Scatto für iOSDatenschutzhinweis

Zuletzt aktualisiert 5. August 2026

Dieser Hinweis betrifft die Scatto-App für iOS selbst: was sie auf Ihrem Gerät speichert, was sie wohin sendet und was unser Push-Relay vorhält. Er ist bewusst getrennt von der Datenschutzerklärung von scatto.social, die die Instanz betrifft — den Server, auf dem Ihr Konto, Ihre Beiträge und Ihre Medien liegen. Wenn Sie sich mit der App bei scatto.social anmelden, gilt beides: dieser Hinweis für die App, jene Erklärung für den Server.

Scatto ist eine App für Pixelfed-Instanzen. Sie hat kein eigenes Backend außer dem unten beschriebenen Push-Relay und kein eigenes Kontosystem — Sie melden sich bei einer Instanz an, und dort liegen Ihre Daten.

Verantwortlicher

Verantwortlicher für die Verarbeitung personenbezogener Daten im Sinne der DSGVO ist:

Siehe auch unser Impressum. Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Schwellenwerte dafür nicht erreicht werden.

Was die App auf Ihrem Gerät speichert

• Ihre Anmeldedaten für die Instanz — das OAuth-Zugriffstoken, das die Instanz bei der Anmeldung ausstellt. Es liegt im app-eigenen Speicher auf Ihrem Gerät, den iOS zusammen mit allem anderen verschlüsselt, was die App ablegt, und wird gelöscht, sobald Sie dieses Konto abmelden oder die App entfernen. Ihr Passwort sieht und speichert die App nie: die Anmeldung findet in einer Webansicht statt, die die Instanz selbst ausliefert, und zurück kommt nur das Token.
• Die Adresse Ihrer Instanz und Ihren Kontonamen, damit die App weiß, wohin sie sich verbindet und welches Konto welches ist.
• App-Einstellungen — Ihre Anzeige- und Benachrichtigungseinstellungen.
• Einen Zwischenspeicher bereits abgerufener Inhalte — Timelines, Bilder, Videos und Profildaten, damit die App dieselben Dinge nicht erneut lädt. Ein gewöhnlicher lokaler Cache.

Nichts davon wird irgendwohin übertragen, außer wie unten beschrieben. Beim Abmelden werden Ihre Anmeldedaten gelöscht; beim Löschen der App verschwindet alles davon vom Gerät.

Was die App an Ihre Instanz sendet

Alles, was man von einer Pixelfed-App erwartet, über HTTPS und über die öffentliche API der Instanz: Ihre Anmeldung, die Beiträge, Fotos, Videos, Bildunterschriften, Alternativtexte und Kommentare, die Sie erstellen, sowie Ihre Interaktionen (Likes, Lesezeichen, Follows, Stummschaltungen, Blockierungen, Meldungen). Die Instanz sieht außerdem die technischen Daten, die jede Web-Anfrage mitführt — Ihre IP-Adresse, eine User-Agent-Kennung der App und die Zeitstempel der Anfragen.

Wie die Instanz damit umgeht, ist Sache der Instanz; für scatto.social ist es in der Datenschutzerklärung der Instanz beschrieben. Wenn Sie sich bei einer anderen Instanz anmelden, gilt deren Erklärung — wir haben darauf keinen Zugriff und keine Beziehung dazu.

Direktnachrichten sind nicht Ende-zu-Ende-verschlüsselt, in Pixelfed allgemein und damit auch in dieser App. Verwenden Sie sie nicht für vertrauliche Informationen.

Orte und Standort

Sie können einen Beitrag mit einem Ort versehen. Die App kann Ihnen einen vorschlagen, und zwar so:

• Sie liest zuerst die GPS-Koordinate, die das ausgewählte Foto bereits in seinen eigenen Metadaten mitbringt. Dafür ist keine Berechtigung nötig — sie gehört zu der Datei, die Sie ausgewählt haben.
• Nur wenn keines Ihrer Fotos eine enthält und nur wenn Sie auf „Aktuellen Standort verwenden“ tippen, fragt die App iOS nach Ihrem Standort. Die Berechtigungsabfrage erscheint als Antwort auf dieses Tippen und nie beim Start. Lehnen Sie ab, entfällt lediglich der Vorschlag: die Suche nach einem Ort über den Namen funktioniert weiterhin.
• Die Koordinate wird auf Ihrem Gerät mit einer Liste von Städten abgeglichen, die in der App mitgeliefert wird. Dafür wird nichts irgendwohin gesendet, und die Koordinate wird danach verworfen.
• Veröffentlicht wird mit Ihrem Beitrag nur die Stadt, die Sie bestätigen. Ihre genaue Position verlässt das Gerät nie.

Die App führt keinen Standortverlauf, und ein Beitrag ohne Ortsangabe benötigt überhaupt keinen Standort.

Private Nachrichten

• Eine Nachricht, die Sie senden, wird von Ihrer Instanz gespeichert und an die empfangende Person zugestellt — auf Ihrer Instanz oder auf deren eigener, wenn sie anderswo im Fediverse ist.
• Nachrichten sind nicht Ende-zu-Ende-verschlüsselt. Wer die Instanz betreibt, kann sie lesen, wie alles andere, was dort gespeichert ist. Pixelfed bietet keine private Nachrichtenfunktion, die vor dem Server verborgen wäre, und die App sagt das im Gespräch selbst, statt es Sie annehmen zu lassen.
• Fotos, die Sie in einer Nachricht senden, werden wie jeder andere Upload behandelt und ebenso von der Instanz gespeichert.
• Die App speichert auf Ihrem Gerät einen kleinen Vermerk darüber, welche Gespräche Sie geöffnet haben und wie weit Sie gelesen hatten — damit sie ungelesene Nachrichten markieren und ein Gespräch weiterhin anzeigen kann, das Ihre Instanz nicht mehr auflistet. Er enthält Namen, Handles und die zuletzt gesehene Nachricht, mehr nicht, und wird gelöscht, wenn Sie das Konto entfernen.
• Eine gelöschte Nachricht wird auf Ihrer Instanz gelöscht. Eine bereits an einen anderen Server zugestellte Kopie kann damit nicht gelöscht werden.

Push-Benachrichtigungen

Push ist aus, bis Sie es einschalten. Wenn Sie es nie aktivieren, geschieht nichts aus diesem Abschnitt, es erreichen keine Daten unser Relay, und es verlässt nichts über Apple die EU beziehungsweise den EWR.

Warum es ein Relay gibt

Pixelfed versendet Benachrichtigungen über das Web-Push-Protokoll, das iOS-Apps nicht empfangen können: Apples Push-Transport ist APNs, ein anderes Protokoll. Deshalb betreiben wir unter push.scatto.social ein kleines Relay, das als Web-Push-Endpunkt auftritt, die Benachrichtigung von der Instanz entgegennimmt und sie als nativen Push an Apple weiterreicht. Es läuft auf demselben deutschen Server, auf dem auch scatto.social liegt.

Was beim Einschalten passiert

1. Die App fordert von iOS ein Gerätetoken für Push an und sendet es zusammen mit einer Gerätebezeichnung und Ihrem Kontonamen (z. B. name@scatto.social) über HTTPS an das Relay.
2. Das Relay erzeugt für dieses Abonnement ein Schlüsselpaar und übergibt der App eine Push-Endpunktadresse.
3. Die App registriert diesen Endpunkt bei Ihrer Instanz.
4. Von da an verschlüsselt die Instanz bei jedem Ereignis auf Ihrem Konto eine kurze Benachrichtigung und sendet sie an das Relay.

Das Relay liest Ihre Benachrichtigungen

Dass auf dem Relay entschlüsselt wird und nicht in der App, ist eine bewusste Vereinfachung: Sie erspart der App eine Notification-Service-Extension, um den Preis, dass das Relay den Benachrichtigungstext im Klartext sieht. Wir sagen das lieber deutlich, als es nur anzudeuten.

Der Benachrichtigungstext wird nicht gespeichert. Er liegt so lange im Arbeitsspeicher des Relays, wie das Weiterleiten dauert, und wird weder in die Datenbank noch in Logs geschrieben. Die Logs des Relays halten die Abonnement-ID fest, die Art der Benachrichtigung (Like, Follow, Kommentar …), die Badge-Zahl und etwaige Fehler — nicht den Titel, nicht den Text und nicht, wen er betraf.

Was das Relay vorhält

Eine Zeile je Abonnement, in einer kleinen Datenbank auf diesem Server:

Eine Anmerkung zur Gerätebezeichnung: Sie entspricht standardmäßig dem Gerätenamen, den iOS meldet, und auf den meisten iPhones enthält dieser Name den Vornamen der Besitzerin oder des Besitzers („Annas iPhone“). Sie dient allein dazu, zwei Geräte an einem Konto auseinanderzuhalten. Sie können Ihr Gerät in den iOS-Einstellungen unter Allgemein → Info → Name umbenennen, bevor Sie Benachrichtigungen einschalten; dann wird es so gespeichert, wie Sie es gesetzt haben.

Das Relay hält nicht Ihre Beiträge, Ihre Medien, Ihre Follower, Ihr Instanz-Passwort oder Ihr Instanz-Zugriffstoken.

Der Webserver vor dem Relay schreibt gewöhnliche Zugriffslogs — IP-Adresse, Zeitstempel und die Anfragezeile —, die 14 Tage aufbewahrt und dann gelöscht werden, sofern nicht ein einzelner Eintrag zur Aufklärung eines konkreten Sicherheitsvorfalls länger benötigt wird.

Apple

Einen Push zuzustellen bedeutet zwangsläufig, ihn an Apple Inc. (USA) zu senden, das APNs betreibt. Apple erhält Ihr Gerätetoken, Titel und Text der Benachrichtigung, die Badge-Zahl und die Kennungen, mit denen die App beim Antippen den richtigen Beitrag oder das richtige Profil öffnet. Apple ist unter dem EU-US Data Privacy Framework zertifiziert, für das die Europäische Kommission einen Angemessenheitsbeschluss erlassen hat (Art. 45 DSGVO).

Sie können diese Übermittlung vollständig vermeiden, indem Sie Benachrichtigungen ausgeschaltet lassen oder später ausschalten.

Ausschalten und Löschung

Schalten Sie Benachrichtigungen in der App oder in den iOS-Einstellungen aus, dann registriert sich die App nicht mehr für Push. Damit die Abonnementzeile selbst im Relay gelöscht wird, schalten Sie Benachrichtigungen aus und schreiben an info@hever.de — wir löschen sie dann. Push erneut einzuschalten, die App neu zu installieren oder sich erneut anzumelden ersetzt die vorhandene Zeile für dieses Gerät und Konto, statt eine zweite anzulegen.

Erhobene Daten in Apples Kategorien

Der Datenschutzfragebogen des App Store und das Privacy Manifest der App verwenden Apples eigene Kategorien. In diesen Begriffen erhebt die App:

Fotos und Videos sind unter ihrer eigenen Kategorie angegeben, statt in „andere Nutzerinhalte“ eingeschlossen zu werden: Sie zu posten ist der Zweck der App, und die eigene Kategorie sagt das deutlich.

All das wird ausschließlich für die Funktionalität der App erhoben. Nichts wird für Werbung, Marketing, Analyse, Personalisierung oder Produktmessung verwendet. Nichts wird für Tracking verwendet, wie Apple es definiert: keine Daten werden mit Daten aus Apps oder Websites anderer Unternehmen zusammengeführt, und keine werden an Datenhändler oder Werbenetzwerke weitergegeben. Die App enthält keine SDKs von Drittanbietern für Analyse, Absturzberichte oder Werbung.

Rechtsgrundlagen

• Betrieb der App und Verbindung zu Ihrer Instanz — Erfüllung eines Vertrags, Art. 6 Abs. 1 lit. b DSGVO.
• Push-Benachrichtigungen — Ihre Einwilligung, Art. 6 Abs. 1 lit. a DSGVO, erteilt durch das Einschalten in der App und in der iOS-Berechtigungsabfrage. Sie können sie jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie sie ausschalten.
• Sicherheit und Betrieb des Relays (Ratenbegrenzung, Fehler-Logs, Zugriffslogs) — berechtigte Interessen, Art. 6 Abs. 1 lit. f DSGVO.

Speicherdauer

• Auf Ihrem Gerät: bis Sie sich abmelden oder die App löschen.
• Push-Abonnement im Relay: bis Sie Benachrichtigungen ausschalten und die Löschung verlangen oder das Abonnement durch eine neue Registrierung für dasselbe Gerät und Konto ersetzt wird. Abonnements, die Apple als dauerhaft ungültig meldet (App gelöscht, Token abgelaufen), werden entfernt.
• Benachrichtigungsinhalte: werden nicht aufbewahrt — weitergeleitet und verworfen.
• Zugriffslogs des Relays: 14 Tage.

Ihre Rechte

Nach der DSGVO haben Sie das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) sowie das Recht, eine Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3). Für alles, was auf der Instanz liegt, nutzen Sie deren eigene Werkzeuge und deren Datenschutzerklärung. Für alles, was die App oder das Relay hält, schreiben Sie an info@hever.de.

Sie haben außerdem das Recht, sich bei einer Aufsichtsbehörde zu beschweren (Art. 77). Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 27, 91522 Ansbach. Sie können sich auch an die Behörde Ihres Wohn- oder Arbeitsorts wenden.

Kinder

Sie müssen mindestens 16 Jahre alt sein (oder das in Ihrem Land geltende Mindestalter für die datenschutzrechtliche Einwilligung, falls dieses höher ist), um die App mit scatto.social zu nutzen.

Änderungen

Wir können diesen Hinweis aktualisieren. Wesentliche Änderungen werden auf scatto.social bekannt gegeben und hier nachgeführt, mit aktualisiertem Datum oben.

Kontakt

Fragen oder Anliegen: info@hever.de.

Dies ist die deutsche Fassung des englischen App Privacy Notice. Beide beschreiben dieselbe Verarbeitung.