Datenschutzerklärung

Diese Datenschutzerklärung erläutert, wie CalPair (betrieben von iPSUM engineering e.K.) deine personenbezogenen Daten erhebt, verwendet und schützt, wenn du unseren Dienst zur Kalendersynchronisation nutzt. Wir verpflichten uns zu Datensparsamkeit und Datenschutz durch Technikgestaltung.

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist: iPSUM engineering e.K. (Inhaber: Thomas Jordan) Vollständige Anschrift und Kontaktdaten siehe Impressum. E-Mail: hello@calpair.io Sicherheit/Missbrauch: security@calpair.io

2. Kategorien verarbeiteter Daten

Wir erheben und verarbeiten folgende Kategorien von Daten:

• Kontodaten: E-Mail-Adresse, Nutzer-UUID, Registrierungsdatum, Tarif und Gesamtzahl der synchronisierten Termine.
• Authentifizierungsdaten: Verschlüsselte OAuth-Tokens für Google und Microsoft sowie verschlüsselte app-spezifische Passwörter für CalDAV-Konten (z. B. Apple iCloud, Fastmail, mailbox.org). Alle Zugangsdaten werden im Ruhezustand mit AES-256-GCM verschlüsselt — siehe Datensicherheit unten.
• Sitzungsdaten: Sitzungs-IDs, User-Agent-Angaben, IP-Adressen und Zeitstempel.
• Metadaten der Kalendersynchronisation: Konfigurationen der Kalender-Paare (Kalender-IDs, Konto-Bezeichnungen, Datenschutz-Texte), Synchronisationsstatus und Termin-Zuordnungen. Entscheidend: Wir speichern Termintitel, Beschreibungen, Orte oder E-Mail-Adressen von Teilnehmenden NICHT dauerhaft. Wir speichern nur kryptografische Hashes (SHA-256) dieser Felder, um Änderungen zu erkennen.
• Webhook-Daten: IDs von Webhook-Abonnements (Pro-Tarif, optionale Funktion).
• Daten öffentlicher Verfügbarkeits-Feeds (optional, kostenpflichtige Tarife): Wenn du einen öffentlichen Verfügbarkeits-Feed aktivierst, speichern wir nur dessen Konfiguration — ein zufälliges Zugriffstoken, die Kalender und Bezeichnungen, die du veröffentlichst, das Zeitfenster, Zugriffszeitpunkte und einen Zähler sowie (nur wenn du die PIN-geschützte Web-Ansicht aktivierst) einen scrypt-Hash der von dir gesetzten PIN. Wir speichern keine Termininhalte; der Feed wird bei jedem Abruf live aus deinen verbundenen Kalendern erzeugt.
• Abrechnungs- und Buchhaltungsdaten (kostenpflichtige Tarife): Rechnungen für dein kostenpflichtiges Abonnement — mit deinem Namen, deiner Rechnungsadresse und deiner E-Mail-Adresse, wie du sie unserem Zahlungsdienstleister angegeben hast — werden zur Erfüllung steuer- und handelsrechtlicher Pflichten erfasst und archiviert.
• Technische Protokolle: Server-Protokolle mit IP-Adressen, Anfrage-Metadaten und Fehlermeldungen (Aufbewahrung 14 Tage).
• Audit-Daten: Aufzeichnungen über Kontolöschungen (einschließlich E-Mail-Hashes und IP-Adressen).

Teilnehmerdaten Dritter

Wenn du Termine synchronisierst, an denen andere Personen teilnehmen, lesen wir deren E-Mail-Adressen vorübergehend über die API deines Quellkalenders aus, um den Termin zu verarbeiten. Wir speichern die E-Mail-Adressen von Teilnehmenden nicht dauerhaft und schreiben sie auch nicht in deinen Zielkalender. Die Verarbeitung erfolgt ausschließlich im Arbeitsspeicher während des Synchronisationslaufs.

Öffentlicher Verfügbarkeits-Feed (optional)

In kostenpflichtigen Tarifen kannst du deine Verfügbarkeit über einen öffentlichen Feed veröffentlichen — entweder als abonnierbaren ICS-Link für Kalender-Apps oder als PIN-geschützte Web-Ansicht. In beiden Fällen sehen Empfänger nur belegte/freie Zeitblöcke und eine von dir gewählte Bezeichnung (Standard „Busy“). Deine Termintitel, Beschreibungen, Orte und Teilnehmenden werden niemals veröffentlicht. Der Link ist eine Capability-URL (wer ihn kennt — bzw. den Link und die PIN — kann die Verfügbarkeit sehen), und du kannst ihn jederzeit im Portal widerrufen.

3. Zwecke und Rechtsgrundlagen

Wir verarbeiten deine Daten auf Grundlage der Datenschutz-Grundverordnung (DSGVO) zu folgenden Zwecken:

Für Teilnehmerdaten stützen wir uns auf die Ausnahme von der Informationspflicht nach Art. 14 Abs. 5 lit. b DSGVO (unverhältnismäßiger Aufwand), da die Daten nur flüchtig verarbeitet werden und wir keine direkte Beziehung zu den Teilnehmenden haben.

4. Empfänger & Datenweitergabe

Wie deine Kalenderdaten fließen. Die Kernfunktion von CalPair ist es, Kalendertermine auf deine Anweisung zwischen den beiden Konten zu kopieren, die du in einem Kalender-Paar verbindest. Wenn du ein Paar einrichtest, beauftragst du uns, Termine aus deinem Quellkalender zu lesen und die entsprechenden Einträge in deinen Zielkalender zu schreiben. Daten eines Anbieters werden also auf deine ausdrückliche Anweisung an den anderen von dir gewählten Anbieter übertragen — in beide Richtungen:

• Ist Google die Quelle, werden Termine, die wir über die Google Calendar API lesen, in dein gewähltes Ziel geschrieben (Microsoft Outlook, ein anderes Google-Konto oder ein CalDAV-Konto wie Apple iCloud, Fastmail oder mailbox.org).
• Ist Google das Ziel, werden Termine aus deinem Microsoft-, CalDAV-/Apple- oder sonstigen Quellkonto in deinen Google-Kalender geschrieben. Dasselbe gilt entsprechend für Microsoft- und CalDAV-Konten.

Was wir kopieren, hängt von der Datenschutz-Einstellung ab, die du je Paar wählst: entweder den vollständigen Termin (Titel, Zeit, Ort, Beschreibung) oder — wenn du den Datenschutzmodus aktivierst — nur einen anonymisierten Belegt-Block mit einer von dir gesetzten Bezeichnung (Standard „Busy“), ohne Titel, Beschreibung und Ort. Wir kopieren niemals E-Mail-Adressen von Teilnehmenden in den Zielkalender.

Google-Nutzerdaten — Limited Use. Die Nutzung und Weitergabe von Informationen, die CalPair über Google-APIs erhält, entspricht der Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen. Wir verwenden Google-Kalenderdaten ausschließlich, um die von dir gewünschten Synchronisationsfunktionen bereitzustellen. Wir verkaufen keine Google-Nutzerdaten, verwenden sie nicht für Werbung und nicht zum Training von KI-/ML-Modellen. Wir geben Google-Nutzerdaten nur weiter (a) an das Synchronisationsziel, das du selbst konfigurierst, (b) an die Empfänger eines Verfügbarkeits-Feeds (Open Agenda), den du veröffentlichst — dann nur belegte/freie Zeitblöcke und eine von dir gesetzte Bezeichnung, niemals Termindetails, (c) an die für den Betrieb des Dienstes zwingend erforderlichen Infrastruktur-Auftragsverarbeiter (unten aufgeführt) oder (d) wenn dies gesetzlich vorgeschrieben ist.

Für den Betrieb des Dienstes setzen wir folgende Auftragsverarbeiter und Drittdienste ein:

• Hetzner Online GmbH (Deutschland): Unser primärer Hosting-Anbieter. Ein Auftragsverarbeitungsvertrag (AVV) besteht.
• Bunny.net (BunnyWay d.o.o., Šmartinska 152, 1000 Ljubljana, Slowenien): Content Delivery Network. Bunny.net verarbeitet IP-Adressen und HTTP-Anfrage-Metadaten ausschließlich auf Servern in der EU. Ein Auftragsverarbeitungsvertrag kommt automatisch mit der Kontoeröffnung zustande. (Datenschutzerklärung: https://bunny.net/privacy)
• Scaleway SAS (Frankreich, EU): Anbieter für transaktionale E-Mails (Dienst-Benachrichtigungen und kontobezogene E-Mails) sowie für verschlüsselte Off-Site-Datenbank-Backups (Object Storage, Region Paris). Anbieter mit Sitz in der EU, Datenspeicherung in Frankreich. Ein Auftragsverarbeitungsvertrag besteht über den Standard-AVV von Scaleway.
• Google Ireland Ltd. / Google LLC (USA): Identitätsanbieter und Kalender-API. Google handelt bei der Authentifizierung als eigenständiger Verantwortlicher und beim Zugriff auf die Kalender-API in deinem Auftrag als Auftragsverarbeiter.
• Microsoft Ireland Operations / Microsoft Corp. (USA): Identitätsanbieter und Kalender-API. Microsoft handelt bei der Authentifizierung als eigenständiger Verantwortlicher und beim Zugriff auf die Kalender-API in deinem Auftrag als Auftragsverarbeiter.
• Stripe Payments Europe Ltd. (Irland) / Stripe Inc. (USA): Zahlungsabwicklung für kostenpflichtige Abonnements. Wenn du einen kostenpflichtigen Tarif abschließt, erhebt Stripe Zahlungsdaten (Karten- oder Bankdaten), Rechnungsname und -adresse, IP-Adresse und einen Geräte-Fingerabdruck als eigenständiger Verantwortlicher zur Betrugsprävention und wickelt zusätzlich Zahlungen in unserem Auftrag ab. CalPair selbst speichert nur Stripe-Kennungen, den Abonnementstatus und den Abrechnungszeitraum — niemals vollständige Kartendaten. Wenn du dein Konto löschst, kündigen wir dein Abonnement und löschen deinen Stripe-Kundendatensatz. Siehe die Datenschutzerklärung von Stripe (https://stripe.com/privacy).
• Anbieter für Buchhaltung & Rechnungsarchivierung: Zur Erfüllung unserer steuer- und handelsrechtlichen Aufzeichnungspflichten werden Rechnungen für kostenpflichtige Abonnements bei folgenden Anbietern erfasst und archiviert:
  • pCloud AG (Schweiz), EU-Speicherregion: Verschlüsselte Off-Site-Speicherung von Rechnungsdokumenten. Wir nutzen die EU-Speicherregion von pCloud (Daten werden in der EU gehalten); die pCloud AG hat ihren Sitz in der Schweiz, für die ein Angemessenheitsbeschluss der Europäischen Kommission besteht (Art. 45 DSGVO).
  • Lexware Office (lexoffice), betrieben von der Haufe-Lexware GmbH & Co. KG (Deutschland): Cloud-Buchhaltungssoftware zur Erfassung und Archivierung von Rechnungen für kostenpflichtige Abonnements. Die Daten werden in Deutschland gespeichert.
• CalDAV-Anbieter, die du verbindest (z. B. Apple iCloud — Apple Inc., USA; Fastmail Pty Ltd, Australien; mailbox.org — Heinlein Support GmbH, Deutschland): Wenn du einen CalDAV-Kalender verbindest, tust du das mit deinem eigenen bestehenden Konto bei diesem Anbieter und einem app-spezifischen Passwort, das du selbst erzeugst. CalPair greift nur auf deine ausdrückliche Anweisung darauf zu und ist Empfänger bzw. Quelle der Termine, die du synchronisieren möchtest. Diese Anbieter handeln im Rahmen deines eigenen Vertrags mit ihnen; CalPair begründet mit ihnen kein eigenes Auftragsverarbeitungsverhältnis (entsprechend der Google-/Microsoft-Quellverbindung). Soweit dabei eine Übermittlung in die USA erfolgt, ist Apple nach dem EU-US Data Privacy Framework zertifiziert; für andere Drittländer beruht die Übermittlung auf deiner eigenen Wahl des Anbieters und ist zur Durchführung der von dir gewünschten Synchronisation erforderlich (Art. 49 Abs. 1 lit. b DSGVO).

5. Datenübermittlung in Drittländer

Bestimmte Verarbeitungen (etwa die Kommunikation mit den APIs von Google oder Microsoft) sind mit einer Übermittlung von Daten auf Server in den Vereinigten Staaten verbunden. Wenn du ein CalDAV-Konto verbindest, das außerhalb der EU gehostet wird (z. B. Apple iCloud in den USA oder Fastmail in Australien), werden die Termine, die du dorthin oder von dort synchronisierst, ebenfalls dorthin übermittelt — zur Rechtsgrundlage siehe den CalDAV-Eintrag in Abschnitt 4.

Rechtsgrundlage für Übermittlungen in die USA: Google LLC und Microsoft Corp. sind nach dem EU-US Data Privacy Framework (DPF) zertifiziert. Die Europäische Kommission hat anerkannt, dass das DPF ein angemessenes Datenschutzniveau bietet (Art. 45 DSGVO). Die Zertifizierung kannst du unter dataprivacyframework.gov (https://www.dataprivacyframework.gov/s/participant-search) prüfen.

Die Rechnungsarchivierung über pCloud (Schweiz) stützt sich auf den Angemessenheitsbeschluss der Europäischen Kommission für die Schweiz (Art. 45 DSGVO), und es wird die EU-Speicherregion genutzt; lexoffice speichert Daten in Deutschland. Soweit das DPF oder ein Angemessenheitsbeschluss nicht greift oder für ungültig erklärt werden sollte, stützen wir uns auf die Standardvertragsklauseln (SCC) der Europäischen Kommission oder auf Art. 49 Abs. 1 lit. b DSGVO (erforderlich zur Vertragserfüllung). Wir beobachten den Status des DPF und setzen bei Bedarf unverzüglich alternative Garantien um.

6. Datensicherheit

Wir schützen deine Daten — einschließlich der sensiblen Kalenderdaten, auf die über die APIs von Google, Microsoft und CalDAV zugegriffen wird — mit folgenden Maßnahmen:

• Verschlüsselung bei der Übertragung: Alle Verbindungen zu CalPair und alle Aufrufe der Anbieter-APIs (Google, Microsoft, CalDAV) nutzen TLS (HTTPS).
• Verschlüsselung im Ruhezustand: OAuth-Access-/Refresh-Tokens und app-spezifische CalDAV-Passwörter werden in unserer Datenbank feldbezogen mit AES-256-GCM verschlüsselt (Schlüsselableitung über scrypt), mit einer authentifizierten Bindung jedes Datensatzes an deine Nutzer-ID, den Anbieter und das Konto, sodass verschlüsselte Daten nicht zwischen Konten übertragen werden können. Sie werden nur im Arbeitsspeicher und nur für die Dauer eines Synchronisationslaufs entschlüsselt.
• Datensparsamkeit durch Technikgestaltung: Wir speichern deine Termininhalte nicht dauerhaft. Titel, Beschreibungen, Orte und E-Mail-Adressen von Teilnehmenden werden nur während einer Synchronisation im Arbeitsspeicher verarbeitet; dauerhaft speichern wir nur SHA-256-Hashes der relevanten Felder, um Änderungen zu erkennen.
• Verschlüsselte Backups: Off-Site-Datenbank-Backups werden mit GPG/AES-256 verschlüsselt und in der EU gespeichert (Scaleway Object Storage, Region Paris).
• Zugriffskontrolle & Audit: Der Zugriff auf Produktivsysteme ist auf den Betreiber beschränkt; administrative Vorgänge an Nutzerdaten erfordern einen zweiten Faktor (Bestätigung per E-Mail-Token) und werden in einem Audit-Log protokolliert.

7. Speicherdauer und Löschung

Wir speichern deine Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist:

• Konto- und Synchronisationsdaten: Gespeichert, solange dein Konto aktiv ist.
• Termin-Zuordnungen: Wenn du einen Kalendertermin löschst, wird der Zuordnungs-Hash als gelöscht markiert und höchstens 30 Tage aufbewahrt (Soft-Delete), um Fehler bei der erneuten Synchronisation zu vermeiden.
• Sitzungen: Sitzungsdaten (einschließlich IP und User-Agent) werden 7 Tage nach Ablauf oder Widerruf der Sitzung gelöscht.
• Server-Protokolle: Technische Protokolle werden automatisch rotiert und nach 14 Tagen gelöscht.
• Audit-Daten (Kontolöschungen): Wenn du dein Konto löschst, speichern wir einen Hash deiner E-Mail-Adresse und deine letzte IP für bis zu 3 Jahre, um Missbrauch und doppelte Löschvorgänge zu verhindern.
• Rechnungen & Buchhaltungsunterlagen: Rechnungen und zugehörige Buchhaltungsunterlagen werden für die gesetzliche Dauer von bis zu 10 Jahren aufbewahrt (§ 147 AO, § 257 HGB), unabhängig von einer Kontolöschung, und bei den in Abschnitt 4 genannten Buchhaltungsanbietern archiviert.
• Backups: Wir betreiben automatisierte, verschlüsselte Off-Site-Datenbank-Backups (GPG/AES-256) mit Speicherort in der EU (Scaleway Object Storage, Region Paris). Backups werden gemäß unserer Lifecycle-Richtlinie für einen begrenzten Zeitraum aufbewahrt; wird ein Konto gelöscht, fallen die Daten nach Ablauf dieser Aufbewahrungsfrist aus dem Backup-Fenster heraus.

8. Deine Rechte

Nach der DSGVO hast du folgende Rechte in Bezug auf deine personenbezogenen Daten:

• Auskunftsrecht (Art. 15): Du kannst jederzeit über die Self-Service-Exportfunktion im CalPair-Portal einen vollständigen Export deiner Daten anfordern.
• Recht auf Berichtigung (Art. 16): Du kannst unrichtige Daten in deinen Kontoeinstellungen korrigieren.
• Recht auf Löschung (Art. 17): Du kannst dein Konto und alle zugehörigen Kalenderdaten über das CalPair-Portal endgültig löschen.
• Recht auf Einschränkung der Verarbeitung (Art. 18)
• Recht auf Datenübertragbarkeit (Art. 20): Du kannst deine Daten über das Portal in einem maschinenlesbaren JSON-Format herunterladen.
• Widerspruchsrecht (Art. 21): Du kannst einer Verarbeitung widersprechen, die auf berechtigten Interessen beruht (Art. 6 Abs. 1 lit. f).
• Recht auf Widerruf einer Einwilligung (Art. 7 Abs. 3): Soweit eine Verarbeitung auf einer Einwilligung beruht, kannst du diese jederzeit widerrufen.

Zur Ausübung dieser Rechte (soweit nicht per Self-Service möglich) wende dich bitte an hello@calpair.io.

Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO): Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns zuständig ist: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit Gustav-Stresemann-Ring 1, 65189 Wiesbaden, Deutschland.

9. Cookies

CalPair verwendet unbedingt erforderliche Cookies, um den Dienst bereitzustellen:

• __Host-calpair_session im Produktivbetrieb (calpair_session in der lokalen Entwicklung, 30 Tage): Hält dich sicher angemeldet.
• __Host-calpair_oauth_state im Produktivbetrieb (calpair_oauth_state lokal, 10 Minuten): Verhindert CSRF-Angriffe während des Google-/Microsoft-Logins.
• __Host-calpair_altcha im Produktivbetrieb (calpair_altcha lokal, 5 Minuten): Bot-Schutz vor dem OAuth-Login.
• __Host-calpair_invite im Produktivbetrieb (calpair_invite lokal, 10 Minuten): Überträgt den Einladungscode bei der Registrierung vom Formular zum OAuth-Callback.

Da diese Cookies für den technischen Betrieb des Dienstes unbedingt erforderlich sind, ist kein aktiver Einwilligungsbanner erforderlich (§ 25 Abs. 2 TDDDG). Wir verwenden keine Tracking- oder Marketing-Cookies.

10. Änderungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren. Bei wesentlichen Änderungen informieren wir dich, indem wir dich beim nächsten Login bitten, die aktualisierte Fassung zu akzeptieren. Die oben angegebene Versionsnummer wird bei jeder wesentlichen Aktualisierung erhöht.