Bock

Datenschutzerklärung

Stand: Juli 2026

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

„Jörn Dyherrn" Softwareentwicklung
Robert-Blum-Str. 19, 06114 Halle (Saale), Deutschland
E-Mail: bock@dyherrn.dev

Weitere Angaben findest du im Impressum.

2. Grundsätzliches

Bock ist eine App zur Verabredung im Freundeskreis: Du erstellst Aktivitäten, lädst deine Freunde ein, sagst zu oder ab und stimmst dich im Gruppenchat ab. Ich verarbeite nur die Daten, die für diesen Dienst erforderlich sind. Es gibt keine Werbung, kein Tracking, keine Weitergabe von Daten zu Werbezwecken und keinen öffentlichen Feed. Deine Aktivitäten sind ausschließlich für die von dir eingeladenen Freunde sichtbar.

3. Verarbeitung im Einzelnen

a) Registrierung und Nutzerkonto

Bei der Registrierung verarbeite ich deine E-Mail-Adresse, deinen angezeigten Namen, deinen Nutzernamen und dein Passwort. Das Passwort wird niemals im Klartext gespeichert, sondern ausschließlich als kryptografischer Hash (Argon2id). Optional legst du ein Emoji als Profilbild fest.
Zweck: Bereitstellung und Verwaltung deines Kontos.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. vorvertragliche Maßnahmen).

b) Anmeldung und Sitzungs-Cookie

Zur Anmeldung setze ich ein technisch notwendiges Cookie (Name: „session"). Es enthält eine zufällige Kennung, mit der deine angemeldete Sitzung erkannt wird; in der Datenbank wird nur ein Hash dieser Kennung gespeichert. Das Cookie ist HttpOnly, wird nur über verschlüsselte Verbindungen übertragen (Secure) und ist auf 30 Tage befristet. Es dient keinerlei Analyse- oder Werbezwecken.
Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich) sowie Art. 6 Abs. 1 lit. b und f DSGVO.

c) Aktivitäten, Zu- und Absagen, Freundschaften, Gruppenchat

Um den Dienst zu erbringen, verarbeite ich die Inhalte, die du erstellst: Aktivitäten (Emoji, Titel, Zeitpunkt sowie optional Ort, Kosten, Beschreibung, Teilnehmerzahl), deine Zu- und Absagen, deine Freundschaftsbeziehungen und die Nachrichten in den Event-Gruppenchats. Chat-Nachrichten und die Teilnahme sind nur für die zugesagten Teilnehmer bzw. den Ersteller einer Aktivität sichtbar.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

d) E-Mail-Versand

Ich versende transaktionale E-Mails: zur Bestätigung deiner E-Mail-Adresse, zum Zurücksetzen des Passworts und um dich über Einladungen zu Aktivitäten zu informieren. Für den Versand setze ich den E-Mail-Dienstleister Brevo (Sendinblue GmbH, Berlin) als Auftragsverarbeiter nach Art. 28 DSGVO ein; dabei werden deine E-Mail-Adresse und dein Anzeigename an Brevo übermittelt. Ob du Einladungs-E-Mails erhältst, kannst du in deinem Profil jederzeit deaktivieren.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Verifizierung, Passwort-Reset) bzw. Art. 6 Abs. 1 lit. f DSGVO (Einladungsbenachrichtigungen).

e) Push-Benachrichtigungen

Wenn du Push-Benachrichtigungen aktivierst, verarbeite ich die dafür nötigen Zustelldaten. In der Web-App (PWA) sind das die Abo-Daten deines Browsers (Endpoint-Adresse und zwei kryptografische Schlüssel); die Zustellung erfolgt über den Push-Dienst deines Browsers bzw. Betriebssystems (z. B. Apple Push Notification service, Google Firebase Cloud Messaging oder Mozilla). In der nativen App (iOS/Android) speichere ich einen gerätebezogenen Push-Token und übermittle die Benachrichtigungen über den Push-Dienst der Expo Inc. (USA) an den Apple Push Notification service (Apple Inc.) bzw. Firebase Cloud Messaging (Google). Dabei werden Verbindungs- und Zustelldaten an diese Dienste übertragen, die auch in einem Drittland (insbesondere USA) betrieben werden. Der Inhalt der Benachrichtigung ist verschlüsselt. Du kannst die Push-Benachrichtigungen jederzeit in deinem Profil sowie in den System- bzw. Browsereinstellungen deines Geräts widerrufen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung); für die etwaige Drittlandübermittlung Art. 49 Abs. 1 lit. a DSGVO.

f) Server-Logs und Missbrauchsschutz

Beim Aufruf des Dienstes verarbeitet der Server technisch notwendige Verbindungsdaten (u. a. IP-Adresse, Zeitpunkt, angefragte Adresse). Zur Abwehr von Missbrauch (z. B. gegen automatisierte Anmelde- oder Registrierungsversuche) wird die IP-Adresse kurzzeitig und ausschließlich im Arbeitsspeicher ausgewertet; es erfolgt keine dauerhafte Profilbildung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit und Stabilität).

4. Empfänger und Auftragsverarbeiter

Hosting: Der Dienst wird bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, in einem Rechenzentrum in Deutschland betrieben. Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO).

E-Mail-Versand: siehe Ziffer 3 d). Push-Zustellung: siehe Ziffer 3 e).

Standortsuche: Wenn du beim Anlegen einer Aktivität einen Ort eingibst, wird der eingegebene Suchtext zur Adress-Vervollständigung an den Geocoding-Dienst „Photon“ der komoot GmbH (Deutschland) übermittelt, der auf Basis von OpenStreetMap-Daten Vorschläge zurückliefert. Umgekehrt werden die Koordinaten an denselben Dienst übermittelt, wenn du einen Punkt auf der Karte wählst, damit dazu ein Ortsname angezeigt werden kann. Dabei werden der Suchtext bzw. die Koordinaten und technisch bedingt deine IP-Adresse übertragen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer komfortablen Ortsauswahl).

Kartenanzeige:In der Web-Version werden die Kartenkacheln direkt von den Servern der OpenStreetMap Foundation (St John's Innovation Centre, Cambridge, Vereinigtes Königreich) und die Karten-Bibliothek „Leaflet“ vom Content-Delivery-Netzwerk unpkg.com (betrieben von Cloudflare, Inc., USA) geladen; dabei werden technisch bedingt deine IP-Adresse und der angeforderte Kartenausschnitt an diese Anbieter übertragen. In der iOS-App wird stattdessen die systemeigene Kartenkomponente Apple Maps (MapKit) verwendet — die Kartendaten kommen dort von Apple (Apple Distribution International Ltd., Irland). Für die USA besteht ein Angemessenheitsbeschluss der EU-Kommission (EU-US Data Privacy Framework), für das Vereinigte Königreich ebenfalls ein Angemessenheitsbeschluss. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer verständlichen Ortsdarstellung). Die Karte wird erst geladen, wenn du sie öffnest.

Eigener Standort: Tippst du in der App auf „Mein Standort“, fragt die App einmalig den Gerätestandort ab, um die Karte darauf zu zentrieren — nur auf diese Aktion hin, nie im Hintergrund. Zur Anzeige eines passenden Ortsnamens werden die Koordinaten dabei an Photon übermittelt (siehe oben). An mich übertragen und gespeichert wird der Standort erst, wenn du ihn als Ort einer Aktivität übernimmst; dann ist er Teil dieser Aktivität wie jede andere Ortsangabe. Die Freigabe kannst du jederzeit in den Geräteeinstellungen widerrufen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, erteilt über den Systemdialog).

Eine darüber hinausgehende Weitergabe deiner Daten an Dritte findet nicht statt.

5. Speicherdauer

Konto- und Inhaltsdaten werden gespeichert, solange dein Konto besteht. Anmelde-Sitzungen enden spätestens nach 30 Tagen oder mit der Abmeldung. E-Mail-Bestätigungs-Links sind 48 Stunden, Passwort-Reset-Links 2 Stunden gültig. Nach Löschung deines Kontos werden die zugehörigen personenbezogenen Daten gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Von dir erstellte Chat-Nachrichten können bei anderen Teilnehmern sichtbar bleiben, sofern sie nicht ebenfalls gelöscht werden.

6. Deine Rechte

Du hast nach der DSGVO das Recht auf:

  • Auskunft über die zu dir gespeicherten Daten (Art. 15)
  • Berichtigung unrichtiger Daten (Art. 16)
  • Löschung (Art. 17)
  • Einschränkung der Verarbeitung (Art. 18)
  • Datenübertragbarkeit (Art. 20)
  • Widerspruch gegen Verarbeitungen auf Basis berechtigter Interessen (Art. 21)
  • Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3)

Zur Ausübung genügt eine formlose Nachricht an bock@dyherrn.dev.

7. Beschwerderecht bei der Aufsichtsbehörde

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig ist:

Landesbeauftragter für den Datenschutz Sachsen-Anhalt
Leiterstraße 9, 39104 Magdeburg
datenschutz.sachsen-anhalt.de

8. Datensicherheit

Die Verbindung zum Dienst ist durchgängig per TLS verschlüsselt. Passwörter werden ausschließlich als Argon2id-Hash gespeichert. Der Zugriff auf Aktivitäten und Chats ist serverseitig auf die berechtigten Teilnehmer beschränkt.

9. Keine automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO statt.

10. Änderungen dieser Datenschutzerklärung

Ich passe diese Datenschutzerklärung an, wenn sich die Verarbeitung ändert (etwa bei Aktivierung des E-Mail-Versands über einen konkreten Anbieter). Es gilt jeweils die hier veröffentlichte, aktuelle Fassung.