Datenschutz

Diese Datenschutzerklärung gilt für die öffentliche Website schwirren.de, die Android-App SCHWIRREN sowie den Unternehmens-Webzugang. Welche Verarbeitung jeweils stattfindet, ist in den einzelnen Abschnitten ausdrücklich gekennzeichnet.

1. Verantwortlicher

Schwirren
Thomas Weiß
c/o COCENTER
Koppoldstr. 1
86551 Aichach
E-Mail: thomas.weiss@schwirren.de

2. Nutzung ohne Nutzerkonto

Die Schwirren-App kann von normalen Nutzern ohne persönliches Nutzerkonto verwendet werden. Zur Bereitstellung des Live-Angebots werden veröffentlichte Beiträge mit Zeit-, Orts- und Mediendaten verarbeitet.

3. Unternehmensbereich und Registrierung

Für Registrierung und Verwaltung von Unternehmenskonten verarbeitet Schwirren insbesondere E-Mail-Adresse, Unternehmensname, Standort sowie freiwillig hinterlegte Kontaktangaben wie Website und Telefonnummer. Nach Bestätigung der E-Mail-Adresse prüft Schwirren serverseitig, ob die für eine automatische Freigabe erforderlichen Profilangaben plausibel sind. Website und Telefonnummer können dazu technisch normalisiert und mit bereits vorhandenen Unternehmenskonten auf offensichtliche Doppelregistrierungen verglichen werden. Wird eine vollständige Anschrift angegeben, wird diese für die automatische Adressprüfung serverseitig an die Google Maps Geocoding API übermittelt, um zu prüfen, ob die Anschrift als reale Adresse auflösbar ist. Schwirren speichert aus dieser Prüfung nur den Prüfstatus, den Prüfzeitpunkt und zur Vermeidung unnötiger Wiederholungsprüfungen einen technischen Fingerabdruck der unveränderten angegebenen Anschrift; von Google gelieferte Koordinaten oder die Geocoding-Antwort werden hierfür nicht dauerhaft gespeichert. Auffällige, nicht verifizierbare oder bei der Prüfung technisch unklare Registrierungen werden nicht automatisch abgelehnt, sondern können zur manuellen Prüfung im Status „pending“ verbleiben.

Bei der Unternehmensregistrierung speichert Schwirren die akzeptierte Version der Nutzungsbedingungen und einen serverseitigen Zeitpunkt beim Abschluss der Registrierung im Unternehmenskonto, um die Zustimmung zu dokumentieren. Die Dokumentation ist für das Unternehmen und die Administration zugänglich und wird mit dem Unternehmenskonto gelöscht, soweit keine gesetzliche Pflicht oder erforderliche Rechtsverteidigung eine weitere Aufbewahrung verlangt.

4. Nutzung und technische Kennzahlen

Zur Messung der aggregierten App-Reichweite erzeugt die Android-App lokal eine zufällige Installationskennung. An den Server wird diese Kennung übertragen und dort für die Reichweitenmessung mit einer eigenen HMAC-Ableitung pseudonymisiert. Diese Reichweitenkennung ist technisch von Hashes getrennt, die Schwirren beispielsweise für Drosselung oder Meldungen verwendet. Gespeichert werden insbesondere erster und letzter Aktivitätszeitpunkt, erster und letzter Aktivitätstag sowie die aktiven Kalendertage innerhalb eines rollierenden Fensters der letzten 31 Tage. Daraus werden Tages-, 7-Tage-, 30-Tage- und Gesamtkennzahlen sowie tägliche aggregierte Schnappschüsse gebildet. Die Kennung dient nicht zur Erstellung eines persönlichen Nutzerprofils. Für die Funktion „Dein Schwirr“ werden zusätzlich ausschließlich tägliche aggregierte Zähler für das Starten, Erstellen, erneute Zusammenstellen und Antippen der Teilen-Funktion gespeichert. Der tatsächliche Versand einer geteilten Nachricht wird dadurch nicht erfasst. Für diese Zähler werden keine einzelnen „Dein Schwirr“-Ereignisverläufe gespeichert.

Zusätzlich wird pro App-Sitzung eine zufällige, nicht dauerhaft auf dem Gerät gespeicherte Sitzungskennung erzeugt und serverseitig gehasht. Damit können zusammengehörige anonyme Nutzungsschritte wie Suche, Beitragsöffnung, Route, Kontakt oder Teilen in ihrer Reihenfolge ausgewertet werden.

Auf der öffentlichen Website wird für die Reichweitenmessung keine dauerhafte oder sitzungsbezogene Browserkennung gespeichert. Beim Aufruf der öffentlichen Website wird lediglich ein aggregierter Seitenaufruf für den jeweiligen Kalendertag serverseitig gezählt. Dabei wird für diesen Zweck keine Kennung im Browser gespeichert und keine Wiedererkennung einzelner Besucher vorgenommen. Die Anzeige im Administrationsbereich dient nur als einfache Gesamtzahl der Website-Aufrufe.

Im Unternehmens-Webzugang wird dagegen lokal im Browser eine zufällige dauerhafte Browserkennung gespeichert. Sie wird bei KI-Anfragen ausschließlich zur technischen Drosselung und Missbrauchsabwehr verwendet. Serverseitig wird hierfür nur eine kryptografisch gehashte Ableitung verarbeitet; die Kennung dient nicht zur öffentlichen Reichweitenmessung und nicht zur Erstellung eines persönlichen Nutzerprofils.

Für die Favoritenfunktion speichert die Android-App die ausgewählten Unternehmen lokal auf dem Gerät. Damit ein Unternehmen ausschließlich die Gesamtzahl seiner Favoriten sehen kann, wird die zufällige Installationskennung serverseitig nur als kryptografischer Hash zur eindeutigen Zählung verwendet. Unternehmen erhalten keine Identität einzelner Nutzer. Eine serverseitige Favoritenzuordnung bleibt bis zum Entfernen des Favoriten oder Löschen des Unternehmens bestehen. Das Löschen lokaler App-Daten entfernt die auf dem Gerät gespeicherte Favoritenliste; ein zuvor erzeugter pseudonymisierter Zählmarker kann serverseitig weiterbestehen.

5. Kontakt und Meldungen

Bei Nutzung des Kontaktformulars werden Kategorie und Nachricht sowie eine freiwillig angegebene E-Mail-Adresse verarbeitet. Kontaktanfragen werden grundsätzlich 12 Monate nach Abschluss der Anfrage gelöscht, sofern keine gesetzliche Pflicht eine längere Speicherung verlangt.

Wird ein Beitrag gemeldet, verarbeitet Schwirren die Beitragskennung und eine technisch abgeleitete, gehashte Installationskennung, um Mehrfachmeldungen derselben App-Installation zu begrenzen.

6. Firebase, Push und technische Infrastruktur

Schwirren nutzt Dienste von Google Firebase für die Anmeldung von Unternehmen, Datenbank, Mediendateien, serverseitige Funktionen, Push-Benachrichtigungen und Absturzdiagnose. Dabei können technisch erforderliche Geräte-, App-, Netzwerk- und Fehlerdaten verarbeitet werden.

Aktiviert ein Unternehmen freiwillig die Beitragserinnerungen, wird ein Firebase-Cloud-Messaging-Registrierungstoken dem Unternehmenskonto zugeordnet und zusammen mit dem Aktivierungsstatus sowie dem Zeitpunkt der letzten Erinnerung verarbeitet. Beim Ausschalten der Erinnerungsfunktion werden die dafür gespeicherten Push-Tokens gelöscht; ungültige Tokens werden ebenfalls entfernt. Bei Löschung des Unternehmenskontos werden die zugehörigen Push-Tokens gelöscht.

7. KI-Verarbeitung, Spracheingabe und OpenAI

Für die Verarbeitung natürlichsprachlicher Eingaben verwendet Schwirren KI-Dienste von OpenAI. Dabei werden die für die jeweilige Anfrage erforderlichen Texte serverseitig über Schwirren an OpenAI übertragen. Der OpenAI-Zugangsschlüssel befindet sich nicht in der App.

Bei der freiwilligen Spracheingabe im Unternehmens-Webzugang wird die Audioaufnahme zur Transkription zunächst an eine Schwirren-Serverfunktion und von dort an OpenAI übertragen. Schwirren hält die Audiodatei dort nur temporär für die Transkription vor und löscht die temporäre Datei anschließend. Die Audioaufnahme wird nicht als Search-Learning-Datensatz gespeichert. Das erzeugte Transkript kann anschließend wie eine Texteingabe für die KI-Verarbeitung verwendet werden.

Für die Aufbereitung von Unternehmenseingaben, die Erstellung von Suchvektoren und die Bewertung passender Treffer werden die erforderlichen Texte an OpenAI übermittelt. Bei der Trefferbewertung umfasst dies den Suchtext, gegebenenfalls einen groben Ortsbezug sowie Kennungen, Titel, Beschreibungen, Unternehmensnamen, Ortsangaben und Kategorien der ausgewählten Beiträge. Die kurzen Textbelege dienen der Prüfung der Treffer und werden nicht als neue personenbezogene Nutzerkennung verwendet. Beitragsbilder werden für diese Suchbewertung nicht an OpenAI übertragen.

Die Spracheingabe in der Android-App verwendet die Spracherkennung des Geräts. Dabei können Audiodaten nach den Einstellungen und Bedingungen des Geräte- beziehungsweise Spracherkennungsanbieters verarbeitet werden. Schwirren übermittelt diese Android-Audioaufnahme nicht an OpenAI; der erkannte Text kann anschließend wie eine Texteingabe an OpenAI zur KI-Auswertung übermittelt werden.

Bei der KI-Aufbereitung im Unternehmensbereich können außerdem der Unternehmensname, der Standardort, der Zeitkontext und die bisherigen Eingaben des jeweiligen Dialogs übertragen werden. Für Beitragsvektoren werden Titel, Beschreibung, Unternehmensname, Ortsangabe und Kategorien verarbeitet.

8. Standort

Die Standortfunktion ist freiwillig. Auf Android fordert Schwirren ausschließlich die Berechtigung für den ungefähren Standort an und nur dann, wenn eine Suche ausdrücklich Standortkontext wie „in meiner Nähe“, „bei mir“ oder „in meiner Umgebung“ benötigt. Die vom Gerät gelieferte ungefähre Position wird über den Geocoding-Dienst des Android-Betriebssystems genutzt, um einen groben Ortsbezug, typischerweise einen Stadtteil, zu bestimmen; der Betriebssystemdienst kann dafür einen externen Geocoding-Dienst des Geräteanbieters verwenden. Schwirren überträgt für die Suchanalyse nicht die Standortkoordinaten, sondern nur den daraus abgeleiteten groben Ortsbezug. Die Standortberechtigung kann jederzeit in den Android-Einstellungen entzogen werden.

9. Search Learning und Nachfrageanalyse

Zur Verbesserung von Suche, Matching und lokaler Nachfrageanalyse speichert Schwirren den eingegebenen Suchtext, eine normalisierte Suchfassung, angezeigte Treffer und deren Reihenfolge, Trefferanzahl, 0-Treffer-Status, Klicks und Klickpositionen, Zeitstempel, Eingabekanal (Text oder Sprache) sowie – falls für die Suche verwendet – einen groben Ortsbezug wie einen Stadtteil. Zusätzlich können anonyme Interaktionen mit Beiträgen wie Detailöffnung, Route, Kontakt, Website, Teilen oder Melden erfasst und über eine gehashte, nur für die jeweilige App-Sitzung gültige Sitzungskennung zu einer Nutzungskette zusammengefasst werden. Der Lern-Datensatz enthält keine Nutzer-ID, E-Mail-Adresse, IP-Adresse oder Audioaufnahme und wird bis zu 24 Monate gespeichert.

Die München-Ansicht verwendet für die häufigsten Suchthemen die vorhandenen Suchdatensätze aus dem rollierenden 6-Stunden-Fenster. Öffentlich erscheinen nur eindeutige Themen aus einer festen Liste, wenn mindestens fünf unterschiedliche Sitzungen zum Thema vorliegen. Rohsuchtexte, Sitzungskennungen und Häufigkeitszahlen werden dabei nicht ausgegeben. Die schematische Karte zeigt Aktivität anhand der Stadtteile vorhandener Beiträge; sie erzeugt keine zusätzlichen Standortdaten der Nutzer.

10. Speicherdauer

Daten werden nur so lange gespeichert, wie sie für den jeweiligen Zweck, den sicheren Betrieb oder gesetzliche Pflichten erforderlich sind. Kontaktanfragen werden grundsätzlich 12 Monate nach Abschluss der Anfrage gelöscht, sofern keine gesetzliche Pflicht eine längere Speicherung verlangt. Search-Learning- und zugehörige anonyme Analysedaten werden bis zu 24 Monate gespeichert. Für Search-Learning-, anonyme Analyse- und pseudonymisierte App-Reichweitendaten wird ein technischer Löschzeitpunkt von bis zu 24 Monaten gesetzt; die automatische Firestore-TTL-Löschung ist aktiviert. Veröffentlichte und abgelaufene Unternehmensbeiträge können für Unternehmensstatistiken und betriebliche Nachvollziehbarkeit erhalten bleiben.

Hochgeladene Beitragsbilder werden grundsätzlich frühestens 30 Tage nach dem Hochladen automatisiert bereinigt, sofern sie nicht mehr benötigt werden. Eine längere Speicherung erfolgt insbesondere für das aktuell hinterlegte Standardbild eines Unternehmens, Bilder laufender Beiträge und das Bild des jeweils letzten Beitrags, damit eine erneute Veröffentlichung möglich bleibt. Die automatisierte Bereinigung erfolgt schrittweise; deshalb können nicht mehr benötigte Bilder auch etwas länger als 30 Tage gespeichert sein. Historische Monatsberichte enthalten weiterhin Titel und Kennzahlen; wenn ein früheres Beitragsbild nicht mehr verfügbar ist, erscheint stattdessen eine neutrale farbige Standarddarstellung. Bei Löschung eines Unternehmenskontos werden die zugehörigen Bilder im Rahmen der Kontolöschung entfernt.

11. Rechte betroffener Personen

Betroffene Personen haben im Rahmen der gesetzlichen Voraussetzungen insbesondere Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch sowie das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren.

12. Stand

Stand: November 2026