Datenschutzerklärung

SecureSS („wir“) legt im Folgenden dar, wie in homeVPN („der Dienst“) mit personenbezogenen Daten und Datenverkehr umgegangen wird.

1. Wir leiten Ihren Datenverkehr nicht weiter

Der Dienst verbindet eigene Geräte: eines, das Sie zu Hause lassen, und eines, das Sie mitnehmen. Jedes kann ein Android-Gerät, ein iPhone oder ein iPad sein. Ihr Datenverkehr läuft nicht über unsere Server. Wir betreiben keine VPN-Server und sind nicht in der Lage, Inhalt, Ziele oder Umfang Ihres Datenverkehrs zu sehen.

Was wir betreiben, beschränkt sich auf zwei kleine Dienste: einen Signalisierungsdienst (Cloudflare Workers und Durable Objects), der Ihren beiden Geräten hilft, einander zu finden, und einen Abo-Dienst (Cloudflare Workers; siehe Abschnitt 5), der den Status Ihres Abos prüft. Über keinen der beiden läuft Ihr Datenverkehr. Der Signalisierungsdienst ist nur beim Aufbau einer Verbindung beteiligt.

2. Was der Signalisierungsdienst vorhält

Pro Haushalt hält er Folgendes vor.

Gespeichert	Inhalt	Aufbewahrung
Öffentlicher Haushaltsschlüssel	Der öffentliche Schlüssel des Geräts, das Sie zu Hause lassen, und der Zeitpunkt, zu dem es sich zum ersten Mal verbunden hat	Bleibt auch erhalten, nachdem Sie den Dienst nicht mehr nutzen. Anträge auf Löschung behandeln wir wie in Abschnitt 9 beschrieben
Geräteliste	Öffentliche Schlüssel gekoppelter Geräte, deren verschlüsselte Anzeigenamen und der Zeitpunkt, zu dem das jeweilige Gerät hinzugefügt wurde	Bis das Gerät aus der Liste entfernt wird
Verschlüsselte Verbindungsdaten	Adressangaben, die die Geräte brauchen, um einander zu erreichen, verschlüsselt mit einem Schlüssel, den nur Ihre Geräte haben; weder wir noch Cloudflare können sie lesen	Nur der letzte Stand. Verfällt nach 30 Minuten. Keine Historie
Verbindungszustand	Welches Gerät gerade verbunden ist	Während der Verbindung
Zuletzt gesehen	Wann jedes Gerät zuletzt kommuniziert hat	Nur der letzte Stand

Daneben verarbeitet er vorübergehend Anfragen zum Hinzufügen eines Geräts (höchstens 10 Minuten) und die Signale, mit denen sich zwei Geräte verbinden (etwa 10 Sekunden), speichert sie aber nicht.

Wir führen keine Verbindungsprotokolle — keine Aufzeichnung darüber, wann Sie sich verbunden haben, wohin oder wie viel Sie übertragen haben. Anzeigenamen werden auf Ihrem Gerät verschlüsselt, bevor sie gespeichert werden, wir haben sie also nie im Klartext. Auch Statusabfragen und Neustarts aus der Ferne sind zwischen Ihren eigenen Geräten verschlüsselt; der Signalisierungsdienst reicht sie weiter, ohne sie zu lesen oder zu speichern.

3. Was wir nicht speichern, das Netz aber ohnehin sieht

Damit diese Erklärung zutreffend und nicht bloß schmeichelhaft ist:

• Ihre Verbindungsadresse. Cloudflare sieht zwangsläufig, von welcher Adresse eine Verbindung zum Signalisierungsdienst oder zum Abo-Dienst kommt. Wir lesen und speichern sie nicht: unser Code greift nicht darauf zu, und Anfrageprotokolle sowie Analysen sind abgeschaltet.
• Adressermittlung. Ihr Gerät fragt einen STUN-Server von Cloudflare nach seiner eigenen externen Adresse. Cloudflare sieht, von welcher Adresse die Frage kam.
• Die in der App angezeigte IP-Adresse. Um Ihre IP-Adresse und Ihr Land auf dem Bildschirm anzuzeigen, fragt die App bei Cloudflare an. Solange das Gerät, das Sie mitnehmen, verbunden ist, stellt sie diese Anfrage über Ihren Hausanschluss. Die Antwort wird nur auf dem Bildschirm angezeigt und nicht an uns gesendet.
• Verbindungen zu Apple. Aufgrund der Funktionsweise des Verfahrens, mit dem der Datenverkehr verschlüsselt wird, verbindet sich das Gerät, das Sie zu Hause lassen, mit einem Webserver von Apple Inc. (www.apple.com). Apple kann die IP-Adresse Ihres Hausanschlusses sehen.
• Wenn Sie ein Abo abschließen. Stripe, oder Apple, wenn Sie über den App Store abschließen, kann die IP-Adresse des Geräts sehen, mit dem Sie das Abo abschließen (Abschnitt 5).
• Von Ihnen besuchte Seiten. Ihr Datenverkehr verlässt Ihren Hausanschluss, die genutzten Dienste sehen also Ihre Heimadresse — genauso, als säßen Sie zu Hause.

4. Was auf Ihren Geräten bleibt

Schlüssel, die Liste gekoppelter Geräte, Einstellungen und der Verbindungszustand liegen auf Ihren Geräten und werden nicht an uns gesendet. Die App zählt auf dem Gerät, wie oft Verbindungen je Art des Verbindungswegs gelingen oder fehlschlagen; auch diese Zahlen sendet sie nicht an uns.

5. Zahlung

Sie schließen ab und zahlen in der App auf dem Gerät, das Sie zu Hause lassen. Auf dieser Seite können Sie nicht abschließen. Ist dieses Gerät ein Android-Gerät, wickelt Stripe (Stripe, Inc.) die Zahlung ab; ist es ein iPhone oder iPad, wickelt sie Apple Inc. über den App Store ab.

Zahlung über Stripe (wenn das Gerät zu Hause ein Android-Gerät ist). Sie geben Ihre E-Mail-Adresse und Ihre Kartendaten auf dem Zahlungsbildschirm in der App ein.

• Kartendaten. In der App geben Sie sie in ein von Stripe bereitgestelltes Eingabeelement ein, von dem aus sie direkt an Stripe gesendet werden. Unsere App und unsere Server erhalten keine Zahlungsdaten wie etwa Ihre Kreditkartennummer.
• E-Mail-Adresse. Sie wird für Zahlungsbelege und Mitteilungen zu Ihrem Abo bei Stripe hinterlegt. Schließen Sie in der App ab, gelangt sie über den Abo-Dienst zu Stripe; der Abo-Dienst speichert sie nicht. Um Zahlungsbelege oder Ihre Anfragen zu bearbeiten, sehen wir gegebenenfalls die bei Stripe hinterlegte E-Mail-Adresse im Stripe-Dashboard ein.
• Geräteinformationen. Die in die App eingebaute Software von Stripe sendet die Gerätekennung (Android ID), technische Informationen wie Gerätemodell, Betriebssystemversion und App-Version sowie ein Protokoll der Bedienvorgänge bei der Eingabe der Kartendaten an Stripe, um Zahlungen abzuwickeln, Betrug zu verhindern und Fehler zu untersuchen. Wenn Ihr Kartenherausgeber Ihre Identität prüft (3D Secure), werden Geräteinformationen wie Gerätemodell, Bildschirmgröße, Sprache, Zeiteinstellungen und Mobilfunkanbieter für diese Prüfung über Stripe an Ihren Kartenherausgeber gesendet. Die Software von Stripe verfügt außerdem über eine gesonderte Funktion, die zur Betrugserkennung detaillierte Geräteinformationen erfasst; diese haben wir deaktiviert.

Die App für iPhone / iPad enthält nicht das Programm von Stripe. Die Geräteinformationen oben werden nur gesendet, wenn Sie über Stripe in der App auf einem Android-Gerät abschließen, das Sie zu Hause lassen.

Für die Verarbeitung bei Stripe gilt die Datenschutzerklärung von Stripe.

Zahlung über den App Store (wenn das Gerät zu Hause ein iPhone oder iPad ist). Sie schließen ein automatisch verlängerndes App-Store-Abo ab. Zahlung, Verlängerung, Kündigung und Erstattungen wickelt Apple ab, und wir erhalten weder Ihre Kartendaten noch Ihre Apple ID, Ihren Namen oder Ihre E-Mail-Adresse. Um das Abo Ihrem Haushalt zuzuordnen, sendet die App den (von Apple signierten) Kaufbeleg an den Abo-Dienst, und der Abo-Dienst erhält den Status des Abos von Apple (über die App Store Server API und App Store Server Notifications). Wir geben Apple nur eine zufällige Kennung, die nichts über Ihren Haushalt aussagt. Für die Verarbeitung bei Apple gilt die Datenschutzerklärung von Apple.

Um den Status Ihres Abos zu prüfen, hält der Abo-Dienst pro Haushalt Folgendes vor. Ihre E-Mail-Adresse sowie Ihre Kundennummer und Abonummer bei Stripe hält er nicht vor.

Gespeichert	Inhalt	Aufbewahrung
Abo-Datensatz	Eine Haushaltskennung (abgeleitet vom öffentlichen Schlüssel des Geräts, das Sie zu Hause lassen) sowie Status, Ablaufdatum und Geräteanzahl des Abos und ob es sich um eine kostenlose Testphase handelt	Bleibt auch nach der Kündigung erhalten (damit die kostenlose Testphase auf einmal pro Haushalt beschränkt ist). Anträge auf Löschung behandeln wir wie in Abschnitt 9 beschrieben
Verknüpfung mit Stripe	Eine zufällige Kennung, die Ihr Stripe-Abo mit Ihrem Haushalt verknüpft	Wie oben
Verknüpfung mit dem App Store	Eine zufällige Kennung, die Ihr App-Store-Abo mit Ihrem Haushalt verknüpft, die Nummer des Abos (die ursprüngliche Transaktions-ID von Apple) sowie sein Produkt, sein Status und sein Ablaufdatum	Wie oben
Verknüpfungscode	Der Code, den das Gerät, das Sie zu Hause lassen, beim Abschluss des Abos ausgibt	Wird nach 30 Minuten ungültig und einen Tag danach gelöscht

Um den Status Ihres Abos zu prüfen, sendet das Gerät, das Sie zu Hause lassen, seinen öffentlichen Schlüssel und eine Signatur an den Abo-Dienst (etwa einmal am Tag, häufiger, wenn das Ablaufdatum näher rückt). Der Abo-Dienst führt keine Protokolle.

6. Wenn Sie uns schreiben

Schreiben Sie uns, erhalten wir Ihren Namen, Ihre E-Mail-Adresse und Ihre Nachricht und nutzen sie, um zu antworten und den Dienst zu verbessern. Wir löschen sie, sobald sie dafür nicht mehr nötig sind.

7. Weitergabe

Wir geben Ihre Daten nicht an Dritte weiter, außer wo das Gesetz es verlangt. Für den Betrieb setzen wir folgende Anbieter ein: Cloudflare, Inc. (Signalisierung, Prüfung des Abos sowie Ermittlung der externen Adresse und der IP-Adresse), Google LLC (App-Vertrieb), Stripe, Inc. (Zahlung, wenn das Gerät zu Hause ein Android-Gerät ist), Apple Inc. (Vertrieb der App für iPhone / iPad und Zahlung über den App Store).

8. Sicherheit

Schlüssel liegen in geschütztem Speicher auf Ihren Geräten, und der Datenverkehr ist verschlüsselt. Beim Signalisierungsdienst hinterlegte Verbindungsdaten sind mit einem Schlüssel verschlüsselt, den nur Ihre Geräte haben.

9. Auskunft, Berichtigung und Löschung

Schreiben Sie uns, wenn Sie einsehen, berichtigen oder löschen lassen möchten, was wir vorhalten. Wo wir etwas nicht vorhalten — den Inhalt Ihres Datenverkehrs oder eine Historie Ihrer Verbindungen — sagen wir Ihnen das.

10. Änderungen

Ändern wir diese Erklärung, veröffentlichen wir die neue Fassung hier mit dem Datum, ab dem sie gilt.

11. Kontakt

Bitte nutzen Sie die Kontaktseite.