Datenschutzerklärung

Stand: 11. Juni 2026

Diese Datenschutzerklärung gilt für die Mobile-App Buildry und für die Website buildry.app. Sie beschreibt, welche personenbezogenen Daten in beiden Kontexten verarbeitet werden, von wem, und welche Rechte du hast.

Buildry ist eine Local-First-App. Deine Bau-Daten — Projekte, Räume, Materialien, Garantien, Wartungen, Handwerker, Aufgaben, Kosten, Belege, Fotos und Notizen — bleiben auf deinem Gerät und in deiner eigenen iCloud oder deinem eigenen Google-Drive-Speicher. Ich, der Anbieter, betreibe keinen eigenen Server für deine Inhalte und sehe sie nicht.

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Alexander Löfflad Im Speicher 18 79353 Bahlingen am Kaiserstuhl Deutschland

E-Mail: privacy@buildry.app

Ein Datenschutzbeauftragter ist gesetzlich nicht zu bestellen.

2. Was ich nicht tue

Damit es kurz und klar ist, fange ich mit dem Negativen an. Ich:

  • betreibe keinen eigenen Server, auf dem deine Bau-Daten gespeichert sind
  • habe keinen Zugriff auf deine Projekte, Räume, Materialien, Garantien, Wartungen, Handwerker-Daten, Aufgaben, Kosten, Belege, Fotos oder Notizen
  • führe kein Tracking, kein Profiling, kein Behavioral Analytics — die einzige Ausnahme ist eine strikt anonyme, ausdrücklich opt-in Nutzungsstatistik (Abschnitt 11), die ohne deine Einwilligung niemals aktiv ist
  • setze keine Werbenetzwerke ein und übergebe keine Daten an Werbe-Partner
  • nutze auf der Website keine Tracking-Cookies und keine Analytics-Tools
  • übermittle keine App-Inhalte an KI-Anbieter oder Cloud-OCR-Dienste

Teil A — Verarbeitungen in der Buildry-Mobile-App

3. Lokal auf deinem Gerät verarbeitete Daten

Alle Inhalte, die du in Buildry erstellst — Projekte, Räume, Materialien, Garantien, Wartungen, Handwerker, Aufgaben, Kosten, Belege, Fotos und Notizen — werden ausschließlich lokal auf deinem Gerät in einer SQLite-Datenbank gespeichert. Diese Daten verlassen dein Gerät nur, wenn du Synchronisation aktivierst (siehe Abschnitt 4) oder einen Datenexport bewusst teilst (siehe Abschnitt 5).

Die Datenbank ist durch die Sicherheits-Mechanismen deines Betriebssystems geschützt (App-Sandbox; iOS Data Protection; Android File-based Encryption, sofern aktiviert).

Bewertungen, die du zu Handwerkern hinterlegst (Sterne-Rating und Bewertungs-Notiz), gelten als privat: Sie werden nie ohne deine ausdrückliche Aktion (z. B. expliziter Export mit aktivierter Bewertungs-Option) geteilt.

Rechtsgrundlage: Eine ausschließlich lokale Speicherung auf deinem Gerät begründet keine Datenverarbeitung durch mich als Anbieter im Sinne der DSGVO.

4. Synchronisation über deine eigene Cloud (optional)

Die Synchronisation ist standardmäßig deaktiviert und muss von dir bewusst aktiviert werden („Mehr → Synchronisation” in der App).

Wenn du Cross-Device-Sync nutzt, werden deine Buildry-Daten in deiner persönlichen iCloud (Apple-Geräte) oder in deinem Google Drive (Android-Geräte) abgelegt. Die Daten liegen damit in der Cloud-Infrastruktur, die du ohnehin mit Apple oder Google nutzt — nicht bei mir.

4.1 iCloud (iOS)

Auf iOS-Geräten verwendet Buildry den iCloud-Drive-Container deiner Apple-ID. Der Inhalt wird in einem App-eigenen, für andere Apps unsichtbaren Bereich abgelegt. Verantwortlich für diese Verarbeitung ist Apple Inc. bzw. Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland.

Details findest du in Apples Datenschutzerklärung: https://www.apple.com/legal/privacy/de-ww/

4.2 Google Drive App Folder (Android)

Auf Android-Geräten verwendet Buildry den hidden „App Data Folder” deines Google-Kontos. Dieser Bereich ist nur für Buildry zugänglich und für andere Apps und für dich selbst über die normale Drive-Oberfläche nicht sichtbar. Verantwortlich für diese Verarbeitung ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.

Für den Zugriff erfolgt eine OAuth-Anmeldung (Scope: drive.appdata). Dabei wird ein Access-Token und ein Refresh-Token ausschließlich lokal auf deinem Gerät gespeichert; Buildry sendet diese Tokens nicht an mich oder Dritte und nutzt sie nur, um über die Google-Drive-API zu lesen und zu schreiben. Du kannst die Drive-Verbindung jederzeit in den Einstellungen der App trennen; das löscht die Tokens und beendet die Synchronisation.

Details findest du in Googles Datenschutzerklärung: https://policies.google.com/privacy

4.3 Was synchronisiert wird

Synchronisiert werden alle deine Bau-Inhalte (siehe Abschnitt 3) einschließlich Foto-Binärdateien. Geräte-Einstellungen (Spracheinstellung, Theme, Sync-Frequenz) bleiben gerätlokal und werden nicht in die Cloud übertragen.

Soft-gelöschte Einträge (Tombstones) werden über die Cloud propagiert, damit ein Löschvorgang auf einem Gerät auch auf deinen anderen Geräten ankommt. Sie werden lokal automatisch nach 30 Tagen hart gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) — die Synchronisation gehört zur vereinbarten Funktion, sobald du sie aktivierst.

5. Datenexport und -teilen

Du kannst deine Buildry-Daten jederzeit über die App exportieren — als strukturierte JSON-Datei (alle Inhalte mit Schema-Version, Foto-Metadaten ohne Binärdateien), als PDF-Bericht je Projekt oder als komplette Haus-Dokumentation („Eigentümerwechsel-Export”, Unlimited-Feature). Die Exportdatei wird lokal auf deinem Gerät erzeugt und über das System-Teilen-Dialog deines Geräts weitergegeben (z. B. E-Mail, AirDrop, Dateien-App).

Ich erhalte von diesem Vorgang keine Daten. Wohin du die Exportdatei sendest, entscheidest ausschließlich du.

Der JSON-Export setzt die Anforderungen aus Art. 20 DSGVO (Datenübertragbarkeit) technisch um — er enthält deine Daten in einem strukturierten, gängigen und maschinenlesbaren Format.

6. On-Device-Texterkennung bei Belegen (OCR)

Wenn du ein Foto eines Belegs aufnimmst, erkennt Buildry den Text auf dem Beleg, um Betrag, Datum und Händler automatisch vorzuschlagen. Diese Texterkennung erfolgt vollständig auf deinem Gerät:

  • Auf iOS über das Apple-Framework Vision (Teil des Betriebssystems; kein Download, keine Google-Komponenten)
  • Auf Android über Google ML Kit Text Recognition v2 (@react-native-ml-kit/text-recognition) im On-Device-Modus; das Sprachmodell wird einmalig vom Google Play Service auf das Gerät geladen

Es findet keine Übertragung des Beleg-Fotos oder des erkannten Textes an mich oder an einen Cloud-OCR-Dienst statt. Der erkannte Roh-Text wird zusammen mit dem Beleg in deiner lokalen Datenbank gespeichert (Feld receipts.ocr_text), damit du später nach Beleg-Inhalten suchen kannst — wieder ausschließlich lokal.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Komfortfunktion der App).

7. Fotos und EXIF-Daten

Beim Import eines Fotos in Buildry wird das Bild auf eine sinnvolle Größe heruntergerechnet (Resize) und in JPEG neu kodiert. Durch diese Re-Kodierung werden EXIF-Metadaten — einschließlich GPS-Koordinaten — vollständig entfernt, bevor das Foto in deiner lokalen Datenbank gespeichert oder in deine Cloud synchronisiert wird. Das schützt dich vor unbeabsichtigter Standort-Preisgabe (z. B. wenn du später eine Foto-Dokumentation deines Hauses an Dritte weitergibst).

Falls ein Foto bereits ein Aufnahmedatum in den EXIF-Daten enthielt, wird dieses vor dem Strippen ausgelesen und als Zeitstempel im Datenbank-Feld photos.taken_at gespeichert. GPS-Koordinaten werden nicht ausgelesen.

8. Käufe über den App Store oder Play Store

Wenn du Buildry kostenpflichtig erweiterst (Pay-per-Project zu 14,99 € oder Unlimited zu 49,99 €), erfolgt die Zahlung über das In-App-Purchase-System des Apple App Store bzw. Google Play. Vertragspartner für die Zahlungsabwicklung sind:

  • Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland
  • Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland

Diese Anbieter verarbeiten Zahlungsdaten in eigener Verantwortung. Ich erhalte von Apple und Google ausschließlich anonymisierte Transaktionsberichte sowie eine aggregierte Auszahlung — keine Zahlungsmittel-Daten und keine namentliche Käuferzuordnung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Weitere Informationen:

  • https://www.apple.com/legal/privacy/de-ww/
  • https://policies.google.com/privacy

9. Validierung der In-App-Käufe über RevenueCat

Um zu prüfen, welche In-App-Käufe du erworben hast und welche Funktionen damit freigeschaltet sind, nutzt Buildry den Dienst RevenueCat (RevenueCat, Inc., 300 Euclid Avenue, San Francisco, CA 94118, USA) als Auftragsverarbeiter im Sinne des Art. 28 DSGVO.

Folgende Daten werden dabei an RevenueCat übermittelt:

  • eine pseudonyme App-User-ID — eine von der App generierte UUID, die ich nicht mit deinem Namen, deiner E-Mail oder anderen direkt identifizierenden Daten verknüpfen kann; sie bleibt jedoch dauerhaft mit deinen Käufen auf demselben Store-Konto verknüpft
  • technische Geräte-Daten (Geräte-Typ, Betriebssystem-Version, App-Version)
  • Transaktions-Daten (welche Käufe wann getätigt wurden, Status, Ablaufdaten, Store-Land)

Ich übermittle an RevenueCat keine E-Mail-Adresse, keinen Namen, keine Adresse und keine sonstigen direkt identifizierenden Daten.

Datenübermittlung in die USA: RevenueCat verarbeitet die Daten auf Servern in den USA. Mit RevenueCat besteht ein Auftragsverarbeitungsvertrag (Data Processing Addendum) nach Art. 28 DSGVO. Die Übermittlung in die USA erfolgt auf Grundlage EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) und — soweit RevenueCat hierfür zertifiziert ist — des EU-US Data Privacy Framework.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — die Kaufprüfung ist notwendig, um dir die erworbenen Funktionen freizuschalten).

Weitere Informationen: https://www.revenuecat.com/privacy

10. Fehler- und Absturzberichte über Sentry

Um Programmfehler und Abstürze schnell zu erkennen und zu beheben, nutzt Buildry den Dienst Sentry (Functional Software, Inc. d/b/a Sentry, 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA) als Auftragsverarbeiter im Sinne des Art. 28 DSGVO.

Buildry verwendet die EU-Region von Sentry (Datenresidenz im Europäischen Wirtschaftsraum, *.ingest.de.sentry.io). Mit Sentry besteht ein Auftragsverarbeitungsvertrag (Data Processing Addendum) nach Art. 28 DSGVO.

Bei einem Fehler oder Absturz werden folgende technische Daten übermittelt:

  • Fehler-Stack-Trace (welche Funktion in welcher Datei fehlgeschlagen ist)
  • Geräte-Typ, Betriebssystem-Version, App-Version
  • Zeitpunkt des Fehlers
  • Innerhalb der App vergebene fehler-bezogene Schlüssel (z. B. „[sync] triggerSync failed” — keine Inhalte deiner Daten)

Konkret konfiguriert ist die Sentry-Integration in Buildry so, dass:

  • keine IP-Adresse, keine User-ID, keine Geräte-Identifier mitgesendet werden (sendDefaultPii: false)
  • keine Performance- oder Tracing-Daten erhoben werden (tracesSampleRate: 0)
  • keine Breadcrumbs für Konsolen-Ausgaben oder Netzwerk-Aufrufe aktiviert sind — Buildry-Inhalte (Raum-Namen, Handwerker-Notizen, Beleg-Texte usw.) sind privat und sollen nicht in Crash-Reports auftauchen

Keine Inhalte aus deinen Räumen, Materialien, Garantien, Aufgaben, Belegen, Fotos oder Notizen werden an Sentry übermittelt. Sentry wird ausschließlich für technische Fehlerdiagnose eingesetzt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Stabilität, Funktionsfähigkeit und IT-Sicherheit der App). Eine Interessenabwägung erfolgte zugunsten der Erhebung, da nur technische, nicht-personenbezogene Daten übermittelt werden und die Stabilität der App auch in deinem Interesse liegt.

Weitere Informationen: https://sentry.io/privacy/

11. Anonyme Nutzungsstatistik (TelemetryDeck, nur mit Einwilligung)

Beim ersten Start (bzw. nach einem Update einmalig) fragt Buildry, ob du anonyme Nutzungssignale teilen möchtest, damit ich verstehen kann, ob und wie die App genutzt wird. Standard ist Nein — ohne deine ausdrückliche Einwilligung wird nichts übermittelt.

Wenn du zustimmst, übermittelt die App wenige, inhaltsfreie Ereignis-Signale an den Dienst TelemetryDeck (TelemetryDeck GmbH, Augsburg, Deutschland; Auftragsverarbeiter, AVV vorhanden): App geöffnet, Onboarding abgeschlossen, Projekt angelegt, Raum angelegt, Inhalt angelegt (Material/Beleg/Foto — ohne jede Detailangabe), Bezahlschranke gesehen; dazu jeweils die App-Version. Niemals übermittelt werden: Namen, Fotos, Beträge, Texte oder sonstige Inhalte deiner Projekte.

Die Signale sind anonym: Statt einer Nutzer- oder Gerätekennung verwendet die App eine zufällig erzeugte Installations-ID, die vor der Übermittlung kryptographisch gehasht wird; IP-Adressen werden von TelemetryDeck verworfen und nicht gespeichert. Ich sehe ausschließlich aggregierte Auswertungen — niemals einzelne Nutzungsverläufe. Schaltest du die Statistik ab (Einstellungen → „Anonyme Nutzungsdaten”), wird die Installations-ID auf deinem Gerät gelöscht; eine spätere erneute Einwilligung beginnt als neue, nicht verknüpfbare anonyme Installation. Die Verarbeitung erfolgt auf Servern in der EU.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (deine Einwilligung). Du kannst sie jederzeit mit Wirkung für die Zukunft in den Einstellungen widerrufen.

12. Push-Benachrichtigungen

Buildry erinnert dich an ablaufende Garantien, fällige Wartungen und überfällige Aufgaben über lokale Push-Benachrichtigungen. Diese Benachrichtigungen werden vollständig lokal auf deinem Gerät geplant und ausgelöst (über expo-notifications). Es findet keine Übermittlung der Erinnerungsinhalte an mich, an einen Push-Server oder an einen Dritten statt — es handelt sich nicht um Push-Notifications im klassischen Sinne (FCM, APNs für Remote-Push) sondern um vom Betriebssystem geplante lokale Erinnerungen.

Die Erlaubnis zum Senden von Benachrichtigungen erteilst du beim ersten Einrichten einer Erinnerung über das System-Berechtigungsdialog deines Geräts. Du kannst sie jederzeit in den Geräte-Einstellungen widerrufen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung über das System-Berechtigungsdialog).

Teil B — Verarbeitungen auf der Website buildry.app

13. Hosting und Server-Logfiles (Cloudflare)

Die Website buildry.app wird gehostet bei Cloudflare (Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA; in der EU vertreten durch Cloudflare Germany GmbH, Rosental 7, 80331 München, Deutschland) auf der Plattform Cloudflare Workers. Die Auslieferung erfolgt bevorzugt über Cloudflare-Standorte im Europäischen Wirtschaftsraum.

Bei jedem Aufruf der Website verarbeitet Cloudflare zur technischen Auslieferung und zur Abwehr von Missbrauch automatisch die folgenden Daten:

  • IP-Adresse
  • Datum und Uhrzeit des Zugriffs
  • aufgerufene URL
  • Referrer-URL (zuvor besuchte Seite)
  • verwendeter Browser, Betriebssystem
  • übertragene Datenmenge, HTTP-Statuscode

Mit Cloudflare besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Soweit Daten an die US-Muttergesellschaft Cloudflare, Inc. übertragen werden, erfolgt dies auf Grundlage des EU-US Data Privacy Framework (Cloudflare ist zertifiziert) sowie ergänzend auf Grundlage EU-Standardvertragsklauseln.

Cloudflare löscht oder anonymisiert IP-Adressen in den Standard-Logfiles innerhalb von 24 Stunden. Aggregierte Sicherheits- und Performance-Daten ohne Personenbezug können länger gespeichert werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der sicheren, stabilen und missbrauchsfreien Auslieferung der Website).

Weitere Informationen: https://www.cloudflare.com/de-de/privacypolicy/

14. Cookies und ähnliche Technologien

Die Website setzt keine Tracking-, Analyse- oder Marketing-Cookies und verwendet kein clientseitiges Tracking (kein Local Storage, kein Session Storage für analytische Zwecke). Ein Cookie-Banner ist daher nicht erforderlich.

Es kommen weder Web-Analytics (z. B. Google Analytics, Plausible, Fathom) noch externe CDN-Schriftarten (z. B. Google Fonts) noch externe Embeds (z. B. YouTube, Vimeo, Maps) zum Einsatz.

15. Kontaktformular

Auf der Website befindet sich ein Kontaktformular (/kontakt). Wenn du es nutzt, werden die folgenden Daten verarbeitet:

  • E-Mail-Adresse (Pflichtfeld)
  • Name (optional)
  • Inhalt deiner Nachricht
  • Zeitpunkt der Übermittlung
  • IP-Adresse zum Zeitpunkt der Übermittlung (zur Missbrauchs-Abwehr und Spam-Erkennung im Mail-Body mit übermittelt)

Vor dem Absenden bestätigst du per Pflicht-Checkbox die Kenntnis dieser Datenschutzerklärung. Zur Spam-Abwehr setze ich ein Honeypot-Verfahren ein (versteckte Formularfelder, die nur automatisierte Bots ausfüllen) und ein IP-basiertes Rate-Limit. Beide erheben keine zusätzlichen personenbezogenen Daten.

Für den Versand der Anfrage als E-Mail an mein Postfach nutze ich den Dienst Resend (Resend, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA). Resend verarbeitet die übermittelten Daten in der EU-Region (eu-west-1, Irland). Mit Resend besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Soweit personenbezogene Daten an die US-Muttergesellschaft übertragen werden, erfolgt dies auf Grundlage des EU-US Data Privacy Framework (Resend ist zertifiziert) sowie ergänzend auf Grundlage EU-Standardvertragsklauseln.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche bzw. vertragliche Kommunikation) und Art. 6 Abs. 1 lit. a DSGVO (deine Einwilligung via Checkbox).

Weitere Informationen: https://resend.com/legal/privacy-policy

Teil C — Übergreifende Abschnitte

16. Bei direkter Kontaktaufnahme per E-Mail

Wenn du mir direkt eine E-Mail schreibst — etwa zu einer Support-Anfrage oder zur Geltendmachung deiner Rechte — werden die übermittelten Daten (deine E-Mail-Adresse, der Inhalt deiner Nachricht und etwaige Anhänge) zur Beantwortung deiner Anfrage verarbeitet. Diese Daten werden nicht an Dritte weitergegeben und nach Erledigung deiner Anfrage gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten (z. B. handels- oder steuerrechtlich) entgegenstehen.

Mein E-Mail-Postfach wird betrieben über mailbox.org (Heinlein Hosting GmbH, Schwedter Straße 8/9 A, 10119 Berlin) — ein Anbieter mit Sitz und Server-Standort in Deutschland.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche bzw. vertragliche Kommunikation) oder Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung).

17. Speicherdauer

  • Bau-Inhalte (Projekte, Räume, Materialien, etc.) — Wo: Lokal + (optional) deine iCloud / Google Drive. Wie lange: Bis du sie löschst oder die App deinstallierst. Soft-gelöschte Einträge werden 30 Tage als Tombstone behalten, um sie über Sync zu propagieren, danach automatisch hart gelöscht.
  • Geräte-Einstellungen — Wo: Lokal. Wie lange: Bis du die App deinstallierst.
  • Transaktions- und Entitlement-Daten — Wo: RevenueCat. Wie lange: Gemäß RevenueCat-Datenschutzerklärung; üblicherweise für die Vertragsdauer plus gesetzliche Aufbewahrungsfristen. Eine vorzeitige Löschung kannst du über die Kontakt-Adresse beantragen.
  • Fehler-/Absturzberichte — Wo: Sentry (EU-Region). Wie lange: Sentry-Standard-Retention von 90 Tagen, danach automatische Löschung.
  • Server-Logfiles der Website — Wo: Cloudflare (EU-Edge). Wie lange: IP-Adressen innerhalb von 24 Stunden gelöscht/anonymisiert; aggregierte Daten länger.
  • Kontaktformular-Anfragen — Wo: mailbox.org / mein E-Mail-Postfach. Wie lange: Bis die Anfrage abgeschlossen ist, längstens bis zum Ablauf gesetzlicher Aufbewahrungsfristen.
  • Direkte E-Mail-Korrespondenz — Wo: mailbox.org / mein E-Mail-Postfach. Wie lange: Bis die Anfrage abgeschlossen ist, längstens bis zum Ablauf gesetzlicher Aufbewahrungsfristen.

18. Empfänger und Drittlands­übermittlungen

Personenbezogene Daten werden ausschließlich an die in dieser Erklärung genannten Empfänger übermittelt:

  • Apple Distribution International Ltd. (Irland) — Bereitstellung der App, Zahlungsabwicklung, iCloud-Sync
  • Google Ireland Limited (Irland) — Bereitstellung der App, Zahlungsabwicklung, Drive-Sync (Android)
  • RevenueCat, Inc. (USA) — Validierung der In-App-Käufe (Auftragsverarbeiter, AVV vorhanden; USA: Standardvertragsklauseln + ggf. DPF)
  • Functional Software, Inc. (Sentry) (USA mit EU-Datenresidenz) — Crash-Reporting (Auftragsverarbeiter, AVV vorhanden, EU-Region)
  • TelemetryDeck GmbH (Deutschland) — anonyme Nutzungsstatistik, nur nach Einwilligung (Auftragsverarbeiter, AVV vorhanden, EU)
  • Cloudflare, Inc. (USA mit EU-Edge) — Hosting der Website + DDoS-/Bot-Schutz (Auftragsverarbeiter, AVV vorhanden, DPF + SCC)
  • Resend, Inc. (USA mit EU-Datenresidenz) — Versand der Kontaktformular-Mails (Auftragsverarbeiter, AVV vorhanden, DPF + SCC)
  • Heinlein Hosting GmbH (mailbox.org) (Deutschland) — mein E-Mail-Postfach

Übermittlungen in Drittländer außerhalb des EWR (USA) erfolgen ausschließlich an die oben genannten Empfänger und auf Grundlage geeigneter Garantien gemäß Kapitel V DSGVO (Standardvertragsklauseln; soweit zertifiziert: EU-US Data Privacy Framework).

19. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Die folgenden Schutzmaßnahmen sind in Buildry und der Website umgesetzt:

  • Transportverschlüsselung: Sämtliche Verbindungen (iCloud, Google Drive, RevenueCat, Sentry, Cloudflare, Resend, Website-Auslieferung) erfolgen ausschließlich über TLS (HTTPS).
  • Lokale Speicherung im App-Sandbox-Bereich: Die lokale SQLite-Datenbank und alle Foto-Binärdateien liegen im sandboxed App-Container, der durch das Betriebssystem vor Zugriff anderer Apps geschützt ist.
  • Geräte-Verschlüsselung: Auf iOS wird die Datenbank durch Apples Data Protection im Zustand „Available after first unlock” geschützt; auf Android ist sie durch die File-Based Encryption des Geräts geschützt, sofern der Nutzer eine Bildschirmsperre aktiviert hat.
  • EXIF-/GPS-Strip beim Foto-Import (siehe Abschnitt 7).
  • Datensparsamkeit bei Drittdiensten: RevenueCat erhält nur pseudonyme IDs und Transaktionsdaten; Sentry erhält keine PII und keine Benutzer-Inhalte; Resend erhält nur den jeweiligen Formular-Inhalt.
  • Spam-Schutz: Honeypot-Felder und IP-basiertes Rate-Limit für alle Formulare; Cloudflare-Bot-Schutz auf Edge-Ebene.
  • Strenge Content-Security-Policy (CSP) auf der Website ohne unsafe-inline für Stylesheets; reduziert XSS-Risiken.
  • Code-Signing der App durch Apple bzw. Google im Rahmen der jeweiligen Store-Distribution; geänderte App-Binaries werden vom Betriebssystem nicht ausgeführt.
  • Sicherheitsupdates werden über die regulären Store-Update-Mechanismen ausgeliefert.

20. Deine Rechte

Als betroffene Person hast du folgende Rechte nach der DSGVO:

  • Auskunft über die zu deiner Person verarbeiteten Daten (Art. 15 DSGVO)
  • Berichtigung unrichtiger Daten (Art. 16 DSGVO)
  • Löschung deiner Daten (Art. 17 DSGVO) — bei Buildry praktisch umsetzbar durch Löschung in der App, Deinstallation der App und Löschung der iCloud-/Drive-Daten. Für Daten bei den Auftragsverarbeitern (RevenueCat, Sentry, Cloudflare, Resend) genügt eine formlose Anfrage an meine Kontakt-Adresse.
  • Einschränkung der Verarbeitung (Art. 18 DSGVO)
  • Datenübertragbarkeit (Art. 20 DSGVO) — siehe Abschnitt 5 (JSON-Datenexport)
  • Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
  • Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO) — z. B. Push-Benachrichtigungen über die System-Einstellungen
  • Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Für die Ausübung deiner Rechte reicht eine formlose E-Mail an: privacy@buildry.app

Für mich zuständige Aufsichtsbehörde ist:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI) Lautenschlagerstraße 20 70173 Stuttgart Telefon: +49 711 615541-0 E-Mail: poststelle@lfdi.bwl.de https://www.baden-wuerttemberg.datenschutz.de/

Du kannst dich alternativ auch an die Aufsichtsbehörde deines üblichen Aufenthaltsorts wenden.

21. Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO (einschließlich Profiling) findet weder in der App noch auf der Website statt.

22. Kinder

Buildry richtet sich an erwachsene Hauseigentümer. Ich erhebe wissentlich keine Daten von Kindern unter 16 Jahren. Sollten mir Daten von Minderjährigen ohne Einwilligung der Erziehungsberechtigten übermittelt worden sein, werden diese nach Kenntnisnahme gelöscht.

23. Änderungen dieser Datenschutzerklärung

Diese Datenschutzerklärung wird angepasst, wenn sich rechtliche Anforderungen oder der Funktionsumfang von App oder Website ändern. Die jeweils aktuelle Fassung ist in der App unter „Mehr → Datenschutz” und auf der Website unter https://buildry.app/datenschutz abrufbar; das Datum dieser Erklärung gibt den Stand wieder.