Datenschutzerklärung

Präambel

Mit dieser Datenschutzerklärung informieren wir darüber, welche personenbezogenen Daten wir zu welchen Zwecken und in welchem Umfang verarbeiten. Sie gilt für die Website crewcase.app und für die iOS-App „Crewcase“.

Die verwendeten Begriffe sind nicht geschlechtsspezifisch.

Verantwortlicher

Konrad von Bruchhausen Libellenweg 8 14532 Stahnsdorf

E-Mail

hallo@crewcase.app

Übersicht der Verarbeitungen

Arten der verarbeiteten Daten

• Bestandsdaten (z. B. Anzeigename in der App).
• Kontaktdaten (E-Mail-Adresse).
• Inhaltsdaten (Reisen, Packlisten, Nachrichten, Fotos, Dokumente in der App).
• Nutzungsdaten (Seitenaufrufe, Verweildauer).
• Meta-, Kommunikations- und Verfahrensdaten (IP-Adressen, Zeitangaben, Kennungen).
• Protokolldaten (Server-Logfiles).

Kategorien betroffener Personen

• Nutzerinnen und Nutzer der Website und der App.
• Kommunikationspartner (bei Anfragen per E-Mail).

Zwecke der Verarbeitung

• Bereitstellung des Onlineangebots und der App.
• Erfüllung des Nutzungsvertrags (Abgleich der App-Inhalte zwischen Geräten und innerhalb einer Crew).
• Kommunikation und Beantwortung von Anfragen.
• Benachrichtigung zum Start der App (Warteliste).
• Reichweitenmessung.
• Sicherheitsmaßnahmen.

Wir betreiben kein Onlinemarketing, setzen keine Werbenetzwerke ein und unterhalten derzeit keine Profile in sozialen Netzwerken.

Maßgebliche Rechtsgrundlagen

Im Folgenden eine Übersicht der Rechtsgrundlagen der DSGVO, auf deren Basis wir personenbezogene Daten verarbeiten. Neben der DSGVO gelten nationale Datenschutzvorgaben, in Deutschland insbesondere das Bundesdatenschutzgesetz (BDSG).

• Einwilligung (Art. 6 Abs. 1 S. 1 lit. a DSGVO): Die betroffene Person hat ihre Einwilligung in die Verarbeitung für einen oder mehrere bestimmte Zwecke gegeben.
• Vertragserfüllung und vorvertragliche Anfragen (Art. 6 Abs. 1 S. 1 lit. b DSGVO): Die Verarbeitung ist für die Erfüllung eines Vertrags oder zur Durchführung vorvertraglicher Maßnahmen erforderlich.
• Rechtliche Verpflichtung (Art. 6 Abs. 1 S. 1 lit. c DSGVO): Die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich.
• Berechtigte Interessen (Art. 6 Abs. 1 S. 1 lit. f DSGVO): Die Verarbeitung ist zur Wahrung berechtigter Interessen erforderlich, sofern die Interessen und Grundrechte der betroffenen Person nicht überwiegen.

Sicherheitsmaßnahmen

Wir treffen nach Maßgabe der gesetzlichen Vorgaben und unter Berücksichtigung des Stands der Technik geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Dazu gehören die Sicherung von Vertraulichkeit, Integrität und Verfügbarkeit der Daten durch Kontrolle des Zugangs und des Zugriffs, Verfahren zur Wahrnehmung von Betroffenenrechten, zur Löschung von Daten und zur Reaktion auf Datenschutzvorfälle.

Transportverschlüsselung: Sämtliche Verbindungen zur Website und aus der App sind mit TLS verschlüsselt (erkennbar an „https://“ in der Adresszeile).

Trennung der Nutzerdaten: In der App sorgen Zugriffsregeln auf Datenbankebene dafür, dass niemand die Inhalte anderer Nutzerinnen und Nutzer lesen kann. Was das nicht leistet, steht im Abschnitt „Keine Ende-zu-Ende-Verschlüsselung“.

Internationale Datentransfers

Sofern wir Daten in ein Drittland außerhalb der EU beziehungsweise des EWR übermitteln oder Dienste einsetzen, bei denen dies geschieht, erfolgt das im Einklang mit den gesetzlichen Vorgaben.

Konkret betrifft das zwei Dienste:

• Cloudflare (Auslieferung der Website): Das Mutterunternehmen sitzt in den USA. Cloudflare, Inc. ist nach eigenen Angaben unter dem EU-US Data Privacy Framework zertifiziert; ergänzend bestehen Standardvertragsklauseln.
• Supabase (Abgleich der App-Inhalte): Die Daten selbst liegen in Frankfurt am Main. Der Anbieter hat seinen Sitz jedoch in Singapur, und einzelne Unterauftragsverarbeiter sind US-Unternehmen. Für Singapur besteht kein Angemessenheitsbeschluss der EU-Kommission; Grundlage der Übermittlung sind daher die Standardvertragsklauseln der EU-Kommission.

Weitere Informationen zu Drittlandtransfers und geltenden Angemessenheitsbeschlüssen bietet die EU-Kommission unter commission.europa.eu.

Allgemeine Informationen zur Datenspeicherung und Löschung

Wir löschen personenbezogene Daten, sobald die zugrundeliegende Einwilligung widerrufen wird oder keine weitere Rechtsgrundlage für die Verarbeitung besteht, insbesondere wenn der Verarbeitungszweck entfällt. Ausnahmen bestehen, soweit gesetzliche Aufbewahrungspflichten oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen eine längere Aufbewahrung erfordern.

Sind für ein Datum mehrere Fristen angegeben, gilt die längste. Daten, die nur noch aufgrund gesetzlicher Vorgaben aufbewahrt werden, verarbeiten wir ausschließlich zu diesen Zwecken.

Rechte der betroffenen Personen

Ihnen stehen nach der DSGVO die folgenden Rechte zu:

• Widerspruchsrecht: Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Ihrer personenbezogenen Daten, die aufgrund von Art. 6 Abs. 1 lit. e oder f DSGVO erfolgt, Widerspruch einzulegen.
• Widerrufsrecht bei Einwilligungen: Sie können erteilte Einwilligungen jederzeit widerrufen.
• Auskunftsrecht: Sie können Auskunft darüber verlangen, ob und welche Daten wir verarbeiten, sowie eine Kopie dieser Daten erhalten.
• Recht auf Berichtigung: Sie können die Berichtigung unrichtiger oder die Vervollständigung Ihrer Daten verlangen.
• Recht auf Löschung und Einschränkung der Verarbeitung: Sie können verlangen, dass Ihre Daten gelöscht werden, oder alternativ eine Einschränkung der Verarbeitung. In der App geht das ohne Anfrage: siehe „Speicherdauer und Löschung in der App“.
• Recht auf Datenübertragbarkeit: Sie können die Ihnen betreffenden Daten in einem strukturierten, gängigen und maschinenlesbaren Format erhalten. Die App bietet den Export selbst an; auch dazu steht Näheres im genannten Abschnitt.
• Beschwerde bei einer Aufsichtsbehörde: Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere im Mitgliedstaat Ihres Aufenthaltsorts oder Arbeitsplatzes.

Bereitstellung des Onlineangebots und Webhosting

Um die Website ausliefern zu können, verarbeiten wir die IP-Adresse der Besucherinnen und Besucher. Sie ist technisch notwendig, um die Inhalte an den Browser zu übermitteln.

• Verarbeitete Datenarten: Nutzungsdaten, Meta- und Kommunikationsdaten, Protokolldaten.
• Zwecke: Bereitstellung des Onlineangebots, informationstechnische Infrastruktur, Sicherheitsmaßnahmen.
• Rechtsgrundlage: Berechtigte Interessen (Art. 6 Abs. 1 S. 1 lit. f DSGVO).

Server-Logfiles: Der Zugriff wird in Logfiles protokolliert. Dazu können die aufgerufene Adresse, Datum und Uhrzeit, übertragene Datenmenge, Browsertyp und Version, Betriebssystem, Referrer-URL sowie IP-Adresse gehören. Die Protokolle dienen der Sicherheit und der Stabilität des Servers. Logfile-Informationen werden für höchstens 30 Tage gespeichert und danach gelöscht oder anonymisiert; ausgenommen sind Daten, deren Aufbewahrung zu Beweiszwecken bis zur Klärung eines Vorfalls erforderlich ist.

netcup: Bereitstellung von Speicherplatz und Rechenkapazität. Anbieter ist die netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, Deutschland. Rechtsgrundlage: Berechtigte Interessen (Art. 6 Abs. 1 S. 1 lit. f DSGVO). Datenschutzerklärung · Auftragsverarbeitungsvertrag.

Cloudflare: Die Website wird über das Content Delivery Network und die Sicherheitsdienste von Cloudflare ausgeliefert. Anbieter für Europa ist die Cloudflare Germany GmbH, Rosental 7, c/o Mindspace, 80331 München; Mutterunternehmen ist die Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA.

Cloudflare ist unserem Server vorgeschaltet. Sämtliche Anfragen an diese Website und an den Endpunkt der Warteliste laufen zunächst über die Server von Cloudflare. Dabei werden insbesondere IP-Adresse, aufgerufene Adresse, Zeitpunkt und Umfang der Anfrage sowie Angaben zu Browser und Betriebssystem verarbeitet, um die Auslieferung zu beschleunigen und Angriffe abzuwehren. Rechtsgrundlage: Berechtigte Interessen (Art. 6 Abs. 1 S. 1 lit. f DSGVO). Grundlage für Drittlandtransfers: Data Privacy Framework und Standardvertragsklauseln; es besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Datenschutzerklärung von Cloudflare.

Speicherung auf Ihrem Endgerät

Diese Website setzt keine Cookies und bindet keine Werbe- oder Trackingdienste ein. Es gibt daher auch kein Einwilligungsbanner.

Eine einzige Information wird lokal in Ihrem Browser abgelegt: Wenn Sie die Sprache manuell umschalten, merkt sich die Website diese Wahl (im sogenannten Local Storage), damit die automatische Sprachweiche Ihre Entscheidung künftig nicht überstimmt. Diese Speicherung ist für die von Ihnen ausdrücklich gewünschte Funktion unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); sie enthält ausschließlich das Kürzel „de“ oder „en“ und wird nicht an uns übertragen. Sie können sie jederzeit über die Einstellungen Ihres Browsers löschen.

Blog

Wir veröffentlichen Beiträge auf dieser Website. Eine Kommentarfunktion gibt es nicht; für Leserinnen und Leser gelten allein die Angaben im Abschnitt „Bereitstellung des Onlineangebots und Webhosting“.

Kontakt- und Anfrageverwaltung

Wenn Sie uns per E-Mail kontaktieren, verarbeiten wir Ihre Angaben, soweit dies zur Beantwortung Ihrer Anfrage erforderlich ist. Ein Kontaktformular setzen wir nicht ein.

• Verarbeitete Datenarten: Kontaktdaten, Inhaltsdaten, Meta- und Kommunikationsdaten.
• Betroffene Personen: Kommunikationspartner.
• Zwecke: Kommunikation, Beantwortung von Anfragen.
• Rechtsgrundlagen: Vertragserfüllung und vorvertragliche Anfragen (Art. 6 Abs. 1 S. 1 lit. b DSGVO); berechtigte Interessen (Art. 6 Abs. 1 S. 1 lit. f DSGVO).
• Löschung: Ihre Anfrage bleibt gespeichert, bis der Zweck entfällt, Sie zur Löschung auffordern oder gesetzliche Aufbewahrungsfristen ablaufen.

Warteliste für den App-Start

Sie können sich mit Ihrer E-Mail-Adresse benachrichtigen lassen, sobald Crewcase im App Store erscheint.

Ablauf: Nach dem Absenden erhalten Sie eine E-Mail mit einem Bestätigungslink (Double-Opt-in). Erst wenn Sie diesen Link anklicken, nehmen wir Sie in die Liste auf. So stellen wir sicher, dass niemand eine fremde Adresse einträgt. Das Anmeldeverfahren wird protokolliert, um den ordnungsgemäßen Ablauf nachweisen zu können.

Gespeicherte Daten: Ihre E-Mail-Adresse, die Angabe, ob Sie auf die iPhone- oder die Android-Version warten, die Sprache der Seite, auf der Sie sich eingetragen haben, sowie Zeitpunkt und Status der Bestätigung.

Empfänger: Für Speicherung und Versand setzen wir Brevo ein, einen Dienst der Brevo GmbH, Köpenicker Str. 126, 10179 Berlin (Amtsgericht Berlin-Charlottenburg, HRB 133191). Die Verarbeitung erfolgt auf Servern in Deutschland. Mit Brevo besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Einzelheiten finden Sie in der Datenschutzerklärung von Brevo. Zusätzlich wird Ihr Eintrag in unserem eigenen Redaktionssystem gespeichert, das auf dem unter „Bereitstellung des Onlineangebots und Webhosting“ genannten Server betrieben wird.

• Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 S. 1 lit. a DSGVO); für die Protokollierung des Anmeldeverfahrens berechtigte Interessen (Art. 6 Abs. 1 S. 1 lit. f DSGVO).
• Widerruf: Sie können Ihre Einwilligung jederzeit widerrufen. In jeder E-Mail finden Sie einen Abmeldelink; alternativ genügt eine formlose Nachricht an hallo@crewcase.app. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.
• Speicherdauer: Wir speichern Ihre Adresse, bis Sie sich abmelden oder der Zweck entfällt, längstens jedoch bis zwölf Monate nach dem Start der App. Danach löschen wir den Eintrag in der Warteliste und bei Brevo.

Reichweitenmessung mit Matomo

Wir nutzen die Webanalysesoftware Matomo, um zu verstehen, wie diese Website genutzt wird.

Matomo läuft ohne Cookies und auf einem Server, den wir selbst betreiben; die Daten werden nicht an Dritte weitergegeben. Wiederkehrende Besuche werden über einen anonymisierten Kurzzeit-Wert erkannt, der sich alle 24 Stunden ändert. Ihre IP-Adresse wird vor der Auswertung gekürzt, sodass sie Ihnen nicht mehr eindeutig zuzuordnen ist.

• Verarbeitete Datenarten: Nutzungsdaten, Meta- und Kommunikationsdaten.
• Zwecke: Reichweitenmessung.
• Sicherheitsmaßnahmen: Kürzung der IP-Adresse.
• Rechtsgrundlage: Berechtigte Interessen (Art. 6 Abs. 1 S. 1 lit. f DSGVO). Da keine Informationen auf Ihrem Endgerät gespeichert oder ausgelesen werden, ist eine Einwilligung nach § 25 TDDDG nicht erforderlich.
• Widerspruch: Sie können der Erfassung jederzeit widersprechen; eine formlose Nachricht an die oben genannte Adresse genügt.

Die Crewcase-App (iOS)

Dieser Abschnitt betrifft nicht die Website, sondern die iOS-App „Crewcase“.

Die App zeigt keine Werbung und nutzt kein Analyse- oder Trackingwerkzeug. Ihre Inhalte liegen zuerst auf Ihrem Gerät; zum Packen brauchen Sie keine Verbindung. Damit Ihre Reisen auf mehreren Geräten verfügbar sind und Sie sie mit anderen teilen können, gleicht die App sie mit einem Server ab, den wir betreiben.

Konto

Die App legt beim ersten Start ein anonymes Konto an. Wir fragen dafür nichts ab; es besteht aus einer zufälligen Kennung. Sobald Sie eine Reise teilen, bieten wir zusätzlich „Mit Apple anmelden“ an, damit Ihre Reisen einen Gerätewechsel überstehen. Diese Anmeldung ist freiwillig; ohne sie steht Ihnen jede Funktion offen.

Welche Daten die App verarbeitet

• Von Ihnen eingegebene Inhalte: Reise-Namen, Daten, Packlisten-Einträge, Personen und Crew (Name, Avatar, Emoji oder Foto), Notizen, Nachrichten und hinzugefügte Fotos oder Dokumente. Diese liegen auf Ihrem Gerät und auf unserem Server. Das gilt auch für Einträge, die Sie als privat markieren: privat bedeutet, dass andere Mitreisende sie nicht sehen, nicht dass sie das Gerät nicht verlassen.
• Crew-Teilen: Wenn Sie eine Reise mit anderen teilen, werden die betreffenden Reisedaten den von Ihnen eingeladenen Personen zugänglich gemacht.
• Verbindungsdaten: Beim Abgleich fallen technische Daten an, insbesondere IP-Adresse, Zeitpunkt und aufgerufene Funktion.
• Kein Standortzugriff: Crewcase fragt keine Standortberechtigung ab. Die „Vergessen-Erinnerung“ arbeitet allein mit dem Abreisedatum, das Sie eingetragen haben. Wenn Sie ein Foto aus Ihrer Mediathek hinzufügen, liest die App die im Foto gespeicherten Koordinaten aus, um vorzuschlagen, zu welcher Reise es gehört; das geschieht auf Ihrem Gerät, und die Koordinaten werden nicht an uns übertragen.
• Wetter (optional): Für die Wetteranzeige werden Koordinaten des Zielorts an Apple WeatherKit übermittelt. Es gelten Apples Bedingungen; wir erhalten dabei keine personenbezogenen Daten.
• Käufe (Crewcase+): Abonnements und Käufe werden vollständig über den Apple App Store abgewickelt. Wir erhalten keine Zahlungsdaten, sondern nur den Freischaltstatus über Apples StoreKit.

Serverabgleich über Supabase

Für den Abgleich nutzen wir die Plattform Supabase. Anbieter ist die Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513.

Die Daten werden in der Region eu-central-1 (Frankfurt am Main) gespeichert; die zugrunde liegende Infrastruktur stellt Amazon Web Services bereit. Supabase setzt seinerseits Unterauftragsverarbeiter ein, darunter Amazon Web Services und Cloudflare.

• Rechtsgrundlage: Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 S. 1 lit. b DSGVO). Ohne diesen Abgleich sind gemeinsames Packen und die Nutzung auf mehreren Geräten nicht möglich.
• Drittlandtransfer: Siehe Abschnitt „Internationale Datentransfers“. Mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Einzelheiten enthalten das Data Processing Addendum und die Übermittlungs-Folgenabschätzung von Supabase.

Keine Ende-zu-Ende-Verschlüsselung

Die Übertragung ist verschlüsselt, und die Zugriffsregeln auf dem Server trennen die Daten verschiedener Nutzerinnen und Nutzer strikt voneinander. Ihre Inhalte liegen dort aber nicht Ende-zu-Ende-verschlüsselt: Wir als Betreiber könnten sie technisch einsehen. Diese Architektur schützt Nutzerinnen und Nutzer gegeneinander, nicht gegen uns. Bitte legen Sie deshalb keine Inhalte in Crewcase ab, die für Sie besonders schutzbedürftig sind.

Mitteilungen

Crewcase kann Mitteilungen senden, etwa Pack-Erinnerungen. Die Freigabe erteilen Sie in den iOS-Einstellungen und können sie dort jederzeit widerrufen.

Speicherdauer und Löschung in der App

Ihre Daten bleiben gespeichert, bis Sie sie in der App löschen oder die App von Ihren Geräten entfernen. Sie können Reisen, Personen und Inhalte jederzeit direkt in der App löschen; gelöschte Inhalte werden auch auf dem Server entfernt.

Konto löschen: Im Tab „Mehr“ unter „Über“ können Sie Ihr Konto und alle zugehörigen Daten selbst und ohne Umweg löschen. Die App zeigt Ihnen vorher an, was dabei verschwindet und was bleibt: Reisen, in denen Sie der einzige Zugang sind, werden gelöscht; in geteilten Reisen geht die Inhaberschaft an ein anderes Crewmitglied über, und Ihr Platz bleibt als gewöhnlicher Teilnehmer ohne Konto bestehen — mit Namen und Häkchen, damit die Liste der anderen nicht auseinanderfällt. Eine Nachricht an die oben genannte Adresse genügt selbstverständlich weiterhin.

Daten mitnehmen: Ebenfalls dort („Deine Daten“) können Sie alle Ihre Inhalte als Datei exportieren — als JSON für die maschinelle Weiterverarbeitung und zusätzlich als PDF zum Lesen (Art. 20 DSGVO).

Aufbewahrung auf dem Server: Damit ein Gerät, das länger offline war, nachvollziehen kann, was sich geändert hat, hält der Server einen Änderungsverlauf vor. Er wird nach 90 Tagen gelöscht. Vermerke über gelöschte Einträge — sie sorgen dafür, dass eine gelöschte Sache auch auf den Geräten der anderen verschwindet — werden nach 30 Tagen gelöscht.

Änderung und Aktualisierung

Wir passen diese Datenschutzerklärung an, sobald Änderungen unserer Datenverarbeitung dies erforderlich machen. Sobald durch eine Änderung eine Mitwirkung Ihrerseits erforderlich wird, etwa eine Einwilligung, informieren wir Sie gesondert.

Adressen und Kontaktinformationen von Unternehmen können sich über die Zeit ändern; bitte prüfen Sie die Angaben vor einer Kontaktaufnahme.

Begriffsdefinitionen

• Bestandsdaten: Informationen, die für die Identifikation und Verwaltung von Nutzerkonten und Profilen notwendig sind, etwa Namen und Kennungen.
• Inhaltsdaten: Informationen, die bei der Erstellung und Bearbeitung von Inhalten entstehen, etwa Texte, Bilder und Dateien samt zugehöriger Angaben.
• Kontaktdaten: Angaben, die die Kommunikation ermöglichen, insbesondere E-Mail-Adressen.
• Meta-, Kommunikations- und Verfahrensdaten: Angaben darüber, wie Daten verarbeitet und übermittelt werden, etwa IP-Adressen, Zeitstempel und Kennungen.
• Nutzungsdaten: Angaben dazu, wie ein Angebot genutzt wird, etwa Seitenaufrufe, Verweildauer und verwendete Geräte.
• Personenbezogene Daten: Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.
• Protokolldaten: Aufzeichnungen über Ereignisse in einem System, etwa Zeitstempel, IP-Adressen und Fehlermeldungen.
• Reichweitenmessung: Auswertung der Besucherströme eines Onlineangebots, um zu erkennen, welche Inhalte genutzt werden.
• Verantwortlicher: Die Stelle, die über Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet.
• Verarbeitung: Jeder Umgang mit personenbezogenen Daten, vom Erheben über das Speichern bis zum Löschen.