Datenschutzerklärung
1 · Verantwortliche Stelle und Kontakt
Verantwortlich für die Bearbeitung der Personendaten ist das Einzelunternehmen Zeno Renggli Promenado, Inhaber Zeno Renggli, info@promenado.ch. Anfragen zum Datenschutz — Auskunft, Berichtigung, Löschung, Herausgabe, Widerspruch, Widerruf einer Einwilligung — sind an dieselbe Adresse zu richten.
Eine Datenschutzberaterin bzw. ein Datenschutzbeauftragter ist nicht bezeichnet.
Promenado wird ausschliesslich in der Schweiz angeboten. Der Dienst richtet sich nicht an Personen mit Wohnsitz in der Europäischen Union oder im Europäischen Wirtschaftsraum. Ein Vertreter in der Union nach Art. 27 der Datenschutz-Grundverordnung beziehungsweise nach Art. 13 des Digital Services Act ist deshalb nicht benannt.
2 · Geltungsbereich und anwendbares Recht
Diese Erklärung gilt für die App Promenado, die zugehörige Kommunikation per E-Mail sowie die Voranmeldung zur Testphase und den Newsletter auf promenado.ch (Ziffer 24). Für die übrigen Seiten der Website gilt die dortige Erklärung unter promenado.ch/datenschutz.html. Die Bearbeitung richtet sich nach dem Schweizer Datenschutzrecht; soweit die DSGVO auf eine Bearbeitung anwendbar ist, gelten zusätzlich die in dieser Erklärung genannten DSGVO-Rechtsgrundlagen.
Für verlinkte Angebote Dritter — etwa die App-Stores von Apple und Google oder externe Websites — gilt deren eigene Datenschutzerklärung.
3 · Grundsätze der Bearbeitung
Personendaten werden nach den Grundsätzen des anwendbaren Datenschutzrechts bearbeitet, insbesondere Rechtmässigkeit, Zweckbindung, Verhältnismässigkeit, Richtigkeit, Speicherbegrenzung (Ziffer 17) und Datensicherheit (Ziffer 21). Profilangaben können in der App geändert werden.
Beginn der Bearbeitung. Das Konto entsteht im ersten Schritt der Eröffnung; E-Mail-Adresse und Anmeldeweg werden dabei übertragen, bevor die Einwilligungen abgefragt werden. Grundlage dafür ist der Vertrag. Fotos, Sprachaufnahmen und die freiwilligen Angaben zu Orientierung, Glaube und Hörhilfen werden erst nach den Einwilligungen übertragen. Eine nicht abgeschlossene Eröffnung wird samt den bis dahin übertragenen Angaben gelöscht, in der Regel nach sieben Tagen.
Bestätigungsmail. Nach dem ersten Schritt geht eine E-Mail an die angegebene Adresse, versandt über einen Dienstleister (Anhang A). Die Bestätigung der Adresse kann Voraussetzung für die Kontoeröffnung oder für einzelne Funktionen sein, etwa das Zurücksetzen des Passworts oder die Verknüpfung mit einem Apple- oder Google-Konto.
4 · Datenschutz durch Technikgestaltung
Promenado ist auf Datenminimierung und datenschutzfreundliche Voreinstellungen ausgelegt. Nicht bearbeitet werden:
- GPS-Standort, Standortverlauf oder Bewegungsprofile
- Adressbuch, Kontakte, Kalender, Fotomediathek als Ganzes
- Kamera oder Mikrofon im Hintergrund
- geräteübergreifendes Werbe-Tracking, Werbe-IDs, Werbenetzwerk-SDKs
Geräteberechtigungen werden angefragt, wenn eine gewählte Funktion sie benötigt.
5 · Welche Daten bearbeitet werden
Die folgende Übersicht nennt für jede Datenkategorie den Zweck, die Grundlage nach Schweizer Recht und — soweit die DSGVO anwendbar ist — die entsprechende Rechtsgrundlage sowie die Aufbewahrung. Die Löschklassen A bis E sind in Ziffer 17 erläutert.
Werden Angaben nicht bereitgestellt, die für eine bestimmte Funktion erforderlich sind, kann diese Funktion nicht oder nur eingeschränkt genutzt werden. Angaben, die auf einer Einwilligung beruhen, sind freiwillig.
6 · Besonders schützenswerte Personendaten
Angaben zu sexueller Orientierung oder Sexualleben sowie zur religiösen oder weltanschaulichen Überzeugung sind freiwillig. Sie werden nur mit gesonderter, ausdrücklicher Einwilligung gespeichert und können in der App entfernt oder unsichtbar gestellt werden. Der Widerruf wirkt für die Zukunft und lässt die Rechtmässigkeit der bis dahin erfolgten Bearbeitung unberührt.
Die Angabe zur religiösen oder weltanschaulichen Überzeugung dient der Anzeige im Profil; es gibt keinen Filter danach, und sie fliesst nicht in die Vorschläge ein.
Für politische Ansichten, Gewerkschaftszugehörigkeit und ethnische Herkunft bietet Promenado keine Eingabefelder und keine Filter an; solche Angaben werden nicht strukturiert erhoben. Werden sie in Freitextfeldern, Nachrichten oder Sprachaufnahmen freiwillig genannt, werden sie als Bestandteil des jeweiligen Inhalts gespeichert.
Zur Gesundheit gibt es zwei freiwillige Angaben zur Barrierefreiheit: «Ich höre nicht» und «Ich spreche nicht». Sie werden nur mit einem eigenen, nicht vorausgewählten Haken und auf Grundlage deiner ausdrücklichen Einwilligung gespeichert (Art. 6 Abs. 6 in Verbindung mit Art. 5 lit. c DSG; soweit anwendbar Art. 9 Abs. 2 lit. a DSGVO). Die Angabe wird niemandem angezeigt, nicht gefiltert und nicht für Vorschläge ausgewertet; sie steuert die Bedienung. Beim Widerruf werden beide Angaben gelöscht. Andere Angaben zur Gesundheit werden nicht strukturiert erhoben.
Ein Profilfoto oder eine Sprachaufnahme gilt für sich allein nicht als besonders schützenswertes Datum. Eine biometrische Auswertung zur eindeutigen Identifizierung von Personen findet nicht statt.
Welche freiwilligen Angaben sie in Profil, Nachrichten oder Sprachaufnahmen veröffentlichen, entscheiden Nutzerinnen und Nutzer selbst.
7 · Matching, Vorschläge und Profiling
Promenado wertet bereitgestellte Angaben und Interaktionen automatisiert aus, um andere Profile vorzuschlagen und zu ordnen. Berücksichtigt werden können insbesondere:
- Alter und gewünschte Altersgruppe
- gewählter Distanzbereich und angegebene Postleitzahl
- Profilangaben, Interessen und Präferenzen
- gegenseitige Resonanzen und Aktivität innerhalb der App
- Signale zur Erkennung von Missbrauch, Spam und gefälschten Profilen
Diese Auswertung ist eine Form der Profilbildung und dient der Bereitstellung der Vermittlungs-, Kommunikations- und Sicherheitsfunktionen. Sie führt nicht zu einer ausschliesslich automatisierten Entscheidung, die gegenüber der betroffenen Person rechtliche Wirkung entfaltet oder sie in vergleichbar erheblicher Weise beeinträchtigt (Art. 22 DSGVO, Art. 21 DSG).
Vorschläge sind algorithmisch ermittelte Anzeigereihenfolgen und keine Aussage über Persönlichkeit, Eignung, Vertrauenswürdigkeit oder Kompatibilität einer Person.
Automatisierte Signale können bei einem Sicherheits- oder Missbrauchsverdacht zu einer vorläufigen Einschränkung eines Kontos führen. Eine solche Entscheidung kann auf Verlangen von einer Person überprüft werden; der Antrag ist an info@promenado.ch zu richten (Ziffer 20).
8 · Standort und Distanz
Promenado fragt keinen Standort über das Betriebssystem ab und verwendet kein GPS. Die Distanzangabe im Entdecken beruht auf der selbst eingegebenen Postleitzahl bzw. dem selbst gewählten Ort. Die IP-Adresse wird aus technischen Gründen bearbeitet, aber nicht zur Standortbestimmung für Vorschläge ausgewertet.
9 · Kamera und Mikrofon
Die Kamera wird für die Aufnahme eigener Profilfotos verwendet, das Mikrofon für Eisbrecher und Sprachnachrichten, jeweils erst nach aktivem Start einer Aufnahme. Beide Berechtigungen sind freiwillig; ohne sie stehen die jeweiligen Funktionen nur eingeschränkt zur Verfügung.
10 · Nutzerinhalte
Fotos, Texte, Profilangaben, Nachrichten und Sprachaufnahmen stellen die Nutzenden selbst ein und übermitteln sie selbst. Eine vollständige Prüfung aller Inhalte vor ihrer Veröffentlichung oder Übermittlung findet nicht statt. Rechtswidrige oder missbräuchliche Inhalte können eingeschränkt oder entfernt werden (Ziffer 12).
Geteilte Inhalte können von den Empfängern eingesehen und ausserhalb der Plattform gespeichert oder weiterverwendet werden, etwa durch Bildschirmaufnahmen oder Weiterleitung. Das lässt sich technisch nicht zuverlässig verhindern.
Promenado überprüft Identität, Alter, Angaben und Absichten anderer Nutzender nicht umfassend und übernimmt keine Gewähr für deren Richtigkeit.
Wer Personendaten Dritter einstellt — etwa Fotos, auf denen weitere Personen erkennbar sind —, ist selbst dafür verantwortlich, dass dies zulässig ist.
11 · Sichtbarkeit für andere Nutzende
Für andere Nutzende sichtbar sind grundsätzlich: Vorname, Alter, Profilfotos, Profilangaben, ungefähre Distanz sowie im Chat die dort gesendeten Inhalte. Nicht sichtbar sind insbesondere E-Mail-Adresse, Mobiltelefonnummer, Geburtsdatum im Klartext, exakte Postleitzahl, Kauf- und Abrechnungsdaten, technische Protokolle und Meldungen.
Welche Interaktionen anderen Nutzenden angezeigt werden, richtet sich nach der jeweiligen Funktion und den dafür vorgesehenen Einstellungen.
11a · «Wer darf mich nicht sehen» — eingetragene Telefonnummern Dritter
In der Kontoeröffnung und später in den Einstellungen kannst du unter «Wer darf mich nicht sehen» Telefonnummern von Personen eintragen, denen du auf Promenado nicht begegnen möchtest. Diese Personen sehen dein Profil nicht, und du siehst ihres nicht. Sie werden darüber nicht benachrichtigt.
Die eingegebene Nummer wird nur in nicht umkehrbarer Form gespeichert, zusammen mit den letzten beiden Ziffern zur Wiedererkennung in deiner eigenen Liste und dem Zeitpunkt des Eintrags.
Bearbeitet werden damit Personendaten Dritter. Der gespeicherte Wert wird mit den entsprechenden Werten bestätigter Telefonnummern von Promenado-Konten abgeglichen, um die gegenseitige Unsichtbarkeit herzustellen. Wählst du einen Kontakt über den Auswahldialog deines Geräts, wird nur die gewählte Nummer übertragen; ein Zugriff auf deine Kontakte wird dafür nicht angefordert.
Die App zeigt nicht an, ob zu einer eingetragenen Nummer ein Konto besteht.
Rechtsgrundlage ist das überwiegende Interesse der eintragenden Person am Schutz ihrer Privatsphäre (Art. 31 Abs. 1 DSG; soweit anwendbar Art. 6 Abs. 1 lit. f DSGVO). Die Einträge werden gelöscht, wenn du sie entfernst oder dein Konto gelöscht wird. Wird ein Konto gelöscht, dessen Nummer in der Liste einer anderen Person steht, bleibt der Eintrag in deren Liste bestehen, bis sie ihn entfernt.
12 · Moderation, Meldungen und Sicherheit
Meldungen, Sperren, Moderationsentscheide und zugehörige Beweismittel werden bearbeitet, um Betrug, Missbrauch, Belästigung, Identitätsmissbrauch und Verstösse gegen die Nutzungsbedingungen zu verhindern, zu untersuchen und zu ahnden sowie um die Umgehung von Sperren zu erschweren. Dabei können bearbeitet werden:
- Inhalt und Kontext der Meldung sowie die gemeldeten Inhalte
- Kontokennungen, Geräte- und Verbindungsmerkmale zur Erkennung von Mehrfachkonten
- Entscheid, Begründung und Zeitpunkt der Massnahme
Diese Daten werden in der Regel bis zu 24 Monate aufbewahrt, bei schweren oder wiederholten Verstössen sowie bei laufenden Verfahren so lange, wie es zur Rechtsverfolgung oder -verteidigung erforderlich ist (Klasse D).
Automatische Prüfung der Profilfotos. Fotos werden vor der Veröffentlichung maschinell geprüft — auf anstössige Darstellungen und darauf, ob ein Mensch zu sehen ist. Die Prüfung läuft über einen europäischen Endpunkt von Google Cloud Vision (Anhang A). Ein abgewiesenes Foto erscheint nicht im Profil. Die Entscheidung kann auf Verlangen von einer Person überprüft werden; eine Meldung an den Support genügt.
Push-Hinweise. Wer Mitteilungen erlaubt, erhält Hinweise über die Dienste des Betriebssystems — Apple (APNs) oder Google (FCM). Übermittelt werden ein Geräte-Token, ein Hinweis ohne den Inhalt einer Nachricht und die Sprache des Kontos. Die Erlaubnis lässt sich am Gerät und in den Einstellungen zurücknehmen.
13 · Mindestalter
Promenado richtet sich ausschliesslich an Personen ab 18 Jahren. Zur Durchsetzung können insbesondere dienen:
- Angabe des Geburtsdatums bei der Registrierung und Sperre der Registrierung unter 18
- Plausibilitätsprüfungen
- eine Meldefunktion für den Verdacht auf minderjährige Nutzende
- Sperrung des Kontos bei begründetem Verdacht
- gegebenenfalls eine zusätzliche Altersprüfung
Wird bekannt, dass ein Konto von einer minderjährigen Person geführt wird, wird es gesperrt und die zugehörigen Daten werden gelöscht, soweit sie nicht zur Nachweisführung erforderlich sind.
Abweisung bei der Eröffnung. Ergibt das Geburtsdatum ein Alter unter 18 Jahren, entsteht kein Konto. Ein Tippfehler lässt sich einmal berichtigen; beim zweiten Versuch wird das begonnene Konto gelöscht. Um eine unmittelbare Wiederholung zu verhindern, werden Streuwerte der E-Mail-Adresse und des Geräts in nicht umkehrbarer Form in der Regel 30 Tage aufbewahrt; danach bleibt ein Sperreintrag ohne Personenbezug, längstens bis zum Ablauf der Klasse D. Grundlage ist das überwiegende Interesse am Jugendschutz.
14 · Zahlungen und Abonnements
Käufe von Abonnements und Funken werden über die Bezahlsysteme von Apple bzw. Google abgewickelt. Kreditkarten- oder Bankdaten werden von Promenado weder erhoben noch gespeichert. Von den Stores werden Kauf-, Storno- und Abrechnungsinformationen entgegengenommen, soweit sie für Aktivierung, Buchhaltung, Rückerstattungen und Missbrauchsprüfung erforderlich sind. Für die Bearbeitung durch Apple und Google in deren eigener Verantwortung gelten deren Datenschutzbestimmungen.
15 · Cookies, Analyse und Tracking
Die App setzt keine Werbe-SDKs und kein geräteübergreifendes Tracking ein. Für den eigenen Betrieb führt Promenado Nutzungsstatistiken ohne Personenbezug (Klasse E, Ziffer 17), etwa wöchentliche Summen nach Altersgruppe, Geschlecht, Land und Abostufe. Technisch notwendige Speicherzugriffe auf dem Gerät (Sitzung, Anmeldestatus, Einstellungen) sind für den Betrieb erforderlich. Zusätzlich hält die App auf dem Gerät einen Zwischenspeicher der zuletzt angezeigten Inhalte — Matches und Speed-Dating-Runden samt Nachrichten sowie die zugehörigen Bilder und Sprachaufnahmen. Eigene Fotos bleiben dort; Inhalte anderer Personen werden in der Regel nach sieben Tagen entfernt, beim Blockieren einer Person deren Inhalte und bei Kontolöschung oder Kontowechsel auf demselben Gerät der gesamte Zwischenspeicher. Auf promenado.ch werden technisch notwendige Cookies verwendet.
16 · Empfänger, Auftragsbearbeiter und Auslandsbekanntgabe
Personendaten werden Dritten bekanntgegeben, soweit dies für den Betrieb erforderlich ist, eine gesetzliche Pflicht besteht oder eine Einwilligung vorliegt. Eingesetzte Kategorien von Empfängern:
Bildmoderation. Profilfotos werden vor ihrer Veröffentlichung automatisch daraufhin geprüft, ob sie Nacktheit, Gewalt oder anstössige Darstellungen zeigen. Dafür wird das Bild an Google Cloud Vision als Auftragsbearbeiter übermittelt. Ortsangaben werden vorher entfernt: Metadaten werden beim Hochladen aus dem Foto gelöscht. Besteht ein Bild die Prüfung nicht, wird es nicht veröffentlicht; auf Verlangen wird die Entscheidung einer Person zur Prüfung vorgelegt.
Moderation gemeldeter Sprachnachrichten. Wird eine Sprachnachricht gemeldet, kann die Moderation sie beim Prüfen des Falls maschinell abschreiben und übersetzen lassen — über Google Cloud Speech-to-Text und Google Cloud Translation mit europäischen Endpunkten (Anhang A). Das betrifft nur die gemeldete Nachricht; die Abschrift wird nicht gespeichert. Andernfalls hört die Moderation die Nachricht an.
Mit Auftragsbearbeitern bestehen Verträge nach Art. 9 DSG bzw. Art. 28 DSGVO. Die eingesetzten Anbieter sind in Anhang A aufgeführt.
Datenresidenz und Auslandsbekanntgabe. Personenbezogene Nutzerdaten werden grundsätzlich in der Schweiz oder im Europäischen Wirtschaftsraum gespeichert. Einzelne Dienste nach Anhang A bearbeiten Daten in einem Drittland. Eine solche Bekanntgabe stützt sich auf einen Angemessenheitsbeschluss bzw. die Staatenliste des Bundesrates, andernfalls auf Standardvertragsklauseln oder eine gesetzliche Ausnahme.
17 · Aufbewahrung und Löschklassen
18 · Löschung des Kontos
Die Löschung kann in der App (Profil → Einstellungen → Konto löschen) und über promenado.ch/konto-loeschen ausgelöst werden. Gelöscht werden insbesondere:
- Profil, Vorname, Geburtsdatum und alle Angaben aus „Über mich“
- alle Fotos
- alle Eisbrecher und Sprachnachrichten
- alle Chats und Matches
- die Blockierliste
- die Funken-Historie und das Restguthaben
Befristet aufbewahrt werden, soweit Aufbewahrungsgründe bestehen:
- Abrechnungsbelege zu Käufen — Klasse C
- Unterlagen zu Sperren und schweren Verstössen sowie Streuwerte zur Durchsetzung von Sperren — Klasse D
- Einwilligungsprotokolle als Nachweis — in der Regel bis zu 24 Monate
Nachrichten, die du anderen Personen geschickt hast, werden auch aus deren Postfach entfernt, samt Fotos und Sprachaufnahmen; an ihrer Stelle steht dort «Nachricht wurde entfernt». Was eine andere Person bereits auf ihr Gerät geladen oder als Bildschirmfoto gesichert hat, lässt sich nicht zurückholen.
Die Löschung ist nicht widerrufbar, sobald sie in der App bestätigt wurde. Ein bestehendes Abonnement ist zusätzlich im jeweiligen App-Store zu kündigen; nicht verbrauchte Funken verfallen mit der Löschung, soweit nicht zwingendes Recht etwas anderes vorsieht.
19 · Sicherungskopien
Daten können nach ihrer Löschung während eines begrenzten Zeitraums in technischen Sicherungskopien enthalten bleiben (Klasse B). Diese dienen der Wiederherstellung nach einem Systemausfall und werden im Rahmen des regulären Backup-Lebenszyklus überschrieben oder gelöscht. Muss ein System aus einer Sicherungskopie wiederhergestellt werden, werden zwischenzeitlich gelöschte Konten und Daten erneut entfernt.
20 · Rechte der betroffenen Personen
Für alle Nutzenden bestehen die Rechte auf Auskunft, Berichtigung, Löschung sowie auf Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft. Nach Schweizer Recht bestehen zusätzlich das Recht auf Herausgabe oder Übertragung der Daten (Art. 28 DSG) sowie das Recht, der Bekanntgabe an Dritte zu widersprechen. Auskunft wird in der Regel innerhalb von 30 Tagen und grundsätzlich kostenlos erteilt (Art. 25 DSG). Ein Datenexport lässt sich in der App anfordern.
Soweit die DSGVO anwendbar ist, bestehen zusätzlich die Rechte auf Einschränkung der Verarbeitung (Art. 18), auf Datenübertragbarkeit (Art. 20), auf Widerspruch gegen Bearbeitungen, die auf einem berechtigten Interesse beruhen (Art. 21), sowie das Recht, nicht einer ausschliesslich automatisierten Entscheidung mit erheblicher Wirkung unterworfen zu werden (Art. 22).
Zur Bearbeitung eines Antrags kann die Identität überprüft werden. Anträge können eingeschränkt oder abgelehnt werden, soweit gesetzliche Pflichten, überwiegende Interessen Dritter oder die Rechtsverfolgung entgegenstehen oder sie offensichtlich unbegründet oder exzessiv sind.
Beschwerden können an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB, Feldeggweg 1, 3003 Bern) sowie — für Personen im EWR — an die zuständige Datenschutzaufsichtsbehörde des Wohnsitzstaates gerichtet werden.
21 · Datensicherheit
Es werden dem Risiko angemessene technische und organisatorische Massnahmen getroffen, etwa:
- Verschlüsselung auf dem Transportweg (TLS) und im Ruhezustand; Passwörter werden nur als Hash gespeichert
- rollenbasierte Zugriffsrechte
- Mehrfaktor-Authentisierung für administrative Zugänge
- Protokollierung administrativer Zugriffe
- regelmässige Sicherungen
Nachrichten, Fotos und Sprachaufnahmen sind nicht Ende-zu-Ende verschlüsselt; der Server muss sie für die Moderation gemeldeter Inhalte lesen können.
Eine absolute Sicherheit der Übertragung und Speicherung über offene Netze kann nicht gewährleistet werden.
22 · Verletzungen der Datensicherheit
Verletzungen der Datensicherheit werden bearbeitet und dokumentiert. Soweit gesetzlich erforderlich, werden der EDÖB (Art. 24 DSG) bzw. die zuständige Aufsichtsbehörde (Art. 33 DSGVO) sowie die betroffenen Personen (Art. 34 DSGVO) informiert.
23 · Was nicht geschieht
Zur Klarstellung:
- Es werden keine strukturierten Angaben zu politischen Ansichten, Gewerkschaftszugehörigkeit oder ethnischer Herkunft erhoben.
- Zu Religion oder Weltanschauung und zur Gesundheit bestehen nur die freiwilligen Angaben nach Ziffer 6.
24 · Voranmeldung und Newsletter auf der Website
Auf promenado.ch stehen zwei Formulare, die unabhängig von der App bearbeitet werden — wer sie ausfüllt, hat noch kein Konto.
Ein Versanddienst für den Newsletter wird, sobald er eingesetzt wird, in Anhang A aufgeführt.
25 · Verhältnis zu den weiteren Dokumenten
Diese Erklärung beschreibt die Bearbeitung von Personendaten. Rechte und Pflichten der Nutzenden, Verhaltensregeln, Bedingungen für Abonnements und Funken sowie Haftungsfragen richten sich nach den Allgemeinen Geschäftsbedingungen und den Community-Richtlinien.
26 · Änderungen dieser Erklärung
Wir können diese Datenschutzerklärung anpassen; es gilt die jeweils veröffentlichte Fassung, abrufbar in der App und auf promenado.ch. Setzt eine Änderung eine Einwilligung voraus, wird diese eingeholt.
27 · Anhang A — Eingesetzte Dienstleister
Stand dieser Fassung: