Datenschutzerklärung
1. Verantwortlicher
Miklós Hegybíró · c/o IP-Management #11238 · Ludwig-Erhard-Str. 18 · 20459 Hamburg, Deutschland
E-Mail: support@feedfocus.app
Es ist kein Datenschutzbeauftragter bestellt, da weniger als 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 Abs. 1 BDSG).
2. Übersicht der Datenverarbeitungen
FeedFocus verarbeitet personenbezogene Daten ausschließlich zur Bereitstellung der App-Funktionen. Wir verkaufen keine Daten, schalten keine Werbung und führen kein Tracking durch.
3. Erhobene Daten und Zweck
3.1 Google OAuth Authentifizierung
Bei der Anmeldung mit Google OAuth erhalten wir:
- Google User ID, E-Mail-Adresse, Profilname
- YouTube OAuth Access Token (Scope: youtube.readonly) — ausschließlich lesender Zugriff auf die Liste der abonnierten Kanäle
Zweck: Nutzer-Authentifizierung und Bereitstellung des Feeds aus abonnierten Kanälen. Ein schreibender Zugriff auf das YouTube-Konto (z. B. Likes, Kommentare) erfolgt nicht. Das OAuth-Token wird ausschließlich serverseitig gespeichert und verwendet; es verlässt unser Backend nicht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
3.2 YouTube-Daten (Feed)
Zur Bereitstellung des ablenkungsfreien Feeds werden folgende Daten abgerufen:
- Liste der abonnierten Kanäle (YouTube Data API, lesend)
- Neue Videos der abonnierten Kanäle über öffentliche RSS-Feeds von YouTube sowie Video-Metadaten (Titel, Kanal, Dauer) über die YouTube Data API
Diese Daten werden ausschließlich zur Anzeige des Feeds und für Benachrichtigungen über neue Videos verwendet. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
3.3 Video-Transkripte
Für KI-Zusammenfassungen benötigte Video-Transkripte beziehen wir über einen externen Dienstleister: Supadata (Dumpling Software UG (haftungsbeschränkt), Berlin, Deutschland). An diesen Dienstleister wird ausschließlich die öffentliche YouTube-Video-ID übermittelt — keine personenbezogenen Daten, keine Nutzerkennung und kein OAuth-Token.
Video-Transkripte werden nur flüchtig verarbeitet (lesen, verarbeiten, verwerfen): Sie werden in einem temporären technischen Zwischenspeicher gehalten und spätestens nach 24 Stunden automatisch gelöscht. Eine dauerhafte Speicherung von Video-Volltexten findet nicht statt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
3.4 In der App gespeicherte Nutzerdaten
Folgende Daten werden in unserer Datenbank (Supabase, gehostet bei AWS, Region eu-central-1) gespeichert:
- Ausgeblendete Videos (dismissed_videos), gespeicherte Videos (saved_videos), Kanalgruppen
- Erstellte Digests (Audio-Podcasts) als MP3-Dateien — automatische Löschung nach 30 Tagen
- Briefing-Regeln (automatische Digest-Erstellung nach Nutzer-Konfiguration)
- Nutzungsstatistiken: Anzahl Zusammenfassungen/Tag, Audio-Produktionen/Monat, Briefings/Monat, Perspektiven/Monat, Ask-Video-Nutzung/Monat
- Nutzereinstellungen: KI-Provider, Sprache, Stimmenauswahl, Theme, Push-Token
Zur Verhinderung der Umgehung von Nutzungslimits (z. B. durch Konto-Löschung und Neuanlage) werden Nutzungskontingente zusätzlich an eine pseudonymisierte Kennung geknüpft: einen kryptographischen Hash (HMAC-SHA256) der Google-Konto-ID. Die Klar-Kennung wird hierfür nicht gespeichert; der Hash ist nicht auf die Person rückrechenbar. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Missbrauchsprävention).
3.5 KI-Verarbeitung durch Drittanbieter
Zur Erstellung von KI-Zusammenfassungen, Podcast-Skripten und KI-Perspektiven werden Video-Transkripte und -Metadaten (Titel, Kanalname) an folgende KI-Anbieter übermittelt:
a) Serverseitige Verarbeitung (über Supabase Edge Functions, API-Keys beim Anbieter gespeichert):
- Anthropic Claude API — Zusammenfassungen, Podcast-Skripte, KI-Perspektive. Server: USA.
- Google Gemini API — Zusammenfassungen, KI-Perspektive, Video-Analyse als technischer Fallback. Server: USA/EU.
- xAI Grok API — KI-Perspektive (Synthese) sowie Sprachsynthese (siehe 3.6). Server: USA.
Eingesetzt werden jeweils aktuelle Modellversionen; die konkret verwendeten Modelle werden in der KI-Transparenzerklärung ausgewiesen.
b) Optionale nutzerseitige Verarbeitung (API-Keys des Nutzers, verschlüsselt im iOS Keychain via SecureStore): Nutzer können für unterstützte KI-Anbieter eigene API-Keys in den Einstellungen hinterlegen. In diesem Fall erfolgt die Datenübermittlung direkt vom Endgerät an den jeweiligen Anbieter. Durch Eingabe des eigenen Keys willigt der Nutzer aktiv in diese Übermittlung ein.
Es werden keine personenbezogenen Daten des Nutzers an die KI-Anbieter übermittelt — ausschließlich Video-Transkripte und -Metadaten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
3.6 Text-to-Speech (Audio)
Die Sprachausgabe (MP3) für Digests und Briefings wird primär durch xAI (Grok TTS, fünf synthetische Stimmen) erzeugt. Als technischer Fallback bei Ausfall des primären Dienstes kann ElevenLabs Inc. (UK/USA) eingesetzt werden. Übermittelt werden ausschließlich die zu vertonenden Texte (Zusammenfassungen, Podcast-Skripte), keine personenbezogenen Daten. Die Verarbeitung erfolgt serverseitig über Supabase Edge Functions.
3.7 Zahlungsabwicklung
In-App-Käufe werden über Apple StoreKit abgewickelt und durch RevenueCat Inc. (USA) verwaltet. Wir erhalten von RevenueCat:
- Abo-Status (free/pro), Kaufdatum, Ablaufdatum, App User ID
- Keine Zahlungsdaten (Kreditkarte, Bankverbindung etc.) — diese verbleiben bei Apple
RevenueCat speichert die Supabase User ID als App User ID zur Zuordnung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
3.8 Newsletter
Bei Anmeldung zum Newsletter speichern wir die E-Mail-Adresse in unserer Datenbank. Der Versand erfolgt über Resend Inc. (USA). Double-Opt-In ist implementiert: Der Versand beginnt erst nach Bestätigung über den zugesandten Link. Abmeldung ist jederzeit über den Link in jeder Mail möglich. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).
3.9 Crash-Reporting und Diagnostik
Sentry (Functional Software Inc., USA) erfasst Crash-Reports der App sowie serverseitige Fehlerereignisse unserer Edge Functions zur Fehlerbehebung. Diese Ereignisse enthalten technische Kontextdaten (z. B. Fehlercodes, Video-IDs), jedoch keine Klardaten wie Name oder E-Mail-Adresse. In der Entwicklungsumgebung ist Sentry deaktiviert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Stabilität der App).
3.10 Push-Benachrichtigungen
Bei Aktivierung von Push-Benachrichtigungen wird ein Expo Push Token auf dem Gerät erzeugt und in unserer Datenbank gespeichert. Der Versand erfolgt über den Expo Push Service (650 Industries Inc., USA). Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).
3.11 Auf dem Gerät gespeicherte Daten
FeedFocus speichert folgende Daten lokal auf dem iOS-Gerät des Nutzers:
- Optionale eigene API-Keys für unterstützte KI-Anbieter — verschlüsselt im iOS Keychain via SecureStore/LargeSecureStore
- Feed-Cache (AsyncStorage, 2 Stunden TTL), Kanal-Cache (4 Stunden TTL)
- Onboarding-Status, TTS-Nutzungszähler, Theme-Einstellungen
4. Auftragsverarbeiter und Drittlandtransfers
Folgende Dienste verarbeiten Daten in unserem Auftrag oder erhalten Daten zur Leistungserbringung:
| Dienst | Anbieter | Sitz | Zweck | Garantie | Rechtsgrundlage |
|---|---|---|---|---|---|
| Supabase | Supabase Inc. | USA (Hosting: AWS eu-central-1) | Datenbank, Auth, Storage, Edge Functions | EU SCCs, DPF | Art. 6(1)(b) |
| Supadata | Dumpling Software UG (haftungsbeschränkt) | Deutschland (EU) | Bezug von Video-Transkripten (Übermittlung nur öffentlicher Video-IDs) | kein Drittlandtransfer | Art. 6(1)(b) |
| Anthropic Claude | Anthropic PBC | USA | KI-Zusammenfassungen, Podcast-Skripte, KI-Perspektive | EU SCCs, DPF | Art. 6(1)(b) |
| Google (YouTube) | Google LLC | USA/EU | OAuth, YouTube Data API (readonly), RSS-Feeds | EU SCCs, DPF | Art. 6(1)(b) |
| Google Gemini | Google LLC | USA/EU | KI-Zusammenfassungen, KI-Perspektive, Video-Fallback | EU SCCs, DPF | Art. 6(1)(b) |
| xAI Grok | xAI Corp. | USA | KI-Perspektive, Text-to-Speech (Grok TTS) | EU SCCs | Art. 6(1)(b) |
| ElevenLabs | ElevenLabs Inc. | UK/USA | Text-to-Speech (nur technischer Fallback) | EU SCCs, UK Adequacy | Art. 6(1)(b) |
| RevenueCat | RevenueCat Inc. | USA | Abo-Verwaltung, Entitlement-Prüfung | EU SCCs, DPF | Art. 6(1)(b) |
| Resend | Resend Inc. | USA | Newsletter-Versand, Double-Opt-In | EU SCCs | Art. 6(1)(a) |
| Sentry | Functional Software Inc. | USA | Crash-Reporting, Fehler-Monitoring (App + Server) | EU SCCs, DPF | Art. 6(1)(f) |
| Expo | 650 Industries Inc. | USA | Push Notifications, Build-Service | EU SCCs | Art. 6(1)(a) |
| Apple | Apple Inc. | USA/EU | In-App Purchase, App Distribution | EU SCCs, DPF | Art. 6(1)(b) |
Für Transfers in die USA stützen wir uns auf EU-Standardvertragsklauseln (SCCs) und, soweit der jeweilige Anbieter zertifiziert ist, das EU-US Data Privacy Framework (DPF). Details zu den einzelnen Garantien können beim Verantwortlichen erfragt werden.
Hinweis: Bei Nutzung eigener API-Keys durch den Nutzer besteht ein direktes Vertragsverhältnis zwischen Nutzer und dem jeweiligen KI-Anbieter. Die Datenschutzrichtlinien des jeweiligen Anbieters gelten dann zusätzlich.
5. Speicherdauer
- Nutzerkonto-Daten: bis zur Kontolöschung durch den Nutzer (Account-Löschung in den App-Einstellungen)
- Video-Transkripte: temporärer Zwischenspeicher, automatische Löschung spätestens nach 24 Stunden
- Digest-MP3-Dateien: automatische Löschung nach 30 Tagen
- KI-Zusammenfassungen: dauerhaft gespeichert (nutzerübergreifender Cache ohne personenbezogene Daten, Video-ID als Schlüssel)
- Pseudonymisierte Nutzungskennungen (Hash, siehe 3.4): verbleiben auch nach Kontolöschung, um die Umgehung von Nutzungslimits durch Konto-Neuanlage zu verhindern; eine Rückführung auf die Person ist nicht möglich
- Newsletter-Daten: bis zur Abmeldung (Abmeldelink in jeder Mail); bei Kontolöschung wird das Abonnement automatisch mit entfernt
- Crash-Reports (Sentry): 90 Tage
- Feed-Cache (Gerät): 2 Stunden, Kanal-Cache: 4 Stunden (automatisch)
6. Ihre Rechte
Sie haben gegenüber uns folgende Rechte nach der DSGVO:
- Auskunft (Art. 15 DSGVO) — welche Daten wir über Sie speichern
- Berichtigung (Art. 16 DSGVO) — Korrektur unrichtiger Daten
- Löschung (Art. 17 DSGVO) — Nutzen Sie hierfür die Account-Löschung in den App-Einstellungen (Einstellungen → Account löschen). Alle nutzerbezogenen Daten werden unwiderruflich entfernt; zusätzlich wird die erteilte Google-Freigabe serverseitig widerrufen.
- Einschränkung (Art. 18 DSGVO) — Einschränkung der Verarbeitung
- Datenübertragbarkeit (Art. 20 DSGVO) — Bereitstellung Ihrer Daten in maschinenlesbarem Format
- Widerspruch (Art. 21 DSGVO) — Widerspruch gegen Verarbeitung auf Basis berechtigter Interessen
- Widerruf von Einwilligungen (Art. 7 Abs. 3 DSGVO) — jederzeit mit Wirkung für die Zukunft (z. B. Newsletter-Abmeldung, Push-Benachrichtigungen deaktivieren, Trennung der YouTube-Verbindung in den Einstellungen)
Zur Ausübung Ihrer Rechte kontaktieren Sie uns unter: support@feedfocus.app
Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständige Aufsichtsbehörde: Die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover, poststelle@lfd.niedersachsen.de
7. Änderungen
Wir behalten uns vor, diese Datenschutzerklärung bei Änderungen der App-Funktionen oder der Rechtslage anzupassen. Die aktuelle Fassung ist stets unter feedfocus.app/privacy abrufbar.