Datenschutzerklärung

1. Verantwortlicher (Art. 4 Nr. 7 DSGVO)

Verantwortlich für die Verarbeitung personenbezogener Daten im Zusammenhang mit der App „Familienplanung" und dem von phash.de betriebenen Backend ist:

Vollständige Anbieterkennzeichnung siehe Impressum.

Hinweis: Die App ist self-hosted. Wenn du sie auf einer eigenen Instanz oder einer Instanz Dritter betreibst, ist der jeweilige Betreiber Verantwortlicher im Sinne der DSGVO.

2. Erhobene Datenkategorien

• Stammdaten: Name, E-Mail-Adresse, Anzeigename, Sprache (über Keycloak verwaltet)
• Inhaltsdaten: Listen (Einkauf, To-Do, Pack), Kalender-Events, Kanban-Aufgaben, Rezepte, Kommentare, Bewertungen, Speiseplanung
• Haushaltsdaten: Budget-Einträge (Betrag, Kategorie, Beschreibung) im Haushaltsbuch
• Gerätedaten: Push-Token für Benachrichtigungen (FCM), Gerätetyp
• Nutzungsdaten: Zeitstempel (erstellt/geändert), Zugehörigkeit zu Bedarfsgemeinschaften

3. Zwecke und Rechtsgrundlagen der Verarbeitung

• Bereitstellung der App-Funktionen (Konto, Listen, Kalender, Budget, Rezepte usw.): Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
• Authentifizierung über Keycloak: Art. 6 Abs. 1 lit. b DSGVO
• Push-Benachrichtigungen: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, jederzeit in den App-Einstellungen widerrufbar)
• Sicherheit / Missbrauchsabwehr (Brute-Force-Schutz, Report-Funktion, Block-Funktion): Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem stabilen, missbrauchsfreien Dienst)

4. Empfänger / Auftragsverarbeiter

Es findet keine Weitergabe an Dritte zu kommerziellen Zwecken statt. Es werden keine Daten verkauft. Folgende Auftragsverarbeiter können beteiligt sein:

• Hosting: Server in Deutschland (Auftragsverarbeitung gem. Art. 28 DSGVO).
• Push-Dienst: Google Firebase Cloud Messaging (nur bei aktivierter Push-Funktion). Übermittlung an Google-Server, ggf. in die USA — Rechtsgrundlage: EU-US Data Privacy Framework (Adequacy Decision Juli 2023) sowie EU-Standardvertragsklauseln.

5. Speicherdauer

• Aktive Kontodaten: bis zur Löschung des Kontos
• Soft-gelöschte Daten: werden nach 30 Tagen endgültig aus der Datenbank entfernt (PurgeService)
• Inaktive FCM-Push-Tokens: werden nach 180 Tagen automatisch gelöscht
• Anwendungs-Logs: maximal 90 Tage (rotierend), ohne personenbezogene Inhalte
• PostgreSQL-Backups: 14 Tage Retention

6. Deine Rechte

• Auskunft (Art. 15 DSGVO) – Datenexport in den App-Einstellungen als JSON
• Berichtigung (Art. 16 DSGVO) – über dein Profil
• Löschung (Art. 17 DSGVO) – „Konto löschen" in den App-Einstellungen
• Einschränkung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO) – Export als JSON
• Widerspruch (Art. 21 DSGVO) gegen Verarbeitung auf Basis berechtigten Interesses
• Widerruf von Einwilligungen (Art. 7 Abs. 3 DSGVO) mit Wirkung für die Zukunft

7. Freiwilligkeit der Datenbereitstellung

Die Bereitstellung deiner Stammdaten ist zur Nutzung der App erforderlich. Ohne diese Daten kann kein Nutzerkonto eingerichtet werden. Push-Benachrichtigungen sind optional und können jederzeit in den App-Einstellungen deaktiviert werden.

8. Altersbeschränkung (Art. 8 DSGVO)

Die Nutzung der App ist erst ab einem Mindestalter von 16 Jahren zulässig. Für jüngere Personen ist die Einwilligung der Sorgeberechtigten erforderlich.

9. Push-Benachrichtigungen (Firebase Cloud Messaging)

Für Push-Benachrichtigungen wird optional Firebase Cloud Messaging (FCM) der Google LLC genutzt. Dabei wird ein gerätespezifisches Token an Google-Server übermittelt. Über das Token können keine personenbezogenen Inhalte ausgelesen werden. Die Funktion ist standardmäßig aus und wird erst nach deiner Einwilligung aktiv. Es gelten zusätzlich die Datenschutzhinweise von Firebase.

10. Sicherheit (Art. 32 DSGVO)

• Übertragung ausschließlich TLS-verschlüsselt (TLS 1.3 via Caddy-Reverse-Proxy)
• Passwörter werden ausschließlich gehasht (bcrypt) in Keycloak gespeichert
• Tokens werden auf dem Endgerät im OS-Keystore abgelegt
• Brute-Force-Schutz: 5 Fehlversuche → 60s bis maximal 900s Wartezeit
• Zugriffsschutz pro Bedarfsgemeinschaft (BG-scoped Endpoints, IDOR-Schutz)

11. Distribution über Google Play

Die App wird über den Google Play Store verteilt. Beim Download und bei automatischen Updates verarbeitet Google technisch notwendige Daten (z. B. Geräte-ID, IP-Adresse) im eigenen Verantwortungsbereich. Es gelten die Datenschutzerklärung von Google.

12. Beschwerderecht (Art. 77 DSGVO)

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist die Aufsichtsbehörde deines gewöhnlichen Aufenthalts oder Arbeitsplatzes oder des Orts der vermuteten Verletzung. In Bayern: das Bayerische Landesamt für Datenschutzaufsicht (BayLDA).