Datenschutz, einfach erklärt

Deine Privatsphäre ist der Grund, warum es Hidesay gibt.

Jede Nachricht wird direkt auf deinem Gerät verschlüsselt, bevor sie gesendet wird. Unsere Server erhalten nur bereits verschlüsselte Daten und besitzen nicht den privaten Schlüssel, der nötig wäre, um sie zu lesen.

Hidesay folgt einem ganz einfachen Grundsatz: Der Server soll so wenig wie möglich wissen. Er speichert nur die Informationen, die für den Betrieb des Dienstes unbedingt nötig sind, und nichts darüber hinaus.

Was der Server wissen muss

Damit Hidesay funktioniert, muss der Server einige technische Informationen verarbeiten.

Dein Konto

Wenn du ein Konto erstellst, wird eine zufällige Kennung erzeugt und du erhältst ein Zugangstoken.

Dieses Token ist die einzige Zugangsinformation, die nötig ist, um auf dein Konto zuzugreifen.

Der Server speichert das Token nie im Klartext. Er speichert ausschließlich einen mit Argon2id berechneten Hash, der genügt, um die Gültigkeit zu prüfen, aus dem sich das ursprüngliche Token aber nicht rekonstruieren lässt. In der Praxis kennen dein Token nur du und deine Geräte.

Wenn du dein Profil ausfüllst, speichert der Server außerdem:

deinen Benutzernamen und eventuelle weitere Benutzernamen;
Vorname, Nachname und Bio;
deinen öffentlichen PGP-Schlüssel und dessen Fingerabdruck;
Profilbild und Titelbild.

Der private Schlüssel dagegen verlässt dein Gerät nie.

Die Sitzungen

Damit du sehen kannst, welche Geräte mit deinem Konto verbunden sind, und sie jederzeit abmelden kannst, führt der Server eine Liste der aktiven Sitzungen.

Für jede Sitzung werden gespeichert:

der Hash des Sitzungstokens;
das Erstellungsdatum;
die letzte Nutzung;
das Ablaufdatum;
der Gerätename;
die Plattform;
die App-Version;
die Version des Betriebssystems.

Wenn du die Bestätigung in zwei Schritten aktivierst, speichert der Server nur die Informationen, die für die gewählte Methode unbedingt nötig sind:

das TOTP-Geheimnis, wenn du eine Authenticator-App nutzt;
oder den Hash des zusätzlichen Passworts;
oder die E-Mail-Adresse, wenn du die Codes per E-Mail erhalten möchtest.

Auch die Wiederherstellungscodes werden ausschließlich als Hash gespeichert.

Die Nachrichten

Nachrichten werden auf deinem Gerät verschlüsselt, noch bevor sie gesendet werden.

Der Server erhält nur:

die bereits mit OpenPGP verschlüsselte Nachricht;
die für die Zustellung unerlässlichen Metadaten (Absender, Empfänger oder Unterhaltung, Datum und Uhrzeit, eine eventuelle Antwort auf eine andere Nachricht);
die Informationen, die für Reaktionen, angeheftete Nachrichten und Aufrufe von Kanälen nötig sind.

Anhänge werden genauso behandelt: Sie kommen bereits verschlüsselt beim Server an, und der Server kann ihren Inhalt nicht lesen.

Gruppen und Unterhaltungen

Um Gruppen und Kanäle zu verwalten, muss der Server einige organisatorische Informationen kennen, zum Beispiel:

Mitglieder;
Rollen;
Berechtigungen;
eventuelle Einschränkungen oder Sperren;
Einladungen und Beitrittsanfragen;
archivierte, angeheftete oder stummgeschaltete Chats;
Ordner;
Lesezeichen für die Leseposition;
blockierte Nutzer;
eigene Namen, die Kontakten gegeben wurden.

Diese Informationen existieren ausschließlich, damit die App funktioniert.

Push-Benachrichtigungen

Für Benachrichtigungen nutzen wir Firebase Cloud Messaging (FCM).

Der Server speichert das FCM-Token deines Geräts, das ausschließlich nötig ist, um es zu erreichen, wenn eine neue Nachricht ankommt.

Wenn dir jemand schreibt, erhält Google den Inhalt der Nachricht nicht.

Über Firebase wird nur eine kleine, unsichtbare technische Benachrichtigung gesendet, die ausschließlich dazu dient, die App im Hintergrund zu wecken.

Diese Benachrichtigung enthält nicht:

den Text der Nachricht;
den Absender;
die Unterhaltung;
die Anhänge;
irgendeine Information, mit der sich der Inhalt der Kommunikation rekonstruieren ließe.

Wenn die App geweckt wird, verbindet sie sich direkt mit den Servern von Hidesay, lädt die bereits verschlüsselte Nachricht herunter, entschlüsselt sie ausschließlich auf deinem Gerät und zeigt erst dann die sichtbare Benachrichtigung an.

Mit anderen Worten: Der Inhalt deiner Unterhaltungen läuft nicht über Firebase.

Was nie auf unseren Servern ankommt

Es gibt Informationen, nach denen wir nicht fragen und die wir nie erhalten.

Dazu gehören:

Telefonnummer;
Adressbuch;
Standort;
Werbe-IDs;
biometrische Daten;
IP-Adressen.

Auch diese Informationen bleiben immer auf deinem Gerät:

dein privater OpenPGP-Schlüssel;
die Passphrase des Schlüssels;
die PIN der App;
eventuelle biometrische Daten, mit denen du sie entsperrst.

Wir haben auf keine dieser Informationen Zugriff.

Warum diese Daten nötig sind

Die Informationen, die der Server verarbeitet, dienen ausschließlich dazu:

dein Konto zu authentifizieren;
Nachrichten zuzustellen;
mehrere Geräte zu synchronisieren;
Gruppen und Kanäle zu verwalten;
dir Push-Benachrichtigungen zu senden;
dein Konto vor unbefugtem Zugriff zu schützen.

Wir nutzen deine Daten nicht für:

Werbung;
Profilbildung;
Marketing;
das Training von Modellen künstlicher Intelligenz.

Wir verkaufen, vermieten oder überlassen die Daten der Nutzer niemandem.

Wenn du etwas löschst, ist es wirklich gelöscht

Bei Hidesay gibt es kein "in der App gelöscht, aber auf dem Server aufbewahrt".

Wenn du etwas löschst, löscht auch der Server seine eigene Kopie.

Das gilt für:

für alle gelöschte Nachrichten;
Chats und Verläufe;
Gruppen und Kanäle;
Anhänge;
Profilbilder;
Titelbilder;
Reaktionen;
Einstellungen;
Ordner;
Blockierungen;
und alle anderen Daten, die mit deinem Konto verbunden sind.

Wir behalten keine versteckten Kopien oder durchsuchbaren Archive gelöschter Inhalte.

Die einzige Ausnahme betrifft, was bereits auf die Geräte anderer Nutzer heruntergeladen wurde. Wenn eine Nachricht bereits empfangen und auf dem Gerät des Empfängers gespeichert wurde, haben wir keine Möglichkeit, auf dieses Gerät zuzugreifen oder seinen Inhalt zu löschen.

Wie lange Daten gespeichert werden

Der Server speichert Daten nur so lange wie nötig.

Mit PGP verschlüsselte Nachrichten bleiben, bis sie gelöscht werden oder bis ein eventueller Selbstzerstörungs-Timer abläuft.
Sitzungen bleiben bis zur Abmeldung oder bis zu ihrem Ablauf.
Die vorübergehenden Codes der Bestätigung in zwei Schritten werden nach fehlgeschlagenen Anmeldungen nach wenigen Minuten automatisch gelöscht, nach erfolgreicher Anmeldung sofort.
Die Profilinformationen bleiben, solange du dein Konto behältst.

Löschen des Kontos

Du kannst dein Konto jederzeit selbst in der App löschen: Zugang und Sicherheit → Konto → Konto löschen. Du musst uns nicht schreiben und nicht warten, bis jemand eine Anfrage bearbeitet. Jeden Schritt findest du auf der Seite Konto löschen.

Zur Bestätigung verlangen wir das vollständige Zugangstoken, nicht nur die bereits auf dem Smartphone geöffnete Sitzung, und den zweiten Faktor, falls du einen aktiviert hast. Wiederherstellungscodes reichen nicht: Sie dienen dazu, wieder in ein Konto zu kommen, nicht dazu, es zu schließen.

Zwei verschiedene Wege, das Konto zu schließen

Wir fragen dich, was mit den Nachrichten geschehen soll, die du bereits gesendet hast, weil das Ergebnis für die Daten unterschiedlich ist.

Wenn du dich entscheidest, sie zu löschen, werden der Datensatz deines Kontos und alles, was damit verbunden ist, aus der Datenbank gelöscht, einschließlich der Nachrichten, die du in privaten Chats, Gruppen und Kanälen geschrieben hast. Ein privater Chat besteht aus zwei Personen: Wenn du auch die Nachrichten löschst, verschwindet auch die Kopie der anderen Person, denn eine halbe Unterhaltung kann es nicht geben.

Wenn du dich entscheidest, sie den Empfängern zu lassen, bleibt der Inhalt der Nachrichten für die Empfänger lesbar, dein Konto ist aber trotzdem nicht mehr identifizierbar: Name, Benutzername, Bio, Foto, öffentlicher Schlüssel, Token und zweiter Faktor werden gelöscht und durch eine zufällige Kennung ersetzt, die nicht auf dich zurückführt. Es ist kein "aufbewahrtes" Konto: Es ist ein anonymisiertes Profil, das den Lesern dieser Nachrichten als "Gelöschtes Konto" angezeigt wird und auf das niemand, auch du nicht, mehr zugreifen kann. Datenschutzrechtlich werden deine personenbezogenen Daten in jedem Fall gelöscht; es bleibt nur der Inhalt der Nachrichten, der auch zu den Daten der anderen Person gehört und nicht nur zu deinen.

Gruppen und Kanäle

Wenn du Gruppen oder Kanäle besitzt, schließt das Löschen des Kontos sie für alle Mitglieder, unabhängig davon, was du für die Nachrichten gewählt hast: Sie gehören dir und gehen nicht automatisch auf jemand anderen über. In Gruppen, in denen du nur Mitglied bist, entspricht das Löschen des Kontos dagegen einem Austritt: Die Gruppe besteht für die anderen weiter.

Was in jedem Fall entfernt wird

das Profil;
die Benutzernamen;
der öffentliche Schlüssel;
die hochgeladenen Bilder;
alle Sitzungen, auf jedem Gerät;
die Tokens für Push-Benachrichtigungen;
die Einstellungen;
die Mitgliedschaften in Gruppen und Kanälen;
alle anderen Daten, die mit deinem Konto verbunden sind.

Kopien von Nachrichten, die bereits auf die Geräte der anderen Teilnehmer heruntergeladen wurden, bleiben dagegen auf deren Geräten, weil wir keinen Zugriff auf die Geräte der Nutzer haben.

Die Löschung erfolgt sofort und endgültig: Das Token funktioniert ab dem Moment nicht mehr, in dem du bestätigst, und wir bewahren keine Backups auf, aus denen sich ein versehentlich geschlossenes Konto wiederherstellen ließe. Gerade weil die Löschung das Token erfordert, haben wir, wenn du es zusammen mit einem eventuellen zweiten Faktor verloren hast, keine technische Möglichkeit zu prüfen, ob das Konto dir gehört, und können es daher nicht auf schriftliche Anfrage an deiner Stelle löschen.

Deine Rechte

Wenn die DSGVO für dich gilt, kannst du jederzeit verlangen:

Auskunft über deine Daten;
ihre Berichtigung;
ihre Löschung;
die Einschränkung ihrer Verarbeitung;
Widerspruch gegen ihre Verarbeitung;
ihre Herausgabe in einem übertragbaren Format.

Wir können dir alles zur Verfügung stellen, was auf unseren Servern vorhanden ist. Nachrichten können wir dir nur in der verschlüsselten Fassung übergeben, weil sie nur in dieser Form auf unseren Systemen existieren.

Schreib an [email protected], um eines dieser Rechte auszuüben. Du hast außerdem das Recht, bei der Aufsichtsbehörde deines Landes Beschwerde einzulegen; in Italien ist das der Garante per la protezione dei dati personali.

Kurz gesagt

Hidesay ist darauf ausgelegt, so wenig wie möglich zu wissen.

Deine Nachrichten werden verschlüsselt, bevor sie dein Gerät verlassen.

Dein privater Schlüssel wird nie übertragen.

Dein Zugangstoken wird nie im Klartext gespeichert.

Firebase sieht den Inhalt deiner Unterhaltungen nicht.

Und wenn du etwas löschst, wird es auch auf unseren Servern gelöscht.

Siehe auch die Nutzungsbedingungen und die Seite zum Sicherheitsmodell.

Datenschutzerklärung