Datenschutzerklärung auf Deutsch
Stand: 30. Mai 2026
Verantwortlicher: Sebastian Hesse, Winsstr. 61, 10405 Berlin — privacy@enmaru.app
Impressum: In der App unter Einstellungen → Support & Legal → Impressum
Diese Datenschutzerklärung gilt für die Nutzung der enmaru (iOS und Android) sowie aller damit verbundenen Dienste. Die App richtet sich ausschließlich an Personen ab 18 Jahren. Wir erheben wissentlich keine personenbezogenen Daten von Personen unter 18 Jahren.
Die App benötigt folgende Gerätezugriffsrechte:
| Zugriffsrecht | Zweck | Aktivierung |
|---|---|---|
| Standort (GPS) | Entfernung zu anderen Nutzern berechnen | Nur nach expliziter Einwilligung in der App |
| Fotobibliothek / Kamera | Profilfoto hochladen | Nur auf Anforderung beim Fotoauswahl-Dialog |
| Push-Benachrichtigungen | Hinweise auf neue Nachrichten | Nur nach expliziter Einwilligung in der App |
Alle Zugriffsrechte können jederzeit in den Systemeinstellungen des Geräts widerrufen werden.
Wenn du dich über die Schaltfläche „Mit Google anmelden" registrierst oder anmeldest, übermittelt Google LLC nach deiner Freigabe folgende Daten an uns:
| Datum | Herkunft | Speicherort |
|---|---|---|
| E-Mail-Adresse deines Google-Kontos | Supabase Auth (EU, Irland) | |
| Google Account ID (pseudonymisierter Bezeichner) | Supabase Auth (EU, Irland) | |
| Anzeigename deines Google-Kontos | Supabase Auth (EU, Irland) |
Was wir nicht übernehmen: Dein Google-Profilfoto wird nicht automatisch importiert. Du lädst dein Profilfoto separat und bewusst innerhalb der App hoch.
Token-Verarbeitung: Das von Google ausgestellte OAuth-Token wird ausschließlich zur sicheren Authentifizierung über Supabase (PKCE-Verfahren, RFC 7636) verarbeitet und nicht für andere Zwecke genutzt. Es wird serverseitig gespeichert und ist für uns nicht im Klartext zugänglich.
Einwilligung: Die Nutzung von Google OAuth setzt voraus, dass du zuvor aktiv die Schaltfläche „Mit Google anmelden" betätigt sowie unsere AGB und diese Datenschutzerklärung per Checkbox ausdrücklich akzeptiert hast. Eine stillschweigende oder voreingestellte Einwilligung findet nicht statt.
Wenn du dich über die Schaltfläche „Mit Apple anmelden" registrierst oder anmeldest, übermittelt Apple Inc. nach deiner Freigabe folgende Daten an uns:
| Datum | Herkunft | Speicherort |
|---|---|---|
| Apple-Nutzerkennung (stabil, pseudonymisiert) | Apple | Supabase Auth (EU, Irland) |
| E-Mail-Adresse — deine echte Adresse oder Apples anonyme Weiterleitungsadresse, falls du „E-Mail-Adresse verbergen" wählst | Apple | Supabase Auth (EU, Irland) |
| Anzeigename — von Apple nur bei der ersten Anmeldung übermittelt, und nur wenn du dem zustimmst | Apple | Supabase Auth (EU, Irland) |
E-Mail-Adresse verbergen: Wenn du Apples Funktion „E-Mail-Adresse verbergen" nutzt, erhalten wir nur eine zufällige Weiterleitungsadresse (…@privaterelay.appleid.com). E-Mails, die wir dorthin senden, werden dir von Apple zugestellt; deine echte E-Mail-Adresse erfahren wir nicht.
Was wir nicht übernehmen: Dein Apple-Profilfoto wird nicht übernommen. Du lädst dein Profilfoto separat und bewusst innerhalb der App hoch. Bei jeder Anmeldung nach der ersten übermittelt Apple ausschließlich die Nutzerkennung — nicht deinen Namen.
Token-Verarbeitung: Das von Apple ausgestellte Identity-Token (JWT) wird ausschließlich zur sicheren Authentifizierung über Supabase verarbeitet und nicht für andere Zwecke genutzt. Es wird serverseitig gespeichert und ist für uns nicht im Klartext zugänglich.
Einwilligung: Die Nutzung von „Mit Apple anmelden" setzt voraus, dass du zuvor aktiv die Schaltfläche betätigt sowie unsere AGB und diese Datenschutzerklärung per Checkbox ausdrücklich akzeptiert hast. Eine stillschweigende oder voreingestellte Einwilligung findet nicht statt.
Zum Schutz der Community kannst du das Profil, das Profilbild oder eine Chat-Nachricht eines anderen Nutzers melden (Melde-Funktion). Wenn du eine Meldung absendest, verarbeiten wir:
| Daten | Zweck |
|---|---|
| Deine Nutzer-ID (meldende Person) | Bearbeitung der Meldung, Verhinderung von Missbrauch der Melde-Funktion |
| ID des gemeldeten Nutzers und Verweis auf den gemeldeten Inhalt | Prüfung und Bearbeitung der Meldung |
| Meldegrund (Belästigung, Spam, unangemessener Inhalt, Identitätsmissbrauch, Sonstiges) und deine optionale Freitext-Beschreibung | Bewertung der Meldung |
| Status und Moderations-Zeitstempel | Dokumentation der Prüfentscheidung |
Meldungen werden durch einen Menschen geprüft (siehe Abschnitt 10). Die Identität der meldenden Person wird dem gemeldeten Nutzer nicht offengelegt.
| Daten | Zweck | Rechtsgrundlage |
|---|---|---|
| E-Mail, Name | Account-Verwaltung | Art. 6 Abs. 1 lit. b DSGVO |
| Profilfoto, Profildaten | Darstellung im Netzwerk | Art. 6 Abs. 1 lit. b DSGVO |
| Google Account ID, E-Mail (OAuth) | Authentifizierung via Google-Konto | Art. 6 Abs. 1 lit. a DSGVO |
| Apple-Nutzerkennung, E-Mail (Anmeldung mit Apple) | Authentifizierung via Apple-Konto | Art. 6 Abs. 1 lit. a DSGVO |
| GPS-Standort | Echtzeit-Discovery (~100 m Genauigkeit) | Art. 6 Abs. 1 lit. a DSGVO |
| Check-in | Verfügbarkeitsanzeige für Nutzer im Umkreis | Art. 6 Abs. 1 lit. a DSGVO |
| Chat-Nachrichten | Direkte Kommunikation | Art. 6 Abs. 1 lit. b DSGVO |
| Push-Benachrichtigungen | Hinweise auf Aktivitäten | Art. 6 Abs. 1 lit. a DSGVO |
| Analytics | Produktverbesserung (anonymisiert) | Art. 6 Abs. 1 lit. f DSGVO |
| Nutzer-Meldungen (meldende Person, gemeldeter Nutzer, Grund, Nachricht) | Sicherheit der Community, Missbrauchsprävention, Durchsetzung der AGB | Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse |
Alle datenintensiven Funktionen erfordern eine explizite In-App-Einwilligung. Widerruf jederzeit über:
Beim Download der App über den Apple App Store bzw. Google Play Store werden personenbezogene Daten (z. B. Apple-ID/Google-Konto, Gerätekennung, IP-Adresse, Zeitpunkt des Downloads) durch Apple Inc. bzw. Google LLC als eigenständig Verantwortliche verarbeitet. Auf diese Verarbeitung haben wir keinen Einfluss.
Für die optional nutzbare Anmeldung per Google-Konto (Google Sign-In / OAuth 2.0) ist Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA, als eigenständig Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO tätig.
Datenfluss: Beim Klick auf „Mit Google anmelden" wird dein Browser/Gerät zur Google-Authentifizierungsseite weitergeleitet. Google protokolliert diese Anfrage sowie deinen Anmeldevorgang gemäß seiner eigenen Datenschutzrichtlinie. Anschließend übermittelt Google uns einen verschlüsselten Autorisierungscode (PKCE-Verfahren), den wir gegen ein Zugriffstoken austauschen. Dabei erhalten wir ausschließlich die in Abschnitt 2.6 genannten Daten.
Drittlandtransfer: Die Übermittlung von Daten an Google-Server in den USA erfolgt auf Basis von Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO. Google LLC ist darüber hinaus dem EU-U.S. Data Privacy Framework (Beschluss der EU-Kommission vom 10. Juli 2023) beigetreten.
Optionalität: Die Nutzung von Google OAuth ist vollständig freiwillig. Eine Registrierung und Anmeldung ausschließlich per E-Mail-Adresse und Passwort ist jederzeit möglich und führt zu keinen funktionalen Nachteilen.
Für die optional nutzbare Anmeldung per Apple-Konto („Mit Apple anmelden") ist Apple Inc., One Apple Park Way, Cupertino, CA 95014, USA, als eigenständig Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO tätig.
Datenfluss: Beim Tippen auf „Mit Apple anmelden" authentifiziert Apple dich (auf Apple-Geräten über den System-Dialog) und stellt ein signiertes Identity-Token aus, das wir über Supabase verifizieren. Apple protokolliert diesen Anmeldevorgang gemäß seiner eigenen Datenschutzrichtlinie. Wir erhalten ausschließlich die in Abschnitt 2.7 genannten Daten. Wählst du „E-Mail-Adresse verbergen", betreibt Apple zusätzlich den anonymen E-Mail-Weiterleitungsdienst, über den unsere Nachrichten dich erreichen.
Drittlandtransfer: Die Übermittlung von Daten an Apple-Server in den USA erfolgt auf Basis von Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO. Apple Inc. ist darüber hinaus unter dem EU-U.S. Data Privacy Framework zertifiziert.
Optionalität: Die Nutzung von „Mit Apple anmelden" ist vollständig freiwillig. Eine Registrierung und Anmeldung ausschließlich per E-Mail-Adresse und Passwort ist jederzeit möglich und führt zu keinen funktionalen Nachteilen.
Zur Verwaltung der eingesetzten Cookies und ähnlichen Technologien (Tracking-Pixel, Web-Beacons etc.) und diesbezüglicher Einwilligungen setzen wir das Consent-Tool „Real Cookie Banner" ein. Details zur Funktionsweise von „Real Cookie Banner" findest du unter https://devowl.io/de/rcb/datenverarbeitung/.
Rechtsgrundlagen für die Verarbeitung der personenbezogenen Daten in diesem Zusammenhang sind Art. 6 Abs. 1 lit. c DSGVO und Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die Verwaltung der eingesetzten Cookies und ähnlichen Technologien und der diesbezüglichen Einwilligungen.
Die Bereitstellung der personenbezogenen Daten ist weder vertraglich vorgeschrieben noch für den Abschluss eines Vertrages notwendig. Du bist nicht verpflichtet, die personenbezogenen Daten bereitzustellen. Wenn du die personenbezogenen Daten nicht bereitstellst, können wir deine Einwilligungen nicht verwalten.
Wir betreiben ein selbst gehostetes, serverseitiges Analysesystem auf Basis von Supabase (EU Irland). Dabei werden ausschließlich anonymisierte App-Nutzungsereignisse erfasst (z. B. welche Funktionen aufgerufen werden). Es werden keine Geräte-IDs, IP-Adressen, Standortdaten oder sonstige personenbezogene Daten für Analytics-Zwecke verarbeitet. Ein Rückschluss auf einzelne Personen ist technisch ausgeschlossen. Daten werden nicht an Dritte weitergegeben und nicht für Werbezwecke genutzt.
Berliner Beauftragte für Datenschutz und Informationsfreiheit
Friedrichstr. 219, 10969 Berlin · mailbox@datenschutz-berlin.de
datenschutz-berlin.de
Wesentliche Änderungen werden registrierten Nutzern mitgeteilt.
Privacy Policy in English
Last updated: 30 May 2026
Controller: Sebastian Hesse, Winsstr. 61, 10405 Berlin, Germany — privacy@enmaru.app
This Privacy Policy applies to the use of the enmaru (iOS and Android) and all related services. The app is intended exclusively for persons aged 18 and over. We do not knowingly collect personal data from persons under the age of 18.
The app requires the following device permissions:
| Permission | Purpose | Activation |
|---|---|---|
| Location (GPS) | Calculate distance to other users | Only after explicit in-app consent |
| Photo Library / Camera | Upload profile photo | Only when requested via photo picker |
| Push Notifications | Alerts for new messages | Only after explicit in-app consent |
All permissions can be revoked at any time via your device's system settings.
If you register or sign in using the "Continue with Google" button, Google LLC transmits the following data to us after your explicit authorisation:
| Data | Source | Storage Location |
|---|---|---|
| Email address of your Google account | Supabase Auth (EU, Germany — Frankfurt) | |
| Google Account ID (pseudonymous identifier) | Supabase Auth (EU, Germany — Frankfurt) | |
| Display name of your Google account | Supabase Auth (EU, Germany — Frankfurt) |
What we do not import: Your Google profile photo is not automatically transferred. You upload your profile photo separately and deliberately within the app.
Token processing: The OAuth token issued by Google is processed exclusively for secure authentication via Supabase (PKCE flow, RFC 7636) and is not used for any other purpose. It is stored server-side and is not accessible to us in plaintext.
Consent: Use of Google OAuth requires that you have actively clicked the "Continue with Google" button and explicitly accepted our Terms of Service and this Privacy Policy by ticking the corresponding checkboxes. No implied or pre-ticked consent takes place.
If you register or sign in using the "Sign in with Apple" button, Apple Inc. transmits the following data to us after your explicit authorisation:
| Data | Source | Storage Location |
|---|---|---|
| Apple user identifier (stable, pseudonymous) | Apple | Supabase Auth (EU, Germany — Frankfurt) |
| Email address — your real address, or Apple's private relay address if you choose "Hide My Email" | Apple | Supabase Auth (EU, Germany — Frankfurt) |
| Display name — transmitted by Apple only on your first sign-in, and only if you choose to share it | Apple | Supabase Auth (EU, Germany — Frankfurt) |
Hide My Email: If you use Apple's "Hide My Email" feature, we only receive a random relay address (…@privaterelay.appleid.com). Emails we send there are forwarded to you by Apple; we never learn your real email address.
What we do not import: Your Apple profile photo is not transferred. You upload your profile photo separately and deliberately within the app. On any sign-in after the first, Apple transmits only the user identifier — not your name.
Token processing: The identity token (JWT) issued by Apple is processed exclusively for secure authentication via Supabase and is not used for any other purpose. It is stored server-side and is not accessible to us in plaintext.
Consent: Use of Sign in with Apple requires that you have actively clicked the "Sign in with Apple" button and explicitly accepted our Terms of Service and this Privacy Policy by ticking the corresponding checkboxes. No implied or pre-ticked consent takes place.
To keep the community safe, you can report another user's profile, profile picture, or chat message (Report function). When you submit a report, we process:
| Data | Purpose |
|---|---|
| Your user ID (reporter) | Handling the report and preventing abuse of the report function |
| The reported user's ID and a reference to the reported content | Reviewing and acting on the report |
| Report category (harassment, spam, inappropriate content, impersonation, other) and your optional free-text description | Assessing the report |
| Status and moderation timestamps | Documenting the review decision |
Reports are reviewed by a human being (see Section 10). We do not disclose the reporter's identity to the reported user.
| Data | Purpose | Legal Basis |
|---|---|---|
| Email, name | Account management | Art. 6(1)(b) GDPR — contract |
| Profile photo, profile data | Display in network | Art. 6(1)(b) GDPR |
| Google Account ID, email (OAuth) | Authentication via Google account | Art. 6(1)(a) GDPR — consent |
| Apple user identifier, email (Sign in with Apple) | Authentication via Apple account | Art. 6(1)(a) GDPR — consent |
| GPS location | Real-time discovery (~100 m accuracy) | Art. 6(1)(a) GDPR — consent |
| Check-in | Availability signal to nearby users | Art. 6(1)(a) GDPR — consent |
| Chat messages | Direct communication | Art. 6(1)(b) GDPR |
| Push notifications | Activity alerts | Art. 6(1)(a) GDPR — consent |
| Analytics | Product improvement (anonymised) | Art. 6(1)(f) GDPR |
| User reports (reporter, reported user, reason, message) | Community safety, abuse prevention, enforcement of the Terms | Art. 6(1)(f) GDPR — legitimate interest |
All data-intensive features require explicit in-app consent. You can withdraw at any time:
When downloading the app via the Apple App Store or Google Play Store, personal data (e.g. Apple ID/Google account, device identifier, IP address, download timestamp) is processed by Apple Inc. and Google LLC respectively as independent controllers. We have no influence over this processing.
For the optional sign-in via Google account (Google Sign-In / OAuth 2.0), Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA acts as an independent data controller within the meaning of Art. 4(7) GDPR.
Data flow: When you click "Continue with Google", your browser/device is redirected to Google's authentication page. Google logs this request and your sign-in event in accordance with its own Privacy Policy. Google then transmits an encrypted authorisation code (PKCE flow) to us, which we exchange for an access token. In doing so, we receive only the data specified in Section 2.6.
Third-country transfer: The transfer of data to Google servers in the United States is based on Standard Contractual Clauses pursuant to Art. 46(2)(c) GDPR. Google LLC is additionally a participant of the EU-U.S. Data Privacy Framework (European Commission adequacy decision of 10 July 2023).
Optionality: Use of Google OAuth is entirely voluntary. Registration and sign-in using only an email address and password is always available and results in no functional disadvantage.
For the optional sign-in via Apple account (Sign in with Apple), Apple Inc., One Apple Park Way, Cupertino, CA 95014, USA acts as an independent data controller within the meaning of Art. 4(7) GDPR.
Data flow: When you tap "Sign in with Apple", Apple authenticates you (on Apple devices via the system dialog) and issues a signed identity token, which we verify via Supabase. Apple logs this authentication event in accordance with its own Privacy Policy. We receive only the data specified in Section 2.7. If you choose "Hide My Email", Apple additionally operates the private email relay through which our messages reach you.
Third-country transfer: The transfer of data to Apple servers in the United States is based on Standard Contractual Clauses pursuant to Art. 46(2)(c) GDPR. Apple Inc. is additionally certified under the EU-U.S. Data Privacy Framework.
Optionality: Use of Sign in with Apple is entirely voluntary. Registration and sign-in using only an email address and password is always available and results in no functional disadvantage.
To manage the cookies and similar technologies used (tracking pixels, web beacons, etc.) and related consents, we use the consent tool "Real Cookie Banner". Details on how "Real Cookie Banner" works can be found at https://devowl.io/rcb/data-processing/.
The legal basis for the processing of personal data in this context are Art. 6(1)(c) GDPR and Art. 6(1)(f) GDPR. Our legitimate interest is the management of the cookies and similar technologies used and the related consents.
The provision of personal data is neither contractually required nor necessary for the conclusion of a contract. You are not obliged to provide the personal data. If you do not provide the personal data, we will not be able to manage your consents.
Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI)
Friedrichstr. 219, 10969 Berlin, Germany · mailbox@datenschutz-berlin.de
datenschutz-berlin.de
Pursuant to Art. 13(2)(f) GDPR, we hereby inform you:
No automated decision-making, including profiling within the meaning of Art. 22(1) and (4) GDPR, takes place. All decisions that have legal effect on users or similarly significantly affect them are made exclusively by human beings.
Note: The app calculates distances between users based on GPS coordinates. This constitutes a purely technical calculation without any evaluation, classification, or legal effect on the data subject.
Material changes will be communicated to registered users.
