Datenschutzerklärung
1. Datenschutz auf einen Blick
Der Schutz deiner persönlichen Daten hat für Vayaz höchste Priorität. Diese Webseite sowie die Vayaz Mobile App wurden nach dem Grundsatz der Datensparsamkeit (Privacy by Design) entwickelt.
2. Verantwortliche Stelle
Thomas Schäfer
Tannenstr. 3, 47918 Tönisvorst
E-Mail: info@vayaz.app
3. Datenerfassung auf der Webseite & in der iOS App
Keine Tracking-Cookies & keine Werbenetzwerke: Weder unsere Webseite noch die mobile Vayaz iOS App verwenden Marketing- oder Tracking-Cookies, Werbe-IDs (IDFA) oder externe Tracking- und Analyse-SDKs. Vayaz ist 100 % werbefrei.
Nutzung als Gast (ohne Registrierung): Vayaz kann vollständig ohne Registrierung als Gast genutzt werden. Alle Reisedaten, Pins und Checklisten verbleiben dabei ausschließlich lokal auf deinem Endgerät.
Benutzerkonto & Cloud-Synchronisation: Bei Erstellung eines optionalen Benutzerkontos verarbeiten wir deine E-Mail-Adresse und deinen gewählten Anzeigenamen zur Authentifizierung und Synchronisation deiner Reisen, Pins und Packlisten zwischen deinen Geräten (Art. 6 Abs. 1 lit. b DSGVO).
Hardware-gesicherter Heimatort (100 % isoliert): Dein persönlicher Heimatort wird niemals an Vayaz-Backend-Server übertragen. Er wird ausschließlich hardware-gestützt in der Apple Keychain deines Geräts (kSecAttrAccessibleAfterFirstUnlockThisDeviceOnly) gespeichert. Die optionale Ortssuche bei der Eingabe läuft direkt über Apples systemseitiges MapKit / CoreLocation Geocoding.
Persönlicher Buchungs-Tresor (Vault): Sensible Buchungsdaten (wie Buchungsreferenzen, PINs, Ticketnummern und private Notizen) werden lokal in der Keychain gecacht und in der Cloud in einer isolierten Datenbank-Tabelle durch strikte Row-Level-Security (RLS: auth.uid() = user_id) vor dem Zugriff Dritter (einschließlich Mitreisender bei geteilten Reisen) geschützt.
Standortdaten: Die Freigabe deines genauen Standorts dient ausschließlich der unmittelbaren App-Funktionalität (Entfernungsanzeige zu Städten & Unterkünften sowie Setzen von Pins auf der Karte). Standortdaten werden zu keinem Zeitpunkt für Nutzerprofile oder Werbezwecke verwendet.
4. Hosting, Auftragsverarbeitung & Datenempfänger
Webserver & CDN: Diese Webseite wird über die IONOS SE (Elgendorfer Str. 57, 56410 Montabaur, Deutschland) gehostet. Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren Bereitstellung unseres Onlineangebots (Art. 6 Abs. 1 lit. f DSGVO).
Datenbank- & Auth-Backend: Die Authentifizierung und Cloud-Synchronisation der Vayaz App werden durch die Supabase Inc. (77 Geary St, San Francisco, CA 94108, USA) betrieben. Unser Datenbank-Cluster befindet sich im Rechenzentrum Frankfurt am Main, Deutschland (Region AWS eu-central-1). Mit Supabase besteht ein Auftragsverarbeitungsvertrag (AVV / DPA) gemäß Art. 28 DSGVO inkl. Standardvertragsklauseln (SCC). Alle Datenübertragungen erfolgen verschlüsselt (TLS/HTTPS) und Daten werden serverseitig im Ruhezustand verschlüsselt gespeichert (Encryption at Rest).
Kartendienste & Geocoding: Für die Kartendarstellung und Adresssuche auf iOS-Geräten wird das native Apple MapKit (Apple Inc., One Apple Park Way, Cupertino, CA 95014, USA) genutzt.
E-Mail- & KI-Dienste: Für den Versand transaktionaler Status-E-Mails (z. B. Passwort-Zurücksetzung) setzen wir Resend Inc. (USA) ein. Für optionale KI-Reiseberater-Funktionen nutzen wir die Google Gemini API (Google LLC, USA) unter strikter Datenminimierung ohne Übertragung persönlicher Profile oder Identifikatoren.
5. Speicherdauer, Kontolöschung & Restore-Löschgarantie
Unverzügliche Kontolöschung: Über den Button „Konto & alle Daten endgültig löschen“ in den App-Einstellungen kannst du dein Konto jederzeit atomar und unwiderruflich löschen. Dabei werden deine Profildaten, Reisen, Pins, Packlisten und Buchungsdaten sofort aus der Live-Datenbank entfernt und alle lokalen Keychain-Einträge auf deinem Gerät getilgt.
Backup-Aufbewahrungsfrist: Verschlüsselte System-Backups der Datenbank werden nach einer regulären Aufbewahrungsfrist von 7 Tagen automatisiert überschrieben. Sollte im Notfall ein System-Restore aus einem Backup erforderlich sein, werden zwischenzeitlich gelöschte Konten nach der Wiederherstellung erneut bereinigt (unter striktem Zero-PII-Schutz ausschließlich anhand von pseudonymen User-IDs, ohne Speicherung von E-Mail-Adressen).
6. Deine Rechte & Beschwerderecht
Du hast nach der DSGVO jederzeit das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerruf deiner Einwilligung (Art. 7 Abs. 3).
Zudem steht dir ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO) zu, z. B. bei der für uns zuständigen Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestr. 2–4, 40213 Düsseldorf (www.ldi.nrw.de).