Datenschutz bei Wunschkiste

Stand: 18. Oktober 2026

Verantwortlicher

Timon Polley, Gutenbergstraße 5, 51469 Bergisch Gladbach, Deutschland. E-Mail: dev@timonply.com. Weitere Anbieterangaben stehen im Impressum.

Wofür Wunschkiste Daten verarbeitet

Wunschkiste hilft beim Sammeln und Teilen von Geschenkideen. Listen, Wünsche und Reservierungen werden auf einem Server gespeichert, damit eingeladene Personen sie in der App oder im Browser sehen können. Auch die Nutzung ohne Konto ist deshalb nicht ausschließlich lokal.

Für diese Funktionen verarbeitet Wunschkiste Listentitel, Datum, Beschreibung, ausgewähltes Titelbild, Archivstatus, Wünsche mit Produktadresse, Bildadresse, Preis und Notiz sowie optional Größe und Farbe sowie bis zu fünf eigene Angaben aus Bezeichnung und Wert, Reservierungen und ihren Status. Optional hochgeladene Titel- und Wunschbilder werden ebenfalls gespeichert. Verwende nur Bilder, die du teilen darfst; vermeide vertrauliche Angaben, Kinderporträts oder andere unnötige personenbezogene Inhalte.

Der unterstützte eigene Bild-Upload verlangt eine ausdrückliche Bestätigung der Upload- und Nutzungsbedingungen in der Fassung upload-v1-2026-10-11. Beim jeweils gespeicherten Bild wird ein begrenzter Nachweis mit Fassung, SHA-256-Prüfwert des Bildes, Berechtigungsbereich, Zweck als Titel-, Wunsch- oder Profilbild und Bestätigungszeitpunkt gespeichert. Dieser Nachweis dokumentiert die begrenzte Nutzungserlaubnis und die Zuordnung zum Bild; er bestätigt keine unabhängig geprüften Bildrechte. Es wird kein unbegrenzter Upload-Zustimmungsverlauf angelegt. Beim Ersetzen gilt der Nachweis des aktuellen Bildes; beim Entfernen des Bildes oder bestätigter Kontolöschung wird seine Zuordnung entfernt. Die unten erläuterte Aufbewahrung notwendiger Meldungsnachweise und technischer Sicherungen ist davon zu unterscheiden. Die Verarbeitung dient der angeforderten Funktion nach Art. 6 Abs. 1 Buchst. b DSGVO und dem Schutz vor Missbrauch nach Art. 6 Abs. 1 Buchst. f DSGVO; Eltern-Erlaubnisse werden wie unten beschrieben behandelt.

Ein optionales Konto ergänzt diese Daten um Anzeigename, interne Kontokennung und technische Gerätesitzungen. Neue Konten verwenden eine E-Mail-Adresse und ein Passwort über Firebase Authentication von Google. Die App übermittelt diese Angaben über eine verschlüsselte Verbindung an Google; dein Passwort wird nicht an das Wunschkiste-Backend übermittelt. Das Backend erhält und prüft Anmeldetokens und speichert die Kontozuordnung, E-Mail-Adresse und ihren Bestätigungsstatus. Google verarbeitet außerdem technische Verbindungsdaten wie IP-Adresse und Angaben zum verwendeten Client für Anmeldung und Missbrauchsschutz. Weitere Angaben stehen in den Firebase-Datenschutzhinweisen.

Wenn die Google-Anmeldung angeboten wird, kannst du alternativ deinen Google-Zugang verwenden. Google und Firebase Authentication verarbeiten die dafür benötigten Konto- und Anmeldedaten; Wunschkiste erhält einen geprüften Anmeldenachweis, die Kontokennung, E-Mail-Adresse und gegebenenfalls den Anzeigenamen. Dein Google-Passwort wird nicht an Wunschkiste übermittelt. Die Anmeldung erteilt keinen Zugriff auf dein Postfach, deine Kontakte oder Dateien. Die weitere Verarbeitung durch Google wird in dessen Datenschutzerklärung beschrieben.

Die iOS-Anmeldedienste erhalten außerdem technische Verbindungsdaten. Nach Googles Angaben zur iOS-Anmeldung kann die IP-Adresse zur Schätzung eines ungefähren Gerätestandorts für die Betrugsprävention verwendet werden. Wunschkiste fordert dafür keine Standortberechtigung an und erfasst keinen GPS-Standort. Die Datenschutzerklärungen der eingebundenen iOS-Bibliotheken GoogleSignIn 10.0.0 und FirebaseMessaging 12.19.2 nennen auch Geräte-/Nutzerkennungen sowie technische Nutzungs-, Diagnose- und sonstige Daten, teilweise mit dem Zweck „Analytics“. Das ist von einem in Wunschkiste eingebauten Google-Analytics-SDK zu unterscheiden. Bei aktiviertem Push verarbeitet FCM insbesondere APNs-Token und Installationskennungen; Google erläutert die Datenverarbeitung seiner iOS-Bibliotheken. Welche Angaben ein Anbieter verarbeitet, hängt vom verwendeten Anmelde- beziehungsweise Zustellvorgang ab; die Bibliotheksangaben sind keine Zusage, dass jeder dort genannte Datentyp bei jeder Nutzung erhoben wird.

Wenn die Apple-Anmeldung eingerichtet und in deiner App-Version freigeschaltet ist, kannst du deinen Apple-Zugang verwenden. Apple und Firebase Authentication verarbeiten die Anmeldung; Wunschkiste erhält die Anbieter-Kontokennung, E-Mail-Adresse beziehungsweise Apples private Weiterleitungsadresse und gegebenenfalls deinen freigegebenen Namen. Dein Apple-Passwort wird nicht an Wunschkiste übermittelt. „E-Mail verbergen“ liefert eine Weiterleitungsadresse, nicht deine dahinterliegende echte E-Mail-Adresse. Zustellung und Weiterleitung hängen von Apple, Google und deinen Einstellungen ab; Wunschkiste garantiert die Zustellung nicht. Weitere Angaben stehen in Apples Hinweisen zur Anmeldung.

Der neue Apple-/Google-Anmeldeweg verlangt vor jedem Anmelde- oder erneuten Bestätigungsvorgang eine ausdrückliche, zunächst nicht ausgewählte Zustimmung zur möglichen Anbieterzuordnung. Bei gleicher bestätigter E-Mail-Adresse kann Firebase einen vorhandenen E-Mail-/Google-Zugang verwenden, vertrauenswürdige Anbieter verbinden oder nach seinen Anbieterregeln einen bisher nicht vertrauenswürdigen Zugang ersetzen. Diese Zustimmung verhindert solche Firebase-Verknüpfungen nicht. Ohne Zustimmung wird dieser neue Anbieter-Vorgang nicht gestartet; E-Mail-Anmeldung und Gastmodus bleiben als angebotene Alternativen verfügbar. Einzelheiten zu den Anbieterregeln beschreibt Google.

Für den Apple-Rückweg zwischen Browser und App werden technische Vorgangskennungen, Prüfnachweise und erforderliche Anmelde-/Widerrufstokens vorübergehend im Firebase-Backend verarbeitet; empfindliche Übergabedaten sind dort verschlüsselt. E-Mail-Adresse, Name und Anbieterkennung können Teil des Anmeldeergebnisses sein. Die öffentliche Rückkehradresse enthält nur eine zufällige Vorgangskennung, keine Anmeldetokens. Das Backend hält jeweils höchstens 128 zehn Minuten gültige Apple-Vorgänge und Google-Zustimmungsnachweise vor. Der Google-Zustimmungsnachweis enthält technische Prüfwerte und Konto-/Anbieterzuordnungen, keine Anbieter- oder Sitzungstokens. Eine bestätigte Übernahme oder ein bestätigter Abbruch entfernt vorgehaltene Apple-Tokeninhalte. Abgelaufene technische Datensätze werden beim Start nachfolgender Vorgänge bereinigt und deshalb nicht zwingend im Moment des Ablaufs physisch gelöscht. Für ein erfolgreich verbundenes Konto wird ein begrenzter Nachweis der Anbieterzustimmung gespeichert; weitere Angaben zur Aufbewahrung stehen unten.

Du kannst ein eigenes Profilfoto hochladen, ersetzen oder entfernen. Es wird als privates Kontobild gespeichert und nur über einen authentifizierten Kontozugang abgerufen. Es erscheint nicht automatisch auf öffentlichen Einladungen oder bei Reservierungen. Beim Entfernen ist das ausgewählte Bild nicht mehr abrufbar. Nicht verwendete Upload-Zwischendaten können in begrenzter Anzahl bis zu einem späteren Upload nach der technischen Schutzfrist oder bis zur Kontolöschung gespeichert bleiben; sie sind nicht über das Profil abrufbar. Sprachwahl und Benachrichtigungseinstellungen werden zur Umsetzung deiner Auswahl gespeichert. Produktnamen und andere selbst eingegebene Inhalte werden nicht an einen Übersetzungsdienst gesendet.

Du kannst einen Bestätigungslink oder einen Link zum Zurücksetzen deines Passworts anfordern. Diese Nachrichten werden über Firebase Authentication an deine E-Mail-Adresse gesendet. Eine erfolgreiche E-Mail-Bestätigung ist erforderlich, bevor der neue Zugang mit deinem Wunschkiste-Konto verbunden wird. Eine gespeicherte Gerätesitzung und lokale Anmeldetokens ermöglichen die weitere Nutzung ohne erneute Passworteingabe bei jedem Öffnen. Diese Zugangsdaten sind vertraulich und werden nicht anderen Gästen angezeigt.

Bisherige Konten behalten zunächst ihre Anmeldung mit Benutzername und Passwort. Dabei leitet die Android-App aus dem Passwort auf dem Gerät einen Anmeldenachweis ab, den das Backend mit einem eigenen Salt als Prüfwert verarbeitet. Ein solcher Nachweis ist trotz dieser Verarbeitung vertraulich. Du kannst aus deinem angemeldeten bisherigen Konto einen bestätigten E-Mail-Zugang einrichten; dafür wird zusätzlich dein bisheriges Passwort beziehungsweise bei Konten ohne Passwort der bisherige Kontoschlüssel geprüft. Kisten und Reservierungen bleiben demselben Konto zugeordnet. Bisherige Wunschkiste-Konten mit Benutzername oder Kontoschlüssel werden nicht allein wegen gleicher Namen oder E-Mail-Adressen zusammengeführt. Die oben beschriebene Anbieterzuordnung innerhalb von Firebase ist davon zu unterscheiden. Nach der Verknüpfung ersetzt der E-Mail-Zugang die bisherigen Anmelde- und Wiederherstellungswege.

Ältere Konten können zusätzlich über einen privaten Kontoschlüssel verfügen. Dieser ist ein optionaler bestehender Zugangsweg und keine Pflicht für die neue Registrierung. Kontoschlüssel, Sitzungs- und Gastberechtigungen sind Zugangsdaten und gehören nicht in öffentliche Nachrichten.

Passkeys für die frühere App-Adresse gelten nicht für die neue Firebase-Adresse. Während der Umstellung ist die Passkey-Anmeldung deaktiviert; wenn sie wieder angeboten wird, erfordert die neue Adresse eine ausdrückliche erneute Einrichtung. Wunschkiste speichert dafür den öffentlichen Schlüssel, die technische Kennung, Erstellungszeit und Angaben zur sicheren Prüfung der Anmeldung. Private Schlüssel und eine gegebenenfalls verwendete biometrische Prüfung verbleiben beim Geräte- beziehungsweise Passkeyanbieter; Wunschkiste erhält keine Fingerabdruck- oder Gesichtsdaten. Bei einem synchronisierten Passkey gelten zusätzlich die Bedingungen deines gewählten Anbieters. Falls du in einer früheren Version einen Wiederherstellungscode eingerichtet hast, speichert der Server diesen als Prüfwert. Die Android-App kann einen noch nicht als gesichert bestätigten Code verschlüsselt vorhalten. Beim Zurücksetzen eines bisherigen Kontos werden der Code verbraucht und bestehende Sitzungen, Passkeys und alte Zugänge ungültig. Für E-Mail-Konten bietet diese Version keine Passkey-Anmeldung an.

Die Bereitstellung angeforderter Listen-, Konto- und Geschenkfunktionen stützt sich auf Art. 6 Abs. 1 Buchst. b DSGVO. Technische Maßnahmen gegen Missbrauch und unbefugten Zugriff dienen dem berechtigten Interesse an einem sicheren Dienst nach Art. 6 Abs. 1 Buchst. f DSGVO. Verpflichtende Angaben werden im jeweiligen Formular kenntlich gemacht; ohne erforderliche Anmelde- oder Listendaten kann die entsprechende Funktion nicht angeboten werden.

Gastmodus und Daten auf deinem Gerät

Die erste native iOS-Version verwendet Firebase-E-Mail-, Apple- und Google-Anmeldung, soweit der jeweilige Zugang eingerichtet ist. Die oben beschriebenen alten Benutzername-, Kontoschlüssel- und Passkey-Wege betreffen bestehende Android-Zugänge; sie werden in dieser iOS-Version nicht angeboten. Ein bisheriges Konto kann über die dort angebotene E-Mail-Verknüpfung für die neue Anmeldung vorbereitet werden.

Ohne Konto wird die Berechtigung zum Bearbeiten eigener Kisten beziehungsweise eigener Reservierungen lokal auf dem Gerät oder im Browser gehalten. Diese Berechtigung ist von dem öffentlichen Einladungslink getrennt. Android schützt lokale Zugangsdaten mit dem Android Keystore; sie werden nicht in das normale Gerätebackup aufgenommen. Die Web-Version verwendet lokalen Browserspeicher für benötigte Verwaltungs- und Reservierungsberechtigungen.

Die Speicherung dient der von dir angeforderten Funktion und dem Wiedererkennen deiner Berechtigung, nicht Werbung oder geräteübergreifendem Tracking. Wenn du Appdaten oder Browserspeicher löschst, das Gerät verlierst oder die App deinstallierst, kann ein Gastzugang verloren gehen. Die zuvor hochgeladenen Listen werden dadurch nicht automatisch vom Server gelöscht. Sichere benötigte Verwaltungszugänge beziehungsweise verknüpfe deine Kisten vorher über die dafür angebotene Kontofunktion.

Ob du die freiwillige Einführung bereits gesehen oder übersprungen hast, wird getrennt von deinen Zugangsdaten lokal gespeichert. Dieser Eintrag bleibt beim Abmelden erhalten. Die Einführung kann in der Hilfe erneut geöffnet werden; es erfolgt keine Analyse deines Lernfortschritts.

Auf iOS speichert Wunschkiste Sitzungs- und Firebase-Anmeldetokens, Gastberechtigungen, noch nicht bestätigte Entwürfe sowie benötigte Nachweise für Anmeldung und Löschfortsetzung im gerätegebundenen Apple-Schlüsselbund. Die Einträge verwenden den Schutz nach dem ersten Entsperren dieses Geräts und werden von der App nicht für die Synchronisierung auf andere Geräte eingerichtet. Sprache und Einführungsstatus stehen getrennt in den lokalen App-Einstellungen. Abmelden entfernt den Kontozugang; lokale Gastberechtigungen können erhalten bleiben. Eine Deinstallation ist keine Kontolöschung und keine verlässliche Zusage, dass alle Schlüsselbunddaten entfernt werden. Weitere Angaben zur Schutztechnik stehen bei Apple.

Für eigene Titel-, Wunsch- oder Profilfotos verwendet iOS die System-Fotoauswahl. Wunschkiste verarbeitet das ausgewählte Bild, statt deine gesamte Fotobibliothek hochzuladen. Vor dem Upload wird es als neues JPEG mit begrenzter Bildgröße und Dateigröße aufbereitet. Ein noch nicht abgeschlossener Kisten- oder Wunschentwurf beziehungsweise ein ausstehender Bild-Upload kann das ausgewählte Bild lokal für die Fortsetzung vorhalten. Bei aktivierter Inhaltsprüfung bleibt ein hochgeladenes Titelbild für Gäste durch ein voreingestelltes Bild ersetzt, bis genau diese Fassung freigegeben ist; der berechtigte Ersteller kann sein noch ungeprüftes Bild sehen. Profilbilder bleiben im authentifizierten Kontozugang. Auch eigene Wunschfotos bleiben für Gäste neutral ersetzt, bis der genaue Bildprüfwert und die gespeicherte Bildfassung freigegeben sind; ein Ersatz erfordert eine neue Prüfung.

Einladungen, Reservierungen und Produktbilder

Wer einen gültigen Einladungslink oder Einladungscode kennt, kann die zugehörige freigegebene Kiste und ihre Inhalte einschließlich Beschreibung und Datum sehen. Teile diese Zugangsinformation nur mit den gewünschten Personen. Bei aktivierter Inhaltsprüfung und in der neuen iOS-/Weboberfläche bleiben Namen von Schenkenden verborgen. Ältere Android-Versionen und Kisten ohne aktivierte Inhaltsprüfung können ausdrückliche Namensfreigaben anbieten; nur die eigene Zustimmung eines angemeldeten Gastes kann dort den Anzeigenamen bei Reservierungen und zugehörigen Hinweisen sichtbar machen. E-Mail-Adresse und Profilfoto werden dabei nicht veröffentlicht. Technische Zuordnungen ermöglichen weiterhin, eigene Reservierungen zu ändern; dies ist keine vollständige Anonymität gegenüber dem Dienstanbieter.

Die Einstellung „Reservierungen für mich ausblenden“ blendet für den Ersteller Angaben zu reservierten oder gekauften Wünschen in der angemeldeten App und zugehörigen Hinweisen aus. Sie ist eine Anzeigeeinstellung und keine Geheimhaltung gegenüber Personen, die die öffentliche Gastansicht öffnen können. Gäste sehen weiterhin die Verfügbarkeit von Wünschen.

Produktdetails werden selbst eingetragen. Die vorbereitete Linkhilfe kann allein aus dem Pfad eines von dir eingegebenen HTTPS-Links einen möglichen Namen ableiten. Dafür ruft sie keine Händlerseite ab und übernimmt weder Händlerfoto noch Preis oder Shopbeschreibung. Dieser Vorschlag kann falsch sein und muss von dir geprüft werden. Ohne eigenes freigegebenes Wunschbild werden neutrale Geschenkvisualisierungen verwendet. Die eingegebene Wunschadresse und deine Angaben werden für die Kiste gespeichert.

Beim Öffnen eines Shoplinks wird der Händler extern aufgerufen; dort gelten dessen eigene Datenschutzhinweise. Ältere Android-Versionen können noch externe Bildadressen bereits gespeicherter Wünsche anzeigen und dabei dem Bildanbieter Verbindungsdaten, insbesondere die IP-Adresse, übermitteln. Ein selbst eingegebener Preis ist keine aktuelle Shopauskunft. Ein Klick oder eine Reservierung löst keinen Kauf in Wunschkiste aus. Ein späterer automatischer Import wird erst nach gesonderter Prüfung der Händlerberechtigung und seiner Datenverarbeitung eingerichtet.

Benachrichtigungen

Push-Mitteilungen über neue Gäste oder gekaufte Wünsche sind standardmäßig ausgeschaltet. Du kannst sie einzeln aktivieren und wieder abschalten. Unabhängig von diesen Schaltern wird eine begrenzte Aktivitätsübersicht der letzten höchstens 20 Ereignisse im Konto gespeichert. Sie entsteht aus tatsächlichen Aktionen in deinen Kisten, bleibt bei ausgeschaltetem Push verfügbar und wird nicht zur Analyse oder Werbung verwendet.

Push-Nachrichten werden nur angeboten, wenn der Versand eingerichtet ist. Nach deiner Aktivierung kann die App zusätzlich die Benachrichtigungsberechtigung des Geräts anfordern. Für den Versand mit Firebase Cloud Messaging werden technische Gerätekennungen und Versandtokens deinem angemeldeten Gerät zugeordnet; höchstens zehn Gerätesitzungen werden berücksichtigt. Nachrichten enthalten keine Namen oder Profilbilder von Schenkenden und keine privaten Zugangsdaten. Google verarbeitet die für die Zustellung erforderlichen Daten. Die Verbindung ist verschlüsselt; Firebase Cloud Messaging bietet selbst keine Ende-zu-Ende-Verschlüsselung. Siehe Firebase-Datenschutzhinweise und FCM-Hinweise zur Nachrichtensicherheit.

Das Abschalten von Push-Nachrichten oder der Geräteberechtigung entfernt nicht automatisch bereits gespeicherte Hinweise aus dem Konto. Nach dem Abmelden beziehungsweise Widerrufen einer Gerätesitzung wird diese Sitzung nicht mehr für den Versand verwendet; beim Löschen des Kontos werden gespeicherte Hinweise, Einstellungen und Gerätezuordnungen entfernt. Freiwillige Namensfreigaben und Push-Aktivierungen beruhen auf deiner Einwilligung nach Art. 6 Abs. 1 Buchst. a DSGVO; du kannst sie für die Zukunft widerrufen.

Auf iOS erfolgt die Zustellung über Firebase Cloud Messaging und Apples Push Notification service (APNs). Google und Apple verarbeiten dafür insbesondere Installations-/Versandkennungen und technische Zustelldaten. Die iOS-Banner haben den Titel „Wunschkiste“ und einen allgemeinen Hinweis auf einen neuen Gast oder einen gekauften Wunsch; sie enthalten keine Artikel-, Kisten- oder Personennamen. Die technische Nutzlast enthält öffentliche Ereignis- und Kistenkennungen, die keine Bearbeitungsberechtigung erteilen. Die App initialisiert FCM erst für eine aktivierte, angemeldete Nutzung und eine vorhandene Geräteberechtigung. Eine bereits bestätigte Aktivierung kann bei einem späteren Start ohne erneute Berechtigungsfrage wiederhergestellt werden.

Bereits an den Zustelldienst übergebene allgemeine Mitteilungen können nach Abmelden, Abschalten oder Sitzungswiderruf noch vom Betriebssystem angezeigt werden. Für die iOS-Zustellung wird eine kurze Ablaufzeit von fünf Minuten angefordert; sie garantiert weder Zustellung noch einen sofortigen Rückruf schon angenommener Nachrichten. Abmelden beziehungsweise Abschalten entfernt die Wunschkiste-Gerätezuordnung für weiteren Versand und versucht, den lokalen FCM-Token und zugestellte Gerätehinweise zu entfernen. Der Dienst und das Betriebssystem können Kennungen oder verarbeitete Mitteilungen trotzdem nach ihren eigenen Regeln vorhalten. Weitere Angaben stehen in den FCM-Hinweisen für Apple-Plattformen.

Hosting und Empfänger

Diese Dokumente werden über GitHub Pages bereitgestellt. GitHub verarbeitet bei Seitenaufrufen technische Verbindungsdaten; Näheres steht in den Datenschutzhinweisen der Website. Die umgestellte Weboberfläche nutzt Firebase Hosting von Google; das Backend nutzt Cloud Functions for Firebase. Die neue App-Webadresse ist Wunschkiste. Cloudflare Workers und D1 werden für diese Version nicht verwendet. Frühere App-Adressen werden nicht weitergeleitet; Einladungs- und Verwaltungslinks müssen neu geteilt werden. Ein Android-Download wird erst angeboten, nachdem die neue Version freigegeben wurde.

Firebase Authentication verwaltet den E-Mail-Zugang. Cloud Firestore speichert Kontoprofile und Kontozuordnungen, Kisten, Wünsche, Einladungen, Reservierungen sowie technische Berechtigungs- und Sicherheitsdaten, einschließlich der Zugangsdaten-Prüfwerte bisheriger Konten, begrenzter Anmeldevorgänge, Elternanfragen und Missbrauchsbegrenzungen. Hochgeladene Titel-, Wunsch- und Profilbilder werden in einem privaten Google-Cloud-Storage-Bucket gespeichert und über die berechtigten Backend-Funktionen abgerufen; es werden keine öffentlichen Bildspeicher- oder Download-Token-Links bereitgestellt. Firestore, der private Bildspeicher und die Backend-Funktionen verwenden Frankfurt am Main, Region europe-west3. Google beschreibt die Standorte für Firestore, Cloud Storage und Functions. Die Standortwahl begrenzt nicht sämtliche Anbieterdienste auf die EU: Laut Google verarbeitet Firebase Authentication Daten ausschließlich in den USA; Firebase Hosting und weitere Anbieterdienste verwenden globale Infrastruktur. Informationen dazu stehen in den Firebase-Datenschutzhinweisen.

Google verarbeitet für Hosting und Backend auch technische Verbindungsdaten. Laut Google verwendet Firebase Hosting IP-Adressen unter anderem zur Missbrauchserkennung und hält sie einige Monate vor; Cloud Functions speichert IP-Adressen vorübergehend zur Bereitstellung der Funktion. Diese Anbieter-Verarbeitung ist von den begrenzten technischen Missbrauchszählern der App und von einem eingebauten Google-Analytics-SDK zu unterscheiden. Weitere Angaben stehen in den Firebase-Datenschutzhinweisen.

Diese Anbieter können Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten. Informationen zu ihren Verarbeitungen und Übermittlungsmechanismen finden sich in der Datenschutzerklärung von GitHub, den Firebase-Datenschutzhinweisen und der Datenschutzerklärung von Google. Google nennt unter anderem das EU-US Data Privacy Framework und vertragliche Datenschutzbestimmungen. Informationen zu den für diesen Dienst geltenden Garantien und gegebenenfalls eine Kopie entsprechender Vereinbarungen kannst du beim Verantwortlichen anfragen.

Die erste iOS-Version enthält kein FirebaseAnalytics-SDK; die oben beschriebenen technischen Anbieter-Auswertungen sind dadurch nicht ausgeschlossen. Wunschkiste versendet keine Werbe-E-Mails. Bestätigungs- und Passwort-E-Mails dienen ausschließlich dem von dir angeforderten Zugang. Die Verarbeitung für angebotene Premium-Käufe ist unten beschrieben. Es findet keine ausschließlich automatisierte Entscheidung mit rechtlicher oder vergleichbar erheblicher Wirkung statt.

Werbung und freiwillige Kontingente

Die iOS-App bindet Google Mobile Ads 13.11.0 und die User Messaging Platform (UMP) 3.1.0 ein. Android hat eine eigene AdMob-Integration. Die Einbindung allein aktiviert keine Werbung. Eine serverseitig bestätigte aktive Premium-Mitgliedschaft wird werbefrei genutzt. Die Webansicht enthält kein Anzeigen-SDK.

Anzeigenanfragen und Belohnungsvideos bleiben ausgeschaltet, solange die jeweilige App nicht dem Store zugeordnet ist oder Anbieterprüfung, Einwilligungskonfiguration und technische Freigabe fehlen. Für iOS ist die AdMob-Anbieterprüfung derzeit noch nicht abgeschlossen. Die deutsch- und englischsprachige Einwilligungsnachricht ist Android und iOS zugeordnet; ihre Veröffentlichung allein aktiviert keine Anzeigen. Bei deaktivierter Integration initialisiert die App UMP nicht ausdrücklich und startet keine Anzeigenanfragen. Die bloße SDK-Einbindung beweist nicht, dass ein Anbieter keinerlei technische Verarbeitung durchführt; die kompilierten SDKs und ihre Verarbeitung müssen bei einer Freigabe berücksichtigt werden.

Die aktuellen Clients fragen neutral nach „Unter 13“, „13–17“ oder „18+“, ohne Voreinstellung. Eigene Konten mit 13–17 benötigen eine dokumentierte Elternfreigabe; jüngere Kinder nutzen das Elternkonto. Anzeigenanfragen sind auf ausdrücklich als erwachsen erklärte Nutzung beschränkt, bei angemeldeter Nutzung zusätzlich auf eine aktuelle Erwachsenenfreigabe des Kontos. Für erklärte Minderjährige oder eine unbekannte Altersfreigabe werden weder Anzeigen-SDK-Start noch Anzeigenanfragen angeboten. Eine grobe Kategorie ist kein verifiziertes Alter. Die Kontofreigabe wird wie unten beschrieben auf dem Server gespeichert; die neue Regel ist daher nicht ausschließlich lokal. Ältere Android-Versionen benötigen gegebenenfalls ein Update für die neue Kontoregel.

Wenn Anzeigen für freigegebene erwachsene Nutzung aktiviert sind, können Kisten- und Geschenkeübersicht jeweils ein Banner zeigen. Anmelden, Reservieren und Kontolöschung werden nicht unterbrochen. Erforderliche Einwilligungsoptionen erscheinen vor Anfragen; Werbe-Datenschutzoptionen bleiben später erreichbar. Die App fordert nicht personalisierte Anzeigen mit Googles Inhaltsgrenze „G“ an; das verifiziert kein Alter und zertifiziert nicht jede Anzeige. Google kann IP-Adresse, ungefähren Standort, Gerätekennungen, Einwilligung, Werbe- und Interaktionsdaten sowie technische Absturz- und Leistungsdiagnosen verarbeiten. Das iOS-Mobile-Ads-Datenschutzmanifest erklärt bestimmte Kennungen als verknüpft und für Tracking sowie weitere Daten für Anbieter-Auswertungen. Nicht personalisierte Anzeigen allein belegen daher keine Abwesenheit von Anbieter-Tracking. UMP erklärt ebenfalls technische Funktionsdaten. Diese Angaben müssen mit der konkreten Konfiguration und kompilierten App bewertet werden. Siehe Google-Datenschutzerklärung und iOS-AdMob-Datenschutzhinweise. Erforderliche Einwilligung beruht auf Art. 6 Abs. 1 Buchst. a DSGVO und kann für die Zukunft widerrufen werden.

Freiwillige Videos können bei einem erreichten Limit zusätzliche Plätze anbieten. Dabei wird eine zufällige, kurz gültige Vorgangskennung an Google übermittelt; sie enthält weder Namen noch E-Mail-Adresse, Produktlinks oder Kistentitel. Google sendet eine signierte Belohnungsbestätigung mit Vorgangs-, Anzeigen- und Transaktionskennung sowie Zeitstempel an das Backend. Erst nach Prüfung wird das Kontingent dem Konto beziehungsweise der gewählten Kiste gutgeschrieben. Firestore speichert dafür die Kontingentzuordnung und technische Nachweise zur Verhinderung mehrfacher Gutschriften. Diese Zuordnungen werden bei Kontolöschung bereinigt. Ein abgeschlossener Videodialog allein garantiert keine Gutschrift.

Premium-Käufe

Premium wird in unterstützten nativen Versionen über Apple StoreKit beziehungsweise Google Play Billing angeboten. Eine Bestellung ist nur möglich, wenn der jeweilige Store das Produkt und seinen Kaufdialog bereitstellt und die Kaufprüfung verfügbar ist. Die regulären Euro-Tarife sind 1,99 € pro Monat oder 14,99 € pro Jahr; verbindlich sind Preis, Währung, Laufzeit und Verlängerungsbedingungen im Kaufdialog des jeweiligen Stores. Eine serverseitig bestätigte aktive Mitgliedschaft ist werbefrei und hat keine von Wunschkiste gesetzte Anzahlgrenze für Kisten oder Wünsche. Technische Gesamtkapazität, Missbrauchsschutz sowie Anfrage-, Datei- und Bildgrenzen bleiben bestehen und können Aktionen vorübergehend verhindern. Eine Vorschau oder eine ungeprüfte Kaufmeldung schaltet Premium nicht frei.

Store-Testkäufe in Apples Sandbox beziehungsweise Google-Play-Lizenztests werden nur für ausdrücklich serverseitig freigegebene technische Testkonten angenommen. Eine Beta-Installation oder Mitgliedschaft in einer Testgruppe schaltet diese Berechtigung nicht automatisch frei. Test- und Produktionskäufe werden getrennt geprüft; eine Testbestätigung gewährt keinen Anspruch auf eine bezahlte Produktionsmitgliedschaft.

Beim Kauf übernimmt der jeweilige Store die Zahlungsabwicklung. Wunschkiste erhält keine vollständigen Karten- oder Bankzugangsdaten. Zur Prüfung und Wiederherstellung verarbeitet das Backend eine zufällige Kauf-Kontokennung, interne Kontozuordnung, Store und Test-/Produktionsumgebung, Produkt beziehungsweise Tarif, ursprüngliche und aktuelle Transaktionskennungen oder Google-Kauftokens, gegebenenfalls eine verknüpfte Kaufkennung sowie Status, Ablauf-, Prüf- und Anbieterdaten einschließlich Widerruf und Erstattung. Diese Angaben werden bei Apple beziehungsweise Google über deren authentifizierte Server-Schnittstellen geprüft. Die Kauf-Kontokennung wird dem Store zur Zuordnung übermittelt. Aktuelle Kaufdatensätze und diese Kontokennung werden bei Kontolöschung entfernt; der unten beschriebene Sperrnachweis ist davon ausgenommen. Die Verarbeitung dient der angeforderten Mitgliedschaft und dem Schutz vor mehrfacher oder fremder Kaufnutzung nach den oben erläuterten Rechtsgrundlagen.

Aufbewahrung und Löschung

Nach einem Premium-Kauf bleibt bei Kontolöschung ein privater Sperrnachweis gegen erneute oder fremde Kaufzuordnung bestehen: ein SHA-256-Prüfwert aus Store, Umgebung und ursprünglicher Kaufkennung, die gelöschte interne Kontokennung, ein Anbieter-Zeitwert und gegebenenfalls die Kennung einer widerrufenen Transaktion. Er enthält keinen Namen, keine E-Mail-Adresse, kein rohes Google-Kauftoken und keine zufällige Kauf-Kontokennung. Er ermöglicht keine Anmeldung oder Wiederherstellung des gelöschten Kontos. Für diesen Nachweis ist im derzeitigen Ablauf keine automatische Ablauffrist eingerichtet; eine feste spätere Löschung wird daher nicht zugesagt. Fragen zu seiner weiteren Erforderlichkeit oder zur Löschung kannst du an den Verantwortlichen richten.

Konten, Kisten und Wünsche werden für die fortlaufende Bereitstellung aufbewahrt, bis sie über die angebotenen Funktionen oder auf eine berechtigte Anfrage hin gelöscht werden. Archivieren blendet eine Kiste in der aktiven Übersicht aus und löscht keine Daten; Einladungen und Reservierungen bleiben erreichbar. Das Entfernen einzelner Wünsche kann zunächst eine Wiederherstellung ermöglichen. Eine Deinstallation oder das Löschen lokaler Daten ersetzt keine Serverlöschung.

Der neue Anbieter-Anmeldeweg speichert im Konto den jeweils letzten begrenzten Zustimmungsnachweis mit Erklärungsfassung, Anbieter sowie Zustimmungs- und Bestätigungszeitpunkt. Ein zusätzlicher begrenzter Prüfnachweis pro Gerätesitzung dient der sicheren Wiederholung nach verlorener Serverantwort; dazu gehören technische Prüfwerte. Es wird kein unbegrenzter Zustimmungsverlauf angelegt. Der Kontonachweis bleibt bis zum Überschreiben durch einen neueren Nachweis oder zur Kontolöschung gespeichert. Der Sitzungsnachweis bleibt bis zum Überschreiben, zur Bereinigung der jeweiligen Sitzung oder zur Kontolöschung gespeichert. Sie sind von den oben beschriebenen nur zehn Minuten nutzbaren technischen Vorgängen zu unterscheiden.

Beim Löschen eines Kontos werden seine zugeordneten Listen, Wünsche, hochgeladenen Titel-, Wunsch- und Profilbilder, Gerätesitzungen, Versandzuordnungen, Einstellungen, gespeicherten Hinweise und Einladungen entfernt; seine Reservierungen in fremden Kisten werden freigegeben. Bei Firebase-Konten wird auch die Löschung des zugehörigen Firebase-Authentication-Kontos veranlasst. Für ein mit Apple verbundenes Konto ist eine frische Apple-Bestätigung desselben Kontos und die Bestätigung des Anbieter-Widerrufs erforderlich. Dein allgemeines Google- oder Apple-Konto wird dabei nicht gelöscht. Unabhängige Kisten anderer Personen bleiben erhalten. Die Löschung kann mehrere Schritte benötigen; die App bestätigt den Abschluss erst nach erfolgreicher Serverbestätigung. Minimale technische Lösch- und Sperrkennungen können zum Schutz vor wiederholter Verwendung alter Zugänge bestehen bleiben. Details und ein Kontaktweg außerhalb der App stehen unter Konto und Daten löschen.

Nach bestätigter Bildentfernung können im privaten Bildspeicher leere Objekte mit null Bildbytes und begrenzte technische Löschsperren erhalten bleiben. Sie verhindern, dass ein verspäteter Upload ein entferntes Bild unter derselben Objektkennung wiederherstellt. Dazu können interne Eigentümer-, Kisten-/Konto-, Ressourcen- und Objektkennungen sowie begrenzte Status- und Kapazitätsdaten gehören; die Sperre enthält keine Bildinhalte, Namen oder E-Mail-Adressen und erlaubt keine Anmeldung oder Wiederherstellung eines gelöschten Kontos. Historisch belegte Objektplätze werden durch das Entfernen eines Bildes nicht wieder freigegeben. Für diese technischen Sperren ist derzeit keine automatische Ablauffrist eingerichtet; eine vollständige Entfernung sämtlicher technischer Bezüge oder die spätere Freigabe aller Kapazität wird deshalb nicht zugesagt. Fragen zu ihrer weiteren Erforderlichkeit oder Löschung kannst du an den Verantwortlichen richten.

Google gibt für Firebase Authentication an, protokollierte IP-Adressen einige Wochen aufzubewahren. Andere Authentifizierungsdaten bleiben bis zur angeforderten Nutzerlöschung gespeichert und werden anschließend innerhalb von 180 Tagen aus Live- und Sicherungssystemen entfernt. Bei Firebase Cloud Messaging bleiben Installationskennungen laut Google bis zu einer ausdrücklichen Anfrage zur Kennungslöschung gespeichert; danach gilt ebenfalls eine Anbieterfrist von bis zu 180 Tagen. Das Entfernen der Wunschkiste-Gerätezuordnung ist von dieser Kennungslöschung zu unterscheiden. Die Abschlussbestätigung der App ist keine Zusage zur sofortigen Löschung sämtlicher Anbieterkennungen oder Sicherungskopien. Quelle: Firebase-Datenschutzhinweise.

Sicherheitsdaten und Supportnachrichten werden nur aufbewahrt, solange sie für die Bearbeitung, den Schutz des Dienstes oder gesetzliche Pflichten erforderlich sind. Technische Sicherungen können gelöschte Daten bis zu ihrer regulären Überschreibung enthalten. Konkrete Auskünfte zur Aufbewahrung deiner Daten erhältst du beim Verantwortlichen.

Deine Rechte

Unter den gesetzlichen Voraussetzungen hast du Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Gegen eine Verarbeitung auf Grundlage berechtigter Interessen kannst du aus Gründen deiner besonderen Situation Widerspruch einlegen. Soweit eine Verarbeitung auf Einwilligung beruht, kannst du diese mit Wirkung für die Zukunft widerrufen.

Schreibe an dev@timonply.com, wenn du deine Rechte ausüben möchtest. Sende keine Passwörter, Kontoschlüssel oder vollständigen Ausweisdokumente mit. Zum Schutz deiner und fremder Daten kann eine angemessene Berechtigungsprüfung erforderlich sein. Du kannst dich auch bei einer Datenschutzaufsichtsbehörde beschweren, beispielsweise der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.

Kinder und gemeinsame Planung

Für eigene Foto-Uploads mit 13–17 ist zusätzlich zur Kontofreigabe eine ausdrückliche Eltern-Erlaubnis nötig. Die Foto-Erklärung und ihre Fassung werden der bestehenden Eltern-/Kind-Zuordnung als begrenzter Freigabenachweis zugeordnet; eine frühere allgemeine Kontofreigabe gilt nicht nachträglich als Foto-Erlaubnis. Die Elternperson kann die Foto-Erlaubnis im unterstützten Familienablauf erteilen oder widerrufen. Ein Foto-Widerruf sperrt zukünftige eigene Foto-Uploads, löscht zuvor gespeicherte Bilder aber nicht automatisch. Für die Entfernung bestehender Bilder verwende die angebotenen Funktionen oder den Kontaktweg zum Verantwortlichen. Diese dokumentierte Erklärung bestätigt weder unabhängig geprüfte Erziehungsberechtigung noch Rechte am einzelnen Bild. Maßgeblich sind die Upload- und Nutzungsbedingungen; die Foto-Erlaubnis für minderjährige Nutzung beruht auf Art. 6 Abs. 1 Buchst. a in Verbindung mit Art. 8 DSGVO und kann für die Zukunft widerrufen werden.

Kinder unter 13 nutzen das Konto einer verantwortlichen erwachsenen Person. Für eigene Konten mit 13–17 fordert der unterstützte Registrierungsablauf Elternfreigabe an, bevor Kontoname, E-Mail oder Passwort des Kindes eingegeben werden oder eine neue Anbieterregistrierung beginnt. Dazu gibt es einen kurz gültigen Elternlink und Vergleichscode. Die Elternperson meldet sich mit einem bestätigten, als erwachsen erklärten Konto an, prüft den Code und erklärt ausdrücklich Volljährigkeit und Erziehungsberechtigung. Bestätigte E-Mail und diese Erklärungen sind dokumentierte Angaben, keine unabhängige Identitäts- oder Erziehungsberechtigungsprüfung. Geburtsdatum oder Ausweis werden nicht angefordert.

Cloud Firestore speichert begrenzte Anfragen mit gehashten Eltern- und Kinderberechtigungen, Altersgruppe, Vergleichscode, Erklärungsfassung, Status und 24-Stunden-Frist. Der Elternlink enthält eine sensible Prüfberechtigung und gehört nur an die Elternperson. Nach dem Öffnen wird sie aus der angezeigten Webadresse entfernt; in der ursprünglichen Anfrage oder im Browserverlauf kann sie bestehen bleiben. Firestore speichert Erwachsenenerklärungen oder freigegebene Minderjährigenzugänge, Eltern-/Kinderkonto- und Firebase-UID-Zuordnungen, Freigabe- und Widerrufszeitpunkte sowie eine begrenzte Familienzuordnung. Die Freigabe beruht auf Art. 6 Abs. 1 Buchst. a in Verbindung mit Art. 8 DSGVO, Sicherheitsnachweise auf Art. 6 Abs. 1 Buchst. f. Die gewöhnliche Erwachsenen-Kontofunktion beruht auf Art. 6 Abs. 1 Buchst. b.

Der Familien-/Anmeldeablauf im Web speichert Firebase-Zugangs- und Refresh-Tokens, die App-Sitzungsberechtigung und offene Freigabeberechtigungen in sessionStorage dieses Browser-Tabs. Das ist vom nativen Schlüsselbundschutz zu unterscheiden. Browser-Sitzungswiederherstellung kann Tab-Daten erhalten. Melde dich auf gemeinsam genutzten Geräten ab und teile weder Tab noch Elternlink. Passwörter werden dort nicht gespeichert. Widerruf sperrt reguläre Inhaltsvorgänge; Anmeldung zur Wiederherstellung, Abmeldung und Kontolöschung bleiben möglich.

Eltern können die Freigabe nach erneuter Anmeldung unter Familie widerrufen. Das sperrt den App-Zugang des Kindes, neue Datenänderungen und künftige Pushzulassung. Es löscht weder bereits geteilte Listen noch fremde Kopien, ruft keine angenommenen Betriebssystemnachrichten zurück und löscht nicht das Konto. Kontolöschung ist getrennt. Diese Version verspricht keine Wiederherstellung einer widerrufenen Freigabe. Elternkontolöschung widerruft auch die zugeordneten Freigaben; Kinderkontolöschung entfernt dessen Identitätszuordnungen. Ein minimaler gehashter Schutz gegen Wiederverwendung kann bis zum ursprünglichen Ablauf der 24-Stunden-Anfrage verbleiben und wird danach bei Zugriff bereinigt. Begrenzte Freigabe-/Widerrufsnachweise bleiben sonst bei Familie beziehungsweise Konto bis zur Löschung oder anwendbaren Frist.

Bestehende Konten ohne Altersfreigabe können sich zur Wiederherstellung, Abmeldung und Löschung anmelden, aber reguläre Inhalte erst nach Erwachsenenerklärung oder gültiger Elternfreigabe nutzen. Gastnutzung erfordert im neuen unterstützten Ablauf eine ausdrückliche Erwachsenenerklärung; das ist kein Altersnachweis. Öffentliche Einladungslinks sind weiterleitbar und prüfen das Alter von Betrachtenden nicht unabhängig. Teile nur erforderliche Angaben, ohne vollständigen Namen, Adresse, Geburtsjahr oder Foto eines Kindes. Die öffentliche Firebase-Registrierungs-API wird in der aktuellen App-Umsetzung nicht global gesperrt; unterstützte Clients und Wunschkiste-Backend prüfen die App-Freigabe. Wird nach Elternfreigabe eine Firebase-Identität erstellt, aber die Bestätigung abgebrochen oder die Anfrage abgelaufen, löscht der Ablauf diese Identität nicht automatisch. Für Löschhilfe kontaktiere den Verantwortlichen; automatische Hintergrundbereinigung wird nicht zugesagt.

Fragen und Änderungen

Bei Fragen nutze dev@timonply.com. Wenn sich Funktionen oder Datenverarbeitungen ändern, werden diese Hinweise angepasst. Das Datum am Anfang bezeichnet den Dokumentstand.

Meldungen, Blockierungen und Inhaltsprüfung

Die Schutzfunktionen der iOS-App verwenden das bestehende Firestore-Backend. Eine Meldung enthält Grund, optional eine Beschreibung, die betroffene Kisten- beziehungsweise Wunschkennung und einen begrenzten Inhaltsauszug. Technische Vorgangskennungen ermöglichen die Wiederholung derselben Meldung nach Verbindungsproblemen. Rohpasswörter, Anmeldetokens und private Einladungsschlüssel werden nicht in Meldungen übernommen. Blockierungen werden deinem Konto oder einer serverseitig gehashten Gastberechtigung zugeordnet; andere Nutzer erhalten keine Identität des Meldenden. Zur Verwaltung kann der bereits bekannte, weiterhin zulässige Kistentitel angezeigt werden.

Ein Wort- und Linkfilter begrenzt unerwünschte Inhalte, ersetzt aber keine vollständige Prüfung. Eigene Kistenfotos bleiben für Gäste beim voreingestellten Bild, bis ein Betreiber genau diese Bildfassung freigibt. Ersetzte Bilder benötigen eine neue Freigabe. Das Hochladen bedeutet deshalb nicht, dass das Foto bereits öffentlich sichtbar ist. Eine Blockierung gilt für den jeweiligen Zugang; anonyme Gastberechtigungen sind keine verifizierte Personenidentität und können ersetzt werden. Vorher geteilte Kopien werden dadurch nicht zurückgeholt.

Die Warteschlange und Nachweise sind begrenzt. Bei einem ausgeschöpften Limit werden neue Vorgänge abgewiesen; die Kapazität wird nicht automatisch erweitert. Geschlossene Meldungen sind für eine manuelle Bereinigung nach 90 Tagen vorgesehen, offene Meldungen bleiben bis zur Bearbeitung erhalten. Es läuft kein automatischer Löschauftrag. Eigene Blockierungen werden bei bestätigter Kontolöschung entfernt; Ein begrenzter pseudonymer Meldendenbezug bleibt in bereits empfangenen Meldungen auch nach Kontolöschung bis zur Bearbeitung beziehungsweise manuellen Bereinigung erhalten; er ermöglicht keine Anmeldung. Ein erforderlicher Nachweis über gemeldete Inhalte anderer Nutzer kann für die Bearbeitung und Verteidigung berechtigter Ansprüche verbleiben. Grundlage sind die Bereitstellung der Schutzfunktionen und berechtigte Interessen an Missbrauchsabwehr nach Art. 6 Abs. 1 Buchst. b beziehungsweise f DSGVO.

Im Browser verbleibt höchstens ein offener Meldungsentwurf mit gehashter Zugangszuordnung und begrenzter Beschreibung im jeweiligen Tab. In iOS werden begrenzte offene Entwürfe in der geräteeigenen Keychain für genaue Wiederholungen gespeichert. Sie werden nicht als zugestellte Meldung dargestellt, bevor das Backend den Empfang bestätigt. Eine bestätigte Kontolöschung entfernt die diesem Konto zugehörigen lokalen iOS-Meldungsentwürfe. Die Aktivierung und tatsächliche Betreiberbearbeitung müssen vor öffentlicher Freigabe geprüft werden.