Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist:

Ein Datenschutzbeauftragter ist gesetzlich nicht zu bestellen. Anfragen in Datenschutzangelegenheiten richten Sie bitte an die oben genannte E-Mail-Adresse.

2. Geltungsbereich

Diese Datenschutzerklärung gilt für:

• die Website nachweisapp.de einschließlich aller Unterseiten,
• die Anwendung NachweisApp für iOS (Verteilung über den Apple App Store) und Android (Verteilung über Google Play).

Für extern verlinkte Inhalte und Dienste gelten die Datenschutzbestimmungen der jeweiligen Anbieter.

3. Datenminimierung als Designprinzip

NachweisApp ist auf das Prinzip der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO ausgelegt. Die Anwendung verwendet keine Cookies, keine Werbe-Identifikatoren, keine Tracking-Pixel und keine Analyse-Bibliotheken. Ein Benutzerkonto ist nicht erforderlich. Es wird kein Nutzerprofil gebildet.

4. Verarbeitete Daten auf der Website

4.1 Server-Logfiles

Beim Aufruf der Website werden durch den Webserver (Caddy) folgende technisch notwendige Daten in einer Logdatei verarbeitet:

• IP-Adresse des anfragenden Endgeräts,
• Datum und Uhrzeit des Abrufs,
• angeforderte Ressource (URL),
• HTTP-Statuscode,
• übertragene Datenmenge,
• User-Agent-Kennung (Browser- und Betriebssystem-Information).

Zweck der Verarbeitung ist die Sicherstellung des Betriebs, die Abwehr von Angriffen und die Fehleranalyse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse ist der sichere und stabile Betrieb der Website. Die Logdaten werden nach 7 Tagen automatisch gelöscht, sofern keine Anhaltspunkte für einen Angriff vorliegen, die eine längere Aufbewahrung zur Beweissicherung rechtfertigen.

4.2 Kontaktaufnahme per E-Mail

Bei einer Kontaktaufnahme per E-Mail werden die übermittelten Angaben (E-Mail-Adresse, Inhalt der Nachricht, gegebenenfalls Name) zur Bearbeitung der Anfrage und für etwaige Anschlussfragen gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei vertraglichen oder vorvertraglichen Anfragen, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen). Anfragen werden gelöscht, sobald sie nicht mehr erforderlich sind; gesetzliche Aufbewahrungspflichten bleiben unberührt.

4.3 Cookies und lokaler Speicher

Die Website setzt keine Cookies. Es werden weder Local Storage noch Session Storage des Browsers verwendet. Eine Einwilligung nach § 25 TDDDG ist daher nicht erforderlich.

4.4 Chat-Assistent

Auf der Seite Assistent bieten wir einen automatischen Chat-Assistenten an, der Fragen zur NachweisApp anhand der Inhalte dieser Website beantwortet. Die Nutzung ist freiwillig; ohne Nutzung des Assistenten werden hierfür keine Daten verarbeitet.

Geben Sie eine Frage ein, wird der eingegebene Text verarbeitet, um eine Antwort zu erzeugen. Die Verarbeitung erfolgt in folgenden Schritten:

• Der eingegebene Text wird an den Assistenz-Dienst auf dem Server der Betreiberin (Hetzner Online GmbH, Standort Deutschland, siehe Abschnitt 6.1) übermittelt.
• Zu Ihrem Schutz wird der Text dort zunächst durch einen vorgeschalteten, auf dem Server der Betreiberin betriebenen Filter automatisch auf personenbezogene Daten (etwa Namen, Anschriften, Telefonnummern, Konto- oder Ausweisnummern) geprüft; erkannte Angaben werden vor der weiteren Verarbeitung durch Platzhalter ersetzt (Pseudonymisierung).
• Der so bereinigte Text wird zur Erzeugung der Antwort an den Sprachdienst Mistral AI (Mistral AI SAS, Paris, Frankreich) übermittelt. Der Dienst wird innerhalb der Europäischen Union betrieben; eine Übermittlung in ein Drittland außerhalb des Europäischen Wirtschaftsraums findet hierbei nicht statt.
• Zur Abwehr von Missbrauch (Spam- und Überlastungsschutz) wird die IP-Adresse des anfragenden Endgeräts kurzzeitig im Arbeitsspeicher verarbeitet (Zählung der Anfragen). Eine dauerhafte Speicherung der IP-Adresse zu diesem Zweck erfolgt nicht.

Eingaben und Antworten des Assistenten werden nicht dauerhaft gespeichert. Eine kurzzeitige Zwischenspeicherung im Arbeitsspeicher dient ausschließlich der Beantwortung und dem Missbrauchsschutz und wird automatisch wieder gelöscht. Der Assistent setzt keine Cookies und keinen dauerhaften Browser-Speicher ein.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse besteht in der Beantwortung von Fragen zum Angebot und im sicheren Betrieb des Assistenten. Die vorgeschaltete Pseudonymisierung personenbezogener Daten ist eine technische Maßnahme der Datenminimierung und des Datenschutzes durch Technikgestaltung (Art. 5 Abs. 1 lit. c, Art. 25 DSGVO). Mit dem Sprachdienst Mistral AI besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Bitte geben Sie im Assistenten keine sensiblen personenbezogenen Daten ein. Der Assistent erteilt keine rechtsverbindlichen Auskünfte; verbindliche Anfragen richten Sie bitte per E-Mail an info@ki-shield.de.

5. Verarbeitete Daten in der App (iOS und Android)

5.1 Übergabe per Einmal-Link

Eine aufgenommene Beweisdatei wird als verschlüsselter Einmal-Link übergeben. Den Link versendet die nutzende Person selbst über die von ihr gewählte Anwendung (z. B. Nachrichten-App oder E-Mail). Es wird kein Übergabe-Code und keine SMS verwendet; die Betreiberin der NachweisApp erhält weder eine Mobilfunknummer noch Kenntnis vom Versandweg. Der Server speichert ausschließlich den verschlüsselten Datenblock unter einer zufälligen Kennung und löscht ihn nach dem ersten Abruf, spätestens nach sieben Tagen.

5.2 Beweisaufnahmen

Beim Anfertigen einer Beweisaufnahme (Foto, optional Sensor- und Standortdaten) wird die Datei auf dem Endgerät der nutzenden Person mit einem dort zufällig erzeugten symmetrischen Schlüssel Ende-zu-Ende-verschlüsselt und nur in dieser verschlüsselten Form an den Server übertragen. Der Schlüssel verbleibt ausschließlich im Übergabe-Link (im Adress-Fragment nach dem Zeichen „#“) und wird nie an den Server übermittelt. Der Server hat zu keinem Zeitpunkt Zugriff auf den Klartext.

Eingesetzte kryptografische Verfahren:

• Verschlüsselung: AES-256-GCM (authentifizierte Verschlüsselung mit 256-Bit-Schlüssel),
• Schlüssel: 256-Bit-Zufallswert, ausschließlich im Übergabe-Link, nicht auf dem Server,
• Integritäts-Hash: SHA-256.

Rechtsgrundlage für die Übermittlung ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung gegenüber dem von der nutzenden Person ausgewählten Empfänger). Für die optionale Aufzeichnung von Sensor- und Standortdaten ist Rechtsgrundlage Art. 6 Abs. 1 lit. a DSGVO (Einwilligung); diese kann jederzeit mit Wirkung für die Zukunft widerrufen werden, ohne die Rechtmäßigkeit der bisherigen Verarbeitung zu berühren.

5.3 Identitätsschlüssel

Auf dem Endgerät wird eine langfristige Hybrid-Schlüsselpaarung erzeugt. Es kommen zum Einsatz:

• Ed25519 als klassische Signatur,
• ML-DSA-65 als Post-Quanten-Signatur nach NIST FIPS 204 (Sicherheitsstufe 3).

Der Post-Quanten-Signaturschlüssel (ML-DSA-65) wird auf Geräten mit Secure Enclave in dieser hardwaregestützt erzeugt und gehalten. Die übrigen privaten Schlüssel (Ed25519 für die klassische Signatur sowie die Schlüssel zur Verschlüsselung) werden im iOS-Keychain gespeichert, gebunden an dieses eine Gerät und nur bei entsperrtem Gerät zugänglich. Eine Bindung an die Secure Enclave besteht für sie nicht, da das verwendete Verfahren Curve25519 dies technisch nicht zulässt. Alle privaten Schlüssel verbleiben auf dem Endgerät und werden nicht an die Betreiberin übertragen.

5.4 Privatarchiv

Die App führt ein lokales Archiv der angefertigten Aufnahmen auf dem Endgerät. Die Dateien werden mit der iOS-Schutzklasse Complete File Protection gespeichert, sodass sie bei gesperrtem Gerät auf Datei- und Dateisystem-Ebene nicht zugänglich sind. Die Übergabe-Links selbst werden nicht gespeichert.

Hinweis zur iCloud: Die Aufnahmen liegen im Dokumentenverzeichnis der App. Ist auf Ihrem Gerät das iCloud-Backup aktiviert, werden sie von diesem Backup miterfasst; ein Ausschluss vom Backup findet nicht statt. Zusätzlich wird der öffentliche Signaturschlüssel Ihres Geräts über den iCloud-Schlüssel-Wert-Speicher zwischen Ihren Geräten synchronisiert. Private Schlüssel und unverschlüsselte Inhalte werden zu keinem Zeitpunkt in die iCloud übertragen. Die iCloud wird von Apple betrieben; ob ein Backup erfolgt, steuern Sie in den iOS-Einstellungen.

5.5 Löschung nach Abruf (Self-Destruct)

Der verschlüsselte Datenblock wird nach dem ersten erfolgreichen Abruf über den Übergabe-Link sofort vom Server gelöscht; ein erneuter Aufruf desselben Links ist danach nicht mehr möglich. Aus technischen Sicherungskopien (Backups) wird er spätestens nach sieben Tagen entfernt; da der Schlüssel dem Server zu keinem Zeitpunkt vorliegt, ist der Datenblock dort nicht lesbar. Unabhängig davon werden nicht abgerufene Pakete spätestens nach sieben Tagen automatisch gelöscht.

5.6 Beweis-Hash-Register (Echtheitsnachweis)

Damit Echtheit und Erstellungszeitpunkt einer Beweisaufnahme später unabhängig überprüfbar bleiben, übermittelt die App beim Anfertigen jeder Aufnahme einen kompakten Prüfdatensatz an den Server, der dort dauerhaft in einem Register gespeichert wird. Dieser Datensatz enthält ausschließlich:

• den kryptografischen Fingerabdruck der Aufnahme (SHA-256),
• die Verkettungs-Hashes und die Position in der Hash-Kette,
• die klassische Signatur (Ed25519) und die Post-Quanten-Signatur (ML-DSA-65) über den Fingerabdruck,
• den Zeitpunkt der Registrierung.

Ausdrücklich nicht gespeichert werden Bilddaten, Standort- oder Sensordaten, Geräte- oder Personenkennungen sowie öffentliche Schlüssel. Die gespeicherten Werte sind kryptografische Prüfsummen und Signaturen ohne Personenbezug; aus ihnen lässt sich weder der Bildinhalt rekonstruieren noch eine Person bestimmen. Es handelt sich somit um anonyme Daten.

Zweck ist ein dauerhafter, unabhängig nachprüfbarer Nachweis, dass ein Beweis mit einem bestimmten Fingerabdruck zu einem bestimmten Zeitpunkt bereits existierte. Über die Prüfseite (nachweisapp.de/verify) kann jede Person durch Eingabe eines Beweis-Fingerabdrucks abfragen, ob dieser registriert ist und seit wann; dabei wird ausschließlich der Fingerabdruck an den Server gesendet, kein Bild. Die Prüfung des Bildinhalts selbst erfolgt weiterhin ausschließlich lokal im Browser. Soweit den Prüfdatensätzen entgegen vorstehender Einordnung ein Personenbezug beigemessen würde, ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse besteht in einem manipulationssicheren, langfristig überprüfbaren Echtheitsnachweis der Aufnahmen.

5.7 Dauerhafte Verankerung (Arweave)

Zusätzlich zum Beweis-Hash-Register wird zu jeder Aufnahme ein Anker dauerhaft in das Arweave-Netz geschrieben. Arweave ist ein öffentliches, weltweit verteiltes Speichernetz. Zweck ist, dass Echtheit und Erstellungszeitpunkt einer Aufnahme auch unabhängig von der Betreiberin und über deren Fortbestand hinaus überprüfbar bleiben.

Der Anker enthält ausschließlich:

• den kryptografischen Fingerabdruck der Aufnahme (SHA-256),
• die Position in der Hash-Kette sowie einen daraus gebildeten kanonischen Prüfstring,
• die Post-Quanten-Signatur (ML-DSA-65) und die Angabe, worüber sie gebildet wurde,
• gegebenenfalls den Merkle-Wurzelwert der Bildkacheln (Grundlage späterer Schwärzungen),
• den von der App erfassten Aufnahmezeitpunkt.

Nicht enthalten sind: Bild- oder Videodaten, Standort- oder Sensordaten, unmittelbare Geräte- oder Personenkennungen sowie öffentliche Schlüssel. Die kryptografischen Kennwerte erlauben für sich genommen keine Rekonstruktion des Bild- oder Videoinhalts. Sie können jedoch mit dem Beweispaket, der Originaldatei oder anderem Zusatzwissen einer Aufnahme und gegebenenfalls einer Person zugeordnet werden. Die Ankerdaten werden daher vorsorglich als pseudonyme Daten behandelt. Die Übertragung an Arweave erfolgt nicht durch die App selbst, sondern über unseren Server (Dienst „Turbo“, Verwendung des kostenfreien Kontingents).

Bitte beachten Sie: Eine Verankerung im Arweave-Netz ist ihrer Natur nach dauerhaft und kann nicht rückgängig gemacht, verändert oder gelöscht werden — auch nicht durch die Betreiberin. Genau diese Unveränderlichkeit ist der Zweck des Verfahrens. Soweit die Ankerdaten einer Person zugeordnet werden können, ist eine Entfernung des Arweave-Eintrags technisch nicht möglich. Rechtsgrundlage der Verarbeitung ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse besteht in einem manipulationssicheren, langfristig und unabhängig überprüfbaren Echtheitsnachweis der Aufnahmen. Über die Anker-Kennung ist der Datensatz öffentlich einsehbar.

6. Auftragsverarbeitung und Empfänger der Daten

6.1 Hetzner Online GmbH

Der Webserver, der API-Server und die Datenbank werden in einem Rechenzentrum der Hetzner Online GmbH (Industriestraße 25, 91710 Gunzenhausen) am Standort Nürnberg in Deutschland betrieben. Mit der Hetzner Online GmbH ist ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen.

6.2 Apple Inc.

Die Verteilung der iOS-Anwendung erfolgt über den Apple App Store, betrieben durch die Apple Inc., One Apple Park Way, Cupertino, CA 95014, USA, und in Europa durch die Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland. Es gelten die Standard-Datenschutzbedingungen von Apple. Übermittlungen in die USA stützen sich auf das EU-US Data Privacy Framework; die Apple Inc. ist nach diesem Rahmenwerk zertifiziert.

6.3 Empfänger der Beweispakete

Empfänger der Beweispakete sind die von der nutzenden Person ausgewählten Versicherer, Banken, Behörden, Sachverständigen oder Anwaltskanzleien. Diese sind für die weitere Verarbeitung des Klartextinhalts datenschutzrechtlich eigenverantwortlich (Art. 4 Nr. 7 DSGVO).

6.4 Mistral AI (Sprachdienst des Chat-Assistenten)

Für den Betrieb des Chat-Assistenten (Abschnitt 4.4) setzen wir den Sprachdienst der Mistral AI SAS (Paris, Frankreich) als Auftragsverarbeiterin nach Art. 28 DSGVO ein. Übermittelt werden ausschließlich die zuvor um personenbezogene Daten bereinigten (pseudonymisierten) Eingaben. Der Dienst wird innerhalb der Europäischen Union erbracht; eine Übermittlung in ein Drittland findet nicht statt.

6.5 Arweave-Netz

Die dauerhaften Beweis-Anker (Abschnitt 5.7) werden über den Dienst „Turbo“ in das öffentliche Arweave-Netz eingestellt. Es handelt sich um ein weltweit verteiltes Netz unabhängiger Betreiber; ein einzelner Auftragsverarbeiter im Sinne von Art. 28 DSGVO besteht insoweit nicht. Übertragen werden ausschließlich die in Abschnitt 5.7 genannten Hashes, Signaturen und Zeitangaben — keine Bild- oder Videodaten und keine unmittelbaren Personen- oder Gerätekennungen. Eine mittelbare Zuordnung mit einem Beweispaket, der Originaldatei oder anderem Zusatzwissen kann jedoch möglich sein.

7. Speicherdauer

• Verschlüsselte Beweispakete auf dem Server: Höchstens 7 Tage nach Upload; nach dem ersten Abruf über den Übergabe-Link erfolgt die Löschung sofort (Self-Destruct); aus Sicherungskopien spätestens nach sieben Tagen.
• Beweis-Hash-Register auf dem Server: Dauerhaft, damit der Echtheits- und Zeitnachweis langfristig überprüfbar bleibt. Die Einträge sind anonym (kryptografische Prüfsummen und Signaturen ohne Personenbezug, siehe Abschnitt 5.6).
• Beweis-Anker im Arweave-Netz: Dauerhaft und unwiderruflich; eine Löschung ist technisch ausgeschlossen (siehe Abschnitt 5.7).
• Server-Logs: 7 Tage (siehe Abschnitt 4.1).
• E-Mail-Korrespondenz: Bis zum Abschluss der Bearbeitung der Anfrage; gesetzliche Aufbewahrungsfristen bleiben unberührt.
• Lokales Privatarchiv auf dem Endgerät: Solange, bis die nutzende Person es selbst löscht oder die App vom Gerät entfernt.
• Identitätsschlüssel im iOS-Keychain: Bis zur manuellen Löschung durch den Nutzer.

8. Rechte der betroffenen Personen

Betroffene Personen haben gegenüber der Betreiberin folgende Rechte:

• Auskunft über die zu ihrer Person verarbeiteten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung der Daten (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen die Verarbeitung auf Grundlage berechtigter Interessen (Art. 21 DSGVO),
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO),
• Beschwerde bei einer Datenschutzaufsichtsbehörde (Art. 77 DSGVO).

Anfragen zu Betroffenenrechten richten Sie bitte an info@ki-shield.de. Aufgrund des Zero-Knowledge-Designs kann die Betreiberin Anfragen zu konkreten Beweispaket-Inhalten technisch nicht beantworten; betroffene Personen wenden sich hierfür an den jeweiligen Empfänger.

9. Zuständige Aufsichtsbehörde

Eine Beschwerde kann insbesondere bei der für den Sitz der Betreiberin zuständigen Aufsichtsbehörde eingelegt werden:

Thüringer Landesbeauftragter für den Datenschutz und die Informationsfreiheit
Häßlerstraße 8
99096 Erfurt
E-Mail: poststelle@datenschutz.thueringen.de

10. Datenübermittlung in Drittländer

Eine Übermittlung personenbezogener Daten in Drittländer außerhalb des Europäischen Wirtschaftsraums findet im Rahmen der Verteilung der iOS-Anwendung durch die Apple Inc. statt. Diese Übermittlung stützt sich auf das EU-US Data Privacy Framework (Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023). Darüber hinaus werden die Beweis-Anker (Abschnitt 5.7) in das weltweit verteilte Arweave-Netz eingestellt, dessen Knoten auch außerhalb des Europäischen Wirtschaftsraums betrieben werden. Die Anker enthalten keine unmittelbaren Identifikatoren, können jedoch mit dem Beweispaket, der Originaldatei oder anderem Zusatzwissen zugeordnet werden und werden deshalb vorsorglich als pseudonyme Daten behandelt. Eine räumliche Beschränkung auf den Europäischen Wirtschaftsraum und eine nachträgliche Löschung sind technisch nicht möglich. Eine Übermittlung des Inhalts von Beweispaketen findet aufgrund der Ende-zu-Ende-Verschlüsselung nicht statt, da der Server keinen Klartextzugriff besitzt.

11. Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

12. Transportverschlüsselung

Die Website und die API werden ausschließlich über das Hypertext Transfer Protocol Secure (HTTPS) ausgeliefert. Zum Einsatz kommt TLS 1.3 mit X.509-Zertifikaten der Zertifizierungsstelle Let's Encrypt (Internet Security Research Group). Die TLS-Konfiguration wird regelmäßig überprüft.

13. Änderungen dieser Datenschutzerklärung

Die Betreiberin behält sich vor, diese Datenschutzerklärung an geänderte rechtliche oder tatsächliche Verhältnisse anzupassen. Die jeweils aktuelle Fassung ist auf dieser Seite einsehbar. Wesentliche Änderungen werden in geeigneter Form angekündigt.