Datenschutz

Wir sammeln so wenig wie möglich: nur was Flaniero braucht, damit du mit deinen Gruppen Aktivitäten planen und Kosten teilen kannst. Kein Tracking, keine Analyse-Dienste, kein Verkauf von Daten. Werbung gibt es nur in einem Bereich, den du selbst einschaltest: „In deiner Gegend“ zeigt Angebote und Events von Lokalen, als Werbung gekennzeichnet, und offene Runden von Leuten aus der Nähe. Dafür bilden wir kein Profil über dich.

Wer ist verantwortlich?

Markus Frühwirth, Bacharnsdorf 12/2, 3621 Rossatz-Arnsdorf, Österreich, E-Mail: flaniero@proton.me. Flaniero wird von einer Privatperson betrieben; einen Datenschutzbeauftragten gibt es nicht, weil keiner vorgeschrieben ist.

Das Wichtigste in Kürze

• Flaniero läuft auf einem Server von Contabo in Nürnberg, Deutschland. Karten, Ortssuche, Routen und die Live-Verbindung betreiben wir selbst.
• Deinen Standort speichern wir nie. Was am Gerät geht (Karte, Entfernungen, „noch etwa x Min“), bleibt am Gerät.
• Was du in einer Gruppe postest, sehen die Leute dieser Gruppe. Mehr Leute sehen eine Aktivität nur, wenn du das bei „Wer sieht das?“ so wählst (Bekannte oder „In deiner Gegend“) oder einen Link teilst; Lokale nie.
• Chats löschen wir 30 Tage nach der Aktivität, Ortsangaben für Abholungen und „Wann bist du da?“ eine Stunde nach dem Ende.
• Konto löschen und alle Daten herunterladen kannst du jederzeit selbst im Profil.

Was wir verarbeiten und wofür

Konto und Anmeldung

• Konto: E-Mail-Adresse, Name, Profilbild (freiwillig), Zeitzone, Einstellungen (Push, Ruhezeit, Erinnerungen) und welche Version der Nutzungsbedingungen du angenommen hast.
• Anmelden per E-Mail-Code: Wir schicken dir einen Code per Mail. Er gilt 10 Minuten; gespeichert ist nur eine Prüfsumme. Gegen Missbrauch zählen wir Versuche pro Adresse und pro Internet-Anschluss. Derselbe Weg gilt für den Code zum Löschen deines Kontos.
• IP-Adressen: Pro Internet-Anschluss zählen wir auch beim Starten einer Runde ohne Konto, bei Stimmen ohne Konto über einen Umfrage-Link, bei der Warteliste, beim Öffnen eines Aktivitäts-Links und bei Fehlerberichten. Die IP-Adresse steht dabei nie im Klartext in der Datenbank, nur als Prüfsumme (HMAC), und nur so lange, wie die Grenze gilt (siehe „Wie lange?“). Beim Öffnen eines Links liegt die Prüfsumme nur im Arbeitsspeicher des Servers, nicht in der Datenbank.
• Beta-Warteliste und Beta-Codes: Solange die Anmeldung nur mit Einladung geht, kannst du dich nach dem E-Mail-Code auf die Warteliste setzen. Dafür speichern wir deine E-Mail-Adresse im Klartext, damit wir dir „Du bist dabei“ schicken können, höchstens 90 Tage. Lassen wir dich frei, merken wir uns das nur als Prüfsumme der Adresse (HMAC), ebenfalls höchstens 90 Tage. Legst du ein Konto an, löschen wir beides sofort. Bei einem Beta-Code zählen wir nur, wie oft er benutzt wurde, nicht von wem.
• Sitzungen: Angemeldet bleibst du über ein Erneuerungs-Token (30 Tage), gespeichert nur als Prüfsumme. Im Browser liegt es in einem Cookie, das Skripte nicht lesen können, in der App im geschützten Speicher des Geräts.
• Passkeys (freiwillig): Wir speichern nur den öffentlichen Schlüssel, eine Kennung, einen Namen und wann er angelegt und zuletzt benutzt wurde. Der geheime Schlüssel bleibt auf deinem Gerät bzw. in deinem Passwort-Manager.
• Profilbild und andere Bilder werden schon auf deinem Gerät verkleinert; Standort- und Kameradaten (EXIF) sind dabei entfernt. Bilder sind nur über Links erreichbar, die wir signieren und die nach kurzer Zeit ablaufen.

Gruppen

Gruppen mit Name, Bild und Beschreibung, wer Mitglied oder Admin ist, Beitrittsanfragen, Einladungslinks und deine Einstellungen pro Gruppe (Favorit, Stumm, „Wenn wer fehlt?“). Beim Einladen schlägt Flaniero „Leute, die du kennst“ vor: nur Personen aus deinen anderen Gruppen und aus gemeinsamen Runden der letzten 12 Monate, keine Suche über alle.

Aktivitäten, Umfragen und Chat

• Aktivitäten und Check-ins mit Titel, Zeit, Ort, Kategorie und Plätzen; Zusagen, Absagen und Warteliste; Serien mit Stammplätzen, Abwesenheiten und Pausen; Umfragen mit Antworten und freien Zeiten; Mitbringen, Mitfahren, Spielstände, Reaktionen, Einladungskarten.
• Chat: Nachrichten zu einer Aktivität und wer sie wann gelesen hat. Wir löschen sie 30 Tage nach dem Ende der Aktivität.
• Unsere Orte: Daumen nach einer Aktivität. Andere sehen nur die Summe, nie wer wie bewertet hat.
• Wichteln: Lose und Wünsche. Wer wen beschenkt, sieht vor der Auflösung niemand, auch nicht, wer es eingerichtet hat; deinen Wunsch sieht nur, wer dich gezogen hat.
• Ersatz finden: Wer gepostet hat, sieht als Vorschläge Leute aus der Gruppe, aus eigenen anderen Gruppen und Leute, die früher über einen Link dabei waren. Mit „Wenn wer fehlt?“ bestimmst du, ob du gefragt wirst.
• Teilen per Link: Einen Aktivitäts-Link kann öffnen, wer ihn hat. Wer darüber dazukommt, sieht nur diese Aktivität. Geteilte Links zeigen in Messengern eine Vorschau mit Titel, Zeit und Stand, ohne Namen. Wie oft Links geöffnet werden, zählen wir nur als Summe. Damit Neuladen nicht doppelt zählt, merkt sich der Server einen Tag lang eine Prüfsumme aus IP-Adresse und Link, nur im Arbeitsspeicher; im Browser merken wir uns dafür nichts.
• „Bin dabei, wenn …“: Deine Bedingung (z. B. „wenn wir mindestens 4 sind“, „wenn Lena kommt“, „wenn's schön ist“) sehen alle, die die Aktivität sehen, mit deinem Namen. Ob sie erfüllt ist, rechnet Flaniero nach festen Regeln aus; bei „wenn's schön ist“ nach der Wettervorhersage zur Frist.
• Begleitung („+1“): Bringst du wen mit, legen wir einen Gast „Begleitung von“ und deinem Vornamen an, ohne weitere Angaben. Über einen eigenen Link kann die Begleitung den Platz mit Namen selbst übernehmen; bis dahin gehen ihre Kostenanteile auf dich.
• Saison-Tabelle: Bei Serien mit Spielstand zeigt Flaniero eine Rangliste des Halbjahrs (Abendsiege, gewonnene Matches, Abende) für alle, die die Serie sehen. Mit „Mich nicht zeigen?“ stehst du nicht drin und zählst nicht mit.
• „Wie wär's?“: Haben in einer Gruppe mehrere Zeit, schlägt Flaniero eine Runde vor. Das rechnen wir aus „Wer hat Zeit“, euren bisherigen Aktivitäten und Orten; gespeichert wird nur, ob du den Vorschlag weggeklickt oder auf „Später“ gesetzt hast.
• „Wer bucht den Platz?“: Wer bucht, ob gebucht ist, eine Notiz und optional ein Link zur Buchung. Das sehen die Leute der Aktivität. Gibst du einen Betrag an, wird daraus eine Ausgabe.

Wer eine Aktivität sieht („Wer sieht das?“)

• Nur Gruppe (Standard): die Mitglieder der Gruppen, in denen die Aktivität steht, und wer schon dabei ist.
• Auch Leute, die du kennst: Bekannte sind Leute, mit denen du eine Gruppe teilst (Vereine zählen nicht) oder in den letzten 365 Tagen bei einer stattgefundenen Runde warst; Gäste und Blockierte nie, Runden ohne Konto zählen nicht. Sie sehen auf der Piazza Titel, Zeit, die Gegend (in Wien den Bezirk, sonst den Ort), wie viele kommen, dass es von dir ist, und die Namen nur von Leuten, die sie selbst kennen. Den genauen Ort und den Chat erst, wenn sie zusagen. Admins können Bekannte und Gegend für eine Gruppe abschalten.
• Offen in der Gegend: Alle mit „In deiner Gegend“, deren Gegend im Umkreis von etwa 10 km um den Ort liegt, auch Fremde. Sie sehen Titel, Zeit, den Namen des Orts, die Gegend, deinen Vornamen und dein Profilbild, wie viele Runden du schon hattest, seit wann du dabei bist, wie viele kommen und Namen nur von Leuten, die sie kennen. Runden mit Trinken oder Party sehen dort nur Leute, die ein Geburtsdatum ab 18 angegeben haben. Öffnen kannst du eine Runde so nur an öffentlichen Orten aus der Ortssuche (keine Adresse), wenn dein Konto mindestens 14 Tage alt ist, du schon bei einer stattgefundenen Runde mit mindestens 2 anderen warst und keine Meldung gegen dich offen ist, höchstens 3 Mal in 7 Tagen. Dafür merken wir uns 7 Tage lang, wann du geöffnet hast.
• Anfragen aus der Gegend: Fragt jemand an, siehst du Namen, Profilbild, wie viele Runden die Person hatte, seit wann sie dabei ist und wen aus deiner Runde sie kennt (höchstens 2). Annehmen macht sie zu einer Person, die nur diese Aktivität sieht.
• Selbst steuern: „Diesmal nicht“ blendet eine Runde für dich aus (gelöscht 7 Tage nach ihrem Ende), „Von Kim nicht mehr zeigen“ blendet eine Person aus, bis du es zurücknimmst; sie erfährt davon nichts. Ob du Offenes von Bekannten siehst, schaltest du im Profil ab („Offenes von Bekannten zeigen?“), Offenes aus der Gegend mit „In deiner Gegend“. Wen du blockierst, dem zeigen wir deine offenen Runden nicht, und umgekehrt.

Fotos

Fotos im Album einer Aktivität (und als Foto-Check-in) sehen die Leute, die die Aktivität sehen. Sie bleiben, bis du sie löschst, die Aktivität abgesagt wird oder du dein Konto löschst. Story-Bilder entstehen nur auf deinem Gerät.

Kosten und Geld

• Ausgaben mit Betrag, Beschreibung, Aufteilung und Posten, Rückzahlungen, Zahlungen („Hab ich bezahlt/bekommen“), Bitten um Geld und Erinnerungen. Salden rechnen wir daraus, wir speichern sie nicht.
• Wege zum Geld (freiwillig): Bankverbindung (Kontoinhaber, IBAN, BIC) und PayPal-Angaben, verschlüsselt gespeichert (AES-256-GCM, auch in Backups). Sichtbar nur für Personen, die dir laut Ausgleich gerade Geld überweisen. Der QR-Code für die Überweisung (GiroCode) entsteht auf dem Gerät.
• Kosten-Export (CSV oder Druck) erstellst du selbst; was du damit machst, liegt bei dir.

Gäste ohne Konto

Mitglieder können Gäste mit einem Namen anlegen, damit Kosten stimmen. Gäste sehen ihren Stand über einen persönlichen Link und können ihn in ein eigenes Konto übernehmen. In der Web-App kann man über einen Aktivitäts-Link auch ohne Konto zusagen: Dafür speichern wir den Namen und die Bestätigung, mindestens 16 zu sein und die Bedingungen anzunehmen; der Zugang liegt als Token im Browser. Solche Gäste löschen wir eine Woche nach ihrem letzten Termin, wenn sie in keiner Abrechnung vorkommen. Dasselbe gilt für eine Begleitung, die ihren Platz über ihren Link übernimmt.

Runden ohne Konto

• In der Web-App kann man unter „Runde starten, ohne Konto“ eine Aktivität oder eine Wann-Umfrage anlegen. Dafür legen wir eine private Gruppe („Kims Runde“) mit dir als Gast und Admin an und speichern deinen Namen, die Bestätigung, mindestens 16 zu sein und die Bedingungen anzunehmen, und was du einträgst (Titel, Zeit, Ort mit Name und Punkt auf der Karte, Vorschläge). Gegen Missbrauch zählen wir pro Internet-Anschluss (höchstens 3 Runden am Tag und 10 in der Woche), die IP-Adresse nur als Prüfsumme, 8 Tage lang.
• Der Zugang zu deiner Runde liegt als Token in deinem Browser. Damit holt die Seite eine Sitzung, die 15 Minuten gilt und nur für deine Runde taugt.
• Über einen Umfrage-Link können andere ohne Konto mit Namen abstimmen (höchstens 20 neue Gäste pro Stunde und Anschluss, IP nur als Prüfsumme, 1 Tag).
• Willst du die Antworten bekommen, gibst du deine E-Mail-Adresse an und bestätigst sie mit einem Code; dann übernimmt dein Konto die Runde. Runden, die niemand übernommen hat, löschen wir 7 Tage nach dem Ende samt Chat, Fotos und Gästen. Steht Geld in der Abrechnung, bleiben sie.
• Solange niemand eine Runde übernommen hat, zählt sie nicht für „Leute, die du kennst“.

Standort, Orte und Wege

• Deinen genauen Standort nutzt Flaniero nur mit deiner Erlaubnis: am Gerät für Karte und Entfernungen, und für „Orte in der Nähe“. Dafür geht er an unsere selbst betriebene Ortssuche (Photon, OpenStreetMap), wird dort weder gespeichert noch protokolliert. Für die Suche nach Orten runden wir ihn auf etwa 1 km und merken uns Ergebnisse höchstens 24 Stunden im Arbeitsspeicher. Deine ungefähre Gegend (etwa 10 km) für Suche und Karte merkt sich nur dein Gerät. Auf unserem Server liegt eine Gegend nur, wenn du sie bei „In deiner Gegend“ fest einstellst (siehe dort).
• Orte von Aktivitäten: Den Ort, den du einer Aktivität gibst, sehen alle, die die Aktivität sehen. Wählst du eine spätere Zeit, schlägt Flaniero keinen Ort aus deinem Standort vor, damit nicht versehentlich deine Wohnadresse im Post steht.
• „Wann bist du da?“ und „noch etwa x Min“: Unterwegs, später oder da (mit optionalem Hinweis wie „hinten links“). Die Ankunftszeit schätzt dein Gerät aus deinem Standort; an uns geht nur die geschätzte Uhrzeit, nie der Standort. In der App kann das auf Wunsch im Hintergrund laufen, höchstens bis 30 Minuten nach Beginn. Alles wird eine Stunde nach dem Ende gelöscht.
• „Noch da?“ und „Fragen, wenn ich gehe?“: Ob du dich von einem Check-in entfernst, prüft nur dein Gerät; wir erfahren davon nichts. Den Bereich (Geofence) für „Fragen, wenn ich gehe?“ legt die App auf dem iPhone im Betriebssystem an, auf Android über die Google-Play-Dienste deines Geräts. Was Google dabei mit Standortdaten macht, regeln die Bedingungen von Google und die Standort-Einstellungen deines Geräts.
• Mitfahren und Abholroute: Abhol- und Startpunkte sehen nur die Personen, die fahren. Die Route rechnet unser eigener Routing-Dienst (OSRM). Eine Stunde nach dem Ende löschen wir die Punkte. Tippst du auf „In Google Maps öffnen“, öffnet dein Gerät Google Maps mit Ziel und Zwischenstopps; erst dann erhält Google diese Orte, nach den Bedingungen von Google.
• Sprit teilen: Bevor wir die Abholpunkte löschen, behalten wir von einer Fahrt nur die Länge der Route (ohne Punkte); sie bleibt an der Fahrt, solange es die Aktivität gibt. In deinem Konto steht dein Satz pro Kilometer (Standard 20 Cent), den du selbst wählst. Trägst du Sprit ein, wird daraus eine Ausgabe „Sprit“ für dich und wer mitgefahren ist.

Wetter

• Die Vorhersage holen wir bei GeoSphere Austria (Wien) und MET Norway (Oslo), für Aktivitäten draußen mit dem Ort der Aktivität, für Wann-Umfragen mit dem Ort der Umfrage.
• Für den Himmel im Tageskopf der Startseite schickt dein Gerät deine ungefähre Gegend (bzw. deinen Standort, wenn du ihn gerade freigegeben hast) oder sonst den Ort deiner nächsten Aktivität heute an unseren Server, vorher auf etwa 2 km gerundet. Ohne Ort zeigen wir nur Sonnenauf- und -untergang für Wien.
• Unser Server rundet jeden Ort auf ein Raster von etwa 2 km; nur dieses Rasterfeld geht an die Wetterdienste, ohne Bezug zu Personen. Die Vorhersage halten wir kurz im Arbeitsspeicher, gespeichert oder protokolliert wird der Ort nicht.

Kalender

• Lücken-Finder (freiwillig): Gibst du den geheimen Link deines Kalenders an, speichern wir ihn verschlüsselt und rufen ihn etwa alle 3 Stunden ab. Davon behalten wir nur belegte Zeiten der nächsten 30 Tage, ohne Titel, Orte oder Teilnehmende. Deine Gruppen sehen nur Zahlen („3 können“), nie deine Termine. Dazu kannst du ein Wochenmuster von Hand setzen. Link entfernen löscht Link und Zeiten.
• Kalender-Abo (Plus): Ein geheimer Link, den deine Kalender-App (z. B. von Google, Apple oder Microsoft) regelmäßig abruft. Er enthält Titel, Zeit und Ort der Aktivitäten, bei denen du dabei bist, und abgesagte noch 7 Tage. Was deine Kalender-App damit macht, regelt ihr Anbieter. Du kannst den Link jederzeit erneuern oder abschalten.

Teilen an Flaniero, Link einfügen, Flyer

• Teilst du einen Link an Flaniero oder fügst ihn ein, ruft unser Server die öffentliche Seite selbst ab (nur öffentliche Adressen, höchstens 1 MB). Die Seite sieht dabei unseren Server, nicht dich. Aus Titel, Termin und Ort machen wir mit festen Regeln einen Entwurf; bei Kartenlinks lesen wir nur den Ort. Den Link, die Seite und deinen Text speichern und protokollieren wir nicht.
• Gegen Missbrauch zählen wir pro Konto (höchstens 20 Mal pro Minute und 60 Abrufe pro Stunde), 1 Tag lang.
• Bei einem Flyer oder Screenshot liest dein Gerät nur einen QR-Code; das Bild verlässt dein Gerät dabei nicht. Steht ein Link drin, geht es weiter wie oben.

Planen und Erinnern

• „Wer hat Zeit“: Dass du an einem Tag ab einer Uhrzeit Zeit hast, optional worauf du Lust hast. Sehen nur Mitglieder der Gruppen, die du dafür wählst. Kein Push. Wir löschen es in der Nacht nach dem Tag.
• „Vor einem Jahr“ und „Wieder mal?“: Flaniero erinnert an Aktivitäten deiner Gruppen vom Vorjahr und an Wiederkehrendes, das länger nicht war. Das rechnen wir aus vorhandenen Aktivitäten der letzten 180 Tage bzw. des Vorjahrs. Gespeichert wird nur, was du nicht mehr sehen willst, und wann dir eine Karte gezeigt wurde (nach 60 Tagen gelöscht).
• „Flaniero fragt nach“: Automatische Erinnerungen an Unbeantwortete, wenn eine Runde wackelt, Hinweise, wenn wer abspringt, und höchstens drei sanfte Erinnerungen an offenes Geld. Dafür merken wir uns, wann und wie oft erinnert wurde. Admins schalten das pro Gruppe ab, du für dich unter „Erinnerungen von Flaniero“.
• „Fragen an dich“: Die Liste auf der Startseite rechnen wir aus deinen Aktivitäten, Umfragen, Anfragen und Einladungen. Gespeichert wird nur, was du auf „Später“ gesetzt oder weggeklickt hast, und nach 90 Tagen gelöscht.
• Jahresrückblick: Rechnen wir aus deinen Aktivitäten, sehen nur du und wem du ihn zeigst.

Benachrichtigungen

• Push: Mit deiner Erlaubnis speichern wir pro Gerät die Push-Adresse deines Browsers bzw. das Push-Token der App. Im Browser ist der Inhalt Ende zu Ende verschlüsselt. In der App geht nur ein technischer Hinweis ohne Text raus; den Text holt die App danach direkt bei uns. Auf Android legt Firebase Cloud Messaging (Google) dafür eine Installations-Kennung für die App an. Ruhezeiten und Push aus regelst du im Profil.
• Mitteilungen: Was als Push kommt (außer Chat), steht auch in der Liste „Mitteilungen“, 30 Tage lang.
• „In deinen Gruppen“: Was in deinen Gruppen passiert (z. B. „Kim ist dabei“), 24 Stunden sichtbar, nach 7 Tagen gelöscht.

Heute-Widget (App)

Legst du das Widget auf den Startbildschirm, holt es seine Zeilen mit einem eigenen Schlüssel pro Gerät. Bei uns liegt davon nur eine Prüfsumme (SHA-256); der Schlüssel taugt nur für das Widget. Unbenutzte Schlüssel löschen wir nach 60 Tagen, beim Abmelden sofort. Auf dem iPhone liegt der Schlüssel in einem Speicher, den App und Widget gemeinsam nutzen (App Group), und das Widget merkt sich den letzten Stand. Was das Widget zeigt (z. B. Titel, Zeit, Gesichter, wer Zeit hat), sieht jede Person, die deinen Startbildschirm sieht.

Leute einladen

Lädst du jemanden per E-Mail in eine Gruppe ein, schicken wir dieser Person eine Mail mit deinem Namen, dem Gruppennamen und einem persönlichen Link (gilt 14 Tage). Die Adresse speichern wir nicht, nur eine Prüfsumme (HMAC) pro Gruppe, damit niemand doppelt eingeladen wird; vom Link nur eine Prüfsumme. Ob es zur Adresse ein Konto gibt, verraten wir dir nicht. Lehnt jemand ab, merken wir uns das 30 Tage, damit keine neue Einladung kommt. Die Mail enthält keine Werbung.

Unten in jeder Einladungsmail steht „Keine Einladungen mehr an diese Adresse?“. Damit (oder mit dem Abmelden-Knopf deines Mail-Programms) bekommt die Adresse keine Einladungen mehr, aus keiner Gruppe. Dafür speichern wir wieder nur eine Prüfsumme der Adresse, solange die Abmeldung gilt. Wer einlädt, erfährt davon nichts.

Freunde einladen und Plus

• Freunde einladen: Über deinen persönlichen Link merken wir uns, wer wen zu Flaniero gebracht hat und ob die neue Person bei einer Runde dabei war, für die Plus-Monate. Damit jede Adresse nur einmal zählt, auch nach Löschen und neuem Konto, behalten wir von ihr nur eine Prüfsumme (HMAC). Sie bleibt auch nach dem Löschen deines Kontos, damit Plus-Monate nicht mehrfach erschlichen werden; die Adresse lässt sich daraus nicht zurückrechnen.
• Plus: Ob und bis wann du Plus hast, Plus-Monate aus Einladungen. Das Zeichen „Unterstützt Flaniero“ sehen andere nur, wenn du es einschaltest. Bezahlen kann man Plus in der Beta nicht; kommt das später, ergänzen wir hier den Zahlungsanbieter.

„In deiner Gegend“: offene Runden und Angebote von Lokalen (Werbung)

• Der Bereich ist aus, bis du ihn einschaltest, und du kannst ihn jederzeit wieder ausschalten. Er zeigt auf der Piazza zwei Dinge: offene Runden von Leuten aus der Gegend, die du (noch) nicht kennst, und Einträge von Lokalen. Die Einträge von Lokalen sind als Werbung gekennzeichnet und stehen nie im Feed deiner Gruppen.
• Offene Runden aus der Gegend: Was du dort siehst und was andere von dir sehen, wenn du selbst eine Runde öffnest oder anfragst, steht oben unter „Wer eine Aktivität sieht“. Fragst du an, sieht wer gepostet hat, wie viele Runden du hattest, seit wann du dabei bist und wen aus der Runde du kennst. Wer gepostet hat, bekommt dazu einen Push. Du kannst höchstens 10 offene Anfragen haben. Melden und Blockieren gehen auch gegenüber Leuten aus der Gegend.
• Ort: Entweder dein Standort bei jeder Abfrage (auf etwa 1 km gerundet, nicht gespeichert) oder eine feste Gegend, die wir auf etwa 1 km gerundet in deinem Konto speichern, bis du sie änderst oder auf deinen Standort umstellst. Gezeigt wird, was im Umkreis von 10 km gerade läuft oder bald beginnt, bei offenen Runden die nächsten 7 Tage.
• Geburtsdatum (freiwillig): Damit zeigen wir dir Einträge, die zu deinem Alter passen, und solche mit Alkohol erst ab 18, ebenso offene Runden zum Trinken oder Feiern (Kategorien Drinks und Party). Ohne Geburtsdatum siehst du alles außer Einträgen mit Alkohol und solchen Runden. Es sieht niemand außer dir, auch nicht die Lokale; sie erfahren weder dein Alter noch, ob du einen Eintrag sehen darfst. Einmal kannst du es selbst korrigieren, danach über flaniero@proton.me.
• Ansichten, Folgen, Einlösen: Öffnest du einen Eintrag, merken wir uns das einmal pro Person, damit das Lokal eine Zahl sieht; nach 90 Tagen löschen wir es. Folgst du einem Lokal, bekommst du höchstens 3 Push pro Woche zu neuen Einträgen. Löst eure Runde einen Rabatt ein, speichern wir, wann und für welche Aktivität. Das Lokal sieht nur Zahlen (Ansichten, Runden, Zusagen, Einlösungen), beim Einlösen den Vornamen von wer gepostet hat und wie viele zugesagt haben, nie wer sich etwas angesehen hat oder folgt.

Wenn du ein Lokal einträgst

Für die Prüfung speichern wir Name und Ort des Lokals, Firmenwortlaut, UID-Nummer (falls angegeben), Website, deine Nachricht an uns und unsere Entscheidung mit Begründung. Personal, das du einlädst, kann nur Rabatt-Codes prüfen und einlösen.

Vereine

• Ein Verein ist eine private Gruppe mit Vorstand. Bei der Gründung prüfen wir ihn; dafür sehen wir Name, Beschreibung, ZVR-Zahl (falls angegeben) und die E-Mail-Adresse von wer gegründet hat.
• Der Vorstand verschickt Ankündigungen (mit Bild oder PDF), sieht, wie viele sie gelesen haben (nur als Zahl, ohne Namen), und führt Mitgliedsbeiträge: Kategorie, Betrag, offen, „bezahlt gemeldet“ oder bezahlt. Das Vereinskonto (Kontoinhaber, IBAN) speichern wir verschlüsselt; Mitglieder sehen es bei ihrem Beitrag. Der Vorstand kann die Beiträge als CSV herunterladen, z. B. für die Rechnungsprüfung.
• Für die Mitgliederdaten und Beiträge im Verein ist der Verein verantwortlich. Wir verarbeiten sie in seinem Auftrag (Art. 28 DSGVO); die Vereinbarung dazu steht in den Nutzungsbedingungen für Vereine. Fragen dazu richtest du am besten an den Vorstand.

Melden, Blockieren, Moderation

Du kannst Nachrichten, Fotos, Personen, Angebote, Lokale, Ankündigungen und Vereine melden. Wir speichern die Meldung mit Grund, deinem Text und bei Nachrichten den Wortlaut zum Zeitpunkt der Meldung, damit wir sie beurteilen können. Wir bekommen dazu eine Mail ohne Inhalte. Entscheidungen (verwerfen, entfernen, sperren) protokollieren wir mit Notiz. Löschst du dein Konto, bleibt deine Meldung ohne deinen Namen. Erledigte Meldungen und das Protokoll löschen wir 2 Jahre nach der Entscheidung; ist ein Konto noch gesperrt, bleibt das Protokoll dazu, solange die Sperre gilt. Blockierst du jemanden, siehst du die Person nicht mehr im Chat, bei Fotos, in Push und Mitteilungen; gemeinsame Aktivitäten und Geld bleiben sichtbar.

Feedback

Bei „Was fehlt dir?“ speichern wir deinen Text, ein optionales Bild, ob App oder Web-App, die Version, eine grobe Geräteart (z. B. „iPhone“, ohne Modell oder Kennung) und die Seite, von der du kommst. Wir bekommen dazu eine Mail ohne deinen Text. Feedback samt Bild löschen wir 2 Jahre nach dem Eingang, mit deinem Konto auch früher.

Nutzungszahlen

Um zu sehen, ob Flaniero hilft, zählen wir Summen pro Woche (z. B. wie viele Gruppen sich getroffen haben). Das rechnen wir aus vorhandenen Daten; wo das nicht geht, zählen wir nur eine Zahl pro Tag, ohne Bezug zu Personen.

Technik und Sicherheit

Unser Webserver schreibt keine Zugriffsprotokolle mit IP-Adressen. Fehlerprotokolle haben eine feste Größe und werden laufend überschrieben. Datenbank und Bilder sichern wir täglich verschlüsselt in eine Storage Box von Hetzner in Deutschland. Ist dein Konto gesperrt, gilt keine Anmeldung mehr.

Stürzt Flaniero ab oder läuft etwas unerwartet schief, schicken Web und App einen Fehlerbericht an unseren eigenen Server: Art des Fehlers, die technische Stelle im Programm, die Seite ohne Adresszusätze, die Version und grob Browser bzw. Gerät (z. B. „Chrome · Android“). Vorher entfernen wir E-Mail-Adressen, Kennungen und lange Zahlen. Gespeichert wird nicht, wer es war, und keine IP-Adresse. Gleiche Fehler zählen wir zusammen und löschen sie 90 Tage nach dem letzten Auftreten. Nur wir sehen sie, um Fehler zu beheben. Damit niemand uns mit Berichten überflutet, zählen wir sie pro Internet-Anschluss, die IP nur als Prüfsumme und nur 10 Minuten lang.

Rechtsgrundlagen

• Vertrag (Art. 6 Abs. 1 lit. b DSGVO): alles, was Flaniero für dich tut, wenn du es nutzt: Konto, Gruppen, Aktivitäten samt „Wer sieht das?“, Chat, Fotos, Kosten, Wege zum Geld, Sprit, Gäste und Runden ohne Konto, Teilen an Flaniero, Wetter, Kalender, Erinnerungen, Widget, Plus, Vereine. Die Warteliste der Beta führen wir auf deine Anfrage vor einem möglichen Vertrag (ebenfalls lit. b).
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Push und Standort, die du über Browser bzw. Betriebssystem gibst und dort jederzeit widerrufst, und „In deiner Gegend“ samt Geburtsdatum und offenen Runden aus der Gegend, die du mit dem Einschalten gibst und mit dem Ausschalten widerrufst.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Sicherheit und Schutz vor Missbrauch (Limits, Prüfsummen), Meldungen und Moderation, Prüfung von Lokalen und Vereinen, Voraussetzungen und Grenzen für Runden aus der Gegend, Einträge mit Alkohol und Runden zum Trinken oder Feiern erst ab 18 (Jugendschutz), Nutzungszahlen ohne Personenbezug, Einladungsmails im Auftrag eines Mitglieds und deren Abmeldeliste, Prüfsummen gegen mehrfache Plus-Prämien, Backups.
• Rechtliche Pflicht (Art. 6 Abs. 1 lit. c DSGVO): wenn ein Gesetz uns zur Aufbewahrung oder Auskunft verpflichtet.

Was du angeben musst

Für ein Konto brauchen wir deine E-Mail-Adresse (zum Anmelden) und einen Namen (damit dich deine Gruppen erkennen); ohne sie geht kein Konto. Ohne Konto brauchen wir für eine Zusage, eine Begleitung, eine Stimme oder eine Runde nur einen Namen. Alles andere ist freiwillig: Profilbild, Geburtsdatum, Standort, Push, Wege zum Geld, Kalender, Passkeys und was du einträgst. Fehlt etwas davon, gehen nur die Funktionen nicht, die es brauchen.

Keine automatisierten Entscheidungen

Flaniero rechnet manches automatisch aus, zum Beispiel ob eine Bedingung wie „wenn's schön ist“ nach der Wettervorhersage erfüllt ist, wer von der Warteliste nachrückt, einen Spritbetrag aus Kilometern und Satz oder eine Saison-Tabelle. Das sind feste Regeln, die ihr selbst wählt. Wir treffen damit keine Entscheidungen im Sinn von Art. 22 DSGVO, die dir gegenüber rechtliche Wirkung haben oder dich ähnlich erheblich beeinträchtigen, und wir bilden kein Profil über dich.

Wer bekommt deine Daten?

Andere Personen in Flaniero

• Deine Gruppen: Mitglieder sehen deinen Namen, dein Profilbild und was du in der Gruppe postest, schreibst und einträgst. Mit Plus zeigt die Gruppenstatistik die drei Mitglieder mit den meisten Zusagen.
• Leute in einer Aktivität, auch über einen Link dazugekommene, sehen diese Aktivität mit Runde, Bedingungen, Begleitungen, Chat und Fotos.
• Bekannte und Leute aus der Gegend sehen eine Aktivität nur, wenn du sie dafür öffnest, und dann nur das, was oben unter „Wer eine Aktivität sieht“ steht. Wer einen Aktivitäts-Link hat, sieht die Vorschau und kann dazukommen.
• Geld: Beteiligte sehen Ausgaben und Zahlungen ihrer Gruppe, deine Wege zum Geld nur, wer dir gerade etwas überweisen soll.
• Lokale sehen nur Zahlen, siehe oben.

Dienstleister (Auftragsverarbeiter)

• Hosting: Contabo GmbH, München, Rechenzentrum in Nürnberg, Deutschland. Dort liegen Datenbank und Bilder auf unserem Server.
• Backups: Hetzner Online GmbH, Gunzenhausen, Deutschland. Die Backups liegen verschlüsselt in einer Storage Box; Hetzner kann sie nicht lesen.
• E-Mail-Versand: Lettermint, Niederlande, für Anmelde- und Lösch-Codes, Einladungen in Gruppen, „Du bist dabei“-Mails aus der Beta-Warteliste und Hinweise an uns. Wir messen nicht, ob du Mails öffnest oder Links anklickst.
• Push in der App: auf Android Firebase Cloud Messaging (Google), auf dem iPhone der Apple Push Notification Service. Beide erhalten nur ein Gerät-Token und einen Hinweis ohne Inhalt; auf Android legt Firebase dazu eine Installations-Kennung an.
• Push im Browser: der Push-Dienst deines Browsers (z. B. Google, Mozilla, Apple, Microsoft), den der Hersteller deines Browsers betreibt. Er sieht nur verschlüsselte Nachrichten und eine Adresse für dein Gerät.

Weitere Empfänger

• Wetter: GeoSphere Austria und MET Norway erhalten nur gerundete Orte (Aktivitäten, Umfragen, Tageskopf), ohne Personenbezug.
• Kalender: Beim Lücken-Finder ruft unser Server deinen Kalender-Link bei deinem Kalender-Anbieter ab. Beim Kalender-Abo ruft dein Kalender-Anbieter unseren Link ab.
• Google Maps: nur, wenn du „In Google Maps öffnen“ antippst.
• Geteilte Seiten: Beim Teilen an Flaniero ruft unser Server die Seite des Links ab; sie sieht dabei unseren Server, nicht dich.
• Google-Play-Dienste: nur auf Android und nur für „Fragen, wenn ich gehe?“.
• Behörden nur, wenn wir gesetzlich dazu verpflichtet sind.

Selbst betrieben

Karten (auf Basis von OpenStreetMap), Ortssuche (Photon), Routen (OSRM) und die Live-Verbindung für Chat und Spielstände (Centrifugo) laufen auf unserem Server, ohne externe Kartendienste. Schriften liegen bei uns. Die App enthält keine Analyse- oder Werbe-Bausteine; von Firebase nutzen wir nur den Push-Kanal, von den Google-Play-Diensten nur die Geofences.

Übermittlung außerhalb der EU

Google (für Push und Geofences in der App), Apple und manche Browser-Push-Dienste können Daten auch in den USA verarbeiten. Das stützt sich auf das EU-US Data Privacy Framework bzw. Standardvertragsklauseln. MET Norway sitzt in Norwegen (EWR) und bekommt keine personenbezogenen Daten.

Cookies und Speicher im Browser

Wir setzen nur ein technisch nötiges Cookie, das dich angemeldet hält. Das kurzlebige Anmelde-Token liegt in der Web-App nur im Arbeitsspeicher der Seite. Im Speicher deines Browsers bzw. der App liegt nur, was technisch nötig ist oder was du selbst so willst:

• Einstellungen wie Hell/Dunkel, Filter, Ansicht und zuletzt gewählte Gruppe,
• gesehene oder weggeklickte Hinweise,
• deine ungefähre Gegend (etwa 10 km), damit Suche und Karte passen,
• Zugänge als Gast und zu Runden ohne Konto und der Name, den du dort angegeben hast, damit du ihn nicht jedes Mal tippen musst.

Einen Freunde-Code aus einem Einladungslink speichern wir nicht im Browser: Er steht in der Adresse und bleibt nur, solange die Seite offen ist. Meldest du dich an, geht er einmal an uns, damit die Plus-Monate der einladenden Person zählen.

Der Service Worker speichert die Dateien der Web-App und Kartenausschnitte, damit sie schnell laden; Daten aus unserer Schnittstelle speichert er nicht. Keine Analyse- oder Werbe-Cookies, deshalb fragen wir auch nicht nach einer Zustimmung dafür.

Wie lange?

• Anmelde- und Lösch-Codes samt Prüfsumme der IP-Adresse: 1 Tag
• Sitzungen: gelten 30 Tage, gelöscht 7 Tage nach Ablauf
• Chat-Nachrichten: 30 Tage nach Ende der Aktivität
• Mitteilungen: 30 Tage
• Einträge in „In deinen Gruppen“: 7 Tage
• „Wann bist du da?“, geschätzte Ankunft, Abhol- und Startpunkte, „Brauche Mitfahrt“: 1 Stunde nach Ende der Aktivität
• „Wer hat Zeit“: bis zur Nacht nach dem Tag
• Einladungen in Gruppen: bis sie ablaufen (14 Tage), Ablehnungen 30 Tage
• Abmeldung von Einladungsmails: bis du sie zurücknimmst
• „Später“ und Weggeklicktes in „Fragen an dich“: 90 Tage
• Anfragen über Aktivitäts-Links: 7 Tage nach Ende der Aktivität
• „Diesmal nicht“ bei offenen Runden: 7 Tage nach Ende der Runde
• „Von … nicht mehr zeigen“: bis du es zurücknimmst
• Wann du eine Runde für die Gegend geöffnet hast: 7 Tage
• Runden ohne Konto, die niemand übernommen hat: 7 Tage nach dem Ende (mit Geld in der Abrechnung bleiben sie)
• Beta-Warteliste (Adresse) und Freigaben (Prüfsumme): 90 Tage, mit deinem Konto sofort gelöscht
• Widget-Schlüssel (Prüfsumme): 60 Tage nach der letzten Nutzung, beim Abmelden sofort
• Zähler gegen Missbrauch mit Prüfsumme der IP-Adresse: Runden ohne Konto starten 8 Tage, Warteliste und Stimmen ohne Konto 1 Tag, Fehlerberichte 10 Minuten, geöffnete Links 1 Tag (nur im Arbeitsspeicher); andere Zähler pro Konto 1 Tag. Abgelaufene Zähler löschen wir in der Nacht danach.
• Gäste, die sich über einen Link selbst angelegt haben: 7 Tage nach ihrem letzten Termin, wenn sie in keiner Abrechnung stehen
• Abgesagte Aktivitäten im Kalender-Abo: 7 Tage
• Belegte Zeiten aus dem Lücken-Finder: werden bei jedem Abruf ersetzt, höchstens 30 Tage voraus
• Gezeigte „Wieder mal?“-Karten: 60 Tage
• Ansichten von Angeboten: 90 Tage
• Fehlerberichte: 90 Tage nach dem letzten Auftreten
• Feedback samt Bild: 2 Jahre nach dem Eingang
• Abgesagte Aktivitäten: sofort gelöscht samt Fotos (Ausgaben bleiben an der Gruppe)
• Konto, Gruppen, Aktivitäten, Umfragen, Fotos, Kosten, Wege zum Geld, Kalender-Links, Geburtsdatum, feste Gegend: bis du sie löschst bzw. dein Konto löschst
• Erledigte Meldungen und Moderationsprotokoll: 2 Jahre nach der Entscheidung, bei noch gesperrten Konten so lange wie die Sperre
• Backups: täglich, wöchentlich und monatlich, die ältesten nach 6 Monaten. Gelöschtes kann bis dahin noch in einer Sicherung stehen und wird nur für eine Wiederherstellung genutzt.

Konto löschen und Daten herunterladen

• Herunterladen: Im Profil unter „Meine Daten herunterladen“ bekommst du alle Daten zu deinem Konto als Datei.
• Löschen: Im Profil unter „Konto löschen“, mit einem Code per Mail. Vorher siehst du, was passiert. Offene Beträge und unbestätigte Zahlungen müssen erst erledigt sein.
• Wir löschen deine E-Mail-Adresse, Profil, Passkeys, Sitzungen, Geräte, Chat-Nachrichten, Fotos, Reaktionen, Ankündigungen, Wege zum Geld, Kalender-Links, Feedback und kommende Aktivitäten (die sagen wir ab). Deine Lokale samt Einträgen gehen mit.
• Was andere brauchen, bleibt ohne deinen Namen als „Gelöschtes Konto“: Ausgaben, Rückzahlungen, Zahlungen, Mitgliedsbeiträge und vergangene Aktivitäten, damit Salden und Verlauf der anderen stimmen. Bist du einziger Admin einer Gruppe, wird die Person Admin, die am längsten dabei ist; bist du das letzte Mitglied, löschen wir die Gruppe.

Deine Rechte

• Auskunft und Datenübertragbarkeit: siehe „Meine Daten herunterladen“.
• Löschen: siehe „Konto löschen“.
• Berichtigung und Einschränkung.
• Widerruf von Einwilligungen, jederzeit und für die Zukunft.
• Beschwerde bei der Österreichischen Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, dsb.gv.at.

Dein Widerspruchsrecht (Art. 21 DSGVO): Verarbeiten wir Daten aus berechtigtem Interesse (siehe Rechtsgrundlagen), kannst du dem jederzeit aus Gründen widersprechen, die sich aus deiner besonderen Situation ergeben. Dann hören wir damit auf, außer wir haben zwingende schutzwürdige Gründe, die deine Interessen überwiegen, oder wir brauchen die Daten, um Rechtsansprüche geltend zu machen oder abzuwehren. Schreib dafür an flaniero@proton.me.

Für alles andere schreib uns an flaniero@proton.me.

Mindestalter

Flaniero ist ab 16 Jahren. Gibst du ein Geburtsdatum an, prüfen wir es nur auf dieses Mindestalter und für „In deiner Gegend“: Einträge mit Alkohol und offene Runden zum Trinken oder Feiern zeigen wir erst ab 18.

Änderungen

Kommt etwas dazu, passen wir diese Seite an und sagen es dir in der App, wenn es dich betrifft. Was du mit Flaniero vereinbarst, steht in den Nutzungsbedingungen.