01Verantwortlicher
Verantwortlicher für die in der Ember-Anwendung erhobenen personenbezogenen Daten ist Sławomir Paduch.
Kontakt in Datenschutzangelegenheiten: [email protected].
02Welche Daten wir erheben
2.1. Kontodaten – E-Mail-Adresse, Benutzername, Passwort (nur als bcrypt-Hash gespeichert), öffentliche Konto-Kennung.
2.2. Daten der Ende-zu-Ende-Verschlüsselung – neue Verschlüsselung (v2): für jedes deiner Geräte öffentliche Identitätsschlüssel, ein signierter Prekey und ein Satz einmaliger Prekeys sowie eine signierte Liste deiner Geräte. Dein Kontoschlüssel liegt auf dem Server nur in einer mit deinem Wiederherstellungscode (auf deinem Gerät erzeugt) verpackten Form; der Server kann ihn nicht entschlüsseln. Ältere Verschlüsselung (v1): dein öffentlicher Schlüssel. Bei Konten, die vor der Abschaffung der PIN angelegt wurden, lag außerdem der private Schlüssel mit einer PIN verschlüsselt auf dem Server. Die App löscht diese Kopie, sobald dein Schlüssel sicher in deinem mit dem Wiederherstellungscode geschützten Backup liegt. Bis dahin lässt sich eine kurze PIN von jedem, der die verschlüsselte Kopie erhält, durch Ausprobieren erraten – betrachte diesen Schutz daher als schwach. Neue Konten laden eine solche Kopie nie hoch. Dein Konto-Passwort (als bcrypt-Hash gespeichert) ist etwas anderes als die PIN und der Wiederherstellungscode und entsperrt keinen Schlüssel. Der Verantwortliche kennt weder deine PIN noch deinen Wiederherstellungscode und kann den Inhalt deiner Nachrichten nicht entschlüsseln.
2.3. Kommunikationsinhalte – Nachrichten, Bilder, Sprachaufnahmen und der Verbindungsaufbau von Anrufen sind Ende-zu-Ende-verschlüsselt. Was der Server trotzdem sehen kann, hängt davon ab, welche Verschlüsselung ein Chat nutzt; siehe 2.3c und 2.3d. Chat-Hintergründe (Fotos, GIFs und Videos, App-weit und pro Chat) werden vor dem Hochladen auf deinem Gerät verschlüsselt; der Server speichert nur einen unlesbaren Datenblock, den nur du herunterladen kannst. Profilbilder sind nicht Ende-zu-Ende-verschlüsselt und für andere Nutzer sichtbar.
2.3a. Öffentliches Profil – Anzeigename, Bio, Status (Emoji, Text und Ablaufzeit) und Profilfarbe, falls du sie festlegst. Sie sind nicht verschlüsselt und für andere Nutzer der App sichtbar, ebenso wie dein Benutzername und dein Profilbild.
2.3b. Einstellungen – Darstellungseinstellungen (Design, Farben, Schriften, Parameter animierter Hintergründe) werden unverschlüsselt gespeichert, damit sie deinem Konto auf allen Geräten folgen. Persönliche Anpassungen – Spitznamen und Farben von Kontakten, Chat-Ordner, angeheftete Chats, individuelle Chat-Looks und Emoji-Nutzung – sind auf deinem Gerät Ende-zu-Ende-verschlüsselt; der Server speichert nur einen unlesbaren Datenblock. Benachrichtigungseinstellungen – Ruhezeiten und Zeitzone, die Liste der Personen, die dich in den Ruhezeiten benachrichtigen dürfen (VIP), stummgeschaltete Chats und der Vorschaumodus für Benachrichtigungen – werden unverschlüsselt gespeichert, weil der Server sie braucht, um zu entscheiden, ob eine Push-Benachrichtigung gesendet wird.
2.3c. Was der Server bei der neuen Verschlüsselung (v2) sieht – die neue Verschlüsselung wird schrittweise eingeführt und gilt nur für Chats, in denen beide Seiten die neue Version der App nutzen; eine Gruppe wechselt, wenn ein Admin sie aktualisiert. Der Server sieht weder Absender noch Unterhaltung einer Einzelnachricht, weder Text, Anhänge, Reaktionen, Lesestatus noch Bearbeitungsverlauf, und auch nicht Name, Beschreibung, Bild und Raumnamen einer v2-Gruppe. Er sieht weiterhin:
- deine IP-Adresse und die Zeiten, zu denen du dich verbindest;
- welches Geräte-Postfach zu welchem Konto gehört und das Push-Token jedes Geräts;
- deine Freundes- und Blocklisten (wer mit wem befreundet ist, wer wen blockiert hat);
- Gruppenmitgliedschaft und Rollen, Sperren und Moderationsaktionen;
- Anrufe in Echtzeit: wer wen wann anruft, weil der Server den Verbindungsaufbau vermittelt;
- wer in welchem Sprachraum anwesend ist und wie lange;
- die ungefähre Zeit (auf die Stunde gerundet) und die aufgefüllte Größe verschlüsselter Nachrichten, die auf Zustellung warten, sowie wie viele Bytes an Anhängen du pro Tag hochlädst;
- wenn du das Verlaufs-Backup einschaltest: Größe und Tag jedes verschlüsselten Backup-Blocks;
- den Tag, an dem jedes deiner Geräte zuletzt gesehen wurde.
2.3d. Was der Server in älteren Chats (v1) sieht – Chats und Gruppen, die noch nicht auf die neue Verschlüsselung umgestellt sind, funktionieren wie bisher. Ihr Inhalt ist Ende-zu-Ende-verschlüsselt, aber solange die Nachrichten auf dem Server liegen, speichert und sieht der Server:
- wer wem geschrieben hat (Absender und Unterhaltung), den genauen Zeitpunkt jeder Nachricht, ihre Art und ihren Zustellstatus;
- den Lesestatus: bis zu welcher Nachricht jede Person gelesen hat;
- Reaktionen: wer auf welche Nachricht mit welchem Emoji reagiert hat;
- Bearbeitungen und Löschungen: wann sie stattfanden, sowie die früheren verschlüsselten Fassungen einer bearbeiteten Nachricht;
- Antworten: den Namen des Absenders der zitierten Nachricht;
- Anhänge: ihre Art und genaue Größe;
- Name, Beschreibung, Bild und Raumnamen einer Gruppe (unverschlüsselt) sowie deren Mitglieder, Rollen und Moderationsverlauf.
2.4. Gruppendaten – Mitgliederliste, Rollen, Sperren und Moderationsverlauf sind für den Server in jeder Gruppe sichtbar. In Gruppen mit der älteren Verschlüsselung sind außerdem Name, Beschreibung, Bild sowie Raumnamen und Themen unverschlüsselt; in Gruppen mit der neuen Verschlüsselung werden sie auf deinen Geräten verschlüsselt, und der Server speichert nur einen unlesbaren Datenblock. Gruppen mit der neuen Verschlüsselung haben außerdem ein auf dem Server gespeichertes Mitgliedschaftsprotokoll: jedes Hinzufügen, Entfernen, jede Rollen- und Raumänderung, signiert mit dem Kontoschlüssel des Mitglieds, das sie vorgenommen hat. Der Server kann dieses Protokoll lesen, aber keinen Eintrag fälschen.
2.5. Technische Daten – IP-Adresse und Verbindungszeiten (Ratenbegrenzung, Schutz vor Missbrauch), das Push-Token (FCM) jedes Geräts, der Tag, an dem jedes deiner Geräte zuletzt gesehen wurde, und – wenn du das Verlaufs-Backup einschaltest – Größe und Tag seiner verschlüsselten Blöcke.
03Zweck und Rechtsgrundlage der Verarbeitung
| Daten | Zweck | Rechtsgrundlage (DSGVO) |
|---|---|---|
| Konto | Bereitstellung des Dienstes | Art. 6 Abs. 1 lit. b |
| Verschlüsselungsschlüssel | E2E | Art. 6 Abs. 1 lit. b |
| Nachrichten-Metadaten | Nachrichtenzustellung | Art. 6 Abs. 1 lit. b |
| IP-Adresse | Schutz vor Missbrauch | Art. 6 Abs. 1 lit. f |
| Push-Token (FCM) | Benachrichtigungen | Art. 6 Abs. 1 lit. a |
| Öffentliches Profil | Anderen Nutzern zeigen, wer du bist | Art. 6 Abs. 1 lit. b |
| Einstellungen und Benachrichtigungseinstellungen | Personalisierung der App, Entscheidung, wann dich Benachrichtigungen erreichen | Art. 6 Abs. 1 lit. b |
| Verkehr von Anrufen und Sprachräumen | Verbindung von Anrufen und Sprachräumen (TURN/SFU) | Art. 6 Abs. 1 lit. b |
04An wen wir Daten weitergeben
Firebase Cloud Messaging (Google) – das Push-Token deines Geräts und die Push-Benachrichtigung selbst. Pushes der neuen Verschlüsselung sind reine Weckrufe ohne Inhalt: Sie enthalten keine Namen, keine Nutzer- oder Unterhaltungskennungen und keinen Nachrichteninhalt; die App zeigt ein allgemeines „Neue Nachricht“, Details erscheinen erst, nachdem die App die Nachricht entschlüsselt hat. Pushes älterer Chats können je nach deiner Vorschau-Einstellung den Namen des Absenders oder der Gruppe enthalten (oder nur ein allgemeines „Neue Nachricht“), niemals den Inhalt einer verschlüsselten Nachricht.
Cloudflare, Inc. – Relay-Server (TURN) für Anrufe und der Medienserver (SFU) für Gruppen-Sprachräume. Cloudflare sieht IP-Adressen, Verbindungszeiten und das Volumen des weitergeleiteten Verkehrs. Audio und Video sind Ende-zu-Ende-verschlüsselt, daher kann Cloudflare ihren Inhalt nicht sehen.
05Speicherdauer
Bis zur Löschung des Kontos – die Löschung ist endgültig. Bei der neuen Verschlüsselung wird eine Nachricht, die auf ein Gerät wartet, gelöscht, sobald das Gerät den Empfang bestätigt, spätestens nach 30 Tagen; verschlüsselte Anhänge werden nach 30 Tagen gelöscht. Verschlüsselte Verlaufs-Backups bleiben, bis du sie löschst oder das Konto löschst (das Ausschalten des Backups in der App löscht bereits gespeicherte Blöcke noch nicht). Nachrichten älterer Chats bleiben auf dem Server, bis das Konto gelöscht wird oder diese Daten nach einem Wechsel zur neuen Verschlüsselung entfernt werden.
06Rechte der Nutzer
Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit, Widerspruch, Beschwerde bei der Aufsichtsbehörde (in Polen: PUODO). Kontakt: [email protected].
07Datensicherheit
- Neue Verschlüsselung: X3DH und Double Ratchet, Sealed Sender, Sender Keys für Gruppen, AES-256-GCM
- Ältere Verschlüsselung: ECDH + AES-256-GCM
- Passwörter als bcrypt-Hashes
- HTTPS/TLS
08Lokale Daten auf dem Gerät
Deine privaten Schlüssel werden auf deinem Gerät erzeugt. Der private Schlüssel der älteren Verschlüsselung liegt auf dem Gerät (ein altes Konto kann noch eine mit der PIN verschlüsselte Kopie auf dem Server haben, bis die App sie löscht, siehe 2.2); die Geräteschlüssel der neuen Verschlüsselung und deine lokale Nachrichtendatenbank verlassen das Gerät nie, außer als verschlüsseltes Backup, wenn du es einschaltest. Der Wiederherstellungscode (und die PIN eines alten Kontos) wird nie an den Server gesendet. Auch eine entschlüsselte Kopie deiner verschlüsselten Einstellungen (siehe 2.3b) und deines Nachrichten-Caches wird auf dem Gerät gehalten. All das wird beim Abmelden entfernt.
09Kinder und Minderjährige
Nicht für Personen unter 16 Jahren bestimmt.
10Änderungen der Erklärung
Wir informieren dich über die Funktion „Nachricht des Entwicklers“ in der App.