Datenschutzerklärung

Stand: 16. September 2026

1. Verantwortlicher

2. Überblick

Zettelkram ist ein Notiz-System für iPhone, Mac, Apple Watch und Web. Die Inhalte deiner Notizen (Text, Fotos, Skizzen, Anhänge, Sprachnotizen, GPS-Daten) werden Ende-zu-Ende auf deinem Gerät verschlüsselt, bevor sie an unseren Backend-Dienstleister übertragen werden. Wir und unsere Auftragsverarbeiter können diese Inhalte nicht lesen.

3. Zwecke der Verarbeitung und Rechtsgrundlage

3.1 Konto und Authentifizierung

Bei der Registrierung verarbeiten wir deine E-Mail-Adresse, um dir einen Magic-Link bzw. OTP-Code zu senden und dich anschließend einzuloggen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

3.2 Synchronisation deiner Notizen

Deine verschlüsselten Notizen, Anhänge und Workspace-Zuordnungen werden in unserer Backend-Datenbank gespeichert, um sie zwischen deinen Geräten zu synchronisieren und mit Personen in einem geteilten Workspace zu teilen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

3.3 Server-Logs (Hosting)

Beim Aufruf der Website erfasst unser Hosting-Anbieter automatisch technische Daten (IP-Adresse, Zeitpunkt, aufgerufene URL, User-Agent, Referer) zur Auslieferung der Inhalte und zur Sicherheit. Diese Logs werden nicht mit deinem Konto verknüpft und nach kurzer Zeit gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am stabilen Betrieb).

3.4 Karten, Geokodierung, Wetter

Wenn du die Karten-Funktion, Adress-Suche oder Wetter-Anzeige nutzt, sendet dein Browser/dein Gerät Anfragen direkt an die jeweiligen Dritt-Dienste (siehe Abschnitt 5). Wir selbst erhalten dabei keine zusätzlichen Daten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Funktionalität).

3.5 Live-Standort-Sharing

Wenn du aktiv einen Live-Standort-Link teilst, übermittelt dein Gerät Positionsdaten an unseren Backend-Dienstleister. Die Daten sind mit einem Schlüssel verschlüsselt, der ausschließlich im URL-Fragment des Share-Links steht — unser Backend kann den Standort nicht entschlüsseln. Der Link läuft nach der von dir gewählten Dauer ab und wird dann gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch aktive Auslösung).

3.6 Kinderzeit (Bildschirmzeit auf einem Kind-iPhone)

Wird Kinderzeit auf einem iPhone eingerichtet, nutzt die App Apples Schnittstelle für Bildschirmzeit (Family Controls). Welche Apps auf dem Gerät ausgewählt oder genutzt werden, bleibt vollständig bei Apple: Zettelkram erhält nur versiegelte Kennungen, die es weder lesen noch übertragen kann. Über den Server laufen ausschließlich Minutenstände und Befehle wie „+30“ oder „Stopp“ — Ende-zu-Ende verschlüsselt mit dem Schlüssel des Zettels, den Sie selbst mit dem Kind-Gerät geteilt haben. Wir können diese Daten nicht lesen. Es werden keine Nutzungsprofile erstellt, kein Standort und keine Inhalte des Geräts erfasst.

Hat ein Kind mehrere Geräte (etwa iPhone und iPad), legt jedes Gerät zusätzlich eine ebenfalls Ende-zu-Ende verschlüsselte Zeile an diesem Zettel ab, damit sich die Geräte ein gemeinsames Tagesbudget teilen können. Sie enthält einen Gerätenamen („iPhone“), das Datum und die verbrauchten Minuten je Zeittopf — nie, welche Apps benutzt wurden. Lesen können diese Zeilen nur die Beteiligten des Zettels.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch aktives Einrichten auf dem Gerät; die Bildschirmzeit-Erlaubnis wird zusätzlich von Apple abgefragt).

4. Speicherdauer

• Konto-Daten und Notizen: bis du dein Konto löschst.
• Server-Logs: in der Regel max. 30 Tage.
• Live-Standort-Datensätze: bis zum Ablauf des Links, danach automatische Löschung.

5. Empfänger / Auftragsverarbeiter

Wir setzen folgende Dienstleister ein. Mit allen Auftragsverarbeitern bestehen entsprechende Verträge bzw. werden die jeweils standardmäßigen Vertragsklauseln (Standard Contractual Clauses) genutzt.

5.1 Supabase Inc. — Datenhaltung in Irland (EU)

Backend (Authentifizierung, Datenbank, Speicher, Realtime). Die Daten werden in einem Rechenzentrum in Irland (EU) gehostet. Inhalte werden vor der Übertragung Ende-zu-Ende auf deinem Gerät verschlüsselt.

5.2 Netlify, Inc. (USA)

Web-Hosting und CDN für zettelkram.app. Verarbeitet IP-Adresse und Request-Daten zur Auslieferung der Website.

5.3 OpenStreetMap Foundation (Vereinigtes Königreich)

Karten-Kacheln (Tiles) für die Standard-Karten-Ansicht. Dein Browser ruft die Tiles direkt von OSM-Servern ab. Datenschutzerklärung: osmfoundation.org/Privacy_Policy.

5.4 Nominatim / Overpass (OpenStreetMap-Projekte)

Adress-Suche (Geocoding) und Datenabfragen aus OSM. Dein Gerät sendet die Suchanfrage direkt an die Server.

5.5 Esri Inc. (USA)

Satelliten-Karten-Kacheln (optionaler Karten/Satellit-Umschalter). Tiles werden direkt vom Esri-CDN geladen. Datenschutzerklärung: esri.com/privacy.

5.6 Open-Meteo (Schweiz/EU)

Wetter-Daten für Spots und Tour-Wetter. Dein Gerät sendet Standort-Koordinaten direkt an die API, ohne Konto-Zuordnung. Datenschutzerklärung: open-meteo.com/terms.

5.7 Apple Inc. (USA)

Bei Nutzung der iPhone-, Mac- oder Watch-App über TestFlight oder den App Store fallen bei Apple eigene Datenverarbeitungen an (Installation, Updates, ggf. Push-Benachrichtigungen). Datenschutzerklärung: apple.com/legal/privacy.

6. Cookies und lokaler Speicher

Wir setzen keine Tracking-Cookies. Die App nutzt ausschließlich technisch notwendige lokale Speicher (LocalStorage, IndexedDB, Cookies) für:

• Login-Sitzung (Supabase-Session)
• Verschlüsselungs-Schlüssel deiner Notizen (gerätelokal, nicht extrahierbar)
• Einstellungen wie Sprache, Layout, Karten-Optionen, Offline-Karten-Cache
• Service-Worker-Cache zur Offline-Fähigkeit

Diese Daten verbleiben auf deinem Gerät. Du kannst sie jederzeit über die Browser-Einstellungen löschen — beachte aber den E2EE-Hinweis oben.

7. Verschlüsselte Übertragung

Die Verbindung zu zettelkram.app ist mit TLS (HTTPS) verschlüsselt. Notiz-Inhalte werden zusätzlich Ende-zu-Ende auf deinem Gerät verschlüsselt, bevor sie übertragen werden.

8. Deine Rechte

Nach der DSGVO stehen dir folgende Rechte zu:

• Auskunft über die zu deiner Person gespeicherten Daten (Art. 15)
• Berichtigung unrichtiger Daten (Art. 16)
• Löschung („Recht auf Vergessenwerden", Art. 17)
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit (Art. 20)
• Widerspruch gegen die Verarbeitung (Art. 21)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3)

Zur Ausübung deiner Rechte genügt eine E-Mail an kontakt@zettelkram.app.

9. Beschwerderecht

Du kannst dich jederzeit bei einer Datenschutz-Aufsichtsbehörde beschweren. Zuständig für unseren Sitz ist:

10. Änderungen dieser Datenschutzerklärung

Wir passen diese Erklärung an, sobald sich Verarbeitungen oder Dienstleister ändern. Die jeweils aktuelle Version findest du unter zettelkram.app/datenschutz.