Datenschutzerklärung

Kurz gesagt: Epilou speichert deine Bibliothek auf deinem Gerät. Es gibt keine Werbung, kein Tracking und keine Analyse-Tools. Wer die Synchronisierung nutzt, lädt seine Daten nur Ende-zu-Ende-verschlüsselt auf unseren Server – dort kann sie niemand lesen, auch wir nicht. Du brauchst weder E-Mail-Adresse noch Name noch Passwort.

1. Verantwortlicher

Niklas Ruzycki
c/o Online-Impressum 11446
Europaring 90
53757 Sankt Augustin
Deutschland
E-Mail: [email protected]

Ein Datenschutzbeauftragter ist nicht bestellt, da hierzu keine gesetzliche Pflicht besteht.

2. Daten auf deinem Gerät

Deine Titel, dein Fortschritt, Bewertungen, Notizen, Listen, Favoriten, eigene Cover und Einstellungen werden lokal auf deinem Gerät gespeichert. Sie verlassen das Gerät nur, wenn du die Synchronisierung einrichtest (Abschnitt 4) oder selbst ein Backup exportierst. Löschst du die App, werden diese Daten vom Gerät entfernt.

Schlüssel und Anmeldedaten der Synchronisierung liegen im geschützten Schlüsselspeicher deines Betriebssystems.

3. Suche nach Serien und Filmen (TMDB)

Für die Suche nutzt Epilou die Datenbank von The Movie Database (TMDB). Standardmäßig läuft die Suche über unseren Server: Die App sendet den Suchbegriff, die gewünschte Sprache und bei Detailabrufen die TMDB-Kennung des Titels an unseren Server, der die Anfrage an TMDB weiterleitet. TMDB erhält dabei nur die Anfrage unseres Servers, nicht deine IP-Adresse. Die Antworten von TMDB werden ohne Bezug zu dir bis zu 24 Stunden im Arbeitsspeicher des Servers zwischengespeichert.

Damit nur die App den Server nutzt, erhält jede Installation beim ersten Start ein zufällig erzeugtes, pseudonymes Zugangstoken. Es enthält keine Angaben zu deiner Person oder deinem Gerät.

Cover-Bilder von TMDB lädt die App direkt von den Servern von TMDB (image.tmdb.org). Dabei wird deine IP-Adresse technisch bedingt an TMDB übermittelt. Hinterlegst du in den Einstellungen einen eigenen TMDB-API-Schlüssel, gehen auch Suchanfragen direkt von deinem Gerät an TMDB.

Anbieter: TMDB, Inc., USA. TMDB verarbeitet die Daten nach eigener Verantwortung; es gilt die Datenschutzerklärung von TMDB. Dabei kann eine Übermittlung in die USA stattfinden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der von dir genutzten Suchfunktion).

4. Synchronisierung (optional)

Die Synchronisierung ist freiwillig. Richtest du sie ein, erzeugt die App auf deinem Gerät einen zufälligen Sync-Schlüssel, der zugleich dein 12-Wörter-Wiederherstellungsschlüssel ist. Er verlässt dein Gerät nie im Klartext.

Was der Server speichert

• Deine Bibliotheksdaten – Titel, Fortschritt, Bewertungen, Notizen, Listen, Favoriten und eigene Cover – ausschließlich Ende-zu-Ende-verschlüsselt (XChaCha20-Poly1305). Wir können diese Inhalte nicht entschlüsseln.
• Technische Metadaten, die für den Abgleich nötig sind: zufällige Kennungen (UUIDs) der Datensätze, Art des Datensatzes, Änderungszeitpunkt und Größe.
• Eine zufällige Konto-Kennung und einen Hashwert eines aus deinem Schlüssel abgeleiteten Anmeldeschlüssels (keinen Schlüssel im Klartext).
• Je verbundenem Gerät eine Sitzung mit Gerätebezeichnung (z. B. „Epilou · android“), Erstellungs- und letztem Nutzungszeitpunkt sowie einem Hashwert des Anmelde-Tokens.

Zum Verbinden eines weiteren Geräts scannst du einen QR-Code. Dafür speichert der Server höchstens fünf Minuten lang im Arbeitsspeicher eine Kopplungskennung und deinen – mit einem Einmalschlüssel aus dem QR-Code verschlüsselten – Sync-Schlüssel.

Speicherdauer und Löschung

• So löschst du deine Daten vom Server: In der App unter Einstellungen → Synchronisierung aktiv → „Synchronisierung löschen“. Damit werden dein Konto, alle verbundenen Geräte und alle synchronisierten Daten sofort vom Server entfernt. Die Daten auf deinen Geräten bleiben erhalten. Hast du kein Gerät mehr, richte die App neu ein, gib unter „Synchronisierung einrichten“ deinen Wiederherstellungsschlüssel ein und lösche die Synchronisierung dann wie beschrieben.
• Sitzungen eines Geräts enden automatisch nach 90 Tagen ohne Nutzung.
• Zur Absicherung gegen Datenverlust erstellen wir täglich Sicherungen des Servers, die nach 14 Tagen überschrieben werden. Gelöschte Daten können bis dahin noch in diesen Sicherungen enthalten sein – ebenfalls nur verschlüsselt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der von dir gewünschten Synchronisierung).

5. Server, Hosting und Protokolle

Unser Server wird bei Henrik Kramer e. K. (Prepaid-Hoster), Kurpromenade 48, 23743 Grömitz, betrieben; das Rechenzentrum steht in Offenbach am Main (Deutschland). Mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Beim Aufruf des Servers wird deine IP-Adresse technisch bedingt verarbeitet, um die Verbindung herzustellen. Unser Server speichert keine IP-Adressen und keine Suchbegriffe. Er protokolliert nur Fehler sowie das Anlegen und Löschen von Konten mit der jeweiligen pseudonymen Kennung, um den Betrieb zu sichern (Art. 6 Abs. 1 lit. f DSGVO).

Alle Verbindungen zwischen App und Server sind per HTTPS verschlüsselt.

6. Kamera und Fotos

• Kamera: Nur zum Scannen des QR-Codes beim Verbinden von Geräten und nur nach deiner Erlaubnis. Das Kamerabild wird ausschließlich auf dem Gerät ausgewertet und weder gespeichert noch übertragen.
• Fotos: Wählst du für einen eigenen Eintrag ein Cover aus, wird nur dieses eine Bild in die App übernommen. Es wird lokal gespeichert und nur bei aktiver Synchronisierung verschlüsselt übertragen.

7. Backups

Exportierst du ein Backup, erstellt die App eine Datei an einem Ort deiner Wahl. Diese Datei ist nicht verschlüsselt; wohin du sie speicherst oder weitergibst, entscheidest du selbst.

8. Was Epilou nicht tut

• Keine Werbung und keine Werbe-IDs
• Kein Tracking, keine Analyse- oder Absturzberichts-Dienste
• Keine Weitergabe oder Verkauf von Daten an Dritte
• Kein Zugriff auf Kontakte, Standort oder Mikrofon

9. Externe Links

Links in der App (z. B. zu unserer Webseite oder zu TMDB) öffnen sich in deinem Browser. Für die dort verarbeiteten Daten ist der jeweilige Anbieter verantwortlich.

10. Google Play

Wenn du Epilou über Google Play installierst, verarbeitet Google dabei Daten in eigener Verantwortung. Es gilt die Datenschutzerklärung von Google.

11. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21). Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren.

Da wir weder Namen noch E-Mail-Adressen erheben, können wir synchronisierte Daten keiner Person zuordnen. Die meisten Rechte kannst du deshalb direkt in der App ausüben: Deine Daten siehst und exportierst du jederzeit selbst, und über „Synchronisierung löschen“ entfernst du alles vom Server. Bei Fragen schreib uns an die oben genannte Adresse.

12. Kinder

Epilou richtet sich nicht gezielt an Kinder unter 13 Jahren.

13. Änderungen

Ändern sich Funktionen der App, passen wir diese Erklärung an. Es gilt die jeweils hier veröffentlichte Fassung.