Alle Rechtstexte

DATENSCHUTZERKLÄRUNG

Globale Datenschutzhinweise

Gültig ab: 17. Oktober 2026

Dienst betrieben von: DigitalFreedom — eine Marke der DigitalFreedom Global LLC

Verantwortlicher (juristische Person):
DigitalFreedom Global LLC (handelnd als DigitalFreedom)
30 N Gould St, Ste N
Sheridan, WY 82801
Vereinigte Staaten

Kontakt (allgemein): hello@digitalfreedom.co.za
Kontakt (Datenschutz): data-protection@digitalfreedom.co.za
Formular für Datenschutzanfragen: https://data-protection.digitalfreedom.co.za
Website: https://digitalfreedom.co.za

0. WAS DIESE ERKLÄRUNG FÜR MACBUSINESSSUITE BEDEUTET — APP-SPEZIFISCHER HINWEIS

Diese Datenschutzerklärung gilt gemeinsam für alle DigitalFreedom-Dienste und beschreibt die Verarbeitungsvorgänge des gesamten Portfolios. Dieser Abschnitt legt fest, welche davon tatsächlich in MacBusinessSuite stattfinden und wie die folgenden allgemeinen Abschnitte für diese App zu verstehen sind. Beschreibt ein allgemeiner Abschnitt einen in dieser App nicht vorhandenen Vorgang, wird das hier klargestellt; für andere Dienste wird die allgemeine Erklärung dadurch nicht eingeschränkt.

Was MacBusinessSuite ist. Eine native macOS-Anwendung für Rechnungsstellung und Geschäftsverwaltung (Kunden, Belege, Steuern, E-Rechnungen, PDF/A-Archivierung, Zahlungen, Zeiterfassung), ausschließlich im Mac App Store als Jahresabo erhältlich. Eine Google-Play-Version gibt es nicht.

Lokale Daten ohne App-Konto. Es gibt keine Registrierung oder App-Anmeldung. Firmenprofile, Kunden, Belege, Zahlungen, Zeiteinträge und Einstellungen liegen auf Ihrem Mac, geschützt durch macOS und bei Bankdaten durch Feldverschlüsselung. DigitalFreedom Global LLC bietet dafür keinen Cloud-Speicher und keine Synchronisierung. Die unten beschriebenen externen Dienste und Supportanfragen sind gesonderte Verarbeitungsvorgänge. Sicherungen entstehen am gewählten Ort. Das Entfernen der App löscht Container, Exporte und Sicherungen nicht zuverlässig; löschen Sie diese bei Bedarf gesondert.

Ihre Geschäftsunterlagen. Sie kontrollieren die lokale Verarbeitung und bleiben Verantwortlicher für Kundendaten, soweit das anwendbare Recht dies vorsieht. Unterlagen werden nicht automatisch an DigitalFreedom Global LLC gesendet. Angaben in Ihren Supportanfragen werden für den Support empfangen und verarbeitet.

Netzwerkdienste. Die App nutzt die folgenden Dienste. Die Synchronisierung durch eingerichtete Systemkonten ist unten bei den Gerätezugriffen beschrieben.

Optionale lokale Apple-Vorschläge. Das Systemsprachmodell verarbeitet Tätigkeitsbeschreibungen, erkannten Belegtext für Feldvorschläge, Begleittexte für Beleg-E-Mails und Ticketentwürfe lokal. Dafür verlässt kein Text den Mac; ein API-Schlüssel ist nicht erforderlich. Voraussetzungen sind der Apple-Modus, macOS 26 oder neuer, kompatible Hardware, aktiviertes Apple Intelligence und ein verfügbares Modell. Die anfängliche Auswahl ist Aus. Fehlende oder fehlgeschlagene lokale Verarbeitung weicht niemals auf einen Cloud-Dienst aus. Beleg-, Mail- und Ticketvorschläge nutzen kein OpenAI. OpenAI steht gesondert nur für Tätigkeitstexte mit eigenem Schlüssel und ausdrücklicher Einwilligung bereit; sämtliche selbst in diesen Text aufgenommenen Angaben werden übertragen. Siehe Transparenzhinweis.

Erkennung auf dem Gerät. Text aus gescannten oder fotografierten Eingangsbelegen wird mit Apples Vision-Framework auf Ihrem Mac erkannt. Dies ist maschinelles Lernen auf Ihrem Gerät; dafür verlassen weder Bilder noch Texte Ihren Mac, und es wird kein externer Anbieter eingeschaltet. Die Kamera wird nur beim Barcode-Scan verwendet; die Einzelbilder werden weder gespeichert noch übertragen.

Gerätezugriffe und Systemintegration (§§ 3.4, 3.5 und 8b).

• Lokale Mitteilungen: optionale Erinnerungen und Aktionen zum Erledigen oder Verschieben von Tickets, zum Erfassen oder Verlegen einer Wiedervorlage sowie zum Öffnen einer Rechnung. Es gibt kein Remote-Push-Token. Der System-Fokusfilter kann Erinnerungen stummschalten oder auf eine Firma beschränken; sein Zustand bleibt lokal.
• Kalender und Erinnerungen: optionaler EventKit-Vollzugriff zum Spiegeln und Aktualisieren von Fälligkeiten in eigenen Kalendern und Listen sowie zum Lesen von Terminen, Titeln und Teilnehmern für Zeitvorschläge. Einträge können über die Anbieter Ihrer eingerichteten Systemkonten synchronisiert werden.
• Kontakte: Import ausgewählter Kontakte oder ausdrückliches Speichern eines Kunden als Kontakt. Das konfigurierte Kontaktkonto kann diese Änderungen synchronisieren.
• App-Sperre und Schlüsselbund: optionale Anmeldung über Touch ID oder Systempasswort liefert nur ein Ergebnis, niemals biometrische Vorlagen. Mailpasswörter, der optionale OpenAI-Schlüssel und Verschlüsselungsschlüssel liegen im macOS-Schlüsselbund.
• Widgets: Die App-Gruppe group.za.co.digitalfreedom.MacBusinessSuite teilt widget-snapshot.json mit Firmenübersicht, Fälligkeiten und laufendem Timer, nicht Datenbank, Belege oder Zugangsdaten. Die App-Sperre unterdrückt Zahlen und Details, außer im Modus „Nur Zahlen“: Dieser erlaubt Zahlen und Timerzustand ohne Namen, Titel oder Einzelzeilen, auch bei aktivierter App-Sperre.
• Spotlight: Geschäftsdatensätze werden automatisch lokal mit Links zur App indiziert; es erfolgt kein Upload auf einen Entwicklerserver.
• Automation: Eingehende Skriptbefehle verwenden dieselben Validierungen und Persistenzbefehle wie die Oberfläche. Die App sendet keine Automationsbefehle an andere Apps.

Datenkategorien und Geltungsbereich. Es gibt kein Tracking, keine Werbung und kein Analytics-, Crash-Reporting- oder Installationsattributions-SDK. Das Datenschutzmanifest erklärt OtherUserContent und CustomerSupport, mit dem Nutzer verknüpft und für die App-Funktionalität: Tätigkeitstexte über Ihr identifizierbares OpenAI-Konto und von Ihnen eingereichte Supportdaten. Darin können selbst angegebene Personen- oder Geschäftsdaten enthalten sein. Die Freiwilligkeit befreit nicht pauschal von der Offenlegung. Lokale Unterlagen, Systemintegrationen und Ihr Mailanbieter sind keine Datenerhebung durch den Entwickler. Die App bietet keine Entwickler-Cloud-Synchronisierung; Systemkonten können wie oben beschrieben synchronisieren. § 12 betrifft Cookies und Tracking der Website, keine Trackingfunktion der nativen App.

§ 3 bedeutet für diese App keine Erhebung von App-Konto-, Nutzungs-, Analyse- oder Diagnoseprotokolldaten. Übermittelte Kommunikations- und Supportdaten, externe Textverarbeitung und Apples Kaufabwicklung bleiben erfasst. Die Anbieter in § 6.1.1 für Mail, Helpdesk-Hosting und Serversicherungen einschließlich Storj können eingereichte Supportdaten verarbeiten; die Übermittlungshinweise und etwaige offene Schutzmaßnahmen in § 7 gelten weiterhin. Die lokale Datenbank erhalten sie nicht automatisch. OpenAI-Anfragen laufen über Ihr Konto statt über das in der allgemeinen Erklärung beschriebene Anbieterkonto; RevenueCat wird nicht verwendet. Die Support-Aufbewahrung in § 8 gilt; App-Kontoaufbewahrung und Kontolöschung nach § 13.5 entfallen. E-Mail-Meldungen bei Datenschutzverletzungen (§ 9.1) setzen eine bekannte Adresse voraus, etwa aus einer Supportanfrage. § 13.2 umfasst die oben beschriebenen lokalen Vorschläge und gesondert eingewilligte externe Tätigkeitstextverarbeitung; es gelten die Aufbewahrungsbedingungen Ihres OpenAI-Kontos.

Erwachsene Zielgruppe und Auswahlmöglichkeiten. Die App richtet sich gemäß ihren Bedingungen an Erwachsene ab 18 Jahren. Sie fragt weder Altersgruppe noch Geburtsdatum ab und überprüft das Alter nicht. Die notwendige lokale Verarbeitung wird beim ersten Start erläutert, getrennt von der ausdrücklichen Annahme der Bedingungen. Lokale Apple-Texthilfe ist eine optionale Funktionsauswahl. Nur die externe OpenAI-Verarbeitung benötigt eine gesonderte, versionierte OpenAI-Einwilligung; Sie können sie unter Einstellungen → Rechtliches & Datenschutz jederzeit widerrufen. Ablehnung oder Widerruf lässt lokale Funktionen einschließlich separat gewählter Apple-Texthilfe verfügbar.

Einwohner Kaliforniens: Der Hinweis bei der Erhebung (§ 17.4) ist unter Einstellungen → Rechtliches & Datenschutz auch als eigene Seite verfügbar.

Version. Die Version dieser Erklärung einschließlich des app-spezifischen Hinweises sowie die Versionen aller anderen Rechtstexte stehen unter Einstellungen → Rechtliches & Datenschutz. Wise Business / Mercury. Der optionale Bankzugriff erfolgt direkt bei Wise oder Mercury über dein Bankkonto: Übermittelt werden Zugangstoken, Geschäftsprofil- und Kontokennungen, angefragte Zeiträume und Verbindungsdaten. Die App erhält Kontodetails und Umsätze der ausgewählten Konten einschließlich Beträgen, Daten, Gegenparteien und Referenzen. Die Bankverbindung läuft nicht über einen DigitalFreedom-Server. Dein Token bleibt im macOS-Schlüsselbund. Die App verbindet sich direkt mit deiner Bank und speichert abgerufene Umsätze lokal. Der Abruf läuft nur bei geöffneter und entsperrter App. Du kannst ihn jederzeit ausschalten. Es werden nur Geschäftsprofile angezeigt. Private Salden und Kontoauszüge werden nicht abgerufen. Trennen löscht den lokalen Token und stoppt Abrufe. Importierte Umsätze bleiben erhalten. Widerrufe den Token bei Bedarf zusätzlich in den Einstellungen deiner Bank.

1. EINLEITUNG

Diese Datenschutzerklärung erläutert, wie DigitalFreedom (eine Marke der DigitalFreedom Global LLC, zusammen „wir”, „uns”, „unser”) Ihre personenbezogenen Daten erhebt, verwendet, speichert und schützt, wenn Sie unsere Anwendungen, Software, Websites und damit verbundenen Dienste („die Dienste”) nutzen.

1.1 Weltweiter Geltungsbereich

Unsere Anwendungen werden über den Apple App Store und den Google Play Store vertrieben und sind daher in jedem Land und Gebiet verfügbar, das diese Plattformen bedienen. Diese Datenschutzerklärung gilt weltweit für alle Nutzer der Dienste, unabhängig davon, in welchem Land der Dienst heruntergeladen, aufgerufen oder genutzt wird.

1.2 Die DSGVO als weltweiter Mindeststandard

Wir legen die Datenschutz-Grundverordnung der Europäischen Union (DSGVO) und das damit verbundene EU-Datenschutzrecht als Grundlage zugrunde und wenden sie als weltweiten Mindeststandard an — jeder Nutzer in jedem Land profitiert mindestens von dem in dieser Erklärung festgelegten Schutzniveau der DSGVO. Darüber hinaus beachten und befolgen wir jedes anwendbare nationale Datenschutzrecht im Land des Nutzers; ist dieses nationale Recht für den Nutzer günstiger, gilt der günstigere Standard.

Wir verpflichten uns, Ihre Privatsphäre zu schützen und die anwendbaren Datenschutzgesetze einzuhalten, darunter insbesondere:

• EU-Datenschutz-Grundverordnung (DSGVO) — angewendet als weltweiter Mindeststandard
• Bundesdatenschutzgesetz (BDSG)
• Datenschutz-Grundverordnung des Vereinigten Königreichs (UK GDPR) und Data Protection Act 2018
• Schweizerisches Bundesgesetz über den Datenschutz (DSG)
• California Consumer Privacy Act (CCPA) / California Privacy Rights Act (CPRA) und andere Datenschutzgesetze der US-Bundesstaaten
• Kanadischer Personal Information Protection and Electronic Documents Act (PIPEDA)
• Australischer Privacy Act 1988
• Brasilianisches Allgemeines Datenschutzgesetz (LGPD)
• Japanisches Gesetz zum Schutz personenbezogener Informationen (APPI)
• Südkoreanisches Gesetz zum Schutz personenbezogener Informationen (PIPA)
• Indischer Digital Personal Data Protection Act (DPDP Act) und IT Act
• Südafrikanischer Protection of Personal Information Act (POPIA)
• Alle anderen anwendbaren nationalen Datenschutzregelungen in Rechtsordnungen, in denen die Dienste über den Apple App Store oder den Google Play Store verfügbar gemacht werden

2. VERANTWORTLICHER

Die Dienste werden unter der Marke DigitalFreedom angeboten. Die für die Verarbeitung Ihrer personenbezogenen Daten verantwortliche juristische Person (der „Verantwortliche” im Sinne von Art. 4 Nr. 7 DSGVO) ist:

DigitalFreedom Global LLC (handelnd als DigitalFreedom)
30 N Gould St, Ste N
Sheridan, WY 82801
Vereinigte Staaten

Für Datenschutzanfragen (Art. 13/14 DSGVO, Anträge auf Auskunft, Berichtigung, Löschung, Datenübertragbarkeit, Widerspruch): Anfrageformular: https://data-protection.digitalfreedom.co.za E-Mail: data-protection@digitalfreedom.co.za

Sie können jeden der beiden Wege nutzen und uns auch über jeden anderen Kanal erreichen — wir bearbeiten Ihre Anfrage, auf welchem Weg auch immer sie uns erreicht.

Für allgemeine Anfragen:
E-Mail: hello@digitalfreedom.co.za

Website: https://digitalfreedom.co.za

3. DATEN, DIE WIR ERHEBEN

3.1 Daten, die Sie uns bereitstellen

• Kontoinformationen (Name, E-Mail-Adresse, Benutzername)
• Kommunikationsdaten (Supportanfragen, Feedback)
• Zahlungsinformationen (verarbeitet über Zahlungsdienstleister Dritter)
• Nutzergenerierte Inhalte

3.2 Automatisch erhobene Daten

• Geräteinformationen (Gerätetyp, Betriebssystem, Version)
• Nutzungsdaten (verwendete Funktionen, Interaktionsmuster)
• Protokolldaten (IP-Adresse, Zugriffszeiten, Fehlerprotokolle)
• Analysedaten (aggregierte Nutzungsstatistiken)

3.3 Daten von Dritten

• Authentifizierungsdaten von Social-Login-Anbietern (sofern zutreffend)
• Plattformspezifische Daten aus App Stores (Apple, Google)

3.4 Sensor-, Geräte- und biometrische Daten

Sofern die App Sensoren oder Biometrie auf Ihrem Gerät nutzt:

• Biometrische Authentifizierung (Face ID / Touch ID / Android BiometricPrompt): Die biometrische Vorlage verlässt niemals Ihr Gerät. Die App erhält vom Betriebssystem lediglich ein Ja/Nein-Ergebnis.
• Kamera, Mikrofon, Standort, Fotos, Kontakte, Kalender, Bewegung, Gesundheit: Der Zugriff erfolgt nur, wenn Sie aktiv die Funktion nutzen, die ihn benötigt. Jeder Zugriff wird vom Betriebssystem mit unserem Verwendungszwecktext abgefragt, der den Grund erläutert.
• Gesundheits- und Fitnessdaten (HealthKit / Health Connect): Sie werden nur für die konkrete Funktion verarbeitet, die Sie nutzen; sie werden nicht zu Werbezwecken an Dritte weitergegeben und nicht zum Training von KI-Modellen verwendet.
• App Tracking Transparency (iOS) / AAID-Einstellungen (Android): DigitalFreedom-Apps verfolgen Sie standardmäßig nicht über Apps und Websites anderer Unternehmen hinweg. Wir zeigen die ATT-Abfrage nur an, wenn eine bestimmte Funktion sie erfordert; sollte eine künftige Funktion dies tun, können Sie ablehnen, ohne den Zugang zum Rest der App zu verlieren.

3.5 NICHT erhobene Daten

Sofern nicht für eine bestimmte Funktion im app-spezifischen Zusatz ausdrücklich offengelegt, erheben wir nicht:

• präzise Standortdaten im Hintergrund
• Kontakte / Adressbuch
• SMS- / E-Mail-Inhalte von Ihrem Gerät
• Browserverlauf außerhalb der App
• Kennungen für verhaltensbezogene Werbung
• Zahlungskartendaten (die Zahlung wird von Apple oder Google erhoben; wir erhalten niemals Kartendaten)

4. RECHTSGRUNDLAGE DER VERARBEITUNG (DSGVO)

Wir verarbeiten Ihre personenbezogenen Daten auf folgenden Rechtsgrundlagen:

5. WIE WIR IHRE DATEN VERWENDEN

Wir verwenden Ihre personenbezogenen Daten, um:

• die Dienste bereitzustellen, zu betreiben und zu warten
• Transaktionen zu verarbeiten und Abonnements zu verwalten
• mit Ihnen zu kommunizieren (Support, Updates, Mitteilungen)
• die Dienste zu verbessern und zu personalisieren
• die Sicherheit zu gewährleisten und Betrug zu verhindern
• rechtliche Verpflichtungen zu erfüllen
• Analysen durchzuführen (soweit zulässig oder eingewilligt)

6. WEITERGABE UND OFFENLEGUNG VON DATEN

Wir können Ihre Daten weitergeben an:

6.1 Dienstleister

Drittanbieter, die beim Betrieb der Dienste unterstützen, darunter:

• Cloud-Hosting-Anbieter
• Zahlungsabwickler
• Analyseanbieter
• Kundensupport-Werkzeuge

6.1.1 Benannte Unterauftragsverarbeiter

Die folgenden Unterauftragsverarbeiter sind derzeit mit der Verarbeitung Ihrer personenbezogenen Daten beauftragt:

Die Arbeitslasten auf Civo sind zu Redundanz- und Migrationszwecken auf die Regionen fra1 und lon1 verteilt. Die Liste der Unterauftragsverarbeiter kann sich ändern; die aktuelle Liste wird in unserem internen Verzeichnis der Unterauftragsverarbeiter geführt und ist auf Anfrage über den unten genannten Datenschutzkontakt erhältlich.

6.1.2 Plattformen und Vertriebskanäle

Die folgenden Parteien handeln als eigenständige Verantwortliche für die Verarbeitung im Zusammenhang mit dem Plattformvertrieb, der Zahlung und Diensten auf Plattformebene — nicht als unsere Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Sie werden hier aus Gründen der Transparenz offengelegt:

Für Daten, die Apple in eigener Verantwortlichkeit verarbeitet (Apple ID, Zahlungsdaten, App-Store-Analysen), gilt die eigene Datenschutzrichtlinie von Apple: https://www.apple.com/legal/privacy/. Für Daten, die Google in eigener Verantwortlichkeit verarbeitet (Google-Konto, Play-Abrechnung, Play-Analysen), gilt die Datenschutzerklärung von Google: https://policies.google.com/privacy.

6.2 Gesetzliche Anforderungen

Wir können Daten offenlegen, wenn dies durch Gesetz, ein rechtliches Verfahren oder eine behördliche Anordnung erforderlich ist.

6.3 Unternehmensübertragungen

Im Fall einer Fusion, Übernahme oder eines Verkaufs von Vermögenswerten können Ihre Daten übertragen werden.

6.4 Kein Verkauf personenbezogener Daten

Wir verkaufen Ihre personenbezogenen Daten nicht an Dritte.

7. INTERNATIONALE DATENÜBERMITTLUNGEN

Ihre Daten können in Länder außerhalb Ihres Wohnsitzlandes übermittelt und dort verarbeitet werden.

Konkret in Bezug auf unsere benannten Unterauftragsverarbeiter:

• Civo fra1 (Frankfurt am Main, Deutschland) — innerhalb der EU, keine Übermittlung außerhalb des EWR.

• Civo lon1 (London, Vereinigtes Königreich) — abgedeckt durch den Angemessenheitsbeschluss der EU-Kommission für das Vereinigte Königreich gemäß Art. 45 DSGVO.

• Migadu-Mail GmbH — E-Mails werden auf Servern in Frankreich (EU) gespeichert; die Speicherung beinhaltet daher keine Übermittlung außerhalb des EWR. Migadu hat seinen Sitz in der Schweiz; der Zugriff durch das Schweizer Unternehmen ist durch den Angemessenheitsbeschluss der EU-Kommission für die Schweiz gemäß Art. 45 DSGVO abgedeckt.

• Google Cloud / Workspace — primäre Verarbeitung in Rechenzentrumsregionen im EWR. Weiterübermittlungen an Google-Gesellschaften außerhalb des EWR (einschließlich der Vereinigten Staaten) unterliegen den EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914 der Kommission), dem vom ICO herausgegebenen UK International Data Transfer Addendum sowie ergänzenden technischen Maßnahmen (Verschlüsselung bei der Übertragung und im Ruhezustand, Schlüsselverwaltung). Vertragliche Grundlage ist das Cloud Data Processing Addendum (Customers) von Google.

• OpenAI Ireland Ltd. (Irland) und OpenAI OpCo, LLC (Vereinigte Staaten) — Kundendaten, die an die OpenAI API übermittelt werden, werden von OpenAI Ireland Ltd. im EWR verarbeitet. Weiterübermittlungen an OpenAI OpCo, LLC in den Vereinigten Staaten unterliegen den EU-Standardvertragsklauseln (Modul Drei — Auftragsverarbeiter an Unterauftragsverarbeiter), dem UK International Data Transfer Addendum und konzerninternen Garantien. API-Kundendaten werden höchstens 30 Tage aufbewahrt und dann gelöscht, sofern nicht eine gesetzliche Aufbewahrungspflicht besteht. Vertragliche Grundlage ist das OpenAI Data Processing Addendum.

• RevenueCat, Inc. (Vereinigte Staaten) — Abonnement- / In-App-Kauf-Daten werden in die Vereinigten Staaten übermittelt. Die Übermittlungen sind durch die im öffentlich veröffentlichten DPA-Rahmenwerk von RevenueCat referenzierten EU-Standardvertragsklauseln und ergänzende technische Maßnahmen abgedeckt (Verschlüsselung bei der Übertragung und im Ruhezustand, pseudonyme App User IDs, keine Zahlungskartendaten — Kartendaten werden von Apple oder Google verarbeitet, niemals von uns).

• Storj (US-Unternehmen; Speicherung in der EU) — jede Nacht wird eine Kopie unserer Serversicherungen über das gehostete Gateway von Storj hochgeladen. Dieses verschlüsselt sie auf Seiten von Storj mit Schlüsseln, die Storj übergeben werden, sodass Storj dort auf die Daten in lesbarer Form zugreifen kann; der Standort dieses Gateways ist nicht verifiziert. Die verschlüsselten Teile werden auf Speicherknoten in der EU gespeichert, da unser Bucket in der EU-Region von Storj liegt. Da Storj ein US-Unternehmen mit Zugriff auf die Daten ist, handelt es sich um eine Übermittlung in ein Drittland. Zum Datum dieser Erklärung bestehen weder ein Auftragsverarbeitungsvertrag noch Standardvertragsklauseln mit Storj, und wir stützen uns hierfür nicht auf einen Angemessenheitsbeschluss. Eine Anfrage an Storj nach einem Auftragsverarbeitungsvertrag, den EU-Standardvertragsklauseln (Modul Zwei) und dem UK Addendum wurde am 14. Oktober 2026 vorbereitet.

• Apple (Apple Distribution International Ltd., Irland; konzerninterne Verarbeitung durch Apple Inc., Vereinigte Staaten) — Apple handelt als eigenständiger Verantwortlicher. Konzerninterne Übermittlungen an Apple Inc. in den Vereinigten Staaten unterliegen den internen verbindlichen Unternehmensregeln / Standardvertragsklauseln von Apple, wie in der Apple-Datenschutzrichtlinie offengelegt.

Der Verantwortliche ist außerhalb des EWR niedergelassen. Soweit personenbezogene Daten von Nutzern im EWR vom Verantwortlichen selbst verarbeitet werden, findet diese Verarbeitung außerhalb des EWR statt; der Verantwortliche wendet darauf den DSGVO-Standard als weltweiten Mindeststandard an, wie in Abschnitt 1.2 dargelegt. Für Weiterübermittlungen an die oben benannten Unterauftragsverarbeiter, die nicht durch einen Angemessenheitsbeschluss abgedeckt sind, mit Ausnahme von Storj (siehe oben):

• Wir stützen uns auf die EU-Standardvertragsklauseln (SCCs)
• Wir stellen geeignete Garantien nach Kapitel V DSGVO sicher
• Wir bewerten die Datenschutzgesetze des Empfängerlandes (Transfer Impact Assessment)

Bei Übermittlungen aus anderen Rechtsordnungen halten wir die anwendbaren Anforderungen an grenzüberschreitende Übermittlungen ein.

8. SPEICHERDAUER

Wir bewahren personenbezogene Daten nur so lange auf, wie es für die in dieser Erklärung beschriebenen Zwecke erforderlich ist.

Kriterien für die Speicherfristen:

• Dauer Ihres Kontos oder Ihrer Nutzung der Dienste
• Rechtliche Verpflichtungen — die Aufbewahrungsfristen des Rechts, das den Verantwortlichen und die Transaktion tatsächlich bindet, nicht die längste irgendwo auffindbare Frist: Für Abrechnungsunterlagen bedeutet das bis zu 10 Jahre gesetzlicher steuerlicher und handelsrechtlicher Aufbewahrung; wo eine Aufbewahrungspflicht nach EU-Recht an eine bestimmte Unterlage anknüpft, diese Pflicht; niemals eine ausländische Frist, angewendet auf einen Nutzer, den sie nicht erfasst
• Berechtigte Interessen (z. B. Streitbeilegung)

Konkrete Fristen je Kategorie: Kontodaten — solange das Konto aktiv ist, zuzüglich 30 Tage nach der Löschung; Abrechnungsunterlagen — bis zu 10 Jahre; Support-Tickets — 3 Jahre ab Abschluss; Protokolle — 30 Tage im direkten Zugriff, 90 Tage im Archiv; Daten von Marketing-Abonnenten — bis zur Abmeldung, wobei ein Eintrag in der Sperrliste erhalten bleibt. Nach Ablauf werden die Daten sicher gelöscht oder anonymisiert. Rechtsordnungsspezifische Angaben zur Speicherdauer finden sich in § 17.

8a. BESONDERE KATEGORIEN — GESUNDHEITS- UND FITNESSDATEN

Bietet eine App eine Gesundheits- oder Fitnessfunktion an, verarbeitet sie Daten über Ihren Körper oder Ihren Zustand. Das ist eine besondere Kategorie im Sinne von Art. 9 Abs. 1 DSGVO und wird getrennt von allem anderen in dieser Erklärung behandelt.

• Wir bitten vor dem ersten Lesen oder Schreiben um Ihre ausdrückliche Einwilligung, auf einem Bildschirm, der keinen anderen Gegenstand hat. Art. 9 Abs. 2 lit. a.
• Der Bildschirm benennt die konkreten Datentypen, die die App liest und schreibt — nicht „Gesundheitsdaten” als Kategorie.
• Die Daten werden auf Ihrem Gerät oder auf unseren Servern in Frankfurt und London gespeichert. Sie verlassen diese weder für Analysen noch für Absturzberichte noch für die KI-Funktion noch an einen Werbeempfänger.
• Sie werden niemals für einen Sekundärzweck verwendet: keine Personalisierung, kein Modelltraining, kein Profiling.
• Eine Ablehnung kostet Sie nur die Gesundheitsfunktion. Alles andere funktioniert.
• Der Widerruf Ihrer Einwilligung beendet die Verarbeitung für die Zukunft und erfolgt in den Einstellungen der App.
• Bei der Kontolöschung werden sie zusammen mit dem Konto gelöscht, sofort.

Sollten Gesundheitsdaten eine KI-Funktion erreichen, erfordert das eine eigene, gesonderte Einwilligung. Die Gesundheitseinwilligung deckt das nicht ab.

8b. ZUGRIFF AUF INFORMATIONEN AUF IHREM GERÄT (APPS)

Unabhängig vom Datenschutzrecht verlangen § 25 Abs. 1 TDDDG und Art. 5 Abs. 3 der Richtlinie 2002/58/EG Ihre Einwilligung für das Speichern von Informationen auf Ihrem Gerät oder das Auslesen bereits dort gespeicherter Informationen — unabhängig davon, ob es sich bei diesen Informationen um personenbezogene Daten handelt.

Es wird keine Werbekennung ausgelesen. Die Apps zeigen keine Werbung an, und die Zuordnung verwendet die oben genannten Plattform-Token anstelle der IDFA oder der Android-Werbe-ID.

Jeder dieser Punkte ist ein eigener Schalter, alle standardmäßig aus, und jeder kann jederzeit in den Einstellungen der App geändert werden.

9. DATENSICHERHEIT

Wir setzen geeignete technische und organisatorische Maßnahmen zum Schutz Ihrer Daten ein, darunter:

• Verschlüsselung bei der Übertragung (TLS 1.3) und im Ruhezustand (AES-256 oder gleichwertig)
• Zugriffskontrollen (RBAC, MFA für administrative Zugriffe, Prinzip der geringsten Rechte)
• Regelmäßige Sicherheitsbewertungen und Prüfungen der Unterauftragsverarbeiter
• Auf befugtes Personal beschränkte Audit-Protokollierung
• Tägliche Sicherungen mit externen Replikaten
• Dokumentierte Reaktion auf Vorfälle gemäß unserem internen Plan für Datenschutzverletzungen (Art. 33/34 DSGVO)

Kein System ist vollständig sicher. Wir können keine absolute Datensicherheit garantieren.

9.1 Benachrichtigung bei Datenschutzverletzungen

Im Fall einer Verletzung des Schutzes personenbezogener Daten, die voraussichtlich ein hohes Risiko für Ihre Rechte und Freiheiten zur Folge hat (Art. 34 DSGVO), benachrichtigen wir Sie unverzüglich über die mit Ihrem Konto verknüpfte E-Mail-Adresse, einschließlich:

• Art der Verletzung
• Kategorien und ungefähre Zahl der betroffenen Datensätze
• wahrscheinliche Folgen
• ergriffene oder vorgeschlagene Maßnahmen zur Behebung der Verletzung und zur Abmilderung nachteiliger Auswirkungen
• Kontaktdaten für weitere Informationen

Wäre eine individuelle Benachrichtigung mit unverhältnismäßigem Aufwand verbunden, veröffentlichen wir eine öffentliche Mitteilung auf https://digitalfreedom.co.za/.

10. IHRE RECHTE

10.1 Der DSGVO-Katalog als weltweiter Mindeststandard

Wo immer Sie leben, können Sie mindestens ausüben:

• Auskunft über Ihre personenbezogenen Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16)
• Löschung („Recht auf Vergessenwerden”) (Art. 17)
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit (Art. 20)
• Widerspruch gegen die Verarbeitung (Art. 21)
• Widerruf der Einwilligung jederzeit, so einfach wie sie erteilt wurde (Art. 7 Abs. 3)
• Beschwerde bei einer Aufsichtsbehörde

10.2 Was Ihre Rechtsordnung hinzufügt

Mehrere Rechtsordnungen gewähren Rechte über diesen Mindeststandard hinaus oder knüpfen andere Fristen und Verfahren daran — Beschwerdewege, kürzere Antwortfristen, benannte Beauftragte. § 17 ist die einzige Stelle, an der diese je Rechtsordnung genannt werden. Nichts in § 17 schmälert den oben genannten Mindeststandard.

10.3 Wie Sie eines dieser Rechte ausüben

Schreiben Sie an data-protection@digitalfreedom.co.za oder nutzen Sie das Anfrageformular unter https://data-protection.digitalfreedom.co.za. Wir antworten innerhalb eines Monats (Art. 12 Abs. 3 DSGVO) — oder innerhalb der kürzeren Frist, die Ihre Rechtsordnung vorschreibt, wie in § 17 angegeben.

11. DATENSCHUTZ VON KINDERN

Unsere Dienste richten sich nicht an Kinder unter 16 Jahren (oder dem in Ihrer Rechtsordnung geltenden Einwilligungsalter).

Wir erheben wissentlich keine personenbezogenen Daten von Kindern. Erlangen wir Kenntnis davon, dass wir Daten eines Kindes erhoben haben, ergreifen wir Maßnahmen, um diese umgehend zu löschen.

12. COOKIES UND TRACKING

Unsere Verwendung von Cookies und ähnlichen Technologien ist in unserer gesonderten Cookie-Richtlinie beschrieben.

13. AUTOMATISIERTE ENTSCHEIDUNGSFINDUNG UND KI

13.1 Automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung

Wir führen keine automatisierte Entscheidungsfindung oder kein Profiling durch, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen, es sei denn:

• Sie haben ausdrücklich eingewilligt
• Es ist für die Vertragserfüllung erforderlich
• Es ist durch anwendbares Recht zugelassen

Findet eine solche Verarbeitung statt, haben Sie nach Art. 22 Abs. 3 DSGVO das Recht, das Eingreifen einer Person zu erwirken, Ihren Standpunkt darzulegen und die Entscheidung anzufechten.

13.2 KI-gestützte Funktionen

Enthalten die Dienste KI-gestützte Funktionen (zum Beispiel Inhaltserzeugung, Zusammenfassung, Klassifizierung auf Basis von KI-APIs Dritter wie OpenAI), beschreibt der KI-Transparenzhinweis:

• welche Funktionen KI verwenden
• welcher KI-Anbieter beauftragt ist
• welche Daten an die KI gesendet werden
• die Speicherdauer beim KI-Anbieter (standardmäßig 30 Tage bei der OpenAI API)
• dass die Funktion nur nach Ihrer Einwilligung läuft, die vor der ersten Nutzung erteilt wird, und dass Sie diese jederzeit in den Einstellungen der App widerrufen können, ohne etwas anderes zu verlieren
• die Kennzeichnung KI-generierter Inhalte (Art. 50 KI-Verordnung der EU, in Kraft seit dem 02.08.2026)

13.3 Durchsetzung der Fair-Use-Regeln

Die Fair-Use-Richtlinie beschreibt, wie betriebliche Telemetrie verwendet wird, um Missbrauch zu erkennen und gegebenenfalls Drosselung, Ratenbegrenzung, Einschränkung oder Sperrung anzuwenden. Die automatisierte Erkennung dient der Vorbereitung einer menschlichen Prüfung; keine automatisierte Entscheidung nach der Fair-Use-Richtlinie entfaltet Ihnen gegenüber rechtliche Wirkung ohne menschliche Beteiligung, außer wo dies zur Abwehr einer unmittelbaren Bedrohung unbedingt erforderlich ist.

13.4 Marketingkommunikation

Marketing-E-Mails werden nur mit Ihrer ausdrücklichen, gesonderten Einwilligung versendet, die Sie jederzeit widerrufen können, ohne dass dies die übrigen Dienste beeinträchtigt. Es gibt keine Marketing-Push-Mitteilungen: Die Apps planen Mitteilungen lokal auf Ihrem Gerät, und nichts wird ihnen von einem Server gesendet. Für Empfänger in Australien gilt der Standard des Spam Act 2003 für jede kommerzielle elektronische Nachricht: vorherige Einwilligung, korrekte Absenderkennzeichnung und eine funktionierende Abmeldemöglichkeit.

13.5 Kontolöschung

Sie können Ihr Konto jederzeit löschen und die Löschung Ihrer Daten verlangen. Die Hinweise zur Kontolöschung beschreiben die Wege in der App, per E-Mail und per Post.

14. LINKS UND DIENSTE DRITTER

Die Dienste können Links zu Websites oder Diensten Dritter enthalten. Wir sind nicht für die Datenschutzpraktiken Dritter verantwortlich.

15. ÄNDERUNGEN DIESER ERKLÄRUNG

Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren.

• Wesentliche Änderungen werden über die Dienste oder per E-Mail mitgeteilt
• Erfordert eine Änderung der Verarbeitung nach anwendbarem Recht Ihre Einwilligung, holen wir diese ein, bevor die Änderung für Sie wirksam wird; wir stützen uns nicht allein auf die fortgesetzte Nutzung als Einwilligung
• Das „Gültig ab”-Datum am Anfang gibt die letzte Überarbeitung wieder

16. KONTAKT

Für datenschutzbezogene Anfragen oder zur Ausübung Ihrer Rechte:

DigitalFreedom
Eine Marke der DigitalFreedom Global LLC
30 N Gould St, Ste N
Sheridan, WY 82801
Vereinigte Staaten

Datenschutz: data-protection@digitalfreedom.co.za
Formular für Datenschutzanfragen: https://data-protection.digitalfreedom.co.za
Allgemeine Anfragen: hello@digitalfreedom.co.za
Website: https://digitalfreedom.co.za

Als in der EU ansässige Person können Sie sich außerdem an die zuständige Aufsichtsbehörde in Ihrem Mitgliedstaat wenden.

17. REGIONALE BESTIMMUNGEN

Was jede Rechtsordnung dem weltweiten Mindeststandard dieser Erklärung hinzufügt. § 10.1 nennt den Mindeststandard, der überall gilt; nichts im Folgenden schmälert ihn. Anträge zu jedem der Rechte in diesem Abschnitt: data-protection@digitalfreedom.co.za oder https://data-protection.digitalfreedom.co.za.

17.1 Europäische Union und EWR

• Die Verarbeitung entspricht der DSGVO, die über das EWR-Abkommen auch in Norwegen, Island und Liechtenstein gilt.
• Es gibt keine federführende Aufsichtsbehörde: Der Verantwortliche ist nicht in der Union niedergelassen, sodass das One-Stop-Shop-Verfahren nach Art. 56 DSGVO nicht anwendbar ist.
• Sie können Beschwerde bei der Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes einlegen (Art. 77 DSGVO) — in den EWR-Staaten sind das Datatilsynet (Norwegen), Persónuvernd (Island) oder die Datenschutzstelle (Liechtenstein).
• Datenschutz-Folgenabschätzungen werden durchgeführt, wo sie erforderlich sind.
• Zum Alter der digitalen Einwilligungsfähigkeit, das die Mitgliedstaaten zwischen 13 und 16 Jahren festlegen, siehe die Datenschutzhinweise für Kinder — diese Erklärung nennt keine einheitliche Zahl, weil es keine gibt.

17.2 Vereinigtes Königreich

• Die Verarbeitung entspricht der UK GDPR und dem Data Protection Act 2018.
• Die Aufsichtsbehörde ist das Information Commissioner’s Office (ICO).

17.3 Schweiz

• Das revidierte Bundesgesetz über den Datenschutz (revDSG) gilt für Sachverhalte, die sich in der Schweiz auswirken, unabhängig davon, wo der Verantwortliche seinen Sitz hat. Der DSGVO-Mindeststandard dieser Erklärung deckt seinen Inhalt ab.
• Auskunftsrecht (Art. 25 revDSG): im Wesentlichen das Auskunftsrecht nach Art. 15 DSGVO; wir antworten innerhalb von 30 Tagen.
• Meldung von Datenschutzverletzungen (Art. 24 revDSG): gegenüber dem EDÖB „so rasch als möglich”. Unser interner Plan arbeitet mit der kürzeren der anwendbaren Fristen, sodass in der Praxis die 72-Stunden-Frist der DSGVO maßgeblich ist.
• Die Schweiz wird von der EU als angemessen anerkannt und erkennt den EWR an; Übermittlungen zwischen ihnen benötigen keine zusätzliche Garantie.
• Die zuständige Behörde ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB).

17.4 Vereinigte Staaten

Der gemeinsame Kern der Landesgesetze. Die umfassenden Datenschutzgesetze der Bundesstaaten (Virginia, Colorado, Connecticut, Texas, Oregon und die weitere Familie) gewähren im Wesentlichen die Rechte aus § 10.1 und fügen zwei Dinge hinzu:

• Beschwerde. Lehnen wir Ihren Antrag ab, können Sie bei uns Beschwerde einlegen; unsere Antwort auf die Beschwerde erklärt Ihnen, wie Sie sich an den Attorney General Ihres Bundesstaates wenden können. Ausnahme: Utah (Utah Code § 13-61-203 sieht kein Beschwerdeverfahren vor).
• Fristen. Wir antworten innerhalb von 45 Tagen, einmalig um weitere 45 Tage verlängerbar mit Benachrichtigung. Ausnahme: Iowa, wo das Gesetz 90 Tage zuzüglich einer Verlängerung um 45 Tage erlaubt (Iowa Code § 715D.3(3)) — in der Praxis wenden wir die kürzere Frist an.

Biometrie (Illinois BIPA). Es wird keine biometrische Kennung erhoben. Face ID und Touch ID werden vom Betriebssystem auf Ihrem Gerät verarbeitet; die App erhält nur ein Ja/Nein. Sollte eine Funktion jemals eine biometrische Kennung erheben, gelten die Pflichten des BIPA zu schriftlicher Freigabe, Aufbewahrungsplan und Vernichtung vor der ersten Erhebung.

Verbrauchergesundheitsdaten (Washington, Nevada). Berührt eine App Gesundheitsdaten, gilt die gesonderte Richtlinie zu Verbrauchergesundheitsdaten — sie ist ein eigenes Dokument, weil der My Health My Data Act des Bundesstaates Washington ein solches verlangt, gesondert und gut sichtbar verlinkt.

Link „Do Not Sell or Share”. Hier nicht erforderlich: Es werden keine personenbezogenen Informationen verkauft oder für kontextübergreifende verhaltensbezogene Werbung weitergegeben — in den Apps läuft keine Werbung, und die Installationszuordnung verwendet Plattform-Token anstelle einer Werbekennung. Ändert sich das, wird der Link verpflichtend.

Kalifornien — Hinweis bei der Erhebung (CCPA/CPRA)

Wird in Kalifornien ansässigen Personen bei oder vor der Erhebung bereitgestellt, wie von Cal. Civ. Code §§ 1798.100(a) und 1798.130(a)(5)(A) verlangt. Die vollständige Datenschutzerklärung, zu der dieser Hinweis gehört: die Datenschutzerklärung in dieser App (Einstellungen → Rechtliches & Datenschutz → Datenschutzerklärung) und unter https://digitalfreedom.co.za/.

In den vergangenen 12 Monaten erhobene Kategorien:

Wir haben in den vergangenen 12 Monaten keine personenbezogenen Informationen in Kalifornien ansässiger Personen verkauft oder weitergegeben und beabsichtigen dies nicht. Der Widerspruch gegen Verkauf oder Weitergabe hat daher keine praktische Wirkung — steht aber auf Anfrage zur Verfügung.

Speicherdauer je Kategorie: Kontodaten — solange aktiv + 30 Tage nach der Löschung; Abrechnungsunterlagen — bis zu 10 Jahre (gesetzliche steuerliche und handelsrechtliche Aufbewahrung); Support-Tickets — 3 Jahre ab Abschluss; Protokolle — 30 Tage im direkten Zugriff, 90 Tage im Archiv; Daten von Marketing-Abonnenten — bis zur Abmeldung, zuzüglich des Eintrags in der Sperrliste.

Sensible personenbezogene Informationen — Beschränkung der Verwendung (§ 1798.121). Wir verwenden sensible personenbezogene Informationen nur für die nach CPRA Regs § 7027(m) zulässigen Zwecke — Erbringung der Dienste, Sicherheit, Betrugsprävention, Dienstqualität. Nicht zur Ableitung von Merkmalen, nicht für zielgerichtete Werbung. Der Widerspruch hat daher keine praktische Wirkung — steht aber auf Anfrage zur Verfügung.

Ihre Rechte nach CCPA/CPRA:

Wir verifizieren Anträge angemessen zu Sensibilität und Risiko (CCPA Regs §§ 7060–7063) und antworten innerhalb von 45 Tagen, einmalig um 45 Tage verlängerbar mit Benachrichtigung.

Shine the Light (§ 1798.83): Wir legen Dritten keine personenbezogenen Informationen für deren Direktmarketingzwecke offen; die jährliche Antwort lautet „nichts offengelegt”.

Global Privacy Control: wird als gültiges Widerspruchssignal beachtet (CPRA Regs § 7025). Da wir weder verkaufen noch weitergeben, ändert es unsere Verarbeitung nicht, wird aber anerkannt.

Beschwerden: California Privacy Protection Agency, 2101 Arena Boulevard, Sacramento, CA 95834 — https://cppa.ca.gov/webapplications/complaint — oder der California Attorney General.

17.5 Kanada

• Einwilligung (PIPEDA-Grundsatz 3): ausdrückliche Einwilligung, wenn Informationen sensibel sind oder der Zweck nicht offensichtlich ist; stillschweigende Einwilligung, wenn er offensichtlich ist und die Informationen nicht sensibel sind. Widerruf jederzeit, vorbehaltlich gesetzlicher oder vertraglicher Beschränkungen und angemessener Ankündigung.
• Ihre Rechte nach PIPEDA: Auskunft und eine Kopie, Anfechtung der Richtigkeit und Berichtigung, Widerruf der Einwilligung sowie Beschwerde beim Office of the Privacy Commissioner of Canada (https://www.priv.gc.ca). Antwort in der Regel innerhalb von 30 Tagen (PIPEDA § 8(4)).
• Quebec (Gesetz 25):
  • Für den Schutz personenbezogener Informationen verantwortliche Person: Marcel R. G. Berger, data-protection@digitalfreedom.co.za, 30 N Gould St, Ste N, Sheridan, WY 82801, Vereinigte Staaten.
  • Bevor personenbezogene Informationen von in Quebec ansässigen Personen außerhalb von Quebec übermittelt werden, wird eine Datenschutz-Folgenabschätzung (EFVP) durchgeführt (Gesetz 25 § 17). Ziele: EWR, Vereinigtes Königreich und Schweiz (angemessen) sowie die USA auf Grundlage der EU-Standardvertragsklauseln, des UK Addendum und, soweit anwendbar, des EU-US DPF.
  • Sie können Ihre Daten in einem strukturierten, gängigen technologischen Format verlangen (§ 27), die Einstellung der Verbreitung oder die Auslistung verlangen, wenn die Verbreitung Ihren Ruf oder Ihre Privatsphäre erheblich verletzt, und werden über jede ausschließlich auf automatisierter Verarbeitung beruhende Entscheidung mit dem Recht auf menschliche Überprüfung informiert — derzeit werden keine solchen Entscheidungen getroffen.
  • Vertraulichkeitsvorfälle, die ein Risiko eines ernsthaften Schadens darstellen, werden der Commission d’accès à l’information und Ihnen unverzüglich gemeldet.
  • Eine französische Fassung jedes Dokuments ist auf Anfrage erhältlich; für in Quebec ansässige Personen ist die französische Fassung maßgeblich, soweit das Recht von Quebec dies verlangt.
• CASL: kommerzielle elektronische Nachrichten nur mit ausdrücklicher Einwilligung, Absenderkennzeichnung und einer funktionierenden Abmeldung, die innerhalb von 10 Werktagen bearbeitet wird.
• Provinzgesetze (BC PIPA, Alberta PIPA) gelten, soweit sie günstiger sind. Beschwerden auch an das OIPC BC und das OIPC Alberta.

17.6 Australien und Neuseeland

• Australien: Der Privacy Act 1988 und die Australian Privacy Principles gelten für ein ausländisches Unternehmen, das in Australien Geschäfte betreibt. APP 12 sieht eine Antwortfrist von 30 Tagen für Auskunft vor. APP 8 macht uns für den Umgang eines ausländischen Empfängers mit Ihren Daten verantwortlich — strenger als eine Übermittlungsanalyse und mit ein Grund, warum die Empfänger in § 6 benannt sind. Beschwerden: Office of the Australian Information Commissioner (OAIC).
• Neuseeland: Der Privacy Act 2020 gilt für eine ausländische Stelle, die in Neuseeland Geschäfte betreibt. IPP 12 beschränkt die Offenlegung außerhalb Neuseelands; Auskunftsanträge werden innerhalb von 20 Werktagen beantwortet. Beschwerden: Office of the Privacy Commissioner (NZ).

17.7 Brasilien (LGPD)

• Encarregado (Art. 41 LGPD): Marcel R. G. Berger, data-protection@digitalfreedom.co.za, 30 N Gould St, Ste N, Sheridan, WY 82801, Vereinigte Staaten. Die ANPD-Resolution CD/ANPD Nr. 18/2024 erlaubt, dass die Rolle für einen ausländischen Verantwortlichen über die oben genannten Kanäle wahrgenommen wird; diese Erklärung ist die von ihr verlangte öffentliche Veröffentlichung der Kontaktdaten des Encarregado.
• Rechtsgrundlagen (Art. 7 und 11): Einwilligung (I) für Marketing; Vertragserfüllung (V) für Konto, Abrechnung, KI-Funktionen und Diensterbringung; rechtliche Verpflichtung (II) für die Aufbewahrungspflichten, die den Verantwortlichen nach dem für ihn geltenden Recht binden; berechtigtes Interesse (IX) für Sicherheit und Betrugsprävention. Sensible Daten nur mit ausdrücklicher Einwilligung oder auf einer anderen Grundlage nach Art. 11.
• Ihre Rechte nach Art. 18: Bestätigung, Auskunft, Berichtigung, Anonymisierung/Sperrung/Löschung nicht erforderlicher oder nicht rechtskonformer Daten, Datenübertragbarkeit, Löschung einwilligungsbasierter Daten, Information über die Weitergabe und über die Folgen einer Verweigerung der Einwilligung sowie Widerruf der Einwilligung. Antwort innerhalb von 15 Tagen (Art. 19 § 3).
• Übermittlungen (Kapitel V, Art. 33): Angemessenheit (EWR, Vereinigtes Königreich, Schweiz), vertragliche Garantien für die US-Abschnitte oder Ihre Einwilligung, die nach vorheriger Information über den internationalen Charakter erteilt wird — die KI-Funktion benennt ihren US-Empfänger, bevor Sie sie aktivieren.
• Kinder (Art. 14): Die Verarbeitung der Daten eines Kindes (unter 12 Jahren) erfordert eine spezifische und deutlich hervorgehobene Einwilligung der Eltern; ein solcher Mechanismus wird nicht betrieben — stattdessen wird die einwilligungsbasierte Verarbeitung unterlassen. Siehe die Datenschutzhinweise für Kinder.
• Vorfälle (Art. 48): Die ANPD und die betroffenen Personen werden benachrichtigt; unser Ziel sind 72 Stunden, in Anlehnung an Art. 33 DSGVO.
• Beschwerden: Autoridade Nacional de Proteção de Dados — https://www.gov.br/anpd. Eine portugiesische Fassung dieses Abschnitts ist auf Anfrage erhältlich.

17.8 Indien (DPDP Act, 2023)

• DigitalFreedom Global LLC ist der Data Fiduciary; sie ist nicht als Significant Data Fiduciary eingestuft.
• Einwilligung (§ 6): frei, spezifisch, informiert, unbedingt und unmissverständlich, durch eindeutige bestätigende Handlung, beschränkt auf das, was der Zweck erfordert, so leicht widerrufbar wie erteilt. Der Dienst wird nicht von einer Einwilligung abhängig gemacht, die der Zweck nicht erfordert.
• Ihre Rechte (§§ 11–14): Auskunft darüber, was verarbeitet wird und mit wem es geteilt wird; Berichtigung, Vervollständigung und Löschung; Beschwerdeabhilfe; sowie Benennung einer anderen Person, die Ihre Rechte im Fall von Tod oder Geschäftsunfähigkeit ausübt.
• Grievance Officer (§ 8(10), IT Rules 2021): Marcel R. G. Berger, data-protection@digitalfreedom.co.za. Eingangsbestätigung innerhalb von 24 Stunden; Erledigung innerhalb von 15 Tagen, bei komplexen Beschwerden mit Begründung auf 30 Tage verlängert. Eskalation: das Data Protection Board of India, sobald es eingerichtet ist.
• Kinder (§ 9): Daten einer Person unter 18 Jahren werden nur mit nachprüfbarer Einwilligung eines Elternteils oder Vormunds verarbeitet; kein Tracking, keine Verhaltensüberwachung und keine an Kinder gerichtete zielgerichtete Werbung.
• Übermittlungen (§ 16): zulässig, außer in Ziele, die als eingeschränkt bekanntgegeben wurden; keines der verwendeten Ziele (EWR, Vereinigtes Königreich, Schweiz, USA) ist derzeit eingeschränkt.
• Die Hinweise sind auf Englisch verfügbar; eine Fassung in Hindi oder einer anderen Sprache des Achten Anhangs kann unter hello@digitalfreedom.co.za angefordert werden.

17.9 Japan (APPI)

• Das APPI gilt für einen ausländischen Betreiber, der personenbezogene Informationen im Zusammenhang mit der Lieferung von Waren oder Dienstleistungen an Personen in Japan erlangt; dieser Dienst fällt daher darunter.
• Zweckfestlegung: Der Verwendungszweck wird so eng wie möglich festgelegt und bei der Erlangung mitgeteilt oder veröffentlicht. Eine Änderung des Zwecks ist auf das beschränkt, was mit dem ursprünglichen Zweck in einem sachlichen Zusammenhang bleibt; eine weitergehende Änderung erfordert eine erneute Einwilligung.
• Weitergabe an Dritte und Weitergabe an Dritte in einem fremden Land: Die Weitergabe an einen Dritten erfordert grundsätzlich Ihre Einwilligung. Bei einem Dritten in einem fremden Land wird die Einwilligung erst eingeholt, nachdem Ihnen (1) der Name des Landes, (2) Informationen über das System zum Schutz personenbezogener Informationen dieses Landes und (3) die Maßnahmen, die der Empfänger zum Schutz personenbezogener Informationen trifft, mitgeteilt wurden. Dies gilt für OpenAI Ireland Ltd. (Irland) und die Weiterübermittlung an OpenAI OpCo, LLC (Vereinigte Staaten); der Einwilligungsbildschirm der KI-Funktion enthält genau diese Informationen.
• Öffentlich zugängliche Angaben (Art. 32): Name und Anschrift des Betreibers und der Name seines Vertreters, die Verwendungszwecke, die Verfahren für Auskunftsanträge und die Beschwerdekontaktstelle werden in Ihrer Reichweite gehalten — über diese Erklärung und das Impressum. Vertreter: Marcel R. G. Berger.
• Meldung von Datenschutzverletzungen: Für die meldepflichtigen Kategorien eine vorläufige Meldung an die Personal Information Protection Commission innerhalb von etwa 3–5 Tagen und eine abschließende Meldung innerhalb von 30 Tagen (60 Tage bei Verletzungen durch unrechtmäßigen Zugriff); Sie werden benachrichtigt. Unser interner Plan arbeitet mit der kürzesten anwendbaren Frist.
• Es werden keine Werbe-E-Mails versendet (andernfalls würde das 特定電子メール法 — Opt-in, Absenderkennzeichnung, Abmeldung — gelten).

17.10 Korea (PIPA)

• Das PIPA gilt für einen ausländischen Betreiber, der personenbezogene Informationen im Rahmen des Angebots von Waren oder Dienstleistungen an betroffene Personen in Korea verarbeitet; dieser Dienst fällt daher darunter.
• Einzelne, getrennte Einwilligung: Die Einwilligung wird für jeden Punkt gesondert eingeholt, wobei zwischen erforderlichen und optionalen Punkten unterschieden wird; die Ablehnung eines optionalen Punkts blockiert niemals den Dienst; jede Anfrage nennt die erhobenen Punkte, den Zweck, die Speicherdauer, Ihr Recht auf Ablehnung und die Folge der Ablehnung. Die zweckbezogenen Schalter in den Apps setzen genau das um.
• Grenzüberschreitende Übermittlung: Die Übermittlung personenbezogener Informationen ins Ausland erfordert die Mitteilung des Empfängers, des Ziellandes, des Datums und der Methode der Übermittlung, der übermittelten Punkte, des Zwecks und der Speicherdauer beim Empfänger sowie Ihre gesonderte Einwilligung. Dies gilt für OpenAI Ireland Ltd. und die Weiterübermittlung in die USA; der KI-Einwilligungsbildschirm enthält diese Punkte.
• Unter 14 Jahren: Die Verarbeitung der Daten eines Kindes erfordert die Einwilligung des gesetzlichen Vertreters, wobei nur die zur Überprüfung erforderlichen Mindestinformationen erhoben werden. Keine App richtet sich an Kinder; die Altersabfrage behandelt diesen Fall.
• Antwortfrist: Anträge auf Auskunft, Berichtigung/Löschung und Aussetzung werden innerhalb von 10 Tagen bearbeitet, oder Ihnen werden der Grund und der Zeitplan mitgeteilt. Das ist kürzer als der Monat der DSGVO, und die kürzere Frist ist maßgeblich.
• Datenschutzverletzung: Sie werden unverzüglich benachrichtigt; oberhalb der gesetzlichen Schwelle wird die Personal Information Protection Commission oder die benannte Stelle innerhalb von 72 Stunden benachrichtigt.

17.11 Türkei (KVKK)

• Das KVKK (Gesetz Nr. 6698) ähnelt der DSGVO im Konzept, stützt sich aber stärker auf die ausdrückliche Einwilligung als allgemeine Grundlage; jede Verarbeitungstätigkeit wird gesondert nach türkischem Recht bewertet und nicht als aus einer Analyse nach Art. 6 Abs. 1 lit. f übertragbar unterstellt.
• Übermittlungen ins Ausland: Für die US-Übermittlung, auf die sich die KI-Funktion stützt, ist die Grundlage Ihre ausdrückliche Einwilligung, die erteilt wird, nachdem Ihnen die Übermittlung offengelegt wurde.
• Antwortfrist: Anträge werden innerhalb von 30 Tagen beantwortet. Sie können sich bei der Kişisel Verileri Koruma Kurumu beschweren, nachdem Sie sich zuerst an uns gewandt haben — innerhalb von 30 Tagen nach unserer Antwort oder 60 Tagen nach Ihrem Antrag.
• Für in der Türkei ansässige Verbraucher ist die türkische Fassung der veröffentlichten Dokumente maßgeblich.

17.12 Südafrika (POPIA)

POPIA § 3(1) gilt für eine verantwortliche Partei mit Sitz in der Republik oder für eine Verarbeitung mit dort befindlichen Mitteln. Beides ist nicht der Fall — der Verantwortliche hat seinen Sitz in Wyoming und verarbeitet auf Servern in Frankfurt und London, mit einer Sicherungskopie außerhalb des primären Anbieters auf Storj-Speicherknoten in der EU (§ 7), und ein .co.za-Domainname ist ein Name, kein Verarbeitungsmittel. Das Gesetz ist auf den vorliegenden Sachverhalt daher nicht anwendbar. Jede Anfrage nach Art des POPIA wird dennoch über dieselben Kanäle und mit denselben Fristen beantwortet wie überall sonst — eine Dienstzusage, kein Eingeständnis, dass das Gesetz anwendbar ist. Zwei Punkte, in denen POPIA vom DSGVO-Mindeststandard abweichen würde, offen benannt statt verschwiegen: POPIA behandelt jede Person unter 18 Jahren als Kind, und § 22(1) verlangt eine Meldung von Datenschutzverletzungen ohne die Hochrisikoschwelle der DSGVO — der Plan für Datenschutzverletzungen arbeitet nach dem DSGVO-Standard. Der Information Regulator: JD House, 27 Stiemens Street, Braamfontein, Johannesburg, 2001 — https://inforegulator.org.za.

17.13 Alle anderen Länder

Überall dort, wo die Stores vertreiben und kein Abschnitt oben anwendbar ist: Der DSGVO-Mindeststandard dieser Erklärung ist Ihr Mindestschutz (§ 1.2), jedes günstigere zwingende lokale Recht geht ihm vor, und jeder Antrag läuft über data-protection@digitalfreedom.co.za oder https://data-protection.digitalfreedom.co.za.

(c) 2025-2026 DigitalFreedom Global LLC. Alle Rechte vorbehalten.