Datenschutzerklärung

Verantwortlich

Noch einzutragen Vor- und Nachname, Anschrift und E-Mail-Adresse
(dieselben Angaben wie im Impressum)

Ein Datenschutzbeauftragter ist nicht bestellt; die Voraussetzungen dafür liegen nicht vor.

Welche Daten verarbeitet werden

Kontodaten: Anzeigename, E-Mail-Adresse, Sprache und Zeitzone. Meldest du dich über Apple oder Google an, kommen der stabile Bezeichner deines Anbieterkontos und die von dort gemeldete Adresse hinzu — bei Apples „Adresse verbergen" ist das eine Weiterleitungsadresse.

Familiendaten: Familienname, Profile der Mitglieder, Rollen und optional Geburtstag und Geburtsjahr – in euren verschlüsselten Kreisen verschlüsselt wie jeder Eintrag.

Inhalte: Aufgaben, Termine, Erinnerungen, Notizen, Umfragen und Abstimmungen, Reaktionen und Antworten, Einkaufslisten, Essensplan und Rezepte samt Bildern, Preise, Prospektfunde, Belegfotos und Ausgaben, Verträge und Abos (auf Wunsch mit Dienst und Tarif aus dem Abo-Katalog), Budgets, Töpfe und Sparpläne, Zählerstände, Pakete mit ihren Sendungsnummern, Fahrzeuge und Tankvorgänge, Stundenpläne und Schichtpläne, gemerkte Orte, Kontakte mit Geburtstagen und Jahrestagen, Wunschzettel, Feiern mit Gäste- und Mitbringlisten, Dokumente an Einträgen (etwa das PDF eines Vertrags oder das Foto einer Kochbuchseite) – also alles, was ihr selbst eintragt.

Chats: Nachrichten, Fotos, Videos, Sprachnachrichten, Dateien und geteilte Einträge, Ende-zu-Ende-verschlüsselt wie alles andere. Fotos, Videos und Dateien liegen beim Server nur, bis eure Geräte sie abgeholt haben: mindestens drei, höchstens dreißig Tage.

Kosten teilen und Fahrgemeinschaft: Ausgaben, Anteile und Ausgleichszahlungen; Zahlungswege, die du selbst hinterlegst (etwa PayPal oder IBAN) — sichtbar nur für die, die dir etwas schulden; Fahrzeugangaben wie Sitzplätze und Verbrauch. Bezahlt wird nie über die App.

Standorte, nur wenn du sie selbst teilst und nur mit denen, die du auswählst: jeweils dein letzter Standort, Ankünfte und Abfahrten an euren gemerkten Orten und diese Orte selbst. Einen Verlauf deiner Wege speichert die App nicht. Im Chat schickst du deinen Standort einmal oder live für 15 Minuten bis 8 Stunden: Die Nachricht zeigt dann immer nur den jüngsten Punkt und endet von selbst oder wenn du sie beendest.

Belegfotos mit dem darauf erkannten Text und, wenn du es erlaubst, dem Ort der Aufnahme. In euren verschlüsselten Kreisen erkennt dein Gerät den Text selbst; nie geschieht das bei einem fremden Dienst.

Belege per Mail: Wenn du sie nutzt, bekommst du eine eigene Adresse unter post.simplyday.app. Mails, die du dorthin weiterleitest (etwa Bestellbestätigungen, Rechnungen oder Versandmitteilungen), nimmt unser eigener Mailserver an – samt Text und Anhängen bis 15 MB. Solche Mails stammen von Dritten, etwa einem Shop, und können deren Angaben enthalten. Beim Empfang liest der Mailserver die Mail im Arbeitsspeicher, prüft Absender und Echtheit (SPF, DKIM, DMARC; dafür fragt er die Domain des Absenders im DNS ab) und zerlegt sie in Text und Anhänge. Danach verschlüsselt er sie mit dem öffentlichen Schlüssel deines Kontos und speichert nur den Geheimtext. Ob eine Mail auf dem Weg zu uns verschlüsselt ist, entscheidet der Server, der sie schickt; wir bieten eine verschlüsselte Übertragung an (STARTTLS). Lesbar gespeichert sind deine Adresse, der Kreis, in den Belege gehen, deine Einstellungen dazu, die Absenderadressen, die du erlaubt oder gesperrt hast, und je Mail, wann sie ankam und ob sie auf deine Freigabe wartet. Dein Gerät holt die Mail ab, liest sie selbst, legt daraus Ausgabe, Paket oder Abo an und hängt die Mail verschlüsselt als PDF an den Eintrag. Leitest du dein Postfach automatisch weiter, erkennt der Mailserver am Umschlag-Absender und an der SPF-Prüfung, dass eine Mail von deinem eigenen Postfach kommt, und vermerkt das verschlüsselt in der Mail. Was so kommt und kein Beleg ist, löscht dein Gerät beim Server, ohne dich zu fragen.

Erkennung verbessern (freiwillig): Erkennt die App eine Mail nicht, kannst du genau diesen einen Fall an uns schicken – nur auf dein Tippen, nie automatisch. Vorher siehst du, was rausgeht: ab Werk geschwärzt (Namen und Anrede, Anschriften, E-Mail-Adressen außer der des Absenders, Telefonnummern, IBAN, Bestell- und Kundennummern, Links mit Kennungen), auf Wunsch vollständig. Diesen Fall liest dann nicht nur dein Kreis, sondern auch der Betreiber von SimplyDay; die Übertragung ist verschlüsselt, gespeichert wird er lesbar, zusammen mit deinem Konto, deiner Zuordnung und der Version der App. Wir nutzen ihn nur, um die Erkennung zu verbessern; daraus entstehen erfundene Prüffälle, das Original bleibt bei uns. Unter Einstellungen → Datenschutz siehst du, was du geschickt hast, und ziehst alles zurück.

Kalender: Verbindest du Kalender deines Geräts, übernimmt die App aus denen, die du auswählst, Titel, Ort, Notiz und Zeit der Termine – verschlüsselt wie jeder andere Eintrag.

Kontakte: Übernimmst du Kontakte deines Geräts, gleicht die App sie mit deinem Adressbuch in SimplyDay in beide Richtungen ab – je nach deiner Wahl nur Namen mit Geburtstagen und Jahrestagen oder die ganze Karte mit Nummern, Adressen und Bild. Was du in SimplyDay anlegst oder änderst, schreibt die App in die Kontakte deines Geräts. Gelöscht wird auf der anderen Seite nie ohne deine Rückfrage. Welcher Kontakt zu welchem gehört, merkt sich nur dein Gerät; beim Server liegen die Kontakte verschlüsselt wie jeder andere Eintrag.

Technische Daten: Sitzungen und Gerätezugänge, jeweils nur als Prüfwert; Push-Abonnements, wenn du Benachrichtigungen freigibst; Zugriffsprotokolle des Webservers einschließlich IP-Adresse.

Zugriffe auf dem Gerät – Kamera, Mikrofon, Fotos, Kalender, Kontakte, Standort und das lokale Netzwerk (um Home Assistant im Heimnetz zu finden) – gibt es nur, wenn du sie in den Einstellungen des Geräts erlaubst, und nur für die Funktion, die du gerade benutzt. Du kannst sie dort jederzeit wieder entziehen. Gesprochenes erkennt dein Gerät selbst; die Aufnahme verlässt es dafür nicht.

Passwörter werden niemals im Klartext gespeichert, sondern nur als Prüfwert. Die Adressen von Stundenplan-Abos liegen verschlüsselt. Ein Bildschirmfoto eines Stundenplans wird nur gelesen, nicht aufbewahrt — in der App liest es das Gerät selbst.

Auf deinem Gerät selbst geschieht die Texterkennung von Bons und Prospekten, deine Sicherung (siehe „Deine Sicherung“) und, wo das Gerät ein eigenes Sprachmodell hat (beim iPhone Apple Intelligence), das Verstehen von Prospekten und das Zerlegen eines Satzes beim schnellen Eintragen. Das Sprachmodell schlägt dabei nur vor, welche Einträge in einem Text stecken; es schreibt keine eigenen Texte und entscheidet nichts. Was angelegt wird, siehst und bestätigst du. Die Suche nach Orten und die kleinen Karten liefert beim iPhone Apple (Apple Karten); dabei gehen der Suchbegriff und der Kartenausschnitt an Apple, keine Namen und keine Einträge.

Nur euer Kreis kann lesen

Alles, was ihr in einem Kreis eintragt, ist Ende-zu-Ende-verschlüsselt: Es wird auf euren Geräten ver- und entschlüsselt, und nur die Geräte der Menschen im Kreis haben den Schlüssel. Der Server bewahrt es nur als Geheimtext auf. Weder wir als Betreiber noch der Hoster können es lesen – auch nicht mit Zugang zum Server.

Eine Ausnahme sind Mails, die du an deine Adresse für Belege weiterleitest: Sie kommen über das offene Mail-Netz und liegen deshalb im Moment des Empfangs kurz lesbar im Arbeitsspeicher unseres Mailservers, bevor er sie verschlüsselt (siehe „Belege per Mail“).

Verschlüsselt sind die Inhalte selbst: Titel, Notizen, Namen in Einträgen, Beträge, Orte und der geteilte Standort, Rezepte samt Zutaten und Nährwerten, Belege und ihr erkannter Text, Fotos und Rezeptbilder, Verträge und Zählerstände, Dokumente an Einträgen samt ihren Namen – und auch die Logos der Läden und Anbieter, die die App an euren Einträgen zeigt.

Lesbar bleibt nur, was der Server zum Betrieb braucht: dein Konto mit E-Mail-Adresse, wer zu welchem Kreis gehört und welche Geräte dafür bestätigt sind (mit ihren öffentlichen Schlüsseln), wann etwas angelegt oder geändert wurde, wie groß es ist und welche Version es hat. Damit Erinnerungen pünktlich kommen, bleiben außerdem Tag und Uhrzeit, der Stand (etwa „erledigt“) und wer zuständig ist lesbar – als Kennung, ohne Namen. Ebenso als Kennung lesbar sind, wer einen Eintrag sehen darf (etwa bei „Nur ich“), wer zu einem Budget oder Topf gehört und welchem Budget oder Topf eine Ausgabe zugeordnet ist – nicht aber Beträge, Namen oder Zwecke.

Was nur mit dem Inhalt geht – eine Rezeptseite laden, ein Produkt bei Open Food Facts nachschlagen, Text auf einem Foto oder in einer Mail erkennen –, macht dein Gerät selbst. Der Schlüssel für ein neues Gerät liegt im Ende-zu-Ende-verschlüsselten Schlüsselspeicher deines Kontos beim Gerätehersteller (beim iPhone der iCloud-Schlüsselbund) oder kommt über einen Code, den du selbst bestätigst; bei uns liegt er nie.

Deine Sicherung

Unter Einstellungen → Schlüssel und Sicherung sichert die App alle deine Kreise, Chats, Wunschzettel und Adressbücher – automatisch täglich, wöchentlich oder monatlich oder auf Knopfdruck. Wem ein Kreis gehört, der sichert ihn ganz, auch Einträge, die andere auf „Nur ich“ gestellt haben; alle anderen sichern, was sie im Kreis sehen. Von den anderen Mitgliedern stehen darin nur die Namen, keine E-Mail-Adressen. Mit dem Schalter „Fotos und Dateien“ kommen Belege, Zählerfotos, Rezeptbilder, Dokumente an Einträgen und Fotos aus Chats dazu; ausgeschaltet fallen sie bei der nächsten Sicherung wieder heraus.

Die Sicherung entsteht auf deinem Gerät und wird dort verschlüsselt, mit einem Sicherungsschlüssel, der im Ende-zu-Ende-verschlüsselten Schlüsselspeicher deines Kontos beim Gerätehersteller liegt (beim iPhone der iCloud-Schlüsselbund) und zusätzlich mit deinem Wiederherstellungscode eingepackt ist. Sie liegt auf deinem Gerät oder in einem Ordner, den du wählst, etwa in deinem iCloud Drive; dann bewahrt Apple die verschlüsselte Datei für dich auf, ohne sie lesen zu können. Unser Server bekommt die Sicherung nie. Fehlen Schlüsselspeicher und Code, lässt sie sich nicht mehr öffnen – auch nicht durch uns.

Eingespielt wird eine Sicherung in einen neuen, leeren Kreis. Wer sie einspielt, besitzt ihn; die anderen Mitglieder kommen nur mit ihren Namen zurück, ohne Konto und ohne Zugang, und private Einträge bleiben für die sichtbar, die sie vorher sahen. Grundlage ist der Vertrag (Art. 6 Abs. 1 lit. b DSGVO), soweit die Sicherung Einträge anderer Mitglieder enthält unser und ihr berechtigtes Interesse, einen Kreis nach einem Verlust wiederherstellen zu können (Art. 6 Abs. 1 lit. f DSGVO).

Gäste ohne App

Einen Wunschzettel oder eine Einladung zu einer Feier könnt ihr als Link an Menschen ohne App schicken. Der Schlüssel steht im Link hinter dem „#“; dieser Teil erreicht unseren Server nie. Der Browser des Gastes entschlüsselt damit den Zettel oder die Einladung selbst.

Den Namen, den ein Gast beim Besorgen eines Wunsches angibt, verschlüsselt sein Browser, bevor er zu uns kommt. Lesbar bleiben für uns nur, was als besorgt gilt, die Zu- oder Absage zu einer Feier mit der Personenzahl, welches Mitbringsel ein Gast übernimmt und wann. Schaltet ihr „Namen in der Vorschau zeigen“ ein, liegt außerdem dieser eine Satz (etwa „Noras Wunschzettel“) lesbar beim Server, damit Messenger ihn in der Vorschau zeigen; ab Werk ist das aus. Wer über den Link etwas besorgt, bekommt im Browser eine zufällige Kennung abgelegt, damit er das später zurücknehmen kann; beim bloßen Ansehen wird nichts abgelegt. Wie bei jedem Aufruf stehen die IP-Adressen der Gäste sieben Tage im Zugriffsprotokoll. Grundlage ist euer und unser berechtigtes Interesse, Gäste ohne Konto einbeziehen zu können (Art. 6 Abs. 1 lit. f DSGVO); ein Link läuft ab oder lässt sich jederzeit zurücknehmen.

Wozu und auf welcher Grundlage

Damit die App funktioniert (Art. 6 Abs. 1 lit. b DSGVO): Konto, Kreise, eure Einträge und ihr Abgleich zwischen den Geräten, dazu die Belege per Mail, wenn du sie einschaltest. Ohne Konto und Kreis lässt sich SimplyDay nicht nutzen; alles Weitere gibst du freiwillig an.

Mit deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Standort teilen, Mitteilungen, der Abgleich mit Kalendern des Geräts, der Ort eines Bons und jeder Fall, den du mit „Erkennung verbessern“ an uns schickst. Du kannst jede Einwilligung jederzeit widerrufen, in der App oder in den Einstellungen des Geräts; was bis dahin geschah, bleibt rechtmäßig.

Aus berechtigtem Interesse (Art. 6 Abs. 1 lit. f DSGVO): Zugriffsprotokolle mit IP-Adresse, um Angriffe abzuwehren und Fehler zu finden, und eine Zählung für den Betrieb aus den lesbaren Angaben, möglichst zusammengefasst: wie viele Konten, Kreise und Mitglieder es gibt, welche Bausteine eingeschaltet sind, wie viele Einträge es je Bereich gibt, wann die App genutzt wird, welche Fehler auftreten und welche Versionen laufen. Inhalte und Suchbegriffe gehören nicht dazu. Ebenfalls aus berechtigtem Interesse (deinem, deine Belege zu sammeln) verarbeiten wir die Angaben Dritter, die in weitergeleiteten Mails stehen.

Es gibt keine Werbung, keine Verhaltensanalyse, keine Profilbildung und keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO.

Was auf deinem Gerät gespeichert wird

Die Seite setzt genau ein Cookie: die Sitzung. Die Seite für Gäste legt nur beim Besorgen eine zufällige Kennung im Browser ab (siehe „Gäste ohne App“). Die App legt auf dem Gerät ab, was sie zum Arbeiten braucht: den zuletzt geladenen Stand für die Nutzung ohne Netz, noch nicht verschickte Änderungen, deine Einstellungen und die Schlüssel im Schlüsselspeicher des Geräts. All das ist für die Funktion, die du nutzt, unbedingt erforderlich und braucht deshalb keine Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG). Werbe-, Analyse- oder Tracking-Bausteine anderer Anbieter enthält weder die Seite noch die App.

Wer die Daten sonst noch sieht

Der Hoster des Servers, die netcup GmbH in Karlsruhe, als Auftragsverarbeiter nach Art. 28 DSGVO. Der Server steht in ihrem Rechenzentrum in Nürnberg, alle Daten liegen in Deutschland.

Apple und Google, wenn du dich über sie anmeldest. Sie sind dabei eigenständig verantwortlich, nicht in unserem Auftrag. Beide sitzen in den USA; Grundlage der Übermittlung ist der Angemessenheitsbeschluss zum EU-US Data Privacy Framework.

Push-Dienste der Browser- und Gerätehersteller, wenn du Benachrichtigungen freigibst. Deine eigenen Erinnerungen plant dein Gerät selbst, mit vollem Text, ohne Push-Dienst. Was andere auslösen (etwa eine neue Aufgabe für dich), kommt derzeit über den Push-Dienst ohne Inhalt – nur als Hinweis, dass es etwas Neues gibt.

Mit der App aus dem App Store kommen diese Mitteilungen über Apples Push-Dienst (APNs) mit vollem Text. Der Inhalt reist dabei verschlüsselt mit, wie er auch auf dem Server liegt, und erst dein Gerät entschlüsselt ihn. Apple sieht, dass eine Mitteilung an dein Gerät geht, aber nicht, was darin steht.

Die Webseite eines Rezepts oder Produkts, wenn du einen Link einfügst: Dein Gerät lädt die Seite selbst und liest das Rezept oder den Wunsch heraus; die Seite sieht dabei, wie bei jedem Aufruf im Browser, die IP-Adresse deines Geräts. Dasselbe gilt, wenn du eine Wunschliste von Amazon übernimmst oder abgleichst, und für die Produktbilder an Wünschen: Sie lädt dein Gerät (und der Browser eines Gastes) direkt beim Shop.

Apple Karten oder Google Maps, wenn du auf „Karten“ oder „Maps“ tippst: Die App übergibt der Karten-App das Ziel. Von selbst nimmt die App keinen Kontakt zu Google auf.

Die Schule oder ihr Stundenplandienst (etwa WebUntis), wenn ihr ein Stundenplan-Abo verbindet: Der Server ruft den Plan unter der eingefügten Adresse ab und übermittelt dabei nur seine eigene IP-Adresse, keine Daten von euch.

OpenHolidays (openholidaysapi.org), für Ferien und Feiertage des Bundeslands eines Stundenplans. Abgefragt werden nur Bundesland und Jahr.

Open Food Facts (Open Food Facts e. V., Frankreich), wenn du ein Fertiggericht suchst oder seinen Barcode scannst: Dein Gerät fragt dort direkt mit dem Suchbegriff oder der Artikelnummer und bekommt Nährwerte, Packungsgröße, Nutri-Score und Packungsfoto. Open Food Facts sieht dabei die IP-Adresse deines Geräts, aber nicht, wer du bist oder was sonst in deinem Rezept steht.

Logos der Läden und Anbieter: Freie Logos stammen von Wikimedia (Wikidata und Wikimedia Commons). Der Server hält davon einen Katalog bereit; dein Gerät lädt ihn ganz und sucht das passende Logo selbst heraus – der Server erfährt so nicht, wo ihr einkauft. Fehlt ein freies Logo, lädt dein Gerät das Symbol von der Webseite des Ladens, wie ein Browser es tut; Logos von Anbietern (etwa eurem Stromversorger) findet es über die Ortssuche des Geräts (beim iPhone Apple Karten). Logos an euren Einträgen werden verschlüsselt im Kreis gespeichert. Für den Abo-Katalog lädt dein Gerät außerdem die Symbole aller bekannten Dienste (etwa Netflix oder Spotify) von deren Webseiten, auch von Diensten, bei denen du kein Abo hast, und legt sie nur auf dem Gerät ab. Die Seiten sehen dabei, wie bei jedem Aufruf im Browser, die IP-Adresse deines Geräts.

Preisseiten der Abo-Anbieter: Der Server ruft einmal am Tag die öffentlichen Preisseiten der Dienste im Abo-Katalog ab, ohne Daten von euch. Den Katalog bekommt jedes Gerät gleich; welches Abo und welchen Tarif du hast, steht nur verschlüsselt in deinem Eintrag, und ob sich ein Preis geändert hat, rechnet dein Gerät.

Shops in weitergeleiteten Mails: Um eine Mail als PDF an den Eintrag zu hängen, lädt dein Gerät die Bilder darin von den Servern des Absenders; unsichtbare Zählpixel lässt es weg. Auch Produktbilder einer Bestellung lädt es direkt beim Shop. Der Shop sieht dabei die IP-Adresse deines Geräts und kann daraus schließen, dass die Mail gelesen wurde.

Vergleichsportale (Check24, Verivox), wenn du bei einem Vertrag oder Zähler auf „Vergleichen“ tippst: Die Seite des Portals öffnet sich im Browser. Im Link stehen nur die Angaben für den Vergleich – bei Strom und Gas der Jahresverbrauch, beim Handy eine Stufe für Datenvolumen und Preis – und deine Postleitzahl nur, wenn du sie dafür freigibst. Die Postleitzahl merkt sich nur dein Gerät. Was du auf dem Portal tust, erfahren wir nicht.

Die Versicherer (GDV), wenn du bei einem Auto die Typklasse nachschlägst: Die Seite dieversicherer.de öffnet sich im Browser, mit Marke, Modell und Schlüsselnummern im Link. Die Typliste der Fahrzeuge lädt der Server öffentlich beim Kraftfahrt-Bundesamt; dein Gerät sucht darin selbst.

Dein Home Assistant, wenn du Zähler damit verbindest: Dein Gerät meldet sich dort an und holt die Zählerwerte direkt, im Heimnetz oder über die Adresse, die du einträgst, auf Wunsch auch im Hintergrund. Die Zugangsschlüssel liegen nur im Schlüsselspeicher dieses Geräts. Zur Anmeldung ruft dein Home Assistant einmal unsere Seite simplyday.app/zaehlerstaende ab; seine IP-Adresse steht dann wie bei jedem Aufruf sieben Tage im Zugriffsprotokoll. Die übernommenen Zählerstände liegen beim Server verschlüsselt wie jeder Eintrag.

Paketdienste und Shops, wenn du bei einem Paket auf die Sendungsverfolgung oder bei einer Bestellung auf einen Artikel tippst: Die Seite öffnet sich im Browser, mit der Sendungsnummer oder dem Link des Artikels.

Apple als Anbieter des App Store: Laden, Kaufen und ein Abo laufen über dein Apple-Konto; Apple ist dafür selbst verantwortlich. Wir erfahren davon nur, ob ein Abo besteht, nicht wer du bei Apple bist oder wie du bezahlst. Teilst du in den Einstellungen des iPhones Analysen mit App-Entwicklern, gibt Apple uns Absturzberichte ohne Namen weiter.

Wo ein Dienst seinen Sitz in den USA hat (Apple, Google und die Push-Dienste der Browser), ist Grundlage der Übermittlung der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework.

Android: Diese Erklärung beschreibt die App für das iPhone und die Webseite. Eine App für Android ist in Vorbereitung; sie wird an den entsprechenden Stellen die Dienste von Google nutzen, etwa Google Play, den Push-Dienst und den Schlüsselspeicher von Google. Bevor sie erscheint, ergänzen wir diese Erklärung.

Darüber hinaus werden keine Daten weitergegeben, weder verkauft noch zu Werbezwecken überlassen.

Wie lange

Konto, Familiendaten und alles, was ihr eintragt, bleiben, bis ihr es löscht. Ein Konto ohne bezahltes Abo, das 24 Monate nicht genutzt wurde, löschen wir; 30 und 7 Tage vorher erinnert dich die App (Mitteilung), und wer sie öffnet, behält alles. Ohne nachweisbare Erinnerung löschen wir nicht von selbst, sondern entscheiden im Einzelfall. Kreise, in denen noch jemand mit Konto ist, bleiben dabei bestehen. Zugriffsprotokolle des Webservers werden nach sieben Tagen entfernt, Anwendungsprotokolle nach vierzehn — sie enthalten keine Inhalte.

Was du löschst, ist nach höchstens zehn Minuten endgültig vom Server entfernt – samt Fotos, Dokumenten, Antworten und Reaktionen daran. Direkt nach dem Löschen holt „Rückgängig“ es in der App noch zurück. Ein gelöschter Termin, der mit dem Kalender deines Geräts oder mit iCloud abgeglichen wird, bleibt nur so lange, bis auch dieser Kalender ihn gelöscht hat, höchstens dreißig Tage. Von einer gelöschten Chat-Nachricht bleibt ohne Inhalt nur der Hinweis, dass dort eine stand. Was in deiner eigenen Sicherung auf deinem Gerät liegt, bleibt dort, bis du sie löschst.

Von einem geteilten Standort liegt nur der letzte Punkt vor, kein Verlauf; er wird durch den nächsten ersetzt und sofort gelöscht, wenn du das Teilen beendest. Ein Standort im Chat bleibt als Nachricht mit seinem letzten Punkt stehen, bis jemand sie löscht. Ankünfte und Abfahrten nach sieben Tagen. Chat-Nachrichten bleiben, bis sie gelöscht werden; Fotos, Videos und Dateien aus Chats liegen beim Server höchstens dreißig Tage. Belegfotos bleiben, bis du sie löschst oder in der App eine Frist wählst; dann kommt eine Woche vorher ein Hinweis, der erkannte Text und die Ausgabe bleiben. Die Warteschlange der Mitteilungen und gescheiterte Anmeldeversuche verschwinden nach dreißig Tagen. Eine weitergeleitete Mail löscht dein Gerät beim Server, sobald es sie verarbeitet hat; spätestens nach vierzehn Tagen entfernt sie der Server selbst, eine Mail, die auf deine Freigabe wartet, nach sieben. Das PDF am Eintrag bleibt, bis du es löschst. Einen Fall, den du mit „Erkennung verbessern“ geschickt hast, löschen wir nach der Auswertung, spätestens nach neunzig Tagen; ziehst du ihn zurück, sofort.

Verschlüsselte Sicherungskopien der Datenbank laufen nach spätestens 190 Tagen ab, die der Fotos nach vierzehn Tagen. Aus ihnen lassen sich einzelne Daten technisch nicht herauslösen; eine Löschung wirkt dort also erst mit ihrem Ablauf.

Kinder

Kinder haben in aller Regel kein eigenes Konto, sondern ein von den Eltern angelegtes Profil mit Gerätezugang. Die Entscheidung darüber treffen die Eltern. Geburtstag und Geburtsjahr sind freiwillig.

Ein eigenes Konto anlegen kann, wer mindestens 16 Jahre alt ist; jüngere nur mit Einwilligung der Eltern (Art. 8 DSGVO).

Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) sowie das Recht, eine Einwilligung jederzeit zu widerrufen (Art. 7 Abs. 3).

Für Auskunft und Übertragbarkeit gibt es „Daten sichern“ unter Einstellungen → Schlüssel und Sicherung: „Meine Daten sichern“ speichert alles, was du angelegt hast oder was dir zugeordnet ist, mit deinen Einstellungen als maschinenlesbare Datei; wem ein Kreis gehört, der kann zusätzlich den ganzen Kreis exportieren. Dazu gehören auch deine Adresse für Belege und die Liste der erlaubten und gesperrten Absender. Chatnachrichten sind Ende-zu-Ende verschlüsselt und stehen deshalb nicht lesbar in dieser Datei; lesbar liegen sie nur auf euren Geräten und kommen mit der Sicherung auf dem Gerät mit. Einen Kreis löschst du in seinen Einstellungen, dein Konto unter Einstellungen → Anmeldung und Geräte; beides entfernt Profile, Inhalte und Fotos unwiderruflich. Für alles Weitere genügt eine Nachricht an die im Impressum genannte Adresse; wir antworten binnen eines Monats.

Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren, in der Regel der deines Bundeslandes.

Dein Widerspruchsrecht

Was wir aus berechtigtem Interesse verarbeiten (Art. 6 Abs. 1 lit. f DSGVO), kannst du jederzeit widersprechen, wenn sich das aus deiner besonderen Situation ergibt (Art. 21 DSGVO). Dann verarbeiten wir diese Daten nicht mehr, es sei denn, es gibt zwingende schutzwürdige Gründe, die deine Interessen überwiegen, oder sie dienen der Durchsetzung oder Abwehr von Rechtsansprüchen. Es genügt eine Nachricht an die im Impressum genannte Adresse.

Sicherheit

Inhalte sind Ende-zu-Ende-verschlüsselt (siehe „Nur euer Kreis kann lesen“), mit den Krypto-Bausteinen des Betriebssystems (beim iPhone Apples CryptoKit) und Verfahren, die auch gegen künftige Quantenrechner bestehen sollen (ML-KEM). Die Verbindung ist zusätzlich durchgehend verschlüsselt. Der Server ist gehärtet, die Datenbank von außen nicht erreichbar, Sicherungskopien sind verschlüsselt und ihre Wiederherstellung wird geprüft. Eine zweite Kopie holt sich der Betreiber auf eigene Hardware in Deutschland; entschlüsseln lässt sie sich dort nicht, der Schlüssel dafür liegt getrennt. Familiengrenzen entscheidet der Server bei jedem einzelnen Zugriff, nicht die App.

Änderungen

Ändert sich, was die App mit Daten tut, passen wir diese Erklärung an und sagen es in der App.

Stand: 3. November 2026