Stand: 4. Oktober 2026
Hanno Welsch, Mörikestraße 19, 66459 Kirkel, Deutschland, Telefon +49 6849 224464, E-Mail ds@ihanwel.net.
Alle Einträge (Titel, Beschreibung, Bild, Termin, Erinnerung, Erstellt-von/-am) werden auf diesem Gerät gespeichert. Die App liest keine Kontakte, keinen Standort und keine Fotobibliothek; ein Bild wird nur übernommen, wenn du es selbst auswählst.
Für die Anmeldung und die gemeinsame Liste speichert der Server ihanwel.net (Betreiber: siehe Verantwortlicher, Hosting in einem deutschen Rechenzentrum) folgende Daten: E-Mail-Adresse, Anzeigename, je Gerät eine zufällige Kennung, Gerätename, den öffentlichen Verschlüsselungsschlüssel und den Zeitpunkt der letzten Nutzung sowie die Mitgliedschaften (wer nutzt wessen Liste mit). Wer per Einladungscode beitritt, hat kein E-Mail-Konto; der Server speichert dann nur den eingegebenen Namen und eine zufällige Kennung. Rechtsgrundlage ist die Erfüllung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO).
Zur Bestätigung der E-Mail-Adresse und für Einladungen versendet der Server E-Mails an die angegebenen Adressen. Der Bestätigungscode wird nur als Hash und höchstens 15 Minuten gespeichert.
Damit alle Geräte und eingeladenen Personen dieselbe Liste sehen, liegen die Einträge und Bilder auf dem Server – ausschließlich verschlüsselt. Jede Liste hat einen zufälligen Listenschlüssel, der nur auf den Geräten der Mitglieder existiert; der Server speichert ihn nur für jedes Gerät einzeln eingepackt (ECDH P-256). Inhalt (Titel, Beschreibung, Termin, Erinnerung, Erstellt-von) und Bild werden mit AES-256-CBC und HMAC-SHA256 verschlüsselt. Der Server kann sie nicht lesen; er sieht nur, welches Konto einen Eintrag wann angelegt oder geändert hat und ob ein Bild vorhanden ist. Mitglieder der Liste sehen deine E-Mail-Adresse und deinen Anzeigenamen als Ersteller. Damit die Liste nach einer Neuinstallation des Besitzer-Geräts nicht verloren geht, liegt der Listenschlüssel zusätzlich mit einem nur dem Server bekannten Schlüssel verschlüsselt auf dem Server und wird ausschließlich an ein per E-Mail-Code bestätigtes Gerät des Besitzers herausgegeben. Der Betreiber könnte damit technisch auf Einträge zugreifen, tut dies aber nicht.
Der Webserver protokolliert Zugriffe technisch (IP-Adresse, Zeitpunkt, aufgerufener Pfad) für höchstens 14 Tage zur Fehlersuche und Absicherung (Art. 6 Abs. 1 lit. f DSGVO). Inhalte von Einträgen werden nicht protokolliert.
Erinnerungen werden lokal auf dem Gerät geplant (keine Push-Dienste Dritter). Dafür fragt das Gerät einmalig nach der Erlaubnis für Mitteilungen.
Gelöschte Einträge und Bilder werden sofort vom Server entfernt. Im Setup kannst du das Konto auf dem Server löschen; dabei werden E-Mail-Adresse, Name, Geräte, Einladungen und deine Liste mit allen Einträgen entfernt. Einträge auf dem Gerät verschwinden mit der Abmeldung oder Deinstallation.
Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) sowie das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Anfragen bitte an ds@ihanwel.net.