Datenschutzerklärung

1. Verantwortlicher

Für Datenschutzanfragen nutze bitte den Betreff „Datenschutzanfrage“. Ein Datenschutzbeauftragter ist derzeit nicht bestellt.

2. Besuch dieser Webseite

Bereitstellung und Server-Protokolle

Beim Aufruf der Webseite übermittelt dein Browser technisch erforderliche Daten. Dazu können IP-Adresse, Datum und Uhrzeit, aufgerufene Datei, übertragene Datenmenge, Statuscode, Browsertyp, Betriebssystem und zuvor besuchte Seite gehören. Die Verarbeitung ist nötig, um die Seite auszuliefern, Angriffe zu erkennen und den stabilen Betrieb sicherzustellen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt im sicheren und fehlerfreien Betrieb des Angebots. Zugriffsprotokolle werden rotierend geführt und grundsätzlich spätestens nach 14 Tagen gelöscht, sofern sie nicht zur Aufklärung eines konkreten Sicherheitsvorfalls länger benötigt werden.

Kontakt per E-Mail oder Telefon

Wenn du uns kontaktierst, verarbeiten wir deine Kontaktdaten sowie den Inhalt der Anfrage zur Bearbeitung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei vorvertraglichen oder vertraglichen Anliegen und sonst Art. 6 Abs. 1 lit. f DSGVO. Anfragen werden gelöscht, sobald sie erledigt sind und keine gesetzlichen Aufbewahrungs- oder Nachweispflichten entgegenstehen.

3. Cookies und Browser-Speicher

Für Anmeldung, Kontoschutz, CSRF-Schutz und die sichere Zuordnung von Anfragen verwendet Taymetic Web eine technisch notwendige PHP-Sitzung. Das Sitzungs-Cookie enthält eine zufällige Sitzungskennung, ist für JavaScript nicht auslesbar (HttpOnly), nutzt SameSite=Lax und wird bei HTTPS mit Secure übertragen. Es endet grundsätzlich mit der Browsersitzung beziehungsweise nach Ablauf der serverseitigen Sitzung.

Zusätzlich speichert Taymetic Web einzelne Einstellungen direkt in deinem Browser: die gewählte Akzentfarbe, die Information, dass du den Cookie-/Datenschutzhinweis bereits gesehen hast, sowie – sobald du verschlüsselte Chats im Browser einrichtest – eine zufällige Browser-Gerätekennung und kryptografisches Schlüsselmaterial in IndexedDB. Diese Daten dienen ausschließlich der von dir angeforderten Darstellung, Bedienung und Ende-zu-Ende-Verschlüsselung. Sie werden nicht für Werbung oder Reichweitenmessung verwendet.

Die technisch erforderliche Speicherung und der Zugriff auf diese Informationen stützen sich, soweit § 25 TDDDG anwendbar ist, auf § 25 Abs. 2 Nr. 2 TDDDG. Die anschließende Verarbeitung personenbezogener Daten erfolgt je nach Zweck zur Vertragserfüllung nach Art. 6 Abs. 1 lit. b DSGVO oder zur Absicherung des Dienstes nach Art. 6 Abs. 1 lit. f DSGVO.

Der Hinweis beim ersten Seitenaufruf ist daher kein Einwilligungsbanner für Tracking, sondern informiert über die technisch notwendigen Speicherungen. Browser-Daten kannst du über die Einstellungen deines Browsers löschen. Beachte: Wenn du den lokalen E2EE-Schlüssel löschst, können ältere Nachrichten, die ausschließlich für dieses Browsergerät verschlüsselt wurden, unter Umständen nicht mehr entschlüsselt werden.

4. Datenverarbeitung in Taymetic

Welche Daten entstehen, hängt davon ab, welche Funktionen du nutzt und ob du Taymetic im Web, unter iOS oder künftig unter Android verwendest. Pflichtangaben sind in der jeweiligen Oberfläche erkennbar. Ohne die für eine Funktion erforderlichen Daten kann diese Funktion nicht angeboten werden. Taymetic ist für Personen ab 16 Jahren vorgesehen.

Ende-zu-Ende-Verschlüsselung

Neue Nachrichtentexte werden vor dem Senden mit AES-256-GCM verschlüsselt. Die zugehörigen Inhaltsschlüssel werden gerätebezogen über X25519 und HKDF geschützt. In der iOS-App liegt der private Geräteschlüssel im iOS-Schlüsselbund; in Taymetic Web wird das private Browser-Schlüsselmaterial lokal in IndexedDB gespeichert. Für die geplante Android-App ist eine Speicherung im geschützten Android-Schlüsselspeicher vorgesehen. Der Server erhält die für die Zustellung notwendigen öffentlichen Geräteschlüssel, aber nicht den privaten Geräteschlüssel. Neue Chat-Bilder werden im Browser vor dem Upload verschlüsselt; die Web-App optimiert ausgewählte Bilder zuvor auf eine für Chats geeignete Größe.

Die Ende-zu-Ende-Verschlüsselung schützt nicht die für Betrieb und Zustellung erforderlichen Metadaten, etwa beteiligte Konten, Zeitpunkte, Nachrichtentypen, Dateigrößen und Anrufdauer. Bereits vor der Registrierung eines neuen Browsergeräts versandte E2EE-Nachrichten werden nicht automatisch erneut für dieses Gerät verschlüsselt. Taymetic verfügt derzeit nicht über Safety Numbers oder Key Transparency zur unabhängigen kryptografischen Überprüfung der vom Server verteilten öffentlichen Geräteschlüssel. Bei einer ausdrücklichen Meldung kann der von dir ausgewählte Inhalt zur Moderation an Taymetic übermittelt werden.

Standortberechtigung

Der Standort wird nur nach deiner ausdrücklichen Systemfreigabe und bei Nutzung der Ortsfunktion abgefragt. Du kannst die Berechtigung jederzeit in den Datenschutz- beziehungsweise App-Einstellungen von iOS oder künftig Android ändern. Wenn du einen Ortsbeitrag veröffentlichst, werden der zugeordnete Ort und die Beitragskoordinaten auf dem Taymetic-Server gespeichert und anderen Nutzern in der vorgesehenen Ortsansicht gezeigt. Eine dauerhafte Standortverfolgung im Hintergrund findet nicht statt.

Moderation und Empfehlungen

Ortsbeiträge, Profilbilder, Beschreibungen und Anzeigenamen können vor oder nach Veröffentlichung geprüft werden. Technische Filter und Sortierregeln können Inhalte priorisieren oder zur Prüfung markieren. Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung werden nicht ausschließlich automatisiert getroffen. Gegen Moderationsentscheidungen kannst du dich an info@taymetic.de wenden.

5. Apple-Dienste

„Mit Apple anmelden“

Wenn du diese Anmeldung wählst, übermittelt Apple an Taymetic eine eindeutige Apple-Konto-Kennung, ein signiertes Anmeldetoken und – abhängig von deiner Auswahl und grundsätzlich nur bei der ersten Anmeldung – Name und E-Mail-Adresse beziehungsweise eine private Weiterleitungsadresse. Taymetic erhält nicht dein Apple-Passwort.

App Store und Abonnements

Käufe und Zahlungen werden von Apple über den App Store abgewickelt. Taymetic erhält keine vollständigen Zahlungs- oder Kreditkartendaten. Zur Freischaltung und Missbrauchsprävention werden signierte Transaktionsinformationen verarbeitet, insbesondere Produktkennung, Transaktionskennung, Kauf- und Ablaufdatum sowie Status des Abonnements.

Push-Mitteilungen und Apple-Systemdienste

Push-Mitteilungen werden über den Apple Push Notification Service (APNs) zugestellt. Für Standortberechtigung und die Zuordnung von Koordinaten zu Orten können iOS-Systemdienste von Apple eingesetzt werden. Dabei gelten zusätzlich Apples Datenschutzbestimmungen. Informationen findest du unter apple.com/legal/privacy.

Apple kann Daten auch außerhalb des Europäischen Wirtschaftsraums, insbesondere in den USA, verarbeiten. Nach Apples aktueller Datenschutzrichtlinie werden personenbezogene Daten von Personen im EWR grundsätzlich von Apple Distribution International Limited in Irland kontrolliert; internationale Übermittlungen von im EWR erhobenen personenbezogenen Daten regelt Apple nach eigenen Angaben über Standardvertragsklauseln. Apple ist für seine eigene Verarbeitung verantwortlich; Einzelheiten und Möglichkeiten zur Kontaktaufnahme findest du in Apples Datenschutzinformationen.

6. Geplante Android-App und Google-Dienste

Wenn die Android-App dieselben Taymetic-Funktionen nutzt, werden die in Abschnitt 4 beschriebenen Konto-, Profil-, Inhalts-, Kommunikations-, Moderations-, Standort- und Sicherheitsdaten über dieselbe Taymetic-Serverumgebung verarbeitet. Geräteberechtigungen wie Standort, Fotos, Kamera, Mikrofon und Mitteilungen werden nur für die jeweils ausgewählte Funktion und nach der erforderlichen Android-Systemfreigabe genutzt.

Für die Verteilung kann Google Play eingesetzt werden. Falls Push-Mitteilungen über Firebase Cloud Messaging oder Käufe über Google Play Billing angeboten werden, können insbesondere App-/Gerätekennungen, Push-Token und technische Benachrichtigungsdaten beziehungsweise signierte Transaktionsinformationen an Google übermittelt werden. Taymetic erhält dabei keine vollständigen Zahlungsdaten. Solche Übermittlungen erfolgen erst, wenn die betreffende Funktion tatsächlich eingebaut und von dir genutzt wird.

Für eine künftige Veröffentlichung werden die Datenschutzerklärung und die Angaben im Bereich „Datensicherheit“ von Google Play aufeinander abgestimmt. Informationen zur eigenen Verarbeitung durch Google findest du unter policies.google.com/privacy.

7. Hosting, Auftragsverarbeiter und Empfänger

Die Webseite taymetic.com, Taymetic Web, die Taymetic-API, Datenbank, Profil- und Beitragsdaten, Mediendateien, Chat-Chiffretexte und Metadaten, Anruf-Infrastruktur, technische Protokolle und Sicherungen werden nach aktueller Konfiguration auf einem von Taymetic verwalteten VPS in einem deutschen Rechenzentrum von OVHcloud betrieben.

OVHcloud verarbeitet die auf dem VPS gespeicherten Daten und technisch notwendige Betriebsdaten als Auftragsverarbeiter nach Art. 28 DSGVO auf Weisung von Taymetic. Der Serverstandort ist Deutschland. LiveKit, PostgreSQL und Redis werden innerhalb dieser Taymetic-Serverumgebung betrieben und nicht als gesonderte fremde Cloud-Dienste genutzt. Administratorzugriffe sind auf erforderliche Personen und Zwecke beschränkt.

Empfänger außerhalb dieser Hostingumgebung sind Apple, soweit du Apple-Anmeldung, APNs, App Store, Apple-Abonnements oder Apple-Systemdienste nutzt, sowie künftig Google nur bei tatsächlich eingeführten Android-/Google-Funktionen. Behörden und sonstige Stellen erhalten Daten nur bei einer wirksamen gesetzlichen Verpflichtung. Weitere Empfänger kommen nur hinzu, wenn dies zur Vertragserfüllung erforderlich, gesetzlich vorgeschrieben oder von dir erlaubt ist.

Startanimation in Taymetic Web: Damit die Web-App dieselbe Rive-Startanimation wie die iOS-App anzeigen kann, wird beim Seitenstart die Rive-Webbibliothek derzeit über das Content-Delivery-Netzwerk jsDelivr (Volentio JSD Limited) geladen. Dabei können technisch notwendige Abrufdaten wie IP-Adresse, Browserinformationen, abgerufene URL sowie Datum und Uhrzeit an jsDelivr beziehungsweise dessen CDN-Unterauftragnehmer übermittelt werden. Die eigentliche loading_thing.riv-Animationsdatei wird direkt von der Taymetic-Webseite ausgeliefert.

Anrufe: Sprachanrufe werden derzeit in der nativen Taymetic-App angeboten. Taymetic Web bietet aktuell keine Sprachanruf-Funktion und lädt dafür keine LiveKit-Webbibliothek und keinen E2EE-Anruf-Worker. Die Anruf-Infrastruktur (LiveKit-Server/SFU) wird innerhalb der selbst betriebenen Taymetic-Serverumgebung betrieben.

Personenbezogene Daten werden nicht verkauft und nicht zu fremden Werbezwecken weitergegeben.

8. Speicherdauer und Löschung

• Kontodaten: bis zur Kontolöschung; danach nur, soweit gesetzliche Aufbewahrungs-, Missbrauchsabwehr- oder Rechtsverteidigungsgründe bestehen.
• Nachrichten: bis zur Löschung durch eine verfügbare Lösch- oder Aufbewahrungsfunktion, zur Kontolöschung oder solange sie zur Bereitstellung des Chats benötigt werden. Für Chats kann eine Aufbewahrung zwischen 1 und 365 Tagen technisch festgelegt werden. Bei neuen E2EE-Chats liegt der Nachrichteninhalt serverseitig verschlüsselt vor; notwendige Metadaten bleiben davon unberührt.
• Chat-Bilder und Audios: entsprechend der zugehörigen Nachricht. Neue Chat-Medien werden vor dem Upload clientseitig verschlüsselt. Nicht zugeordnete Uploads werden regelmäßig, grundsätzlich nach 24 Stunden, entfernt.
• Ortsbeiträge: bis zur Löschung durch dich oder Moderation. Nichtoffizielle ältere Beiträge können bei Speichergrenzen nach Alter, Relevanz und Beliebtheit entfernt werden. Offizielle Organisations- und Admin-Informationsbeiträge können länger bestehen.
• Standort: aktueller Gerätestandort wird nicht als Bewegungsprofil gespeichert. Koordinaten veröffentlichter Beiträge bleiben Teil des Beitrags, bis dieser gelöscht wird.
• Meldungen und Moderation: solange dies für Community-Sicherheit, Nachweis, Rechtsverteidigung und Wiederholungstäter-Erkennung erforderlich ist; regelmäßig bis zu drei Jahre, bei Rechtsstreitigkeiten länger.
• Transaktionsnachweise: solange das Abo aktiv ist und anschließend im Rahmen von Nachweis-, Betrugsabwehr- und gesetzlichen Pflichten.
• Sicherheitsprotokolle: grundsätzlich bis zu 14 Tage, bei konkreten Sicherheitsvorfällen bis zu deren Abschluss.
• Backups: Sicherungen werden nach einem begrenzten Rotationsplan gelöscht, sobald sie für Wiederherstellung und Rechtsnachweise nicht mehr benötigt werden. Eine Löschung aus laufenden Systemen wirkt daher zeitversetzt auch in Sicherungen.
• Browser-Speicher: Sitzungsdaten gelten nur für die jeweilige Sitzung. Akzenteinstellungen, Hinweisstatus, Browser-Gerätekennung und lokales E2EE-Schlüsselmaterial verbleiben im Browser, bis du sie über Browserfunktionen löschst beziehungsweise zurücksetzt. Eine serverseitige Kontolöschung kann lokale Browserdaten nicht selbst aus deinem Endgerät entfernen.

Du kannst die Löschung deines Kontos jederzeit per E-Mail an info@taymetic.de beantragen. Zum Schutz vor fremden Löschanträgen kann eine Identitätsbestätigung erforderlich sein.

9. Deine Datenschutzrechte

Dir stehen – soweit die gesetzlichen Voraussetzungen erfüllt sind – insbesondere folgende Rechte zu:

• Auskunft nach Art. 15 DSGVO,
• Berichtigung nach Art. 16 DSGVO,
• Löschung nach Art. 17 DSGVO,
• Einschränkung der Verarbeitung nach Art. 18 DSGVO,
• Datenübertragbarkeit nach Art. 20 DSGVO,
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. e oder f DSGVO nach Art. 21 DSGVO,
• Widerruf einer Einwilligung mit Wirkung für die Zukunft nach Art. 7 Abs. 3 DSGVO.

Zur Ausübung genügt eine Nachricht an info@taymetic.de. Du hast außerdem das Recht auf Beschwerde bei einer Datenschutzaufsichtsbehörde, insbesondere:

10. Sicherheit und Änderungen

Taymetic setzt technische und organisatorische Schutzmaßnahmen ein, darunter verschlüsselte HTTPS-Verbindungen, Argon2-gehashte Passwörter, kurzlebige Zugriffstoken, Zugriffsbeschränkungen, signierte Medienlinks, Rollen- und Moderationsrechte, Ratenbegrenzungen und regelmäßige Sicherungen. Neue Chats, Chat-Medien und Sprachanrufe verwenden auf unterstützten Clients zusätzlich die oben beschriebene Ende-zu-Ende-Verschlüsselung. Taymetic Web schützt Sitzungen außerdem mit HTTP-only Cookies, CSRF-Prüfungen und restriktiven Browser-Sicherheitsrichtlinien. Kein Onlinedienst und kein Verschlüsselungsverfahren kann absolute Sicherheit garantieren.

Daten werden nach dem Grundsatz der Datenminimierung nur für die beschriebenen Zwecke verarbeitet. Berechtigungen werden funktionsbezogen angefordert. Sicherheitsrelevante Ereignisse werden geprüft; bei einer meldepflichtigen Verletzung des Schutzes personenbezogener Daten erfolgen die gesetzlich erforderlichen Meldungen an Aufsichtsbehörden und gegebenenfalls betroffene Personen.

Diese Erklärung wird angepasst, wenn Funktionen, Empfänger oder Rechtslage sich ändern. Wesentliche Änderungen werden in der App oder auf dieser Seite bekannt gemacht. Der oben genannte Stand zeigt die aktuelle Fassung.