Datenschutz

Stand: Oktober 2026

Verantwortlicher

Christoph Schemel, Bürkleinstraße 17, 80538 München, contact@vitally-app.com

Was wir speichern

Wenn ihr einen Planer anlegt: eure Namen, den Tag der Feier und die Angaben zu Ablauf und Einladung, ein Foto, falls ihr eines hochladet, sowie das Passwort als nicht umkehrbaren Hash. Dazu die Gästeliste, die ihr eintragt: Namen, Gruppe, E-Mail-Adresse und Handynummer (sofern ihr sie eintragt), Einladungs- und Antwortstand, Menüwahl, Notizen und To-dos, außerdem ein Verlauf der Änderungen.

Euer Konto (Gastgeber): E-Mail-Adresse und Passwort (nur als nicht umkehrbarer Hash), die Liste eurer Feiern, die ihr auf Geräten mit diesem Konto geöffnet habt, gemerkte Einladungen sowie angefangene Fragebögen (Entwürfe). Wenn ihr „Passwort vergessen“ wählt, schicken wir euch über den Mailserver unseres Hosters einen Link, der eine Stunde gültig ist.

Wenn ihr als Gast antwortet: eure Zusage oder Absage, die Menüwahl und die Notiz, die ihr eingebt. Bitte tragt in die Notiz nur ein, was die Gastgeber wissen sollen – etwa Allergien.

Gästelinks: Jeder Gast bekommt einen persönlichen Link. Wer diesen Link hat, sieht die Einladung sowie Name, Antwort, Menüwahl und Notiz dieses einen Gastes und kann die Antwort ändern – ein Passwort ist dafür nicht nötig. Teilt den Link deshalb nur mit dem Gast selbst.

Gästefotos: Gäste können über ihren Gästelink Fotos hochladen, wahlweise gleich für alle Gäste oder erst für die Gastgeber, die sie dann freigeben können; die Gastgeber können eigene Fotos über den Planer hochladen. Gespeichert werden das Foto im Original und zwei verkleinerte Vorschaubilder, dazu der Zeitpunkt, für wen es sichtbar ist und wer es hochgeladen hat. Bei Fotos für alle Gäste steht am Album der Name der Person, die sie hochgeladen hat (bei älteren Fotos, die über einen gemeinsam geschickten Link kamen, die Namen aller, die dieser Link anspricht), so wie die Gastgeber ihn in der Gästeliste eingetragen haben – darauf weist die Seite beim Hochladen hin; Fotos, die vor diesem Hinweis hochgeladen wurden, zeigen den Namen nur den Gastgebern. Standortangaben (GPS) entfernt die App vor dem Hochladen aus den Bilddaten; andere Aufnahmedaten wie Zeitpunkt und Kamera können im Original erhalten bleiben, das Bild selbst bleibt unverändert. Fotos „für alle“ sehen und laden alle Gäste, die die Nachricht mit den Fotos bekommen und ihr Gerät freigeschaltet haben (siehe „Zugang zu den Fotos“); Fotos, die (noch) nicht für alle freigegeben sind, sehen nur die Gastgeber und wer sie hochgeladen hat. Beim Hochladen und Ansehen verbindet sich euer Gerät direkt mit dem Speicher von Hetzner (siehe unten); Hetzner verarbeitet dabei technisch notwendige Verbindungsdaten wie die IP-Adresse. Die Gastgeber können Fotos freigeben, zurückziehen oder löschen, Gäste ihre eigenen Fotos umstellen oder löschen. Wer hochlädt, kann Fotos freiwillig in selbst benannte Ordner einsortieren; einen Ordnernamen sehen die Gastgeber und alle, die Fotos darin sehen. Mit ♡ kann sich jede Person Fotos merken; gespeichert wird je Gästelink, Planer-Mitglied bzw. Fotografen-Link nur, welche Fotos gemerkt sind – sehen kann das nur die Person selbst. Dafür speichern wir je Gästelink, Planer-Mitglied bzw. Fotografen-Link auch, welche Fotos heruntergeladen wurden. Wie viele Personen ein Foto gemerkt oder heruntergeladen haben (je Person einmal), fließt ohne Namen in „Oft gemerkt/heruntergeladen“ ein – nur bei Fotos, die alle Gäste sehen, und erst, wenn mindestens zwei andere es gemerkt oder heruntergeladen haben; das gilt auch für schon gemerkte Fotos. Auch ein Fotograf kann über einen eigenen Link der Gastgeber Fotos hochladen, ebenfalls gleich für alle Gäste oder erst für die Gastgeber (gespeichert wird dabei auch der Dateiname, damit schon Hochgeladenes nicht doppelt hochgeht). Bitte ladet nur Fotos hoch, mit deren Weitergabe die Abgebildeten einverstanden sind. Zuschnitte: Die Gastgeber und wer ein Foto hochgeladen hat, können davon zugeschnittene Fassungen speichern. Das Original bleibt unverändert; ein Zuschnitt ist für dieselben Personen sichtbar wie sein Original und wird mit ihm gelöscht.

Anmeldung per Link: Die Gastgeber können einen Anmeldelink (auch als QR-Code) teilen. Wer sich darüber anmeldet, gibt Namen und E-Mail-Adresse oder Handynummer an; beides sehen die Gastgeber und entscheiden, ob sie die Person in die Gästeliste aufnehmen. Vor dieser Entscheidung schicken wir nichts an den angegebenen Kontakt. Nach der Aufnahme geht ein Code an genau diesen Kontakt – erst mit ihm gibt es den persönlichen Gästelink. Anfragen (auch abgelehnte) löschen wir nach 30 Tagen; wer aufgenommen ist, steht in der Gästeliste. Zum Schutz vor Missbrauch zählen wir Anfragen je IP-Adresse als nicht umkehrbaren Hashwert höchstens eine Stunde lang. Rechtsgrundlage ist das berechtigte Interesse der Gastgeber, ihre Gäste selbst zu verwalten (Art. 6 Abs. 1 lit. f DSGVO).

Zugang zu den Fotos: Die Fotos sieht und lädt nur hoch, wer sein Gerät mit einem Code freigeschaltet hat. Den sechsstelligen Code fordert man auf der Seite an; er geht an die E-Mail-Adresse, die die Gastgeber für diese Person in der Gästeliste hinterlegt haben, auf Wunsch per SMS an die dort hinterlegte Handynummer (beim Fotografen: an den Kontakt, den die Gastgeber für ihn hinterlegen). Ist nur eine Handynummer hinterlegt, kann die Person ihre E-Mail-Adresse eintragen: Der Code geht dann an diese Adresse und beim ersten Mal zusätzlich per SMS an die hinterlegte Nummer; sind beide Codes richtig, wird die Adresse in die Gästeliste übernommen (die Gastgeber sehen sie dort), und weitere Codes gehen an sie. Ohne hinterlegten Kontakt gibt es keinen Code. E-Mails verschicken wir über den Mailserver unseres Hosters, SMS über die seven communications GmbH & Co. KG, Willestr. 4-6, 24103 Kiel, die dafür nur die Handynummer und den Text der SMS erhält und in unserem Auftrag handelt (Art. 28 DSGVO). Gespeichert werden je Person der Code als nicht umkehrbarer Hash (10 Minuten gültig), die Zeitpunkte der Anforderungen (um Missbrauch zu begrenzen) und je freigeschaltetem Gerät ein zufälliger Schlüssel – bei uns nur als Hash, mit dem Zeitpunkt der Freischaltung und einem Hash des Kontakts, an den der Code ging. Das Gerät merkt sich die Freischaltung, bis man sich abmeldet oder die Fotos gelöscht werden. Die Gastgeber sehen, für wen wie viele Geräte freigeschaltet sind, und können sie zurücksetzen; ein Gerät gilt, solange der Kontakt, an den sein Code ging, für diese Person hinterlegt ist – ändern oder entfernen die Gastgeber ihn, gilt es nicht mehr; ein zusätzlich eingetragener Kontakt ändert nichts.

Nachrichten per E-Mail: Die Gastgeber können Nachrichten (etwa den Dank mit dem Link zu den Fotos) per E-Mail an Gäste schicken, deren E-Mail-Adresse in der Gästeliste steht. Wir verschicken sie in ihrem Auftrag über den Mailserver unseres Hosters – je Gast eine eigene Mail mit dem persönlichen Link, oben die Karte der Nachricht als Bild; Antworten gehen an die E-Mail-Adresse des Kontos, von dem aus gesendet wurde. Bevor das erste Mal an alle gesendet wird, bestätigen die Gastgeber ihre Kontoadresse mit einem Code aus einer Probe-Mail. Gespeichert werden je Versand Zeitpunkt, Stand (angenommen oder fehlgeschlagen) und ein nicht umkehrbarer Hash der Empfängeradresse, dazu Text und Kartenbild der Nachricht; das alles wird mit dem Planer gelöscht. Um Missbrauch zu begrenzen, zählen wir die Mails je Planer und Tag. Ob eine E-Mail geöffnet wird, messen wir nicht (kein Zählpixel).

E-Mail-Adresse selbst eintragen: Gäste können direkt nach der Freischaltung ihres Geräts für die Fotos ihre E-Mail-Adresse eintragen; sie wird mit einem Code an diese Adresse bestätigt. Danach gehen Nachrichten und Codes an diese Adresse; sie ersetzt eine bisher eingetragene, und die Gastgeber sehen sie in der Gästeliste. Später eingetragene Adressen dienen nur der Benachrichtigung bei neuen Fotos (siehe nächster Absatz); sie kommen nicht in die Gästeliste, und die Gastgeber sehen sie nicht.

Benachrichtigung per E-Mail bei neuen Fotos: Auf der Fotoseite können Gäste sich benachrichtigen lassen, wenn neue Fotos dazukommen – an die Adresse aus der Gästeliste oder an eine selbst eingetragene, die mit einem Code an sie bestätigt wird. Die Mail kommt höchstens einmal am Tag und nur, wenn es seit der letzten neue, für Gäste freigegebene Fotos gibt; sie nennt deren Anzahl, die Zahl der Personen, von denen sie stammen (ohne Namen), den Link zu den Fotos und den Löschtag. Dafür speichern wir die Adresse, wann die Benachrichtigung eingeschaltet wurde und wann zuletzt eine Mail ging, sowie je Foto, wann es für Gäste sichtbar wurde. Abbestellen geht jederzeit über den Link in jeder Mail, direkt im Mailprogramm oder auf der Fotoseite; dann löschen wir die Adresse sofort. Sonst wird alles mit den Fotos gelöscht (Löschtag oder Löschen des Planers); ändern die Gastgeber die E-Mail-Adresse einer Person in der Gästeliste, endet eine Benachrichtigung an die bisherige Listenadresse. Lehnt der Mailserver eine Adresse an drei Tagen ab, endet die Benachrichtigung ebenfalls. Jede verschickte Benachrichtigung vermerken wir mit Zeitpunkt, Ergebnis und gekürzter Adresse im Versandprotokoll (die letzten 500 Versandvorgänge), um Zustellprobleme nachweisen zu können. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (eine von euch angeforderte Leistung).

Link an den Computer: Auf dem Handy können sich Gäste einen Link zu den Fotos per E-Mail schicken, um ihn am Computer zu öffnen. An die Adresse aus der Gästeliste geht der persönliche Gästelink; an eine selbst eingegebene Adresse geht ein Link nur zu den Fotos – für ihn braucht es am Computer wie gewohnt einen Code an die Handynummer oder E-Mail-Adresse aus der Gästeliste. Von diesem Link speichern wir nur einen nicht umkehrbaren Hashwert, längstens bis zum Löschtag der Fotos. Die eingegebene Adresse verwenden wir nur für diese eine Mail und übernehmen sie nicht in die Gästeliste; zum Schutz vor Missbrauch speichern wir sie höchstens 24 Stunden als nicht umkehrbaren Hashwert und gekürzt im Versandprotokoll.

Zählung ohne Namen: Wir zählen, wie viele Haushalte eine Einladung oder Nachricht geöffnet haben (gezählt wird, wenn die Seite geladen wird – auch über den Link in einer E-Mail oder SMS) und wie viele dort auf Route, Parken oder Hotel getippt haben. Dafür speichern wir je Einladung bzw. Nachricht einen nicht umkehrbaren Hashwert je Haushalt – keine Uhrzeit, keine IP. Die Vorschau der Gastgeber zählt nicht. Die Gastgeber sehen daraus und aus den ohnehin gespeicherten Angaben (Freischaltungen, Hochladen, Herunterladen, Merken) nur Zahlen ohne Namen – in Zweierschritten (etwa „3–4“), erst ab drei und nicht, wenn fast alle oder fast niemand etwas getan haben; bei weniger als sechs Empfängern gar keine. Die Zählung wird mit dem Planer gelöscht (Art. 6 Abs. 1 lit. f DSGVO – das Interesse der Gastgeber zu sehen, ob ihre Nachrichten ankommen).

Missbrauchsschutz: Beim Anlegen eines Planers, bei falsch eingegebenen Passwörtern und beim Anfordern von Foto-Codes speichern wir eure IP-Adresse als nicht umkehrbaren Hashwert – höchstens eine Stunde lang –, um Massenanlagen, das Durchprobieren von Passwörtern und massenhafte Code-Anforderungen zu begrenzen (Art. 6 Abs. 1 lit. f DSGVO).

Beim Aufruf der Seite verarbeitet unser Hoster technisch notwendige Verbindungsdaten (IP-Adresse, Zeitpunkt, aufgerufene Adresse) in Server-Protokollen.

Wozu und auf welcher Grundlage

Die Daten dienen allein dazu, euch Konto und Planer bereitzustellen und euren Gästen das Antworten zu ermöglichen (Art. 6 Abs. 1 lit. b DSGVO gegenüber den Gastgebern; Art. 6 Abs. 1 lit. f DSGVO gegenüber den Gästen – das berechtigte Interesse ist die Organisation der Feier, zu der sie eingeladen sind). Notizen mit Gesundheitsangaben wie Allergien gebt ihr freiwillig an (Art. 9 Abs. 2 lit. a DSGVO). Das Teilen der Gästefotos beruht auf Art. 6 Abs. 1 lit. f DSGVO – dem Interesse der Feiernden, Fotos ihres Festes miteinander zu teilen. Die Server-Protokolle dienen der Sicherheit des Betriebs (Art. 6 Abs. 1 lit. f DSGVO).

Ortssuche

Wenn ihr beim Ablauf einen Ort eintippt, schlagen wir passende Orte vor. Dafür schickt unser Server den eingetippten Suchtext an Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; Places API). Eure IP-Adresse und eure Planerdaten erhält Google dabei nicht. Google kann Daten in die USA übermitteln; Google ist unter dem EU-US Data Privacy Framework zertifiziert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO – das Interesse, Adressen schnell und richtig einzutragen. Wer das nicht möchte, tippt die Adresse einfach selbst ein.

Was wir nicht tun

Keine Werbung, kein Tracking über andere Seiten hinweg, keine Analysedienste Dritter (zur eigenen Zählung ohne Namen siehe oben), keine Weitergabe an Dritte außer der oben beschriebenen Ortssuche. Schriften liegen auf unserem eigenen Server; Gästefotos und den SMS-Versand übernehmen Auftragsverarbeiter (siehe oben und unten).

Wo die Daten liegen

Auf Servern der ALL-INKL.COM – Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf, in Deutschland. Die Gästefotos liegen im Speicher der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, im Rechenzentrum Falkenstein in Deutschland; Hetzner verarbeitet sie in unserem Auftrag (Art. 28 DSGVO). Auf eurem Gerät speichert der Browser bzw. die App eure Anmeldung und eine Kopie des zuletzt geladenen Planers, damit er auch ohne Netz öffnet. Beim Abmelden wird beides vom Gerät gelöscht. Gäste-Einladungen, die ihr geöffnet habt, merkt sich das Gerät, damit ihr sie wiederfindet, ebenso eine Freischaltung für die Fotos.

Wie lange

Bis ihr den Planer löscht – im Tab „Orga“ unter „Planer löschen“ – bzw. euer Konto auf der Startseite unter „Konto löschen“. Gelöschte Planer und Konten bewahren wir zum Schutz vor versehentlichem Löschen noch 30 Tage in einer gesperrten Ablage auf und entfernen sie dann endgültig; außerdem gibt es eine tägliche Sicherung jedes Planers, die ebenfalls nach 30 Tagen gelöscht wird. Server-Protokolle werden nur kurzzeitig zur Absicherung des Betriebs vorgehalten. Gästefotos werden 90 Tage nach dem Tag der Feier automatisch gelöscht (oder an einem anderen Tag zwischen 30 und 180 Tagen danach, den die Gastgeber wählen; den Löschtag sieht, wer die Fotos sieht), frühestens aber 30 Tage nach dem Anlegen des Planers; bei einem gelöschten Planer spätestens mit dessen endgültiger Löschung; ein einzelnes Foto verschwindet sofort, wenn es gelöscht wird. Mit den Fotos werden auch die Freischaltungen und der hinterlegte Kontakt des Fotografen gelöscht.

Eure Rechte

Ihr habt das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO). Schreibt dazu an contact@vitally-app.com. Außerdem könnt ihr euch bei einer Datenschutz-Aufsichtsbehörde beschweren, etwa beim Bayerischen Landesamt für Datenschutzaufsicht.