Datenschutzerklärung · PushGate

Stand: 10. September 2026

1. Verantwortlicher

Raphael Stedler
c/o Autorenglück #65419
Albert-Einstein-Str. 47
02977 Hoyerswerda
E-Mail: contact@pushgate.app

2. Grundsatz

PushGate ist datensparsam gebaut: es gibt kein Nutzerkonto und keine Anmeldung. Kamerabilder und daraus abgeleitete Bewegungsdaten verlassen das Gerät nie, diese Zusage gilt ohne Ausnahme und ohne Einwilligungsvorbehalt (Abschnitt 3.5).

Deine Sperrliste, deine Trainingsserien, deine Statistiken und deine Einstellungen liegen im App-Speicher deines Geräts (Abschnitte 3.1 bis 3.6). Darüber hinaus verarbeiten wir Daten in zwei Fällen:

Abonnement (Abschnitt 3.7), nötig, damit die App weiß, ob du bezahlt hast. Läuft über Apple bzw. Google, ohne Dienstleister dazwischen.
Produktanalyse und Abo-Auswertung (Abschnitt 3.8), nur mit deiner Einwilligung.

Den zweiten Fall fragen wir im Onboarding, nach der Altersprüfung und ohne Voreinstellung. Du kannst jederzeit widerrufen (Profil → Datenschutz). Die App funktioniert vollständig, wenn du ablehnst, es gibt keine Funktion, die von deiner Einwilligung abhängt (Art. 7 Abs. 4 DSGVO).

Werbe-Kennungen (IDFA, Advertising ID) werden nicht verwendet, und es findet kein Tracking über App-Grenzen hinweg statt.

3. Welche Daten verarbeitet werden

Die Abschnitte 3.1 bis 3.6 beschreiben Daten, die auf deinem Gerät verarbeitet und gespeichert werden, einschließlich der Unterabschnitte 3.3a und 3.6a, die überall dort mitgemeint sind, wo diese Erklärung „3.1 bis 3.6" schreibt. Sie werden nicht an uns und nicht an Dritte übertragen, mit einer Ausnahme, die deine Einwilligung voraussetzt: aus 3.2 und 3.4 gehen einzelne, in Abschnitt 3.8 namentlich benannte Kennzahlen hinaus, wenn du der Produktanalyse zugestimmt hast. Aus 3.3a geht nichts hinaus, auch nicht mit Einwilligung. Die Rohdatenbestände selbst bleiben in jedem Fall lokal.

3.1 Gate-Einstellungen und gesperrte Ziele (lokal)

Wie viele Wiederholungen du dir als Voraussetzung setzt, wie lange eine Freigabe gilt, und welche Apps/Domains/Kategorien du sperrst. Bei Android als Paketname (z. B. Name einer Social-Media-App), bei iOS technisch bedingt als vom System verwaltete, für die App nicht lesbare Kennung.

3.2 Sitzungen (abgeschlossene Trainingsserien, lokal)

Je abgeschlossenem Versuch: Start- und Endzeit, Anzahl erzielter Wiederholungen, Zielanzahl, ob das Ziel erreicht wurde, Tag. Keine Kamerabilder, keine Bewegungsrohdaten, nur diese Zahlen und Zeitstempel.

Mit Einwilligung nach Abschnitt 3.8 geht daraus je bestandener Serie ein Ereignis hinaus (Wiederholungen, Zielanzahl, Dauer). Die Liste der Sitzungen selbst bleibt lokal.

3.3 Override-Ereignisse (lokal)

Wenn du eine gesperrte App über eine Ausnahmefunktion ohne Training öffnest, wird das mit Zeitstempel und betroffener App protokolliert, für deine eigene Verlaufsansicht, nicht zu Werbezwecken, und nur auf dem Gerät.

3.3a Nutzungsdauer gesperrter Apps (Tagessumme, lokal)

PushGate zählt, wie lange du an einem Kalendertag insgesamt in den Apps warst, die du selbst gesperrt hast. Der Wert dient allein der Anzeige deines eigenen Fortschritts in der App (die Darstellung deiner „Aura" wächst mit erbrachten Wiederholungen und schrumpft mit dieser Zeit).

Gespeichert wird eine Summe pro Tag über alle gesperrten Apps zusammen, keine Aufschlüsselung nach einzelnen Apps, keine Uhrzeiten, keine Sitzungen. Aufbewahrt werden die letzten 21 Tage, ältere Tage werden überschrieben.

Die Zahl verlässt das Gerät nicht, auch nicht mit deiner Einwilligung nach Abschnitt 3.8. Sie ist weder Teil eines Ereignisses noch einer Auswertung.

Wie sie entsteht, unterscheidet sich nach Betriebssystem, und das ist technisch bedingt:

Android: aus der Zeit, die eine gesperrte App im Vordergrund war, gemessen vom Bedienungshilfen-Dienst (siehe Abschnitt 3.6), und nur während eines von dir freigeschalteten Zeitfensters.
iOS: Apples Framework nennt der App keine Nutzungsdauer und keine App-Namen. Es teilt ausschließlich mit, dass die von dir gewählte Auswahl eine bestimmte Zeitschwelle erreicht hat (in Stufen von 15 Minuten). Die Summe ist deshalb eine Untergrenze in Stufen und keine exakte Zeit.

Gemessen wird nur, solange die Sperre eingeschaltet ist. Schaltest du sie aus, endet die Zählung.

3.4 Challenges, Errungenschaften und Onboarding-Angaben (lokal)

Fortschritt bei Challenges, Bestätigungen erzielter Achievements sowie die Antworten, die du im Onboarding gibst (etwa Nutzungsmotive und Ziele). Die Onboarding-Angaben steuern lediglich die Voreinstellungen der App.

Der gewählte Antwortwert selbst verlässt das Gerät nicht, auch nicht mit Einwilligung. An die Produktanalyse (Abschnitt 3.8) geht nur, welche Frage beantwortet wurde und ob sie Einzel- oder Mehrfachauswahl war, nicht, was du geantwortet hast. Das ist eine bewusste Einschränkung: die Angaben zu Fitnesszielen und Motiven rücken in die Nähe von Art. 9 DSGVO, und für die Auswertung des Trichters sind sie nicht nötig.

Für die Altersprüfung im Onboarding gibst du ein Geburtsdatum an. Es wird nicht gespeichert: die App berechnet daraus unmittelbar nur das Ergebnis (Nutzung bzw. Abo erlaubt oder nicht) und verwirft das Datum.

3.5 Kamera- und Bewegungsdaten: gesondert, weil besonders sensibel (lokal)

Für die Zählung der Wiederholungen nutzt die App die Frontkamera und ein Pose-Erkennungsmodell (Apple Vision Framework unter iOS bzw. ML Kit Pose Detection mit im App-Paket enthaltenem Modell unter Android). Diese Verarbeitung findet ausschließlich lokal auf deinem Gerät statt. Weder Kamerabilder noch daraus abgeleitete Rohdaten (Gelenkpositionen o. Ä.) werden gespeichert oder an unsere Server oder Dritte übertragen. Es entstehen nur die in Abschnitt 3.2 genannten Zahlen.

3.6 Bedienungshilfen-Dienst (nur Android, lokal)

Zur Erkennung, wann eine gesperrte App in den Vordergrund kommt, nutzt die Android-Version einen Accessibility Service. Dieser liest ausschließlich den Paketnamen der aktuell im Vordergrund laufenden App aus Fensterwechsel-Ereignissen, keine Bildschirminhalte, keine Texteingaben, keine Screenshots. Die Information wird nur lokal ausgewertet, um das Sperrfenster anzuzeigen, und verlässt das Gerät nicht.

Unter iOS wird stattdessen Apples Family-Controls-/Screen-Time-Framework genutzt, das technisch bedingt keine App-Erkennung außerhalb von Apples eigener Sandbox erlaubt.

3.6a Bildschirmzeit-Hochrechnung im Onboarding (nur iOS, lokal)

Wenn du im Onboarding die Bildschirmzeit-Berechtigung erteilst, zeigt dir PushGate einmalig eine Hochrechnung deiner Gerätenutzung: wie viele Tage im Jahr und wie viele Lebensjahre die letzten sieben Tage hochgerechnet ergeben.

Diese Zahlen entstehen nicht in der App. Apples Framework übergibt die Nutzungsdaten ausschließlich an eine gesonderte Systemerweiterung (DeviceActivityReport), die den Bildschirm zeichnet, die App selbst bekommt weder die Nutzungsdauer noch die Namen der genutzten Apps zu sehen. Diese Erweiterung hat keinen gemeinsamen Speicher mit der App und keine Netzwerkverbindung. Die Zahlen werden nicht gespeichert, nicht in Ereignisse aufgenommen und verlassen das Gerät nicht.

PushGate verwendet daneben eine zweite, davon getrennte Systemerweiterung, die ausschließlich für die Sperre zuständig ist: sie erfährt, dass eine Zeitschwelle erreicht wurde, und setzt die Sperre wieder in Kraft. Nur sie hat einen gemeinsamen Speicher mit der App, und über diesen Weg entsteht die Tagessumme aus Abschnitt 3.3a. Auch sie erfährt keine App-Namen und keine Nutzungsdauer, sondern nur, dass eine Schwelle überschritten wurde, und auch sie hat keine Netzwerkverbindung.

Ohne die Berechtigung entfällt der Bildschirm ersatzlos.

3.7 Kauf-/Abodaten: der einzige Datenfluss nach außen

Käufe laufen vollständig über Apples App Store bzw. Google Play. Wir erhalten weder Zahlungsmittel- noch Rechnungsdaten. Es gibt keinen Dienstleister zwischen der App und der Plattform: die App fragt die Kaufabwicklung des Betriebssystems direkt (Apple StoreKit bzw. Google Play Billing).

Ob ein Abonnement aktiv ist („ja/nein"), erfährt die App von der Plattform und speichert es ausschließlich auf dem Gerät. Wir erhalten diese Auskunft nicht; es gibt keine Kennung, unter der wir sie führen könnten, und kein PushGate-Konto. Das Abonnement ist allein der Plattform-Kennung zugeordnet (Apple-ID bzw. Google-Konto). Auf einem neuen Gerät wird es über „Käufe wiederherstellen" reaktiviert; die Zuordnung leistet dabei die Plattform, nicht wir.

Dass es keinen Dienstleister zwischen App und Plattform gibt, bleibt auch mit dem in Abschnitt 3.8 genannten Dienst RevenueCat richtig: der Kauf läuft unverändert direkt über StoreKit bzw. Play Billing, und die Auskunft „Abo aktiv ja/nein", von der die Freischaltung abhängt, kommt aus dem Betriebssystem. RevenueCat beobachtet abgeschlossene Käufe im Nachhinein für die Auswertung, es entscheidet nichts und ist für die Bereitstellung der bezahlten Leistung nicht erforderlich. Genau deshalb steht es in 3.8 und nicht hier, und genau deshalb hängt es an deiner Einwilligung.

3.8 Produktanalyse und Abo-Auswertung: nur mit deiner Einwilligung

Wenn du zustimmst, senden wir Ereignisse über die Nutzung der App, um zu sehen, wo Leute im Onboarding abbrechen, ob eine Änderung die App besser macht und wie viele Testzeiträume in ein bezahltes Abo übergehen.

Was gesendet wird:

Ereignisname und Zeitstempel (z. B. „Onboarding-Schritt angezeigt", „Gate bestanden", „Testzeitraum begonnen"),
welche Onboarding-Frage beantwortet wurde und ob sie Einzel- oder Mehrfachauswahl war, nicht der gewählte Wert (Abschnitt 3.4),
Zählwerte einer bestandenen Serie: Wiederholungen, Zielanzahl, Dauer,
das Altersband als Kategorie („16–17", „18+"), nie ein Geburtsdatum,
bei einem Kauf: Produkt-Kennung, Betrag und Währung, Länge eines Testzeitraums,
die Installations-ID (eine Zufallskennung, die erst mit deiner Einwilligung entsteht, siehe Abschnitt 8),
technische Rahmendaten: App-Version, Betriebssystem und -version, Gerätemodell, Sprache, gekürzte IP-Adresse.

Was ausdrücklich nicht gesendet wird: keine Kamerabilder, keine Bewegungsdaten, keine Namen der von dir gesperrten Apps oder Domains, keine Nutzungsdauer gesperrter Apps (die Tagessumme aus Abschnitt 3.3a und die daraus abgeleitete Darstellung deiner „Aura" bleiben lokal), keine Antwortwerte aus dem Onboarding, keine Freitexte, keine Werbe-Kennung, keine E-Mail-Adresse, kein Name. Das ist nicht nur eine Zusage: die App filtert die Ereignisse vor dem Versand gegen eine feste Positivliste erlaubter Feldnamen, was dort nicht steht, kann nicht hinausgehen.

Empfänger:

Anbieter	Rolle	Wofür
PostHog, Inc., 2261 Market St. #4008, San Francisco, CA 94114, USA	Auftragsverarbeiter (Art. 28 DSGVO)	Produktanalyse. Speicherung auf der EU-Instanz (Rechenzentrum Frankfurt am Main)
RevenueCat, Inc., 1032 E Brandon Blvd #3003, Brandon, FL 33511, USA	Auftragsverarbeiter (Art. 28 DSGVO)	Abo-Auswertung: Übergang vom Testzeitraum in ein bezahltes Abo, Verlängerung, Kündigung, Erstattung

RevenueCat erfährt dabei von Apple bzw. Google den Verlauf deines Abonnements. Das ist die einzige Auswertung, die auch dann noch Daten liefert, wenn die App geschlossen ist, anders wäre nicht messbar, ob ein Testzeitraum in ein Abo übergeht. RevenueCat erhält keine Werbe-Kennung und keine Nutzungsdaten aus den Abschnitten 3.1 bis 3.6a.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) und § 25 Abs. 1 TDDDG für das Speichern und Auslesen der Installations-ID auf deinem Gerät.

Wir stützen das bewusst nicht auf ein berechtigtes Interesse (Art. 6 Abs. 1 lit. f): § 25 TDDDG kennt für den Zugriff auf dein Endgerät ohnehin keine Interessenabwägung. Und wir stützen den RevenueCat-Teil bewusst nicht auf die Vertragserfüllung (lit. b), obwohl es um dein Abonnement geht: die Freischaltung funktioniert ohne RevenueCat, sie hängt an der Auskunft des Betriebssystems (Abschnitt 3.7). Ein Dienst, der für die Bereitstellung der Leistung nicht erforderlich ist, lässt sich nicht als erforderlich ausgeben.

Speicherdauer: Ereignisse bei PostHog werden 12 Monate aufbewahrt; das ist die Aufbewahrungsdauer des von uns genutzten Tarifs. Danach löscht der Anbieter sie, ohne dafür einen festen Zeitpunkt zuzusagen — eine taggenaue Löschfrist können wir deshalb nicht versprechen. Willst du früher oder sicher gelöscht werden, ist der Löschantrag nach Abschnitt 8 der verlässliche Weg; ihn setzen wir anhand deiner Installations-ID um. RevenueCat hält Installations-ID und Abo-Verlauf so lange, wie wir den Dienst für die Auswertung nutzen; auf Anfrage nach Abschnitt 8 löschen wir den zugehörigen Datensatz früher.

Widerruf: jederzeit unter Profil → Datenschutz, mit demselben Schalter, mit dem du zugestimmt hast. Der Widerruf wirkt sofort: ab diesem Moment werden keine weiteren Ereignisse gesendet, und die Installations-ID wird auf deinem Gerät gelöscht. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt (Art. 7 Abs. 3 DSGVO). Zur Löschung bereits übermittelter Ereignisse siehe Abschnitt 8.

Wenn du ablehnst: Die App führt weiterhin ein Ereignisprotokoll, aber ausschließlich auf dem Gerät (Ringpuffer mit automatischer Rotation, Abschnitt 10). Es wird nicht übertragen, und es wird beim späteren Erteilen einer Einwilligung nicht nachgeholt, eine Einwilligung wirkt nicht rückwirkend.

4. Zwecke und Rechtsgrundlagen

Verarbeitung	Zweck	Rechtsgrundlage
Gate-Einstellungen, gesperrte Ziele, Sitzungen (lokal)	Kernfunktion der App	Art. 6 Abs. 1 lit. b DSGVO
Override-Ereignisse, Achievements, Challenges, Onboarding-Angaben (lokal)	Vertragsfunktion / Statistik für dich selbst	Art. 6 Abs. 1 lit. b DSGVO
Kamera-/Posenverarbeitung (lokal, flüchtig)	Zählung der Wiederholungen	Art. 6 Abs. 1 lit. b DSGVO
Abo-Status (lokal, aus der Plattform-Auskunft)	Freischaltung der App	Art. 6 Abs. 1 lit. b DSGVO; § 25 Abs. 2 Nr. 2 TDDDG für die Speicherung auf dem Gerät
Produktanalyse und Abo-Auswertung (Abschn. 3.8)	Verbesserung der App, Messung der Abo-Conversion	Art. 6 Abs. 1 lit. a DSGVO (Einwilligung); § 25 Abs. 1 TDDDG
Server-Logs der Website (Abschn. 13)	sichere Bereitstellung	Art. 6 Abs. 1 lit. f DSGVO
Android-Warteliste (Abschn. 13)	einmal benachrichtigen, wenn die App bei Google Play erscheint	Art. 6 Abs. 1 lit. a DSGVO

Für die Nutzung der App musst du keine personenbezogenen Daten angeben, keine E-Mail-Adresse, kein Passwort, keinen Namen. Es gibt keine Registrierung.

Eine automatisierte Entscheidungsfindung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne von Art. 22 DSGVO findet nicht statt; welche Apps gesperrt werden und wie viele Wiederholungen nötig sind, legst ausschließlich du selbst fest. Auch die Auswertung nach Abschnitt 3.8 trifft keine Entscheidung über dich: sie wird zusammengefasst betrachtet, um die App zu verbessern, und steuert keine individuelle Behandlung.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO): Es werden keine physiologischen Messwerte, keine Kamera- oder Bewegungsrohdaten und keine Angaben zu Erkrankungen gespeichert. Nach unserer Bewertung sind Wiederholungszahlen, Zeitstempel und Sperr-Einstellungen keine Gesundheitsdaten im Sinne von Art. 9 DSGVO, weil sie keine Aussage über deinen Gesundheitszustand treffen.

Für die Angaben zu Fitnesszielen und Nutzungsmotiven aus dem Onboarding halten wir dieselbe Bewertung für vertretbar, aber weniger eindeutig. Wir haben daraus zwei Konsequenzen gezogen: Sie verlassen das Gerät gar nicht (Abschnitt 3.4), nicht einmal mit Einwilligung, und die übrige Auswertung nach Abschnitt 3.8 stützen wir ausschließlich auf deine ausdrückliche Einwilligung statt auf ein berechtigtes Interesse.

5. Empfänger und Auftragsverarbeiter

Wir betreiben kein eigenes Backend, das App-Daten empfängt. Empfänger gibt es im Zusammenhang mit dem Abonnement und, nur mit deiner Einwilligung, für die Auswertung:

Anbieter	Datenschutzrechtliche Rolle	Was er erhält	Grundlage
Apple (App Store)	eigenständiger Verantwortlicher	Kaufdaten	eigene Datenschutzbestimmungen
Google (Play Store)	eigenständiger Verantwortlicher	Kaufdaten	eigene Datenschutzbestimmungen
PostHog, Inc.	Auftragsverarbeiter (Art. 28)	Ereignisse nach Abschn. 3.8, Installations-ID, gekürzte IP	AV-Vertrag nach Art. 28 DSGVO
RevenueCat, Inc.	Auftragsverarbeiter (Art. 28)	Installations-ID, Kaufbeleg und Abo-Verlauf nach Abschn. 3.8	AV-Vertrag nach Art. 28 DSGVO
Hetzner Online GmbH	Auftragsverarbeiter (Art. 28)	Server-Logs und Android-Warteliste (Abschn. 13)	Standard-AVV nach Art. 28 DSGVO

Apple und Google handeln in eigener Verantwortung nach ihren eigenen Datenschutzbestimmungen, nicht auf unsere Weisung. Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist für dieses Verhältnis weder vorgesehen noch möglich.

Für die in den Abschnitten 3.1 bis 3.6 genannten Daten gibt es keinen Empfänger, mit der einwilligungsabhängigen Ausnahme einzelner Kennzahlen aus 3.2 und 3.4, die Abschnitt 3.8 namentlich benennt. Kamerabilder und Bewegungsdaten haben keinen Empfänger, unter keinen Umständen.

Ohne erteilte Einwilligung bleiben PostHog und RevenueCat vollständig unbenutzt: die App konfiguriert die Dienste dann gar nicht erst, sie werden nicht bloß stummgeschaltet.

Unsere Website (nicht die App) wird auf einem Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland gehostet (Rechenzentrum in der EU), Auftragsverarbeiter nach Art. 28 DSGVO. Sie erhält ausschließlich die in Abschnitt 13 genannten Server-Logs. Hetzner stellt den AVV als Standardvertrag im Hetzner-Cloud-Konsolen-Konto zum Abschluss per Klick bereit (Kontoeinstellungen → Auftragsverarbeitung); da sowohl Hetzner als auch das Rechenzentrum in der EU sitzen, ist hierfür keine Drittlandprüfung nötig. Der AVV wurde am 9. September 2026 abgeschlossen.

6. Übermittlung in Drittländer

Für die Übermittlung gilt je Empfänger (Stand der Prüfung: 08.09.2026):

Google LLC (USA): zertifiziert unter dem EU-US Data Privacy Framework (Eintrag geprüft am 26.08.2026 unter dataprivacyframework.gov).
Apple Inc. (USA): nicht im Data-Privacy-Framework-Verzeichnis gelistet. Die Übermittlung erfolgt auf Grundlage von Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914, Modul 2) bzw. des Global Cross-Border Privacy Rules (CBPR) Systems. Apple und Google handeln als eigenständige Verantwortliche der Zahlungsabwicklung; die Übermittlung geschieht zwischen dir und der jeweiligen Plattform, nicht über uns.
PostHog, Inc. (USA): Die Ereignisdaten werden auf der EU-Instanz gespeichert (Rechenzentrum Frankfurt am Main). Ein Zugriff aus den USA ist gleichwohl nicht ausgeschlossen (Support, Wartung, Unterauftragsverarbeiter). Grundlage: PostHog gibt im Auftragsverarbeitungsvertrag die Teilnahme am EU-US Data Privacy Framework samt UK- und Schweiz-Erweiterung an (Selbstzertifizierung, Angabe geprüft am 08.09.2026); ergänzend gelten die Standardvertragsklauseln (Modul 2) aus demselben Vertrag.
RevenueCat, Inc. (USA): nicht unter dem Data Privacy Framework zertifiziert (geprüft am 08.09.2026). Übermittlung auf Grundlage von Standardvertragsklauseln (Modul 2, Verantwortlicher an Auftragsverarbeiter) als Teil des AV-Vertrags. RevenueCat benennt diese Klauseln im eigenen Data Processing Addendum als Grundlage für Übermittlungen aus dem EWR.
Hetzner Online GmbH: Deutschland, Rechenzentrum in der EU. Keine Drittlandübermittlung.

Eine Kopie der einschlägigen Garantien (Standardvertragsklauseln) stellen wir auf Anfrage an die in Abschnitt 1 genannte E-Mail-Adresse zur Verfügung.

Für die in den Abschnitten 3.1 bis 3.6 genannten Daten findet außerhalb der Einwilligung nach Abschnitt 3.8 keine Übermittlung statt, auch keine Drittlandübermittlung. Für Kamerabilder und Bewegungsdaten gilt das ausnahmslos.

7. Speicherdauer

Die lokal gespeicherten Daten (Abschnitt 3.1 bis 3.6) bleiben so lange auf deinem Gerät, wie die App installiert ist. Kürzer ist die Frist für die Tagessumme aus Abschnitt 3.3a: dort werden nur die letzten 21 Tage gehalten, ältere Tage werden beim nächsten Schreibvorgang überschrieben. Du bestimmst die Speicherdauer selbst: mit der Deinstallation der App werden sie vom Betriebssystem entfernt (Abschnitt 8). Wir können sie nicht löschen, weil wir sie nicht haben.

Kaufbelege und Abo-Verlauf liegen bei Apple bzw. Google und unterliegen deren Fristen. Der Abo-Status auf deinem Gerät verschwindet mit der Deinstallation.

Für die einwilligungsabhängigen Daten aus Abschnitt 3.8 gelten die dort genannten Fristen (PostHog: 12 Monate Aufbewahrung, Löschung danach ohne zugesagten Zeitpunkt; RevenueCat: Löschung auf Anfrage nach Abschnitt 8). Sie enden unabhängig davon, ob die App installiert bleibt, ein Widerruf beendet die weitere Erhebung, löscht aber nicht von selbst, was bereits übermittelt wurde. Dafür ist Abschnitt 8 der Weg.

8. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) sowie das Recht auf Beschwerde bei einer Datenschutzaufsichtsbehörde.

Widerruf deiner Einwilligung (Art. 7 Abs. 3 DSGVO): Soweit wir Daten auf Grundlage deiner Einwilligung verarbeiten (Abschnitt 3.8), kannst du sie jederzeit widerrufen, in der App unter Profil → Datenschutz, mit demselben Schalter, mit dem du sie erteilt hast. Der Widerruf ist genauso einfach wie die Erteilung und wirkt sofort. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Wie wir dich zuordnen können (die Installations-ID): Wir führen kein Konto, kennen deinen Namen nicht und können dich von uns aus nicht identifizieren (Art. 11 Abs. 1 DSGVO). Damit du deine Rechte trotzdem ausüben kannst, führt die App eine Installations-ID, eine Zufallskennung, unter der die Ereignisse aus Abschnitt 3.8 bei den Empfängern geführt werden. Sie entsteht erst mit deiner Einwilligung und wird mit dem Widerruf gelöscht.

Du musst sie nicht selbst notieren: Profil → Datenschutz → „Auskunft oder Löschung anfragen" öffnet eine vorbereitete E-Mail, in der die ID schon eingetragen ist (Art. 11 Abs. 2 DSGVO). Damit können wir die zugehörigen Daten finden, dir Auskunft erteilen und sie löschen lassen.

Ohne diese ID können wir eine Anfrage nicht bearbeiten, weil wir keine andere Möglichkeit haben, dich einem Datensatz zuzuordnen. Wir müssen dich dann nach Art. 11 Abs. 2 DSGVO darüber informieren und die Anfrage zurückweisen. Das ist die Kehrseite davon, kein Konto zu führen.

Ehrlich benannte Grenze: Hast du die App deinstalliert oder die Einwilligung widerrufen, ist die Zuordnung verloren, auch für uns. Der Widerruf löscht die ID auf dem Gerät; er löscht nichts, was bis dahin schon übermittelt wurde. Willst du auch das los, schicke die Anfrage ab, bevor du widerrufst oder deinstallierst.

Bezogen auf das Abonnement richte Anfragen an die Plattform, über die du gekauft hast (Apple bzw. Google), oder an uns mit Angabe der Kauf-Belegnummer.

Deine lokalen Daten löschen: Deinstalliere die App. Damit entfernt das Betriebssystem den App-Speicher vollständig, einschließlich aller in Abschnitt 3.1 bis 3.6 genannten Daten. Unter Android kannst du sie auch ohne Deinstallation über Einstellungen → Apps → PushGate → Speicher → Daten löschen entfernen.

Willst du nur die bereits übermittelten Daten nach Abschnitt 3.8 loswerden, ohne die App zu deinstallieren: widerrufe die Einwilligung und schicke uns die Installations-ID.

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir personenbezogene Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten (Server-Logs unserer Website, Abschnitt 13), hast du das Recht, aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit gegen diese Verarbeitung Widerspruch einzulegen. Wir verarbeiten die betroffenen Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen, Rechte und Freiheiten überwiegen.

Zuständige Aufsichtsbehörde: Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59–61, 10555 Berlin.

9. Minderjährige

Die App richtet sich an Personen ab 16 Jahren. Der Abschluss eines kostenpflichtigen Abonnements setzt Volljährigkeit oder die Zustimmung der gesetzlichen Vertreter voraus (siehe AGB § 3). Die Prüfung erfolgt über die Altersabfrage im Onboarding; das dort eingegebene Geburtsdatum wird nicht gespeichert (Abschnitt 3.4).

Für Einwilligungen gilt zusätzlich Art. 8 DSGVO: Die Einwilligung eines Kindes in eine Verarbeitung zu Analysezwecken ist in Deutschland erst ab 16 Jahren ohne Zustimmung der Erziehungsberechtigten wirksam. Wir setzen das so um:

Der Einwilligungsdialog erscheint erst nach der Altersprüfung und nur, wenn du 16 Jahre oder älter bist. Wer die Altersprüfung nicht durchlaufen oder nicht bestanden hat, sieht ihn gar nicht, und es wird nichts gesendet.
Ein Dienst wird in diesem Fall auch nicht vorbereitet oder stummgeschaltet: er wird nicht konfiguriert.

10. Kennungen auf deinem Gerät, Tracking, Werbung

Dieser Abschnitt löst den Änderungsvorbehalt der Vorfassung ein: ein Analytics-Dienst ist eingebaut worden, und dies ist die dazugehörige Aktualisierung.

Cookies: Die App verwendet keine Cookies.

Kennungen, die auf deinem Gerät gespeichert oder ausgelesen werden:

Kennung	Wofür	Einwilligung nötig?
Abo-Status (manipulationsgeschützt, Abschn. 11)	Freischaltung der bezahlten App	nein: § 25 Abs. 2 Nr. 2 TDDDG, unbedingt erforderlich für den von dir gewünschten Dienst
Lokaler Ereignis-Ringpuffer	Fehlersuche auf dem Gerät	nein, verlässt das Gerät nicht
Installations-ID (Zufallswert)	Zuordnung der Ereignisse aus Abschn. 3.8	ja: § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Sie entsteht erst mit der Einwilligung

Keine Werbe-Kennungen. Die App liest weder Apples IDFA noch Googles Advertising ID aus. Sie deklariert unter Android auch nicht die dafür nötige Berechtigung.

Kein Tracking über App-Grenzen. Die Ereignisse aus Abschnitt 3.8 werden nicht mit Daten zusammengeführt, die ein Dritter über dich aus anderen Apps oder Websites hat, und sie werden nicht zu Werbezwecken weitergegeben.

Keine Werbung in der App. Es werden keine Werbeanzeigen ausgeliefert.

Lokale Protokolle: Die App führt einen Ereignis-Ringpuffer auf dem Gerät (automatische Rotation). Er läuft unabhängig von deiner Entscheidung und verlässt das Gerät nur, soweit Abschnitt 3.8 es beschreibt. Ohne Einwilligung bleibt er vollständig lokal, und er wird nicht nachgeholt, wenn du später zustimmst.

Wichtig: Sobald künftig ein Werbe- oder Attributionsdienst eingebaut wird, eine Werbe-Kennung ausgelesen oder ein Crash-Reporting-Dienst hinzugefügt wird, muss dieser Abschnitt erneut vor Rollout aktualisiert werden, dann zusätzlich mit dem Systemdialog „App Tracking" unter iOS, der etwas anderes ist als die Einwilligung nach der DSGVO.

11. Datensicherheit

Die App hat keinen eigenen Server-Endpunkt. Sie spricht ausschließlich folgende Ziele an, alle über TLS:

die Kaufabwicklung des Betriebssystems (Apple bzw. Google), immer,
PostHog (EU-Instanz) und RevenueCat, nur nach erteilter Einwilligung (Abschnitt 3.8).

Klartext-HTTP ist in beiden Apps in jeder Build-Variante ausgeschlossen; der Zuwachs an Netzwerkzielen hat daran nichts geändert. Deine Nutzungsdaten sind durch die App-Sandbox-Trennung des Betriebssystems geschützt: andere Apps können sie nicht lesen. Der Abo-Status wird zusätzlich manipulationsgeschützt gespeichert (iOS: Keychain; Android: signiert mit einem im Android Keystore gehaltenen Schlüssel).

12. Nutzer im Vereinigten Königreich (UK)

Die App wird im Vereinigten Königreich nicht angeboten. Sie ist dort weder im Apple App Store noch bei Google Play zum Download oder Kauf verfügbar. Wir benennen deshalb keinen Vertreter im Sinne von Art. 27 UK GDPR. Ein etwaiger Besuch dieser Website aus dem Vereinigten Königreich fällt unter Abschnitt 13 (Server-Logs) und begründet kein Angebot der App.

13. Besuch unserer Website

Unsere Website wird auf einem von uns betriebenen Server der Hetzner Online GmbH (siehe Abschnitt 5) in der EU gehostet. Beim Aufruf verarbeitet der Server technisch notwendig die IP-Adresse deines Geräts sowie Datum und Uhrzeit des Abrufs, die abgerufene Datei, den User-Agent und die Referrer-URL (Server-Logs). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der sicheren und funktionsfähigen Bereitstellung der Website). Server-Logs werden nach spätestens 14 Tagen gelöscht oder anonymisiert.

Die Website verwendet keine Cookies, kein Tracking und keinen localStorage. Sie lädt keine Inhalte von Drittservern nach; Schriften und Medien liefert unser Server aus. Das bloße Aufrufen braucht keine Einwilligung nach § 25 Abs. 1 TDDDG.

Wenn du dich auf die Android-Warteliste setzt, speichern wir die von dir angegebene E-Mail-Adresse auf demselben Server, nur um dich einmal zu benachrichtigen, sobald die App bei Google Play erscheint. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch das Absenden). Die Adresse geht an niemanden sonst. Du kannst die Einwilligung jederzeit widerrufen, indem du an contact@pushgate.app schreibst; wir löschen den Eintrag dann, und sonst spätestens wenn die Benachrichtigung raus ist.

14. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert. Das Datum am Anfang zeigt den Stand der aktuellen Fassung.

Diese Erklärung liegt auch in einer englischen Fassung vor. Bei Abweichungen zwischen den Sprachfassungen ist die deutsche Fassung maßgeblich.