Joftino

Datenschutzerklärung

Stand: Oktober 2026

1. Verantwortlicher

HesaTech – Hesam Salehi
Torfbruchstraße 83
40625 Düsseldorf
Deutschland
E-Mail: info@hesatech.de

2. Das Wichtigste in Kürze

3. Hosting und Server

Joftino läuft auf unserer eigenen Server-Software (HesaBase) in Rechenzentren der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland. Beim Aufruf verarbeitet der Server technisch notwendige Daten wie IP-Adresse, Zeitpunkt und abgerufene Adresse, um die Seite auszuliefern und Angriffe abzuwehren (Art. 6 Abs. 1 lit. f DSGVO). Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

4. Konto

Für ein Konto verarbeiten wir deine E-Mail-Adresse und dein Passwort (nur als Prüfwert gespeichert) sowie Bestätigungscodes, die wir dir per E-Mail senden. Zweck ist die Bereitstellung des Dienstes (Art. 6 Abs. 1 lit. b DSGVO). Für den E-Mail-Versand nutzen wir den E-Mail-Dienst unseres Domain-Anbieters Porkbun LLC (USA). Dabei werden deine E-Mail-Adresse und der Inhalt der Nachricht verarbeitet. Die Übermittlung in die USA stützt sich auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

5. Profil und Sichtbarkeit

Dein Profil enthält die Angaben, die du selbst machst: Vorname, Alter (aus dem Geburtsdatum berechnet, das Datum selbst zeigen wir nicht), Geschlecht, wen du kennenlernen möchtest, Absicht, Land und Stadt, Sprachen, Fotos, Texte, Interessen und freiwillige Details. Dein Profil sehen andere Mitglieder in der App. Technisch sind die öffentlichen Profilkarten derzeit auch ohne Anmeldung über die Programmierschnittstelle abrufbar. Deine E-Mail-Adresse und dein Geburtsdatum sind darin nie enthalten. Mit „Pausieren“ oder „Inkognito“ entfernst du deine Karte sofort. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO und für besondere Angaben deine Einwilligung (Abschnitt 6).

6. Besondere Kategorien personenbezogener Daten

Deine Wurzeln (Herkunft), deine Religion oder Weltanschauung und die Angabe, wen du kennenlernen möchtest (daraus kann sich deine sexuelle Orientierung ergeben), sind besonders geschützte Daten nach Art. 9 DSGVO. Wir verarbeiten sie nur mit deiner ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a und Art. 6 Abs. 1 lit. a DSGVO), die du bei der Registrierung erteilst. Du kannst sie jederzeit in den Einstellungen widerrufen. Dann löschen wir Wurzeln und Religion aus deinem Profil und pausieren es, weil die Vorschläge ohne diese Angaben nicht funktionieren. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

7. Likes, Matches und Nachrichten

Wir speichern, wen du likest, deine Matches, Blockierungen und die Nachrichten mit deinen Matches, damit der Dienst funktioniert (Art. 6 Abs. 1 lit. b DSGVO). Nachrichten sehen wir nur ein, wenn es zur Bearbeitung einer Meldung oder aus rechtlichen Gründen erforderlich ist. Wenn du jemanden likest, erhält diese Person eine Kopie deiner Profilkarte, damit sie dich sehen kann, auch wenn du Inkognito nutzt. Öffnest du das vollständige Profil einer Person, bekommt sie einen Hinweis mit deiner Profilkarte (Profilbesuch). Das passiert nicht, wenn du Inkognito oder „Profile anonym besuchen“ eingeschaltet hast. Der Hinweis liegt auf unserem Server nur, bis die App der besuchten Person ihn abholt, und wird dort 30 Tage angezeigt.

8. Sicherheitshinweise im Chat

Die App prüft Texte direkt auf deinem Gerät mit festen Suchmustern auf Telefonnummern, Konten in anderen Apps und Geldforderungen und zeigt dir dann einen Warnhinweis. Dabei wird nichts an uns gesendet und nichts automatisch gesperrt.

9. Verifizierung

Für die Verifizierung sendest du uns ein Selfie mit einer vorgegebenen Geste. Eine Person aus unserem Team vergleicht es mit deinen Profilfotos. Das Selfie löschen wir, sobald die Entscheidung getroffen ist. Gespeichert bleibt nur, ob dein Profil verifiziert ist (Art. 6 Abs. 1 lit. b und f DSGVO).

10. Meldungen und Moderation

Meldungen werden von Menschen geprüft. Wir speichern dazu die Meldung, die betroffene Profilkarte und unsere Entscheidung mit Begründung, um unsere Pflichten aus dem Digital Services Act zu erfüllen und Missbrauch zu verhindern (Art. 6 Abs. 1 lit. c und f DSGVO). Diese Unterlagen löschen wir sechs Monate nach Abschluss des Verfahrens, soweit keine längere Aufbewahrung rechtlich nötig ist.

11. Zahlungen

Kostenpflichtige Mitgliedschaften bezahlst du über Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland. Stripe verarbeitet deine E-Mail-Adresse und Zahlungsdaten; wir erhalten keine vollständigen Kartendaten. Stripe kann Daten in die USA übermitteln; Stripe, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und c DSGVO. Kündigst du, speichern wir Name, E-Mail-Adresse, Zeitpunkt, Vorgangsnummer und das Ergebnis bei Stripe drei Jahre als Nachweis (Art. 6 Abs. 1 lit. c DSGVO, § 312k BGB) und schicken dir die Bestätigung per E-Mail. In den Apps für Android und iOS läuft der Kauf über Google Play (Google Ireland Limited) bzw. den App Store (Apple Distribution International Ltd.), die die Zahlung in eigener Verantwortung abwickeln. Die App prüft den Abo-Status auf deinem Gerät; Zahlungsdaten erhalten wir dabei nicht. Rechnungsunterlagen bewahren wir nach den gesetzlichen Fristen auf.

12. Gründer & Einladen

Sobald dein Profil vollständig und sichtbar ist, nimmst du automatisch am Programm „Gründer & Einladen“ teil (siehe Teilnahmebedingungen). Dafür speichern wir zu deinem Konto: ob du Gründungsmitglied bist und deine Mitgliedsnummer, deinen Einladungscode, ob und wann du einen Code eingelöst hast und die Kennung des Kontos, das dich eingeladen hat, wie viele deiner Einladungen gezählt wurden und deine Gratis-Zeiten. Wer dich eingeladen hat, sieht nur die Zahl der gezählten Einladungen, nie deinen Namen oder dein Profil. Zum Schutz vor Missbrauch, etwa durch Zweitkonten, speichern wir zusätzlich eine gekürzte Prüfsumme (Hash) deiner IP-Adresse vom Beginn deiner Teilnahme; sie wird nach 30 Tagen gelöscht. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Programms) und Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch). Die Daten liegen auf unserem Server bei Hetzner in Deutschland. Wenn du dein Konto löschst, löschen wir sie ebenfalls.

13. Speicher im Browser

Joftino speichert im Browser nur, was für den Betrieb nötig ist: deine Anmeldung, Sprache, Darstellung, Entwürfe, Lesestände und gegebenenfalls den Einladungscode, über den du gekommen bist (§ 25 Abs. 2 Nr. 2 TDDDG). Es gibt keine Werbe- oder Analyse-Cookies. Schriften, Symbole und Bilder werden von unserem eigenen Server geladen, nicht von Drittanbietern.

14. Speicherdauer

Wir speichern deine Daten, solange dein Konto besteht. Wenn du dein Konto löschst, löschen wir Profil, Likes, Matches, Blockierungen und deine Nachrichten. Bilddateien, die im Dateispeicher liegen, entfernen wir innerhalb von 30 Tagen auch vom Server. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

15. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO) sowie das Recht, eine Einwilligung jederzeit zu widerrufen. Eine Kopie deiner Daten kannst du in den Einstellungen herunterladen. Schreib uns an info@hesatech.de. Du kannst dich außerdem bei einer Aufsichtsbehörde beschweren, zum Beispiel bei der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf.

16. Mindestalter und automatisierte Entscheidungen

Joftino ist nur für Menschen ab 18 Jahren. Es gibt keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO: Vorschläge folgen festen Regeln, und über Sperren entscheidet immer ein Mensch.

English

Privacy policy

Last updated: October 2026

1. Controller

HesaTech – Hesam Salehi
Torfbruchstraße 83
40625 Düsseldorf
Germany
Email: info@hesatech.de

2. In short

3. Hosting

Joftino runs on our own server software (HesaBase) in data centres of Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Germany. The server processes technically necessary data such as IP address, time and requested address to deliver the page and to fend off attacks (Art. 6(1)(f) GDPR). A data processing agreement under Art. 28 GDPR is in place with Hetzner.

4. Account

For your account we process your email address, your password (stored only as a hash) and confirmation codes we send you by email, in order to provide the service (Art. 6(1)(b) GDPR). Emails are sent via the email service of our domain provider Porkbun LLC (USA), which processes your email address and the message content. The transfer to the USA is based on the EU Commission’s standard contractual clauses (Art. 46(2)(c) GDPR).

5. Profile and visibility

Your profile contains what you enter: first name, age (calculated from your date of birth, which we never show), gender, who you want to meet, intention, country and city, languages, photos, texts, interests and optional details. Other members see your profile in the app. Technically, public profile cards can currently also be retrieved through the programming interface without signing in. They never contain your email address or date of birth. “Pause” or “Incognito” removes your card immediately. Legal basis: Art. 6(1)(b) GDPR and your consent for special categories (section 6).

6. Special categories of personal data

Your roots (origin), your religion or worldview and who you want to meet (which may reveal your sexual orientation) are specially protected under Art. 9 GDPR. We process them only with your explicit consent (Art. 9(2)(a) and Art. 6(1)(a) GDPR), which you give when you sign up. You can withdraw it at any time in the settings. We then delete roots and religion from your profile and pause it, because suggestions cannot work without these details. Processing before the withdrawal remains lawful.

7. Likes, matches and messages

We store who you like, your matches, blocks and your messages with your matches so that the service works (Art. 6(1)(b) GDPR). We only look at messages when this is necessary to handle a report or for legal reasons. When you like someone, that person receives a copy of your profile card so they can see you, even if you use Incognito. When you open someone’s full profile, they get a notice with your profile card (profile visit). This does not happen if you have Incognito or “Visit profiles anonymously” switched on. The notice stays on our server only until the visited person’s app picks it up, and it is shown there for 30 days.

8. Safety notices in chat

The app checks texts on your device with fixed search patterns for phone numbers, accounts in other apps and requests for money, and then shows you a warning. Nothing is sent to us and nothing is blocked automatically.

9. Verification

For verification you send us a selfie with a given gesture. A person from our team compares it with your profile photos. We delete the selfie as soon as the decision is made and only keep whether your profile is verified (Art. 6(1)(b) and (f) GDPR).

10. Reports and moderation

Reports are reviewed by people. We store the report, the reported profile card and our decision with its reasons to meet our obligations under the Digital Services Act and to prevent abuse (Art. 6(1)(c) and (f) GDPR). We delete these records six months after the case is closed unless a longer retention is legally required.

11. Payments

Paid memberships are processed by Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Ireland. Stripe processes your email address and payment data; we never receive full card details. Stripe may transfer data to the USA; Stripe, Inc. is certified under the EU-US Data Privacy Framework. Legal basis: Art. 6(1)(b) and (c) GDPR. If you cancel, we keep your name, email address, time of receipt, reference number and the result at Stripe for three years as proof (Art. 6(1)(c) GDPR, Section 312k German Civil Code) and send you the confirmation by email. In the Android and iOS apps, purchases are handled by Google Play (Google Ireland Limited) or the App Store (Apple Distribution International Ltd.) under their own responsibility. The app checks the subscription status on your device; we do not receive any payment data. We keep invoicing records for the statutory periods.

12. Founders & invites

As soon as your profile is complete and visible, you automatically take part in the programme “Founders & invites” (see conditions of participation). For this we store with your account: whether you are a founding member and your member number, your invitation code, whether and when you redeemed a code and the identifier of the account that invited you, how many of your invitations were counted, and your free periods. Whoever invited you only sees the number of counted invitations, never your name or your profile. To prevent abuse, for example through second accounts, we also store a shortened checksum (hash) of your IP address from the start of your participation; it is deleted after 30 days. Legal bases are Art. 6(1)(b) GDPR (running the programme) and Art. 6(1)(f) GDPR (preventing abuse). The data is stored on our server at Hetzner in Germany. When you delete your account, we delete it as well.

13. Browser storage

Joftino only stores what it needs in your browser: your sign-in, language, appearance, drafts, read status and, if any, the invitation code you arrived with (§ 25(2) no. 2 TDDDG). There are no advertising or analytics cookies. Fonts, icons and images are loaded from our own server, never from third parties.

14. Retention

We keep your data while your account exists. When you delete your account we delete your profile, likes, matches, blocks and your messages. Image files in the file storage are also removed from the server within 30 days. Statutory retention duties remain unaffected.

15. Your rights

You have the right of access (Art. 15), rectification (Art. 16), erasure (Art. 17), restriction (Art. 18), data portability (Art. 20) and objection (Art. 21 GDPR), and you can withdraw consent at any time. You can download a copy of your data in the settings. Write to info@hesatech.de. You can also complain to a supervisory authority, for example the State Commissioner for Data Protection and Freedom of Information of North Rhine-Westphalia, Kavalleriestraße 2–4, 40213 Düsseldorf, Germany.

16. Minimum age and automated decisions

Joftino is only for people aged 18 and over. There are no automated decisions within the meaning of Art. 22 GDPR: suggestions follow fixed rules and a person always decides about blocking an account.