Datenschutzhinweis

Gültig ab: 14. Juli 2026 · v2.1 · DSGVO Art. 13 · BDSG

1. Verantwortlicher

Gökhan Camcı (Einzelunternehmer unter der Marke SOU) — Istanbul, Türkiye
Kontakt: kvkk@souprivate.com

Betriebsmodell: Der aktuelle In-App-Identitätsablauf verarbeitet das Bild des Ausweisdokuments nur vorübergehend und speichert es nicht. SOU speichert drei private Verifizierungs-Selfies und kann mit gesonderter Einwilligung eine verschlüsselte Gesichtsvorlage in einem ausschließlich serverseitig zugänglichen Bereich speichern. Die Persona-Altintegration/bedingt bleibt offengelegt, bis ihre Deaktivierung oder Nutzung in Produktion nachgewiesen ist.

2. Verarbeitete personenbezogene Daten

Kategorie	Datenart	Rechtsgrundlage
Identität	Name, Geburtsdatum	Art. 6 Abs. 1 lit. b DSGVO · Vertragserfüllung
Kontakt	E-Mail-Adresse, Telefonnummer	Art. 6 Abs. 1 lit. b DSGVO · Vertragserfüllung
Standort (ungefähr)	Stadt, Stadtteil (Selbstangabe). Bei aktivierten Funktionen „Mitglieder in der Nähe" und automatischer Check-in wird zusätzlich der ungefähre Standort Ihres Geräts verwendet: Auf dem Server werden keine genauen GPS-Koordinaten gespeichert; der auf eine Genauigkeit von ~111 m gerundete Standort wird vorübergehend (höchstens 5 Min.) vorgehalten. Der beim Hinzufügen eines Ortes eingegebene Standort wird zur Adressumwandlung an OpenStreetMap Nominatim (EU) übermittelt.	Art. 6 Abs. 1 lit. a DSGVO · Einwilligung
Bild	Profilfotos (EXIF-Daten bereinigt)	Art. 6 Abs. 1 lit. a DSGVO · Einwilligung
Identitätsverifizierung	Das Bild des Ausweisdokuments wird vorübergehend verarbeitet und von SOU nicht gespeichert. Drei private Verifizierungs-Selfies werden gespeichert; mit gesonderter Einwilligung kann eine verschlüsselte Gesichtsvorlage gespeichert werden. Ergebnisse und Prüfsignale werden ebenfalls aufbewahrt.	Art. 6 Abs. 1 lit. b DSGVO · Vertragserfüllung; gesonderte Einwilligung für biometrische Daten
Führungszeugnis-Verifizierungsergebnis	Der Nutzer lädt ein E-Devlet QR-codiertes Dokument hoch; das QR-System des türkischen Justizministeriums führt die Verifizierung durch. SOU behält nur das clean=true/false-Ergebnis; das Dokument selbst wird nicht gespeichert.	Art. 6 Abs. 1 lit. b DSGVO · Vertragserfüllung
Absichtspräferenzen	Absicht (Bekanntschaft / Freundschaft / Berufliches / Gespräch), Prompt-Antworten	Art. 6 Abs. 1 lit. a DSGVO · Einwilligung
Verhaltensbasiert	Drop-Reaktionen, Zuverlässigkeitsmetriken, Vouch-Graph	Art. 6 Abs. 1 lit. f DSGVO · berechtigte Interessen
Abgeleitet / Profiling	Aus Profil und Präferenzen abgeleitete Kategorien sowie ein aus Drop-Entscheidungen berechneter Zuverlässigkeitsindikator. HOUSE erstellt eine direkte Vorstellung, die das System oder ein autorisierter Redakteur ohne gegenseitige Zustimmung auswählt; eine menschliche Prüfung findet nur bei entsprechender Weiterleitung statt.	Art. 6 Abs. 1 lit. f DSGVO · berechtigte Interessen
Transaktional	Apple-Abonnement-Metadaten, Zahlungsstatus (keine Kartendaten gespeichert)	Art. 6 Abs. 1 lit. b DSGVO · Vertragserfüllung
Technisch	Gerätetyp, Betriebssystemversion, App-Version, IP-Adresse, Push-Token	Art. 6 Abs. 1 lit. f DSGVO · berechtigte Interessen

Hinweis: SOU speichert das Bild des Ausweisdokuments nicht, bewahrt aber drei private Verifizierungs-Selfies auf und kann mit gesonderter Einwilligung eine verschlüsselte Gesichtsvorlage speichern. Diese Artefakte werden bei Widerruf oder Kontolöschung über einen wiederholbaren Löschablauf entfernt. Die Persona-Altintegration/bedingt bleibt vom Nachweis ihrer Deaktivierung oder Produktionnutzung abhängig.

3. Verarbeitungszwecke

Prüfung und Genehmigung der Mitgliedschaftsbewerbung
Erstellung kuratierter Kennenlerngelegenheiten (Drop)
Öffnung des Match- und Nachrichtenkanals
Trust & Safety (Identitätsprüfung, Meldungen, Sperrungen)
Erfüllung gesetzlicher Verpflichtungen
Beantwortung von Verbraucherrechtsanfragen

4. Übermittlung in Drittländer (DSGVO Art. 44–49)

Wir setzen die nachstehenden Drittanbieter als Auftragsverarbeiter ein. Für die Übermittlung liegen ausdrückliche Einwilligungen und/oder Standardvertragsklauseln (SCC) gemäß Art. 46 DSGVO vor:

Anbieter	Standort	Daten	Rechtsgrundlage
Firebase / Google Cloud	USA und Europa (aktuelles Firestore: nam5; Functions: europe-west1)	Auth, Firestore, Storage, Functions, Schlüsselverwaltung und Bildsicherheit einschließlich privater Verifizierungs-Selfies	Anwendbarer Transfermechanismus und DPA; keine Behauptung ausschließlicher EU-Datenresidenz
OpenAI	USA	Nachrichteninhalt (Sicherheitsmoderation + Gesundheits-/Risikoanalyse des Gesprächs), Profil-Bio/Prompt-Text (Matching-Embedding), Sprachvorstellung (Whisper-Transkript), gebucketete Profilkategorien (redaktioneller Drop-Text)	Ausdrückliche Einwilligung (KI-Einwilligungsbildschirm) + DPA/SCC
Google Cloud Vision	USA / global	Hochgeladene Fotos (Prüfung auf unangemessene Inhalte / NSFW-Sicherheitsscan + Gesichtserkennung)	Ausdrückliche Einwilligung + DPA/SCC
OpenStreetMap Nominatim	EU	Beim Hinzufügen eines Ortes eingegebener Standort-/Suchtext (Koordinaten→Adresse-Umwandlung)	Berechtigte Interessen + öffentliche API-Nutzungsbedingungen
Persona (Altintegration/bedingt)	USA	Daten früherer KYC-Anfragen nur, wenn die verbleibende Integration noch konfiguriert ist	Ausdrückliche Einwilligung bei Aktivität + DPA/Transfermechanismus; sonst Deaktivierungsnachweis
RevenueCat	USA	UID, Abonnement-Metadaten	SCC + Vertrag
Resend (E-Mail)	EU	Kontakt-E-Mail-Adresse	EU DPA
Sentry	EU (sentry.io DE-Region)	Fehlerprotokolle (PII geschwärzt)	EU DPA
Apple App Store	USA/EU	Apple ID, Kaufbelege	Apple Developer Agreement
Twilio (SMS, optional)	EU/UK	Telefon-OTP	DPA + SCC

5. Speicherdauer (DSGVO Art. 5 Abs. 1 lit. e · Art. 17)

Daten der Web-Warteliste: Aufbewahrung ab Bewerbungsdatum bis zum App-Launch + 6 Monate. Findet der Launch nicht statt, erfolgt die Löschung spätestens am 31. Dezember 2027. Abgelehnte Bewerbungen werden 90 Tage nach Entscheidungsdatum gelöscht.
Daten aktiver Mitglieder: für die Dauer der Mitgliedschaft
Nach Kontoschließung: 30-tägige Soft-Delete-Nachfrist
Nach 30 Tagen: dauerhafte Löschung (Nachrichten anonymisiert, Drops/Vouches anonym)
Meldungen (T&S): 3 Jahre anonymisiert (gesetzliche Verpflichtung)
Audit-Logs: 3 Jahre (Nachweispflicht gemäß DSGVO Art. 5 Abs. 2)

6. Betroffenenrechte (DSGVO Art. 15–22)

Die nachstehenden Rechte können Sie unter kvkk@souprivate.com oder über Einstellungen → Datenschutzanfrage in der App geltend machen:

Auskunft darüber, ob Ihre personenbezogenen Daten verarbeitet werden
Auskunft über die verarbeiteten Daten
Auskunft über den Verarbeitungszweck
Auskunft über nationale und internationale Empfänger
Berichtigung unvollständiger oder unrichtiger Daten
Löschung / Vernichtung (Einstellungen → Konto schließen)
Datenübertragbarkeit in maschinenlesbarem Format (Einstellungen → Meine Daten herunterladen, DSGVO Art. 20)
Widerspruch gegen automatisierte Entscheidungen (DSGVO Art. 22 — Widerspruch gegen Drop-Auswahllogik: kvkk@souprivate.com)

Ihre Anfrage wird innerhalb von 30 Tagen beantwortet.

7. Einsatz von Künstlicher Intelligenz und automatisierte Verarbeitung

Unser primärer KI-Anbieter ist OpenAI (USA). Für die Sicherheit des Dienstes und die Matching-Qualität werden die folgenden Daten verarbeitet:

Chat-Nachrichten: Die von Ihnen gesendeten Textnachrichten werden zur Wahrung der Sicherheit der Gemeinschaft (Moderation) und zur Gesundheits-/Risikoanalyse des Gesprächs an OpenAI übermittelt.
Profil-Bio / Prompt-Antworten: Zur Berechnung der Matching-Ähnlichkeit werden sie in das OpenAI-Embedding-Modell (numerischer Vektor) umgewandelt. Dies erfolgt nur, wenn Ihre ausdrückliche Einwilligung vorliegt; erteilen Sie keine Einwilligung oder widerrufen Sie diese, wird Ihr Text nicht an OpenAI übermittelt.
Sprachvorstellung: Ihre aufgenommene Sprachvorstellung wird zur Transkription an OpenAI Whisper übermittelt.
Fotos: Hochgeladene Fotos werden zur Prüfung auf unangemessene Inhalte (NSFW) an Google Cloud Vision übermittelt.
Redaktioneller Drop-Text: Für den Text „Warum wurde ich ausgewählt" werden gebucketete Kategorien (Altersband, Berufsgruppe, Stadtteil) ohne Namen oder Foto an OpenAI übermittelt.

Für diese Anbieter gelten der jeweilige Auftragsverarbeitungsvertrag und Transfermechanismus. HOUSE erstellt eine direkte Vorstellung: Das SOU-System oder ein autorisierter Redakteur wählt ein geeignetes Paar ohne Likes oder gegenseitige Annahme aus. Eine menschliche Prüfung erfolgt bedingt und nicht zwingend bei jeder Auswahl. Sie können die KI-Verarbeitung ablehnen und über den Datenschutzkanal eine Erklärung oder menschliche Prüfung verlangen.

8. Sicherheitsmaßnahmen (DSGVO Art. 32 · BDSG § 64)

Auth-Token werden im iOS Keychain / Android Keystore gespeichert
EXIF-Metadaten aus Fotos werden vor dem Upload bereinigt
Foto-Zugriff erfolgt über signierte URLs mit 5-Minuten-TTL
Keine PII-Übermittlung an Sentry (45-Schlüssel-Schwärzungsliste)
Gerät-Server-Kommunikation über TLS 1.3
Firestore Security Rules mit Field-Level-Whitelist

9. Schutz Minderjähriger

SOU richtet sich ausschließlich an Nutzer ab 18 Jahren. Die aktuelle Identitäts- und Altersprüfung erfolgt in der App. Die Persona-Altintegration/bedingt verarbeitet Daten nur, wenn ihr fortbestehender Produktionseinsatz nachgewiesen ist. Bewerbungen Minderjähriger werden abgelehnt und die Daten gelöscht.

10. Kontakt und Beschwerde

Datenschutzanfragen: kvkk@souprivate.com · Antwortfrist: 30 Tage
Sollten Sie keine Antwort erhalten, haben Sie das Recht, Beschwerde bei der zuständigen Datenschutz-Aufsichtsbehörde einzulegen (DSGVO Art. 77 · BDSG § 19).