Datenschutzerklärung – Rogr

Stand: 30. Oktober 2026 (Lesebestätigung, Duo und „Letzten nochmal hören“ ergänzt)

Kurz gesagt

Rogr hat keinen eigenen Server, keine Werbung, keine Analyse-Werkzeuge und kein Tracking. Funksprüche laufen über Apples iCloud und sind Ende-zu-Ende verschlüsselt: Nur wer in derselben Gruppe bzw. privaten Verbindung ist, kann sie abspielen – auch der Entwickler nicht. Jeder Funkspruch wird nach dem Anhören bzw. spätestens nach 24 Stunden gelöscht.

Welche Daten Rogr verarbeitet

• Aufnahmen (Funksprüche): auf deinem Gerät mit dem Schlüssel des Kanals verschlüsselt (AES-GCM) und erst dann in Apples iCloud (öffentliche CloudKit-Datenbank der App) gespeichert. Der Schlüssel entsteht aus dem Gruppen-Code bzw. bei privaten Verbindungen durch einen Schlüsselaustausch zwischen euren Geräten – er verlässt die Geräte nie.
• Dein Foto (freiwillig): klein (128 × 128 Pixel) und genauso verschlüsselt mit jedem Funkspruch übertragen.
• Dein Anzeigename: wird unverschlüsselt mit jedem Funkspruch mitgeschickt, damit die Mitteilung „Funkspruch von Anna“ zeigen kann. Bei privaten Einladungen steht er bis zur Annahme in der Einladung.
• iCloud-Kennung: eine zufällige, nur für diese App gültige Kennung, die Apple vergibt (nicht deine Apple-ID oder E-Mail-Adresse). Sie kennzeichnet, von wem ein Funkspruch kommt – damit du dich nicht selbst hörst und Personen blockieren kannst.
• Kanal-Kennung: eine Prüfsumme – nicht der Gruppen-Code selbst. Gruppennamen werden verschlüsselt gespeichert.
• Anwesenheit: Solange Rogr bei dir geöffnet ist, meldet die App etwa jede Minute „gerade da“ (deine iCloud-Kennung, die Kennungen deiner Kanäle, ob du stumm geschaltet hast, ob du Rogr gekauft oder abonniert hast, als Ja oder Nein, und wie lange die Meldung gilt – höchstens 2½ Minuten). Mitglieder deiner Kanäle sehen daran „live“ bzw. „stumm“. Schließt du die App, wird die Meldung sofort beendet. Das Ja/Nein zum Kauf sorgt dafür, dass private Verbindungen mit dir auch für die andere Seite freigeschaltet sind. Es wird kein Betrag und keine Zahlungsdaten gespeichert.
• Lesebestätigung („Gehört ✓“): Hast du einen Funkspruch ganz gehört, legt die App in iCloud (öffentliche CloudKit-Datenbank) eine Quittung an. Sie enthält die Kennung des Funkspruchs, die Kennung des Kanals, die zufälligen iCloud-Kennungen von Absender und Hörer (kein Klarname von Apple) und den Namen, den du in der App eingestellt hast. Nur der Absender des Funkspruchs sieht die Quittung. Quittungen werden nach 24 Stunden automatisch gelöscht. Mit dem Schalter „Lesebestätigung“ in den Einstellungen schaltest du das aus: Dann sendet die App keine Quittungen, und du siehst auch keine von anderen. Standard: an.
• Mitteilungen: Damit neue Funksprüche gemeldet werden, legt die App bei iCloud ein Abo pro Kanal an; zugestellt werden die Mitteilungen über Apples Push-Dienst.
• Visitenkarte (freiwillig): Legst du im Tab „Karte“ eine Visitenkarte an, speichert die App in iCloud (öffentliche CloudKit-Datenbank) deinen Anzeigenamen, deine iCloud-Kennung und einen öffentlichen Schlüssel unter einem zufälligen Code. Wer den Code kennt (QR-Code, Link, NFC-Aufkleber), kann deinen Namen sehen und dir eine Anfrage schicken – mit seinem Namen, seiner iCloud-Kennung und seinem öffentlichen Schlüssel. Erst wenn du annimmst, entsteht eine private Verbindung mit eigenem Schlüssel.
• Sicherung in deiner iCloud: Name, Foto, Kanäle (mit ihren Schlüsseln), eigene Namen für Personen, gesperrte und zuletzt gehörte Personen werden in deinem privaten iCloud-Bereich der App gesichert, zusätzlich verschlüsselt (CloudKit „Encrypted Bytes“). Nur deine Apple-ID kann sie lesen – der Entwickler nicht. So kann Rogr nach einer Neuinstallation alles wiederherstellen.
• Auf deinen Geräten: Einstellungen, Kanäle, gehörte Funksprüche, wer zuletzt gefunkt hat und zwischengespeicherte Fotos. Diese Daten gleichen sich zwischen deinem iPhone und deiner Apple Watch ab (über Apples Watch-Verbindung). Wenn du „Letzten nochmal hören“ einschaltest, bleibt der zuletzt gehörte Funkspruch 1 Minute lang nur auf deinem Gerät und wird danach gelöscht. Dafür geht nichts an einen Server. Standard: aus.

Speicherdauer

Funksprüche: bis zum Anhören, höchstens 24 Stunden – danach löscht sie die App des Absenders und zusätzlich ein täglicher Aufräum-Auftrag des Entwicklers. Lesebestätigungen („Gehört ✓“): nach 24 Stunden automatisch gelöscht. Zuletzt gehörter Funkspruch bei „Letzten nochmal hören“: 1 Minute, nur auf dem Gerät. Private Einladungen: bis zur Annahme oder Rücknahme. Gruppennamen: solange die Gruppe genutzt wird. Visitenkarte: bis du einen neuen Code erzeugst. Anfragen an eine Karte: derzeit unbefristet; ein automatisches Aufräumen alter Anfragen ist geplant. Sicherung: bis du sie in den iCloud-Einstellungen löschst (Einstellungen → dein Name → iCloud → Speicher verwalten → Rogr). Daten auf deinen Geräten: bis du Rogr löschst.

Wer die Daten verarbeitet

Gespeichert und zugestellt wird über Apple (iCloud/CloudKit und Apple-Push-Dienst); es gilt die Datenschutzrichtlinie von Apple. Die Einladungs- und Hilfeseiten liegen bei GitHub Pages; GitHub kann beim Aufruf technische Zugriffsdaten (z. B. IP-Adresse) protokollieren. Weitere Empfänger gibt es nicht.

Käufe

Abos und Einmalkauf werden vollständig über den App Store von Apple abgewickelt. Die App erfährt nur, ob eine Freischaltung besteht; Zahlungsdaten sieht sie nie.

Melden

Wenn du in der App jemanden meldest, öffnet sich dein E-Mail-Programm mit einer vorbereiteten Nachricht an den Entwickler (Name, iCloud-Kennung, Kanal und Zeitpunkt). Sie wird nur zur Bearbeitung der Meldung verwendet und nicht weitergegeben.

Rechtsgrundlage und deine Rechte

Die Verarbeitung ist zur Nutzung der App erforderlich (Art. 6 Abs. 1 lit. b DSGVO). Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch sowie auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde. Da Funksprüche verschlüsselt sind und nach spätestens 24 Stunden verschwinden, liegen beim Entwickler in der Regel keine lesbaren Daten über dich vor. Du kannst Kanäle in der App jederzeit verlassen und Rogr löschen. Bei Fragen schreib gern an die unten stehende Adresse.

Privacy Policy – Rogr

Last updated: 30 October 2026 (read receipts, Duo and “Replay last message” added)

In short

Rogr has no server of its own, no ads, no analytics and no tracking. Messages travel through Apple’s iCloud and are end-to-end encrypted: only people in the same group or private connection can play them – not even the developer. Each message is deleted after listening or after 24 hours at the latest.

What data Rogr processes

• Recordings (messages): encrypted on your device with the channel’s key (AES-GCM) before being stored in Apple’s iCloud (the app’s public CloudKit database). The key is derived from the group code or, for private connections, from a key exchange between your devices – it never leaves the devices.
• Your photo (optional): small (128 × 128 pixels) and encrypted the same way with each message.
• Your display name: sent unencrypted with each message so the notification can say “Message from Anna”. For private invitations it is part of the invitation until accepted.
• iCloud identifier: a random identifier issued by Apple that is only valid for this app (not your Apple Account or email address). It marks who a message is from – so you don’t hear yourself and can block people.
• Channel identifier: a checksum – not the group code itself. Group names are stored encrypted.
• Presence: while Rogr is open, the app reports “here now” about once a minute (your iCloud identifier, your channel identifiers, whether you are muted, whether you have bought or subscribed to Rogr, as yes or no, and how long the report is valid – 2½ minutes at most). Members of your channels see “live” or “muted”. When you close the app, the report ends immediately. The yes/no on purchases ensures that private connections with you are also unlocked for the other side. No amount and no payment data is stored.
• Read receipt (“Heard ✓”): if you have heard a message in full, the app creates a receipt in iCloud (the public CloudKit database). It contains the identifier of the message, the identifier of the channel, the random iCloud identifiers of sender and listener (not a real name from Apple) and the name you set in the app. Only the sender of the message sees the receipt. Receipts are deleted automatically after 24 hours. The “Read receipts” switch in the settings turns this off: then the app sends no receipts, and you see none from others. Default: on.
• Notifications: to announce new messages, the app creates one iCloud subscription per channel; notifications are delivered via Apple’s push service.
• Contact card (optional): if you create a card in the “Card” tab, the app stores your display name, your iCloud identifier and a public key in iCloud (public CloudKit database) under a random code. Anyone who knows the code (QR code, link, NFC sticker) can see your name and send you a request – with their name, iCloud identifier and public key. Only once you accept is a private connection with its own key created.
• Backup in your iCloud: name, photo, channels (with their keys), your own names for people, blocked and recent people are backed up in the app’s private iCloud space, additionally encrypted (CloudKit “Encrypted Bytes”). Only your Apple Account can read it – not the developer. This lets Rogr restore everything after reinstalling.
• On your devices: settings, channels, heard messages, who recently talked and cached photos. These sync between your iPhone and Apple Watch (via Apple’s watch connection). If you turn on “Replay last message”, the last message you heard stays only on your device for 1 minute and is then deleted. Nothing is sent to a server for this. Default: off.

Retention

Messages: until heard, 24 hours at most – then the sender’s app deletes them, plus a daily clean-up job run by the developer. Read receipts (“Heard ✓”): automatically deleted after 24 hours. Last message kept for “Replay last message”: 1 minute, only on the device. Private invitations: until accepted or withdrawn. Group names: as long as the group is in use. Contact card: until you create a new code. Requests to a card: currently kept indefinitely; automatic clean-up of old requests is planned. Backup: until you delete it in iCloud settings (Settings → your name → iCloud → Manage Storage → Rogr). Data on your devices: until you delete Rogr.

Who processes the data

Storage and delivery are handled by Apple (iCloud/CloudKit and the Apple Push Notification service); Apple’s Privacy Policy applies. The invitation and help pages are hosted on GitHub Pages; GitHub may log technical access data (e.g. IP address). There are no other recipients.

Purchases

Subscriptions and the one-time purchase are handled entirely by Apple’s App Store. The app only learns whether it is unlocked; it never sees payment data.

Reporting

If you report someone in the app, your email app opens with a prepared message to the developer (name, iCloud identifier, channel and time). It is only used to handle the report and is not shared.

Legal basis and your rights

Processing is necessary to use the app (Art. 6(1)(b) GDPR). You have the right to access, rectification, erasure, restriction, data portability and objection, and to lodge a complaint with a data protection authority. As messages are encrypted and disappear after 24 hours at the latest, the developer usually holds no readable data about you. You can leave channels in the app at any time and delete Rogr. If you have questions, write to the address below.