Datenschutzerklärung

1. Verantwortlicher

Steven Hernandez, Dreherstr. 165, 40625 Düsseldorf, Deutschland. Für Datenschutzanfragen erreichst du mich unter hello@kiumu.app oder auf dem Postweg an der genannten Anschrift.

2. Besuch und Betrieb der Website

Vercel Inc. stellt die Website bereit. Zur Auslieferung und Absicherung werden insbesondere IP-Adresse, aufgerufene Adresse, Zeitpunkt, Browser- und Geräteangaben sowie technische Antwort- und Fehlerdaten verarbeitet. Vercel Observability Plus hilft bei der Diagnose von Betriebsstörungen.

Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO. Mein berechtigtes Interesse besteht darin, die Website zuverlässig bereitzustellen, Fehler zu beheben und unberechtigte Zugriffe abzuwehren.

Schriftarten, Bilder und das Demo-Video werden über die Website geladen. Es sind keine externen Video-Player, Werbetracker oder Skripte zur Besucheranalyse eingebunden. Die Vercel-Feedback-Toolbar ist auf der aktuellen öffentlichen Preview ausgeschaltet.

3. Konto und gespeicherte Inhalte

Für ein Konto benötigst du eine E-Mail-Adresse und ein Passwort. Supabase Inc. übernimmt die Anmeldung und Datenhaltung. Dabei werden deine Kontokennung, Zugangsdaten, Anmelde- und Sicherheitsereignisse sowie technische Verbindungsdaten verarbeitet. Passwörter werden zur Anmeldung übertragen und als kryptografische Prüfsumme gespeichert.

Für deine Nutzung speichert kiumu Gewohnheiten, Erledigungen mit Zeitangaben, Ziele und Beschreibungen, Punktebuchungen, Archivierungs- und Löschmarkierungen sowie deine Zeitzone. Diese Daten werden deinem Konto zugeordnet, damit du deinen Fortschritt auch nach erneutem Anmelden und auf anderen Geräten nutzen kannst.

Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO für die von dir angeforderte Kontofunktion. Ohne Zugangsdaten ist die Kontonutzung nicht möglich. Die öffentliche Startseite und die Rechtstexte kannst du ohne Konto besuchen. Die übrigen Inhalte gibst du selbst ein.

Deine Kontoinhalte sind nicht öffentlich und durch Zugriffsregeln von anderen Konten getrennt. Betreiber und eingesetzte Dienstleister können im Rahmen ihrer Berechtigungen technisch auf Daten zugreifen. Die Inhalte sind nicht Ende-zu-Ende-verschlüsselt.

Freitexte können besonders geschützte Angaben enthalten, etwa zu deiner Gesundheit. Solche Angaben sind für die allgemeine Kontonutzung nicht erforderlich. Bitte trage keine Diagnosen, Behandlungsangaben oder vergleichbar sensible Inhalte ein. Soweit Freitexte solche Angaben enthalten, werden sie zusammen mit den Kontoinhalten gespeichert. Dafür reicht die oben genannte Rechtsgrundlage für die Kontofunktion allein nicht aus; zusätzlich muss eine Voraussetzung nach Art. 9 DSGVO erfüllt sein. Ein Verfahren zur ausdrücklichen Einwilligung ist derzeit nicht eingerichtet. Die Eingabe selbst wird nicht als solche Einwilligung behandelt. Die zusätzliche Rechtsgrundlage für diese Inhalte ist noch nicht abschließend geklärt.

4. Freiwilliger Name und Profilfoto

Du kannst deinem Konto einen Namen und ein Profilfoto hinzufügen. Der Browser schneidet das Foto zu und komprimiert es. Nur der bearbeitete Ausschnitt wird über den App-Server bei Vercel hochgeladen, dort erneut verarbeitet und im privaten Supabase-Speicher abgelegt. Auch die Anzeige läuft über den App-Server nach Prüfung deiner Anmeldung.

Diese Angaben dienen deiner gewählten Darstellung im Konto. Sie sind für die übrigen Funktionen nicht erforderlich. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO. kiumu führt keine Gesichtserkennung durch.

5. E-Mails und Kontakt

Supabase versendet Kontobestätigungen und Nachrichten zum Passwortreset über Resend, betrieben von Plus Five Five, Inc. Dafür verarbeitet Resend deine E-Mail-Adresse, den Nachrichteninhalt einschließlich des Bestätigungs- oder Wiederherstellungslinks und Zustellinformationen. Öffnungs- und Klicktracking ist für diese Nachrichten nicht eingerichtet. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO für die Kontobereitstellung.

Wenn du mir schreibst, verarbeite ich Absenderangaben, Inhalt und gegebenenfalls Anhänge, um dein Anliegen zu bearbeiten. Bei Anfragen zur Kontonutzung gilt Art. 6 Abs. 1 Buchst. b DSGVO, bei anderen Anfragen Art. 6 Abs. 1 Buchst. f DSGVO. Mein berechtigtes Interesse ist, eingehende Anliegen beantworten zu können. Zur Erfüllung gesetzlicher Datenschutzrechte gilt Art. 6 Abs. 1 Buchst. c DSGVO.

Der derzeitige Empfangsweg ist eine Weiterleitung über ImprovMX an mein Gmail-Postfach. Dabei erhalten ImprovMX und Google Absender- und Empfängerangaben, Nachrichteninhalt, Anhänge und technische Zustellinformationen. Antworten werden über Gmail bearbeitet. Bitte sende keine Passwörter oder Bestätigungslinks per E-Mail.

6. Cookies und Speicherung auf deinem Gerät

• kiumu-beta-access merkt die Freigabe für die geschlossene Beta sieben Tage lang. Das Cookie enthält eine zufällige Kennung. Supabase speichert deren Prüfsumme und Ablaufzeit. Ein Wechsel des gemeinsamen Beta-Passworts widerruft bestehende Freigaben. Zur Begrenzung von Passwortversuchen speichert Supabase eine mit einem geheimen Schlüssel abgeleitete Kennung deiner IP-Adresse (bei IPv6 deines /64-Netzes), den Beginn des 15-Minuten-Zeitfensters und die Anzahl der Versuche. Die IP-Adresse selbst wird dafür nicht in der Beta-Datenbank gespeichert. Abgelaufene Freigaben und Versuchszähler werden beim nächsten Passwortversuch bereinigt.
• Anmelde-Cookies halten deine Sitzung aufrecht. Sie gelten 30 Tage ab dem letzten Setzen oder Erneuern; die Sitzung wird zusätzlich serverseitig geprüft. Abmelden entfernt die Anmelde-Cookies dieses Browsers.
• kiumu-locale-v2 speichert deine gewählte Sprache für 180 Tage in einem Cookie.
• kiumu-theme speichert Hell oder Dunkel für 180 Tage im localStorage. Bei System wird die gespeicherte Auswahl entfernt.
• Den Offline-Hinweis schaltest du gesondert in den Einstellungen ein. Erst dann speichert ein Service Worker die öffentliche Hinweis-Seite, Schrift und App-Symbole. kiumu-offline-until merkt diese Auswahl für 180 Tage. Kontoseiten, Profilfotos und Anmeldeantworten werden nicht in diesem Offline-Cache gespeichert. Du kannst ihn jederzeit in den Einstellungen ausschalten.
• Browser-Erinnerungen aktivierst du getrennt für jedes Gerät. kiumu-push-device speichert dafür eine zufällige Gerätekennung mit Ablaufzeit für höchstens 30 Tage im localStorage. Push allein speichert keine Offline-Seiten. Beim Abmelden oder Abschalten entfernt kiumu die Gerätezuordnung.

Die Auswahl gilt jeweils für diesen Browser. Alte Sprache- und Farbeinstellungen werden bei der Umstellung einmalig mit der neuen Frist übernommen. Ein bloßer Seitenaufruf verlängert diese Fristen nicht. Abgelaufene localStorage-Einträge und Offline-Dateien entfernt der Code bei seiner nächsten Ausführung; bei geschlossener App läuft er nicht. Du kannst Website-Daten auch in den Browser-Einstellungen entfernen.

Die Speicherzugriffe sind für deinen angeforderten Beta-Zugang, die Anmeldung, die gewählten Einstellungen und den ausdrücklich eingeschalteten Offline-Hinweis erforderlich und erfolgen nach § 25 Abs. 2 Nr. 2 TDDDG. Soweit dabei personenbezogene Daten verarbeitet werden, gilt für die angeforderten Funktionen Art. 6 Abs. 1 Buchst. b DSGVO.

Browser-Erinnerungen auf deinen Wunsch

Wenn du Erinnerungen aktivierst, speichert Supabase deine Auswahl pro Gewohnheit, Ruhezeit, Pause und die Anmeldung der gewählten Browser. Für automatische Uhrzeiten betrachtet kiumu bis zu 28 Tage deiner Abhakzeiten seit der Aktivierung. Diese zeigen den Zeitpunkt des Abhakens, nicht zwingend den Beginn deiner Tätigkeit.

Zum Versand gehören die Push-Adresse und die dafür erzeugten Verschlüsselungsschlüssel des Browsers. Der Push-Dienst deines Browsers, etwa Google bei Chrome oder Apple auf dem iPhone, vermittelt die Nachricht. Der verschlüsselte Push-Inhalt enthält nur eine zufällige Nachrichtenkennung und deren Ablaufzeit. Den sichtbaren Text lädt die App nach erneuter Prüfung deiner Anmeldung von kiumu. Gewohnheitsnamen bleiben standardmäßig verborgen. Du kannst ihre Anzeige einschließlich Sperrbildschirm ausdrücklich erlauben.

Eine Geräteanmeldung gilt höchstens 30 Tage. Nachrichtenkennungen und Versandstatus verfallen nach höchstens zehn Minuten, die Zuordnung von Gewohnheit, Tag und Versandversuch nach 35 Tagen. Der nächste Lauf des Versanddienstes entfernt abgelaufene Datensätze. Die Erinnerungseinstellungen bleiben bis zu ihrer Änderung oder deiner Kontolöschung erhalten. Du kannst Geräte einzeln abmelden und Erinnerungen pausieren oder ausschalten.

7. Dienstleister und Verarbeitung im Ausland

Vercel, Supabase und Resend verarbeiten Daten zur Bereitstellung ihrer Dienste auf Grundlage von Auftragsverarbeitungsverträgen: Vercel-DPA, Supabase-DPA und Resend-DPA. Die Verträge enthalten EU-Standardvertragsklauseln für einschlägige Übermittlungen außerhalb des Europäischen Wirtschaftsraums. Die verlinkten Texte erläutern die Garantien; eine Kopie kannst du bei mir anfragen.

Das Supabase-Projekt liegt in London, Vereinigtes Königreich. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission. Vercel verarbeitet Daten auch in den USA. Resend speichert Nachrichten und Versandprotokolle in den USA; die europäische Versandregion ist keine Zusage europäischer Speicherung. Auch bei Supabase sind weitere Verarbeitungsorte etwa für Support und Infrastruktur möglich.

Die Anbieter setzen Unterauftragnehmer ein. Aktuelle Angaben stehen bei Vercel, Supabase und Resend. Die Website verwendet HTTPS und Zugangsbeschränkungen. E-Mails sind nicht Ende-zu-Ende-verschlüsselt. Resend versucht beim Versand eine TLS-Verbindung; unterstützt der empfangende Mailserver sie nicht, kann die Nachricht unverschlüsselt zugestellt werden. Diese Maßnahmen schließen berechtigte Anbieterzugriffe nicht aus.

Vercel verarbeitet bestimmte Betriebs- und Nutzungsmetadaten auch in eigener Verantwortung. Google handelt beim privaten Gmail-Dienst nach eigenen Datenschutzbedingungen. ImprovMX nennt Verarbeitungsorte in Europa und den USA; auch Google verarbeitet Daten weltweit. Weitere Informationen, Zwecke und Übermittlungsregelungen findest du in den Vercel-Datenschutzhinweisen, der ImprovMX-Datenschutzerklärung und der Google-Datenschutzerklärung.

8. Speicherdauer und Löschung

Kontodaten und Fortschritt bleiben für die Nutzung deines Kontos gespeichert. Archivieren blendet Inhalte aus, löscht sie aber nicht. Auch eine Löschmarkierung in der App ersetzt keine vollständige Kontolöschung. Diese kannst du unter hello@kiumu.app anfordern; ich bearbeite die Anfrage manuell und lösche die betroffenen Kontoinhalte ohne unnötige Verzögerung, soweit keine gesetzliche Ausnahme greift.

Normale Kontaktanfragen lösche ich nach Erledigung. Für nötige Rückfragen bleiben sie höchstens weitere 30 Tage erhalten. Falls einzelne Unterlagen wegen einer gesetzlichen Pflicht oder zur Durchsetzung oder Abwehr konkreter Rechtsansprüche länger benötigt werden, bleiben nur die dafür erforderlichen Daten bis zum Wegfall dieses Grundes erhalten.

• Vercel nennt für die eingesetzten Runtime-Protokolle mit Observability Plus 30 Tage.
• Supabase nennt für die zugänglichen API- und Datenbankprotokolle im verwendeten Free-Tarif einen Tag. Dies ist keine Löschfrist für deine Kontoinhalte oder sämtliche internen Sicherheitsdaten.
• Resend nennt 30 Tage für Nachrichten und Versandprotokolle, sieben Tage für Backups und bis zu 90 Tage für verbleibende Kundendaten nach Vertragsende.
• ImprovMX hält Nachrichten bis zur Weiterleitung oder endgültigen Unzustellbarkeit vor. Im Konto sind sieben Tage für Zustellprotokolle eingestellt, einschließlich Betreff und Adressangaben.
• Google beschreibt die vollständige Löschung aus aktiven Systemen gewöhnlich mit etwa zwei Monaten; in verschlüsselten Backups können Daten bis zu sechs Monate verbleiben.

Eine Löschung aus dem aktiven Konto entfernt nicht gleichzeitig jede Sicherungskopie oder jedes Sicherheitsprotokoll der Dienstleister. Solche Daten werden getrennt für Wiederherstellung, Fehleraufklärung, Missbrauchsschutz oder gesetzliche Pflichten vorgehalten. Maßgeblich sind der jeweilige Sicherungszyklus und das Fortbestehen dieses Zwecks; aus einem aufbewahrten Vorfall darf keine unbegrenzte Speicherung sämtlicher Kontoinhalte abgeleitet werden. Bei Löschanfragen beziehe ich erforderliche Anbieterschritte mit ein. Eine Wiederherstellung darf zuvor erfüllte Löschanfragen nicht rückgängig machen.

Die Anbieter erläutern ihre Fristen und Kriterien bei Vercel, Supabase, Resend, ImprovMX und Google.

9. Deine Rechte

Unter den gesetzlichen Voraussetzungen hast du Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Wenn eine Verarbeitung auf berechtigten Interessen beruht, kannst du ihr aus Gründen deiner besonderen Situation widersprechen. Eine erteilte Einwilligung kannst du jederzeit für die Zukunft widerrufen. Wende dich dafür an die oben genannte Kontaktadresse.

Du erhältst grundsätzlich innerhalb eines Monats eine Rückmeldung auf eine Datenschutzanfrage. Falls die gesetzlichen Voraussetzungen für eine Verlängerung vorliegen, informiere ich dich innerhalb dieses Monats über die Verlängerung und ihre Gründe.

Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere an deinem Aufenthaltsort, Arbeitsplatz oder dem Ort des vermuteten Verstoßes. Am Sitz des Anbieters ist dies die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf, poststelle@ldi.nrw.de.

kiumu trifft keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung über dich.