Rechtliches
Datenschutzerklärung
Diese Erklärung gilt für die App Samy (iPhone und Android) und für die Webseite samy.sinio.io.
Verantwortlicher
Tristan Heyne St. Ilgener Straße 5 69190 Walldorf E-Mail: [email protected]
Kurz gesagt
- Samy speichert nur, was für die App nötig ist: dein Konto, deine Packlets, ihre Nachrichten und die Geräte, auf die Pushes gehen.
- Kein Tracking, keine Werbung, keine Analyse-Dienste, kein Verkauf von Daten. Weder App noch Webseite setzen Cookies.
- Server und Datenbank stehen in der EU. Einige Dienstleister sind US-Firmen (siehe unten).
- Du kannst jedes Packlet und dein ganzes Konto jederzeit in der App löschen. Dann sind die Daten sofort weg.
Die App
Konto und Anmeldung
Zum Anmelden nutzt du deine E-Mail-Adresse (Login-Link per Mail), „Mit Apple anmelden“ oder „Mit Google anmelden“. Wir speichern dabei:
- deine E-Mail-Adresse bzw. die Kennung deines Apple- oder Google-Kontos (bei Apple auch die weitergeleitete Adresse, wenn du deine echte verbirgst),
- deinen Namen, falls Apple oder Google ihn bei der Anmeldung übermitteln,
- Zeitpunkte der Anmeldung und die Sitzung, damit du angemeldet bleibst.
Die Login-Mails verschickt Resend in unserem Auftrag. Beim Anmelden mit Apple oder Google erfahren diese Anbieter, dass du dich bei Samy anmeldest. Dafür gelten zusätzlich deren Datenschutzbestimmungen.
- Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag: du nutzt Samy).
Packlets und Nachrichten
Für jedes Packlet, das du verbindest, speichern wir Name, Avatar, Art, Einstellungen (Push, Ton, Ruhezeit, Stummschaltung), eine optionale Webhook-Adresse und einen Fingerabdruck (SHA-256) des Schlüssels. Den Schlüssel selbst speichern wir nicht.
Wir speichern die Nachrichten, die deine Packlets schicken: Titel, Text, Links, Bilder-Adressen, Knöpfe und Bedienelemente. Dazu kommen deine Eingaben in Chats und Apps sowie ein Protokoll der letzten Aufrufe (Zeitpunkt, Art, Status). Welche Inhalte deine Packlets schicken, bestimmst du selbst.
- Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Push-Mitteilungen
Erlaubst du Mitteilungen, speichern wir pro Gerät ein Push-Token und die Plattform (iOS oder Android). Für jede Mitteilung gehen Titel, Text und die Kennung des Packlets an Firebase Cloud Messaging (Google) und weiter an den Apple Push Notification Service bzw. an Android. Nur so landet die Mitteilung auf deinem Gerät. Ungültige Tokens löschen wir automatisch. Beim Abmelden wird das Token des Geräts entfernt.
- Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Push kannst du in der App pro Packlet oder in den Einstellungen deines Geräts abschalten.
Webhooks und eigene Seiten deiner Packlets
Tippst du auf einen Knopf, schreibst du im Chat oder bedienst du eine App, schickt Samy das Ereignis an die Webhook-Adresse, die du für das Packlet hinterlegt hast. Das Ereignis enthält die Kennung, den Zeitpunkt und deine Eingabe. Wer diese Adresse betreibt, bestimmst du.
Zeigt ein Packlet eine eigene Seite, fragt die App vorher nach. Die Seite kann ein kurzlebiges Session-Token (60 Sekunden) abrufen. Es enthält deine Nutzer-ID, deine E-Mail-Adresse und, falls vorhanden, deinen Namen, damit die Seite weiß, wer sie öffnet. Diese Daten erhält der Betreiber der Seite.
Eingebaute App „Wetter“
Jedes Konto bekommt die App „Wetter“. Sie läuft auf unserem Server in der EU und ruft beim Öffnen ein Session-Token ab, um zu prüfen, dass sie in Samy geöffnet wird. Gespeichert wird dabei nichts. Die Wetterdaten und die Ortssuche holt die App direkt bei Open-Meteo (open-meteo.com): Übertragen werden der gesuchte Ortsname bzw. die Koordinaten des gewählten Orts und technisch deine IP-Adresse, aber keine Kontodaten. Den gewählten Ort merkt sich die App nur auf deinem Gerät.
Bilder und Links in Nachrichten
Enthält eine Nachricht ein Bild, lädt die App es von der Adresse, die das Packlet angegeben hat. Der Server dort sieht deine IP-Adresse. Links öffnen sich erst, wenn du darauf tippst.
Server-Protokolle und Missbrauchsschutz
Unsere Server protokollieren technische Daten der Anfragen, etwa IP-Adresse, Zeitpunkt, Adresse und Statuscode, um Fehler zu finden und Angriffe abzuwehren. Zum Schutz vor Missbrauch zählen wir kurzzeitig Aufrufe pro Packlet, Nutzer und IP-Adresse. Die Protokolle löscht unser Hosting-Anbieter nach kurzer Zeit automatisch.
- Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb).
Speicher auf deinem Gerät
Die App speichert deine Anmeldung im geschützten Schlüsselbund (iOS) bzw. im verschlüsselten Speicher (Android), dazu einige Einstellungen. Eigene Seiten von Packlets können eigene Daten im Speicher der eingebetteten Ansicht ablegen, zum Beispiel den Ort der Wetter-App.
Speicherdauer und Löschen
| Daten | Wie lange |
|---|---|
| Konto, Packlets, Einstellungen | bis du sie in der App löschst |
| Nachrichten | 365 Tage, danach automatisch gelöscht, oder früher durch dich |
| Protokoll der Aufrufe | 30 Tage |
| Push-Tokens | bis zum Abmelden, bis zum Löschen des Kontos oder bis das Token ungültig wird |
| Server-Protokolle | wenige Wochen beim Hosting-Anbieter |
Unter Konto → „Konto löschen“ entfernst du dein Konto mit allen Packlets, Nachrichten, Geräten und Protokollen sofort und endgültig.
Dienstleister
| Anbieter | Wofür | Ort der Verarbeitung |
|---|---|---|
| Supabase Inc., USA | Datenbank und Anmeldung | Rechenzentrum in Frankfurt (EU) |
| Railway Corporation, USA | Server der App (API, Hintergrunddienst, Wetter-App) und Webseite | Rechenzentrum in den Niederlanden (EU) |
| Google Ireland Ltd. / Google LLC (Firebase Cloud Messaging, Google-Anmeldung) | Zustellung von Pushes, Anmeldung mit Google | EU und USA |
| Apple Distribution International Ltd. / Apple Inc. | Zustellung von Pushes auf iPhones, „Mit Apple anmelden“, TestFlight | EU und USA |
| Resend (Plus Five Five, Inc.), USA | Versand der Login-Mails | Rechenzentrum in Irland (EU) |
| Open-Meteo (open-meteo.com) | Wetterdaten für die eingebaute Wetter-App (Abruf direkt vom Gerät, ohne Kontodaten) | Europa |
Mit unseren Auftragsverarbeitern haben wir Verträge zur Auftragsverarbeitung geschlossen. Gelangen Daten in die USA, geschieht das auf Grundlage des EU-US Data Privacy Framework, soweit der Anbieter zertifiziert ist, sonst auf Grundlage der EU-Standardvertragsklauseln.
Die Webseite
Die Webseite setzt keine Cookies und nutzt kein Tracking und keine Analyse-Dienste. Schriften und Bilder liegen auf unserem Server, es werden keine Inhalte von Dritten nachgeladen.
Abruf der Webseite
Beim Aufruf der Seite verarbeitet unser Hosting-Anbieter technisch notwendige Daten: IP-Adresse, Zeitpunkt, abgerufene Adresse, Browser und Betriebssystem. Das ist nötig, um die Seite auszuliefern und Angriffe abzuwehren. Wir selbst werten diese Daten nicht aus.
- Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb).
- Hosting-Anbieter: Railway Corporation, San Francisco, USA. Webseite und Datenbank laufen in einem Rechenzentrum in den Niederlanden (EU).
- Soweit dabei Daten in die USA gelangen können, geschieht das auf Grundlage der Vereinbarung zur Auftragsverarbeitung von Railway mit EU-Standardvertragsklauseln.
Warteliste
Trägst du dich in die Warteliste ein, speichern wir deine E-Mail-Adresse und den Zeitpunkt der Eintragung. Wir nutzen sie nur, um dich einmalig über den Start von Samy zu informieren.
- Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (deine Einwilligung).
- Speicherort: eine Datenbank bei unserem Hosting-Anbieter in der EU. Sie ist nicht öffentlich erreichbar.
- Speicherdauer: bis zum Versand der Start-Mail oder bis du widersprichst, je nachdem, was früher eintritt.
- Widerruf: jederzeit formlos per E-Mail an die oben genannte Adresse. Deine Adresse wird dann gelöscht.
Zum Schutz vor Missbrauch zählt der Server kurzzeitig, wie oft von einer IP-Adresse eingetragen wird. Diese Zählung wird nicht dauerhaft gespeichert.
Speicher in deinem Browser
Nach dem Eintragen merkt sich die Seite in deinem Browser (Local Storage), dass du auf der Liste stehst, damit das Formular nicht erneut erscheint. Deine E-Mail-Adresse wird dort nicht abgelegt. Du kannst den Eintrag jederzeit über die Einstellungen deines Browsers löschen.
Deine Rechte
Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Dafür genügt eine E-Mail an die oben genannte Adresse. Dein Konto kannst du außerdem jederzeit selbst in der App löschen.
Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel bei der Behörde an deinem Wohnort oder beim Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg.
Stand
November 2026