Datenschutz­erklärung

2.1 Server-Logfiles (Vercel)

Beim Aufruf unserer Website überträgt dein Browser automatisch Daten an unseren Hosting-Anbieter Vercel Inc. Diese umfassen: IP-Adresse (anonymisiert), Datum und Uhrzeit des Zugriffs, aufgerufene URL, HTTP-Statuscode, übertragene Datenmenge, Browsertyp und -version sowie Betriebssystem.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und störungsfreien Betrieb der Website). Die Logs werden nach spätestens 30 Tagen automatisch gelöscht.

2.2 Warteliste und Empfehlungen

Wenn du dich in unsere Warteliste einträgst, verarbeiten wir deine E-Mail-Adresse, optional deinen Vornamen, die Sprache, in der du dich angemeldet hast, und den Zeitpunkt der Anmeldung (bei älteren Einträgen auch die damals abgefragte Hochschule). Kommst du über einen Kampagnen- oder Empfehlungslink, speichern wir außerdem die Kampagnen-Parameter des Links (UTM-Parameter, z. B. Quelle und Kampagne) und den Empfehlungscode der Person, die dich eingeladen hat. Die Daten liegen in unserer Datenbank (Supabase, EU-Region Frankfurt).

Deine Anmeldung gilt erst, wenn du sie über den Link in unserer Bestätigungs-Mail bestätigst (Double-Opt-in; der Link ist 72 Stunden gültig). Als Nachweis speichern wir dann den Zeitpunkt der Bestätigung, die Version des Einwilligungstexts und einen mit geheimem Schlüssel gebildeten Hashwert deiner IP-Adresse, nicht die IP-Adresse selbst. Außerdem halten wir fest, wann wir dir welche Mail geschickt haben.

Deinen persönlichen Empfehlungslink zeigen wir dir direkt nach dem Absenden an; nach der Bestätigung schicken wir ihn dir auch per Mail. Wir zählen, wie viele Personen sich über deinen Link eintragen; wer viele Freunde einlädt, kann früher Zugang zur App bekommen. Welche Mails du von uns bekommst, steht in Abschnitt 2.6.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Du kannst sie jederzeit widerrufen, über den Abmelde-Link in jeder Mail oder per E-Mail an hello@s-up.social. Wir speichern die Daten, bis du die Löschung verlangst. Das gilt auch für Anmeldungen, die nicht bestätigt wurden; an sie schicken wir aber keine weiteren Mails. Nach einer Abmeldung, einem dauerhaften Zustellfehler oder einer Spam-Beschwerde bleibt dein Eintrag mit dem Zeitpunkt der Abmeldung gespeichert, damit du keine weiteren Mails bekommst und bei einer erneuten Anmeldung deinen bisherigen Platz behältst (Art. 6 Abs. 1 lit. f DSGVO). Auf Wunsch löschen wir ihn vollständig.

2.3 Kontaktaufnahme per E-Mail

Wenn du uns per E-Mail kontaktierst, verarbeiten wir die von dir übermittelten Daten (Name, E-Mail-Adresse, Nachricht) zur Bearbeitung deiner Anfrage. E-Mails an unsere Postfächer (z. B. hello@s-up.social) werden bei unserem Mail-Hosting-Anbieter Strato AG (Berlin, Deutschland) verarbeitet und gespeichert; mit Strato besteht ein Auftragsverarbeitungsvertrag. Für die Terminbuchung eines Kennenlern-Gesprächs siehe Abschnitt 2.9.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Wir bewahren die Korrespondenz auf, solange sie für die Bearbeitung deiner Anfrage erforderlich ist; danach wird sie im Rahmen unseres Löschkonzepts entfernt, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.

2.4 BOB AI-Chatbot

Auf der Website ist BOB, ein KI-gestützter Assistent, verfügbar. Wenn du BOB nutzt, werden deine Chat-Nachrichten zur Verarbeitung an Mistral AI (Sitz: Paris, Frankreich; EU) übermittelt. Eine laufende serverseitige Speicherung der Chats findet nicht statt: Der Verlauf existiert nur in deinem Browser während der laufenden Sitzung, und pro Anfrage werden lediglich die letzten Nachrichten des aktuellen Gesprächs zur Kontext-Verarbeitung mitgesendet. Ausnahme: Wenn du eine Antwort bewertest (Daumen hoch/runter) oder unsere automatische Qualitätserkennung eine deutliche Unzufriedenheits-Reaktion erkennt, speichern wir den betreffenden Austausch (deine Nachricht, BOBs Antwort und bis zu vier vorherige Nachrichten) zur Qualitätsverbesserung.

Verarbeitete Daten: Chat-Inhalt (Text), technische Metadaten der Anfrage. BOB startet nur, wenn du das Chat-Fenster aktiv öffnest und selbst eine Nachricht sendest. Zur Nutzung von BOB in der S'Up-App (inkl. Sprachmodus) siehe Abschnitt 3.5.

Hast du im Cookie-Banner „Alle akzeptieren“ gewählt oder BOB deinen Vornamen genannt, schickt die Website beim Chatten außerdem ein kurzes Besuchsprofil aus deinem Browser mit: erster und letzter Besuch, Anzahl der Besuche und Chats und gegebenenfalls deinen Vornamen. Damit kann BOB dich wiedererkennen und passend antworten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der von dir aktiv genutzten Funktion) bzw. Art. 6 Abs. 1 lit. f DSGVO. Mit Mistral besteht ein Auftragsverarbeitungsvertrag (DPA) gem. Art. 28 DSGVO. Daten werden nicht zum Training öffentlicher Modelle verwendet.

2.5 Personalisierung („Aus deiner Nutzung lernen“)

In der S'Up-App kannst du optional die personalisierte Vorschlags-Funktion aktivieren („Aus deiner Nutzung lernen (Feed, Discover & BOB)“). Sie ist standardmäßig aus. Wenn du sie einschaltest (Einwilligung), leiten wir aus deinen Interaktionen grobe Interessen-Gewichte je Aktivitäts-Kategorie ab (z. B. Sport, Essen, Musik), um dir bessere Vorschläge in Feed, Discover und BOB zu zeigen. Grundlage sind Likes, Kommentare und Verweildauer im Feed sowie Zusagen und gespeicherte Events in Discover. Aus diesen Discover-Signalen speichern wir für die Personalisierung nur Kategorie, Art des Signals und Zeitpunkt, keine Event-IDs. Ohne aktivierte Funktion wird die Verweildauer serverseitig verworfen und nicht gespeichert (gesehene Beiträge werden unabhängig davon technisch vermerkt, ohne Verweildauer).

Anzeige-Daten aus Discover: Um die Vorschläge weiterzuentwickeln, speichern wir mit dieser Einwilligung außerdem bis zu 12 Monate, welche Events dir in Discover angezeigt wurden. Für jedes Event und jeden Tag halten wir die erste Anzeige fest: Bereich der App (Liste, Suche oder Karte), Position, Kategorie, ob es ein S'Up-Event oder ein Event aus einer externen Quelle ist, ob es zu deinen Interessen passt, das bisherige Gewicht und den Punktwert der Sortierung, ob es eine bezahlte Platzierung ist, die ungefähre Entfernung in vier Stufen (unter 3 km, unter 10 km, unter 25 km oder ab 25 km), Preis, Vorlauf bis zum Event, Wochentag und Stunde des Event-Beginns und ob du das Event zu diesem Zeitpunkt schon gespeichert oder zugesagt hattest. Den Zeitpunkt der Anzeige speichern wir nur auf die Stunde genau. Dazu kommt, ob du das Event danach geöffnet hast, wie lange du es angesehen hast und ob du es gespeichert, zugesagt, wieder entfernt oder abgesagt hast. Standorte und Koordinaten speichern wir nicht. Mit diesen Daten wollen wir später ein Verfahren entwickeln und trainieren, das die Reihenfolge der Vorschläge in Discover verbessert. Hast du die Funktion mit einer älteren App-Version eingeschaltet, erfassen wir Anzeige-Daten erst, nachdem du der erweiterten Einwilligung in einer aktuellen App-Version zugestimmt hast.

• Datenminimierung: Für die Personalisierung selbst nutzen wir nur die aggregierten Kategorie-Gewichte. Die Anzeige-Daten enthalten keine Standorte, und den Zeitpunkt der Anzeige speichern wir nur auf die Stunde genau.
• Es werden keine sensiblen Daten (Art. 9 DSGVO) abgeleitet.
• Speicherdauer: Discover-Signale und die Verweildauer im Feed werden nach 60 Tagen automatisch gelöscht, die Anzeige-Daten einschließlich der Ansehdauer in Discover nach 12 Monaten. Die gelernten Kategorie-Gewichte werden täglich neu berechnet.
• Widerruf jederzeit in den Datenschutz-Einstellungen der App. Er löscht sofort dein gelerntes Profil, deine Discover-Signale, die Verweildauer und die Anzeige-Daten. Likes und Kommentare bleiben als deine Beiträge bestehen, werden aber nicht mehr zur Personalisierung ausgewertet.
• Keine automatisierte Entscheidung mit Rechtswirkung (Art. 22 DSGVO): Die Funktion sortiert lediglich Vorschläge.
• Keine Weitergabe an Dritte, keine Werbung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Die Verarbeitung ist standardmäßig deaktiviert; bei Widerruf werden das gelernte Profil und die genannten Daten serverseitig sofort und vollständig gelöscht.

Abgrenzung: Die Reihenfolge des öffentlichen Feeds (Ranking nach deinen angegebenen Interessen, Freundschaften und öffentlicher Beliebtheit) ist Teil des Kerndienstes (Art. 6 Abs. 1 lit. b bzw. f DSGVO) und unabhängig von dieser Einwilligung. Nur die aus deinem Verhalten gelernte Personalisierung ist optional und einwilligungsbasiert.

2.6 E-Mails an die Warteliste

Nach deiner Bestätigung schicken wir dir über unseren Versanddienst Resend eine Willkommens-Mail und danach eine automatische Mail-Serie mit Einblicken und dem Stand der Entwicklung (etwa 7, 14, 30 und 60 Tage nach der Anmeldung). Dazu kommen einzelne Mails zu besonderen Anlässen, zum Beispiel eine Einladung zum Testen der App, die Ankündigung des Starts im App Store oder ein Überblick über neue Blogartikel. Die Mails kommen in der Sprache deiner Anmeldung; die Mails der Serie sprechen dich mit Vornamen an, wenn du ihn angegeben hast. Bei dauerhaften Zustellfehlern oder Spam-Beschwerden nehmen wir deine Adresse automatisch aus dem Versand.

Jede dieser Mails enthält einen Abmelde-Link, der mit einem Klick wirkt. Der Link ist 365 Tage gültig; danach kannst du dich jederzeit per E-Mail an hello@s-up.social abmelden. Nach der Abmeldung bekommst du keine dieser Mails mehr. Mails, die für die Nutzung nötig sind (z. B. Bestätigung der Anmeldung, Login-Bestätigung, Passwort zurücksetzen), sind davon ausgenommen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung bei der Anmeldung zur Warteliste) bzw. Art. 6 Abs. 1 lit. b DSGVO für die Mails, die für die Nutzung nötig sind.

2.7 Freunde einladen (Einladungslink und -code)

In der S'Up-App kannst du Freunde über einen persönlichen Einladungslink bzw. Einladungscode einladen. Die Nutzung dieser Funktion ist freiwillig; niemand muss Einladungen versenden oder einen Code eingeben. Registriert sich eine eingeladene Person erfolgreich über deinen Link oder Code, speichern wir die Beziehung zwischen einladender und eingeladener Person in unserer Datenbank (Supabase, EU-Region Frankfurt): die Nutzer-IDs beider Konten, den verwendeten Einladungscode, den Zeitpunkt sowie den Status der Einladung. Zweck der Verarbeitung ist die Freischaltung der Vorteile für beide Seiten sowie die Vermeidung von Missbrauch (z. B. Selbst-Einladungen oder automatisierte Registrierungen).

Wird die eingeladene Person aktiv (z. B. eigenes Event angelegt, einem Event zugesagt oder ein Event gebucht), vermerken wir das mit Datum und benachrichtigen die einladende Person per Push mit dem Namen der eingeladenen Person. In der App sieht die einladende Person außerdem, wie viele ihrer Einladungen angemeldet und aktiv sind. Bis einschließlich 02.08.2026 erhielten dabei beide Konten das Abzeichen „Gründungsmitglied“. Wir speichern es mit dem Datum der Vergabe; in der App zeigen wir es nur dir selbst in deinem Profil an.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung, Bereitstellung der Einladungsfunktion) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Vermeidung von Missbrauch). Die Daten werden mit der Löschung deines Accounts automatisch mitgelöscht.

2.8 Foto-Galerie zu Veranstaltungen (z. B. /party)

Zu einzelnen Veranstaltungen bieten wir eine Foto-Galerie an. Bis zum 11.10.2026 konnten Besucher dort Aufnahmen hochladen, auch ohne Account. Seitdem ist kein Upload mehr möglich. Jeder Upload wurde vor Veröffentlichung automatisiert auf unzulässige Inhalte geprüft (Microsoft PhotoDNA und Sightengine, siehe Abschnitt 5) und erst nach Freigabe öffentlich angezeigt. Beim Upload konnte optional eine E-Mail-Adresse angegeben werden (z. B. für einen Wartelisten-Vorteil); zur Missbrauchsvermeidung haben wir zudem technische Kennzeichen verarbeitet (u. a. einen gehashten IP-Wert als Rate-Limit-Schutz). Die freigegebenen Fotos bleiben in der Galerie sichtbar und können dort angesehen und gespeichert werden.

Abgebildete Personen: Bei Aufnahmen von öffentlichen Veranstaltungen können Dritte abgebildet sein. Eine individuelle Information aller Abgebildeten ist uns nicht möglich (Art. 14 Abs. 5 lit. b DSGVO). Diese Datenschutzerklärung ist die Ersatzinformation. Wenn du auf einem Foto zu sehen bist und die Entfernung wünschst, schreib an hello@s-up.social. Wir entfernen das Bild dann kurzfristig.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (freiwilliger Upload) bzw. Art. 6 Abs. 1 lit. f DSGVO (Galerie zu einer öffentlichen Veranstaltung, Abwägung unter Berücksichtigung von § 23 KunstUrhG); Moderation: Art. 6 Abs. 1 lit. c/f DSGVO.

2.9 Online-Terminbuchung (meetergo)

Für Unternehmen bieten wir auf der Business-Seite (/for-business) die Buchung eines kostenlosen Kennenlern-Gesprächs an. Dafür setzen wir meetergo ein (meetergo GmbH, Hauptstraße 44, 40789 Monheim am Rhein, Deutschland). Die Buchung läuft auf der Buchungsseite von meetergo, die sich in einem neuen Tab öffnet. Wenn du einen Termin buchst, verarbeiten wir deinen Vornamen, deinen Nachnamen, deine E-Mail-Adresse und den von dir gewählten Termin, um das Gespräch zu vereinbaren und durchzuführen. Beim Aufruf der Buchungsseite verarbeitet meetergo außerdem technische Daten wie deine IP-Adresse und Angaben zu deinem Browser. Ein Feld für eine Nachricht gibt es nicht.

Das Gespräch findet als Videocall über meetergo Connect statt, die in meetergo eingebaute Videokonferenz-Funktion. Sie läuft auf Servern der Hetzner Online GmbH in Deutschland. Einen externen Kalender haben wir an meetergo nicht angebunden. Mit meetergo besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen), wenn du den Termin für dich selbst buchst. Buchst du im Auftrag eines Unternehmens, ist die Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, mit Unternehmen über unser Angebot zu sprechen). Eine Einwilligung holen wir über die Buchungsmaske nicht ein. Wir bewahren die Termindaten auf, solange sie für die Bearbeitung erforderlich sind, und entfernen sie im Rahmen unseres Löschkonzepts.

2.10 Business-Konto für Veranstalter

Veranstalter können auf dieser Website ein Business-Konto anlegen, um Events in der S'Up-App zu veröffentlichen. Dafür verarbeiten wir die E-Mail-Adresse deines Kontos und die Angaben, die du im Dashboard machst: Name, Art, Beschreibung und Kategorien deines Betriebs, den Kurznamen für deine Profiladresse, Kontaktdaten (Adresse, Telefon, Website, Instagram-Profil), Logo, Titelbild, Öffnungszeiten und deine Einstellungen zur Zielgruppe (z. B. Zielgruppentyp, Umkreis, Hochschulen, Altersspanne). Dazu kommen der gewählte Tarif, der Stand der Einrichtung und das Ende der Testphase. Hochgeladene Logos und Titelbilder werden vor der Veröffentlichung automatisch auf unzulässige Inhalte geprüft (Microsoft PhotoDNA und Sightengine, siehe Abschnitt 5). Bei veröffentlichten Events sehen Nutzer der App den Namen deines Betriebs als Veranstalter.

Adresssuche: Wenn du beim Anlegen eines Events eine Adresse oder einen Ortsnamen eingibst, ermitteln wir die Koordinaten über den Dienst Nominatim der OpenStreetMap Foundation (Cambridge, Vereinigtes Königreich). Dafür sendet unser Server die eingegebene Adresse bzw. den Ortsnamen an die OpenStreetMap Foundation. Deine IP-Adresse wird dabei nicht übermittelt. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).

Neue Business-Konten können S'Up 30 Tage kostenlos testen. Drei Tage und einen Tag vor dem Ende der Testphase erinnern wir dich per E-Mail daran. Hast du die Einrichtung nach etwa 48 Stunden noch nicht abgeschlossen, schicken wir dir einmalig eine Erinnerung. Zahlungen für einen Tarif laufen über Stripe (siehe Abschnitt 5).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag über das Business-Konto), auch für die Erinnerungen an das Ende der Testphase. Die einmalige Erinnerung an die Einrichtung und weitere Marketing-Mails zu S'Up für Business schicken wir dir als Kunde nach § 7 Abs. 3 UWG und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Werbung für unser eigenes, ähnliches Angebot). Du kannst dieser Verwendung deiner E-Mail-Adresse jederzeit widersprechen, ohne dass dir dafür andere als die Übermittlungskosten nach den Basistarifen entstehen: über den Abmelde-Link in jeder dieser Mails oder im Dashboard unter Account bei „Marketing-Mails“. Das Business-Konto wird zusammen mit deinem Konto gelöscht (siehe Abschnitt 6).

3.1 Standort

Für Funktionen wie „Events in deiner Nähe“ und Discover fragt die App, nach deiner Freigabe über die iOS-Systemberechtigung, deinen Standort als einmalige Abfrage ab (Zielgenauigkeit auf ca. 100 m konfiguriert, keine Dauerortung). Der Standort wird ausschließlich flüchtig zur Berechnung der Ergebnisse verwendet: Er wird nicht auf unseren Servern gespeichert, es entsteht keine Standort-Historie und kein Bewegungsprofil. Mit demselben reduzierten Standort fragen wir optional bei Apple (WeatherKit) das aktuelle Wetter ab, um dir passendere Event-Vorschläge zu machen; an unseren KI-Dienst Mistral geht dabei nur der Wetter-Text (z. B. „Regen“), nie dein Standort.

Ausnahme (Opt-in), Heimatstadt für Freunde: Wenn du in den Privatsphäre-Einstellungen den Schalter „Standort für Freunde“ aktivierst, speichern wir deine Heimatstadt auf Stadt-Ebene (z. B. „Konstanz“, nie Koordinaten oder Adressen) in deinem Profil. Sie ist ausschließlich für angenommene Freund:innen sichtbar (blockierte Kontakte ausgenommen) und dient dem Abgleich, wer von deinen Freund:innen gerade in derselben Stadt Zeit hat; die aktuelle Stadt der fragenden Person wird dabei nur flüchtig verwendet und nicht gespeichert. Beim Deaktivieren des Schalters wird die gespeicherte Stadt sofort gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Kernfunktion der App) auf Basis deiner iOS-Berechtigung, jederzeit in den iOS-Einstellungen widerrufbar; für die Opt-in-Heimatstadt Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), jederzeit über den Schalter in den Privatsphäre-Einstellungen widerrufbar.

3.2 Kontaktabgleich (derzeit abgeschaltet)

Die Funktion, Freunde über dein Adressbuch zu finden, ist seit dem 13.09.2026 abgeschaltet. Die App fragt dafür keinen Zugriff auf deine Kontakte ab und überträgt keine Telefonnummern oder Hashwerte an uns. Früher gespeicherte Hashwerte von Telefonnummern haben wir gelöscht. Einladungen an Kontakte verschickst nur du selbst über das iOS-Teilen-Menü; wir versenden keine Nachrichten an deine Kontakte. Sollten wir den Kontaktabgleich wieder einführen, ergänzen wir diesen Abschnitt vorher.

3.3 Kalender (Terminfindung)

Erlaubst du den Kalender-Zugriff, prüft die App lokal auf deinem Gerät, wann du frei bist, und kann S'Up-Events in deinen Kalender eintragen. Deine Kalenderinhalte verlassen dein Gerät nicht. Auf unseren Servern speichern wir nur die Verknüpfung eines S'Up-Events mit deinem Kalendereintrag sowie deine gewählte Freigabe-Stufe für die Terminfindung mit Freunden (nur frei-belegt / aus). Freunde sehen je nach Stufe ausschließlich Frei/Belegt-Zeitfenster aus zugesagten S'Up-Events, nie Inhalte deines Kalenders.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; Zugriff jederzeit in den iOS-Einstellungen entziehbar, Freigabe-Stufe jederzeit in der App änderbar.

3.4 Push-Benachrichtigungen

Für Push-Benachrichtigungen (z. B. Freundschaftsanfragen, Event-Einladungen und -Erinnerungen, Kommentare) nutzen wir den Apple Push Notification Service (APNs). Dazu speichern wir den von Apple vergebenen Geräte-Token verknüpft mit deinem Konto; gegenüber Apple ist der Token pseudonym. Benachrichtigungs-Inhalte (etwa der Name der anfragenden Person oder ein Event-Titel) laufen zur Zustellung über Apple-Server (USA). Die Benachrichtigungs-Kategorien (Freundschaftsanfragen, Event-Einladungen, Erinnerungen, Kommentare, BOB) kannst du einzeln in den App-Einstellungen abschalten. Nur wichtige Dienst-Mitteilungen (z. B. Moderations-Entscheidungen) bleiben aktiv; systemweit lässt sich Push jederzeit in iOS deaktivieren. Ungültig gewordene Geräte-Tokens löschen wir umgehend.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (iOS-Push-Berechtigung) für den Kanal, Art. 6 Abs. 1 lit. b DSGVO für die Zustellung als Teil des Dienstes.

3.5 BOB in der App (Chat und Sprachmodus)

Vor dem ersten Chat mit BOB fragt die App deine ausdrückliche Einwilligung ab. Ohne sie findet keine KI-Verarbeitung statt. Stimmst du zu, werden deine Nachrichten an Mistral AI (Frankreich, EU) übermittelt, zusammen mit diesem Kontext aus deinem Konto: dein Vorname, deine Interessen, Titel, Zeit und Status deiner anstehenden Events und Einladungen, die Namen deiner Freunde (nur von Freunden, die BOB ebenfalls zugestimmt haben), bis zu 20 Events aus Discover (Titel, Datum, Uhrzeit, Ortsname, Preis), das aktuelle Wetter sowie die letzten Nachrichten eures Gesprächs einschließlich BOBs eigener Antworten, die Ortsnamen enthalten können. Der Gesprächsverlauf wird nicht auf unseren Servern gespeichert, er existiert nur auf deinem Gerät während der Sitzung. Im optionalen Sprachmodus wird deine Sprachaufnahme zur Transkription und BOBs Antworttext zur Sprachausgabe an Mistral (EU) übertragen, jeweils ohne Nutzerkennung, und von uns nicht gespeichert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, jederzeit in den Privatsphäre-Einstellungen der App widerrufbar). Mit Mistral besteht ein Auftragsverarbeitungsvertrag; kein Training öffentlicher Modelle mit deinen Daten.

3.6 Inhalte, Moderation und Meldungen

Von dir erstellte Inhalte (Posts, Fotos, Kommentare, Events, Gruppen) werden vor ihrer Sichtbarkeit für andere automatisiert auf unzulässige Inhalte geprüft (Text: Mistral, Bilder: Sightengine, beide in der EU). Bilder gleichen wir zusätzlich mit Microsoft PhotoDNA gegen bekanntes Material sexuellen Kindesmissbrauchs ab; dabei geht nur ein nicht umkehrbarer Hashwert des Bildes an Microsoft (Details in Abschnitt 5). Ein Treffer führt dazu, dass das Bild blockiert und gelöscht und das Konto dauerhaft gesperrt wird. Fällt die Prüfung negativ aus, wird der Inhalt nicht veröffentlicht und es kann ein Verwarnungs-Eintrag (Strike) entstehen; bei wiederholten oder schweren Verstößen kann das Konto vorübergehend oder dauerhaft gesperrt werden. Bei Konto-Sperrungen erhältst du eine E-Mail mit Begründung und Einspruchs-Link. Über einen Einspruch entscheidet ein Mensch. Über entfernte Inhalte informieren wir dich per Benachrichtigung, und du kannst dich jederzeit über die Kontakte in Abschnitt 8 dagegen wenden. Meldungen anderer Nutzer über die Melden-Funktion werden von uns geprüft; Moderations-Entscheidungen unseres Teams werden revisionssicher protokolliert (Digital Services Act). Nachrichten im Event-Chat werden 90 Tage nach Ende des Events automatisch gelöscht.

Rechtsgrundlage: Für die automatische Prüfung, Verwarnungen und Sperren Art. 6 Abs. 1 lit. b DSGVO (Durchsetzung unserer Nutzungsbedingungen) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz der Community vor rechtswidrigen Inhalten). Für die Bearbeitung von Meldungen und die Begründung unserer Entscheidungen Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 16 und 17 DSA.

Wenn du Fotos hochlädst, auf denen andere Personen zu erkennen sind, verarbeiten wir auch deren Bilddaten. Bitte lade solche Fotos nur hoch, wenn die abgebildeten Personen damit einverstanden sind. Wer sich auf einem Foto wiederfindet und das nicht möchte, kann es über die Melden-Funktion oder per E-Mail an report@s-up.social melden; wir entfernen es dann. Rechtsgrundlage für die Verarbeitung der abgebildeten Personen ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bereitstellung der Plattform); sie können ihr nach Art. 21 DSGVO widersprechen.

Meldungen und Einsprüche bearbeiten ausschließlich unsere beiden Geschäftsführer über ein internes Verwaltungs-Dashboard. Dort sehen sie die dafür nötigen Konto-, Melde- und Einspruchsdaten sowie automatische Verwarnungen und Sperren, die sie aufheben können. Ihre Moderationsaktionen (z. B. Sperren, Entsperren, Entscheidung über einen Einspruch) werden mit Zeitpunkt und betroffenem Konto protokolliert, damit unsere Entscheidungen nachvollziehbar bleiben. Das Protokoll ist nur intern zugänglich; wir bewahren es auf, solange es für diesen Nachweis erforderlich ist.

3.7 SplitBob (Kosten teilen)

Mit SplitBob können Event-Teilnehmer festhalten, wer welche Kosten übernommen hat, und Anteile untereinander ausgleichen. Das ist eine reine Merkliste ohne echte Zahlungsabwicklung. Verarbeitet werden die von euch eingetragenen Ausgaben (Titel, Betrag, wer bezahlt hat, Anteile). Sichtbar sind sie ausschließlich für die Teilnehmer des jeweiligen Events. Die Daten werden mit dem Event bzw. deinem Konto gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (von dir aktiv genutzte Funktion).

3.8 Absturz- und Fehlerdiagnose

Bei App-Fehlern erfasst unser Fehler-Tracking (Sentry, EU-Server Frankfurt) technische Diagnosedaten: Gerätemodell, iOS-Version, Stack-Trace und eine Konto-Kennung. Vor dem Versand entfernen wir E-Mail-Adresse und IP-Adresse; Screenshots oder Bildschirm-Inhalte werden nicht übertragen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Stabilität und Fehlerbehebung).

3.9 Beta-Tests (TestFlight) und App-Analyse

Nimmst du über Apples TestFlight an Beta-Tests teil, erhebt Apple dabei Daten wie Namen, E-Mail-Adresse, Nutzungs- und Absturzdaten nach eigenen Bedingungen und stellt sie uns teilweise zur Verfügung; für die bei uns ankommenden Daten sind wir Verantwortliche und nutzen sie ausschließlich zur Verbesserung der App. Gleiches gilt für die App-Analyse- und Absturzberichte aus dem App Store, die Apple uns nur bereitstellt, wenn du in iOS „Mit App-Entwicklern teilen“ aktiviert hast. Details bei Apple: TestFlight & Privacy.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Beta-Tests) bzw. Art. 6 Abs. 1 lit. f DSGVO (Produktverbesserung); die Erhebung durch Apple selbst richtet sich nach deiner Einwilligung gegenüber Apple.

Wen wir von unserer Warteliste zum Beta-Test einladen, bitten wir etwa eine Woche später per E-Mail um eine freiwillige Umfrage zur App. Deine Antworten speichern wir auf unseren Servern (Supabase, EU-Region Frankfurt) zusammen mit deinem Wartelisten-Eintrag und nutzen sie nur, um die App zu verbessern. Wir löschen sie mit deinem Wartelisten-Eintrag, spätestens aber 12 Monate nach dem öffentlichen Start der App.

Rechtsgrundlage der Umfrage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch die freiwillige Teilnahme). Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen; dafür genügt eine Antwort auf unsere Mail.

3.10 Veranstaltungsdaten aus öffentlichen Quellen (Ticketmaster)

Im Bereich Discover zeigt die App auch Veranstaltungen in deiner Umgebung, die nicht über S'Up angelegt wurden. Dafür übernehmen wir öffentlich zugängliche Angaben über die Ticketmaster Discovery API von Ticketmaster (Live Nation Entertainment, Inc., USA). Wir verarbeiten nur Angaben zur Veranstaltung: Titel, Beginn und Ende, Veranstaltungsort mit Adresse und Koordinaten, Kategorie, Preis und Währung, den Link zur Quelle, die Adresse des Veranstaltungsbilds und einen kurzen Infotext von Ticketmaster (höchstens 300 Zeichen). Der Titel kann den Namen enthalten, unter dem Mitwirkende öffentlich auftreten, zum Beispiel Künstler- oder Bühnennamen.

Die Bilder dieser Veranstaltungen lädt die App direkt von den Servern von Ticketmaster. Dabei erhält Ticketmaster deine IP-Adresse, Angaben zu deinem Browser bzw. deiner App und den Zeitpunkt des Abrufs. Das ist eine Übermittlung in ein Drittland (USA).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, öffentlich angekündigte Veranstaltungen an einer Stelle auffindbar zu machen.

Dein Widerspruchsrecht: Wenn du bei einer solchen Veranstaltung in der App genannt wirst und das nicht möchtest, kannst du jederzeit nach Art. 21 DSGVO widersprechen, per E-Mail an hello@s-up.social. Wir entfernen den Eintrag dann umgehend und sperren ihn dauerhaft, damit er nicht erneut übernommen wird.

4.1 Notwendige Cookies

Wir setzen technisch notwendige Cookies ein, die für den Betrieb der Website erforderlich sind (z. B. Session-Cookies für eingeloggte Nutzer im Dashboard-Bereich). Diese Cookies werden nach Ende deiner Browsersitzung automatisch gelöscht und bedürfen keiner Einwilligung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am technischen Betrieb).

Speicherung im Browser: Im lokalen Speicher deines Browsers (localStorage) legen wir nur Einstellungen und Daten zu Funktionen ab, die du selbst nutzt: deine Cookie-Entscheidung, das Farbschema, ob BOB minimiert ist, den Verlauf deines BOB-Chats während der Sitzung, deinen Tageszähler für BOB-Nachrichten und den Fortschritt in Tools wie der Erstiwoche-Checkliste. Ein Besuchsprofil für BOB (erster und letzter Besuch, Anzahl der Besuche) legen wir nur mit deiner Einwilligung („Alle akzeptieren“) an. Diese Daten bleiben in deinem Browser, ausgenommen das BOB-Besuchsprofil, das beim Chatten mitgeschickt wird (siehe 2.4). Du kannst sie jederzeit über die Einstellungen deines Browsers löschen. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (für die von dir genutzte Funktion unbedingt erforderlich), für das Besuchsprofil § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

4.2 PostHog (Produkt-Analytics)

Wir nutzen PostHog zur Analyse der Produktnutzung (z. B. welche Features wie genutzt werden, Conversion-Funnels). PostHog-Server stehen in der EU (eu.posthog.com, Datacenter Frankfurt). IP-Adressen werden anonymisiert. Es werden keine Cookies für Cross-Site-Tracking gesetzt.

A/B-Tests auf der Website: Wir testen verschiedene Varianten einzelner Seitenelemente, zum Beispiel die Überschrift der Startseite oder Button-Texte. Welche Variante du siehst, legt PostHog über sogenannte Feature-Flags fest. Dafür lädt dein Browser die PostHog-Software und fragt bei jedem Seitenaufruf bei PostHog ab, welche Variante angezeigt werden soll, auch wenn du im Cookie-Banner nicht eingewilligt hast. Übertragen werden dabei technisch bedingt deine IP-Adresse, die Browserkennung (User-Agent), die Zeitzone deines Browsers und zufällige Kennungen, die nur im Arbeitsspeicher deines Browsers liegen und beim Neuladen oder Schließen der Seite verschwinden. Für die Variantenabfrage wird auf deinem Gerät nichts gespeichert. Nutzungsereignisse zusammen mit der angezeigten Variante erfassen wir erst, wenn du eingewilligt hast.

In der S'Up iOS-App erfassen wir Nutzungsstatistiken (z. B. welche Schritte der Ersteinrichtung durchlaufen und welche Funktionen genutzt werden) zunächst ausschließlich anonym: ohne Namen, E-Mail oder Konto-Bezug, ohne geräteübergreifende Kennung und ohne Werbe-IDs; IP-Adressen werden bei der Erhebung verworfen. Erst wenn du aktiv zustimmst (Schalter in der Ersteinrichtung oder in den Privatsphäre-Einstellungen), verknüpfen wir diese Statistiken mit deinem Konto. In den Privatsphäre-Einstellungen kannst du jederzeit die Konto-Verknüpfung beenden (Statistiken laufen dann wieder anonym) oder die Statistiken komplett abschalten, dann wird nichts mehr übertragen.

Kommst du über einen Einladungslink zu S'Up, ordnen wir deiner Registrierung ein pseudonymes Einladungs-Kennzeichen zu. Das betrifft sowohl Einmal-Einladungslinks als auch den persönlichen Einladungscode eines Nutzers; verarbeitet wird jeweils ausschließlich ein kryptografischer Hash (kein Klartext-Link, kein Klartext-Code). Dieses Kennzeichen wird in einzelnen Analytics-Ereignissen verarbeitet (Öffnen des Einladungslinks: „invite_link_opened“, Abschluss der Registrierung: „signup_completed“, Zuordnung der Einladung in der App: „referral_claimed“), um zu messen, ob Einladungen zu Registrierungen führen. Ein Rückschluss auf Adressbuch- oder Kontaktdaten ist darüber nicht möglich.

Rechtsgrundlage: Website: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung über Cookie-Banner) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Produktoptimierung bei anonymisierter Verarbeitung). Für die Abfrage der Testvariante ohne Einwilligung: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung unserer Website). App: Art. 6 Abs. 1 lit. f DSGVO für die anonymen Statistiken (berechtigtes Interesse, keine Identifizierung möglich); Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, jederzeit widerruflich) für die Verknüpfung mit deinem Konto.

So nutzt du deine Rechte

• Kopie deiner Daten (Art. 15 und 20 DSGVO): Auf dieser Website kannst du dich mit deinem S'Up-Konto anmelden und unter Account eine Kopie deiner Kontodaten als ZIP-Archiv anfordern, einschließlich deiner hochgeladenen Bilder. Hast du sehr viele Bilder hochgeladen, enthält das Archiv die neuesten und verlinkt alle übrigen. Den Download-Link schicken wir dir per E-Mail; er ist 7 Tage gültig. Ein neuer Export ist einmal pro 24 Stunden möglich. Das Archiv löschen wir nach 30 Tagen automatisch.
• Löschung (Art. 17 DSGVO): In der App löschst du dein Konto in den Einstellungen; die Löschung erfolgt sofort. Auf dieser Website bestätigst du die Löschung über einen Link, den wir dir per E-Mail schicken (7 Tage gültig). Ab deiner Bestätigung hast du 30 Tage Zeit, die Löschung unter Account abzubrechen; anschließend löschen wir dein Konto endgültig, einschließlich deiner hochgeladenen Dateien und deines Kundendatensatzes beim Zahlungsdienstleister Stripe. Bei einer Löschung über die Website halten wir als Nachweis fest, dass und wann wir gelöscht haben, zusammen mit dem Grund, falls du einen angegeben hast (Art. 5 Abs. 2 DSGVO). Gesetzliche Aufbewahrungspflichten, etwa für Rechnungen, bleiben unberührt.
• Alle anderen Anliegen: Schreib uns eine E-Mail an hello@s-up.social. Damit wir deine Daten nicht an Unbefugte herausgeben, können wir dich bitten, deine Identität nachzuweisen. Wir antworten innerhalb eines Monats (Art. 12 Abs. 3 DSGVO).