Was Kintso verarbeitet — und was nicht.

1 · Wer verantwortlich ist

Verantwortlich für die Verarbeitung im Sinne der Datenschutz-Grundverordnung ist:

2 · Kurz vorweg

Damit du nicht bis zum Ende lesen musst, um das Wichtigste zu wissen:

• Wir verkaufen nichts weiter und schalten keine Werbung. Kintso finanziert sich über ein Abonnement.
• Eure Texte bleiben unter euch. Was ihr schreibt, geht an niemanden ausserhalb eures Paares — nicht an den KI-Begleiter, nicht an die Nutzungsstatistik, nicht an Werbenetzwerke.
• Der Hauptspeicher steht in der Europäischen Union. Vier Dienste ausserhalb der EU bekommen genau umrissene Teile; welche, steht in Abschnitt 5 und 6.
• Es gibt keine Ende-zu-Ende-Verschlüsselung. Wir schreiben das hin, weil andere Apps es an dieser Stelle behaupten. Was es stattdessen gibt, steht in Abschnitt 14.
• Fehlerberichte laufen unabhängig von einer Zustimmung, weil die App sonst nicht stabil zu halten wäre. Was dabei mitgeht, steht in Abschnitt 8 — ungeschönt.

3 · Welche Daten entstehen

Konto

E-Mail-Adresse und Passwort — oder, wenn du dich über Apple oder Google anmeldest, die Kennung, die dieser Dienst uns zurückgibt. Dazu ein Vorname (frei wählbar, gern auch ein Spitzname), optional ein Profilbild, deine Zeitzone und deine Einstellungen.

Die Verbindung zu zweit

Ein Einladungscode und, sobald ihr verbunden seid, die Zuordnung eurer beiden Konten zu einem Paar. Ab da sehen beide dieselben gemeinsamen Inhalte.

Was ihr in der App tut

Tägliche Check-in-Werte (zwei Regler und ein optionales Stichwort), Antworten auf Fragen, Beiträge im geführten Gespräch samt optionaler Gefühls-Marke, Sprachnachrichten, Einträge im Solo-Tagebuch, Reflexionen nach einer Auszeit, Antworten zum Wesensbild, gepflanzte Praktiken, gemeinsame Abende und Jahrestage.

Diese Inhalte sind der Kern der App. Sie sind teils persönlich und sensibel — Angaben über Stimmung, Nähe und Konflikte können Rückschlüsse auf Gesundheit und Sexualleben zulassen. Wir behandeln sie entsprechend: sie verlassen euer Paar nicht.

Krisen-Funktionen

Wenn einer von euch eine gemeinsame Auszeit auslöst, entsteht ein Eintrag mit Zeitpunkt, Dauer und Status, damit beide Geräte denselben Zustand zeigen. Die Reflexionen danach gehören zu den Inhalten oben.

Kauf

Ob ein Abonnement aktiv ist und bis wann. Die Zahlung selbst läuft über den App Store beziehungsweise Google Play — wir sehen weder deine Zahlungsdaten noch deine Rechnungsanschrift.

Technisches

Geräte-Kennung für Mitteilungen, App-Version, Zeitstempel, Fehlerdaten. Wir führen kein Zugriffsprotokoll mit IP-Adressen für Profilbildung.

4 · Auf welcher Grundlage

• Vertrag (Art. 6 Abs. 1 lit. b DSGVO) — für alles, ohne das die App nicht funktioniert: Konto, Paar-Verbindung, eure Inhalte, Mitteilungen über Ereignisse in eurem Paar, Abo-Status.
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) — für den KI-Begleiter Kumo und für jede zusätzliche Kategorie, die er sehen darf. Beides braucht das Ja beider Partner und ist jederzeit widerrufbar.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) — für Fehlerberichte und den Betrieb. Unser Interesse ist eine App, die nicht abstürzt; wir wägen es gegen dein Interesse ab, indem wir keine Inhalte in Fehlerberichte geben.
• Besondere Kategorien (Art. 9 DSGVO) — soweit eure Einträge Angaben über Gesundheit oder Sexualleben enthalten, verarbeiten wir sie auf Grundlage deiner ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO, die du mit der Nutzung der jeweiligen Funktion erteilst. Die intimen Fragen-Bereiche öffnen sich zusätzlich erst, wenn beide Partner ausdrücklich zustimmen.

5 · Wer sonst noch etwas bekommt

Diese Liste ist abschliessend. Alle Genannten sind vertraglich gebunden und dürfen die Daten nicht für eigene Zwecke nutzen.

Behörden erhalten Daten nur, wenn wir dazu rechtlich verpflichtet sind. Es gibt keine Weitergabe an Werbenetzwerke, Datenhändler oder Analyse-Anbieter ausserhalb dieser Liste.

6 · Übermittlung ausserhalb der EU

Vier der genannten Dienste sitzen in den Vereinigten Staaten. Für diese Übermittlungen stützen wir uns auf die Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO, soweit der jeweilige Anbieter nicht ohnehin nach dem EU-US Data Privacy Framework zertifiziert ist.

Das US-Recht erlaubt Behörden unter bestimmten Voraussetzungen den Zugriff auf Daten bei dortigen Anbietern. Ein Schutzniveau, das dem europäischen vollständig entspricht, lässt sich deshalb nicht garantieren. Wir halten die Menge dessen, was überhaupt hinausgeht, aus genau diesem Grund klein: an den KI-Begleiter gehen keine Texte, und Fehlerberichte enthalten keine Inhalte.

7 · Der KI-Begleiter Kumo

Kumo ist optional und standardmässig aus. Er schreibt einmal im Monat einen kurzen Begleit-Text zu eurer gemeinsamen Chronik.

Der folgende Absatz ist wortgleich der Fassung in der App:

Wenn ihr beide ausdrücklich zustimmt, erstellt Kintso einmal im Monat einen kurzen Begleit-Text („Monats-Kapitel“) zu eurer gemeinsamen Chronik. Dafür übermitteln wir ausschliesslich zusammengefasste Monatswerte eures Paares an unseren Auftragsverarbeiter Anthropic PBC (USA): Monat und Jahr, die Anzahl und Durchschnittswerte eurer Check-ins, die Anzahl eurer Echo-Dialoge, die geglättete Monats-Einordnung eurer Chronik sowie die Art in den Monat fallender Jahrestage. Niemals übermittelt werden: eure Texte und Nachrichten, das Solo-Tagebuch, eure Wesensbild-Antworten, Krisen- und Timeout-Daten oder eure Namen. Rechtsgrundlage ist eure Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); sie ist freiwillig und jederzeit in der App widerrufbar — nach dem Widerruf werden keine neuen Kapitel mehr erstellt; bereits erstellte Kapitel bleiben Teil eurer gemeinsamen Chronik. Die Übermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln.

Anthropic speichert die übermittelten Daten nicht dauerhaft, ausser soweit gesetzlich erforderlich oder zur Missbrauchsprüfung; andernfalls werden sie innerhalb von 30 Tagen gelöscht und nicht zum Training von KI-Modellen verwendet.

Weitere Kategorien (etwa die Gefühls-Färbung eurer Echo-Momente) übermitteln wir nur, wenn ihr beide sie einzeln in der App freigebt; ein Widerruf wirkt ab dem nächsten Kapitel — bereits erstellte Kapitel bleiben Teil eurer Chronik.

Es findet keine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO statt. Kumo ist ein Begleiter und ersetzt keine Therapie oder professionelle Beratung.

Zwei Ergänzungen, die in der App aus Platzgründen fehlen:

• Wo oben „Durchschnittswerte“ steht, übermitteln wir tatsächlich gerundete Klassen („leise“, „im Fluss“, „voll“) statt Zahlen. In Monaten, die euch viel abverlangt haben, entfallen sie ganz.
• Der Widerruf wirkt ab dem nächsten Kapitel. Bereits geschriebene Kapitel bleiben in eurer Chronik, weil sie euch gehören — löschen könnt ihr sie über die Löschung des Kontos oder auf Anfrage.

8 · Fehlerberichte

Wenn die App auf einen Fehler läuft, schickt sie einen Bericht an unseren Auftragsverarbeiter Sentry. Ohne solche Berichte liesse sich eine App, die auf tausenden verschiedenen Geräten läuft, nicht stabil halten.

Diese Berichte laufen unabhängig von einer Zustimmung. Wir stützen sie auf unser berechtigtes Interesse am Betrieb. Du kannst ihnen nach Art. 21 DSGVO widersprechen — schreib uns, und wir richten es ein.

Ein Bericht enthält: die Fehlermeldung, die Stelle im Programm, an der sie auftrat, Angaben zum Gerät und zur App-Version sowie technische Kennungen. Dazu gehört in einzelnen Fällen deine Nutzer-Kennung — eine zufällige Zeichenfolge, die für uns zu deinem Konto führt.

Eure Inhalte gehören nicht dazu. Texte, Nachrichten, Tagebuch-Einträge, Check-in-Werte und Sprachnachrichten werden nicht in Fehlerberichte gegeben; die App führt dafür einen eigenen Filter.

Eine Messung von Programmlaufzeiten findet nicht statt: die entsprechende Abtastrate steht auf null.

9 · Nutzungsstatistik

Die App sendet derzeit keine Nutzungs-Ereignisse. Die Funktion ist gebaut und abgeschaltet — es wird dafür weder eine Verbindung aufgebaut noch eine Geräte-Kennung erzeugt.

Wenn wir sie einschalten, dann so: über den Anbieter PostHog mit Verarbeitung in der Europäischen Union, ausschliesslich mit deiner vorherigen Zustimmung, und ausschliesslich mit der Information, dass etwas geschehen ist — nie, was. Also etwa „ein Check-in wurde abgesendet“, aber niemals die Werte darin. Wir werden dich vorher fragen und diese Erklärung vorher ändern.

Unabhängig davon meldet unsere Server-Überwachung technische Betriebszustände an denselben Anbieter — ohne jeden Bezug zu einer Person, ausschliesslich Angaben über den Zustand unserer eigenen Systeme.

10 · Mitteilungen auf dein Telefon

Mitteilungen bekommst du nur, wenn du sie im Betriebssystem erlaubt hast. Der Weg führt über Expo und von dort über den Push-Dienst von Apple beziehungsweise Google.

Bitte sei dir bei der Entscheidung über eines im Klaren: eine Mitteilung ist auf diesem Weg nicht vertraulich. Sie erscheint auf deinem Sperrbildschirm und passiert unterwegs die genannten Dienste. Was in ihr steht:

• der Vorname deines Partners in der Überschrift, so wie er in der App eingetragen ist;
• ein fester Textbaustein — nie euer eigener Text. Manche dieser Bausteine sagen aber etwas über die Lage aus: dass eine gemeinsame Auszeit läuft, dass ein Gesprächs-Blatt für eine Paartherapie angefragt wurde, oder dass ein intimerer Fragen-Bereich zur Freigabe ansteht.

Wenn dir das zu viel ist, gibt es zwei Wege: Mitteilungen im Betriebssystem ganz abschalten, oder in den Einstellungen deines Telefons festlegen, dass Vorschauen nur bei entsperrtem Gerät erscheinen.

Ruhezeiten kannst du in der App festlegen. Eine Ausnahme ist bewusst gebaut: die Mitteilung über eine gemeinsame Auszeit erreicht dich auch dann — sie ist der Fall, für den Ruhezeiten nicht gedacht sind.

11 · Wie lange wir speichern

• Konto und Inhalte — solange dein Konto besteht.
• Nach einer Trennung bleibt ein Beziehungs-Archiv 30 Tage für den zurückbleibenden Partner erreichbar, danach fällt der Zugang.
• Beim KI-Begleiter löscht Anthropic die übermittelten Werte laut Vertrag innerhalb von 30 Tagen.
• Fehlerberichte werden nach der beim Anbieter eingestellten Frist gelöscht.
• Rechnungsrelevante Angaben bewahren wir auf, solange handels- und steuerrechtliche Fristen es verlangen.

12 · Löschen — und was das bedeutet

Du kannst dein Konto in der App löschen. Dabei geschieht Folgendes, und wir beschreiben es genau, weil „löschen“ hier nicht überall dasselbe heisst:

• Dein Konto wird entfernt, dein Profil anonymisiert, dein Profilbild und deine Sprachnachrichten werden gelöscht.
• Eure Paar-Verbindung wird aufgelöst. Dein Partner behält 30 Tage lang Zugang zum gemeinsamen Archiv.
• Was ihr gemeinsam geschrieben habt, bleibt bestehen — Beiträge in einem geführten Gespräch, Antworten auf gemeinsame Fragen, die Monats-Kapitel. Diese Einträge sind auch die Daten deines Partners, und sein Gespräch würde durch eine Löschung unvollständig. Wenn du auch das entfernt haben möchtest, schreib uns; wir prüfen das im Einzelfall gegen die Rechte des anderen.
• Bei RevenueCat bleibt ein Abo-Datensatz mit deiner Kennung bestehen — wir stossen dort heute keine Löschung an. Wenn du das möchtest, schreib uns; wir übernehmen es von Hand, bis der Weg automatisch läuft.
• In der Abschieds-Notiz, die dein Partner sieht, steht dein Vorname. Sonst stünde dort „Gelöschter Nutzer“, und das wäre ein hartes Ende für jemanden, der gerade verlassen wurde.

13 · Deine Rechte

Nach der Datenschutz-Grundverordnung kannst du von uns verlangen:

• Auskunft (Art. 15) über alles, was wir zu dir verarbeiten. Die App bringt dafür einen Selbst-Export mit, der dir deine Daten als Datei erzeugt.
• Berichtigung (Art. 16) unrichtiger Angaben.
• Löschung (Art. 17) — siehe Abschnitt 12.
• Einschränkung (Art. 18) der Verarbeitung.
• Datenübertragbarkeit (Art. 20) in einem gängigen Format.
• Widerspruch (Art. 21) gegen Verarbeitungen auf Grundlage berechtigten Interesses — also insbesondere gegen Fehlerberichte.
• Widerruf einer Einwilligung (Art. 7 Abs. 3) jederzeit und mit Wirkung für die Zukunft.

Schreib uns dafür an die im Impressum genannte Adresse. Ausserdem hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren — zuständig ist die Behörde deines Wohnorts oder die unseres Sitzes.

14 · Sicherheit

Was wir tun:

• Jede Verbindung zwischen App und Server ist transportverschlüsselt (TLS).
• Auf deinem Gerät liegen Daten verschlüsselt (AES-256); der Schlüssel wird einmalig auf dem Gerät erzeugt und in der Schlüsselverwaltung des Betriebssystems abgelegt.
• Auf dem Server ist jede Zeile an euer Paar gebunden. Die Datenbank setzt das selbst durch, nicht die App — ein anderes Paar kann eure Zeilen technisch nicht abrufen.
• Sprachnachrichten liegen in einem geschützten Speicher, der eine gültige Anmeldung verlangt.

Was wir nicht tun, damit du es nicht annimmst:

• Es gibt keine Ende-zu-Ende-Verschlüsselung. Eure Inhalte liegen auf dem Server lesbar. Wir sehen sie im laufenden Betrieb nicht an — aber wir könnten es technisch, und deshalb sagen wir es.
• Profilbilder und hochgeladene Dateien liegen in nicht-öffentlichen Speichern. Sie werden nur über kurzlebige, signierte Adressen ausgeliefert, die eine Stunde gültig sind; ohne Anmeldung und ohne Zugehörigkeit zum jeweiligen Paar gibt der Speicher nichts heraus.

15 · Alter

Kintso richtet sich an Erwachsene. Die Nutzung setzt ein Mindestalter von 18 Jahren voraus. Wir erheben das Alter nicht aktiv; erfahren wir, dass ein Konto einer minderjährigen Person gehört, löschen wir es.

16 · Änderungen

Wenn sich ändert, was wir verarbeiten, ändert sich diese Erklärung mit. Das Datum oben sagt dir, welche Fassung du liest. Bei Änderungen, die eine Einwilligung betreffen, fragen wir dich vorher in der App — Stillschweigen gilt bei uns nicht als Zustimmung.