Datenschutzerklärung

Entwurf – vor Livegang anwaltlich prüfen. Stand: 22.10.2026.

1. Verantwortlicher

Mathias Esser, Hofmarkstraße 10, 85283 Wolnzach, me@mathiasesser.de. Ein Datenschutzbeauftragter ist nicht bestellt (keine Pflicht nach § 38 BDSG).

2. Grundsatz: so wenig Daten wie möglich

sitzplan.jetzt verwendet keine Analyse-Werkzeuge, keine Werbung, keine externen Schriften oder Skripte und außer dem Anmelde-Cookie keine Cookies. Inhalte deiner Sitzpläne (Klassen, Namen, Markierungen) werden auf deinem Gerät verschlüsselt (AES-GCM, Schlüssel aus deinem Passwort bzw. Wiederherstellungsschlüssel abgeleitet), bevor sie zur Synchronisation an den Server gehen. Wir können diese Inhalte nicht lesen.

3. Aufruf der Website

Beim Aufruf verarbeitet der Webserver technisch notwendig die IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode und Browserkennung. In den Server-Logs wird die IP-Adresse nur gekürzt gespeichert; Löschung nach 14 Tagen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sicherer Betrieb).

4. Nutzung ohne Konto

Ohne Konto bleiben alle Inhalte ausschließlich im Speicher deines Browsers (localStorage) und werden nicht an uns übertragen.

5. Konto

• Kontodaten: E-Mail-Adresse, Passwort (nur als bcrypt-Hash), Zeitpunkte von Registrierung, Einwilligungen und Testzeitraum, Abo-Status. Beim Login wird das Passwort verschlüsselt (TLS) übertragen und nur geprüft, nie gespeichert oder protokolliert.
• Verschlüsselte Inhalte: Chiffrat deiner Sitzpläne sowie die mit deinem Passwort bzw. Wiederherstellungsschlüssel verschlüsselten Schlüssel.
• Session-Cookie „sp_session“ (technisch notwendig, 30 Tage, HttpOnly).
• Missbrauchsschutz: Zähler für Anfragen mit IP bzw. E-Mail nur als HMAC-Prüfwert, Löschung nach 24 h.
• Versandprotokoll: Zeitpunkt, Empfänger, Zweck und Zustellstatus versandter E-Mails (ohne Inhalt), Löschung nach 90 Tagen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag), für Missbrauchsschutz lit. f.

6. Zahlung und Rechnungen

Bezahlte Abos wickelt Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland, ab (eigenständig Verantwortlicher für die Zahlungsabwicklung). Dabei verarbeitet Stripe u. a. E-Mail, Name, Rechnungsadresse und Zahlungsdaten; Zahlungsdaten erhalten wir nicht. Bei Zahlung per PayPal ist zusätzlich PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg, beteiligt. Stripe kann Daten in die USA übermitteln (Grundlage: EU-US Data Privacy Framework bzw. Standardvertragsklauseln). Wir speichern nur Kunden- und Abo-Kennungen von Stripe sowie den Status. Rechnungen bewahren wir gemäß § 147 AO / § 257 HGB 10 Jahre auf. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO.

7. Hosting und E-Mail-Versand

• Server: Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen; Rechenzentrum Nürnberg, Deutschland (Auftragsverarbeitung nach Art. 28 DSGVO).
• E-Mail-Versand (Bestätigungs-, Passwort- und Abo-Mails): Google Workspace, Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland (Auftragsverarbeitung; mögliche Übermittlung in die USA auf Grundlage des EU-US Data Privacy Framework bzw. Standardvertragsklauseln).

8. Kündigung über die Website

Über „Verträge hier kündigen“ verarbeiten wir die angegebenen Daten (E-Mail, ggf. Name, Grund, Zeitpunkt) zur Durchführung und zum Nachweis der Kündigung (Art. 6 Abs. 1 lit. b, c DSGVO), Löschung 3 Jahre nach Vertragsende.

9. Speicherdauer

Kontodaten und Inhalte bis zur Löschung des Kontos (jederzeit in der App möglich). Nicht bestätigte Registrierungen werden nach 7 Tagen gelöscht. Steuerlich relevante Belege 10 Jahre.

10. Deine Rechte

Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit (Backup-Export in der App), Widerspruch (Art. 15–21 DSGVO) sowie Beschwerde bei einer Aufsichtsbehörde, z. B. dem Bayerischen Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

11. Hinweis für Lehrkräfte und Schulen

Für die Namen von Schülerinnen und Schülern bist du bzw. deine Schule verantwortlich. Nutze die App im Rahmen der Vorgaben deines Landes und deiner Schule; Vornamen oder Kürzel genügen. Für den Einsatz durch Schulen stellen wir einen Auftragsverarbeitungsvertrag bereit.