Datenschutzrichtlinie

1. Einleitung

Wir verpflichten uns, Ihre Privatsphäre zu schützen und Ihre personenbezogenen Daten offen und transparent zu behandeln. Diese Datenschutzrichtlinie erläutert, wie wir Ihre personenbezogenen Daten erheben, verwenden, weitergeben und schützen.

2. Von uns erhobene Daten

Wir erheben und verarbeiten die folgenden personenbezogenen Daten:

Kontoinformationen: E-Mail-Adresse und Name
Nutzungsdaten: Informationen darüber, wie Sie unseren Dienst nutzen, einschließlich:
- Zugriffszeiten und -daten
- Besuchte Funktionen und Seiten
- Interaktionsmuster mit dem Dienst
- Leistungsdaten

3. Wie wir Ihre Daten verwenden

Wir verwenden Ihre personenbezogenen Daten für die folgenden Zwecke:

Zur Bereitstellung und Wartung unseres Dienstes
Zur Verbesserung und Optimierung unseres Dienstes
Zur Gewährleistung der Sicherheit unserer Plattform
Zur Kommunikation mit Ihnen über dienstbezogene Angelegenheiten
Zur Erfüllung gesetzlicher Verpflichtungen

4. Analytik

Wir verwenden datenschutzfreundliche Analysedienste, um die Nutzungsmuster des Dienstes zu analysieren und unsere Plattform zu verbessern:

Plausible Analytics: Selbst gehostete Instanz in Deutschland. Datenschutzfreundlich und standardmäßig ohne Cookies.
PostHog Analytics: Gehostet in der EU (Frankfurt, Deutschland). Datenschutzfreundlich mit standardmäßigem Tracking ohne Cookies. Das Akzeptieren von Cookies ermöglicht persistente Tracking-Funktionen für verbesserte Analysen.

Beide Analyselösungen werden in der EU gehostet und sind DSGVO-konform. Die erhobenen Daten werden anonymisiert und ausschließlich zur Verbesserung unseres Dienstes verwendet. Standardmäßig verfolgen beide Dienste die Nutzung ohne Cookies. Wenn Sie Cookies akzeptieren, aktiviert PostHog das persistente Tracking, um wiederkehrende Nutzer besser zu verstehen.

5. Datenweitergabe und Drittanbieterdienste

Wir geben Ihre Daten nur an ausgewählte Dritte weiter, die für die Bereitstellung unseres Dienstes unerlässlich sind:

Cloudflare: Für Content-Delivery- und Sicherheitsdienste
Hetzner: Für Infrastruktur- und Hosting-Dienste
Discord-API: Unser Discord-Bot interagiert mit der Discord-API, um Terminplanungsfunktionen innerhalb von Discord-Servern bereitzustellen. Die mit Discord geteilten Daten unterliegen der Datenschutzrichtlinie von Discord.
DiceBear-API: Wird von der Zeitzonen-App verwendet, um Avatarbilder basierend auf Teilnehmernamen zu generieren

Diese Dienstleister sind vertraglich verpflichtet, Ihre Daten zu schützen und nur für die angegebenen Zwecke zu verwenden.

6. Datenspeicherung und -sicherheit

Ihre Daten werden in sicheren Einrichtungen innerhalb der Europäischen Union gespeichert. Wir ergreifen geeignete technische und organisatorische Maßnahmen, um Ihre personenbezogenen Daten vor unbefugtem Zugriff, Veränderung, Offenlegung oder Zerstörung zu schützen.

7. Ihre Rechte gemäß DSGVO

Als Nutzer haben Sie die folgenden Rechte:

Recht auf Auskunft über Ihre personenbezogenen Daten
Recht auf Berichtigung unrichtiger Daten
Recht auf Löschung („Recht auf Vergessenwerden")
Recht auf Einschränkung der Verarbeitung
Recht auf Datenübertragbarkeit
Recht auf Widerspruch gegen die Verarbeitung
Recht auf Widerruf der Einwilligung

Um eines dieser Rechte auszuüben, kontaktieren Sie uns bitte über die im Abschnitt „Kontakt" angegebenen Informationen.

8. Cookies und Tracking

Wir verwenden die folgenden Arten von Cookies:

Essentielle Cookies

Authentifizierungs-Cookies: Erforderlich für die Benutzeranmeldung und die Sitzungsverwaltung (NextAuth-Sitzungstoken)
Präferenzspeicher: Lokaler Speicher für Benutzeroberflächenpräferenzen und -einstellungen

Analyse-Cookies (Optional)

Plausible Analytics: Selbst gehosteter, datenschutzfreundlicher Analysedienst in Deutschland (ohne Cookies)
PostHog Analytics: In der EU gehosteter Analysedienst in Frankfurt, Deutschland
- Standardmäßig ohne Cookies: Verfolgt die Nutzung ohne Cookies unter Verwendung von Nur-Speicher-Speicher
- Persistentes Tracking mit Zustimmung: Wenn Sie Cookies akzeptieren, speichert PostHog Daten dauerhaft, um wiederkehrende Benutzer zu verfolgen und die Analysegenauigkeit zu verbessern
- Nur anonyme Daten: Unabhängig von der Zustimmung werden keine personenbezogenen Daten erhoben oder verfolgt

Sie können Ihre Cookie-Einstellungen jederzeit über unser Cookie-Banner oder durch Löschen Ihrer Browserdaten verwalten. Essentielle Cookies können nicht deaktiviert werden, da sie für die grundlegende Funktionalität der Website erforderlich sind.

9. Privatsphäre von Kindern

Unser Dienst richtet sich nicht an Kinder unter 13 Jahren. Wir erheben wissentlich keine personenbezogenen Daten von Kindern unter 13 Jahren.

10. Änderungen dieser Datenschutzrichtlinie

Wir können diese Datenschutzrichtlinie von Zeit zu Zeit aktualisieren. Wir werden Sie über alle Änderungen informieren, indem wir die neue Datenschutzrichtlinie auf dieser Seite veröffentlichen und das Datum „Zuletzt aktualisiert" aktualisieren.

11. Kontakt

Wenn Sie Fragen zu dieser Datenschutzrichtlinie oder unseren Datenpraktiken haben, kontaktieren Sie uns bitte hier.

12. Datenschutzbehörde

Wenn Sie sich im Europäischen Wirtschaftsraum (EWR) befinden und der Meinung sind, dass wir Ihre personenbezogenen Daten unrechtmäßig verarbeiten, haben Sie das Recht, eine Beschwerde bei Ihrer örtlichen Datenschutzaufsichtsbehörde einzulegen.

13. Google Kalender Webhooks

Wenn Sie Ihren Google Kalender mit WhenToMeet verbinden, verwenden wir einen sicheren Webhook, um Ihre Buchungen synchron zu halten – auch wenn Sie Änderungen direkt in Google Kalender vornehmen. Wenn Sie ein Buchungsereignis in Google Kalender löschen oder stornieren, benachrichtigt Google unseren Webhook-Endpunkt. Wir dann:

Überprüfen die Anfrage und ordnen sie Ihrem Konto zu
Prüfen, welche Buchung betroffen ist
Aktualisieren Ihren Buchungsstatus in WhenToMeet und senden relevante Benachrichtigungen

Verarbeitete Daten:

Nur die minimalen Ereignismetadaten, die zur Identifizierung und Verwaltung Ihrer Buchung erforderlich sind (wie Ereignis-ID, Status und Zeitplanung)
Für die Webhook-Verarbeitung werden keine zusätzlichen Kalenderdaten abgerufen oder gespeichert

Sicherheit & Datenschutz:

Alle Webhook-Anfragen werden validiert
Nur Ereignisse im Zusammenhang mit Ihren Buchungen werden verarbeitet
Alle Aktionen werden zur Sicherheit und Prüfung protokolliert
Für die Webhook-Verarbeitung werden keine Daten an Dritte weitergegeben

Sie können die Verbindung zu Ihrem Google Kalender jederzeit trennen, um die Webhook-Verarbeitung zu beenden. Weitere Informationen finden Sie auf unserer Kontaktseite.

14. Speicherung von Kalenderanmeldeinformationen (iCal & CalDAV)

Wenn Sie einen privaten iCal- oder CalDAV-Kalender verbinden, der eine Authentifizierung erfordert, speichern wir Ihre Kalenderanmeldeinformationen sicher, um den laufenden Zugriff auf Ihre Kalenderdaten aufrechtzuerhalten.

Was wir speichern:

Kalender-Abonnement-URL oder Serveradresse
Benutzername oder Kontoidentifikator (zur Authentifizierung im Klartext gespeichert)
Passwort oder Zugriffstoken (verschlüsselt mit AES-256-GCM-Verschlüsselung)

Sicherheitsmaßnahmen:

Starke Verschlüsselung: Passwörter werden mit authentifizierter AES-256-GCM-Verschlüsselung mit eindeutigem Salt und Initialisierungsvektor pro Anmeldeinformation verschlüsselt
Sichere Schlüsselableitung: Verschlüsselungsschlüssel werden mit scrypt abgeleitet, einer speicherintensiven Schlüsselableitungsfunktion
Nur serverseitig: Anmeldeinformationen werden niemals an Ihren Browser oder Ihr Client-Gerät gesendet
HTTPS erforderlich: Alle Kalenderdaten werden über sichere HTTPS-Verbindungen abgerufen
Zugriffskontrolle: Nur Sie können über unsere Plattform auf Ihre Kalenderverbindungen zugreifen
Automatische Löschung: Anmeldeinformationen werden dauerhaft gelöscht, wenn Sie einen Kalender trennen oder Ihr Konto löschen

Wie Anmeldeinformationen verwendet werden:

Ihre gespeicherten Anmeldeinformationen werden nur verwendet, um:

Kalenderereignisse abzurufen, um Ihre Verfügbarkeit anzuzeigen
Ihre Kalenderdaten mit WhenToMeet zu synchronisieren
Kalenderverbindungen bei Bedarf zu aktualisieren

Ihre Kontrolle:

Sie können jede Kalenderverbindung jederzeit in Ihren Einstellungen trennen
Das Trennen eines Kalenders löscht sofort alle zugehörigen gespeicherten Anmeldeinformationen
Sie können alle verbundenen Kalender in Ihren Kontoeinstellungen anzeigen
Wir empfehlen, Ihre Kalenderanmeldeinformationen regelmäßig zu überprüfen und zu rotieren

Datenaufbewahrung:

Kalenderanmeldeinformationen werden nur so lange aufbewahrt, wie die Kalenderverbindung aktiv ist. Wenn Sie einen Kalender trennen oder Ihr Konto löschen, werden alle zugehörigen Anmeldeinformationen sofort und dauerhaft aus unseren Systemen gelöscht.

Wichtige Hinweise:

Wir geben Ihre Kalenderanmeldeinformationen niemals an Dritte weiter
Wir verwenden die vom Kalenderserver bereitgestellte Basisauthentifizierung (Benutzername/Passwort) – wir empfehlen die Verwendung anwendungsspezifischer Passwörter, sofern unterstützt
Für maximale Sicherheit sollten Sie Kalenderdienste in Betracht ziehen, die eine tokenbasierte anstelle einer passwortbasierten Authentifizierung unterstützen

Wenn Sie Bedenken hinsichtlich der Speicherung von Kalenderanmeldeinformationen haben, kontaktieren Sie uns bitte, um alternative Optionen zu besprechen.

15. Discord-Bot

Unser Discord-Bot verbindet Discord und WhenToMeet und ermöglicht Terminplanungsfunktionen direkt in Discord-Servern.

Erhobene Daten:

Discord-Benutzer-ID und Benutzername: Werden verwendet, um Sie innerhalb von Discord zu identifizieren und Abstimmungen mit Ihrer Discord-Identität zu verknüpfen
Server- (Guild) und Kanal-IDs: Werden verwendet, um Bot-Antworten an die richtigen Discord-Kanäle zu übermitteln
Kontoverknüpfungs-Token: Temporäre Token, die beim Verknüpfen Ihres Discord-Kontos mit Ihrem WhenToMeet-Konto generiert werden. Diese Token laufen nach 15 Minuten ab und werden automatisch bereinigt
Umfragedaten: Umfragetitel, Zeitfensteroptionen und Abstimmungen (verknüpft mit Ihrem Discord-Benutzernamen), die über den Bot erstellt wurden
Eventfreigabe: Wenn Sie ein WhenToMeet-Event in Discord teilen, verknüpft der Bot die Discord-Nachricht mit dem entsprechenden WhenToMeet-Event

Analytik:

Der Discord-Bot verwendet die gleichen Analysedienste wie die WhenToMeet-Hauptanwendung (PostHog, Plausible und Sentry), wie in Abschnitt 4 beschrieben. Das Analytics-Tracking ist optional und folgt den gleichen datenschutzfreundlichen Grundsätzen.

Datenaufbewahrung:

Kontoverknüpfungs-Token werden nach 15 Minuten oder nach Verwendung automatisch gelöscht, je nachdem, was zuerst eintritt
Umfrage- und Abstimmungsdaten werden aufbewahrt, solange das zugehörige WhenToMeet-Event existiert
Wenn ein WhenToMeet-Event gelöscht wird, werden auch alle zugehörigen Discord-Umfrage- und Abstimmungsdaten entfernt

Ihre Kontrolle:

Sie können Ihr Discord-Konto jederzeit von WhenToMeet trennen
Über den Discord-Bot abgegebene Stimmen sind mit Ihrem Discord-Benutzernamen verknüpft
Sie können die Löschung Ihrer Daten beantragen, indem Sie uns kontaktieren

16. Zeitzonen-App (timezones.whentomeet.io)

Die Zeitzonen-App ist ein clientseitiges Zeitzonenvergleichstool, das keine Authentifizierung erfordert und keine Benutzerdaten auf unseren Servern speichert.

Clientseitige Speicherung:

localStorage: Wird verwendet, um Ihre Theme-Einstellung und Arbeitszeiteinstellungen zu speichern. Diese Daten verlassen niemals Ihren Browser.

URL-basierte Freigabe:

Teilnehmernamen und Zeitzonen werden direkt in der URL codiert, wenn Sie einen teilbaren Link erstellen. Jeder, der die URL hat, kann die darin enthaltenen Teilnehmernamen und Zeitzonen sehen.

Analytik:

Nur Plausible Analytics: Die Zeitzonen-App verwendet unsere selbst gehostete Plausible Analytics-Instanz (in Deutschland). Plausible ist standardmäßig ohne Cookies und erhebt keine personenbezogenen Daten.

Drittanbieterdienste:

Google Fonts: Wird zum Laden von Schriftarten für die Anwendungsoberfläche verwendet
DiceBear-API: Wird zum Generieren von Avatarbildern basierend auf Teilnehmernamen verwendet. Die von Ihnen eingegebenen Teilnehmernamen werden an die DiceBear-API gesendet, um entsprechende Avatare zu generieren.

Cookies:

Die Zeitzonen-App setzt keine Cookies. Plausible Analytics funktioniert standardmäßig ohne Cookies.