Nodavo
Stand: 2. Oktober 2026 · Vorabversion

Datenschutzerklärung — Nodavo

Diese Erklärung beschreibt, welche personenbezogenen Daten bei der Nutzung von Nodavo wo verarbeitet werden – und sie ist bewusst ehrlich über die Grenzen einer dezentralen Architektur. Sie ist keine verbindliche Rechtsberatung.

Hinweis (Stand & Geltung): Nodavo wird derzeit als Vorabversion betrieben. Diese Fassung wird vor einem vollständig offenen Launch fachanwaltlich finalisiert. Wo wir etwas (noch) nicht garantieren können, sagen wir es offen.

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) für die hier beschriebene Verarbeitung – insbesondere für den Betrieb der Relais-Server und des öffentlichen Hauptkanals – ist:

RocDev Solutions, Inhaber Phillipp Rochel
Industriestraße 13
29559 Wieren
Deutschland

Kontakt für alle Anliegen zum Datenschutz, zu deinen Betroffenenrechten und für Missbrauchsmeldungen: kontakt@nodavo.app (siehe auch Support-Seite und Impressum).

Diese E-Mail-Adresse ist zugleich unsere Kontaktstelle nach dem Digitale-Dienste-Gesetz (DDG) und dem Digital Services Act (DSA) (siehe Plattform-Regeln & Meldungen (DSA)).

2. Grundprinzip: zwei strikt getrennte Bereiche

Nodavo besteht aus zwei bewusst getrennten Bereichen, die datenschutzrechtlich sehr unterschiedlich funktionieren. Diese Trennung ist der Kern, um zu verstehen, welche deiner Daten privat bleiben und welche öffentlich sind:

Es gibt bei uns keinen Login und kein Konto mit E-Mail-Adresse oder Passwort. Dein Konto in der App ist ein kryptografisches Schlüsselpaar auf deinem Gerät (Abschnitt 3).

3. Konto-Schlüssel und lokale Speicherung auf deinem Gerät

Nachdem du bestätigt hast, mindestens 17 Jahre alt zu sein (Abschnitt 13), erzeugt die App auf deinem Gerät still ein ed25519-Schlüsselpaar – du musst dafür nichts einrichten. Der private Schlüssel wird ausschließlich auf deinem Gerät im hardwaregestützten Schlüsselspeicher (iOS Keychain / Android Keystore) gespeichert und verlässt dein Gerät nicht. Es gibt keinen Server, der deinen privaten Schlüssel speichert oder kennt.

Lesen ohne eingerichtetes Konto: Mit diesem Schlüssel kannst du die App zunächst nur lesend nutzen (Entdecken, Projekte, Profile, Kommentare). Dabei verbindet sich dein Gerät – wie jeder Leser – mit unserem Server (Relais-Server, Abschnitt 6); dort sind deine IP-Adresse und die Verbindungs-Metadaten sichtbar (Abschnitt 6, Nr. 1). In diesem Zustand findet keine Geräte-Prüfung mit Apple statt, unser Zulassungs-Dienst (Abschnitt 4) wird nicht angesprochen und es wird kein Platz des Kontingents verbraucht. Ein Konto im Sinne der Abschnitte 4 und 5 richtest du erst bei deiner ersten Handlung ein, die eines braucht: Folgen, Liken, Kommentieren, Melden, einen Namen setzen, ein eigenes Projekt zeigen oder einen Boost kaufen.

Dein öffentlicher Schlüssel (Pubkey) ist ein dauerhaftes, eindeutiges Pseudonym. Er ist personenbezogen im Sinne der DSGVO und in deinen öffentlichen Inhalten (Promos, Profil, ggf. Kommentare) sichtbar sowie an deine Beiträge gebunden.

Weiter auf deinem Gerät gespeichert: deine Liste der Gefolgten, lokale Spitznamen, deine eigenen Beiträge und Schlüssel. Diese lokalen Daten kontrollierst du selbst und kannst sie über die Löschfunktion der App entfernen (siehe Abschnitt 10 und Konto & Daten löschen).

Rechtsgrundlage: Erfüllung des von dir gewünschten Dienstes (Art. 6 Abs. 1 lit. b DSGVO) sowie unser berechtigtes Interesse an einer funktionierenden, sicheren App (Art. 6 Abs. 1 lit. f DSGVO).

4. Geräte-Prüfung beim Einrichten deines Kontos (bei der ersten Handlung)

Wenn du in der App dein Konto einrichtest – das geschieht bei deiner ersten Handlung, die ein Konto braucht (Abschnitt 3) –, prüfen wir kurz mit Apple, dass auf diesem iPhone nicht schon zu viele neue Konten entstanden sind. Zweck: höchstens zwei neue Konten je Gerät in zwölf Monaten zulassen, damit niemand beliebig viele Wegwerf-Konten anlegen kann – das schützt vor massenhaft erzeugten Konten und stützt den automatischen Melde-Weg (Abschnitt 9).

Ablauf: Die App holt sich dafür von Apple einen kurzlebigen, einmaligen Geräte-Schein (Apples Dienst DeviceCheck). Unser Zulassungs-Dienst zeigt diesen Schein Apple und fragt damit zwei winzige Zähl-Bits sowie den Monat der letzten Änderung ab – und erhöht sie, wenn ein Konto zugelassen wird. Apple führt diesen Zähler je Gerät und je Entwickler-Konto, nicht je App. Wir erfahren dabei keine Kennung deines Geräts – nur, wie oft auf diesem Gerät in den letzten 12 Monaten schon ein neues Konto angelegt wurde. Diese Angabe speichern wir nicht. Der Geräte-Schein selbst geht nur an unseren Dienst und von dort an Apple – wir speichern ihn nicht, auch nicht gekürzt oder in Logs.

Was dabei gespeichert wird:

Empfänger: Für die Abfrage übermitteln wir den Geräte-Schein an Apple Distribution International Ltd. / Apple Inc., die den Dienst „DeviceCheck" in eigener Verantwortung betreiben; das findet in die USA statt. Ein behördlicher Zugriff nach US-Recht lässt sich dabei nicht ausschließen. Es gelten die Datenschutzbestimmungen von Apple: apple.com/legal/privacy.

Rechtsgrundlage: Für das Erzeugen und Weitergeben des Geräte-Scheins (Zugriff auf dein Gerät) und die einmalige Abfrage bei Apple fragen wir dich beim Einrichten deines Kontos, vor der Prüfung, ausdrücklich um deine Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Ohne Einwilligung richten wir kein Konto ein und führen keine Prüfung durch; du kannst die App dann weiter lesend nutzen (Abschnitt 3). Ein bestehendes Konto kannst du ohne Prüfung mit deinen 24 Wörtern wiederherstellen. Die danach ausgestellte Zulassung (dein öffentlicher Schlüssel, Zeitpunkt, Signatur) speichern wir, solange dein Konto besteht, weil wir ein berechtigtes Interesse daran haben, massenhaft angelegte Konten zu verhindern und unseren Melde-Weg zu schützen (Art. 6 Abs. 1 lit. f DSGVO); dem kannst du nach Art. 21 DSGVO widersprechen.

Widerruf: Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen – per E-Mail an kontakt@nodavo.app oder, indem du dein Konto endgültig löschst (in der App: Ich → Einstellungen). Weil die Prüfung ein einmaliger Vorgang ist, betrifft ein Widerruf keine bereits abgeschlossene Prüfung. Die ausgestellte Zulassung wirst du los, indem du dein Konto endgültig löschst.

Speicherdauer: Eine erteilte Zulassung gilt unbefristet, solange das Konto besteht. Löschst du dein Konto endgültig, entfernt unser Relais deine Zulassung sofort – ein endgültig gelöschtes Konto wird nie wieder zugelassen. Unser Zulassungs-Dienst selbst entfernt seinen eigenen Eintrag (öffentlicher Schlüssel + ausgestellte Zulassung), sobald deine App ihn nach der Löschung erreicht: die App schickt dafür dasselbe, bereits vorhandene und signierte Lösch-Signal, das sie ohnehin an unser Relais schickt, zusätzlich an den Zulassungs-Dienst – best-effort und automatisch, ohne dass du etwas dafür tun musst. War der Dienst im Moment der Löschung gerade nicht erreichbar, wiederholt die App den Versand automatisch bei jedem weiteren App-Start, bis er angekommen ist; das Löschen deines Kontos selbst hängt davon zu keinem Zeitpunkt ab und wird davon nie verzögert. Bis diese Zustellung gelingt, wird der Eintrag für nichts anderes als die Wiederholungs-Prüfung genutzt – nicht für Werbung, nicht für Profilbildung.

Wichtig und ehrlich: Die zwei Zähl-Bits bei Apple bleiben bestehen, auch wenn du die App löschst oder das iPhone zurücksetzt – sie hängen am Gerät, nicht an der App. Das Wiederherstellen eines bestehenden Kontos mit deinen 24 Wiederherstellungswörtern verbraucht dabei nie einen der beiden Plätze; auch das bloße Lesen ohne eingerichtetes Konto verbraucht keinen. Wir bilden aus der Geräte-Prüfung kein Profil und nutzen sie nicht für Werbung – sie dient ausschließlich dazu, das massenhafte Anlegen neuer Konten zu bremsen.

Die Prüfung braucht kurz eine Internetverbindung. Klappt sie gerade nicht, wird nichts verbraucht; du kannst es später erneut versuchen. Hältst du eine Ablehnung für falsch, schreib an unsere Kontaktadresse – dort antwortet ein Mensch.

5. Öffentlicher Hauptkanal: Profile, Promos, Projekte, Engagement (öffentliches PII)

Wenn du am Hauptkanal teilnimmst – als Maker mit eigenen Projekten oder indem du dir nur einen Anzeigenamen gibst, um beim Kommentieren/Reagieren erkennbar zu sein –, werden folgende Daten öffentlich sichtbar gemacht, signiert mit deinem Schlüssel, dezentral an andere Teilnehmer verbreitet und zusätzlich auf unseren Relais-Servern als Replikat gespeichert (Store-and-Forward, siehe Abschnitt 6):

Wichtig und ehrlich: Diese Daten sind bewusst öffentlich – das ist der Zweck des Bereichs „Entdecken", in dem dich neue Follower finden sollen. Sie sind nicht privat und nicht verschlüsselt. Bedenke, dass öffentliche Inhalte von Dritten kopiert oder zwischengespeichert werden können; ein vollständiges, weltweites Zurückholen ist technisch nicht garantierbar (Abschnitt 10).

Engagement-Aggregator: Zur Anzeige öffentlicher Zähler (z. B. Like-Summen) wertet ein Dienst auf unserem Relais ausschließlich die ohnehin öffentlichen Ereignisse aus und signiert die Summe. Er sieht keine privaten Feed-Inhalte. Öffentliche Engagement-Zahlen sind nur ein Indikator und können durch Mehrfach-Konten verzerrt sein – sie sind keine geprüfte Wahrheit.

Rechtsgrundlagen: Erbringung des von dir gewünschten Dienstes – als Maker der Entdecken-Funktion (öffentliche Projekte), als Leser:in des einfachen Wiedererkennens beim Kommentieren/Reagieren (Art. 6 Abs. 1 lit. b DSGVO) – sowie unser und dein berechtigtes Interesse an Auffindbarkeit und an einem funktionierenden öffentlichen Bereich (Art. 6 Abs. 1 lit. f DSGVO). Ein Anzeigename ist in beiden Fällen freiwillig: ohne ihn erscheinst du weiterhin nur mit dem Kürzel deines öffentlichen Schlüssels. Der private Follower-Feed (B) ist hiervon nicht betroffen und bleibt Ende-zu-Ende-verschlüsselt.

6. Relais-Server (Railway): Verbindung + Speicherung von Inhalten

Damit deine Beiträge auch dann ankommen, wenn du oder dein Empfänger gerade offline ist, betreiben wir Relais-Server (in der App „unser Server" genannt; im Folgenden auch kurz „Relais"). Diese erfüllen zwei Funktionen – und beide bedeuten Speicherung, nicht nur flüchtige Verarbeitung:

  1. Verbindungs-Metadaten (Routing/NAT-Traversal): Beim Verbindungs- aufbau verarbeiten die Relais deine IP-Adresse, deine PeerId (an deinen Schlüssel gebundene Netzwerk-Kennung) und Verbindungszeitpunkte/-ereignisse, um Geräte hinter Routern erreichbar zu machen und Missbrauch/Überlast abzuwehren. Das gilt für jede Verbindung – auch wenn du die App nur liest und noch kein Konto eingerichtet hast (Abschnitt 3). Rechtsgrundlage: berechtigtes Interesse an funktionierender, missbrauchssicherer Zustellung (Art. 6 Abs. 1 lit. f DSGVO).
  2. Store-and-Forward-Replikat (Speicherung): Die Relais speichern und replizieren
    • Ende-zu-Ende-verschlüsselte Beiträge (Envelopes) des Follower-Feeds – als Chiffrat. Wir können den Inhalt nicht entschlüsseln und nicht lesen; wir halten lediglich verschlüsselte Datenpakete zwischen, damit Follower sie auch bei Autor-offline empfangen.
    • öffentliche Hauptkanal-Objekte (Profile, Promos, Boost-Tickets, öffentliche Bilder, Moderations-/Blocklisten, Bild-Sperrliste – siehe Abschnitt 9a) – diese liegen content-adressiert und unverschlüsselt vor, weil sie ohnehin öffentlich sind.
Korrektur gegenüber früheren Versionen (ehrlich): Eine ältere Fassung beschrieb die Relais als rein „flüchtig im Arbeitsspeicher, ohne Speicherung". Das trifft nicht mehr zu. Die Relais speichern verschlüsselte Beiträge und öffentliche Inhalte als Replikat (Store-and-Forward). Inhalte des privaten Feeds bleiben dabei für uns unlesbar verschlüsselt.

Speicherdauer / Retention: Replizierte Inhalte werden so lange vorgehalten, wie es technisch zur Verteilung erforderlich ist; ein festes zeitliches Limit besteht derzeit nicht. Öffentliche Profile und Promos bleiben gespeichert bis zu ihrer Tilgung (Löschung/Tombstone/Widerruf durch dich oder den Betreiber, siehe Abschnitt 10). Dauerhafte Verbindungs-Logs werden nicht zu Werbe-/Profilzwecken geführt.

Auftragsverarbeiter & Serverstandort: Die Relais-Infrastruktur wird beim Anbieter Railway betrieben. Mit Railway besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO (Data Processing Addendum, von uns am 2. Oktober 2026 unterzeichnet; es ist zugleich Bestandteil der Nutzungsbedingungen von Railway). Er enthält die EU-Standardvertragsklauseln für den Fall, dass Daten in die USA übermittelt werden. Die Server stehen in der Region Europa-West (Amsterdam, Niederlande). Railway ist ein US-Unternehmen; ein Zugriff aus den USA (z. B. für Betrieb und Support) ist dadurch nicht ausgeschlossen und über die Standardvertragsklauseln abgesichert.

Ehrlicher Hinweis zum Zugriff aus den USA: Weil Railway ein US-Unternehmen ist, lässt sich – trotz Standardvertragsklauseln – ein behördlicher Zugriff nach US-Recht nicht vollständig ausschließen. Wir reduzieren das Risiko, indem die Inhalte des privaten Feeds nur als unlesbares Chiffrat auf dem Server liegen; öffentliche Hauptkanal-Inhalte sind ohnehin für jedermann bestimmt.

DNS-Auflösung (Cloudflare/Google, USA): Um die Adresse der Relais zu finden, löst die App den Servernamen über die öffentlichen DNS-Resolver von Cloudflare (1.1.1.1) und Google (8.8.8.8) auf; dabei wird deine IP-Adresse mit dem angefragten Servernamen an diese Anbieter (USA) übermittelt. Diese sind dabei eigenständig Verantwortliche; es gelten deren eigene Datenschutzbestimmungen. Rechtsgrundlage: berechtigtes Interesse an Erreichbarkeit (Art. 6 Abs. 1 lit. f DSGVO).

6a. Mitteilungen: Benachrichtigungs-Dienst und Apple

Die App kann dich mit einer Mitteilung wecken, wenn es etwas Neues gibt. Das ist freiwillig und standardmäßig aus: du schaltest Mitteilungen in den Einstellungen ein, und iOS fragt dich vorher um Erlaubnis. Damit eine Mitteilung dein Gerät erreichen kann, braucht es einen kleinen eigenen Dienst von uns (den Benachrichtigungs-Dienst) und Apples Zustell-Netz (APNs) – anders ist ein Push auf einem iPhone technisch nicht möglich.

Was der Benachrichtigungs-Dienst von dir erfährt, solange Mitteilungen eingeschaltet sind:

Wenn jemand auf deinen Beitrag antwortet, meldet unser Relais dem Benachrichtigungs-Dienst genau eine Angabe: „dieser Autor hat eine Antwort bekommen" – also deinen öffentlichen Schlüssel als Empfänger. Nicht übermittelt werden: wer geantwortet hat, auf welchen Beitrag und selbstverständlich auch nicht der Text. Die Antwort selbst holt sich deine App anschließend direkt aus dem Netz. Der Dienst führt über diese Weck-Vorgänge kein Protokoll; er merkt sich nur im Arbeitsspeicher, wann er dein Gerät zuletzt geweckt hat, damit es nicht im Dauerbetrieb klingelt (nach einem Neustart des Dienstes ist auch das weg).

Inhalt der Mitteilung: immer nur ein allgemeiner Satz – „Neuer Beitrag in einem Kanal, dem du folgst." bzw. „Jemand hat auf deinen Beitrag geantwortet." – plus eine technische Sprungmarke, damit ein Tippen in der App an der richtigen Stelle landet. Keine Namen, keine Texte, keine Beitrags-Kennung.

Speicherdauer: Die Registrierung (Geräte-Token, Maker-Codes der gefolgten Maker, Sprache, ggf. dein eigener Schlüssel) bleibt so lange gespeichert, wie Mitteilungen eingeschaltet sind. Schaltest du sie aus, meldet die App das Gerät ab und der Eintrag wird gelöscht; dasselbe passiert automatisch, sobald Apple den Token als ungültig meldet (App gelöscht oder Mitteilungen entzogen).

Ehrlich zu dieser Meldung: Sie geht bestmöglich hinaus (best-effort). War der Dienst im Moment des Umschaltens nicht erreichbar – kein Netz, oder er hat wegen zu vieler Anfragen von derselben Internet-Adresse gerade abgelehnt –, bleibt der bisherige Eintrag zunächst stehen; du bekommst darüber keinen Hinweis. Die App wiederholt die Meldung automatisch beim nächsten App-Start (und bei jeder Änderung an den Makern, denen du folgst), bis sie angekommen ist. Sicher weg ist der Eintrag, wenn du Mitteilungen ausschaltest und die App dabei Verbindung hat – oder wenn du die App löschst: dann meldet Apple den Geräte-Token als ungültig und der Dienst räumt ihn von selbst ab.

Wer das sehen könnte:

Ehrlich gesagt: Der Benachrichtigungs-Dienst erfährt durch die Antwort-Mitteilungen etwas mehr als vorher – nämlich, dass auf Beiträge dieses einen Autors geantwortet wird, und wann. Wer dir geantwortet hat, bleibt ihm verborgen; ein Gesprächsverlauf entsteht dort nicht. Willst du auch das nicht, schalte Mitteilungen aus: dann kennt der Dienst dein Gerät gar nicht. Die App funktioniert vollständig ohne sie – Antworten siehst du dann, sobald du die App öffnest.

Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du mit dem Einschalten der Mitteilungen erteilst und jederzeit durch Ausschalten widerrufen kannst.

7. Eingebettete externe Videos (YouTube / Vimeo)

Beiträge können eingebettete Videos von YouTube oder Vimeo enthalten. Diese Videos liegen nicht bei uns, sondern bei den jeweiligen Anbietern.

Es gelten die Datenschutzerklärungen von Google (policies.google.com/privacy) und Vimeo (vimeo.com/privacy).

8. Bezahlter Boost (Apple In-App-Kauf)

Wenn du eine Promo kostenpflichtig boostest, läuft die Zahlung ausschließlich über Apple (In-App-Kauf). Apple ist Zahlungsabwickler und verarbeitet deine Zahlungsdaten eigenverantwortlich (es gelten die Datenschutzbestimmungen von Apple). Ein Boost ist ein Einmalkauf (kein Abo) in vier Stufen – Hochschieben, Highlight, Top-Platz und Bühne –; jeder bezahlte Platz ist in der App als „Anzeige" gekennzeichnet.

Wir selbst betreiben einen Boost-Verifier (auf unserer Relais-Infrastruktur bei Railway, Region Amsterdam), der den Kaufbeleg von Apple prüft, um deinen Boost freizuschalten und Mehrfach-Einlösung zu verhindern. Dabei verarbeiten wir: Apple-Beleg- bzw. Transaktions-Identifier, deine Promo-/Maker-Kennung (Pubkey) sowie einen Hash des eingelösten Belegs (Replay-Schutz). Wir erhalten keine Kreditkarten-/Kontodaten von dir.

Rechtsgrundlage: Erfüllung des Boost-Kaufvertrags (Art. 6 Abs. 1 lit. b DSGVO). Serverstandort und Zugriff aus den USA wie in Abschnitt 6. Apple als eigenständiger Akteur: apple.com/legal/privacy.

9. Moderation, Meldungen und Blocklisten (Gemeinschafts-Riegel)

Für den automatisierten „Gemeinschafts-Riegel" (Einzelheiten zum Melde- und Beschwerdeverfahren: Plattform-Regeln & Meldungen (DSA)) speichert unser Relais:

Diese Daten dienen ausschließlich der automatisierten Zählung nach der in den Plattform-Regeln beschriebenen Regel; wir nutzen sie nicht für Werbung oder Profilbildung und veröffentlichen sie nicht gesondert. Aus diesen Daten bildet unser Relais einen signierten Sperr-Hinweis. Für jede App, die unser Relais anfragt, abrufbar sind nur die Inhalts-Kennung, der Urheber-Schlüssel, der Sperr-Zustand und die Frist – das ist notwendig, damit jede offizielle App eine Sperre erkennen kann. Den meistgenannten Grund geben wir dagegen ausschließlich dem betroffenen Urheber selbst heraus, über eine eigens von ihm signierte Abfrage (Nachweis: nur wer den zugehörigen Schlüssel besitzt, bekommt den Grund zu seinen eigenen Inhalten zu sehen). Hast du eigene öffentliche Inhalte (ein Profil oder mindestens ein veröffentlichtes Projekt), fragt deine App unser Relais deshalb regelmäßig mit einer von deinem Konto unterschriebenen Anfrage, ob es Hinweise zu deinen Inhalten gibt – liest du nur mit, ohne eigene Inhalte, stellt deine App diese Anfrage nie. Diese Anfrage selbst speichern wir nicht; wir merken uns lediglich kurzzeitig (bis zu elf Minuten) eine darin enthaltene Zufallszahl, um eine mitgeschnittene Wiederholung derselben Anfrage zu erkennen und abzuweisen. Die Identität der einzelnen Melder wird nie offengelegt, an niemanden. Auf deinem Gerät speichert die App die für dich abgeholten Sperr-Hinweise lokal.

Rechtsgrundlagen: Erfüllung unserer Pflichten als Hosting-Diensteanbieter (Art. 16 DSA, Art. 6 Abs. 1 lit. c DSGVO) sowie unser berechtigtes Interesse an einer funktionierenden, missbrauchsresistenten Zählregel (Art. 6 Abs. 1 lit. f DSGVO).

Speicherdauer: Die Meldedaten zu einem Inhalt löschen wir 90 Tage nach der letzten Bewegung an diesem Inhalt – dazu zählt jede weitere gezählte Meldung, nicht nur eine Sperre, eine Wiederherstellung oder ein Einspruch. Bei einer dauerhaften Sperre gilt das Gleiche: bleibt der Inhalt 90 Tage ohne weitere Bewegung gesperrt, löschen wir die öffentlichen Schlüssel der meldenden Konten endgültig – es bleibt nur noch der Sperr-Vermerk selbst (Inhalts-Kennung, Urheber, meistgenannter Grund, Zählrunde), ohne jeden Bezug zu den Meldenden; ein Einspruch bleibt dabei weiterhin möglich, solange er noch nicht verbraucht ist. Den „bekannt seit"-Vermerk eines Kontos speichern wir, bis das Konto endgültig gelöscht wird. Löschst du dein Konto endgültig, löschen wir „bekannt seit" sowie alle Sperr-Vorgänge (auch bereits versiegelte) zu deinen eigenen Inhalten; von dir bereits abgegebene Meldungen zu fremden Inhalten bleiben (nur dein öffentlicher Schlüssel, bis zu seiner Löschung nach obiger Regel) bis zum Ablauf der jeweiligen Frist bestehen. Das gilt für unser Relais: bereits von anderen Apps abgeholte, signierte Sperr-Hinweise (Inhalts-Kennung, Urheber-Schlüssel, Zustand, Frist) bleiben auf jenen Geräten bestehen, bis die jeweilige App sie selbst entfernt – nicht mehr sperrende Hinweise nach 30 Tagen, sperrende, solange die Sperre gilt.

9a. Betreiber-Sperre einzelner Bilder

Zusätzlich zum automatischen Gemeinschafts-Riegel (Abschnitt 9) kann der Betreiber ein einzelnes Bild – zum Beispiel nach einer behördlichen Anordnung oder einem begründeten Hinweis – gezielt von unserem Relais entfernen lassen. Dabei speichern wir ausschließlich einen kryptografischen Prüfwert des Bildes (nicht das Bild selbst), den Zeitpunkt, einen Grund-Code und eine interne Vorgangsnummer – nie einen Namen. Diese Angaben dienen dazu, die erneute Annahme derselben Datei zu verhindern und Rückfragen zuzuordnen.

Speicherdauer: solange die Sperre gilt, plus ein Jahr danach. Rechtsgrundlage: Erfüllung einer rechtlichen Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO) bzw. unser berechtigtes Interesse an der dauerhaften Wirksamkeit einer Löschung (Art. 6 Abs. 1 lit. f DSGVO).

Eine solche Sperre trifft gezielt die betroffene Bild-Datei, nicht das ganze Projekt oder Konto. Betrifft sie dein eigenes Bild, siehst du an der betroffenen Stelle in der App einen kurzen Hinweis; in seltenen Fällen (z. B. bei einer behördlichen Anordnung mit Mitteilungsverbot) holen wir diesen Hinweis nach, sobald wir dürfen. Möchtest du wissen, was genau passiert ist, schreib uns gern über unsere Kontaktadresse – wir erklären es dir persönlich. Mehr zum Melde- und Begründungsweg: Plattform-Regeln (DSA).

9b. Betriebs-Protokolle des Relais

Wird ein öffentlicher Inhalt über den Melden-Knopf als rechtswidrig gemeldet, vermerkt unser Relais das zusätzlich in seinem Betriebs-Protokoll: die Kennung des gemeldeten Inhalts (bei einem Profil ist das der öffentliche Schlüssel des Kontos), kryptografische Prüfwerte der enthaltenen Bilder und den Zeitpunkt. Wer gemeldet hat, wird dabei nicht gespeichert. Dieser Vermerk ist nötig, damit wir ein rechtswidriges Bild entfernen können, ohne es selbst ansehen zu müssen – bei bestimmten Inhalten wäre uns das Ansehen gesetzlich verboten.

Die Protokolle liegen beim Serverdienst (Railway, siehe Abschnitt 6) und werden dort nach sieben Tagen automatisch gelöscht; wir werten sie nicht systematisch aus. Rechtsgrundlage: Erfüllung einer rechtlichen Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO) sowie unser berechtigtes Interesse am sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

10. Löschen und seine ehrlichen Grenzen (Art. 17 DSGVO)

Du hast das Recht auf Löschung. So setzen wir es um – und wo die dezentrale Architektur an Grenzen stößt, sagen wir es offen:

Wichtig und ehrlich: Ein hartes, weltweites Löschen ist technisch nicht garantierbar. Inhalte werden dezentral an viele Teilnehmer verteilt. Bereits entschlüsselte oder kopierte Inhalte und Kopien auf fremden oder nicht-konformen Geräten können wir nicht zurückholen. Insbesondere öffentliche Profildaten (Name, Profilbild) wurden möglicherweise schon kopiert/zwischengespeichert. Wir ergreifen alle uns verfügbaren, zumutbaren technischen Mittel (signierter Lösch-Vermerk, Blockliste sowie – bei Profilen und öffentlichen Projekten – die aktive Tilgung der zwischengespeicherten Relais-Kopie bei Erhalt dieses Vermerks) – eine vollständige Garantie über das von uns Kontrollierte hinaus gibt es in einer dezentralen Architektur jedoch nicht. Diese Offenheit ist selbst Teil unserer Transparenzpflicht (Art. 13 DSGVO).

Für die Löschung von Daten, die nur wir kontrollieren (z. B. Relais-Replikat, Boost-Belege), genügt eine Nachricht an kontakt@nodavo.app. Mehr dazu: Konto & Daten löschen.

11. Deine Rechte (Art. 15–22 DSGVO)

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17, mit den in Abschnitt 10 genannten Grenzen), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) – hier durch deine selbst-souveränen Schlüssel und die lokale Datenhaltung konzeptionell gut erfüllbar – sowie Widerspruch (Art. 21) gegen Verarbeitungen auf Grundlage berechtigter Interessen. Soweit eine Verarbeitung auf Einwilligung beruht (Geräte-Prüfung, Mitteilungen, eingebettete Videos), kannst du diese jederzeit mit Wirkung für die Zukunft widerrufen: die Geräte-Prüfung per E-Mail an kontakt@nodavo.app oder durch das endgültige Löschen deines Kontos (Abschnitt 4), Mitteilungen durch Ausschalten in den Einstellungen (Abschnitt 6a), eingebettete Videos, indem du sie nicht abspielst (Abschnitt 7). Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Außerdem hast du nach Art. 22 DSGVO bei einer automatisierten Sichtbarkeits-Sperre eines Inhalts (dem „Gemeinschafts-Riegel", Abschnitt 9) das Recht, menschliches Eingreifen zu verlangen, deinen Standpunkt darzulegen und die Entscheidung anzufechten – über die automatisierte In-App-Funktion „Einspruch" hinaus genügt dafür eine Nachricht an unsere Kontaktstelle; wir sehen uns den Einzelfall dann persönlich an.

Zur Ausübung genügt eine Nachricht an kontakt@nodavo.app. Du hast außerdem das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (zuständig u. a. die Aufsichtsbehörde deines Wohnsitzlandes bzw. die für RocDev Solutions zuständige Behörde in Niedersachsen).

12. Pseudonym ist nicht anonym

Auch ohne Klarnamen bist du nicht anonym: Dein öffentlicher Schlüssel ist ein dauerhaftes, verkettbares Pseudonym; deine IP-Adresse ist den Relais-Servern gegenüber sichtbar (auch beim bloßen Lesen); aus deinen öffentlichen Aktivitäten kann ein Profil/Beziehungsgraph entstehen. Wir behaupten ausdrücklich kein „100 % anonym" und keine Unverfolgbarkeit.

13. Minderjährige

Nodavo richtet sich an Personen ab 17 Jahren und nicht an Kinder. Beim ersten Öffnen der App bestätigst du selbst, mindestens 17 Jahre alt zu sein („17 oder älter"; Selbstauskunft, keine Altersprüfung) – das liegt über der Grenze von 16 Jahren, ab der du nach Art. 8 DSGVO selbst einwilligen kannst. Wir richten den Dienst nicht an Kinder und verarbeiten nicht wissentlich Daten von Kindern.

14. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert. Maßgeblich ist die jeweils auf dieser Seite veröffentlichte Fassung (Stand oben).

Stand: 2. Oktober 2026. Diese Datenschutzerklärung ist eine Vorab-Fassung und wird vor einem vollständig offenen Launch fachanwaltlich finalisiert. Keine verbindliche Rechtsberatung.