Datenschutz

Datenschutzerklärung

Stand: `7. August 2026`

Zapello ist ein Player. Die App spielt ab, was du selbst an Zugängen mitbringst. Wir liefern keine Sender, keine Playlisten und keine Inhalte, und der Videoverkehr läuft direkt zwischen deinem Gerät und dem Server deines Anbieters — nie über uns. Deshalb entstehen bei uns viele Daten gar nicht erst, die andere Dienste speichern müssten.

Diese Erklärung sagt dir, welche Daten wir trotzdem verarbeiten, warum, auf welcher Grundlage, wie lange und wer sie sonst noch zu sehen bekommt.

1. Wer ist verantwortlich?

Verantwortlich im Sinne von Art. 4 Nr. 7 DSGVO:

Traian Fotios Jelastopoulos
Reichenhaller Str. 59
70372 Stuttgart
Deutschland

E-Mail: info@zapello.app

Ein Datenschutzbeauftragter ist nicht bestellt. Wir sind dazu nach Art. 37 DSGVO und § 38 BDSG nicht verpflichtet; wir prüfen das einmal im Jahr neu.

2. Kontakt in Datenschutzfragen

Schreib uns an `info@zapello.app`. Für Anfragen zu deinen Rechten (Abschnitt 12) nutze bitte die E-Mail-Adresse, mit der dein Konto angelegt ist — daran erkennen wir, dass die Anfrage wirklich von dir kommt. Ist das nicht möglich, schicken wir dir einen Bestätigungscode an die Konto-Adresse.

Missbrauchsmeldungen und Anfragen von Rechteinhabern: `abuse@zapello.app`.

3. Was wir nicht verarbeiten

Diese Punkte sind keine Absichtserklärung, sondern Bauvorgaben. Sie sind in unseren Spezifikationen als „Rote Linien" festgeschrieben und werden durch automatische Tests geprüft.

• Keine Inhalte. Zapello liefert keine Playlisten, keine Sender, keine Demo-Streams mit echten Programmen und keine Hinweise auf Bezugsquellen.
• Kein Stream-Proxy. Video läuft ausschließlich von deinem Gerät zum Server deines Anbieters. Unsere Infrastruktur berührt weder Streams noch Stream-URLs. Wir können deshalb nicht sehen, was du schaust.
• Kein Sehverhalten. Wir speichern nicht, welchen Sender du wann angesehen hast.
• Keine dauerhafte IP-Speicherung. Wo wir Anfragen zählen müssen (etwa gegen Missbrauch), speichern wir keine IP-Adresse, sondern einen mit einem geheimen Serverwert gepfefferten, auf 64 Bit gekürzten Hash. Er ist nicht zurückrechenbar und wird nach einem Wechsel dieses Serverwerts wertlos.
• Kein Standort, keine Kontakte, keine Werbe-IDs, kein Fingerprinting.
• Keine Klartext-Zugangsdaten. Deine Playlist-Zugangsdaten werden zu keinem Zeitpunkt im Klartext auf unseren Servern gespeichert, geloggt oder verarbeitet — dazu Abschnitt 6.

4. Verarbeitungen im Überblick

Die folgende Tabelle ist vollständig. Sie stammt aus unserem internen Verarbeitungsverzeichnis; jede Zeile nennt Zweck, Rechtsgrundlage, Speicherort und Löschfrist.

Seit 6. August 2026 aktiv: Absturzberichte (Sentry, berechtigtes Interesse, 90 Tage — Name, E-Mail-Adresse, Nutzerkennung und IP-Adresse werden vor dem Versand entfernt; eine grobe, aus der Verbindung abgeleitete Standortangabe (Land/Stadt) verarbeitet Sentry serverseitig trotzdem, dazu Abschnitt 9) und Website-Statistik (Plausible, cookielos, nur aggregiert) — dazu Abschnitte 8 und 9.

Wie lange wir speichern, steht ausführlich in Abschnitt 11.

5. Auf welcher Rechtsgrundlage

Wir stützen uns auf drei Grundlagen, und du erkennst in der Tabelle oben je Zeile, welche gilt.

Vertrag (Art. 6 Abs. 1 lit. b DSGVO). Alles, was nötig ist, damit Zapello das tut, wofür du es installiert hast: Konto und Anmeldung, die Grenze von fünf Geräten, der Abgleich deiner Einstellungen zwischen Geräten, die Übergabe einer Playlist vom Handy an den Fernseher, Freischaltungen. Ohne diese Daten gibt es die Funktion nicht.

Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Betrieb und Sicherheit: Server-Protokolle, Missbrauchsbremsen, das Protokoll über Schlüssel-Abrufe, Absturzberichte. Unser Interesse ist ein funktionierender, angriffsresistenter Dienst. Wir haben das gegen deine Interessen abgewogen und den Eingriff so klein wie möglich gehalten — deshalb speichern wir keine IP-Adressen, sondern nur gepfefferte Hashes, und deshalb sind die Fristen kurz (7 Tage, 2 Tage, 90 Tage). Du kannst dieser Verarbeitung widersprechen (Abschnitt 12).

Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Freiwilliges: Telemetrie, Diagnoseberichte, Warteliste. Ohne dein aktives Ja passiert hier nichts, und du kannst dein Ja jederzeit für die Zukunft zurücknehmen (Abschnitt 13). Die App funktioniert vollständig, wenn du alles davon ablehnst.

Eine Ausnahme, solange die geschlossene Beta läuft: Wer am Testprogramm teilnimmt, wird gemessen — das ist der Zweck eines Testprogramms und deshalb Teil der Teilnahme (Art. 6 Abs. 1 lit. b), nicht eine Einwilligung daneben. Wir machen den Zugang ausdrücklich nicht von einem Häkchen abhängig; eine Einwilligung, die man so einholt, wäre nach Art. 7 Abs. 4 DSGVO nicht freiwillig. Was gemessen wird, steht in Abschnitt 7 und ausführlich in den Bedingungen des Testprogramms. Wer nicht gemessen werden möchte, verlässt das Testprogramm; mit dem Ende der Beta fragen wir alle ausdrücklich nach einer Einwilligung, und bis dahin bleibt der Schalter in den App-Einstellungen, was er ist — ein Schalter, den du umlegen kannst.

Bei Zahlungen kommen gesetzliche Aufbewahrungspflichten hinzu (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB). Rechnungsdaten liegen bei unserem Zahlungsdienstleister, nicht bei uns; wir speichern nur die Referenz-ID.

6. Deine Playlist-Zugangsdaten und der Sync — bitte genau lesen

Das ist der wichtigste Abschnitt dieser Erklärung, weil es um deine Zugangsdaten geht. Wir sagen dir hier ohne Beschönigung, wer sie technisch lesen kann.

Wie die Verschlüsselung arbeitet. Deine Playlist-Zugangsdaten (Serveradresse, Benutzername, Passwort oder M3U-Link) und deine Sync-Daten (Favoriten, Sortierungen, Einstellungen, Fortschritt) werden auf deinem Gerät verschlüsselt, bevor sie zu uns gelangen. Auf unserem Server liegt nur ein verschlüsselter Block. Wir entschlüsseln ihn nicht, und es gibt in unserer Software keine Funktion, die das könnte. Auch im Verwaltungsbereich, mit dem wir Konten betreuen, gibt es keinen Weg, deine Playlist-Daten anzusehen.

Wo der Schlüssel liegt — und was das bedeutet. Damit ein neues Gerät deine Daten sofort lesen kann, ohne dass du 12 Wörter abtippst, hinterlegen wir den Schlüssel im Normalbetrieb bei uns. Dabei gilt:

• Der Schlüssel entsteht auf deinem ersten Gerät und wird einmalig über eine verschlüsselte Verbindung an uns übertragen.
• Wir speichern ihn nicht selbst in unserer Datenbank. Er wird von Google Cloud KMS (Standort europe-west3, Frankfurt) verschlüsselt; in unserer Datenbank liegt nur der so entstandene Umschlag und ein Verweis auf den Schlüsseldienst. Jeder Umschlag ist dabei fest an dein Konto gebunden — er lässt sich nur mit deiner Kontokennung wieder öffnen.
• Die Zugangsdaten zum Schlüsseldienst liegen getrennt von den Zugangsdaten zur Datenbank. Wer nur die Datenbank oder ein Backup davon in die Hände bekäme, hätte damit nichts gewonnen.
• Ein neues Gerät bekommt den Schlüssel nur, wenn es angemeldet ist und die Anmeldung höchstens fünf Minuten zurückliegt. Eine bloße Verlängerung einer bestehenden Sitzung genügt dafür nicht — es muss eine echte Anmeldung mit Code aus deiner E-Mail sein. Höchstens fünf Abrufe pro Tag und Konto. Jeder Abruf wird protokolliert, und du bekommst eine E-Mail: „Neues Gerät hat Zugriff erhalten" mit Gerät und Zeitpunkt. Danach speichert das Gerät den Schlüssel im geschützten Speicher des Betriebssystems und fragt ihn nie wieder bei uns ab.
• Im Browser ist das anders. Der Kundenbereich auf dieser Website legt den Schlüssel nirgends ab: Er lebt nur im Arbeitsspeicher der geöffneten Seite und ist mit dem Tab weg. Dafür holt der Browser ihn bei jeder Anmeldung neu — das zählt gegen dieselbe Grenze von fünf Abrufen pro Tag.

Und jetzt die ehrliche Konsequenz: Solange diese Hinterlegung aktiv ist, könnten wir den Schlüssel technisch aus dem Schlüsseldienst holen und damit deine Sync-Daten und Playlist-Zugangsdaten entschlüsseln. Wir tun das nicht, es gibt dafür keine eingebaute Funktion und jeder Abruf hinterlässt eine Spur — aber die technische Möglichkeit besteht. Wir nennen diesen Zustand deshalb nicht „Zero-Knowledge". Wer das behauptet, verspricht mehr, als die Technik hergibt. Rechtlich heißt das: Auch die verschlüsselten Blobs sind in diesem Zustand für uns personenbezogene Daten.

Wie du das abstellst: „Erweiterte Privatsphäre". In den App-Einstellungen gibt es einen Schalter. Schaltest du ihn ein, wird der hinterlegte Schlüssel bei uns gelöscht. Im Kundenbereich dieser Website gibt es diesen Schalter derzeit nicht — dort siehst du nur, dass er an ist (deine Playlisten bleiben im Browser verschlossen). Ab dann gilt:

• Wir haben keinerlei Zugriffsmöglichkeit mehr — nicht auf deine Zugangsdaten, nicht auf deine Sync-Daten. Auch nicht auf behördliche Anordnung, weil nichts mehr da ist, was wir herausgeben könnten.
• Auf einem neuen Gerät gibst du deinen 12-Wort-Wiederherstellungscode ein. Ohne ihn bleiben die Daten unlesbar; die App bietet dir dann nur an, neu zu beginnen und den Stand in der Cloud zu überschreiben.
• Damit du dich nicht aussperrst, zeigen wir dir den Code vorher an und lassen dich bestätigen, dass du ihn gesichert hast.
• Rückgängig machen kannst du es jederzeit — dafür brauchst du den Code.
• Was wir uns merken, ist ausschließlich dass du geschaltet hast, und wann. Diese eine Angabe brauchen wir, damit wir dir später die richtige Erklärung zeigen können: Ohne sie sieht ein Konto mit „Erweiterte Privatsphäre" genauso aus wie eines, das nie einen Abgleich eingerichtet hat — und dann bekämen Leute zu lesen, sie hätten etwas eingeschaltet, das sie nie angefasst haben.

Diesen Code kennen wir nicht. Er entsteht auf deinem Gerät. Wir speichern lediglich einen Prüfwert, an dem die App eine falsche Eingabe sofort erkennt; aus ihm lässt sich der Code nicht herstellen.

Die Übergabe vom Handy an den Fernseher funktioniert nach demselben Prinzip: Dein Handy verschlüsselt die Zugangsdaten mit einem öffentlichen Schlüssel, den nur dein Fernseher öffnen kann. Wir sehen den Umschlag und löschen ihn, sobald der Fernseher ihn abgeholt hat, spätestens nach 120 Sekunden.

Seit 7. August 2026 kannst du diesen Schlüssel auch im Browser anlegen, wenn dein Konto noch keinen hat — die Erzeugung läuft dann exakt gleich ab wie in der App: in deinem Browser, nicht auf unseren Servern. Ein Browser, der das tut, zählt dabei nicht als eines deiner fünf Wiedergabe-Geräte (Abschnitt zu Geräte-Slots) — er richtet nur den Schlüssel ein und benutzt ihn danach genau wie jedes andere Gerät auch.

7. Telemetrie und Diagnose — beides freiwillig

Telemetrie ist standardmäßig aus. Schaltest du sie ein, senden wir eine zufällige Installations-ID und Ereignisse aus einer festen, abschließenden Liste: Schritte beim ersten Einrichten, die Dauer eines Kanalwechsels samt technischer Begleitwerte (welche Wiedergabe-Engine, welcher Container, wie lange die Auflösung einer Master-Playlist dauerte, ob sie aus dem Zwischenspeicher kam, wie viele Qualitätsstufen angeboten wurden), die Kaltstartdauer, ein Signal bei abgebrochenen Abläufen und ein täglicher Ping „heute nicht abgestürzt".

Was dort ausdrücklich nicht drinsteht: Sendernamen, Playlist-Inhalte, Adressen oder Hosts deines Anbieters, dein Gerätemodell oder Gerätename, deine IP-Adresse. Die Installations-ID ist vom Geräteschlüssel getrennt und wird nie mit deinem Konto verknüpft. Das ist keine Zusage auf Zuruf: Die betreffenden Tabellen haben bewusst keine Spalte, die auf ein Konto zeigen könnte, und ein automatischer Test hält das fest. Ereignisse, die nicht auf der Liste stehen, verwirft der Server.

Diagnoseberichte sind vorbereitet, entstehen derzeit aber nicht. Die App bietet auf einer Fehleransicht an, den Diagnosetext in die Zwischenablage zu kopieren — du entscheidest dann selbst, ob und wem du ihn schickst. Ein Absende-Knopf, der einen Bericht an uns überträgt, ist geplant und heute nicht eingebaut; solange bleibt die zugehörige Tabelle bei uns leer. Sobald es ihn gibt, gilt: nur auf dein aktives Antippen, und der Bericht enthält technische Protokolle, dein Gerätemodell und den angezeigten Fehlercode. Zugangsdaten und Passwörter kommen dort nicht vor — das ist eine harte Bauvorgabe für Protokolle, Telemetrie, Tickets und Fehlerberichte gleichermaßen.

Beides kannst du jederzeit in den Einstellungen wieder abschalten. Bereits übermittelte Rohdaten löschen wir nach 90 Tagen; Auswertungen, die keinen Bezug mehr zu einer einzelnen Installation haben, behalten wir in aggregierter Form.

Während der geschlossenen Beta gilt für die Telemetrie eine andere Grundlage. Das Testprogramm hat genau einen Zweck — herauszufinden, wo die App klemmt —, und die Messung ist dieser Zweck, nicht ein Zusatz dazu. Sie stützt sich deshalb bei Testteilnehmern auf die Teilnahme selbst (Art. 6 Abs. 1 lit. b) und nicht auf eine Einwilligung. Wir speichern dazu einen Zeitpunkt bei deinem Konto: seit wann du teilnimmst. Was das genau heißt, welche Werte dabei anfallen und wie du wieder aussteigst, steht in den Bedingungen des Testprogramms. Absturzberichte gehören nicht dazu — sie laufen auf berechtigtem Interesse und kommen von allen Nutzern (Abschnitt 9). Mit dem Ende der Beta endet diese Grundlage: Danach fragen wir dich ausdrücklich, und ohne dein Ja wird nichts geschickt.

8. Cookies und Reichweitenmessung

Wir setzen auf unserer Website keine Cookies. Kein Einwilligungsbanner, weil es nichts einzuwilligen gibt.

Zwei Dinge legt die Website trotzdem in deinem Browser ab, beide technisch notwendig und beide ohne Zutun wieder verschwunden:

• Beim Senden einer Playlist an den Fernseher lebt der verwendete Token nur im Arbeitsspeicher der geöffneten Seite und ist mit dem Schließen des Tabs weg.
• Im Kundenbereich (`/konto`) liegt dein Anmelde-Token im Sitzungsspeicher des Browsers, damit du beim Wechsel zwischen den Seiten angemeldet bleibst. Er verschwindet, sobald du den Browser schließt oder dich abmeldest. Auf die Festplatte schreiben wir nichts, und dein Sync-Schlüssel steht dort nie.

Seit 6. August 2026 messen wir die Reichweite unserer Website mit Plausible: cookielos, keine geräteübergreifende Wiedererkennung, nur aggregierte Zahlen (Seitenaufrufe, Herkunftsseite, grobe Region aus der IP — die IP-Adresse selbst speichert Plausible nicht). Rechtsgrundlage ist berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Wir wollen wissen, ob unsere Seiten überhaupt gefunden werden, ohne dafür ein einzelnes Gerät oder dich als Person wiederzuerkennen. Der Einbindungscode lädt weiterhin nur dann, wenn die zugehörige Domain konfiguriert ist.

Der Kundenbereich ist seit dem 2. August 2026 öffentlich erreichbar. Er kommt weiterhin ohne Cookie aus: Was er braucht, ist der oben genannte Anmelde-Token im Sitzungsspeicher, und der ist nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei, weil ohne ihn die von dir angeforderte Anmeldung nicht funktioniert. Sollte später ein technisch notwendiges Cookie dazukommen, nennen wir es hier, bevor wir es setzen.

9. Wer sonst noch Daten verarbeitet

Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken weiter. Wir arbeiten aber mit Dienstleistern, die für uns und nach unserer Weisung arbeiten (Auftragsverarbeiter nach Art. 28 DSGVO). Mit jedem besteht ein Auftragsverarbeitungsvertrag.

Seit dem 6. August 2026 im Einsatz: Sentry (Absturzberichte, EU-Region) und Plausible (Website-Statistik, EU). Beide sind oben in der Tabelle aufgeführt.

Darüber hinaus geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind — etwa auf eine behördliche Anordnung hin. Zu Playlist- und Sync-Daten siehe Abschnitt 6: Was wir nicht entschlüsseln können, können wir auch nicht herausgeben.

10. Übermittlung in Drittländer

Der Speicherort ist bei uns durchgehend die EU: die Datenbank in Frankfurt, der Schlüsseldienst in Frankfurt, der Objektspeicher in West-Europa, das Hosting in EU-Rechenzentren. Die Anbieter sind allerdings US-Unternehmen und können deshalb theoretisch aus den USA auf ihre Systeme zugreifen. Damit liegt eine Übermittlung in ein Drittland vor.

Grundlage dafür:

• Vercel, Resend, Cloudflare und Sentry sind nach dem EU-US Data Privacy Framework zertifiziert. Für sie gilt der Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 (Art. 45 DSGVO). Ergänzend gelten die Standardvertragsklauseln aus dem jeweiligen Auftragsverarbeitungsvertrag (Art. 46 Abs. 2 lit. c DSGVO). Sentry verarbeitet Absturzberichte technisch über die EU-Region seines Dienstes.
• Google verarbeitet die betroffenen Daten in europe-west3 und stützt Übermittlungen auf das EU-US Data Privacy Framework sowie Standardvertragsklauseln.
• Neon speichert in der EU; die Übermittlung stützen wir auf die Standardvertragsklauseln im Auftragsverarbeitungsvertrag.
• Plausible (Plausible Insights OÜ, Estland) ist ein EU-Unternehmen und verarbeitet ausschließlich in der EU; eine Drittlandübermittlung findet hier nicht statt.

Beim Versand von Transaktionsmails über Resend und bei der Weiterleitung an das Google-Postfach verlassen Daten die EU auch inhaltlich. Schreib uns deshalb nichts per E-Mail, was du nicht in den USA verarbeitet sehen möchtest; Zugangsdaten brauchen wir ohnehin nie, und wir fragen niemals danach.

Ein Restrisiko bleibt: US-Behörden können unter dem CLOUD Act Zugriff auf Daten verlangen, die US-Unternehmen kontrollieren. Genau deshalb ist der Schalter „Erweiterte Privatsphäre" aus Abschnitt 6 mehr als Kosmetik.

11. Wie lange wir speichern

Die genaue Frist steht je Zeile in der Tabelle in Abschnitt 4. Das Prinzip dahinter: Wir löschen automatisch, nicht auf Zuruf. Aufräum-Jobs laufen täglich.

• Kurzlebiges (Sekunden bis Stunden): QR-Anmeldung und QR-Übergabe 120 Sekunden, Einmalcodes 24 Stunden, Wiederholungsschutz 24 Stunden, Konfliktstände 24 Stunden, Missbrauchszähler 2 Tage.
• Betrieb (Tage): Server-Protokolle 7 Tage, Anmeldesitzungen 30 Tage.
• Nachvollziehbarkeit und Freiwilliges (90 Tage): Protokoll der Schlüssel-Abrufe, Support-Konversationen, Diagnoseberichte, Telemetrie-Rohdaten.
• Solange dein Konto besteht: E-Mail-Adresse, Geräteliste, Sync-Daten, hinterlegter Schlüssel. Löschst du dein Konto, gibt es 14 Tage Karenzzeit (damit ein Versehen zurückgeholt werden kann), danach ist es weg. Alle Geräte werden sofort abgemeldet.
• Länger, weil das Gesetz es verlangt: Rechnungsdaten unterliegen handels- und steuerrechtlichen Fristen von bis zu zehn Jahren. Sie liegen beim Zahlungsdienstleister. Diese Daten sind für die weitere Nutzung gesperrt.
• Warteliste: Bestätigst du die Anmeldung nicht, löschen wir deine Adresse nach 30 Tagen. Bestätigst du, bleibt sie, bis du dich abmeldest.

Geräte-Hashes ohne zugehöriges Konto — sie entstehen, wenn jemand die Testphase ohne Konto nutzt — löschen wir 24 Monate nach der letzten Aktivität.

12. Deine Rechte

Du hast uns gegenüber die folgenden Rechte. Sie kosten nichts, und wir antworten innerhalb eines Monats.

• Auskunft (Art. 15 DSGVO): Du kannst erfahren, ob und welche Daten wir zu dir verarbeiten, und eine Kopie verlangen. Im Kundenbereich (`/konto`) gibt es dafür den Knopf „Daten herunterladen": Die Datei entsteht sofort im Browser, als JSON. Wir legen dafür keine Kopie bei uns ab und verschicken keinen Link — ein gespeicherter Export wäre neue Datenhaltung für einen Vorgang, der Daten herausgeben soll. Verschlüsselte Sync-Daten sind darin so enthalten, wie sie bei uns liegen; lesbar sind sie nur mit deinem Schlüssel.
• Berichtigung (Art. 16 DSGVO): Falsche Daten korrigieren wir. Schreib uns dazu an `info@zapello.app` von der Adresse, mit der dein Konto angelegt ist — wir antworten innerhalb eines Monats. Einen Selbstbedienungs-Weg zum Ändern der E-Mail-Adresse gibt es derzeit nicht; wir sagen das lieber, als ihn zu versprechen. Ausser der E-Mail-Adresse gibt es an deinem Konto ohnehin kaum etwas, das falsch sein könnte: Was du in der App einstellst, änderst du dort selbst, und wir können es nicht lesen (Abschnitt 6).
• Löschung (Art. 17 DSGVO): Du kannst dein Konto im Kundenbereich (`/konto`) selbst löschen — dort steht der Knopf „Konto löschen". Es folgt eine Karenzzeit von 14 Tagen, in der du die Löschung mit einem Code aus der Bestätigungsmail zurücknehmen kannst; danach ist das Konto endgültig weg. Sofort ab dem Löschwunsch bist du auf allen Geräten abgemeldet. Was wir wegen gesetzlicher Pflichten behalten müssen, benennen wir dir.
• Einschränkung (Art. 18 DSGVO): Statt zu löschen, können wir die Verarbeitung auf Eis legen, etwa während wir eine Beanstandung prüfen.
• Datenübertragbarkeit (Art. 20 DSGVO): Du bekommst deine Daten in einem strukturierten, gängigen, maschinenlesbaren Format — das ist derselbe JSON-Export.
• Widerspruch (Art. 21 DSGVO): Gegen Verarbeitungen, die wir auf ein berechtigtes Interesse stützen (Abschnitt 5), kannst du jederzeit widersprechen. Nenn uns bitte den Grund aus deiner besonderen Situation. Wir verarbeiten dann nicht weiter, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen. Direktwerbung betreiben wir nicht; solltest du dich für Produktneuigkeiten eingetragen haben, kannst du dem jederzeit formlos und ohne Begründung widersprechen.

Wie du dich ausweist: Schreib von der E-Mail-Adresse, mit der dein Konto angelegt ist, oder bestätige einen Code, den wir dorthin schicken. Andere Nachweise brauchen wir nicht — und wir verlangen keinen Ausweis.

13. Einwilligungen widerrufen

Wo wir auf deine Einwilligung setzen — Telemetrie, Diagnoseberichte, Warteliste — kannst du sie jederzeit für die Zukunft widerrufen, ohne dass dir daraus ein Nachteil entsteht. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt davon unberührt (Art. 7 Abs. 3 DSGVO).

So geht es:

• Telemetrie und Diagnose: Schalter in den App-Einstellungen umlegen.
• Beta-Testprogramm: Dort stützt sich die Messung nicht auf eine Einwilligung, sondern auf die Teilnahme (Abschnitte 5 und 7) — es gibt also nichts zu widerrufen. Was es gibt: aussteigen. Eine formlose Nachricht an `support@zapello.app` genügt, dann nehmen wir dich aus dem Testprogramm, und die Messung endet mit der Teilnahme.
• Warteliste: Abmeldelink in der Bestätigungsmail — er führt auf eine Seite mit einem Knopf, und erst der Knopf löscht deine Adresse (damit ein Postfach-Anbieter, der Links vorab abruft, dich nicht ungefragt abmeldet). Oder eine formlose Nachricht an `info@zapello.app`.

14. Beschwerderecht

Wenn du glaubst, dass wir deine Daten falsch verarbeiten, kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren — unabhängig davon, ob du vorher mit uns gesprochen hast (Art. 77 DSGVO). Zuständig ist die Behörde deines gewöhnlichen Aufenthaltsorts, deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für uns zuständig ist:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Heilbronner Straße 35, 70191 Stuttgart

Uns wäre lieber, du schreibst uns zuerst. Aber du musst nicht.

15. Keine automatisierte Entscheidungsfindung

Wir treffen keine Entscheidungen über dich, die ausschließlich automatisiert ablaufen und dir gegenüber rechtliche Wirkung entfalten oder dich erheblich beeinträchtigen (Art. 22 DSGVO). Es gibt kein Profiling und kein Scoring.

Automatische Prüfungen gibt es nur dort, wo sie Missbrauch bremsen: Wer sehr viele Anfragen in kurzer Zeit stellt, wird vorübergehend ausgebremst. Das ist eine technische Grenze, keine Bewertung deiner Person, und du kannst dich in solchen Fällen an `info@zapello.app` wenden.

16. Änderungen dieser Erklärung

Wir passen diesen Text an, wenn sich die Verarbeitung ändert — insbesondere, bevor ein neuer Dienstleister startet, nicht danach. Das Datum oben zeigt den Stand. Bei wesentlichen Änderungen informieren wir dich zusätzlich per E-Mail oder in der App.

---