Datenschutz

Was wir nie erheben

Kein Name, keine E-Mail-Adresse, keine Telefonnummer – es gibt nirgends ein Feld dafür.
Kein Passwort. Konten sind anonyme Zugangscodes, die wir erzeugen.
Kein Tracking, keine Statistik, keine Werbung, keine Skripte von Dritten. Jede Seite lädt nur von dieser Seite – keine externen Schriften, keine CDNs, keine Zählpixel.

Was gespeichert wird

Dein Konto ist ein Satz Zugangscodes. Gespeichert wird nur ein Einweg-Hash jedes Codes – wir können einen Code nach der Ausgabe nicht noch einmal zeigen, und einen verlorenen können wir nicht wiederherstellen.
Zwei-Faktor-Authentifizierung, wenn du sie einschaltest — sie ist aus, solange du das nicht tust. Beim Einrichten wird ein Geheimnis gespeichert, das du mit deiner Authenticator-App teilst. Anders als deine Zugangscodes ist dieses kein Hash: App und Seite müssen dasselbe Geheimnis haben, um auf dieselben sechs Ziffern zu kommen, also liegt es in einer Form vor, die wir lesen können. Es wird nirgendwohin gesendet — das Quadrat, das du scannst, wird auf dieser Seite gezeichnet und nicht geladen — und es gibt keine Telefonnummer, kein App-Konto und nichts, was das Gerät identifiziert. Schaltest du Zwei-Faktor ab, wird es gelöscht.
Deine Personas: die Namen, Beschreibungen, Altersangaben, Geschlechter, Schlagwörter zu deinen Chat-Vorlieben und Bilder, die du selbst hinzufügst. Andere sehen immer nur das – nie etwas, das zu deinem Konto zurückführt.
Bilder werden beim Hochladen neu kodiert; dabei fallen alle Kamera- und Standortdaten (EXIF/GPS) weg. Die Originaldatei wird nie aufbewahrt.
Deine Gespräche: die Nachrichten und Bilder, die du sendest, als Chatverlauf gespeichert, damit sie einen Seitenwechsel überstehen.
Deine Einstellungen und sozialen Angaben: Blockierungen, Meldungen, die du abgibst, private Notizen, wen du beobachtest, vorgefertigte Antworten, meistgenutzte Emotes und Vorlieben.

Was auf deinem Gerät gespeichert wird

Ein paar Kleinigkeiten liegen in deinem eigenen Browser. Jede davon wird von dieser Seite gesetzt und nur von dieser Seite gelesen; keine folgt dir woanders hin, und keine dient dazu, dich zu identifizieren, zu profilieren oder dir Werbung zu zeigen. Deshalb hast du nie ein Cookie-Banner gesehen – es gibt hier nichts Optionales, wonach wir dich fragen müssten.

Vier Cookies. Eines hält dich angemeldet. Eines schützt Formulare davor, von einer anderen Seite in deinem Namen abgeschickt zu werden. Eines merkt sich, welche Sprache du gewählt hast, damit du beim nächsten Besuch nicht wieder Englisch bekommst. Das vierte trägt neu erzeugte Zugangscodes von dem Moment, in dem du sie anforderst, bis zu der Anzeige, die sie zeigt, und ist weg, sobald du den Browser schließt. Das Anmelde-Cookie können Skripte nicht lesen, und es wird nie mit einer Anfrage von einer anderen Seite mitgeschickt.
Deine Benachrichtigungseinstellungen – ob Nachrichtentöne und Benachrichtigungen hier stummgeschaltet sind, und ob dir Benachrichtigungen schon einmal angeboten wurden, damit du nicht noch einmal gefragt wirst. Die Einstellungen liegen mit Absicht im Browser statt in deinem Konto: Das ist die Einstellung, die man wirklich pro Gerät haben will – leise auf dem Arbeitslaptop und laut auf dem Handy.
Eine Mitteilungs-Adresse, aber nur wenn du danach fragst — eine Adresse, die dein eigener Browser uns gibt, damit eine Antwort dich erreichen kann, nachdem du weg bist. Gespeichert wird nichts, bis du ja sagst, und über die Glocke ausgeschaltet verschwindet sie wieder. Zugestellt wird über den Mitteilungsdienst deines Browser-Herstellers (Google, Mozilla oder Apple), weil keine Website es anders kann — aber nichts von dem, was in einer Unterhaltung geschrieben wird, geht dort durch: verschickt werden ein fester Satz und ein Link zurück hierher, nie ein Name, eine Nachricht, ein Bild oder eine Zahl.
Dein Layout – die Panelgrößen, auf die du die Trennlinien im Chat ziehst, pro Gerät gespeichert, damit ein Handy nicht die Proportionen eines breiten Monitors erbt.
Die Inaktivitätsuhr – der Zeitpunkt, an dem du zuletzt aktiv warst, geteilt zwischen deinen offenen Tabs, damit die automatische Abmeldung eine einzige Inaktivitätsspanne misst statt einer pro Tab. Erreicht eine Abmeldung den Server nicht, bleibt hier ein Vermerk liegen, damit die nächste Seite, die du lädst, sie zu Ende bringen kann.
Dateien der Seite, wenn du die Seite als App installierst – ihre Stylesheets, Skripte, Symbole und die Seite, die sagt, dass du offline bist, damit es etwas zu zeigen gibt, wenn das Netz ausfällt. Seiten werden nie gespeichert: Jede wird für die Person gezeichnet, die gerade angemeldet ist, und eine gespeicherte Seite könnte der nächsten Person auf einem geteilten Gerät angezeigt werden. Bilder aus Gesprächen sind ausdrücklich ebenfalls ausgenommen – wer ein Gespräch schließt, löscht sie, und eine Kopie in einem Cache hier würde das überdauern.

Löschst du die Daten dieser Seite in deinem Browser, ist alles davon weg. Du wirst abgemeldet, und die Einstellungen stehen wieder auf ihren Standardwerten.

IP-Adressen

Deine IP-Adresse wird nie in die Datenbank und nie in Logdateien geschrieben. Zwei Dinge zählen Versuche pro Verbindung – falsche Zugangscodes bei der Anmeldung und wie viele Konten zuletzt angelegt wurden – und beide halten nichts als einen verwürfelten Fingerabdruck der Adresse, im Arbeitsspeicher, berechnet mit einem Geheimnis, das bei jedem Neustart der Seite weggeworfen und neu erzeugt wird. Er lässt sich nicht in eine Adresse zurückverwandeln, er lässt sich mit nichts außerhalb dieses Servers abgleichen, und er hängt nicht an deinem Konto. Startet die Seite neu, ist alles davon weg. Schaltest du die optionale Länderflagge ein, speichert eine einzelne Abfrage ein zweibuchstabiges Länderkürzel – nie die Adresse selbst.

So bleibst du privat

Der unsichtbare Modus pro Persona verbirgt dich in der Online-Liste und in der Anwesenheitsanzeige.
Du kannst abwählen, dass man dich beobachten kann; dann wird niemand benachrichtigt, wenn du online kommst. Wird jemand benachrichtigt, ist das ein flüchtiger Hinweis – wir halten nicht fest, wann du online warst.
Du kannst Bilder pro Persona abschalten. Der Bildknopf ist dann für alle ausgegraut, mit denen diese Persona schreibt, und ein trotzdem gesendetes Bild wird abgewiesen, bevor es gespeichert wird.
Davon gibt es eine Ausnahme, und die hast du selbst erteilt: Wer von dir Bilder immer anzeigen bekommen hat, kann sie weiterhin senden. Das gilt pro Person, und du kannst es im selben Menü in diesem Gespräch wieder zurücknehmen – alle anderen bleiben so oder so blockiert.
Suchmaschinen sehen nur die eigenen Seiten der Website – die Startseite, was sie kann, die Brettspiele und den Ratgeber. Nichts, was dich identifiziert, ist darunter: deine Personas, wer online ist und jedes Wort jedes Gesprächs liegen hinter der Anmeldung, in robots.txt gesperrt und obendrein mit noindex markiert. Nichts, was du hier schreibst, lässt sich über eine Suche finden.
Benachrichtigungen, solange ein Tab offen ist, zeichnet dein Gerät, außerhalb von allem, was diese Seite steuert. Deshalb tragen sie den Namen des Absenders — und für welche deiner Personas sie gedacht war, wenn es nicht die ist, die du gerade trägst — und nie ein Wort von dem, was gesagt wurde. Dieser Schalter sitzt auf der Hinweise-Seite und gehört zu diesem Browser, nicht zu deinem Konto: nichts davon wird hier gespeichert.
Eine Benachrichtigung, nachdem du den Tab geschlossen hast, gibt es nur, wenn du darum gebeten hast, und sie sagt weniger statt mehr: ein fester Satz, für alle derselbe, ohne Namen und ohne irgendetwas darin, das sich ändert. Dafür muss allerdings etwas gespeichert werden — die oben beschriebene Adresse, die zu deinem Konto gehört und nicht zu einer Persona, damit sie niemals zwei deiner Gesichter verbinden kann, und derselbe Schalter, der sie ausschaltet, löscht sie. Der Schalter daneben, sag mir auch, wenn auf der Seite viel los ist, ist aus, bis du ihn einschaltest, und auch diese Entscheidung wird bei deinem Konto gespeichert.

Die KI-Hilfen

VIP+-Mitglieder können ein Sprachmodell um drei Dinge bitten: eine Übersetzung – einer Nachricht, die angekommen ist, oder einer, die sie gerade senden wollen –, Vorschläge, worüber sie sprechen können, und einen Entwurf der privaten Notiz, die sie über jemanden führen. Nichts davon passiert von allein. Jedes ist eine Schaltfläche, die jemand bewusst drückt, oder ein Schalter, den er einschaltet, und weder der Coach noch ein Notizentwurf läuft, wenn er ankommt. Der Übersetzungsschalter ist der eine, der bleibt, wo er hingestellt wurde. Er ist überall aus, bis ihn jemand einschaltet. Er wird für jeweils ein Gespräch eingeschaltet – nie für eine Person und nie für die ganze Seite – und er bleibt in diesem Gespräch an, sichtbar über dem Nachrichtenfeld und mit einem Tipp auszuschalten, bis er ausgeschaltet wird. Solange er an ist, gehen die Nachrichten dieses Gesprächs an das Modell, sobald sie ankommen: genau dafür wurde er eingeschaltet, und übersetzt wird der eigene Bildschirm des Mitglieds. In einem Gespräch, in dem ihn niemand eingeschaltet hat, hat das Modell nie eine Nachricht gesehen. Hier scannt nichts Gespräche, nichts liest, ohne gefragt worden zu sein, und kein Modell sieht eine Nachricht, nur weil sie gesendet wurde.

Das Modell läuft hier, auf einer Maschine, die uns gehört. Keine Firma, keine API, kein Cloud-Dienst und zu keinem Zeitpunkt ein Dritter. Was gesendet wird, läuft über dasselbe private Netz, auf dem die Seite ohnehin läuft, zu einem Rechner im selben Gebäude, und die Antwort kommt denselben Weg zurück – nichts geht hinaus ins Internet. Das ist der ganze Grund, warum eine Funktion, die liest, was Menschen geschrieben haben, überhaupt vertretbar ist.
Es sieht diesen einen Bildschirm und sonst nichts – das offene Gespräch, beide Profile so, wie sie ohnehin angezeigt werden, und die eigene Notiz des Mitglieds. Nicht seine anderen Gespräche, nicht seine anderen Personas, nicht die Online-Liste, nichts, was eine Abfrage kosten würde. Es kann nie etwas über dich erfahren, was die Person, mit der du schreibst, nicht ohnehin schon lesen könnte.
Bilder werden nie gesendet. Das Modell bekommt eine Anzahl genannt und die Ansage, dass es nicht hinsehen darf.
Übersetzungen werden gespeichert. Sonst nichts. Eine Übersetzung wird neben der Nachricht gespeichert, zu der sie gehört. So wird derselbe Satz nicht zweimal übersetzt – auch nicht, wenn du ihn erneut liest, wenn du ihn auf einem anderen Gerät liest, oder wenn jemand anderes im selben Raum in derselben Sprache liest. Wenn du eine Nachricht übersetzt sendest, wird der Satz, den du geschrieben hast, ebenfalls dort abgelegt. So steht deine eigene Zeile so da, wie du sie geschrieben hast, und nicht als Übersetzung deiner eigenen Übersetzung. Alles davon wird in dem Moment gelöscht, in dem die Nachricht bearbeitet, zurückgenommen oder gelöscht wird. Nichts davon überlebt die Worte, aus denen es stammt. Es liegt unter der Nachricht und der Sprache, nie unter einer Person: nirgends steht, wer es angefordert hat oder was jemand gelesen hat. Alles andere wird verworfen – was an das Modell geht, wird für diese eine Anfrage zusammengestellt, was vom Coach oder aus einem Notizentwurf zurückkommt, bleibt in dieser einen Browsersitzung und wird nirgends festgehalten, und kein Admin und kein anderes Mitglied sieht irgendetwas davon.
Auch beim Vorlesen kommt die Stimme von hier. Ein VIP+-Mitglied kann sich eine Nachricht auf zwei Arten vorlesen lassen: mit Vorlesen an der Nachricht oder indem es das Vorlesen für ein Gespräch oder einen Raum einschaltet. Wie der Übersetzungsschalter bleibt es dann an, bis das Mitglied es ausschaltet. Die Worte gehen an einen Sprachserver im selben Gebäude, über dasselbe private Netz, und kommen als Ton zurück, den nur dieser eine Browser abspielt. Weder die Worte noch der Ton werden gespeichert. Wenn der Sprachserver nicht antwortet, und für alle ohne VIP+, liest der Browser die Nachricht mit einer Stimme vor, die auf dem eigenen Gerät des Mitglieds läuft. Dann verlassen die Worte das Gerät nie.

Die Hälfte, die man klar aussprechen sollte, weil du genauso oft auf der Empfängerseite stehst wie auf der fragenden: Wenn jemand, mit dem du schreibst, eine davon nutzt, sind deine Worte Teil dessen, was gelesen wird – auf seinen Wunsch und ohne dich zu fragen. Du erfährst nicht, wenn das passiert, und das ist eine Entscheidung und kein Versehen: Ein Hinweis würde das Abo der anderen Person verraten, und er würde einen sozialen Preis darauf setzen, sich Hilfe bei einem Gespräch gewünscht zu haben – genau das, wofür es die Funktion gibt, sie zu beseitigen. Dieser Absatz steht an seiner Stelle. Alles, was du hier schreibst, kann vom eigenen Modell dieser Seite gelesen werden, auf einer Maschine hier und nie außerhalb davon, weil die Person, der du es geschrieben hast, sie um Hilfe bei der Antwort gebeten hat – und danach wird es nirgends gespeichert.

Moderation – die Grenze der Anonymität

Die Anonymität hier schützt deine Privatsphäre; sie ist kein Deckmantel dafür, Menschen schlecht zu behandeln oder die Seite illegal zu nutzen. Die Hausregeln legen fest, was von dir erwartet wird und was ausnahmslos verboten ist.

Meldungen, die du abgibst – über eine Person, ein Bild oder Spam – sind nur für Admins sichtbar, zusammen mit dem Gespräch, um das es geht. Wen du meldest, erfährt nie, wer die Meldung abgegeben hat.
Ein gemeldetes Bild wird in dem Moment, in dem es gemeldet wird, für alle zurückgehalten, und nur ein Admin kann es wiederherstellen oder vernichten.
Spam-Verwarnungen zählen gegen ein Konto, nicht gegen eine Persona; die Persona zu wechseln streift also nichts ab. Genug Verwarnungen von verschiedenen Konten deaktivieren das Konto; abgelaufene Verwarnungen werden ganz gelöscht.
Ein deaktiviertes Konto kann noch einen Einspruch schreiben, den ein Admin liest. Dabei wird nichts über dich erhoben, was nicht schon oben steht – es gibt keine E-Mail-Adresse, an die man schreiben könnte, und keine gespeicherte IP-Adresse, die sich verfolgen ließe.

So löschst du deine Daten

Nachrichten und Bilder werden nach 60 Tagen gelöscht – jedes Gespräch, ohne Ausnahme, mit Stern oder ohne. Die Bilder werden von der Festplatte getilgt, nicht nur abgehängt. Anwesenheitsprotokolle gehen denselben Weg, und ein Gespräch, in dem nichts mehr übrig ist, wird ganz entfernt, damit kein Vermerk darüber überlebt, wer mit wem gesprochen hat.
Die eine Ausnahme ist etwas, das gemeldet wurde. Gibt jemand eine Meldung ab, wird das Ende dieses Gesprächs – und das Bild, wenn es ein Bild war – in einen Bereich kopiert, den nur Admins erreichen, und diese Kopie rührt der Durchlauf nach 60 Tagen nicht an. Ohne sie wäre eine Beschwerde, zu der noch niemand gekommen ist, nicht mehr zu entscheiden, und ein Bild würde beurteilt, wenn es längst weg ist. In diesen Bereich gelangt nichts, außer jemand gibt eine Meldung ab. Eine Meldung aus einer Gruppe kopiert mehr: Die letzten Nachrichten eines Raums sind die von allen, die gerade geschrieben haben, also enthält die Kopie auch Menschen, die nicht Teil der Beschwerde sind und denen nichts vorgeworfen wird. Das ist eine breitere Aufnahme als bei einem Gespräch, und sie wird aufbewahrt, weil über eine Beschwerde, die auf die Zeilen einer einzigen Person zusammengestrichen ist, niemand entscheiden kann.
Ein Bild in einer Gruppe kann früher verschwinden als nach 60 Tagen. Jeder Raum hält eine feste Zahl an Bildern – die Zahl steht auf der Einladung, die du angenommen hast – und wenn ein neues sie überschreiten würde, fällt das älteste weg. Ein Bild in einem lebhaften Raum hält also vielleicht nur Tage. Nichts hier wird jemals länger aufbewahrt als die Frist; das hier ist strenger, nie lockerer.
Eine Gruppe ist etwas anderes als eine Nachricht, und sie hat ihre eigene Lebensdauer. Deine Nachrichten werden überall auf dieser Seite 60 Tage aufbewahrt, in Räumen genau wie in Gesprächen – diese Antwort hat sich nicht geändert, und es gibt keine Ausnahme davon. Getrennt davon steht der Raum: Ein Raum, in dem 240 Tage lang nichts gesagt wurde, wird gelöscht, alle darin werden nach 180 Tagen gewarnt, und eine einzige Nachricht stellt die Uhr zurück. Zwei Antworten auf zwei Dinge, nicht zwei Antworten auf eines.
Ein Spiel gehört zu dem Gespräch, in dem es gespielt wird, und verschwindet mit ihm — zur selben Frist, ohne eigenes Zeitfenster und ohne dass danach etwas aufbewahrt wird. Es gibt keine Aufzeichnung darüber, wer wen geschlagen hat: ein Punktestand wird aus den noch vorhandenen Spielen gezählt, verschwindet also mit ihnen, und nirgends wird laufend mitgezählt.
Darauf musst du nicht warten. Wird ein Gespräch geschlossen, ist es sofort gelöscht — für beide Seiten, und alle Spiele darin gehen mit. Wird dein Konto gelöscht, geht alles mit.
Ein Konto, das 365 Tage nicht genutzt wurde, wird gelöscht, mitsamt allem darin. Wir haben keine E-Mail-Adresse, um dich zu warnen, also ist dieser Hinweis die Warnung: Melde dich ab und zu an, dann passiert nichts.
Ein Konto, das nie mit jemandem spricht, wird nach 60 Tagen gelöscht, wenn es auch nicht mehr vorbeischaut. Beides muss zutreffen: Wenn du hier bist und mitliest, passiert dir nichts, so lange du auch für die erste Nachricht brauchst, und sobald du eine gesendet hast, gilt das hier nie wieder für dich. Es ist für Konten, die erstellt und dann aufgegeben wurden, und wie oben haben wir keine E-Mail-Adresse, um dich zu warnen.
Eine entschiedene Meldung und die kopierten Belege dazu werden nach 180 Tagen gelöscht, gerechnet ab dem Tag der Entscheidung und nicht ab dem Tag der Abgabe. So lange bleibt sie, weil sie der einzige Nachweis dafür ist, warum ein Konto deaktiviert oder ein Bild vernichtet wurde, und wen es getroffen hat, der kann noch danach fragen, wenn das Gespräch selbst längst weg ist. Eine Meldung, über die noch niemand entschieden hat, wird nie aufgeräumt – sie zu löschen hieße, sie zu entscheiden, und zwar in die falsche Richtung.
Wenn du dein Konto löschst (Zugangscodes → Konto löschen), werden jede Persona, jedes Gespräch, jedes Bild, jede Notiz und jede Einstellung, die daran hängen, endgültig getilgt – samt jeder Meldung auf beiden Seiten davon und jeder Kopie, die zur Prüfung genommen wurde. Es gibt keine Sicherung und nichts wiederherzustellen. Das gilt auch für das, was du in Gruppen gesagt hast: Deine Nachrichten verschwinden aus den Räumen, in denen du warst, genau wie sie aus deinen Gesprächen verschwinden, und wer noch in diesen Räumen ist, bleibt mit dem Rest des Austauschs zurück. Einen Raum, den du geführt hast, kann man nicht einfach zurücklassen – du wirst gebeten, ihn vorher jemandem zu übergeben oder zu schließen, damit niemand in einem Raum sitzt, für den keiner mehr geradesteht.
Um das Konto zu löschen, braucht es zwei deiner drei Codes, aus demselben Grund, aus dem es sie zum Ersetzen braucht: Ein einzelner abhandener Code darf nicht genügen, um alles zu tilgen. Bewahre den ganzen Satz auf — mit nur einem übrig kannst du dich weiterhin anmelden und das Konto nutzen, aber weder du noch wir können es löschen oder dir einen neuen Satz ausstellen.
Verlierst du alle deine Zugangscodes, ist das Konto endgültig weg – so ist es gebaut.

Zurück