Datenschutzerklärung

Pinily entscheidet, warum und wie deine Personendaten bearbeitet werden, und ist damit Verantwortlicher nach Art. 5 lit. j DSG. Die vollständige Firmenbezeichnung und die Adresse stehen im Impressum.

Noch zu ergänzen Firmenname, Rechtsform und Schweizer Sitzadresse — siehe Impressum.

Für alles rund um deine Daten: privacy@pinily.com. Pinily muss nach Art. 10 DSG keinen Datenschutzberater ernennen und hat auch keinen ernannt. Hinter dieser Adresse steckt ein Mensch, keine Warteschlange.

Diese Erklärung gilt für die Pinily-App auf iOS und Android und für pinily.com. Pinily ist für Menschen in der Schweiz gebaut. Das Angebot richtet sich nicht an Personen in der EU oder im EWR — deshalb ist diese Erklärung um Schweizer Recht herum geschrieben und wiederholt keine Rechte, die nur die EU-DSGVO gibt.

Fast alles hier kommt direkt von dir. Wo nicht, steht die Quelle dabei.

Dein Konto

• E-Mail-Adresse. Pflicht — damit meldest du dich an.
• Benutzername. Pflicht, und öffentlich.
• Anzeigename, Bio, Profilbild. Freiwillig.
• Geburtsdatum und Geschlecht. Freiwillig. Das Geburtsdatum dient der Mindestalterprüfung und lässt Gastgeber ein Alterslimit für einen Anlass setzen.
• Land, Kanton und Stadt. Freiwillig. Sie bestimmen, welche Anlässe dir der Feed zeigt.
• Interessen, aus einer festen Liste von dreizehn. Es gibt kein Freitextfeld — also nichts, was versehentlich mehr über dich sagt, als du wolltest.
• Sprache und Zeitzone, von deinem Telefon gelesen, damit Mitteilungen in einer Sprache ankommen, die du liest.
• Wenn du die Zwei-Faktor-Anmeldung einschaltest: ein Geheimnis, das du mit deiner Authenticator-App teilst, gehashte Wiederherstellungscodes und — nur wenn du eine angibst — eine Rückfallnummer. Pinily verschickt keine SMS; die Nummer ist ein Notfallkontakt und sonst nichts. Du darfst sie leer lassen.

Wie du dich anmeldest

Du meldest dich mit einem sechsstelligen Code per E-Mail an oder mit Apple, Google oder Facebook. Pinily hat überhaupt keine Passwörter, also gibt es auch keine Passwortdatenbank, die je verloren gehen könnte. Bei einer Social-Anmeldung erfährt Pinily deine Konto-Kennung, deine E-Mail-Adresse und — falls vorhanden — Name und Bild. Dein Passwort für diese Konten bekommt Pinily nie.

Was du machst

• Anlässe, die du erstellst: Name, Beschreibung, Datum und Zeit, Ort und dessen Koordinaten, Kategorie, Foto, Preis, Kapazität, Mitbringliste, Dresscode und ein allfälliges Alterslimit.
• Anlässe, denen du beitrittst, für die du anfragst, zu denen du eingeladen wirst, für deren Datum du abstimmst oder für die du etwas übernimmst.
• Wem du folgst, wer dir folgt, wer deine Freunde sind, wen du blockiert hast und in welchen Gruppen du bist.
• Deine Verfügbarkeit, wenn du Tage als frei markierst.
• Storys, Album-Fotos, Bewertungen, die du schreibst und erhältst, Umfrage-Stimmen und deine Streak-Tage.
• Dein Level und die Aktivität, die dazu geführt hat.

Deine Nachrichten

Direktnachrichten, Gruppenchats und Anlass-Chats sind Ende-zu-Ende-verschlüsselt. Auf den Servern liegt nur Chiffrat — nicht die Wörter, nicht die Fotos, nicht die Sprachnachrichten. Die Schlüssel bleiben auf deinen Geräten. Das ist kein Versprechen darüber, wie gut die Server bewacht sind, sondern eine Aussage darüber, was überhaupt draufliegt.

Was die Server für diese Chats sehr wohl halten, ist die Aussenseite des Umschlags: wer wann in welchem Gespräch etwas geschickt hat, ob es bearbeitet oder gelöscht wurde und welcher Typ es war. Ohne das funktioniert kein Posteingang, und wegverschlüsseln lässt es sich nicht.

Zwei bewusste Ausnahmen. Album-Fotos eines Anlasses sind mit einem Schlüssel verschlüsselt, den alle Teilnehmenden haben — sonst könnte niemand das Album öffnen, der dabei war. Und wenn du eine Nachricht meldest, gibst du genau diese eine Nachricht im Klartext frei, zusammen mit einem kryptografischen Beweis, dass sie wirklich so gesendet wurde. Ohne das stünde bei einer Meldung nur Aussage gegen Aussage.

Geld

• Pinily+: deine Stripe-Kunden- und Abo-Kennung, Plan, Status und wann die laufende Periode endet.
• Boost-Guthaben: was du gekauft hast, was es gekostet hat und die Stripe-Zahlungsreferenz.
• Tickets: das Ticket, der Betrag, die Plattformgebühr, Zahlungs- und Anwesenheitsstatus und die Stripe-Referenzen. Dazu Rückerstattungen, Streitfälle und Auszahlungen.
• Wenn du bezahlte Anlässe veranstaltest: deine Stripe-Connect-Kennung und ob Stripe dich für Zahlungen und Auszahlungen freigegeben hat.

Kartennummern erreichen Pinily nie. Die Komponente von Stripe erfasst sie auf deinem Gerät und schickt sie direkt zu Stripe. Pinily speichert Referenzen, keine Zahlungsdaten.

Dein Gerät

• Ein Push-Token, damit Mitteilungen ankommen, dazu die Plattform (iOS oder Android) und wann das Gerät zuletzt aktiv war.
• Öffentliche Verschlüsselungsschlüssel pro Gerät, auf dem du dich anmeldest. Die privaten Hälften verlassen das Telefon nie, das sie erzeugt hat.
• Eine Gerätekennung, die Pinily selbst erzeugt und im sicheren Speicher ablegt. Das ist nicht die Werbe-ID deines Telefons — Pinily liest und nutzt Werbe-IDs überhaupt nicht.
• App-Version sowie Absturz- und Fehlerberichte, wenn etwas schiefgeht.

Standort

Wenn du es erlaubst, liest die App deine Position, um dir zu zeigen, was in der Nähe ist, und um Anlässe nach Distanz zu sortieren. Diese Position bleibt auf deinem Telefon. Sie wird nirgendwohin geschickt und nicht gespeichert.

Das einzige Mal, dass der Standort festgehalten wird, ist beim QR-Check-in an einem bezahlten Anlass. Dann werden Koordinaten, Genauigkeit und die Distanz zum Veranstaltungsort mit dem Check-in gespeichert — damit ein Gastgeber belegen kann, wer tatsächlich da war, und Pinily weitergereichte Tickets erkennt. Ein Check-in von Hand geht immer auch.

Wie du die App nutzt

Wenn du den Analyse-Schalter anlässt, hält Pinily fest, welche Bildschirme du öffnest, und eine kleine Zahl benannter Aktionen — Paywall gezeigt, Plan gewählt, Anlass erstellt oder beigetreten, Boost gekauft, Hilfeartikel geöffnet, Suche ohne Treffer. Diese Ereignisse tragen deine Pinily-Benutzer-ID und sonst nichts über dich: kein Benutzername, kein Anzeigename, keine E-Mail. Schaltest du unter Einstellungen → Privatsphäre → Daten & Privatsphäre ab, hört es auf — und was noch in der Warteschlange auf deinem Telefon liegt, wird verworfen statt zum Abschied noch verschickt.

Sicherheitsereignisse

Anmeldung, Zwei-Faktor an oder aus, Änderung von E-Mail oder Benutzername, überall abmelden und Kontolöschung werden in ein Protokoll geschrieben, das du in der App unter Konto & Sicherheit → Sicherheitsaktivität selbst lesen kannst. IP-Adressen stehen nicht drin.

Schweizer Recht verlangt von einem privaten Unternehmen nicht, für jeden Zweck eine «Rechtsgrundlage» zu benennen, wie es das EU-Recht tut. Nach Art. 31 DSG ist es gerechtfertigt, Personendaten einer Vertragspartei in unmittelbarem Zusammenhang mit diesem Vertrag zu bearbeiten. Fast alles unten ist genau das: du wolltest eine Anlass-App, und das hier ist eine Anlass-App bei der Arbeit. Wo etwas stattdessen auf deiner Einwilligung beruht, steht es dabei.

Pinily baut aus deinen Daten kein Werbeprofil, verkauft keine Personendaten und gibt sie an keine Datenhändler. In der App gibt es kein Werbenetzwerk.

Das ist im Alltag der wichtigste Teil, und du steuerst ihn unter Einstellungen → Privatsphäre.

• Benutzername, Anzeigename, Bild und Level sehen alle, die dein Profil sehen dürfen.
• Dein Profil ist standardmässig öffentlich. Du kannst es privat stellen, Folgeanfragen bestätigen lassen und Follower, Anlässe, vergangene Anlässe, Interessen und Bewertungen einzeln ausblenden.
• Ein öffentlicher Anlass ist für alle sichtbar, auch über einen teilbaren Link, der ohne Konto funktioniert. Ein privater Anlass ist nur für Eingeladene und Link-Inhaber sichtbar.
• Schaltest du «auffindbar» aus, erscheinst du nicht mehr in der Suche. Schaltest du «Standort zeigen» aus, wird deine Stadt nicht mehr angezeigt.
• Mit dem Inkognito-Modus schaust du dir Profile an, ohne Spuren zu hinterlassen. Der ist gratis — keine Spur zu hinterlassen sollte nichts kosten.
• Blockieren kappt die Verbindung in beide Richtungen.

Zwei Dinge sind öffentlicher, als sie aussehen. Profilbilder, Anlassfotos und Storys liegen in öffentlichem Speicher: Wer den genauen Link hat, kann die Datei öffnen, auch wenn er den Bildschirm dahinter nicht öffnen könnte. Poste in einer Story nichts, was dich stören würde, wenn es eine fremde Person sieht.

Die vollständige Liste. Nichts fehlt, und es gibt keine «und ähnliche Partner»-Klausel, hinter der sich etwas versteckt.

Noch zu ergänzen Klipys Rechtsträger und Bearbeitungsland werden noch bestätigt. Bis dahin gilt: Die GIF-Suche verlässt die Schweiz.

Supabase, Infomaniak, RevenueCat, PostHog und Klipy handeln auf Anweisung von Pinily (Auftragsbearbeiter, Art. 9 DSG). Stripe, Apple, Google, Komoot und Open-Meteo entscheiden auch selbst — Stripe, weil das Finanzrecht es verlangt, die anderen, weil sie eigene Dienste betreiben.

Pinily ist schweizerisch und die Nutzerinnen und Nutzer sind in der Schweiz — die Server sind es nicht alle. Art. 19 Abs. 4 DSG sagt, dass du erfährst, wohin.

• Datenbank, Dateien und Anmeldesystem stehen in Stockholm, Schweden. Schweden steht in Anhang 1 der Datenschutzverordnung als Staat mit angemessenem Schutz — mehr braucht es dafür nicht.
• E-Mails laufen über einen Schweizer Anbieter und verlassen auf Pinilys Seite das Land nicht.
• Analysedaten werden in der Europäischen Union entgegengenommen.
• Push, Anmeldung mit Apple oder Google, App-Store-Abrechnung und Zahlungen betreffen Anbieter in den USA. Seit dem 15. September 2024 stehen die USA ebenfalls in Anhang 1 — aber nur für Unternehmen, die unter dem Swiss–U.S. Data Privacy Framework zertifiziert sind. Stripe und Google sind es. Für die übrigen stützen sich die Übermittlungen auf die vertraglichen Garantien nach Art. 16 Abs. 2 DSG.

Noch zu ergänzen Der Übermittlungsmechanismus für Apple, RevenueCat, PostHog und Supabase wird mit jedem Anbieter einzeln bestätigt.

Art. 6 Abs. 4 DSG verlangt, Daten zu vernichten oder zu anonymisieren, sobald sie nicht mehr gebraucht werden. Diese Tabelle beschreibt, was das System heute tut — nicht, was es vorhat.

Geschäftsunterlagen über Geldflüsse müssen nach Art. 958f OR zehn Jahre aufbewahrt werden. Diese überleben die Kontolöschung, werden aber als Buchhaltungsunterlagen geführt und sind nicht mehr mit einem Profil verknüpft.

Noch zu ergänzen Aufbewahrungsfristen für Moderationsunterlagen und Check-in-GPS müssen noch festgelegt werden.

Nach dem DSG kannst du alles Folgende tun, kostenlos, und Pinily hat 30 Tage Zeit zu antworten (Art. 25 Abs. 7).

Der Export wird auf dem Server zusammengestellt und erreicht dort Zeilen, welche die App selbst nicht lesen kann; danach legt die App den Klartext der Nachrichten dazu, die auf dem Telefon liegen, das du gerade benutzt. Dieser letzte Teil ist auf das begrenzt, was genau dieses Telefon gesehen hat — das ist die ehrliche Antwort und dieselbe Grenze, mit der du selbst lebst. Die Alternative wären Server, die deine Nachrichten lesen können.

Pinily muss unter Umständen prüfen, wer du bist, bevor es antwortet (Art. 16 Abs. 5 DSV). Wenn Pinily verweigert oder verzögert, sagt es warum (Art. 26 Abs. 4 DSG).

Bist du nicht zufrieden, kannst du dich an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten wenden, Feldeggweg 1, 3003 Bern, www.edoeb.admin.ch. Der Zivilweg nach Art. 32 DSG steht dir ebenfalls offen.

Einstellungen → Konto & Sicherheit → Konto löschen. Zuerst wird der zweite Faktor verlangt — löschen soll niemand können, der nur kurz dein Telefon in der Hand hat.

Was weg ist

• Dein Profil und alles daran — Teilnahmen, Follows, Freundschaften, Verfügbarkeit, Einladungen, Abstimmungen, Level, Streaks, Mitteilungen, Sicherheitsprotokoll.
• Jede Datei, die du hochgeladen hast, in jedem Speicher: Profilbilder, Storys, Anlassbilder, Chat-Medien, Album-Fotos, Melde-Screenshots und dein verschlüsseltes Chat-Backup.
• Deine Geräteschlüssel — damit niemand, der sich danach auf diesem Gerät anmeldet, eine Identität erbt, an die deine Kontakte noch senden.
• Der Anmeldeeintrag selbst.

Was bleibt

• Zahlungs-, Ticket-, Rückerstattungs- und Auszahlungsunterlagen, die zehn Jahre, die das Schweizer Buchführungsrecht verlangt.
• Nachrichten, die du anderen geschickt hast. Die liegen auf deren Geräten und in deren Verlauf, und Pinily kann in ein fremdes Gespräch so wenig hineingreifen, wie es darin lesen könnte.
• Meldungen, die andere über dich gemacht haben — damit ein Muster nicht dadurch verschwindet, dass man ein Konto löscht.
• Alles bereits Anonymisierte, das keine Personendaten mehr sind.

Die Löschung ist blockiert, solange du einen künftigen Anlass veranstaltest, dem schon andere beigetreten sind. Sag die zuerst ab oder halte sie ab — das verhindert, dass ein Gastgeber den Gästen abhandenkommt. Willst du nur eine Pause, deaktiviere stattdessen: Dein Konto verschwindet aus der Sicht und ist beim nächsten Anmelden sofort wieder da.

Du musst mindestens 13 sein, um Pinily zu nutzen. Unter 16 brauchst du die Zustimmung eines Elternteils oder Vormunds, bevor du etwas kaufst — nach Art. 19 ZGB braucht eine minderjährige Person die Zustimmung ihrer gesetzlichen Vertretung, um Verpflichtungen einzugehen.

Pinily prüft das Alter nicht und sagt das lieber, als eine Kontrolle anzudeuten, die es nicht gibt. Wenn du glaubst, ein Kind unter 13 habe ein Konto, schreib an privacy@pinily.com — es wird entfernt.

Ein Gastgeber kann ein Mindestalter für seinen Anlass setzen. Das ist seine Regel für seinen Anlass, kontrolliert an der Tür von ihm, nicht von Pinily.

Art. 8 DSG verlangt Massnahmen, die zum Risiko passen. Was tatsächlich da ist:

• Chats — direkt, Gruppe und Anlass — sind Ende-zu-Ende-verschlüsselt. Der Server kann sie nicht lesen.
• Der Nachrichtenverlauf auf deinem Telefon liegt in einer verschlüsselten Datenbank, mit dem Schlüssel im Schlüsselbund bzw. Keystore der Plattform.
• Jede Tabelle in der Datenbank hat Row-Level Security eingeschaltet, sodass eine Abfrage nur Zeilen zurückgeben kann, auf die die angemeldete Person Anspruch hat. Mehrere Tabellen sind für Clients ganz geschlossen und nur über geprüfte Serverfunktionen erreichbar.
• Anmelde-Tokens liegen im Schlüsselbund bzw. Keystore der Plattform, nicht im gewöhnlichen App-Speicher.
• Es gibt keine Passwörter, also auch keine Passwortdatenbank. Zwei-Faktor mit einer Authenticator-App ist verfügbar, und heikle Aktionen fragen erneut danach.
• Alles läuft über HTTPS. App Check bestätigt, dass Anfragen aus einem echten Build kommen.
• Private Speicher für Chat-Medien, Alben, Backups, Support-Anhänge und Melde-Screenshots, jeder mit eigener Zugriffsregel.
• Secret-Scanning bei jedem Commit und bei jedem Push, damit kein Schlüssel unbemerkt ins Repository gelangt.

Kein System ist perfekt, und diese Erklärung behauptet das auch nicht. Führt eine Verletzung der Datensicherheit voraussichtlich zu einem hohen Risiko für dich, meldet Pinily sie so rasch als möglich dem EDÖB nach Art. 24 DSG und informiert dich, wo das zu deinem Schutz nötig ist.

Wenn du ein Sicherheitsproblem gefunden hast: bitte an privacy@pinily.com, bevor du es veröffentlichst.

In Pinily steckt keine künstliche Intelligenz. Kein Sprachmodell, kein maschinelles Lernen, nichts, was Text erzeugt oder über dich urteilt. Der Hilfe-Assistent in der App ist ein Entscheidungsbaum, den jemand von Hand geschrieben hat.

Einiges läuft automatisch: welche Anlässe der Feed dir zeigt, wann eine Erinnerung auslöst, und eine Reihe von Betrugsprüfungen, die nach Mustern suchen — etwa dasselbe Gerät, das als mehrere verschiedene Personen eincheckt. Keine davon entscheidet allein etwas über dich. Eine Betrugsprüfung erzeugt eine Markierung, die ein Mensch anschaut; der Mensch entscheidet. Damit ist Art. 21 DSG, der Entscheidungen allein durch die Maschine betrifft, nicht berührt.

Eines geschieht ohne Menschen: Bestreitet eine Karteninhaberin eine Ticketzahlung bei ihrer Bank, wird die Auszahlung für diesen Anlass bis zur Klärung zurückgehalten. Das sind Stripe und Pinily bei der Erfüllung des Zahlungsvertrags, und du siehst es in der App, wenn es passiert.

Drei verschiedene Dinge, verschieden behandelt.

• Dienst- und Sicherheitsnachrichten — dein Anmeldecode, ein Sicherheitshinweis, eine Ticketbestätigung, eine Rückerstattung. Die gehören zum Dienst und lassen sich nicht abschalten, solange du ein Konto hast.
• Aktivitätsmitteilungen — jemand hat dich eingeladen, im Chat ist etwas Neues, ein Anlass wurde abgesagt. Jede davon hat einen eigenen Schalter unter Einstellungen → Mitteilungen, dazu Ruhezeiten.
• Werbung — beworbene Anlässe, für die jemand bezahlt hat, und Werbemails. Nach Art. 3 Abs. 1 lit. o UWG braucht das vorher deine Einwilligung, also ist es aus, bis du es einschaltest. Jede Werbenachricht nennt Pinily als Absender und enthält eine kostenlose Möglichkeit zur Ablehnung.

Die Website setzt überhaupt keine Cookies. Sie speichert eine einzige Sache auf deinem Gerät — die Sprache, die du gewählt hast — und auch das nur, wenn du eine wählst. Die App speichert deine Einstellungen und deinen verschlüsselten Nachrichtenverlauf auf deinem Telefon. Alle Einzelheiten und wie du es löschst stehen auf der Seite Cookies & Speicher.

Ändert sich diese Erklärung wesentlich, erfährst du es in der App, bevor es gilt, und die Version, der du zugestimmt hast, wird bei deinem Konto festgehalten. Das Datum oben auf dieser Seite sagt immer, wann sie zuletzt geändert wurde.

privacy@pinily.com für alles rund um deine Daten. contact@pinily.com für alles andere. Die Postadresse steht im Impressum.