Datenschutzerklärung für Sprachverliebt

Diese Erklärung gilt für die iOS-App Sprachverliebt (inklusive Widget) und für die Website https://sprachverliebt.rafaelalex.de.

Inhalt

1. Verantwortlicher
2. Kurzfassung
3. Datenverarbeitung in der App
4. Website
5. Empfänger, Auftragsverarbeiter und Drittlandübermittlung
6. Speicherung auf Ihrem Gerät (§ 25 TDDDG)
7. Bereitstellungspflicht, automatisierte Entscheidungen
8. Ihre Rechte
9. Beschwerderecht

1. Verantwortlicher

Rafael Alex, Ullsteinstraße 16, 90763 Fürth, Deutschland
Telefon: +49 (0) 176 320 33 188
E-Mail: a@rafaelalex.de

2. Kurzfassung

Sprachverliebt zeigt ein seltenes deutsches Wort pro Tag. Die App enthält kein Tracking, keine Analytics-Dienste und keine Werbung. Es gibt keine Konten, keine Registrierung und keine Erhebung von Namen oder E-Mail-Adressen. Die Website setzt keine Cookies und misst ihre Reichweite mit Rybbit Analytics (Abschnitt 4).

3. Datenverarbeitung in der App

3.1 Geräteschlüssel (App Attest)

Zur Absicherung der Schnittstelle gegen Missbrauch erzeugt die App über Apples App-Attest-Verfahren einen Schlüssel. Der Server speichert die Kennung dieses Schlüssels (Geräteschlüssel), den zugehörigen öffentlichen Schlüssel, einen Zähler und den Registrierzeitpunkt. Die App erhält vom Server ein zeitlich begrenztes Zugangstoken. Der Geräteschlüssel ist ein Pseudonym: Ich kann ihn keiner Person zuordnen, solange Sie mir die Kennung nicht selbst mitteilen (etwa über Einstellungen > Kontakt). Wird ein Schlüssel wegen Missbrauchs oder einer Rückerstattung gesperrt, speichert der Server die Sperre samt Grund. Rechtsgrundlage: berechtigtes Interesse an Missbrauchsabwehr und Systemsicherheit (Art. 6 Abs. 1 lit. f DSGVO). Speicherdauer: bis zur Löschung auf Ihre Anfrage (siehe Abschnitt 8); das Löschen der App allein entfernt die Kennung nicht vom Server.

3.2 Leseprobe-Zuweisung

Geräten ohne Plus-Kauf wird einmalig eine feste Auswahl von zehn Einträgen zugelost. Gespeichert wird die Zuordnung von Geräteschlüssel zu Einträgen. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), da die kostenlose Nutzung der App ein Nutzungsverhältnis begründet. Speicherdauer: bis zur Löschung auf Ihre Anfrage.

3.3 Kauf und Freischaltung (Sprachverliebt Plus)

Käufe laufen vollständig über Apple (App Store, StoreKit). Zahlungsdaten und Ihre Apple-ID erhalte ich nicht. Nach einem Kauf sendet die App die von Apple signierte Kaufbestätigung an den Server. Der Server prüft die Signatur und speichert zum Geräteschlüssel die Produktkennung, Transaktionskennungen, Kaufdatum, Umgebung (Produktion oder Test) und den Freischaltstatus. Meldet Apple eine Rückerstattung oder Widerruf, wird die Freischaltung entzogen und der Widerruf vermerkt. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Speicherdauer: bis zur Löschung auf Ihre Anfrage, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

3.4 iCloud-Synchronisation (CloudKit)

Gespeicherte Wörter und der Lesestand liegen auf dem Gerät und, sofern iCloud aktiv ist, in Ihrer privaten iCloud-Datenbank (CloudKit). Ich habe darauf keinen Zugriff. Für die iCloud-Verarbeitung ist Apple verantwortlich. Ist iCloud nicht verfügbar, bleiben die Daten nur auf dem Gerät.

3.5 Wort-Informationen (Anthropic)

Vertiefende Wort-Informationen (Grundform, Herkunft, Merkhilfe) werden bei erstmaligem Abruf mit der KI-Schnittstelle von Anthropic erzeugt. Übermittelt werden nur das Wort, seine Bedeutung und der Beispielsatz aus dem Katalog, keine Geräte- oder Nutzerdaten und keine IP-Adresse der Nutzer. Das Ergebnis wird auf dem Server gespeichert und für alle weiteren Abrufe wiederverwendet. Anbieter: Anthropic, PBC, USA (siehe Abschnitt 5). Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Die Texte sind KI-generiert und können Fehler enthalten.

3.6 Lesestatistik

Wird ein Tagesinhalt geöffnet, speichert der Server pro Tag und Geräteschlüssel die Reihenfolge des Lesens, die Zahl der Aufrufe (begrenzt auf 50 pro Tag) sowie den Zeitpunkt des ersten und letzten Aufrufs. Daraus entstehen Lesestreak, Rang und die Anzeige „zuerst gelesen“ sowie anonyme Gesamtzahlen. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Speicherdauer: bis zur Löschung auf Ihre Anfrage.

3.7 Bewertungen

Bewerten Sie einen Eintrag mit „Ich mag es“ oder „Ich mag es nicht“, speichert der Server pro Eintrag die Bewertung zusammen mit dem Geräteschlüssel und dem Zeitpunkt. Eine Bewertung kann jederzeit geändert oder zurückgenommen werden; beim Zurücknehmen wird sie gelöscht. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

3.8 Zugriffsbegrenzung und Server-Logs der Schnittstelle

Beim Abruf der Schnittstelle fallen technisch bedingt IP-Adresse, Zeitpunkt, abgerufener Pfad und Antwortstatus in Server-Logs an (Hetzner Online GmbH, Rechenzentrum Nürnberg). Die Logs werden nach 7 Tagen gelöscht. Zur Abwehr von Überlastung und Missbrauch zählt der Server außerdem Anfragen je IP-Adresse beziehungsweise je Geräteschlüssel in kurzen Zeitfenstern und speichert diese Zähler in der Datenbank; sie werden spätestens nach 7 Tagen gelöscht. Rechtsgrundlage: berechtigtes Interesse an Betrieb, Sicherheit und Fehlersuche (Art. 6 Abs. 1 lit. f DSGVO).

3.9 Fehler-Tracking (Sentry)

Unerwartete Serverfehler werden über Sentry erfasst. Übermittelt werden nur technische Fehlerdaten: Stacktrace, HTTP-Methode, Pfad, ob die Anfrage authentifiziert war, sowie bei bestimmten Sicherheitsereignissen eine kurze Fehlerbezeichnung. Der Geräteschlüssel, Wort-Inhalte und Zahlungsdaten werden nicht übermittelt. Die App selbst enthält kein Sentry und keinen anderen Tracking-Dienst. Anbieter und Auftragsverarbeiter (Art. 28 DSGVO) ist Functional Software, Inc. (Sentry), USA. Die Daten werden in der EU-Region (Frankfurt) gespeichert. Ein Zugriff durch Sentry-Support aus den USA ist möglich; er stützt sich auf die DPF-Zertifizierung von Sentry und die Standardvertragsklauseln im Auftragsverarbeitungsvertrag. Die Fehlerdaten werden gemäß den Aufbewahrungsfristen von Sentry höchstens 90 Tage gespeichert. Rechtsgrundlage: berechtigtes Interesse an Stabilität und Fehlerbehebung (Art. 6 Abs. 1 lit. f DSGVO).

3.10 Erinnerungen und Widget

Tägliche Erinnerungen sind lokale Mitteilungen, die die App auf Ihrem Gerät plant. Es gibt keine Push-Mitteilungen über einen Server und keine Übermittlung eines Push-Tokens. Das Widget erhält das aktuelle Wort über einen gemeinsamen Speicherbereich (App Group) auf Ihrem Gerät und lädt selbst nichts aus dem Internet.

3.11 Kontakt per E-Mail

Über Einstellungen > Kontakt öffnet die App Ihr Mail-Programm mit einer vorbereiteten Nachricht, die den Geräteschlüssel enthält, damit ich Auskunfts- und Löschanfragen zuordnen kann. Die Nachricht senden Sie selbst ab; Ihre E-Mail-Adresse und Ihr Inhalt gelangen so zu mir. Ich verwende sie nur zur Bearbeitung Ihrer Anfrage und lösche sie, sobald sie erledigt ist, soweit keine gesetzlichen Aufbewahrungspflichten bestehen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anfrage im Rahmen des Nutzungsverhältnisses), sonst lit. f; bei Auskunfts- und Löschanfragen zusätzlich lit. c (rechtliche Verpflichtung).

3.12 Wörter teilen (Links)

Teilen Sie ein Wort, legt der Server für dieses Wort einmalig einen kurzen öffentlichen Code an und speichert Wortkennung, Code, Erstellzeitpunkt und drei Zähler: wie oft das Wort geteilt, die Seite aufgerufen und der Button zum App Store angeklickt wurde. Der Code gehört dem Wort, nicht Ihnen: Alle, die dasselbe Wort teilen, erhalten denselben Code. Geräteschlüssel, IP-Adresse oder andere Angaben zu Ihrer Person werden dabei nicht gespeichert. Zur Missbrauchsabwehr zählt der Server neue Codes je Geräteschlüssel, je IP-Adresse und insgesamt innerhalb von 24 Stunden (siehe 3.8). Wer den Link öffnet, sieht auf einer öffentlichen Seite das Wort, die Wortart und die Bedeutung, soweit sie auch in der kostenlosen Nutzung lesbar ist, dazu ein Vorschaubild. Der Button „Im App Store laden“ führt über eine Weiterleitung auf diesem Server zum App Store; dabei zählt der Server den Klick und hängt eine Kampagnenkennung („share“ oder „recommend“) an die App-Store-Adresse, die in App Store Connect nur zur anonymen Auswertung dient. Dieselbe Weiterleitung nutzt die Funktion „Sprachverliebt empfehlen“. Rechtsgrundlage: berechtigtes Interesse an der Verbreitung der App und an einer anonymen Erfolgsmessung (Art. 6 Abs. 1 lit. f DSGVO). Speicherdauer: Code und Zähler bleiben gespeichert; wird das Wort aus der Sammlung genommen, zeigt die Seite keinen Inhalt mehr.

4. Website

Beim Aufruf von https://sprachverliebt.rafaelalex.de verarbeitet der Server technisch bedingt IP-Adresse, Zeitpunkt, abgerufene Adresse, Statuscode, übertragene Datenmenge sowie Browserkennung und Referrer (Server-Logs). Die Logs dienen dem sicheren und stabilen Betrieb und werden nach 7 Tagen gelöscht. Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Hosting: Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Rechenzentrum Nürnberg; mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO).

Die Website setzt keine Cookies und bindet außer dem Analyse-Skript (siehe unten) keine externen Inhalte ein. Schriften werden vom eigenen Server geladen. Das Wort des Tages auf der Startseite ist für alle Besucher gleich. Die Links zum App Store sind einfache Verweise: Erst wenn Sie sie anklicken, verarbeitet Apple Daten nach eigener Datenschutzerklärung. Auf den Seiten geteilter Wörter (Adressen mit /s/) läuft der Button zum App Store zuerst über eine Weiterleitung auf diesem Server (Abschnitt 3.12). Diese Seiten sind von der Indexierung durch Suchmaschinen ausgenommen.

Reichweitenmessung (Rybbit Analytics). Um zu sehen, wie viele Menschen die Website besuchen und woher sie kommen, nutze ich Rybbit Analytics. Beim Seitenaufruf, auch auf den Seiten geteilter Wörter, lädt Ihr Browser ein Skript von tracking.maki-it.de und übermittelt Seitenadresse, Seitentitel, Referrer, Bildschirmgröße und Browsersprache sowie technisch bedingt IP-Adresse und Browserkennung. Die IP-Adresse dient nur der Bestimmung des ungefähren Standorts (Land, Region) und wird nicht gespeichert. Rybbit setzt keine Cookies, legt aber im lokalen Speicher Ihres Browsers (localStorage) eine zufällige Besucherkennung ab, um wiederkehrende Besuche zu erkennen. Betreiber des Analyse-Servers und Auftragsverarbeiter (Art. 28 DSGVO) ist Maki IT, Kim Oliver Drechsel, Kachletstraße 21, 90480 Nürnberg; der Server steht in Deutschland. Rechtsgrundlage: berechtigtes Interesse an der Reichweitenmessung und Verbesserung der Website (Art. 6 Abs. 1 lit. f DSGVO). Sie können widersprechen, indem Sie den lokalen Speicher dieser Website löschen und Skripte von tracking.maki-it.de blockieren, etwa mit einem Inhaltsblocker.

5. Empfänger, Auftragsverarbeiter und Drittlandübermittlung

Außer an die genannten Empfänger gebe ich Daten nicht weiter, außer ich bin gesetzlich dazu verpflichtet. Die Übermittlung in die USA stützt sich, soweit angegeben, auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework. Dieser wurde vom Gericht der EU am 3. September 2025 bestätigt (Rechtssache T-553/23); gegen das Urteil ist ein Rechtsmittel anhängig.

Website und App-Schnittstelle werden über Cloudflare, Inc. (USA) ausgeliefert. Cloudflare verarbeitet dabei als Auftragsverarbeiter (Art. 28 DSGVO) die IP-Adresse und Anfragedaten, um Inhalte zwischenzuspeichern, Angriffe abzuwehren und die TLS-Verschlüsselung zu terminieren. Rechtsgrundlage: berechtigtes Interesse an sicherem und schnellem Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Anfragen laufen dadurch zuerst über Cloudflare und dann zum Server bei Hetzner.

6. Speicherung auf Ihrem Gerät (§ 25 TDDDG)

Die App speichert auf Ihrem Gerät: den App-Attest-Schlüssel und das Zugangstoken (Schlüsselbund), Einstellungen, Erinnerungs- und Kaufstatus (UserDefaults), das Wort des Tages für das Widget (App Group), einen Zwischenspeicher für Server-Antworten (Caches-Ordner) sowie Ihre Sammlung (lokal und in iCloud). Dieser Zugriff ist unbedingt erforderlich, um den von Ihnen gewünschten Dienst bereitzustellen (§ 25 Abs. 2 Nr. 2 TDDDG); eine Einwilligung ist dafür nicht nötig. Die weitere Verarbeitung personenbezogener Daten richtet sich nach den oben genannten Rechtsgrundlagen der DSGVO. Die Website legt zur Reichweitenmessung eine zufällige Besucherkennung im localStorage Ihres Browsers ab (Abschnitt 4).

7. Bereitstellungspflicht, automatisierte Entscheidungen

Sie sind weder gesetzlich noch vertraglich verpflichtet, Daten bereitzustellen. Ohne Geräteschlüssel kann die App ihre Server-Funktionen (tägliches Wort, Leseprobe, Plus) jedoch nicht nutzen. Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt. Die Sperrung eines Geräteschlüssels bei Missbrauch oder Rückerstattung ist eine technische Sicherheitsmaßnahme; Sie können sich dazu jederzeit bei mir melden.

8. Ihre Rechte

Sie haben nach der DSGVO das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Eine Einwilligung, die Sie widerrufen könnten, holt die App nicht ein.

Da ich Geräte nicht identifizieren kann, brauche ich für Auskunft oder Löschung Ihren Geräteschlüssel: Schreiben Sie dazu in der App über Einstellungen > Kontakt; die E-Mail enthält den Schlüssel bereits. Die Daten werden innerhalb eines Monats gelöscht. Das Löschen der App allein entfernt die serverseitigen Daten nicht. iCloud-Daten löschen Sie über Ihr Apple-Konto (Einstellungen > Apple-Konto > iCloud).

9. Beschwerderecht

Sie können sich nach Art. 77 DSGVO bei einer Datenschutzaufsichtsbehörde beschweren. Zuständig für mich ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, E-Mail: poststelle@lda.bayern.de.

Stand: Oktober 2026