Wie Vibn funktioniert

1. Die Kurzfassung

Vibn ist ein privates gemeinsames Album. Du erstellst eine Gruppe, lädst ein paar Leute ein, und die Fotos und Videos aller vom selben Anlass sammeln sich an einem Ort. Es gibt keinen Feed, in dem man sortiert wird, kein öffentliches Profil und keinen Weg, auf dem Fremde deine Gruppe finden könnten.

• Gruppen gibt es nur auf Einladung. Keine Suche, keine Entdeckung, kein Stöbern — der einzige Weg hinein ist ein Link, ein Code oder ein QR von jemandem, der schon drin ist.
• Fotos und Videos in verschlüsselten Gruppen sind Ende-zu-Ende verschlüsselt. Sie werden auf deinem Handy vor dem Hochladen verschlüsselt und auf den Handys der Empfänger entschlüsselt. Unsere Server halten Chiffretext, den sie nicht lesen können.
• Der Schlüssel, der eine Gruppe entschlüsselt, erreicht unsere Server nie in einer für uns nutzbaren Form. Er reist in dem Teil des Einladungslinks, den Browser niemals übertragen, und wenn du ein Wiederherstellungs-Backup behältst, ist die Kopie bei uns mit einer Phrase versiegelt, die wir nie erhalten.
• Gesichtserkennung läuft auf deinem Gerät. Hochgeladen werden nur anonyme Zahlenvektoren — nie deine Einrichtungsfotos, und nie zurück an andere Nutzer.
• Medien sind nie öffentlich adressierbar. Jede Ansicht ist ein kurzlebiger, signierter Link, der pro Anfrage erzeugt wird.
• Du kannst deine Gesichtsdaten, deine Medien, deine Gruppen und dein ganzes Konto löschen — und diese Löschungen sind echt.

2. Privat per Einladung, serverseitig durchgesetzt

Jede Anfrage nach den Daten einer Gruppe wird gegen deine Mitgliedschaft geprüft, bevor irgendetwas zurückgegeben wird. Bist du kein Mitglied, antwortet die API „nicht gefunden“ statt „nicht erlaubt“ — so kann jemand von außen nicht einmal bestätigen, dass diese Gruppe überhaupt existiert, geschweige denn, wer darin ist.

Diese Prüfung liegt an einer einzigen Stelle, in der API, nicht verstreut im App-Code. Die App kann sich keinen Zugang verschaffen, indem sie anders fragt, denn sie ist nicht diejenige, die entscheidet.

Es gibt eine bewusste Ausnahme: Wer angemeldet ist und einen Einladungscode hat, kann eine kleine Vorschau dieser Einladung lesen — Gruppenname, Beschreibung und wer einlädt — bevor er beitritt. Ohne das müsste man blind zusagen. Einladungen laufen nach sieben Tagen ab.

Seit 2026 gibt es neben der Mitgliedschaftsprüfung eine zweite Prüfung, und sie wirkt nur in eine Richtung: Sie kann zurückhalten, niemals Zugriff gewähren. Wenn du auf einem Foto erkannt wirst, das jemand anderes gepostet hat, kannst du es vor der Gruppe ausblenden: Die API liefert es danach nur noch an die bereits darauf erkannten Personen und an die Person, die es gepostet hat. Es wird nichts gelöscht, Kopien, die schon auf einem Gerät liegen, sind nicht erreichbar, und wer es gepostet hat, wird informiert und kann dich bitten, es wieder einzublenden.

• Die Rollen in einer Gruppe sind Eigentümer, Verwalter und Mitglied. Verwalter können moderieren und bearbeiten; nur der Eigentümer kann die Gruppe löschen oder Verwalter ernennen.
• Ein Eigentümer kann eine eigene Gruppe nicht still verlassen — er löscht sie oder gibt sie weiter. Das verhindert eine herrenlose Gruppe, für deren Speicher niemand geradesteht.
• Ein Mitglied zu entfernen beendet den Zugang ab diesem Moment. Es macht nicht ungeschehen, was diese Person schon gesehen hat, und wir behaupten nichts anderes.

3. Ende-zu-Ende-Verschlüsselung: was unsere Server nicht können

Gruppen, die nach unserer Ende-zu-Ende-Einführung erstellt wurden, sind verschlüsselt. Jede hat einen 256-Bit-Schlüssel, erzeugt auf dem Gerät der Person, die sie anlegt. Medien werden mit AES-256-GCM auf dem Handy verschlüsselt, bevor sie hochgeladen werden, und auf dem Handy beim Ansehen entschlüsselt. Was wir speichern, ist ein undurchsichtiger Block.

Entscheidend ist nicht, dass wir versprechen, nicht hinzusehen. Entscheidend ist, dass eine ganze Reihe von Funktionen, die andere Apps anbieten, für uns unmöglich sind — und dass wir diesen Verlust in Kauf genommen haben:

• Wir können serverseitig keine Vorschaubilder deiner verschlüsselten Medien erzeugen, weil wir sie nicht dekodieren können.
• Wir können sie nicht neu kodieren oder komprimieren, um Speicher zu sparen.
• Wir können die Unschärfe vor dem Enthüllungstag nicht erzeugen — in verschlüsselten Gruppen macht das deshalb die App auf deinem Gerät.
• Wir können für eine verschlüsselte Gruppe keinen öffentlichen Freigabelink erstellen. Diese Funktion ist für solche Gruppen abgeschaltet, nicht nur nicht empfohlen.
• Wir können verschlüsselte Medien nicht auf Inhalte prüfen, weder wir noch sonst jemand. Die Erkennung sensibler Inhalte läuft auf deinem Gerät oder gar nicht.
• Es gibt genau einen Weg, auf dem der tatsächliche Inhalt eines Fotos zu uns gelangt, und du bist es, der ihn sendet: Wenn du einen Inhalt meldest, lädt dein Gerät eine entschlüsselte Kopie genau dieses einen Elements hoch — nachdem die App dir das angekündigt hat. Anders können wir sie nicht bekommen, und sie wird 90 Tage nach Abschluss der Meldung gelöscht.

4. Wie der Schlüssel reist

Der Schlüssel einer Gruppe wird im Einladungslink verteilt, hinter dem Zeichen # : https://vibn.space/i/CODE#k=… — alles hinter dem # ist ein URL-Fragment, und Browser senden Fragmente niemals an den Server. Der QR-Code enthält denselben Link. Wer ihn öffnet, entnimmt den Schlüssel in der App und legt ihn im sicheren, hardwaregestützten Speicher des Geräts ab: Schlüsselbund unter iOS, Keystore unter Android.

Das hat eine Folge, die wir lieber klar aussprechen als verstecken. Wer den vollständigen Einladungslink bekommt, bekommt den Schlüssel der Gruppe. Behandle einen Einladungslink wie deinen Haustürschlüssel: Er ist keine Anfrage, die du genehmigst, er ist das, was die Tür öffnet. Teile ihn über einen Kanal, dem du vertraust.

Es gibt eine zweite Folge, und das Wiederherstellungs-Backup verändert ihre Form, statt sie aufzuheben. Sobald ein Gerät zum ersten Mal einen Gruppenschlüssel hält, bietet Vibn dir eine Wiederherstellungsphrase aus zehn Wörtern an. Dein Handy leitet aus diesen Wörtern einen Schlüssel ab und lädt deine Gruppenschlüssel damit versiegelt hoch; wir speichern dieses versiegelte Paket und das öffentliche Salt, mit dem der Schlüssel abgeleitet wurde. Wir bekommen die Phrase nie zu sehen — sie steckt in keiner Anfrage, keiner E-Mail, keinem Teilen-Menü —, deshalb ist das Paket für uns genauso wenig zu öffnen wie die Medien selbst. Du darfst die Wörter abfotografieren, wenn dir das lieber ist als Papier; ein Screenshot landet meist in einem Cloud-Fotodienst und ist dann nur so privat wie dieses Konto. Die Phrase auf einem neuen Gerät einzutippen holt deine Schlüssel zurück, und unter iOS reist der abgeleitete Schlüssel im iCloud-Schlüsselbund, sodass die meisten Wiederherstellungen ganz ohne Tippen auskommen. Du kannst Schlüssel weiterhin übertragen, indem du einen Code von einem Gerät scannst, das sie noch hat, oder eine Gruppe wiederherstellen, indem du ihren Einladungslink einfügst. Aber du kannst das Backup überspringen oder löschen, und wenn du das tust und alle Geräte und alle Links weg sind, bleiben die Medien für immer verschlüsselt. Das ist der ehrliche Preis der Garantie aus Abschnitt 3.

• Der Gruppenschlüssel steht nie in einem Anfragekörper, nie im Einladungscode selbst und nie in einem Log in einer Form, die jemand nutzen könnte. Die einzige Kopie, die uns erreicht, ist das Wiederherstellungspaket, versiegelt mit deiner Phrase.
• Aktuelle Einschränkung: Es gibt keine Schlüsselrotation, wenn jemand geht, und keinen Entzug für Einzelne. Ein Ex-Mitglied, das den Link behalten hat, behält den Schlüssel.
• Der Schlüssel einer Gruppe ist in ihren Einstellungen schreibgeschützt sichtbar, du kannst ihn also bewusst sichern, wenn du möchtest.

5. Wo deine Medien wirklich liegen

Die Dateien liegen in privatem Objektspeicher, der ohne Signatur nicht lesbar ist. Unsere Datenbank hält nur den Objektpfad — keine URL. Eine frühe Migration hat die Spalten mit gespeicherten URLs absichtlich entfernt, eine geleakte Datenbankzeile enthält also nichts Abrufbares.

Jedes Mal, wenn du ein Foto öffnest, erzeugt die API einen kurzlebigen signierten Link für genau dieses Objekt, für genau diese Anfrage, nachdem sie deine Mitgliedschaft geprüft hat. Der Link läuft ab. Uploads funktionieren umgekehrt genauso, wobei der Dateityp in dem Moment festgelegt wird, in dem der Upload autorisiert wird.

• Es gibt keinen öffentlichen Bucket, keinen erratbaren Pfad und keine dauerhafte URL, die leaken könnte.
• Die einzige unauthentifizierte Fläche im ganzen System ist eine öffentlich geteilte Galerie, die ein Mitglied für eine nicht verschlüsselte Gruppe erstellen kann. Sie ist ein Berechtigungs-Token in einem Link, sie lässt sich abschalten, und für eine verschlüsselte Gruppe kann sie nie erstellt werden.
• Wenn du das Weiterteilen in deinen Einstellungen abschaltest, verschwinden deine Uploads aus jeder öffentlichen Galerie, die ein anderes Mitglied erstellt — in deinen eigenen bleiben sie.

6. Der Enthüllungstag

Eine Gruppe kann so eingestellt werden, dass sie sich an einem gewählten Datum enthüllt, damit niemand die Fotos vor allen anderen sieht. Bis dahin bittet der Server die App nicht einfach, Dinge zu verstecken. Er gibt allen, die nichts hochgeladen haben, eine andere Datei — ein kleines unscharfes Derivat — und erzeugt nie einen signierten Link zum Original. Der Schlüssel zur vollen Auflösung steht gar nicht erst in der Antwort.

Deine eigenen Uploads siehst du immer. Hinweise zu Fotos, auf denen du zu sehen bist, werden bis zur Enthüllung zurückgehalten und dann als eine einzige Zusammenfassung zugestellt, damit keine Benachrichtigung verrät, was der Bildschirm verbirgt.

Es gibt einen Weg, diese Fotos früher zu sehen, und er ist so gewollt. Wer die Gruppe besitzt, kann eine Live-Wand starten: einen Link, höchstens einen Tag gültig und jederzeit widerrufbar, der die Fotos der Gruppe im Browser zeigt, sobald sie ankommen — auf einer Feier, auf einem Bildschirm im Raum. Solange sie läuft, sieht jede Person mit diesem Link die vollen Fotos statt der unscharfen Platzhalter; genau dafür ist sie da. Zwei Dinge begrenzen, was das kostet. Der Link endet von selbst, und die Besitzerin kann ihn früher beenden. Und der Link enthält keinen Gruppenschlüssel: Der Schlüssel erreicht den Browser verpackt und wird nur dort geöffnet, nur solange die Sitzung läuft — eine Live-Wand zu beenden schaltet also nicht bloß die Seite ab, es nimmt den Schlüssel mit.

7. Gesichtserkennung, und warum sie hier ungewöhnlich ist

Vibn kann die Fotos finden, auf denen du zu sehen bist. Fast jede Umsetzung dieser Funktion lädt Gesichter auf einen Server. Unsere nicht — und sie könnte es gar nicht: Die Medien sind verschlüsselt, ein serverseitiger Abgleich hätte nichts anzusehen.

Stattdessen laufen die Erkennung und die Umwandlung eines Gesichts in einen Zahlenvektor beide auf deinem Handy. Ein Vektor aus 512 Zahlen ist alles, was hochgeladen wird. Er ist kein Bild und lässt sich nicht in eines zurückverwandeln.

Der Abgleich passiert danach auf dem Server, Vektor gegen Vektor. Zurück kommen nur die Kennungen der gefundenen Personen — nie jemandes Vektor.

• Die Fotos, die du bei der Gesichtseinrichtung aufnimmst, verlassen dein Gerät nie.
• Kein Endpunkt gibt einen gespeicherten Gesichtsvektor an irgendeinen Client zurück, auch nicht an deinen.
• Du kannst die Auffindbarkeit abschalten; deine Kennung wird dann aus den Treffern entfernt, die allen anderen angezeigt werden — deine eigenen siehst du weiterhin.
• Du kannst alle deine Gesichtsdaten jederzeit in den Einstellungen löschen. Das entfernt die Vektoren und die Einrichtungsmarkierung, nicht nur ein Häkchen.
• Die Funktion ist freiwillig und in der kostenlosen wie in der bezahlten Stufe verfügbar. Wir stellen deine Privatsphäre nicht hinter eine Bezahlschranke.
• Du kannst ein Foto, auf dem du zu sehen bist, vor dem Rest der Gruppe ausblenden, ohne es löschen zu können. Für die abgebildeten Personen und für die Person, die es gepostet hat, bleibt es sichtbar; sie wird informiert und kann dich bitten, es wieder einzublenden.

8. Identität, Bezahlung und die Teile, die wir bewusst nicht selbst betreiben

Die Anmeldung übernimmt Firebase Authentication — E-Mail, Google oder Apple. Wir sehen und speichern nie ein Passwort; in unserer Datenbank gibt es kein Passwortfeld, das geleakt werden könnte.

Abos prüft unser eigener Server direkt bei Apple und Google. Es gibt keinen dritten Abrechnungsdienst, der deine Kaufhistorie hält. Deine Berechtigung wird bei uns aus einem vom Store bestätigten Beleg entschieden — eine veränderte App kann sich also keine Bezahlstufe selbst geben.

Die Grenzen des Tarifs — wie viele Gruppen, wie viele Mitglieder, wie viel Speicher, welche Auflösung — werden auf dem Server durchgesetzt, nicht in der App. Die Kopie dieser Zahlen in der App existiert nur, um dir vorher eine freundliche Meldung zu zeigen.

9. Was dein Gerät verlässt, und zu wem

Das ist der Abschnitt, den die meisten Whitepaper vage lassen. Unserer ist konkret, auch dort, wo es uns nicht schmeichelt.

Fehler- und Absturzberichte gehen an Sentry. Sentry erhält deine Kontokennung, deinen Namen und deine E-Mail-Adresse, damit ein Bericht der betroffenen Person zugeordnet werden kann. Es ist so konfiguriert, dass es nie Anfragekörper, Authentifizierungs-Token, signierte Speicher-URLs, Einladungscodes, Freigabe-Token erhält — und auch nicht den Gruppenschlüssel. Letzteres ist keine Frage der Richtlinie: Ein fehlerhaft eingegebener Schlüssel würde sonst in der Ausnahmemeldung im Fehlerbericht landen, deshalb ist die Bereinigung, die ihn entfernt, durch Tests abgesichert, die den Build brechen, wenn sie zurückfällt.

Produktanalytik geht an PostHog: welche Bildschirme geöffnet werden, welche Funktionen genutzt werden, dazu App-Version und Plattform. Bildschirmnamen werden bereinigt, damit Gruppen-, Medien- und Einladungskennungen nie in einem Ereignis auftauchen.

Push-Benachrichtigungen laufen über OneSignal. Live-Chat und Anwesenheit laufen nicht mehr auf der Infrastruktur eines Dritten: Sie laufen auf unserem eigenen Echtzeitserver, und Nachrichten liegen in unserer eigenen Datenbank — in einer verschlüsselten Gruppe als Text, den wir nicht lesen können. Deine App verbindet sich mit einem kurzlebigen Token, das dich lediglich ausweist, und betritt den Raum jeder Gruppe mit einem zweiten Token, das genau für diesen einen Raum ausgestellt und jedes Mal gegen deine Mitgliedschaft geprüft wird. Direktnachrichten funktionieren genauso, mit einem Unterschied, der gesagt gehört: Eine Unterhaltung zwischen zwei Personen hat keinen Gruppenschlüssel, also leiten die beiden Geräte einen untereinander ab — aus Identitätsschlüsseln, von denen wir nur die öffentlichen Hälften halten. Wir speichern das Ergebnis und können es nicht öffnen.

In der kostenlosen Stufe liefert Google AdMob die Werbung aus. Unter iOS wirst du gefragt, bevor irgendeine Werbekennung genutzt wird; lehnst du ab, siehst du weiterhin Werbung, nur eben nicht zugeschnittene. Wo das örtliche Recht ein Einwilligungsformular verlangt, wird es vor dieser Frage angezeigt. AdMob erhält nie deinen Namen, deine E-Mail-Adresse, deine Fotos oder irgendetwas aus deinen Gruppen.

Wenn du Vibn über eine unserer Anzeigen installiert hast, melden wir zurück, was diese Anzeigen bewirkt haben, damit wir erkennen können, welche davon wirken: dass die App installiert wurde, dass ein Konto erstellt wurde, dass du den Tarif-Bildschirm geöffnet hast, dass du auf Abonnieren getippt hast und dass ein Abonnement gekauft wurde. Google und Meta erhalten das erste, das zweite und das letzte davon von deinem Gerät — auf dem iPhone über Apples SKAdNetwork, das einem Werbetreibenden eine einzige aggregierte, verzögerte Zahl und überhaupt keine Kennung übergibt, weshalb diese App keine Tracking-Abfrage hat; auf Android über deren eigene SDKs, und wo das lokale Recht ein Einwilligungsformular verlangt, wird es zuerst gezeigt. OpenAI Ads erhält alle fünf von unseren Servern statt von deinem Gerät, und das ist die einzige Stelle, an der eine Kennung beteiligt ist: Wenn du der Werbemessung zugestimmt hast, fügen wir eine unumkehrbar verschlüsselte Form deiner E-Mail-Adresse bei, damit ein Kauf einer von dir gesehenen Anzeige zugeordnet werden kann. Hast du abgelehnt oder wurdest nie gefragt, wird gar keine Kennung gesendet. Keinem von ihnen wird jemals mitgeteilt, was du geteilt hast, in welchen Gruppen du bist oder irgendetwas aus deren Innerem.

Wenn du ein Foto oder Video meldest, wird eine entschlüsselte Kopie genau dieses Elements mit der Meldung gesendet, damit ein Mensch sie beurteilen kann — die App sagt das auf genau dem Bildschirm, auf dem du sie abschickst. Sie wird getrennt von der Gruppe gespeichert, nur über einen Link gezeigt, der nach Minuten abläuft, und 90 Tage nach Abschluss der Meldung gelöscht. Wer gemeldet hat, wird nie verraten. Eine Person oder eine Gruppe zu melden sendet überhaupt keine Medien.

10. Dinge löschen

Das Löschen deines Kontos entfernt es, die von dir erstellten Gruppen und die Medien darin und gibt deine Mitgliedschaften anderswo frei. 30 Tage lang ist es wiederherstellbar, und nur dafür bewahren wir es auf: Das Konto ist abgeriegelt, dein Profil verschwindet aus der App aller anderen, die von dir erstellten Gruppen werden schreibgeschützt und tragen das Entfernungsdatum, und beim erneuten Anmelden gibt es eine Schaltfläche, die alles rückgängig macht. Nach 30 Tagen führt ein geplanter Job dieselbe Löschung aus, die die Schaltfläche früher sofort ausgeführt hat, und dann ist es weg — für uns genauso wie für dich. Es bleibt danach nie als verstecktes Kennzeichen in einer Zeile zurück, die wir behalten.

Du kannst die Löschung auch auf unserer Website starten, ohne die App zu öffnen — nützlich, wenn du das Gerät verloren hast. Diese Seite ist ratenbegrenzt und gegen automatisierten Missbrauch geschützt, und sie gibt absichtlich dieselbe Antwort, egal ob es ein Konto mit dieser Adresse gibt oder nicht — sie braucht dafür sogar gleich lang — damit sie sich nicht dazu nutzen lässt herauszufinden, wer ein Vibn-Konto hat.

• Ein von dir hochgeladenes Medium zu löschen löscht das gespeicherte Objekt, nicht nur seinen Eintrag in der Liste.
• Deine Gesichtsdaten zu löschen geschieht sofort und vollständig.
• Deine Gesichtsdaten warten die 30 Tage nicht ab: Sie werden in dem Moment gelöscht, in dem du die Löschung verlangst, und das Wiederherstellen des Kontos bringt sie nicht zurück.
• Sicherungen und Logs laufen nach ihren eigenen Fristen ab; Löschung ist nicht überall gleichzeitig sofort, und wir behaupten das auch nicht.

11. Was wir nicht tun

Irgendwer muss die Server bezahlen, auf denen deine Fotos und Videos liegen. Das tun die Abos, und im kostenlosen Tarif hilft Werbung mit. Was sie nicht bezahlt, bist du: Nichts aus dem Inneren deiner Gruppen wird irgendwem angeboten, und nichts von dem unten Stehenden ist ein Geschäft, das wir uns für später aufheben.

Ein Punkt auf dieser Liste ist überhaupt kein Versprechen. Medien in einer verschlüsselten Gruppe sind für uns unlesbar, also lassen sie sich weder auswerten noch verkaufen noch zum Trainieren von irgendetwas verwenden — von uns nicht und von denen nicht, denen diese Server später gehören; Abschnitt 3 erklärt, warum. Der Rest sind Versprechen, und wir sagen dir lieber, was was ist, als dich raten zu lassen.

• Wir verkaufen deine personenbezogenen Daten nicht.
• Wir verkaufen, vermieten oder tauschen keinen Zugang zu deinem Konto, deinen Gruppen oder deinen Medien — nicht an Werbetreibende, nicht an Datenhändler, an niemanden.
• Wir nutzen den Inhalt deiner Fotos, Videos oder Nachrichten nicht zur Werbeausrichtung.
• Wir trainieren kein Modell mit deinen Inhalten.
• Wir bauen keinen sozialen Graphen über Gruppen hinweg, und es gibt nirgends im Produkt eine Followerliste, ein öffentliches Profil oder Freundschaftsvorschläge.
• Wir lesen deine Nachrichten nicht. In verschlüsselten Gruppen könnten wir es nicht; in älteren tun wir es nicht.

12. Bekannte Grenzen

Ein Datenschutzdokument, das nur Stärken aufzählt, ist Marketing. Das hier würden wir wissen wollen, wenn wir an deiner Stelle wären.

• Wer den vollständigen Einladungslink hat, hat den Schlüssel der Gruppe (Abschnitt 4).
• Es gibt noch keine Schlüsselrotation und keinen Entzug pro Mitglied; jemanden zu entfernen stoppt künftigen Zugang, nicht bereits Gesehenes.
• Verlierst du alle Geräte und den Einladungslink, ist deine Wiederherstellungsphrase der einzige Weg zurück. Hast du das Backup übersprungen oder auch die Phrase verloren, kann niemand die Medien wiederherstellen, wir eingeschlossen.
• Die Screenshot-Sperre in Gruppen mit abgeschaltetem Teilen verhindert den Screenshot des Betriebssystems. Sie verhindert nicht, dass jemand den Bildschirm mit einem anderen Handy abfotografiert.
• Gruppen, die vor der Einführung der Verschlüsselung erstellt wurden, sind nicht Ende-zu-Ende verschlüsselt. Ihre Medien sind durch Zugriffskontrolle und signierte URLs geschützt, aber der Server kann sie lesen.
• Metadaten sind nicht verschlüsselt: Wir wissen, welche Konten in welchen Gruppen sind, wann etwas hochgeladen wurde, wann die Datei angab, dass es aufgenommen wurde, und wie groß es ist.
• Auch die Metadaten von Unterhaltungen sind nicht verschlüsselt: Wir wissen, wer wann mit wem Direktnachrichten austauscht, auch wenn wir kein Wort davon lesen können.
• Der Speicher wird dem Gruppeninhaber zugerechnet. Endet dessen Abo und liegen seine Gruppen 30 Tage nach einer Warnung weiterhin über dem kostenlosen Limit, löschen wir die ältesten Medien in diesen Gruppen — auch solche, die andere Mitglieder hochgeladen haben — bis das Limit eingehalten wird.
• Ein Foto oder Video zu melden sendet uns eine entschlüsselte Kopie davon. Das ist die einzige Ausnahme zu allem, was Abschnitt 3 sagt; sie tritt nur ein, wenn ein Mitglied sich zum Melden entscheidet, und nur für das gemeldete Element. Ein gemeldetes Element ist außerdem aus seiner Gruppe ausgeblendet, bis ein Mensch es prüft, und kommt nach sieben Tagen von selbst zurück, wenn das niemand tut.
• Wenn du ein Foto oder Video sendest, hängt dein Telefon einen Fingerabdruck der Datei an, damit wir eine exakte Kopie von etwas ablehnen können, das die Gruppe bereits hat. In einer verschlüsselten Gruppe wird dieser Fingerabdruck mit dem Schlüssel der Gruppe berechnet, den wir nie besitzen: Er sagt uns, dass zwei Uploads in dieselbe Gruppe dieselbe Datei sind, und sonst nichts. Eine Datei, die wir bereits haben, können wir nicht damit abgleichen.
• Wir halten Gruppenschlüssel für eine Handvoll Konten, die wir selbst anlegen: die Testkonten für Qualitätsprüfungen und die Store-Prüfung. Diese Gruppen enthalten generierte Platzhalterbilder und gehören niemandem. Ein Schlüssel zu einer deiner Gruppen wird niemals in einer Form gespeichert, die wir verwenden könnten.

13. Wie du das alles nachprüfst

Die Aussagen in diesem Dokument entsprechen beobachtbarem Verhalten: Wer von außen eine Gruppe anfragt, bekommt „nicht gefunden“; die URL eines geteilten Fotos hört auf zu funktionieren, sobald ihre Signatur abläuft; für eine verschlüsselte Gruppe lässt sich keine öffentliche Freigabe erstellen; wenn du deine Gesichtsdaten löschst, vergisst dich der Personenfilter.

Wenn du hier etwas findest, das nicht zum Verhalten der App passt, ist eines von beidem ein Fehler — und wir möchten davon erfahren.

14. Kontakt

Fragen zu diesem Dokument oder zu irgendetwas darin: [email protected]

Die förmliche Erklärung dazu, was wir erheben und warum, steht in unserer Datenschutzerklärung. Wo beide abweichen, gilt die Datenschutzerklärung.