Datenschutz
CHODIGO ist eine App für kleine Freundeskreise. Ihr beantwortet dieselbe Frage, und erst wer selbst geantwortet hat, liest die Antworten der anderen. Das heisst: Es geht hier um sehr persönliche Texte. Diese Seite sagt, was damit passiert — in normaler Sprache und vollständig.
Wer verantwortlich ist
Royce Manavalan
Seestrasse 22
8610 Uster, Schweiz
info@chodigo.com
CHODIGO ist ein privates Projekt und befindet sich in einer geschlossenen Testphase mit einer kleinen Zahl eingeladener Personen. Es gibt kein Unternehmen dahinter, und die App ist während des Tests kostenlos.
Welche Daten verarbeitet werden
| Daten | Wann sie entstehen | Wofür |
|---|---|---|
| E-Mail-Adresse und Passwort | Registrierung | Damit du dich anmelden kannst. Das Passwort wird nur als kryptografischer Abdruck gespeichert, nie im Klartext. |
| Anzeigename, Profilbild | Du legst sie selbst an | Damit die anderen in deinem Kreis dich erkennen. Beides ist freiwillig veränderbar. |
| Deine Briefe (Antworttexte) | Wenn du auf eine Frage antwortest | Das ist der Inhalt der App. Wer sie zu sehen bekommt, steht unten unter „Wer deine Briefe liest“. |
| Kreise und Mitgliedschaften | Kreis gründen, beitreten, einladen | Damit Fragen und Briefe den richtigen Personen zugeordnet werden. |
| Push-Token deines Geräts | Wenn du Benachrichtigungen erlaubst | Um dir zu melden, dass eine neue Frage da ist oder jemand geantwortet hat. Du kannst das in den Systemeinstellungen jederzeit abschalten. |
| Gerätekennung und E-Mail-Adresse – nur als Abdruck | Beim Start der kostenlosen Testphase | Damit dieselbe Person die dreimonatige Testphase nicht beliebig oft neu beginnt. Gespeichert wird ausschliesslich ein nicht umkehrbarer Abdruck (HMAC-SHA256 mit geheimem Zusatz) — weder die Kennung noch die Adresse selbst. |
| Reaktionen auf Briefe | Wenn du auf den Brief einer anderen Person reagierst | Damit sichtbar wird, dass ein Brief angekommen ist. Gespeichert wird, wer mit welchem der sechs Zeichen auf welchen Brief reagiert hat — eigenen Text gibt es hier bewusst nicht. Der Verfasser sieht es, ebenso alle, die den Brief sehen dürfen. |
| Zustellprotokoll der Benachrichtigungen | Beim Versand einer Benachrichtigung | Um zu sehen, ob Benachrichtigungen überhaupt ankommen — sonst lässt sich „niemand hat geantwortet“ nicht von „die Meldung kam nie an“ unterscheiden. Gespeichert werden Zeitpunkt, Anlass und deine Konto-Nummer, nie Titel oder Text der Meldung. |
| Rückmeldungen | Wenn du „Fehler melden“ benutzt | Dein Text, dazu App-Version, Gerätetyp und deine Konto-Nummer — damit sich ein Fehler einordnen lässt. Nie der Inhalt deiner Briefe. |
| Sprache deines Geräts | Beim Start der App | Damit die Benachrichtigungen in deiner Sprache formuliert werden. Gespeichert wird ein dreibuchstabiger Sprachcode, kein Standort. |
| Ereignisse in deinen Kreisen | Neue Frage, Antwort, Mehrheit, Beitritt, Pause | Sie lösen die Benachrichtigungen aus. Gespeichert wird die Art des Ereignisses, der Kreis und wer es ausgelöst hat — nie ein Inhalt. |
| Einladungslinks | Wenn du einen Link für deinen Kreis erstellst | Der Link selbst, wer ihn erstellt hat, wie oft er benutzt wurde und wann er abläuft. So lässt sich ein Link zurückziehen und begrenzen. |
| Austrittsdatum | Wenn du einen Kreis verlässt | Damit du danach nichts Neues mehr siehst und deine bisherigen Briefe für die anderen bleiben. Gespeichert wird der Kreis und der Zeitpunkt. |
| Fristen der Testphase | Beim ersten App-Start | Anfang und Ende deiner dreimonatigen Gratisphase, damit die App weiss, ob dein Zugang offen ist. |
| Anmeldezeitpunkte und IP-Adresse | Bei jeder Anmeldung und jeder Anfrage | Sie entstehen in den Protokollen des Servers, wie bei jedem Dienst im Internet — für Betrieb und Missbrauchserkennung. Sie werden nicht ausgewertet, und der Anbieter löscht diese Protokolle nach kurzer Zeit. |
| Daten auf deinem Gerät | Während der Nutzung | Deine Anmeldung liegt im verschlüsselten Schlüsselspeicher des Geräts; Kreisnamen und eine noch nicht eingelöste Einladung liegen im App-Speicher, damit die App ohne Netz etwas anzeigen kann. Beides verschwindet, wenn du die App löschst. |
| Fehlerberichte | Wenn die App abstürzt oder ein Fehler auftritt | Technische Angaben zum Absturz plus deine Konto-Nummer. E-Mail-Adresse, Name, IP-Adresse und Inhalte von Anfragen werden vorher entfernt. |
Was nicht passiert: keine Werbung, keine Weitergabe und kein Verkauf an Dritte, kein Profiling, kein Tracking-Baustein und kein Analytics-Anbieter in der App, keine automatisierte Auswertung der Briefinhalte. Deine Briefe werden nicht gelesen, um daraus etwas abzuleiten.
Wie die Nutzung ausgewertet wird
Um zu verstehen, ob die App trägt, werten wir die Nutzung in Summen aus — mit Abfragen auf der eigenen Datenbank, ohne Analytics-Anbieter und ohne Baustein in der App. Angesehen werden Zahlen wie: wie viele Kreise es gibt, wie viele Mitglieder sie haben, wie viele auf eine Frage geantwortet haben, wie lange ein Brief etwa war (in drei Stufen: kurz, mittel, lang) und ob Benachrichtigungen zugestellt wurden.
Der Text deiner Briefe kommt darin nicht vor — weder als Inhalt noch als Ausschnitt; nur seine Länge als Stufe. Diese Auswertungen sind nur mit dem Server-Schlüssel lesbar und für niemanden in der App sichtbar. Grundlage ist das berechtigte Interesse (Art. 6 Abs. 1 lit. f DSGVO), ein Produkt vor der Veröffentlichung beurteilen zu können.
Wer deine Briefe liest
Das ist der Kern der App, deshalb ausführlich: Deine Antwort auf eine Frage sehen die anderen Mitglieder deines Kreises — aber nur, wenn sie selbst auf dieselbe Frage geantwortet haben. Wer nicht antwortet, sieht nichts, auch später nicht. Diese Regel wird auf dem Server erzwungen, nicht nur in der Anzeige.
- Es gibt keine Administratorenrechte, die diese Regel aufheben, und keine Umgehung nach Ablauf einer Frage.
- Verlässt du einen Kreis, siehst du weiterhin, was bis zu deinem Austritt geschrieben wurde — nichts danach. Umgekehrt bleiben deine bis dahin geschriebenen Briefe für die anderen sichtbar.
- Wer Zugang zum Server hat, könnte technisch auf die Daten zugreifen. Die Briefe sind auf dem Server nicht Ende-zu-Ende verschlüsselt — das schliesst sich mit dem schrittweisen Sichtbarwerden und dem Archiv gegenseitig aus. Sag das ehrlich weiter, wenn dich jemand fragt.
Auf welcher Grundlage
- Zur Erfüllung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO): Konto, Profil, Kreise, Fragen, Briefe, Benachrichtigungen. Ohne diese Daten funktioniert die App nicht.
- Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Fehlerberichte, um die App stabil zu halten; die Abdrücke der Gerätekennung, um die kostenlose Testphase nicht beliebig wiederholbar zu machen; die Protokolle des Servers für Betrieb und Missbrauchserkennung; die in Summen gerechnete Auswertung der Nutzung, um das Produkt vor einer Veröffentlichung beurteilen zu können.
Für Nutzerinnen und Nutzer in der Schweiz gilt sinngemäss das revidierte Datenschutzgesetz (revDSG); die Rechte unten bestehen dort ebenso.
Wer die Daten sonst noch verarbeitet
Für den Betrieb sind Dienstleister nötig. Sie verarbeiten Daten nur in unserem Auftrag und nicht für eigene Zwecke:
| Dienst | Wofür | Wo |
|---|---|---|
| Supabase | Datenbank, Konten, Dateispeicher — hier liegen Profile, Kreise und Briefe | Rechenzentrum in Irland (EU) |
| Resend | Versand der E-Mails (Bestätigung, Passwort zurücksetzen) | Versand über Server in der EU; Anbieter mit Sitz in den USA |
| Sentry | Fehlerberichte aus der App | EU-Region (Deutschland); Anbieter mit Sitz in den USA |
| Expo | Zustellung der Push-Benachrichtigungen | USA |
| Google (Firebase Cloud Messaging) | Zustellung der Push-Benachrichtigungen auf Android-Geräten | USA |
| Apple (APNs) | Zustellung der Push-Benachrichtigungen auf iPhones — erst, sobald es eine iOS-Fassung gibt | USA |
| Cloudflare | Namensauflösung der Domain, Auslieferung dieser Webseiten und Weiterleitung der E-Mails an info@, feedback@ und noreply@ — wer uns schreibt, dessen Nachricht läuft dort durch | Weltweites Netz, Anbieter mit Sitz in den USA |
Bei den drei zuletzt genannten werden Daten in die USA übermittelt. Das betrifft im Wesentlichen den Push-Token deines Geräts und den kurzen Benachrichtigungstext (etwa „Eine neue Frage wartet auf dich“) — nicht den Inhalt deiner Briefe. Grundlage sind die Standardvertragsklauseln der EU-Kommission beziehungsweise das EU-US Data Privacy Framework. Wenn du keine Benachrichtigungen erlaubst, entfällt dieser Weg vollständig.
Resend versendet die E-Mails technisch über Amazon SES in der EU-Region Irland; das ist ein Unterauftragsverarbeiter von Resend.
Kein Zahlungsdienstleister. Die App ist während der Testphase kostenlos, es gibt keinen Kaufweg und keine Zahlungsdaten. Sollte später ein Abo dazukommen, wird diese Erklärung vorher ergänzt — Karten- oder Kontodaten würden ohnehin nie bei uns liegen, sondern beim jeweiligen Anbieter.
Wie die Daten geschützt sind
- Die Verbindung zwischen App und Server ist durchgehend verschlüsselt (TLS); die Datenbank ist beim Anbieter auch im Ruhezustand verschlüsselt.
- Die Sichtbarkeitsregel steht in der Datenbank, nicht in der Anzeige: Der Server gibt fremde Briefe erst heraus, wenn du selbst geantwortet hast. Das lässt sich nicht durch eine veränderte App umgehen.
- Dein Passwort liegt nur als kryptografischer Abdruck vor, deine Anmeldung auf dem Gerät im verschlüsselten Schlüsselspeicher.
- Profilbilder sind nicht öffentlich abrufbar. Sie werden nur über kurzlebige, signierte Adressen ausgeliefert, und auch das nur an Personen, mit denen du einen Kreis teilst.
- Die Auswertungen und Protokolle sind ausschliesslich mit dem Server-Schlüssel lesbar, der nicht in der App steckt.
Wie lange
- Solange dein Konto besteht. Es gibt keine automatische Löschfrist, weil das Archiv der eigenen Briefe Teil der App ist.
- Beim Löschen des Kontos (in der App unter Einstellungen → Konto löschen) werden gelöscht: dein Profil und Profilbild, deine Briefe, deine Reaktionen, deine Mitgliedschaften, deine Einladungslinks, die Benachrichtigungs-Token, das Zustellprotokoll, deine Rückmeldungen, die Fristen deiner Testphase und — falls vorhanden — Abo-Angaben. Ein Kreis, in dem du das letzte Mitglied warst, verschwindet mit dir. Nichts davon wird anonymisiert: In Kreisen von vier bis acht Menschen wäre „anonym“ nur pseudonym und damit weiterhin personenbezogen.
- Was ohne Bezug zu dir übrig bleibt: Kreise, in denen andere weiterbestehen, samt ihrer Fragen und der Briefe der anderen; die Einträge im Ereignisprotokoll dieser Kreise („eine Antwort ist eingegangen“) verlieren dabei den Verweis auf dich. Wer mit dir in einem Kreis war, sieht weiterhin die Briefe, die du bis dahin geschrieben hattest — denn sie sind Teil der gemeinsamen Geschichte und liegen nicht allein bei dir.
- Was bewusst bleibt: die oben beschriebenen Abdrücke von Gerätekennung und E-Mail-Adresse. Ohne sie wäre Löschen und Neuanmelden eine unbegrenzt wiederholbare Gratisphase. Aus einem Abdruck lässt sich die Adresse nicht zurückrechnen, und er steht mit keinem Konto mehr in Verbindung.
- Fehlerberichte werden nach 90 Tagen automatisch gelöscht.
Deine Rechte
Du kannst Auskunft über deine Daten verlangen, sie berichtigen oder löschen lassen, ihre Verarbeitung einschränken, einer Verarbeitung widersprechen, die auf berechtigtem Interesse beruht, und eine Übertragung deiner Daten verlangen. Das Löschen geht am schnellsten direkt in der App; für alles andere genügt eine formlose Nachricht an info@chodigo.com.
Du kannst dich ausserdem bei einer Aufsichtsbehörde beschweren — in der Schweiz beim EDÖB, in der EU bei der Datenschutzbehörde deines Wohnsitzlandes.
Es findet keine automatisierte Entscheidungsfindung und kein Profiling im Sinne von Art. 22 DSGVO statt. Welche Frage ein Kreis bekommt, entscheidet eine feste Regel (die am längsten nicht gestellte Frage der gewählten Tiefe) — keine Auswertung deiner Person.
Änderungen
Ändert sich etwas Wesentliches an der Verarbeitung, wird diese Seite angepasst. Solange die Testphase läuft, informieren wir Teilnehmende zusätzlich direkt.
Stand: 19. September 2026