Datenschutzerklärung für Framekin

Stand: 30. Oktober 2026. Dieser Text beschreibt die Android-App Framekin (Paket de.senorit.frame, Version 2.2.0) so, wie sie heute arbeitet.

Verantwortlicher

Senorit Web Agency
Ebrahim Seyfi, handelnd unter „Senorit“
Seeschwalbentwiete 23
22119 Hamburg
Deutschland
E-Mail: kontakt@senorit.de
USt-IdNr.: DE457016619
Datenschutzbeauftragte(r): Es ist kein Datenschutzbeauftragter bestellt; Kontakt: kontakt@senorit.de

„Wir“ bedeutet in diesem Text Senorit Web Agency. „Sie“ ist die Person, die die App nutzt.

Das Wichtigste vorab

Sie melden sich mit Ihrem Google-Konto an. Wir verlangen keine Telefonnummer und kein Passwort. Wir speichern die E-Mail-Adresse Ihres Google-Kontos, nur wenn Google sie als bestätigt markiert, um Ihnen zu Ihrem Konto, Tarif, Ihren Käufen und zur Sicherheit zu schreiben.
Fotos, Videos, Zeichnungen und Notizen, die Sie senden, sind Ende-zu-Ende-verschlüsselt. Wir, Cloudflare und Google können sie nicht öffnen. Seit dem 30. Oktober 2026 nimmt der Server nichts anderes mehr an. Antworttexte, Reaktionen, Profilfotos, Geschenknotizen, Countdown-Titel, Anzeigenamen und die Angaben dazu, wer wem wann sendet, liegen lesbar bei uns. Die Verbindung ist verschlüsselt, die Dateien liegen in einem privaten Speicher in der EU, und unser Server gibt ein Foto oder Video nur an Sie und an Freundinnen und Freunde heraus, die Sie hinzugefügt und nicht blockiert haben. Der Abschnitt „Was wir sehen können und wie die Daten geschützt sind“ erklärt das.
In der App gibt es keine Werbung, keine Analysesoftware und keine Software für Absturzberichte. Wir verkaufen keine Daten und verfolgen Sie nicht über andere Apps oder Websites.
Die Sicherung in Google Drive ist freiwillig und standardmäßig aus. Sie landet in Ihrem eigenen Google Drive, nie bei uns.
Framekin braucht einen Tarif. Nach der kostenlosen Testphase oder wenn ein Tarif endet, ist Ihr Konto pausiert. Wir löschen nichts, weil ein Tarif endet. Der Abschnitt „Tarife, Testphase und pausierte Konten“ erklärt das.
Sie können Ihr Konto jederzeit in der App löschen. Danach entfernen wir alles, was wir über Sie gespeichert haben, bis auf wenige kleine Ausnahmen, die im Abschnitt zur Löschung stehen.

Was wir sehen können und wie die Daten geschützt sind

Versiegelte Momente

Fotos, Videos, Zeichnungen und Notizen werden mit ihren Bildunterschriften, Vorschaubildern und Video-Postern auf dem Handy der absendenden Person verschlüsselt, bevor sie hochgeladen werden. Jeder Moment hat einen eigenen Schlüssel, der für den Schlüssel jedes Empfängers verpackt wird. Senorit, Cloudflare und Google können sie nicht öffnen. Jedes Handy veröffentlicht nach der Anmeldung einen öffentlichen Schlüssel.

Seit dem 30. Oktober 2026 nimmt der Server nur noch Ende-zu-Ende-verschlüsselte Fotos, Videos, Zeichnungen und Notizen an. Eine App-Version, die zu alt zum Verschlüsseln ist, wird zum Update aufgefordert und kann erst wieder senden, wenn sie aktualisiert ist. Alle Momente, die vor diesem Datum unverschlüsselt gespeichert waren, wurden gelöscht.

Was wir sehen können

In jedem Fall lesen können wir: Antworttexte, Reaktionen, Profilfotos, Geschenknotizen, Countdown-Titel und Anzeigenamen. Außerdem sehen wir, wer wem wann sendet, Dateigrößen, die Freundesliste, Serien, den Stempelstil und Push-Tokens. Unsere Mitarbeitenden können alles, was lesbar gespeichert ist, technisch öffnen. Wir scannen Bilder oder Videos nicht automatisch und gleichen sie nicht mit Listen ab. Wir suchen nicht von uns aus nach rechtswidrigen Inhalten.

Wenn wir lesbare Inhalte öffnen, dann weil es jemand gemeldet hat (siehe „Melden und Blockieren“), weil ein Gericht oder eine Behörde es rechtmäßig verlangt oder weil Sie uns bitten, ein Problem damit zu beheben.

So sind die Daten geschützt

Die Verbindung zwischen App und Server ist mit TLS verschlüsselt. Die App akzeptiert nur gültige Zertifikate öffentlich vertrauenswürdiger Zertifizierungsstellen, nie unverschlüsseltes HTTP, und prüft ab Android 16 zusätzlich, ob das Zertifikat in öffentlichen Certificate-Transparency-Logs steht.
Ihr Handy meldet sich mit einem Sitzungstoken an. Der Server prüft es bei jeder Anfrage.
Bei jedem Foto und Video prüft unser Server, ob Sie die absendende Person sind oder als Freundin oder Freund zu den Empfängern gehören und ob niemand den anderen blockiert hat. Nur Freundinnen und Freunde, die Sie hinzugefügt und nicht blockiert haben, können Ihre Fotos und Videos abrufen.
Die Dateien liegen in einem privaten Speicher mit EU-Jurisdiktion, der nur über unseren Server erreichbar ist. Cloudflare verschlüsselt gespeicherte Objekte im Ruhezustand.
Auf Ihrem Handy sind die Sitzung, die Momentaufnahmen und die zwischengespeicherten Bilder mit einem Schlüssel im Android Keystore versiegelt, und Sie können die App-Sperre einschalten.
Versiegelte Momente werden auf dem Handy der absendenden Person mit einem Schlüssel pro Moment verschlüsselt, der für jeden Empfänger verpackt wird. Ihr Identitätsschlüssel bleibt auf Ihrem Handy, versiegelt mit einem Schlüssel im Android Keystore. Eine Kopie geht an Google Block Store, das sie Ende-zu-Ende-verschlüsselt speichert, wenn das Handy eine Bildschirmsperre hat und die Android-Sicherung an ist. Nach einer Neuinstallation kommt er automatisch zurück. Wir erhalten diesen Schlüssel nie.

Was wir außerdem sehen

Neben den Inhalten sehen wir:

wer ein Konto hat, den Anzeigenamen, die E-Mail-Adresse des Google-Kontos, den Freundescode, das Push-Token, die Zeitzone des Profils,
wer mit wem befreundet ist, wer wem wann etwas gesendet hat,
die Art (Bild oder Video), den Stempelstil, die Größe der Datei, das Ablaufdatum und ob der Moment zur Prüfung zurückgehalten wird,
wer einen Moment geöffnet, darauf reagiert oder geantwortet hat, wann und wie oft,
Serien und Countdown-Daten,
Ihren Tarif, sein Enddatum und die Käufe, die unter „Tarife, Käufe und Geschenke“ beschrieben sind,
die IP-Adresse und Geräteangaben, die Ihr Handy bei jeder Anfrage mitsendet, am Rand des Cloudflare-Netzwerks.

Was wir verarbeiten, nach Funktion

Konto

Bei der ersten Anmeldung bestätigen Sie einen Anzeigenamen (bis 40 Zeichen; Vorschlag ist der Vorname aus Ihrem Google-Konto). Wir legen eine zufällige Kontonummer, einen achtstelligen Freundescode und eine Sitzung an. Das Sitzungstoken auf Ihrem Handy ist ein langer Zufallswert, abgelegt in einer Datei, die mit einem Schlüssel im Android Keystore versiegelt ist. Auf dem Server speichern wir nur einen Hash davon, dazu den Zeitpunkt der Erstellung und der letzten Nutzung. Eine Sitzung, die 365 Tage lang nicht benutzt wird, läuft ab.

Google bestätigt uns, wer Sie sind, und wir speichern die interne Kennung Ihres Google-Kontos (den Wert „sub“). Ihr Google-Profilfoto speichern wir nicht. Wir speichern aber die E-Mail-Adresse Ihres Google-Kontos, nur wenn Google sie als bestätigt markiert, und aktualisieren sie bei jeder Anmeldung. Wir nutzen sie, um Ihnen zu Ihrem Konto, Ihrem Tarif, Ihren Käufen und zur Sicherheit zu schreiben (Servicemitteilungen). Wir verwenden sie nicht für Werbung, verschicken keinen Newsletter und geben sie nicht weiter und verkaufen sie nicht. Bei der Anmeldung gleichen wir sie außerdem mit einer kurzen Liste von Konten ab, denen der Inhaber kostenlosen Zugang gegeben hat.

Wenn Sie sich auf einem zweiten Handy anmelden, entsteht eine zweite Sitzung.

Freunde, Freundescodes, Anfragen, Blockieren

Wir speichern Ihre Freundschaften, die Freundschaftsanfragen, die Sie senden oder erhalten, wen Sie blockiert haben und Ihre Einstellungen pro Freund (Pause, Stummschalten und ob Sie eine Person für „Erst prüfen“ freigegeben haben). Wer Ihren Freundescode kennt, kann Sie hinzufügen, es sei denn, Sie haben den sicheren Modus eingeschaltet. Dann schickt jemand, der Ihren Code eingibt, nur eine Anfrage, und es passiert nichts, bis Sie zustimmen. Blockieren pausiert die Freundschaft: Sie sehen die Fotos, die Wand und das Profilfoto des anderen nicht mehr, und zwischen Ihnen wird nichts gesendet. Außerdem löscht es offene Anfragen und Countdowns zwischen Ihnen und verhindert, dass die Person Sie über den Code findet. Wenn Sie die Blockierung aufheben, ist die Freundschaft wieder da. „Freund entfernen“ beendet sie endgültig.

Sicherer Modus, „Erst prüfen“ und die Eltern-PIN

„Erst prüfen“ ist standardmäßig an. Ein Foto von einer Person, die Sie noch nicht freigegeben haben, wird auf unserem Server zurückgehalten. Es erscheint nicht auf Ihrer Wand, in Widgets oder Benachrichtigungen, bis Sie „Zeigen“ oder „Löschen“ wählen. Die absendende Person erfährt davon nichts. Ein zurückgehaltener versiegelter Moment wird Ihnen erst zugestellt, wenn Sie ihn freigeben. Sicherer Modus und „Erst prüfen“ sollen es Eltern erleichtern, das Handy eines Kindes einzurichten. Die Eltern-PIN wird nur auf Ihrem Handy gespeichert, als Hash mit Salt. Wir erhalten sie nie. Sie ist eine lokale Sperre für drei Einstellungen. Sie beweist nicht, dass die einstellende Person ein Elternteil ist, und wir behandeln sie nicht als Einwilligung der Eltern im rechtlichen Sinn.

Fotos, Videos, Zeichnungen und Notizen senden

Wenn Sie einen Moment senden, speichern wir:

das Bild (JPEG oder WebP) oder Video (MP4, in der App bis 10 Sekunden aufgenommen oder ein ausgewählter Clip), mit Ton, wenn Sie das Mikrofon erlaubt haben, und die Bildunterschrift,
die Art (Foto, Zeichnung, Notiz oder Video), den Stempelstil und die Größe der Datei,
wer sendet, für wen es bestimmt ist, wann es gesendet wurde, ob es beim Empfänger zur Prüfung zurückgehalten wird und wann es abläuft.

Zeichnungen und Notizen werden wie Fotos als gewöhnliche Bilder (JPEG oder WebP) gespeichert. Die Dateien und die Bildunterschrift werden verschlüsselt gespeichert, und wir können sie nicht lesen. Die Dateien liegen in einem privaten Speicher, der nur über unseren Server erreichbar ist. Unser Server gibt eine Datei nur heraus, wenn er geprüft hat, dass die Person die Absenderin oder ein aktueller Freund und Empfänger ist und dass niemand den anderen blockiert hat.

Eine Freundin oder ein Freund kann ein Foto auf dem Handy speichern, mit einer anderen App teilen oder einen Screenshot machen. Diese Kopien können wir nicht zurückholen.

Versiegelte Momente und Schlüssel

Nach der Anmeldung veröffentlicht Ihr Handy zwei öffentliche Schlüssel: einen Verschlüsselungsschlüssel und einen Signaturschlüssel, mit einer Selbstsignatur und einer Versionsnummer. Wir speichern sie auf unserem Server. Zu jedem versiegelten Moment speichern wir pro Empfänger einen verpackten Schlüssel. Öffentliche Schlüssel werden mit dem Konto gelöscht. Die verpackten Schlüssel einer Freundschaft werden gelöscht, wenn Sie die Person als Freund entfernen; Blockieren pausiert die Freundschaft nur und behält sie.

Der private Identitätsschlüssel bleibt auf Ihrem Handy, wie unter „So sind die Daten geschützt“ beschrieben. Senorit erhält ihn nie.

Google-Drive-Sicherung

Die Sicherung ist freiwillig und standardmäßig aus (Einstellungen, dann Sicherung). Wenn Sie sie einschalten, kopiert Framekin die Momente, die Ihr Handy hält (bis zu den 60 neuesten Einträge der Wand und bis zu 150 zwischengespeicherte Bilder, keine Videodateien), in einen versteckten App-Ordner in Ihrem eigenen Google Drive. Framekin fragt nur den Bereich drive.appdata an, sodass nur Framekin diesen Ordner sehen kann. Senorit erhält die Sicherung nie. Das Archiv ist mit einem aus Ihrem Identitätsschlüssel abgeleiteten Schlüssel verschlüsselt.

Sie wählen täglich, wöchentlich oder monatlich. Sie können sofort sichern, wiederherstellen (auch nach der Anmeldung auf einem neuen Handy angeboten), trennen (beendet die Sicherungen und entfernt den Drive-Zugriff von Framekin; die Dateien bleiben in Drive) oder die Sicherung löschen (entfernt die Dateien und den Zugriff).

Auf Handys, auf denen Block Store den Identitätsschlüssel nicht Ende-zu-Ende-verschlüsselt halten kann (zum Beispiel ohne Bildschirmsperre), wird zusätzlich eine Kopie des Identitätsschlüssels in diesem versteckten Drive-Ordner abgelegt, damit alte Momente nach einer Neuinstallation geöffnet werden können. Google kann diese Kopie technisch lesen. Senorit kann es nicht.

Das Löschen Ihres Framekin-Kontos löscht die Drive-Sicherung nicht. Löschen Sie die Sicherung zuerst in der App oder entfernen Sie die Daten von Framekin in Google Drive (Einstellungen, dann Apps verwalten). Für Drive ist Google ein eigener Verantwortlicher nach den Bedingungen von Google.

Reaktionen, Antworten, Buzz, Lesebestätigungen

Eine Reaktion ist ein Emoji pro Person und Moment. Eine Antwort (bis 300 Zeichen) gehört zu einem Verlauf, den alle sehen, die den Moment sehen können, mit dem Namen der Verfasserin oder des Verfassers. Es ist kein privater Chat. Ein Buzz ist eine Markierung an einem Moment, die die Benachrichtigung dringlicher macht, höchstens einer pro Absender und Freund und Minute.

Lesebestätigungen zeigen der absendenden Person, wer einen Moment wann geöffnet hat. Sie sind immer an und lassen sich nicht abschalten. Eine empfangende Person kann einen erhaltenen Moment nur für sich ausblenden. Er verschwindet dann von ihrer Wand und aus ihrem Widget, nicht bei der absendenden Person.

Serien und Countdowns

Für jedes Freundespaar speichern wir, an wie vielen Tagen in Folge Sie einander etwas gesendet haben, und das Datum des letzten Sendens. In den Einstellungen können Sie Serien ausblenden. Das blendet nur die Anzeige aus, die Zahl speichern wir weiter. Ein Countdown besteht aus einem Titel (bis 40 Zeichen, lesbar gespeichert), einem Datum und den beiden Kontonummern. Jede der beiden Personen kann ihn ändern oder löschen. Er endet, wenn eine Person die andere blockiert oder ihr Konto löscht.

Verlauf und wie lange Dinge gespeichert bleiben

Verlauf: Die Wand zeigt alles, was noch gespeichert ist.
Aufbewahrung: In den Einstellungen können Sie festlegen, dass Ihre neuen Momente nach 7, 30 oder 90 Tagen gelöscht werden, oder alles behalten. Die Einstellung gilt für das, was Sie danach senden, und sie ist die Entscheidung der absendenden Person.
Stündliche Bereinigung: Jede Stunde (zur Minute 17, UTC) entfernt unser Server die Dateien abgelaufener, zurückgezogener und nie abgeschlossener Momente und löscht deren Bildunterschriften, Antworten, Reaktionen und Lesebestätigungen. Eine leere Datenbankzeile (Kennungen, Art, Zeiten) bleibt, bis die absendende Person ihr Konto löscht. Pro Lauf werden bis zu 500 Momente je Art verarbeitet, abgelaufene Einträge können also einige Stunden bleiben.
Inaktive Sitzungen und Missbrauchszähler: Einmal täglich, um 03:17 UTC.
Zurückziehen: Sie können einen Moment zurückziehen. Er verschwindet sofort für alle. Die Dateien werden bei der nächsten stündlichen Bereinigung entfernt.
Pausiertes Konto: Es wird nichts gelöscht, weil ein Tarif endet. Siehe „Tarife, Testphase und pausierte Konten“.

Profilfoto

Ein Profilfoto ist freiwillig (bis 2 MiB; JPEG, PNG oder WebP). Unser Server gibt es nur an Sie und Ihre Freundinnen und Freunde heraus. Es bleibt gespeichert, bis Sie es ersetzen oder das Konto löschen.

Widgets und Widget-Zustand

Widgets auf dem Startbildschirm zeigen das neueste Foto Ihrer Freundinnen und Freunde. Die App lädt dieses Foto in ihren privaten Speicher auf Ihrem Handy, versiegelt mit einem Schlüssel im Android Keystore, damit das Widget es zeichnen kann. Wer Ihren Bildschirm sehen kann, sieht auch das Widget. Die Ansicht „Widget-Zustand“ liest nur Einstellungen auf Ihrem eigenen Handy (Energiesparmodus, Datensparmodus, Autostart) und zeigt, wo Sie sie ändern. Sie sendet nichts an uns. Das Countdown-Widget wird auf Ihrem Handy aus den Countdowns gezeichnet, die Sie angelegt haben. Ist Ihr Konto pausiert, zeigt ein Widget das neueste Bild, das das Handy schon hat, mit einem Schloss, und ein Tippen öffnet die Tarifauswahl.

Benachrichtigungen

Framekin nutzt Firebase Cloud Messaging, einen Dienst von Google, um die App zu wecken, wenn etwas ankommt. Dafür speichern wir eine Installationskennung Ihrer App (das „Push-Token“) und senden kleine Datennachrichten über die Server von Google. Die Nachrichten enthalten nur die Art des Ereignisses und Konto- oder Momentnummern. Sie enthalten keine Namen, keine Bildunterschriften, keine Antworttexte, keine Zähler und keine Bilder. Ihr Handy holt dann das Foto oder den Text von unserem Server und baut die Benachrichtigung. Bei Google bleiben die Nachrichten kurz liegen, falls Ihr Handy offline ist (eine Stunde bei einem Moment, einer Antwort oder einem zurückgehaltenen Foto, eine Minute bei einem Buzz, drei Tage bei einer Freundschaftsanfrage oder einem Geschenk, sechs Stunden bei einer Serien-Erinnerung).

Auf einem gesperrten Bildschirm zeigt die Benachrichtigung nur „Framekin: Neues Foto“, außer Sie schalten eine oder beide von zwei Einstellungen ein: den Text zeigen und das Foto zeigen. Beide sind standardmäßig aus. Benachrichtigungen kommen auch an, während Ihr Konto pausiert ist, und ein Tippen öffnet die Tarifauswahl.

„Pause“ und „Stumm“ stoppen Benachrichtigungen von einer Person. Benachrichtigungen lassen sich in den Handyeinstellungen abschalten, die App funktioniert dann auch ohne sie.

Tarife, Testphase und pausierte Konten

Framekin braucht einen Tarif: Plus oder Max. Sie kaufen ihn in Google Play. Neukundinnen und Neukunden kann Google Play eine kostenlose Testphase anbieten, bei den Jahrestarifen, und zeigt sie an, bevor Sie bestätigen. Ob Sie berechtigt sind, entscheidet Google Play. Setzen Sie nach der Testphase nicht fort oder endet ein Tarif, ist Ihr Konto pausiert.

Was eine Pause bedeutet:

Wir behalten Ihr Konto, Ihre Freundinnen und Freunde, Ihre Fotos und Ihre Widget-Einstellungen. Es wird nichts gelöscht, weil ein Tarif endet, und ist wieder ein Tarif aktiv, ist alles wieder da.
Die App zeigt dann nur die Tarifauswahl. Sie können weiter einen Tarif kaufen, einen Kauf wiederherstellen, einen Geschenkcode einlösen, ein Geschenk machen, sich abmelden und Ihr Konto löschen.
Widgets zeigen das neueste Bild mit einem Schloss. Push-Benachrichtigungen kommen weiter an.
Die Pause wird in der App umgesetzt. Unser Server nimmt weiter Anfragen des Kontos an, weil Sie sich anmelden, einen Kauf wiederherstellen und das Konto löschen können müssen. Freundinnen und Freunde können Ihnen weiter Momente senden. Sie werden nach der Aufbewahrungseinstellung der absendenden Person gespeichert und können deshalb während Ihrer Pause ablaufen.
Wir haben keine Regel, die ein Konto wegen Inaktivität löscht. Die einzige zeitliche Grenze ist die Sitzung: Eine Sitzung, die 365 Tage nicht benutzt wird, läuft ab. Konto und Daten bleiben, und Sie melden sich wieder mit Google an.

Weil ein pausiertes Konto nicht gelöscht wird, bleiben seine Daten auf unseren Servern, bis Sie das Konto löschen. Wollen Sie das nicht, löschen Sie das Konto in der App oder schreiben Sie uns.

Tarife, Käufe und Geschenke

Zahlungen laufen über Google Play Billing. Google, nicht wir, zieht die Zahlung ein und sieht Ihre Zahlungsdaten. Wir erhalten das Kauf-Token, das Produkt, das Ablaufdatum und eine Kontoreferenz, die die App anhängt. Diese Referenz ist ein aus Ihrer Kontonummer abgeleiteter Wert, nicht die Nummer selbst. Jeden Kauf prüfen wir bei Googles Play-Developer-Dienst, bevor wir Ihnen den Tarif geben. Wir speichern das Token, die Tarifstufe und deren Enddatum. Bei einmaligen Käufen meldet uns Google, wenn ein Kauf erstattet wurde, und wir nehmen den Vorteil zurück.

Ein Geschenk funktioniert so: Die kaufende Person zahlt über Google Play und wählt eine Freundin oder einen Freund aus oder erzeugt einen Code. Wir speichern die Kontonummer der kaufenden Person, die der beschenkten Person (bei einem Geschenk an eine Freundin oder einen Freund), den Tarif und die Laufzeit (ein oder zwölf Monate Plus oder Max), eine optionale Notiz bis 140 Zeichen (lesbar gespeichert), den Code, das Kauf-Token sowie die Zeitpunkte von Erstellung, Öffnen und Einlösen. Ein Geschenk verlängert sich nicht.

Die kaufende Person sieht zu jedem verschenkten Geschenk: Tarif, Laufzeit, Name der beschenkten Person, Notiz, wann es geöffnet und eingelöst wurde, und den Code, wenn das Geschenk keine benannte Empfängerin und keinen benannten Empfänger hat.
Die beschenkte Person sieht zu jedem erhaltenen Geschenk: Tarif, Laufzeit, Name der kaufenden Person, Notiz und wann es geöffnet und eingelöst wurde. Den Code sieht sie nie.
Niemand sonst sieht ein Geschenk.

Kostenloser Zugang, den der Inhaber einzelnen Konten gewährt, wird nur als Enddatum des Tarifs gespeichert.

Wenn Sie in der App zu kündigen beginnen, fragt die App nach dem Grund und zeigt ein Angebot oder einen Hinweis, bevor sie Google Play öffnet, wo Sie kündigen. Die gewählte Antwort, der Tarif, der Abrechnungszeitraum und das Ergebnis gehen als anonyme Zählung pro Tag an uns. Die Zählung ist nicht mit Ihrem Konto verknüpft.

Angebote und Aktionen

Verkaufsaktionen (zum Beispiel um den Black Friday oder Weihnachten) sowie Rabatt- oder Gratis-Testangebote sind Angebote in Google Play. Unser Server schaltet einmal pro Stunde die Angebote des laufenden Anlasses in Google Play ein und aus. Wenn Sie den Tarifbildschirm öffnen, fragt die App unseren Server mit Ihrer Sitzung und Ihrer Sprache, welche Aktion läuft. Unser Server antwortet mit einer Überschrift und einer Textzeile. Den Preis, die Länge einer Testphase oder eines Rabatts und ob Sie berechtigt sind, entscheidet Google Play. Die App zeigt nur, was Google Play zurückgibt.

Angebote für Rückkehrende werden nur Konten gezeigt, die früher einen Tarif hatten und jetzt keinen haben. Zur Entscheidung nutzt unser Server Daten, die er ohnehin hält: Ihre Kontonummer und die Enddaten von Abonnements, Geschenken und kostenlosem Zugang. Er speichert kein zusätzliches Profil und nicht, welches Angebot er Ihnen gezeigt hat. Google Play erhält von uns keine Liste dieser Konten.

Nutzung ohne Verbindung

Die App hält einige Daten auf Ihrem Handy, damit sie auch ohne Verbindung öffnet:

die Freundesliste und Anfragen, die Liste der letzten Momente mit ihren Bildunterschriften, die zurückgehaltenen Fotos und die Geschenke, als Momentaufnahme,
bis zu 60 aktuelle Fotos (höchstens 100 MB),
Reaktionen, Antworten, Pausen und Stummschaltungen, die Sie offline gemacht haben und die noch nicht gesendet sind.

All das ist im Ruhezustand mit einem Schlüssel im Android Keystore versiegelt. Fotos, Zeichnungen, Notizen und Videoclips, die Sie offline erstellt haben und die aufs Senden warten, liegen mit ihren Bildunterschriften im privaten Speicher der App, ohne diese zusätzliche Versiegelung, bis sie gesendet sind. Die App sendet Wartendes, sobald wieder eine Verbindung besteht. Abmelden und das Löschen des Kontos entfernen alles davon, auch der Keystore-Schlüssel wird gelöscht. Die Android-Sicherung enthält diese Dateien nicht.

Rückblick, Speichern und Teilen

Das Rückblick-Video entsteht auf Ihrem Handy aus den Fotos, die Ihre Wand ohnehin zeigt. Es wird nichts hochgeladen, solange Sie die Datei nicht selbst teilen. Wenn Sie einen Moment speichern oder teilen, oder wenn die optionale automatische Galeriekopie Ihrer eigenen Aufnahmen an ist (standardmäßig aus), schreibt die App absichtlich eine lesbare Kopie in die Galerie Ihres Handys oder in die App, die Sie wählen. Andere Apps, denen Sie das Lesen Ihrer Galerie erlaubt haben, können diese Kopien lesen. Vorübergehende Kopien zum Teilen werden nach etwa einer Stunde sowie beim App-Start und beim Abmelden entfernt.

Datenexport

Eine Kopie Ihrer Daten erhalten Sie kostenlos. Der Export in der App gehört zu jedem Tarif und entsteht auf Ihrem Handy. Ein pausiertes Konto erreicht ihn nicht; dann können Sie ihn per E-Mail anfordern (siehe „Ihre Rechte“) und erhalten Ihre Kontodaten und die gespeicherten Datensätze als Datei.

App-Sperre

Die App-Sperre fragt beim Öffnen von Framekin nach Fingerabdruck, Gesicht oder Handy-PIN. Android führt die Prüfung durch, die App erfährt nur „ja“ oder „nein“. Ihr Fingerabdruck erreicht weder die App noch uns.

Kamera, Mikrofon, Benachrichtigungen

Die App fragt nach der Kamera, wenn Sie ein Foto aufnehmen, nach dem Mikrofon beim ersten Video mit Ton (Sie können auch ohne Ton aufnehmen) und ab Android 13 nach der Berechtigung für Benachrichtigungen. Standort, Kontakte oder Dateien verlangt sie nicht. Wenn Sie ein Foto oder einen Clip aus der Galerie auswählen, wird nur die gewählte Datei gelesen.

Melden und Blockieren

Wenn Sie einen Moment melden, speichern wir, wer gemeldet hat, wer gemeldet wurde, welcher Moment, den Grund (Spam, Nacktheit, Belästigung, Gewalt oder Sonstiges) und die Zeit. Die App sendet mit der Meldung nichts anderes. Die meldende Person wird automatisch gegenüber der gemeldeten blockiert, und der Inhalt verschwindet aus ihrem Verlauf.

Wir prüfen Meldungen von Hand. Wenn jemand ein Foto, Video, eine Zeichnung oder eine Notiz meldet, erhalten wir nur, welcher Moment und wer gemeldet wurde. Wir können den Moment und seine Bildunterschrift nicht öffnen. Gemeldete Antworttexte, Reaktionen und Profilfotos können wir weiterhin lesen. Eine eigene Kopie eines Moments behalten wir nicht: Zieht die absendende Person den Moment zurück, läuft er ab oder wird das Konto gelöscht, ist der Moment weg. Wir können Inhalte entfernen, verwarnen oder ein Konto schließen, das gegen die Nutzungsbedingungen verstößt. Einen gemeldeten Inhalt und die Daten dazu können wir an die zuständigen Behörden weitergeben, wenn das Gesetz es verlangt oder der Verdacht einer schweren Straftat besteht. Der gemeldeten Person sagen wir nicht, wer sie gemeldet hat.

Wir suchen nicht selbst nach rechtswidrigen Inhalten. Wir erfahren davon, wenn ein Empfänger sie meldet, wenn ein Gericht oder eine Behörde uns informiert oder aus Anzeichen in den Metadaten (zum Beispiel viele gleichzeitig angelegte Konten).

Protokolle und Missbrauchsschutz

Unser Server zählt Anfragen pro IP-Adresse, um Missbrauch zu stoppen (zum Beispiel automatisches Anlegen von Konten). Diese Zähler, die die IP-Adresse enthalten, werden nach etwa zwei Tagen gelöscht. Cloudflare speichert außerdem Anfrageprotokolle für unseren Server (Zeit, Pfad ohne Abfragedaten, Status, IP-Adresse und Geräteangaben, die Ihr Handy bei jeder Anfrage mitsendet) bis zu sieben Tage sowie eine kleine Stichprobe von Leistungsspuren ebenfalls sieben Tage. Wir nutzen sie, um Fehler und Angriffe zu finden.

Wozu und auf welcher Grundlage wir Daten verarbeiten

Konto, E-Mail-Adresse für Servicemitteilungen, Freunde, Senden und Anzeigen von Momenten, Widgets, Benachrichtigungen, Tarife, Testphase, Geschenke und Angebote: Vertragserfüllung über die App, Art. 6 Abs. 1 lit. b DSGVO
Kamera, Mikrofon, Benachrichtigungen, Anmeldung mit Google: Ihre Einwilligung über den Berechtigungs- oder Anmeldedialog des Handys, Art. 6 Abs. 1 lit. a DSGVO. Sie können sie jederzeit in den Handyeinstellungen oder durch Abmelden widerrufen.
Sicherheit, Ratenbegrenzung, Protokolle, Missbrauchsmeldungen, Durchsetzung der Nutzungsbedingungen, Abwehr von Rechtsansprüchen, anonyme Kündigungszählungen, Angebote für zurückkehrende Konten: Unser berechtigtes Interesse an einem sicheren Dienst und an einem fairen Angebot, Art. 6 Abs. 1 lit. f DSGVO
Auskünfte an Behörden, steuer- und handelsrechtliche Aufzeichnungen: Rechtliche Verpflichtung, Art. 6 Abs. 1 lit. c DSGVO

Die App liest und schreibt Informationen auf Ihrem Handy (Ihre Sitzung, zwischengespeicherte Fotos, wartende Sendungen, das Push-Token). Das ist erforderlich, um den von Ihnen gewünschten Dienst bereitzustellen, deshalb braucht es nach § 25 Abs. 2 Nr. 2 TDDDG kein Einwilligungsbanner.

Wir werten Ihre Fotos nicht aus, um Gesichter zu erkennen oder Schlüsse über Sie zu ziehen. Zeigt ein Foto sensible Informationen, haben Sie entschieden, es an Ihre Freundinnen und Freunde zu senden.

Wohin Ihre Daten gehen

Wir setzen diese Dienstleister ein. Sie verarbeiten Daten in unserem Auftrag auf Grundlage von Auftragsverarbeitungsverträgen, außer wo etwas anderes steht.

Cloudflare, Inc. (USA, mit europäischer Niederlassung): betreibt unseren Server (Workers), die Datenbank (D1) und den Dateispeicher (R2). Datenbank und Dateispeicher sind mit EU-Jurisdiktion angelegt. Unser Servercode läuft im Cloudflare-Rechenzentrum, das der anfragenden Person am nächsten liegt, Anfragen können also außerhalb der EU bearbeitet werden. Wiederherstellungspunkte der Datenbank werden bis zu 30 Tage aufbewahrt.
Google (Google Ireland Limited und Google LLC): Firebase Cloud Messaging (Push), Google Play Billing und der Play-Developer-Dienst (Käufe und Angebote), Anmeldung mit Google (falls Sie sie nutzen), Google Block Store (Ende-zu-Ende-verschlüsselte Kopie Ihres Identitätsschlüssels), Google Drive (nur wenn Sie die Sicherung einschalten; die Dateien gehen in Ihr eigenes Drive, nicht zu uns) und Google Play (Verteilung der App). Bei Käufen, bei der Anmeldung mit Google und bei Drive handelt Google zu eigenen Zwecken nach seiner eigenen Datenschutzerklärung.

Übermittlungen außerhalb der EU stützen sich auf das EU-US Data Privacy Framework, soweit der Empfänger zertifiziert ist, und sonst auf Standardvertragsklauseln.

Wir geben Ihre Daten an niemanden sonst weiter, außer an Behörden, wenn das Gesetz es verlangt.

Anfragen von Behörden

Anfragen von Behörden beantworten wir nur, wenn sie auf einer gültigen Rechtsgrundlage beruhen, und wir prüfen jede einzeln. Wir können Kontodaten (Anzeigename, E-Mail-Adresse, Kontonummer, Erstellungsdatum, Freundesliste, Tarif), die oben beschriebenen Metadaten und die Inhalte herausgeben, die wir speichern, beschränkt auf das, was für uns lesbar ist: Antworttexte, Reaktionen, Profilfotos, Geschenknotizen und Countdown-Titel. Fotos, Videos, Zeichnungen, Notizen und ihre Bildunterschriften sind Ende-zu-Ende-verschlüsselt, und wir können sie nicht lesbar herausgeben. Wenn das Gesetz es erlaubt, informieren wir die betroffene Person.

Sicherheit

Alles zwischen App und Server läuft über HTTPS (TLS). Die App akzeptiert nur gültige Zertifikate öffentlich vertrauenswürdiger Zertifizierungsstellen und ab Android 16 nur Zertifikate, die in öffentlichen Certificate-Transparency-Logs stehen. Für unsere Domain dürfen nur wenige benannte Zertifizierungsstellen Zertifikate ausstellen (CAA-Einträge), und sie ist mit DNSSEC signiert. Ihre Sitzung ist ein Token, das Ihr Handy bei jeder Anfrage mitsendet, und der Server speichert davon nur einen Hash. Bei jeder Anfrage nach einem Foto oder Video prüft unser Server, wer Sie sind und ob Sie sehen dürfen, was Sie abrufen, und gibt die Datei nur an die absendende Person und an Empfänger heraus, die befreundet und nicht blockiert sind. Dateien liegen in einem privaten Speicher mit EU-Jurisdiktion, und Cloudflare verschlüsselt gespeicherte Objekte im Ruhezustand. Versiegelte Momente sind Ende-zu-Ende-verschlüsselt. Auf Inhalte, die lesbar gespeichert sind, können unsere Mitarbeitenden technisch zugreifen, wie oben beschrieben. Ratenbegrenzungen bremsen das Durchprobieren und Missbrauch.

Auf Ihrem Handy sind Ihre Sitzung, die Momentaufnahmen und die zwischengespeicherten Bilder mit einem Schlüssel im Android Keystore (AES-GCM) versiegelt, und die Android-Cloud-Sicherung enthält sie nicht. Die App-Sperre kann nach Fingerabdruck, Gesicht oder Handy-PIN fragen. Die Bildschirme, die die Eltern-PIN zeigen, und die Abdeckung der App-Sperre sind von Screenshots ausgenommen. Die Android-Cloud-Sicherung enthält nur App-Einstellungen. Wechseln Sie mit der Geräteübertragung von Android auf ein neues Handy, können App-Einstellungen mitwandern; die versiegelte Sitzung nicht, Sie melden sich also neu an.

Kinder und Jugendliche

Framekin richtet sich an Personen ab 16 Jahren. Wenn Sie 13 bis 15 Jahre alt sind, dürfen Sie Framekin nur mit Erlaubnis eines Elternteils oder einer sorgeberechtigten Person nutzen. Unter 13 nutzen Sie die App bitte nicht. Wir prüfen das Alter nicht und speichern von niemandem ein Geburtsdatum. Erfahren wir, dass ein Kind unter 13 ein Konto hat, löschen wir es.

Eltern können „Erst prüfen“, den sicheren Modus und die Eltern-PIN auf dem Handy eines Kindes nutzen und uns schriftlich bitten, das Konto eines Kindes zu löschen.

Wie lange wir Daten speichern

Kontodaten, auch die E-Mail-Adresse sowie öffentliche und verpackte Schlüssel, bleiben, bis Sie das Konto löschen, auch solange ein Tarif pausiert ist. Die verpackten Schlüssel einer Freundschaft gehen auch, wenn Sie die Person als Freund entfernen. Wie lange Momente bleiben, steht im Abschnitt zum Verlauf. Meldungen bleiben, bis eines der beiden Konten gelöscht wird. Geschenkdatensätze bleiben, wie unter „Ihr Konto löschen“ beschrieben. Anfrageprotokolle liegen bis zu sieben Tage, Missbrauchszähler etwa zwei Tage. Wiederherstellungspunkte der Datenbank können gelöschte Zeilen bis zu 30 Tage enthalten.

Ihr Konto löschen

In der App öffnen Sie Einstellungen, dann Datenschutz und Aufbewahrung, dann „Mein Konto löschen“. Im Web finden Sie die Seite unter senorit.app/de/framekin/delete-account.

Wenn Sie das Konto löschen, entfernen wir Ihr Konto, Ihre E-Mail-Adresse, die Sitzungen, Freundschaften, Anfragen, Freigaben und Einstellungen pro Freund, Blockierungen und Meldungen, an denen Sie beteiligt sind, Serien, Countdowns, Reaktionen, Lesebestätigungen und Ihre Antworten, Ihr Profilfoto, Ihre öffentlichen Schlüssel und die verpackten Schlüssel Ihrer Momente und Freundschaften, jeden Moment, den Sie gesendet haben (Datenbankzeilen und Dateien), sowie die nicht eingelösten Geschenke, die Sie gekauft haben oder die an Sie gerichtet waren. Wir senden dann keine Push-Nachrichten mehr an Ihr Handy. Die App löscht, was sie auf dem Handy gespeichert hatte, auch wartende Sendungen und die zwischengespeicherten Fotos.

Was bleibt: Eine Google-Drive-Sicherung bleibt in Ihrem Google Drive (siehe „Google-Drive-Sicherung“); löschen Sie sie zuerst in der App. Geschenke, die jemand bereits eingelöst hat, bleiben als Kaufbelege mit den Kennungen, dem Tarif, den Zeitpunkten, dem Kauf-Token und der Notiz erhalten. Das Kauf-Token eines einmaligen Kaufs bleibt erhalten, damit ein erstattetes Token nicht erneut eingelöst werden kann, ohne Verknüpfung zu Ihnen. Sie sind nach der Löschung des Kontos mit keinem Namen und keiner E-Mail-Adresse verknüpft. Fotos, die andere gespeichert oder geteilt haben, bleiben bei ihnen. Antworten, die Sie unter Momenten anderer geschrieben haben, werden mit Ihrem Konto entfernt. Wiederherstellungspunkte unserer Datenbank können Ihre Daten bis zu 30 Tage nach der Löschung enthalten, dann laufen sie ab. Anfrageprotokolle laufen innerhalb von sieben Tagen ab.

Ihre Rechte

Sie können von uns verlangen:

Auskunft über Ihre Daten (Art. 15) und eine Kopie in einem gängigen Format (Art. 20),
Berichtigung (Art. 16), etwa indem Sie sich in den Einstellungen umbenennen,
Löschung (Art. 17), in der App oder im Web,
Einschränkung der Verarbeitung (Art. 18),
Widerspruch gegen Verarbeitung, die auf berechtigtem Interesse beruht (Art. 21).

Schreiben Sie an kontakt@senorit.de. Wir antworten innerhalb eines Monats. Wir können verlangen, dass Sie nachweisen, dass das Konto Ihnen gehört, zum Beispiel indem Sie Ihren Freundescode aus der App heraus nennen.

Wir treffen keine Entscheidungen über Sie, die auf automatisiertem Profiling beruhen. Welche Angebote wir zurückkehrenden Konten zeigen, folgt der festen Regel unter „Angebote und Aktionen“.

Sie können sich außerdem bei einer Datenschutzaufsichtsbehörde beschweren. Für uns zuständig ist Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Str. 22, 20459 Hamburg. Sie können sich auch an die Behörde an Ihrem Wohnort wenden.

Über den Anzeigenamen und das, was Ihr Google-Konto bei der Anmeldung teilt, hinaus müssen Sie uns keine Daten geben. Ohne ihn kann die App Ihr Konto nicht anlegen.

Woher Ihre Daten stammen

Die meisten Daten stammen von Ihnen. Einige stammen von anderen: Wer Sie als Freundin oder Freund hinzufügt, sieht Ihren Anzeigenamen. Fotos und Antworten schicken Ihnen Ihre Freundinnen und Freunde. Ein Geschenk kommt mit dem Namen und der Notiz der kaufenden Person. Google gibt uns die Kontokennung und, wenn Google sie als bestätigt markiert, die E-Mail-Adresse, wenn Sie sich mit Google anmelden.

Änderungen

Ändern wir, wie wir Daten verarbeiten, aktualisieren wir diesen Text und das Datum oben. Ist die Änderung wesentlich, sagen wir es Ihnen vorher in der App. Die aktuelle Fassung steht immer unter senorit.app/de/framekin/privacy.

Kontakt

Senorit Web Agency, Ebrahim Seyfi, Seeschwalbentwiete 23, 22119 Hamburg, Deutschland, kontakt@senorit.de, +49 155 609 88996.

Framekin · Datenschutz · Nutzungsbedingungen · Konto löschen · Hilfe · Impressum