Datenschutz in der App

1. Wer verantwortlich ist

Verantwortlich für die Datenverarbeitung in der App „Silvra – Gruppen & Vereine“ (Android, Paketname net.silvra.messenger) und auf ihrem Server app.silvra.net ist:

Silvra
E-Mail: info@silvra.net

Silvra ist ein nicht-gewerbliches Projekt, siehe Impressum. Für die Website silvra.net gilt eine eigene Datenschutzerklärung.

2. Das Wichtigste in Kürze

• Du meldest dich mit deiner E-Mail-Adresse an. Eine Telefonnummer brauchst du nicht.
• In verschlüsselten Chats können nur die Mitglieder Nachrichten und Anhänge lesen. Auf unserem Server liegen sie nur verschlüsselt.
• Einiges sieht unser Server trotzdem: wer wann mit wem schreibt, Profil- und Gruppenbilder, Gruppennamen, Umfragen, Termine und Reaktionen. Was genau, steht in den Abschnitten 4 und 5.
• Keine Werbung, kein Tracking, keine Analyse- oder Absturzdienste, kein Verkauf von Daten.
• Unser Server steht in Deutschland. In unserem Auftrag helfen Google (Push-Benachrichtigungen), Resend (E-Mails mit dem Anmeldecode) und Cloudflare (Weiterleitung von Anrufen).
• Du kannst deine Daten in der App einsehen und exportieren und dein Konto dort jederzeit löschen.

3. Konto und Anmeldung

Für dein Konto speichern wir deine E-Mail-Adresse und deinen Anzeigenamen. Freiwillig kommen hinzu: Profilbild, Profiltext, Status und eine Telefonnummer. Eine Telefonnummer in deinem Profil können andere sehen, und wer sie im Adressbuch hat, kann dich über die Kontaktsuche finden (Abschnitt 8). Außerdem speichern wir die Sprache der App, damit Benachrichtigungen in deiner Sprache ankommen.

Zum Anmelden schicken wir dir einen sechsstelligen Code per E-Mail. Er gilt zehn Minuten. Wir speichern ihn nur als Prüfwert (Hash) und löschen den Eintrag samt E-Mail-Adresse nach einem Tag.

Rechtsgrundlage ist der Vertrag über die Nutzung von Silvra (Art. 6 Abs. 1 lit. b DSGVO).

4. Nachrichten und Anhänge

Silvra verschlüsselt Chats nach dem offenen Standard MLS (Messaging Layer Security, RFC 9420). Die Schlüssel entstehen auf deinem Gerät und verlassen es nicht. In einem verschlüsselten Chat speichert unser Server Nachrichten, Bilder, Videos, Sprachnachrichten, Dateien und geteilte Standorte nur verschlüsselt. Lesen kann er sie nicht.

Solange die Verschlüsselung in einem Chat noch nicht eingerichtet ist, etwa weil die Gegenseite noch keine Schlüssel hinterlegt hat oder das Einrichten gescheitert ist, gehen Nachrichten unverschlüsselt an unseren Server. Die App zeigt das im Chat an. Diese Inhalte kann der Server lesen, und die Suche in der App durchsucht sie dort.

Damit Chats funktionieren, sieht der Server bei jeder Nachricht, wer sie wann in welchen Chat geschickt hat, welcher Art sie ist (Text, Bild, Datei und so weiter), worauf sie antwortet, ob sie bearbeitet, weitergeleitet, angeheftet oder gelöscht wurde, und bis wohin jedes Mitglied gelesen hat. Bei Anrufen legt er im Chat einen Hinweis mit Art und Dauer des Anrufs an.

Nachrichten bleiben auf dem Server, bis sie gelöscht werden: von dir für alle (dann leeren wir den Inhalt), mit dem Chat oder der Gruppe, bei verschwindenden Nachrichten mit Ablauf der eingestellten Zeit (spätestens 15 Minuten danach) oder mit deinem Konto.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

5. Was nicht Ende-zu-Ende verschlüsselt ist

Diese Angaben kann unser Server lesen, auch in verschlüsselten Chats:

• dein Profil: Anzeigename, Profilbild, Profiltext, Status und, falls angegeben, Telefonnummer;
• Gruppen: Name, Beschreibung, Bild, Mitglieder, Rollen und Einstellungen;
• Umfragen und Stimmen, Termine und Zusagen;
• Reaktionen auf Nachrichten;
• wann du zuletzt online warst. Andere sehen das nur, solange du es in den Datenschutz-Einstellungen nicht abschaltest;
• Beiträge, Kommentare und Reaktionen im Bereich „Aktuelles“.

Linkvorschau: Schickst du einen Link, holt unser Server die verlinkte Seite ab, um Titel und Bild für die Vorschau zu zeigen. Dabei erfährt er die Adresse, auch aus verschlüsselten Chats. Die verlinkte Website sieht die Adresse unseres Servers, nicht deine.

6. Push-Benachrichtigungen

Damit dich Nachrichten und Anrufe auch bei geschlossener App erreichen, nutzt Silvra Firebase Cloud Messaging von Google (Google Ireland Limited, Irland). Dafür speichern wir ein Push-Token, eine von Firebase vergebene Kennung deiner App-Installation. Jede Benachrichtigung geht über Google, mit dem Namen des Absenders oder der Gruppe als Überschrift. Als Text steht bei verschlüsselten Chats nur der Hinweis auf eine neue Nachricht, bei unverschlüsselten Chats der Anfang der Nachricht (bis zu 100 Zeichen).

Google kann Daten auch in den USA verarbeiten. Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert, für das die EU-Kommission ein angemessenes Datenschutzniveau festgestellt hat (Art. 45 DSGVO).

Die Liste der Benachrichtigungen in der App speichern wir 90 Tage. Push-Benachrichtigungen kannst du in den Einstellungen deines Telefons abschalten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

7. Anrufe

Sprach- und Videoanrufe sind verschlüsselt (DTLS-SRTP), mit klassischen Verfahren. Unser Server vermittelt den Verbindungsaufbau und erfährt dabei, wer wen wann anruft. Wenn es geht, verbinden sich die Geräte direkt. Dann sieht die Gegenseite die IP-Adresse deines Geräts.

Gelingt keine direkte Verbindung, leitet ein Relay-Dienst von Cloudflare (Cloudflare, Inc., USA) die verschlüsselten Daten weiter. Cloudflare sieht dabei die IP-Adressen, aber nicht den Inhalt. Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

8. Kontakte finden (freiwillig)

Nur wenn du die Kontaktsuche startest, liest die App die Telefonnummern aus deinem Adressbuch, bildet daraus auf dem Gerät Prüfwerte (SHA-256) und schickt nur diese an unseren Server. Er vergleicht sie mit den Nummern in den Profilen anderer und schickt dir die Treffer zurück. Die Prüfwerte speichert er nicht. Anonym sind sie trotzdem nicht: Aus solchen Prüfwerten lassen sich Telefonnummern mit Aufwand zurückrechnen.

Wer die Kontaktsuche in den Datenschutz-Einstellungen abschaltet, wird so nicht gefunden. Rechtsgrundlage: für dich Art. 6 Abs. 1 lit. b DSGVO; für die Nummern deiner Kontakte unser und dein berechtigtes Interesse, Bekannte auf Silvra zu finden (Art. 6 Abs. 1 lit. f DSGVO).

9. Kamera, Mikrofon, Fotos, Standort

Die App nutzt Kamera, Mikrofon, Fotos, Dateien und Standort nur, wenn du etwas aufnimmst oder teilst, und nur mit der Berechtigung, die du ihr in Android gibst. Einen Standort schickt sie nur, wenn du ihn in einen Chat teilst. Sprachnachrichten kann die App in Text umwandeln. Das geschieht nur auf deinem Gerät.

10. Sitzungen, Sicherheit und Protokolle

Für jede Anmeldung legen wir eine Sitzung an, mit IP-Adresse, Gerätebezeichnung und Zeitpunkten. Du siehst sie in der App unter Profil → Aktive Geräte und kannst einzelne abmelden. Beendete Sitzungen löschen wir nach 30 Tagen.

In einem Prüfprotokoll halten wir sicherheitsrelevante Ereignisse fest: Anmeldungen mit Gerätebezeichnung (ohne IP-Adresse), Abmeldungen, Kontolöschungen und Eingriffe der Moderation. Einträge löschen wir nach zwölf Monaten.

Unser Server protokolliert Anfragen mit Methode, Pfad, Status und Dauer, ohne IP-Adresse und ohne Suchbegriffe. Diese Einträge löschen wir nach fünf Wochen. Vor dem Server steht ein Reverse-Proxy. Er protokolliert Zugriffe mit IP-Adresse, Zeitpunkt, Pfad und Status, damit wir Angriffe erkennen und auffällige Adressen vorübergehend sperren können. Dieses Protokoll löschen wir nach 14 Tagen, die Liste der Sperren nach fünf Wochen. Seltene Fehlermeldungen des Reverse-Proxy, etwa wenn der Server nicht antwortet, enthalten ebenfalls die IP-Adresse und die aufgerufene Adresse; sie stehen im Server-Protokoll und verschwinden mit ihm nach fünf Wochen.

Rechtsgrundlage: unser berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

11. Meldungen und Moderation

Du kannst Nachrichten, Beiträge, Kommentare, Gruppen und Personen melden. Wir speichern dann, wer was wann gemeldet hat, den Grund, deine Anmerkung und eine Kopie des gemeldeten Textes. Bei Nachrichten aus verschlüsselten Chats ist diese Kopie verschlüsselt, wir können sie nicht lesen. Die Moderation von Silvra sieht Meldungen und kann Inhalte entfernen und Konten sperren. Meldungen bleiben auch dann erhalten, wenn der gemeldete Inhalt oder ein Konto gelöscht wird, solange wir sie zur Klärung und zum Nachweis brauchen.

Rechtsgrundlage: unser berechtigtes Interesse, Nutzerinnen und Nutzer zu schützen und die Regeln durchzusetzen (Art. 6 Abs. 1 lit. f DSGVO), und wo ein Gesetz es verlangt Art. 6 Abs. 1 lit. c DSGVO.

12. Was wir nicht tun

Silvra zeigt keine Werbung, nutzt keine Werbe-ID und bindet keine Analyse-, Tracking- oder Absturzdienste ein. Wir verkaufen keine Daten und bilden keine Profile. Server mit künstlicher Intelligenz gibt es bei Silvra nicht.

13. Auf deinem Gerät

Entschlüsselte Nachrichten, deine Schlüssel und Einstellungen liegen im Speicher der App auf deinem Gerät. Die App nimmt weder an der Android-Sicherung noch am Umzug auf ein neues Telefon teil. Deshalb kann ein neues Gerät ältere Nachrichten nicht lesen. Mit der App-Sperre schützt du den Zugang mit Biometrie oder Geräte-PIN. Die Prüfung übernimmt Android, die App erfährt nur das Ergebnis.

14. Wer Daten bekommt

• Andere Mitglieder: Was du in einen Chat oder eine Gruppe schickst, sehen deren Mitglieder. Dein Profil sehen andere so, wie du es in den Datenschutz-Einstellungen festlegst.
• Unser Server steht in Deutschland, wir betreiben ihn selbst. Ein Hosting-Anbieter ist nicht beteiligt.
• Dienstleister, die in unserem Auftrag arbeiten (Art. 28 DSGVO): Google für Push-Benachrichtigungen (Abschnitt 6), Cloudflare für die Weiterleitung von Anrufen (Abschnitt 7) und Resend, Inc. (USA) für den Versand der E-Mails mit dem Anmeldecode. Resend versendet über Server in Irland und speichert Daten zum Versand in den USA. Resend ist nach dem EU-US Data Privacy Framework zertifiziert, der Vertrag enthält zusätzlich die Standardvertragsklauseln der EU-Kommission.
• Behörden bekommen Daten nur, wenn ein Gesetz uns dazu verpflichtet.

15. Wie lange wir Daten aufheben

Konto und Profil

bis du das Konto löschst

Nachrichten und Anhänge

bis sie gelöscht werden (Abschnitt 4)

Anmeldecodes

ein Tag

Beendete Sitzungen mit IP-Adresse

30 Tage nach dem Abmelden

Benachrichtigungen in der App

90 Tage

Prüfprotokoll

zwölf Monate

Push-Token

bis zum Abmelden des Geräts oder bis Google es für ungültig erklärt

Server-Protokoll

fünf Wochen

Protokoll des Reverse-Proxy mit IP-Adressen

14 Tage

Liste gesperrter IP-Adressen

fünf Wochen

Datensicherungen

die sieben jüngsten nächtlichen Sicherungen, in der Regel eine Woche

16. Konto löschen

Du kannst dein Konto in der App unter Profil → Konto löschen jederzeit löschen, auch ohne App per E-Mail. Was dabei gelöscht wird und was bleibt, steht auf der Seite Konto löschen.

17. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Verarbeitungen, die auf unserem berechtigten Interesse beruhen, kannst du widersprechen (Art. 21). Vieles geht direkt in der App unter Profil: Meine Daten einsehen, Daten exportieren (als JSON-Datei) und Konto löschen. Für alles andere schreib an info@silvra.net.

Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren, etwa in dem Land, in dem du lebst.

18. Kinder und Jugendliche

Silvra ist für Menschen ab 13 Jahren gedacht. Bist du jünger als 16, sprich bitte mit deinen Eltern, bevor du Silvra nutzt.

19. Sicherheit

Alle Verbindungen zwischen App und Server sind mit TLS verschlüsselt. Für Chats kommt die Ende-zu-Ende-Verschlüsselung nach MLS hinzu. Ihr Schlüsselaustausch verbindet ein klassisches mit einem Post-Quanten-Verfahren (X25519 und ML-KEM-768), Signaturen sind klassisch. Der Server ist nur über den Reverse-Proxy erreichbar, begrenzt Anfragen und sperrt auffällige Adressen.

20. Änderungen

Ändert sich die App so, dass diese Erklärung nicht mehr stimmt, passen wir sie an. Es gilt die Fassung auf dieser Seite, der Stand steht oben.