Datenschutz

1 · Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website und in der huddl-App ist:

Laurence Fink

Karlsbader Platz 14, 65197 Wiesbaden, Deutschland

Weitere Angaben findest du im Impressum.

E-Mail für datenschutzrechtliche Anfragen: legal@huddl.me

2 · Übersicht der Verarbeitungen

2.1 Website (huddl.me)

Beim Aufruf der Website verarbeiten wir technisch notwendige Verbindungsdaten (Server-Logs). Öffnest du einen Einladungslink, rufen wir zusätzlich die zugehörige Event-Vorschau (Eventname, Termin, Teilnehmerzahl und Anzeigename der einladenden Person) über Supabase ab. Die Seite für Anmelde-Links (Auth-Callback) leitet die darin enthaltenen Anmeldeparameter lediglich an die App weiter.

2.2 Konto und Profil

• Registrierung: E-Mail-Adresse und Passwort (nur als Hash gespeichert) oder Login mit Apple bzw. Google, Anzeigename, Nutzername (@Username), Geburtsdatum sowie Zeitpunkt und Version deiner Bestätigung der Nutzungsbedingungen und dieser Datenschutzhinweise. Das Geburtsdatum dient der Prüfung des Mindestalters von 16 Jahren und wird anderen Nutzern nicht angezeigt. Diese Angaben sind für die Nutzung der App erforderlich; ohne sie ist keine Registrierung möglich.
• Freiwillige Profilangaben: Profilbild, Bio, Telefonnummer und Geschlecht.
• Soziale Funktionen: Freundschaftsanfragen und Freundesliste (Suche über den Nutzernamen) sowie deine Blockierliste.

2.3 Events, Chat und Medien

• Events: Titel, Termine (auch mehrtägig oder wiederkehrend), Ort, Beschreibung, Titelbild, weitere Event-Felder, Teilnehmer, Rollen (Owner, Co-Host, Gast), Zu- und Absagen sowie Einladungen und Einladungslinks.
• Chat: Text- und Sprachnachrichten, Antworten, Reaktionen, Erwähnungen, Umfragen und geteilte Orte.
• Medien: Fotos und Videos in Galerie und Chat. Zu Fotos speichern wir technische Metadaten wie Aufnahmezeitpunkt, Kameramodell, Bildgröße, Dateigröße und ursprünglichen Dateinamen, jedoch keine GPS-Koordinaten aus den Bildmetadaten.
• Aktivitätsnachweise: Für die Aufbewahrungsregeln (Ziffer 7) speichern wir, wann ein Event zuletzt sinnvoll genutzt wurde (z. B. geöffnet, bearbeitet, Nachricht geschrieben).

Inhalte eines Events sind für die berechtigten Teilnehmer dieses Events sichtbar.

2.4 Standort, Kontakte und Kalender

• Standort (optional): Nur wenn du bei der Ortsauswahl aktiv „Aktueller Standort" nutzt, liest die App nach deiner Freigabe den genauen Gerätestandort aus und wandelt ihn über den Geocoding-Dienst deines Betriebssystems (Apple bzw. Google) in eine Adresse um. Gespeichert wird nur der Ort, den du in ein Event oder eine Chat-Nachricht übernimmst.
• Kontakte (optional): Nur wenn du in einem Kontaktlisten-Feld eines Events aktiv einen Kontakt auswählst, übernimmt die App dessen Namen und die gewählte Telefonnummer. Diese Angaben sind für die Event-Teilnehmer sichtbar. Dein Adressbuch wird nicht hochgeladen. Bitte trage Kontaktdaten anderer Personen nur ein, wenn du dazu berechtigt bist.
• Kalender: Beim Kalender-Export schreibt die App Termine lokal in den von dir gewählten Gerätekalender. Auf deine Kalenderdaten greifen wir nicht zu; wir speichern lediglich, dass ein Export stattgefunden hat (als Nutzungsnachweis im Sinne von Ziffer 2.3).

2.5 Kommunikation

• Push-Benachrichtigungen über Firebase Cloud Messaging (Ziffer 4.5), sofern du sie in deinem Betriebssystem erlaubst. Einzelne Benachrichtigungsarten kannst du in der App unter Einstellungen → Benachrichtigungen steuern.
• E-Mails: Bestätigungs-, Passwort-Reset- und E-Mail-Änderungs-Mails, notwendige Hinweise zu Aufbewahrungs- und Löschfristen (Ziffer 4.11) sowie deine Anfragen an unseren Support. Werbe- oder Newsletter-Mails versenden wir nicht.
• In-App-Feedback: Kategorie, Nachricht, App-Version und Geräteinformationen, verknüpft mit deiner Nutzer-ID.

2.6 Käufe (huddl Pro und Event-Pass)

Käufe werden über den App Store (Apple) bzw. Google Play abgewickelt; Apple und Google verarbeiten die Zahlungsdaten in eigener Verantwortung. Wir erhalten über RevenueCat (Ziffer 4.6) nur Produkt-, Transaktions- und Statusdaten (z. B. welches Produkt, Kaufdatum, Ablaufdatum, Verlängerungs- oder Erstattungsstatus), jedoch keine Karten- oder Bankdaten.

2.7 Sicherheit und Moderation

• Meldungen: Wenn du einen Inhalt, ein Event oder einen Nutzer meldest, speichern wir den gemeldeten Inhalt bzw. Nutzer, den Grund, optionale Details, dich als meldende Person und den Zeitpunkt, um die Meldung zu prüfen und die Entscheidung zu dokumentieren.
• Textschutz: Vor dem Speichern werden von dir verfasste Texte automatisiert – auf dem Gerät und auf unserem Server – auf wenige eindeutige, schwere Verstöße geprüft (z. B. direkte Gewaltdrohungen, sexuelle Ausbeutung, eindeutige Hassbegriffe). Es findet keine KI-, Cloud- oder Bild-/Videoanalyse statt.

2.8 Betrieb und Produktverbesserung

• Fehler- und Leistungsdaten über Sentry (Ziffer 4.7).
• Produkt-Analytics über PostHog (Ziffer 4.8), mit Opt-out.
• Betriebsmessung: Summe der je Event übertragenen Medienbytes pro Tag und Medienart, zur Kostenkontrolle und zur Erkennung missbräuchlicher Nutzung. Diese Werte enthalten keine Angabe dazu, wer Inhalte abgerufen hat, und sind keiner Person zuzuordnen.

3 · Rechtsgrundlagen

• Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung (Account, Event-, Chat-, Medien- und Freundesfunktionen, Standort- und Kontaktübernahme auf deine Anforderung, transaktionale E-Mails, huddl Pro und Event-Pass)
• Art. 6 Abs. 1 lit. f DSGVO — Berechtigtes Interesse (Stabilität, Sicherheit, Moderation und Schutz vor Missbrauch, Produktverbesserung und Produkt-Analytics, Kostenkontrolle, Bearbeitung von Feedback; bei Kontaktdaten Dritter, die du in ein Event einträgst, die Organisation deines Events)
• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung (Push-Benachrichtigungen)
• Art. 6 Abs. 1 lit. c DSGVO — Rechtliche Verpflichtung (handels- und steuerrechtliche Aufbewahrungspflichten, Pflichten aus dem Digital Services Act)

4 · Eingesetzte Auftragsverarbeiter

Wir nutzen folgende Dienstleister. Soweit diese als Auftragsverarbeiter für uns tätig werden, erfolgt dies auf Grundlage einer Vereinbarung gemäß Art. 28 DSGVO:

4.1 Hosting & Datenbank — Supabase

Anbieter: Supabase Inc., USA

Hosting-Region: EU (Frankfurt am Main, AWS eu-central-1)

Einsatz: Datenbank, Anmeldung (Auth), Echtzeit-Aktualisierung sowie serverseitige Funktionen (z. B. Push-Versand, E-Mail-Versand, Adress-Suche-Proxy, Account-Löschung)

Verarbeitete Daten: Account- und Profildaten, Event-Inhalte, Chat-Nachrichten, Push-Registrierungen, Kauf- und Abostatus, Meldungen, Feedback sowie Metadaten und Speicherpfade zu hochgeladenen Medien; bei Einladungslinks Eventname, Termin, Teilnehmerzahl und Anzeigename der einladenden Person

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO für Sicherheit, Moderation und Betrieb

Datenschutz: supabase.com/privacy

4.2 Marketing-Website & Edge-Hosting — Vercel

Anbieter: Vercel Inc., USA

Verarbeitete Daten: IP-Adresse, Zeitpunkt, aufgerufene URL einschließlich eines gegebenenfalls darin enthaltenen Invite-Tokens oder Anmeldeparameters, HTTP-Header, User-Agent sowie technische Server-, Sicherheits-, Performance- und Fehlerdaten; bei Einladungsseiten außerdem die an den Browser ausgelieferte öffentliche Event-Vorschau

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sichere, stabile und schnelle Bereitstellung der Website) sowie Art. 6 Abs. 1 lit. b DSGVO beim angeforderten Abruf einer Einladungs-Vorschau

Datenschutz: vercel.com/legal/privacy-policy

4.3 DNS & CDN — Cloudflare

Anbieter: Cloudflare Inc., USA

Verarbeitete Daten: IP-Adresse, HTTP-Header und technische Verbindungsdaten

Datenschutz: cloudflare.com/privacypolicy

4.4 Medien-Speicherung und -Auslieferung — Cloudflare R2

Anbieter: Cloudflare Inc., USA

Einsatz: Private Speicherung und signierte Auslieferung von Event-Fotos und -Videos, Vorschaubildern, Event-Titelbildern, Profilbildern und Sprachnachrichten. Der Bucket ist nicht öffentlich; Upload und Abruf erfolgen über signierte, zeitlich begrenzte URLs und einen Cloudflare Worker.

Verarbeitete Daten: hochgeladene Medieninhalte, technische Objektkennungen und beim Abruf IP-Adresse, HTTP-Header sowie der zeitlich begrenzte Zugriffstoken

Datenstandort: Der Produktions-Bucket ist mit der unveränderlichen R2-Jurisdiktion „European Union (EU)“ angelegt. Cloudflare garantiert für diese Einstellung, dass die R2-Objekte innerhalb der EU gespeichert und verarbeitet werden. Die Jurisdiktion des Buckets erfasst nicht automatisch sämtliche Konto-, Worker-, Log- und sonstigen Betriebsdaten von Cloudflare.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der vom Nutzer hochgeladenen und abgerufenen Medien)

Datenschutz und Auftragsverarbeitung: cloudflare.com/privacypolicy · Cloudflare DPA

4.5 Push-Benachrichtigungen — Google Firebase Cloud Messaging

Anbieter: Google Ireland Limited, Irland (Konzernmutter Google LLC, USA)

Verarbeitete Daten: Push-Token deines Geräts sowie Inhalt der Benachrichtigung (z. B. Eventname, Name des Absenders und bei Chat-Nachrichten eine gekürzte Vorschau) und technische Verbindungsdaten wie die IP-Adresse. Die Zuordnung eines Push-Tokens zu deinem Konto (zusammen mit einer zufälligen Installations-ID, Plattform und App-Version) speichern wir ausschließlich in unserer Datenbank; an Google übermitteln wir keine huddl-Nutzer-ID. Auf iOS werden Benachrichtigungen zusätzlich über den Apple Push Notification Service zugestellt.

Einsatz: ausschließlich Zustellung von Push-Benachrichtigungen; kein Firebase Analytics, keine Werbung

Datenstandort: Google betreibt Firebase Cloud Messaging auf weltweiter Infrastruktur; eine Beschränkung der Verarbeitung auf die EU ist nicht möglich (siehe Ziffer 6).

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung über den Berechtigungsdialog deines Betriebssystems; Widerruf jederzeit in den Geräteeinstellungen)

Datenschutz: firebase.google.com/support/privacy · policies.google.com/privacy

4.6 Kauf- und Abo-Verwaltung — RevenueCat

Anbieter: RevenueCat Inc., USA

Verarbeitete Daten: pseudonyme Nutzer-ID (huddl-Konto-ID), Store-Transaktions- und Produktdaten (Produkt, Kauf- und Ablaufdatum, Preis und Währung, Verlängerungs- und Erstattungsstatus), Plattform (iOS/Android) sowie technische Verbindungsdaten; keine Zahlungsdaten. Löschst du deinen Account, veranlassen wir auch die Löschung deiner Kundendaten bei RevenueCat.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (für huddl Pro und den Event-Pass)

Datenschutz: revenuecat.com/privacy

4.7 Fehler- und Leistungsanalyse — Sentry

Anbieter: Functional Software, Inc. (Sentry), USA — Datenspeicherung in der EU (Frankfurt am Main)

Verarbeitete Daten: Fehlerberichte und Stack-Traces, stichprobenartige Leistungsmessungen (z. B. App-Startzeit), Geräte- und Betriebssysteminformationen, App-Version sowie technische Verbindungsdaten. Fehlerberichten wird keine Nutzer-ID zugeordnet; E-Mail-Adressen, Links, Tokens und ähnliche Angaben werden vor dem Versand automatisch aus den Berichten entfernt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Stabilität, Fehlerbehebung)

Datenschutz: sentry.io/privacy

4.8 Product Analytics — PostHog

Anbieter: PostHog Inc., USA — Hosting in der EU

Verarbeitete Daten: Nutzungsereignisse (z. B. „Login", „Event erstellt"), aufgerufene Bildschirme, App-Start und -Wechsel in den Hintergrund, technische App-/Geräteinformationen sowie bei Kaufvorgängen Store-Angebotsdaten (Produkt-ID, Plan, Preis, Währung, Einstiegspunkt und Ergebnis). Nach der Anmeldung werden diese Daten mit deiner huddl-Konto-ID verknüpft (pseudonym). Keine Nachrichteninhalte, Namen, E-Mail-Adressen oder Adressen, keine IP-Speicherung.

Einsatz: ausschließlich in der huddl-App (nicht auf der Website)

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Produktverbesserung); standardmäßig aktiv mit jederzeitiger Deaktivierung in der App unter Einstellungen → Privatsphäre & Sicherheit → Nutzungsstatistik (Opt-out)

Datenschutz: posthog.com/privacy

4.9 Karten & Adress-Suche — Google Maps

Anbieter: Google Ireland Limited, Irland

• Kartenvorschau: Enthält ein Event oder eine Chat-Nachricht einen Ort, lädt die App auf iOS und Android beim Anzeigen automatisch eine kleine Karte über das Google Maps SDK. Dabei werden der Kartenausschnitt (Koordinaten) und technische Verbindungsdaten wie die IP-Adresse an Google übertragen. Event-Owner können die Kartenvorschau für ein Ortsfeld ausblenden.
• Adress-Suche: Suchanfragen laufen über unseren Supabase-Proxy an die Google Places API; übermittelt werden die eingegebenen Suchbegriffe, eine huddl-Nutzer-ID wird nicht an Google übermittelt.
• Adressauflösung: Zur Umrechnung zwischen Adresse und Koordinaten nutzt die App den Geocoding-Dienst deines Betriebssystems (Apple bzw. Google).
• Navigation: Wählst du „Navigation", öffnet sich die von dir gewählte Karten-App (z. B. Google Maps oder Apple Karten) mit der Zieladresse.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Darstellung und Auswahl von Event-Orten)

Datenschutz: policies.google.com/privacy

4.10 Authentifizierung — Apple / Google Sign In

Optional bietet huddl Login per Apple-ID oder Google-Konto. Dabei werden nur die für den Login nötigen Daten übertragen (Apple: E-Mail-Adresse – auf Wunsch als private Weiterleitungsadresse – und Name; Google: E-Mail-Adresse, Name und Profilbild-Link). Apple und Google verarbeiten die Anmeldung in eigener Verantwortung. Bei der Löschung deines Accounts widerrufen wir eine bestehende „Mit Apple anmelden"-Verknüpfung.

4.11 Transaktions-Mails — Resend

Anbieter: Resend Inc., USA

Verarbeitete Daten: E-Mail-Adresse, Inhalt der Bestätigungs-, Passwort-Reset-, E-Mail-Änderungs- oder Aufbewahrungs-Mail (insbesondere Frist und gegebenenfalls Event-Name)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Account-Verifizierung und vertragsbezogene Aufbewahrungshinweise) sowie Art. 6 Abs. 1 lit. f DSGVO (nachweisbare, faire Vorwarnung vor einer Löschung)

Datenschutz: resend.com/legal/privacy-policy

5 · Cookies und ähnliche Technologien

Details findest du in den Cookie-Hinweisen. Kurzfassung:

• Technisch notwendig (Website): NEXT_LOCALE speichert deine Sprachwahl; deine Theme-Einstellung (hell/dunkel) wird im localStorage deines Browsers abgelegt. Beides ist für den Betrieb erforderlich und einwilligungsfrei (§ 25 Abs. 2 TDDDG).
• Auf der Website setzen wir keine Tracking-, Analyse- oder Marketing-Cookies. Solange dies so bleibt, ist kein Einwilligungsbanner erforderlich. Vor dem Einsatz nicht notwendiger Technologien holen wir eine Einwilligung ein.
• Produkt-Analytics in der App (PostHog) erfolgt pseudonym, ist standardmäßig aktiv und lässt sich jederzeit unter Einstellungen → Privatsphäre & Sicherheit → Nutzungsstatistik deaktivieren (Opt-out).

6 · Drittland-Übermittlungen

Einige Dienste (Supabase, Vercel, Cloudflare, RevenueCat, Sentry, PostHog, Resend, Apple, Google) haben US-Konzernsitze. Account-, Event- und Chatdaten sowie Medien-Metadaten werden mit Supabase in Frankfurt am Main gespeichert, Fehlerberichte bei Sentry und Analytics-Daten bei PostHog in der EU. Private Medienobjekte werden in einem Cloudflare-R2-Bucket mit EU-Jurisdiktion gespeichert und verarbeitet. Diese R2-Jurisdiktion gilt für die Objekte im Bucket, nicht automatisch für sämtliche Konto-, Worker-, Log- und Betriebsdaten des US-Anbieters Cloudflare. Push-Benachrichtigungen (Firebase Cloud Messaging) werden über die weltweite Infrastruktur von Google zugestellt; eine Verarbeitung außerhalb der EU, insbesondere in den USA, ist dabei nicht ausgeschlossen. Soweit Daten in die USA übertragen werden, beruht dies auf:

• EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO)
• EU-US Data Privacy Framework (für zertifizierte Anbieter)

7 · Speicherdauer

8 · Deine Rechte

Du hast jederzeit das Recht auf:

• Auskunft über deine gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO) — in der App unter Einstellungen → Gefahrenzone → Account löschen
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitung auf Grundlage berechtigter Interessen (Art. 21 DSGVO) — für die Produkt-Analytics direkt in der App unter Einstellungen → Privatsphäre & Sicherheit → Nutzungsstatistik
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO) — für Push-Benachrichtigungen in den Einstellungen deines Geräts

Für die Ausübung deiner Rechte: legal@huddl.me

9 · Beschwerderecht bei einer Aufsichtsbehörde

Du hast das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde. Zuständig ist insbesondere die Behörde des Bundeslandes deines Wohnsitzes oder unseres Firmensitzes.

Für unseren Firmensitz in Hessen ist dies:

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI)

Postfach 3163, 65021 Wiesbaden

E-Mail: poststelle@datenschutz.hessen.de

Web: datenschutz.hessen.de

10 · Änderungen dieser Datenschutzerklärung

Wir können diese Erklärung anpassen, etwa bei neuen Funktionen oder Diensten. Wesentliche Änderungen kommunizieren wir vorab per E-Mail und/oder In-App.

Stand: September 2026