Sprache

Datenschutzerklärung für Shapedeep

Zuletzt aktualisiert: 14. August 2026

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten im Zusammenhang mit der Shapedeep-App und den von Shapedeep betriebenen Webangeboten ist:

Shapedeep
Ender Temizdemir
c/o Postflex 7026
Emsdettener Str. 10
48268 Greven
Deutschland
Keine Pakete oder Päckchen – Annahme wird verweigert.

Datenschutzkontakt: privacy@shapedeep.com
Supportkontakt: support@shapedeep.com
Website: https://shapedeep.com

Ein Datenschutzbeauftragter ist derzeit nicht benannt.

2. Geltungsbereich und Kurzüberblick

Diese Datenschutzerklärung gilt für die mobile Shapedeep-App, die zugehörigen Backend-Dienste und die von Shapedeep bereitgestellten statischen Webseiten.

Die wichtigsten Punkte:

  • Shapedeep verkauft keine personenbezogenen Daten.
  • Die aktuelle App zeigt keine Werbung, verwendet keine Android Advertising ID und greift nicht auf das Geräteadressbuch zu.
  • Nutzungsanalyse und Fehlerdiagnose sind zwei getrennte, freiwillige Einstellungen und zunächst deaktiviert.
  • Die Firebase-Authentifizierungs-UID wird nicht als Analytics-User-ID und nicht als Crashlytics-Nutzerkennung gesetzt.
  • Nutzer im Alter von 13 bis 15 Jahren können optionale Nutzungsanalyse und Fehlerdiagnose nicht aktivieren.
  • Ein öffentliches Sozialprofil wird nur nach ausdrücklicher Aktivierung erstellt; die Suchbarkeit ist separat steuerbar.
  • Ein Konto kann in der App gelöscht werden. Zusätzlich wird eine öffentlich erreichbare Webseite zur externen Löschanfrage bereitgestellt.
  • Nutzer können ihre mit dem Konto verbundenen Daten über die App als JSON-Datei exportieren.

3. Eingesetzte Firebase- und Google-Dienste

Shapedeep verwendet insbesondere:

  • Firebase Authentication für Kontoerstellung und Anmeldung;
  • Cloud Firestore für Konto-, Profil-, Lern- und Funktionsdaten;
  • Cloud Functions for Firebase für serverseitige Verarbeitung;
  • Firebase App Check mit Play Integrity im vorgesehenen Production-Release und dem Debug-Provider in Entwicklungsbuilds;
  • Firebase Remote Config für technische Konfigurationen, zum Beispiel Versions- oder Updatehinweise;
  • Google Analytics for Firebase nur nach gesonderter Einwilligung;
  • Firebase Crashlytics nur nach gesonderter Einwilligung.

Google verarbeitet Kundendaten für viele Firebase-Dienste grundsätzlich als Auftragsverarbeiter. Google Analytics unterliegt daneben eigenen Vertrags- und Datenschutzbedingungen.

4. Datenkategorien und Verarbeitungszwecke

4.1 Konto- und Authentifizierungsdaten

Wenn du ein Konto erstellst oder dich anmeldest, verarbeiten wir insbesondere:

  • E-Mail-Adresse;
  • Firebase-Authentifizierungs-UID;
  • Anmeldeanbieter, zum Beispiel E-Mail/Passwort oder Google Sign-In;
  • E-Mail-Verifizierungsstatus;
  • Kontoerstellungs- und letzte Anmeldezeitpunkte;
  • bei Google Sign-In die vom Anbieter übermittelten Profildaten, soweit für die Anmeldung erforderlich;
  • technische Authentifizierungsdaten, Token und Sitzungsinformationen.

Firebase Authentication verarbeitet außerdem automatisch technische Daten wie IP-Adresse, User-Agent-Informationen, Firebase-App-ID und die verwendete SDK-/Plattformversion. Passwörter werden von Firebase Authentication verarbeitet. Shapedeep speichert kein Klartextpasswort in Firestore oder in einer eigenen Datenbank.

Zwecke: Kontoerstellung, Anmeldung, E-Mail-Verifizierung, Passwortzurücksetzung, Kontosicherheit und Missbrauchsprävention.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO; für Sicherheits- und Missbrauchsschutz zusätzlich Art. 6 Abs. 1 lit. f DSGVO.

4.2 Profil-, Onboarding- und Präferenzdaten

Je nach Nutzung verarbeiten wir:

  • Nutzername und optionalen Anzeigenamen;
  • ausgewählten, lokal in der App enthaltenen Avatar;
  • Altersgruppe, nicht das vollständige Geburtsdatum;
  • Quell- und Zielsprache beziehungsweise Zielsprachen;
  • aktuelle Zielsprache und Text-to-Speech-Locale;
  • Lernmotive;
  • Humorpräferenz;
  • optional die Auswahl, wie du von Shapedeep erfahren hast; ein Überspringen wird als „keine Angabe“ gespeichert;
  • Onboarding- und Benachrichtigungsstatus;
  • Sound-, Sprach- und Oberflächeneinstellungen.

Die gespeicherte Altersgruppe verwendet feste technische Kategorien, zum Beispiel 13_15, 16_17 oder 18_24. Ein Wert für „unter 13“ wird nicht als reguläre Altersgruppe im Nutzerprofil gespeichert.

Zwecke: Einrichtung des Kontos, Konfiguration des Sprachlernangebots, altersgerechte Steuerung und Personalisierung der App.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Die freiwillige Angabe, wie du von Shapedeep erfahren hast, erfolgt auf Grundlage deiner freiwilligen Entscheidung.

4.3 Rechtliche Bestätigungen und Einwilligungsentscheidungen

Wir speichern:

  • ob und welche Version der AGB akzeptiert wurde;
  • den serverseitigen Zeitpunkt der AGB-Annahme;
  • welche Version des Datenschutzhinweises angezeigt wurde;
  • den serverseitigen Zeitpunkt der Anzeige;
  • getrennte Entscheidungen für optionale Nutzungsanalyse und optionale Fehlerdiagnose, einschließlich Zeitpunkt, Hinweisversion, App-Version und Herkunft der Entscheidung.

Der Datenschutzhinweis wird nicht als pauschale Einwilligung behandelt. Die AGB-Annahme, die Anzeige des Datenschutzhinweises, die Analytics-Einwilligung und die Diagnose-Einwilligung sind getrennte Vorgänge.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO für die AGB-Annahme und Art. 6 Abs. 1 lit. c beziehungsweise lit. f DSGVO für die Dokumentation; Art. 6 Abs. 1 lit. a DSGVO für optionale Analytics- und Diagnoseeinwilligungen.

4.4 Lernfortschritt und Gamification

Zur Bereitstellung der Lernfunktionen verarbeiten wir insbesondere:

  • ausgewählte Kurse und Sprachen;
  • aktuellen Lektionspfad;
  • abgeschlossene Lektionen und Themen;
  • aggregierte Lektionsdaten, zum Beispiel Aufgabenanzahl, richtige Erstversuche, Schwierigkeitsgrad und Kategorien;
  • Sprachfortschritt;
  • XP, JP und CP;
  • Weekly XP und Ligadaten;
  • Streak, Lerntage, Freeze- und Reserve-Werkzeuge;
  • Erfolge, tägliche Missionen und Mystery-Prize-Daten;
  • Zeitpunkte, die für Fortschritt, Belohnungen und Synchronisierung erforderlich sind.

Shapedeep übermittelt beim Lektionsabschluss keine vollständige Liste erledigter Aufgaben-IDs, keine Antworten, keine Sätze und keine Freitexte. Technische Aufgabenreferenzen können nur beim Abruf geschützter Lerninhalte für das konkret angeforderte Kapitel verarbeitet werden.

Zwecke: Lernfortschritt speichern, Lektionen bereitstellen, Gamification berechnen, Synchronisierung und Manipulationsschutz.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b und lit. f DSGVO.

4.5 Geschützte Lerninhalte und Rate Limiting

Bestimmte Inhalte werden in Production nicht vollständig im App-Bundle bereitgestellt, sondern bei Bedarf über Cloud Functions abgerufen. Dabei können verarbeitet werden:

  • Firebase-UID und Authentifizierungsstatus;
  • Sprachpaar;
  • Themen-, Kapitel- und Lektionskontext;
  • technische Aufgabenreferenzen für das angeforderte Kapitel;
  • Schema- und Inhaltsversion;
  • App-Check-Token beziehungsweise Integritätssignal;
  • Anfragezeitpunkt und Rate-Limit-Zähler.

Für das Rate Limiting wird ein technisch begrenzter Zustand gespeichert. Diese Dokumente enthalten keine E-Mail-Adresse, keine Geräte-ID und keinen exportierten Lerninhalt. Sie erhalten ein serverseitiges Ablaufdatum und werden regelmäßig nach etwa 48 Stunden automatisch gelöscht.

Zwecke: Inhaltsschutz, Missbrauchsprävention, Scraping-Schutz und Stabilität.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; soweit der Abruf zur Vertragserfüllung erforderlich ist zusätzlich Art. 6 Abs. 1 lit. b DSGVO.

4.6 Optionale Sozialfunktionen

Ein Sozialprofil wird nur erstellt, wenn du es aktivierst. Die Suchbarkeit über den Nutzernamen kann separat ein- oder ausgeschaltet werden.

Bei aktiviertem Sozialprofil können andere angemeldete Nutzer sehen:

  • Nutzername beziehungsweise Anzeigename;
  • ausgewählten Avatar;
  • Gesamt-XP;
  • XP der laufenden Woche;
  • aktuellen Streak;
  • Follow-/Follower-Status, soweit für die jeweilige Ansicht erforderlich.

Nicht öffentlich angezeigt werden insbesondere:

  • E-Mail-Adresse;
  • JP und CP;
  • Beitrittsdatum;
  • vollständige Lernhistorie;
  • Anzahl abgeschlossener Lektionen;
  • konkrete Antworten;
  • Onboarding- und Telemetrieentscheidungen.

Wir verarbeiten außerdem Follow-Beziehungen und Suchanfragen nach freigegebenen öffentlichen Profilen. Suchanfragen werden nicht als persönliche Suchhistorie gespeichert. Shapedeep liest keine Gerätekontakte und führt keinen E-Mail-Abgleich zur Kontaktfindung durch.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO auf Grundlage der von dir aktivierten Sozialfunktion.

4.7 Feedback, Fehlerberichte und Feature Requests

Wenn du freiwillig Feedback, einen Feature Request oder einen Fehlerbericht sendest, verarbeiten wir:

  • deine Nachricht;
  • Submission-Typ und feste Herkunftskennung;
  • deine Firebase-UID zur Zuordnung und späteren Kontolöschung;
  • begrenzten, typisierten Kontext, zum Beispiel Bildschirmkennung, App-Version, Locale, Sprachpaar, Themen-, Kapitel-, Lektions- oder Aufgabenkennung sowie einen begrenzten Fehlercode;
  • Erstellungszeitpunkt, Status, Ablaufzeitpunkt und Information, ob eine Redaktion angewendet wurde.

Nicht automatisch übermittelt werden E-Mail-Adresse, Benutzername, Antworttext, richtige Lösung, vollständige URL, Authentifizierungsheader, Token, lokale Dateipfade oder Geräte-ID.

Vor der Speicherung versucht der Server, E-Mail-Adressen und offensichtliche Geheimnisse wie Bearer-Token, JWTs, Passwörter, API-Schlüssel, Reset-Codes oder oobCode zu redigieren. Das unbereinigte Original wird nicht zusätzlich gespeichert.

Bitte sende trotzdem keine Passwörter, Zahlungsdaten, Authentifizierungscodes oder besonders sensible personenbezogene Informationen.

Aufbewahrung:

  • Fehlerberichte: 90 Tage;
  • Feedback: 180 Tage;
  • Feature Requests: 365 Tage.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO für kontobezogenen Support; Art. 6 Abs. 1 lit. f DSGVO für Fehlerbehebung und Produktverbesserung.

4.8 Optionale Nutzungsanalyse

Google Analytics ist standardmäßig deaktiviert und wird nur aktiviert, wenn:

  1. die Altersgruppe serverseitig als mindestens 16 Jahre bestätigt ist;
  2. du die Nutzungsanalyse separat aktivierst; und
  3. die App-Konfiguration Analytics für den Release-Kanal erlaubt.

Bei aktivierter Nutzungsanalyse können verarbeitet werden:

  • pseudonyme App-/Installationskennung;
  • automatisch erzeugte App- und Sitzungsereignisse;
  • Bildschirmansichten und bereinigte Routennamen ohne Query-Parameter;
  • App-Version, Plattform und technische Gerätekategorie;
  • ungefähres Land beziehungsweise Region, soweit aus technischen Signalen abgeleitet;
  • ausschließlich fest definierte, aggregierte Produktparameter, wenn ein entsprechendes Ereignis in der veröffentlichten App tatsächlich angeschlossen ist.

Shapedeep setzt keine Firebase-Authentifizierungs-UID, E-Mail-Adresse oder Benutzername als Analytics-User-ID. Es werden keine Antworten, Freitexte, Lernmotive, Humorpräferenz oder die Angabe „Wie hast du uns gefunden?“ an Analytics gesendet.

Die Google-Analytics-Property ist auf eine Aufbewahrung nutzer- und ereignisbezogener Daten von zwei Monaten ausgelegt; „Reset on new user activity“ bleibt deaktiviert. Google Signals, User-provided Data, Google-Ads-Verknüpfungen, BigQuery-Export und Werbepersonalisierung werden für den vorgesehenen Release nicht verwendet. Die detaillierte Standort- und Gerätedatenerhebung wird regional deaktiviert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO. Der Widerruf ist jederzeit in den Einstellungen möglich und wirkt für die Zukunft.

4.9 Optionale Fehlerdiagnose

Firebase Crashlytics ist standardmäßig deaktiviert und wird nur aktiviert, wenn:

  1. die Altersgruppe serverseitig als mindestens 16 Jahre bestätigt ist;
  2. du die Fehlerdiagnose separat aktivierst; und
  3. die App-Konfiguration Crashlytics für den Release-Kanal erlaubt.

Bei aktivierter Fehlerdiagnose können verarbeitet werden:

  • Stacktraces;
  • Crashzeitpunkt;
  • relevanter App-Zustand;
  • App-Version und Paketkennung;
  • Betriebssystem, Gerätemodell und technische Gerätemetadaten;
  • Crashlytics-Installations-UUID, Firebase-Installations-ID und Sitzungskennung;
  • begrenzte, bereinigte technische Fehlerinformationen und nichtfatale Fehler.

Shapedeep setzt keine Firebase-Authentifizierungs-UID als Crashlytics-Nutzerkennung. Antworten, Feedbacktexte und vollständige Request-Payloads sollen nicht als Crashlytics-Custom-Daten angehängt werden.

Firebase beschreibt für Crash-Stacktraces und zugehörige Installationskennungen eine Aufbewahrung von 90 Tagen, bevor die Entfernung aus Live- und Backup-Systemen beginnt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO.

4.10 App Check, Remote Config und technische Sicherheitsdaten

Firebase App Check verarbeitet abhängig vom Build Firebase-User-Agent-Daten sowie bei Production-Releases ein Play-Integrity-Token. Diese Daten dienen dazu, echte App-Instanzen von missbräuchlichen Clients zu unterscheiden. Das serverseitige Enforcement wird kontrolliert und gruppenweise aktiviert, nachdem Debug- und Play-Integrity-Tests erfolgreich sind.

Firebase Remote Config kann eine Firebase-Installations-ID verarbeiten, um technische Konfigurationen wie Versions- oder Updatehinweise bereitzustellen.

Cloud Functions verarbeitet bei Aufrufen automatisch unter anderem Funktionsname, IP-Adresse und bei angemeldeten Nutzern die Firebase-UID im Authentifizierungskontext. Der Functions-Client kann technisch außerdem einen FCM-Token übermitteln. Shapedeep verwendet normale Betriebslogs nach einem festen Allowlist-Modell und protokolliert dort keine UID, E-Mail-Adresse, Nachricht, vollständige Payload oder Token. Sicherheits- und Cloud-Audit-Logs können jedoch technische Ressourcen-, Zugriffs- und Identitätsinformationen enthalten.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b und lit. f DSGVO.

4.11 Self-Service-Datenexport

Du kannst in der App einen Export deiner mit dem Konto verbundenen Daten anfordern. Die Cloud Function erzeugt eine direkte, strukturierte JSON-Antwort ausschließlich für die aktuell angemeldete Firebase-UID. Es wird keine öffentliche Download-URL und kein dauerhafter Storage-Export erzeugt.

Die App speichert die JSON-Datei vorübergehend lokal und öffnet den systemeigenen Teilen-/Speichern-Dialog. Nach dem Teilen oder Speichern bestimmst du selbst über die weitere Aufbewahrung der Datei.

Zum Missbrauchsschutz gelten maximal drei Exportanforderungen pro 24 Stunden. Der technische Rate-Limit-Zustand erhält ein Ablaufdatum und wird nach ungefähr 48 Stunden automatisch gelöscht. Der Export-Rate-Limiter enthält keinen Exportinhalt und keine E-Mail-Adresse.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b und lit. c DSGVO sowie Art. 15 und Art. 20 DSGVO, soweit anwendbar.

4.12 Website, Hosting und Vorregistrierung

Die Shapedeep-Website verwendet keine Analytics-, Werbe- oder Marketing-Cookies und lädt keine externen Schriftarten oder Tracking-Skripte. Firebase Hosting kann IP-Adressen eingehender Anfragen zum Betrieb, zur Missbrauchserkennung und für technische Nutzungsanalysen verarbeiten.

Wenn du dich auf der Website vorregistrierst, verarbeiten wir insbesondere:

  • deine normalisierte E-Mail-Adresse;
  • die ausgewählte Seitensprache;
  • Einwilligungsversion, Einwilligungszweck und Herkunft website;
  • Status sowie notwendige Erstellungs-, Aktualisierungs-, Bestätigungs-, Ablauf- und Abmeldezeitpunkte;
  • gehashte Bestätigungs- und Abmeldetoken;
  • für die Missbrauchsabwehr einen HMAC-pseudonymisierten Rate-Limit-Schlüssel, Zähler und kurzlebige Ablaufdaten. Rohe IP-Adressen werden nicht im Wartelistendatensatz gespeichert.

Die Anmeldung wird erst nach Klick auf den Double-Opt-in-Link bestätigt. Unbestätigte Anmeldungen laufen nach 48 Stunden ab. Bestätigte Einträge bleiben bis zur Abmeldung, zum Widerruf oder einem anderen einschlägigen Löschgrund gespeichert. Die E-Mail-Adresse wird ausschließlich für Mitteilungen zum Start von Shapedeep und gegebenenfalls zu einem vorherigen Testzugang verwendet. Die Nachrichten enthalten keine Tracking-Pixel oder externen Bilder.

Die Wartelistenfunktion nutzt Firebase beziehungsweise Google Cloud für Function, Firestore, Logs und Secret Manager in der vorgesehenen Region europe-west3 sowie IONOS für SMTP- und Postfachdienste. Menschliche Antworten an feedback@shapedeep.com können entsprechend der tatsächlichen Postfachkonfiguration an Gmail weitergeleitet werden.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. a DSGVO für die angeforderten E-Mail-Mitteilungen; Art. 6 Abs. 1 lit. f DSGVO für sichere Bereitstellung, Missbrauchsabwehr und technische Stabilität. Die Einwilligung kann jederzeit über den Abmeldelink mit Wirkung für die Zukunft widerrufen werden.

4.13 Derzeit nicht verwendete Datenverarbeitungen

Die aktuelle App:

  • verwendet keine Android Advertising ID;
  • zeigt keine Werbung;
  • verwendet keine personalisierte Werbung;
  • greift nicht auf das Geräteadressbuch zu;
  • führt keinen Kontaktabgleich über E-Mail-Adressen durch;
  • ermöglicht keinen Upload eigener Profilfotos;
  • verarbeitet keine In-App-Zahlungen oder Abonnements;
  • versendet keine Marketingnewsletter und misst keine Marketing-E-Mail-Öffnungen.

Vor Einführung einer solchen Funktion werden App, Einwilligungsoberflächen, Google-Play-Angaben und diese Datenschutzerklärung aktualisiert.

5. Empfänger und Auftragsverarbeiter

Empfänger beziehungsweise Dienstleister können insbesondere sein:

  • Google Ireland Limited und verbundene Google-Unternehmen für Firebase, Google Cloud, Google Analytics, Google Sign-In, App Check und Play Integrity;
  • dein E-Mail-Anbieter und die für Verifizierungs- und Reset-E-Mails eingesetzten Firebase-Dienste;
  • IONOS für den Versand von Double-Opt-in- und Wartelisten-E-Mails sowie für Postfachdienste; menschliche Antworten können entsprechend der tatsächlichen Postfachkonfiguration an Gmail weitergeleitet werden;
  • Google Play, wenn du die App über Google Play installierst oder Play Integrity verwendet wird;
  • andere angemeldete Nutzer ausschließlich im Rahmen der von dir aktivierten Sozialfunktionen;
  • Behörden oder sonstige Stellen, wenn eine gesetzliche Verpflichtung besteht.

Wir verkaufen personenbezogene Daten nicht. Datenübermittlungen an Dienstleister erfolgen zur Bereitstellung der jeweiligen Funktionen. In der Google-Play-Data-Safety-Erklärung wird die Übermittlung an Auftragsverarbeiter nach den jeweils aktuellen Play-Definitionen angegeben.

6. Internationale Datenübermittlungen

Cloud Firestore und Cloud Functions sind für zentrale Shapedeep-Daten und Backend-Funktionen auf europäische Standorte beziehungsweise europe-west3 ausgerichtet, soweit der jeweilige Dienst eine Standortwahl unterstützt.

Firebase Authentication wird nach Angaben von Google ausschließlich aus US-Rechenzentren betrieben. Andere globale Firebase-, Analytics-, App-Check-, Remote-Config- und Supportdienste können Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten.

Google stützt internationale Übermittlungen unter anderem auf Angemessenheitsbeschlüsse, das EU-U.S. Data Privacy Framework und Standardvertragsklauseln, soweit anwendbar. Zusätzlich gelten die Firebase Data Processing and Security Terms und für Google Analytics gesonderte Datenverarbeitungsbedingungen.

7. Speicherdauer

Datenbereich Regelmäßige Aufbewahrung
Konto-, Profil-, Lern- und Gamification-Daten Bis zur Kontolöschung oder solange für die aktive Funktion erforderlich
Öffentliches Sozialprofil Bis zur Deaktivierung des Sozialprofils oder Kontolöschung
Follow-Beziehungen Bis zum Entfolgen oder zur Kontolöschung
Geschützte-Content-Rate-Limits Ungefähr 48 Stunden, serverseitiges expiresAt und Firestore TTL
Datenexport-Rate-Limits Ungefähr 48 Stunden, serverseitiges expiresAt und Firestore TTL
Fehlerberichte 90 Tage
Feedback 180 Tage
Feature Requests 365 Tage
Google Analytics Zwei Monate für nutzer- und ereignisbezogene Daten; Reset bei neuer Aktivität aus
Firebase Crashlytics 90 Tage für Crashdaten und zugehörige Installationskennungen laut Anbieterangabe
Firebase Authentication Auth-Daten bis zur Löschanforderung; Entfernung aus Live- und Backup-Systemen laut Anbieter innerhalb von bis zu 180 Tagen; IP-Logs einige Wochen
Cloud-Logging _Default Aktuell 30 Tage
Cloud-Audit-Logs im _Required-Bucket Anbieterbedingt aktuell 400 Tage
Lokale Exportdatei Bis du sie auf deinem Gerät oder beim gewählten Empfänger löschst
Unbestätigte Vorregistrierung 48 Stunden; anschließend Ablauf und vorgesehene TTL-Löschung
Bestätigte Vorregistrierung Bis zur Abmeldung, zum Widerruf oder einem anderen einschlägigen Löschgrund
Wartelisten-Rate-Limit Kurzlebig; HMAC-Pseudonym, Zähler, Zeitfenster und TTL-Ablaufzeit

Gesetzliche Aufbewahrungspflichten und die Sicherung oder Verteidigung rechtlicher Ansprüche können im Einzelfall eine längere Aufbewahrung erfordern. Soweit möglich werden Daten dann gesperrt oder auf den erforderlichen Umfang begrenzt.

8. Kontolöschung

Du kannst dein Konto in der App unter den Einstellungen löschen. Zur Verhinderung unbefugter Löschungen kann eine aktuelle Anmeldung oder erneute Authentifizierung verlangt werden.

Die serverseitige Löschfunktion entfernt beziehungsweise bereinigt insbesondere:

  • Firebase-Authentifizierungskonto;
  • privates UserDoc einschließlich Untercollections;
  • öffentliches Sozialprofil;
  • Follow-Beziehungen;
  • Liga-Mitgliedschaft und eigenen Ligastatus;
  • Feedback, Fehlerberichte und Feature Requests, soweit der Firebase-UID zugeordnet;
  • Consent-Audit- und Exportjob-Dokumente, soweit vorhanden;
  • Protected-Content- und Datenexport-Rate-Limit-Dokumente.

Die Authentifizierung wird serverseitig zuletzt gelöscht, damit eine fehlgeschlagene vorherige Bereinigung erneut versucht werden kann.

Zusätzlich steht eine externe Webseite zur Einleitung einer Löschanfrage bereit. Lösche nicht nur die App vom Gerät: Das entfernt nicht automatisch dein serverseitiges Konto.

Einige providerseitige Logs, Backups oder gesetzlich erforderliche Nachweise können noch für die oben genannten Fristen bestehen bleiben.

9. Auskunft, Datenübertragbarkeit und weitere Rechte

Du hast nach Maßgabe der gesetzlichen Voraussetzungen insbesondere Rechte auf:

  • Auskunft;
  • Berichtigung;
  • Löschung;
  • Einschränkung der Verarbeitung;
  • Datenübertragbarkeit;
  • Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen;
  • Widerruf einer Einwilligung mit Wirkung für die Zukunft;
  • Beschwerde bei einer Datenschutzaufsichtsbehörde.

Den Self-Service-Datenexport findest du in den App-Einstellungen. Weitere Anfragen kannst du an privacy@shapedeep.com richten. Zur Verhinderung unbefugter Offenlegung können wir deine Identität prüfen.

10. Kinder und Jugendliche

Shapedeep ist nicht für Kinder unter 13 Jahren bestimmt. Wird im Onboarding „unter 13“ ausgewählt, wird die Kontoerstellung nicht fortgesetzt beziehungsweise ein bereits provisorisch erstelltes Konto muss bereinigt werden.

Für Konten mit der Altersgruppe 13 bis 15 sind Nutzungsanalyse und Fehlerdiagnose technisch deaktiviert. Ab 16 Jahren können diese beiden optionalen Verarbeitungen getrennt aktiviert werden.

Soweit nach anwendbarem Recht für andere Vertrags- oder Funktionsbereiche die Zustimmung eines Elternteils oder gesetzlichen Vertreters erforderlich ist, darf die App nur mit dieser Zustimmung genutzt werden.

11. Automatisierte Funktionen

Shapedeep verwendet regelbasierte und automatisierte Systeme, um Onboarding, Lernpfad, XP, Streaks, Missionen, Erfolge, Belohnungen, Liga, Rate Limits und Missbrauchsschutz zu steuern. Diese Vorgänge dienen der App-Funktion und haben keine rechtliche oder ähnlich erhebliche Wirkung im Sinne von Art. 22 DSGVO.

12. Sicherheitsmaßnahmen

Zu den eingesetzten Maßnahmen gehören insbesondere:

  • Firebase Authentication;
  • Firestore Security Rules;
  • serverseitige autoritative Cloud Functions;
  • App Check und Play Integrity in vorgesehenen Release-Builds;
  • getrennte und standardmäßig deaktivierte Telemetrie;
  • kein accountbezogener Analytics-/Crashlytics-Identifier;
  • fest typisierte Analytics- und Submission-Kontexte;
  • serverseitige Redaction offensichtlicher Secrets;
  • Rate Limits und automatische TTL-Löschung;
  • datensparsame Log-Allowlist;
  • HTTPS-Verschlüsselung bei der Übertragung;
  • rollenbasierte Zugriffssteuerung in Firebase und Google Cloud.

Trotz dieser Maßnahmen kann kein internetbasierter Dienst absolute Sicherheit garantieren.

13. Änderungen dieser Datenschutzerklärung

Wir aktualisieren diese Datenschutzerklärung, wenn sich Funktionen, Datenflüsse, Dienstleister, rechtliche Anforderungen oder Aufbewahrungsfristen wesentlich ändern.

Bei einer neuen Version wird die App die aktuelle Hinweisversion dokumentieren. Eine neue Datenschutzerklärung ist keine pauschale Einwilligung. Wenn eine Änderung eine Einwilligung erfordert, wird diese separat eingeholt.

14. Kontakt

Datenschutzanfragen: privacy@shapedeep.com
Support: support@shapedeep.com

Verantwortlicher: Ender Temizdemir, Anschrift wie in Abschnitt 1.