Datenschutzerklärung

1. Verantwortlicher

2. Das Wichtigste in Kürze

3. Webseite

Aufruf der Seite

Beim Aufruf verarbeitet der Server technisch notwendig deine IP-Adresse und die Angaben deines Browsers, um dir die Seite auszuliefern. Wir führen keine Zugriffsprotokolle und werten Besuche nicht aus. In technischen Fehlermeldungen, die in Ausnahmefällen entstehen (zum Beispiel bei abgebrochenen Verbindungen), kann deine IP-Adresse vorkommen. Diese Protokolle werden automatisch rotiert und dabei überschrieben (je Dienst höchstens drei Dateien zu je 10 MB). Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Keine Cookies, keine externen Inhalte

Die Seite setzt für Besucher keine Cookies und speichert nichts auf deinem Gerät. Schriften, Bilder und Skripte liegen auf unserem eigenen Server; es werden keine Inhalte von Dritten nachgeladen. Nur der Verwaltungsbereich, den ausschließlich der Betreiber nach Anmeldung nutzt, setzt ein technisch notwendiges Sitzungs-Cookie.

Download der App

Beim Herunterladen der App-Datei gelten dieselben Angaben wie beim Aufruf der Seite. Über die Prüfsumme auf der Seite kannst du die Datei auf Unversehrtheit prüfen.

Bewertungen auf der Seite

Die Seite zeigt Bewertungen, die Nutzer freiwillig in der App abgegeben haben, ohne Namen und ohne Hinweis auf ein Konto, nur mit Sternen, Text und Datum. Näheres steht unter 4.6.

Kontakt per E-Mail

Wenn du uns schreibst, verarbeiten wir deine E-Mail-Adresse und den Inhalt deiner Nachricht, um dir zu antworten (Art. 6 Abs. 1 lit. b oder f DSGVO). Wir löschen die Nachricht, sobald dein Anliegen erledigt ist und keine gesetzlichen Aufbewahrungspflichten bestehen.

Kontaktformular und Service

Über das Formular im Bereich „Hilfe & Kontakt“ kannst du uns Fragen stellen, zum Beispiel zum Einladungscode, zur Installation oder zu deinen Daten. Du wählst ein Thema und schreibst eine Nachricht. Name und E-Mail-Adresse sind freiwillig; ohne E-Mail-Adresse können wir dir aber nicht antworten. Bitte schreib nicht deinen Wiederherstellungsschlüssel oder Passwörter in das Formular.

Wir speichern deine Angaben (Thema, Name, E-Mail-Adresse, Nachricht, Eingangszeit) auf unserem Server und können sie nur im geschützten Verwaltungsbereich lesen. Dort vermerken wir den Bearbeitungsstand und gegebenenfalls eine interne Notiz. Wir antworten per E-Mail von der Adresse info@leisefunk.de. Es gibt keinen externen Formular- oder Captcha-Dienst; Daten gehen nur an unseren eigenen Server. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du vor dem Absenden per Häkchen erteilst und jederzeit formlos widerrufen kannst, sowie die Bearbeitung deiner Anfrage (Art. 6 Abs. 1 lit. b oder f DSGVO).

Schutz vor Missbrauch: Ein für Menschen unsichtbares Feld und eine Mindestzeit zum Ausfüllen halten Programme ab. Außerdem begrenzen wir die Zahl der Nachrichten pro Stunde. Dafür wird kurz ein nicht rückrechenbarer Hash deiner IP-Adresse gespeichert (höchstens einen Tag), nicht die Adresse selbst.

Speicherdauer: Erledigte Anfragen löschen wir 90 Tage nach der Erledigung, alle übrigen spätestens 180 Tage nach dem Eingang, oder früher auf deinen Wunsch. E-Mails, die wir dir schicken, werden wie unter „Kontakt per E-Mail“ behandelt.

Hosting und Zertifikate

Webseite und Server laufen auf einem virtuellen Server bei der manitu GmbH (Deutschland). Mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO). Für das TLS-Zertifikat, das die Verbindung verschlüsselt, nutzen wir Let’s Encrypt (Internet Security Research Group, USA). Dabei werden beim Ausstellen und Erneuern der Zertifikate die Domainnamen und die IP-Adresse unseres Servers übermittelt; ausgestellte Zertifikate sind öffentlich einsehbar. Persönliche Daten von Besuchern gehören nicht dazu.

4. Die App

4.1 Konto

Bei der Registrierung verarbeiten wir:

• deinen Nutzernamen (andere finden dich, wenn sie ihn genau eingeben) und, wenn du ihn in den Einstellungen setzt, einen Anzeigenamen, der für Kontakte sichtbar ist;
• die öffentlichen Schlüssel deines Geräts für die Verschlüsselung, eine Registrierungs-ID, eine Schlüsselversion und den Zeitpunkt der Kontoerstellung;
• einen Zugangs-Schlüssel für deine Verbindung, von dem nur ein Hash gespeichert wird;
• einen nicht zurückrechenbaren Hash deines Wiederherstellungsschlüssels. Den Schlüssel selbst kennst nur du;
• den Einladungscode, ebenfalls nur als Hash und ohne Verknüpfung mit deinem Konto. Wir sehen nur, wie oft ein Code benutzt wurde, nicht von wem. Erzeugt ein Nutzer in der App einen Code, merkt sich der Server das Konto des Erstellers nur, solange der Code offen ist (damit pro Nutzer höchstens drei Einladungen gleichzeitig offen sein können). Beim Einlösen des Codes, spätestens beim Löschen des Kontos, wird diese Verknüpfung gelöscht. Offene Codes laufen nach 7 Tagen ab.

Rechtsgrundlage ist die Bereitstellung des Dienstes für dich (Art. 6 Abs. 1 lit. b DSGVO). Ohne diese Angaben können wir kein Konto anlegen.

4.2 Nachrichten

Nachrichten werden auf deinem Gerät verschlüsselt, bevor sie gesendet werden, und erst auf dem Gerät des Empfängers wieder entschlüsselt. Der Server sieht nur den verschlüsselten Inhalt und kann ihn nicht lesen. Damit eine Nachricht zugestellt werden kann, verarbeitet der Server außerdem das Konto des Absenders und des Empfängers, eine Nachrichten-ID und den Zeitpunkt. Ist der Empfänger offline, bleibt die verschlüsselte Nachricht auf dem Server, bis sie zugestellt wurde, höchstens 30 Tage. Nach der Zustellung wird sie sofort gelöscht. Auch die Zustell-Quittung, die dem Absender „zugestellt“ anzeigt, wird gelöscht, sobald der Absender sie abgeholt hat, spätestens nach 30 Tagen.

Während einer Verbindung sieht der Server technisch deine IP-Adresse. Wir speichern sie nicht dauerhaft. Wer mit wem schreibt, ist dem Server nur während der Zustellung bekannt. Für die Betriebsstatistik zählt er lediglich, wie viele Nachrichten pro Tag zugestellt wurden, ohne Bezug zu Absender, Empfänger oder Inhalt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Fotos, Dateien und Sprachnachrichten werden ebenfalls auf deinem Gerät verschlüsselt, mit einem zufälligen Schlüssel für jeden Anhang. Der verschlüsselte Anhang liegt auf unserem Server unter einer zufälligen Nummer, bei Einzelchats ohne dauerhafte Zuordnung zu Konto, Absender oder Empfänger und ohne lesbaren Dateinamen. Für Gruppenanhänge bestehen die im Abschnitt „Chatgruppen“ beschriebenen Empfängerzuordnungen. Der Schlüssel steht nur in der Ende-zu-Ende-verschlüsselten Nachricht, wir können den Anhang deshalb nicht öffnen. Der Empfänger lädt ihn ab und löscht ihn damit auf dem Server; wird er nicht abgeholt, löschen wir ihn nach spätestens 30 Tagen. Der Server sieht Größe und Zeitpunkt des Hochladens (bis 25 MB je Anhang). Zum Schutz vor Überlastung zählen wir die hochgeladene Menge je Konto nur im Arbeitsspeicher. Bilder werden vor dem Senden verkleinert, dabei fallen Zusatzdaten wie Aufnahmeort und Kamera weg. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

4.3 Kontakte, Blockieren, Nachrichtenanfragen

Die Suche funktioniert nur mit dem genauen Nutzernamen; es gibt kein Durchsuchen aller Nutzer und keinen Adressbuch-Abgleich. Wenn du jemanden blockierst, speichert der Server diese Sperre (dein Konto und das blockierte Konto), damit Nachrichten des Blockierten nicht zugestellt werden. Sie wird gelöscht, wenn du die Sperre aufhebst oder eines der beiden Konten gelöscht wird. Ob du eine Nachrichtenanfrage angenommen hast, speichert nur dein Gerät.

4.4 Schutz vor Missbrauch

Zum Schutz vor automatisiertem Erraten von Codes und vor Überlastung begrenzen wir die Zahl der Registrierungs- und Wiederherstellungsversuche pro IP-Adresse. Diese Zählung liegt nur im Arbeitsspeicher, betrifft die letzte Stunde und geht bei einem Neustart verloren. Fehlversuche bei der Wiederherstellung zählen wir pro Nutzername mit Zeitpunkt; sie werden bei Erfolg und spätestens nach zwei Tagen gelöscht. Zum Erkennen von Fehlern protokolliert der Server bei Registrierungsanfragen nur Zeitpunkt, Pfad und Ergebnis, weder Namen noch IP-Adressen. Rechtsgrundlage: berechtigtes Interesse an Sicherheit und Stabilität (Art. 6 Abs. 1 lit. f DSGVO).

4.5 Konto löschen

In den Einstellungen kannst du dein Konto löschen. Dabei entfernen wir dein Konto samt Schlüsseln, Zugangsdaten, Sperrlisten-Einträgen und wartenden Nachrichten und beenden alle offenen Verbindungen. Dein Nutzername bleibt gesperrt und wird gespeichert, damit niemand ihn übernehmen und sich als du ausgeben kann (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO). Eine abgegebene Bewertung bleibt anonym erhalten (siehe 4.6). In den täglichen Datensicherungen können die Daten noch bis zu 14 Tage enthalten sein. Chats auf deinem Gerät werden mit dem Löschen entfernt.

4.6 Bewertung der App (freiwillig)

Die App fragt dich einmal, ob du sie bewerten möchtest, und bei der Kontolöschung noch einmal, falls du noch nicht bewertet hast. Wenn du bewertest, speichern wir Sterne, deinen optionalen Kommentar und den Zeitpunkt. Zunächst ist die Bewertung mit deinem Konto verknüpft, nur damit sie nicht mehrfach abgegeben werden kann. Nach unserer Prüfung veröffentlichen wir sie anonym auf der Webseite, ohne Namen, mit Sternen, Text und Datum. Bitte schreibe keine personenbezogenen Daten in den Kommentar.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du mit dem Absenden gibst. Du kannst sie jederzeit widerrufen: Schreib uns, solange dein Konto besteht, oder nenne uns später den Text deiner Bewertung, dann entfernen wir sie. Wird dein Konto gelöscht, lösen wir die Bewertung vom Konto, sie bleibt dann anonym.

4.7 Daten auf deinem Gerät

Dein Chatverlauf, deine Kontakte und deine Schlüssel liegen in einer verschlüsselten Datenbank auf deinem Gerät. Der Schlüssel dafür ist im Android-Schlüsselspeicher gesichert. Dein Zugangs-Schlüssel und, damit du ihn in den Einstellungen wieder ansehen kannst, dein Wiederherstellungsschlüssel liegen ebenfalls verschlüsselt auf dem Gerät. Einstellungen (zum Beispiel die App-Sperre) werden lokal gespeichert. Die Android-Cloud-Sicherung ist für die App ausgeschaltet. In die Zwischenablage kopieren wir nur, wenn du „Kopieren“ wählst.

Die App-Sperre nutzt Fingerabdruck oder PIN deines Geräts. Die Prüfung übernimmt Android; wir erhalten keine biometrischen Daten.

4.8 Berechtigungen

• Internet, um Nachrichten zu senden und zu empfangen.
• Benachrichtigungen, um dich über neue Nachrichten zu informieren. Standardmäßig lautet die Meldung nur „Neue Nachricht“. In den Einstellungen kannst du erlauben, dass Absender und Text angezeigt werden; das geschieht ausschließlich auf deinem Gerät, nachdem die Nachricht entschlüsselt ist, und auf dem Sperrbildschirm bleibt der Inhalt verborgen. Für verborgene Chats gibt es nie eine Meldung.

Außerdem fragt Android beim ersten Mal nach dem Mikrofon. Wir nutzen es nur, solange du eine Sprachnachricht aufnimmst oder telefonierst; die Aufnahme wird sofort verschlüsselt und nur an den Empfänger gesendet. Fotos und Dateien wählst du über die Auswahl von Android aus, die App erhält nur, was du dort auswählst.

Optional und nur auf deinen Wunsch: die Android-Freigabe „Alarme & Erinnerungen“ für genaue Kalender-Erinnerungen (siehe 4.14). Ohne sie funktioniert der Kalender mit ungenauen Erinnerungen.

Wir greifen nicht auf Kontakte oder Standort zu und lesen keine Fotos oder Dateien, die du nicht selbst zum Senden auswählst. Die Kamera-Berechtigung nutzt leisefunk nur, wenn du „QR-Code scannen“ antippst, um einen Kontaktcode zu lesen: Das Kamerabild wird nur auf deinem Handy ausgewertet und weder gespeichert noch gesendet. Die Berechtigung wird erst dann erfragt.

4.9 Push-Benachrichtigungen

Damit Benachrichtigungen auch ankommen, wenn leisefunk geschlossen ist, nutzen wir Firebase Cloud Messaging von Google. Dein Handy erzeugt dafür einen gerätebezogenen Push-Schlüssel (Token), den wir auf unserem Server speichern, solange dein Konto besteht. Wenn für dich etwas bereitliegt, schicken wir über Google ein leeres Weck-Signal: ohne Absender, ohne Text, ohne Anhang. Die Meldung entsteht erst auf deinem Gerät, nachdem die App die Nachricht von unserem Server geholt und entschlüsselt hat. Google erfährt dabei, dass dein Gerät zu einem Zeitpunkt ein Signal erhalten hat. Firebase Analytics und Werbe-Auswertungen sind in der App abgeschaltet. Erlaubst du keine Benachrichtigungen oder ist dein Handy ohne Google-Dienste, funktioniert leisefunk weiter, Nachrichten kommen dann beim Öffnen der App. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Ungültige Schlüssel (zum Beispiel nach dem Löschen der App) entfernen wir automatisch.

4.10 Chatgruppen

Eine Gruppe hat höchstens 20 Mitglieder. Andere Nutzer werden durch eine Einladung noch nicht Mitglied: Erst mit der ausdrücklichen Auswahl „Beitreten“ nehmen sie teil. Vorher erhalten sie nur eine individuell verschlüsselte Vorschau des Gruppennamens, keine Gruppennachrichten und keine Schlüssel für Gruppenbilder oder Anhänge. Der Ersteller bestätigt seinen eigenen Beitritt beim Erstellen. Neue Mitglieder erhalten keinen bisherigen Nachrichtenverlauf.

Die Nachrichten werden für jeden Empfänger einzeln mit dem Signal-Protokoll verschlüsselt. Es gibt keinen gemeinsamen Gruppennachrichtenschlüssel. Gruppennamen, Bilder, Nachrichten, Zitate und Dateischlüssel sind für den Server nicht lesbar. Gruppenzugehörigkeiten sind dagegen serverseitig sichtbar: Zur Prüfung von Zustimmung, Berechtigungen und Zustellung speichern wir eine zufällige Gruppen-ID, die verknüpften Konten, deren Rollen (Admin oder Mitglied), Beitrittszeitpunkt und eine zufällige Kennung je Beitritt. Versionsnummern und ein Marker für fehlende Gruppeninformationen erlauben den Abgleich zwischen Geräten. Diese technischen Daten enthalten weder den Gruppennamen noch Inhalte.

Bei einer offenen Einladung speichern wir die zufällige Einladungs-ID, Gruppe, einladendes und eingeladenes Konto, Erstellungs- und Ablaufzeit sowie die verschlüsselte Namensvorschau und technische Verschlüsselungsangaben. Eine Einladung endet spätestens nach sieben Tagen; Ablehnen, Widerrufen und Ausschalten des Einladungsempfangs entfernen sie früher. Bereits verbrauchte Einladungs-IDs werden für die aktive Mitgliedschaft vermerkt. Zusätzlich bleibt ein Hash der zufälligen Einladungs-ID dauerhaft erhalten, um eine erneute Nutzung alter Einladungen auch nach dem Löschen einer Gruppe zu verhindern; er enthält keine Zuordnung zum Einladenden oder Eingeladenen.

Die Einstellung „Gruppeneinladungen empfangen“ wird als einzelner Ja/Nein-Wert beim Konto gespeichert (Standard: an). Ausschalten verwirft auch offene Einladungen. Nach dem Einschalten kommen ausschließlich neue Einladungen. Bestehende Gruppen bleiben erhalten. Blockieren verhindert Einladungen des Gegenübers, beendet jedoch keine gemeinsame Gruppenmitgliedschaft.

Für die verschlüsselte Zustellwarteschlange speichern wir Gruppen-ID, Absender und Empfänger einschließlich ihrer Beitrittskennungen, Nachrichten-ID, Art, Zeitpunkt und Versionsnummern. Für höchstens 30 Tage bleibt außerdem eine Annahmebestätigung mit Paket-Prüfsumme und Versand-IDs gespeichert, damit eine Wiederholung bei Verbindungsabbruch keine doppelte Nachricht erzeugt. Zugehörige Zustell-Quittungen werden nach der Abholung durch den Absender, spätestens nach 30 Tagen, gelöscht.

Bei Gruppenbildern und Anhängen wird eine eigene verschlüsselte Datei je Empfänger bereitgestellt. Zusätzlich zu Größe und Uploadzeit wird die Datei mit Gruppe, Absender, Empfänger, Beitrittskennungen und gegebenenfalls Versand-ID verknüpft. Damit können wir vor dem Download die Zugehörigkeit prüfen und wartende Dateien nach einem Ausschluss sperren. Ein zusätzlicher Typmarker unterscheidet Gruppenbilder von normalen Anhängen. Das Blockieren eines Admins entfernt ein bereits freigegebenes Gruppenbild und berechtigte Gruppeninformationen nicht; Ausschluss oder Austritt sperren auch diese Dateien. Schlüssel und lesbarer Dateiname stehen ausschließlich in der verschlüsselten Nachricht. Die Dateien werden nach dem Abholen, spätestens nach 30 Tagen, entfernt.

Beim Austritt oder Entfernen werden die aktive Zugehörigkeit sowie zugehörige wartende Nachrichten, Quittungen und Dateien entfernt. Ein erneuter Beitritt benötigt eine neue Einladung und neue Zustimmung und schaltet keine alten Zustellungen frei. Leere Gruppen werden gelöscht. Bereits begonnene Übertragungen können noch eintreffen; bereits gespeicherte Inhalte auf den Handys anderer Mitglieder lassen sich nicht zurückrufen. Bei Kontolöschung des letzten Admins übernimmt nötigenfalls das am längsten aktive verbleibende Mitglied die Adminrolle, damit die Kontolöschung nicht an einer Gruppenrolle scheitert.

Diese Daten werden zur Bereitstellung der gewünschten Gruppenfunktion verarbeitet (Art. 6 Abs. 1 lit. b DSGVO); die technischen Wiederholungssperren dienen auch der Verhinderung unberechtigter Beitritte und doppelter Zustellungen. Die vorhandenen Sicherungsfristen gelten ebenso für Gruppendaten. Gruppeninformationen und Verläufe liegen auf deinem Gerät in der verschlüsselten lokalen Datenbank und bleiben dort bis zur lokalen Löschung oder Kontolöschung erhalten. Ein Austritt löscht den bereits vorhandenen lokalen Verlauf nicht automatisch.

4.11 Anrufe

Du kannst Kontakte in der App anrufen (nur Sprache). Das Gespräch ist Ende-zu-Ende verschlüsselt: Es wird auf deinem Handy verschlüsselt und erst beim Gegenüber wieder entschlüsselt. Den Verbindungsaufbau (Angebot, Antwort, Netzwerkdaten) verschlüsseln die Handys mit derselben Sitzung wie deine Chats. Der Server leitet diese Signale nur weiter und speichert sie nicht. Ist das Gegenüber gerade nicht verbunden, hält der Server das Angebot höchstens 45 Sekunden im Arbeitsspeicher und schickt über Google (siehe 4.9) ein leeres Weck-Signal.

Das Gespräch läuft immer über einen eigenen Vermittlungsserver (coturn) auf demselben Server wie unser Dienst. So sieht dein Gegenüber nie deine IP-Adresse, und es werden keine Dienste von Google oder anderen Anbietern dafür genutzt. Der Vermittlungsserver sieht während eines Gesprächs die IP-Adressen beider Seiten und wie viele Daten fließen, aber nicht den Inhalt. Er protokolliert nur kurz in der Betriebsausgabe, die automatisch rotiert wird. Die Zugangsdaten dafür sind eine Stunde gültig.

Der Server zählt nur die Anzahl der Anrufangebote pro Tag (ohne Namen, ohne Dauer, ohne Ausgang). Wer wen angerufen hat, speichern wir nicht. Zum Schutz vor Missbrauch begrenzt der Server die Zahl der Anrufversuche im Arbeitsspeicher. Nur gespeicherte Kontakte können dich anrufen, Fremde und blockierte Nutzer nie. In den Einstellungen kannst du Anrufe ganz ausschalten; dieses Ja/Nein speichert der Server an deinem Konto, damit er Anrufe an dich gar nicht erst zustellt. Anrufe erscheinen als Zeile in deinem Chat, nur auf deinem Handy.

4.12 Status (24 Stunden sichtbar)

Mit „Status“ teilst du einen Text auf farbigem Grund oder ein Foto (mit Text) mit deinen Kontakten. Du kannst mehrere Status gleichzeitig haben. Jeder ist 24 Stunden sichtbar.

Wie er verschickt wird: Dein Status geht einzeln und Ende-zu-Ende verschlüsselt an jeden deiner gespeicherten, nicht blockierten Kontakte, genauso wie eine Nachricht. Ein Foto wird dafür als eigene verschlüsselte Datei je Empfänger hochgeladen. Der Server kann Text und Bild nicht lesen. Er verarbeitet die verschlüsselten Pakete wie andere Nachrichten: bis zur Zustellung, höchstens 30 Tage (Anhänge bis zum Abholen, höchstens 30 Tage). Es gibt keine eigene Statustabelle auf dem Server. Wie bei allen Nachrichten sieht der Server, wer wem etwas schickt (Metadaten), aber nicht, dass es ein Status ist und was er enthält.

Wer ihn sieht: Nur Kontakte, die dich ebenfalls gespeichert haben: Die App verwirft Status von Absendern, die nicht als Kontakt gespeichert oder die blockiert sind. Blockierte Kontakte bekommst du nicht, und dein Status geht auch nicht an sie. Nach 24 Stunden löscht die App den Status auf jedem Handy selbst; du kannst ihn auch früher zurücknehmen, dann erhalten deine Kontakte eine verschlüsselte Löschmeldung. Bereits angesehene Status lassen sich nicht zurückrufen: Wer ihn gesehen hat, kann zum Beispiel ein Bildschirmfoto davon gemacht haben.

Gesehen von: Wenn ein Kontakt deinen Status zum ersten Mal ansieht, schickt dessen App dir eine verschlüsselte Meldung. Du siehst in der App, wer ihn gesehen hat und wann. Diese Liste liegt nur auf deinem Handy und wird mit dem Status gelöscht. Jeder kann das Senden dieser Meldung in den Einstellungen unter „Status“ ausschalten; dann erfährt niemand, dass er einen Status angesehen hat.

Antworten: Eine Antwort auf einen Status (Emoji oder Text) ist eine normale Chatnachricht an den Absender, die den Status kurz zitiert. Für sie gilt dasselbe wie für alle Nachrichten (siehe 4.2).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der gewünschten Funktion).

4.13 Profilbild, Sticker, Umfragen und weitere Funktionen

• Profilbild: Dein Bild wird verkleinert und Ende-zu-Ende verschlüsselt an deine gespeicherten Kontakte geschickt. Der Server speichert und sieht es nicht. Kontakte behalten es auf ihrem Handy, bis du es entfernst (dann bekommen sie eine verschlüsselte Löschmeldung) oder sie den Kontakt löschen.
• Sticker, Reaktionen, Bearbeiten, „Leise senden“: Sie werden wie Nachrichten verschlüsselt übertragen. „Leise senden“ ist nur ein Hinweis im verschlüsselten Inhalt, dass die Meldung beim Empfänger ohne Ton erscheinen soll; was er einstellt, hat Vorrang. Ein Sticker ist ein kleines Bild und wird wie ein Foto behandelt (siehe 4.2).
• Umfragen in Gruppen: Frage, Antworten und abgegebene Stimmen reisen wie Gruppennachrichten, für jeden Empfänger einzeln verschlüsselt (siehe 4.10). Die Stimmen liegen auf den Handys der Gruppenmitglieder; die App zeigt nur die Anzahl je Antwort.
• Entwürfe, Stummschalten, Ruhezeit, Chat-Hintergründe, Schriftgröße, Hell- und Dunkelmodus: Diese Funktionen bleiben vollständig auf deinem Handy.
• Videos, Kamera und „Nur einmal ansehen“: Fotos und Videos nimmst du mit der Kamera-App deines Handys auf; leisefunk erhält dabei nur, was du dort bestätigst. Weil die App die Kamera-Berechtigung zum Scannen von Kontaktcodes kennt, fragt Android sie auch vor der Foto- oder Videoaufnahme ab; aufgenommen wird weiterhin mit der Kamera-App des Handys. Videos werden vor dem Senden auf deinem Handy verkleinert (höchstens 720p, etwa zwei Minuten) und von Zusatzdaten wie dem Aufnahmeort befreit, dann wie alle Anhänge Ende-zu-Ende verschlüsselt übertragen (siehe 4.2). Zwischendateien der Kamera löscht die App nach dem Senden. Mit „Nur einmal ansehen“ kann dein Gegenüber ein Foto oder Video einmal öffnen; danach löscht seine App Datei und Schlüssel und zeigt „Angesehen“. Auf deinem Handy behältst du von einem Einmal-Medium keine Kopie. Während der Ansicht sperrt die App Bildschirmfotos. Das ist ein Schutz auf Ehrlichkeitsbasis: Ein Foto des Bildschirms mit einem zweiten Gerät oder eine veränderte App kann es nicht verhindern. Einmal-Medien lassen sich nicht weiterleiten.
• QR-Code bei Einladungen: Er enthält denselben Link wie die Einladung per Text und wird nur auf deinem Bildschirm erzeugt.

4.14 Persönlicher Kalender (Schichten und Termine)

Der Kalender in der App ist rein persönlich und lokal. Deine Schichten, Termine, Notizen, Wiederholungen und Schichtvorlagen liegen ausschließlich in der verschlüsselten Datenbank auf deinem Handy (siehe 4.7). Sie werden nie an unseren Server oder an andere Nutzer übertragen, auch nicht verschlüsselt, und wir können sie nicht einsehen. Es gibt keine Verbindung zum Kalender deines Handys und keine Berechtigung für Kalender, Kontakte, Telefon oder Standort.

Erinnerungen: Wenn du zu einem Eintrag eine Erinnerung einstellst, plant dein Handy sie selbst (über den Android-Wecker). Dafür wird nichts über das Internet geschickt, auch nicht über Google oder Firebase. Android kann die Erinnerung im Ruhezustand um einige Minuten verschieben. Wenn du in den Kalender-Einstellungen „Genaue Erinnerungen“ einschaltest, fragt Android nach der Freigabe „Alarme & Erinnerungen“; sie wird nur dafür verwendet. Die Meldung lautet standardmäßig nur „Erinnerung von leisefunk“. Auf Wunsch zeigt sie den Titel des Eintrags; Notizen erscheinen nie in Meldungen, und auf dem Sperrbildschirm bleibt die Meldung immer neutral. Ein Tippen auf die Meldung öffnet den Eintrag, bei eingeschalteter App-Sperre erst nach dem Entsperren.

Keine Sicherung, keine Synchronisierung: Der Kalender wird nicht in der Cloud gesichert, nicht auf ein neues Handy übertragen und nicht mit anderen Geräten abgeglichen. Geht dein Handy verloren oder wechselst du es, sind die Einträge weg. Beim Löschen deines Kontos löscht die App alle Kalenderdaten und alle geplanten Erinnerungen auf dem Handy.

Rechtsgrundlage für die lokale Verarbeitung auf deinem Gerät: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der gewünschten Funktion). Der Hinweis, dass „Schichten“ Rückschlüsse auf die Arbeit zulassen können, ist der Grund, warum wir nichts davon auf unseren Server legen.

4.15 Terminabstimmung (Zeitvorschläge mit Kontakten und Gruppen)

Was das ist: Mit der Terminabstimmung schlägst du Zeiten vor, andere Personen antworten mit Ja, Vielleicht oder Nein, und du legst den Termin fest. Teilnehmen können deine bestätigten Kontakte und Mitglieder einer gemeinsamen Gruppe, jeweils nur nach ihrer ausdrücklichen Zustimmung.

Was nur auf den Geräten liegt: Titel, Beschreibung, Ort, Zeiten, Antworten und deine Festlegung werden auf dem Gerät verschlüsselt und signiert. Der Server speichert sie nur als unlesbaren Chiffretext und kann sie nicht lesen. Die Schlüssel liegen nur auf den Geräten der Teilnehmer.

Was der Server sieht: Technische Angaben: wer Organisator ist, Kennungen der Abstimmung, der Vorschläge und der Teilnehmer, Zustände (eingeladen, wartet, aktiv, entfernt), Zeitpunkte von Änderungen, die Frist, die Zahl der Vorschläge und der Antworten, öffentliche Schlüssel und die Quelle der Teilnahme (Kontakt oder Gruppe). Für Teilnehmer mit Konto ist das ihre interne Konto-Kennung (eine zufällige Zeichenfolge, kein Name). Diese Kennung ist auch für die anderen Teilnehmer einer Abstimmung bzw. die Mitglieder einer gemeinsamen Gruppe sichtbar.

Gäste ohne App: Teilnahme über einen Link im Browser ist in Vorbereitung und noch nicht freigeschaltet. Bevor sie freigeschaltet wird, ergänzen wir diese Erklärung um die Angaben dazu (unter anderem ein technisch notwendiges Cookie und Schlüssel im Browser).

Benachrichtigungen: Bei Änderungen sendet der Server ein inhaltsloses Signal („es gibt etwas Neues“), über die bestehende Verbindung oder als leere Push-Nachricht (siehe 4.9). Es enthält keine Titel, Namen oder Zeiten.

Kalender: Die Übernahme eines Termins in deinen Kalender (siehe 4.14) geschieht nur auf dein ausdrückliches Bestätigen, lokal auf deinem Gerät.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der gewünschten Funktion); für die technisch notwendige Speicherung auf deinem Gerät § 25 Abs. 2 Nr. 2 TDDDG.

5. Empfänger und Drittländer

• Hosting-Anbieter (manitu GmbH): als Auftragsverarbeiter, Standort Deutschland.
• Let’s Encrypt (USA): nur für die Zertifikate (siehe 3). Es besteht kein Zugriff auf Nutzerdaten.
• Google (Firebase Cloud Messaging; Google Ireland Limited, Verarbeitung auch durch Google LLC in den USA): erhält nur den inhaltslosen Weckruf und deinen Push-Schlüssel (siehe 4.9), nie Nachrichten oder Anhänge. Übermittlung auf Grundlage der Standardvertragsklauseln bzw. des EU-US Data Privacy Frameworks, Prüfung der Einzelheiten steht aus.
• Andere Nutzer: sehen deinen Nutzernamen und gegebenenfalls Anzeigenamen sowie die Nachrichten, die du ihnen schickst.

Eine Weitergabe zu Werbezwecken oder an Datenhändler findet nicht statt. Außerhalb der EU übermitteln wir Daten nur im oben genannten Umfang an Let’s Encrypt und an Google (nur der leere Weckruf).

6. Speicherdauer

7. Sicherheit

Wir setzen auf Ende-zu-Ende-Verschlüsselung mit dem Signal-Protokoll (einschließlich eines Verfahrens gegen künftige Quantencomputer), verschlüsselte Verbindungen (TLS), Hashing von Codes und Schlüsseln, eine verschlüsselte lokale Datenbank, Begrenzung von Versuchen sowie einen geschützten Verwaltungszugang mit Passwort und Einmalcode. Keine Technik ist vollkommen sicher; deshalb sammeln wir so wenig Daten wie möglich.

8. Deine Rechte

Du hast nach der DSGVO das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Du kannst Verarbeitungen, die auf berechtigtem Interesse beruhen, widersprechen (Art. 21) und erteilte Einwilligungen jederzeit widerrufen (Art. 7 Abs. 3). Schreib uns dazu an info@leisefunk.de.

Weil wir dich nur über deinen Nutzernamen kennen, können wir Auskunft oder Löschung nur herausgeben, wenn wir dich eindeutig dem Konto zuordnen können (Art. 11 DSGVO), zum Beispiel über deinen Wiederherstellungsschlüssel. Das Konto selbst löschst du am einfachsten direkt in der App.

9. Beschwerde bei einer Aufsichtsbehörde

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist: Die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover, www.lfd.niedersachsen.de.

10. Weitere Angaben

Automatisierte Entscheidungen einschließlich Profiling finden nicht statt. Änderungen: Wenn sich der Dienst ändert, passen wir diese Erklärung an; das Datum oben zeigt den aktuellen Stand.

← Zurück zur Startseite · Impressum