Kylala · Datenschutzerklärung

Das Kleingedruckte, in klaren Worten

Datenschutzerklärung

Gültig ab ⟨Datum dieser Fassung⟩ · vorherige Fassung vom 5. August 2026 · gilt für die App unter app.kylala.com und diese Website.

Kylala gibt es, damit Nachbarn einander helfen können, ohne ihr Leben einer Werbemaschine auszuhändigen. Diese Seite sagt genau, was wir speichern, was nie auf unseren Servern bleibt, mit welchen Diensten dein Browser spricht und wie du alles zurückbekommst. Sie ist geschrieben, um gelesen zu werden.

Dies ist eine Service-Übersetzung der englischen Datenschutzerklärung unter https://kylala.com/privacy/. Sollten sich die beiden Fassungen je unterscheiden, ist die englische maßgeblich.

Die Kurzfassung

• Keine Klarnamen: ein Spitzname und ein generiertes Gesicht; das Profil hat kein Feld für einen echten Namen; einen Vornamen teilst du pro Gespräch, oder nie.
• Keine Werbung, keine Analytics, keine Tracker, keine Cookies, kein Datenverkauf, weder auf der Website noch in der App.
• Kein Feed zum Scrollen und kein Archiv: eine Karte offener Bitten und die Liste darunter; nichts wird nach Engagement sortiert; Bitten verblassen nach 14 Tagen.
• Keine Rubrik für Kriminalität und Angst: ein „Gut zu wissen“ ist eine praktische Nachricht, nie ein Alarm über Menschen.
• Keine Telefonnummer nötig, keine E-Mail geteilt: Nachbarn sehen einen Spitznamen und ein generiertes Gesicht, nie deine E-Mail oder deine Nummer. Deine E-Mail wird nie auf Kylalas Servern aufbewahrt; von einer Google- oder E-Mail-Anmeldung behalten wir nur eine opake Konto-ID des Anbieters, sonst nichts.
• Keine Preise, Bewertungen, Profi-Abzeichen oder bezahlte Platzierung, nirgends, auch nicht bei den Angeboten („Deine Angebote“).
• Keine Pings, um die du nicht gebeten hast: Es klingelt nur, wenn jemand auf dich wartet oder ein Interessen-Hinweis anschlägt, den du eingeschaltet hast, höchstens zweimal am Tag.
• Kein App Store: Kylala installiert sich aus dem Browser.

Dein Konto zu löschen wirkt sofort und tut genau, was draufsteht.

Wer verantwortlich ist

Der Dienst wird von Kylala betrieben (das „wir“ auf dieser Seite), dem Verantwortlichen für alles, was hier beschrieben wird: ein junges, vom Gründer geführtes Projekt, das sich auf unserer Team-Seite vorstellt. Für alles rund um den Datenschutz (Fragen, Anliegen, Beschwerden) schreib an [email protected].

Was wir speichern, wenn du dazukommst

Der Beitritt fragt nach einer Anmeldung (Google oder eine E-Mail-Adresse) und einem Spitznamen; keine Telefonnummer, kein Klarname. Der Server behält eine zufällige Konto-ID, deinen Spitznamen, zwei Zahlen, aus denen dein Porträt entsteht, und aus der Anmeldung eine opake Konto-ID des Anbieters: nie deine E-Mail, die auf deinem Gerät aus dem Anmelde-Token gelesen und nur dir gezeigt wird, in deinem Profil. Ein Gastkonto (eine Straße, die ohne Anmeldeanbieter läuft) behält stattdessen einen Hash des Gerätegeheimnisses, das dein Schlüssel ist: Das Geheimnis wird genau einmal ausgestellt, an dein Gerät; aufbewahrt wird nur sein Hash. Wir könnten es also weder wiederherstellen noch für dich wiederverwenden (genau dafür gibt es den Wiederherstellungsschlüssel).

Dein Zuhause-Pin. Gespeichert genau so, wie dein Gerät ihn sendet: exakt in der Voreinstellung, oder um etwa 50 m verwischt, auf deinem Handy und bevor er gesendet wird, wenn du den Verwischen-Schalter umlegst. Andere Nachbarn sehen deinen Zuhause-Pin nie: Keine Antwort der API enthält das Zuhause einer anderen Person. Was sie sehen, sind die Pins deiner Bitten, gesetzt mit derselben Genauigkeitswahl, und grobe Entfernungsstufen unter Helfende Hände in der Nähe, berechnet aus einer absichtlich vergröberten Kopie deines Zuhauses.

Deine Adresse. Beim Beitritt fragen wir nach einer echten Adresse (Straße, Hausnummer, Postleitzahl, Ort). Sie wird dabei mit dem Geocoder von OpenStreetMap abgeglichen, so gespeichert, wie du sie getippt hast, wenn die Karte sie noch nicht kennt, und von genau einer API-Antwort zurückgegeben: deinem eigenen Profil. Kein anderer Endpunkt enthält die Adresse irgendeines Menschen, und auch das Kontrollzentrum zeigt sie nicht an.

Verknüpfte Geräte. Jedes Gerät, das du verknüpfst, hält sein eigenes gehashtes Geheimnis; der Server behält diesen Hash und den Tag, an dem es dazukam. Gerätecodes sind im Ruhezustand gehasht, zehn Minuten gültig, einmal verwendbar, widerrufbar. Die Liste Geräte in den Einstellungen zeigt eine ID und einen Tag, nie eine IP-Adresse, einen Browser, einen Namen oder einen Ort. Ein entferntes Gerät ist beim nächsten Aufruf abgemeldet.

Wenn du dich mit Google oder per E-Mail anmeldest. Diese Identitäten verwaltet Auth0 (Okta Inc.), unser Anmeldedienst. Unser Server erhält das signierte Anmelde-Token, prüft dessen Signatur, behält die opake Subjekt-Zeichenkette (etwa google-oauth2|…) und liest bei der ersten Registrierung einmalig einen Namens-Claim, um dir einen Spitznamen vorzuschlagen. Nichts anderes im Token wird ausgelesen, protokolliert oder gespeichert: Die E-Mail darin reist durch die Prüfung hindurch und wird verworfen; eine Spalte für sie existiert nicht. Was du in deinem Profil siehst, wird auf deinem Gerät aus dem Token gelesen.

Eine Demo-Straße mit erfundenen Nachbarn; manche Bildschirme bleiben auf Englisch.

Was wir speichern, während du Kylala nutzt

• Bitten: Kategorie, Titel, Text, der Pin, den du gesetzt hast (dieselbe Genauigkeitsregel wie bei deinem Zuhause-Pin), optional ein Foto, optional die Abwesenheitsdaten fürs Haushüten (auf der Straße nur für die Person, die du annimmst, und verbürgte Nachbarn sichtbar; in einem Kreis für seine Mitglieder).
• Gehobene Hände auf Bitten: zwei IDs und drei Uhrzeiten pro gehobener Hand (wer, auf welche Bitte, wann sie hochging, wann sie angenommen wurde, wann sie als erledigt gemeldet wurde); nie eine Notiz, ein Grund oder eine Wertung. Eine beendete Hand wird gelöscht, nicht markiert. Wer eine Zusage beendet hat, steht nur in den Zeilen, die die Beteiligten unter Mitteilungen lesen.
• Gespräche: Nachrichten, optionale Fotos und Lesebestätigungs-Zeitstempel, die nur die Person sieht, mit der du sprichst. Wenn du ein Gespräch mit deinem echten Namen unterschreibst, lebt dieser Name nur in diesem einen Gespräch, und nur, weil du ihn selbst getippt hast. Es ist der einzige Ort, an dem ein echter Name in Kylala existieren kann, und er wird gelöscht, wenn dein Konto geht.

  

• Deine Angebote: bis zu drei kurze Etiketten und eine Zeile, der eine bewusst öffentliche Text, den du über dich schreibst. Helfende Hände in der Nähe wird aus rasterförmig gerundeten Zuhause-Punkten berechnet, nie aus rohen Koordinaten, und Entfernungen verlassen den Server als grobe Stufen. Ein Angebot, das niemand bestätigt, schläft nach 90 stillen Tagen ein.
• Mitteilungs-Register: eine Zeile pro Ereignis: IDs, eine Art, aufzählbare Parameter und Uhrzeiten. Nie ein Titel, eine Notiz, ein Name, ein Pin, eine Adresse, ein Grund oder wer moderiert hat: Die Worte werden erst beim Lesen der Zeile zusammengesetzt, und nur für die Menschen, die sie sehen dürfen. Zeilen verschwinden nach 30 Tagen.
• Ursprung eines Gesprächs: ob ein Gespräch über ein Angebot begann, eine optionale Spalte, nur für Gesamtzählungen genutzt.
• Fotos: vor dem Hochladen auf deinem Gerät auf etwa 350 KB zusammengedrückt, gespeichert bei dem Inhalt, zu dem sie gehören, und gelöscht, wenn du diesen Inhalt löschst (oder dein Konto). Ausgeliefert werden sie über nicht erratbare Links; neue Abrufe stoppen in dem Moment, in dem der Inhalt entfernt oder moderiert wird, und Caches laufen binnen einer Stunde ab.
• Check-ins: die sanfte Verifizierung. Dein Gerät sendet einen GPS-Fix; der Server vergleicht ihn mit deinem Pin und behält als Beleg nur einen auf ein Raster gerundeten Punkt (~55 m) plus den angegebenen Genauigkeitsradius des Fixes, höchstens einen pro Tag. Der rohe Fix wird verworfen, und Check-in-Punkte werden nirgendwo angezeigt.
• Push: wenn du Benachrichtigungen einschaltest, speichern wir den Push-Endpunkt deines Browsers, dessen Verschlüsselungsschlüssel und dein Ruhezeiten-Fenster. Die Inhalte der Nachrichten sind zu deinem Browser hin verschlüsselt; der Push-Dienst dazwischen kann sie nicht lesen.
• Blockierungen, Meldungen, Einsprüche: wen du blockiert hast (nur für dich sichtbar), was du gemeldet hast und warum (sichtbar für die Moderation) und was du geschrieben hast, falls du gegen eine Sperre Einspruch erhebst.
• Danke: ein Zähler der erhaltenen Dankeschöns.
• Ein grober Zuletzt-aktiv-Zeitstempel: höchstens einmal pro fünf Minuten aktualisiert, sichtbar nur für die Person, die die Straße betreibt (nie für Nachbarn), und auf null gesetzt, wenn dein Konto geht.

Bitten und Ankündigungen verblassen nach 14 Tagen von der Straße; die Karte führt kein Archiv der Straßenvergangenheit, durch das irgendwer scrollen könnte. Löschst du eine deiner Bitten, verschwinden ihr Text, ihr Pin und ihr Foto auf der Stelle; was bis zum Ende deines Kontos daran hängen bleibt, ist nur der leere Marker, den andere Handys brauchen, um sie fallen zu lassen.

Was unsere Server nie erreicht

• Deine E-Mail-Adresse und Telefonnummer werden nie aufbewahrt: Es gibt keine Spalten für sie, und das Anmelde-Token, in dem sie mitreisen, wird verworfen, sobald seine Signatur geprüft ist.
• Nach deinem echten Namen wird nie gefragt; er kann nur dort existieren, wo du ihn selbst getippt hast: in einem Gespräch, das du unterschrieben hast, oder im einmaligen Spitznamen-Vorschlag oben.
• Der Blick anderer auf dein Zuhause: Kein Endpunkt gibt die Koordinaten oder die Adresse eines anderen Menschen zurück, Punkt.
• Rohe GPS-Fixes: verglichen, auf ein Raster von ~55 m gerundet, und behalten wird nur der gerundete Punkt.
• Gerätefingerabdrücke, Werbe-IDs, Tracking-Pixel: keine, nirgends.

IP-Adressen, kurz und ehrlich

Wie bei jeder Website sieht unsere Infrastruktur deine IP-Adresse, wenn sich dein Gerät verbindet. Wir verwenden sie in genau einer gespeicherten Form: als Rate-Limit-Zähler an den Anmelde- und Registrierungsendpunkten, damit niemand mit Rateversuchen an der Tür hämmern kann. Diese Zähler hängen an der IP, werden automatisch weggeräumt und leben höchstens ~31 Tage. Unser Fehlerprotokoll (geführt, damit wir Abstürze beheben können) verzeichnet bewusst keine IP, keine Nutzer-ID, keine URL und keinen Nachrichteninhalt: nur, welche Route gescheitert ist und warum. Kylala läuft auf Cloudflare, das Verbindungsdaten (einschließlich IPs) verarbeitet, um den Dienst auszuliefern und zu schützen, wie jeder Host.

Dienste, mit denen dein Browser spricht

Wir halten Dritte auf dem Minimum, mit dem eine Karten-App auskommt. Diese Website liefert ihre Schriften selbst aus und betreibt keine Analytics. Wenn du Kylala nutzt, spricht dein Browser direkt mit:

• OpenFreeMap: die Karte selbst. Das Laden der Kacheln verrät dem Kachelserver deine IP und die Gegenden, die du dir ansiehst (meistens deine eigene Straße). OpenFreeMap ist ein freies, offenes Projekt, dessen Datenschutzerklärung angibt, in seinen regulären Logs keine IP-Adressen zu speichern; die App cacht Kacheln außerdem auf dem Gerät, um Anfragen zu sparen.
• Esri (ArcGIS World Imagery): nur, wenn du die Satellitenansicht einschaltest; dieselbe Kachel-Mechanik.
• Nominatim (OpenStreetMap Foundation): einmalige Adressprüfungen. Wenn du deine Adresse bestätigst oder deinen Pin verschiebst, werden die getippte Adresse und die ungefähre Lage des Pins zur Prüfung gesendet; unser Server wiederholt dieselbe Einmal-Prüfung auf seiner Seite, ohne deine IP. Nie, während du tippst. Für diese Abfragen gilt die Datenschutzerklärung der OSMF.
• Photon (ein freier Geocoder von komoot): Adress-Autovervollständigung. Während du beim Onboarding oder bei einem Umzug deine eigene Adresse tippst, werden die bis dahin getippten Buchstaben und ein Suchbereich von wenigen Kilometern rund um deinen Pin gesendet, um Vervollständigungen vorzuschlagen. Photon veröffentlicht keine eigene Datenschutzerklärung; deshalb sagen wir dir stattdessen genau, was es bekommt.
• Auth0: nur, wenn du eine Anmeldemethode wählst; in dem Moment bist du auf deren gehosteter Seite, und auf Googles eigenen Seiten, falls du Google wählst.
• Der Push-Dienst deines Browsers (Google, Apple oder Mozilla, je nach Browser): nur, wenn du Benachrichtigungen einschaltest; die Inhalte sind Ende-zu-Ende zu deinem Browser verschlüsselt.

In der eigenständigen Demo (die App ohne Konto) verlässt nichts dein Gerät außer Kartenkacheln.

Wo Daten wohnen

Kylalas eigene Datenbank und Server laufen auf dem Netzwerk von Cloudflare. Cloudflare, Inc. ist ein US-Unternehmen, das Verbindungsdaten weltweit unter seinem Datenverarbeitungszusatz verarbeitet (EU-Standardvertragsklauseln; Cloudflare ist außerdem unter dem EU-US Data Privacy Framework zertifiziert). Anmelde-Identitäten liegen in unserem Auth0-Tenant, der in den Vereinigten Staaten gehostet wird, eine Tatsache, die wir lieber klar aussprechen als vergraben: Wenn du dich mit Google oder per E-Mail anmeldest, wird diese Identität (und Auth0s Sicherheitsprotokolle, die IPs enthalten) in den USA verarbeitet, unter Auth0s eigener Zertifizierung nach dem EU-US Data Privacy Framework. Gastkonten kommen ganz ohne Auth0 aus.

Wie lange wir Dinge behalten

Bitten verblassen nach 14 Tagen; Mitteilungszeilen nach 30 Tagen; Angebote bleiben, bis du sie abnimmst, und schlafen nach 90 stillen Tagen ein; Gerätecodes leben zehn Minuten und werden dann weggeräumt; Rate-Limit-Zähler der Anmeldung leben höchstens etwa 31 Tage. Einzelne Nachrichten lassen sich noch nicht löschen; das Löschen deines Kontos nimmt sie mit.

• Dein Konto und seine Inhalte: bis du sie löschst.
• Bitten und Ankündigungen: 14 Tage sichtbar, aufbewahrt, bis du sie löschst, die Moderation es tut oder dein Konto geht.
• Meldungen, Einsprüche und das Moderationsprotokoll: so lange, wie sie gebraucht werden, um die Straße sicher zu halten.
• Absturz-Fingerabdrücke (ohne personenbezogene Daten): bis der Fehler behoben und die Zeile gelöscht ist.
• Fotos: so lange, wie der Inhalt existiert, zu dem sie gehören, und keinen Moment länger.

Dein Konto löschen

Profil, Einstellungen, Konto löschen. Es passiert sofort und löscht wirklich: Deine Bitten, gehobenen Hände, Angebote, Gespräche, Fotos, Mitteilungszeilen, Geräte und Gerätecodes gehen mit; deine Kreise übernimmt jemand anderes, oder sie schließen. Was andere Nachbarn behalten, ist nur der leere Marker, den ihre Handys brauchen, um fallen zu lassen, was deins war. Wenn wir es lieber für dich erledigen sollen, oder dein Auth0-Anmeldeeintrag ebenfalls entfernt werden soll, schreib an [email protected].

Wenn du uns schreibst

Post an [email protected] wird von Cloudflare Email Routing an ein Postfach bei Google weitergeleitet (in den USA, unter demselben Data Privacy Framework). Sie wird von einem Menschen gelesen, ausschließlich zur Bearbeitung deines Anliegens verwendet und landet nie auf irgendeiner Liste.

Deine Rechte

Kylala wird aus Genf in der Schweiz betrieben; für den Umgang mit deinen Daten gilt deshalb das Schweizer Bundesgesetz über den Datenschutz (DSG), egal wo auf der Welt du lebst. Lebst du in der Europäischen Union, gilt zusätzlich die DSGVO. Nach beiden Gesetzen kannst du Auskunft über deine Daten verlangen, dazu Berichtigung, Löschung, Einschränkung der Verarbeitung, eine portable Kopie, oder der Verarbeitung widersprechen: Schreib an [email protected], und wir antworten innerhalb eines Monats. Fast alles geht in der App schneller: Dein Profil zeigt, was wir haben, und Löschen ist Selbstbedienung. Du kannst dich außerdem bei einer Aufsichtsbehörde beschweren: in der Schweiz beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), in der EU bei der Behörde deines Landes.

Die Rechtsgrundlagen, auf die wir uns stützen: die Erbringung des Dienstes, den du angefragt hast (dein Konto und deine Straße zu betreiben, samt der Adressprüfungen und Kartenkacheln, die das erfordert), unser berechtigtes Interesse daran, den Dienst sicher zu halten (Rate-Limits, Moderation, Absturzprotokolle), und deine Einwilligung, wo du sie gibst (Benachrichtigungen, die Standortfreigabe des Browsers; beide jederzeit widerrufbar, an Ort und Stelle, ohne dass sonst irgendetwas davon berührt wird).

Cookies

Wir setzen keine Cookies, weder auf dieser Website noch in der App. Wenn du dich mit Google oder per E-Mail anmeldest, setzt der Anmeldedienst (Auth0) seine eigenen auf seiner Domain und verschickt seine eigenen E-Mails zur Bestätigung und zum Zurücksetzen.

Kinder

Kylala richtet sich nicht an Kinder und ist nicht für Menschen unter 15 gedacht.

Wenn sich diese Seite ändert

Wir datieren jede Überarbeitung oben auf dieser Seite und lassen das vorherige Datum daneben stehen. Eine Änderung, die erweitert, was wir speichern, würde in der App angekündigt, bevor sie gilt.