Datenschutz

Kurz gesagt

Der Dienst speichert einen Benutzernamen, einen Passwort-Hash und das, was Sie in Dialogen schreiben. Eine bestätigte Adresse wird durch einen verschlüsselten Hashwert ersetzt, es sei denn, Sie möchten Erinnerungen erhalten. Innerhalb eines Dialogs wird nichts, was Sie schreiben, unter Ihrem Namen angezeigt, und sieben Tage nach Abschluss eines Dialogs wird er versiegelt: Jeder Name darin wird durch einen zufälligen ersetzt, sodass niemand mehr sagen kann, wer was geschrieben hat. Es gibt keine Tracker, keine Analyse und keine Werbung, und nichts wird verkauft. Unfertige Dialoge werden nach einer festen Anzahl von Tagen gelöscht; abgeschlossene bleiben. Sie können eine Kopie Ihrer Daten, eine Berichtigung oder die Löschung Ihres Kontos verlangen. Die Server stehen in der Europäischen Union.

Eine Übersetzung zu Ihrer Information. Verbindlich ist der englische Text darunter.

Datenschutz

Zuletzt aktualisiert am 1. September 2026. Was gespeichert wird, warum und wie lange — geschrieben anhand des Codes, nicht anhand einer Vorlage.

Was wir speichern

Einen Benutzernamen und einen Passwort-Hash. Gesalzen und gehasht; wir können Ihr Passwort nicht lesen.
Eine Adresse nur, wenn Sie eine angeben, und nur, bis Sie sie bestätigen. Bei der Bestätigung wird die Adresse gelöscht und durch einen verschlüsselten Hash ersetzt — genug, um ein Postfach, ein Konto durchzusetzen und eine Passwortzurücksetzung zu senden; nicht genug, um die Adresse wiederherzustellen. Eine Ausnahme, nach Ihrer Wahl: Wenn Sie in Ihrer Übersicht Erinnerungen von der Leitung der Dialoge anfordern, in denen Sie sind, wird diese Adresse für genau diesen Zweck aufbewahrt — höchstens eine Mail pro Phase, von der Plattform auf Anfrage einer Leitung gesendet, der Leitung nie angezeigt — und gelöscht, sobald Sie es sagen, oder mit Ihrem Konto.
Was Sie schreiben: Karten, Klärungen, Beiträge im Nebenchat, Stimmen, Verbindungen, Nominierungen. Innerhalb eines Dialogs werden diese an keiner Stelle der Oberfläche Ihnen zugeordnet. Solange der Dialog läuft, hält die Datenbank fest, wer was geschrieben hat, damit eine Stimme pro Person und das Reihum-Prinzip überhaupt funktionieren. Sieben Tage nach Abschluss eines Dialogs wird er versiegelt: Jeder Name darin wird durch einen zufälligen ersetzt, und die Liste der Ersetzungen wird nirgends gespeichert. Der Name der Leitung bleibt nur als Leitung des Raums erhalten; was die Leitung geschrieben oder abgestimmt hat, wird wie bei allen anderen ersetzt. Von da an kann nichts auf diesem Server sagen, wer welche Karte geschrieben, welche Stimme abgegeben oder was in einem Nebenchat gesagt hat — weder die Leitung noch der Betreiber noch eine gerichtliche Anordnung. Ihr eigenes Protokoll behält zwei Dinge: dass Sie in diesem Raum waren, und den Satz, den Sie darüber geschrieben haben, wo Sie vorher und nachher standen. Nur Sie können beides lesen. Der Raum behält noch eine Sache: einen verschlüsselten Code für jede Person, die darin saß, nie für etwas, das sie getan hat, damit zwei Gruppen von Räumen mit gemeinsamen Personen nicht als unabhängig gezählt werden. Er wird aus einem zufälligen Wert in Ihrem Konto erzeugt, nicht aus Ihrem Namen; sobald Ihr Konto gelöscht ist, verweist er auf niemanden.
In welchen Dialogen Sie waren. Eine Liste von Raum-IDs in Ihrem Protokoll, nie von Karten. Sie ermöglicht es, einen Raum wiederzufinden, einen privaten Raum, dem Sie angehörten, nach seiner Versiegelung zu lesen, und verhindert einen zweiten Platz in einer Gruppe von Räumen, in der Sie bereits saßen.
Private Dialoge. Ein als privat eröffneter Raum ist für seine Mitglieder lesbar und für niemanden sonst, in jeder Phase und auch nachdem er entschieden ist — nicht für eine Person, die den Beitritt beantragt, nicht für jemanden, der den Link hat. Die API, die Seite und der Änderungs-Feed verweigern den Zugriff auf dieselbe Weise.
Ein signiertes Sitzungscookie, das nach 14 Tagen abläuft. Keine Cookies von Dritten, keine Analyse, keine Werbung, keine Tracker.
Mitgliederlisten von Organisationen: verschlüsselte Hashes der Adressen, die eine Administratorin oder ein Administrator angegeben hat, sowie ein Hinweis aus zwei Zeichen, damit eine Zeile wiedererkannt werden kann. Die Adressen selbst werden nicht gespeichert.

Was wir nicht speichern

Keinen Standort, keine Telefonnummer, keine Werbe-IDs, kein aus Ihrem Verhalten erstelltes Profil, keine IP-Protokolle über das hinaus, was der Webserver vorübergehend vorhält. Wir verkaufen niemandem etwas.

Wer es sonst sieht

Andere Teilnehmende sehen, was Sie geschrieben haben, nie, dass Sie es geschrieben haben.
Eine Leitung sieht den Benutzernamen einer Person, die beitreten möchte, weil das eine Entscheidung darüber ist, ob eine bestimmte Person dazugehört.
Andere Räume sehen eine Karte nur, wenn Sie sie freigegeben haben.
Auftragsverarbeiter: ein Mailanbieter für Bestätigungen und Zurücksetzungen; ein Zahlungsanbieter, wenn Sie ein Abonnement abschließen; der Server-Hoster. Wenn der optionale Logik-Assistent aktiviert ist, werden die Sätze eines Arguments, das Sie ihm vorlegen, an Anthropic gesendet — keine Kontodaten, und das Urteil wird in jedem Fall auf diesem Server berechnet.
Der Betreiber kann die Datenbank lesen. Die Protokolle sind noch nicht manipulationssicher, und das sagen wir auf der Anmeldeseite, statt etwas anderes nahezulegen.

Wie lange

Ein Dialog, der nicht innerhalb von 60 Tagen nach seiner Eröffnung zu seiner Landkarte gelangt, wird gelöscht, mit allem, was darin ist: Unfertige Arbeit wird nicht aufbewahrt. Sobald die Landkarte erstellt ist, bleibt das Protokoll.

Ihr Konto und das, was Sie geschrieben haben, bleiben, bis Sie sie löschen. Unbestätigte Adressen verfallen mit ihrem Link. Das Löschen Ihres Kontos entfernt das Konto und seinen Kontakt-Hash. Was Sie zu einem Dialog beigetragen haben, bleibt, ohne Zuordnung, weil die Stimmen und Landkarten anderer Personen darauf aufbauen — es zu entfernen, würde deren Protokoll umschreiben. Das ist dieselbe Regel, die verhindert, dass jemand die Geschichte zu seinen eigenen Gunsten bearbeitet. Die Versiegelung (oben) macht die fehlende Zuordnung dauerhaft: Danach entfernt das Löschen Ihres Kontos die letzte Verbindung zwischen Ihnen und einem Raum, den Vermerk, dass Sie darin waren.

Was wir daraus lernen

Bei der Versiegelung, und nur dann, berechnet ein Dialog eine Sache über sich selbst: welche Karten unter den Klebepunkten der Personen waren, deren Sicht sich verändert hat, im Vergleich zu denen, deren Sicht gleich blieb. Das wird als Zahl pro Karte gespeichert, nie pro Person, und es wird berechnet, bevor die Namen ersetzt werden, weil es danach nicht mehr berechnet werden kann. Es wird auf der entschiedenen Landkarte mit seiner Größe daneben angezeigt, als Beschreibung, nicht als Befund.

Ihre Rechte

Sie können eine Kopie dessen verlangen, was über Sie gespeichert ist, dessen Berichtigung verlangen, die Löschung Ihres Kontos verlangen oder der Art der Verwendung widersprechen: hello@mg.truecauses.org. Wenn wir einer Anfrage nicht nachkommen können, sagen wir, warum. Sie können sich bei Ihrer Datenschutzaufsichtsbehörde beschweren.

Wo

Server in der Europäischen Union. Mail- und Zahlungsanbieter können Daten außerhalb davon unter ihren Standardschutzmaßnahmen verarbeiten.

Der verbindliche englische Text

Privacy

Last updated 1 September 2026. What is held, why, and for how long — written from the code rather than from a template.

What we hold

A handle and a password hash. Salted and hashed; we cannot read your password.
An address only if you give one, and only until you confirm it. On confirmation the address is deleted and replaced by a keyed hash — enough to enforce one mailbox, one account, and to send a password reset; not enough to recover the address. One exception, at your choice: if you ask on your dashboard to receive reminders from the stewards of dialogues you are in, that address is kept for that one purpose — at most one mail per stage, sent by the platform on a steward's request, never shown to the steward — and removed the moment you say so, or with your account.
What you write: cards, clarifications, side-chat turns, votes, links, nominations. Inside a dialogue these are not attributed to you anywhere in the interface. While the dialogue is running, the database records who wrote what, so that one-vote-each and round robin can work at all. Seven days after a dialogue completes it is sealed: every name inside it is replaced by a random one and the list of replacements is not written anywhere. The steward's name stays only as the room's steward; what the steward wrote or voted is replaced like everyone else's. From then on nothing on this server can say who wrote which card, cast which vote, or said what in a side chat — not the steward, not the operator, not a court order. Your own record keeps two things: that you were in that room, and the sentence you wrote about where you stood before and after. Only you can read either. The room keeps one more thing: a keyed code for each person who sat in it, never for anything they did, so that two groups of rooms sharing people are not counted as independent. It is made from a random value on your account, not from your name; once your account is deleted, it points at no one.
Which dialogues you were in. A list on your record of room ids, never of cards. It is what lets you find a room again, read a private one you were part of after it is sealed, and be refused a second seat in a group of rooms you already sat in.
Private dialogues. A room opened as private is readable by its members and by nobody else, at every stage and after it is settled — not by an applicant, not by someone holding the link. The API, the page and the change feed all refuse the same way.
A signed session cookie, expiring after 14 days. No third-party cookies, no analytics, no advertising, no trackers.
Organisation rosters: keyed hashes of the addresses an administrator supplied, plus a two-character hint so they can recognise a row. The addresses themselves are not stored.

What we do not hold

No location, no phone number, no advertising identifiers, no profile built from your behaviour, no IP logs beyond what the web server keeps transiently. We sell nothing to anybody.

Who else sees it

Other participants see what you wrote, never that you wrote it.
A steward sees the handle of someone asking to join, because that is a decision about whether a particular person belongs.
Other rooms see a card only if you released it.
Processors: a mail provider for confirmations and resets; a payment provider if you subscribe; the server host. If the optional logic assistant is enabled, the sentences of an argument you submit to it are sent to Anthropic — no account details, and the verdict is computed on this server either way.
The operator can read the database. Records are not yet tamper-evident, and we say so on the sign-in page rather than implying otherwise.

How long

A dialogue that does not reach its map within 60 days of opening is purged, with everything in it: unfinished work is not kept. Once the map is laid out, the record stays.

Your account and what you wrote stay until you delete them. Unconfirmed addresses expire with their link. Deleting your account removes the account and its contact hash. What you contributed to a dialogue stays, unattributed, because other people's votes and maps were built on it — removing it would rewrite their record. That is the same rule that stops anyone editing history in their own favour. Sealing (above) makes the unattribution permanent: after it, deleting your account removes the last link between you and a room, the note that you were in it.

What we learn from it

At sealing, and only then, a dialogue computes one thing about itself: which cards were on the sticker sets of the people whose view moved, against those whose view held. It is kept as counts per card, never per person, and it is computed before the names are replaced because it cannot be computed after. It is shown on the settled map with its size next to it, as a description, not a finding.

Your rights

Ask for a copy of what is held about you, ask for it corrected, ask for your account deleted, or object to how it is used: hello@mg.truecauses.org. If we cannot honour a request we say why. You may complain to your data protection authority.

Where

Servers in the European Union. Mail and payment providers may process data outside it under their standard safeguards.

Bedingungen · Über uns · So funktioniert es