Datenschutzerklärung

Fassung: privacy-2026-10-25b · Stand: 25. Oktober 2026

Diese Erklärung sagt, was Flukto mit Daten macht. Sie beschreibt keinen Wunschzustand, sondern das, was der Server tatsächlich tut. Sie gilt für die App und für die Website flukto.com.

1. Verantwortlicher

Reimund Bleischwiz, Eberhard-Hoesch-Straße 130, 52351 Düren, Deutschland E-Mail: datenschutz@flukto.com

Einen Datenschutzbeauftragten gibt es nicht; die Voraussetzungen dafür liegen nicht vor.

2. Der kurze Überblick

• Flukto ist kostenlos, zeigt keine Werbung, verkauft nichts und hat keine Analyse-Werkzeuge eingebaut — kein Google Analytics, kein Firebase Analytics, kein Tracking-Baustein irgendeiner Art. Auch nicht auf der Website.
• Die Karten-Kacheln kommen von unserem eigenen Server. Kein Kartenanbieter erfährt, wohin du schaust.
• Niemand bekommt deinen genauen Ort. Andere Menschen sehen einen festen Punkt aus einem Raster mit mindestens 300 Metern Kantenlänge: für alle dieselbe ungefähre Stelle, damit sich aus vielen Blicken kein genauer Punkt errechnen lässt.
• Ein Foto verrät nicht, wo du gestanden hast. Aus jedem hochgeladenen Bild fallen die Angaben der Kamera heraus — Aufnahmeort, Zeitpunkt, Gerät.
• Alle Modelle laufen bei uns. Die Prüfung von Fotos und der Übersetzer sind Programme auf unserem eigenen Server. Kein Text und kein Bild geht an einen fremden KI-Dienst.
• Fast alles löscht sich von selbst: eine Sendung vier Stunden nach dem Start oder nach der letzten Verlängerung, eine erste Nachricht nach einer Stunde (zwei, wenn die Person gerade nicht sendet), ein Chat 24 Stunden nach der letzten Nachricht, eine Gruppe 7 Tage nach der letzten Nachricht oder dem letzten Beitritt.
• Das Zugriffsprotokoll unserer Server speichert keine IP-Adressen — weder für die App noch für die Website.

3. Was wir verarbeiten, wozu und auf welcher Grundlage

3.1 Dein Konto

Was: E-Mail-Adresse — oder, bei der Anmeldung mit Google oder Apple, die Kennung dieser Anmeldung und die E-Mail-Adresse, die der Anbieter dazu mitgibt (Abschnitt 5) —, Spitzname, deine Bestätigung, dass du 18 oder älter bist (mit dem Zeitpunkt), Geschlecht, deine Zeile über dich, Sprachen, deine Einstellungen (Unschärfe, Sprachfilter, Besucher ausblenden, Gruppen-Einladungen, Gruppen-Benachrichtigungen, Erreichbarkeit im Off), die Sprache, in der die App dir erscheint, und ihre Version, wann deine App zuletzt unseren Server erreicht hat (auf fünf Minuten genau), sowie welcher Fassung der Regeln du wann zugestimmt hast.

Wozu: Damit es ein Konto gibt, damit die Altersgrenze eingehalten wird und damit andere sehen, mit wem sie sprechen.

Grundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag). Ein Passwort gibt es nicht — der Zugang läuft über einen Einmal-Code an deine E-Mail-Adresse oder über die Anmeldung mit Google (Android) oder Apple (iPhone).

Wie lange: bis du das Konto löschst. Dann sofort und vollständig — mit allem, was an dem Konto hängt: Fotos, Zähler, Freundesliste, Gruppen- Mitgliedschaften, Sperren, Zustimmungen.

3.2 Deine Fotos

Was: bis zu sechs Bilder, so wie du sie hochlädst. Wir rechnen nichts aus ihnen heraus: keine Gesichtserkennung, keine biometrischen Merkmale, kein Wiedererkennen über Bilder hinweg. Grundlage: Art. 6 Abs. 1 lit. b DSGVO. Wie lange: bis du sie ersetzt oder das Konto löschst.

Aus jedem Bild fällt heraus, was nicht zum Bild gehört. Eine Kamera schreibt in die Datei oft mehr als das Bild selbst: den Aufnahmeort (GPS), den Zeitpunkt, das Gerät, die Software. Flukto baut jedes Bild, das du irgendwo in der App schickst, auf dem Server neu auf. Übrig bleibt das Bild; EXIF, XMP und IPTC sind weg, und damit der Ort, an dem du gestanden hast. Die App wirft diese Angaben schon auf deinem Telefon weg, der Server ist die zweite Reihe. Bilder, die vor dem

• August 2026 hochgeladen wurden, haben wir am 18. September 2026

nachträglich ebenso gesäubert.

Eine Prüfung gibt es, und zwar vor der Anzeige. Jedes hochgeladene Bild läuft einmal durch ein Modell, das nur eine Frage beantwortet: ist darauf etwas Anstößiges? Bis das geschehen ist, sieht das Bild niemand außer dir. Klar Unauffälliges wird freigegeben, klar Anstößiges abgelehnt, alles dazwischen sieht ein Mensch an — gegen eine Ablehnung kannst du im Team-Faden Einspruch erheben.

Das gilt für deine Profilbilder, für die Bilder an einem Zettel und für ein Bild, das du mit einer ersten Nachricht schickst: alle gehen durch dieselbe Prüfung — ein Programm, und ein Mensch, wo das Programm unsicher ist — bevor ein anderer sie sieht. Bilder in einem Gespräch, das schon läuft, werden vorher nicht geprüft; sie lassen sich melden wie jede Nachricht (§3.7).

Das Modell läuft auf unserem eigenen Server; das Bild wird zu keinem fremden Dienst geschickt. Gespeichert werden das Ergebnis und der Zeitpunkt, damit eine Entscheidung nachvollziehbar bleibt. Grundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz der Menschen hier vor Inhalten, die niemand sehen will) sowie unsere Pflichten gegenüber den App-Läden.

Die klare Freigabe und die klare Ablehnung sind automatisierte Entscheidungen (Art. 22 DSGVO). Dein Schutz dabei: du erfährst das Ergebnis, du kannst im Team-Faden Einspruch erheben, und dann entscheidet ein Mensch neu — dieselbe Person, die ohnehin alles ansieht, was das Modell nicht sicher einordnen kann.

3.3 Dein Ort

Was: die Position deines Geräts, solange du auf Sendung bist.

Wozu: um Menschen in deiner Nähe zu finden und die Waben der Karte zu füllen.

Grundlage: Art. 6 Abs. 1 lit. a DSGVO — deine Einwilligung, erteilt durch die Ortsfreigabe im Betriebssystem. Du kannst sie dort jederzeit zurücknehmen; danach funktioniert die App nicht mehr, aber dein Konto bleibt.

Wie: Der genaue Punkt liegt nur im Arbeitsspeicher des Servers und wird nur für die Entfernungsrechnung benutzt. Das ist keine Redensart: der Speicher, der ihn hält (Redis), läuft ausdrücklich ohne Festplatten-Sicherung, und in der Datenbank gibt es für Koordinaten überhaupt kein Feld. Startet der Server neu, sind alle Positionen weg. Angezeigt wird der genaue Punkt nie.

Was andere sehen, ist ein gerasterter Punkt. Die Welt ist in Zellen geteilt, deren Kantenlänge du selbst wählst (300 bis 1000 Meter, unter 300 geht es nie). Gezeigt wird nicht deine Position, sondern eine feste Stelle im Inneren der Zelle, in der du gerade stehst — nie am Zellenrand. Diese Stelle hängt weder am Betrachter noch an der Sitzung noch an der Zeit: alle sehen dieselbe. Genau darin liegt der Schutz — aus mehreren Abrufen, mehreren Konten oder mehreren Tagen lässt sich kein Mittelwert bilden, der auf deine echte Position zeigt. Wie weit die gezeigte Stelle danebenliegt, hängt davon ab, wo in der Zelle du gerade stehst; weiter als eine Zellenkante ist es nie. Die Zusage ist Nachbarschaft, nicht Adresse. Entfernungen sind auf 50 Meter aufgerundet.

Im Hintergrund. Solange du auf Sendung bist, meldet dein Gerät die Position auch dann, wenn die App nicht offen ist — sonst wärst du nach dem ersten Bildschirm-Aus von der Karte verschwunden. Android verlangt dafür eine dauerhafte, stille Meldung in der Leiste („Flukto hält dich auf Sendung"); sie ist die Bedingung des Systems, keine Werbung. Endet die Sendung, endet auch die Meldung. Auf dem iPhone gibt es diese Meldung nicht: dort plant das System stattdessen kurze Läufe im Hintergrund.

Besuch (Teleport): Du kannst deine laufende Sendung in eine warme Wabe an einem anderen Ort versetzen. Dann sehen andere nur die gewählte Wabe mit einem zufälligen Punkt darin und die Marke „Gast" — dein echter Standort wird dabei überhaupt nicht angezeigt und nur zum Zurückkehren im Arbeitsspeicher behalten. Ein Treffpunkt lässt sich als Gast oder mit einem Gast nicht setzen. Wer keine Gäste sehen will, schaltet sie aus („Besucher ausblenden"); das wirkt in beide Richtungen. Von jedem Besuch bleibt die Wabe und die Zeit 30 Tage gespeichert — damit eine nach Meldungen beendete Reise die Besuche für den Rest des Tages schließt, und als Zähler (§3.5); nie dein Weg dorthin.

Die grobe Wabe deines letzten Starts (rund 5 km², etwa eine Kleinstadt) steht in deinem Konto, bis du erneut startest oder das Konto löschst. Sie war für die Tages-Zeile im Off gedacht; diese Meldung ist derzeit abgeschaltet.

Deine eigene Karte ist die Ausnahme, die keine ist: dein Gerät kennt deine Position ohnehin und zeigt sie dir genau. Nach draußen geht sie nie.

Eine genaue Koordinate verlässt dein Gerät nur in einem Fall: wenn du selbst einen Treffpunkt setzt. Das ist ein Ort, den du von Hand auf der Karte wählst; er geht genau so an die Person im Gespräch und lebt so lange wie das Gespräch (24 Stunden nach der letzten Nachricht, siehe §3.4). Das Fadenkreuz startet dabei nie auf deiner eigenen Position — damit das nicht versehentlich geschieht. Es bleibt deine Entscheidung: der Treffpunkt ist ein Ort, kein Mensch, und Flukto sendet ihn nie von selbst.

Die Waben der Karte sagen etwas anderes als die Punkte, und weniger: In der nächsten Zoomstufe deckt eine Wabe rund 0,7 km² (Kante etwa 460 m); wer herauszoomt, sieht größere Waben, in denen mehrere aufgehen. Eine Wabe glimmt bereits, wenn ein einziger Mensch darin aktiv ist — sonst wäre eine ruhige Stadt eine leere Karte. Sie nennt dabei keine Zahl: die Zahl der Menschen wird erst ab fünf angezeigt, darunter gibt es sie schlicht nicht. Und sie sagt nicht, ob gerade jemand da ist: die Farbe verblasst über eine Stunde, eine glimmende Wabe kann also auch bedeuten, dass dort vor kurzem jemand war. Dieselben Waben, ohne Namen und ohne Punkte, zeigt auch die öffentliche Karte auf flukto.com (§3.9).

Wie lange: Eine Sendung endet vier Stunden nach dem Start oder nach der letzten Verlängerung — ohne dein Zutun also nach spätestens vier Stunden. Du kannst sie beliebig oft verlängern und jederzeit sofort beenden; solange sie läuft, wird deine Position weiter verarbeitet. Die Wärme einer Wabe verblasst über eine Stunde und ist einer Person nicht zuzuordnen.

Offen für ein Gespräch, ohne Sendung („Open to chat"). Nach deiner ersten Sendung kannst du auch ohne laufende Sendung auf der Karte bleiben: als leiser Punkt ohne Zeile, halb hell. Dafür merken wir uns das Gebiet, in dem du zuletzt gesendet oder die App zuletzt geöffnet hast: eine Karten-Wabe von etwa 5 km² (H3 Stufe 7), nie einen Punkt, dazu den Zeitpunkt dieser letzten Nutzung und den Zeitpunkt, zu dem du die App zuletzt geöffnet hast. Der Punkt steht in dieser Wabe, jeden Tag ein wenig versetzt, und bleibt bis zu 100 Tage nach dem letzten Öffnen der App; jedes Öffnen lässt die 100 Tage neu beginnen. Menschen auf Sendung, deren Reichweite bis zu dieser Wabe reicht, können dir schreiben; eine solche erste Nachricht wartet 24 Stunden auf dich statt einer. Du selbst siehst dabei niemanden. Dafür läuft nichts im Hintergrund: Die App meldet keine Position, solange sie geschlossen oder nicht auf Sendung ist; die Wabe wird nur geschrieben, wenn du sendest, Off gehst oder die App öffnest. Der Schalter steht unter Du › Verfügbarkeit und ist aus, bis du zustimmst: Vor deiner ersten Sendung fragt dich die App einmal („Show me and stay findable" / „Only while on air"); Konten, die nie geantwortet haben, werden einmal gefragt. Ausgeschaltet, abgemeldet oder gelöscht ist der Punkt sofort weg und die Wabe gelöscht. Solange er an ist, sagt es die Kapsel oben auf der Karte („Off · Open to chat"). Grundlage: Art. 6 Abs. 1 lit. a DSGVO (deine Einwilligung durch das Blatt und den Schalter sowie die Ortsfreigabe).

3.4 Deine Nachrichten, Chats und Gruppen

Was · Wie lange

Erste Nachricht an jemanden, mit dem du noch nicht gesprochen hast · 1 Stunde, dann gelöscht; 2 Stunden, wenn die Person gerade nicht sendet (nur „Open to chat") oder in deiner Freundesliste steht; 24 Stunden, wenn die Person nur über die Wabe ihrer letzten Nutzung gezeigt wird

Chat zu zweit (Nachrichten, Fotos, Reaktionen, Zitate, Treffpunkt) · 24 Stunden nach der letzten Nachricht

Gruppe (Titel, Mitglieder, Nachrichten, Fotos, Reaktionen, Ansprachen, Abstimmungen samt Stimmen) · 7 Tage nach der letzten Nachricht oder dem letzten Beitritt — für alle Mitglieder zugleich

Faden mit dem Flukto-Team · 24 Stunden, nachdem du die letzte Antwort gelesen hast. Liest du eine Antwort nie, wird der Faden 24 Stunden nach der Antwort gelöscht. Schreibst du erneut, bleibt der Faden samt Verlauf bestehen, bis er wieder beantwortet ist

Grundlage: Art. 6 Abs. 1 lit. b DSGVO. Es gibt kein Archiv. Was abläuft, wird physisch gelöscht, nicht als gelöscht markiert.

Berichtigen und zurücknehmen. Eine eigene Zeile kannst du nachträglich ändern (sie trägt dann die Marke „bearbeitet"; die frühere Fassung wird nicht aufbewahrt) oder zurücknehmen. Eine zurückgenommene Zeile verliert Text und Bild sofort; nur eine leere Hülle bleibt bis zum Ende des Chats stehen, damit Zitate und Alben nicht ins Leere zeigen. In einer Gruppe darf zusätzlich die Person, die sie angelegt hat, jede Zeile zurücknehmen.

Gruppen. Wer eine Gruppe anlegt, wählt Titel und Mitglieder aus den eigenen offenen Chats. Jedes Mitglied sieht die Namen und Fotos der anderen Mitglieder und deren Zeile über sich. In einer Abstimmung sehen die Mitglieder, wer wie gestimmt hat; bei einer Reaktion, wer reagiert hat. Wer nicht in Gruppen eingeladen werden will, schaltet das ab („Niemand kann mich zu Gruppen hinzufügen"). Wer nicht mehr dabei sein will, geht — und ist für die anderen sofort weg; die eigenen Zeilen bleiben bis zum Ende der Gruppe, weil sie Teil des Gesprächs der anderen sind.

Zettel in der Wabe. Du kannst in der Wabe, in der du gerade stehst, einen Zettel hinterlassen: Text (bis 4096 Zeichen) und bis zu zehn Bilder, für eine Stunde bis sieben Tage; je fünf Daumen nach oben halten ihn einen weiteren Tag, bis zu sieben Tage. Den Text kannst du später ändern; Bilder und Frist bleiben. Er hängt an der Wabe (rund 460 m Kante), nicht an deiner Position, und trägt deinen Spitznamen und dein Profilbild. Lesen, „finden", einen Daumen hoch oder runter geben und einen Kommentar (bis 200 Zeichen) darunter lassen kann, wer in dieser Wabe oder einer der sechs Waben daneben steht und auf Sendung ist. Ein Gast per Teleport kann dasselbe in der besuchten Wabe und ihren sechs Nachbarn, sieht Namen und Profile wie alle anderen und kann dort nur keinen Zettel hinterlassen; ein Blick des Gastes zählt als Fund. Gespeichert werden Text, Bilder, Wabe, Frist, wer ihn gefunden hat (damit ein Fund nur einmal zählt), die Kommentare (einer je Konto) und ein Daumen hoch oder runter je Konto; alles verschwindet mit dem Ablauf physisch, Bilder eingeschlossen. Hat ein Zettel mindestens fünf Daumen runter und mindestens doppelt so viele runter wie hoch, nimmt der Server ihn von selbst weg und sagt es dem Autor im Team-Faden. Läuft ein Zettel ab, bekommt der Autor dort eine Zusammenfassung: Funde, Daumen und die Kommentare mit den Spitznamen der Finder. Der Autor sieht ausserdem in der App, WER seinen Zettel gefunden hat: Spitzname, Profilbild und der Daumen, den diese Person gegeben hat (oder dass sie nur gelesen hat). Wer einen fremden Zettel liest, sieht diese Liste nie. Deine Zettel kannst du jederzeit von überall lesen, ändern und zurücknehmen, deinen Kommentar berichtigen oder nehmen. Zettel und Kommentare lassen sich melden wie Nachrichten (§3.7). Die Sprache wird wie bei Nachrichten erkannt, damit „Übersetzen" angeboten werden kann. Grundlage: Art. 6 Abs. 1 lit. b DSGVO.

Übersetzen. Steht eine Nachricht, eine Profilzeile oder ein Zettel in einer Sprache, die du nicht in deinem Profil hast, kannst du sie übersetzen lassen. Das geschieht nur auf deinen Tipp, nie von selbst. Das Übersetzungsmodell läuft auf unserem eigenen Server; der Text geht zu keinem fremden Dienst. Die Übersetzung wird höchstens 48 Stunden aufbewahrt, damit ein zweiter Tipp nicht neu rechnen muss, und danach gelöscht. Damit die App weiß, ob eine Übersetzung angeboten wird, erkennt der Server beim Senden die Sprache jeder Nachricht (ein Kürzel wie „ko", sonst nichts); das Kürzel lebt und stirbt mit der Nachricht. Eine maschinelle Übersetzung kann falsch sein — der Originaltext bleibt immer sichtbar. Grundlage: Art. 6 Abs. 1 lit. b DSGVO.

Unwahrscheinlichkeitsgenerator („Improbability Generator"). (Nur in der Android-App — die iPhone-App hat diese Funktion nicht.) Ein Schalter unter Du › Wie mich andere erreichen, voreingestellt aus. Ist er an und du auf Sendung, kannst du das Gerät auf der Karte antippen: der Server wählt zufällig einen anderen Menschen, der ebenfalls auf Sendung ist, den Schalter an hat und eine deiner Sprachen spricht, irgendwo auf der Welt. Deine aktuelle Sendungszeile reist mit der Anfrage, steht aber nicht im Gespräch (seine ebenso wenig); er hat zwei Stunden für die Antwort, seine Antwort ist die erste Zeile des Gesprächs, das dann lebt wie jedes andere (§3.4). Der andere sieht dein Profil wie bei jeder Anfrage (Spitzname, Bild, die Zeile über dich, Sprachen) und die Zeile, nie deinen Ort; beide sehen die Zahl, wie viele Menschen zur Wahl standen. Wir speichern je Dreh, wen der Server wem zugelost hat (30 Tage, damit dieselben zwei nicht wieder fallen, und für die Grenze: sechs Drehs am Tag; wer eine Anfrage wegwischt, die auf ihn fiel, gibt dafür einen davon her). Wer gerade ein solches Gespräch führt oder eine solche Anfrage offen hat, fällt in dieser Zeit niemandem zu. Grundlage: Art. 6 Abs. 1 lit. a DSGVO (der Schalter und der Tipp auf das Gerät).

Hosts. Manche Konten auf der Karte sind Flukto-Hosts, die wir selbst betreiben (im Profil als „Flukto host“ gekennzeichnet). Eine Nachricht an einen Host beantwortet unsere eigene Software auf unserem eigenen Server; sie wird wie jeder andere Chat gespeichert und gelöscht und nie an Dritte weitergegeben.

3.5 Zähler

Nichts muss verdient werden: die volle Reichweite, Besuche, Gruppen und die Freundesliste stehen vom ersten Start an offen. Dein Konto führt trotzdem Zähler, die niemand sieht:

• Gespräche: mit wem du schon ein Gespräch hattest — als Paar von Konto-Kennungen, damit dasselbe Gespräch nicht zweimal zählt. Ebenso, mit wem du zehn Minuten in derselben Wabe auf Sendung warst („zusammen senden") und wen du in deiner Wabe zu Gast hattest. Diese Paare enthalten keinen Ort und keinen Inhalt.
• Stunden: wie viele Minuten du insgesamt auf Sendung warst und wie viele davon nicht als Gast. Eine Zahl, kein Verlauf: der Server addiert je Minute, ohne zu speichern, wann oder wo.
• Besuche: siehe §3.3 — Wabe und Zeit, 30 Tage.

Wozu: die Gesprächspaare entscheiden, wen du in eine Gruppe einladen und als Freund behalten kannst (jemanden, mit dem du wirklich gesprochen hast). Die Stunden sind eine schlichte Nutzungszahl des Kontos; wir behalten sie für Funktionen, die später dazukommen können, und zeigen sie niemandem. Grundlage: Art. 6 Abs. 1 lit. b DSGVO für die Gesprächspaare; Art. 6 Abs. 1 lit. f DSGVO für die Stunden (unser Interesse, auf ehrlichen Nutzungszahlen aufzubauen; eine Zahl ohne Zeit und Ort berührt dich kaum). Wie lange: bis du das Konto löschst.

Freundesliste. Deine Freunde sind eine private Liste: einseitig, ohne Anfrage, ohne Bestätigung. Die Person erfährt nicht, dass sie darin steht. Die Liste bleibt, bis du sie änderst oder das Konto löschst.

3.6 Benachrichtigungen

Was: die Push-Kennung deines Geräts, Plattform, App-Fassung, letzter Kontakt. Grundlage: Art. 6 Abs. 1 lit. a DSGVO (die Erlaubnis für Mitteilungen, die dein Gerät abfragt). Wie lange: bis das Gerät sich abmeldet oder die Kennung ungültig wird — dann sofort gelöscht.

Was in einer Meldung steht: Bei einer Anfrage und einer Antwort nur, dass etwas da ist („Jemand hat dir eine Nachricht geschickt") — kein Name, kein Inhalt. Bei einer Nachricht im Chat zu zweit trägt der Push-Dienst (§4) nur die Tatsache, dass eine Zeile da ist, und ihre Kennung; dein eigenes Gerät holt dann Name, Bild und Text mit deiner Sitzung von unserem Server und zeigt sie in der Meldung. Gelingt das nicht (kein Netz, Zeile schon weg), sagt die Meldung nur „Neue Nachricht". Dasselbe gilt für eine Nachricht in einer Gruppe: Der Push-Dienst trägt nur die Tatsache und die Kennung, dein Gerät holt Name, Gruppentitel und Zeile. Ältere App-Fassungen bekommen weiter die schlichte Meldung im Chat zu zweit und bei Gruppen Name, Gruppentitel und den Anfang der Zeile im Push selbst. Gruppen-Meldungen lassen sich unter Du › Benachrichtigungen von Gruppen abschalten (Ansprachen mit @ erreichen dich trotzdem).

3.7 Meldungen und Sicherheit

Was: Wenn du jemanden meldest, speichern wir deine Begründung und eine Kopie des gemeldeten Gesprächs. Ohne diese Kopie wäre der Inhalt schon verdampft, bevor ein Mensch ihn ansehen kann.

Wozu: Missbrauch abwehren, Menschen schützen, gesetzliche Pflichten erfüllen. Grundlage: Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an einem Dienst, in dem man nicht belästigt wird).

Wer sieht es: ausschließlich die Moderation. Der gemeldete Mensch erfährt nicht, wer gemeldet hat.

Wie lange: 30 Tage nach Bearbeitung. Sperren bleiben bis zum Ablauf gespeichert — als pseudonymisierter Eintrag (ein Prüfwert der Anmeldekennung, nicht die Adresse selbst), damit ein gesperrtes Konto nicht durch Löschen und Neuanlegen zurückkommt. Jeder Eingriff der Moderation wird mit Zeitpunkt und Grund festgehalten, damit er sich nachvollziehen und anfechten lässt.

3.8 Technischer Betrieb

Unser Server protokolliert Pfad, Antwortzeit und Status jeder Anfrage — ohne IP-Adresse: das Feld ist bewusst abgeschaltet, im Server wie am Eingang davor. Was nicht gespeichert wird, muss auch nicht geschützt, gelöscht oder erklärt werden.

Eine Ausnahme in eng begrenztem Rahmen: vor der Anmeldung (wenn es noch kein Konto gibt, das man zählen könnte) begrenzen wir Anmeldeversuche je IP-Adresse, um Missbrauch zu bremsen. Diese Zähler leben unter zwei Minuten im Arbeitsspeicher und werden nirgends protokolliert.

Fehlerberichte der App. Geht in der App etwas schief (zum Beispiel liefert die Kamera kein Bild), meldet sie dem Server ein Stichwort dazu, mit App-Fassung und Zeitpunkt — keinen Inhalt, keinen Ort. Diese Einträge werden nach 30 Tagen gelöscht.

Grundlage: Art. 6 Abs. 1 lit. f DSGVO.

3.9 Die Website flukto.com und die öffentliche Karte

Die Website ist eine Reihe fester Seiten ohne Konto, ohne Cookies und ohne Analyse. Sie merkt sich im Browser höchstens, ob du die helle Fassung gewählt hast; das bleibt auf deinem Gerät.

Öffentliche Karte (flukto.com/map): Sie zeigt dieselben Waben wie die App — Wärme je Wabe, dazu vier Zahlen für die ganze Welt (Konten, gerade auf Sendung, Städte, Gäste). Keine Namen, keine Punkte, keine Zahl unter fünf je Wabe. Sie lässt sich ohne Konto ansehen; der Server erfährt dabei nur den Kartenausschnitt, den du dir ansiehst, und speichert ihn nicht.

Stadt-Suche (in der Welt-Ansicht der App): Der Name, den du eintippst, geht als Teil der Anfrage an unseren Server und wird mit einer Ortsliste abgeglichen, die auf unserem eigenen Server liegt; an Dritte geht nichts. Der Server antwortet und behält den Begriff nicht über das Anfrage-Protokoll aus §3.8 hinaus (Pfad, Zeit, Status — keine IP-Adresse).

Aufkleber: Auf der Karte kannst du einen Aufkleber mit einem QR-Code erzeugen, der auf eine Stelle der Karte zeigt, dazu ein kurzer Text von dir. Der Text bleibt dabei in deinem Browser: er wird zu uns nicht gesendet und nicht gespeichert, auch das Bild entsteht in deinem Browser. Der QR-Code enthält nur die Stelle und die Zoomstufe — nichts über dich.

Grundlage: Art. 6 Abs. 1 lit. f DSGVO.

3.10 Dein Aufkleber

Was: Du kannst dir einen Aufkleber erzeugen und aufhängen, wo du willst. Er trägt einen QR-Code, der auf DICH zeigt (flukto.com/s/<Code>), dazu zwei Zeilen Text von dir.

Wer ihn scannt, sieht dein Profil — Spitzname und Fotos — und darf dir EINE Nachricht schreiben, auch wenn er weit weg ist. Wie viele Menschen das tun, entscheidest du: ein Aufkleber hängt öffentlich, scannen kann ihn jeder, der vorbeikommt. Zwei Handgriffe wirken sofort: den Aufkleber auf Pause stellen — der Code bleibt stehen, und alles Gedruckte gilt wieder, sobald du ihn zurückstellst — oder den Code erneuern, was jeden geklebten Aufkleber endgültig verstummen lässt. Wen du blockiert hast, erreicht dich auch über den Aufkleber nicht, und von einem Menschen steht immer nur EINE offene Zeile: solange sie auf dich wartet, kann er keine zweite schicken.

Der Code ist nicht deine Kennung, sondern eine eigene Angabe, die nichts über dich verrät. Der Text, den du druckst, bleibt auf deinem Telefon und wird nicht gespeichert. Wer den Code ohne App scannt, landet auf einer Seite, die genau eine Frage beantwortet: lebt dieser Code? Spitzname, Bild und Kennung stehen dort nie.

Grundlage: Art. 6 Abs. 1 lit. b DSGVO (die Funktion, die du wählst). Wie lange: bis du den Code erneuerst oder das Konto löschst; eine Pause lässt ihn liegen, ohne dass er irgendwohin führt.

4. Wer die Daten außer uns berührt

Wer · Wofür · Wo

dogado GmbH (one.com cloud) · Server, Datenbank, Bilder, Karten, alle Modelle · Deutschland (Leipzig)

Heinlein Support GmbH (mailbox.org) · Versand des Anmelde-Codes · Deutschland (Berlin)

Google (Firebase Cloud Messaging) · Push-Benachrichtigungen auf Android und, über den Apple Push Notification service, auf dem iPhone — das Token ist eine Geräteadresse, und über die Zustellung hinaus wird kein Inhalt gelesen · USA

Apple (Push Notification service) · Push-Benachrichtigungen auf iPhone · USA/EU

Mit den ersten beiden bestehen Verträge zur Auftragsverarbeitung (Art. 28 DSGVO). Für die Übermittlung an Google und Apple stützen wir uns auf das EU-US Data Privacy Framework bzw. die Standardvertragsklauseln. An die Push-Dienste geht bei Chats zu zweit kein Inhalt; bei Gruppen der in §3.6 genannte Anfang der Zeile.

Nicht beteiligt: kein Kartenanbieter, kein Werbenetzwerk, kein Analyse-Dienst, keine sozialen Netzwerke, kein fremder KI-Dienst — Foto- Prüfung, Übersetzer, Aufkleber-Prüfung und die Test-Konten laufen auf unserem eigenen Server.

5. Wenn du dich mit Google oder Apple anmeldest

Nutzt du diese Anmeldung (Google auf Android, Apple auf dem iPhone), erhalten wir von dort eine Kennung und, wenn du es erlaubst, deine E-Mail-Adresse — nicht mehr. Was Google und Apple ihrerseits über die Anmeldung erfahren, richtet sich nach deren Datenschutzerklärungen.

6. Alter

Flukto ist ab 18 Jahren. Dieses Alter verlangen wir schlicht; es liegt deutlich über der Altersgrenze für eine wirksame Einwilligung nach Art. 8 DSGVO in Deutschland. Beim Anlegen des Kontos bestätigst du mit dem Haken zu den Regeln auch, dass du 18 oder älter bist; wir speichern den Zeitpunkt dieser Bestätigung. Ein Geburtsdatum fragt die App seit dem 14. Oktober 2026 nicht mehr ab. Ein früher eingetragenes Datum bleibt so lange im Konto, wie ältere Fassungen der App es noch brauchen, und wird dann gelöscht. Erfahren wir von einem jüngeren Konto, löschen wir es.

7. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Eine erteilte Einwilligung kannst du jederzeit für die Zukunft widerrufen.

Vieles davon geht sofort und ohne uns: Profil ändern in der App, Konto löschen in der App (wirkt augenblicklich und vollständig), Ortsfreigabe im Betriebssystem zurücknehmen. Für Auskunft und Übertragbarkeit schreib an datenschutz@flukto.com; wir antworten innerhalb eines Monats.

Beschwerde: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf.

8. Sicherheit

Die Verbindung ist durchgehend verschlüsselt (TLS). Der Zugang läuft ohne Passwort, also gibt es auch keine Passwort-Datenbank, die gestohlen werden könnte. Die Server stehen in Deutschland. Zugriff auf die Datenbank haben nur Personen, die ihn für den Betrieb brauchen; jeder Eingriff aus dem Verwaltungsbereich wird protokolliert.

Nachrichten sind zwischen dir und dem Server verschlüsselt, nicht Ende-zu-Ende: der Server muss sie lesen können, um sie zuzustellen, zu übersetzen und bei einer Meldung vorzulegen. Das sagt die App auch so.

Sicherheitslücken bitte an sicherheit@flukto.com — wir sind dankbar und antworten.

9. Sicherungskopien

Für den Fall eines Ausfalls sichern wir den Datenbestand alle sechs Stunden auf einen zweiten Server (ebenfalls in Deutschland, außerhalb des Rechenzentrums). Nachrichten, Anfragen, Chat-Fotos, Zettel samt Bildern, Übersetzungen und Meldungen sind in diesen Sicherungen nie enthalten — das Versprechen „kein Archiv" gilt auch hier. Enthalten sind Konten, Profilfotos und Zähler; nach einer Kontolöschung verschwinden auch diese Reste mit der Rotation der Sicherungen, spätestens nach fünf Wochen endgültig.

10. Änderungen

Ändert sich etwas Wesentliches, bekommt diese Erklärung eine neue Fassung, und die App fragt dich beim nächsten Start erneut. Die jeweils gültige Fassung steht oben.