Datenschutzerklärung

1. Verantwortlicher

Verantwortlich im Sinne der DSGVO (Art. 4 Nr. 7) und anderer nationaler Datenschutzgesetze der EU-Mitgliedstaaten sowie sonstiger datenschutzrechtlicher Bestimmungen ist:

2. Was wir NICHT erheben

SecureChat wurde von Grund auf nach dem Prinzip der Datenminimierung (DSGVO Art. 5(1)(c)) entwickelt:

• Keine Klartext-Nachrichteninhalte. Nachrichten werden Ende-zu-Ende mit Curve25519/XChaCha20-Poly1305 verschlüsselt, bevor sie Ihr Gerät verlassen. Der Relay-Server sieht ausschließlich versiegelte Umschläge (sealed envelopes).
• Keine privaten Schlüssel. Ihr Curve25519 Private Key lebt ausschließlich im iOS-Keychain und ist durch die Secure Enclave geschützt. Wir haben keinerlei Zugriff darauf.
• Keine Kontaktdaten. Kein Adressbuch, keine Telefonnummer, keine E-Mail-Adresse, kein Klarname.
• Keine Crash-Reports, keine Analytics-Events. Es gibt keinerlei Tracking-SDK, Sentry, Firebase, oder ähnliches im App-Code.
• Keine Standortdaten, keine IDFA, keine Werbe-IDs.
• Keine Drittanbieter-SDKs. Der gesamte Stack ist Open Source und auditierbar.

3. Was der Relay-Server EMPFÄNGT

Auch der Relay-Server ist nach Datenminimierung konstruiert. Er empfängt ausschließlich:

• Versiegelte, signierte Nachrichtenumschläge (binäre Chiffretext-Blobs, deren Inhalt für den Relay nicht entschlüsselbar ist).
• Sender- und Empfänger-Peer-IDs (64-Hex-Zeichen, zufällig generiert, kein Bezug zu Ihrer Identität).
• Ablaufzeitstempel der Pakete (Standard: 24 Stunden, konfigurierbar).
• Standard-TLS-Metadaten (Ihre IP-Adresse, der TLS-Handshake) — diese sind für jeden Internet-Server sichtbar, mit dem Sie kommunizieren.

4. Speicherdauer (Art. 5(1)(e) DSGVO)

Der Relay-Server speichert versiegelte Pakete für maximal 24 Stunden (konfigurierbar über MAX_TTL_SECONDS). Sobald der Empfänger ein Paket bestätigt hat, wird es sofort gelöscht. Abgelaufene, nicht abgerufene Pakete werden durch einen periodischen Bereinigungslauf entfernt. Es wird keine separate Historie geführt.

5. Server-Logs

Der Relay-Server protokolliert HTTP-Zugriffe (Methode, Pfad, Statuscode, Request-ID) für die /v1/relay- und /v1/admin-Oberflächen. Die Protokolle enthalten keine Request-Bodies, Peer-IDs oder versiegelte Nutzdaten. Die Logs werden via pino als JSON nach stdout geschrieben und nicht an externe Dienste übertragen.

6. TestFlight-Beta (öffentliche Beta-Phase)

SecureChat selbst enthält keine Analytics-, Tracking- oder Crash-Reporting-SDKs. Während der öffentlichen Beta-Phase werden Builds jedoch über Apples TestFlight-Dienst verteilt. Apple verarbeitet in diesem Rahmen Standard-TestFlight-Metadaten in unserem Auftrag (Auftragsverarbeitung gemäß Art. 28 DSGVO). Dies kann umfassen:

• Anzahl Installationen, Sitzungen und Abstürze pro Build-Version (für uns in App Store Connect einsehbar).
• Datum der Erstinstallation, zuletzt aktive Build-Version sowie Geräte- und OS-Klasse (zur Priorisierung von Kompatibilitätsfixes).
• Freitext-Feedback, falls Sie es über die TestFlight-App einreichen — dieses behandeln wir vertraulich und geben es nicht außerhalb des SecureChat-Teams weiter.

Apple teilt uns nicht Ihren Namen, Ihre E-Mail-Adresse oder Ihre Apple-ID mit, wenn Sie über den öffentlichen TestFlight-Link installieren. Vollständige Details finden Sie in Apples TestFlight-Dokumentation.

7. Auftragsverarbeiter (Sub-Processors) und Drittempfänger

SecureChat nutzt folgende externe Dienste, die in unserem Auftrag Daten verarbeiten (Art. 28 DSGVO):

• GitHub, Inc. — Hosting des öffentlichen Quellcodes und der Issue-Tracker. Datenschutz: github.com/privacy.
• Cloudflare, Inc. — DNS-Resolver und CDN-Edge (nur statische öffentliche Webseiten). Datenschutz: cloudflare.com/privacypolicy.
• Apple, Inc. — App-Distribution via TestFlight (nur während der Beta-Phase). Datenschutz: apple.com/legal/privacy.

Eine tagesaktuelle Liste aller Auftragsverarbeiter finden Sie unter /sub-processors.html.

8. Datensicherheit (Art. 32 DSGVO)

Der Relay-Server läuft als nicht-root-Container unter Docker mit minimaler Angriffsoberfläche. Verschlüsselte HTTPS-only-Verbindung (TLS 1.3) ist Pflicht. Der Server verarbeitet keine Klartext-Daten und führt keine Datenbank mit personenbezogenen Daten. Backups werden verschlüsselt (AES-256-GCM) auf einem vom primären Standort geografisch getrennten Speicher abgelegt.

9. Ihre Rechte als Betroffener (Kapitel III DSGVO)

Sie haben folgende Rechte:

• Auskunftsrecht (Art. 15) — Sie können erfragen, welche Daten wir über Sie verarbeiten.
• Recht auf Berichtigung (Art. 16) — Wir berichtigen unrichtige Daten unverzüglich.
• Recht auf Löschung (Art. 17) — Wir löschen Ihre Daten auf Anfrage unverzüglich.
• Recht auf Einschränkung (Art. 18).
• Datenübertragbarkeit (Art. 20) — Sie können Ihre Daten in einem maschinenlesbaren Format anfordern.
• Widerspruchsrecht (Art. 21).
• Beschwerderecht bei der Aufsichtsbehörde (Art. 77) — Sie können sich an die für Sie zuständige Datenschutzbehörde wenden.

Anfragen richten Sie bitte schriftlich an privacy@securechat.team. Wir antworten innerhalb von 30 Tagen (in der Regel innerhalb weniger Werktage).

10. Datenlöschung (Löschanfrage)

Um eine Löschung der über Sie gespeicherten Daten zu beantragen, senden Sie eine E-Mail an privacy@securechat.team. Die einzigen Daten, die der öffentliche Relay über Sie speichert, sind versiegelte Pakete und Tombstones; beide werden innerhalb von 24 Stunden nach Senden bzw. Empfang entfernt. Wir antworten innerhalb von 30 Tagen und bestätigen die Löschung schriftlich.

11. Self-Hosting (Datenminimierung durch Architektur)

Wenn Sie den öffentlichen Relay-Server vollständig umgehen möchten, betreiben Sie Ihren eigenen. Der Relay ist ein einzelner Fastify-Container, der in etwa 20 Minuten auf einem frischen VPS deployt werden kann. Die iOS-App zeigt über eine konfigurierbare Host-URL auf Ihren eigenen Server. Siehe den Self-Host-Leitfaden.

12. Änderungen dieser Erklärung

Wesentliche Änderungen dieser Erklärung werden in der iOS-App und auf der Status-Seite angekündigt. Die vollständige Versionshistorie dieser Datei ist im Projekt-Repository: privacy-de.html auf GitHub.

13. Sprachfassung

Bei Abweichungen zwischen der deutschen und der englischen Fassung dieser Erklärung gilt die englische Fassung (privacy.html) als verbindlich. Die deutsche Fassung dient der sprachlichen Zugänglichkeit gemäß Art. 12(1) DSGVO.