Datenschutzerklärung

0. Kurz gesagt

Der Text deiner Nachrichten wird auf deinem Gerät verschlüsselt und kann nur von den Menschen gelesen werden, denen du ihn schickst. Wir können ihn nicht lesen, und Google, dessen Server wir mieten, auch nicht.

Was wir sehen können, ist, dass ein Gespräch stattgefunden hat: welche Konten daran beteiligt sind und wann sie aktiv waren. Das zu entfernen ist schwerer, als die Inhalte zu verschlüsseln, und wir sind damit nicht fertig. Diese Richtlinie sagt genau, wo die Grenze derzeit verläuft.

1. Was Ende-zu-Ende-verschlüsselt ist

Auf deinem Gerät verschlüsselt, für uns und für Google unlesbar:

• Der Text deiner Nachrichten.
• Die Inhalte von Dateien, Fotos, Audio und Video, die du anhängst.
• Linkvorschauen.
• Sprach- und Videoanrufe, die zwischen den beiden Geräten das verpflichtende DTLS-SRTP von WebRTC nutzen.

Die meisten Einzel- und Gruppennachrichten nutzen zusätzlich eine Ratsche: Jede Nachricht hat ihren eigenen Schlüssel, sodass ein kompromittiertes Gerät frühere Nachrichten nicht preisgibt. Gespräche, in denen jemandes Client das neuere Schlüsselmaterial nicht veröffentlicht hat, fallen auf einen einzelnen langlebigen Schlüssel zurück, der diese Eigenschaft nicht hat. Die Kennzeichnung unter einer Nachricht sagt dir, welchen Weg sie tatsächlich genommen hat.

Nur eines überschreitet diese Linie, und nur, wenn du darum bittest: einen Namen auf Wikipedia nachzuschlagen sendet diesen einen Namen, nicht die Nachricht, aus der er stammt. Abschnitt 6 sagt, wer ihn erhält, und die Abfrage geschieht beim Tippen und sonst nicht, es gibt also nichts abzuschalten. Zusammenfassen, Übersetzen und Transkribieren würden sie ebenfalls überschreiten — sie sind in dieser Version abgeschaltet, und es gibt in der App keine Einstellung, die sie einschaltet.

2. Was nicht verschlüsselt ist, und was wir sehen können

Verschlüsselung schützt Inhalte, nicht die Tatsache eines Gesprächs. Folgendes liegt im Klartext auf unseren Servern:

• Wer an welchem Gespräch beteiligt ist und wann es erstellt wurde und zuletzt aktiv war.
• Der Zeitstempel jeder Nachricht und wie viele du nicht gelesen hast.
• Dateiname, Typ und Größe eines Anhangs. Die Bytes sind verschlüsselt, ihre Beschreibung nicht, und die Länge des Chiffrats begrenzt die Länge des Originals.
• Deine Freunde und Freundschaftsanfragen.
• Anrufsignalisierung — dass ein Anruf geführt wurde, mit wem und wann. Nicht dessen Ton oder Bild.

Schreibanzeige und Lesebestätigungen sind aus, solange du sie nicht einschaltest, und während sie aus sind, wird nichts geschrieben.

Was hier nicht mehr steht: deine E-Mail-Adresse und dein Name. Seit September 2026 enthält der Kontodatensatz nur noch eine Kontokennung — und seitdem gibt es nirgends mehr eine Adresse, die dort stehen könnte. Die Registrierung fragt nichts über dich: dein Konto ist eine 24-Wort-Wiederherstellungsphrase, und die Anmeldedaten, die Firebase Authentication prüft, werden daraus abgeleitet. Gespeichert wird dort eine zufällige Kennung unter einer Domain, die keine Post empfangen kann.

Und getrennt davon: Weil die App auf Google Firebase läuft, kann Google die IP-Adresse und den Zeitpunkt jeder Verbindung sehen, die dein Gerät dorthin aufbaut. Das ist eine Eigenschaft des Hostings, nicht der App, und wir können es nicht wegverschlüsseln.

3. Wie andere dich finden

Sie können nicht nach dir suchen. Es gibt kein Verzeichnis — keine Suche nach E-Mail, Telefonnummer oder Name — und der Server weist jede Abfrage ab, die es versucht.

Du erreichst jemanden, indem du ihm außerhalb der App einen Einladungslink schickst, über was auch immer du ohnehin nutzt. Ein Link funktioniert einmal, läuft nach 24 Stunden ab und kann zurückgezogen werden. Wie du jemanden nennst, ist deine eigene Bezeichnung für ihn, die dir gehört; hat er sich vorgestellt, ist dieser Name verschlüsselt bei dir angekommen.

4. Was wir erheben

• Kontodaten: eine Kontokennung und ein aus deiner Wiederherstellungsphrase abgeleitetes Anmeldegeheimnis, gehalten in Firebase Authentication. Keine E-Mail-Adresse, keine Telefonnummer, kein Name — die Registrierung fragt nach keinem davon.
• Der Chiffretext von Nachrichten und Anhängen, dazu die Metadaten aus Abschnitt 2.

Das ist die ganze Liste. Es gibt keine Analyse und keine Absturzberichte. Die App schickte früher Bildschirmaufrufe an Firebase Analytics und Abstürze an Firebase Crashlytics, beides mit deiner Kontokennung, also war keines davon anonym; beides ist weg, samt der Bibliotheken, die es gesendet haben. Fehler werden während der Entwicklung auf dem Rechner der entwickelnden Person ausgegeben und gehen nirgendwo sonst hin.

5. Wo es gespeichert wird

Auf Google Firebase — Firestore, Storage und Authentication — unter Sicherheitsregeln, die festlegen, wer welches Dokument lesen und schreiben darf.

Auf deinem Gerät werden zwischengespeicherte Nachrichten, Einstellungen und deine App-Sperr-PIN mit einem gerätespezifischen Schlüssel verschlüsselt, der im Schlüsselspeicher der Plattform liegt (iOS Keychain, Android Keystore) und nicht im gewöhnlichen App-Speicher.

Der private Schlüssel, der deine Nachrichten entschlüsselt, verlässt dein Gerät nie — außer als die Wiederherstellungsphrase, die du dir selbst notierst. Wir haben ihn nicht und können ihn nicht für dich wiederherstellen. Geht er verloren, sind die an dieses Gerät gesendeten Nachrichten nie wieder lesbar — von niemandem, uns eingeschlossen.

Versionen bis einschließlich 1.2.0 haben bei jeder Anmeldung außerdem eine Kopie der Phrase in Google Block Store gespeichert, dem eigenen Backup von Android. Hatte dein Telefon eine Displaysperre, wurde diese Kopie Ende-zu-Ende-verschlüsselt mit deinem Google-Konto synchronisiert. Ab Version 1.2.1 tut die App das nicht mehr und löscht diese Kopie bei jedem Start.

6. Wer sonst Daten erhält

Wir verkaufen, tauschen oder vermieten deine personenbezogenen Daten nicht. Daten erreichen:

• Google Firebase — unseren Hosting-Anbieter, wie oben beschrieben.
• Cloudflare Realtime — Audio und Video eines Anrufs, wenn dein Gerät und das der anderen Person sich nicht direkt erreichen können.
• Die Wikimedia Foundation — ein einzelner Name, wenn du ihn antippst, um ihn auf Wikipedia nachzuschlagen.
• Google Cloud Speech-to-Text — die Audioaufnahme einer Sprachnachricht, wenn du ein Transkript anforderst.
• Google Cloud Translation — den Text einer Nachricht, wenn du eine Übersetzung anforderst.
• Cloudflare Workers AI — bis zu die letzten 50 Nachrichten eines Gesprächs, wenn du eine Zusammenfassung anforderst oder eine Frage dazu stellst.

Die letzten drei sind in dieser Version abgeschaltet. Es gibt in der App keine Einstellung, die Transkription, Übersetzung oder Zusammenfassungen einschaltet, also erreicht diese drei Dienste nichts. Sie stehen hier, statt gelöscht zu sein, weil der Code noch da ist und die Funktionen zurückkommen sollen — und wenn sie das tun, kommen sie mit dieser Offenlegung und mit einer Nachfrage vor dem ersten Mal zurück. Was dann gesendet würde, wird gesendet, um dein Ergebnis zu erzeugen, nicht um etwas zu trainieren; weder ein Transkript noch eine Übersetzung wird auf unseren Servern gespeichert.

Das Nachschlagen hat keinen Schalter, weil es nichts Dauerhaftes abzuschalten gibt: Es läuft beim Antippen und sonst nicht. Wikipedia erhält diesen Namen und deine IP-Adresse, genau wie wenn du ihn selbst in das Suchfeld getippt hättest — kein Konto, keine Nachricht, kein Gespräch. Was zurückkommt, wird angezeigt und nicht gespeichert, und nichts davon wird in das Gespräch geschrieben.

Cloudflare Realtime hat ebenfalls keinen Schalter. Die meisten Anrufe brauchen es nicht: Zwei Geräte, die sich direkt erreichen können — die meisten Anrufe im selben Netzwerk —, verbinden sich ohne es, und nichts wird weitergeleitet. Wenn das nicht möglich ist, häufig weil ihr in unterschiedlichen Mobilfunknetzen seid, wird der bereits verschlüsselte Anruf weitergeleitet, statt gar keine Verbindung zuzulassen. Was Cloudflare sieht, sind beide IP-Adressen, der Zeitpunkt des Anrufs und ungefähr, wie viele Daten übertragen wurden; Audio und Video bleiben unter derselben in Abschnitt 2 beschriebenen DTLS-SRTP-Verschlüsselung, sodass die Weiterleitung sie nicht entschlüsselt.

Wir können offenlegen, was wir haben, wenn das Gesetz es verlangt. Was wir haben, ist die Liste aus Abschnitt 2. Nachrichteninhalte können wir nicht herausgeben, weil wir sie nicht lesen können.

7. Push-Benachrichtigungen

Firebase Cloud Messaging stellt Benachrichtigungen zu. Dein Gerätetoken liegt in einem privaten Teil deines Kontos, den nur du lesen kannst.

Benachrichtigungen enthalten keinen Nachrichtentext. Dein Gerät entschlüsselt die Nachricht lokal und setzt zusammen, was du siehst; Google liefert den Umschlag, nicht den Inhalt.

8. Was du tun kannst

• Lösche dein Konto im Profil. Inhalte, die gemeinsamer Teil eines Gesprächs sind — ein Anrufeintrag etwa — bleiben beim anderen Teilnehmer, denn es ist auch dessen Aufzeichnung.
• Exportiere deine Daten im Profil.
• Lass Nachrichten pro Chat ablaufen: 1 Stunde, 24 Stunden, 7 Tage oder 30 Tage.
• Schalte Schreibanzeige und Lesebestätigungen ein oder aus. Beide sind standardmäßig aus.
• Sperre die App mit PIN oder Biometrie.
• Zieh einen Einladungslink zurück, den du weitergegeben hast.

Wenn dir lieber ist, dass wir etwas von Hand löschen, schreib uns.

9. Aufbewahrung

Wir bewahren deine Daten auf, solange dein Konto besteht. Das Löschen des Kontos löscht sie, bis auf die oben genannten gemeinsam gehaltenen Inhalte. Der Ablauf pro Chat entfernt Nachrichten nach dem Zeitplan, den du festlegst.

10. Grenzen, die du kennen solltest

Wir sagen dir das lieber, als dass du es selbst herausfindest.

• Schlüsseln wird beim ersten Sehen vertraut. Hätte jemand einen Schlüssel ausgetauscht, bevor ihr je eine Nachricht gewechselt habt, wäre das Gespräch an die falsche Person verschlüsselt und sähe völlig normal aus. Die App warnt dich, wenn sich ein Schlüssel danach ändert, und zeigt eine Sicherheitsnummer, die ihr außerhalb der App vergleichen könnt — nichts zwingt dich jedoch dazu.
• Ein Gerät zur Zeit. Deine Wiederherstellungsphrase stellt den Schlüssel wieder her, der deinen Verlauf öffnet, also geht beim Anmelden auf einem neuen Gerät nichts von dem verloren, was du bereits empfangen hast. Vorwärtsgeheime Gespräche nutzen einen zweiten Schlüssel, der das Gerät, das ihn erzeugt hat, nie verlässt: erreicht wird immer das zuletzt angemeldete Gerät, und was in der Zwischenzeit an das andere versiegelt wurde, lässt sich nicht hinübertragen.
• Nachrichten, die vor Einführung der Verschlüsselung gesendet wurden, bleiben, wie sie waren. Nichts wurde nachträglich umgewandelt.
• Diese App wurde nie unabhängig sicherheitsgeprüft.

11. Kinder

Chatterbox ist nicht für Kinder unter 13 Jahren gedacht, und wir erheben wissentlich keine Daten von ihnen. Wenn du glaubst, dass ein Kind uns personenbezogene Daten gegeben hat, wende dich an uns, und wir löschen sie.

12. Änderungen

Wir können diese Richtlinie aktualisieren. Wesentliche Änderungen kündigen wir in der App an, und das Datum oben ist der Zeitpunkt der letzten Änderung.

13. Kontakt

Fragen zu dieser Richtlinie: [email protected]

14. Nach einer neueren App-Version suchen

Google Play ist nicht der Weg, wie diese App auf dein Android-Handy gelangt. Sie wird stattdessen von chatterbox.fans heruntergeladen, und ein Store, der nicht eingebunden ist, kann nicht in deinem Namen nach Updates suchen — also kann die App das selbst, wenn du sie darum bittest.

Ein Tippen auf „Jetzt prüfen" sendet eine einzige Anfrage an chatterbox.fans, welche Version aktuell ist. Diese Anfrage enthält deine IP-Adresse und sonst nichts — kein Konto, keine Gerätekennung, keine Nachricht. Zurück kommt eine Versionsnummer, die auf deinem Handy mit der laufenden Version verglichen wird; nichts wird automatisch heruntergeladen, und nichts von der Prüfung wird in die Unterhaltung geschrieben.

Dafür gibt es keinen Schalter, weil es nichts abzuschalten gibt: Es läuft nur beim Antippen und sonst nicht.

Installierst du das Update, ersetzt es die App an Ort und Stelle mit demselben Signaturschlüssel — genauso, wie es ein Update von Google Play tun würde.