Privacy policyDatenschutz­erklärung

1. Controller

Roman Besteig, Nymphenburger Str. 160, 80634 Munich, Germany, hello@wholehour.app.

This policy covers the whole hour iPhone app and this website. Write to the address above about anything in it.

1. Verantwortlich

Roman Besteig, Nymphenburger Str. 160, 80634 München, hello@wholehour.app.

Diese Erklärung gilt für die whole hour-App fürs iPhone und für diese Website. Zu allem, was hier steht, erreichst du uns unter der Adresse oben.

2. What we process

Only what the app needs. Most of it you give us yourself; your sign-in comes from Apple, and a report about you from the member who made it. Nothing is bought or collected from anywhere else.

• Account: the identifier Sign in with Apple gives us (whole hour asks Apple for no e-mail address and keeps none), your sign-in sessions, and when you confirmed being 18 or older. Your account also gets a support code, drawn at random and shown only to you, in the app: quoted in an e-mail, it tells us which account is yours (section 8). If an e-mail asks us to delete your account, your account keeps when we told you about it in the app and whether you said there that it was not you. So that a sign-in cannot be replayed, the server keeps a fingerprint (SHA-256) of each sign-in token from Apple until the token expires, about ten minutes later, never the token itself; likewise, for a day, of each message Apple sends us about your Apple ID (section 4), so that none is acted on twice. The first time you sign in, Apple also gives your phone your name: the phone keeps only your first name, in its keychain, to fill in the name field, until you save your profile or sign out. The phone also keeps, in its keychain, the identifier Apple gives whole hour for your Apple ID: with it, whenever you open whole hour, your phone asks Apple whether you still use your Apple ID with whole hour, signs you out if not, and confirms a deletion with Apple. An iPhone keeps keychain entries even when the app is deleted: they stay on that phone, where only whole hour can read them. That identifier goes when you delete your account on that phone.
• Application: the line you chose. Sending it lets you in; nothing checks it. Your text stays on your iPhone, as “Day one” in Reflections, and does not reach us. Before you apply, your phone looks at where you are to see whether it is Munich; that position is not sent to us.
• Profile: your first name, a three-second video of you, your languages (and which one you prefer, where you speak both), the times you can meet, the kinds of place, how far you go, and your home position rounded to about a kilometre. Before the video is sent, your phone checks that it shows one live face; nothing of what the check sees reaches us, only that it passed, and a clip that fails is discarded.
• Position: while the app is open it sends your position every five minutes, rounded to about a kilometre on your phone before it is sent. The server keeps only the last one, for 7 days: as long as it places you in Nearby. It keeps none sent from outside Munich, nor any sent while your account is paused, when Nearby does not show you. Whenever you choose your meeting area, during onboarding or later in your profile, your phone also sends its position, rounded the same way, to ask how many people live within each distance you can choose; the server answers rounded counts and keeps nothing of the position; it notes only when you asked for them, for a day at most (section 10).
• Proposals and connections: what you want each week (someone new, the same person again, or a Sunday off), the proposals made to you or by you and your answer to each (a decline keeps the two of you apart for good), and the connections that came of them and when one ended, with your first name as it was at that moment (section 4).
• Meetups: whom you meet, where and when, confirmations, when the hour began and ended, votes and places you proposed, quick messages (“on my way”), your answer if a meetup did not happen, and which questions you were asked, so that you rarely hear the same one twice. If you answer “Something did not feel right”, you can add a note; the answer and your note reach our team as a report, which a person reads.
• Conversations: messages and view-once photos, encrypted on your phone, and who wrote to whom and when. We store only the encrypted form and cannot read it; a photo is deleted once it has been seen, or, if nobody has seen it, when the connection ends, and every message and photo a year after it was sent. Your conversations are on one phone at a time: signing in on another phone takes them there, where they start afresh, and the phone they left deletes its keys; the messages sealed under the old keys are then deleted, for you and the other person. If a screenshot is taken while a view-once photo is open, its sender is told, and we keep when it was taken. If one of you reports the other and chooses to, the reported message with the ten before it, or the reported photo, reaches our team (see Safety). Every message carries a proof sealed inside it, with a fingerprint of it (a hash that says nothing without the proof) kept beside the encrypted form; what a report shares carries its proof, so our team sees it as it was sent, and nobody can put other words in someone’s mouth. We check the proof and do not keep it. Messages are also padded to a few fixed sizes, so their length tells us little. At a meetup, around its start, the two phones find each other nearby over Bluetooth or Wi-Fi and exchange only their conversation’s public keys, signed, to check that they are really each other’s; nothing of this reaches us. The call around a meetup, from five minutes before its start until twenty after, is encrypted between the two phones and passed on by our server without being stored.
• Safety: reports you make or that concern you, blocks, and a record of each meetup you missed or cancelled on the day itself; decisions about you, your reply to an intended pause or closure, and appeals you send. Only if someone reports someone and chooses to: the reported message with the ten before it, as the reporter’s phone shows them, or the view-once photo being reported; this can be your report or one about you.
• Waiting list: if you are not in Munich, the cities you wait for, including one you name yourself, and when you joined. A city you name is shown, with how many wait for it but never who, only to the people waiting for it, until we add it to the list.
• Invites: the code in your invite link, and, if you joined with a friend's code, that it was theirs, so the two of you are never paired.
• Device: the push notification token of your phone.
• E-mail: what you write to hello@wholehour.app, with your address and name as your e-mail shows them.

Your reflection voice notes and their transcripts stay on your phone and never reach us. We use no analytics, no advertising and no crash reporting service, and we never sell data.

2. Was wir verarbeiten

Nur, was die App braucht. Das meiste gibst du uns selbst; deine Anmeldung kommt von Apple, eine Meldung über dich von dem Mitglied, das sie macht. Wir kaufen nichts dazu und sammeln nichts anderswo.

• Konto: die Kennung, die uns „Mit Apple anmelden“ gibt (nach deiner E-Mail-Adresse fragt whole hour Apple nicht, und wir speichern keine), deine Anmeldesitzungen und wann du bestätigt hast, dass du mindestens 18 bist. Dein Konto bekommt außerdem einen zufällig erzeugten Support-Code, den nur du in der App siehst: Nennst du ihn in einer E-Mail, wissen wir, welches Konto deines ist (Abschnitt 8). Bittet uns eine E-Mail, dein Konto zu löschen, hält dein Konto fest, wann wir es dir in der App gesagt haben und ob du dort gesagt hast, dass sie nicht von dir kam. Damit sich niemand mit einer abgefangenen Anmeldung ein zweites Mal anmelden kann, behält der Server von jedem Anmelde-Token, das Apple ausstellt, einen Fingerabdruck (SHA-256), bis das Token abläuft, etwa zehn Minuten später; das Token selbst nie. Ebenso behält er einen Tag lang einen Fingerabdruck jeder Nachricht, die Apple uns zu deiner Apple-ID schickt (Abschnitt 4), damit keine zweimal etwas bewirkt. Bei deiner ersten Anmeldung gibt Apple deinem Handy außerdem deinen Namen: Das Handy behält davon nur den Vornamen, in seinem Schlüsselbund, um das Namensfeld vorauszufüllen, bis du dein Profil speicherst oder dich abmeldest. Im Schlüsselbund liegt auch die Kennung, die Apple whole hour für deine Apple-ID gibt: Damit fragt dein Handy bei jedem Öffnen von whole hour bei Apple nach, ob du deine Apple-ID noch mit whole hour verwendest, meldet dich sonst ab und bestätigt eine Löschung bei Apple. Ein iPhone behält Einträge im Schlüsselbund auch, wenn die App gelöscht wird: Sie bleiben auf diesem Handy, und nur whole hour kann sie lesen. Diese Kennung verschwindet, wenn du dein Konto auf diesem Handy löschst.
• Bewerbung: der Satz, den du gewählt hast. Mit dem Absenden bist du dabei; geprüft wird sie von niemandem. Dein Text bleibt auf deinem iPhone, als „Tag eins“ unter Reflexionen, und kommt bei uns nicht an. Bevor du dich bewirbst, schaut dein Handy nach, ob du in München bist; diesen Standort bekommen wir nicht.
• Profil: dein Vorname, ein drei Sekunden langes Video von dir, deine Sprachen (und welche dir lieber ist, wenn du beide sprichst), die Zeiten, zu denen du kannst, die Arten von Orten, wie weit du fährst, und deine Wohnposition, auf etwa einen Kilometer gerundet. Bevor das Video gesendet wird, prüft dein Handy, ob es ein lebendiges Gesicht zeigt; von dem, was die Prüfung sieht, erreicht uns nichts, nur dass sie bestanden ist, und ein Clip, der nicht besteht, wird verworfen.
• Position: Solange die App offen ist, schickt sie alle fünf Minuten deine Position, schon auf dem Handy auf etwa einen Kilometer gerundet. Der Server behält nur die letzte, 7 Tage lang: so lange, wie sie dich in „In der Nähe“ zeigt. Eine Position von außerhalb Münchens behält er nicht, und auch keine, die dein Handy schickt, solange dein Konto pausiert ist; dann zeigt dich „In der Nähe“ ohnehin nicht. Jedes Mal, wenn du deinen Treffbereich wählst, bei der Einrichtung oder später im Profil, schickt dein Handy außerdem seine ebenso gerundete Position, um zu fragen, wie viele Menschen in jeder Entfernung wohnen, die du wählen kannst; der Server antwortet mit gerundeten Zahlen und behält nichts von der Position; er notiert nur, wann du die Zahlen abgerufen hast, höchstens einen Tag lang (Abschnitt 10).
• Vorschläge und Verbindungen: was du in jeder Woche willst (jemand Neues, dieselbe Person noch einmal oder einen Sonntag für dich), die Vorschläge an dich und von dir und deine Antwort darauf (ein Nein hält euch beide für immer auseinander) und die Verbindungen, die daraus wurden, und wann eine endete, samt deinem Vornamen, wie er in diesem Moment lautete (Abschnitt 4).
• Treffen: wen du triffst, wo und wann, Bestätigungen, wann die Stunde begann und endete, Stimmen und Orte, die du vorgeschlagen hast, kurze Nachrichten („bin unterwegs“), was du antwortest, wenn ein Treffen nicht stattgefunden hat, und welche Fragen dir gestellt wurden, damit du eine Frage selten zweimal hörst. Antwortest du „Etwas hat sich nicht richtig angefühlt“, kannst du eine Notiz dazuschreiben; Antwort und Notiz gehen als Meldung an unser Team, und ein Mensch liest sie.
• Gespräche: Nachrichten und Fotos zum einmaligen Ansehen, auf deinem Handy verschlüsselt, und wer wem wann geschrieben hat. Wir speichern nur die verschlüsselte Form und können sie nicht lesen; ein Foto wird gelöscht, sobald es gesehen wurde, oder ungesehen, wenn die Verbindung endet, und jede Nachricht und jedes Foto ein Jahr nach dem Absenden. Deine Gespräche sind immer nur auf einem Handy: Meldest du dich auf einem anderen an, gehen sie dorthin und beginnen neu, und das Handy, das sie verlassen, löscht seine Schlüssel; die Nachrichten, die mit den alten Schlüsseln verschlüsselt waren, werden dann gelöscht, für dich und die andere Person. Macht jemand einen Screenshot, während ein solches Foto offen ist, erfährt das die Person, die es geschickt hat, und wir behalten, wann das war. Meldet jemand von euch die andere Person und wählt es so, erreicht die gemeldete Nachricht mit den zehn davor oder das gemeldete Foto unser Team (siehe Sicherheit). In jeder Nachricht steckt ein versiegelter Nachweis, und neben der verschlüsselten Form liegt ein Fingerabdruck davon (ein Hash, der ohne den Nachweis nichts verrät); was eine Meldung mitschickt, kommt mit seinem Nachweis, sodass unser Team es so sieht, wie es abgeschickt wurde, und niemand kann jemandem andere Worte unterschieben. Wir prüfen den Nachweis und behalten ihn nicht. Außerdem werden Nachrichten auf wenige feste Größen aufgefüllt, ihre Länge verrät uns also kaum etwas. Bei einem Treffen finden sich die beiden Handys rund um den Beginn in der Nähe, über Bluetooth oder WLAN, und tauschen nur die öffentlichen Schlüssel ihres Gesprächs aus, signiert, um zu prüfen, dass sie wirklich die der anderen Person sind; davon erreicht uns nichts. Der Anruf rund um ein Treffen, von fünf Minuten vor seinem Beginn bis zwanzig Minuten danach, ist zwischen den beiden Handys verschlüsselt; unser Server reicht ihn weiter, ohne etwas zu speichern.
• Sicherheit: Meldungen, die du machst oder die dich betreffen, Blockierungen und ein Vermerk über jedes Treffen, das du verpasst oder am selben Tag abgesagt hast; Entscheidungen über dich, deine Antwort auf eine beabsichtigte Pause oder Schließung und Einsprüche, die du schickst. Nur wenn jemand eine Person meldet und es so wählt: die gemeldete Nachricht mit den zehn davor, so wie das Handy der meldenden Person sie zeigt, oder das gemeldete Einmal-Foto; das kann deine Meldung sein oder eine über dich.
• Warteliste: wenn du nicht in München bist, die Städte, auf die du wartest, auch eine, die du selbst einträgst, und seit wann. Eine Stadt, die du einträgst, sehen nur die, die auf sie warten, mit der Zahl der Wartenden, nie mit Namen, bis wir sie in die Liste aufnehmen.
• Einladungen: der Code in deinem Einladungslink und, wenn du mit dem Code einer Freundin oder eines Freundes gekommen bist, von wem er war, damit whole hour euch beide nie zusammenbringt.
• Gerät: das Token deines Handys für Mitteilungen.
• E-Mail: was du an hello@wholehour.app schreibst, mit Adresse und Namen, wie deine E-Mail sie zeigt.

Deine Sprachnotizen unter Reflexionen und ihre Abschriften bleiben auf deinem Handy und erreichen uns nie. Wir nutzen keine Analyse, keine Werbung und keinen Dienst für Absturzberichte, und wir verkaufen keine Daten.

3. Purposes and legal bases

• Your account and whole hour itself. Sign-in, your profile, the weeks, proposals, meetups, votes, quick messages, conversations, the call and notifications: performance of our contract with you (Art. 6(1)(b) GDPR). The fingerprints of sign-in tokens (for about ten minutes) and of Apple’s messages about your Apple ID (for a day) protect your account (Art. 6(1)(f) and Art. 32 GDPR).
• Your video. So that the people whole hour proposes you to, the people around you in Nearby and the person you meet can see who you are before they agree to meet, and recognise you at the meeting point, and so that nobody meets a neighbour or a colleague without knowing: performance of our contract with you (Art. 6(1)(b) GDPR). Before the video is sent, your iPhone checks that it shows one live face. The check runs only on your phone and recognises nobody; all we receive is that it passed.
• Where you are, roughly. Your home position, rounded to about a kilometre on your iPhone, is how whole hour pairs you with people within the distance you chose and picks a place between you. While the app is open, your iPhone also sends where it is, rounded the same way, every five minutes. The server keeps only the last one, for 7 days, and uses it for Nearby: who you see there, in what order, and the estimated distance: in whole kilometres to the middle of an area about three kilometres across in which the other person is. Each time you choose your meeting area, your phone sends its rounded position once to learn how many people live within each distance; the server keeps nothing of it. All of this is part of what whole hour does for you (Art. 6(1)(b) GDPR). Before you apply, your iPhone checks on its own whether you are in Munich and sends nothing. whole hour never asks for your position in the background.
• Your application. The line you chose tells us which of our lines brought you (legitimate interest, Art. 6(1)(f) GDPR). Your text is “Day one” in your Reflections and stays on your iPhone; we do not receive it, and we keep none. Please leave out details about your health or private life all the same.
• Your voice notes. Recordings in Reflections and their transcripts are made and kept only on your iPhone, in the app’s own storage and outside your iCloud and computer backups. Where you allow speech recognition, your iPhone writes the transcript itself; nothing goes to us or to Apple. Without it, a note keeps its recording and the words you write in yourself. We cannot open them, so we do not process them: they are yours alone.
• On your iPhone. What the app keeps on your iPhone (your sign-in, keys, your meetup, your notes, your choices) and what it reads there (your position, the camera while you record) serves only what you ask the app to do, so it needs no consent of its own (§ 25(2) no. 2 TDDDG).
• Safety. Reports, blocks, pauses, decisions and appeals: our contract with you, which sets these rules (Art. 6(1)(b) GDPR), and our and our members’ legitimate interest in meeting safely (Art. 6(1)(f) GDPR).
• After you delete your account. For a short time, a record of your meetups without your name, and what anyone who reported you sent us with their report, so that we can still look into a report about a recent meetup, answer the police about it and defend ourselves against claims: legitimate interest (Art. 6(1)(f) GDPR; section 6).
• Invites and the waiting list. Never pairing you with a friend you invited; counting who waits for a city: our contract with you (Art. 6(1)(b) GDPR).
• Writing to us. When you write to hello@wholehour.app, we use what you write to answer you (Art. 6(1)(b) GDPR), to deal with a request about your rights (Art. 6(1)(c) GDPR), or for our legitimate interest in answering a question (Art. 6(1)(f) GDPR).
• Authorities. If we learn of something that suggests a crime threatening someone’s life or safety, we tell the police (Art. 18 DSA, Art. 6(1)(c) GDPR). We answer requests from the police, prosecutors or courts only as far as the law obliges or allows us (Art. 6(1)(c) and (f) GDPR, § 24 BDSG), and give only what the request needs.
• Backups and security. Legitimate interest in keeping the service available and secure (Art. 6(1)(f) and Art. 32 GDPR).
• Answering requests about your rights. Legal obligation (Art. 6(1)(c) GDPR).

Without Sign in with Apple there is no account, and without your first name, video, languages, Sunday times, kinds of place and position whole hour cannot pair you: the contract needs them. Everything else, such as an application text, a note or a report, you give only if you choose to.

We do not ask for special categories of data, such as health, sex life, sexual orientation, religion or political views (Art. 9 GDPR). Free text can still contain them: a note to “What happened?”, messages someone shares with a report, a reply to an intended pause or closure, an appeal, or an e-mail. We use such details only for the matter they were written for: to decide a report, to stand by that decision if it is challenged (Art. 9(2)(f) GDPR) and, if the police ask about that matter, to answer them as far as the law allows (§ 24 BDSG). Only the people on our team who decide reports read them, and they are deleted with the words they are part of (section 6). Where they are about yourself, it is your choice to write them; leave out what is not needed. An application text can contain such details too, about your health for instance, and Art. 9 GDPR applies to them there as well: that is why we ask you to leave them out of it. The text stays on your iPhone; we do not receive it.

3. Zwecke und Rechtsgrundlagen

• Dein Konto und whole hour selbst. Anmeldung, dein Profil, die Wochen, Vorschläge, Treffen, Abstimmungen, kurze Nachrichten, Gespräche, der Anruf und Mitteilungen: zur Erfüllung unseres Vertrags mit dir (Art. 6 Abs. 1 lit. b DSGVO). Die Fingerabdrücke der Anmelde-Tokens (etwa zehn Minuten lang) und der Nachrichten von Apple zu deiner Apple-ID (einen Tag lang) schützen dein Konto (Art. 6 Abs. 1 lit. f und Art. 32 DSGVO).
• Dein Video. Damit die Menschen, denen whole hour dich vorschlägt, die Menschen in „In der Nähe“ und die Person, die du triffst, sehen, wer du bist, bevor sie einem Treffen zustimmen, und dich am Treffpunkt erkennen, und damit niemand unwissentlich die Nachbarin oder den Kollegen trifft: zur Erfüllung unseres Vertrags mit dir (Art. 6 Abs. 1 lit. b DSGVO). Bevor das Video gesendet wird, prüft dein iPhone, ob es ein lebendiges Gesicht zeigt. Die Prüfung läuft nur auf deinem Handy und erkennt niemanden wieder; wir erfahren nur, dass sie bestanden ist.
• Wo du ungefähr bist. Mit deiner Wohnposition, auf dem iPhone auf etwa einen Kilometer gerundet, bringt whole hour dich mit Menschen innerhalb der Entfernung zusammen, die du gewählt hast, und sucht einen Ort zwischen euch. Solange die App offen ist, schickt dein iPhone außerdem alle fünf Minuten, wo es gerade ist, ebenso gerundet. Der Server behält nur die letzte Position, 7 Tage lang, und nutzt sie für „In der Nähe“: wen du dort siehst, in welcher Reihenfolge und mit welcher geschätzten Entfernung: in ganzen Kilometern bis zur Mitte eines etwa drei Kilometer großen Gebiets, in dem die andere Person gerade ist. Jedes Mal, wenn du deinen Treffbereich wählst, schickt dein Handy seine gerundete Position einmal mit, um zu erfahren, wie viele Menschen in jeder Entfernung wohnen; davon behält der Server nichts. All das gehört zu dem, was whole hour für dich tut (Art. 6 Abs. 1 lit. b DSGVO). Bevor du dich bewirbst, prüft dein iPhone selbst, ob du in München bist, und schickt nichts. Im Hintergrund fragt whole hour nie nach deinem Standort.
• Deine Bewerbung. Der Satz, den du gewählt hast, zeigt uns, welche unserer Zeilen dich hergebracht hat (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO). Dein Text ist „Tag eins“ unter deinen Reflexionen und bleibt auf deinem iPhone; wir bekommen ihn nicht und behalten keinen. Bitte lass Angaben zu deiner Gesundheit oder deinem Privatleben trotzdem weg.
• Deine Sprachnotizen. Aufnahmen unter Reflexionen und ihre Abschriften entstehen und bleiben nur auf deinem iPhone, im Speicher der App und außerhalb deiner iCloud- und Computer-Sicherungen. Erlaubst du die Spracherkennung, schreibt dein iPhone die Abschrift selbst; nichts davon geht an uns oder an Apple. Ohne sie behält eine Notiz ihre Aufnahme und die Worte, die du selbst hineinschreibst. Wir können sie nicht öffnen und verarbeiten sie deshalb nicht: Sie gehören nur dir.
• Auf deinem iPhone. Was die App auf deinem iPhone speichert (deine Anmeldung, Schlüssel, dein Treffen, deine Notizen, deine Einstellungen) und was sie dort ausliest (deinen Standort, die Kamera, während du aufnimmst), dient nur dem, worum du die App bittest; eine eigene Einwilligung braucht es dafür nicht (§ 25 Abs. 2 Nr. 2 TDDDG).
• Sicherheit. Meldungen, Blockierungen, Pausen, Entscheidungen und Einsprüche: unser Vertrag mit dir, der diese Regeln festlegt (Art. 6 Abs. 1 lit. b DSGVO), und unser berechtigtes Interesse und das unserer Mitglieder, sich sicher zu treffen (Art. 6 Abs. 1 lit. f DSGVO).
• Nach dem Löschen deines Kontos. Für kurze Zeit ein Eintrag über deine Treffen ohne deinen Namen, und was uns Menschen, die dich gemeldet haben, mit ihrer Meldung geschickt haben, damit wir einer Meldung zu einem kürzlichen Treffen noch nachgehen, der Polizei dazu antworten und uns gegen Ansprüche verteidigen können: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO; Abschnitt 6).
• Einladungen und Warteliste. Damit whole hour dich nie mit jemandem zusammenbringt, den du eingeladen hast, und um zu zählen, wer auf eine Stadt wartet: unser Vertrag mit dir (Art. 6 Abs. 1 lit. b DSGVO).
• Wenn du uns schreibst. Schreibst du an hello@wholehour.app, nutzen wir, was du schreibst, um dir zu antworten (Art. 6 Abs. 1 lit. b DSGVO), um eine Anfrage zu deinen Rechten zu bearbeiten (Art. 6 Abs. 1 lit. c DSGVO) oder aus unserem berechtigten Interesse, eine Frage zu beantworten (Art. 6 Abs. 1 lit. f DSGVO).
• Behörden. Erfahren wir von etwas, das auf eine Straftat hindeutet, die Leben oder Sicherheit eines Menschen bedroht, sagen wir es der Polizei (Art. 18 DSA, Art. 6 Abs. 1 lit. c DSGVO). Anfragen von Polizei, Staatsanwaltschaft oder Gerichten beantworten wir nur, soweit das Gesetz uns dazu verpflichtet oder es erlaubt (Art. 6 Abs. 1 lit. c und f DSGVO, § 24 BDSG), und nur mit dem, was die Anfrage braucht.
• Sicherungen und Sicherheit. Berechtigtes Interesse, den Dienst verfügbar und sicher zu halten (Art. 6 Abs. 1 lit. f und Art. 32 DSGVO).
• Anfragen zu deinen Rechten beantworten. Rechtliche Pflicht (Art. 6 Abs. 1 lit. c DSGVO).

Ohne „Mit Apple anmelden“ gibt es kein Konto, und ohne Vornamen, Video, Sprachen, Sonntagszeiten, Arten von Orten und Standort kann whole hour dich mit niemandem zusammenbringen: Der Vertrag braucht sie. Alles andere, etwa einen Bewerbungstext, eine Notiz oder eine Meldung, gibst du nur, wenn du willst.

Nach besonderen Kategorien von Daten, etwa zu Gesundheit, Sexualleben, sexueller Orientierung, Religion oder politischer Meinung, fragen wir nicht (Art. 9 DSGVO). In freiem Text können sie trotzdem stehen: in einer Notiz zu „Was ist passiert?“, in Nachrichten, die jemand mit einer Meldung mitschickt, in einer Antwort auf eine beabsichtigte Pause oder Schließung, in einem Einspruch oder einer E-Mail. Solche Angaben nutzen wir nur für die Sache, für die sie geschrieben wurden: um über eine Meldung zu entscheiden, diese Entscheidung zu vertreten, wenn sie angefochten wird (Art. 9 Abs. 2 lit. f DSGVO), und der Polizei zu antworten, wenn sie nach dieser Sache fragt, soweit das Gesetz es erlaubt (§ 24 BDSG). Lesen dürfen sie nur die Menschen in unserem Team, die über Meldungen entscheiden, und sie werden mit dem Text gelöscht, zu dem sie gehören (Abschnitt 6). Geht es um dich selbst, entscheidest du, ob du sie aufschreibst; lass weg, was nicht nötig ist. Auch ein Bewerbungstext kann solche Angaben enthalten, etwa zu deiner Gesundheit; für sie gilt dort ebenso Art. 9 DSGVO, und deshalb bitten wir dich, sie wegzulassen. Der Text bleibt auf deinem iPhone; wir bekommen ihn nicht.

4. Who receives data

• Amazon Web Services hosts the server and storage in Frankfurt (eu-central-1) as our processor, under the AWS data processing addendum.
• ImprovMX, an e-mail forwarding service, receives what is sent to our address (hello@wholehour.app) and forwards it to our mailbox, as our processor: what you write to us, and the alerts our security tools send us.
• Apple provides Sign in with Apple and delivers our push notifications, in both cases under its own terms and privacy policy, as a controller of its own. When you delete your account, we ask Apple to end whole hour’s access to your Apple ID: your phone fetches a fresh confirmation code from Apple, and we hand it back to Apple once; we keep no token from Apple. Apple tells us when you stop using your Apple ID with whole hour (your sign-ins then end) or delete your Apple account (your whole hour account is then deleted too). Our notifications never name a person and never carry what someone wrote, apart from the fixed quick messages such as “On my way”; they can show the time of your meetup and the name of its place.
• Other members see your first name, your video, your languages and an estimated distance to you in Nearby for 7 days after you last had the app open, however far away they are, unless your account is paused. That distance runs from where they are to the middle of an area about three kilometres across in which you last had the app open, and is shown in whole kilometres: an estimate, never your position; people equally far away appear in an order of their own. Your page there also says whether a meetup between the two of you can be proposed and, if not, what is missing: a language, a kind of place or a Sunday time in common, homes close enough together, or a free place for a new connection, which can tell them that you already have two connections. With a proposal, a Thursday pairing, or when whole hour suggests you to someone, that person sees your first name, video, the languages you share and roughly how far apart your two home positions are: under 2 kilometres, 2 to 5, 5 to 10, or more. The person you meet also sees the meetup’s place and time, whether you confirmed and started, your votes, the places you proposed once our team has checked them, and your quick messages; the people you are connected with see your first name and video in Conversations. Once a connection ends, or one of you blocks the other, your video no longer reaches that person, and they see your first name as it was then, never one you choose later.
• Authorities: the police, prosecutors or courts, only in the cases and as far as section 3 says (Authorities).

Nobody else receives your data, unless the law requires it.

4. Wer Daten erhält

• Amazon Web Services betreibt Server und Speicher in Frankfurt (eu-central-1) als unser Auftragsverarbeiter, auf Grundlage des AWS-Auftragsverarbeitungsvertrags.
• ImprovMX, ein Dienst zur Weiterleitung von E-Mails, nimmt an, was an unsere Adresse (hello@wholehour.app) geschickt wird, und leitet es an unser Postfach weiter, als unser Auftragsverarbeiter: was du uns schreibst, und die Warnungen unserer Sicherheitsdienste.
• Apple stellt „Mit Apple anmelden“ bereit und stellt unsere Mitteilungen zu, in beiden Fällen nach eigenen Bedingungen und eigener Datenschutzerklärung, als eigener Verantwortlicher. Löschst du dein Konto, bitten wir Apple, wholehours Zugang zu deiner Apple-ID zu beenden: Dein Handy holt dafür einen frischen Bestätigungscode bei Apple, und wir geben ihn einmal an Apple zurück; ein Token von Apple behalten wir nicht. Apple sagt uns, wenn du deine Apple-ID nicht mehr mit whole hour verwendest (dann enden deine Anmeldungen) oder dein Apple-Konto löschst (dann wird auch dein whole hour-Konto gelöscht). Unsere Mitteilungen nennen nie eine Person und enthalten nichts, was jemand geschrieben hat, außer den festen kurzen Nachrichten wie „Bin unterwegs“; zeigen können sie die Uhrzeit deines Treffens und den Namen des Ortes.
• Andere Mitglieder sehen in „In der Nähe“, egal wie weit sie entfernt sind, deinen Vornamen, dein Video, deine Sprachen und eine geschätzte Entfernung zu dir, bis 7 Tage nachdem du die App zuletzt offen hattest, außer dein Konto ist pausiert. Sie reicht von dort, wo die andere Person ist, bis zur Mitte eines etwa drei Kilometer großen Gebiets, in dem du die App zuletzt offen hattest, und wird in ganzen Kilometern gezeigt: eine Schätzung, nie deine Position; wer gleich weit entfernt ist, erscheint in einer eigenen Reihenfolge. Auf deiner Seite steht dort auch, ob sich ein Treffen zwischen euch vorschlagen lässt, und wenn nicht, woran es fehlt: an einer gemeinsamen Sprache, Art von Ort oder Sonntagszeit, an Wohnpositionen, die nah genug beieinanderliegen, oder an einem freien Platz für eine neue Verbindung, was verraten kann, dass du schon zwei Verbindungen hast. Bei einem Vorschlag zwischen euch, wenn whole hour euch am Donnerstag zusammenbringt oder wenn whole hour dich jemandem vorschlägt, sieht die andere Person deinen Vornamen, dein Video, eure gemeinsamen Sprachen und ungefähr, wie weit eure beiden Wohnpositionen auseinanderliegen: unter 2 Kilometer, 2 bis 5, 5 bis 10 oder mehr. Die Person, die du triffst, sieht außerdem Ort und Zeit des Treffens, ob du bestätigt und begonnen hast, deine Stimmen, die Orte, die du vorgeschlagen hast, sobald unser Team sie geprüft hat, sowie deine kurzen Nachrichten; wer mit dir verbunden ist, sieht deinen Vornamen und dein Video unter Gespräche. Endet eine Verbindung oder blockiert jemand von euch die andere Person, erreicht dein Video sie nicht mehr, und sie sieht deinen Vornamen so, wie er damals lautete, nie einen, den du dir später gibst.
• Behörden: Polizei, Staatsanwaltschaft oder Gerichte, nur in den Fällen und so weit, wie es Abschnitt 3 sagt (Behörden).

Sonst bekommt niemand deine Daten, es sei denn, das Gesetz verlangt es.

5. Transfers outside the EU

Everything is stored in the EU. Apple Inc. (USA) is involved in sign-in and push notifications, and Amazon’s US parent company could in principle access hosted data. Both are certified under the EU–US Data Privacy Framework (Art. 45 GDPR); AWS’s contract also includes the EU standard contractual clauses.

5. Übermittlung außerhalb der EU

Alles wird in der EU gespeichert. Apple Inc. (USA) ist an Anmeldung und Mitteilungen beteiligt, und Amazons US-Mutterkonzern könnte grundsätzlich auf die gehosteten Daten zugreifen. Beide sind nach dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO); der Vertrag mit AWS enthält zusätzlich die Standardvertragsklauseln der EU.

6. How long we keep it

• Account, profile and video: until you delete your account. Deleting it removes them at once. An old copy of the video is kept for 7 days in case of a mistaken delete.
• Your application text: not kept by us, it stays on your iPhone as “Day one”; the line you chose until you delete your account.
• A city you named for the waiting list: until nobody waits for it, unless we have added it to the list.
• Your last position: 7 days.
• Sign-in sessions: each for 30 days from when it was issued, also one that has ended because you signed out, signed out on your other phones or stopped using your Apple ID with whole hour, so that someone using a stolen copy is recognised. Deleting your account removes them at once.
• The fingerprint of a sign-in token from Apple: until the token expires, about ten minutes; of a message from Apple about your Apple ID: a day.
• When you asked for Nearby, a suggestion or the meeting-area counts or for an upload link or a new support code, had a video checked, opened a photo, downloaded your data, added a device, moved your home position or changed how far you go, tried to confirm a deletion with Apple, blocked someone or lifted a block: a day at most, never in the backups. If you delete your account, the times you moved your home position or changed how far you go on its last day stay for that day under a keyed code made from your Apple ID’s identifier (never the identifier itself), so that signing up again with the same Apple ID cannot start that count afresh; a new account of yours takes them over, so its first profile can be saved only once that day is over.
• Your phone’s push token: until you sign out on that phone, sign out on your other phones from another one, or delete your account. It goes sooner when all your sign-ins end because a copied one is caught, you stop using your Apple ID with whole hour, or we tell you in the app that someone asked by e-mail to delete your account, when Apple reports that it no longer works, when we restore a backup of the database, when a new phone of yours takes its place (first one we could never deliver to, otherwise one unused for 14 days), or when whole hour has not been opened on that phone for 30 days. Your phone keeps the token in its keychain too, so that a sign-out always carries it, until iOS gives it a new one, and a sign-out that has not reached us yet until it does.
• A meetup saved on your phone, so that the hour works without a signal (the other person’s first name, the place, the time, the questions, and what your phone recorded of the hour): on your phone only, until whole hour is first opened there about a day after the meetup. If you sign out while the meetup is still ahead or under way, from three hours before its start until three hours after, or while your phone still holds something of the hour it has not sent, it stays there for your account alone, until you sign in on that phone again or that day comes; after any other sign-out it goes with it.
• Your reflection notes, on your phone only: the recording of a note 7 days, also once you have signed out there; the notes until you delete them, or your account on that phone. If your account is deleted elsewhere (on another phone, along with your Apple account, or at your request by e-mail), they go as soon as whole hour runs on that phone, if that is soon after (within the hour at most), and otherwise stay until you delete the app.
• A video you uploaded that no profile uses: one day.
• Each message and photo of a conversation, and when a screenshot was taken of a view-once photo: a year after it was sent, or earlier, when you or the other person delete the account or take the conversations to another phone.
• Your first name as it was when a connection ended: until you delete your account.
• The words of a report: 180 days after it was decided; what the reporter chose to share with it (messages, a photo): 90 days after it was decided; its reason and outcome while the reported account exists.
• The words of an appeal, or of a reply to an intended pause or closure: 180 days after the decision; the outcome of an appeal until you delete your account.
• Your answer to “What happened?”: until you delete your account; the note you can add to the answer “Something did not feel right”: it becomes the words of a report and goes with them, 180 days after that report is decided.
• The record of a meetup you missed or cancelled on the day itself: one year.
• Our team’s log of its own actions (who decided what, and every opening of reported content or of a member’s video), which names the people concerned by first name: one year. When you delete your account, your first name in it is replaced by your account’s short id.
• What you write to hello@wholehour.app: until the matter is closed, then one more year; a request about your rights and our answer, three years from the end of the year in which the matter was closed, so that we can show how we handled it. Alerts from our security tools: 90 days.
• After you delete your account, a record of your meetups without your name stays: which account met which, when and where, whether each of you came, and the reason and outcome of reports, and around it the proposals between accounts and their answers, each week’s outcome, blocks, the quick messages and the steps of the hour, and the missed or cancelled meetups that were counted. It stays until 90 days after your last meetup that was not called off, or 90 days from the deletion if all of your meetups were called off; if no meetup was ever arranged for you, no such record stays, and what is left of your account goes as soon as every week you had a proposal in has closed. Whatever the case, nothing of it goes within the hour after the deletion. We keep it so that we can still look into a report about a recent meetup, answer a request from the police about it, and defend ourselves against claims. For this short time, our interest and that of the people you met in meeting safely outweighs your interest in its deletion (Art. 6(1)(f) GDPR). It holds neither your video nor your Apple ID, and wherever our own words about a decision named you, a random code takes the place of your name; only our team can open it, for this purpose alone. If someone reported you, what they sent us stays with the report as they sent it, and it can name or show you: their words until 180 days after we decided on the report, and what they shared from your conversation (your messages to them, or a photo you sent them) until 90 days after that decision, but never longer than the record. If a report about you is still open when the time is up, or an authority has asked about one of your meetups, the record stays until the matter is closed (Art. 6(1)(f) and 17(3)(e) GDPR). After that, the people you met keep their own side of those meetups, with nothing that leads back to you.
• Backups of the database: 30 days. A deleted account disappears from them within a month; until then a note holding nothing but the account’s id (a random code) and when it was deleted is kept beside them, so that restoring a backup deletes the account again.
• That you blocked someone or were blocked, that a connection of yours ended, that a proposal between you and someone was declined, every ban, suspension or pause of your account and its lifting, and a decision about you that we set aside: a note beside the backups for 30 days, holding only opaque ids (the accounts’, the connection’s or the report’s, and for a lifting those of what it lifted), when it happened, for a ban, suspension or pause how long it runs, and whether the account belongs to our team and in which role (for a member: none), so that restoring a backup undoes none of it.
• Everything else: until you delete your account.

6. Wie lange wir speichern

• Konto, Profil und Video: bis du dein Konto löschst. Mit dem Löschen sind sie sofort weg. Eine alte Kopie des Videos bleibt 7 Tage, falls versehentlich gelöscht wurde.
• Dein Bewerbungstext: bei uns gar nicht, er bleibt als „Tag eins“ auf deinem iPhone; der Satz, den du gewählt hast, bis du dein Konto löschst.
• Eine Stadt, die du für die Warteliste eingetragen hast: bis niemand mehr auf sie wartet, außer wir haben sie in die Liste aufgenommen.
• Deine letzte Position: 7 Tage.
• Anmeldesitzungen: jeweils 30 Tage ab ihrem Beginn. Auch eine Sitzung, die schon beendet ist, weil du dich abgemeldet, dich auf deinen anderen Handys abgemeldet hast oder deine Apple-ID nicht mehr mit whole hour verwendest, bleibt so lange gespeichert: Daran erkennen wir, wenn jemand eine gestohlene Kopie benutzt. Löschst du dein Konto, sind sie sofort weg.
• Der Fingerabdruck eines Anmelde-Tokens von Apple: bis das Token abläuft, etwa zehn Minuten; der einer Nachricht von Apple zu deiner Apple-ID: einen Tag.
• Wann du „In der Nähe“, einen Vorschlag oder die Zahlen für den Treffbereich abgerufen, einen Upload-Link oder einen neuen Support-Code angefordert, ein Video prüfen lassen, ein Foto geöffnet, deine Daten heruntergeladen, ein Gerät hinzugefügt, deine Wohnposition verlegt oder geändert, wie weit du fährst, eine Löschung bei Apple zu bestätigen versucht, jemanden blockiert oder eine Blockierung aufgehoben hast: höchstens einen Tag, nie in den Sicherungen. Löschst du dein Konto, bleiben die Zeitpunkte, zu denen du an seinem letzten Tag deine Wohnposition verlegt oder geändert hast, wie weit du fährst, für diesen Tag unter einem mit einem geheimen Schlüssel aus der Kennung deiner Apple-ID gebildeten Kennzeichen (nie die Kennung selbst), damit eine neue Anmeldung mit derselben Apple-ID diese Zählung nicht von vorn beginnen lässt; ein neues Konto von dir übernimmt sie, und sein erstes Profil lässt sich erst speichern, wenn dieser Tag vorbei ist.
• Das Token deines Handys für Mitteilungen: bis du dich auf diesem Handy abmeldest, dich von einem anderen aus auf deinen übrigen Handys abmeldest oder dein Konto löschst. Früher fällt es weg, wenn alle deine Anmeldungen enden, weil eine kopierte erkannt wurde, du deine Apple-ID nicht mehr mit whole hour verwendest oder wir dir in der App mitteilen, dass jemand per E-Mail um die Löschung deines Kontos gebeten hat, wenn Apple meldet, dass es nicht mehr gilt, wenn wir eine Sicherung der Datenbank zurückspielen, wenn ein neues Handy von dir seinen Platz einnimmt (zuerst eines, das wir nie erreicht haben, sonst eines, das 14 Tage nicht genutzt wurde), oder wenn whole hour auf diesem Handy 30 Tage lang nicht geöffnet wurde. Dein Handy behält das Token auch in seinem Schlüsselbund, damit es jede Abmeldung mitschicken kann, bis iOS ihm ein neues gibt, und eine Abmeldung, die uns noch nicht erreicht hat, bis sie ankommt.
• Ein Treffen, das auf deinem Handy gespeichert ist, damit die Stunde auch ohne Netz läuft (der Vorname der anderen Person, Ort, Uhrzeit, die Fragen und was dein Handy von der Stunde festgehalten hat): nur auf deinem Handy, bis whole hour dort etwa einen Tag nach dem Treffen zum ersten Mal wieder geöffnet wird. Meldest du dich ab, solange das Treffen noch bevorsteht oder läuft, in den drei Stunden vor oder nach seinem Beginn, oder solange dein Handy noch etwas von der Stunde hat, das es nicht gesendet hat, bleibt es dort allein für dein Konto, bis du dich auf diesem Handy wieder anmeldest, längstens bis dahin; bei jeder anderen Abmeldung verschwindet es mit ihr.
• Deine Notizen in Reflexionen, nur auf deinem Handy: die Aufnahme einer Notiz 7 Tage, auch wenn du dich dort abgemeldet hast; die Notizen, bis du sie oder dein Konto auf diesem Handy löschst. Wird dein Konto woanders gelöscht (auf einem anderen Handy, zusammen mit deinem Apple-Konto oder auf deine Bitte per E-Mail), verschwinden sie, sobald whole hour auf diesem Handy läuft, falls das bald danach geschieht (höchstens eine Stunde später), sonst bleiben sie, bis du die App löschst.
• Ein hochgeladenes Video, das kein Profil nutzt: ein Tag.
• Jede Nachricht und jedes Foto eines Gesprächs, und wann jemand einen Screenshot von einem Foto zum einmaligen Ansehen gemacht hat: ein Jahr nach dem Absenden, oder früher, wenn du oder die andere Person das Konto löscht oder die Gespräche auf ein anderes Handy mitnimmt.
• Dein Vorname, wie er lautete, als eine Verbindung endete: bis du dein Konto löschst.
• Der Wortlaut einer Meldung: 180 Tage nach der Entscheidung; was die meldende Person mitgeschickt hat (Nachrichten, ein Foto): 90 Tage nach der Entscheidung; Grund und Ergebnis, solange das gemeldete Konto besteht.
• Der Wortlaut eines Einspruchs oder einer Antwort auf eine beabsichtigte Pause oder Schließung: 180 Tage nach der Entscheidung; das Ergebnis eines Einspruchs, bis du dein Konto löschst.
• Deine Antwort auf „Was ist passiert?“: bis du dein Konto löschst; die Notiz, die du zur Antwort „Etwas hat sich nicht richtig angefühlt“ schreiben kannst: Sie wird zum Wortlaut einer Meldung und verschwindet mit ihm 180 Tage nach der Entscheidung über diese Meldung.
• Der Vermerk über ein Treffen, das du verpasst oder am selben Tag abgesagt hast: ein Jahr.
• Das Protokoll unseres Teams über seine eigenen Schritte (wer was entschieden hat, und jedes Öffnen gemeldeter Inhalte oder des Videos eines Mitglieds), das die Betroffenen mit Vornamen nennt: ein Jahr. Löschst du dein Konto, ersetzt darin die Kurzkennung deines Kontos deinen Vornamen.
• Was du an hello@wholehour.app schreibst: bis die Sache erledigt ist, danach noch ein Jahr; eine Anfrage zu deinen Rechten samt unserer Antwort drei Jahre ab dem Ende des Jahres, in dem die Sache erledigt wurde, damit wir zeigen können, wie wir sie bearbeitet haben. Warnungen unserer Sicherheitsdienste: 90 Tage.
• Nach dem Löschen deines Kontos bleibt ein Eintrag über deine Treffen ohne deinen Namen: welches Konto wen wann und wo getroffen hat, ob ihr beide gekommen seid, Grund und Ergebnis von Meldungen, und darum herum die Vorschläge zwischen Konten und die Antworten darauf, das Ergebnis jeder Woche, Blockierungen, die kurzen Nachrichten und die Schritte der Stunde sowie gezählte verpasste oder abgesagte Treffen. Er bleibt, bis dein letztes Treffen, das nicht abgesagt wurde, 90 Tage zurückliegt, oder 90 Tage ab dem Löschen, wenn alle deine Treffen abgesagt wurden; wurde für dich nie ein Treffen angesetzt, bleibt kein solcher Eintrag, und was von deinem Konto übrig ist, verschwindet, sobald jede Woche abgeschlossen ist, in der du einen Vorschlag hattest. In keinem Fall verschwindet etwas davon in der ersten Stunde nach dem Löschen. Wir brauchen ihn, um einer Meldung zu einem kürzlichen Treffen noch nachgehen, eine Anfrage der Polizei dazu beantworten und uns gegen Ansprüche verteidigen zu können. Für diese kurze Zeit überwiegt unser Interesse und das der Menschen, die du getroffen hast, sich sicher zu treffen, dein Interesse an der Löschung (Art. 6 Abs. 1 lit. f DSGVO). Dein Video und deine Apple-Kennung enthält er nicht, und wo wir dich in unseren eigenen Worten zu einer Entscheidung beim Namen genannt haben, steht statt deines Namens eine zufällige Kennung; öffnen kann ihn nur unser Team, und nur dafür. Hat dich jemand gemeldet, bleibt bei der Meldung unverändert, was diese Person uns geschickt hat, und das kann dich nennen oder zeigen: ihr eigener Text bis 180 Tage nach unserer Entscheidung über die Meldung, und was sie aus eurem Gespräch mitgeschickt hat (deine Nachrichten an sie oder ein Foto, das du ihr geschickt hast), bis 90 Tage nach dieser Entscheidung, aber nie länger als der Eintrag selbst. Ist bei Fristende eine Meldung über dich noch offen oder hat eine Behörde nach einem deiner Treffen gefragt, bleibt der Eintrag, bis die Sache abgeschlossen ist (Art. 6 Abs. 1 lit. f und Art. 17 Abs. 3 lit. e DSGVO). Danach behalten die Menschen, die du getroffen hast, ihre eigene Seite dieser Treffen, ohne dass etwas davon zu dir zurückführt.
• Sicherungen der Datenbank: 30 Tage. Ein gelöschtes Konto verschwindet innerhalb eines Monats auch daraus; bis dahin liegt neben ihnen eine Notiz mit nichts als der Kennung des Kontos (einer zufälligen Zeichenfolge) und dem Zeitpunkt der Löschung, damit das Konto wieder gelöscht wird, wenn eine Sicherung zurückgespielt wird.
• Dass du jemanden blockiert hast oder blockiert wurdest, dass eine deiner Verbindungen endete, dass ein Vorschlag zwischen dir und jemandem abgelehnt wurde, jede Schließung, Sperre oder Pause deines Kontos samt ihrer Aufhebung und jede Entscheidung über dich, die wir zurückgenommen haben: als Notiz neben den Sicherungen, 30 Tage lang. Darin stehen nur Kennungen (der Konten, der Verbindung oder der Meldung, bei einer Aufhebung die dessen, was sie aufgehoben hat), der Zeitpunkt, bei einer Schließung, Sperre oder Pause, wie lange sie gilt, und ob das Konto zu unserem Team gehört und mit welcher Rolle (bei Mitgliedern: keine). So macht das Zurückspielen einer Sicherung nichts davon rückgängig.
• Alles andere: bis du dein Konto löschst.

7. Automated decisions

Two things happen without a person deciding them first. They are automated decisions in the sense of Art. 22 GDPR, and we take them because our contract with you provides for them (Art. 22(2)(a) GDPR; terms, section 6 and section 9). The rules are fixed in advance, apply to everyone alike and use nothing but the facts named here.

• A pause until a person has decided. If two different people who had a connection with you each report you within 30 days, your account is paused until a person on our team has decided on the reports: usually they are read within 24 hours, and where a pause or a closure is intended, the decision comes only after we have heard you. Reports we dismissed, or whose decision we set aside, do not count. Nor does any further report from the same person within 30 days of their first, whatever became of that one (one they sent while their own account was paused does not count as their first), nor a report by someone whose own account is closed, or paused for missed meetups, for cancellations on the day or by our decision, nor a report someone sent while their own account was paused or closed (an answer to “What happened?” that itself ends a pause for missed meetups counts as sent after that pause has ended). And once we have dismissed a report, or set its decision aside, no later report by the same person about you counts for a year from when they made it; a further report within those 30 days, one made while such a year is already running, or one sent while their own account was paused, does not start that year. Once the reports that still count no longer meet this rule while you are paused, the pause ends by itself. The pause protects whoever you would meet next; it does not yet say anything about what happened.
• A 30-day pause for missed meetups. If you miss two meetups in a row, or cancel three meetups on their own day within twelve months, your account is paused for 30 days. Ending your connection with someone on the day of your meetup with them, while its start window is open or still ahead, counts as cancelling that meetup on the day. You have missed a meetup when its 20-minute start window closes without your start. Answering “What happened?” with anything other than “I could not make it” takes it off your record at once, and the pause with it. A meetup missed right after a pause counts together with the last one before it; once we lift a pause, the missed meetups or cancellations that led to it no longer count.

While your account is paused, nobody new sees you: Nearby does not show you, whole hour suggests you to nobody and pairs you with nobody on Thursday, and your meetups still ahead are called off. The people you are already connected with still see your first name and video in Conversations; you yourself can reach nobody. Your account, your data and the way to explain yourself stay open.

Your rights: you can explain your side, have a person on our team review the decision, and contest it, on the pause screen (“Write to us”) or at hello@wholehour.app. The person who reviews it can lift the pause, and you hear the outcome in the app, with reasons, unless the pause has ended by then. You can also go to court.

An application lets you in as soon as you send it; neither a machine nor a person decides on it. A person decides every report.

7. Automatisierte Entscheidungen

Zwei Dinge geschehen, ohne dass vorher ein Mensch darüber entscheidet. Es sind automatisierte Entscheidungen im Sinne von Art. 22 DSGVO, und wir treffen sie, weil unser Vertrag mit dir sie vorsieht (Art. 22 Abs. 2 lit. a DSGVO; Nutzungsbedingungen, Abschnitt 6 und Abschnitt 9). Die Regeln stehen vorher fest, gelten für alle gleich und stützen sich nur auf die Tatsachen, die hier genannt sind.

• Eine Pause, bis ein Mensch entschieden hat. Melden dich innerhalb von 30 Tagen zwei verschiedene Menschen, mit denen du verbunden warst, wird dein Konto pausiert, bis ein Mensch aus unserem Team über die Meldungen entschieden hat: Gelesen werden sie meist innerhalb von 24 Stunden, und ist eine Pause oder eine Schließung beabsichtigt, fällt die Entscheidung erst, nachdem wir dich angehört haben. Meldungen, die wir verworfen oder deren Entscheidung wir zurückgenommen haben, zählen nicht. Ebenso wenig zählt eine weitere Meldung derselben Person innerhalb von 30 Tagen nach ihrer ersten, was auch immer aus der ersten geworden ist (eine, die sie abgeschickt hat, während ihr eigenes Konto pausiert war, gilt dabei nicht als ihre erste), oder eine Meldung von jemandem, dessen eigenes Konto geschlossen ist oder wegen verpasster Treffen, wegen Absagen am Tag des Treffens oder durch unsere Entscheidung pausiert ist, und auch keine, die jemand abgeschickt hat, während sein eigenes Konto pausiert oder geschlossen war (eine Antwort auf „Was ist passiert?“, die selbst eine Pause wegen verpasster Treffen beendet, gilt als abgeschickt, nachdem diese Pause geendet hat). Haben wir eine Meldung verworfen oder die Entscheidung darüber zurückgenommen, zählt außerdem ein Jahr lang ab dieser Meldung keine spätere Meldung derselben Person über dich; eine weitere Meldung innerhalb jener 30 Tage, eine, die gemacht wurde, während ein solches Jahr schon läuft, oder eine, die abgeschickt wurde, während das eigene Konto der meldenden Person pausiert war, setzt dieses Jahr nicht in Gang. Erfüllen die Meldungen, die noch zählen, diese Regel nicht mehr, während du pausiert bist, endet die Pause von selbst. Die Pause schützt die Person, die du als Nächstes treffen würdest; über das, was passiert ist, sagt sie noch nichts.
• 30 Tage Pause nach verpassten Treffen. Verpasst du zwei Treffen hintereinander oder sagst du innerhalb von zwölf Monaten drei Treffen an ihrem eigenen Tag ab, wird dein Konto für 30 Tage pausiert. Beendest du die Verbindung mit jemandem am Tag eures Treffens, solange dessen Startfenster offen ist oder noch bevorsteht, zählt das als Absage dieses Treffens am selben Tag. Verpasst hast du ein Treffen, wenn sein 20-minütiges Startfenster schließt, ohne dass du begonnen hast. Antwortest du auf „Was ist passiert?“ mit etwas anderem als „Ich konnte nicht kommen“, zählt es sofort nicht mehr, und die Pause entfällt mit ihm. Ein verpasstes Treffen direkt nach einer Pause zählt mit dem letzten davor zusammen; heben wir eine Pause auf, zählen die verpassten Treffen oder Absagen, die zu ihr geführt haben, nicht mehr.

Solange dein Konto pausiert ist, sieht dich niemand Neues: „In der Nähe“ zeigt dich nicht, whole hour schlägt dich niemandem vor und bringt dich am Donnerstag mit niemandem zusammen, und deine Treffen, die noch anstehen, fallen aus. Wer schon mit dir verbunden ist, sieht unter Gespräche weiter deinen Vornamen und dein Video; du selbst erreichst niemanden. Dein Konto, deine Daten und der Weg, deine Sicht zu schildern, bleiben offen.

Deine Rechte: Du kannst uns deine Sicht schildern, verlangen, dass ein Mensch aus unserem Team die Entscheidung prüft, und sie anfechten, auf der Pausenseite („Schreib uns“) oder unter hello@wholehour.app. Wer sie prüft, kann die Pause aufheben; das Ergebnis erfährst du in der App, mit Begründung, es sei denn, die Pause ist bis dahin schon vorbei. Der Weg zu den Gerichten steht dir ebenfalls offen.

Mit dem Absenden deiner Bewerbung bist du dabei; darüber entscheidet weder eine Maschine noch ein Mensch. Über jede Meldung entscheidet ein Mensch.

8. Your rights

You have the right to access (Art. 15), rectification (Art. 16), erasure (Art. 17), restriction (Art. 18) and data portability (Art. 20); your right to object (Art. 21) is set out on its own below.

• Get your data: Download my data, in Settings (and behind ···“Account and help” before you have finished setting up, and on the pause screen), gives you everything we hold about you at once, as a file, with your video; a phone of yours appears there by the last characters of its push token. It also says what our team did concerning you and when, never who did it; of a report you made, only whether something was done about it; and of a report about you, once you have been heard on it, it has paused your account or it has been decided: its reason, the day and the decision, never who made it or at what time. Until then, for 30 days at most, a report is left out, along with our team’s notes of having read it or of having looked you up since, because with so few connections its mere existence would often give away who sent it.
• Correct it: change your profile in the app, or write to us.
• Delete it: Delete account, in the same places. Apple asks you to confirm, and whole hour stops using your Apple ID.
• Everything else: write to hello@wholehour.app; we answer within a month. Your account holds no e-mail address, so please put your support code in your e-mail, or write from the support button in the app, which adds it. The app shows the code only to you, in Settings and on the pause screen; keep it to yourself. In Settings and on the pause screen you can ask for a new one at any time, for example if someone else may have seen it; the old one then matches nothing. We take a request that quotes the code as yours; if something gives us reason to doubt that it comes from you, we ask you to confirm it in the app. If you ask us to delete your account for you, we first tell you about it in the app and delete it three days later at the earliest, so that nobody can have an account deleted in someone else’s name; if you say there that it was not you, we delete nothing (terms, section 9). Without the code we cannot tell which account is yours, so we tell you nothing about one and change nothing in it.

You can complain to a supervisory authority, for us the Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, Germany.

Your right to object (Art. 21 GDPR)

Where we rely on legitimate interest (safety, the record after an account’s deletion, your application, backups and security, this website), you can object at any time on grounds relating to your particular situation. Write to hello@wholehour.app; we then stop, unless we can show compelling legitimate grounds that override your interests, for example the safety of other members.

8. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18) und Datenübertragbarkeit (Art. 20); dein Widerspruchsrecht (Art. 21) steht unten für sich.

• Deine Daten bekommen: Meine Daten herunterladen, in den Einstellungen (und hinter ···„Konto und Hilfe“, solange du mit der Einrichtung noch nicht fertig bist, sowie auf der Pausenseite), gibt dir sofort alles, was wir über dich haben, als Datei, mit deinem Video; ein Handy von dir steht darin mit den letzten Zeichen seines Push-Tokens. Darin steht auch, was unser Team wann in Bezug auf dich getan hat, nie wer es war; zu einer Meldung von dir nur, ob etwas unternommen wurde; zu einer Meldung über dich Grund, Tag und Entscheidung, sobald du dazu angehört wurdest, sie dein Konto pausiert hat oder über sie entschieden ist, nie aber, von wem sie kam oder zu welcher Uhrzeit. Eine noch offene Meldung fehlt bis dahin in der Datei, höchstens 30 Tage lang, und mit ihr der Vermerk, dass unser Team sie gelesen oder dich seitdem aufgerufen hat: Bei so wenigen Verbindungen verriete schon ihr Dasein oft, wer sie geschickt hat.
• Berichtigen: Ändere dein Profil in der App oder schreib uns.
• Löschen: Konto löschen, an denselben Stellen. Apple bittet dich um eine Bestätigung, und whole hour gibt deine Apple-ID frei.
• Alles andere: Schreib an hello@wholehour.app; wir antworten innerhalb eines Monats. Dein Konto enthält keine E-Mail-Adresse; gib deshalb bitte deinen Support-Code in deiner E-Mail an oder schreib über den Support-Knopf in der App, der ihn mitschickt. Die App zeigt den Code nur dir, in den Einstellungen und auf der Pausenseite; behalte ihn für dich. In den Einstellungen und auf der Pausenseite kannst du jederzeit einen neuen anfordern, etwa wenn ihn jemand anderes gesehen haben könnte; der alte gilt dann nicht mehr. Eine Anfrage, die den Code nennt, behandeln wir als deine; gibt uns etwas Anlass zu zweifeln, ob sie von dir kommt, bitten wir dich, sie in der App zu bestätigen. Bittest du uns, dein Konto für dich zu löschen, teilen wir dir das zuerst in der App mit und löschen es frühestens drei Tage später, damit niemand unter fremdem Namen ein Konto löschen lassen kann; sagst du dort, dass du es nicht warst, löschen wir nichts (Nutzungsbedingungen, Abschnitt 9). Ohne den Code wissen wir nicht, welches Konto deines ist; dann geben wir dir über kein Konto Auskunft und ändern an keinem etwas.

Du kannst dich bei einer Aufsichtsbehörde beschweren, für uns beim Bayerischen Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

Dein Widerspruchs­recht (Art. 21 DSGVO)

Wo wir uns auf ein berechtigtes Interesse stützen (die Sicherheit unserer Mitglieder, der Eintrag nach dem Löschen eines Kontos, deine Bewerbung, Sicherungen und ein sicherer Betrieb, diese Website), kannst du jederzeit aus Gründen widersprechen, die sich aus deiner besonderen Situation ergeben. Schreib an hello@wholehour.app; wir hören dann damit auf, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen überwiegen, etwa die Sicherheit anderer Mitglieder.

9. Age

whole hour is for people who are 18 or older. You confirm this when you create your profile.

9. Alter

whole hour ist für Menschen ab 18. Das bestätigst du, wenn du dein Profil anlegst.

10. Security

Everything is encrypted on the way and where it is kept.

• On the way: only HTTPS, with TLS 1.2 or newer, between your phone or browser and whole hour, and between whole hour and the services it uses; the video storage refuses anything else.
• Where it is kept: the server’s disk, the storage for videos and the backups are encrypted. Each backup is locked for its first 29 days: nobody can delete it before then, we included; after 30 days it is gone.
• End to end: messages, photos and calls are encrypted on the phones; we hold only what we cannot read, except what someone chooses to share with a report (section 2, Safety).
• On your phone: sign-in, its push token and chat keys stay in the keychain of that device only (an iPhone keeps them there even when the app is deleted, where only whole hour can read them); reflection notes, the meetup and the data you download are locked while the phone is locked; nothing is cached, and the app switcher shows no content.

Your position is rounded before it leaves your phone; admin access is limited and every admin decision is recorded. To keep floods off, the server counts sign-ins and call connections per IP address, in its working memory only and for a minute; none of that is written down. Requests for Nearby, suggestions and meeting-area counts, upload links, videos checked, photos opened, downloads of your data, new support codes, new devices, moves of the home position and changes of how far you go, tries to confirm a deletion with Apple, blocks and lifted blocks it counts per person in its database: it notes only when each one was made, keeps that for a day at most (after a deletion, the moves of the home under a keyed code of the Apple ID, as section 6 says), and leaves it out of the backups. Messages and reports it counts from what is stored anyway. AWS, as our processor, also watches the connections to our server for signs of an attack; what it flags, which can include an IP address, it keeps for 90 days. A finding it rates medium or higher reaches our team by e-mail as well, the address included, and stays in our mailbox for 90 days (section 6).

10. Sicherheit

Alles ist unterwegs und dort, wo es liegt, verschlüsselt.

• Unterwegs: nur HTTPS mit TLS 1.2 oder neuer, zwischen deinem iPhone oder Browser und whole hour und zwischen whole hour und den Diensten, die es nutzt; der Speicher für Videos lässt nichts anderes zu.
• Gespeichert: die Festplatte des Servers, der Speicher für die Videos und die Sicherungen sind verschlüsselt. Jede Sicherung ist in ihren ersten 29 Tagen gesperrt: Niemand kann sie vorher löschen, auch wir nicht; nach 30 Tagen ist sie weg.
• Ende zu Ende: Nachrichten, Fotos und Anrufe werden auf den iPhones verschlüsselt; bei uns liegt nur, was wir nicht lesen können, außer dem, was jemand mit einer Meldung mitschickt (Abschnitt 2, Sicherheit).
• Auf deinem iPhone: Anmeldung, sein Token für Mitteilungen und Chat-Schlüssel bleiben im Schlüsselbund nur dieses Geräts (ein iPhone behält sie dort auch, wenn die App gelöscht wird, und nur whole hour kann sie lesen); Notizen, das Treffen und heruntergeladene Daten sind gesperrt, solange das iPhone gesperrt ist; nichts wird zwischengespeichert, und der App-Umschalter zeigt keine Inhalte.

Deine Position wird gerundet, bevor sie dein iPhone verlässt; der Zugang für Admins ist begrenzt, und jede ihrer Entscheidungen wird festgehalten. Damit niemand den Dienst überflutet, zählt der Server Anmeldungen und Anrufverbindungen je IP-Adresse, nur in seinem Arbeitsspeicher und nur für eine Minute; aufgeschrieben wird davon nichts. Abrufe von „In der Nähe“, von wholehours Vorschlag und der Zahlen für den Treffbereich, Upload-Links, geprüfte Videos, geöffnete Fotos, Downloads deiner Daten, neue Support-Codes, neue Geräte, Umzüge der Wohnposition und Änderungen, wie weit du fährst, Versuche, eine Löschung bei Apple bestätigen zu lassen, Blockierungen und aufgehobene Blockierungen zählt er je Person in seiner Datenbank: Er notiert nur, wann es jeweils war, behält das höchstens einen Tag (nach einer Löschung die Verlegungen der Wohnposition unter einem geschützten Kennzeichen der Apple-ID, wie Abschnitt 6 beschreibt) und nimmt es nicht in die Sicherungen auf. Nachrichten und Meldungen zählt er an dem, was ohnehin gespeichert ist. AWS prüft als unser Auftragsverarbeiter außerdem die Verbindungen zu unserem Server auf Anzeichen eines Angriffs; was dabei auffällt, auch eine IP-Adresse, bewahrt AWS 90 Tage auf. Was AWS mindestens als mittelschwer einstuft, bekommt unser Team zusätzlich per E-Mail, die Adresse eingeschlossen; diese Mail bleibt 90 Tage in unserem Postfach (Abschnitt 6).

11. This website

The website sets no cookies, runs no analytics and loads nothing from other servers; its fonts are served from wholehour.app. The site itself keeps no copies of its pages in your browser. An earlier version did, so that pages opened without a signal; the next time you open the site, it deletes them. Your browser’s own cache may hold the pages, scripts and stylesheet it has loaded, but it asks our server before it uses them again; pictures it may keep for a week, and the fonts for a year. If you switch the language or the appearance, your browser remembers that choice (localStorage, keys wholehour-lang and wholehour-theme) so that the next page opens the way you chose; it never leaves your device, and storing it is part of the switch you pressed (§ 25(2) no. 2 TDDDG). When you open a page, your browser sends its IP address and request to our server in Frankfurt, which needs them to deliver the page (Art. 6(1)(f) GDPR) and records nothing of them: there is no log of visits. Only an address AWS flags as a sign of an attack is kept, as section 10 says. On an iPhone, Safari may show a banner for the app at the top of the page; Safari loads it from Apple’s App Store itself, not from us.

11. Diese Website

Die Website setzt keine Cookies, misst nichts und lädt nichts von anderen Servern; auch die Schriften kommen von wholehour.app. Kopien ihrer Seiten legt die Website selbst in deinem Browser nicht ab. Eine frühere Fassung hat das getan, damit Seiten auch ohne Netz aufgehen; beim nächsten Besuch löscht die Website sie. Dein Browser kann Seiten, Skripte und das Stylesheet, die er geladen hat, in seinem eigenen Zwischenspeicher halten, fragt aber unseren Server, bevor er sie wieder verwendet; Bilder darf er eine Woche lang behalten, die Schriften ein Jahr. Wählst du Sprache oder Darstellung, merkt sich dein Browser diese Wahl (localStorage, Schlüssel wholehour-lang und wholehour-theme), damit die nächste Seite so aufgeht, wie du es gewählt hast; sie verlässt dein Gerät nie, und das Speichern gehört zu dem Schalter, den du gedrückt hast (§ 25 Abs. 2 Nr. 2 TDDDG). Öffnest du eine Seite, schickt dein Browser seine IP-Adresse und die Anfrage an unseren Server in Frankfurt, der sie braucht, um die Seite auszuliefern (Art. 6 Abs. 1 lit. f DSGVO), und nichts davon aufzeichnet: Ein Protokoll über Besuche gibt es nicht. Aufbewahrt wird nur eine Adresse, die AWS als Anzeichen eines Angriffs auffällt (dazu Abschnitt 10). Auf dem iPhone zeigt Safari womöglich oben ein Banner für die App; das lädt Safari selbst aus Apples App Store, nicht von uns.

12. Changes

When what we process changes, this page changes with it; the date at the top shows the last change. Both language versions say the same and are equally binding.

12. Änderungen

Ändert sich, was wir verarbeiten, ändert sich diese Seite mit; das Datum oben zeigt die letzte Änderung. Beide Sprachfassungen sagen dasselbe und sind gleichermaßen verbindlich.