Stand: 3. November 2026. Diese Hinweise beschreiben Community und Hosted Team 1.0 für Android, Linux und die zugehörigen Browserfunktionen. Angaben zu Hosted gelten bei Nutzung des jeweiligen Dienstes.
1. Verantwortlichkeit und Kontakt
Verantwortlich für die nachfolgend genannten eigenen Verarbeitungen ist schukai, Postanschrift Eichenstraße 26, 82290 Landsberied, Deutschland. Kontakt für Datenschutz, Support und Sicherheitsmeldungen: hey@schukai.com. Vollständige Angaben zum Rechtsträger stehen im Impressum. Bitte senden Sie keine echten Zugangsdaten, privaten Schlüssel oder Nutzinhalte in einer gewöhnlichen Support- oder Sicherheitsmeldung.
Für die eigene Vertragsabwicklung, Berechtigungsprüfung und erforderliche Dienstsicherheit ist schukai Verantwortlicher. Für weisungsgebundene Hosted-Inhalte und zugehörige Organisationsprozesse handelt schukai im vereinbarten Auftragsumfang als Auftragsverarbeiter der Organisation. Diese bestimmt die Inhaltszwecke und ihre Rechtsgrundlagen; dies gilt auch für Browserabsender ohne Konto oder App. Eigene Zwecke von Storebetreibern und externen Empfängern sind davon getrennt.
2. Lokale Nutzung und Geräteberechtigungen
Community dient dem verschlüsselten lokalen Transfer zwischen gekoppelten Geräten. Hierfür wird kein Hosted-Benutzerkonto benötigt. Lokal verarbeitet die App insbesondere übertragene Inhalte, Geräte- und Organisationskennungen, öffentliche und private Schlüssel, Kopplungen, Richtlinien, Ablaufzeiten sowie Nachweise gegen die erneute Ausgabe bereits verwendeter Nachrichten.
QR-Kamerabilder werden zum Scannen auf dem Gerät ausgewertet. Kamera- und Bluetooth-Zugriffe benötigen die jeweiligen Betriebssystemfreigaben. Auf älteren Android-Versionen kann für die Bluetooth-Gerätesuche eine Standortberechtigung erforderlich sein; sie ist keine Zusage einer Standorterfassung durch schukai. Die App besitzt für Hosted-Funktionen eine Internetberechtigung. Aus ihr folgt nicht, dass ein lokaler Community-Transfer über schukai geleitet wird.
Lokale Daten liegen im privaten App-Speicher beziehungsweise Schlüsselspeicher des Geräts. Die Android-App schließt ihre Daten von Android-Systembackup und Geräteübertragung aus. Selbst erstellte Exporte und Sicherungen liegen in Ihrer Verantwortung. Die lokale Einmal-Eingabe hält Inhalte vorübergehend im Speicher. Eine alternativ genutzte Zwischenablage kann von anderen Anwendungen oder Gerätediensten gelesen werden; eine spätere Löschung ruft solche Kopien nicht zurück. Auch Tastaturen können eingegebene Aktivierungscodes selbst verarbeiten.
Die Android-Geräteentsperrung verwendet die Betriebssystemauthentifizierung, etwa starke Biometrie oder die Gerätesperre. schukai erhält dabei keine Fingerabdruck- oder Gesichtsvorlagen. Der optionale WithinCells-Eingabedienst setzt freigegebene Inhalte in das vom Nutzer gewählte Zielfeld ein. Die Zielanwendung kann diese anschließend speichern oder weiterverarbeiten.
Bei einer Kopie plant Android den Löschversuch nach spätestens 20 Sekunden oder früherem Nachrichtenablauf. Betriebssystembeschränkungen können den Zugriff im Hintergrund verhindern; der Versuch bleibt dann bis zur erneuten Fokusfreigabe ausstehend. Dies garantiert keine Löschung aus fremden Apps, Verlaufsspeichern oder bereits synchronisierten Zwischenablagen.
Das lokale Geräteprotokoll hält einen begrenzten Verlauf technischer Vorgänge. Es ist keine vollständige serverseitige Auskunft.
3. Hosted Team und Browser
Bei aktivierter Hosted-Nutzung werden verschlüsselte Nachrichten und Vorlagen sowie technische Metadaten an den angezeigten HTTPS-Dienst übertragen. Dazu gehören pseudonyme Organisations- und Gerätekennungen, öffentliche Schlüssel, Mitgliedschaft und Rollen, Berechtigungsstatus, Zeitpunkte, Größen, Versionen, Zustellzustände sowie digestsbasierte Einmal- und Wiederholungsschutznachweise. Beim Verbindungsaufbau fällt außerdem die IP-Adresse technisch an. Zur Missbrauchsbegrenzung verarbeitet der Server IPv4-Adressen beziehungsweise IPv6-/64-Netzpräfixe in kurzlebigen, auf Minutenfenster begrenzten Zählern im Arbeitsspeicher.
Nutzinhalte werden auf den beteiligten Geräten beziehungsweise im Browser verschlüsselt und entschlüsselt. Der Dienst erhält keine Inhaltsklartexte oder privaten Inhaltsschlüssel. Diese Verschlüsselung schützt nicht vor einem kompromittierten Endgerät, einer berechtigten Person, an die Sie Daten freigeben, oder einem manipulierten Browserprogramm. Wer die Browseroberfläche ausliefert, ist deshalb Teil der Vertrauensgrenze. Private Wiederherstellungspakete bleiben beim Nutzer; serverseitige Nachweise ermöglichen keine Wiedergewinnung verlorener privater Schlüssel durch schukai.
Domain-Funktionen verarbeiten den angegebenen Domainnamen, DNS-Prüfnachweise, Prüfzeitpunkte und deren Gültigkeit. Freigabelinks können eine geheime Berechtigung im URL-Fragment enthalten. Geben Sie solche vollständigen Links nur an vorgesehene Empfänger weiter; sie gehören nicht in Supportmeldungen oder öffentliche Seiten.
4. E-Mail und Webhooks
Nur bei entsprechender Konfiguration verarbeitet der Dienst Empfängeradressen und Zustellmetadaten für Benachrichtigungen beziehungsweise das konfigurierte Webhook-Ziel und dessen verschlüsseltes Zugangsgeheimnis. Benachrichtigungen enthalten keine Inhaltsklartexte, geheimen Freigabelinks oder Inhaltsschlüssel. Der Nutzer teilt einen benötigten vollständigen Freigabelink getrennt.
Die Benachrichtigung läuft über einen Adapter des Hosted-Dienstes und den von schukai betriebenen Mailgateway in Landsberied an den Maildienst des angegebenen Empfängers. Der Empfänger-Maildienst verarbeitet die Nachricht in eigener Zuständigkeit beziehungsweise nach den Vereinbarungen seiner Organisation. Im schukai-Mailgateway beträgt die konfigurierte maximale Queue-Laufzeit fünf Tage, auch für Rückläufer. Mailprotokolle werden wöchentlich rotiert; vier Archivstände bleiben neben der laufenden Datei erhalten. Dies beschreibt die konfigurierte Regel, nicht den Nachweis eines bereits ausgeführten Löschlaufs.
Die Fristen und Backupausschlüsse des Hosted-Dienstes gelten nicht automatisch für Gatewayprotokolle, Gateway-Sicherungen oder Empfängersysteme. Insbesondere können Gateway-Sicherungen Zustellmetadaten enthalten. Aus einer Löschung der Anwendungs-Empfängerzeile folgt daher keine Löschung aller Mailkopien. Empfänger bewahren empfangene Nachrichten nach ihren eigenen Regeln auf.
5. Kaufprüfung und kostenlose Reviewrechte
Bei Android-Käufen verarbeitet Google Play Zahlungs- und Kontodaten nach seinen eigenen Bedingungen. schukai erhält keine Zahlungskartendaten. Die App übermittelt den Kaufnachweis über TLS an den Berechtigungsdienst; dieser prüft ihn bei Google für die passende App, Organisation, Produktkennung und aktuelle Gültigkeit. Kaufnachweise sind von Mitgliedschaft und Inhaltsschlüsseln getrennt.
Der rohe Kauf-Token wird nicht als unverschlüsselter Datenbankwert gespeichert oder in URLs, Protokolle, Exporte und QR-Codes geschrieben. Für eine ausstehende Bestätigung kann ein getrennt verschlüsselter Wiederholungsdatensatz höchstens 24 Stunden ab seiner Erstellung bestehen; er wird nicht gesichert. Dauerhaft verarbeitet der Dienst nur benötigte korrelierende Digests und geprüfte Status-, Laufzeit- und Zuordnungsdaten. Direktbestellungen können zusätzlich die außerhalb der App für Bestellung, Rechnung und Vertragsabwicklung erforderlichen Daten auslösen; diese werden nur für die Vertragsabwicklung und gesetzlich erforderliche Aufbewahrung verwendet.
Wiederverwendbare Reviewcodes gewähren gesonderte unentgeltliche Rechte, keinen Kauf und keinen Verbrauchertestzeitraum. Jede neue Installation aktiviert eine eigene isolierte Revieworganisation. Der Dienst speichert Code-Digest, Gültigkeit, Widerruf, Organisationslimit und ursprüngliche Gerätezuordnung, keinen rohen Reviewcode oder privaten Geräteschlüssel.
Zusätzlich bleibt eine minimale Kaufprovenienz für die Lebensdauer der Organisation gespeichert: Token-HMAC, Organisationskennung, Kaufklasse (bezahlt oder Google-Testkauf), erster Prüfzeitpunkt und gegebenenfalls Testfensterreferenz. Sie verhindert die erneute Zuordnung bereinigter Käufe und die Umdeutung von Testkäufen in bezahlte Rechte. Sie enthält keine rohen Kauftokens, Bestellnummern oder vollständigen Google-Antworten. Testfenster enthalten außerdem die genaue Organisationskennung, Produktumfang und Ausgabe-, End- und Schließzeitpunkt. Für diese Datensätze besteht kein automatischer Löschlauf; sie werden nicht von der 30-Tage-Kaufbereinigung erfasst.
6. Speicherfristen und Sicherungen
Lokale App-Daten bleiben bis zur Entfernung in der App, zum Löschen des App-Speichers oder zur Deinstallation gespeichert. Unter Android können Sie Einstellungen → Apps → WithinCells → Speicher und Cache → Speicherinhalt löschen verwenden. Selbst angelegte Exporte oder Sicherungen werden dadurch nicht gelöscht. Der lokale Löschweg entfernt keine Daten des Hosted-Dienstes.
Die folgenden Fristen beschreiben die Lebenszyklen der Anwendung. Ablauf und Widerruf von Rechten sind von der tatsächlichen Löschung gespeicherter Daten zu unterscheiden. Eine Störung der Wartung kann die physische Bereinigung verzögern; daraus entsteht kein zusätzlicher Verarbeitungszweck.
| Daten | Lebenszyklus |
|---|---|
| Relay-Nutzdaten | Löschen bei terminalem Zustand oder Ablauf; kein Backup und keine WAL-Archivierung |
| Inhaltsfreie Relay-Nachweise | Sieben Tage |
| Benachrichtigungszustellung | Sieben Tage nach Abschluss; offene Zustellungen bleiben ihrem Lebenszyklus zugeordnet |
| E-Mail-Empfänger | Verschlüsselt während aktivierter Nutzung; beim Leeren sofort; bei Abschaltung/Abschluss ohne Versuch sofort, andernfalls 24 Stunden nach dem letzten Versuch; kein Backup |
| Verschlüsselter Play-Wiederholungsdatensatz | Bestätigung oder spätestens 24 Stunden ab Erstellung; kein Backup; spätere Prüfungen verlängern diese Frist nicht |
| Play-Ereignis-Digests | 30 Tage nach Eingang, einschließlich ignorierter Ereignisse |
| Frühere Play-Kaufzuordnung | 30 Tage nach terminalem Ablauf, sobald sie nicht mehr die aktuelle Kaufkette ist und kein Ereignis darauf verweist; aktuelle Kaufzuordnung solange die Berechtigung besteht |
| DNS-Prüfnachweise | Konfigurierte Gültigkeit zuzüglich 30 Tage |
| Wiederherstellungscode-Digest | 30 Tage nach Einlösung oder Ablauf; bei noch ausstehender Organisationsrotation bleibt ein eingelöster Nachweis erhalten |
| Technischer Antwortspeicher für Wiederholungsanfragen | 24 Stunden; nicht im Backup |
| Signierte Anfrage-Nonce-Digests | Bis eine Sekunde nach dem zulässigen Signaturzeitfenster; unter den dokumentierten Uhrgrenzen höchstens 8 Minuten und 1 Sekunde ab Datenbankannahme |
| Nicht abgeschlossene Vorlagenreservierung | 15 Minuten |
| Gelöschte Vorlagen: Wiederholungsschutz | 24 Stunden; Vorlageninhalt wird beim Löschen entfernt |
| Organisation, Geräte, Vorlagen, Konfiguration und Wiederherstellungsbelege | Dauerhafte Control-Daten; Reparatur-/Widerrufsbelege sind an Organisation beziehungsweise Gerät gebunden. Keine automatische organisationsweite Löschung in dieser Version; Auskunft und Löschung über den unten beschriebenen Kontaktweg |
| Reviewgrant und Reviewzuordnung | Keine automatische Zeilenlöschung in v1; Ablauf/Widerruf beendet Rechte, löscht Metadaten jedoch nicht. Nur für die Zuordnung des unentgeltlichen Zugangs und Missbrauchsschutz; Löschung über den unten beschriebenen Kontaktweg |
Auskunft und Löschung können Sie unter hey@schukai.com mit dem Betreff „WithinCells Datenschutz“ anfragen. Nennen Sie nur die zur Zuordnung benötigten Angaben; senden Sie keine privaten Schlüssel oder vollständigen geheimen Links. Für Auftragsdaten wird die Berechtigung mit der verantwortlichen Organisation geklärt. Die App besitzt derzeit keine automatische organisationsweite Serverlöschung. Deinstallation, Abonnementkündigung, Reviewwiderruf und Testfensterschließung ersetzen keine Datenlöschung. Dauerhafte Datensätze werden nur aufbewahrt, solange dies für die genannten Zwecke oder gesetzliche Pflichten erforderlich ist. Einen darüber hinausgehenden unbegrenzten Aufbewahrungszweck begründet die technische Speicherung nicht.
Für den geplanten Betriebsbeginn ist die Einrichtung und Prüfung produktiver Control-Sicherungen auf die Zeit nach dem Release verschoben. Die dokumentierte Betreiberausnahme gilt von 2026-10-27T22:14:10Z bis ausschließlich 2026-11-10T22:14:10Z. Bis zur Einrichtung und Prüfung wird keine verfügbare oder wiederherstellbare Control-Sicherung zugesagt; ein Verlust dauerhafter Control-Daten kann endgültig sein. Das Ende der Ausnahme belegt keine eingerichtete Sicherung.
Geplant sind getrennte verschlüsselte Sicherungen von Control-Daten, darunter verschlüsselte Vorlagen und technische Berechtigungsnachweise. Relay-Inhalte, rohe Kauf-Token, Inhaltsschlüssel, transiente Empfänger und Wiederholungsdaten gehören nicht in dieses geplante Backup. Eine produktive Control-Sicherung ist in diesem Stand nicht als verfügbar beschrieben. Vor ihrer Aktivierung werden Anbieter, Ort und Aufbewahrung in einer aktualisierten Information genannt. Eine Sicherung kann spätere Löschungen oder Widerrufe nicht nachträglich enthalten; vor erneutem Betrieb müssen diese abgeglichen werden. Es wird keine Wiederherstellung verlorener Relay-Inhalte oder verlorener privater Inhaltsschlüssel versprochen.
7. Empfänger, Rechtsgrundlagen und Rechte
Für das Hosting ist DigitalOcean, LLC mit Serverregion Frankfurt (fra1) vorgesehen. Der Dienst verarbeitet die oben beschriebenen verschlüsselten Hosted-Inhalte und Betriebsmetadaten. Die Mailkette ist in Abschnitt 4 beschrieben. Google Play verarbeitet Kauf- und Storeinformationen für seine eigenen Zwecke; von der Organisation benannte Empfänger und Webhook-Betreiber können Daten erhalten. Ein deutscher Serverstandort schließt Zugriffe außerhalb des EWR nicht aus. Solche Übermittlungen dürfen nur auf Grundlage der Voraussetzungen des Kapitels V DSGVO erfolgen, etwa eines anwendbaren Angemessenheitsbeschlusses oder Standardvertragsklauseln mit erforderlichen ergänzenden Maßnahmen. Auskunft über die für eine konkrete Übermittlung eingesetzten Garantien und eine Kopie erhalten Sie über hey@schukai.com.
| Zweck in eigener Verantwortung | Rechtsgrundlage und Bereitstellung |
|---|---|
| Angebot, Direktvertrag und Support eines eigenen Vertragspartners | Art. 6 Abs. 1 Buchst. b DSGVO; die zur Bearbeitung erforderlichen Kontakt-/Vertragsdaten sind notwendig. Ohne sie können wir die konkrete Bestellung oder Anfrage nicht bearbeiten. |
| Berufliche Kontaktpersonen und Geräte-/Kaufzuordnung ohne eigenen Vertrag der betroffenen Person | Art. 6 Abs. 1 Buchst. f DSGVO; Interesse an berechtigter Leistungserbringung, Zuordnung und Missbrauchsabwehr. Nur erforderliche Metadaten; keine Nutzung für Werbung oder Profilbildung. |
| Gesetzlich vorgeschriebene Rechnungs-/Vertragsaufbewahrung | Art. 6 Abs. 1 Buchst. c DSGVO zusammen mit der tatsächlich einschlägigen Aufbewahrungsnorm; Buchungsbelege regelmäßig acht, Geschäftsbriefe sechs Jahre; Fristbeginn zum Ende des maßgeblichen Kalenderjahrs, gegebenenfalls gesetzliche Verlängerung. |
| Eigene Dienstsicherheit und Missbrauchsschutz | Art. 6 Abs. 1 Buchst. f DSGVO; Interesse am Schutz von Nutzern, Dienst und Berechtigungen. Technische Verbindungs-/Prüfdaten sind für den jeweiligen Hosted-Vorgang erforderlich. |
Bei Auftragsverarbeitung bestimmt die Organisation die Rechtsgrundlage für ihre Inhaltsverarbeitung. Kamerazugriff und sonstige Betriebssystemberechtigungen steuern Gerätefunktionen; daraus folgt keine pauschale datenschutzrechtliche Einwilligung in Hosted- oder Vertragsverarbeitung. Benachrichtigungsziele sind optional; ohne Empfängeradresse erfolgt keine E-Mail-Benachrichtigung.
Der Dienst prüft Berechtigungen automatisch anhand von Kaufgültigkeit, Organisationszuordnung und Sicherheitsnachweisen. Eine fehlgeschlagene Prüfung kann Hosted-Zugang verhindern; sie stellt keine verlorenen Schlüssel wieder her. Wenn Sie eine Zuordnung oder Sperre bestreiten, können Sie eine menschliche Überprüfung über hey@schukai.com verlangen. Die Prüfung ist keine Bewertung Ihrer Kreditwürdigkeit oder Ihrer Inhaltsdaten.
Sie können nach den gesetzlichen Voraussetzungen Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit verlangen. Gegen Verarbeitungen auf Grundlage berechtigter Interessen können Sie aus Gründen Ihrer besonderen Situation Widerspruch einlegen. Einwilligungen sind für die Zukunft widerruflich. Anfragen erreichen uns unter hey@schukai.com. Auftragsdatenanfragen werden mit der verantwortlichen Organisation bearbeitet; fehlende Inhaltsklartexte oder Schlüssel können wir nicht bereitstellen. Echte Secrets sind kein Identitätsnachweis. Sie können sich bei einer zuständigen Datenschutzaufsicht beschweren, insbesondere beim Bayerischen Landesamt für Datenschutzaufsicht.
WithinCells verwendet im beschriebenen App-Umfang keine Werbung und keine Analyse- oder Crash-Reporting-Dienste. Das Hosted-Gastprogramm verwendet keine Cookies, keinen dauerhaften Browserspeicher und keine Drittanbieter-Telemetrie. Für den Aufruf der allgemeinen Produktwebsite gelten deren gesonderte Datenschutzhinweise. Der Dienst richtet sich nicht gezielt an Kinder. Über wesentliche Änderungen informieren wir im vorgesehenen Vertriebsweg.
Weitere Datenschutzrechte und wesentliche Änderungen
schukai verkauft keine personenbezogenen Daten.
Die in diesen Hinweisen beschriebenen Datenverarbeitungen und Kontaktwege gelten auch bei Nutzung außerhalb Deutschlands. Zwingende Rechte nach dem jeweils anwendbaren Datenschutzrecht bleiben erhalten und sind nicht auf die ausdrücklich genannten DSGVO-Rechte beschränkt. Je nach anwendbarem Recht und seinen Voraussetzungen können insbesondere die Bestätigung einer Verarbeitung, Auskunft, Berichtigung, Löschung, Anonymisierung oder Sperrung unzulässig oder nicht mehr erforderlich verarbeiteter Daten, Datenübertragbarkeit sowie Widerspruch und Widerruf einer Einwilligung verlangt werden. Anfragen zu von schukai verarbeiteten Daten können an hey@schukai.com gerichtet werden. Eine Beschwerde bei einer zuständigen Datenschutzaufsicht bleibt möglich.
Soweit die brasilianische LGPD auf die Verarbeitung anwendbar ist, bleiben insbesondere die dort vorgesehenen Rechte auf Bestätigung und Zugang, Berichtigung, Anonymisierung, Sperrung oder Löschung nicht erforderlicher, übermäßiger oder rechtswidrig verarbeiteter Daten, gesetzlich vorgesehene Datenübertragbarkeit, Informationen über Empfänger sowie über die Möglichkeit und Folgen einer verweigerten Einwilligung, Widerruf und einwilligungsbezogene Löschung erhalten. Gesetzliche Ausnahmen und Aufbewahrungspflichten gelten weiterhin. Anfragen können über den genannten Datenschutzkontakt gestellt werden; die Beschwerdemöglichkeit bei der ANPD bleibt unberührt.
Wenn sich die beschriebene Verarbeitung wesentlich ändert, informieren wir die betroffenen Nutzer ausdrücklich über die Änderung, ihren Beginn, ihre Folgen und die einschlägigen Rechte. Bei Änderungen einer App-Funktion erfolgt die Information durch einen hervorgehobenen Hinweis in der App, bevor die betroffene Verarbeitung beginnt. Betrifft eine Dienst- oder Supportänderung auch ältere App-Fassungen, stellen wir rechtzeitig vor ihrem Beginn zusätzlich eine geeignete direkte Information über einen vorhandenen, rechtmäßig nutzbaren Kontakt- oder Dienstkanal sicher. Eine still geänderte Website oder die bloße Veröffentlichung eines Updates genügt dafür nicht. Erforderliche Einwilligungen werden vor der davon abhängigen Verarbeitung eingeholt. Eine Datenschutzinformation ist keine Zustimmung zu einer Vertragsänderung.