Datenschutzerklärung

1. Welche Daten wir verarbeiten

Pseudonym, Passwort-Hash, Geschlecht; verschlüsselte private Labels für deine Kontakte; Kontakt-, Test-, Symptom- und Behandlungsdaten, die du eingibst; Vertrauensbeziehungen (Pseudonym-Ebene). Nie erhoben: echte Namen, Adressen, Standortdaten. Kein Tracking einzelner Nutzer:innen oder ihres Verhaltens - lediglich rein aggregierte, anonyme Betriebskennzahlen (siehe Abschnitt 11).

2. Wozu wir die Daten verwenden

Ausschliesslich zur Berechnung deiner persönlichen Risikoeinschätzung. Kein Verkauf, keine Werbung, kein Profiling zu anderen Zwecken.

3. Rechtsgrundlage

Deine ausdrückliche, separat erteilte Einwilligung (besonders schützenswerte Personendaten). Jederzeit widerrufbar – ein Widerruf führt zur Kontolöschung. Diese Einwilligung umfasst ausdrücklich auch, dass deine Gesundheitsdaten und deine Angaben zum Sexualleben nach den Regeln in Abschnitt 6a in die Risikoberechnung anderer Nutzer:innen einfliessen. Rechtsgrundlage sind Art. 6 Abs. 6 und Abs. 7 lit. a revDSG sowie Art. 6 Abs. 1 lit. a in Verbindung mit Art. 9 Abs. 2 lit. a DSGVO.

4. Wie wir deine Identität schützen: Pseudonymität

Wir speichern nie echte Namen. Private Labels ("Mira = AB0123") sind envelope-verschlüsselt mit einem aus deinem Passwort abgeleiteten Schlüssel – auch für uns als Betreiber ohne dein Passwort nicht lesbar. Seit 2026-08-26 gilt dasselbe für deine Freitext-Notizen zu Kontakten, Symptomen und Behandlungen: auch sie sind mit demselben Schlüssel verschlüsselt, und zwar ohne Ausnahme für Personen, denen du vertraust – eine Notiz bleibt IMMER nur für dich selbst lesbar (siehe Abschnitt 6). Bei der Registrierung (und nach jedem Passwort-Wechsel) erhältst du zusätzlich einmalig einen Wiederherstellungs-Code, mit dem du dein Passwort zurücksetzen kannst, ohne den Zugriff auf deine Daten zu verlieren – auch dieser Code liegt nur bei dir, nie im Klartext bei uns. Ehrliche Grenze: während einer aktiven Session muss der Server ein Label bzw. eine Notiz kurz entschlüsseln, um sie dir anzuzeigen.

Konten von vor dem 2026-08-26 haben ein neues, längeres Pseudonym erhalten (bessere Schulterblick-Sicherheit); das ursprüngliche, kürzere Pseudonym bleibt zusätzlich dauerhaft gültig, damit sich nichts an bestehenden Verbindungen mit anderen Nutzer:innen ändert. Beide Formen funktionieren gleichwertig zum Einloggen und Verbinden.

5. Was NICHT verschlüsselt ist

Pseudonyme sowie die strukturierten Kontaktdaten (Datum, Praktik, Schutzmassnahme), Testergebnisse und Symptom-/Behandlungszuordnungen liegen pseudonymisiert, aber nicht feldverschlüsselt vor. Die zugehörigen Freitext-Notizen selbst sind davon ausgenommen (siehe Abschnitt 4) – aus dem Datenbestand ist damit nur ersichtlich, DASS ein Ereignis stattfand, nicht was in einer eventuellen Notiz dazu steht.

6. Was andere Nutzer:innen von dir sehen – und was nicht

Stand 2026-08-30: dieser Abschnitt wurde im Rahmen einer Sichtbarkeits-Neugestaltung überarbeitet (vorher: drei Ausnahmen, teils vertrauensabhängig; jetzt: zwei Ausnahmen, ausschliesslich verbindungsabhängig).

Du siehst von jeder Person in deinem Netzwerk grundsätzlich nur die berechnete Risiko-Prozentzahl, nie deren Ereignis-Protokoll im Detail. Zwei Ausnahmen, beide nur in deiner eigenen Sicht unter "Meine Personen": Erstens deine eigene Kontakt-Historie mit einer von dir erfassten Person (Datum, Praktik, Schutz) – das sind deine eigenen Angaben; die eigene Version DIESER Person (falls sie dieselbe Begegnung ebenfalls erfasst hat) siehst du dabei nie. Zweitens deren Testergebnisse und Behandlungen im Detail – aber nur, wenn und soweit die betreffende Person das beim Erfassen selbst so gewählt hat, UND ihr aktuell gegenseitig verbunden seid. Standardmässig ist ein Testergebnis oder eine Behandlung nur für die eintragende Person selbst sichtbar; sie kann es stattdessen für alle Personen freigeben, mit denen sie verbunden ist. Diese Sichtbarkeits-Wahl hängt bewusst NIE vom Vertrauen ab, nur von der Verbindung – so kann niemand allein daraus, ob ein geteilter Eintrag sichtbar ist, ableiten, ob ihm vertraut wird. Freitext-Notizen bleiben davon ausdrücklich ausgenommen: eine Notiz, die eine andere Person geschrieben hat, ist mit DEREN Passwort verschlüsselt, nicht mit deinem, und deshalb technisch unmöglich für dich lesbar. Symptome werden dir dabei NIE im Detail gezeigt – sie fliessen ausschliesslich als berechnetes Risiko ein. Umgekehrt gilt dasselbe: eine mit dir verbundene Person sieht deine Testergebnisse/Behandlungen nur gemäss der von dir selbst gewählten Sichtbarkeit, und deine eigene Kontakt-Historie mit ihr nie. Vertraust du jemandem zusätzlich, ändert das an dieser Anzeige nichts – Vertrauen wirkt ausschliesslich auf die Risikoberechnung (siehe Abschnitt 6a), nie darauf, was im Detail sichtbar wird. Grenze: Beobachtung von Veränderungen über die Zeit kann indirekte Rückschlüsse ermöglichen.

6a. Wie deine Angaben in die Risikoberechnung anderer Personen einfliessen

Kurz gesagt: Sobald du dich mit jemandem gegenseitig verbindest, können schlechte Nachrichten (positiver Test, Symptom) über wenige Zwischenschritte auch von Personen zu dir gelangen, die du nicht kennst – und umgekehrt deine zu ihnen. Weitergegeben wird dabei nie ein Detail deines Protokolls, nur die berechnete Zahl. Wie weit das genau reicht und was Vertrauen daran ändert, steht hier:

Dein Pseudonym ist kein Geheimnis – es ist dazu gedacht, weitergegeben zu werden. Trägst du das Pseudonym einer Person ein, fliessen dadurch für sich allein noch keine Angaben dieser Person in deine Berechnung: dafür muss diese Person unabhängig davon ebenfalls dein Pseudonym bei sich eintragen. Kommt die Gegenseitigkeit zustande, fliessen ihre risikoerhöhenden Selbstangaben (ein positiver Test, ein Symptom) in deine Berechnung ein – nie risikosenkende.

Eine Verbindung wirkt über die unmittelbar verbundene Person hinaus. Risikoerhöhende Selbstangaben (positiver Test, Symptom) laufen entlang der Kette gegenseitiger Verbindungen weiter: Ist eine Person, mit der du gegenseitig verbunden bist, ihrerseits mit einer weiteren Person gegenseitig verbunden, können auch deren risikoerhöhende Selbstangaben in deine Berechnung einfliessen – auch wenn du diese Person nie eingetragen hast, ihr nicht vertraust und sie nicht kennst; für Personen, die auf diesem Weg in dein Netzwerk gelangen, siehst du eine berechnete Risikozahl. Diese Reichweite ist nach oben begrenzt: sie erstreckt sich über höchstens wenige solche Zwischenschritte, und sie reicht nur so weit, wie entlang dieser Kette tatsächlich eingetragene Begegnungen liegen, die dein Risiko überhaupt beeinflussen können. Ein grosses Netzwerk allein vergrössert diese Reichweite nicht.

Über diese Grenze hinaus reicht die Berechnung nur noch einen einzigen weiteren Schritt, und auch diesen nur unter einer engen Bedingung: Eine Person, die einen Schritt weiter entfernt ist, wird nur dann einbezogen, wenn sie selbst für genau die betrachtete Krankheit einen positiven Test oder ein aktuelles Symptom eingetragen hat. Wer lediglich weiter entfernt ist, ohne eine solche eigene Angabe, wird über diesen Schritt nie einbezogen; ebenso wenig genügt es, dass eine solche Angabe erst bei einer noch weiter entfernten Person vorläge. Eine Person, die ausschliesslich über diesen zusätzlichen Schritt in die Berechnung eingeht, wird dir nicht angezeigt: du siehst für sie weder eine Risikozahl noch einen Eintrag in deiner Kontaktliste, und eine Veränderung deiner eigenen Zahl wird dir nie einer einzelnen Person zugeordnet erklärt.

Umgekehrt bedeutet das: deine eigenen risikoerhöhenden Angaben können Personen erreichen, mit denen du selbst nicht verbunden bist und die du nicht kennst – nämlich alle, die über eine solche Kette gegenseitiger Verbindungen in dieser Reichweite zu dir stehen; hast du selbst einen positiven Test oder ein aktuelles Symptom eingetragen, zusätzlich auch Personen einen Schritt weiter, dort allerdings – wie oben beschrieben – ohne dass du dort als Person überhaupt auftauchst. Weitergegeben werden dabei in keinem Fall Detailangaben (Datum, Praktik, Schutzmassnahme, Notizen) – nur die risikoerhöhende Tatsache selbst und die daraus berechnete Zahl.

Auf einer bestehenden gegenseitigen Verbindung kannst du der anderen Person zusätzlich Vertrauen geben: dann fliessen sämtliche ihrer Selbstangaben vollständig ein (auch negative Testergebnisse, Symptome, Behandlungen, eigene Kontakte), unabhängig von der Sichtbarkeit, die sie für ein einzelnes Testergebnis gewählt hat (siehe Abschnitt 6). Dein Vertrauens-Entscheid selbst bleibt bewusst einseitig und für die andere Person nicht sichtbar – sie erfährt nicht, ob/dass du ihr vertraust, und muss nicht zurückvertrauen. Sie weiss aber, dass überhaupt eine Verbindung zu dir besteht, weil sie dafür selbst aktiv dein Pseudonym eingetragen hat.

Vertrauen wirkt aktuell nur einen Schritt weit: Vertraut die Person, der du vertraust, ihrerseits einer weiteren Person, fliessen deren Selbstangaben dadurch NICHT zusätzlich in deine Berechnung ein – eine mehrstufige Vertrauenskette ist technisch (Stand 2026-09-01) noch nicht umgesetzt. Vertrauen wirkt ausschliesslich zwischen dir und der unmittelbar von dir als vertraut markierten Person: nur deren eigene, vollständige Selbstangaben (auch risikosenkende wie negative Testergebnisse, Symptome, Behandlungen, eigene Kontakte) fliessen dadurch in deine Berechnung ein, wie oben beschrieben – nicht die einer Person, der sie ihrerseits vertraut. Sollte das künftig erweitert werden, wird dieser Abschnitt vorher entsprechend aktualisiert.

Wenn du Vertrauen entziehst oder die Verbindung löst: Deine Berechnung wird bei jedem Aufruf vollständig neu durchgeführt; es gibt keine gespeicherten Ergebniswerte. Entziehst du dein Vertrauen, entfällt der volle Datenfluss sofort und auch für die Vergangenheit. Was danach weiterhin einfliesst, sind die risikoerhöhenden Selbstangaben (positiver Test, Symptom), solange eure gegenseitige Verbindung besteht – ein Vertrauensentzug allein beendet diesen Fluss also nicht. Auf die Detail-Anzeige (Abschnitt 6) hat ein Vertrauensentzug ohnehin nie Einfluss gehabt, da diese ausschliesslich verbindungsbasiert ist. Da die Verbindung selbst der Vorgang ist, der diesen Datenfluss überhaupt erst auslöst, kannst du sie auf der Kontakt-Detailseite über "Verbindung lösen" jederzeit vollständig widerrufen (Art. 7 Abs. 3 DSGVO) – danach endet auch der risikoerhöhende Selbstangaben-Fluss sofort, ein danach eventuell erneutes Verbinden setzt wieder beide Seiten voraus. Deine eigenen bereits erfassten Einträge bleiben dabei unverändert bei dir bestehen.

Bei den betroffenen Angaben handelt es sich um Gesundheitsdaten (Testergebnisse, Symptome, Behandlungen) und um Angaben zu deinem Sexualleben (Kontakte, Praktiken, Schutzmassnahmen) – besonders schützenswerte Personendaten nach Art. 5 lit. c revDSG bzw. besondere Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO. Mit der bei der Registrierung gesondert erteilten Einwilligung (siehe Abschnitt 3) willigst du hierin ausdrücklich ein. Auch die in den vorstehenden Absätzen beschriebene Weitergabe über die unmittelbar verbundene Person hinaus – einschliesslich des zusätzlichen Schritts für Personen mit eigenem positivem Test oder aktuellem Symptom, sowie die bei bestehendem Vertrauen beschriebene Weitergabe vollständiger Selbstangaben an die unmittelbar vertraute Person – ist von dieser Einwilligung umfasst.

7. Wo deine Daten liegen

Serverstandort: Hetzner Cloud, Nürnberg, Deutschland – innerhalb der EU.

8. Daten, die andere über dich eintragen

Trägt jemand einen Kontakt mit deinem Pseudonym ein, gehört dieser Eintrag dessen Konto, nicht deinem. Löschung deines Kontos entfernt deine eigenen Einträge, nicht zwangsläufig Erwähnungen bei anderen.

9. Deine Rechte

Auskunft, Berichtigung, Löschung, Widerruf, Datenübertragbarkeit, Beschwerde beim EDÖB. Wohnst du in der EU, kannst du dich zusätzlich bei der Datenschutz-Aufsichtsbehörde deines eigenen Wohnsitzlandes beschweren. Anfragen an: info@carekindred.org.

10. Löschung beantragen

Selbstbedienung im Konto unter "Konto löschen" (Passwort-Bestätigung erforderlich, sofort und endgültig) oder per E-Mail an info@carekindred.org. Entfernt werden dein Konto, eigene Einträge, private Labels, Vertrauensbeziehungen. Dein Pseudonym selbst wird dauerhaft gesperrt statt gelöscht: wir merken uns - ohne jede Verknüpfung zu deinen sonstigen Daten - dass es einmal vergeben war, damit es nie an eine andere Person neu vergeben wird und niemand versehentlich deine alten Einträge bei anderen Nutzer:innen für sich reklamiert.

10a. Wie lange wir deine Daten aufbewahren

Ausserhalb einer Löschung (siehe oben) bewahren wir deine Daten zeitlich unbegrenzt auf - es gibt keine automatische Löschung nach einer festen Frist. Das entspricht dem Zweck des Dienstes: eine über die Zeit fortgeführte Risikoeinschätzung setzt eine fortlaufend gepflegte Historie voraus. Das gilt auch für ersetzte Korrekturversionen einzelner Einträge (falls du eine Angabe nachträglich korrigierst, bleibt die ursprüngliche Version bis zur Kontolöschung erhalten, auch wenn nur die jeweils aktuelle Version für deine Berechnung zählt).

Technische Datensicherungen: tägliche Datenbank-Backups werden nach 14 Tagen rollierend gelöscht; zusätzliche Server-Snapshots unseres Hosting-Anbieters (Hetzner) umfassen bis zu 7 Stände (praktisch rund 7 Tage). Dein retiniertes Pseudonym (siehe Abschnitt 10) bleibt davon unberührt dauerhaft und unbegrenzt bestehen, auch über deine Kontolöschung hinaus.

11. Technischer Schutz

TLS, Passwort-Hashing, Envelope-Verschlüsselung privater Labels und Freitext-Notizen, Aggregation statt Rohdaten-Weitergabe zwischen Nutzer:innen. Kein Tracking einzelner Nutzer:innen: wir berechnen lediglich täglich rein aggregierte, anonyme Betriebskennzahlen (z.B. Gesamt- und aktive Nutzerzahl, Anzahl neuer Einträge) für eine interne Zusammenfassung – nie personenbezogen, nie mit Dritten geteilt.

12. Cookies

Nur ein technisch notwendiges Session-Cookie.

13. Änderungen

Wir passen diese Erklärung bei Bedarf an und informieren über wesentliche Änderungen.

14. Mindestalter

18 Jahre.

15. Sprachfassungen

Diese Datenschutzerklärung wird auf Deutsch, Englisch und Französisch bereitgestellt. Bei Widersprüchen zwischen den Sprachfassungen ist die deutsche Fassung massgebend.