Datenschutzerklärung

Diese Erklärung gilt für die App Our Question Diary (iOS und Android) und für die Website ourquestiondiary.app. Teil A beschreibt die App, Teil B die Website, Teil C gilt für beide. Wir haben sie so einfach wie möglich geschrieben. Wo wir Gesetze nennen, ist die Datenschutz-Grundverordnung (DSGVO) gemeint, wenn nichts anderes dasteht.

1. Verantwortlich

Dimitri Preiß
Rather Str. 30
40476 Düsseldorft
Deutschland
E-Mail: hello@ourquestiondiary.app
Telefon: +49 0177 293 93 97

Eine Datenschutzbeauftragte Person ist gesetzlich nicht vorgeschrieben und nicht benannt. Bei Fragen zum Datenschutz schreib uns einfach an die Adresse oben.

Teil A: Die App

2. Das Prinzip: Ende-zu-Ende-Verschlüsselung

Alles, was ihr in der App schreibt, also Fragen, Notizen, Antworten, Diskussionsbeiträge und euren Anzeigenamen, verschlüsselt die App auf deinem Gerät, bevor es das Gerät verlässt. Die Schlüssel dazu entstehen auf deinem Gerät und bleiben dort. Unser Server bekommt nur verschlüsselte Pakete, die er nicht öffnen kann. Wir können deshalb eure Inhalte nicht lesen, nicht auswerten, nicht weitergeben und auch auf Anfrage einer Behörde nicht im Klartext herausgeben.

• Private Fragen kann nur die Person lesen, die sie notiert hat. Sie liegen verschlüsselt auf dem Server, damit du sie mit deinem Wiederherstellungs-Code auf ein neues Handy holen kannst.
• Geteilte Fragen, Antworten und Diskussionsbeiträge können nur ihr zwei lesen. Eine Antwort wird für die andere Person erst lesbar, wenn ihr beide geantwortet habt. Das ist kryptografisch abgesichert, nicht nur in der Anzeige.
• Geliehene Schlüssel: Die andere Person bekommt den Schlüssel für deine Antworten nur geliehen. Ihr Gerät muss ihn regelmäßig erneuern und darf ihn ohne Erneuerung höchstens 7 Tage behalten. Trennst du dich oder löschst du dein Konto, wird der Schlüssel entzogen, und deine Antworten werden bei ihr spätestens nach 7 Tagen unlesbar, auch wenn ihr Handy offline ist.
• Wiederherstellungs-Code: Die 12 Wörter erzeugt und zeigt nur dein Gerät an. Wir bekommen sie nie. Verlierst du Code und Handy, können wir deine Inhalte nicht wiederherstellen.

Wir verwenden nur bewährte, offene Verfahren (u. a. HPKE nach RFC 9180, XChaCha20-Poly1305, Ed25519). Wie alles zusammenspielt, steht öffentlich in der Protokollbeschreibung. Die Verschlüsselung ist noch nicht extern geprüft.

Auf deinem Gerät liegen die Daten in einer verschlüsselten Datenbank. Sie ist von System-Backups (iCloud, Google) ausgenommen, damit keine Kopien außerhalb der App-Verschlüsselung entstehen.

3. Welche Daten wir verarbeiten und warum

3.1 Konto und Anmeldung

Beim ersten Start erzeugt die App eine zufällige Konto-Kennung und mehrere Schlüsselpaare. An den Server gehen nur die Kennung und die öffentlichen Schlüssel. Damit niemand massenhaft Konten anlegen kann, löst dein Gerät dabei eine kleine Rechenaufgabe; wir nutzen dafür bewusst keine Geräteprüfung von Apple oder Google.

Zum Anmelden erzeugt die App eine zufällige Geräte-Kennung. Der Server gibt ein Zugangs-Token aus, das 30 Tage gilt und verlängert wird. Wir speichern davon nur einen Prüfwert (Hash), nicht das Token selbst. Pro Konto ist immer nur ein Gerät aktiv; meldest du dich auf einem neuen Gerät an, wird das alte abgemeldet.

Zweck: dir die App bereitstellen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag), für den Schutz vor massenhaft angelegten Konten Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an einem sicheren Betrieb).

3.2 Eure Inhalte

Für jedes Element (Frage, Antwort, Notiz usw.) speichert der Server das verschlüsselte Paket, eine zufällige Kennung, wer es hochgeladen hat, wann es hochgeladen oder geändert wurde und seine Größenstufe. Die Pakete werden vorher auf feste Größen aufgefüllt, damit man an der Länge nicht erkennt, ob eine Antwort kurz oder lang ist. Der Server unterscheidet nicht, ob ein Paket eine Frage, eine Antwort oder etwas anderes enthält.

Fragen und Antworten können sehr persönliche Dinge enthalten, auch Angaben zu Gesundheit, Sexualleben oder sexueller Orientierung (Art. 9 DSGVO). Wir können solche Inhalte nicht lesen, weil sie verschlüsselt sind. Wir speichern sie nur, damit ihr sie zwischen euren Geräten austauschen und wiederherstellen könnt.

Zweck: Speichern, Synchronisieren und Wiederherstellen eurer Inhalte. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.3 Verbindung als Paar

Zum Verbinden erstellt eine Person eine Einladung. Sie gilt 24 Stunden und nur einmal; den geheimen Teil des Codes kennt der Server nicht, er sieht nur einen Prüfwert. Danach speichert der Server, welche zwei Konten verbunden sind, den Stand der Verbindung (wartet, aktiv, getrennt), die verschlüsselt ausgetauschten Schlüssel, ob zu einer geteilten Frage 0, 1 oder 2 Antworten hinterlegt sind und wann sich die Geräte zuletzt gemeldet haben. Bei einer Trennung speichert er außerdem, wer sie wann ausgelöst hat, wann die Verbindung endgültig aufgelöst wird und ob jemand das Rückgängigmachen bestätigt hat. Signierte Mitteilungen zwischen euren Geräten (etwa „getrennt“ oder „Konto gelöscht“) hält der Server bereit, bis das andere Gerät sie abgeholt hat.

Zweck: die gemeinsamen Funktionen, die Freigabe der Antworten und die Trennung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.4 Push-Nachrichten über Apple und Google

Damit dich eine neue geteilte Frage, eine freigegebene Antwort oder ein neuer Beitrag sofort erreicht, nutzt die App den Push-Dienst deines Betriebssystems: auf dem iPhone den Apple Push Notification service (Apple Inc., USA), auf Android Firebase Cloud Messaging (Google Ireland Limited, Irland, mit Google LLC, USA). Dafür speichert unser Server dein Push-Token (eine Adresse, die Apple oder Google für dein Gerät vergeben), die Plattform und den Zeitpunkt der letzten Änderung. Auf Android erzeugt Firebase Cloud Messaging zusätzlich eine eigene Installationskennung. Die Analyse-Funktionen von Firebase sind ausgeschaltet.

Was Apple oder Google bekommen: das Push-Token, den Zeitpunkt und ein verschlüsseltes Datenpaket mit fester Größe. Nur die App auf dem Gerät der anderen Person kann es öffnen; es enthält nur die Art der Nachricht, nie einen Fragetext oder eine Antwort. Auf dem iPhone enthält die Nachricht außerdem nur einen Verweis auf einen neutralen Text, der in der App selbst hinterlegt ist. Außerdem schickt der Server stille Pushes ohne Inhalt, damit sich die App im Hintergrund abgleicht (höchstens einer pro Minute). Apple und Google erfahren so, dass und wann dein Gerät eine Nachricht von uns bekommt.

Du kannst jede Art von Nachricht in der App einzeln abschalten oder Push in den Systemeinstellungen ganz verbieten. Die App funktioniert auch ohne Push. Erinnerungen an offene Antworten, der Rückblick „Heute vor einem Jahr“ und die Hinweise vor dem Auflösen einer Trennung plant die App lokal auf deinem Gerät; dafür gehen keine Daten an uns, Apple oder Google.

Zweck: Benachrichtigungen zustellen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; das Speichern des Tokens auf deinem Gerät ist für den von dir gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Apple Inc. und Google LLC sind nach dem EU-US Data Privacy Framework zertifiziert; für Übermittlungen in die USA gilt deshalb der Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).

3.5 Kamera zum Verbinden

Die Kamera brauchst du nur, wenn du den QR-Code der anderen Person scannst, und nur, wenn du es erlaubst. Das Bild wird auf deinem Gerät ausgewertet und nicht gespeichert oder versendet. Auf Android erkennt die Bibliothek ML Kit von Google den Code auf dem Gerät. ML Kit kann dabei technische Nutzungs- und Diagnosedaten (etwa Gerätemodell, App-Version, Leistungswerte) an Google senden, aber keine Kamerabilder.

3.6 IP-Adressen und Server-Protokolle

Bei jeder Verbindung zum Server wird technisch deine IP-Adresse übertragen. Wir verwenden sie nur, um die Anfrage zu beantworten, und kurzzeitig im Arbeitsspeicher, um zu viele Anfragen in kurzer Zeit abzuwehren. Wir schreiben weder IP-Adressen noch Geräte- oder Browserkennungen in Protokolle. Fehlerprotokolle ohne diese Angaben löschen wir nach 7 Tagen.

Zweck: Betrieb und Sicherheit. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Server und Datenbank betreiben wir bei Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, in Deutschland. Mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO). Die Datenbank sichern wir verschlüsselt; der Schlüssel dafür liegt nicht auf demselben Server.

3.7 Absturzberichte (nur wenn du sie einschaltest)

In den Einstellungen der App kannst du „Absturzberichte senden“ einschalten. Standardmäßig ist das aus, und solange es aus ist, sendet die App keine Berichte. Ist es an und stürzt die App ab, sendet sie einen Bericht mit der Art des Fehlers, der Stelle im Programm (Datei, Zeile, Funktion), dem Betriebssystem (iOS oder Android), der App-Version und dem Zeitpunkt. Der Bericht enthält nie Fragen, Antworten, Namen, die Fehlermeldung selbst oder Kennungen deines Kontos, Geräts oder eurer Verbindung.

Die Berichte gehen an einen eigenen Server mit der Software GlitchTip, den wir in der EU betreiben (Hetzner Online GmbH, Deutschland). Es sind keine weiteren Anbieter beteiligt. Die IP-Adresse wird dabei technisch übertragen, aber nicht gespeichert. Berichte löschen wir nach 90 Tagen.

Zweck: Fehler finden und beheben. Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Du kannst sie jederzeit widerrufen, indem du den Schalter wieder ausschaltest.

3.8 Was die App nicht tut

• Keine Werbung, kein Tracking, keine Analyse-Werkzeuge, keine Profile, keine Weitergabe oder Verkauf von Daten.
• Keine Auswertung eurer Inhalte, auch nicht durch automatische Textanalyse. Wir können sie ja nicht lesen.
• Kein Zugriff auf Kontakte, Standort, Fotos oder Mikrofon.
• Die Impuls-Fragen aus „… einfach reden!“ sind in der App enthalten. Welchen Impuls du ziehst, erfährt niemand.

4. Was der Server trotzdem erfährt

Auch mit Ende-zu-Ende-Verschlüsselung fallen auf dem Server sogenannte Metadaten an. Wir nennen sie ehrlich:

Mehr als das können wir auch auf Anfrage einer Behörde nicht herausgeben.

5. Wie lange wir Daten speichern

6. Löschen, Exportieren und Wiederherstellen in der App

• Einzelne Fragen oder Antworten löschen: direkt in der App. Ziehst du eine Antwort zurück, die die andere Person schon gesehen hat, verschwindet sie auch bei ihr; sie sieht dann „zurückgezogen“.
• Trennen: jederzeit ohne Rücksprache. Deine Antworten und Beiträge verschwinden aus der App der anderen Person, spätestens nach 7 Tagen auch offline. Fragen bleiben erhalten.
• Konto löschen: in den Einstellungen der App. Wir löschen alles auf dem Server sofort (siehe Abschnitt 5). Weil wir keine E-Mail-Adresse und keinen Namen kennen, können wir dein Konto auf Zuruf nicht finden. Bitte lösche es deshalb in der App. Hast du dein Handy nicht mehr, kannst du dein Konto mit dem Wiederherstellungs-Code auf einem neuen Gerät wiederherstellen und dann löschen.
• Exportieren: Du kannst deine Fragen und Antworten und die geteilten, die du sehen darfst, als Datei exportieren. Diese Datei ist nicht verschlüsselt; die App weist dich darauf hin.

Grenzen, die keine Technik lösen kann: Screenshots, Fotos vom Bildschirm und Abschriften kann die App nicht löschen. Wer dein entsperrtes Handy in der Hand hat, sieht, was du siehst; deshalb ist die App-Sperre mit PIN oder Face ID bzw. Fingerabdruck von Anfang an eingeschaltet.

Teil B: Die Website

7. Aufruf der Website und Hosting

Wenn du diese Website aufrufst, sendet dein Browser technisch notwendige Daten an unseren Server: deine IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, die Sprache deines Browsers sowie Browser- und Betriebssystemkennung. Wir verwenden diese Daten nur, um dir die Seite auszuliefern und sie vor Angriffen zu schützen (Art. 6 Abs. 1 lit. f DSGVO).

Der Server schreibt keine Zugriffsprotokolle. Tritt ein technischer Fehler auf, kann ein Fehlerprotokoll mit der IP-Adresse entstehen. Es wird nach spätestens 7 Tagen gelöscht.

Die Website liegt bei Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, auf einem Server in Deutschland. Mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO).

Die Verbindung ist immer verschlüsselt (HTTPS). Klickst du auf einen Link zu einer anderen Website, teilt dein Browser ihr nicht mit, dass du von uns kommst. Einladungslinks enthalten den Code hinter dem Zeichen #; diesen Teil schickt dein Browser nie an unseren Server.

8. Lokaler Speicher für Farbe und Kontrast

Wenn du im Fußbereich eine Farbe oder „Mehr Kontrast“ wählst, speichert dein Browser diese Einstellung im lokalen Speicher (Local Storage) deines Geräts, damit sie beim nächsten Besuch erhalten bleibt. Diese Daten verlassen dein Gerät nicht. Das Speichern ist für die von dir ausdrücklich gewünschte Darstellung unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Du kannst die Einstellung jederzeit ändern oder in deinem Browser die Websitedaten löschen.

9. Google Analytics (nur mit deiner Einwilligung)

Wir möchten wissen, wie viele Menschen die Website besuchen, über welche Wege sie kommen und welche Seiten sie lesen, um die Website zu verbessern. Dafür nutzen wir Google Analytics 4, aber nur, wenn du im Cookie-Hinweis „Zulassen“ wählst. Ohne deine Zustimmung wird Google Analytics nicht geladen, es werden keine Cookies gesetzt, und es gehen keine Daten an Google.

Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google“). Google verarbeitet die Daten in unserem Auftrag; dafür besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO).

Wo Google Analytics läuft: auf der Startseite und den übrigen Seiten der Website, aber nie auf den Seiten Einladung, Sicherheit, Datenschutz und Impressum. Dort erscheinen weder der Cookie-Hinweis noch Google Analytics. Wer eingeladen wird, soll keine Spuren hinterlassen. In der App gibt es kein Google Analytics.

Welche Daten: die aufgerufenen Seiten und die Verweildauer, Datum und Uhrzeit, die Seite, von der du kommst, Klicks auf Links zu anderen Seiten, Gerätetyp, Betriebssystem, Browser, Bildschirmgröße, Sprache und ein ungefährer Standort (Land, Region, Stadt), den Google aus deiner IP-Adresse ableitet. Google Analytics 4 speichert IP-Adressen nach Angaben von Google nicht; bei Zugriffen aus der EU wird der Standort auf Servern in der EU bestimmt und die IP-Adresse danach verworfen. Die Daten werden einer zufälligen Kennung in einem Cookie zugeordnet, nicht deinem Namen. Wir haben Google Signals und die Verknüpfung mit Werbediensten ausgeschaltet; die Daten werden nicht für personalisierte Werbung genutzt.

Cookies: _ga unterscheidet Besuchende anhand einer zufälligen Kennung, _ga_<ID> speichert den Stand der aktuellen Sitzung. Beide gelten 24 Monate und werden bei jedem Besuch verlängert. Außerdem merkt sich dein Browser deine Entscheidung im Cookie-Hinweis (Zulassen oder Ablehnen) im lokalen Speicher, damit wir nicht bei jedem Besuch erneut fragen.

Speicherdauer bei Google: Wir haben die Aufbewahrung in Google Analytics auf 2 Monate eingestellt. Danach löscht Google die Daten auf Ebene der einzelnen Besuchenden; übrig bleiben nur zusammengefasste Zahlen ohne Bezug zu dir.

Übermittlung in die USA: Google kann Daten an Google LLC in den USA übermitteln. Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert; für diese Übermittlung gilt deshalb der Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 (Art. 45 DSGVO). Zusätzlich hat Google die Standardvertragsklauseln der EU-Kommission vereinbart.

Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG).

Widerruf: Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Klick dazu im Fußbereich einer Seite mit Statistik, zum Beispiel der Startseite, auf „Cookie-Einstellungen“ und wähle „Ablehnen“. Wir löschen dann die Google-Analytics-Cookies in deinem Browser und laden Google Analytics nicht mehr. Hat dein Browser „Global Privacy Control“ eingeschaltet, fragen wir gar nicht erst und werten das als Ablehnung.

Mehr zum Umgang von Google mit Daten findest du in der Datenschutzerklärung von Google.

10. Schriften, Inhalte und Links

Schriften, Bilder und Skripte liegen auf unserem eigenen Server. Wir binden keine Inhalte von Google Fonts, Content-Delivery-Netzwerken, sozialen Netzwerken oder Videoplattformen ein. Außer Google Analytics nach deiner Zustimmung lädt die Website nichts von anderen Servern.

Der Quellcode und technische Dokumente liegen bei GitHub (GitHub Inc., USA), die App gibt es im App Store von Apple und bei Google Play. Erst wenn du einen dieser Links anklickst, verbindet sich dein Browser mit diesen Anbietern. Dafür gelten deren Datenschutzerklärungen.

Teil C: Für App und Website

11. Kontakt und Support per E-Mail

Support gibt es nur per E-Mail an hello@ourquestiondiary.app. Schreibst du uns, verwenden wir deine Adresse und deine Nachricht nur, um dir zu antworten (Art. 6 Abs. 1 lit. b DSGVO, bei allgemeinen Fragen lit. f). Wir löschen die Nachricht, wenn die Anfrage erledigt ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Wir verknüpfen E-Mails nie mit einem Konto in der App; das ginge auch gar nicht, weil wir keine Namen oder Adressen zu Konten kennen.

Bitte schick uns nie Inhalte aus der App und nie deinen Wiederherstellungs-Code. Wir brauchen beides nicht, um dir zu helfen, und wir fragen auch nie danach.

12. Empfänger und Drittländer

Wir verkaufen keine Daten und geben sie nicht für Werbung weiter. Daten erhalten nur:

• Hetzner Online GmbH (Deutschland) als Hosting-Anbieter für Server, Datenbank, Website und Absturzberichte, nur verschlüsselte App-Inhalte;
• Apple und Google für Push-Nachrichten (Abschnitt 3.4), auf Android Google für ML Kit (Abschnitt 3.5);
• Google für Google Analytics auf der Website, nur mit deiner Einwilligung (Abschnitt 9);
• Behörden, nur wenn wir gesetzlich dazu verpflichtet sind, und dann nur, was wir haben (Abschnitt 4).

Übermittlungen in die USA stützen sich auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO).

13. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Schreib uns dazu einfach eine E-Mail. Für die App kannst du die meisten Rechte direkt selbst ausüben: Export, Löschen einzelner Inhalte und Löschen des Kontos. Weil wir nicht wissen, wem welches Konto gehört, können wir eine Anfrage meist keinem bestimmten Konto zuordnen. Was der Server über ein Konto überhaupt wissen kann, steht in Abschnitt 4; deine Inhalte kannst du jederzeit selbst exportieren.

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage berechtigter Interessen verarbeiten (Art. 6 Abs. 1 lit. f DSGVO), kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen.

Widerruf: Eine Einwilligung (Absturzberichte, Google Analytics) kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO), in der App über den Schalter, auf der Website über „Cookie-Einstellungen“.

Eine automatisierte Entscheidungsfindung oder Profilbildung findet nicht statt. Die Nutzung der App ist freiwillig. Ohne die in Abschnitt 3.1 bis 3.3 genannten Daten kann die App aber nicht funktionieren.

14. Beschwerde bei einer Aufsichtsbehörde

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), zum Beispiel an deinem Wohnort. Für uns zuständig ist: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf, ldi.nrw.de.

15. Änderungen

Wenn sich etwas ändert, etwa weil die App eine neue Funktion bekommt, passen wir diese Seite an und aktualisieren das Datum oben. Frühere Fassungen findest du in der Versionsgeschichte.