Datenschutzerklärung

1. Informationspflicht gemäß Art. 13 DSGVO

Diese Datenschutzerklärung erfüllt die Informationspflicht gemäß Art. 13 DSGVO (Daten, die direkt beim Betroffenen erhoben werden). Da Treffnah keine Klarnamen oder Kontaktdaten erhebt, entfällt die Informationspflicht nach Art. 14 DSGVO (Daten aus anderen Quellen) vollständig — es werden keinerlei personenbezogene Daten aus Drittquellen bezogen.

2. Verantwortlicher gemäß Art. 4 Nr. 7 DSGVO

Nan Yu Horstmarer Str. 9 44329 Dortmund Deutschland E-Mail: datenschutz@treffnah.de

Handelnd unter der Marke „Treffnah“.

3. Grundsätze unserer Datenverarbeitung

Treffnah erhebt keine Daten, die direkt einer natürlichen Person zugeordnet werden können. Alle auf unseren Servern verarbeiteten Kennungen sind pseudonymisiert (gemäß Art. 4 Nr. 5 DSGVO) — sie verweisen auf ein gerätegeneriertes kryptographisches Schlüsselpaar, nicht auf eine reale Identität.

Wir verarbeiten Daten nach den Grundsätzen von Art. 5 DSGVO — insbesondere Datenminimierung und Speicherbegrenzung. Unsere Architektur verfolgt dies durch:

• Standortdaten: Nur Geohash-3-Präzision (ca. 156 km × 156 km), nicht protokolliert
• Personenbezogene Daten: Auf unseren Servern keine — Identität via BIP39-Mnemonic auf Ihrem Gerät
• Geschäftsdaten: Aufträge, Nachrichten, Bewertungen nur lokal, Peer-to-Peer-verschlüsselt (WebRTC + XChaCha20-Poly1305) gemäß Art. 32 Abs. 1 lit. a DSGVO

4. Welche Daten verarbeitet unser Server?

3.1 Anonymer Suchindex

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse — Vermittlung von Handwerkerleistungen)

Gespeichert: pseudonymer ed25519-Schlüssel, Servicekategorien, Geohash-3, Tarif, Verfügbarkeit, Sprachen. Automatische Löschung nach 24 Stunden.

3.2 Signalisierungs-Relay (WebRTC)

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO + Mere-Conduit-Privileg (Art. 4 DSA)

60-Sekunden-Räume für Verbindungsaufbau. Wir leiten nur verschlüsselte Daten weiter und können sie technisch nicht entschlüsseln.

3.3 Anonyme Telemetrie

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse — Produktverbesserung)

Aggregierte Ereignisse (Ereignistyp, optionaler Geohash-3, Minutenstempel). Keine Nutzer- oder Geräte-IDs. Aufbewahrung: 14 Tage.

3.4 Abostatus

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

Über RevenueCat synchronisiert. Gespeichert ausschließlich als HMAC-SHA256-Hash Ihres pseudonymen Gerätetokens. Keine Rückführung auf Ihre Person möglich.

3.5 Absturzberichte

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)

Keine Absturzberichte ohne Ihre ausdrückliche Zustimmung.

1. Stack-Trace wird lokal auf Ihrem Gerät zwischengespeichert (bereinigt)
2. Beim nächsten Start fragt die App, ob Sie den Bericht senden möchten
3. Bei Ablehnung wird der Bericht sofort gelöscht
4. Bei Zustimmung an Server in Frankfurt — 14 Tage Aufbewahrung — dann automatisch gelöscht

5. Ende-zu-Ende-Verschlüsselung

Sämtliche Geschäftskommunikation zwischen Nutzer:innen (Aufträge, Nachrichten, Bewertungen) ist Ende-zu-Ende-verschlüsselt (X25519 ECDH + XChaCha20-Poly1305). Schlüssel verbleiben ausschließlich auf den Endgeräten.

Dies entspricht den Anforderungen von Art. 32 Abs. 1 lit. a DSGVO (Verschlüsselung als geeignete technische Maßnahme) und dem Geist des in Vorbereitung befindlichen deutschen TDDDG (Recht auf Verschlüsselung).

Wir verfügen über keine technische Möglichkeit, diese Kommunikation zu entschlüsseln — auch nicht auf Verlangen von Behörden.

6. Datenstandort

Unser Server steht in Frankfurt, Deutschland (Vultr Holdings Corporation). Es findet kein Datentransfer in Drittländer statt.

7. Ihre Rechte gemäß Art. 15–22 DSGVO

Sie haben das Recht auf:

• Auskunft (Art. 15)
• Berichtigung (Art. 16)
• Löschung (Art. 17)
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit (Art. 20)
• Widerspruch (Art. 21)
• Beschwerde bei der Aufsichtsbehörde (Art. 77)

Architekturbedingte Besonderheit:

• Auskunft: In der App unter „Einstellungen → Daten exportieren“
• Löschung: Deinstallation löscht sofort alle lokalen Daten; anonymer Index läuft nach 24 h ab

8. Cookies / Tracking

Keine Cookies, keine Tracking-SDKs. Insbesondere kein Google Analytics, kein Facebook Pixel, kein Sentry.

Dies entspricht § 25 TDDDG — keine Einwilligungspflicht, da kein Zugriff auf das Endgerät über das technisch zwingend Erforderliche hinaus erfolgt.

9. Auftragsverarbeiter gemäß Art. 28 DSGVO

• Vultr Holdings Corporation — Server-Hosting in Frankfurt; Auftragsverarbeitungsvertrag vorhanden.
• RevenueCat, Inc. — Abrechnungsereignisse; nur HMAC-gehashte pseudonymisierte Kennung.
• Pinata Cloud, Inc. — optional (IPFS-Profilbilder, nur bei aktiver Nutzung durch Handwerker:innen)

10. Aufsichtsbehörde

Landesbeauftragte für Datenschutz und Informationsfreiheit NRW (LDI NRW) Kavalleriestraße 2-4, 40213 Düsseldorf ldi.nrw.de

11. Kontakt

datenschutz@treffnah.de

12. Datenpannen gemäß Art. 33 / Art. 34 DSGVO

Im Falle einer Verletzung des Schutzes personenbezogener Daten (Datenpanne) gilt:

• Meldung an die Aufsichtsbehörde (Art. 33 DSGVO): Innerhalb von 72 Stunden nach Bekanntwerden wird die LDI NRW benachrichtigt, sofern die Datenpanne voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen darstellt.
• Benachrichtigung der Betroffenen (Art. 34 DSGVO): Falls ein hohes Risiko für Rechte und Freiheiten besteht, werden betroffene Nutzer:innen unverzüglich benachrichtigt — soweit eine Kontaktaufnahme technisch möglich ist. Da Treffnah keine Klarnamen oder Kontaktdaten erhebt, erfolgt die Benachrichtigung über eine prominente Mitteilung in der App.
• Architekturbedingte Begrenzung des Risikos: Da keine personenbezogenen Daten auf unseren Servern gespeichert werden (Pseudonyme, keine Klardaten), ist das Risiko einer gravierenden Datenpanne auf Serverebene strukturell begrenzt.

Meldungen oder Hinweise auf mögliche Datenpannen bitte an: datenschutz@treffnah.de

13. Änderungen

Änderungen werden in der App und auf dieser Seite angezeigt. Bei wesentlichen Änderungen, die eine erneute Einwilligung erfordern, wird die App eine entsprechende Bestätigung einfordern.