1. Verantwortlicher

Verantwortlich für die Website und die App ist Andreas Kelz. Diese Angaben entsprechen den in der App hinterlegten Rechtstexten.

Für den Sitz in Österreich gelten die Informationspflichten der DSGVO sowie die ergänzenden österreichischen Vorgaben für den Online-Auftritt. Die Anbieterkennzeichnung selbst wird ergänzend im Impressum erfüllt.

2. Verarbeitete Daten in App und Produktbetrieb

Stundora verarbeitet je nach Nutzung insbesondere Registrierungsdaten wie Vorname, Nachname, E-Mail-Adresse, optional oder kontextabhängig auch Geburtsdatum sowie Authentifizierungsinformationen und zusätzlich Arbeitszeiteinträge, Einstellungen, lokale Speicherinhalte, Benachrichtigungspräferenzen und Premium-Status.

• Registrierungsdaten wie Vorname, Nachname, E-Mail-Adresse, gegebenenfalls Geburtsdatum und Authentifizierungsinformationen
• Arbeitszeiteinträge, Einstellungen, lokale Speicherinhalte, Benachrichtigungspräferenzen und Premium-Status
• Werbedaten und technische Geräteinformationen, sobald AdMob oder andere Werbedienste produktiv aktiv sind
• Lokale Präferenzen und Zustimmungen wie Sprache, Theme und Benachrichtigungszeiten

3. Supabase, Apple- und Google-Dienste, Werbung und Benachrichtigungen

Nach der aktuellen technischen Konfiguration werden unter anderem Supabase (Authentifizierung, Datenbank, Speicher und Server-Funktionen), Google Sign-In, Sign in with Apple, Google Mobile Ads / AdMob, App Tracking Transparency (iOS), Google Play Billing, Apple In-App-Käufe (StoreKit) sowie iOS- und Android-Benachrichtigungsfunktionen eingesetzt.

• Supabase Authentication für Anmeldung, Kontoführung und Authentifizierungsdaten wie E-Mail-Adresse, interne Nutzerkennung und Login-Vorgänge. Anbieter ist die Supabase Inc.; die für Stundora genutzten Server stehen in der Europäischen Union (Region Frankfurt, Deutschland).
• Supabase-Datenbank (PostgreSQL) und Supabase-Speicher für die Synchronisierung von Arbeitszeiteinträgen, Profilwerten, Einstellungen, Theme-Auswahl, Premium-Status sowie für erstellte PDF-/Datei-Exporte. Speicherort ebenfalls EU (Frankfurt).
• Supabase Edge Functions (Server-Funktionen) für die Kontolöschung und die Prüfung von Premium-Käufen (Google Play und Apple App Store).
• Google Sign-In von Google für die optionale Anmeldung mit einem Google-Konto; verarbeitet werden können E-Mail-Adresse, Anzeigename und Google-Konto-Kennungen.
• Sign in with Apple (nur iOS und macOS) für die optionale Anmeldung mit einer Apple-ID; verarbeitet werden können E-Mail-Adresse (oder eine von Apple bereitgestellte Weiterleitungsadresse), Vor- und Nachname (nur beim allerersten Login) und eine anonymisierte Apple-Nutzerkennung. Apple kann die Email-Adresse auf Wunsch des Nutzers verschleiern (private relay).
• App Tracking Transparency (ATT) ab iOS 14.5: vor dem ersten Werbe-Request fragt iOS um Erlaubnis zur Geräte-Tracking-Identifier-Nutzung. Bei Ablehnung werden Anzeigen nicht-personalisiert ausgespielt.
• Google AdMob für Bannerwerbung in der kostenlosen Version; dabei können Geräteinformationen, Werbe-IDs, ungefähre Nutzungsdaten und Anzeigeninteraktionen verarbeitet werden.
• Google Play Billing für den Kauf und die Verwaltung von Premium-Abonnements auf Android; Google ist dabei Abrechnungsstelle und verarbeitet die Zahlungsdaten.
• Apple In-App-Käufe (StoreKit) für Premium-Abonnements auf iOS und macOS; Apple ist dabei Abrechnungsstelle. Eine serverseitige Receipt-Verifikation über die Apple App Store Server API ordnet Premium-Status dem Stundora-Konto zu. Verarbeitet werden Transaktions-IDs und Kauf-Zeitstempel.

Die zentrale Datenhaltung über Supabase erfolgt auf Servern in der Europäischen Union (Frankfurt). Bei den eingesetzten Google- und Apple-Diensten (Google Sign-In, AdMob, Google Play Billing, Sign in with Apple, Apple App Store / StoreKit, ATT) kann eine Verarbeitung in Drittländern, insbesondere den USA, stattfinden; maßgeblich sind die jeweils aktuellen Datenschutz- und Datenverarbeitungsbedingungen der Anbieter sowie die dort beschriebenen Garantien für Datenübermittlungen.

4. Landingpage, Hosting und Server-Logfiles

Beim Aufruf der Landingpage verarbeitet der eingesetzte Hosting-Anbieter technisch erforderliche Daten, insbesondere IP-Adresse, Zeitstempel, aufgerufene Datei, Browserinformationen und übertragenes Datenvolumen. Diese Verarbeitung erfolgt zur sicheren Auslieferung der Website und zur Missbrauchsabwehr.

Extern gehostete Webfonts wurden entfernt. Falls später Analyse-, Tracking-, Consent- oder Chat-Dienste integriert werden, muss diese Datenschutzerklärung vor Aktivierung ergänzt werden. Der konkrete Hosting-Anbieter und die Logfile-Löschfrist werden mit der final veröffentlichten Website-Fassung ergänzt, sobald das Deployment feststeht.

5. Rechtsgrundlagen und Speicherfristen

Die Verarbeitung erfolgt insbesondere auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO zur Erfüllung des Nutzungsverhältnisses, auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO für Sicherheit, Hosting und Missbrauchsabwehr sowie auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO, soweit eine Einwilligung erforderlich ist, etwa für bestimmte Werbe- oder Benachrichtigungskonstellationen.

Kontodaten werden grundsätzlich bis zur Löschung des Nutzerkontos gespeichert und danach nur so lange, wie technische Restbestände oder rechtliche Nachweiszwecke dies erfordern. Arbeitszeiteinträge, Profileinstellungen und synchronisierte Nutzungsdaten werden bis zur Löschung durch den Nutzer oder bis zur Kontolöschung gespeichert. Lokal auf dem Gerät gespeicherte Daten bleiben bis zur Löschung in der App, zum Zurücksetzen der App oder bis zur Deinstallation gespeichert. Support-Anfragen über supp-stundora@outlook.com werden bis zur abschließenden Bearbeitung und danach für höchstens zwölf Monate gespeichert, sofern keine längere gesetzliche Aufbewahrung erforderlich ist.

6. Kontolöschung innerhalb und außerhalb der App

Wenn ein Stundora-Konto erstellt wurde, kann die Löschung direkt in der App ausgelöst werden. Zusätzlich steht eine öffentliche Web-Seite zur Verfügung, über die sich Nutzer mit denselben Zugangsdaten anmelden und die Löschung ihres Kontos bestätigen können.

Die öffentliche Kontolöschung ist hier erreichbar: Konto löschen

Über die Web-Seite werden das Auth-Konto sowie die in der Supabase-Datenbank synchronisierten Daten entfernt. Lokal bereits auf Geräten gespeicherte Daten können ergänzend direkt in der App oder durch Zurücksetzen der App-Daten entfernt werden.

7. Betroffenenrechte und Aufsichtsbehörden

Betroffene Personen haben insbesondere das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit sowie Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen.

Zudem besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde im Mitgliedstaat des gewöhnlichen Aufenthalts, des Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für den Sitz in Österreich ist regelmäßig die österreichische Datenschutzbehörde relevant.