Datenschutzerklärung

Stand: [wird ergänzt]

1. Verantwortlicher

Malte Woile
Kapitelbuschweg 2b
22527 Hamburg

E-Mail: holistamp@woile.de
Web: holistamp.de

Datenschutzbeauftragter: [wird ergänzt]

2. Kurz gesagt

• Deine Fotos, Bildunterschriften, Orte und Daten der Karten werden auf deinem Gerät Ende-zu-Ende-verschlüsselt (libsodium, XChaCha20-Poly1305). Wir haben keinen Schlüssel und können die Inhalte nicht sehen.
• Die Auswahl und Auswertung der Fotos (Orte, Bildqualität) passiert nur auf deinem Gerät.
• Fotos verlassen dein Gerät nur verschlüsselt: wenn du eine Karte verschickst, Bilder in eine Familienpost legst oder sie mit Plus im Holistamp-Speicher sicherst.
• Exportierst du eine Karte selbst in deinen WhatsApp-Status, gelten ab dann die Regeln von WhatsApp (Status-Datenschutz).
• Unser Server (Amazon Web Services, Frankfurt) sieht nur verschlüsselte Daten und die technischen Metadaten aus Abschnitt 3.3.
• Keine Werbung, keine Analyse- oder Tracking-SDKs, keine Gesichtserkennung.

3. Verarbeitungen im Einzelnen

3.1 Konto mit anonymer ID

• Zweck: Ein Konto für die App, damit du Karten verschicken und empfangen kannst.
• Daten: eine zufällige Konto-ID, eine Geräte-ID und deine öffentlichen Schlüssel (Ed25519/X25519); eine technische Platzhalter-Adresse der Form <zufällige ID>@geraet.urlaubs-story.invalid und ein zufälliges Geräte-Passwort. Beides erzeugt die App selbst, du siehst es nie, und es gehen keine E-Mails raus. Keine echte E-Mail-Adresse und keine Telefonnummer. Den Namen, den du beim Einrichten eingibst (Speicherort: [wird ergänzt]). IP-Adresse beim Zugriff.
• Wiederherstellungscode: Dein Identitätsschlüssel wird auf dem Gerät mit einem Schlüssel aus deinem Code verschlüsselt (Argon2id) und verschlüsselt bei uns abgelegt, unter einer Such-ID, die sich aus dem Code ableitet. Den Code selbst sehen wir nie.
• Kein Login: Es gibt keine Anmeldung mit Apple, Google, E-Mail oder Telefonnummer.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag, Nutzung der App).
• Auftragsverarbeiter: Amazon Web Services (Cognito, AppSync, DynamoDB), siehe Abschnitt 4.
• Speicherort: AWS-Region eu-central-1 (Frankfurt).
• Löschfrist: bis du das Konto löschst (Abschnitt 3.10).

3.2 Sicherung des Wiederherstellungsschlüssels (iCloud-Schlüsselbund / Google Block Store)

• Zweck: Damit du dein Konto und deinen Holistamp-Speicher nach einem Gerätewechsel oder -verlust wiederherstellen kannst, auch wenn du den Wiederherstellungscode nicht zur Hand hast.
• Ablauf: Beim ersten Mal gibt es einen Pflichtschritt mit Erklärung. Solange keine Sicherung besteht, zeigt die App ein Warnbanner. Danach sichert die App den Wiederherstellungsschlüssel automatisch beim Anbieter deiner Plattform, auf deinem eigenen Konto dort. In den Einstellungen kannst du die Sicherung abschalten. Was dabei mit dem Eintrag beim Anbieter passiert: [wird ergänzt]
• iOS: Der Schlüssel wird im iCloud-Schlüsselbund gespeichert. Der iCloud-Schlüsselbund ist laut Apple immer Ende-zu-Ende-verschlüsselt, auch ohne den „Erweiterten Datenschutz“ (Apple: iCloud-Datensicherheit).
• Android: Der Schlüssel wird in Google Block Store gespeichert (Android Developers: Block Store). Ein Cloud-Backup gibt es nur, wenn die Ende-zu-Ende-Verschlüsselung verfügbar ist, also ab Android 9 mit gesetzter Displaysperre (PIN, Muster oder Passwort). Ohne Displaysperre bleibt der Schlüssel nur auf dem Gerät, und die App weist darauf hin.
• Was wir sehen: nichts. Weder der Schlüssel noch der Wiederherstellungscode wird auf unserem Server gespeichert. Die Daten gehen direkt vom Gerät an Apple bzw. Google und sind dort Ende-zu-Ende-verschlüsselt.
• Rechtsgrundlage: [wird ergänzt]
• Empfänger: Apple bzw. Google im Rahmen deines eigenen iCloud- bzw. Google-Kontos. Rolle: [wird ergänzt]
• Speicherort: bei Apple bzw. Google, auch außerhalb der EU möglich (Abschnitt 5). Wegen der Ende-zu-Ende-Verschlüsselung kann der Anbieter den Inhalt nicht lesen.
• Löschfrist: bis du die Sicherung abschaltest, dein Konto löschst oder den Eintrag in deinem iCloud- bzw. Google-Konto entfernst. Laut Google wird bei Block Store ein lokal gelöschter Eintrag beim nächsten regelmäßigen Abgleich auch aus der Cloud entfernt.

3.3 Karten und Familienpost (Ende-zu-Ende-verschlüsselt)

• Zweck: Karten, Urlaubsgrüße und Familienpost an Freunde zustellen, die du ausgewählt hast. Dazu gehören Zugriffsprüfung, Ablauf und Widerruf.
• Inhaltsdaten (nur verschlüsselt, für uns nicht lesbar): Bilder (1920 px, JPEG ohne EXIF/GPS), Manifest mit Reihenfolge, Datum, Ort und Bildunterschriften.
• Metadaten, die der Server sehen muss: Konto- und Geräte-IDs von Absender und Empfängern, also wer wem etwas schickt; je Empfänger-Gerät ein verpackter Schlüssel; Zeitpunkte von Upload und Abruf, Anzahl und Größe der Dateien; Ablaufdatum und Laufzeit (7, 14 oder 30 Tage, je nach Tarif); signierte Zugriffsfreigaben mit Gerät, Inhalt und Zeit. Reaktionen: [wird ergänzt]
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Auftragsverarbeiter: AWS (S3, DynamoDB, Lambda).
• Speicherort: eu-central-1 (Frankfurt). Kein CDN und keine Kopien außerhalb der EU.
• Löschfrist Karten: Der Server löscht sie, wenn ihre Laufzeit abläuft (7, 14 oder 30 Tage) oder du sie zurückziehst. Genaue Dauer bis zur technischen Löschung: [wird ergänzt]
• Löschfrist auf Empfänger-Geräten: Inhalte werden nach 14 Tagen ohne gültigen Abgleich gesperrt, nach 60 Tagen lokal gelöscht, bei Widerruf sofort.
• Löschfrist Familienpost: liegt, bis der Absender sie beendet oder einzelne Bilder entfernt. Free: Die Server-Ablage hält die letzten 12 Monate.

3.4 Holistamp-Speicher (nur Plus/Familie)

• Zweck: Deine behaltenen Karten verschlüsselt sichern und auf einem neuen Gerät wiederherstellen.
• Daten: verschlüsselte Bilder und das Archiv-Manifest (mit Bildunterschriften). Du wählst die Qualität: „Platzsparend (1920 px)“ ist voreingestellt, „Original“ sichert die Originaldatei (bis 300 MiB je Datei). Der Server sieht nur Objekt-ID, Größe, Konto-ID und Zeitpunkte. Den Schlüssel leitet die App aus deinem Identitätsschlüssel ab, er verlässt dein Gerät nicht unverschlüsselt.
• Umfang: 50 GB pro Person. Jeder Familienplatz hat ein eigenes Kontingent.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Plus-Vertrag).
• Auftragsverarbeiter: AWS (S3 mit eigenem verschlüsselten Bucket ohne öffentlichen Zugriff, DynamoDB, Lambda).
• Speicherort: eu-central-1 (Frankfurt).
• Löschfrist: solange Plus bzw. dein Familienplatz aktiv ist. Danach kannst du 90 Tage nur lesen, dann werden die Daten gelöscht. Vorher weisen wir dich an Tag 30 und Tag 7 darauf hin (in der App und per Push ohne Inhalt). Beim Löschen des Kontos wird der Speicher sofort mit gelöscht. Aufbewahrung von Versionen oder Backups nach dem Löschen: [wird ergänzt]

3.5 Bildunterschriften

• Zweck: Ein kurzer Text pro Bild, höchstens 140 Zeichen.
• Daten: Der Text steht im Ende-zu-Ende-verschlüsselten Karten-, Familien- bzw. Archiv-Manifest. Er erscheint nicht in Push-Nachrichten, Logs oder Metadaten.
• Rechtsgrundlage, Empfänger, Speicherort, Löschfrist: wie bei 3.3 bzw. 3.4. Beim Export in den WhatsApp-Status wird der Text ins Video eingebrannt, wenn der Schalter „Text mit exportieren“ an ist.

3.6 Fehlerprotokoll beim Sichern

• Zweck: Fehler beim Sichern erkennen und beheben, Sicherheit des Dienstes.
• Daten: nur Schritt, Versuch, HTTP-Status, Fehlercode und eine anonyme, 10-stellige Hash-ID des Kontos. Keine Dateinamen, Orte, Inhalte oder IP-Adressen in den Einträgen. Bei Fehlern der Laufzeitumgebung können zusätzlich feste Fehlertexte ohne Nutzerdaten im Log stehen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: stabiler und sicherer Betrieb).
• Auftragsverarbeiter: AWS (CloudWatch Logs).
• Speicherort: eu-central-1.
• Löschfrist: 14 Tage.
• Übrige Server-Protokolle: [wird ergänzt]

3.7 Push-Benachrichtigungen

[wird ergänzt]

3.8 Abos (Plus, Familie)

• Zweck: Abschluss, Abrechnung und Prüfung deines Abos, Vergabe von Familienplätzen.
• Zahlungsabwicklung: Die Zahlung läuft ausschließlich über den App Store von Apple bzw. Google Play. Wir erhalten keine Zahlungsdaten. Apple und Google verarbeiten die Daten als eigene Verantwortliche nach ihren Datenschutzerklärungen (Apple, Google).
• Prüfung der Kaufbelege: [wird ergänzt]
• Eigenes Backend: Tarif, Familienplätze (nur verifizierte Freunde, ein Platz pro Konto).
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Aufbewahrungspflichten: [wird ergänzt]
• Speicherort: Tarif und Plätze in eu-central-1.
• Löschfrist: bis zur Kontolöschung.

3.9 Freunde hinzufügen per QR-Code

• Zweck: Freunde sicher verbinden und gegenseitig verifizieren.
• Daten: Der QR-Code enthält Version, Konto-ID und den öffentlichen Identitätsschlüssel. Ein Scan verifiziert beide Seiten. Die Kamera dient nur zum Scannen, das Kamerabild bleibt auf dem Gerät. Freundesliste, Namen und Gruppen liegen nur auf deinem Gerät. Der Server speichert die Verbindung zwischen den Konto-IDs, damit Karten zugestellt werden können. Wir greifen nicht auf dein Adressbuch zu.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Auftragsverarbeiter, Speicherort: AWS, eu-central-1.
• Löschfrist: bis du den Freund entfernst bzw. blockierst oder dein Konto löschst.

3.10 Konto löschen

• In der App unter Einstellungen › Konto › „Konto löschen“.
• Auf dem Server werden gelöscht: Konto, Geräte, Schlüssel-Backup, eigene Karten und Urlaubsgrüße, Holistamp-Speicher, Push-Tokens, Einladungen, Plätze.
• Auf dem Gerät werden entfernt: Schlüssel, Freunde, empfangene Karten, Familienpost und Reaktionen. Deine eigenen Fotos in der Mediathek bleiben.
• Weitere Einzelheiten zur Löschung: [wird ergänzt]

3.11 Diese Website

• Diese Website setzt keine Cookies, nutzt kein Tracking und lädt keine Schriften, Skripte oder Bilder von fremden Servern.
• Sie wird über Amazon Web Services (AWS Amplify Hosting mit Amazon CloudFront) ausgeliefert. Welche Zugriffsdaten dabei protokolliert werden und wie lange: [wird ergänzt]

4. Auftragsverarbeiter

Dienst	Zweck	Ort	Grundlage
Amazon Web Services	Hosting, Datenbank, Speicher, Logs	eu-central-1 (Frankfurt)	AWS-Auftragsverarbeitungsvertrag, gilt über die Service Terms (AWS DPA, Service Terms)
Weitere Auftragsverarbeiter: [wird ergänzt]

5. Übermittlung in Drittländer

[wird ergänzt]

6. Deine Rechte

• Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen nach lit. f (Art. 21 DSGVO). Eine Einwilligung kannst du jederzeit für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).
• Hinweis zur Verschlüsselung: Weil wir Inhalte nicht entschlüsseln können, können wir Auskunft nur über Metadaten geben. Deine Inhalte siehst du in der App.
• Identifikation: Ohne E-Mail können wir dich nur über die App erkennen. Wie du dein Konto nachweist: [wird ergänzt]
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO), z. B. bei der Behörde am Sitz des Verantwortlichen: [wird ergänzt]

7. Sonstiges

• Pflicht zur Bereitstellung: Ohne Konto funktioniert das Verschicken und Empfangen nicht. Die eigene Auswahl auf dem Gerät geht auch ohne.
• Automatisierte Entscheidungen nach Art. 22 DSGVO gibt es nicht. Die Bildauswahl läuft nur auf dem Gerät und hat keine rechtliche Wirkung.
• Mindestalter: [wird ergänzt]