# Datenschutzerklärung
**daddla – Progressive Web App**  
Stand: September 2026

## 1. Geltungsbereich
Diese Datenschutzerklärung informiert über die Verarbeitung personenbezogener Daten bei Nutzung der Progressive Web App **daddla** unter **https://app.daddla.de** (Browser und Homescreen).

Die Marketing-Website **https://daddla.de** hat eine eigene, kurze Datenschutzerklärung. Betreiber beider Angebote ist dieselbe Gesellschaft.

daddla richtet sich an Personen **ab 18 Jahren** mit Wohnsitz oder gewöhnlichem Aufenthalt in der **Bundesrepublik Deutschland**. Der Zugriff wird anhand der IP-Adresse auf Deutschland beschränkt (siehe Ziff. 4.12).

## 2. Verantwortlicher
**daddla GbR**  
Gesellschafter: Dragan Jukic, Maximilian Demetriades  
Illerstraße 8  
76694 Forst  
Deutschland  
E-Mail: info@daddla.de

Ein Datenschutzbeauftragter nach § 38 BDSG / Art. 37 DSGVO ist nicht bestellt. Datenschutzanfragen richten Sie an info@daddla.de.

**Aufsichtsbehörde**  
Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg  
Lautenschlagerstraße 20, 70173 Stuttgart  
https://www.baden-wuerttemberg.datenschutz.de

## 3. Ihre Rechte
Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21) sowie auf Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3). Außerdem das Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77).

Auskunft und ein Teil-Export (Konto-Stammdaten) können Sie in der App anstoßen oder per E-Mail an info@daddla.de verlangen. Chat-Verläufe beim Dienstleister und vollständige Zahlungsbelege nennen wir auf Anfrage.

## 4. Zwecke und Datenarten

### 4.1 Registrierung und Konto
**Rechtsgrundlage:** Art. 6 Abs. 1 lit. b DSGVO

E-Mail-Adresse, Benutzername, Passwort (nur als Hash), Geburtsdatum (Prüfung Mindestalter 18), Geschlecht, Suchpräferenz (wen Sie in der Entdecken-Ansicht sehen möchten), Konto-Status, Zeitpunkte von Anlage und Anmeldung, optionale Verknüpfung zu einem Einladenden.

Technische Hilfsdaten: E-Mail-Bestätigungs-, Passwort-Reset- und E-Mail-Wechsel-Tokens (nur bis Verwendung oder Ablauf), Login-Sessions.

Einwilligungen (Datenschutz, AGB, Angaben nach Ziff. 4.3, optional Newsletter) werden in einem Einwilligungsprotokoll festgehalten (Zeitpunkt, Art der Erklärung, gekürzte technische Daten). Newsletter nur bei gesondertem Haken, Widerruf über die Einstellungen oder info@daddla.de.

### 4.2 Profil
**Rechtsgrundlage:** Art. 6 Abs. 1 lit. b DSGVO; freiwillige Zusatzangaben Art. 6 Abs. 1 lit. a DSGVO

Bio, Persönlichkeitsmerkmale, Spiele, Plattformen, Genres, Anime- und Cosplay-Angaben, Stadt bzw. grober Ort, optional Koordinaten sofern Sie die Standortfunktion im Browser erlauben, bis zu **vier** Bilder (ein festes Hauptbild), gewählte Profil-Skins, Level, Mana-Stand, Errungenschaften sowie Werte, die für eine Rangliste nötig sind.

**Was andere Nutzer sehen:**  
Für eingeloggte Nutzer sichtbar sind Benutzername, **Alter** (aus dem Geburtsdatum berechnet), Bilder, Bio, Stadt und Level sowie – sofern angegeben – Gaming-Plattformen, Lieblingsspiele, Anime, Manga, Cosplay und Persönlichkeitsmerkmale. Sofern vorhanden, ein **Verifizierungsabzeichen** (kein Bestandteil der Registrierung, siehe Ziff. 4.14). Ein angezeigter „Passungs“-Wert wird nur aus euren Angaben berechnet und nicht an Dritte zu Werbezwecken übermittelt.  
Nicht öffentlich sichtbar sind insbesondere E-Mail-Adresse, Passwort, genaue Koordinaten (soweit nur intern für Entfernungen genutzt), Zahlungsdaten, Chat-Anfragen anderer Personen und Moderationsvermerke. Die PWA ist kein offenes Profilverzeichnis für nicht eingeloggte Besucher.

### 4.3 Angaben, aus denen sich eine sexuelle Orientierung ergeben kann
**Rechtsgrundlage:** Art. 9 Abs. 2 lit. a DSGVO

Geschlecht und Suchpräferenz können Rückschlüsse auf die sexuelle Orientierung zulassen. Wir nutzen das nur, damit Ihnen passende Profile angezeigt werden und Sie Chat-Anfragen senden können – nicht für Werbung Dritter.

Die ausdrückliche Einwilligung wird bei der Registrierung eingeholt. Widerruf: Präferenz im Profil ändern oder Konto löschen.

### 4.4 Entdecken, Chat-Anfragen, Buddy
**Rechtsgrundlage:** Art. 6 Abs. 1 lit. b und lit. f DSGVO

Welche Profile Sie gesehen haben, welche Sie abgelehnt haben, Chat-Anfragen (Absender, Empfänger, **Text der ersten Nachricht**, Status, Zeitpunkte, ob eine Anfrage mit Mana hervorgehoben wurde) und zustande gekommene Buddy-Verbindungen. Filter können Altersspanne und Entfernung berücksichtigen. Discover-Zwischenspeicher laufen nach kurzer Frist ab.

Die erste Nachricht einer Anfrage speichern wir in unserer Datenbank. Der weitere Nachrichtenverlauf liegt beim Chat-Dienst (Ziff. 8).

### 4.5 Chat und Sticker
**Rechtsgrundlage:** Art. 6 Abs. 1 lit. b DSGVO

Chat-Inhalt, Zeitstempel, Sender und Empfänger, Lesestatus beim Chat-Dienst. Sticker-Ereignisse zusätzlich in unserer Datenbank (wer wem welchen Sticker gesendet hat).

### 4.6 Hinweise in der App, Web-Push und Service Worker
**Rechtsgrundlage:** Art. 6 Abs. 1 lit. b DSGVO; Web-Push Art. 6 Abs. 1 lit. a DSGVO, soweit der Browser eine Einwilligung verlangt; Service-Worker-Cache Art. 6 Abs. 1 lit. f DSGVO (Betrieb der PWA)

In-App-Hinweise (z. B. neue Anfrage oder Nachricht).

**Web-Push:** Endpunkt und Schlüssel des Browsers, Aktiv-Status, Fehlversuche. Unbrauchbare Subscriptions werden deaktiviert und nach etwa 90 Tagen gelöscht. Versandprotokolle etwa 30 Tage.

Eine Mitteilung kann Typ (z. B. Nachricht, Anfrage, Sticker) und eine interne Vorgangsnummer enthalten, damit beim Antippen die richtige Ansicht öffnet.

Wenn Sie eine Mitteilung schließen ohne sie zu öffnen, kann unser Server den Vorgang speichern (Typ, Zeitpunkt, „geschlossen“), um die Zustellung zu prüfen. Keine Weitergabe an Werbenetzwerke.

**Service Worker:** Die PWA speichert auf Ihrem Gerät technische Dateien (z. B. Icons, Styles, Offline-Hinweis). Kontodaten, Chat und API-Antworten werden darüber nicht zwischengespeichert.

### 4.7 Empfehlungsprogramm
**Rechtsgrundlage:** Art. 6 Abs. 1 lit. b DSGVO, Missbrauchsabwehr lit. f

Einladungscode oder -link, Verknüpfung Einladender / Eingeladener, Zeitpunkt, Mana-Gutschrift (500 Mana je erfolgreicher Registrierung, höchstens fünf pro Kalendermonat).

### 4.8 Zahlungen
**Rechtsgrundlage:** Art. 6 Abs. 1 lit. b und lit. c DSGVO

Kostenpflichtig sind optional daddla Legend (Laufzeiten 7/14/30 Tage), Mana-Pakete und Skins. Zahlung ausschließlich über **PayPal**. Wir speichern Bestellungen, Abo-Status, Transaktionsreferenzen, Rechnungen und – soweit für den Beleg angegeben – Rechnungsname und -anschrift.

PayPal (Europe) S.à r.l. et Cie, S.C.A. handelt als eigener Verantwortlicher.  
https://www.paypal.com/de/legalhub/privacy/full

### 4.9 Support und Meldungen
**Rechtsgrundlage:** Art. 6 Abs. 1 lit. b und lit. f DSGVO

Support-Tickets und dazugehörige Nachrichten, Nutzermeldungen (meldende Person, gemeldetes Profil, Grund, Bearbeitung). Die Unterstützung in der App („Synthia“) ist ein internes Hilfesystem und schreibt nur in unsere Datenbank. Es findet keine Übermittlung von Ticketinhalten an einen externen KI- oder Bot-Anbieter statt.

### 4.10 Moderation, Sicherheit, Geo
**Rechtsgrundlage:** Art. 6 Abs. 1 lit. f DSGVO

Sperren, Timeouts und Kontolöschungen einschließlich Grund und Zeitpunkt, soweit zur Nachvollziehbarkeit nötig.  
Server-Logs (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browserkennung) für Betrieb, Missbrauchserkennung und Prüfung, ob der Zugriff aus Deutschland kommt.

**Bildprüfung mit NudeNet:**  
Jedes hochgeladene Profil- oder Galeriebild wird vor der Veröffentlichung auf unserem Server mit der Open-Source-Software NudeNet geprüft. Das Werkzeug erkennt typische Nackt- und eindeutig sexuelle Darstellungen. Ziel ist, dass solche Inhalte nicht in der Community erscheinen. daddla ist ein 18+-Angebot ohne explizites Bildmaterial; die Prüfung ist Teil unseres Jugend- und Nutzerschutzes.

Die Analyse läuft ausschließlich lokal auf unserem Server. Die Datei wird nicht an NudeNet als Cloud-Dienst, nicht an externe KI-APIs und nicht an Werbenetzwerke übermittelt. Abgelehnte Bilder werden nicht ins Profil übernommen. Auffällige Fälle können wir zusätzlich manuell prüfen.

NudeNet ist keine amtliche Altersverifikation, keine Gesichtserkennung zur Identifikation und kein biometrisches System im Sinne einer Personenfeststellung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

### 4.11 E-Mails
**Rechtsgrundlage:** Art. 6 Abs. 1 lit. b und lit. f DSGVO

Versand ausschließlich über den SMTP-Dienst unseres Hostings (dataforest/Avoro). Kein SendGrid und kein sonstiger externer Mail-Dienstleister. Absender insbesondere hello@daddla.de und billing@daddla.de. Inhalt: Bestätigung, Passwort, Rechnung, Moderation, Kontolöschung, optional Newsletter.

### 4.12 Geo-Prüfung und IP-Sperre (Deutschland)
**Rechtsgrundlage:** Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse)

Beim Aufruf werten wir die öffentliche IP-Adresse aus, um festzustellen, ob der Zugriff aus Deutschland kommt. Liegt der Anschluss erkennbar außerhalb Deutschlands, wird der Dienst nicht oder nur eingeschränkt bereitgestellt (technische Sperre).

**Verarbeitete Daten dabei:** IP-Adresse, grobes Herkunftsland, Zeitpunkt, übliche HTTP-Kopfdaten. Die Zuordnung der IP zum Land erfolgt über Abfragen an **ip-api.com**, bei Ausfall hilfsweise **ipapi.co** und **ipwhois.app**. Antworten können kurz zwischengespeichert werden. Es wird kein dauerhaftes Bewegungsprofil erzeugt. MaxMind wird nicht eingesetzt. Die genannten Geo-Dienste können Server außerhalb der EU nutzen; übermittelt wird nur die IP zum Zweck der Landeserkennung.

**Warum wir das machen:**
- einheitliche Jugendschutz-, Verbraucher- und Datenschutzregeln für ein ausschließlich deutsches Angebot
- begrenzte Moderations-, Support- und Betriebskapazität
- Vermeidung steuerlicher und verbraucherrechtlicher Pflichten in anderen Staaten (wir sind Kleinunternehmer nach § 19 UStG und bieten den Dienst nicht gezielt in anderen EU-Ländern an)

Geblockte Zugriffe können kurz protokolliert werden (wenige Wochen), danach Löschung, sofern kein konkreter Missbrauchsfall entgegensteht.

Wer aus Deutschland kommt und dennoch gesperrt wird (z. B. Mobilfunk, VPN, Firmennetz), schreibt an info@daddla.de. Wir prüfen das.

### 4.13 Jugendschutz
daddla ist ein Angebot **nur für Erwachsene (18+)**. Minderjährige dürfen die PWA nicht nutzen.

Zur Altersprüfung erheben wir das Geburtsdatum und eine Bestätigung bei der Registrierung. Eine hoheitliche Ausweis- oder eID-Prüfung führen wir nicht durch.

Ergänzend: Geo-Beschränkung auf Deutschland, inhaltliche Bildprüfung beim Upload (NudeNet, lokal), Nutzungsregeln und manuelle Moderation (Sperre, Timeout, Löschung). Zweck ist der Schutz Minderjähriger und der Nutzer untereinander. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag nur mit Volljährigen) und Art. 6 Abs. 1 lit. f DSGVO (Sicherheit und Jugendschutz).

### 4.14 Optionale Profilverifizierung (Gesichtsabgleich)
**Rechtsgrundlage:** Art. 6 Abs. 1 lit. a DSGVO und Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung)

Die Verifizierung ist **kein Bestandteil der Registrierung**. Ein Konto entsteht ohne Abzeichen. Wer möchte, kann später in den Profileinstellungen freiwillig ein Verifizierungsabzeichen beantragen.

Dafür vergleichen wir ein aktuell aufgenommenes Kamerabild (Handy oder Webcam) mit Ihrem hinterlegten Profilbild. Der Abgleich läuft **im Browser auf Ihrem Gerät** mit lokal von uns ausgelieferten Open-Source-Modellen (face-api). Kamerabilder und Gesichtsvektoren werden nicht auf unserem Server gespeichert.

An uns übermittelt wird nur das Ergebnis (erfolgreich / nicht erfolgreich) zusammen mit Ihrer Sitzung. Bei Erfolg speichern wir am Konto **is_verified** und **verified_at**. Eingeloggte Nutzer sehen das Abzeichen am Profil (Benutzername, Abzeichen, Alter).

Das ist keine Ausweis-, eID- oder hoheitliche Identitätsprüfung. Die App ist ohne Badge vollständig nutzbar. Rein zeichnerische oder Cosplay-Profilbilder können den Abgleich verhindern.

Einwilligung im Verifizierungsdialog. Widerruf über Support (info@daddla.de) oder Kontolöschung. Wir können das Abzeichen manuell setzen oder entfernen.

Keine Übermittlung von Gesichtsbildern an externe Erkennungsdienste.

## 5. Speicherdauer
- Konto, Profil, Bilder, Ort, Interessen, Anfragen, Buddy-Verbindungen, Interaktionen, Sessions, Tokens, Push-Subscriptions, Tickets, Sticker-Ereignisse, Skins, Errungenschaften, Einwilligungsprotokoll, optionales Verifizierungskennzeichen: **solange das Konto besteht**.
- Nach Löschung des Kontos entfernen wir diese Datensätze in der Anwendungsdatenbank, den Upload-Ordner und die Chat-Datensätze, die Ihrer User-ID zugeordnet sind.
- **Rechnungen** bleiben nach Kontolöschung erhalten (gesetzliche Aufbewahrung, in der Regel 10 Jahre).
- Zahlungs- und Buchhaltungsbelege: handels- und steuerrechtliche Fristen (in der Regel 10 Jahre).
- Optional kurzer Sperrvermerk nach einem Ban (z. B. Hash der E-Mail): nur so lange erforderlich, längstens 24 Monate.
- Server-Logs und Protokolle geblockter Zugriffe: wenige Wochen, länger nur bei konkretem Sicherheitsvorfall.
- Push-Versandprotokolle: ca. 30 Tage. Inaktive Push-Subscriptions: nach ca. 90 Tagen.
- Bestätigungs- und Reset-Tokens: bis Ablauf (je nach Typ Stunden bis ca. 24 Stunden).

Es findet **keine** pauschale Aufbewahrung aller Profildaten für drei Jahre nach Kontolöschung statt.

## 6. Konto löschen
Das Konto können Sie in der App selbst löschen. Anschließend gilt Ziff. 5. Eine Bestätigung geht an die zuletzt hinterlegte E-Mail. Rechnungen und gesetzlich aufzubewahrende Zahlungsdaten bleiben.

## 7. Hosting
Betrieb von PWA und Datenbank bei der **dataforest GmbH**, Taunusstraße 52, 65830 Kriftel (Avoro). Auftragsverarbeitung nach Art. 28 DSGVO. Standort der Infrastruktur: Deutschland.

## 8. Supabase (Chat)
**Supabase Inc.** verarbeitet Chat-Daten in unserem Auftrag. Speicherung der Chat-Daten in **Frankfurt (EU)**.

Der Data Processing Addendum ist Bestandteil der Supabase-Nutzungsbedingungen:  
https://supabase.com/legal/customer-resources/data-processing-addendum  
Unterauftragsverarbeiter:  
https://supabase.com/legal/customer-resources/subprocessor-list  

Supabase ist ein Unternehmen mit Sitz außerhalb der EU. Auch bei Speicherung in Frankfurt kann ein Zugriff aus den USA nicht vollständig ausgeschlossen werden. Dafür gelten die Standardvertragsklauseln im DPA. Ohne diesen Dienst ist der Chat nicht nutzbar.

## 9. Cookies, lokale Speicherung und PWA-Cache
Technisch erforderliche Session für den Login-Status. Weitere lokale Speicherung nur für Funktions- oder Hinweisstatus der App.

Der Service Worker kann statische Dateien im Gerätespeicher ablegen (siehe Ziff. 4.6). Das ist kein Tracking und kein App-Store-Konto.

Soweit ein Hinweisbanner zu Speicherung/Cookies erscheint, dient er dem gesetzlich nötigen Hinweis; Tracking-Pixel Dritter setzen wir in der PWA nicht.

In der PWA setzen wir kein Google Analytics, kein Meta-Pixel und kein Google AdSense. Free-Usern kann in der Profilansicht ein selbst gehostetes Kooperationsbanner mit Link zum Partner angezeigt werden. Dabei werden keine Tracking-Skripte Dritter geladen.

Die optionale Installation auf dem Homescreen erzeugt kein Tracking durch einen App Store.

## 10. Empfänger
Keine Veräußerung von Profildaten. Keine Nutzung von Nutzerfotos für unser Marketing.

Empfänger personenbezogener Daten:
- dataforest GmbH (Hosting und SMTP)
- Supabase Inc. (Chat)
- PayPal (Zahlungen)
- ip-api.com, ipapi.co und ipwhois.app (nur Land zur Zugriffsprüfung)
- Behörden, soweit wir rechtlich verpflichtet sind

## 11. Sicherheit
Übertragung per HTTPS, Passwörter nur als Hash, beschränkter Administrationszugang mit zusätzlicher Bestätigung, vorbereitete Datenbankabfragen, Bildprüfung beim Upload auf unserem Server.

## 12. Pflicht zur Bereitstellung
Ohne die Angaben in Ziff. 4.1 können wir kein Konto führen. Chat setzt Ziff. 8 voraus. Zahlungen setzen PayPal voraus. Die Profilverifizierung (Ziff. 4.14) ist freiwillig und nicht Teil der Registrierung.

## 13. Änderungen
Die aktuelle Fassung finden Sie unter dieser Adresse. Bei wesentlichen Änderungen informieren wir in der App oder per E-Mail, soweit uns eine Adresse vorliegt.

© 2026 daddla GbR