Datenschutzerklärung

1. Verantwortlicher

Verantwortlich im Sinne der Datenschutz-Grundverordnung (DSGVO) für habiloop ist: Leuchter.ORG Daniel Leuchter Gorch-Fock-Str. 4 26188 Edewecht Deutschland Telefon: +49 4486 915 7874 E-Mail: [email protected] Web: https://habiloop.com

Wenn du Fragen zum Datenschutz hast, schreib einfach an die oben genannte E-Mail-Adresse.

2. Das Wichtigste vorab

Deine Gewohnheitsdaten (Gewohnheiten, Kategorien, Einträge, Notizen, Streaks, Abzeichen und XP) verarbeite ich ausschließlich, um dir die App bereitzustellen. Ich gebe sie nicht weiter, verkaufe sie nicht und werte sie nicht für Werbung aus. Auch Google Analytics und Google AdSense erhalten keine Gewohnheitsdaten.

3. Hosting, Cloudflare und Server-Logs

habiloop läuft auf Servern der Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen) im Rechenzentrum Falkenstein in Deutschland. Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO). Als Content Delivery Network und zum Schutz vor Angriffen setze ich Cloudflare, Inc. (101 Townsend St, San Francisco, USA) ein; dabei laufen Anfragen über Server von Cloudflare, die auch außerhalb der EU stehen können. Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert.

Beim Aufruf der Seiten verarbeitet der Webserver automatisch Zugriffsdaten (IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Browsertyp). Das dient dem sicheren und stabilen Betrieb und der Abwehr von Missbrauch, etwa durch Begrenzung von Anmeldeversuchen (Art. 6 Abs. 1 lit. f DSGVO). Server-Logs lösche ich nach spätestens 14 Tagen.

4. Konto und Anmeldung per Zauberlink

Für ein Konto brauchst du nur deine E-Mail-Adresse. Wenn du dich anmeldest, bekommst du einen Link und einen 6-stelligen Code. Beides gilt 15 Minuten; gespeichert werden davon nur kryptografische Prüfwerte (Hashes), nicht der Link oder Code selbst. Mit dem ersten erfolgreichen Klick entsteht dein Konto. Freiwillig kannst du einen Vornamen angeben. Außerdem speichere ich Sprache, Zeitzone, Wochenbeginn, XP und das Datum deiner letzten Aktivität.

Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).

5. Sitzungs-Cookie

Nach der Anmeldung setzt habiloop das Cookie „hl_session“. Es enthält eine zufällige Sitzungskennung, ist nur für den habiloop-Server lesbar (HttpOnly) und läuft 30 Tage nach deiner letzten Nutzung ab. Zu jeder Sitzung speichere ich Browserkennung (User-Agent), IP-Adresse und den Zeitpunkt der letzten Nutzung, damit du in den Einstellungen siehst, wo du angemeldet bist, und einzelne Geräte abmelden kannst. Dieses Cookie ist technisch notwendig (§ 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. b DSGVO).

6. Gewohnheitsdaten

Gewohnheiten, Kategorien, tägliche Einträge (auch übersprungene Tage), Notizen, Pausen mit Zeitraum und optionalem Grund (Urlaub, krank, anderes), berechnete Streaks und Schutztage, freigeschaltete Abzeichen, XP und Einstellungen wie den ruhigen Modus speichere ich, solange dein Konto besteht. Sie dienen nur der Anzeige und Auswertung für dich selbst (Art. 6 Abs. 1 lit. b DSGVO). Der Pausengrund ist freiwillig und besteht nur aus diesem Stichwort, Angaben zu einer Erkrankung frage ich nicht ab. Über „Daten exportieren“ in den Einstellungen bekommst du jederzeit eine vollständige Kopie als JSON oder CSV.

7. E-Mail-Versand

Anmelde-Mails (Zauberlink und Code), Bestätigungen und Hinweise versende ich mit dem Absender [email protected] über Brevo (Sendinblue GmbH, Köpenicker Str. 126, 10179 Berlin). Brevo verarbeitet die Daten in der EU; mit Brevo besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO). Jeder Versand wird mit Empfänger, Betreff und Status protokolliert, damit ich Zustellprobleme klären kann (Art. 6 Abs. 1 lit. f DSGVO). Das Protokoll lösche ich nach 90 Tagen.

Schreibst du mir an [email protected], wird deine Mail über Cloudflare Email Routing (Cloudflare, Inc., EU-US Data Privacy Framework) an mein Postfach weitergeleitet. Ich nutze deine Nachricht nur, um dir zu antworten (Art. 6 Abs. 1 lit. b bzw. f DSGVO).

8. Newsletter (Brevo, Double-Opt-in)

Den Newsletter bekommst du nur, wenn du ihn ausdrücklich bestellst (Art. 6 Abs. 1 lit. a DSGVO). Nach der Bestellung bekommst du eine Bestätigungsmail; erst mit dem Klick auf den Link darin bist du angemeldet. Ich protokolliere Zeitpunkt, IP-Adresse, Browserkennung und den Wortlaut deiner Einwilligung, um sie nachweisen zu können.

Für den Versand nutze ich ebenfalls Brevo (Sendinblue GmbH, Berlin). Dorthin übermittle ich nach deiner Bestätigung deine E-Mail-Adresse, deinen Vornamen und die Quelle „habiloop“. Brevo verarbeitet die Daten in der EU als Auftragsverarbeiter. Abmelden kannst du dich jederzeit über den Link in jeder Mail oder den Schalter in den Einstellungen; dann lösche ich dich aus der Liste.

9. Cookies und Einwilligung

Beim ersten Besuch fragt dich das habiloop-eigene Banner, ob du Statistik und personalisierter Werbung zustimmst. Deine Wahl speichere ich 12 Monate im Cookie „hl_consent“ (notwendig, § 25 Abs. 2 Nr. 2 TDDDG). Statistik und personalisierte Werbung lade ich nur mit deiner Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Ändern oder widerrufen kannst du sie jederzeit über „Cookie-Einstellungen“ in der Fußzeile oder in den App-Einstellungen.

Ich nutze den Google Consent Mode v2: Bevor du entscheidest, stehen alle Google-Signale auf „abgelehnt“.

10. Statistik mit Google Analytics 4

Nur wenn du der Kategorie „Statistik“ zustimmst, lade ich Google Analytics 4 (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Google Analytics erfasst anonymisiert, welche Seiten aufgerufen werden und wie die Website genutzt wird; IP-Adressen werden dabei gekürzt. Daten können an Google LLC in den USA übermittelt werden, die unter dem EU-US Data Privacy Framework zertifiziert ist. Die Daten werden nach 14 Monaten gelöscht. Gewohnheitsdaten übermittle ich nicht.

11. Werbung mit Google AdSense

habiloop ist kostenlos und finanziert sich über Anzeigen von Google AdSense (Google Ireland Limited). Anzeigen erscheinen nur auf der Startseite, in der Statistik und bei den Abzeichen, nie beim Abhaken. Das AdSense-Skript lade ich nur, wenn du im Banner der Kategorie „Werbung“ zustimmst.

Stimmst du „Werbung“ zu, darf Google Cookies und ähnliche Technologien für personalisierte Anzeigen einsetzen. Ohne diese Einwilligung lade ich AdSense gar nicht: Es geht dann keine Anfrage an Google, und es werden keine Werbe-Cookies gesetzt. Daten können an Google LLC in den USA übermittelt werden (EU-US Data Privacy Framework). Deine Gewohnheitsdaten erhält Google nie. Mehr dazu unter policies.google.com/technologies/ads.

12. Push-Erinnerungen

Erinnerungen und den Abend-Check schickt habiloop als Web-Push-Benachrichtigung, aber nur, wenn du sie auf einem Gerät per Klick aktivierst und dein Browser die Erlaubnis bestätigt. Dafür speichere ich die vom Browser erzeugte Push-Adresse (Endpoint) mit ihren Schlüsseln, die Browserkennung und deine Erinnerungszeiten (Art. 6 Abs. 1 lit. b DSGVO). Zugestellt werden die Nachrichten über den Push-Dienst des Browserherstellers (z. B. Google, Apple, Mozilla); der Inhalt ist dabei Ende-zu-Ende-verschlüsselt. Du kannst Push jederzeit in den Einstellungen oder im Browser abschalten; ungültige Push-Adressen werden automatisch gelöscht.

13. Inaktive Konten

Ich speichere keine Daten auf Vorrat. Meldest du dich 3 Monate (90 Tage) lang nicht an, bekommst du eine einzige Erinnerungsmail mit einem Anmeldelink. Meldest du dich danach nicht innerhalb von 30 Tagen an, lösche ich dein Konto mit allen Gewohnheitsdaten endgültig, also 4 Monate (120 Tage) nach deiner letzten Aktivität, und entferne dich auch aus der Newsletter-Liste. Darüber bekommst du eine kurze Bestätigungsmail. Jede Anmeldung oder Nutzung der App setzt die Frist zurück. Eine Pause zählt nicht als Aktivität und schützt nicht vor der Löschung, auch wenn sie noch läuft. Rechtsgrundlage ist Art. 5 Abs. 1 lit. c und e DSGVO (Datenminimierung, Speicherbegrenzung).

14. Speicherdauer

Kontodaten und Gewohnheitsdaten lösche ich, sobald du dein Konto löschst oder es wegen Inaktivität gelöscht wird (siehe Punkt 13). Anmelde-Anfragen verfallen nach 15 Minuten und werden spätestens nach 24 Stunden gelöscht. Sitzungen enden 30 Tage nach der letzten Nutzung. Einwilligungsnachweise (AGB, Newsletter) bewahre ich bis zu drei Jahre nach Ende des Kontos auf, um sie belegen zu können (Art. 6 Abs. 1 lit. c und f DSGVO). Server-Logs halte ich 14 Tage, das Mail-Protokoll 90 Tage.

15. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen aufgrund berechtigter Interessen (Art. 21). Erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Export und Kontolöschung kannst du direkt in den Einstellungen erledigen.

Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren. Zuständig ist die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover.

16. Änderungen

Ich passe diese Datenschutzerklärung an, wenn sich Rechtslage, Dienst oder Datenverarbeitung ändern. Es gilt die jeweils hier veröffentlichte Fassung.