Datenschutz

Wer verantwortlich ist

Verantwortlich für die hier beschriebenen Daten im Sinne der DSGVO ist:

Verantwortlicher

Small Victories - BE 0793.301.929

Anschrift

Mellestraat 303, 9090 Merelbeke-Melle.

E-Mail

hello@rilotalk.com

Was wir halten

Die vollständige Liste, Tabelle für Tabelle und Spalte für Spalte, steht auf der technischen Seite. Sie wird aus derselben Datei erzeugt, die der Server ausführt, die beiden können also nicht auseinanderdriften. Sie ist kurz, weil der Server ein Vermittler ist und kein Zwischenhändler. Er stellt zwei Geräte einander vor und geht dann aus dem Weg.

Eine zufällige Konto-Kennung

Auf dem Gerät erzeugt. Sie leitet sich nicht von deinem Namen, deiner Telefonnummer oder sonst etwas über dich ab, und sie ist der einzige Name, unter dem der Server dich kennt.

Einen öffentlichen Schlüssel

Die öffentliche Hälfte eines Schlüsselpaars, das dein Gerät erzeugt hat und behält. Damit kann das andere Handy sicher sein, dass es wirklich mit dir spricht.

Überhaupt keine Namen

Auf unserem Server gibt es nirgends eine Spalte für Namen, weder für Erwachsene noch für Kinder. Namen und Gesichter werden auf jedem Handy gewählt und reisen direkt zwischen den beteiligten Handys, in einem QR-Code oder versiegelt, sodass nur das andere Handy sie öffnen kann. Wir könnten dir nicht sagen, wie dein Kind seine Großmutter nennt.

Ein Push-Token

Die Adresse, über die Apple oder Google dein Handy für einen eingehenden Anruf weckt. Sie kommt von ihnen, nicht von uns, und sie ändert sich von selbst.

Verantwortliche Erwachsene und laufende Vorstellungen

Dass ein Konto einen verantwortlichen Erwachsenen hat. Und, nur solange eine Vorstellung noch nicht abgeschlossen ist, die beiden Konten, zwischen denen sie läuft. Keine Namen, sondern Konto-Kennungen. Sobald beide Handys den fertigen Kontakt haben, wird diese Zeile gelöscht, es gibt also keine Liste, wer wen anrufen darf.

Einen Zeitstempel der letzten Aktivität

Damit ein Konto, das lange niemand benutzt hat, weggeräumt werden kann, statt für immer zu bleiben.

Kurz eine E-Mail-Adresse

Nur bei Erwachsenen, nur bei der Anmeldung, und nur um zu prüfen, dass ein Erwachsener ein Erwachsener ist. Die lesbare Kopie wird vernichtet, sobald sie bestätigt ist. Was beim Konto bleibt, ist dieselbe Adresse, versiegelt mit dem Offline-Schlüssel des Gründers, ein rechtlicher Nachweis der Einwilligung, den kein Server öffnen kann. Weiter unten steht mehr, samt dem Mail-Anbieter, durch den sie auf dem Weg zu dir läuft.

Absturzberichte, ohne Namen darauf

Wenn die App abstürzt oder hängt, schickt sie uns die Stelle im Code, an der es kaputtging, die Version der App und die Version von iOS oder Android. Kein Konto, kein Gerätemodell, keine Nachricht und kein Name, also lässt sich ein Bericht keiner Familie zuordnen. Deshalb können wir deinen auch nicht wiederfinden, wenn du danach fragst. Jeder Bericht ist eine Datei auf unserem Server und wird nach 90 Tagen gelöscht.

Das ist alles. Es gibt kein Profil, kein Adressbuch, keinen Verlauf, wer wen angerufen hat, und keinen Vermerk darüber, was gesagt wurde.

Was wir nie halten

Das sind keine Dinge, bei denen wir uns entschieden haben, nicht hinzusehen. Es sind Dinge, die die Software nicht hervorbringen kann.

• Was gesagt wird. Anrufe und Nachrichten sind zwischen den beiden Handys Ende-zu-Ende-verschlüsselt. Die Schlüssel verlassen die Geräte nie, der Server trägt also versiegelten Verkehr, den er nicht öffnen kann.
• Die Kontaktliste deines Kindes. Wer wen anrufen darf, wird auf den Handys entschieden und bleibt dort. Wir sehen, dass zwei Konto-Kennungen verbunden sind. Wir sehen nicht, dass das dein Kind und seine Großmutter sind.
• Standort. Die Apps fragen nie danach und schicken ihn nie.
• Werbe-Kennungen. In Rilo gibt es keine Werbung, keine Analyse und in keiner der beiden Apps Tracking-Code von Dritten.
• Irgendetwas zum Verkauf. Wir verkaufen, vermieten oder teilen keine personenbezogenen Daten mit irgendwem für dessen eigene Zwecke.

Die Beta-Liste, die diese Website früher hatte

Eine Sache hier gehört überhaupt nicht zur App. Bis Rilo im App Store war, verlinkte diese Website auf eine Beta-Liste, und das tut sie nicht mehr. Wenn du dich eingetragen hast, hast du uns eine E-Mail-Adresse gegeben und sonst nichts. Keinen Namen, keine Telefonnummer, und nichts über ein Kind. Wir benutzen sie, um zu sagen, wenn es etwas auszuprobieren gibt, und für nichts anderes. Die Liste liegt bei Tally und nicht auf unserem Server, weshalb diese Seite Tally weiter unten nennt. Die Grundlage ist deine Einwilligung, gegeben durch das Eintippen der Adresse, und eine Zeile an hello@rilotalk.com entfernt sie. Nichts auf dieser Liste hängt an einem Rilo-Konto, weil in einem Konto nichts steht, woran es hängen könnte.

Warum wir es halten dürfen

Die Rechtsgrundlage ist Artikel 6 Abs. 1 lit. b DSGVO. Die Daten sind das, was nötig ist, um den Dienst zu erbringen, um den ein Elternteil uns gebeten hat. Die eine Ausnahme ist die oben beschriebene Beta-Liste, die auf deiner Einwilligung nach Artikel 6 Abs. 1 lit. a ruht und genau so lange hält, wie du willst. Nichts ruht auf einem berechtigten Interesse am Profiling, weil es kein Profiling gibt.

Für das Abo ist die Grundlage derselbe Vertrag; die Zahlung selbst wickeln Apple oder Google ab, die Händler sind und die Kartendaten halten. Wir sehen sie nie.

Kinder

Rilo ist für Kinder von etwa vier bis zehn gebaut, und ein Kinderkonto kann nur existieren, weil ein Erwachsener es angelegt hat. Ein Kinderkonto ist ein Zertifikat, signiert mit dem Schlüssel eines Elternteils. Ein Kind kann keines allein anlegen, und es gibt keine Einstellung, mit der ein Kind erwachsen wird.

Weil der Dienst auf Grundlage eines Vertrags mit dem Elternteil erbracht wird und jedes Kinderkonto von diesem Elternteil auf dem eigenen Gerät angelegt und freigegeben wird, stützen wir uns nicht auf die Einwilligung nach Artikel 8. Die Freigabe der Eltern ist ein kryptografischer Akt und kein Häkchen.

Wir bewahren keinen lesbaren Vermerk der Adresse auf. Sie wird im selben Schritt geprüft und vernichtet, und beim Konto bleibt dieselbe Adresse, versiegelt mit dem Offline-Schlüssel des Gründers, den kein Server öffnen kann. Was belegt, dass ein Elternteil zugestimmt hat, ist die Signatur. Das Konto eines Kindes ist ein Zertifikat, signiert mit dem Schlüssel seines Elternteils, und das zeigt, dass ein Erwachsener dieses Konto angelegt und freigegeben hat, ohne uns zu sagen, wer dieser Erwachsene ist.

Wer sonst beteiligt ist

Sechs weitere Firmen berühren zwangsläufig einen Teil davon. Keine von ihnen bekommt etwas über dein Kind, und keiner werden Daten für eigene Zwecke geschickt.

Apple

Stellt Anruf- und Nachrichtenbenachrichtigungen auf iPhones zu und wickelt Abos ab, die unter iOS gekauft werden. Apple sieht ein Push-Token und die Tatsache, dass eine Benachrichtigung geschickt wurde, nicht ihren Inhalt.

Google

Dasselbe für Android, über Firebase Cloud Messaging, und Google Play wickelt auf Android gekaufte Abos über seine Abrechnungsbibliothek in der App ab. Die App fragt Google Play außerdem nach einer Altersgruppe, die auf dem Handy gelesen und nie gespeichert oder an uns geschickt wird. Kein Google- oder Firebase-Baustein in der App macht Analyse, Absturzberichte oder Werbung.

Cloudflare

Stellt das Relais, das manche Gespräche brauchen, wenn zwei Heimnetze sich weigern, direkt miteinander zu sprechen. Das Relais leitet verschlüsselte Pakete weiter, die es nicht lesen kann, und wird nur benutzt, wenn eine direkte Verbindung scheitert. Cloudflare beantwortet außerdem die Frage, die jedes Gespräch als Erstes stellt: „Welche Adresse habe ich selbst im Internet?“ Sie sehen also, dass ein Handy ein Gespräch beginnt, und von wo aus, auch wenn das Gespräch dann direkt läuft.

Oracle

Betreibt den Signalisierungsserver, in der Europäischen Union. Sie sind unser Hosting-Anbieter und verarbeiten nichts auf eigene Rechnung.

Brevo

Verschickt die eine E-Mail, die dieses Produkt je verschickt, nämlich den Code, der einen Erwachsenen bei der Anmeldung bestätigt. Deine Adresse läuft durch Brevo, um dich zu erreichen, sie steht also so lange in deren Protokollen, wie deren Aufbewahrung sagt, auch wenn sie nie in unseren steht. Es ist die eine Stelle, an der eine Rilo-Adresse außerhalb deines eigenen Postfachs existiert, und wir nennen sie lieber, als den Satz darüber etwas anderes andeuten zu lassen.

Tally

Hält die Beta-Liste, auf die diese Website früher verlinkte: die Adressen, die Leute in das Formular getippt haben, und sonst nichts. Die App und den Server berührt es nie.

Auf dieser Liste steht kein Analyse-Anbieter, kein Werbenetzwerk, keine Kundendatenplattform und kein KI-Dienst, weil es sie im Produkt nicht gibt.

Wie lange wir es behalten

Kontoeinträge halten so lange wie das Konto. Die lesbare Kopie der Bestätigungsmail wird in dem Moment vernichtet, in dem sie ihre Arbeit getan hat. Der versiegelte, unlesbare Nachweis von oben bleibt beim Konto. Nachrichten, die auf ein ausgeschaltetes Handy warten, werden verschlüsselt gespeichert und nach der Zustellung gelöscht, oder nach einer kurzen Frist, wenn sie nie abgeholt werden. So oder so sind es Klumpen, die wir nicht lesen können.

Du kannst dein Konto jederzeit aus der App heraus entfernen, und es nimmt alles mit, was daran hängt; die Löschseite sagt, wo das steht und was noch möglich ist, wenn das Handy weg ist. Wir bauen gerade ein automatisches Wegräumen von Familien, die Rilo ganz aufgegeben haben; bis es eingeschaltet ist, verschwindet hier nichts von selbst.

Eine Ausnahme dazu. Die Datenbank wird jede Nacht verschlüsselt gesichert, damit ein Hardwarefehler nicht das Ende der Kontakte deiner Familie ist. Und eine Sicherung, die vor deinem Löschen gemacht wurde, enthält das Gelöschte noch. Diese Kopien bleiben 30 Tage und werden dann vernichtet, eine Löschung wird also binnen eines Monats überall wahr. Es ist dasselbe Fenster, in dem wir eine nicht zugestellte Nachricht halten, und wir nennen es lieber, als den Satz darüber absoluter klingen zu lassen, als er ist.

Deine Rechte

Nach der DSGVO kannst du von uns verlangen, dass wir

• dir sagen, was wir über dich halten, und dir eine Kopie geben;
• es berichtigen, wenn es falsch ist;
• es löschen;
• es in einer übertragbaren Form herausgeben;
• die Verarbeitung stoppen oder einer bestimmten Verwendung widersprechen.

Für das meiste davon ist die App der Weg. Was unser Server weiß in den Einstellungen listet jede Spalte auf, die der Server hat, und Mein Konto löschen darunter erledigt das Löschen, ganz ohne uns zu fragen. Schreib an die Adresse oben für alles, was die App nicht kann. Der unangenehme Teil, offen gesagt. Wir halten keinen Namen, keine E-Mail-Adresse und kein Passwort, in einem Brief steht also meistens nichts, was wir einem Konto zuordnen könnten. Artikel 11 der DSGVO deckt genau das ab. Ein Verantwortlicher, der eine Person aus dem, was er hält, nicht identifizieren kann, sollte das sagen statt zu raten. Wenn das Handy weg ist, legt die Löschseite dar, was noch möglich ist.

Du kannst dich auch bei der belgischen Datenschutzbehörde beschweren (Gegevensbeschermingsautoriteit / Autorité de protection des données) oder bei der Aufsichtsbehörde an deinem Wohnort.

Änderungen

Wenn sich diese Erklärung so ändert, dass es betrifft, was wir halten oder wer es sieht, sagen die Apps es, bevor die Änderung wirksam wird, statt diese Seite still neu zu veröffentlichen.

Zuletzt aktualisiert am 14. September 2026. Diese Erklärung wurde noch nicht von einer Anwältin geprüft.