Jannik Pohl
Von-Etzbach-Straße 9
40764 Langenfeld
Deutschland
Telefon: +49 176 42434662
E-Mail: hallo@einladungendigital.de
Ein Datenschutzbeauftragter ist nicht benannt; die Voraussetzungen des
§ 38 BDSG liegen nicht vor.
ETERNA ist eine App zur Hochzeitsplanung. Ein Brautpaar verwaltet damit
seine Gästeliste, den Sitzplan, das Budget, Aufgaben und eine eigene
Hochzeitswebsite und kann Dienstleister anfragen.
Dabei treffen drei Gruppen von Menschen aufeinander, deren Daten
unterschiedlich behandelt werden:
| Wer | Verhältnis zu uns |
|---|---|
| Das Brautpaar | hat ein Konto und einen Vertrag mit uns |
| Die Hochzeitsgäste | haben kein Konto und keinen Vertrag. Ihre Daten trägt meist das Paar ein |
| Die Dienstleister | haben ein Konto (Fotografen, Locations, Floristen …) |
Der Abschnitt 5 ist ausdrücklich für die Gäste geschrieben. Wenn Sie
über einen Einladungslink hierhergekommen sind, ist das der Abschnitt,
der Sie betrifft.
Beim Anlegen des Kontos: Anzeigename, E-Mail-Adresse, Passwort (nur
als bcrypt-Hash, nie im Klartext), Zeitpunkt der Einwilligung in diese
Erklärung und deren Fassung.
Bis das Konto entsteht: Ein Konto mit E-Mail-Adresse entsteht erst,
wenn ein Code aus einer Mail an diese Adresse eingegeben ist. Bis dahin
speichern wir zu jeder angefangenen Registrierung:
Der Code gilt 15 Minuten und für fünf Versuche. Gibt es zu der Adresse
schon ein Konto, schicken wir statt eines Codes einen Hinweis an diese
Adresse. Dann speichern wir weder Namen noch Passwort-Hash noch Code,
sondern nur die übrigen Angaben aus der Liste und dass es zu der
Adresse schon ein Konto gab — am bestehenden Konto ändert sich nichts.
Diese Angaben löschen wir, sobald das Konto angelegt ist, spätestens
nach einem Tag. Damit an eine Adresse höchstens zehn solche Mails am
Tag gehen, merken wir uns zu jeder Mail, wann sie ging, zusammen mit
einem Abdruck der Adresse, aus dem sich die Adresse ohne unseren
Schlüssel nicht zurückgewinnen lässt; diesen Eintrag löschen wir nach
spätestens 25 Stunden. Das dient dazu, dass niemand ein Konto auf eine
fremde Adresse anlegen oder über die Registrierung herausfinden kann,
wer bei uns ein Konto hat, und dass sich über die Registrierung kein
fremdes Postfach vollschreiben lässt (Art. 6 Abs. 1 lit. b und f
DSGVO).
Beim Planen: Namen beider Partner, Hochzeitsdatum, Ort, Budget,
Stilvorlieben, Aufgaben, Budgetposten, Verträge (auch als hochgeladene
PDF-Dateien), Anfragen und Buchungen bei Dienstleistern, Nachrichten an
Dienstleister, Bilder für Visionboard und Hochzeitswebsite, eigene Fotos
zu den Geschenken auf dem Geschenktisch.
Was Ihre Gäste davon sehen: Titelbild und Geschenkfotos stehen auf
der Gästeseite; wir liefern sie selbst aus. Das Bild, das beim Anlegen
eines Geschenks aus einem Shop-Link gelesen wird, sehen nur Sie — es
liegt beim Shop, und ein Gast, der es lädt, würde dem Shop dabei seine
IP-Adresse verraten.
Technisch: IP-Adresse und Zeitpunkt bei jedem Aufruf (siehe
Abschnitt 9).
| Zweck | Rechtsgrundlage |
|---|---|
| Konto führen, App bereitstellen | Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO |
| Anmeldung absichern, Missbrauch verhindern | Berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO |
| KI-Funktionen (Abschnitt 7) | Einwilligung, Art. 6 Abs. 1 lit. a DSGVO |
| Nutzungsstatistik (Abschnitt 8) | Einwilligung, Art. 6 Abs. 1 lit. a DSGVO |
| Gesamtzahlen aus Anfragen und Buchungen (Abschnitt 8) | Berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO |
| Gelesen-Haken und Mitteilungen aufs iPhone (Abschnitt 9b) | Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO; dass die Nachricht Ihres Gegenübers dabei als Mitteilung über Apple läuft: berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO |
Statt E-Mail und Passwort kann das Konto über „Mit Apple anmelden" oder
„Mit Google anmelden" angelegt werden. Dabei übermittelt der jeweilige
Anbieter uns eine Kennung und — je nach Einstellung des Nutzers — eine
E-Mail-Adresse. Wir erhalten kein Passwort.
Dass Sie sich anmelden, erfährt der jeweilige Anbieter dabei
zwangsläufig. Wer das nicht möchte, legt das Konto mit E-Mail und
Passwort an; beide Wege stehen gleichberechtigt zur Verfügung.
Ein Paar kann eine zweite Person einladen, dieselbe Hochzeit zu planen.
Dabei erfährt die eingeladene Person alles, was zu dieser Hochzeit
gespeichert ist — einschließlich der Gästedaten.
Die Einladung erfolgt über einen Link, den die einladende Person
verschickt. Wir versenden dafür eine E-Mail an die angegebene Adresse.
Rechtsgrundlage: Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO.
Dieser Abschnitt ist die Information nach Art. 14 DSGVO für
Menschen, deren Daten nicht bei ihnen selbst erhoben wurden.
Name, E-Mail-Adresse, Postanschrift, Zu- oder Absage, Anzahl der
Begleitpersonen, Menüwunsch, Allergien und Unverträglichkeiten,
Musikwunsch, ein Gruß an das Brautpaar, wenn Sie einen schreiben, und
der Platz am Tisch.
Vom Brautpaar. Es trägt seine Gästeliste in ETERNA ein. Wir selbst
erheben nichts bei Ihnen, solange Sie die App nicht nutzen.
Alternativ tragen Sie sich über den Einladungslink selbst ein oder
ergänzen Ihre Angaben dort. In diesem Fall stammen die Daten von Ihnen.
Angaben zu Allergien und Unverträglichkeiten sind Gesundheitsdaten und
damit besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO.
Sie werden nur verarbeitet, wenn eine ausdrückliche Einwilligung
vorliegt — Art. 9 Abs. 2 lit. a DSGVO. ETERNA speichert zu jedem
Gast, ob und wann diese Einwilligung erteilt wurde und auf welche Fassung
dieser Erklärung sie sich bezog.
Ohne Einwilligung wird kein Eintrag über den Einladungslink gespeichert.
Damit das Brautpaar seine Feier planen kann: wer kommt, wer wo sitzt,
was gekocht wird.
Rechtsgrundlage für die übrigen Angaben: berechtigtes Interesse des
Brautpaares an der Planung seiner Feier, Art. 6 Abs. 1 lit. f DSGVO.
Für die Gesundheitsdaten: Ihre ausdrückliche Einwilligung, Art. 9 Abs. 2
lit. a DSGVO.
Bis 90 Tage nach dem Hochzeitsdatum. Danach werden die Gästedaten
automatisch gelöscht. Löscht das Paar sein Konto früher, werden sie
sofort mit gelöscht.
Das Brautpaar und eine von ihm eingeladene zweite Person. Sonst niemand
— insbesondere sehen andere Gäste Ihre Angaben nicht. Die Gästesuche auf
der Einladungsseite gibt keine Auskunft darüber, wer auf der Liste steht:
Ohne Ihren persönlichen Link erhält niemand Ihre Daten.
Sie haben alle Rechte aus Abschnitt 12 — Auskunft, Berichtigung,
Löschung, Widerspruch, Widerruf der Einwilligung.
Wenden Sie sich am einfachsten direkt an das Brautpaar, das Sie
eingeladen hat: Es kann Ihren Eintrag in der App sofort ändern oder
löschen. Sie können sich aber auch an uns wenden (Kontakt in Abschnitt 1).
Firmenname, Beschreibung, Sparte, Ort, Preisspanne, Bilder,
Ansprechpartner, Kontaktdaten und — falls im Profil hinterlegt —
Nachweise wie Handelsregister- oder Umsatzsteuernummer.
Für das Konto selbst gilt dasselbe wie beim Brautpaar: E-Mail-Adresse,
Anzeigename und Passwort-Hash, angelegt erst mit dem Code aus einer Mail
(Abschnitt 3). Nach einer Löschung bleibt dieselbe leere Hülle
(Abschnitt 11).
Das öffentliche Profil ist für angemeldete Paare sichtbar. Nachrichten
zwischen Dienstleister und Paar sind nur für die Beteiligten sichtbar.
Hat das Paar auf seinem iPhone Mitteilungen erlaubt, läuft der Anfang
einer Nachricht dafür über Apple und steht auf seinem Sperrbildschirm
(Abschnitt 9b); dasselbe gilt umgekehrt.
Im Tagesablauf eines Paares kann ein Dienstleister nur stehen, wenn
das Paar mit ihm schreibt oder ihn gebucht hat. Wer von diesem Paar den
Link zu seinem Tagesablauf bekommt — etwa Gäste oder andere
Dienstleister —, sieht dann Firmennamen, Sparte und Ort.
Telefonnummer und E-Mail-Adresse stehen dort nie.
Rechtsgrundlage: Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO. Dass
die Nachricht eines Dienstleisters dabei als Mitteilung über Apple
läuft, stützt sich auf das berechtigte Interesse beider Seiten an einer
zeitnahen Zustellung, Art. 6 Abs. 1 lit. f DSGVO (Abschnitt 9b).
Sonderfall KI: Nutzt ein Paar die Funktion „Gespräch
zusammenfassen", gehen auch die Nachrichten des Dienstleisters mit an
Mistral AI (Abschnitt 7). Dem liegt unser berechtigtes Interesse an einer
brauchbaren Zusammenfassung zugrunde, Art. 6 Abs. 1 lit. f DSGVO.
Dienstleister können dem widersprechen (Art. 21 DSGVO). Dann bleibt
jedes ihrer Gespräche von der KI-Verarbeitung ausgenommen — auch
rückwirkend für Gespräche, die schon laufen.Der Weg dorthin steht in der App: Profil → „Euer Konto" →
„Keine KI-Auswertung meiner Nachrichten". Ein Schalter, sofort
wirksam, jederzeit umlegbar.Wer lieber schreibt, kann das auch: eine formlose Nachricht an
hallo@einladungendigital.de genügt; wir setzen den Widerspruch
dann für Sie.
Die KI-Funktionen sind standardmäßig abgeschaltet. Ohne Ihre
ausdrückliche Einwilligung im Profil wird das Sprachmodell nie
aufgerufen. Das prüft eine zentrale Stelle, an der jeder einzelne
KI-Aufruf vorbeimuss.
Sie können die Einwilligung jederzeit im Profil widerrufen. Ab dem
Widerruf findet keine Übermittlung mehr statt; die Rechtmäßigkeit der
bis dahin erfolgten Verarbeitung bleibt unberührt (Art. 7 Abs. 3 DSGVO).
| Funktion | Was an Mistral geht |
|---|---|
| Gespräch zusammenfassen | der Nachrichtenverlauf im Wortlaut. Die Namen der Beteiligten werden durch „Teilnehmer A" und „Teilnehmer B" ersetzt, der Inhalt nicht. Er kann Namen, Preise, Anschriften und Telefonnummern enthalten |
| Vertrag auslesen | der vollständige Text des hochgeladenen PDF: Vertragsparteien, Anschriften, Summen, Fristen |
| Sitzplan: Sprachfeld | Ihr Satz und die Namen von Gästen und Gruppen. Keine Anschriften, keine Zu- oder Absagen, keine Allergien, keine Menüwünsche |
| Geschenk aus Shop-Link | nur die öffentliche Produktseite. Nichts über Personen |
Der Sitzplan selbst wird auf unserem eigenen Server gerechnet, ohne
Sprachmodell. Dafür verlässt kein Gästedatum das Haus. Nur Sätze, die
unsere eigene Erkennung nicht versteht, gehen — und nur mit
eingeschalteter KI — an das Modell.
Allergien und Gesundheitsdaten werden nie an ein Sprachmodell
übermittelt.
Die Eingaben sind ausserdem der Länge nach gekappt (ein Vertragstext
auf 18.000 Zeichen), und jedes Konto hat ein Tages- und Minutenlimit.
Anbieter ist die Mistral AI SAS, 15 rue des Halles, 75001 Paris,
Frankreich.
Die Verarbeitung findet in der Europäischen Union statt — der
Anbieter hat seinen Sitz und seine Server dort. Eine Übermittlung in
ein Drittland findet nicht statt. Es ist deshalb auch keine
Angemessenheitsentscheidung und keine Standardvertragsklausel nötig.
Das ist keine bloße Zusage: Der Server weigert sich, die
KI-Funktionen überhaupt zu benutzen, solange die Anfragen nicht an
einen europäischen Endpunkt aus einer im Quelltext hinterlegten Liste
gehen. Fällt diese Einstellung weg, bleiben die KI-Funktionen aus,
statt still über einen anderen Weg zu laufen.
Mit Mistral AI besteht ein Auftragsverarbeitungsvertrag nach
Art. 28 DSGVO.
Nach den Angaben des Anbieters werden über die Programmierschnittstelle
übermittelte Inhalte nicht zum Training der Modelle verwendet.
Bis zum 13.9.2026 war OpenAI der Anbieter dieser Funktionen. Die
KI war in dieser Zeit abgeschaltet: Der Server liess sie nur über
OpenAIs europäische Datenhaltung zu, und die stand uns nicht zur
Verfügung. Es wurden also keine Daten an OpenAI übermittelt.
Diese Funktion ist ausgeschaltet, bis Sie sie einschalten. Ein neu
angelegtes Konto erfasst nichts. Den Schalter finden Sie im Profil
unter „Nutzung auswerten".
Wenn Sie einschalten, erfasst ETERNA, wie oft bestimmte Dinge
geschehen — etwa dass eine Aufgabe angelegt oder ein Budget gesetzt
wurde, welcher Bildschirm geöffnet wurde und ob eine Aktion geklappt
hat. Es sind 34 solcher Ereignisse; ihre Namen stehen abschliessend im
Quelltext (ereignis-katalog.ts), der Server nimmt keinen anderen an.
Erfasst wird der Name des Ereignisses, nicht sein Inhalt: dass eine
Aufgabe angelegt wurde, nicht wie sie heißt. Dazu kommen höchstens zehn
feste Zusatzangaben, ebenfalls ohne freien Text — Bildschirm, Sparte,
Bereich, Zweck, Quelle, Variante, Grund, Anzahl, Dauer, Erfolg. Die
Zuordnung erfolgt über eine zufällige Kennung, nicht über Ihren Namen
oder Ihre E-Mail-Adresse.
Zweck ist die Verbesserung der App. Es findet keine Weitergabe an
Dritte statt, kein Werbenetzwerk, kein Analysedienst.
Rechtsgrundlage: Einwilligung, Art. 6 Abs. 1 lit. a DSGVO. Sie
erteilen sie, indem Sie den Schalter einschalten; ohne diese Handlung
findet keine Erfassung statt. Sie können die Einwilligung jederzeit im
Profil widerrufen — dabei wird auch das gelöscht, was bis dahin
gesammelt wurde.
Unabhängig von diesem Schalter bildet ETERNA aus den Anfragen,
Nachrichten und Buchungen, die für die App ohnehin gespeichert sind,
Gesamtzahlen — etwa wie viele Anfragen beantwortet und wie viele
gebucht wurden —, ohne Namen, ohne den Inhalt einer Nachricht zu lesen
und ohne neue Daten zu erheben (berechtigtes Interesse an einem
funktionierenden Marktplatz, Art. 6 Abs. 1 lit. f DSGVO).
Wir versenden keine Werbe-E-Mails. E-Mails von ETERNA sind
ausschließlich betrieblich: der Code zum Anlegen eines Kontos oder der
Hinweis, dass es zu einer Adresse schon eines gibt, Bestätigung der
Adresse, Zurücksetzen des Passworts, Einladung zum gemeinsamen Planen,
an Dienstleister die Nachricht, ob ihr Profil nach der Prüfung in der
Suche steht oder noch etwas braucht, Störungsmeldungen, Nachrichten zu
Anfragen und Buchungen (eine neue Anfrage, eine Zusage oder Absage, die
Erinnerung an eine offene Zusage) und der Hinweis auf eine neue
Nachricht, ohne deren Inhalt (Abschnitt 9b). Sagt ein Dienstleister
eine Buchung ab, nennt die E-Mail an das Paar auch, was mit seinem Geld
geschieht — etwa „Die 500 € Anzahlung bekommt ihr zurück, die geplante
Rate über 400 € fällt weg". Das sind Beträge, die das Paar selbst in
ETERNA eingetragen hat; sie gehen nur an das Paar, nicht an den
Dienstleister.
Wer auf einladungendigital.de eine digitale Einladungskarte
bestellt, findet in der Bestellbestätigung einen Link zu ETERNA. Hinter
beiden Angeboten steht derselbe Verantwortliche (siehe Abschnitt 1).
Was in diesem Link steckt: Bestellnummer, die Vornamen des Paares,
der Ort, der Termin, das gebuchte Paket und die für die Karte gewählten
Abschnitte. Die Angaben sind im Link selbst enthalten und mit einer
Signatur gegen Veränderung gesichert.
Nicht enthalten sind E-Mail-Adresse, Telefonnummer, Anschrift,
Betrag, Zahlungsdaten und die Nachricht an das Atelier.
Übertragen wird erst, wenn Sie es tun. Der Link zeigt Ihnen zuerst,
was übernommen würde — Feld für Feld, zum Abhaken. Erst Ihr Tippen auf
„Übernehmen" schreibt die Angaben in Ihre Hochzeit. Was bei Ihnen schon
steht, wird dabei nicht überschrieben. Rechtsgrundlage ist Ihre
Einwilligung, Art. 6 Abs. 1 lit. a DSGVO; wir halten fest, welche
Felder Sie ausgewählt haben und wann. Löschen Sie Ihr Konto, geht
auch dieser Vermerk samt den übernommenen Angaben.
Lösen Sie den Link nie ein, entsteht bei ETERNA nichts — weder ein
Konto noch ein Datensatz zu Ihrer Bestellung.
Wir suchen Ihre Bestellung auch ohne den Link. Melden Sie sich bei
ETERNA als Paar mit einer E-Mail-Adresse an, die Sie bei uns mit einem
Code bestätigt haben, fragt unser Server bei einladungendigital.de nach,
ob zu genau dieser Adresse eine bezahlte Bestellung mit ETERNA vorliegt.
Dafür übermitteln wir die Adresse an den Shop; es ist derselbe
Verantwortliche (siehe Abschnitt 1). Liegt eine vor, antwortet der Shop
mit denselben Angaben, die im Link stehen, und ETERNA zeigt Ihnen, was
übernommen würde. Gespeichert wird auch hier erst, wenn Sie auf
„Übernehmen" tippen; bis dahin hält unser Server die Antwort höchstens
fünf Minuten im Arbeitsspeicher, damit nicht jeder App-Start erneut
fragt. Mit einer Apple-Weiterleitungsadresse fragen wir nicht.
Rechtsgrundlage ist unser berechtigtes Interesse, Ihnen eine bereits
bezahlte Bestellung ohne Umweg anzubieten (Art. 6 Abs. 1 lit. f DSGVO).
Eine andere Adresse. Steht Ihre Bestellung unter einer anderen
E-Mail-Adresse als Ihr Konto, können Sie diese Adresse im Profil unter
„Karte unter anderer Adresse" angeben. Wir schicken an sie einen
sechsstelligen Code; erst wenn Sie ihn in der App eingeben, fragen wir
mit dieser Adresse beim Shop nach, wie oben beschrieben. Adresse und
Code halten wir dafür höchstens 15 Minuten im Arbeitsspeicher, dazu
zählen wir 24 Stunden lang, wie viele Codes an die Adresse gingen
(höchstens fünf am Tag), damit niemand ein fremdes Postfach
vollschreibt. Gespeichert oder an Ihr Konto gehängt wird die Adresse
nicht. Rechtsgrundlage ist die Erfüllung Ihrer Anfrage (Art. 6 Abs. 1
lit. b DSGVO).
Die fertige Einladungskarte liegt unter ihrer eigenen Adresse. Ist
sie gebaut, hinterlegen wir diese Adresse bei Ihrer Hochzeit, damit sie
oben auf Ihrer Gästeseite erscheint. Ihre Gäste rufen sie von dort auf;
ETERNA lädt dabei nichts von der anderen Seite nach, sondern verweist
darauf.
Der Kauf schaltet in ETERNA keine Funktion frei. Gästeliste,
Sitzplan, Budget, Aufgaben und Gästeseite stehen jedem Paar offen, ob
mit oder ohne bestellte Karte.
Bei jedem Aufruf verarbeitet unser Server technisch notwendige Daten:
IP-Adresse, Zeitpunkt, aufgerufene Adresse, übertragene Datenmenge,
Statuscode und die Kennung des verwendeten Programms.
Diese Daten sind nötig, damit die App überhaupt ausgeliefert werden
kann, und dienen der Erkennung und Abwehr von Angriffen. Insbesondere
begrenzen wir die Zahl der Anfragen je Absender.
Rechtsgrundlage: berechtigtes Interesse an einem sicheren und
funktionierenden Betrieb, Art. 6 Abs. 1 lit. f DSGVO.
Speicherdauer: Diese Protokolle werden nicht nach Zeit, sondern
nach Umfang begrenzt: Es werden höchstens drei Dateien zu je zehn
Megabyte vorgehalten; ältere Einträge werden dabei überschrieben. Je
nach Aufkommen entspricht das einem Zeitraum von wenigen Tagen bis
einigen Wochen.
Stürzt die App ab, schickt sie einen Bericht darüber an Sentry. Er
enthält, was zum Beheben nötig ist, und nichts darüber hinaus:
Was NICHT mitgeht: Name, E-Mail-Adresse, Konto-Kennung oder
IP-Adresse. Die Einstellung dafür (sendDefaultPii) steht ausdrücklich
auf aus. Es lässt sich damit nicht sagen, WER abgestürzt ist — nur, WAS
abgestürzt ist.
Ein kleiner Teil der Aufrufe (5 %) wird ausserdem auf Geschwindigkeit
gemessen, damit auffällt, wenn etwas dauerhaft langsam wird.
Anbieter: Sentry, mit Datenhaltung in der Europäischen Union
(ingest.de.sentry.io), auf Grundlage eines
Auftragsverarbeitungsvertrags.
Rechtsgrundlage: Berechtigtes Interesse an einer funktionierenden
App, Art. 6 Abs. 1 lit. f DSGVO. Ohne Absturzberichte erfahren wir von
einem Fehler erst, wenn jemand schreibt — und die meisten schreiben
nicht, sie hören auf.
Speicherdauer: 90 Tage, danach löscht Sentry sie automatisch.
Unter jeder eigenen Nachricht zeigt ETERNA einen Haken für „gesendet"
und zwei für „gelesen". Gelesen heißt: Die Nachricht stand im
geöffneten Gespräch auf dem Bildschirm — nicht schon, wenn sie auf
dem Telefon angekommen ist, und nicht, solange die App im Hintergrund
liegt oder das Telefon gesperrt ist. Liest Ihr Gegenüber, während Sie
das Gespräch geöffnet haben, springt der Haken sofort um. Ihr Gegenüber
erfährt damit also auch ungefähr, wann Sie gelesen haben.
Das lässt sich abschalten, nach dem Vorbild der Messenger und in
beide Richtungen: Wer unter Profil → „Lesebestätigungen senden"
ausschaltet (Betriebe: Profil → „Euer Konto" → „Lesebestätigungen
senden"), sendet keine Lesebestätigungen mehr und sieht auch die der
anderen nicht. Voreingestellt ist der Schalter an. Ob eine Nachricht für
Sie selbst noch ungelesen ist — der Punkt an der unteren Leiste —, merkt
sich ETERNA in jedem Fall.
Rechtsgrundlage: Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO. Der
Haken gehört zur Nachrichtenfunktion.
Wenn Sie es erlauben, gibt ETERNA Ihnen auf dem iPhone Bescheid, sobald
Ihnen jemand schreibt. Gefragt wird nicht beim ersten Start, sondern
wenn Sie in einem Gespräch zum ersten Mal selbst geschrieben haben; die
Frage stellt Ihr iPhone. Ohne Ihr Ja dort geht keine Mitteilung
hinaus.
Was in der Mitteilung steht: der Name des Absenders und der Anfang
der Nachricht, höchstens 180 Zeichen. Bei einem angehängten Bild steht
dort „Ein Bild", bei einer Datei ihr Name. Die Mitteilung erscheint auf
dem Sperrbildschirm — wer Ihr Telefon in die Hand nimmt, kann sie
lesen, ohne es zu entsperren. Wer das nicht möchte, stellt in den
Einstellungen des iPhones unter Mitteilungen → ETERNA die Vorschau auf
„Wenn entsperrt" oder schaltet die Mitteilungen in ETERNA ganz aus.
Über wen sie läuft: Mitteilungen an ein iPhone lassen sich nur über
den Apple Push Notification service (APNs) schicken. Dafür
übermitteln wir an Apple den Schlüssel, den Apple Ihrem Telefon für
ETERNA gegeben hat, den Text der Mitteilung wie oben beschrieben und die
Kennung des Gesprächs, damit ein Tippen darauf das richtige Gespräch
öffnet. Apple bewahrt eine Mitteilung auf, bis sie zugestellt ist; ist
das Telefon ausgeschaltet, höchstens einen Tag — diese Frist geben wir
jeder Mitteilung mit. Andere Dienste, etwa Firebase von Google, sind
nicht beteiligt.
Anbieter ist die Apple Inc., One Apple Park Way, Cupertino, CA 95014,
USA. Die Angaben werden dafür in die USA übermittelt. Apple ist
nach dem EU-US Data Privacy Framework zertifiziert; die Übermittlung
stützt sich auf den Angemessenheitsbeschluss der Europäischen
Kommission vom 10. Juli 2023 (Art. 45 DSGVO). Datenschutzhinweise von
Apple: https://www.apple.com/legal/privacy/de-ww/
Bei uns gespeichert werden der Schlüssel Ihres Telefons, die Art des
Geräts und wann es sich zuletzt gemeldet hat. Die Mitteilungen selbst
speichern wir nicht.
Rechtsgrundlage: Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO —
Sie haben die Mitteilungen erlaubt, um von neuen Nachrichten zu
erfahren. Den Schlüssel liest die App auf Ihrem Telefon erst aus,
nachdem Sie Mitteilungen erlaubt haben (§ 25 Abs. 2 Nr. 2 TDDDG). Auch
die Nachricht Ihres Gegenübers läuft auf diesem Weg über Apple; das
stützt sich auf das berechtigte Interesse beider Seiten an einer
zeitnahen Zustellung, Art. 6 Abs. 1 lit. f DSGVO.
Abschaltbar, jederzeit: in den Einstellungen des iPhones unter
Mitteilungen → ETERNA — und solange ETERNA Ihnen Mitteilungen anbietet,
auch in der App unter Profil → „Mitteilungen" (Betriebe: Profil →
„Euer Konto" → „Mitteilungen"). Das Abschalten in den Einstellungen des
iPhones erfährt ETERNA erst, wenn Sie die App das nächste Mal öffnen;
dann vergessen wir den Schlüssel dieses Telefons, bis Sie Mitteilungen
wieder erlauben. Bis dahin gehen neue Nachrichten weiter als Mitteilung
an Apple, Ihr iPhone zeigt sie nur nicht an — und eine E-Mail kommt
dafür auch nicht. Beim Abmelden in der App vergessen wir den
Schlüssel dieses Telefons; werden alle Sitzungen beendet — beim
Zurücksetzen des Passworts oder beim Löschen des Kontos —, die
Schlüssel aller Ihrer Telefone. Wer eine gemeinsame Planung verlässt
oder daraus entfernt wird, bleibt angemeldet und behält seine
Mitteilungen; zu den Gesprächen dieser Planung bekommt er ab dann
keine mehr.
Wer eine Mitteilung bekommen hat, bekommt dafür keine E-Mail. Wer
keine bekommt, erhält wie bisher höchstens eine E-Mail je Gespräch und
Stunde — ohne den Inhalt der Nachricht: Eine E-Mail bleibt auf fremden
Mailservern liegen, oft über Jahre; eine Mitteilung nicht.
Auf Android-Telefonen gibt es diese Mitteilungen noch nicht.
Wir geben Daten nur weiter, soweit es für den Betrieb nötig ist. Mit
Hetzner, InterNetworX, Mistral AI und Sentry, die in unserem Auftrag
arbeiten, bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO.
Apple und Google erbringen Anmeldung und Mitteilungen nach ihren eigenen
Bedingungen (Abschnitte 3 und 9b).
| Empfänger | Wofür | Wo |
|---|---|---|
| Hetzner Online GmbH, Gunzenhausen | Server und Datensicherung | Server: Finnland (Rechenzentrum Helsinki). Zweite Kopie der verschlüsselten Datensicherung: Deutschland (Falkenstein) |
| InterNetworX Management GmbH, Prinzessinnenstr. 30, 10969 Berlin | Versand aller E-Mails von ETERNA (Abschnitt 8a): Codes zum Anlegen eines Kontos, Bestätigungs- und Einladungsmails, Nachrichten zu Anfragen und Buchungen | Deutschland |
| Mistral AI SAS, 15 rue des Halles, 75001 Paris | nur bei eingeschalteten KI-Funktionen, siehe Abschnitt 7 | Frankreich (EU) |
| Sentry (Functional Software, Inc.), EU-Datenhaltung | Absturzberichte, siehe Abschnitt 9a | Europäische Union |
| Apple Inc., Cupertino | Mitteilungen aufs iPhone über den Apple Push Notification service, siehe Abschnitt 9b | USA, EU-US Data Privacy Framework |
| Apple / Google | nur bei Anmeldung über diese Anbieter, siehe Abschnitt 3 | siehe dort |
Darüber hinaus geben wir Daten weiter, wenn wir gesetzlich dazu
verpflichtet sind.
Kein Werbenetzwerk, keine Analysedienste Dritter, kein
Weiterverkauf.
| Was | Wie lange |
|---|---|
| Angaben zu einem Konto, das noch nicht angelegt ist | bis der Code eingegeben ist, höchstens 1 Tag |
| Zeitpunkt jeder Mail zum Anlegen eines Kontos, mit Abdruck der Adresse | höchstens 25 Stunden |
| Kontodaten des Paares | bis zur Löschung des Kontos; danach bleibt nur eine leere Hülle, siehe unten |
| Gästedaten | Hochzeitsdatum + 90 Tage, danach automatisch gelöscht |
| Zugangstoken | 15 Minuten |
| Schlüssel eines Telefons für Mitteilungen | bis zum Abmelden auf diesem Telefon, bis alle Sitzungen beendet werden, bis die App beim Öffnen feststellt, dass das iPhone keine Mitteilungen mehr erlaubt, oder bis Apple ihn für ungültig erklärt |
| Mitteilungen bei Apple | bis zur Zustellung, höchstens einen Tag |
| Erneuerungstoken | 7 Tage |
| Nutzungsstatistik | 180 Tage; die Zählung der KI-Aufrufe 60 Tage |
| Server-Protokolle | nach Umfang begrenzt, siehe Abschnitt 9 |
| Rechnungen eines Dienstleisters | 10 Jahre, § 147 AO |
| Datensicherungen | 7 Stände, verschlüsselt |
Zu den Rechnungen: Löschen Sie Ihr Konto, werden Rechnungen nicht
gelöscht, sondern von personenbezogenen Notizen bereinigt. Die
Aufbewahrung ist steuerrechtlich vorgeschrieben; die Rechtsgrundlage ist
Art. 6 Abs. 1 lit. c DSGVO.
Zur leeren Hülle: Damit diese Rechnungen und zugesagte Buchungen
einem Konto zugeordnet bleiben, bleibt von einem gelöschten Konto ein
Datensatz mit genau drei Angaben: einer zufälligen Kennung, ob es ein
Paar oder ein Dienstleister war, und dem Datum der Löschung. Er bleibt
ohne Frist bestehen. Name, E-Mail-Adresse, Passwort, Anmeldezeiten,
Einwilligungen und die Kennung der Nutzungsstatistik sind darin nicht
mehr enthalten.
Zu den Datensicherungen: Aus technischen Gründen können gelöschte
Daten noch in Sicherungen enthalten sein, bis diese nach spätestens
sieben Tagen überschrieben werden. Es werden sieben tägliche Stände
vorgehalten.
Sie haben das Recht auf:
| Recht | Wo in ETERNA |
|---|---|
| Auskunft und Übertragbarkeit | Profil → „Unsere Daten herunterladen" |
| Löschung | Profil → „Konto löschen". Löscht auch die Gästedaten und nimmt die Hochzeitswebsite vom Netz |
| Widerruf der KI-Einwilligung | Profil → „KI-Funktionen" ausschalten |
| Widerruf der Statistik-Einwilligung | Profil → „Nutzung auswerten" ausschalten |
Für alles Übrige genügt eine formlose Nachricht an die Adresse in
Abschnitt 1.
Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren,
insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres
Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77 DSGVO).
Für uns zuständig ist:
Landesbeauftragte für Datenschutz und Informationsfreiheit
Nordrhein-Westfalen
Kavalleriestraße 2–4
40213 Düsseldorf
https://www.ldi.nrw.de
Es findet keine automatisierte Entscheidungsfindung einschließlich
Profiling nach Art. 22 DSGVO statt. Die Vorschläge der App — etwa ein
Sitzplan — sind Vorschläge; entschieden wird von Menschen.
ETERNA setzt keine Cookies zu Werbe- oder Analysezwecken und bindet
keine fremden Inhalte ein, die solche setzen könnten. Es wird kein
Einwilligungsbanner benötigt.
Die App speichert auf Ihrem Gerät technisch notwendige Angaben, damit
Sie angemeldet bleiben. Diese verlassen Ihr Gerät nur als Nachweis
gegenüber unserem Server.
Wir passen diese Erklärung an, wenn sich die App ändert oder die
Rechtslage es verlangt. Die jeweils geltende Fassung ist über die App
erreichbar. Bei wesentlichen Änderungen holen wir Ihre Einwilligung
erneut ein.
Fassung: 2026-10-01
Stand: 1. Oktober 2026