Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Plattform ist:
jc-development, Heisterbacher Straße 20, 53639 Königswinter, E-Mail jcdevelopment001@gmail.com (siehe auch Impressum).

2. Grundsätzliches

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung der Anwendung erforderlich ist oder ihr eingewilligt habt. „Personenbezogene Daten" sind alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen. Rechtsgrundlagen sind insbesondere Art. 6 Abs. 1 lit. b DSGVO (Vertrag/Nutzung der App), lit. f (berechtigtes Interesse an einem sicheren, funktionierenden Dienst) sowie lit. a (Einwilligung).

3. Welche Daten wir verarbeiten

Konto & Anmeldung

Die Anmeldung erfolgt über Google Sign-In. Dabei erhalten wir von Google Name, E-Mail-Adresse und ggf. das Profilbild sowie eine Nutzerkennung, um euer Konto zu identifizieren.

Feier- und Planungsdaten

Von euch eingegebene Inhalte zur Planung: Namen des Paares, Datum, Ort/Region, Budgetposten, Dienstleister, Tagesablauf, Sitzplan und Website-Inhalte.

Gästedaten

Zu euren Gästen verarbeitet ihr Namen, Kategorien, Tischzuordnung, RSVP-Status und optional Diät-/Ernährungsangaben. Ernährungs- oder Gesundheitshinweise können besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sein — diese verarbeitet ihr freiwillig und nur, soweit für die Planung nötig; Rechtsgrundlage ist eure bzw. die Einwilligung der betroffenen Gäste (Art. 9 Abs. 2 lit. a DSGVO). Siehe auch Abschnitt 8.

RSVP & Hochzeitswebsite

Antworten eurer Gäste über den persönlichen RSVP-Link — auf der Antwortseite oder direkt auf eurer Hochzeitswebsite — sowie öffentlich freigegebene Website-Inhalte werden gespeichert und — soweit von euch veröffentlicht — öffentlich abrufbar gemacht (Seiten /rsvp/… und /w/…). Antworten gehen nur an das Paar; die Website selbst zeigt keine Gästedaten. Nennt ihr auf der Website Ansprechpartner mit Telefonnummer oder E-Mail, sind diese Angaben für alle mit dem Link sichtbar — tragt sie nur mit Einverständnis der jeweiligen Person ein.

Schützt ihr eure Website mit einem Passwort, verschlüsselt euer Browser die Inhalte (inklusive Foto-Links) vor dem Speichern (AES-256-GCM, Schlüssel per PBKDF2 aus dem Passwort). Öffentlich abrufbar ist dann nur das verschlüsselte Dokument; entschlüsselt wird ausschließlich im Browser eurer Gäste. Das Passwort selbst speichern wir in euren Feier-Einstellungen, die nur ihr als Paar lesen könnt — damit ihr es einseht und jede Änderung neu verschlüsselt wird. Ein Passwortschutz ist so stark wie das Passwort: Wer es kennt, kann es weitergeben, und kurze Passwörter lassen sich erraten. Die Adresse der Seite und ob sie geschützt ist, bleiben sichtbar.

Technische Daten

Beim Aufruf fallen serverseitig technische Verbindungsdaten an (z. B. IP-Adresse, Zeitpunkt, angeforderte Ressource), die zur Auslieferung und Sicherheit erforderlich sind (Art. 6 Abs. 1 lit. f DSGVO). Diese technischen Betriebsdaten sind von der optionalen Besuchsstatistik getrennt. Wir nutzen keine Werbetracker. Die Besuchsstatistik startet ausschließlich nach eurer Einwilligung (siehe Abschnitt 5b).

4. Zwecke

• Bereitstellung und Betrieb der Planungs-App (Konto, Speicherung, Echtzeit-Sync).
• Öffentliche RSVP-, Website- und Pinnwand-Funktion, soweit von euch aktiviert.
• Optionale Funktionen: KI-Assistent, Dienstleister-Umkreissuche (siehe Abschnitt 5).
• Sicherheit, Missbrauchs- und Fehlervermeidung.
• Mit eurer Einwilligung: Besuchsstatistik zur Verbesserung der App (Abschnitt 5b).

5. Empfänger & Auftragsverarbeiter

Zur Erbringung des Dienstes setzen wir sorgfältig ausgewählte Dienstleister ein, mit denen — soweit erforderlich — Verträge zur Auftragsverarbeitung (Art. 28 DSGVO) bestehen:

• Google (Firebase / Google Cloud) — Hosting, Anmeldung, Datenbank und Dateispeicher. Der Server-Teil läuft in der EU-Region (europe-west1, Belgien); die Firestore-Datenbank einschließlich der Besuchsstatistik liegt in europe-west3 (Frankfurt). Anbieter: Google Ireland Limited bzw. Google LLC.
• Google (Gemini API) — nur wenn ihr den KI-Scan nutzt (siehe Abschnitt 5a). Übermittelt wird ausschließlich das Bild, das ihr dafür selbst aufnehmt oder auswählt (siehe Abschnitt 6).
• Google Places (Maps Platform) — nur bei der Umkreissuche nach Dienstleistern. Übermittelt werden Suchbegriff und Ort (z. B. PLZ), nicht eure Gästedaten.

5a. KI-Scan (Foto auswerten)

In mehreren Modulen könnt ihr ein Foto auswerten lassen — etwa eine handgeschriebene Gästeliste, einen Zeitplan, eine Tischskizze oder ein Angebot. Das Bild wird dafür an Google (Gemini API) übermittelt und dort in strukturierte Vorschläge umgewandelt, die ihr anschließend selbst bestätigt.

• Nur auf eure Auslösung. Der Scan startet ausschließlich, wenn ihr ein Bild aufnehmt oder auswählt und „Erkennen" antippt. Vor der ersten Nutzung holen wir eure ausdrückliche Einwilligung ein (Art. 6 Abs. 1 lit. a DSGVO); ihr könnt sie jederzeit widerrufen, indem ihr die Funktion nicht mehr nutzt.
• Nur das Bild. Übermittelt wird das eine Bild und die Art des gesuchten Eintrags — keine weiteren Daten eurer Feier: keine Namen, keine Gästeliste, kein Budget, keine Dienstleister.
• Keine Speicherung bei uns. Das Bild wird nur für diese eine Auswertung verwendet, nicht in unserer Datenbank abgelegt und nicht protokolliert. Gespeichert wird ausschließlich ein Tageszähler (scanUsage: Datum und Anzahl) als Missbrauchs- und Kostenschutz. Google verarbeitet die Inhalte im Rahmen der kostenpflichtigen Gemini API auftragsgemäß und nutzt sie nicht zum Training seiner Modelle.
• Eure Verantwortung. Ladet keine Bilder hoch, die personenbezogene Daten Dritter enthalten, für die euch die Zustimmung der Betroffenen fehlt.

5b. Optionale Besuchsstatistik

Mit eurer freiwilligen Zustimmung messen wir, wie häufig die Startseite und die Bereiche der Planungs-App genutzt werden und ob derselbe Browser an mehreren Tagen wiederkommt. Verantwortlich ist jc-development (Abschnitt 1). Die Rechtsgrundlagen sind Art. 6 Abs. 1 lit. a DSGVO sowie für das Speichern und Auslesen der Browserkennung § 25 Abs. 1 TDDDG. Ablehnen hat keine Nachteile für die Nutzung der App.

• Erst nach Zustimmung: Vor „Statistik erlauben“ werden keine Statistik-Anfragen gesendet und keine Besucherkennung angelegt.
• Was erfasst wird: eine zufällige Browserkennung, Einwilligungszeitpunkt und Fassung des Einwilligungstextes, Zeitpunkt des letzten gemessenen Aufrufs sowie Tageszähler pro Seitenkategorie (z. B. „Budget“). Kurzzeitig gespeicherte zufällige Anfragekennungen verhindern Doppelzählungen. Besuchstage richten sich nach der Zeitzone Europe/Berlin.
• Keine Kontozuordnung: Wir erfassen in dieser Statistik weder Namen, E-Mail-Adressen, Kontokennungen noch IP-Adressen, Gerätemerkmale oder Formularinhalte. Vollständige URLs, Suchparameter, Herkunftsseiten, Feier-IDs, RSVP-Token und Website-Adressen werden nicht übertragen. Öffentliche RSVP- und Hochzeitsseiten werden nicht gemessen. Es gibt kein Fingerprinting und keine Verbindung zu Werbeprofilen.
• Pseudonyme Daten: Die Kennung erkennt einen Browser wieder, nicht sicher eine Person. In der Datenbank liegt nur ihr kryptografischer Hash. Die Kennung ist dennoch ein personenbezogenes Pseudonym; wir bezeichnen die Messung nicht als anonym.
• Empfänger und Zugriff: Verarbeitung in unserer bestehenden Google-Cloud-/Firebase-Infrastruktur (Abschnitt 5). Auf die Auswertung können nur ausdrücklich freigeschaltete Betreiberkonten zugreifen. Google Analytics und externe Analyse-Skripte werden nicht eingesetzt.
• Frist: Auswahl und Browserkennung gelten 90 Tage ab Zustimmung. Danach wird eine neue Einwilligung benötigt. Auch die serverseitigen Messdaten werden ab diesem Zeitpunkt nicht mehr ausgewertet. Die automatische Datenbanklöschung erfolgt technisch zeitversetzt, üblicherweise innerhalb von 24 Stunden nach Ablauf.
• Widerruf und Löschung: Über den auf jeder Seite erreichbaren Button „Datenschutz“ könnt ihr „Widerrufen & Messdaten löschen“ wählen. Die Messung endet sofort; die vorhandenen Messdaten dieses Browsers werden gelöscht. Ohne Verbindung wird die Löschung beim nächsten Online-Zugriff erneut versucht. Dafür bleibt vorübergehend die Löschkennung im Browser. Eine Sperrmarke ohne Besuchsdaten verhindert bis zum ursprünglichen Ablauf, dass bereits laufende Anfragen die gelöschte Statistik neu anlegen.
• Auskunft: Im selben Dialog könnt ihr die Messdaten dieses Browsers als JSON herunterladen. Sie sind keinem Konto zugeordnet und deshalb nicht Bestandteil des Kontoexports. Nach dem Löschen der lokalen Kennung können wir alte Messdaten keinem Browser mehr zuordnen; die automatische Löschfrist gilt weiter.

5c. Pinnwand

Paare können für ihre Feier eine Pinnwand einschalten: einen gemeinsamen Verlauf, in dem das Paar und die Gäste Nachrichten hinterlassen. Das Paar entscheidet, ob die Pinnwand offen ist, und teilt dafür einen privaten Link. Lesen kann jeder mit dem Link ohne Anmeldung; schreiben können Gäste mit einem Konto (Anmeldung über Google).

• Sichtbar für alle mit dem Link. Name und Nachricht, die du auf der Pinnwand hinterlässt, sehen das Paar und alle anderen Gäste, die den Link haben. Bevor du zum ersten Mal schreibst, bestätigst du das ausdrücklich (Art. 6 Abs. 1 lit. a DSGVO). Schreib nichts, was nicht alle lesen sollen.
• Anmeldung zum Schreiben: Zum Schreiben meldest du dich mit Google an (Firebase Authentication, Abschnitt 4). Wir speichern dafür die Konto-Kennung (uid) und — nur wenn du etwas schreibst — sie als Autor-Kennung an deinem Beitrag. Deine E-Mail-Adresse und dein Google-Profil sehen weder das Paar noch andere Gäste.
• Was gespeichert wird: dein angegebener Name (vorbelegt aus deinem Google-Namen, änderbar), der Text, der Zeitpunkt, ob du den Beitrag bearbeitet hast, und deine Konto-Kennung als Autor. In deinem Browser liegen zusätzlich deine Bestätigung und der Zeitpunkt deines letzten Beitrags (Missbrauchsschutz).
• Deine Rechte — selbst ausüben: Eigene Beiträge kannst du auf der Pinnwand jederzeit bearbeiten und löschen. Unter Konto siehst du alle deine Beiträge über alle Pinnwände, löschst sie einzeln oder alle auf einmal und lädst sie mit der Datenauskunft herunter. Löschst du dein Konto, werden auch alle deine Beiträge entfernt. Beiträge aus der Zeit vor Einführung der Gästekonten (ohne Anmeldung geschrieben) kannst du im selben Browser weiter entfernen oder über das Paar löschen lassen. Du kannst dich auch an uns wenden (Abschnitt 1).
• Verantwortung des Paares: Das Paar bestimmt, wem es den Link gibt, und moderiert die Pinnwand: Es kann Beiträge ausblenden oder löschen und einzelne Gäste vom Schreiben sperren (gespeichert wird dafür deine Konto-Kennung und der Name aus dem Beitrag). Beim Löschen der Feier wird die Pinnwand vollständig mitgelöscht, einschließlich der Sperrliste.

6. Übermittlung in Drittländer

Beim KI-Scan kann das jeweilige Bild zur Verarbeitung durch Google auch in Drittländer außerhalb der EU (insbesondere die USA) übermittelt werden. Die Übermittlung wird auf geeignete Garantien gestützt (insbesondere EU-Standardvertragsklauseln, Art. 46 DSGVO). Nutzt ihr den KI-Scan nicht, findet keine solche Übermittlung statt.

7. Speicherdauer & Löschung

Automatische Löschung: Wir speichern eure Feier längstens bis 180 Tage nach dem Hochzeitstermin. Danach wird sie samt Gästen, Budget, Sitzplänen und allen übrigen Daten automatisch gelöscht — einschließlich der öffentlichen Spiegel (RSVP-Links, Einladungs-Links, veröffentlichte Website samt Fotos, Pinnwand mit allen Beiträgen). Die Löschung läuft einmal täglich. Ab Tag 150 zeigt die App bei der Feier einen Hinweis mit dem Löschdatum. Bis dahin könnt ihr alle Daten der Feier als Datei exportieren oder die Aufbewahrung um weitere 180 Tage verlängern; die Frist läuft dann ab dem Tag der Verlängerung neu. Eine Feier ohne Hochzeitstermin wird nicht automatisch gelöscht, solange kein Termin eingetragen ist.

Jeder Lauf wird als Nachweis protokolliert — mit technischen Feier-Kennungen und Zählern, ohne Namen oder Inhalte. Die Löschung ist endgültig.

Sicherungskopien: Zum Schutz vor Datenverlust legt unser Datenbankanbieter (Google Cloud, Region Frankfurt) Sicherungen an: laufend für die letzten 7 Tage sowie tägliche (7 Tage) und wöchentliche (8 Wochen) Kopien. Gelöschte Daten verschwinden daher aus diesen Sicherungen spätestens nach 8 Wochen automatisch. Bis dahin sind sie weder abrufbar noch sichtbar; sie werden nur nach einem Datenverlust eingespielt — in diesem Fall führen wir zwischenzeitliche Löschungen erneut aus.

Löscht ihr eine Feier selbst, werden die zugehörigen Daten inklusive der öffentlichen Spiegel (RSVP-Links, Einladungs-Links, veröffentlichte Website, Pinnwand samt aller Beiträge) sofort entfernt.

Euer Konto könnt ihr jederzeit selbst vollständig löschen: Konto → „Konto löschen". Damit verschwinden alle eure Feiern samt Gästen, RSVP-Links und veröffentlichten Websites; eine Feier, die ihr mit eurem Partner teilt, bleibt diesem erhalten — es endet nur euer Zugang. Der Vorgang ist endgültig und lässt sich nicht rückgängig machen.

8. Verantwortung für Gästedaten

Für die von euch eingegebenen Gästedaten seid ihr mitverantwortlich. Ihr sichert zu, diese Daten rechtmäßig zu verarbeiten und eure Gäste — soweit erforderlich — über die Verarbeitung zu informieren bzw. deren Einwilligung einzuholen, insbesondere bei Ernährungs-/Gesundheitsangaben.

9. Eure Rechte

Ihr habt jederzeit das Recht auf:

• Auskunft über die zu euch gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16),
• Löschung (Art. 17) und Einschränkung der Verarbeitung (Art. 18),
• Datenübertragbarkeit (Art. 20),
• Widerspruch gegen Verarbeitungen auf Basis berechtigten Interesses (Art. 21),
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3).

Zwei dieser Rechte könnt ihr direkt in der App ausüben, ohne uns zu fragen:

• Auskunft und Datenübertragbarkeit (Art. 15, 20) — unter Konto → „Datenauskunft herunterladen" bekommt ihr alles, was wir zu eurem Konto gespeichert haben, als maschinenlesbare JSON-Datei.
• Löschung (Art. 17) — unter Konto → „Konto löschen" (siehe Abschnitt 7).

Für alles Weitere — Berichtigung, Einschränkung, Widerspruch, Widerruf einer Einwilligung — genügt eine Nachricht an die oben genannte Kontaktadresse. Zudem besteht ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO).

10. Cookies & lokale Speicherung

Für die Anmeldung verwenden wir technisch notwendige lokale Speicherung (Firebase-Authentifizierung). Der Tagesablauf kann für die Offline-Nutzung lokal zwischengespeichert werden. Eure Datenschutz-Auswahl speichern wir für 90 Tage, damit wir sie beachten können (§ 25 Abs. 2 Nr. 2 TDDDG). Nur nach Zustimmung wird zusätzlich die zufällige Statistikkennung im Local Storage gespeichert (Schlüssel feierlich:statistics:v1). Wer auf einer Pinnwand schreibt, bekommt die dafür nötigen Einträge (Bestätigung, Zeitpunkt des letzten Beitrags; Schlüssel beginnen mit feierlich:board), siehe Abschnitt 5c. Die gewählte Darstellung (hell/dunkel) liegt unter feierlich:theme. Es werden keine Analyse- oder Werbe-Cookies gesetzt; Local Storage zur Statistik ist ebenso einwilligungspflichtig (Abschnitt 5b).

11. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.