Datenschutzerklärung

Stand: 11. Oktober 2026
Gilt für die App Bubbles und die Website joinbubbles.app.

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der DSGVO ist:

Vollständige Anbieterkennzeichnung: mucode.de/impressum. Ein Datenschutzbeauftragter ist gesetzlich nicht zu benennen.

2. Grundsätze

Bubbles ist eine App für spontanes, real-life-Zusammenkommen. Es werden nur Daten erhoben, die für den Betrieb notwendig sind. Es findet keine Weitergabe an Werbetreibende statt, es gibt keine Werbe-IDs, keine Profilbildung zu Werbezwecken und keine Analyse-SDKs von Dritten.

3. Diese Website (joinbubbles.app)

3.1 Hosting und Server-Logfiles

Die Website wird bei Cloudflare gehostet (Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA; in der EU vertreten durch die Cloudflare Germany GmbH, Rosental 7, 80331 München). Cloudflare verarbeitet die Daten als Auftragsverarbeiter auf Grundlage eines Vertrags nach Art. 28 DSGVO.

Beim Aufruf einer Seite werden technisch notwendige Zugriffsdaten verarbeitet:

• IP-Adresse des anfragenden Geräts
• Datum und Uhrzeit des Zugriffs
• angeforderte Adresse und übertragene Datenmenge
• Statusmeldung des Servers
• Browsertyp und Betriebssystem (User-Agent), sofern übermittelt
• zuvor besuchte Seite (Referrer), sofern übermittelt

Diese Verarbeitung ist zur Auslieferung der Seite, zur Gewährleistung der Betriebssicherheit und zur Abwehr von Angriffen erforderlich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem stabilen, sicheren Betrieb). Die Zugriffsdaten werden nur kurzzeitig – in der Regel wenige Tage – vorgehalten und dann automatisch gelöscht; eine Auswertung zu Analyse- oder Marketingzwecken findet nicht statt.

Cloudflare betreibt ein weltweites Servernetz, sodass eine Verarbeitung auch außerhalb der EU stattfinden kann. Cloudflare, Inc. ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend bestehen Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.

3.2 Keine Cookies, kein Tracking, keine externen Inhalte

Diese Website setzt keine Cookies, nutzt keinen Local Storage und bindet keine Analyse-, Werbe- oder Social-Media-Dienste ein. Es läuft kein JavaScript im Browser; die Vibe-Link-Seiten (3.4) werden serverseitig erzeugt. Alle Ressourcen – auch die verwendete Schriftart Nunito – liegen auf dem eigenen Server und werden nicht von Dritten nachgeladen; es entsteht also insbesondere keine Verbindung zu Google Fonts. Eine Einwilligung nach § 25 TDDDG ist damit nicht erforderlich, und es gibt kein Cookie-Banner.

3.3 Kontaktaufnahme per E-Mail

Wenn du an support@mucode.de schreibst, werden deine Absenderadresse und der Inhalt deiner Nachricht verarbeitet, um die Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (bei Anfragen zum Nutzungsverhältnis) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung sonstiger Anfragen). Die Adresse wird über Cloudflare Email Routing (Auftragsverarbeiter, s. 3.1) an ein privates Postfach weitergeleitet; die Nachrichten werden dort nicht dauerhaft gespeichert, sondern gelöscht, sobald die Anfrage abschließend bearbeitet ist und keine Aufbewahrungspflichten entgegenstehen.

3.4 Vibe-Links und Gast-Zusagen (joinbubbles.app/v/…)

Nutzer der App können einen Vibe als Link teilen (https://joinbubbles.app/v/…). Wer den Link öffnet, sieht eine Seite mit dem Vornamen der einladenden Person, dem Text des Vibes, Zeitfenster, dem Namen des Treffpunkts (falls angegeben) sowie der Zahl der Zusagen – keine Profile, keine Fotos, keine Nachnamen, keine Koordinaten. Die einladende Person entscheidet selbst, ob und an wen sie den Link weitergibt; wer ihn hat, kann die Seite sehen, solange der Vibe läuft. Wird der Vibe zurückgezogen, ist der Link sofort ungültig; danach zeigt die Seite bis zu sieben Tage lang nur noch „vorbei“.

Die Seite wird über Cloudflare Pages (s. 3.1, Server-Logfiles) ausgeliefert und serverseitig aus unserer Datenbank bei Supabase (EU) erzeugt. Es läuft kein JavaScript im Browser, es werden keine Cookies gesetzt. Zum Schutz vor Missbrauch wird die IP-Adresse des Aufrufs nur als täglich wechselnde, mit einem Geheimnis gesalzene Prüfsumme (SHA-256) für höchstens 24 Stunden zur Begrenzung der Aufrufe verwendet; sie wird nicht im Klartext gespeichert und nicht mit Zusagen verknüpft. Außerdem wird gezählt, wie oft ein Link geöffnet wurde (auch Link-Vorschauen von Messengern zählen mit); diese Zahl sieht nur die einladende Person.

Gast-Zusage ohne Konto: Du kannst auf der Seite mit einem frei gewählten Namen (1–40 Zeichen, ein Pseudonym genügt) zusagen. Gespeichert werden nur dieser Name, der Vibe und der Zeitpunkt – keine E-Mail-Adresse, keine Telefonnummer, keine IP-Adresse. Die einladende Person sieht den Namen in ihrer Gästeliste und erhält eine Mitteilung darüber. Über die Bestätigungsseite (Link mit einem zufälligen Schlüssel, der nur für diese eine Zusage gilt) kannst du die Zusage wieder zurücknehmen. Die einladende Person kann Gäste jederzeit aus der Liste entfernen. Gast-Zusagen werden gelöscht, sobald der Vibe gelöscht wird, spätestens aber 30 Tage nach seinem Ende. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung der von dir gewünschten Zusage) sowie Art. 6 Abs. 1 lit. f DSGVO für die Missbrauchsabwehr.

Öffnest du einen Vibe-Link in der App und registrierst dich innerhalb von sieben Tagen danach, merkt sich Bubbles, über wessen Link du gekommen bist, und benachrichtigt diese Person darüber. Daraus folgt keine automatische Freundschaft und kein automatischer Beitritt. Bei Missbrauch eines Links: support@mucode.de.

4. Mindestalter

Die Nutzung von Bubbles setzt ein Mindestalter von 16 Jahren voraus. Personen unter 16 Jahren dürfen die App nur mit Einwilligung eines Erziehungsberechtigten nutzen. Es werden wissentlich keine Daten von Kindern unter 13 Jahren erhoben.

5. Welche Daten die App erhebt

5.1 Accountdaten

• E-Mail-Adresse und Passwort (verschlüsselt gespeichert)
• Benutzername und Anzeigename
• Geburtsdatum (Altersprüfung; die Sichtbarkeit des Alters im Profil steuerst du selbst)

5.2 Profildaten

• Profilfoto (optional, gespeichert auf Supabase Storage, EU)
• Wohnort / Postleitzahl (optional, für Umkreissuche)
• Interessen und Tags
• Stimmung / Status (Mood, optional)

5.3 Soziale Daten

• Freundschaftsverbindungen
• Community- und Gruppen-Mitgliedschaften
• Veranstalter-Profile
• Blockierungen und Meldungen (s. 5.8)

5.4 Inhalte

• Vibes: Aktivitätssignale mit Kategorie, Zeitfenster und optionalem Freitext – laufen automatisch ab (<24 h)
• Events: Veranstaltungen mit Teilnehmerlisten
• Chat-Nachrichten und Reaktionen
• Vibe-Links (optional): ein zufälliger Link-Code je geteiltem Vibe, die Zähler „geöffnet“ und „Gäste“ sowie deine Gästeliste (s. 3.4); gelöscht mit dem Vibe, spätestens 30 Tage nach seinem Ende

5.5 Kommunikation und Technik

• Telefonnummer (optional; nur wenn du die Auffindbarkeit per Telefonnummer einschaltest – gespeichert werden die Nummer und eine Prüfsumme davon, s. 5.7)
• Push-Benachrichtigungs-Token (für Benachrichtigungen, widerrufbar)
• Lesestatus von Nachrichten und Benachrichtigungen

5.6 Standortdaten

• Postleitzahl / Ort, von dir gewählt (kein Live-Tracking). Die Zuordnung von Postleitzahl zu Ort und Koordinaten erfolgt in unserer eigenen Datenbank aus dem offenen Datensatz GeoNames (Lizenz CC BY 4.0); deine Eingaben in der Ortssuche werden an keinen Dritten übermittelt.
• Optionaler Standort bei Umkreissuche: Die App fragt die Postleitzahl-Tabelle auf unserem Server mit einem Suchbereich um deine Position ab; aus diesem Bereich lässt sich deine Position ableiten. Sie wird nicht in der App-Datenbank gespeichert, kann aber kurzzeitig in den technischen Protokollen unseres Hosting-Anbieters (Supabase) stehen.

5.7 Kontakte-Abgleich (optional)

Du kannst prüfen lassen, wer aus deinem Adressbuch schon bei Bubbles ist. Das passiert nur, wenn du es in der App startest und iOS den Zugriff auf deine Kontakte erlaubst (widerrufbar in den iOS-Einstellungen). Dabei verlässt keine Telefonnummer im Klartext dein Gerät: Die App bildet aus jeder Nummer eine Prüfsumme (SHA-256) und überträgt nur diese; Namen werden nicht übertragen. Der Server vergleicht die Prüfsummen mit den Prüfsummen der Nummern von Nutzern, die die Auffindbarkeit per Telefonnummer eingeschaltet haben, und verwirft die übertragenen Prüfsummen nach dem Abgleich. Wer in deinen Kontakten steht, erfährt davon nichts.

Ehrlich gesagt: Eine Prüfsumme ohne geheimen Schlüssel ist keine Verschlüsselung. Wer unsere Datenbank in die Hand bekäme, könnte Telefonnummern durch Ausprobieren zurückrechnen. Der Gewinn des Verfahrens liegt darin, dass die Nummern deiner Kontakte weder über die Leitung gehen noch in Server-Protokollen auftauchen und bei uns nicht gespeichert werden. App-Versionen, die das Update vom Oktober 2026 noch nicht geladen haben, übertragen die Nummern vorübergehend noch wie zuvor; auch dort werden sie nach dem Abgleich verworfen. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

5.8 Melden, Blockieren und Nutzungsregeln

Du kannst Personen, Vibes, Events und Communities in der App melden. Gespeichert werden dein Konto als meldende Person, das gemeldete Konto bzw. der gemeldete Inhalt, der gewählte Grund und ein optionaler Freitext. Meldungen liest nur der Betreiber; die gemeldete Person erfährt nicht, wer gemeldet hat. Meldungen werden nach 180 Tagen automatisch gelöscht. Gemeldete Inhalte werden für dich ausgeblendet; diese Liste liegt nur auf deinem Gerät. Blockierst du eine Person, wird die Blockierung gespeichert, solange sie besteht; die blockierte Person wird nicht benachrichtigt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz anderer Nutzer, Betriebssicherheit) und, soweit Meldungen Teil der vereinbarten Nutzung sind, Art. 6 Abs. 1 lit. b DSGVO.

Bei der Registrierung stimmst du den Nutzungsregeln zu; der Zeitpunkt deiner Zustimmung wird in deinem Profil gespeichert, damit wir dir eine geänderte Fassung einmal zur erneuten Zustimmung zeigen können. Die Nutzungsregeln findest du in der App unter Einstellungen → Über. Beschwerden zu Inhalten: support@mucode.de.

5.9 Fehler- und Diagnosedaten

Damit wir Fehler finden und die App schneller machen können, sendet die App technische Daten an unsere Datenbank bei Supabase (EU): Fehlermeldungen (welche App-Funktion betroffen war und welche Art von Fehler auftrat) sowie Ladezeiten und die Zahl der Serveranfragen beim Start und beim Wechsel zwischen den Reitern. Diagnosedaten werden höchstens zweimal pro App-Sitzung gesendet. Dazu speichern wir deine Account-Kennung, die App-Version und die iOS-Version. Inhalte wie Nachrichten oder Vibe-Texte sowie Kennungen von Events, Chats oder anderen Personen sind nicht enthalten. Rechtsgrundlage ist unser berechtigtes Interesse an einer stabilen und schnellen App (Art. 6 Abs. 1 lit. f DSGVO). Die Daten werden mit deinem Account gelöscht.

6. Zweck und Rechtsgrundlage

Die Daten aus Abschnitt 5 werden auf Basis von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) zur Bereitstellung der App-Funktionen verarbeitet. Push-Benachrichtigungen und der Kontakte-Abgleich (5.7) basieren auf deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit über die iOS-Einstellungen widerrufen kannst. Für Vibe-Link-Seiten, Gast-Zusagen, Meldungen sowie Fehler- und Diagnosedaten gelten die in 3.4, 5.8 und 5.9 genannten Grundlagen.

7. Speicherdauer

Deine Daten werden so lange gespeichert, wie dein Account besteht. Nach Account-Löschung werden alle personenbezogenen Daten innerhalb von 30 Tagen gelöscht. Vibes verfallen automatisch, Chat-Nachrichten werden mit dem zugehörigen Chat gelöscht. Prüfsummen aus dem Kontakte-Abgleich werden nicht gespeichert (5.7). Vibe-Links und Gast-Zusagen werden spätestens 30 Tage nach Ende des Vibes gelöscht, IP-Prüfsummen der Link-Seiten nach 24 Stunden (3.4). Meldungen werden nach 180 Tagen gelöscht (5.8).

8. Drittanbieter

Für den Betrieb werden folgende Dienstleister eingesetzt:

• Supabase Inc. – Datenbank, Authentifizierung, Dateispeicherung (Server in der EU, Frankfurt)
• Cloudflare, Inc. – Hosting dieser Website, Auslieferung der Vibe-Link-Seiten und E-Mail-Weiterleitung (s. Abschnitt 3)
• Apple Inc. – Push-Benachrichtigungen via APNs
• Expo (650 Industries Inc.) – App-Updates (OTA)
• Resend, Inc. – Versand von Konto-E-Mails (z. B. bei der Registrierung mit Apple)

Es findet keine Weitergabe an Werbetreibende statt. Karten- oder Geocoding-Dienste Dritter werden für die Ortssuche nicht genutzt (s. 5.6); GeoNames ist Datenquelle, kein Empfänger von Daten.

9. Deine Rechte

Du hast das Recht auf:

• Auskunft über deine gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO) – in der App unter Einstellungen → Konto
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

10. Änderungen dieser Datenschutzerklärung

Diese Datenschutzerklärung wird angepasst, wenn sich die Verarbeitung ändert. Über wesentliche Änderungen wirst du per In-App-Benachrichtigung oder E-Mail informiert. Das Datum des letzten Stands steht oben.

11. Kontakt

Bei Fragen zum Datenschutz: support@mucode.de