Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten bei Packbay ist:

2. Verarbeitete Daten

• Konto und Haushalt: Name, E-Mail-Adresse, Passwort-Hash, Sprache, Rollen, Haushaltszugehörigkeit sowie Einladungs- und Anmeldedaten.
• Anmeldung mit Apple oder Google: gewählter Anbieter, dessen unveränderliche Kontokennung und Aussteller, die für den Client vorgesehene Kennung, der Verknüpfungs- und Widerrufsstatus sowie bei der ersten Freigabe gegebenenfalls Name, E-Mail-Adresse, Bestätigungsstatus und die Information, ob Apple eine private Relay-Adresse verwendet. Ein für Prüfung und Widerruf benötigtes Apple-Refresh-Token speichern wir ausschließlich verschlüsselt. Provider-ID- und Zugriffstoken sowie Autorisierungscodes werden nach der Prüfung verworfen und nie als Packbay-Sitzung verwendet.
• Reiseplanung: Reisen, Unterkünfte, Aktivitäten, Tagespläne, Checklisten, Notizen und Budgetdaten einschließlich Beträgen, Kategorien, zahlenden Personen und Aufteilungen.
• Premium und Zahlungen: Tarif, Laufzeit, Abo-Status und Transaktionskennungen von Apple, Google Play beziehungsweise – bei einem Web-Abo – Stripe. Vollständige Zahlungsdaten erhalten wir nicht. Beim Premium-Reise-Postfach verarbeiten wir eingehende E-Mails und Anhänge, die auch Daten Dritter enthalten können.
• KI-Länderberichte: Wenn du einen Bericht anforderst, verarbeiten wir das Reiseziel und den erzeugten Bericht. Konto-, Kontakt- und sonstige Reiseinhalte werden hierfür nicht an den KI-Anbieter übermittelt.
• In-App-Meldungen und Moderation: Wenn du Inhalte oder ein anderes Haushaltsmitglied meldest, speichern wir die Zuordnung zu deinem Konto und Haushalt, eine serverseitig geprüfte Ressourcenreferenz, den Meldegrund, deinen optionalen Kommentar sowie Bearbeitungsstatus, interne Moderationsnotiz und getroffene Aktion. Der gemeldete Inhalt wird nicht in die Meldung kopiert; das Absenden löst keine Push-Benachrichtigung aus.
• Gerät, Sicherheit und Diagnose: freiwilliger Push-Token oder Web-Push-Endpunkt samt Zustellschlüsseln, auf Android eine Firebase- Installationskennung, zufällige Packbay-Gerätekennung, Sprache und Darstellung sowie bei Zugriffen und sicherheitsrelevanten Ereignissen IP-Adresse, Zeitpunkt, User-Agent, ein lokal abgeleiteter ungefährer Standort und technische Protokoll- oder Fehlerdaten. Fehlerberichte können App-Version, Gerätetyp, betroffene Funktion und pseudonyme technische Kennungen enthalten.
• Support und Vertragserklärungen: Kontaktdaten, Nachrichten, Anhänge, Verlauf und Bearbeitungsstatus. Bei Kündigung oder Widerruf außerdem Erklärungsart, Vertragsbezeichnung oder -kennung, Eingangszeit und freiwillige Zusatzangaben. Zur Missbrauchsabwehr können pseudonyme technische Prüfwerte gespeichert werden.

Die Daten stammen von dir, anderen Haushaltsmitgliedern, Absendern an ein Reise- oder Supportpostfach sowie – bei Käufen – von Apple, Google Play oder Stripe. Name, E-Mail-Adresse, Passwort und die bei einer Funktion als erforderlich gekennzeichneten Angaben sind für Vertragsschluss oder Leistungserbringung notwendig; ohne sie kann die jeweilige Funktion nicht bereitgestellt werden. Andere Angaben und Push-Benachrichtigungen sind freiwillig.

Wenn du Daten anderer Personen einträgst oder Nachrichten weiterleitest, informiere sie bitte, soweit erforderlich. Soweit Art. 14 DSGVO eine Information durch uns verlangt und keine Ausnahme greift, informieren wir die betroffene Person innerhalb der gesetzlichen Frist.

3. Zwecke und Rechtsgrundlagen

• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Registrierung, Anmeldung, freiwillige Verknüpfung oder Trennung eines Apple- oder Google-Kontos, Kontoverwaltung, gemeinsame Reiseplanung, Premium, Zahlungsstatus, Reise-Postfach, angeforderte Länderberichte sowie Bearbeitung vertraglicher Supportanfragen, Kündigungen und Widerrufe. Die Provider-Anmeldung ist optional; Anmeldung und Wiederherstellung per E-Mail und Passwort bleiben als Alternative verfügbar.
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Push-Benachrichtigungen. Die Einwilligung kannst du jederzeit in den Geräteeinstellungen widerrufen.
• Rechtspflichten (Art. 6 Abs. 1 lit. c DSGVO): insbesondere steuer- und handelsrechtliche Aufbewahrung sowie Entgegennahme und Bestätigung gesetzlich vorgesehener Vertragserklärungen.
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO): Schutz von Konten und Systemen, Missbrauchsabwehr, Fehlerdiagnose, stabiler Betrieb, Prüfung von In-App-Meldungen, Moderation, Bearbeitung allgemeiner Anfragen und Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Die Bereitstellung des Meldewegs dient zugleich der Vertragserfüllung nach Art. 6 Abs. 1 lit. b DSGVO. Unser Interesse liegt jeweils in einem sicheren und verlässlichen Dienst bei möglichst geringer Datenverarbeitung.

Es findet keine ausschließlich automatisierte Entscheidung einschließlich Profiling statt, die dir gegenüber rechtliche Wirkung entfaltet oder dich ähnlich erheblich beeinträchtigt.

4. Empfänger und Dienste

Wir übermitteln Daten nur, soweit dies für den jeweiligen Zweck erforderlich ist:

• Microsoft 365 / Microsoft Graph: Reise- und Supportpostfächer sowie Versand von Konto-, Sicherheits-, Export- und Vertrags-E-Mails; verarbeitet werden E-Mail-Adressen und Nachrichteninhalte. Sicherheits-E-Mails können außerdem die Anfrage-IP-Adresse, Geräte- und Zeitangaben sowie eine daraus lokal abgeleitete ungefähre Ortsangabe als Text enthalten; Koordinaten oder ein Kartenbild werden dafür nicht an Google übermittelt.
• Sentry (Functional Software, Inc.): minimierte Fehler-, Absturz- und Leistungsdaten im EU-Datenstandort.
• Google Sign-In (Google Ireland Limited und, soweit einschlägig, Google LLC): Nur wenn du Google zur Anmeldung oder Kontoverknüpfung auswählst, verarbeitet Google die Clientkennung, die aufrufende App beziehungsweise Web-Origin und zufällige Sicherheitswerte. Packbay erhält eine stabile Google-Kontokennung sowie – abhängig von deiner Freigabe – E-Mail-Adresse, Bestätigungsstatus, Name und Sprache. Wir speichern für die Anmeldung keine Google-Zugangs- oder Refresh-Token. Weitere Informationen enthält die Datenschutzerklärung von Google.
• Mit Apple anmelden: Nur wenn du Apple zur Anmeldung oder Kontoverknüpfung auswählst, verarbeitet Apple die Clientkennung, Rücksprungadresse, State und Nonce. Packbay erhält eine stabile Apple-Kontokennung sowie bei der ersten Freigabe gegebenenfalls Name, E-Mail-Adresse und Relay-Status. Das verschlüsselte Apple-Refresh-Token nutzen wir ausschließlich für die vorgeschriebene regelmäßige Grant-Prüfung und den Widerruf bei Trennung oder Kontolöschung. Weitere Informationen enthält die Datenschutzrichtlinie von Apple.
• Google Maps Platform / Places (Google Ireland Limited und, soweit einschlägig, Google LLC): Suchbegriffe oder Zielorte für Places-Suchen, die exakten Koordinaten der für die Reise geplanten Unterkunft, ausschließlich wenn die Reise-Kartenvorschau aufgerufen wird. Für diese Maps-Verarbeitung handeln Google und wir jeweils als eigenständig Verantwortliche nach den Google Controller-Controller Data Protection Terms. Für Google Maps gelten außerdem die Google Maps Endnutzer-Zusatzbedingungen; weitere Informationen enthält die Datenschutzerklärung von Google.
• Firebase Cloud Messaging und Google Cloud Pub/Sub (Google Ireland Limited und Google LLC): Bei freiwillig aktivierten Android-Benachrichtigungen werden eine Firebase-Installationskennung sowie technische Ereignis- und Navigationskennungen verarbeitet. Die Android-Nachricht enthält keine freien Texte oder konkreten Reise-, Postfach-, Checklisten-, Tagesplan- oder Finanzinhalte; Android erzeugt lokal einen generischen Hinweis und lädt fachliche Daten nur bei aktiver Anmeldung erneut. Pub/Sub übermittelt technische Kauf- und Abo-Ereignisse an unser Backend. Google verarbeitet diese Daten für uns als Auftragsverarbeiter nach den Firebase Data Processing and Security Terms beziehungsweise dem Google Cloud Data Processing Addendum.
• Google Play Billing: Google Play erhebt und verarbeitet Kauf- und Zahlungsdaten direkt nach seinen eigenen Bedingungen. Wir erhalten für die Bereitstellung und Prüfung des Android-Abos nur Kauf-Token, Produkt-, Transaktions- und Abo-Status, aber keine vollständigen Zahlungsdaten.
• Apple: Push-Zustellung und, bei einem iPhone-Abo, eigenverantwortliche Kauf- und Zahlungsabwicklung. Wir erhalten Transaktions- und Abo-Statusdaten.
• Web-Push-Anbieter des gewählten Browsers: Bei freiwillig aktivierten Browser-Benachrichtigungen werden ein technischer Push-Endpunkt, Zustellschlüssel und eine minimale Ereigniskennung verarbeitet. Die Nachricht enthält keine Reise-, E-Mail- oder Finanzinhalte; Packbay lädt die fachlichen Daten nach dem Öffnen erneut.
• Stripe Payments Europe, Ltd.: Zahlungsabwicklung bei einem über die Web-App angebotenen Abo. Wir erhalten Kunden-, Abo- und Statuskennungen, aber keine vollständigen Zahlungsdaten.
• Cloudflare, Inc.: Auslieferung und Schutz von Website und Schnittstellen sowie Turnstile-Missbrauchsschutz; dabei werden insbesondere IP-Adresse, Browser- und Interaktionsdaten verarbeitet.
• Anthropic, PBC: Nur bei einem aktiv angeforderten Länderbericht wird das Reiseziel zur Berichtserstellung übermittelt.
• Pushover, LLC: Bei neuen Supportfällen oder offenen Kündigungs- und Widerrufserklärungen kann ein fester interner Hinweis ohne Fallinhalte ausgelöst werden. Pushover verarbeitet für die Zustellung technische Anfrage-, Konto- und Geräte-Metadaten. Weitere Informationen: Datenschutzerklärung von Pushover.

5. Drittlandübermittlungen

Bei Microsoft, Sentry, Google, Apple, dem jeweiligen Web-Push-Anbieter, Stripe, Cloudflare, Anthropic und Pushover kann eine Verarbeitung in den USA oder einem anderen Staat außerhalb des Europäischen Wirtschaftsraums stattfinden. Die jeweilige Übermittlung stützen wir – abhängig vom Empfänger und Übermittlungsweg – auf einen Angemessenheitsbeschluss nach Art. 45 DSGVO oder geeignete Garantien nach Art. 46 DSGVO, insbesondere EU-Standardvertragsklauseln. Informationen zur für eine konkrete Verarbeitung verwendeten Grundlage und eine Kopie verfügbarer Garantien kannst du unter datenschutz@packbay.app anfordern.

6. Speicherdauer und Löschung

• Konto und Reiseinhalte: grundsätzlich bis zur Kontolöschung. Das Konto wird nach der Löschanfrage sofort gesperrt und nach 30 Tagen gelöscht oder anonymisiert. Gemeinsam genutzte Inhalte können für verbleibende Haushaltsmitglieder bestehen bleiben. Routinemäßige Sicherungskopien werden innerhalb von etwa drei Wochen überschrieben.
• Externe Anmeldeidentitäten: Verknüpfungsdaten speichern wir, solange die jeweilige Anmeldemethode mit dem Konto verbunden ist. Bei einer Trennung wird die Identität sofort für neue Anmeldungen gesperrt; das verschlüsselte Apple-Grant wird nach erfolgreichem Widerruf oder dem Ende des begrenzten Wiederholungszeitraums vernichtet. Minimierte Sicherheits- und Auditnachweise bleiben nur nach den hierfür geltenden Fristen erhalten. Bei der Kontolöschung werden alle Provider-Grants vor der endgültigen Löschung widerrufen oder in den dokumentierten, zeitlich begrenzten Widerrufspfad übernommen.
• Premium und Verträge: steuer- oder handelsrechtlich relevante Belege einschließlich einschlägiger Vertragsbestätigungen werden nach den anwendbaren Fristen aufbewahrt, regelmäßig acht Jahre. Andere Kündigungs- und Widerrufsbelege speichern wir grundsätzlich bis zum Ende des dritten auf ihren Eingang folgenden Kalenderjahres. AGB-Nachweise bleiben während des Kontos gespeichert. Nach der Kontolöschung wird der pseudonyme Minimalnachweis gelöscht, sobald die ab Annahme berechnete Frist abgelaufen ist. Ein offener Fall oder Rechtsanspruch kann die Löschung bis zu seiner Klärung aussetzen.
• Reise-Postfach: Nach dem Ende von Premium wird das Postfach nach der notwendigen Übergangs- und Deprovisionierungsfrist entfernt.
• Push- und Gerätekennungen: Packbay entfernt die serverseitige Push-Registrierung bei Abmeldung, Deaktivierung, Gerätewechsel oder Kontolöschung, sobald der jeweilige Vorgang technisch ausgeführt werden kann. Anbieter können Sicherungskopien nach ihren eigenen Fristen vorhalten. Google nennt für eine per API gelöschte Firebase-Installationskennung eine Entfernung aus Live- und Sicherungssystemen innerhalb von bis zu 180 Tagen.
• Support: Chats, E-Mails und Tickets speichern wir bis zum Abschluss der Anfrage und danach nur, solange dies für Anschlussfragen, Missbrauchsabwehr, gesetzliche Pflichten oder Rechtsansprüche erforderlich ist. Sie werden getrennt vom Produktkonto gespeichert und deshalb bei dessen Löschung nicht automatisch entfernt. Eine Löschung kannst du unter support@packbay.app verlangen.
• Sicherheits- und Diagnosedaten: bis der jeweilige Analyse- oder Schutzzweck entfällt; ein konkreter Sicherheitsfall oder eine gesetzliche Pflicht kann eine längere Speicherung erfordern.
• In-App-Meldungen: Offene Meldungen bleiben bis zu ihrer Klärung gespeichert. Ab Abschluss oder Verwerfung bewahren wir den Moderationsbeleg noch 180 Tage auf und löschen ihn anschließend automatisiert. Bei Kontolöschung wird der Bezug zum meldenden Konto entfernt; bei Löschung des Haushalts entfällt die Meldung.

Soweit keine feste Frist genannt ist, bestimmen Zweck, Erforderlichkeit und mögliche gesetzliche Nachweis- oder Verjährungsfristen die Dauer. Anschließend löschen oder anonymisieren wir die Daten.

7. Cookies und lokale Speicherung

Website und Web-App verwenden nur technisch notwendige Sitzungs- und Sprach-Cookies. Die Sitzung läuft spätestens nach 30 Tagen ab, die Sprachwahl nach spätestens einem Jahr. Design-Einstellung und eine zufällige Gerätekennung werden lokal gespeichert; die Gerätekennung dient dem gerätebezogenen Gelesen-Status und wird bei App-Anfragen übermittelt. Cloudflare Turnstile, der selbst betriebene Chat und das Supportportal können ebenfalls notwendige Speicher-Einträge setzen. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG.

8. Deine Rechte

Dir stehen nach Maßgabe der DSGVO insbesondere folgende Rechte zu:

• Auskunft (Art. 15),
• Berichtigung (Art. 16),
• Löschung (Art. 17),
• Einschränkung der Verarbeitung (Art. 18),
• Datenübertragbarkeit (Art. 20),
• Widerspruch gegen Verarbeitungen nach Art. 6 Abs. 1 lit. e oder f (Art. 21),
• Widerruf einer Einwilligung mit Wirkung für die Zukunft und
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde.

Zuständig für uns ist die Sächsische Datenschutz- und Transparenzbeauftragte, Maternistraße 17, 01067 Dresden. Zur Ausübung deiner Rechte genügt eine Nachricht an datenschutz@packbay.app.

Widerspruch: Bei einer Verarbeitung auf Grundlage berechtigter Interessen kannst du aus Gründen deiner besonderen Situation widersprechen. Wir verarbeiten die Daten dann nicht weiter, sofern keine zwingenden schutzwürdigen Gründe oder Rechtsansprüche überwiegen.