Datenschutzerklärung für die circles App
1. Verantwortlicher
360degrees Software UG (haftungsbeschränkt)
Am Hauptbahnhof 6, 53111 Bonn
Geschäftsführer: Felix Bröhl
Handelsregister: HRB 29347, Amtsgericht Bonn
Telefon: +49 228 76374989
E-Mail: [email protected]
Wir haben keinen Datenschutzbeauftragten bestellt. Wir sind ein kleines Unternehmen, und keiner der Fälle des Art. 37 DSGVO, der eine Bestellung erfordern würde, trifft auf uns zu. Bitte richten Sie alle Anfragen an den obigen Kontakt.
2. Welche Daten wir verarbeiten
Von Ihnen bereitgestellt
| Kategorie | Details |
|---|---|
| Konto | Name, E-Mail-Adresse, optionales Profilbild, Sprache. Bei Anmeldung über Apple oder Google die von dort übermittelten Daten. |
| Circles | Die Circles, die Sie erstellen oder denen Sie beitreten, deren Mitglieder und Ihre Rolle darin. |
| Finanzen | Geteilte Ausgaben, wer bezahlt hat, die Aufteilung eines Betrags, offene und beglichene Zahlungen, hinterlegte PayPal-Me-Links und IBANs. |
| Kassenzettel | Von Ihnen hochgeladene Bilder und PDFs sowie die daraus erkannten Daten. |
| Aufgaben und Listen | Aufgaben, ihre Zuweisung und Erledigung, Einkaufslisten und deren Einträge. |
| Einladungen | Name, E-Mail-Adresse oder Telefonnummer, die Sie zur Einladung einer Person eingeben. |
| Einstellungen | Ihre Benachrichtigungseinstellungen je Kanal und Kategorie. |
Automatisch erhoben
| Kategorie | Details |
|---|---|
| Gerät | Gerätetyp, Betriebssystem und das Push-Token, das Ihre App-Installation identifiziert. |
| Protokolldaten | Serverseitig IP-Adresse, User-Agent und Access Token zum Betrieb und zur Absicherung des Dienstes. |
| Aktivitäten | Ein Aktivitätsverlauf dessen, was in Ihren Circles geschieht, und wann Sie ihn zuletzt gelesen haben. |
| Zustellung | Ob eine E-Mail an Sie zugestellt wurde, zurückkam oder als Spam gemeldet wurde, sowie abgemeldete Adressen. |
| Nutzung | Zähler für Funktionen mit Nutzungsgrenzen, etwa Belegerkennung und Einladungen. |
3. Zwecke und Rechtsgrundlagen
| Zweck | Rechtsgrundlage |
|---|---|
| Anlegen und Verwalten Ihres Kontos, Authentifizierung | Art. 6 Abs. 1 lit. b DSGVO, Vertragserfüllung |
| Circles, Ausgaben, Aufgaben, Listen, Kassenzettel — die Funktionen der App | Art. 6 Abs. 1 lit. b DSGVO |
| Versand der von Ihnen ausgelösten Einladungen per E-Mail oder SMS | Art. 6 Abs. 1 lit. b DSGVO |
| Push- und E-Mail-Benachrichtigungen zu Ihren Circles | Art. 6 Abs. 1 lit. b DSGVO; jede Kategorie ist in der App abschaltbar |
| Produktneuigkeiten per E-Mail oder Push | Art. 6 Abs. 1 lit. a DSGVO, Einwilligung, jederzeit in der App widerrufbar |
| Betrieb, Absicherung und Stabilität des Dienstes, einschließlich Fehleranalyse | Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an einem funktionierenden Dienst |
| Nutzungsgrenzen und Missbrauchsvermeidung | Art. 6 Abs. 1 lit. f DSGVO |
| In-App-Abonnements | Art. 6 Abs. 1 lit. b DSGVO |
| Werbung in der kostenfreien Version über unseren eigenen Adserver | Art. 6 Abs. 1 lit. f DSGVO |
| Affiliate-Links | Art. 6 Abs. 1 lit. a DSGVO und § 25 TTDSG, Einwilligung |
4. Empfänger Ihrer Daten
Wir setzen die folgenden Auftragsverarbeiter ein. Soweit nicht anders angegeben, verarbeiten sie Daten weisungsgebunden auf Grundlage eines Vertrags nach Art. 28 DSGVO.
| Empfänger | Zweck | Ort |
|---|---|---|
| Hetzner Online GmbH | Hosting der Server und Speicherung hochgeladener Dateien | Deutschland |
| Cloudflare | Schutzmechanismus vor unseren Servern | EU/USA |
| Lettermint B.V. | Versand unserer transaktionalen E-Mails: Einladungen, Benachrichtigungen, Adressbestätigung | Niederlande, EU |
| Twilio | Versand von Einladungs-SMS | USA |
| Google Firebase Cloud Messaging | Zustellung von Push-Benachrichtigungen | USA |
| Microsoft Azure Document Intelligence | Auslesen der von Ihnen hochgeladenen Kassenzettel | Schweden (Region Stockholm) |
| RevenueCat, Inc. | Verwaltung der In-App-Abonnements | USA |
| Sentry (Functional Software, Inc.) | Fehler- und Absturzanalyse der App; nur technische Daten, IP-Adressen anonymisiert | USA |
| Revive Adserver | Werbung in der kostenfreien Version; selbst betrieben, keine dauerhaften Cookies, keine Profile | Deutschland |
| AWIN und Partnerunternehmen | Provisionsabrechnung bei Affiliate-Links, nur mit Ihrer Einwilligung | EU/USA |
Die übrigen Mitglieder eines Circles sehen die Daten, die Sie dort einbringen: Ihren Namen und Ihr Bild sowie die von Ihnen erfassten Ausgaben, Rückzahlungen, Aufgaben, Listeneinträge und Kassenzettel. Genau dafür ist ein gemeinsamer Circle da.
Verarbeitung innerhalb der EU. Hetzner (Deutschland), Lettermint (Niederlande), Microsoft Azure Document Intelligence (Region Stockholm) und unser Adserver (Deutschland) verarbeiten Daten innerhalb der Europäischen Union; eine Übermittlung in ein Drittland findet insoweit nicht statt.
Übermittlung in die USA. RevenueCat verarbeitet Daten in den USA auf Grundlage der von der Europäischen Kommission genehmigten Standardvertragsklauseln. Sentry verarbeitet Daten in den USA unter geeigneten Garantien nach Art. 44 ff. DSGVO.
Google (Firebase Cloud Messaging), Cloudflare und Twilio verarbeiten Daten ebenfalls in den USA. Google LLC, Cloudflare, Inc. und Twilio Inc. sind jeweils unter dem EU-US Data Privacy Framework zertifiziert. Die Übermittlung an sie stützt sich daher auf den Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 (Art. 45 DSGVO). Entfällt die Zertifizierung oder der Angemessenheitsbeschluss, gelten nach den Auftragsverarbeitungsverträgen der drei Anbieter ersatzweise die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO), bei Twilio vorrangig dessen genehmigte verbindliche interne Datenschutzvorschriften (Binding Corporate Rules, Art. 47 DSGVO). Die Zertifizierungen können Sie unter https://www.dataprivacyframework.gov einsehen.
5. Speicherdauer
| Daten | Dauer |
|---|---|
| Konto- und Circle-Daten | Bis Sie Ihr Konto löschen |
| Hochgeladene Kassenzettel und Profilbilder | Mit dem Beleg bzw. bis Sie sie ersetzen oder löschen |
| Daten in einem Circle mit anderen Mitgliedern nach Löschung Ihres Kontos | Die Einträge bleiben bestehen, damit die Salden der anderen korrekt bleiben; Ihr Name wird entfernt und durch „Gelöschter Nutzer“ ersetzt |
| Server-Protokolldaten | 90 Tage |
| Zustell-, Bounce- und Beschwerdedaten | 12 Monate. Eine abgemeldete oder als unzustellbar gemeldete Adresse verbleibt darüber hinaus auf unserer Sperrliste, weil sich die Abmeldung nur so dauerhaft beachten lässt. |
| Nutzungs- und Limitzähler | 13 Monate |
| Datenbank-Backups | 90 Tage |
| Tracking-Daten zur Provisionsabrechnung | So lange wie für die Abrechnung erforderlich oder gesetzlich vorgeschrieben |
Unsere Dienstleister führen eigene Zustellprotokolle, auf die wir nur begrenzt Einfluss haben:
| Dienstleister | Daten | Dauer |
|---|---|---|
| Lettermint | Inhalt, Metadaten sowie Zustell- und Interaktionsereignisse versandter E-Mails | 28 Tage, danach automatische und endgültige Löschung |
| Twilio | Datensätze versandter SMS: Telefonnummer, Nachrichtentext, Zeitpunkt, Zustellstatus | 12 Monate, danach endgültige Löschung |
| Firebase Cloud Messaging | Noch nicht zugestellte Push-Nachrichten | Höchstens 28 Tage, bis zur Zustellung an Ihr Gerät |
| Firebase Cloud Messaging | Installations-ID, über die Ihr Gerät adressiert wird | Bis zur Löschung der ID über die Firebase-Schnittstelle; danach Entfernung aus Live- und Backup-Systemen innerhalb von 180 Tagen |
Soweit Twilio Verbindungsdaten zusätzlich als eigener Verantwortlicher verarbeitet, etwa zur Abrechnung, zur Missbrauchsbekämpfung oder aufgrund telekommunikationsrechtlicher Pflichten, bewahrt Twilio diese nach eigenen Richtlinien auf; siehe https://www.twilio.com/legal/privacy.
6. Herkunft von Daten, die nicht von Ihnen stammen
Lädt Sie jemand in einen Circle ein, bevor Sie ein Konto haben, erhalten wir den Namen, die E-Mail-Adresse oder die Telefonnummer, die diese Person eingegeben hat. Melden Sie sich über Apple oder Google an, erhalten wir die von dort übermittelten Profildaten.
7. Ihre Rechte
Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage unseres berechtigten Interesses (Art. 21). Beruht eine Verarbeitung auf Ihrer Einwilligung, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.
Zur Ausübung wenden Sie sich an den Kontakt in Abschnitt 1. Auf ein Auskunftsersuchen stellen wir Ihnen eine Kopie Ihrer Daten in einem maschinenlesbaren Format bereit, einschließlich der von Ihnen hochgeladenen Kassenzettel und Bilder.
Zudem haben Sie das Recht, sich bei einer Aufsichtsbehörde zu beschweren. Für uns zuständig ist:
Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Kavalleriestraße 2-4, 40213 Düsseldorf — https://www.ldi.nrw.de
8. Automatisierte Entscheidungsfindung
Eine automatisierte Entscheidungsfindung oder ein Profiling mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne von Art. 22 DSGVO findet nicht statt.
9. Änderungen
Wir können diese Datenschutzerklärung aktualisieren. Es gilt jeweils die aktuelle Fassung; das Datum der letzten Änderung steht oben.