Was erhoben wird, wofür, und was du verlangen kannst

Korat wird aus Thailand betrieben und unterliegt dem Personal Data Protection Act B.E. 2562 (PDPA). Diese Erklärung gilt für die Android-App, die Web-App und diese Website. Vor der Kontoerstellung fragen wir nach Einwilligung, auf einem Bildschirm, den man bis zur letzten Zeile scrollen muss; Ablehnen ist eine echte Option und beendet die Anmeldung an Ort und Stelle. Der Verantwortliche ist unter privacy@koratland.com erreichbar.

Was erhoben wird

Konto

E-Mail, Passwort (von unserem Authentifizierungsdienst gehasht — nie im Klartext gespeichert), Anzeigename, Spitzname, deine Korat-ID und die gewählte Sprache

Profil

alles, was du ausfüllen möchtest: Profil- und Titelbild, Kurzbeschreibung, Geschlecht, Geburtsdatum, Adressen, Ausbildung und Berufserfahrung, Fähigkeiten und Sprachen, Interessen, Notfallkontakt, Familien- oder Partnerschaftsbeziehungen. Jedes Feld hat seine eigene Sichtbarkeit: öffentlich / Freunde / privat. Heute sind es 35, und sie werden nicht alle auf derselben Ebene durchgesetzt — siehe Sichtbarkeit je Feld weiter unten, wo steht, wie weit jede Ebene reicht

Inhalte

Beiträge, Kommentare, Stories, Fotos, Alben, Gruppenmitgliedschaften und die Nachrichten, die du sendest, einschließlich Sprachnachrichten, Dateien und geteilter Standorte

Handel

Bestellungen, Tischsitzungen, Zimmerbuchungen, Tischreservierungen, Termine, Pakete, Belege und Bewertungen — samt dem Betrieb, mit dem du gehandelt hast

Gesundheit

nur wenn du das Gesundheitsmodul einschaltest: Aktivitäten, Distanz und Route, Schritte und die Tageseinträge, die du machst, etwa Wasser, Gewicht oder Schlaf

Dating

nur wenn du Dating einschaltest: Dating-Fotos, Fragekarten, Filter und der ungefähre Standort für die Distanzberechnung

Geräte

eine Zeile je Installation: Gerätename, Plattform, App-Version, letzter Kontakt und ein Benachrichtigungs-Token — damit du deine eigenen Sitzungen sehen und widerrufen kannst

Links

wenn jemand einen Korat-Teilenlink öffnet, wird der Klick gezählt, mit Land, Herkunft und User-Agent. Wer den Link erstellt hat, sieht eine Zahl, keine Besucher

Support

was du uns schreibst, sowie ein Audit-Eintrag, wenn eine Betreiberin dein Konto aufruft

Sensible Daten (§ 26). § 26 PDPA verlangt eine ausdrückliche Einwilligung für bestimmte Kategorien: Gesundheit, Religion, Rasse, Behinderung und Daten, die die sexuelle Orientierung offenbaren. In diesem Produkt liegen solche Daten an drei Stellen, nicht an zweien, und die vorige Fassung dieses Hinweises beschrieb nur zwei Module.

Sensible Profilfelder

Religion, Religiosität, sexuelle Orientierung, Staatsangehörigkeit, Blutgruppe, chronische Erkrankungen, Dauermedikation, Arzneimittelallergien, Lebensmittelallergien und Behinderungen — jedes davon ist leer, bis du es selbst ausfüllst, keines wird für ein Konto gebraucht, und jedes lässt sich jederzeit löschen. Keines liegt hinter dem Schalter eines Moduls, der Mechanismus, auf den sich der vorige Hinweis stützte, erreicht sie also schon per Definition nicht. · Ab dieser Fassung stehen Religion, Grad der Frömmigkeit und sexuelle Orientierung standardmäßig auf ‚privat‘, und Blutgruppe, chronische Erkrankungen, Dauermedikation, Arzneimittelallergien, Lebensmittelallergien und Behinderungen werden anderen Nutzenden überhaupt nicht übermittelt — Einzelheiten und die verbleibenden Grenzen stehen im nächsten Abschnitt.

Modul Gesundheit

Aktivitäten, Routen, Schritte und die Tageseinträge, die du erfasst — einen eigenen An/Aus-Schalter gibt es nicht. Die Daten existieren nur, wenn du sie erfasst, und sonst nicht.

Modul Dating

Dating-Fotos, Prompt-Karten, Filter und Swipes, die die sexuelle Orientierung offenbaren — hier gibt es einen echten Schalter, unter Einstellungen → Dating; ausschalten nimmt dich sofort aus dem Stapel aller anderen.

Sichtbarkeit je Feld — wo sie durchgesetzt wird und wohin sie noch nicht reicht

Die vorige Fassung schrieb, der von dir gesetzte Wert werde „von den Bildschirmen durchgesetzt, nicht von der Datenbank“. Dieser Satz bleibt heute an einer Stelle hinter der Wahrheit zurück und trifft an einer anderen weiterhin genau zu — deshalb steht er hier als die drei Ebenen, die er tatsächlich ist. Es sind 35 Felder.

In der Datenbank durchgesetzt — 3 Felder

Ausbildung · Berufserfahrung · Bestätigungen durch Betriebe. Diese drei liegen in eigenen Tabellen, und die Zugriffsregeln der Datenbank selbst filtern die Zeilen nach dem Wert, den du gesetzt hast ⇒ wem du es nicht erlaubt hast, der kann sie nicht lesen — weder über die App noch über das Web noch durch einen direkten API-Aufruf. · Und die Zählung wird mit der Liste geschlossen: Früher verschwanden bei „privat“ zwar die Namen der Betriebe, die Zahl — „von 3 Betrieben bestätigt“ — blieb aber auf der Seite stehen, was schlimmer ist als gar nichts zu verbergen. Jetzt sind beide weg.

Vom Profil-Leser durchgesetzt — 21 Felder

Der Rest des Profils: Namen, Spitzname, Kurzbeschreibung, Geschlecht, Geburtsdatum und Alter, Beziehungsstatus, Interessen, Körpergröße, Provinz, Staatsangehörigkeit, Religion, Grad der Frömmigkeit, sexuelle Orientierung, Alkohol, Ernährungseinschränkungen, Fähigkeiten und Sprachen. · App und Web lesen die Tabelle users nicht mehr direkt und gehen über einen serverseitigen Profil-Leser, der Verborgenes verwirft, bevor überhaupt etwas gesendet wird ⇒ ein verborgener Wert gelangt gar nicht erst bis zum Bildschirm, statt beim Zeichnen versteckt zu werden. (Deine Freundesliste hat einen eigenen Leser, der genauso arbeitet.) Lies aber den Kasten unten — diese Ebene hat nicht jede Tür geschlossen.

Wird an niemanden gesendet, daher kein Schalter — 10 Felder

Blutgruppe, chronische Erkrankungen, Dauermedikation, Arzneimittelallergien, Behinderungen, Lebensmittelallergien, Lieblingsgerichte, ungemochte Speisen und Geschmacksvorlieben stehen überhaupt nicht im Profil-Leser, gleich in welchem Verhältnis du zur Person stehst, und kein Bildschirm zeichnet sie für jemand anderen. ⇒ Es gibt nichts einzustellen, also hat der Profileditor den Schalter entfernt und stattdessen die Tatsache hingeschrieben: ein Drei-Wege-Regler über Daten, die niemand sehen kann, ist ein Vorhängeschloss ohne etwas dahinter. (Dein Lebenslauf gehört auch in diese Gruppe, weil er bereits einen eigenen Schalter hat.)

Wer kein Konto hat, kann keine einzige Spalte der Tabelle users lesen — von außen gemessen: Die Anfrage wird auf der Rechteebene abgelehnt und nicht mit einem leeren Ergebnis beantwortet. Die gesamte obige Grenze betrifft angemeldete Konten, nicht die Öffentlichkeit im Internet.

Die Voreinstellungen haben sich geändert, und sie haben sich nur enger bewegt. Früher begann jedes Feld bei ‚öffentlich‘, für alle derselbe Wert ⇒ wer nie ein Vorhängeschloss angefasst hat — also fast alle — hatte Religion, Grad der Frömmigkeit und sexuelle Orientierung standardmäßig öffentlich, auf einem Bildschirm, der daneben ein Vorhängeschloss zeichnete und sich deshalb las, als schütze etwas. Jetzt beginnen Religion, Frömmigkeit und sexuelle Orientierung bei ‚privat‘ und vollständiges Geburtsdatum, Staatsangehörigkeit, Größe und Gewicht, Alkohol, Ernährungseinschränkungen und deine Freundesliste bei ‚Freunde‘. Die Voreinstellung wird beim Lesen angewandt ⇒ wir haben keinen einzigen von dir selbst gesetzten Wert überschrieben, und niemand ist durch diese Änderung stärker exponiert als zuvor.

Die Suche trifft nicht mehr auf ein Feld zu, das du verborgen hast. Über ein verborgenes Feld auffindbar zu sein, offenbart es genauso sicher wie es anzuzeigen; ein verborgener Wert wird deshalb in Suchergebnissen nicht zurückgegeben — und im Web fällt jemand, der nur über ein verborgenes Feld zu deiner Suche passte, ganz aus den Ergebnissen. · Die Android-App kann sie noch nicht herausnehmen: Der Wert selbst ist verborgen, das Konto kann aber über einen auf privat gestellten Namen weiterhin in einer Suche auftauchen. Wir schreiben beide Hälften getrennt, statt zu behaupten, „die Suche beachtet deine Einstellungen“.

Ob das Ausfüllen eines sensiblen Feldes oder das Erfassen von Gesundheitsdaten dem Maßstab ‚ausdrücklich‘ aus § 26 genügt, ist eine Rechtsfrage, die wir noch nicht fachkundig haben beantworten lassen. Diese Seite beschreibt deshalb, was das System tatsächlich tut, und schreibt diese Antwort nicht selbst hin.

Wofür, und auf welcher Rechtsgrundlage

§ 19 PDPA verlangt Einwilligung, sofern keine Ausnahme nach § 24 (bei sensiblen Daten § 26) greift. Deshalb benennen wir je Zweck eine Grundlage, statt alles unter „Einwilligung“ zu schieben — wovor die Leitlinien der PDPC ausdrücklich warnen.

Konto anlegen und betreiben

Vertragserfüllung (§ 24(3))

Nachrichten, Anrufe, Beiträge und Gruppen an das gewählte Publikum zustellen

Vertragserfüllung (§ 24(3))

Bestellen, Tisch öffnen, Buchung annehmen, Rechnung berechnen

Vertragserfüllung (§ 24(3))

Feed sortieren und Freundschaften vorschlagen

berechtigtes Interesse (§ 24(5))

Angeforderte Benachrichtigungen senden

Vertragserfüllung (§ 24(3))

Über Anmeldung von einem neuen Gerät informieren

berechtigtes Interesse — Sicherheit (§ 24(5))

Missbrauch, Betrug und Spam verhindern

berechtigtes Interesse (§ 24(5))

Altersregeln für Alkohol und Einlass durchsetzen

rechtliche Verpflichtung (§ 24(6))

Geschäftsunterlagen aufbewahren

rechtliche Verpflichtung — Buchführung und Steuern (§ 24(6))

Modul Dating

ausdrückliche Einwilligung (§ 26) — neue Konten starten ausgeschaltet, das Einschalten wird mit Zeitstempel festgehalten

Modul Gesundheit und sensible Profilfelder

ausdrückliche Einwilligung (§ 26) — kein Schalter: nichts ausgefüllt und nichts erfasst heißt keine Daten

Marketingnachrichten

siehe nächster Abschnitt

Korat verkauft keine personenbezogenen Daten, und es gibt keine Werbung. Keine Werbe-ID, kein Werbenetzwerk, kein Datenhändler.

Marketing — und was es noch nicht gibt

Drei Arten von Nachrichten sind nicht dasselbe. Dienstnachrichten — Bestellstatus, Buchungsbestätigung, Warnung bei Anmeldung von einem neuen Gerät, eine Moderationsentscheidung, ein Passwort-Reset — lassen sich nicht abschalten, solange du ein Konto hast, denn sie sind der Dienst und kein Marketing. Funktionsbenachrichtigungen — Nachricht, Like, Kommentar, Freundschaftsanfrage, Gruppenbeitrag — haben in der App Einstellungen je Typ. Marketing ist dieser Abschnitt.

In der Datenbank gibt es genau ein kontobezogenes Abmelde-Kennzeichen, und beim Aufbau der Empfängerliste einer Kampagne werden Abgemeldete und Gesperrte in dem Moment gefiltert, in dem die Liste geschrieben wird — nicht beim Versand; wer nicht in Frage kommt, wird also nie notiert. Zielgruppen sind strukturierte Kriterien, die der Server auslegt, nie SQL vom Client, und ein unbekanntes Kriterium wird abgelehnt, nicht ignoriert: ein still verschluckter Filter macht aus einer Zielgruppe von 200 die ganze Nutzerschaft, und dieser Versand lässt sich nicht zurückholen.

Wer es sonst sehen kann

Andere sehen, was deine Privatsphäre-Einstellungen erlauben — öffentlich, Freunde oder niemand — innerhalb der Grenzen, die der Abschnitt Sichtbarkeit je Feld oben Ebene für Ebene benennt. Einen Chat lesen seine beiden Teilnehmenden. Einen Gruppenbeitrag liest diese Gruppe. Ein Betrieb sieht, was er braucht, um dich zu bedienen: deinen Namen am Tisch, das Bestellte und die Adresse, die du für die Lieferung angegeben hast. Dating zeigt bewusst weniger: Ein Chat aus einem Match zeigt deinen Spitznamen, nicht deinen echten Namen oder deine E-Mail-Adresse, bis ihr befreundet seid.

Ein Betrieb, mit dem du handelst, ist für die Kundendaten, die er hält, selbst Verantwortlicher und nicht unser Auftragsverarbeiter; die PDPA-Pflichten treffen ihn unmittelbar. Und Abschnitt 6 der Nutzungsbedingungen verbietet es einem Betrieb, dich in seinen Marketingverteiler zu nehmen, weil du bestellt hast.

Im Übrigen geben wir personenbezogene Daten nur mit deiner Einwilligung weiter, wenn das Gesetz es verlangt oder um Rechte und Sicherheit zu schützen.

Ein Betrieb kann dich nicht zuerst anschreiben — und das ist eine Regel in der Datenbank, kein versteckter Knopf. Das Recht, ein Gespräch mit einem Betrieb zu beginnen, gehört dir: Solange du diesem Betrieb nie eine Nachricht geschickt hast, kann sein Personal dir nicht schreiben und auch keinen leeren Chatraum offen stehen lassen. Automatische Nachrichten eines Betriebs unterliegen derselben Regel, ohne Ausnahme selbst für Nachrichten zu einer Bestellung. · Bei Anrufen ist die Richtung bewusst umgekehrt: Ein Betrieb darf dich nur innerhalb eines von dir eröffneten Gesprächs anrufen, und du darfst einen Betrieb erst anrufen, wenn er eine Einladung ausstellt — sie benennt die eine Person im Team, die erreichbar ist, gilt für genau einen Anruf und läuft von selbst ab (standardmäßig 24 Stunden). Und ausstellen darf der Betrieb sie nur, wenn du ihn zuerst angeschrieben hast — sonst würde die Einladung selbst zum Weg, Fremde zu kontaktieren.

Blockieren wird jetzt in der Datenbank durchgesetzt, und zwar in beide Richtungen. Früher sagte die App «blockiert», während der Server überhaupt nichts durchsetzte. Besteht jetzt eine Blockierung, kann keine der beiden Seiten schreiben, anrufen, eine Freundschaftsanfrage senden, in Dating liken, folgen oder eine Beziehung markieren — und eine Benachrichtigung zwischen beiden wird gar nicht erst erzeugt, sodass nichts auf dem Sperrbildschirm ankommt. Durchgesetzt wird es über Datenbank-Trigger statt über Zugriffsregeln ⇒ es bindet sogar unseren eigenen höchstprivilegierten Zugriff. · Es wird nichts gelöscht, und Lesezugriffe bleiben unberührt. Der Verlauf bleibt auf beiden Seiten vollständig, denn genau den brauchst du für eine Meldung — und ein Raum, der auf einer Seite verschwände, wäre selbst schon eine Preisgabe. · Die Ablehnung nennt bewusst keinen Grund: Ein blockiertes, ein gesperrtes und ein gelöschtes Konto ergeben denselben Satz. Wer sendet, erfährt, dass die Nachricht nicht ankam, und nie warum — denn eine Ablehnung mit „du wurdest blockiert“ bestätigt einer belästigenden Person, dass sie die richtige getroffen hat. · Es gibt keinen Weg, und es wird nie einen geben, zu erfragen, wer dich blockiert hat.

Wohin die Daten reisen

Deine Daten verlassen Thailand. Hauptdatenbank, Authentifizierung und Dateispeicher liegen bei Supabase in Singapur; Website und Edge-Endpunkte bei Cloudflare in einem globalen Edge-Netz; Push-Benachrichtigungen und ausgehende E-Mail laufen über Googles Infrastruktur. Sie verarbeiten nach unseren Weisungen.

§ 28 PDPA erlaubt die Übermittlung an ein Ziel mit angemessenem Schutzniveau, gemäß einer Liste, die das Personal Data Protection Committee herausgibt. Diese Liste ist nicht herausgegeben worden. Die beiden Bekanntmachungen vom 25. Dezember 2023 (Kriterien nach §§ 28 und 29) traten am 24. März 2024 in Kraft; als angemessen eingestuft wurde bislang kein Land. Singapur ist damit kein anerkanntes Ziel, und die Übermittlung stützt sich auf geeignete Garantien nach § 29 — Standardvertragsklauseln.

Wie es geschützt ist — und wo das aufhört

Alles läuft über TLS. Zugriffe setzt die Datenbank per Row-Level-Security durch: Eine Anfrage nach Daten, die dir nicht gehören, liefert nichts — egal ob sie aus der App kommt oder von jemandem, der die API direkt anspricht. Bestätigungscodes liegen als Hash vor, und Geräte lassen sich einzeln widerrufen.

§ 37(4) PDPA verlangt, eine Datenschutzverletzung dem Committee unverzüglich und, soweit machbar, binnen 72 Stunden nach Kenntnis zu melden — es sei denn, sie birgt kein Risiko für die Rechte und Freiheiten von Personen. Bei hohem Risiko sind auch die Betroffenen zu benachrichtigen, samt Abhilfemaßnahmen.

Wie lange es bleibt

Konto und Profil

solange das Konto besteht

Inhalte — Beiträge, Kommentare, Fotos, Nachrichten

solange das Konto besteht oder bis du sie löschst

Stories

laufen von selbst ab

Geschäftsunterlagen — Bestellungen, Buchungen, Belege

beim Betrieb, mit dem du gehandelt hast, so lange dessen Buchführungs- und Steuerpflichten es verlangen

Gerätezeilen und Benachrichtigungs-Token

bis das Gerät widerrufen oder das Konto gelöscht wird

Administrations-Audit

nur anfügbar — ein Datenbank-Trigger weist Änderung und Löschung zurück

Verlangst du Löschung, löschen wir dein Konto und deine persönlichen Inhalte. Unterlagen, die ein Betrieb gesetzlich aufbewahren muss, können in dessen Konto verbleiben, ohne dein Profil daran. Audit-Einträge lassen sich, wie gesagt, nicht löschen — das ist bewusste Sicherheit, und wir sagen es hier, statt dich es selbst herausfinden zu lassen.

Deine Rechte

Nach §§ 30–36 PDPA kannst du Auskunft verlangen und eine Kopie erhalten (§ 30) · Übertragbarkeit in maschinenlesbarer Form verlangen (§ 31) · der Verarbeitung auf Grundlage berechtigten Interesses und der zu Direktmarketing widersprechen (§ 32) · Löschung oder Anonymisierung verlangen (§ 33) · Einschränkung der Verarbeitung verlangen (§ 34) · Berichtigung verlangen, damit die Daten richtig, aktuell und vollständig sind (§ 35) · und die Einwilligung jederzeit widerrufen (§ 19), so leicht, wie sie erteilt wurde. Du kannst dich außerdem beim Personal Data Protection Committee beschweren.

Dein Konto löschst du selbst — in der App und im Web: in der App unter Einstellungen → Konto löschen, im Web unter koratland.com/delete-account, das ganz ohne installierte App funktioniert. Beides ist ein Antrag mit 30 Tagen Frist: Das Konto bekommt ein Löschdatum, funktioniert bis dahin normal, und du kannst jederzeit vorher selbst abbrechen. Sobald ein Antrag eingeht, benachrichtigen wir das Konto — für den Fall, dass nicht du ihn gestellt hast.

„Daten herunterladen“ ist weiterhin ein Mensch, der E-Mail liest, keine Funktion. Schreib von der im Konto hinterlegten Adresse an privacy@koratland.com oder nenne uns deine Korat-ID. Wir prüfen zuerst, wer du bist — ein ungeprüfter Antrag ist selbst ein Angriff — und antworten innerhalb von 30 Tagen. Dieselbe Adresse übernimmt die Löschung, wenn du dich nicht mehr anmelden kannst.

Drei Dinge kannst du sofort selbst tun, ohne jemanden zu fragen: die Sichtbarkeit jedes Profilfelds, Albums, Beitrags oder jeder Story ändern; Dating vollständig abschalten, was das Modul verbirgt und dich aus allen Kartenstapeln nimmt; und jedes Konto blockieren, was sofort in beide Richtungen wirkt und wie oben beschrieben in der Datenbank durchgesetzt wird.

Kinder

Allein der thailändische Text ist verbindlich. Die anderen neun Sprachen dienen der Bequemlichkeit und haben keine eigenständige Rechtswirkung; bei Widerspruch gilt der thailändische Text. Diese Erklärung kann sich ändern; eine wesentliche Änderung wird in der App angekündigt. Version 3.2 — sie ersetzt Version 3.1, und geändert hat sich, dass die Beschreibung dem nachkommt, was das System inzwischen durchsetzt, nicht die Art, wie wir deine Daten verwenden: Die Sichtbarkeit je Feld ist als drei Ebenen dargestellt, jede mit der Angabe, wie weit sie reicht; sensible Felder stehen jetzt standardmäßig auf ‚privat‘ und identifizierende auf ‚Freunde‘; das Web beachtet die Sichtbarkeit je Feld wie die App; die Suche trifft nicht mehr auf verborgene Felder zu; und das Blockieren sowie die Regel, dass ein Betrieb dich nicht zuerst anschreiben kann, werden in der Datenbank durchgesetzt — die vorige Fassung erwähnte diese beiden Punkte gar nicht. Der Einwilligungsbildschirm in der App zeigt bis zum nächsten Release weiterhin 3.1; weichen die beiden Nummern voneinander ab, gilt diese Seite.

Sprache und Änderungen

Allein der thailändische Text ist verbindlich. Die anderen neun Sprachen dienen der Bequemlichkeit und haben keine eigenständige Rechtswirkung; bei Widerspruch gilt der thailändische Text. Diese Erklärung kann sich ändern; eine wesentliche Änderung wird in der App angekündigt. Version 3.1 — sie ersetzt Version 3.0. Der Einwilligungsbildschirm in der App sagte bisher Version 1.0 und war weit kürzer als diese Seite; ab dieser Fassung tragen beide dieselbe Nummer, und der Text, den du bei der Anmeldung annimmst, benennt jede der oben genannten Kategorien sensibler Daten.

Kontakt

privacy@koratland.com für alles rund um deine Daten. hello@koratland.com für alles andere.