Datenschutzerklärung von River

Version: Entwurf vom 29. Oktober 2026. Datum des Inkrafttretens: noch festzulegen.

River (vorläufiger Name; endgültiger Handelsname: noch festzulegen) ist eine iPhone-App zum Erlernen von No-Limit Texas Hold'em Poker. Diese Erklärung beschreibt, welche Daten River bearbeitet, zu welchem Zweck, auf welcher Grundlage, wie lange, an wen sie weitergegeben werden und welche Rechte Sie haben. Sie gilt für die App und für die Webseiten von River (Datenschutz, Nutzungsbedingungen, Support und verantwortungsvolles Spielen).

Sie berücksichtigt das Schweizer Bundesgesetz über den Datenschutz (DSG) und die Datenschutz-Grundverordnung der Europäischen Union (DSGVO), da River auch in Ländern der Europäischen Union angeboten wird.

Kurz gesagt

River funktioniert ohne Namen, ohne E-Mail-Adresse und ohne Passwort: Ein anonymes Konto wird automatisch angelegt.
Der vollständige Verlauf Ihrer simulierten Hände bleibt auf Ihrem iPhone. Nur Ihr Fortschritt und Ihre bewerteten Entscheidungen werden synchronisiert.
Keine Werbung, keine Werbe-ID, kein Tracking, keine Analysewerkzeuge von Drittanbietern in der App.
Die Nutzungsmessung läuft nur mit Ihrer Einwilligung, die Sie jederzeit ändern können.
Zahlungen werden von Apple abgewickelt: River erhält keine Zahlungsdaten.
Sie können Ihr Konto und Ihre Daten direkt in der App löschen.

1. Verantwortliche Stelle

ILYGO Sàrl, Schweiz.

Postanschrift: noch festzulegen
Unternehmens-Identifikationsnummer (UID): noch festzulegen
Kontakt für den Datenschutz: noch festzulegen
Vertreter in der Europäischen Union (Art. 27 DSGVO): noch festzulegen

2. Bearbeitete Daten

2.1 Konto und Gerät

Beim ersten Start mit Internetverbindung legt River ohne Ihr Zutun ein anonymes Konto an. Dieses Konto umfasst:

eine zufällige interne Kennung;
eine zweite, davon unabhängige zufällige Kennung, die bei einem Kauf an Apple übermittelt wird, damit der Kauf Ihrem Konto zugeordnet werden kann;
das Erstellungsdatum des Kontos, die Sprache der App, das Datum, an dem Sie bestätigt haben, mindestens 18 Jahre alt zu sein, Ihre Wahl zur Nutzungsmessung und Ihr Startniveau (Einstufungstest);
Anmelde-Token: ein Zugriffstoken mit einer Gültigkeit von 15 Minuten und ein Erneuerungstoken mit einer Gültigkeit von höchstens 90 Tagen. Der Server speichert davon nur einen Fingerabdruck; auf dem iPhone werden sie im iOS-Schlüsselbund abgelegt;
für jedes Gerät: eine von der App erzeugte Installationskennung, die Plattform, die App-Version, die iOS-Version und das Datum der letzten Verbindung.

River speichert weder Ihren Namen noch Ihre E-Mail-Adresse noch Ihre Telefonnummer.

2.2 Mit Apple anmelden (freiwillig)

Wenn Sie „Meinen Fortschritt sichern“ wählen, verknüpft River Ihr Konto mit Ihrer Apple-ID und speichert:

die dauerhafte Kennung, die Apple River für Ihre Apple-ID bereitstellt;
ein Apple-Token, das verschlüsselt gespeichert und ausschliesslich dazu verwendet wird, die Verknüpfung mit Apple bei der Löschung Ihres Kontos zu widerrufen, wie von Apple verlangt.

2.3 Fortschritt und Lernen

Ihr Fortschritt wird auf Ihrem iPhone als Ereignisse gespeichert und anschliessend mit dem Server synchronisiert:

Einstufungstest, begonnene Lektionen, abgeschlossene Schritte und Lektionen, Antworten auf Übungen, Prüfungen, Wiederholungen, Antworten auf das Tagesrätsel, Nutzungen des Modus „Was wäre, wenn?“, im freien Spiel gespielte Hände (für die Tageslimits), genutzte Serienschutz-Tage und Änderungen der Einstellungen (ohne personenbezogene Daten);
für jede vom Coach bewertete Entscheidung: die Spielsituation, die gewählte Aktion, die Referenzaktion, der Verlust an Gewinnerwartung (EV) und die Schwierigkeit der Situation;
für jedes Ereignis: Datum und Uhrzeit, das lokale Datum und die Zeitverschiebung, die zur Berechnung Ihrer Serie, der Tageslimits und der Fälligkeit von Wiederholungen dienen.

Der Server speichert ausserdem einen zusammengefassten Stand (Fortschritt, Entscheidungsindex, Wiederholungsliste, Serie, Zähler), um Ihren Fortschritt schnell wiederherzustellen, sowie Ihre Ergebnisse beim Tagesrätsel (Datum, Rätsel, Erfolg, Zeitpunkt der Antwort), die zur Anzeige einer Gesamterfolgsquote dienen.

Der vollständige Verlauf Ihrer simulierten Hände wird nie übertragen: Er bleibt auf Ihrem iPhone, begrenzt auf die letzten 500 Hände.

2.4 Käufe und Abo

Käufe erfolgen über den App Store. River erhält von Apple signierte Informationen über Ihre Transaktionen:

Kennungen der Transaktion und der ursprünglichen Transaktion, gekauftes Produkt, Kauf- und Ablaufdatum sowie gegebenenfalls Widerrufsdatum (zum Beispiel nach einer Erstattung);
Art des Angebots (zum Beispiel der kostenlose Testzeitraum), Umgebung (echter Kauf oder Testkauf) und die Ihrem Konto zugeordnete zufällige Kennung (siehe 2.1);
Benachrichtigungen, die Apple an den Server von River sendet: Verlängerung, Ablauf, Erstattung, fehlgeschlagene Abrechnung.

Daraus ermittelt River Ihren Premium-Zugang: Status, Ablaufdatum und gegebenenfalls eine Kulanzfrist.

River erhält keine Zahlungsdaten (Kartennummer, Rechnungsadresse): Die Zahlung wird vollständig von Apple abgewickelt.

2.5 Nutzungsmessung und Diagnosedaten, nur mit Ihrer Einwilligung

Wenn Sie zustimmen, auf dem Datenschutz-Bildschirm beim ersten Start oder unter Einstellungen → Datenschutz, sendet River:

benannte Nutzungsereignisse (zum Beispiel „Lektion abgeschlossen“ oder „Angebot angezeigt“) mit nicht personenbezogenen Eigenschaften, der App-Version und der Uhrzeit;
von iOS bereitgestellte technische Diagnosedaten (MetricKit): Abstürze, Hänger und Energieverbrauch.

Diese Ereignisse sind einem Pseudonym zugeordnet, das mit einem geheimen Schlüssel aus der Kennung Ihres Kontos berechnet wird, nicht dieser Kennung selbst.

Ohne Ihre Einwilligung wird kein Ereignis gesendet. Wenn Sie Ihre Einwilligung widerrufen, werden keine Ereignisse mehr gesendet, und noch nicht gesendete Ereignisse werden von Ihrem iPhone gelöscht.

Apple kann ILYGO ausserdem in App Store Connect und Xcode Statistiken und Absturzberichte bereitstellen, je nachdem, welche Einstellungen zur Freigabe an Entwickler Sie in iOS gewählt haben.

2.6 Sicherheit

Audit-Protokoll: River protokolliert sensible Vorgänge an Konten (Anlegen eines anonymen Kontos, Verknüpfung mit Apple, Zusammenführung von Konten, Löschung, Zuordnung, Aktualisierung und Widerruf eines Abos) sowie alle Verwaltungsvorgänge. Jeder Eintrag enthält insbesondere das betroffene Konto, bezeichnet durch seine pseudonyme interne Kennung, den Vorgang, sein Ergebnis und sein Datum; er enthält keine identifizierenden Daten (weder Apple-Kennung noch IP-Adresse noch Installationskennung) und kein Geheimnis.
Begrenzung von Anfragen: Um den Dienst vor Missbrauch zu schützen, zählt der Server die Anfragen pro IP-Adresse und, je nach Vorgang, pro Konto, pro Installation oder pro Familie von Erneuerungstoken (eine pro Gerät). Diese Zähler enthalten nur einen mit einem geheimen Schlüssel berechneten Fingerabdruck (HMAC), nie die IP-Adresse oder die Kennung im Klartext, und werden spätestens etwa 24 Stunden nach der letzten betroffenen Anfrage gelöscht.
Technische Protokolle: Die technischen Protokolle der API enthalten weder IP-Adressen noch Token noch Geheimnisse. Sie geben die Einträge des Audit-Protokolls unverändert wieder und können daher wie diese die pseudonymen internen Kennungen eines Kontos, seiner Geräte oder seiner Abos enthalten. Sie werden höchstens 90 Tage aufbewahrt.

2.7 Nur auf Ihrem iPhone gespeicherte Daten

auf die Synchronisierung wartende Ereignisse und der Stand Ihres Fortschritts;
der Verlauf der simulierten Hände (letzte 500 Hände);
heruntergeladene Lerninhalte;
Ihre Einstellungen, einschliesslich Ihrer Datenschutzentscheidungen und der Erinnerungszeit;
der letzte bekannte Stand Ihres Premium-Zugangs.

Erinnerungen sind lokale Mitteilungen, die auf dem iPhone geplant werden: River erhebt kein Token für Push-Mitteilungen.

2.8 Webseiten

Die Webseiten von River verwenden weder Cookies noch Tracker. Links, die aus dem Tagesrätsel geteilt werden, führen zu einer Weiterleitungsseite zum App Store, ohne personenbezogene Parameter.

2.9 Anfragen an den Support

Wenn Sie den Support kontaktieren, bearbeitet ILYGO die Angaben, die Sie übermitteln (Ihre Nachricht, die Adresse für die Antwort), und, falls Sie sie angeben, die in den Einstellungen angezeigte Support-Kennung, mit der Ihr Konto gefunden werden kann.

3. Zwecke und Rechtsgrundlagen

Zweck	Daten	Rechtsgrundlage nach DSGVO
Bereitstellung der App: Konto, Sicherung und Synchronisierung des Fortschritts, Wiederherstellung auf einem anderen Gerät, Zusammenführung von Konten	2.1, 2.2, 2.3	Vertragserfüllung (Art. 6 Abs. 1 lit. b)
Prüfung der Käufe und Verwaltung des Premium-Zugangs (Wiederherstellung, Verlängerung, Erstattung, täglicher Abgleich mit Apple)	2.4	Vertragserfüllung (Art. 6 Abs. 1 lit. b)
Anzeige der Gesamterfolgsquote des Tagesrätsels	Ergebnisse des Rätsels (2.3)	Vertragserfüllung (Art. 6 Abs. 1 lit. b)
Beschränkung der App auf Personen ab 18 Jahren	Datum der Altersbestätigung (2.1)	Berechtigtes Interesse von ILYGO, die App einem erwachsenen Publikum vorzubehalten (Art. 6 Abs. 1 lit. f)
Nutzungsmessung und Diagnosedaten, um die App zu verbessern und Abstürze zu beheben	2.5	Einwilligung (Art. 6 Abs. 1 lit. a), jederzeit widerrufbar
Aggregierte Statistiken zur Nutzung des Dienstes (Fortschritt, Bindung, Testzeiträume und Abos), ohne Einzeldaten	2.1 bis 2.4, und 2.5 nur mit Ihrer Einwilligung	Berechtigtes Interesse von ILYGO an der Steuerung des Dienstes (Art. 6 Abs. 1 lit. f); Einwilligung für die Daten unter 2.5
Sicherheit: Missbrauch verhindern, Konten schützen, sensible Vorgänge protokollieren	2.1, 2.6	Berechtigtes Interesse von ILYGO an der Sicherheit des Dienstes (Art. 6 Abs. 1 lit. f)
Support und Ausübung Ihrer Rechte	2.9 und die für die Anfrage erforderlichen Daten	Vertragserfüllung (Art. 6 Abs. 1 lit. b); rechtliche Verpflichtung bei Anfragen zu Ihren Rechten (Art. 6 Abs. 1 lit. c)
Buchhalterische Pflichten im Zusammenhang mit Verkäufen	2.4	Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c); Umfang noch festzulegen

Nach dem DSG bearbeitet ILYGO Ihre Daten rechtmässig, nach Treu und Glauben und verhältnismässig, ausschliesslich für die oben genannten Zwecke, und holt Ihre Einwilligung ein, wo sie erforderlich ist.

River verkauft keine Daten und verwendet sie nicht zu Werbezwecken.

4. Aufbewahrungsdauer

Daten	Aufbewahrungsdauer
Konto, Geräte, Apple-Identität, Fortschritt, synchronisierte Ereignisse, Rätselergebnisse	Bis zur Löschung des Kontos. Ein anonymes Konto, also ein nicht mit einer Apple-ID verknüpftes Konto, das seit 13 Monaten nicht aktiv war, wird automatisch gelöscht.
Erneuerungstoken	Höchstens 90 Tage; bei jeder Verwendung ersetzt und bei Abmeldung widerrufen, dann nach ihrem Ablauf gelöscht. Mit dem Konto werden sie sofort gelöscht.
Kaufdaten (Transaktionen, Premium-Zugang)	Bis zur Löschung des Kontos: Sie werden dann mit ihm gelöscht. Eine allenfalls durch buchhalterische Pflichten vorgeschriebene Dauer: noch festzulegen; wird eine solche Pflicht festgelegt, werden die betroffenen Kaufdaten während dieser Dauer aufbewahrt, statt mit dem Konto gelöscht zu werden, und diese Erklärung wird angepasst.
Benachrichtigungen von Apple zu Käufen	13 Monate, längstens bis zur Löschung des Kontos.
Verschlüsseltes Apple-Token	Solange das Konto mit Apple verknüpft ist. Nach einer Löschung höchstens 7 Tage, nur falls der Widerruf bei Apple wiederholt werden muss.
Nutzungsmessung und Diagnosedaten (2.5)	13 Monate; werden mit dem Konto gelöscht. Ereignisse, die vor einem Widerruf Ihrer Einwilligung eingegangen sind, bleiben bis zum Ablauf dieser Dauer gespeichert, ausser das Konto wird gelöscht.
Audit-Protokoll	90 Tage, auch nach der Löschung des Kontos (pseudonyme interne Kennung des Kontos, ohne identifizierende Daten oder Geheimnisse).
Technische Protokolle der API	Höchstens 90 Tage.
Zur Begrenzung von Anfragen verwendete IP-Adressen und weitere Zähler	Nie im Klartext: Als Zähler dient nur ein Fingerabdruck (HMAC), der spätestens etwa 24 Stunden nach der letzten betroffenen Anfrage gelöscht wird.
Anfragen an den Support	Noch festzulegen.
Sicherungskopien des Servers	Gelöschte Daten verbleiben in den verschlüsselten Sicherungskopien bis zum Ablauf von deren Aufbewahrungsdauer (noch festzulegen) und verschwinden dann automatisch.
Daten auf Ihrem iPhone	Bis zur Löschung des Kontos oder bis zur Abmeldung nach Bestätigung. Verlauf der Hände: letzte 500 Hände.

Das Löschen der App von Ihrem iPhone löscht Ihr Konto auf dem Server nicht: Verwenden Sie dazu „Mein Konto und meine Daten löschen“ (Abschnitt 9).

5. Empfänger und Auftragsbearbeiter

ILYGO: Nur die von ILYGO für den Betrieb des Dienstes befugten Personen und Agenten haben Zugriff auf die Daten, soweit dies erforderlich ist.
Hosting: Die Serverdaten werden in der Schweiz oder in der Europäischen Union auf der Infrastruktur von ILYGO gehostet. Genauer Hosting-Anbieter und Standort: noch festzulegen.
Apple: Mit Apple anmelden, App Store (Zahlung, Verwaltung von Abos, Erstattungen), Dienste von Apple zur Prüfung von Käufen und Benachrichtigungen. Apple bearbeitet diese Daten nach seinen eigenen Bedingungen und seiner eigenen Datenschutzrichtlinie.
Agent mit künstlicher Intelligenz (Auftragsbearbeiter): ILYGO kann einen Agenten mit künstlicher Intelligenz einsetzen, der von einem als Auftragsbearbeiter handelnden Anbieter bereitgestellt wird (Anbieter und Ort der Bearbeitung: noch festzulegen), für den technischen Betrieb des Dienstes und die Bearbeitung von Support-Anfragen. Dieser Agent nutzt eine eigene Verwaltungsschnittstelle mit eingeschränkten Berechtigungen, und jeder seiner Vorgänge wird im Audit-Protokoll erfasst. Auf die Daten eines Kontos (Kontoübersicht ohne den Inhalt der Ereignisse, Export oder Löschung auf Anfrage) kann er nur zugreifen, wenn ILYGO ihm ausdrücklich die Erlaubnis dazu erteilt hat. Die Kennzahlen, die er darüber hinaus einsieht, sind aggregiert und enthalten keine Einzeldaten.
Behörden: soweit gesetzlich vorgeschrieben.

6. Übermittlung ausserhalb der Schweiz und des Europäischen Wirtschaftsraums

Die Serverdaten von River werden in der Schweiz oder in der Europäischen Union gehostet. Einige Empfänger, wie Apple oder der Anbieter des Agenten mit künstlicher Intelligenz, können Daten in anderen Ländern bearbeiten. In diesem Fall stützt sich ILYGO auf die gesetzlich vorgesehenen Garantien, zum Beispiel einen Angemessenheitsbeschluss des Bundesrates oder der Europäischen Kommission oder Standardvertragsklauseln. Für jeden Empfänger gewählte Garantien: noch festzulegen.

7. Sicherheit

Der gesamte Datenaustausch zwischen der App und dem Server ist verschlüsselt (TLS).
Auf dem iPhone werden die Anmelde-Token im iOS-Schlüsselbund abgelegt.
Auf dem Server werden Erneuerungstoken nur als Fingerabdruck gespeichert, das Apple-Token ist verschlüsselt und die Sicherungskopien sind verschlüsselt.
Die Daten der Nutzungsmessung und die Zähler zur Begrenzung von Anfragen sind pseudonymisiert.
Der Verwaltungszugang ist technischen Konten mit eingeschränkten Berechtigungen vorbehalten, und jeder Vorgang wird protokolliert.

8. Ihre Rechte

Im gesetzlich vorgesehenen Rahmen können Sie:

Auskunft über Ihre Daten erhalten (Art. 25 DSG, Art. 15 DSGVO);
Ihre Daten in einem gängigen elektronischen Format erhalten oder an einen anderen Verantwortlichen übermitteln lassen (Art. 28 DSG, Art. 20 DSGVO);
unrichtige Daten berichtigen lassen (Art. 32 DSG, Art. 16 DSGVO);
Ihre Daten löschen lassen (Art. 32 DSG, Art. 17 DSGVO), direkt in der App (Abschnitt 9);
die Einschränkung der Bearbeitung verlangen (Art. 18 DSGVO);
einer auf berechtigtem Interesse beruhenden Bearbeitung widersprechen (Art. 30 und 32 DSG, Art. 21 DSGVO);
Ihre Einwilligung jederzeit widerrufen, ohne dass dies die Rechtmässigkeit der vor dem Widerruf erfolgten Bearbeitung berührt (Art. 7 Abs. 3 DSGVO);
bei einer Aufsichtsbehörde Beschwerde oder Anzeige erheben: in der Schweiz beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB); in der Europäischen Union bei der Behörde Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmasslichen Verstosses (Art. 77 DSGVO).

So üben Sie Ihre Rechte aus:

Nutzungsmessung: Einstellungen → Datenschutz.
Löschung: in der App (Abschnitt 9).
Auskunft und Datenübertragbarkeit: Die App bietet noch keinen Export an. Senden Sie Ihre Anfrage an den unten genannten Kontakt (noch festzulegen) und geben Sie die in den Einstellungen angezeigte Support-Kennung an. ILYGO antwortet innerhalb von 30 Tagen und stellt Ihnen Ihre Daten im JSON-Format zur Verfügung.

Da River weder Ihren Namen noch Ihre E-Mail-Adresse kennt, dient die Support-Kennung dazu, Ihr Konto zu finden. ILYGO kann Sie um zusätzliche Angaben bitten, um zu prüfen, ob die Anfrage tatsächlich vom Inhaber des Kontos stammt.

9. Ihr Konto und Ihre Daten löschen

Wählen Sie in den Einstellungen „Mein Konto und meine Daten löschen“ und bestätigen Sie. Diese Funktion steht auch für ein anonymes Konto zur Verfügung.

Auf dem Server: Die Daten Ihres Kontos werden gelöscht (Konto, Apple-Identität, Geräte, Fortschritt und synchronisierte Ereignisse, Rätselergebnisse, Kaufdaten vorbehaltlich einer noch festzulegenden buchhalterischen Aufbewahrungspflicht, Nutzungsmessung). Ihre Erneuerungstoken werden sofort gelöscht: Alle Ihre Sitzungen werden beendet. Die Verknüpfung mit Apple wird umgehend bei Apple widerrufen; ist Apple nicht erreichbar, folgen weitere Versuche in zunehmenden Abständen (von einigen Minuten bis zu 6 Stunden) während höchstens 7 Tagen.
Auf Ihrem iPhone: Die Daten von River werden gelöscht, und die App kehrt in den Zustand einer Neuinstallation zurück.
Ohne Verbindung: Die Löschung wird vorgemerkt und gesendet, sobald das Netz wieder verfügbar ist. Bis dahin bleibt nur eine minimale, für den Abschluss der Löschung erforderliche Information auf dem iPhone.
Was vorübergehend bestehen bleibt: das Audit-Protokoll und die technischen Protokolle (höchstens 90 Tage), die die pseudonyme interne Kennung des Kontos enthalten, ohne identifizierende Daten oder Geheimnisse; die Zähler zur Begrenzung von Anfragen als Fingerabdrücke (HMAC), höchstens etwa 24 Stunden; das verschlüsselte Apple-Token, falls der Widerruf bei Apple wiederholt werden muss (höchstens 7 Tage); die Sicherungskopien bis zum Ablauf ihrer Aufbewahrungsdauer (noch festzulegen).
Abo: Das Löschen Ihres Kontos kündigt Ihr Apple-Abo nicht. Der Löschbildschirm bietet einen Link zur Abo-Verwaltung. Wenn Sie Ihre Käufe später in einem neuen Konto wiederherstellen, wird der Premium-Zugang eines laufenden Abos auf dieses übertragen.

Die Abmeldung (Einstellungen, mit Apple verknüpftes Konto) ist etwas anderes: Nach Bestätigung löscht sie die Daten von River auf dem iPhone, Ihr Konto auf dem Server bleibt jedoch bestehen.

10. Mindestalter

River ist Personen ab 18 Jahren vorbehalten. Beim ersten Start bittet die App Sie, dies zu bestätigen. Ohne diese Bestätigung zeigt sie eine Erklärung an, gewährt keinen Zugang zu Inhalten und sendet keine Daten.

11. Automatisierte Bewertungen

Der Coach und der Entscheidungsindex von River bewerten Ihre Spielentscheidungen automatisch durch Berechnung, ausschliesslich zu Lernzwecken. Diese Bewertungen werden auf Ihrem iPhone berechnet, haben keine rechtliche Wirkung und beeinträchtigen Sie nicht erheblich. River trifft keine automatisierte Einzelentscheidung im Sinne von Art. 21 DSG und Art. 22 DSGVO.

12. Änderungen

ILYGO kann diese Erklärung aktualisieren, insbesondere wenn sich die App weiterentwickelt. Das Versionsdatum steht oben auf der Seite. Bei einer wesentlichen Änderung informiert ILYGO Sie in geeigneter Weise, zum Beispiel in der App.

13. Kontakt

Für Fragen zu dieser Erklärung oder zu Ihren Daten: noch festzulegen.