Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer nationaler Datenschutzgesetze ist:

Sven Waldow
Brixenweg 8
64297 Darmstadt
Deutschland
E-Mail: contact@unonym.org

2. Kernprinzip: Datenschutz durch Technikgestaltung (Privacy by Design)

UNONYM ist eine Plattform zum Nachweis der Einzigartigkeit („Ein Mensch = Ein Konto“) ohne Offenlegung der bürgerlichen Identität. Das System folgt dem Prinzip des Zero-PII (Personally Identifiable Information):

• Keine Speicherung von Rohidentitätsdaten: Telefonnummern, behördliche Ausweisdaten oder Klarnamen werden auf den Servern von UNONYM weder im Klartext noch verschlüsselt dauerhaft gespeichert.
• Provider-Attestation & Hashwerte: Verifizierungen erfolgen extern. Das UNONYM-Backend empfängt und speichert ausschließlich kryptografisch gehashte Werte (HMAC mit systemweitem Pepper) zur Dublettenprüfung und zum Schutz vor Sybil-Angriffen.
• Lokale Biometrie: Biometrische Daten (Fingerabdruck, Gesichtserkennung) zur App-Entsperrung oder für Passkeys verbleiben ausschließlich im Sicherheitsbereich Ihres Endgeräts (Secure Enclave / StrongBox / Keystore) und werden zu keinem Zeitpunkt an UNONYM übertragen.

3. Verarbeitete Datenarten

• E-Mail-Adresse: Zur Kontoführung, Authentifizierung und für transaktionale Sicherheitsnachrichten.
• Passwort-Hashes: Bei nativer Passwort-Registrierung sicher gehasht via Argon2/bcrypt in Ory Kratos.
• UNONYM-ID: Ein zufällig generierter öffentlicher Pseudonym-Bezeichner (z. B. uno_...).
• Vertrauenspunkte & Trust-Tier: Aggregierte Punktwerte zum Nachweis des Verifizierungsstatus.
• Pseudonymisierte Geräte-Kennungen: Zur Verhinderung von Mehrfachkonten pro physischem Endgerät wird ein SHA-256-Hash der Hardware-Kennung (Android ID / iOS Keychain UUID) gespeichert.
• Protokolldaten & Server-Logfiles: Beim Abruf unserer Dienste verarbeitet der Webserver standardmäßig IP-Adressen, Zugriffszeiten, übertragene Datenmengen und Browserinformationen zur Gewährleistung der Systemsicherheit und DDoS-Abwehr (Speicherdauer max. 30 Tage).

4. Rechtsgrundlagen der Verarbeitung

• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Bereitstellung des Nutzerkontos, Authentifizierung, Sitzungsverwaltung und Plattformfunktionen.
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Freiwillige Hinzufügung von optionalen Verknüpfungen (z. B. Google Account, Reddit, Telefon-Verifizierung).
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO): Abwehr von Missbrauch, Verhinderung gefälschter Multi-Accounts (Sybil-Schutz), Systemsicherheit sowie datensparsame Reichweitenmessung.

5. Eingesetzte Dienste und Drittanbieter

• Server-Hosting (Hetzner Online GmbH): Unsere Backend-Dienste, Datenbanken sowie das Authentifizierungssystem (Ory Kratos) werden auf Cloud-Servern der Hetzner Online GmbH (Gunzenhausen, Deutschland) betrieben. Die Daten verbleiben in der EU.
• Transaktionaler E-Mail-Versand (Brevo): Der Versand von System-E-Mails (E-Mail-Bestätigung, Passwort-Reset) erfolgt über den SMTP-Relay-Dienst von Brevo (Brevo GmbH, Köpenicker Str. 126, 10179 Berlin / Sendinblue SAS, Frankreich).
• DNS & Inbound-E-Mail (Hostinger): Domainverwaltung und Empfangspostfächer werden bei Hostinger Operations UAB (Vilnius, Litauen / EU) geführt.
• Google OIDC, Firebase & Play Integrity (Google Ireland Limited):Bei Nutzung des Google-Logins, der Telefon-SMS-Verifizierung (Firebase Auth inkl. reCAPTCHA) oder der Android-App-Integritätsprüfung (Play Integrity API) werden Authentifizierungsdaten durch Google verarbeitet. Bei Transfers in die USA stützen sich Übermittlungen auf das EU-US Data Privacy Framework (DPF) sowie EU-Standardvertragsklauseln.
• Plattform-Verknüpfungen (Reddit / GitHub): Optionale Signatur- und Verifizierungsdaten werden bei Kopplung an Reddit Inc. bzw. GitHub Inc. übermittelt.

6. Cookies und Webanalyse

Technisch notwendige Cookies: Wir setzen ausschließlich technisch erforderliche Session- und CSRF-Cookies zur Authentifizierung und Autorisierung (Ory Kratos / Next.js) ein. Diese erfordern gemäß § 25 Abs. 2 Nr. 2 TDDDG keine Einwilligung und können nicht deaktiviert werden.

Cookiefreie Webanalyse (Umami): Wir nutzen auf unserer Plattform die datenschutzfreundliche Analysesoftware Umami Analytics. Umami wird auf unseren eigenen Servern bei Hetzner in Deutschland betrieben. Umami verwendet keine Cookies, speichert keine personenbezogenen Nutzerprofile und verfolgt Nutzer nicht über Websites hinweg. Die Erfassung erfolgt auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) zur Optimierung unseres Webangebots.

7. Speicherdauer und Löschung

Personenbezogene Kontodaten werden gespeichert, solange Ihr UNONYM-Konto aktiv ist. Bei Löschung des Kontos werden sämtliche verknüpften Kontodaten, Sitzungen und kryptografischen Identifikatoren unverzüglich gelöscht, sofern keine gesetzlichen Aufbewahrungsfristen entgegenstehen.

8. Ihre Rechte als betroffene Person

Ihnen stehen nach der DSGVO folgende Rechte zu:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung („Recht auf Vergessenwerden“, Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Widerrufsrecht bei erteilten Einwilligungen (Art. 7 Abs. 3 DSGVO)
• Beschwerderecht bei einer zuständigen Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO)

Anfragen zur Wahrnehmung Ihrer Rechte richten Sie bitte an: contact@unonym.org