Datenschutzerklärung

Verantwortlicher

Websiteaufruf und Betriebssicherheit

Beim Aufruf werden Verbindungsdaten wie IP-Adresse, Zeitpunkt, angeforderte Adresse und Browserinformationen zum Server übertragen. Sie dienen der Auslieferung und Absicherung des Angebots. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren und störungsarmen Betrieb. Für die Begrenzung missbräuchlicher Anmeldeversuche verarbeitet die Anwendung außerdem E-Mail-Adressen und IP-Adressen in einem zeitlich begrenzten Anfragelimit.

Das Hosting der Anwendung, der PostgreSQL-Datenbank und der Sicherungskopien erfolgt auf eigener Serverinfrastruktur von Dashserv im Rechenzentrum Düsseldorf. Anbieter lautDashserv-Impressum: Felix Gassan (Realtox Media), Talweg 4s, 21149 Hamburg, Deutschland. Zugriff und Sicherheitsprotokolle sowie Sicherungskopien werden jeweils 30 Tage aufbewahrt. Server- und Datenbankbetrieb erfolgen in Deutschland. Mit Dashserv besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

Konto, Einladungen und Anmeldung

Wir verarbeiten deine E-Mail-Adresse, einen gegebenenfalls hinterlegten Anzeigenamen, die Rolle Dom oder Sub, die Zuordnung zwischen Dom und Sub, Kontostatus, Zeitzone, Einstellungen und die Zeitpunkte der Bestätigungen und Einwilligungen. Doms registrieren sich; Subs treten auf Einladung bei. Bei einer Einladung erhalten wir die E-Mail-Adresse und vorgesehene Rolle von der einladenden Person. Das eingeladene Konto ist für den Dom schon vor der Einrichtung sichtbar.

Für die Anmeldung senden wir einen einmaligen Link per E-Mail. Der Anmeldetoken wird gehasht gespeichert und ist 20 Minuten gültig. Sitzungen enthalten Sitzungskennung, Ablaufzeit und gegebenenfalls IP-Adresse und Browserkennung. Konto und angeforderte Einladung verarbeiten wir zur Vertragserfüllung nach Art. 6 Abs. 1 lit. b DSGVO, die Missbrauchsabwehr auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Lade nur Personen ein, die eine Einladung erwarten.

Ein Passkey ist freiwillig. Gespeichert werden der öffentliche Schlüssel, die Kennung und technische Angaben zum Authentifikator. Der private Schlüssel sowie zur lokalen Freigabe verwendete Fingerabdruck- oder Gesichtsdaten werden nicht an cutehoney übermittelt. Ohne Passkey kannst du den Anmeldelink verwenden. E-Mail-Adresse und Anmeldeinformationen sind für die Kontonutzung erforderlich; Passkey und Anzeigename nicht.

Private Aufgaben und ausdrückliche Einwilligung

Aufgabentexte, Vorlagen, Benachrichtigungshinweise, Dom/Sub-Zuordnungen und Aktivitäten können Informationen über Sexualleben, sexuelle Orientierung oder Gesundheit erkennen lassen. Diese Informationen zählen zu den besonderen Kategorien personenbezogener Daten in Art. 9 Abs. 1 DSGVO. Wir verarbeiten sie zur Bereitstellung des angeforderten Dienstes (Art. 6 Abs. 1 lit. b DSGVO) und nur mit deiner gesonderten ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO.

Die Einwilligung betrifft Angaben in deinen Anweisungen, Aufgaben, Vorlagen und Aktivitäten sowie die Informationen, die aus deiner Teilnahme an einem Dom/Sub-Bereich hervorgehen können. Wir verarbeiten sie, um Aufgaben zu erstellen, mit verbundenen Teilnehmenden zu teilen, ihren Status zu speichern und dir die vereinbarten Teilnahmefunktionen anzubieten. Empfänger sind die jeweils verbundenen Konten und die in dieser Erklärung genannten technischen Dienstleister.

Die gesonderte Einwilligung wird aktiv, freiwillig und getrennt von der Annahme der Nutzungsbedingungen abgegeben. Ohne sie kannst du die privaten Dom/Sub-Funktionen nicht nutzen. Du kannst sie jederzeit über die Teilnahmeeinstellungen oder den Datenschutzkontakt mit Wirkung für die Zukunft widerrufen. Beim Widerruf werden deine Teilnahme beendet, Aufgaben und Vorlagen entfernt, Benachrichtigungen gelöscht und deine bisherigen Dom/Sub-Verknüpfungen beendet. Datenschutzinformationen und die Kontolöschung erreichst du auch ohne erneute Einwilligung. Die Rechtmäßigkeit der Verarbeitung vor dem Widerruf bleibt unberührt.

Gib keine sensiblen Angaben über unbeteiligte Dritte ein. Die Nutzungsbedingungen und die Teilnahme anderer Personen ersetzen nicht deren eigene Einwilligung.

Was der verbundene Dom sehen kann

Dein verbundener Dom kann deine zugewiesenen Aufgaben, ihren Status, geplante und tatsächliche Zeitpunkte sowie das erste Öffnen, eine Bereitschaftsbestätigung und den Abschluss sehen. Er erhält begrenzte Angaben zu Benachrichtigungsversuchen und kann daraus Reaktionszeiten einsehen. Andere unabhängige Doms erhalten über die regulären Funktionen keinen Zugriff auf euren Bereich.

Die Zeitmessung einer Benachrichtigungsreaktion beginnt, wenn ein Pushdienst die Nachricht annimmt. Dies belegt weder die Anzeige auf dem Gerät noch das Lesen der Nachricht. Ein direkter Besuch wird nicht als Benachrichtigungsreaktion ausgewertet. Aktivitäten und Bestätigungen beweisen kein fortbestehendes Einvernehmen und keine Verpflichtung, eine Aufgabe auszuführen. Es findet keine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung nach Art. 22 DSGVO statt.

Freiwillige Pushbenachrichtigungen

Nach deiner Aktivierung und Browserfreigabe speichern wir die Pushadresse deines Browsers, die für die Zustellung nötigen Schlüssel und die Zuordnung zu deinem Konto. Der vom Browser und Betriebssystem gewählte Pushdienst, beispielsweise Apple, Google oder Mozilla, erhält die für die Zustellung erforderlichen technischen Daten. Die Nachricht enthält einen kurzen Hinweis und die Auftragskennung; der vollständige Anweisungstext bleibt auf der angemeldeten Aufgabenseite.

Ein Hinweis kann auf dem Sperrbildschirm erscheinen. Verwende keine sensiblen Angaben im Benachrichtigungstext. Im diskreten Modus verwenden wir einen allgemeinen Hinweis. Zustellversuche, Annahme durch den Pushdienst und ein Klick auf eine Nachricht werden erfasst.

Rechtsgrundlage für freiwillige Benachrichtigungen ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und, soweit erforderlich, § 25 Abs. 1 TDDDG. Du kannst Benachrichtigungen jederzeit in cutehoney und in deinem Browser widerrufen. Du kannst Aufgaben auch ohne Push direkt auf der Website lesen.

Cookies und Browserspeicher

Die Anwendung bindet keine Werbe- oder externen Analysewerkzeuge ein. Die Schrift Manrope wird vom eigenen Server geladen.

• Anmeldung: Better Auth setzt Cookies zur Sitzungszuordnung und Absicherung. Das Sitzungscookie hat regulär eine Laufzeit von sieben Tagen und kann bei Nutzung erneuert werden. Kurzlebige Cookies unterstützen die Passkeyprüfung.
• Sprache: Das Cookie velvet-locale speichert die gewählte Sprache bis zu einem Jahr.
• Listenansicht: Der Sitzungsspeicher merkt sich Scrollposition und fokussierten Eintrag in Verwaltungslisten bis zum Ende der jeweiligen Browsersitzung.
• Webanwendung: Ein Service Worker unterstützt Push und das Öffnen einer Aufgabe. Private Aufgabenseiten werden nicht für eine Offlinenutzung gespeichert.

Soweit der Zugriff auf dein Endgerät für eine ausdrücklich gewünschte Funktion unbedingt erforderlich ist, gilt § 25 Abs. 2 Nr. 2 TDDDG. Die weitere Verarbeitung richtet sich je nach Zweck nach Art. 6 Abs. 1 lit. a, b oder f DSGVO. Nicht erforderliche Zugriffe setzen deine vorherige Einwilligung voraus. Das Löschen von Browserdaten kann Anmeldung und Einstellungen entfernen.

Dienstleister und Datenübermittlungen

Mit Dienstleistern, die personenbezogene Daten in unserem Auftrag verarbeiten, bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO. Wir betreiben die PostgreSQL-Datenbank und Inngest zur Aufgabenplanung selbst auf dem Dashserv-Server in Düsseldorf; Inngest ist kein zusätzlicher Cloud-Auftragsverarbeiter.

• Serverbetrieb: Dashserv, Felix Gassan (Realtox Media), Talweg 4s, 21149 Hamburg. Server und Datenbank stehen in Düsseldorf, Deutschland.
• E-Mailversand: Resend, Plus Five Five, Inc., USA, erhält die E-Mail-Adresse sowie den Inhalt deiner Anmelde- oder Einladungsnachricht. Vollständige Aufgabenanweisungen werden nicht als Anmeldemail versendet. Für den Dienst besteht ein Auftragsverarbeitungsvertrag; internationale Übermittlungen erfolgen auf Grundlage der vertraglich vereinbarten Standardvertragsklauseln. Weitere Informationen: Datenschutzhinweise von Resend und Auftragsverarbeitungsbedingungen von Resend.
• Pushzustellung: Der von deinem Browser und Betriebssystem gewählte Pushdienst erhält die technischen Daten, die für die Zustellung erforderlich sind.

Speicherdauer, Teilnahmeende und Löschung

Server- und Sicherheitsprotokolle sowie Sicherungskopien werden nach 30 Tagen gelöscht. Aktivitätsereignisse werden nach 90 Tagen durch einen täglichen Bereinigungslauf gelöscht. Diese Frist betrifft nur die Ereignistabelle und nicht weitere Auftragsdaten.

Aufgabentexte und Vorlagen werden grundsätzlich bis zu ihrer Löschung oder dem Ende der Einwilligung gespeichert. Beim Widerruf der Einwilligung werden geplante und laufende Aufgaben sowie die Aufgabenhistorie, Vorlagen der betroffenen Person, zugehörige Zustellversuche, Aktivitätsereignisse und Pushabonnements aus dem aktiven Datenbestand gelöscht. Eine Sicherungskopie kann bis zu 30 Tage bestehen bleiben. Doms mit verbundenen Subs verlieren beim Widerruf ihren Zugang zum Workspace; die Verknüpfungen werden aufgehoben. Eingeladene, noch nicht aktive Subs werden aus dieser Einladung entfernt.

Bei einer Kontolöschung werden zusätzlich das Profil, Passkeys, Sitzungen und empfangene Aufgaben gelöscht. Rechtlich erforderliche Nachweise können im erforderlichen Umfang und für die gesetzlich vorgeschriebene Dauer aufbewahrt werden. Anmeldelinks laufen nach 20 Minuten ab.

Du kannst die Teilnahme beenden und dein Konto löschen, ohne zuvor erneut den Nutzungsbedingungen oder einer neuen Einwilligung zuzustimmen. Für Doms mit verknüpften Subs ist die Beendigung der Einwilligung ebenfalls jederzeit möglich.

Deine Datenschutzrechte

Unter den gesetzlichen Voraussetzungen hast du Rechte auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3).

Gegen eine Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO kannst du aus Gründen deiner besonderen Situation nach Art. 21 DSGVO Widerspruch einlegen. Anträge und Datenschutzfragen kannst du an postmaster@nordiqo.de senden. Wir beantworten sie grundsätzlich innerhalb eines Monats. Eine gesetzlich zulässige Verlängerung teilen wir mit Begründung mit.

Du kannst dich außerdem bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere an deinem gewöhnlichen Aufenthaltsort, Arbeitsplatz oder am Ort des vermuteten Verstoßes. Für den Sitz des Anbieters zuständig ist der Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover, poststelle@lfd.niedersachsen.de.

Kontakt und Änderungen

Wenn du uns kontaktierst, verarbeiten wir deine Kontaktdaten und den Inhalt deiner Nachricht zur Bearbeitung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anfragen, andernfalls Art. 6 Abs. 1 lit. f DSGVO und bei gesetzlichen Aufbewahrungspflichten Art. 6 Abs. 1 lit. c DSGVO.

Diese Erklärung wird bei Änderungen der Funktionen oder der Datenverarbeitung aktualisiert. Rechtsgrundlagen sind die DSGVO und § 25 TDDDG.