Datenschutzerklärung

Zuletzt aktualisiert: 30. Oktober 2026

Fenzly beruht auf einem einfachen Versprechen: Die Menschen, mit denen du deinen Standort teilst, sollen die Einzigen sein, die ihn sehen können. Diese Erklärung erläutert, welche wenigen Daten wir bearbeiten, was wir bewusst nicht sehen können und welche Rechte du hast.

1. Wer verantwortlich ist

Verantwortlich für die Datenbearbeitung bei Fenzly ist die Logil Sàrl («wir», «uns»), Chemin de l’Eglise 4, 1233 Bernex, Schweiz (UID CHE-435.741.642).

Für alle Fragen zum Datenschutz erreichst du uns unter [email protected].

2. Unser Grundprinzip: Ende-zu-Ende-Verschlüsselung und ein «blinder» Server

Fenzly verschlüsselt deine Standorte, Orte und Nachrichten auf deinem Gerät mit dem Double-Ratchet-Protokoll (Olm), für jede empfangende Person einzeln. Unsere Server leiten immer nur opake, verschlüsselte Daten weiter. Deshalb können wir Folgendes nicht lesen:

  • deine GPS-Koordinaten oder Bewegungen;
  • die Namen, Koordinaten oder den Radius deiner Orte;
  • den Inhalt deiner Nachrichten;
  • wer in deinen Kreisen ist, oder dein Adressbuch.

Das ist durch die Konzeption so vorgegeben, nicht bloss durch eine Richtlinie: Selbst wenn wir dazu gezwungen würden, könnten wir keine Daten herausgeben, die wir technisch nicht lesen können.

3. Daten, die wir bearbeiten

Kontodaten. Um ein Konto zu erstellen, gibst du entweder eine E-Mail-Adresse oder eine Telefonnummer an (eines davon genügt). Fenzly verwendet keine Passwörter: Jede Anmeldung wird mit einem Einmalcode bestätigt, der per E-Mail oder SMS gesendet wird; es gibt also kein Passwort, das wir speichern müssten, und keines, das verloren gehen könnte. Wir speichern ausserdem einen Anzeigenamen und deine Spracheinstellung (verwendet, um die E-Mails und SMS, die wir dir senden, in deiner Sprache zu verfassen). Telefonnummern werden im internationalen Format gespeichert und mit einem Einmalcode verifiziert. Für den optionalen Kontaktabgleich speichern wir SHA-256-Einweg-Hashes von E-Mail-Adressen und Telefonnummern, nie die Werte im Klartext.

Letzte Verbindung. Wir halten fest, wann dein Gerät zuletzt mit unseren Servern Kontakt hatte, als einen einzigen Zeitstempel, den jeder neue Kontakt ersetzt. Personen, die die technische Kennung deines Kontos bereits kennen, in der Praxis deine Kontakte und die Mitglieder deiner Kreise, können ihn lesen: Ihre App nutzt ihn, um sie zu warnen, wenn dein Telefon mehrere Stunden lang keine Verbindung hatte. Es ist ein Sicherheitssignal: Wenn du deinen Online-Status in Chats verbirgst, bleibt es trotzdem sichtbar.

Verbindungsdaten und technische Daten. Wie jeder Onlinedienst sehen unsere Server die IP-Adresse jeder Verbindung. Wir verwenden sie zusammen mit deiner Kontokennung, um Missbrauch zu begrenzen (zum Beispiel die Zahl der Codes, die pro Stunde angefordert werden können). Die Logs unserer Server erfassen technische Ereignisse (Zeit, Pfad der Anfrage, Status der Antwort, Fehler, Kontokennungen, IP-Adressen), damit der Dienst funktioniert und sicher bleibt; Anfragen werden ohne ihre Parameter protokolliert, und die Logs enthalten nie einen Standort, einen Ort, eine Adresssuche oder den Inhalt einer Nachricht. Die App teilt unseren Servern zudem ihre Plattform und Versionsnummer mit, damit wir dir melden können, wenn ein Update nötig ist; wir zählen nur, wie viele Personen jede Version nutzen, nie, welche Version du hast.

Gerätedaten. Ein Token für Push-Benachrichtigungen (Firebase Cloud Messaging) und grundlegende Geräteinformationen, ausschliesslich verwendet, um Benachrichtigungen zuzustellen. Benachrichtigungen erreichen dein Telefon über Google Firebase Cloud Messaging und auf dem iPhone über den Push-Benachrichtigungsdienst von Apple: Eine Nachrichtenbenachrichtigung enthält den Anzeigenamen der sendenden Person und einen allgemeinen Text, eine SOS-Benachrichtigung den Anzeigenamen der auslösenden Person; Standorte und Nachrichteninhalte gehen nie unverschlüsselt über eine Benachrichtigung. Wenn du Benachrichtigungen bei Ankunft/Abfahrt für einen geteilten Ort aktivierst, speichern wir zusätzlich eine grobe Benachrichtigungseinstellung (welcher Ort und ob du Ankünfte oder Abfahrten möchtest), damit wir dein Gerät aufwecken können, nie aber, welchem Mitglied du folgst; dieser Filter bleibt auf deinem Gerät.

Kryptografisches Material. Deine öffentlichen Verschlüsselungsschlüssel (Curve25519-Identitätsschlüssel, Ed25519-Signaturschlüssel, signierte Schlüssel und Einmalschlüssel), die nötig sind, damit andere eine verschlüsselte Sitzung mit dir aufbauen können. Diese Schlüssel sind von Natur aus öffentlich und verraten nichts über deine Aktivität.

Verschlüsselte Inhalte, die wir weiterleiten (aber nicht lesen können). Verschlüsselte Standort-Updates, Ortsdefinitionen, Ereignisse zum Betreten und Verlassen von Orten sowie Nachrichten passieren unsere Server vorübergehend (z. B. über kurzlebige Warteschlangen), damit sie zugestellt werden können, sobald eine empfangende Person online ist. Diese Inhalte werden verschlüsselt gespeichert und laufen automatisch ab (siehe Aufbewahrung). Profilbilder (von Personen, Kreisen und Orten), in einem Chat gesendete Fotos und die Details eines geteilten Wegs (Route, Geschwindigkeiten, Höhe) werden als opake, verschlüsselte Blobs gespeichert: Der Schlüssel zum Entschlüsseln wird Ende-zu-Ende-verschlüsselt zwischen deinen Geräten und deinen Kontakten übertragen, sodass wir sie nicht ansehen können. Wenn du jemanden mit einem Kreiscode einlädst, speichern wir den Code, wer ihn erstellt hat, sein Ablaufdatum und wie oft er verwendet wurde, nie aber, welchen Kreis er öffnet.

Backups. Wenn du Backups aktivierst, werden deine Daten auf deinem Gerät verschlüsselt, bevor sie es verlassen, und zwar auf eine von zwei Arten:

  • In deiner eigenen Cloud (Google Drive oder Apple iCloud): Wir verwenden ein Verfahren mit geteiltem Schlüssel. Wir besitzen nur einen zufälligen Schlüsselteil; deine Cloud besitzt das verschlüsselte Backup und den anderen Teil: Keiner der beiden Teile allein kann irgendetwas entschlüsseln. Wenn das Speichern in deiner Cloud wiederholt fehlschlägt, wird zusätzlich eine kleine verschlüsselte Kopie des wesentlichen Teils auf unserem Speicher abgelegt, die unser Schlüsselteil allein ebenfalls nicht öffnen kann.
  • Auf dem Speicher von Fenzly, in der Schweiz: Der Schlüssel wird aus einem Wiederherstellungscode abgeleitet, der auf deinem Gerät erzeugt und nur dir angezeigt wird. Wir speichern nur verschlüsselte Daten und erhalten den Code nie. Wenn du es erlaubst, legt die App den Code zusätzlich in deinem Apple-iCloud- oder Google-Konto ab, damit ein neues Telefon ihn finden kann.

Lizenzdaten. Wenn du ein Abo abschliesst, bewahren wir minimale Belege auf: das Abo, seinen Status und seine Gültigkeitsdauer sowie, wem du Lizenzen zugewiesen hast (technische Kennungen). Abos werden über den App Store oder Google Play gekauft, die die Zahlung abwickeln: Wir sehen nie deine Karten- oder Bankdaten. Um dein Abo zu aktivieren, prüfen wir den Kauf bei Apple oder Google und bewahren die Kennungen auf, die sie uns übermitteln (Transaktions- und Produktkennungen, Daten, Verlängerungsstatus), verknüpft mit deinem Konto, damit das Abo dir von einem Telefon zum nächsten folgt. Diese Belege werden nie mit Standorten oder Kreisen verknüpft. Für das Konto eines Kindes bewahren wir einen Beleg der elterlichen Einwilligung auf (Kennungen der Betreuungsperson und des Kindes, Methode, Datum), den rechtlichen Nachweis der Einwilligung, nicht mehr.

SOS-Alarme. Wenn du einen SOS-Alarm sendest, erhalten die Mitglieder, die er erreicht, deinen Standort und verfolgen ihn danach live, Ende-zu-Ende-verschlüsselt wie jeder Standort. Dieses Live-Teilen setzt sich über deine Freigabeeinstellungen hinweg (ausgeschaltete «Positionsfreigabe», ein Kreis auf «Nichts», ausgeschaltete «Standortbestimmung») und schaltet den Offline-Modus aus, der danach ausgeschaltet bleibt. Es endet, wenn du den Alarm abbrichst, 30 Minuten nachdem jemand übernommen hat, oder 4 Stunden nach dem Alarm, wenn niemand übernimmt; ausser durch Abbrechen des Alarms kann es niemand früher beenden. Damit der Alarm so lange klingelt, bis jemand ihn übernimmt, hält unser Server eine SOS-Sitzung während höchstens 30 Minuten vor: die Kennung des Alarms, deine Kennung und die der alarmierten Mitglieder, die Zeitpunkte sowie wer ihn gesehen, übernommen oder abgebrochen hat; nie den Standort. Hat ein alarmiertes Mitglied den Alarm nach etwa zwei Minuten noch nicht gesehen und eine verifizierte Telefonnummer, senden wir ihm eine SMS über unseren SMS-Anbieter (siehe Abschnitt 6): Sie enthält deinen Anzeigenamen und sagt, dass dein Standort in der App ist, nie den Standort selbst.

Diagnosedaten. Absturzberichte und technische Logs (über Firebase Crashlytics), um Fehler zu erkennen und zu beheben. Diese enthalten weder deinen Standort noch den Inhalt deiner Nachrichten.

Supportanfragen. Wenn du uns über das Kontaktformular von help.fenzly.app oder über «Problem melden» in der App schreibst, erhalten wir, was du eingibst, und deine E-Mail-Adresse. Eine Meldung aus der App fügt hinzu: deine Kontokennung, wenn du angemeldet bist, eine technische Beschreibung deines Geräts (Modell, System- und App-Version, Sprache, Verbindung, Stand der Berechtigungen), das aktuelle Log der App, wenn du diese Option eingeschaltet lässt, nachdem die App E-Mail-Adressen und Telefonnummern maskiert, die Namen von Orten und Mitgliedern ersetzt und Koordinaten entfernt hat, sowie die Screenshots, die du anhängen möchtest (ein Screenshot kann deine Karte zeigen). Unsere Server leiten all das als eine einzige E-Mail an unser Support-Postfach weiter und behalten keine Kopie. Diese E-Mail bleibt samt Anhängen 12 Monate nach dem Abschluss deiner Anfrage im Postfach und wird danach gelöscht.

4. Daten, die wir nicht haben

Wir erhalten nie dein Adressbuch, deine Koordinaten oder die Namen deiner Orte: Diese bleiben auf deinem Gerät oder sind Ende-zu-Ende-verschlüsselt. Wir kennen die Zusammensetzung deiner Kreise nicht: Um eine Nachricht zuzustellen, sehen unsere Server nur die Kennungen der sendenden und der empfangenden Personen, für die Dauer der Zustellung.

5. Rechtsgrundlagen

Soweit die DSGVO anwendbar ist, stützen wir uns auf: die Erfüllung eines Vertrags (Art. 6 Abs. 1 lit. b), um den Dienst bereitzustellen; deine Einwilligung (Art. 6 Abs. 1 lit. a) für optionale Funktionen wie den Kontaktabgleich oder die Auffindbarkeit über die Telefonnummer; den Schutz lebenswichtiger Interessen (Art. 6 Abs. 1 lit. d) der Person, die einen SOS-Alarm sendet, für das Live-Teilen und die SMS, die darauf folgen; und unsere berechtigten Interessen (Art. 6 Abs. 1 lit. f) an einem sicheren und funktionierenden Dienst. Soweit schweizerisches Recht anwendbar ist, erfolgt die Bearbeitung gemäss dem Bundesgesetz über den Datenschutz (revidiertes Datenschutzgesetz, nDSG).

6. Dienstleister (Auftragsbearbeiter)

Wir arbeiten mit wenigen Anbietern zusammen, die wir mit Blick auf den Datenschutz ausgewählt haben:

  • Infomaniak (Schweiz): Hosting unserer Server, Datenbanken, des verschlüsselten Medien- und Backup-Speichers und ihrer technischen Sicherungen; Versand unserer E-Mails (Anmelde- und Bestätigungscodes, Hinweise zum Konto); unser Support-Postfach. Die Daten werden in der Schweiz gehostet.
  • mailomat (mailXpert GmbH, Zürich, Schweiz): Ersatzversand von E-Mails, nur verwendet, wenn der Versand über Infomaniak fehlschlägt; mailomat erhält dann die Adresse der empfangenden Person und den Inhalt der E-Mail.
  • ASPSMS (Schweiz) und Twilio (USA): Versand von SMS. Sie erhalten die Telefonnummer und den Text: einen Anmelde- oder Bestätigungscode oder die in Abschnitt 3 beschriebene SOS-SMS. ASPSMS sendet an Nummern in der Schweiz und den meisten europäischen Ländern, Twilio an die übrige Welt; jeder der beiden springt ein, wenn der andere eine Nachricht nicht zustellen kann.
  • Google Firebase (Cloud Messaging und Crashlytics) und auf dem iPhone der Push-Benachrichtigungsdienst von Apple: Push-Benachrichtigungen und Absturzberichte.
  • MapTiler (Schweiz): Karten und Adresssuche. Dein Gerät lädt die Kartenkacheln direkt aus dem Auslieferungsnetz von MapTiler, das deshalb deine IP-Adresse und den angezeigten Bereich sieht; MapTiler hat uns schriftlich bestätigt, dass die IP-Adresse höchstens 20 Minuten im Speicher dieses Netzes bleibt und nicht an seine Server weitergegeben wird. Adresssuchen laufen über unsere Server: MapTiler erhält den Text oder die Koordinaten, die gesucht werden, nie deine IP-Adresse oder dein Konto, und weder wir noch MapTiler speichern sie.
  • Grafana Labs (Grafana Cloud, Daten in der Schweiz gespeichert): technische Logs und Messwerte unserer Server (siehe «Verbindungsdaten und technische Daten» in Abschnitt 3).
  • Apple (App Store) und Google (Google Play): Verkauf und Abrechnung der Abos; sie wickeln deine Zahlung nach ihren eigenen Bedingungen ab.
  • Google Drive / Apple iCloud: nur wenn du Backups aktivierst; dein verschlüsseltes Backup oder, wenn du es erlaubt hast, der Wiederherstellungscode wird in deinem eigenen Cloud-Konto gespeichert.
  • Cloudflare (USA): Hosting unserer Websites fenzly.app und help.fenzly.app und der Domain fenzly.app; Cloudflare sieht die IP-Adresse der Besucherinnen und Besucher der Websites. Unsere Websites setzen keine Cookies und keine Reichweitenmessung ein.

7. Internationale Übermittlungen

Unsere zentrale Infrastruktur (Server, Datenbanken, Speicher, technische Logs) wird in der Schweiz gehostet. Einige Anbieter bearbeiten begrenzte Daten ausserhalb der Schweiz und der EU, hauptsächlich in den USA: Twilio (SMS an Nummern ausserhalb Europas oder als Ersatz), Google (Benachrichtigungen, Absturzberichte, Google Drive, Google Play), Apple (Benachrichtigungen, iCloud, App Store) und Cloudflare (Websites); Grafana Labs, ein US-Unternehmen, speichert unsere Logs in der Schweiz. Solche Übermittlungen sind durch geeignete Garantien abgesichert (z. B. Standardvertragsklauseln der EU).

8. Aufbewahrung

  • Verschlüsselte Nachrichten, die für die Zustellung bei fehlender Verbindung zwischengespeichert werden: bis zu 30 Tage, danach automatisch gelöscht. Verschlüsselte Ereignisse zum Betreten und Verlassen von Orten sowie Zustell- und Lesebestätigungen: bis zu 7 Tage.
  • Verschlüsselte Standort-Updates, einschliesslich des Live-Standorts eines SOS-Alarms: nur für die Dauer der Freigabe aufbewahrt, danach laufen sie ab.
  • SOS-Sitzung: höchstens 30 Minuten.
  • Adresssuchen: nicht gespeichert, weder von uns noch von MapTiler.
  • Verschlüsselte Fotos aus einem Chat: 90 Tage auf unseren Servern. Verschlüsselte Details eines geteilten Wegs: 30 Tage. Die bereits empfangenen Kopien bleiben auf den Geräten der Empfängerinnen und Empfänger.
  • Verschlüsselte Profilbilder: aufbewahrt, bis du sie ersetzt oder entfernst oder dein Konto löschst.
  • Einladungscodes für Kreise: spätestens 30 Tage nach ihrem Ablauf gelöscht.
  • Backups: Die neuesten Versionen werden aufbewahrt; ältere Versionen werden automatisch entfernt.
  • Technische Logs und Messwerte unserer Server: 14 Tage.
  • Supportanfragen (Kontaktformular und Meldungen aus der App, mit ihren Anhängen: Log, Gerätebeschreibung, Screenshots): 12 Monate nach dem Abschluss der Anfrage im Support-Postfach aufbewahrt, danach gelöscht.
  • Kontodaten: aufbewahrt, bis du dein Konto löschst: Die Löschung erfolgt sofort und endgültig, und die Kopien in unseren technischen Sicherungen verschwinden innerhalb von 30 Tagen. Danach bewahren wir 12 Monate lang einen minimalen Löschnachweis auf (technische Kennung + Datum, sonst nichts): Damit können deine Geräte die Löschung erkennen und sich selbst bereinigen; danach wird auch dieser Nachweis gelöscht.

9. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Bearbeitung und Widerspruch gegen die Bearbeitung deiner Personendaten sowie auf Datenübertragbarkeit. Diese Rechte übst du direkt in der App aus, ohne menschliches Zutun und mit sofortiger Wirkung:

  • Deine Daten exportieren (Einstellungen → Persönliche Daten → Meine Daten herunterladen): eine lesbare Kopie deiner lokalen Daten (Profil, Orte, Wege, Verlauf, Einstellungen, nur deine Daten, nie die der Mitglieder deiner Kreise) sowie die Serverseite, durch die Konzeption nahezu leer, der Beleg für unsere Architektur.
  • Dein Konto löschen (Einstellungen → Persönliche Daten): Die Löschung wird mit einem Einmalcode bestätigt und entfernt deine Daten sofort und endgültig von unseren Servern und von deinem Gerät; deine anderen Geräte bereinigen sich beim nächsten Öffnen von Fenzly selbst. Du kannst dein Konto auch ohne die App löschen, unter fenzly.app/de/delete-account. Für das Löschen des Kontos eines Kindes ist die Zustimmung einer Betreuungsperson nötig (der Code geht an deren verifizierten Kanal).

Hinweis: Daten, die du bereits mit deinen Kontakten geteilt hast (z. B. deine früheren Positionen in deren App), befinden sich auf deren Geräten, ausserhalb unserer Reichweite; das liegt in der Natur der Ende-zu-Ende-Verschlüsselung, wie bei einer bereits zugestellten Nachricht. Du kannst deine Einwilligung für optionale Funktionen jederzeit widerrufen. Du hast zudem das Recht, bei einer Aufsichtsbehörde Beschwerde einzureichen: in der Schweiz beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB); in der EU bei deiner nationalen Datenschutzbehörde.

Um deine Rechte auszuüben, kontaktiere [email protected].

10. Sicherheit

Wir schützen deine Daten mit Ende-zu-Ende-Verschlüsselung (Double Ratchet, Olm), gerätegebundener Schlüsselspeicherung (Keychain/Keystore), TLS bei der Übertragung und Hosting in der Schweiz. Kein System ist vollkommen sicher, aber unsere Architektur ist so angelegt, dass die sensibelsten Daten für uns von vornherein nie lesbar sind.

11. Kinder

Fenzly richtet sich ausserhalb des Familienmodus nicht an Kinder unter 13 Jahren. Wo es gesetzlich vorgeschrieben ist, nach der DSGVO für Nutzende unter dem Alter der digitalen Einwilligung in ihrem Land (das zwischen 13 und 16 Jahren liegt) und nach dem US-amerikanischen COPPA für Kinder unter 13 Jahren, erfordert die Bearbeitung der Personendaten einer minderjährigen Person eine überprüfbare elterliche Einwilligung. Fenzly bietet einen von Betreuungspersonen verwalteten Familienmodus: Ein Mitglied kann erst nach einer überprüfbaren elterlichen Einwilligung (ein Code, der per SMS an die verifizierte Nummer der Betreuungsperson gesendet wird) als Kind bestimmt werden; davon bewahren wir einen minimalen Beleg auf (Kennungen, Methode, Datum). Betreuungspersonen können diese Einwilligung jederzeit in der App einsehen und widerrufen, und für das Löschen des Kontos eines Kindes ist ihre Zustimmung nötig. Wenn du glaubst, dass uns ein Kind ohne die erforderliche Einwilligung Personendaten übermittelt hat, kontaktiere uns unter [email protected], und wir löschen sie.

12. Änderungen dieser Erklärung

Wir können diese Erklärung von Zeit zu Zeit aktualisieren. Wesentliche Änderungen werden in der App oder per E-Mail angekündigt. Das Datum «Zuletzt aktualisiert» oben entspricht immer der aktuellen Version.

Diese Erklärung ist in mehreren Sprachen verfügbar. Bei Abweichungen zwischen den Fassungen ist die französische Fassung massgebend.

13. Kontakt

Logil Sàrl · Schweiz · [email protected]