und prüfen, soweit erforderlich, zusätzliche technische und organisatorische Maßnahmen. Für zertifizierte US-Empfänger kann ergänzend der Angemessenheitsbeschluss zum EU-US Data Privacy Framework gelten.

Eine Kopie der jeweils einschlägigen Garantien oder weitere Informationen können Sie unter privacy@lunchdate.io anfordern. Gesetzliche Offenlegungspflichten ausländischer Behörden können trotz dieser Garantien nicht vollständig ausgeschlossen werden.

8. Speicherdauer und Löschung

Wir speichern Daten nur so lange, wie dies für den jeweiligen Zweck erforderlich ist. Danach löschen oder anonymisieren wir sie, sofern keine gesetzliche Aufbewahrungspflicht oder ein konkreter Rechtsgrund für eine längere Speicherung besteht.

Datenkategorie Regelfrist oder Kriterium
Google Cloud Vision (4.3, 8.2) letzte Entscheidung über die Erlaubnis zur Bildprüfung und Beleg bis zur Kontolöschung; für Bilder und Moderation gelten die übrigen Fristen dieses Abschnitts
Konto, Authentifizierung und Profil bis zur Kontolöschung oder früheren Entfernung einzelner Angaben
Widerrufs-Credentials und -Status für Sign in with Apple Token- und Wiederholungsdaten bis zur Bestätigung durch Apple; danach ein minimierter gesperrter Status für höchstens 30 Tage
Zuletzt gespeicherter Standort, Reisestandort und Verfügbarkeit einschließlich der Auswahl, wer Ihren Status sehen darf bis zur Änderung, Deaktivierung oder Kontolöschung
Trips und Heimatstadt bis zur Änderung oder Kontolöschung; vergangene Trips werden bei der nächsten Änderung der Trips entfernt
Meldung, dass iOS den Standortzugriff verweigert oder eingeschränkt hat bis Sie den Zugriff wieder erlauben oder Ihr Konto löschen
Versandvermerk für Verfügbarkeitshinweise an Kontakte (je Kontaktpaar) automatische Löschung etwa 24 bis 48 Stunden nach dem letzten Versand; bei Kontolöschung früher
Verbindungen, Chats und 1:1-Medien solange die Verbindung und Kommunikation für die Beteiligten besteht; bei Kontolöschung werden eigene Inhalte gelöscht oder entpersonalisiert. Bleibt ein 1:1-Archiv für die andere Person bestehen, werden direkte Kennungsfelder ersetzt; eine unveränderliche historische Dokumentkennung kann als zugriffsbeschränkter pseudonymer technischer Schlüssel bis zur Löschung des Archivs oder bis zum Ende eines konkreten Rechtsnachweiszwecks fortbestehen
Gruppen-Lunches und Gruppenchat bis zur Löschung/Archivierung nach Ende und nach Ablauf betrieblicher Nachlaufzeiten; bei Kontolöschung werden Mitgliedschaft und eigene Inhalte gelöscht oder entpersonalisiert
Direct-Connect- und QR-Token bis zur Einlösung oder zum kurzen technischen Ablauf; zugehörige Anfragen bis Erledigung, Ablehnung oder Kontolöschung
Vermerk über abgelehnte Direct-Connect-Anfragen 30 Tage ab der Ablehnung, danach automatische Löschung; früher, wenn die ablehnende Person selbst eine Anfrage sendet, sich beide per QR-Code verbinden oder ein beteiligtes Konto gelöscht wird
ältere veröffentlichte Venue-Fotos, soweit vorhanden bis zur Löschung, Ersetzung, Kontolöschung des Beitragenden oder bis zur automatischen, mengenbegrenzten Rotation
bestätigte Venue-Fakten solange für eine aktuelle Venue-Darstellung erforderlich; der Personenbezug wird bei Kontolöschung entfernt, sachliche, nicht personenbezogene Fakten können fortbestehen
private Upload- und Analyse-Arbeitskopien grundsätzlich unmittelbar nach Verarbeitung; fehlgeschlagene/quarantänisierte Uploads und technische Upload-Intents spätestens nach 30 Tagen
private Fotoanhänge zu Venue-Meldungen spätestens 30 Tage nach Eingang
abgelehnte Reports wegen Rate-Limits 30 Tage
Inhalts-Verstoßzähler rollierend 365 Tage nach dem letzten berücksichtigten Treffer; bei Kontolöschung früher gelöscht
Beweisdaten abgeschlossener Moderationsfälle sechs Monate nach der Entscheidung
Fall-, Entscheidungs- und Empfangsnachweise abgeschlossener Moderationsfälle zwölf Monate nach der Entscheidung
Verlauf der Moderationsmaßnahmen gelöschter Konten (Art der Maßnahme, Zeitpunkt, Fallbezug und Begründungscode; ohne Namen, E-Mail-Adresse, Konto-ID und Freitexte, mit den Moderationsfällen nur über ein Pseudonym verknüpft) zwölf Kalendermonate ab Kontolöschung; länger nur, solange ein konkret dokumentierter Legal Hold oder ein offener Widerspruch gegen die Maßnahme dies erfordert
im Rahmen der Moderation gesperrte Lunchdate-Tags (nur Zeichenfolge, Sperrgrund und Sperrzeitpunkt; ohne Kontobezug) bis zur manuellen Freigabe, z. B. auf Antrag der namensgebenden Person
Intake-, Fall-, Ereignis- und Empfangsnachweise kontoloser Datenschutz- und Bildentfernungsanfragen höchstens zwölf Kalendermonate ab Eingang; länger nur, wenn eine konkrete rechtliche Aufbewahrungssperre (Legal Hold) als erforderlich dokumentiert ist
Beweise zu kontolosen Datenschutz- und Bildentfernungsanfragen bei abgeschlossenen Anfragen sechs Kalendermonate ab Entscheidung, stets gedeckelt auf höchstens zwölf Kalendermonate ab Eingang; bei offenen Anfragen nur bis zu dieser Zwölf-Monats-Obergrenze; länger nur bei einem konkret dokumentierten Legal Hold
ältere Reports aus dem vorigen Meldesystem höchstens drei Jahre ab Erstellung; Freitexte und direkte Kennungen werden bei Kontolöschung früher entfernt oder ersetzt
offene Moderationsfälle aus Meldungen; sonstige offene Rechtsfälle Moderationsfälle bis zur Entscheidung, längstens zwölf Kalendermonate ab Eingang; sonstige Rechtsfälle bis zum Abschluss; danach gelten die vorgenannten Fristen, sofern kein konkreter Legal Hold erforderlich ist
Moderations-, Widerrufs- und sonstige Benachrichtigungs-Outbox-Daten (Versand- und Provider-Annahmestatus; kein Nachweis der endgültigen Zustellung) 90 Tage nach Provider-Annahme, Abbruch oder endgültigem Versandfehler
elektronische Widerrufserklärungen und Eingangsbelege bis zum Ablauf der regelmäßigen Verjährungsfrist, regelmäßig bis zum Ende des dritten auf den Eingang folgenden Kalenderjahres; bei einem konkreten Rechtsstreit erforderlichenfalls länger
Spotlight-Aktivierungshistorie bis zur Kontolöschung oder früheren betrieblichen Bereinigung
ausstehende Empfehlung (die erste Verbindung der geworbenen Person steht noch aus) bis zur ersten Verbindung; entfällt, wenn die geworbene Person ihr Konto vorher löscht
mit geheimem Schlüssel gebildete Hashwerte gegen Mehrfachprämien im Empfehlungsprogramm drei Jahre ab der Prämie, auch nach Kontolöschung
Kauf- und Transaktionsnachweise soweit personenbezogen nur für Vertrags-, Betrugs- und gesetzliche Nachweiszwecke; handels- und steuerrechtlich relevante Unterlagen je nach Dokumentart regelmäßig sechs, acht oder zehn Jahre
freiwillige Crash- und Fehlerdiagnosedaten unversandte lokale Berichte, Diagnose-Caches und diagnosebezogener installationsgebundener Salt bis zum Widerruf oder früherer technischer Bereinigung; von Firebase Crashlytics empfangene Daten werden nach Anbieterangaben 90 Tage gespeichert, danach beginnt die Entfernung aus Live- und Sicherungssystemen
eigene Server- und Sicherheitslogs einschließlich IP-Adressen regelmäßig bis zu 60 Tage; länger nur bei einem konkreten Sicherheitsvorfall
TelemetryDeck-Ereignisdaten Bereits übermittelte Ereignisse werden beim Widerruf nicht automatisch beim Anbieter gelöscht. TelemetryDeck unterscheidet abfragbare Daten und Archivspeicher (Cold Storage); für letzteren nennt der Anbieter keine garantierte Löschfrist. Eine feste maximale Anbieter-Löschfrist ist daher nicht zugesagt. Es gelten die Erläuterungen in Abschnitt 8.2 und Ihre gesetzlichen Löschrechte.
Produktfeedback 365 Tage ab Eingang; bei Kontolöschung sofort und generationensicher gelöscht
Link-Vorschau-Metadaten bis zu sieben Tage
Datenexporte sieben Tage ab Bereitstellung
Discovery-Zwischenspeicher maximal 24 Stunden; bei Aktualisierung früher ersetzt
Wunsch „Neu in Ihrer Nähe“ mit Filtern der letzten Suche, Kennungen der zuletzt in „Entdecken“ gezeigten Personen, letztem Versandzeitpunkt und Kennungen wartender neuer Personen bis Sie den Wunsch ausschalten, spätestens bis zur Kontolöschung; Kennungen wartender neuer Personen längstens bis 14 Tage nach deren Registrierung; Kennungen eines gelöschten Kontos entfernen wir sofort aus allen Warteschlangen und Listen; der Vermerk über die eigene angekündigte Ankunft bis zur Kontolöschung
tägliche Sicherungskopien rollierend bis zu 35 Tage; keine reguläre Wiederherstellung einzelner gelöschter Konten
Nachweise zur Wiederherstellung übernommener Konten 730 Tage nach Abschluss oder Abbruch, auch nach Kontolöschung
Behördenanfragen, Offenlegungs- und Sicherungsnachweise vier Jahre ab Abschluss beziehungsweise Freigabe der Sicherung; länger nur bei konkret erforderlicher rechtlicher Aufbewahrungssperre
Gespeicherte Auswahl für optionale Analyse und Diagnose (je Plattform, Änderungszeitpunkt und Hinweisversion) jeweils aktueller Stand bis zur Änderung oder Kontolöschung

Die Fristen von bis zu 30 Tagen für die Bereinigung aktiver Kontodaten und bis zu 35 Tagen für rollierende Sicherungen betreffen die von uns verwalteten Datenbestände. Für technische Datenbestände der Anbieter gelten zusätzlich deren dokumentierte Löschverfahren: Google entfernt Firebase-Authentication-Daten nach einer Löschanweisung innerhalb von 180 Tagen aus Live- und Sicherungssystemen. Firebase-Installationskennungen für Remote Config und Cloud Messaging bleiben nach Google-Angaben bis zur Löschung per API gespeichert; danach erfolgt die Entfernung innerhalb von 180 Tagen. Firebase Hosting speichert IP-Daten laut Google einige Monate. Diese Anbieterfristen verlängern nicht die Nutzung der Daten durch Lunchdate zu einem entfallenen Zweck. Weitere Informationen: https://firebase.google.com/support/privacy

8.1 Kontolöschung

Sie können Ihr Konto in den App-Einstellungen löschen. Der Zugriff endet unmittelbar; die Bereinigung der Produktivdaten beginnt automatisch und kann wegen verteilter Systeme in Ausnahmefällen bis zu 30 Tage dauern. Daten in rollierenden Backups verschwinden mit deren Ablauf. Die in der Tabelle genannten gesetzlichen und moderationsbezogenen Ausnahmen bleiben bestehen, werden aber auf das erforderliche Maß reduziert oder pseudonymisiert. Insbesondere kann ein bereits übermittelter Widerrufsbeleg mit Name, Konto-E-Mail-Adresse, Erklärung und Eingangszeitpunkt bis zum Ende der genannten Rechtsnachweisfrist aufbewahrt werden. Ebenso wird der Verlauf der gegen das Konto ergriffenen Moderationsmaßnahmen bei der Löschung pseudonymisiert (ohne Namen, E-Mail-Adresse, Konto-ID und Freitexte) und zwölf Kalendermonate ab der Löschung aufbewahrt, damit wir diese Maßnahmen bei Widersprüchen, Beschwerden und Behördenanfragen nachweisen sowie Rechtsansprüche geltend machen, ausüben oder verteidigen können (Art. 17 Abs. 3 lit. e und Art. 6 Abs. 1 lit. f DSGVO). Hashwerte gegen Mehrfachprämien im Empfehlungsprogramm bleiben bis zum Ende ihrer Frist von drei Jahren ab der Prämie gespeichert (Abschnitt 4.8).

Nach Abschluss der Bereinigung der aktiven Kontodaten senden wir eine Bestätigung an die zuletzt im Konto hinterlegte E-Mail-Adresse. Gesetzlich oder aus Sicherheitsgründen auf das erforderliche Maß reduzierte Restdaten sowie rollierende Backups sind hiervon nicht erfasst; sie laufen nach den in dieser Erklärung genannten Fristen aus.

Nach dieser Bestätigung können ein minimaler, an die UID gebundener Gelöscht-Nutzer-Stub und gesperrte Löschmarkierungen für signierte Uploads bis zum nächsten täglichen Bereinigungslauf bestehen bleiben. Verspätet eingehende private Uploads werden nicht veröffentlicht.

Wichtig: Die Kontolöschung kündigt ein über Apple abgeschlossenes, automatisch verlängerndes Abonnement nicht. Die Abrechnung kann durch Apple fortgesetzt werden, bis Sie das Abonnement in Ihren Apple-Account-Einstellungen kündigen. Verwalten Sie das Abonnement vor der Kontolöschung unter https://apps.apple.com/account/subscriptions. Mit der sofortigen Kontolöschung endet der Zugang zu kontogebundenen Pro-Funktionen und ungenutzten Spotlight-Guthaben, soweit zwingendes Recht keine andere Behandlung verlangt.

8.2 Einwilligungswiderruf

Ihre Erlaubnis, Bilder an Google Cloud Vision zu übermitteln (Abschnitt 4.3), können Sie jederzeit gesondert in der App unter „Konto & Sicherheit → Privatsphäre → Bildprüfung“ widerrufen. Danach stoppen wir neue Bild-Uploads und deren Übermittlung an Google Cloud Vision; eine bereits begonnene Übermittlung kann nicht zurückgeholt werden. Bereits veröffentlichte Bilder werden durch den Widerruf nicht automatisch gelöscht: Sie können sie entfernen oder Ihr Konto löschen; die Fristen in Abschnitt 8 gelten weiterhin. Wir speichern Ihre letzte Zustimmung oder Ablehnung, den serverseitig bestätigten Zeitpunkt, Hinweisversion, Anbieter, Zweck sowie technische Konto- und Vorgangsreferenzen, um Ihre Auswahl umzusetzen (Art. 6 Abs. 1 lit. b DSGVO) und nachweisen zu können (Art. 6 Abs. 1 lit. f DSGVO). Dieser Beleg ist im Datenexport enthalten und wird mit dem Konto gelöscht; frühere Entscheidungen werden nicht als eigener Verlauf aufbewahrt.

Der Widerruf einer Einwilligung beendet die betreffende Verarbeitung für die Zukunft, löscht aber nicht automatisch Daten, die wir auf einer anderen Rechtsgrundlage weiterhin benötigen, etwa Ihren zuletzt gespeicherten Standort (Abschnitt 4.4). Standort- und Push-Einwilligungen können zusätzlich in den iOS-Einstellungen widerrufen werden. Die Einwilligungen für Produktanalyse und Fehlerdiagnose können Sie in der App unter „Konto & Sicherheit → Privatsphäre“ unabhängig voneinander ändern.

Wir speichern Ihre Auswahl für Produktanalyse und Fehlerdiagnose (jeweils Zustimmung oder Ablehnung) getrennt auf unseren Servern zu Ihrem Konto und zur jeweiligen Plattform (iOS oder Android), einschließlich Änderungszeitpunkt und Version des Einwilligungshinweises. Ihre Auswahl gilt für alle Geräte derselben Plattform, auf denen Sie dieses Konto verwenden; sie wird bei erneuter Anmeldung wiederhergestellt. iOS verwendet für die Produktanalyse TelemetryDeck, Android Firebase Analytics. Eine Auswahl wird nicht zwischen den Plattformen übertragen; Analysekennungen verschiedener Installationen werden dadurch nicht vereinheitlicht. Bisher ausschließlich gerätebezogene Einwilligungen werden nicht automatisch erweitert: Für die kontoweite Auswahl bitten wir einmalig um eine neue ausdrückliche Entscheidung. Die Speicherung Ihrer Auswahl einschließlich Änderungszeitpunkt und Hinweisversion dient dazu, Ihre Entscheidung auf Ihren Geräten umzusetzen (Art. 6 Abs. 1 lit. b DSGVO) und nachweisen zu können, dass eine erteilte Einwilligung wirksam ist (Art. 6 Abs. 1 lit. c i. V. m. Art. 7 Abs. 1 DSGVO).

Beim Abmelden deaktivieren wir die optionale Erfassung; die gespeicherte Kontoauswahl bleibt erhalten und wird nicht von einem anderen Konto übernommen. Änderungen und Widerrufe werden mit anderen Geräten derselben Plattform synchronisiert, sobald die App dort wieder eine Verbindung herstellt und die Einstellungen abgleicht. Eine lokale Kopie erhält Ihre bekannte Auswahl bei vorübergehenden Netzwerkfehlern für dasselbe Konto. Bei Kontolöschung wird die gespeicherte Auswahl im Rahmen der Kontobereinigung entfernt.

Nach Widerruf der Produktanalyse-Einwilligung werden keine neuen Analyseereignisse übermittelt; die unversandte lokale Warteschlange und das gespeicherte Datum des Analysebeginns (Abschnitt 4.10) werden entfernt. Nach Widerruf der Diagnose-Einwilligung stoppen unsere eigene Fehlererfassung und die MetricKit-Weitergabe sofort; unversandte lokale Berichte, Diagnose-Caches und der diagnosebezogene installationsgebundene Salt werden entfernt. Für die technische Wirkung des Crashlytics-Laufzeitschalters und bereits begonnene Übertragungen gilt die Einschränkung in Abschnitt 4.9. Bereits rechtmäßig an Crashlytics übermittelte Daten werden durch das Ausschalten nicht sofort automatisch gelöscht; es gelten die Speicherangaben in Abschnitt 8 und Ihre gesetzlichen Löschrechte.

Der Produktanalyse-Schalter löst keine automatische Löschung bereits an TelemetryDeck übermittelter Ereignisse aus. Ein Widerruf erlaubt keine weitere Analyse auf Grundlage der widerrufenen Einwilligung. Soweit personenbezogene Ereignisdaten ohne andere Rechtsgrundlage fortbestehen, sind sie zu löschen; entsprechende Anfragen richten Sie an privacy@lunchdate.io. Wir bearbeiten sie nach Abschnitt 11. Technische Anbieterfristen ersetzen keine Rechtsgrundlage. Anbieterinformationen: https://telemetrydeck.com/docs/guides/privacy-faq/

9. Besondere Daten und Minderjährige

Wir fordern keine Angaben zu Religion, Gesundheit, politischer Meinung, Gewerkschaftszugehörigkeit, Sexualleben oder anderen besonderen Kategorien nach Art. 9 DSGVO an und nutzen Profil- oder Verhaltensdaten nicht, um solche Merkmale abzuleiten. Freitexte, Fotos oder Ernährungsangaben können gleichwohl unbeabsichtigt entsprechende Informationen erkennen lassen. Bitte stellen Sie solche Angaben nicht ein, sofern sie für professionelles Networking nicht erforderlich sind und Sie nicht möchten, dass andere Nutzer sie sehen.

Der Dienst ist ausschließlich für Personen ab 18 Jahren bestimmt. Erhalten wir Kenntnis von einem Konto einer minderjährigen Person, sperren und löschen wir es zeitnah, soweit keine Nachweise aus Sicherheits- oder Rechtsgründen vorübergehend benötigt werden.

10. Empfehlungssystem und automatisierte Verarbeitung

10.1 Verbindungsvorschläge

Wir berechnen automatisiert, welche Profile in Discovery angezeigt und in welcher Reihenfolge sie vorgeschlagen werden. Berücksichtigt werden insbesondere Entfernung, Branche, Networking-Ziele, gemeinsame Interessen, Aktivität und Engagement, heutige Verfügbarkeit, bereits eingehendes Interesse sowie eine kleine täglich wechselnde Reihenfolgekomponente. Aktives Spotlight wird vor der regulären Reihenfolge angezeigt. Sichtbarkeits-, Blockierungs-, Entfernungs- und Sprachfilter können Profile vollständig ausschließen. Profile, deren Gerät den Standortzugriff verweigert oder eingeschränkt hat, werden in Entdecken nicht angezeigt.

Diese Vorschläge begründen oder beenden keinen Vertrag und haben keine rechtliche oder vergleichbar erhebliche Wirkung im Sinne von Art. 22 DSGVO.

10.2 Automatisierte Schutz- und Moderationsschritte

Automatisierte Systeme können:

Jeder berücksichtigte abgelehnte Nachrichtensendeversuch erhöht diesen kontogenerationsgebundenen Zähler um eins. Bei drei Einträgen erzeugt das System ein Sicherheitssignal der Warnstufe. Bei fünf eröffnet es einen hoch priorisierten Fall mit der Empfehlung, dass eine autorisierte Person eine verhältnismäßige Einschränkung prüft; bei zehn eröffnet es einen kritischen Fall zur menschlichen Prüfung samt Alarm. Der Zähler selbst drosselt keine Nachrichten, suspendiert das Konto nicht und sperrt es nicht dauerhaft. Davon unabhängige technische Rate-Limits können weitere Sendeversuche verzögern. Eine Suspendierung oder dauerhafte Sperre bleibt die Entscheidung einer autorisierten Person.

Die bloße Anzahl von Meldungen führt nicht automatisch zu einer Suspendierung oder dauerhaften Sperre. Suspendierungen und dauerhafte Kontosperren werden durch eine autorisierte Person entschieden. In dringenden Sicherheits- oder Rechtsfällen kann eine vorläufige Einschränkung ohne vorherige Anhörung erforderlich sein; wir informieren über Grund und Überprüfungsmöglichkeit, soweit dies rechtlich und sicherheitstechnisch zulässig ist.

Wir treffen derzeit keine ausschließlich automatisierte Entscheidung, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlich erheblicher Weise beeinträchtigt. Sie können kostenlos eine manuelle Überprüfung einer Inhalts- oder Moderationsentscheidung verlangen, indem Sie auf die Entscheidungs-E-Mail antworten, support@lunchdate.io kontaktieren oder das Formular unter https://lunchdate.io/moderation-appeal nutzen, und Ihren Standpunkt darlegen.

11. Ihre Datenschutzrechte

Soweit die gesetzlichen Voraussetzungen erfüllt sind, haben Sie insbesondere das Recht auf:

Die für unseren Sitz zuständige Behörde ist:

Berliner Beauftragte für Datenschutz und Informationsfreiheit
Alt-Moabit 59–61
10555 Berlin
https://www.datenschutz-berlin.de

Sie können sich auch an die Behörde Ihres gewöhnlichen Aufenthalts- oder Arbeitsorts wenden. Zur Ausübung Ihrer Rechte schreiben Sie an privacy@lunchdate.io. Wir können zusätzliche Angaben verlangen, wenn dies erforderlich ist, um Ihre Identität zu überprüfen und Daten vor unbefugtem Zugriff zu schützen.

Je nach Wohnort können zusätzliche Rechte nach lokalem Datenschutzrecht bestehen. Wir verkaufen personenbezogene Daten nicht und teilen sie nicht für kontextübergreifende verhaltensbezogene Werbung.

12. Cookies und Endgerätezugriffe

12.1 Website

Die Website verwendet keine Analyse- oder Werbecookies. Die Sprachpräferenz lunchdate_lang wird nur gespeichert, wenn dies für die von Ihnen gewünschte Sprachweiterleitung erforderlich ist (§ 25 Abs. 2 Nr. 2 TDDDG). Technische Browser- und Netzwerkvorgänge sind für die Auslieferung der Website erforderlich.

12.2 iOS-App

Für die von Ihnen angeforderten App-Funktionen speichern oder lesen wir insbesondere:

Einträge in der iOS-Suche und lokale Erinnerungen bleiben auf Ihrem Gerät. Für Siri und Kurzbefehle speichert die App keine Angaben vorab, sondern liefert sie nur auf Ihre Anfrage. Damit iOS passende Kurzbefehle vorschlagen kann, teilt die App iOS lediglich mit, welche App-Funktionen Sie nutzen, ohne Namen oder Orte. Bei Abmeldung, Kontowechsel oder Kontolöschung entfernt die App die Einträge in der iOS-Suche und die Erinnerungen; Siri und Kurzbefehle erhalten danach keine Angaben mehr.

Diese Zugriffe erfolgen, soweit sie für eine ausdrücklich gewünschte Funktion erforderlich sind, nach § 25 Abs. 2 Nr. 2 TDDDG. Analysebezogene Installations-, Sitzungs-, Pseudonymisierungs- und Warteschlangendaten werden erst nach Ihrer Produktanalyse-Einwilligung gemäß § 25 Abs. 1 TDDDG gespeichert oder ausgelesen; das gilt auch für das Datum des Analysebeginns auf dem Gerät (Abschnitt 4.10), das beim Widerruf entfernt wird. Diagnosebezogene Berichte, Caches, Kennungen und Zugriffe werden erst nach Ihrer davon getrennten Diagnose-Einwilligung gemäß § 25 Abs. 1 TDDDG verwendet. Einzelheiten stehen in den Abschnitten 4.9 und 4.10.

Wir verwenden kein App Tracking Transparency-Tracking und keinen IDFA. Unser Privacy Manifest erklärt NSPrivacyTracking = false.

13. App-Berechtigungen

Berechtigung Zweck
Standort aktueller Standort für lokale Vorschläge und Entfernungsanzeige; verweigern oder beschränken Sie den Zugriff, wird Ihr Profil in Entdecken ausgeblendet (Abschnitt 4.4)
Kamera Aufnahme von Profilfotos und Gruppenfotos (iOS) sowie Scannen von Direct-Connect-QR-Codes
Fotobibliothek Auswahl entsprechender Bilder
Benachrichtigungen sichtbare Push-Benachrichtigungen
Kalender (Vollzugriff) bestätigte Termine in den Gerätekalender schreiben und die von Lunchdate erstellten Termine bei Änderung oder Absage aktualisieren oder entfernen; andere Termine werden nicht ausgewertet
Face ID oder Gerätecode Bestätigung der Löschung eines gesperrten Kontos; die Prüfung übernimmt iOS, die App erhält nur das Ergebnis und keine biometrischen Daten

Eine verweigerte Berechtigung beschränkt nur die davon abhängige Funktion, soweit die Berechtigung nicht für die ausdrücklich angeforderte Handlung erforderlich ist.

14. Datensicherheit

Wir setzen risikoadäquate technische und organisatorische Maßnahmen ein, insbesondere Transportverschlüsselung, Zugriffskontrollen, rollenbasierte Berechtigungen, Firestore- und Storage-Regeln, App Check, Protokollierung, Monitoring, Rate-Limits, getrennte private Uploadbereiche und regelmäßige Sicherungen. Kein System kann absolute Sicherheit garantieren.

15. Änderungen, Sprache und Kontakt

Wir aktualisieren diese Datenschutzerklärung, wenn sich Verarbeitung, Anbieter oder Rechtslage ändern. Über wesentliche Änderungen informieren wir in geeigneter Form in der App oder per E-Mail. Frühere Fassungen können Sie unter privacy@lunchdate.io anfordern.

Diese Erklärung ist in mehreren Sprachen verfügbar. Bei Abweichungen ist die deutsche Fassung maßgeblich, soweit zwingendes Recht nichts anderes verlangt.

Fragen und Datenschutzanliegen richten Sie bitte an:

Lunchdate UG (haftungsbeschränkt)
E-Mail: privacy@lunchdate.io