Datenschutzerklärung

3.1 Aufruf der App, Hosting und Server-Protokolle

• Daten: technische Verbindungsdaten (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser-Kennung, d. h. Angaben zu Ihrem Browser) beim Abruf; Fehlermeldungen der Anwendung, die in Einzelfällen Inhalte enthalten können (z. B. den Suchbegriff einer fehlgeschlagenen Ortssuche).
• Zweck: Auslieferung der App, Betriebssicherheit, Fehleranalyse.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Interesse an einem sicheren und funktionsfähigen Betrieb).
• Empfänger: Hetzner Online GmbH, Deutschland (Server, Datenbank und Dateispeicher im Rechenzentrum Nürnberg, verschlüsselte Datensicherungen in Falkenstein), als Auftragsverarbeiter (Dienstleister, der nur nach unserer Weisung arbeitet); ein Auftragsverarbeitungsvertrag besteht. Die Datenbank (MongoDB) läuft auf unserem eigenen Server dort.
• Protokolle: Unser Webserver führt kein Zugriffsprotokoll. Fehlermeldungen der Anwendung werden auf dem Server gespeichert und nach Größe rotiert (je Dienst höchstens 3 Dateien zu je 10 MB); ältere Einträge werden dabei regelmäßig überschrieben. Ihre IP-Adresse wird an die Anwendung nur für den Missbrauchsschutz (Abschnitt 3.11, als Hashwert, d. h. als nicht zurückrechenbare Kennung) weitergereicht.
• Frühere Dienstleister: MongoDB Atlas (MongoDB Inc.) und Vercel Inc. nutzen wir für den Betrieb nicht mehr. Verbleibende Altkopien dort löschen wir innerhalb von 30 Tagen nach dem Umzug zu Hetzner: bei MongoDB Atlas nach 14 Tagen, bei Vercel (Dateispeicher Vercel Blob) nach 30 Tagen.

3.2 Konto und Anmeldung (Clerk)

• Daten: die Daten, die Sie bei der Registrierung angeben, insbesondere E-Mail-Adresse, Vor- und Nachname, ggf. Benutzername; Sitzungsdaten. Anmelden können Sie sich mit E-Mail-Adresse und Passwort, mit Google oder mit Apple. Wir lesen aus Ihrem Konto nur Vorname, Nachname, Benutzername und primäre E-Mail-Adresse. Mitglieder Ihres Plans sehen nur Ihren Vornamen und den Anfangsbuchstaben Ihres Nachnamens („Anna M.“); wer eine Einladung öffnet, aber noch nicht beigetreten ist, sieht nur Ihren Vornamen.
• Anmeldung mit Google oder Apple: Wählen Sie diese Möglichkeit, erfährt der jeweilige Anbieter, dass Sie sich bei unserer App anmelden, und übermittelt uns über Clerk Ihren Namen und Ihre E-Mail-Adresse. Für die Verarbeitung durch Google bzw. Apple gelten deren eigene Datenschutzbestimmungen.
• Zweck: Registrierung, Anmeldung, Zuordnung Ihrer Pläne; für Partnerbetriebe zusätzlich die Zuordnung zum Betrieb (Organisation).
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag).
• Empfänger: Clerk, Inc., USA (Authentifizierungsdienst), als Auftragsverarbeiter. Ihr Browser verbindet sich zur Anmeldung direkt mit Clerk. Die Übermittlung in die USA stützt sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-U.S. Data Privacy Framework (die EU erkennt dafür ein ausreichendes Datenschutzniveau an), unter dem Clerk, Inc. zertifiziert ist.
• Speicherdauer: bis zur Löschung Ihres Kontos. Wenn Sie Ihr Konto löschen, entfernt Clerk Ihre Kontodaten, und wir löschen automatisch alle Ihre bei uns gespeicherten Daten (siehe Abschnitt 6).

3.3 Ihre Pläne

• Daten: alles, was Sie im Plan eintragen:
  • Person: Name, Geburtsdatum, E-Mail, Religion, Adresse (inkl. Koordinaten); bei Plänen für Angehörige auch deren Angaben und Ihre Beziehung zu ihnen; bei Haustieren Tierdaten
  • Bestattung: Bestattungsart, Friedhof/Ort, Trauerfeier (kirchlich, religiös, weltlich), Musik, Lesungen, Redner, Blumen, Bewirtung, Grabmal
  • Karten: Trauer- und Dankeskarten (Texte, Motive, Bilder)
  • Sonstiges: gewählte Partnerbetriebe, Kostenrahmen
  • Vermächtnis: Empfänger mit Name, Brief, Video, gewünschter Zustellart, E-Mail- und Postadresse
• Zweck: Erstellen, Speichern und geräteübergreifendes Abgleichen (Synchronisieren) Ihrer Pläne.
• Rechtsgrundlage: Wir verarbeiten Ihre Angaben, um den Dienst zu erbringen: Art. 6 Abs. 1 lit. b DSGVO.
  • Religiöse oder weltanschauliche Angaben (Religionsfeld, kirchliche oder religiöse Feier) sind besonders geschützte Daten nach Art. 9 DSGVO. Dafür holen wir Ihre ausdrückliche Einwilligung ein, Art. 9 Abs. 2 lit. a DSGVO: Sie erteilen sie durch die freiwillige Eingabe und können sie jederzeit durch Löschen der Angabe widerrufen.
  • Angaben über Dritte (Angehörige, Vermächtnis-Empfänger): Art. 6 Abs. 1 lit. f DSGVO.
  • Angaben über Verstorbene unterliegen nicht der DSGVO.
• Speicherort: in Ihrem Browser (Abschnitt 4) und, sobald Sie angemeldet sind, für alle Ihre Pläne automatisch auch in unserer Datenbank bei Hetzner (Nürnberg).
• Speicherdauer: bis Sie den Plan oder Ihr Konto löschen. „Zurücksetzen“ leert den Plan. Beim Löschen eines Plans bleibt nur ein Vermerk ohne Inhalt (Plan-Kennung (ID), Löschzeitpunkt), damit alte Teilen-Links den Plan nicht neu anlegen; dieser und ein etwaiger Todesfall-Vermerk (Abschnitt 3.6) werden mit Ihrem Konto gelöscht. Zu Sicherungskopien siehe Abschnitt 3.13.

Die App versendet die Vermächtnis-Nachrichten nicht selbst; die Zustellangaben sind Ihre Wünsche für die Hinterbliebenen.

3.4 Fotos, Videos und Motive

• Daten: Fotos (z. B. für Trauerkarten), eigene Kartengestaltungen, Vermächtnis-Videos (je Datei max. 20 MB) und ein eigenes Grabmal-Motiv („Eigenes Motiv“).
• Zweck und Rechtsgrundlage: wie Abschnitt 3.3.
• Empfänger: Hetzner Online GmbH (Dateispeicher, „Object Storage“, Standort Nürnberg), Auftragsverarbeiter; ein Auftragsverarbeitungsvertrag besteht.

Ihr Browser lädt Ihre Dateien direkt dorthin hoch, über eine nur 2 Minuten gültige Adresse. Fotos und Videos sind nur für Sie und die Mitglieder Ihres Plans abrufbar, jeweils über eine 5 Minuten gültige Adresse; Motive zusätzlich für Partnerbetriebe, deren Anfrage Sie gesendet und die diese angenommen haben (Abschnitt 3.8). Die Bilder von Partnerbetrieben und aus dem Katalog liegen in einem separaten, öffentlich lesbaren Speicher.

Entfernte, ersetzte und zurückgesetzte Fotos und Videos werden frühestens nach 24 Stunden gelöscht, in der Regel innerhalb von 25 Stunden. Entfernte, ersetzte und zurückgesetzte Motive werden sofort gelöscht. Beim Löschen eines Plans oder Ihres Kontos werden die Dateien sofort gelöscht. Hochgeladene Fotos und Videos, die nie in einem Plan verwendet wurden, werden frühestens nach 24 Stunden entfernt, in der Regel innerhalb von 26 Stunden.

Der private Dateispeicher bewahrt gelöschte und überschriebene Versionen einer Datei zusätzlich 30 Tage auf, damit Fehler behoben werden können; sie sind für Sie und die App nicht mehr abrufbar. Eine Löschung ist daher spätestens nach 30 Tagen vollständig abgeschlossen.

3.5 Teilen mit Angehörigen (Mitglieder und Einladungen)

• Daten: Einladungen (von Ihnen vergebener Name der eingeladenen Person, z. B. „Max“; Zeitpunkte; Status); Einladungslink und -code werden nur als Hashwert gespeichert. Mitglieder (Konto-Kennung, Beitrittszeitpunkt).
• Ablauf: Sie geben Link oder Code selbst weiter; wir versenden nichts. Ein Code gilt 72 Stunden, ein Link 14 Tage. Mitglieder sehen Ihren Plan nur lesend.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die Daten der eingeladenen Person Art. 6 Abs. 1 lit. f DSGVO.
• Speicherdauer: bis zum Widerruf der Einladung bzw. Löschen des Plans oder Kontos. Löscht ein Mitglied sein Konto, entfernen wir die Mitgliedschaft und seine Kennung aus Ihren Einladungen.

Ältere Teilen-Links aus einer früheren Version der App werden als Archiv (Plan-Schnappschuss: eine gespeicherte Kopie des Plans) weitergeführt und mit dem Konto der Inhaberin bzw. des Inhabers gelöscht.

3.6 Todesfall melden

• Daten: Status „verstorben“, ggf. Sterbedatum, wer gemeldet hat (Konto-Kennung, von Ihnen vergebener Name), Zeitpunkt, Verlauf; Kategorien, die zur Meldung bereits fertig waren.
• Zweck: Mitglieder können den Tod der Planinhaberin bzw. des Planinhabers melden; der Plan wird dann gesperrt. Die Inhaberin bzw. der Inhaber kann widersprechen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Speicherdauer: bis zur Löschung des Kontos der Planinhaberin bzw. des Planinhabers (auch nach Löschen des Plans). Löscht die meldende Person ihr Konto, wird nur ihre Kennung entfernt.

3.7 Orts- und Betriebssuche (Google Places und Geocoding)

• Daten: Ihr Suchbegriff (z. B. Friedhof, Ort, PLZ, Bestatter) und, falls vorhanden, ein Standort (Breiten-/Längengrad) zur Eingrenzung; die Sprache „de“ und die Region „DE“. Die Anfrage stellt unser Server bei Hetzner, nicht Ihr Browser. Google erhält daher weder Ihre IP-Adresse noch Ihre Konto-Daten. Die Suche ist nur angemeldet nutzbar.
• Zweck: Vorschläge für Orte, Friedhöfe und Betriebe.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Empfänger: Google (Places API und Geocoding API der Google Maps Platform). Vertragspartner für Kunden im Europäischen Wirtschaftsraum ist eine Google-Gesellschaft in Irland (Google Ireland Limited bzw. Google Cloud EMEA Limited). Eine Übermittlung an Google in den USA ist möglich; sie stützt sich auf das EU-U.S. Data Privacy Framework oder die EU-Standardvertragsklauseln, soweit Google diese in seinen Vertragsbedingungen vorsieht. Adressen von Partnerbetrieben werden zusätzlich über die Google Geocoding API in Koordinaten (Kartenpunkte) umgerechnet.
• Speicherdauer: Google-Suchanfragen speichern wir nicht. Ausgewählte Ergebnisse speichern wir im Plan (Abschnitt 3.3).

3.8 Anfragen an Partnerbetriebe und Partner-Codes

Diese Übermittlung findet nur statt, wenn Sie sie selbst auslösen und vorher einwilligen. Der Text und die Version der Einwilligung werden mit Zeitpunkt gespeichert.

• Anfrage an einen Betrieb: Sie senden einem gewählten Betrieb Ihre Kontaktdaten (Name, E-Mail, optional Telefon), optional eine Nachricht (max. 1.000 Zeichen) und eine Zusammenfassung Ihres Plans. Die Zusammenfassung enthält nur die Felder, die für die jeweilige Branche zählen:
  • Bestatter: Bestattungsart, Ort und Grabart, Zeitraum, Trauerfeier, Sarg oder Urne, Kostenrahmen
  • Steinmetz: Grabmal, eigenes Motiv, Ort und Grabart, Bestattungsart, Zeitraum, Kostenrahmen
  • Redner: Trauerfeier, Rede, Musik, Zeitraum, Ort
  • Florist: Floristik, Trauerfeier, Ort, Zeitraum, Kostenrahmen
  • Gastronomie: Bewirtung, Zeitraum, Ort, Trauerfeier
  Dazu kommen Stadt, Planart (Vorsorge/Trauerfall) und Bearbeitungsstand. Die Angaben zur Trauerfeier können Ihre Religion erkennen lassen (Art. 9 DSGVO).
• Partner-Code: Lösen Sie den Code eines Betriebs ein, sieht dieser ab sofort die oben genannten Felder für seine Branche und erhält bei Änderungen am Plan den aktuellen Stand, außerdem Ihre Kontaktdaten.
• Was der Betrieb wann sieht: Vor der Annahme sieht der Betrieb Ihren Namen gekürzt („Peter N.“) und E-Mail und Telefon maskiert. Die Telefonnummer kann er einzeln aufdecken: während der Antwortfrist bzw. bei eingelöstem Code. Jedes Aufdecken wird mit Zeitpunkt und Nutzer protokolliert. Nach Annahme sieht er Ihre vollständigen Kontaktdaten und ggf. Ihr eigenes Motiv. Der Betrieb kann Anrufe dokumentieren und Ihnen Vorschläge und Notizen senden (Abschnitt 3.9).
• Rechtsgrundlage: Einwilligung, Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO; Widerruf jederzeit durch Zurückziehen der Anfrage, mit Wirkung für die Zukunft.
• Empfänger: der jeweilige Partnerbetrieb als eigener Verantwortlicher.
• Speicherdauer: Ein Betrieb hat 48 Stunden Zeit zu antworten, sonst verfällt die Anfrage.
  • Bei Ablehnung, Verfall oder Zurückziehen löschen wir Zusammenfassung, Kontaktdaten, Nachricht und Anrufprotokoll sofort; Rumpfdaten (nur grobe Eckdaten, z. B. „Familie N.“, Stadt, allgemeiner Betreff, Branche) bleiben 12 Monate.
  • Angenommene Anfragen werden 24 Monate nach Annahme gelöscht, abgeschlossene 24 Monate nach Abschluss.
  • Über einen Code verbundene Pläne werden 18 Monate nach der letzten Aktualisierung gelöscht.
  • Beim Löschen Ihres Kontos ziehen wir offene Anfragen zurück.

3.9 Vorschläge und Notizen von Partnerbetrieben

• Daten: Änderungsvorschläge des Betriebs zu Ihrem Plan, Notizen, Ihre Entscheidung (wer, wann). Angenommene Notizen werden Teil Ihres Plans.
• Rechtsgrundlage: wie Abschnitt 3.8.
• Speicherdauer: wie die zugehörige Anfrage; mit Ihrem Konto.

3.10 Anonyme Regionsstatistik für Partnerbetriebe

• Daten: Ihr Browser übermittelt regelmäßig einen zufällig erzeugten, planbezogenen Code, ein grobes Ortsraster (ca. 39 × 20 km, aus der Planadresse berechnet) und ob der Plan in Bearbeitung oder fertig ist. Das passiert nur mit hinterlegter Adresse und nicht bei Tierbestattungs-Plänen. Es wird keine Konto-Kennung gespeichert; Partnerbetriebe sehen nur Zahlen, Werte unter 5 als „unter 5“.
• Zweck: grobe Einschätzung der Nachfrage im Umkreis eines Betriebs.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
• Speicherdauer: automatisch 60 Tage nach der letzten Meldung.

3.11 Schutz vor Missbrauch

• Daten: Ihre IP-Adresse wird nur als verschlüsselter Hashwert (HMAC mit geheimem Schlüssel) zusammen mit Zählern gespeichert, etwa beim Einlösen von Einladungen und Partner-Codes oder beim Senden von Anfragen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Ausprobieren von Codes und Spam).
• Speicherdauer: bis zum Ende des jeweiligen Zeitfensters (Minuten bis ein Tag), dann automatisch gelöscht.

3.12 Partnerbetriebe (Nutzer des Partnerbereichs)

• Daten: Firmenprofil mit Adresse, Standorten, Kontaktdaten (auch einer Ansprechperson), Bildern, Leistungen und Preisen; die Konten der Mitarbeitenden (über Clerk-Organisationen); Protokoll von Telefon-Aufdeckungen und Anrufen. Profile sind in der Partnersuche öffentlich abrufbar (auch ohne Anmeldung); Bilder liegen öffentlich abrufbar im Dateispeicher.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Partnervertrag).
• Speicherdauer: für die Dauer der Partnerschaft; nach deren Ende löschen wir die Profildaten, soweit keine gesetzlichen Aufbewahrungspflichten bestehen.

3.13 Datensicherung (Backups)

• Daten: verschlüsselte Sicherungskopien unserer Datenbank (die in Abschnitt 3.3 bis Abschnitt 3.12 genannten Inhalte, ohne Fotos, Videos und Motive; dafür gilt Abschnitt 3.4).
• Zweck und Rechtsgrundlage: Schutz vor Datenverlust und Wiederherstellung nach Störungen, Art. 6 Abs. 1 lit. f DSGVO.
• Empfänger: Hetzner Online GmbH (Object Storage, Standort Falkenstein), Auftragsverarbeiter.
• Speicherdauer: Sicherungen entstehen stündlich und werden rund 5 Wochen aufbewahrt (bis zu 37 Tage: 30 Tage Aufbewahrung, danach höchstens 7 Tage technische Nachlaufzeit bis zur endgültigen Löschung). Gelöschte Daten verschwinden daher spätestens nach 37 Tagen auch aus den Sicherungen.