Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

David Novakovic

Spielmanngasse 4/16/3
1200 Wien
Österreich

Datenschutz- und Betroffenenanfragen: office@dailymission.app. Produkt-Support: support@dailymission.app. Website: dailymission.app.

2. Geltungsbereich und Kategorien personenbezogener Daten

3. Zwecke und Rechtsgrundlagen

• Bereitstellung der Website, technische Stabilität und Missbrauchsschutz: berechtigte Interessen an einer sicheren und zuverlässigen Website (Art. 6 Abs. 1 lit. f DSGVO).
• Registrierung, Authentifizierung, Kontoverwaltung und Profilfunktionen: Erfüllung des Nutzungsvertrags und Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage (Art. 6 Abs. 1 lit. b DSGVO). Sicherheitsprüfungen beruhen zusätzlich auf dem berechtigten Interesse am Schutz von Konten und Diensten (Art. 6 Abs. 1 lit. f DSGVO).
• Lokale Speicherung betrieblicher App- und Widget-Daten sowie Synchronisierung der unterstützten Datenstandsfelder und des Benachrichtigungsplans: Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).
• Soweit im veröffentlichten Dienst aktiviert, Synchronisierung und kontenübergreifende Anzeige von Freundschaftsbeziehungen und -aktivitäten, Challenge-Mitgliedschaften, Einladungen, Check-ins und Mitgliederfortschritten: Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO) und berechtigte Interessen an der richtigen Zuordnung von Einladungen, der Durchsetzung von Zugriffsgrenzen und am Missbrauchsschutz (Art. 6 Abs. 1 lit. f DSGVO).
• Zitat- und Einladungslinks: Erfüllung der von Ihnen ausdrücklich angeforderten Teilen-Funktion (Art. 6 Abs. 1 lit. b DSGVO). Der öffentliche Abruf erfolgt auf Ihre Veranlassung, wenn Sie den Link erstellen und versenden.
• Problemmeldungen und Support: Erfüllung des Nutzungsvertrags und Bearbeitung Ihrer Anfrage (Art. 6 Abs. 1 lit. b DSGVO) sowie berechtigte Interessen an Fehlerdiagnose, Missbrauchsschutz und Verbesserung von Sicherheit und Zuverlässigkeit (Art. 6 Abs. 1 lit. f DSGVO).
• Käufe, Testzeiträume und Berechtigungen: Erfüllung des Abonnementvertrags (Art. 6 Abs. 1 lit. b DSGVO), Erfüllung steuer-, rechnungslegungs- und verbraucherrechtlicher Pflichten (Art. 6 Abs. 1 lit. c DSGVO) sowie berechtigte Interessen an der Verhinderung von Kaufbetrug (Art. 6 Abs. 1 lit. f DSGVO).
• Abstimmung und Dokumentation des Kontolöschstatus: Erfüllung der von Ihnen verlangten Löschung (Art. 6 Abs. 1 lit. b DSGVO), Erfüllung anwendbarer Lösch- und Rechenschaftspflichten (Art. 6 Abs. 1 lit. c DSGVO) sowie berechtigte Interessen an der Verhinderung eines Missbrauchs von Löschbelegen und an der Klärung unterbrochener oder verlorener Antworten (Art. 6 Abs. 1 lit. f DSGVO).
• Ruhezustand für Schreibvorgänge während der Kontolöschung: Erfüllung der von Ihnen verlangten Löschung (Art. 6 Abs. 1 lit. b DSGVO) sowie berechtigte Interessen daran, neue kontoeigene Storage-Schreibvorgänge zu blockieren, während vorhandene Dateien sicher und zuverlässig gelöscht werden (Art. 6 Abs. 1 lit. f DSGVO).
• Supabase-Auth-, API- und Edge-Function-Protokolle sowie technische, Geräte- und Nutzungsmetadaten von RevenueCat: Betrieb der Konto- und Abonnementfunktionen (Art. 6 Abs. 1 lit. b DSGVO) sowie berechtigte Interessen an Dienstsicherheit, Fehleranalyse, Verfügbarkeit, Missbrauchs- und Betrugsprävention (Art. 6 Abs. 1 lit. f DSGVO).
• Optionale Benachrichtigungen, Profilfotos, Kamera- oder Fotomediathekszugriff: Ihre freiwillige Aktivierung oder Auswahl (Art. 6 Abs. 1 lit. a DSGVO, soweit die Einwilligung die einschlägige Grundlage ist) und Bereitstellung der von Ihnen angeforderten Funktion (Art. 6 Abs. 1 lit. b DSGVO). Eine Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.
• Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen und Erfüllung behördlicher Anforderungen: berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO) oder rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO).

4. Erforderliche und freiwillige Angaben

Technische Website-Anfragedaten werden automatisch übermittelt und sind für die sichere Auslieferung der angeforderten Seite erforderlich. Eine E-Mail-Adresse oder Anbieterkennung und die zugehörigen Authentifizierungsdaten sind für die Einrichtung und Nutzung eines Kontos erforderlich. Ohne diese Daten können Kontoanmeldung, Synchronisierung, soziale Funktionen und kontogebundene Berechtigungen nicht bereitgestellt werden.

Profilfoto, optionale Profilangaben, Benachrichtigungen, Kamera- und Fotomediathekszugriff, Google OAuth, soziale Funktionen, Zitat-Teilen, Käufe und Supportmeldungen sind freiwillig. Wenn Sie die für eine optionale Funktion erforderlichen Daten nicht bereitstellen, bleibt ausschließlich diese Funktion nicht verfügbar. E-Mail-Authentifizierung und „Mit Apple anmelden“ bleiben Alternativen zu Google OAuth, sofern sie in der App angezeigt werden.

Mission fordert keine besonderen Kategorien personenbezogener Daten wie Gesundheitsdaten, religiöse oder weltanschauliche Überzeugungen, politische Meinungen, Gewerkschaftszugehörigkeit, genetische oder biometrische Identifikationsdaten sowie Angaben zum Sexualleben oder zur sexuellen Orientierung an. Geben Sie solche Daten nicht in synchronisierte Freitextfelder oder Bilder, Supportnachrichten oder öffentliche Teilen-Links ein. Werden Mission solche Daten dennoch unbeabsichtigt bekannt, werden sie nur verarbeitet, soweit dies zur Bearbeitung oder Löschung der Übermittlung, zum Schutz von Rechtsansprüchen oder zur Erfüllung einer gesetzlichen Pflicht erforderlich ist; eine eigenständige Produktnutzung erfolgt nicht.

5. Geteilte und öffentlich zugängliche Inhalte

Soweit die zugehörigen Migrationen und Funktionen in der Produktionsumgebung deployt sind, ist Mission dafür ausgelegt, Freundschaftsbeziehungen und -aktivitäten sowie Challenge-Mitgliedschaften, Einladungen, Check-ins und Mitgliederfortschritte zwischen den beteiligten Konten zu synchronisieren. Die Quellkonfiguration nutzt Row Level Security von Supabase und authentifizierte serverseitige Funktionen, die den Zugriff je nach Zusammenhang auf die kontoinhabende Person, die betroffene Freundin oder den betroffenen Freund, die Challenge-Inhaberin oder den Challenge-Inhaber, die eingeladene Person oder angenommene Challenge-Mitglieder begrenzen sollen. Die tatsächliche Durchsetzung in der Produktionsumgebung muss noch mit mehreren Konten einschließlich eines unbeteiligten Kontos live verifiziert werden; diese Datensätze sind nicht zur öffentlichen Durchsuchbarkeit bestimmt. Mission verkauft keine personenbezogenen Daten.

Zitat- und Einladungslinks sind für jede Person zugänglich, die den Link erhält oder anderweitig erlangt. Zitattext, Autor und Designparameter können auch von Vorschau-Bots abgerufen werden und nach Ende der aktiven Weitergabe in Nachrichten, Browserverläufen, Serverprotokollen oder Vorschauen Dritter verbleiben. Nehmen Sie keine vertraulichen, besonders geschützten oder fremden personenbezogenen Daten in öffentliche Teilen-Links auf.

6. Empfänger und Auftragsverarbeiter

• Apple: App-Store-Vertrieb und Käufe, StoreKit-Transaktionen, Abonnementverwaltung, iOS-Geräteberechtigungen, Zustellung lokaler Benachrichtigungen sowie „Mit Apple anmelden“ bei entsprechender Auswahl.
• Supabase: Authentifizierung, Konto- und Sitzungsverwaltung, Postgres-Datenbankdienste, Edge Functions, Synchronisierung, Einladungsverarbeitung und Speicherung von Problemmeldungen.
• RevenueCat: Bereitstellung von App-Store-Angeboten und -Paketen sowie Rückgabe aktiver Berechtigungsinformationen, die mit der Mission-App-Nutzerkennung verknüpft sind. Apple und RevenueCat verarbeiten die zugrunde liegenden Transaktions- und Abonnementinformationen innerhalb ihrer jeweiligen Dienste.
• Vercel: Hosting und Auslieferung von dailymission.app, Serveranfrageprotokolle, Sicherheit und technische Leistung.
• Google: Identitäts- und Authentifizierungsdaten ausschließlich bei Auswahl von Google OAuth.
• E-Mail- und Postfachanbieter: Zustellung, Speicherung und Schutz von Nachrichten an office@dailymission.app oder support@dailymission.app und der zugehörigen Antworten.
• Behörden, Gerichte, berufliche Berater und sonstige Empfänger, wenn eine Offenlegung gesetzlich vorgeschrieben oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.

Auftragsverarbeiter handeln auf Grundlage vertraglicher Datenschutzpflichten. Apple, Google und weitere Anbieter verarbeiten bestimmte Daten für eigene Konto-, Kauf-, Sicherheits- und Rechtspflichten auch als eigenständig Verantwortliche; für diese Verarbeitungen gelten deren verlinkte Datenschutzinformationen.

7. Internationale Datenübermittlungen

Einige Anbieter und Konzerngesellschaften verarbeiten Daten in den Vereinigten Staaten oder anderen Staaten außerhalb des Europäischen Wirtschaftsraums. Übermittlungen beruhen auf einem Angemessenheitsbeschluss gemäß Art. 45 DSGVO, einschließlich des EU-US Data Privacy Framework für zertifizierte Empfänger, oder auf den Standardvertragsklauseln der Europäischen Kommission gemäß Art. 46 DSGVO und erforderlichenfalls ergänzenden Schutzmaßnahmen. Auskunft über die jeweils anwendbare Garantie oder eine Kopie können Sie bei office@dailymission.app anfordern.

8. Cookies, Tracker und Geräteberechtigungen

Die öffentliche Mission-Website verwendet derzeit keine optionalen Analyse-, Werbe- oder Marketing-Cookies und enthält keinen Werbetracker eines Drittanbieters. Nachdem Sie den informativen Cookie-Hinweis geschlossen haben, speichert das Erstanbieter-Cookie mission_cookie_notice für 180 Tage ausschließlich den Wert seen, damit der Hinweis nicht erneut erscheint. Es enthält keine Nutzerkennung und wird weder zur Reichweitenmessung noch zur Verfolgung verwendet. Falls optionales Tracking eingeführt wird, bleibt es bis zur erforderlichen Einwilligung deaktiviert und diese Erklärung wird zuvor aktualisiert.

Die App speichert Betriebsdaten lokal und nutzt iOS-Berechtigungen erst nach der entsprechenden Systemabfrage oder Ihrer ausdrücklichen Auswahl. Benachrichtigungsberechtigungen können in den iOS-Einstellungen geändert werden. Ausgewählte Profil- oder Zitatbilder können in der App entfernt oder ersetzt werden. Das Löschen der App entfernt üblicherweise lokale App-Daten, löscht jedoch keine synchronisierten Kontodaten und beendet kein App-Store-Abonnement.

9. Speicherdauer und Löschung

• Die Speicherdauer für Kontodaten, synchronisierte Datenstände, Problemmeldungen, Supportkorrespondenz und sonstige Aufzeichnungen richtet sich nach dem Verarbeitungszweck, der Kontoaktivität, anwendbaren gesetzlichen Aufbewahrungspflichten, der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen, Sicherheits- und Missbrauchsschutzanforderungen sowie den vertraglichen oder betrieblichen Aufbewahrungsfristen des jeweiligen Anbieters. Besteht keine feste gesetzliche Frist, wird die Erforderlichkeit anhand dieser Kriterien beurteilt.
• Einladungslinks können 14 Tage nach ihrer Erstellung nicht mehr angenommen werden. Datensätze zu abgelaufenen oder angenommenen Einladungen können gespeichert bleiben, soweit und solange dies nach den vorstehenden Kriterien erforderlich ist; die 14-tägige Gültigkeit ist selbst keine Löschfrist.
• Während der Verarbeitung enthält ein Kontolöschbeleg zusätzlich die direkte interne Supabase-Nutzer-ID. Beim Löschen des Supabase-Auth-Nutzers wird diese ID auf null gesetzt und die zugehörige Schreibsperre kaskadierend gelöscht. Die verbleibenden Hashes, Statusangaben und Zeitpunkte des Belegs werden nur so lange aufbewahrt, wie dies zur Abstimmung und Dokumentation der Anfrage, zur Missbrauchsverhinderung, zur Klärung unterbrochener Antworten und zum Schutz oder zur Verteidigung von Rechtsansprüchen erforderlich ist, und müssen danach physisch gelöscht werden. Die konkrete Höchstdauer und der Lebenszyklus von Beleg und Schreibsperre müssen in einem freigegebenen Aufbewahrungsplan festgelegt sowie produktiv durchgesetzt und überprüft werden. Ein Ablaufzeitpunkt kann den Belegabruf beenden, beweist aber für sich allein keine physische Löschung.
• Apple, RevenueCat, Supabase, Vercel sowie E-Mail-Anbieter speichern die innerhalb ihrer jeweiligen Dienste verarbeiteten Daten nach den für sie geltenden gesetzlichen Pflichten, vertraglichen Einstellungen, Sicherheitsanforderungen und veröffentlichten Richtlinien. Dies umfasst Supabase-Auth-, API- und Edge-Function-Protokolle sowie RevenueCat-Transaktions-, Geräte-, Betriebssystem-, Erst-/Letztverwendungs- und aus der IP-Adresse abgeleitete Ländermetadaten.
• Lokale Dateien mit ausstehenden Synchronisierungsvorgängen oder Problemmeldungen werden nach erfolgreicher Übermittlung entfernt. Sonstige lokale Betriebsdaten können üblicherweise durch Löschen der App oder ihrer Daten vom Gerät entfernt werden.

Soweit die installierte Mission-Version „Account löschen“ anzeigt, stößt der authentifizierte In-App-Ablauf die dauerhafte Löschung des Mission-Kontos und der unterstützten lokalen und synchronisierten Kontodaten an. Der Abschluss setzt voraus, dass der erforderliche serverseitige Löschdienst richtig konfiguriert und deployt ist, und wird erst bestätigt, wenn dieser Dienst den Abschluss meldet. Anbieterseitige Schritte, einschließlich der Löschung des verknüpften RevenueCat-Kundendatensatzes, soweit konfiguriert, können bei vorübergehender Nichterreichbarkeit ausstehend bleiben; die App kann deshalb weiterhin einen ausstehenden Status anzeigen. Ist die Funktion nicht verfügbar oder wird der Abschluss nicht bestätigt, richten Sie die Löschanfrage an office@dailymission.app. Daten mit gesetzlicher Aufbewahrungspflicht oder für Rechtsansprüche erforderliche Daten können für die jeweils anwendbare Dauer gespeichert bleiben. Die Kontolöschung beendet kein App-Store-Abonnement; dieses muss gesondert über das Apple-Konto verwaltet oder gekündigt werden.

10. Ihre Rechte und Antwortfrist

Unter den gesetzlichen Voraussetzungen haben Sie das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen. Einwilligungen können jederzeit mit Wirkung für die Zukunft widerrufen werden. Außerdem besteht ein Beschwerderecht bei einer Aufsichtsbehörde.

Richten Sie Ihre Anfrage an office@dailymission.app. Mission antwortet unverzüglich und innerhalb eines Monats ab Eingang. Bei komplexen oder zahlreichen Anfragen kann diese Frist um höchstens zwei weitere Monate verlängert werden; über Verlängerung und Gründe werden Sie innerhalb des ersten Monats informiert. Anfragen sind unentgeltlich, sofern sie nicht offenkundig unbegründet oder exzessiv sind. Ein Identitätsnachweis wird nur in dem Umfang verlangt, der zum Schutz des Kontos und der Rechte anderer Personen erforderlich ist.

11. Österreichische Datenschutzbehörde

Sie können Beschwerde bei der Österreichischen Datenschutzbehörde erheben: Barichgasse 40–42, 1030 Wien, Österreich, E-Mail dsb@dsb.gv.at. Weitere Informationen finden Sie unter dsb.gv.at.

12. Datenquellen

Mission erhält Daten direkt von Ihnen sowie von App oder Gerät, wenn Sie eine Funktion nutzen. Authentifizierungsdaten stammen von Supabase und je nach Auswahl von Apple oder Google. Angebots-, Paket- und aktive Berechtigungsinformationen werden über RevenueCat bezogen; Apple und RevenueCat verarbeiten die zugrunde liegenden Transaktions- und Abonnementinformationen. Einladungsinformationen, Freundesaktivitäten sowie Angaben zu Challenge-Mitgliedschaft, Check-ins oder Fortschritt können außerdem von einer anderen Mission-Nutzerin oder einem anderen Mission-Nutzer stammen, die oder der an der jeweiligen Freundschaft, Einladung oder Challenge beteiligt ist. Statistiken, Serien und Benachrichtigungspläne werden aus Ihrer App-Aktivität erzeugt. Website-Anfragedaten entstehen, wenn Ihr Gerät oder ein Vorschau-Bot eine bei Vercel gehostete Seite aufruft. Diese Angaben erfüllen zugleich die Informationspflichten für nicht direkt bei Ihnen erhobene Daten gemäß Art. 14 DSGVO.

13. Keine automatisierten Entscheidungen gemäß Art. 22 DSGVO

Mission wertet persönliche App-Aktivität automatisiert aus, um individuelle Fortschrittswerte, Serien, Statistiken und Erinnerungen zu berechnen und anzuzeigen. Diese einfache automatisierte Auswertung kann Profiling im weiten Sinne des Art. 4 Nr. 4 DSGVO darstellen. Sie wird nicht als alleinige Grundlage für eine Entscheidung verwendet, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlich erheblicher Weise beeinträchtigt; Mission führt daher keine ausschließlich automatisierte Entscheidung im Sinne des Art. 22 DSGVO durch.

14. Kinder

Mission richtet sich nicht an Kinder unter 14 Jahren. Ein Kind unter 14 Jahren darf nicht selbstständig ein Konto erstellen oder in optionale Verarbeitungen einwilligen. Wenn eine erziehungsberechtigte Person annimmt, dass ein Kind unter 14 Jahren ohne erforderliche Genehmigung personenbezogene Daten übermittelt hat, soll sie office@dailymission.app verständigen. Mission prüft und bearbeitet die Anfrage nach den gesetzlichen Vorgaben manuell und bestätigt das Ergebnis; Daten mit gesetzlicher Aufbewahrungspflicht können für die anwendbare Dauer gespeichert bleiben.

15. Sicherheit

Mission verwendet verschlüsselte Übertragung (TLS), trennt veröffentlichbare Client-Schlüssel von Servergeheimnissen, hält Servergeheimnisse in serverseitigen Umgebungen, begrenzt die je Funktion übermittelten Daten und stützt sich auf die von den Auftragsverarbeitern bereitgestellten Sicherheitsmaßnahmen. Kein Internetdienst kann absolute Sicherheit gewährleisten. Vermutete Sicherheitsvorfälle sind unverzüglich an support@dailymission.app zu melden; Passwörter, Einmalcodes oder Authentifizierungslinks dürfen dabei nicht übermittelt werden.

16. Änderungen dieser Erklärung

Diese Datenschutzerklärung wird aktualisiert, wenn sich Verarbeitungsvorgänge, Dienstleister oder rechtliche Anforderungen ändern. Die aktuelle Fassung und ihr Änderungsdatum werden unter dailymission.app veröffentlicht. Wesentliche Änderungen werden, soweit gesetzlich erforderlich, vor ihrem Wirksamwerden in der App, auf der Website oder per E-Mail bekanntgegeben.