Datenschutzerklärung

Stand: 29. Oktober 2026

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne von Art. 4 Nr. 7 DSGVO ist:

Name

Private Calendar - Julius Kramer

Anschrift

c/o Online-Impressum #9643
Europaring 90
53757 St. Augustin
Deutschland

E-Mail

info@privatecalendar.de

Für Fragen zum Datenschutz und zur Ausübung deiner Rechte erreichst du uns unter der oben genannten E-Mail-Adresse. Weitere Angaben findest du im Impressum.

2. Grundprinzip: Ende-zu-Ende-Verschlüsselung

Die Kalendernutzung setzt ein Konto voraus. Der Betreiber kann die verschlüsselt gespeicherten und synchronisierten Kalenderinhalte nicht einsehen. Die freiwillige E-Mail-Kalendereinladung für Buchungen ist in Abschnitt 9 gesondert erklärt. Die Android- und die iPhone-App laden bei einem ausdrücklich abonnierten externen iCal-Kalender die Quelle direkt und verschlüsseln die lokale Kopie vor der Synchronisierung. Einzelheiten stehen in Abschnitt 8.

• Aus deinem Passwort wird auf deinem Gerät ein Schlüssel abgeleitet, der einen zufälligen Master-Schlüssel entschlüsselt. Aus diesem werden die Schlüssel der einzelnen Kalender abgeleitet.
• Termine werden vor jeder Netzwerkübertragung mit AES-256-GCM verschlüsselt. Der Server erhält nur den fertigen Geheimtext.
• Der Server erhält niemals dein Passwort im Klartext, sondern ausschließlich einen daraus abgeleiteten Anmelde-Prüfwert (Verifier).
• Auch die Kontowiederherstellung ist zero-knowledge: Der Wiederherstellungsschlüssel entsteht in deinem Browser und wird dem Server nie im Klartext übermittelt.
• Beim Teilen von Kalendern wird der Kalenderschlüssel per ECDH für die empfangende Person verschlüsselt. Der Server kann ihn nicht auspacken.

3. Verarbeitete Daten

Für den Betrieb des Kontos und der Synchronisation verarbeitet der Server die folgenden Daten:

Hinweis zu Metadaten: Auch wenn die Inhalte verschlüsselt sind, sieht der Server technisch notwendige Metadaten — insbesondere, dass ein Konto existiert, wie viele Kalender es gibt, in welchen Zeiträumen Termine liegen und wann zuletzt synchronisiert wurde. Diese Angaben sind für die Zuordnung und Synchronisation der Datenblöcke erforderlich.

4. Zwecke und Rechtsgrundlagen

Bereitstellung von Konto und Synchronisation: Art. 6 Abs. 1 lit. b DSGVO

Verarbeitung von Kontodaten, Kalenderblöcken, Schlüsselmaterial und Freigaben zur Erfüllung des Nutzungsverhältnisses.

Sicherheit des Dienstes: Art. 6 Abs. 1 lit. f DSGVO

Verarbeitung von IP-Adresse, User-Agent, Fehlversuchszählern und gehashter Installationskennung zur Abwehr von Angriffen und Missbrauch sowie zur Benachrichtigung über sicherheitsrelevante Kontoereignisse. Unser berechtigtes Interesse ist der sichere und stabile Betrieb des Dienstes.

Meldung und Quellensperre bei Terminanfragen: Art. 6 Abs. 1 lit. f DSGVO

Der Eigentümer eines Buchungslinks kann eine eingegangene Anfrage melden und deren Quelle für eigene Buchungslinks sperren. Der Server verwendet dafür nur einen mit einem getrennt gehaltenen Schlüssel gebildeten HMAC der Quell-IP, nicht die IP-Adresse selbst; die Sperre dient dem Schutz vor Belästigung und automatisiertem Missbrauch.

Zugriffsprotokoll und Missbrauchserkennung: Art. 6 Abs. 1 lit. f DSGVO

Der Server hält jede Anfrage kurzzeitig in einem Zugriffsprotokoll fest und meldet abgewiesene Zugriffe gebündelt an den Verantwortlichen. Unser berechtigtes Interesse ist es, Angriffe überhaupt bemerken und nachträglich aufklären zu können; eine Abwehr, die lautlos abweist, lässt einen laufenden Angriff unbemerkt. Deine schutzwürdigen Interessen wahren wir durch die kurze Löschfrist von sieben Tagen, die Beschränkung auf technische Verbindungsdaten und dadurch, dass Inhalte, Kopfzeilen, Passwörter und Bestätigungscodes gar nicht erst hineingeschrieben werden. Einzelheiten stehen in Abschnitt 6.

Zwei-Faktor-Authentisierung: Art. 6 Abs. 1 lit. b und f DSGVO

Optional und jederzeit in den Kontoeinstellungen aktivierbar, um Konten zusätzlich gegen unbefugten Zugriff abzusichern. Das TOTP-Geheimnis wird nur bei aktivierter Zwei-Faktor-Authentisierung verarbeitet. Unser berechtigtes Interesse ist der sichere Betrieb des Dienstes.

Kontolöschung und technische Löschkontrolle: Art. 6 Abs. 1 lit. b und f sowie Art. 17 DSGVO

Zuordnung, Identitätsprüfung über die hinterlegte Konto-E-Mail, 48-stündige widerrufbare Vormerkung und Durchführung der ausdrücklich bestätigten Kontolöschung, sofern die Vormerkung nicht mit dem Kontopasswort storniert wurde. IP-Adresse und User-Agent schützen den anmeldefreien Löschweg vor Missbrauch. Der anschließend vorübergehend verbleibende Löschkontroll-Datensatz verhindert, dass verspätete Spiegelvorgänge Daten des gelöschten Kontos erneut anlegen, und hält eine erforderliche Stripe-Kündigung bis zu ihrer bestätigten Ausführung wiederholbar. Unser berechtigtes Interesse ist die sichere, nachweisbar vollständige Durchführung der von dir verlangten Löschung und Vertragsbeendigung. Denselben Zweck erfüllt ein gleichartiger Datensatz, wenn du einen einzelnen Kalender löschst: er hält allein deine Konto-Kennung, die zufällige Kennung des gelöschten Kalenders, Zeitpunkte und den Wiederholungsstand fest, bis dessen ausgelagerte verschlüsselte Blöcke tatsächlich entfernt sind.

Änderung der Konto-E-Mail-Adresse: Art. 6 Abs. 1 lit. b und f DSGVO

Durchführung deiner ausdrücklich verlangten Adressänderung, Prüfung beider Postfächer und Schutz vor unbefugten Kontoübernahmen. Ein bestehender Stripe-Kunde erhält die bestätigte neue Adresse; alte Rechnungsbelege und ihre historischen Adressen bleiben unverändert.

Kündigung und Widerruf per E-Mail-Code: Art. 6 Abs. 1 lit. b und c DSGVO

Identitätsprüfung über die hinterlegte Konto-E-Mail und Durchführung der bestätigten Kündigung beziehungsweise des bestätigten Widerrufs. Die Bereitstellung dieser anmeldefreien Wege erfüllt zugleich gesetzliche Pflichten (§ 312k BGB, § 355 BGB).

Nachweis der bestätigten Kündigung: Art. 6 Abs. 1 lit. b, c und f DSGVO

Die Erklärung selbst und ihr Zeitpunkt gehören zur Vertragsabwicklung und zur gesetzlichen Bestätigungspflicht des § 312k Abs. 4 BGB. Dass wir den Datensatz darüber hinaus als Beleg aufbewahren, stützen wir auf unser berechtigtes Interesse daran, Inhalt und Zugang einer Kündigung im Streitfall nachweisen zu können – dasselbe Interesse schützt auch dich, weil deine Kündigung damit selbst dann feststeht, wenn Stripe oder der Mailversand ausfällt.

Direkte Kündigungs- und Widerrufsfunktion: Art. 6 Abs. 1 lit. b und c DSGVO

Entgegennahme, Weiterleitung, manuelle Bearbeitung und Eingangsbestätigung einer Kündigungs- beziehungsweise Widerrufserklärung zur Vertragsabwicklung und zur Erfüllung der gesetzlichen Pflichten aus § 312k und § 356a BGB. Der Server führt über diese Formulare keine automatische Änderung bei Stripe aus.

Impressums-Kontaktformular: Art. 6 Abs. 1 lit. b und f DSGVO

Bei Anfragen zu einem bestehenden oder angebahnten Vertrag erfolgt die Verarbeitung zur Vertragsdurchführung beziehungsweise zur Durchführung vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO). Allgemeine Nachrichten bearbeiten wir auf Grundlage unseres berechtigten Interesses an einer erreichbaren elektronischen Kontaktstelle und der Beantwortung sachlicher Anliegen (Art. 6 Abs. 1 lit. f DSGVO). Der Pflicht-Haken dokumentiert nur, dass du diese Datenschutzerklärung zur Kenntnis genommen hast; er ist keine Einwilligung.

Schutz der öffentlichen Formulare: Art. 6 Abs. 1 lit. f DSGVO

Cloudflare Turnstile sowie serverseitige Größen- und Ratenbegrenzungen verhindern automatisierten Missbrauch im Kontakt- und Feedbackformular und in den codegesicherten Abläufen für Kontolöschung, Kündigung und Widerruf. Die gesetzlichen Direktfunktionen für Kündigung und Widerruf bleiben unabhängig von Cloudflare und anderen Drittanbieter-Skripten; dort schützen ausschließlich ein unsichtbares Bot-Feld sowie serverseitige Größen- und Ratenbegrenzungen. Unser berechtigtes Interesse ist die Verfügbarkeit und Sicherheit dieser Wege.

Einstiegs-Cookie „pc_seen“: § 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. f DSGVO

Das Cookie ist unbedingt erforderlich, damit die Adresse „/“ demselben Browser wieder die Kalender-App statt der Startseite ausliefert; ohne diese Weiche ließe sich der ausdrücklich gewünschte Dienst nicht bereitstellen. Es bedarf deshalb keiner Einwilligung. Es enthält keine Kennung und keinen Personenbezug, wird nicht ausgewertet und ermöglicht keine Wiedererkennung über Websites hinweg. Unser berechtigtes Interesse ist die erwartungsgemäße Bedienung des Dienstes.

Lokale Bewertungsanfragen: Art. 6 Abs. 1 lit. f DSGVO

Unser berechtigtes Interesse ist freiwilliges Produktfeedback nach ausreichender Nutzung. Die dafür verwendeten Zähler bleiben ausschließlich auf dem Gerät und dienen der seltenen Anzeige einer Anfrage; sie werden weder zur Nutzungsanalyse übermittelt noch mit einem Konto verknüpft. Ob und wie du bewertest, entscheidest du selbst im jeweiligen Store.

Datensicherung: Art. 6 Abs. 1 lit. f DSGVO

Verschlüsselte Sicherungskopien zum Schutz vor Datenverlust.

Technische Betriebsüberwachung: Art. 6 Abs. 1 lit. f DSGVO

Verarbeitung aggregierter System-, Ressourcen-, Datenbank-, Warteschlangen- und Backup-Kennzahlen zur frühzeitigen Erkennung und Behebung von Störungen. Unser berechtigtes Interesse ist die Verfügbarkeit, Integrität und Sicherheit des Dienstes.

Empfehlungsprogramm: Art. 6 Abs. 1 lit. b und f DSGVO

Die Zuordnung erfolgt, wenn du einen Empfehlungscode einträgst. Wir prüfen die erste bezahlte Premium-Bestellung und schreiben die vereinbarten Gratismonate gut. Technische Zahlungs- und Wiederholungskennungen sowie begrenzte Einlösungszähler verhindern doppelte Prämien und sichern eine verlässliche Abrechnung; darin liegt unser berechtigtes Interesse. Empfehlungscodes können im Konto aufgerufen und freiwillig geteilt werden. Wir versenden für dieses Programm keine Einladungen an fremde E-Mail-Adressen.

Erforderlichkeit der Bereitstellung

Die Angabe einer E-Mail-Adresse und eines Passworts ist für die Nutzung des Kalenders erforderlich, weil die Kalendernutzung ein Konto voraussetzt. Du bist weder gesetzlich noch vertraglich verpflichtet, uns diese Daten bereitzustellen; ohne sie ist eine Nutzung des Dienstes jedoch nicht möglich. Das Einrichten der Zwei-Faktor-Authentisierung, das Markieren eines Geräts als vertrauenswürdig und das Abonnieren externer Kalender sind freiwillig.

Automatisierte Entscheidungsfindung

Grundsätzlich findet keine automatisierte Entscheidungsfindung und kein Profiling im Sinne von Art. 22 DSGVO statt. Insbesondere dient die zeitlich befristete Sperre nach mehreren fehlgeschlagenen Anmeldeversuchen allein der technischen Missbrauchsabwehr und entfaltet keine rechtliche Wirkung dir gegenüber.

Eine Ausnahme betrifft die Bestellung des kostenpflichtigen Premium-Abos. Deutschland wird direkt über Stripe abgerechnet; Österreich, die Schweiz, Finnland, Dänemark, die Niederlande, Irland und Schweden über Link (Stripe Managed Payments). Die Prüfung des Rechnungslands und des Zahlungswegs läuft automatisiert und ohne menschliche Beteiligung ab. Darüber informieren wir dich hiermit nach Art. 13 Abs. 2 lit. f DSGVO:

Logik der Entscheidung

Nach Abschluss des Bezahlvorgangs übermittelt uns Stripe das Länderkennzeichen der von dir dort angegebenen Rechnungsanschrift. Eine direkte Bestellung mit anderer Rechnungsanschrift als Deutschland beziehungsweise eine Managed-Payments-Bestellung mit Rechnungsanschrift in Deutschland oder einem nicht unterstützten Land wird abgelehnt. Zusätzlich wird geprüft, ob Stripe das Abo tatsächlich als Managed Payments ausweist. Weitere personenbezogene Merkmale fließen nicht ein: Es findet keine Bewertung deiner Person, keine Bonitäts- oder Betrugsbewertung und kein Profiling statt.

Tragweite und angestrebte Auswirkungen

Die Bestellung wird nicht angenommen, ein Vertrag kommt also nicht zustande. Ein bereits eingezogener Betrag wird vollständig über das verwendete Zahlungsmittel erstattet, und die Premium-Funktionen werden nicht freigeschaltet, auch nicht übergangsweise. Über die Ablehnung und die Erstattung informieren wir dich per E-Mail an deine Konto-Adresse. Dein Konto, deine Kalenderdaten und der kostenlose Tarif bleiben davon unberührt.

Rechtsgrundlage

Art. 22 Abs. 2 lit. a DSGVO. Die Prüfung ist für die Entscheidung über den Abschluss des Vertrags erforderlich, weil direkte Auslandsbestellungen umsatzsteuerliche Pflichten auslösen können, die wir nicht über den direkten Zahlungsweg erfüllen; angebotene Auslandsbestellungen werden deshalb ausschließlich über Stripe Managed Payments abgewickelt.

Deine Rechte in diesem Fall

Du hast das Recht, das Eingreifen einer natürlichen Person zu erwirken, deinen eigenen Standpunkt darzulegen und die Entscheidung anzufechten (Art. 22 Abs. 3 DSGVO). Dafür genügt eine formlose Nachricht an die in Abschnitt 1 genannte E-Mail-Adresse; du kannst auch einfach auf die Ablehnungsmail antworten. Wir sehen uns den Fall dann von Hand an und antworten dir.

5. E-Mail-Versand und Feedback

Fehlerberichte und Funktionswünsche

Über /feedback und /en/feedback kannst du ohne Anmeldung einen Fehler melden oder eine Funktion vorschlagen. Erforderlich sind E-Mail-Adresse, Kategorie, Plattform, Betreff und Beschreibung; zusätzlich werden die Formularsprache und der Eingangszeitpunkt verarbeitet. Die E-Mail-Adresse ermöglicht Rückfragen und wird nicht als zu einem Konto gehörig verifiziert. Die Apps öffnen das Formular im Systembrowser und übergeben nur Kategorie und Plattform in der URL. Es werden keine Kontokennung, Sitzungstoken, Kalenderinhalte, Diagnoseprotokolle oder Gerätekennungen automatisch angehängt.

Die Nachricht ist für den Betreiber lesbar und gehört nicht zur Ende-zu-Ende-verschlüsselten Kalendersynchronisierung. Bitte übermittle keine Passwörter, Wiederherstellungsschlüssel, vertraulichen Kalenderinhalte oder personenbezogenen Daten anderer Personen. Optional kannst du eine Bild- oder Videodatei bis 10 MiB (PNG, JPEG, WebP, MP4, MOV oder WebM) selbst auswählen. Sie kann persönliche Angaben, Bild- oder Toninhalte und eingebettete Metadaten enthalten. Bitte entferne solche Angaben vor dem Absenden. Bilder und Videos liegen bis zu 72 Stunden verschlüsselt auf dem bestehenden Hosting-Server; der Betreiber erhält einen zufälligen, nicht erratbaren Download-Link per E-Mail. Der Abruf erfordert zusätzlich ein Download-Passwort, das nur der Betreiber kennt; der Link allein genügt nicht. Auch der Maildienst kann den Link sehen, die Datei ohne dieses Passwort aber nicht abrufen. Er wird nicht öffentlich aufgelistet; bitte gib ihn nicht weiter. Abgelaufene Links funktionieren sofort nicht mehr; die Dateien werden beim Serverstart und minütlich automatisch bereinigt. Es gibt kein öffentliches Verzeichnis. Es gibt keine öffentliche Wunschliste oder automatische Bestätigungs-E-Mail. Die Nachricht wird über den bestehenden Scaleway-Maildienst an das Betreiberpostfach übermittelt; Hosting und technische Sicherheitsprotokolle werden wie unten beschrieben verarbeitet.

Vertragsbezogene Fehlerberichte bearbeiten wir nach Art. 6 Abs. 1 lit. b DSGVO, allgemeine Fehlerberichte und Funktionswünsche nach Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die Beantwortung deiner Meldung und die Verbesserung der Zuverlässigkeit und Funktionen des Dienstes. Die Angabe der Daten ist freiwillig; ohne die Pflichtfelder kann das Formular nicht abgesendet werden. Die Kalendernutzung bleibt davon unabhängig.

Für Feedback einschließlich Anhängen gelten dieselben Löschfristen wie für Kontaktkorrespondenz: nach abschließender Bearbeitung, spätestens nach 30 Tagen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Die Nachricht verarbeitet der Server nur vorübergehend im Arbeitsspeicher für die Übermittlung; sie wird nicht in seiner Datenbank oder einer Dateiablage gespeichert. Für Bilder und Videos gilt die oben beschriebene verschlüsselte Ablage mit 72 Stunden Abrufdauer und automatischer Bereinigung; sie wird nicht in die Datenbanksicherungen aufgenommen. Heruntergeladene Kopien und Postfachkopien unterliegen der 30-Tage-Löschfrist. Für eine längere interne Fehler- oder Wunschliste werden nur tatsächlich anonymisierte Beschreibungen ohne Rückbezug auf die meldende Person übernommen. Einreichungen werden nicht automatisch an externe Bugtracker oder KI-Dienste weitergegeben.

Wir verarbeiten deine E-Mail-Adresse, um dir funktionale Nachrichten zum Betrieb des Dienstes und zu deiner Kontosicherheit zu senden; dazu gehört nach erfolgreicher E-Mail-Bestätigung eine einmalige Willkommensmail mit der Bestätigung deiner Registrierung und einem Link zur Website beziehungsweise Browser-Version. Dazu gehören auch Bestätigungscodes für eine über die öffentliche Löschseite angeforderte Kontolöschung sowie getrennte Codes und Sicherheitsbestätigungen an die bisherige und neue Adresse bei einer von dir angeforderten Adressänderung. Rechtsgrundlage sind die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) sowie das berechtigte Interesse an Sicherheit und Betrieb (lit. f). Diese Nachrichten können deine E-Mail-Adresse und sicherheitsrelevante technische Angaben enthalten, etwa Zeitpunkt, IP-Adresse und User-Agent bei einer Anmeldung aus einer bisher unbekannten Installation, keine Kalenderinhalte. Eine gesondert gewählte Buchungs-Kalendereinladung enthält Titel und Zeit des einzelnen Termins; Abschnitt 9 erläutert diese Ausnahme. Werbung versenden wir nicht.

Empfänger sind je nach Anlass du selbst, bei der Kalenderfreigabe die Person, mit der du teilst beziehungsweise die mit dir teilt (dabei wird die jeweils andere E-Mail-Adresse sichtbar), sowie die verantwortliche Person für Kontakt-, Sicherheits-, Betriebs- und Zahlungsangelegenheiten. Die Meldung über bezahlte Premium-Abschlüsse und Verlängerungen dient der bestehenden Vertrags- und Zahlungsverwaltung (Art. 6 Abs. 1 lit. b DSGVO); sie enthält keine Kalenderinhalte oder Kartendaten.

Versendet wird über den Transactional-Mail-Dienst der Scaleway SAS, 8 rue de la Ville-l'Évêque, 75008 Paris, Frankreich. Dabei werden die betroffene E-Mail-Adresse und der jeweilige Nachrichteninhalt übertragen; bei den direkten Kündigungs- und Widerrufsfunktionen umfasst das auch die vollständige Erklärung, ihren Eingangszeitpunkt und die Belegnummer. Bei der vorgelagerten Anforderung eines Sicherheitscodes und bei Einladungen erfährt der Dienstleister außerdem, dass zwischen zwei Adressen eine Kalenderfreigabe beabsichtigt ist beziehungsweise besteht. Sicherheitsbenachrichtigungen können die oben genannten Zugriffsmetadaten enthalten. Die Verarbeitung findet innerhalb der Europäischen Union statt.

Automatische Nachrichten an Kontoinhaber enthalten am Ende direkte Links zum Impressum und zu dieser Datenschutzerklärung.

Kalenderfreigaben versenden keine Kalenderinhalte oder öffentlichen Sicherheitscodes per E-Mail. Die Anforderungsmail erklärt nur, wo du deinen öffentlichen Sicherheitscode lokal in App oder Browser findest; zurücksenden sollst du ihn unmittelbar an die einladende Person, möglichst über einen Ende-zu-Ende-verschlüsselten Chat. Auch der Name des geteilten Kalenders steht nicht in der Einladung: Er ist Ende-zu-Ende-verschlüsselt, dem Server nicht bekannt und wird erst nach dem Entschlüsseln in der App angezeigt.

Bot-Schutz der öffentlichen Formulare

Das Feedbackformular sowie das Kontaktformular im Impressum sowie die anmeldefreien Formulare zur Kontolöschung, zur Kündigung mit E-Mail-Code („/kuendigen/automatisch") und zum Widerruf mit E-Mail-Code („/widerruf/automatisch") verwenden Cloudflare Turnstile der Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA. Turnstile wird erst geladen, wenn du das jeweilige Formular öffnest. Dabei verarbeitet der Dienst insbesondere IP-Adresse, TLS-Fingerabdruck, User-Agent, Website-Schlüssel und den aufgerufenen Ursprung, um Menschen von automatisierten Zugriffen zu unterscheiden. Der Browser lädt dafür Programmcode und einen Prüfrahmen von challenges.cloudflare.com; der Server prüft das kurzlebige Token über die Siteverify-Schnittstelle. Formulardaten wie E-Mail-Adresse, Betreff, Nachricht oder Bestätigungscode werden nicht an Cloudflare übermittelt. Fehlt ein gültiges Widget-Token oder lehnt Cloudflare die Prüfung ab, wird die betreffende codegesicherte Onlineübermittlung zurückgewiesen. Die direkten gesetzlichen Funktionen unter „/kuendigen" und „/widerruf" laden kein Cloudflare-Skript, übermitteln keine Daten an Cloudflare und bleiben auch bei einer Störung oder Blockierung des Anbieters vollständig absendbar.

Cloudflare verarbeitet die Sicherheitssignale teils als Auftragsverarbeiter und teils in eigener Verantwortung zur Verbesserung der Bot-Erkennung. Soweit Daten in die USA oder andere Drittländer übertragen werden, stützt Cloudflare die Übermittlung nach seinem Auftragsverarbeitungsvertrag auf die EU-Standardvertragsklauseln. Weitere Informationen enthält der Turnstile-Datenschutzhinweis von Cloudflare.

Online-Impressum.de verarbeitet die Eingaben des Kontaktformulars nicht. Das Formular wird unmittelbar von Private Calendar bereitgestellt; der Anwendungsserver sendet seine Inhalte über Scaleway Transactional Email direkt an den Verantwortlichen.

6. Hosting und Sicherungskopien

Der Dienst läuft auf Servern der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland. Der genutzte Serverstandort ist das Rechenzentrum Nürnberg, Deutschland.

Es werden täglich verschlüsselte Sicherungskopien der Datenbank erstellt. Diese sind vor dem Schreiben mit AES-256-GCM verschlüsselt; die jeweils letzten 14 Tagesstände werden lokal vorgehalten.

Zusätzlich werden verschlüsselte Kopien bei Exoscale (Akenes SA, Boulevard de Grancy 19A, 1006 Lausanne, Schweiz) in der Zone ch-dk-2 (Raum Zürich, Schweiz) abgelegt. Der Speicheranbieter erhält ausschließlich Chiffrat und besitzt keinen Schlüssel.

Übermittlung in ein Drittland

Die Auslagerung der Sicherungskopien an Exoscale bedeutet eine Übermittlung in die Schweiz und damit in ein Land außerhalb der EU und des EWR. Für die Schweiz besteht ein Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO; die Schweiz gewährleistet damit ein der EU vergleichbares Datenschutzniveau, sodass für diese Übermittlung keine zusätzlichen Garantien erforderlich sind. Unabhängig davon verlassen ausschließlich verschlüsselte Daten unseren Server; Exoscale kann die gespeicherten Inhalte weder entschlüsseln noch einsehen.

Zugriffsprotokolle des Servers

Der Server hält jede Anfrage in einem Zugriffsprotokoll fest. Gespeichert werden Zeitpunkt, IP-Adresse, HTTP-Methode, aufgerufener Pfad, technische Abfrageparameter, Antwortstatus, Antwortgröße, Bearbeitungsdauer und User-Agent. Nicht protokolliert werden Anfrage- und Antwortinhalte sowie HTTP-Kopfzeilen; E-Mail-Adressen, Bestätigungscodes und Token werden aus den Abfrageparametern entfernt, bevor die Zeile geschrieben wird. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und störungsfreien Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Die Protokolldateien werden nach sieben Tagen gelöscht. Der Server legt je Kalendertag (UTC) genau eine Datei an und entfernt beim Start sowie danach mehrmals täglich alle Dateien, deren Tag länger als diese Frist zurückliegt. Eine Auswertung zu anderen Zwecken — insbesondere Reichweitenmessung, Profilbildung oder Werbung — findet nicht statt. Getrennt davon führt der vorgeschaltete Webserver ein technisches Fehlerprotokoll über Verbindungen, die den Anwendungsserver nicht erreichen (etwa abgebrochene TLS-Verbindungen); es ist in Größe und Anzahl begrenzt und wird laufend überschrieben.

7. Zahlungsabwicklung beim Premium-Abo

Wenn du ein kostenpflichtiges Premium-Abo abschließt, verarbeiten wir die zur Vertragsabwicklung erforderlichen Zahlungs- und Vertragsdaten. Rechtsgrundlagen sind die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) sowie die Erfüllung rechtlicher, insbesondere handels- und steuerrechtlicher Pflichten (Art. 6 Abs. 1 lit. c DSGVO).

Die Zahlungsabwicklung erfolgt über Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland. An Stripe werden insbesondere deine E-Mail-Adresse, dein Name, deine Rechnungsanschrift und dein Rechnungsland sowie die Zahlungsdaten übermittelt. Vollständige Kartendaten werden ausschließlich von Stripe verarbeitet und erreichen unseren Server nicht (der Bezahlvorgang läuft auf einer von Stripe gehosteten Seite). Wir erhalten von Stripe nur den Zahlungs- und Abo-Status sowie Rechnungs-Metadaten.

Die datenschutzrechtliche Rolle von Stripe hängt vom Verarbeitungszweck ab: Soweit Stripe Zahlungsdaten ausschließlich nach unseren Weisungen verarbeitet, ist Stripe Auftragsverarbeiter; hierfür gelten die Auftragsverarbeitungsbedingungen. Für eigene Zwecke, insbesondere Betrugsprävention, Sicherheit der Zahlungsinfrastruktur, Erfüllung gesetzlicher Pflichten sowie interne Abrechnung und Verbesserung der Zahlungsdienste, verarbeitet Stripe Daten nach den eigenen Bedingungen als eigenständig Verantwortlicher. Einzelheiten und die jeweilige Rollenverteilung stehen im Stripe Data Processing Agreement und in der Datenschutzerklärung von Stripe.

Stripe kann im Rahmen dieser Zwecke Daten auch an Konzerngesellschaften und Dienstleister in den USA übermitteln. Nach seinen Vertragsunterlagen verwendet Stripe dafür die jeweils anwendbaren Übermittlungsinstrumente, insbesondere EU-Standardvertragsklauseln.

Bei einer neuen Premium-Bestellung mit Rechnungsanschrift in Österreich, der Schweiz, Finnland, Dänemark, den Niederlanden, Irland oder Schweden nutzen wir Stripe Managed Payments. Sold through Link, LLC (USA) wickelt dabei als eingetragener Händler (Merchant of Record) im Auftrag des Anbieters Zahlung, Rechnung und indirekte Steuern ab – dein Vertragspartner bleibt Private Calendar – und verarbeitet die für Zahlung, Rechnung, indirekte Steuern, Betrugsprävention und Zahlungssupport erforderlichen Bestell- und Kundendaten als eigenständig Verantwortlicher. Dazu können Name, E-Mail-Adresse, Telefonnummer, Rechnungsanschrift, Zahlungsdaten und Kaufdetails gehören; diese Angaben werden im Stripe-/Link-Checkout erhoben. Stripe erhält außerdem das vor dem Checkout gewählte Rechnungsland in den Bestellmetadaten. Kalenderinhalte und Schlüssel werden nicht übermittelt. Vor der Weiterleitung informieren wir dich auf der Bestellseite über diesen Zahlungsweg. Bestehende Abos und neue Käufe mit deutscher Rechnungsanschrift werden nicht automatisch auf Managed Payments umgestellt. Einzelheiten: Datenschutzerklärung von Link und die im Checkout angezeigten Link-Bedingungen.

Rechnungsland, Zahlungsweg, die vereinbarte Vertragsfassung und die zugehörige Kündigungsregel werden für das jeweilige Abo gespeichert, damit Bestellbestätigung, Kündigung und Erstattung nach den vereinbarten Bedingungen erfolgen. Eine spätere Adressänderung stellt einen bestehenden Vertrag nicht automatisch um.

Aufbewahrung: Rechnungen und Buchungsbelege einschließlich der bei uns gespeicherten Rechnungs-Metadaten unterliegen grundsätzlich einer Aufbewahrungsfrist von acht Jahren (§ 147 AO, § 257 HGB und § 14b UStG). Davon zu unterscheiden sind insbesondere Handelsbücher, Inventare, Eröffnungsbilanzen und Jahresabschlüsse, für die grundsätzlich zehn Jahre gelten, sowie Handels- und Geschäftsbriefe mit regelmäßig sechs Jahren. Die Frist kann sich im Einzelfall verlängern, etwa solange Unterlagen für ein noch nicht abgeschlossenes Besteuerungs- oder Rechtsverfahren erforderlich sind. Daten werden daher auch bei einer Kontolöschung bis zum Ablauf der jeweils einschlägigen Frist aufbewahrt und in dieser Zeit auf diesen Zweck beschränkt.

Beim Empfehlungsprogramm erhält Stripe zusätzlich eine zufällige Empfehlungskennung in den Metadaten der zugehörigen Checkout-Sitzung und des Abos sowie eine zufällige Kennung für eine Prämienverlängerung. Stripe erhält dabei weder den Namen noch die E-Mail-Adresse der einladenden Person aus der Empfehlung. Wir rufen den Zahlungsstatus einschließlich Erstattungs- und Zahlungsstreitstatus ab und passen bei gültigen Prämien den nächsten Abrechnungstermin an. Kartendaten bleiben bei Stripe.

Für Personen in der Schweiz beachten wir zusätzlich das anwendbare Schweizer Datenschutzgesetz. Die oben genannten Empfänger befinden sich insbesondere in Deutschland, Frankreich, Irland, der Schweiz und den USA. Für Übermittlungen über Stripe und Link gelten die jeweils anwendbaren Übermittlungsinstrumente nach deren Vertragsunterlagen, insbesondere die für die Schweiz angepassten Standardvertragsklauseln. Du kannst deine Datenschutzrechte auch über die Kontaktadresse in Abschnitt 1 geltend machen.

8. Abonnierte externe Kalender

Der erste Abruf geschieht beim Anlegen in der Android- oder iPhone-App. Danach wird eine Aktualisierung von selbst frühestens etwa alle sechs Stunden versucht, wenn mindestens ein angemeldetes Android-Gerät oder iPhone Hintergrundarbeit ausführen darf sowie Netzwerk und Quelle verfügbar sind; tippst du in der App ausdrücklich auf „Aktualisieren", wird die Quelle sofort abgerufen. Browser können ein Abo anlegen und eine später mobil verschlüsselt synchronisierte Kopie anzeigen, rufen die Quelle aber nicht selbst ab. Android, iOS, Gerätehersteller, Netzwerk oder Quelle können Aktualisierungen verzögern oder verhindern.

Bei einem solchen Abruf erhält der Betreiber der von dir gewählten Quelle die IP-Adresse deines Android-Geräts oder iPhone beziehungsweise seines Internetzugangs, den technischen User-Agent „Private Calendar Android" oder „Private Calendar iOS" und den Abrufzeitpunkt. Rechtsgrundlage für den von dir veranlassten Abruf ist Art. 6 Abs. 1 lit. b DSGVO. Verwende nur iCal-URLs, die du auf diesem Gerät abrufen darfst; geheime Abo-Links sind wie Zugangsdaten zu behandeln.

9. Buchungs- und Verfügbarkeitslinks sowie Terminanfragen

Wenn du einen Buchungslink veröffentlichst, speichern wir das öffentliche Kennzeichen, das verschlüsselte Angebot, Erstellungs-, Änderungs- und Ablaufzeitpunkt, Aktivstatus und Linkmodus (Buchung oder Verfügbarkeit) sowie die Zuordnung zu deinem Konto. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Der Link ist ein Geheimnis wie ein Freigabelink: Wer ihn erhält, sieht die freigegebenen freien oder belegten Zeiten und kann ihn weitergeben. Du kannst einen Link jederzeit pausieren oder löschen; er läuft zudem automatisch ab.

Verfügbarkeitsmodus: Du kannst einen Link als reine Verfügbarkeitsseite verwenden. Sie zeigt innerhalb deiner gewählten Wochentage, Uhrzeiten und Vorschauzeit ausschließlich zusammengefasste graue „Beschäftigt“-Blöcke, ohne Termintitel, Beschreibung, Ort oder Kalendernamen. Du kannst einzelne Kalender ausschließen. Zeitfenster, belegte Zeiträume und Kalenderauswahl werden auf deinem Gerät berechnet beziehungsweise verschlüsselt gespeichert; die Serverdatenbank enthält für die Verfügbarkeit nur das Chiffrat und den technischen Linkmodus. Der Server nimmt für solche Links keine neuen Terminanfragen entgegen. Vorhandene Anfragen werden durch den Moduswechsel nicht gelöscht; Pause, Ablauf und Löschung gelten wie bei Buchungslinks.

Wenn du über einen Buchungslink einen Termin anfragst, brauchst du kein Konto. Verarbeitet werden dann: die verschlüsselte Anfrage selbst (darin die von dir eingegebenen Angaben, für uns nicht lesbar), ein nicht umkehrbarer Kurzwert des gewählten Zeitpunkts, damit derselbe Zeitpunkt nicht doppelt vergeben wird, ein flüchtiger öffentlicher Schlüssel deines Browsers, der Eingangszeitpunkt und der Bearbeitungsstand. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die von dir angestoßene Übermittlung; für die Abwehr automatisierten Missbrauchs (IP-Adresse in den Zugriffsprotokollen, Ratenbegrenzung, Bot-Schutz) gilt Art. 6 Abs. 1 lit. f DSGVO. Eine E-Mail-Adresse, die du in der Anfrage angibst, ist Teil des verschlüsselten Inhalts: Wir versenden an sie nichts und können sie nicht lesen. Den Bearbeitungsstand rufst du über die Adresse ab, die du nach dem Absenden erhältst.

Meldung und Sperre. Der Eigentümer eines Buchungslinks kann eine erhaltene Anfrage in der App melden und wählen, ob er weitere Anfragen derselben Quelle an allen eigenen Buchungslinks blockiert. Dafür speichert der Server die Anfragekennung, das Konto, den Zeitpunkt und den Sperrstatus sowie einen mit einem getrennt gehaltenen Schlüssel gebildeten, nicht umkehrbaren HMAC der Quell-IP. Die rohe IP-Adresse wird dafür nicht in der Datenbank gespeichert. Der Betreiber erhält eine inhaltsleere Meldung mit Konto und Anfragekennung, aber niemals Name, E-Mail-Adresse, Nachricht, Terminzeit, Anfrageinhalt oder Quell-IP. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der Schutz der Linkinhaber und des Dienstes vor Belästigung und Missbrauch.

Optionale E-Mail-Benachrichtigungen. Beide Auswahlfelder sind zunächst ausgeschaltet. Wählst du allgemeine Benachrichtigungen, erhältst du bei Zusage, Änderung, Ablehnung oder Absage eine E-Mail ohne Termintitel, Datum, Uhrzeit, Gastgeber, Ort oder Nachricht. Nur deine Adresse wird dafür lesbar für den Versand verarbeitet und im Ruhezustand verschlüsselt gespeichert. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Gesonderte Einwilligung in eine Kalendereinladung. Nur mit einem zweiten, ungekreuzten Auswahlfeld erlaubst du zusätzlich, Termintitel, Datum, Uhrzeit, Dauer und Zeitzone für diesen Termin lesbar an den Server und Scaleway Transactional Email zu übermitteln. Diese E-Mail enthält eine importierbare Kalenderdatei (.ics); bei Änderung oder Absage enthält sie die entsprechende Aktualisierung. Gastgeber, Ort, Nachricht und die Konto-E-Mail-Adresse der anbietenden Person werden nicht beigefügt. Bei einer Ablehnung gibt es keinen bestätigten Termin und keine Kalenderdatei. Die freigegebenen Termindaten werden für den Versand verarbeitet und bis zur SMTP-Annahme verschlüsselt in einer dauerhaften Versandwarteschlange gespeichert. Fehlversuche werden wiederholt; beim Widerruf der Einwilligung, Löschen der Anfrage oder Kontolöschung wird ein noch nicht versandter Auftrag entfernt. Eine Benachrichtigungseinwilligung aus der bisherigen Buchungsseite wird nicht als Einwilligung in diese neue Kalendereinladung übernommen.

Vollständige Details und Kalenderdownload. Bestätigte Details werden auf dem Gerät der anbietenden Person verschlüsselt. Dein Browser entschlüsselt sie über den vollständigen Statuslink und erstellt die Kalenderdatei lokal. Der Schlüssel hinter dem Rautezeichen wird nicht an den Server übertragen und nicht in E-Mails eingefügt. Speichere deshalb den vollständigen Statuslink; auf einem anderen Gerät oder nach Verlust des Links kann der E-Mail-Link allein die Details nicht öffnen.

Einwilligung widerrufen: Auf der Statusseite, die jede E-Mail ohne Schlüssel verlinkt, genügt ein Klick auf „Benachrichtigungen abbestellen“. Die Adresse und beide Einwilligungsmerker werden sofort gelöscht; weitere E-Mails und Kalenderdateien werden nicht versandt. Ohne Benachrichtigungseinwilligung bleibt eine angegebene Adresse ausschließlich in der verschlüsselten Anfrage.

Bereits installierte ältere App-Versionen: Bei früher zugesagten Terminen können ältere Clients noch Titel und Zeit für die damalige E-Mail-Funktion lesbar übermitteln. Bei einer neu gewählten Kalender-E-Mail können ältere Clients außerdem den Gastgeber übermitteln. Der Server verwendet zusätzliche Angaben nicht für den Versand; ohne neue gesonderte Einwilligung hängt er keine Kalenderdatei an. Aktuelle Clients prüfen die neue Einwilligung vor jeder Übermittlung lesbarer Termindaten.

Der Kontoinhaber erhält über eine neue Anfrage eine inhaltsleere Benachrichtigung per E-Mail; Name, Nachricht und Zeitpunkt stehen darin nicht. Erst wenn er zusagt, entsteht daraus ein Termin in seinem Ende-zu-Ende-verschlüsselten Kalender. Verantwortlich für den Umgang mit den Angaben, die du in einer Anfrage machst, ist die Person, die dir den Link gegeben hat; an sie richtest du auch Auskunfts- oder Löschwünsche zum Inhalt.

10. Mobile Apps (Android und iPhone)

Die Android- und die iPhone-App verarbeiten dieselben Konto- und Kalenderdaten wie die Web-App und enthalten keine Werbe-, Analyse-, Tracking- oder Absturzberichts-Bibliotheken von Dritten. Konto- und synchronisierte Kalenderdaten übermitteln sie an den Private-Calendar-Dienst; dort gelten die in dieser Erklärung beschriebenen Empfänger für Hosting, E-Mail-Versand und verschlüsselte Sicherungskopien. Nur bei einem von dir eingerichteten iCal-Link-Abo verbinden sie sich zusätzlich direkt mit der von dir gewählten Quelle, wie in Abschnitt 8 beschrieben.

Hinweis auf Aktualisierungen

Die Android-App zeigt einen Hinweis an, wenn im Google Play Store eine neuere Fassung bereitsteht. Dafür wird die Update-Schnittstelle von Google Play verwendet. Die App fragt dabei die auf deinem Gerät installierte Play-Store-Anwendung, ob eine neuere Version vorliegt; sie baut hierfür keine eigene Verbindung zu Google auf und übermittelt weder Kalenderinhalte noch Kontodaten. Die Aktualisierung wird erst nach deiner ausdrücklichen Bestätigung geladen und eingespielt.

Diese Prüfung und der Download laufen über die Google-Play-Dienste. Verantwortlich hierfür ist im Europäischen Wirtschaftsraum die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Welche Daten Google Play im Rahmen der App-Verteilung verarbeitet, richtet sich nach den Datenschutzhinweisen von Google und ist von der Nutzung dieser App unabhängig; Google Play prüft ohnehin regelmäßig auf Aktualisierungen der installierten Anwendungen. Wer die App außerhalb von Google Play bezieht, erhält keinen solchen Hinweis; die Abfrage schlägt dann still fehl.

Updates über den App Store (iPhone und iPad)

Die iPhone- und iPad-App wird über den App Store bereitgestellt und aktualisiert. Je nach deinen Systemeinstellungen installiert der App Store Updates automatisch oder du stößt sie dort selbst an.

Damit die App auf eine neuere Version hinweisen kann, ruft unser Server die öffentlich abrufbare Versionsnummer der App zentral und zeitgesteuert (beim Start und danach etwa alle sechs Stunden) über eine öffentliche Schnittstelle von Apple ab und speichert sie zwischen. Diese Abfrage enthält keine Daten von Nutzerinnen und Nutzern. Die App fragt Apple dafür nicht selbst: Sie erhält die Versionsnummer über den bestehenden Private-Calendar-Dienst und vergleicht sie auf deinem Gerät mit der installierten Version; dabei werden weder Kalenderinhalte noch Kontodaten übermittelt, und an Apple werden weder deine IP-Adresse noch Kontodaten weitergeleitet. Liegt eine neuere Version vor, zeigt die App oben einen Hinweis, den du für den Tag schließen kannst. Erst wenn du „Jetzt aktualisieren“ tippst, öffnet sich die App-Store-Seite der App, und es gelten die Datenschutzhinweise von Apple.

Welche Daten Apple für die App-Verteilung verarbeitet, richtet sich nach den Datenschutzhinweisen zum App Store; Kalenderinhalte oder Private-Calendar-Kontodaten werden dafür nicht von der App übermittelt.

Freiwillige App-Bewertungen

Nach ausreichender Nutzung kann die App den Bewertungsdialog von Google Play beziehungsweise dem App Store anfordern. Dafür bleiben ausschließlich auf deinem Gerät Zähler erfolgreich angelegter Termine und aktiver Tage, das erste und letzte aktive Datum sowie der letzte Anfragezeitpunkt mit damaligen Zählerständen gespeichert. Sie enthalten keine Termin- oder Konto-Kennungen und keine Kalenderinhalte, werden nicht synchronisiert und nicht an uns, Apple oder Google übermittelt. Eine Anfrage erfolgt frühestens nach sieben Tagen und 20 erfolgreich angelegten Terminen oder 14 aktiven Tagen, anschließend höchstens nach weiteren 180 Tagen und einem neuen Nutzungsmeilenstein. Du kannst den Dialog schließen; die App erfährt nicht, ob du bewertet hast oder welche Bewertung du abgegeben hast.

Die native Bewertungsschnittstelle wird auf Android über die Google-Play-Bibliothek für In-App-Bewertungen und auf iPhone und iPad über StoreKit eingebunden. Der jeweilige Store bestimmt, ob sein Dialog tatsächlich erscheint, und verarbeitet eine freiwillig abgegebene Sternebewertung und einen möglichen Rezensionstext in eigener Verantwortung. Dafür gelten die Datenschutzhinweise von Google beziehungsweise die Datenschutzhinweise zum App Store. Kalenderinhalte und Private-Calendar-Kontodaten werden dafür nicht von der App übermittelt.

Weckruf-Benachrichtigungen

Damit eine Änderung auch dann ankommt, wenn die App gerade nicht geöffnet ist, kann der Server den mobilen Apps einen inhaltsleeren Weckruf schicken. Er enthält ausschließlich eine allgemeine Art der Änderung (Kalender, Freigabe, Buchungsanfrage oder Kontosicherheit): keinen Titel, keine Uhrzeit, keinen Kalendernamen, keine Terminkennung und keinen Inhalt einer Anfrage. Die App lädt daraufhin den maßgeblichen verschlüsselten beziehungsweise kontobezogenen Stand und entschlüsselt ihn auf dem Gerät. Der Weckruf selbst wird nicht angezeigt. Erst danach kann die App auf deinem Gerät eine sichtbare Mitteilung über eine neue Einladung oder Buchungsanfrage, eine Änderung in einem empfangenen Kalender oder eine beendete Sitzung erzeugen; deren lesbarer Inhalt wird nicht an Apple oder Google geschickt.

Zugestellt wird über die Systemdienste der beiden Plattformen: den Apple Push Notification service (Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland) und Firebase Cloud Messaging (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Dafür vergibt der jeweilige Dienst deinem Gerät eine zufällige, plattformabhängige Zustell- bzw. Installationskennung, die die App an den Private-Calendar-Server übermittelt: unter iOS ein Gerätetoken des Apple Push Notification service, unter Android die Kennung der Firebase-Installation dieser App auf diesem Gerät (Firebase Installation ID). Dort wird sie im Ruhezustand verschlüsselt beim Konto gespeichert und ausschließlich für diesen Weckruf verwendet. Apple beziehungsweise Google erfahren dabei, dass an ein bestimmtes Gerät ein Weckruf geht, aber nicht, worum es dabei geht. Die Android-App nimmt zu Google erst dann Verbindung auf, wenn du angemeldet bist; die Bibliothek ist im Auslieferungszustand abgeschaltet und enthält weiterhin keine Werbe-, Analyse- oder Absturzberichts-Bestandteile.

Die Zustell- bzw. Installationskennung wird gelöscht, sobald du dich in der App abmeldest, sobald Apple oder Google das Gerät als nicht mehr erreichbar melden, spätestens ein halbes Jahr nach dem letzten Abgleich dieses Geräts und unmittelbar bei einer Kontolöschung. Der Weckruf ist eine Beschleunigung, keine Voraussetzung: Beide Apps versuchen zusätzlich frühestens etwa alle zwei Stunden einen Hintergrundabgleich, sofern das Betriebssystem ihn zulässt; bereits geplante Erinnerungen funktionieren auch ohne Netz.

Berechtigungen

• Haptisches Feedback: Die Apps geben bei ausgewählten Bedienaktionen kurze fühlbare Rückmeldungen. Android verwendet dafür die normale Vibrationsberechtigung ohne zusätzliche Abfrage. Die Rückmeldungen entstehen ausschließlich auf dem Gerät; dabei werden keine personenbezogenen Daten gespeichert oder übertragen.
• Biometrische App-Sperre (Android): Die optionale App-Sperre verwendet Androids Systemdialog für starke Biometrie. Fingerabdruck- und Gesichtsdaten verbleiben beim Betriebssystem; die App erhält nur das Ergebnis der Entsperrung und überträgt keine biometrischen Merkmale an den Server.
• Internet und Netzwerkstatus: Synchronisation mit dem Server und direkter HTTPS-Abruf ausdrücklich abonnierter iCal-Quellen; der Netzwerkstatus steuert, wann Änderungen hochgeladen und Abos aktualisiert werden.
• Benachrichtigungen: optionale Erinnerungen an Termine sowie lokal erzeugte Hinweise auf Einladungen, Buchungsanfragen, Änderungen in empfangenen Kalendern und beendete Sitzungen. Die Berechtigung wird erst nach erfolgreicher Anmeldung abgefragt und kann abgelehnt werden. Der oben beschriebene inhaltsleere Weckruf selbst wird nie angezeigt und braucht sie nicht.
• Face ID oder Touch ID (iPhone, optional): nur wenn du die App-Sperre einschaltest; die biometrische Prüfung bleibt auf dem Gerät und ihr Ergebnis wird nicht an den Server übermittelt.

Speicherung auf dem Gerät

Kalenderdaten einschließlich persönlicher Standard-Erinnerungen je Kalender, iCal-Abo-URL und schreibgeschützter Kopie liegen auf Android und iPhone in einer mit SQLCipher verschlüsselten Datenbank. Der zugehörige zufällige Schlüssel wird auf Android redundant durch zwei voneinander unabhängige Android-Keystore-Schlüssel und auf dem iPhone durch zwei voneinander unabhängige, nur auf diesem Gerät verfügbare Schlüsselbund-Einträge geschützt, damit der Ausfall einer einzelnen lokalen Schlüsselverpackung den Zugriff nicht dauerhaft sperrt. Beide Apps speichern zusätzlich eine zufällige Installationskennung in ihrem geschützten Gerätespeicher. Sie senden diese nur bei den für die Kontosicherheit erforderlichen Anmelde-, 2FA-, Passwort- und E-Mail-Änderungsanfragen; der Server speichert ausschließlich den Hash. Nicht sensible Darstellungsmerker liegen in lokalen App-Einstellungen. Die in Abschnitt 10 beschriebenen Bewertungszähler und Anfragezeitpunkte liegen dort ebenfalls (Android: review_prompt/progress_v1; iPhone: review_prompt_progress_v1). Zur Vermeidung doppelter Hinweise auf Buchungsanfragen speichern die Apps dort außerdem höchstens 500 nicht umkehrbare SHA-256-Werte zufälliger Anfragekennungen; sie werden weder synchronisiert noch an den Server übermittelt und beim Abmelden gelöscht. Termininhalte werden weder in Protokolldateien noch in Einstellungen oder Systemsicherungen im Klartext geschrieben. Erinnerungen und sichtbare Änderungshinweise entstehen erst nach der Entschlüsselung auf dem Gerät.

Premium-Widgets auf dem Startbildschirm

Für freiwillig eingerichtete Premium-Widgets speichern die Apps zusätzlich eine begrenzte, separat mit AES-GCM verschlüsselte lokale Anzeigekopie. Sie enthält Kalendernamen und -farben, ausgewählte Termine mit Titel und Zeit, Anzeigezeitraum, Zeitzone, Sprache sowie Tarif- und Aktualisierungsmerker, aber keine Beschreibungen, iCal-URLs, Sitzungstoken oder Hauptschlüssel. Android schützt den Anzeigeschlüssel mit dem Keystore; auf dem iPhone teilen App und Widget-Erweiterung einen eigenen, nur auf diesem Gerät verfügbaren Schlüsselbund-Schlüssel und einen von Systemsicherungen ausgeschlossenen App-Group-Speicher. Die Kopie wird beim Abmelden oder bei erkannter ungültiger Sitzung entfernt. Sie ist vom maßgeblichen verschlüsselten Kalenderbestand und der Warteschlange ungesendeter Änderungen getrennt.

Du wählst je Widget zwischen belegten Zeiten und Termintiteln. Belegte Zeiten erscheinen als graue Blöcke ohne Titel, wie in der Verfügbarkeitsanzeige. Sichtbare Inhalte sind außerhalb der biometrischen App-Sperre lesbar und werden vom Betriebssystem beziehungsweise Startbildschirm verwaltet. Standardmäßig werden belegte Zeiten ohne Titel angezeigt.

Widgets zeigen den zuletzt lokal verfügbaren Stand. Änderungen auf anderen Geräten werden nach dem nächsten erfolgreichen Abgleich sichtbar. Das Betriebssystem kann Aktualisierungen verzögern oder verhindern; Offline-Nutzung, Energiesparen und erzwungenes Beenden begrenzen die Aktualität. Die Anzeige nennt den letzten erfolgreichen Abgleich. Widgets ersetzen keine verlässliche Fristenkontrolle.

Bei einem Schlüsselwechsel oder dem Entzug einer Freigabe bewahren die Apps ungesendete Änderungen vor einer Ersetzung zusätzlich als verschlüsseltes lokales Wiederherstellungsarchiv auf. Dazu gehören die ursprünglichen verschlüsselten Blöcke und die zu ihrer Wiederherstellung nötigen Schlüssel. Ein unabhängiger, nur auf diesem Gerät geschützter Schlüssel sichert das Archiv. Lesbare Einträge werden als eigener Wiederherstellungskalender angeboten. Das Archiv wird nicht synchronisiert und bleibt auch nach der Wiederherstellung und Abmeldung bis zum ausdrücklichen Löschen der lokalen App-Daten erhalten. Der Browser bewahrt entsprechende Sicherungen und unlesbare Blöcke in seinem verschlüsselten lokalen Tresor auf.

11. Keine Analyse, keine Werbung, und was auf deinem Gerät gespeichert wird

Der Dienst setzt keine Analyse- oder Werbe-Tracking-Werkzeuge ein und bindet keine externen Schriftarten oder Werbenetzwerke ein. Davon zu unterscheiden ist das in Abschnitt 6 beschriebene technische Zugriffsprotokoll: Es dient allein der Sicherheit und Fehlersuche, wird nach sieben Tagen gelöscht und nicht zu Reichweitenmessung oder Profilbildung ausgewertet. Die Schrift Roboto wird als lokale Datei vom Private-Calendar-Server ausgeliefert; beim Anzeigen einer Seite entsteht deshalb keine Anfrage an Google oder einen anderen Schriftanbieter. Nur im Feedbackformular, im Impressums-Kontaktformular sowie auf den anmeldefreien Seiten zur Kontolöschung, zur Kündigung mit E-Mail-Code und zum Widerruf mit E-Mail-Code wird der oben beschriebene, technisch notwendige Bot-Schutz Cloudflare Turnstile geladen; die direkten gesetzlichen Kündigungs- und Widerrufsfunktionen bleiben drittanbieterfrei. Es werden keine Werbe-Cookies gesetzt. Gesetzt wird ein einziges Cookie: „pc_seen“ mit dem festen Wert „1“ und einer Laufzeit von einem Jahr. Es entsteht, sobald du die Kalender-App öffnest, und hat genau eine Aufgabe: unter der Adresse „/“ wieder die App statt der Startseite auszuliefern. Es enthält keine Kennung, wird nicht ausgewertet und erlaubt keine Wiedererkennung über Websites hinweg; du kannst es jederzeit über die Browsereinstellungen löschen. Für die Anmeldung notwendige Token werden verschlüsselt lokal auf deinem Gerät gespeichert und dienen ausschließlich der Aufrechterhaltung deiner Sitzung. Die Browser-App speichert außerdem eine zufällige Installationskennung im lokalen Speicher und sendet sie nur bei den oben genannten Kontosicherheitsanfragen. Sie dient nicht der Analyse, Werbung oder websiteübergreifenden Wiedererkennung und wird beim Löschen der Browserdaten entfernt.

Die Web-App bietet keine Kalendernutzung ohne Konto an. Ein etwaiger unverschlüsselter Altbestand aus früheren Versionen oder alte Vertrauens-Tokens im unverschlüsselten lokalen Speicher werden beim Laden der neuen Version automatisch und vollständig von deinem Gerät entfernt, damit keine unverschlüsselten Kalender- oder Anmeldedaten auf dem Gerät verbleiben.

Die Sprache (automatisch nach Gerätesprache, Deutsch oder Englisch) ist eine Einstellung pro Konto: Sie gilt für die Oberfläche auf allen angemeldeten Geräten und für Konto-E-Mails. Wir speichern sie als funktionale Kontoeinstellung bis zur Änderung oder Kontolöschung (Art. 6 Abs. 1 lit. b DSGVO); bei „automatisch“ richten sich die E-Mails nach der Gerätesprache, mit der die Einstellung zuletzt gewählt wurde. Zusätzlich liegt sie auf dem jeweiligen Gerät, damit die Oberfläche schon vor der Anmeldung passt: im Browser unter pc_ui_language, auf Android in den App-Einstellungen und auf dem iPhone in UserDefaults. Diese Gerätekopie bleibt bis zum Ändern oder Löschen der Website- beziehungsweise App-Daten erhalten. Die Sprache ist kein Kalenderinhalt. Bei ausdrücklich gewünschten Buchungsbenachrichtigungen speichern wir die beim Absenden gewählte Sprache zusammen mit der Anfrage für deren bestehende Aufbewahrungsdauer. Kalenderinhalte und freie Eingaben werden nicht übersetzt. Übersetzungen der Produkttexte werden vorab erstellt; während der Nutzung werden keine Texte oder Kontodaten an einen Übersetzungsdienst gesendet.

Speicherung auf deinem Gerät (Browser)

Damit der Kalender offline funktioniert und deine Daten dein Gerät nur verschlüsselt verlassen, legt die Browser-App Daten lokal ab. Sie verbleiben auf deinem Gerät; der Server erhält sie dadurch nicht zusätzlich. Du kannst sie jederzeit über die Browsereinstellungen („Websitedaten löschen“) entfernen.

Beim Sprachwechsel auf öffentlichen Seiten werden Zielseite und Scrollposition vorübergehend im Sitzungsspeicher (sessionStorage) abgelegt. Der Eintrag wird beim Laden der Zielseite entfernt und höchstens 60 Sekunden lang berücksichtigt. Er dient nur dazu, die aktuelle Ansicht beim Sprachwechsel beizubehalten, und wird nicht an den Server übertragen.

Datenbank „kalender“ (IndexedDB)

Nach der Anmeldung liegt hier der verschlüsselte Tresor: deine Kalender und Termine einschließlich persönlicher Standard-Erinnerungen je Kalender, der Sitzungs-Token und die mit deinem Passwort verschlüsselte Hülle des Master-Schlüssels. Der rohe Master-Schlüssel wird nicht dauerhaft gespeichert. Die Ablaufzeit der Sitzung wird zusätzlich unverschlüsselt auf diesem Gerät gespeichert, damit eine bereits abgelaufene Sitzung bei bestehender Internetverbindung direkt zur Anmeldung führt. Sie enthält keinen Token oder Schlüssel und bleibt bis zur Aktualisierung oder zum Löschen der Websitedaten gespeichert.

Lokaler Speicher (localStorage)

Die Serveradresse, die zuletzt angemeldete Konto-E-Mail-Adresse als Zuordnungsmerkmal, die gewählte Farbdarstellung, die Einstellung „auf diesem Gerät entsperrt bleiben“ samt gewählter Frist, ein Merker für einen bereits ausgeblendeten Installationshinweis sowie die zufällige Installationskennung. Hinzu kommt gegebenenfalls deine ausdrücklich gewählte Pause oder Abwahl des Empfehlungshinweises (pc_referral_reminder_v1). Sobald der verschlüsselte Tresor eingerichtet ist, werden Kalenderdaten und Tokens nur noch verschlüsselt in der Tresordatenbank geführt.

Sitzungsspeicher (sessionStorage)

Ein Zufallsschlüssel, mit dem sich der Tresor innerhalb derselben Browsersitzung ohne erneute Passworteingabe öffnen lässt. Er wird beim Schließen des Tabs verworfen und gibt den Master-Schlüssel für sich allein nicht preis. Wenn du auf der Preisseite auf den Bestellknopf tippst, kommt für höchstens zehn Minuten ein Merker mit dem gewählten Tarif und dem Zeitpunkt hinzu; er stellt sicher, dass eine Bestellung wirklich von dort ausgeht, und wird beim Öffnen der Bestellung sofort verbraucht. Er enthält keine Kennung deiner Person.

Offline-Zwischenspeicher (Cache Storage)

Der Service Worker legt die App selbst sowie aufgerufene öffentliche Seiten, Schriftarten und Symbole ab, damit die App ohne Netzverbindung startet. Kalenderinhalte liegen dort nicht.

Für schnellere Monatswechsel lädt der Browser zuerst die angezeigte Zeitspanne und danach bei freier Kapazität schrittweise weitere Kalenderdaten bis zu zwölf Monate davor und danach. Die geladenen Daten und der Abrufstand bleiben im bestehenden verschlüsselten Tresor auf diesem Gerät. Bereits geladene ältere Zeiträume werden dadurch nicht automatisch gelöscht. Die Speicherung nach dem Abmelden und das Löschen der Websitedaten sind unten beschrieben.

Die App bittet den Browser außerdem darum, diesen Speicher dauerhaft vorzuhalten, damit er bei Speicherknappheit nicht automatisch verworfen wird und noch nicht synchronisierte Änderungen verloren gehen.

Die für Kalenderbetrieb, Anmeldung und ausdrücklich gewählte Funktionen benötigten Speicherungen sind für den von dir gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG) und bedürfen deshalb keiner Einwilligung. Sie dienen weder der Analyse noch der Werbung noch einer Wiedererkennung über Websites hinweg.

Ein gelegentlicher Hinweis erinnert dich an das Empfehlungsprogramm. Sein Wartezeitgeber läuft nur vorübergehend im Arbeitsspeicher; dafür werden keine Nutzungszähler angelegt und die Bewertungszähler der mobilen Apps nicht verwendet. Wenn du den Hinweis schließt oder „Später“ wählst, wird ausschließlich deine gewünschte 90-tägige Pause lokal gespeichert. „Nicht mehr anzeigen“ speichert deine dauerhafte Abwahl. Diese Merker dienen dazu, deine Entscheidung zu beachten; sie enthalten keine Konto-Kennung oder Kalenderinhalte und werden weder synchronisiert noch an den Server übermittelt. Im Browser liegt die Einstellung unter pc_referral_reminder_v1, auf Android unter review_prompt/referral_reminder_v1 und auf dem iPhone unter referral_reminder_v1.

Empfehlungscodes und Prämienstände werden in den Kontoseiten der Apps nur vorübergehend im Arbeitsspeicher angezeigt; die Codes und Prämienstände werden nicht zusätzlich im Browser- oder App-Speicher abgelegt. Ein Einladungslink enthält den zufälligen Code als URL-Parameter und kann deshalb im Verlauf deines Browsers stehen. Beim ausdrücklich gewählten Kopieren gelangt der Code oder Link in die Zwischenablage deines Geräts.

Bei einer von dir gestarteten vollständigen Schlüsselerneuerung werden neu verschlüsselte Kalenderblöcke zunächst getrennt vorbereitet. Sie ersetzen die aktiven Daten erst zusammen mit dem neuen Schlüsselbund. Der Server erhält dabei keine unverschlüsselten Inhalte oder Schlüssel. Nicht aktivierte Vorbereitungen verfallen nach 48 Stunden und werden beim Serverstart sowie minütlich bereinigt; bei erfolgreicher Aktivierung oder Kontolöschung werden sie sofort entfernt.

Der Browser hält für diesen Vorgang einen zusätzlich verschlüsselten Wiederaufnahmevermerk im lokalen Tresor vor. Er enthält die für die Fortsetzung nötigen Schlüsselstände und den neuen Wiederherstellungsschlüssel. Er bleibt bis zur erfolgreichen lokalen Umstellung, zum Abschluss der Freigabeaktualisierung und deiner Bestätigung der Schlüsselsicherung erhalten, bei einer Unterbrechung auch nach dem Abmelden. Er wird nicht als Kalenderinhalt synchronisiert und durch das Löschen der Websitedaten entfernt.

Ausstehende Zusagen und Zeitänderungen zu Buchungsanfragen werden mit der gewählten Benachrichtigungsoption im verschlüsselten Termin gespeichert, bis der Server die Bearbeitung bestätigt. Der Server speichert zur Vermeidung doppelter Entscheidungen eine technische Vorgangskennung und den Änderungsstand bis zur Löschung der zugehörigen Anfrage. Daraus erhält er keine zusätzlichen Termininhalte.

Auf Android bleibt die verschlüsselte Kalenderdatenbank beim Abmelden einschließlich noch nicht synchronisierter Änderungen auf dem Gerät erhalten. Die Sitzung wird beendet; dieselbe Kontoanmeldung kann die Änderungen später weiter synchronisieren. Die lokalen Daten werden durch das Löschen der App-Daten oder eine ausdrücklich bestätigte lokale Reparatur entfernt.

12. Speicherdauer und Löschung

Mit „Alle anderen abmelden“ beendest du andere vollständige Sitzungen und widerrufst alle vertrauenswürdigen Geräte in derselben Aktion. Deine aktuelle Sitzung bleibt aktiv. Bei der nächsten Anmeldung ist bei aktiviertem 2FA wieder ein Code nötig.

• Empfehlungscodes, Zuordnungen und Prämienguthaben bleiben bis zur Kontolöschung gespeichert, damit die Einlösungsgrenzen während der Kontolaufzeit gelten. Bei Löschung werden deine Kennung und deine technischen Zahlungsvorgänge aus den Empfehlungsdaten entfernt; eine noch bestehende andere Person behält nur ihren eigenen Prämienstand und den identitätslosen Einlösungsnachweis. Nach Löschung beider Konten entfällt auch dieser Nachweis. Bereits bestehende gesetzliche Aufbewahrungsfristen für Rechnungen ändern sich dadurch nicht. Kopierte Codes und Links bleiben bis zum Überschreiben beziehungsweise Löschen der Zwischenablage oder des Browserverlaufs auf deinem Gerät.
• Verschlüsselte Löschmerker einzelner Einträge werden ohne starre Altersgrenze mit dem Kalender aufbewahrt, damit ein lange offline gebliebenes Gerät gelöschte Termine nicht erneut einführt. Sie enthalten technische Kennungen und Löschzeitpunkte, keine Termintitel oder Beschreibungen. Mit dem Kalender beziehungsweise Konto werden sie nach den hier beschriebenen Löschregeln entfernt.
• Kontodaten und Kalenderblöcke werden gespeichert, solange dein Konto besteht.
• Ein von dir gelöschter einzelner Kalender verschwindet sofort aus der aktiven Datenbank. Seine bereits ausgelagerten verschlüsselten Blöcke werden innerhalb von höchstens 30 Tagen entfernt; der dafür nötige technische Löschauftrag entfällt mit ihnen.
• Tagesstände ausgelagerter verschlüsselter Blöcke — neben dem jeweils aktuellen Stand wird je Kalendertag ein verschlüsselter Zwischenstand vorgehalten — werden nach höchstens 30 Tagen ausgesondert.
• Lokal gewählte Pause oder Abwahl des Empfehlungshinweises bleibt auf dem Gerät bis zum Löschen der Browser- beziehungsweise App-Daten gespeichert, auch nach einer Abmeldung. Nach 90 Tagen läuft die Wirkung einer Pause ab; eine dauerhafte Abwahl bleibt bestehen. Es werden keine Konto-Kennungen, Kalenderdaten oder Nutzungszähler dafür gespeichert.
• Sitzungen und vertrauenswürdige Geräte laufen automatisch ab und werden danach entfernt.
• Gehashte Kennungen bekannter Installationen werden spätestens 365 Tage nach der letzten erfolgreichen Verwendung oder unmittelbar bei Kontolöschung entfernt. Die rohe Kennung bleibt nur lokal, bis die App-Daten beziehungsweise Browserdaten gelöscht werden.
• Lokale Android-Schlüsselverpackungen bleiben ausschließlich auf dem Gerät, bis die App-Daten gelöscht oder über die ausdrücklich bestätigte lokale Reparatur zurückgesetzt werden. Dieser lokale Reset löscht keine Daten auf dem Server.
• Lokale Android-Darstellungs- und Einführungsmerker einschließlich des Merkers für den bereits gezeigten Hintergrundarbeits-Hinweis bleiben bis zum Löschen der App-Daten auf dem Gerät.
• Lokale iPhone-Schlüsselbund-Einträge und Darstellungsmerker bleiben auf dem Gerät, bis die App-Daten gelöscht oder über die ausdrücklich bestätigte lokale Reparatur zurückgesetzt werden. Dieser lokale Reset löscht keine Daten auf dem Server.
• Lokale Bewertungszähler und Anfragezeitpunkte der mobilen Apps bleiben zur Vermeidung wiederholter Anfragen auch nach dem Abmelden auf dem jeweiligen Gerät; sie werden beim Löschen oder ausdrücklich bestätigten Zurücksetzen der lokalen App-Daten gelöscht. Sie werden nicht synchronisiert.
• Lokale Hashes bereits gemeldeter Buchungsanfragen bleiben bis zum Abmelden oder Löschen der App-Daten auf dem jeweiligen Android- oder iPhone-Gerät. Sie werden nicht synchronisiert.
• Nicht bestätigte Registrierungen werden automatisch gelöscht, wenn die E-Mail-Adresse nicht innerhalb von sieben Tagen bestätigt wird.
• Bei bestätigter Kontolöschung wird die Löschung zunächst 48 Stunden vorgemerkt. In dieser Zeit bleiben Konto und Daten erhalten; die Vormerkung (Anforderungszeit, geplanter Ausführungszeitpunkt, Quelle, IP-Adresse und User-Agent) liegt in der Serverdatenbank und wird – ohne IP-Adresse und User-Agent – jedem angemeldeten Gerät über den Kontostatus mitgeteilt. Eine stornierte Vormerkung wird sofort entfernt. Wird sie nicht storniert, werden Konto, Sitzungen, Schlüsselcontainer, Freigaben, Buchungslinks und die aktiven verschlüsselten Kalenderblöcke zum geplanten Zeitpunkt gelöscht. Ausgelagerte verschlüsselte Blöcke werden sofort gesperrt und spätestens nach 30 Tagen endgültig entfernt; verschlüsselte Gesamtsicherungen werden ebenfalls nach spätestens 30 Tagen ausgesondert. Zur Steuerung und Kontrolle dieser Löschschritte bleibt ein Datensatz ohne E-Mail-Adresse oder Kalenderinhalte bestehen. Er enthält die interne Konto-Kennung, Zeitpunkte und Wiederholungsstatus; bei einem Premium-Abo vorübergehend außerdem die Stripe-Abo-Kennung und technische Fehlerangaben, bis Stripe die Beendigung bestätigt. Sobald Offsite-Löschung und eine erforderliche Abo-Beendigung abgeschlossen sind, wird dieser Kontroll-Datensatz nach weiteren 30 Tagen gelöscht. Schlägt ein Schritt fehl, bleibt er bis zur erfolgreichen Wiederholung bestehen.
• Anforderungen zur E-Mail-Änderung sind 15 Minuten gültig. Erfolgreiche Bestätigung, Abbruch, fünf Fehlversuche, eine neue Anforderung oder teilweise fehlgeschlagener Codeversand entfernen beziehungsweise ersetzen die Anfrage. Abgelaufene Einträge werden periodisch gelöscht; die Codes bleiben nur als HMAC-Prüfwerte gespeichert. Missbrauchszähler werden nach spätestens 24 Stunden zur Löschung vorgesehen und periodisch bereinigt. Ausstehende Sicherheitsnachrichten und Stripe-Adressabgleiche werden höchstens sieben Tage wiederholt und danach periodisch gelöscht; bei Kontolöschung werden sie sofort entfernt. Es gibt kein allgemeines Verzeichnis früherer Konto-Adressen. Die für bestehende Kalenderfreigaben benötigten ursprünglichen Verpackungsadressen bleiben bis zum Löschen oder erneuten Verpacken der Freigabe erhalten.
• Hashes öffentlicher Kontolöschcodes werden 15 Minuten nach ihrer Erstellung unbrauchbar. Nach erfolgreicher Bestätigung der Vormerkung, fünf falschen Eingaben, einer neuen Code-Anforderung oder fehlgeschlagenem Versand werden sie unmittelbar entfernt beziehungsweise ersetzt; abgelaufene Datensätze entfernt die laufende periodische Bereinigung innerhalb von höchstens weiteren sechs Stunden. Für unbekannte oder nicht bestätigte E-Mail-Adressen wird kein Löschcode-Datensatz angelegt.
• Hashes der Kündigungs- und Widerrufscodes liegen in getrennten Datensätzen und folgen denselben Fristen: 15 Minuten Gültigkeit, sofortige Entfernung nach erfolgreicher Bestätigung, fünf Fehlversuchen oder einer neuen Anforderung.
• Der Nachweis einer bestätigten Kündigung wird unabhängig vom Fortbestand deines Kontos bis zum Ende des dritten Kalenderjahres nach dem Jahr der Erklärung oder des späteren tatsächlichen Vertragsendes aufbewahrt. Danach wird er automatisch gelöscht. Offene Bearbeitungs- oder Bestätigungsvorgänge bleiben bis zu ihrer Erledigung erhalten. Er wird ausschließlich zur Vertragsabwicklung und zum Nachweis der Erklärung verwendet.
• Erklärungen aus den direkten Kündigungs- und Widerrufsfunktionen werden nicht in der Serverdatenbank gespeichert. Sie werden als E-Mail an den Verantwortlichen und als Eingangsbestätigung an die angegebene Bestätigungsadresse übermittelt. Die zugehörige Korrespondenz wird nach abschließender Vertragsbearbeitung entfernt, soweit keine gesetzliche Aufbewahrungs- oder Nachweispflicht entgegensteht.
• Kontakt- und Feedbacknachrichten und zugehörige Korrespondenz einschließlich freiwilliger Anhänge und Mailkopien werden nach abschließender Bearbeitung, spätestens nach 30 Tagen, entfernt, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Der Private-Calendar-Server legt die Nachricht nicht in seiner Datenbank oder einer Dateiablage ab. Bilder und Videos bleiben verschlüsselt bis zu 72 Stunden abrufbar; danach sind die Links ungültig und die Dateien werden minütlich automatisch bereinigt.
• Turnstile-Prüftoken werden vom Private-Calendar-Server nur für die unmittelbare Prüfung verwendet und nicht gespeichert. Für die von Cloudflare verarbeiteten Sicherheitssignale gelten die im verlinkten Turnstile-Datenschutzhinweis beschriebenen Fristen.
• Rechnungen und Buchungsbelege zum Premium-Abo einschließlich der bei uns gespeicherten Rechnungs-Metadaten und der darin enthaltenen internen Konto-Kennung werden auch bei einer Kontolöschung grundsätzlich acht Jahre aufbewahrt und nach Ablauf des achten auf das Belegjahr folgenden Kalenderjahres entfernt. Soweit ein Datensatz im Einzelfall zugleich einer längeren gesetzlichen Frist unterliegt oder für ein noch nicht abgeschlossenes Besteuerungs- oder Rechtsverfahren erforderlich ist, erfolgt die Löschung erst nach Wegfall dieses Grundes. Für andere Buchführungsunterlagen können zehn Jahre, für Handels- und Geschäftsbriefe regelmäßig sechs Jahre gelten. Die Verknüpfung von Konto und Stripe-Kunde, der laufende Abo-Status und der Zustellnachweis der Bestellbestätigung werden bereits bei einer Kontolöschung entfernt und das Abo gekündigt.
• Lokal im Browser gespeicherte Daten bleiben auf deinem Gerät. Beim Abmelden wird die Sitzung beendet und der Schlüssel aus dem Arbeitsspeicher verworfen, der verschlüsselte Tresor bleibt aber absichtlich auf dem Gerät: Deine Kalenderdaten sollen einen Wechsel des Anmeldezustands überstehen und offline verfügbar bleiben. Er ist danach gesperrt und erst nach erneuter Passworteingabe wieder lesbar; die automatische Entsperrung wird beim Abmelden gelöscht. Ohne Tresor wird der gespeicherte Anmeldedatensatz beim Abmelden entfernt. In beiden Fällen bleiben der Offline-Zwischenspeicher, die Zuordnungskennung aus Serveradresse und zuletzt angemeldeter Konto-E-Mail-Adresse, der Merker für den ausgeblendeten Installationshinweis und die Installationskennung erhalten. Alles davon wird gelöscht, wenn du die Websitedaten deines Browsers löschst. Nach einer endgültigen Kontolöschung (nach Ablauf der 48-Stunden-Vormerkung) sind die aktiven Konto- und Kalenderdaten auf dem Server entfernt; lokale Tresordaten auf dem Gerät musst du ggf. selbst entfernen oder durch erneutes Anmelden mit einem anderen Konto ersetzen.
• Der Bestell-Merker im Sitzungsspeicher gilt höchstens zehn Minuten, wird beim Öffnen der Bestellung sofort verbraucht und spätestens mit dem Schließen des Tabs verworfen.
• Das Einstiegs-Cookie „pc_seen“ liegt ausschließlich in deinem Browser und läuft ein Jahr nach dem letzten Besuch ab. Es wird beim Löschen der Browserdaten entfernt; der Server speichert dazu nichts.
• Zugriffsprotokolle des Servers werden nach sieben Tagen gelöscht. Der Server legt je Kalendertag (UTC) eine Datei an und entfernt zu alte Dateien beim Start sowie danach mehrmals täglich. Das technische Fehlerprotokoll des vorgeschalteten Webservers ist in Größe und Anzahl begrenzt und wird laufend überschrieben.
• Zähler zur Missbrauchserkennung liegen nur im Arbeitsspeicher und gehen bei jedem Neustart verloren.
• Buchungslinks werden gespeichert, bis du sie löschst oder sie ablaufen; spätestens sieben Tage nach dem Ablauf werden sie mitsamt den dazugehörigen Terminanfragen entfernt. Eine für Benachrichtigungen angegebene E-Mail-Adresse wird sofort gelöscht, sobald sie abbestellt wird, spätestens mit der Anfrage, zu der sie gehört. Terminanfragen werden nach der Entscheidung noch 90 Tage aufbewahrt und dann gelöscht; offene Anfragen bleiben, solange der Link besteht. Zugehörige Meldungen werden mit der Anfrage entfernt. Eine Quellensperre enthält nur einen nicht umkehrbaren HMAC und läuft nach 180 Tagen ab. Bei einer Kontolöschung werden Links, Anfragen, Meldungen und Sperren unmittelbar entfernt.
• Zustelladressen für Weckrufe werden entfernt, sobald du dich in der App abmeldest, sobald Apple oder Google das Gerät als nicht mehr erreichbar melden, spätestens ein halbes Jahr nach dem letzten Abgleich dieses Geräts und unmittelbar bei einer Kontolöschung.
• Sicherungskopien werden turnusmäßig überschrieben (lokal die letzten 14 Tagesstände).
• Technische Betriebsüberwachung speichert nur letzte Bearbeitungszeitpunkte, den aktiven Warnstatus und einen Hash des technischen Warntexts, solange der Dienst betrieben wird.

Die Löschung des Kontos kannst du jederzeit selbst in den Einstellungen vornehmen. Sie erfordert die Eingabe eines Bestätigungssatzes, deines Passworts und eines zwölfstelligen Codes, den wir an deine Konto-E-Mail senden. Wenn du dich nicht anmelden kannst, steht zusätzlich die öffentliche Seite Konto löschen zur Verfügung: Ein zwölfstelliger, 15 Minuten gültiger Code wird an die hinterlegte Konto-E-Mail gesendet. Nach der Bestätigung wird die Löschung für 48 Stunden vorgemerkt – sie wird in diesem Zeitraum noch nicht ausgeführt. Jedes angemeldete Gerät zeigt einen Hinweis; die Stornierung erfordert eine angemeldete Sitzung und dein Kontopasswort. Ohne Stornierung werden die aktiven Konto- und Kalenderdaten nach Ablauf der Frist unwiderruflich gelöscht. Ausnahmen und nachlaufende Fristen für Sicherungskopien, den technischen Löschkontroll-Datensatz sowie gesetzlich aufzubewahrende Rechnungsdaten stehen unmittelbar oben.

13. Deine Rechte

Dir stehen gegenüber dem Verantwortlichen die folgenden Rechte zu:

• Auskunft über die zu deiner Person verarbeiteten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO): die App bietet zusätzlich einen Export deiner Daten als JSON oder ICS an
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO): siehe den gesonderten Abschnitt 14
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Du hast zudem das Recht, dich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung deiner personenbezogenen Daten zu beschweren (Art. 77 DSGVO). Du kannst dich hierfür an die Aufsichtsbehörde deines gewöhnlichen Aufenthaltsorts, deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes wenden.

14. Widerspruchsrecht

15. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Funktionen des Dienstes oder die Rechtslage ändern. Die jeweils aktuelle Fassung ist unter dieser Adresse abrufbar. Das Datum der letzten Änderung findest du oben unter „Stand“.