Datenschutzerklärung

01Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) für die Bereitstellung der App und dieser Website ist:

Ein Datenschutzbeauftragter ist nicht bestellt, da die Voraussetzungen des Art. 37 DSGVO nicht vorliegen. Für alle Fragen zum Datenschutz genügt eine E-Mail an die oben genannte Adresse.

02Grundsatz: local-first

Kiebitz verarbeitet deine Schachdaten ausschließlich auf deinen eigenen Geräten. Es gibt kein Nutzerkonto, keine Registrierung, keinen Cloud-Speicher und keinen Kiebitz-Server, an den Partien, Analysen oder Trainingsfortschritte übertragen werden. Diese Inhalte werden auch nicht an Anzeigenanbieter weitergegeben. Eine Ausnahme entsteht nur, wenn du selbst eine Stellung teilst: Der Link trägt die Stellung in seiner Adresse, und wer ihn öffnet, ruft damit eine Seite des Anbieters auf (Abschnitt 14).

Kiebitz Free kann Werbung anzeigen. Dafür stellt die App Verbindungen zu Google Mobile Ads her; Google kann dabei technische Geräte- und Nutzungsdaten verarbeiten. Eine anonyme Nutzungsstatistik ohne Schachdaten ist ab Werk an; du kannst sie in den Einstellungen abschalten (Abschnitt 7). Absturzberichte werden nie automatisch übermittelt. Alle Netzverbindungen sind in Abschnitt 4 aufgeführt.

03Welche Daten die App lokal speichert

Kiebitz legt seine Daten in einer lokalen SQLite-Datenbank und in lokalen Konfigurationsdateien im anwendungseigenen Datenverzeichnis des Betriebssystems ab (Windows: Anwendungsdatenverzeichnis deines Benutzerkontos; Android: privates App-Verzeichnis, für andere Apps nicht lesbar). Gespeichert werden:

• importierte Partien mit Metadaten (Datum, Gegnername, Elo-Werte, Zeitkontrolle, Eröffnung, Ergebnis, Zugfolge, Quelle)
• Analyseergebnisse der Engine (Bewertungen pro Zug, Zugklassifizierung, Genauigkeit)
• Repertoire-Baum und FSRS-Wiederholungsdaten, Puzzle-Fortschritt und Puzzle-Elo, Endspiel-Ergebnisse, Lernplan und Checklisten
• deine eigenen Notizen und Tags zu Partien und Zügen
• Einstellungen, darunter die von dir eingetragenen chess.com- und Lichess-Benutzernamen, Sprache, Engine-Optionen sowie – falls du das Handy gekoppelt hast – Adresse, Kopplungscode und Zertifikats-Fingerprint des Sync-Hubs
• zwischengespeicherte Antworten des optionalen Online-Eröffnungsbuchs (bis zu 30 Tage)

Diese Daten verlassen dein Gerät nicht, außer du exportierst sie selbst (z. B. als PGN-Datei) oder du synchronisierst sie mit einem eigenen zweiten Gerät (Abschnitt 6).

04Netzverbindungen der App

Die App baut ausschließlich die folgenden Verbindungen auf. Alle anderen Funktionen arbeiten offline.

Teilen: Der Link zu einer geteilten Stellung entsteht auf deinem Gerät. Die App überträgt dabei nichts. Erst wenn jemand den Link öffnet, erreicht die Stellung als Teil der Adresse den Server, der die Seite ausliefert (Abschnitt 14).

Diese Dienste sind unabhängige Dritte und verarbeiten die genannten Daten nach ihren eigenen Datenschutzbestimmungen. Die Werbeverarbeitung ist auf Kiebitz Free beschränkt; Schachinhalte werden keinem dieser Dienste als Werbedaten übermittelt.

• chess.com: Datenschutzerklärung
• Lichess: Datenschutzerklärung
• chessdb.cn: Anbieterseite
• GitHub: Datenschutzerklärung
• Google: Datenschutzerklärung
• Google: Datenverwendung bei Partner-Apps

05Berechtigungen auf dem Gerät

• Kamera (Android): ausschließlich zum Scannen des QR-Codes für die Geräte-Kopplung. Die Berechtigung wird erst in diesem Moment angefragt. Es werden keine Fotos oder Videos gespeichert, verarbeitet oder übertragen; ausgelesen wird nur der im QR-Code enthaltene Text.
• Internet / Netzwerkzugriff: für die in Abschnitt 4 genannten Abrufe und für den Sync im lokalen Netz.
• Benachrichtigungen: optional, für lokale Trainings-Erinnerungen. Sie werden auf dem Gerät erzeugt, ohne Push-Dienst.
• Dateizugriff: nur wenn du selbst eine PGN-Datei importierst oder exportierst, über die Dateiauswahl des Betriebssystems.

06Geräte-Sync im lokalen Netz

Wenn du Desktop und Handy koppelst, verbinden sich ausschließlich deine eigenen Geräte miteinander. Der Desktop dient als Hub; das Handy erhält Adresse, Kopplungscode und den Fingerprint des TLS-Zertifikats über den angezeigten QR-Code. Die Übertragung läuft verschlüsselt (TLS mit Fingerprint-Prüfung) direkt über dein lokales Netz oder ein von dir eingerichtetes VPN.

Es gibt keinen Vermittlungsserver, keinen Relay und keinen Anbieterzugriff. Ohne Kopplung findet kein Sync statt; die Kopplung kannst du in den Einstellungen jederzeit entfernen.

07Werbung und Datenschutzoptionen

Kiebitz betreibt kein automatisches Crash-Reporting und keine Fernprotokollierung. Partien, Analysen, Notizen und Trainingsdaten werden nicht als Werbedaten an Google übermittelt. Kiebitz trifft keine automatisierten Entscheidungen im Sinne des Art. 22 DSGVO.

Anonyme Nutzungsstatistik. Damit der Anbieter weiß, wie viele Installationen es gibt, sendet die App einmal täglich ein Lebenszeichen an api.kiebitz.dev. Es enthält ausschließlich: eine auf deinem Gerät erzeugte Zufallskennung dieser Installation, das Datum, das Betriebssystem, den Bezugsweg, die App-Version und ob Kiebitz Plus aktiv ist. Schachdaten, Name und E-Mail-Adresse sind nicht enthalten; die Kennung wird serverseitig nur als Prüfsumme gespeichert, ist keinem Konto zuordenbar und wird nicht mit Werbedaten zusammengeführt. Ab Werk ist die Statistik an; unter „Einstellungen → Werbung & Datenschutz“ kannst du sie jederzeit abschalten. Damit endet die Übertragung sofort, die Kennung dieser Installation wird gelöscht, und ein späteres Einschalten erzeugt eine neue. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO · das berechtigte Interesse, die Verbreitung der App und die genutzten Versionen zu kennen, ohne dafür Konten oder Schachdaten zu berühren. Der Schalter ist zugleich dein Widerspruch nach Art. 21 DSGVO.

Die Android-Version von Kiebitz Free verwendet Google Mobile Ads. Vor einer Anzeigenanfrage aktualisiert Googles User Messaging Platform (UMP) den Einwilligungsstatus und zeigt, wo erforderlich, eine Auswahl an. Diese Auswahl kannst du unter Einstellungen → Werbung & Datenschutz erneut öffnen. Auch nicht personalisierte oder eingeschränkte Anzeigen können technisch notwendige Daten wie die IP-Adresse sowie Sicherheits- und Betrugspräventionsdaten verarbeiten. Die Werbe-ID kannst du zusätzlich in den Android-Systemeinstellungen zurücksetzen oder löschen.

Die Desktop-Version von Kiebitz Free lädt eine statische Werbefläche von dieser Kiebitz-Website über GitHub Pages. Dabei werden keine Schachdaten, Kiebitz-Nutzerkennung, Cookies oder Werbe-ID übertragen; die App unterdrückt auch den Referrer. GitHub verarbeitet beim Abruf technisch notwendige Verbindungsdaten wie die IP-Adresse und Browserkennung in Server-Logfiles. Werbemittel werden von derselben Website geladen. Erst wenn du eine Anzeige anklickst, öffnet sich die Zielseite des Werbekunden, die dann eigene Verbindungsdaten erhält. Rechtsgrundlage für die kontextbezogene Auslieferung ist Art. 6 Abs. 1 lit. f DSGVO (Finanzierung und Betrieb der kostenlosen Version). Ist keine Kampagne aktiv, bleibt die Werbefläche verborgen.

08Kiebitz-Konto und Kiebitz Plus

Ein Kiebitz-Konto ist freiwillig; Kiebitz Free funktioniert ohne. Legst du eines an, verarbeitet der Anbieter deine E-Mail-Adresse, einen pseudonymen Hashwert dieser Adresse, ausschließlich Hashes der Anmelde- und Sitzungstoken, Zeitstempel von Anlage und Anmeldung, den Berechtigungsstatus (Free, Plus, Test, Laufzeit) sowie verschlüsselte Kaufreferenzen. Schachdaten werden dabei nicht übertragen: Partien, Analysen, Notizen, Trainings- und Fortschrittsdaten bleiben auf deinen Geräten. Die Konto-API läuft unter api.kiebitz.dev auf der Infrastruktur von Cloudflare (Cloudflare Germany GmbH bzw. Cloudflare, Inc.).

Für den Versand der Anmeldelinks nutzt der Anbieter Resend (Resend, Inc., USA); übermittelt werden die Empfängeradresse, der einmalige Link und Zustellmetadaten. Die Zahlungsabwicklung für Kiebitz Plus übernimmt Stripe (Stripe Payments Europe, Ltd., Irland, mit Stripe, Inc., USA). Zahlungsmittel- und Rechnungsdaten liegen bei Stripe; Kiebitz erhält von dort eine Kundenreferenz, den Abonnementstatus und die Laufzeit, nicht jedoch vollständige Zahlungsdaten. Wird Kiebitz Plus stattdessen über Google Play gekauft, prüft der Anbieter den Abostatus über die Google-Play-Developer-API (Google Ireland Ltd. bzw. Google LLC). Bei diesen Anbietern ist eine Verarbeitung in Drittländern, insbesondere den USA, möglich.

Meldest du dich auf dieser Website an (Seiten /plus/, /plus/account/ und /plus/success/), setzt die API ein technisch notwendiges Sitzungs-Cookie (__Host-kiebitz_session, HttpOnly, Secure, SameSite=Lax, Laufzeit 30 Tage). Es enthält keine Schachdaten, dient nicht der Reichweitenmessung oder Werbung und ist nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei. In der App wird stattdessen ein Sitzungstoken verwendet und zusammen mit der signierten Berechtigung im Schlüsselspeicher des Systems abgelegt. Die signierte Berechtigung enthält Konto-Kennung, Plan, Funktionsliste und Laufzeit; sie wird lokal geprüft und läuft nach Ablauf von selbst auf Free zurück.

Rechtsgrundlage für Konto, Abonnement und Freischaltung ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungs- bzw. Abonnementvertrags), für Missbrauchs- und Ratenbegrenzung Art. 6 Abs. 1 lit. f DSGVO und für die Aufbewahrung von Abrechnungsunterlagen Art. 6 Abs. 1 lit. c DSGVO. Du kannst dein Konto jederzeit in der App oder unter /plus/account/ löschen; läuft ein Abonnement noch, ist es zuvor beim jeweiligen Anbieter zu kündigen. Beim Löschen werden Sitzungen und Anmeldelinks entfernt, die E-Mail-Adresse im Kontodatensatz anonymisiert und Kaufquellen entkoppelt. Erhalten bleiben der pseudonyme Hashwert der Adresse und die Information, dass ein kostenloser Testzeitraum bereits genutzt wurde, damit Löschen und Neuanlegen keinen zweiten Test erzeugt (Art. 6 Abs. 1 lit. f DSGVO).

09Kündigung und Widerruf

Auf den Seiten Verträge hier kündigen und Vertrag widerrufen kannst du deine Erklärung ohne Anmeldung abgeben. Verarbeitet werden dabei:

• Name und E-Mail-Adresse,
• Zahlungsweg (Stripe, Google Play oder unbekannt) und Vertragsbezeichnung,
• bei der Kündigung zusätzlich die Kündigungsart und das gewünschte Vertragsende,
• deine freiwillige Begründung oder Mitteilung,
• Vorgangsnummer und Zeitstempel des Eingangs.

Zur Begrenzung missbräuchlicher Massenanfragen werden E-Mail- und IP-Adresse ausschließlich als Hashwert gespeichert; die Klartextadressen fließen dort nicht ein. Zweck der Verarbeitung sind die Entgegennahme, der Nachweis und die Bearbeitung deiner Erklärung. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Vertrags), Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflichten) und Art. 6 Abs. 1 lit. f DSGVO (Nachweis berechtigter Ansprüche).

Die Eingangsbestätigung wird per E-Mail über Resend (Resend, Inc., USA) versendet. Rechtsvorgänge werden spätestens nach vier Jahren gelöscht, die Daten der Ratenbegrenzung nach zwei Tagen.

10Rechtsgrundlagen

Soweit die App deine Schachdaten ausschließlich lokal verarbeitet, hat der Anbieter darauf keinen Zugriff. Für einzelne Netzwerk- und Werbevorgänge gelten insbesondere:

• Art. 6 Abs. 1 lit. b DSGVO: Bereitstellung der von dir angeforderten Funktionen, insbesondere der Import deiner Partien von chess.com bzw. Lichess und der Sync zwischen deinen Geräten.
• Art. 6 Abs. 1 lit. a DSGVO: Einwilligung, wo du eine Funktion selbst einschaltest oder eine Werbeauswahl triffst: optionales Online-Eröffnungsbuch (chessdb.cn), Kamera-Zugriff für das QR-Pairing, Benachrichtigungen sowie personalisierte Werbung und einwilligungspflichtige Gerätezugriffe. Du kannst die Werbeauswahl unter „Einstellungen → Werbung & Datenschutz“ und andere Berechtigungen in den App- bzw. Systemeinstellungen widerrufen.
• Art. 6 Abs. 1 lit. f DSGVO: berechtigtes Interesse an einer sicheren, aktuellen Software (Prüfung auf Programm-Updates) sowie an belastbaren Zahlen über Verbreitung und genutzte Versionen (anonyme Nutzungsstatistik, Abschnitt 7). Die Statistik ist ab Werk an und lässt sich unter „Einstellungen → Werbung & Datenschutz“ abschalten · das ist zugleich der Widerspruch nach Art. 21 DSGVO.

11Speicherdauer und Löschung

Deine lokalen Schachdaten bleiben so lange gespeichert, wie du sie behalten möchtest; Kiebitz betreibt dafür keine serverseitige Aufbewahrung. Du kannst jederzeit:

• einzelne Partien, Notizen, Tags oder Repertoire-Einträge in der App löschen,
• die Kopplung mit einem anderen Gerät entfernen,
• die App deinstallieren; damit werden die lokalen App-Daten entfernt (unter Android zusätzlich über „App-Daten löschen“, unter Windows durch Löschen des Anwendungsdatenverzeichnisses),
• deine Daten vorher als PGN exportieren, wenn du sie behalten willst.

Die Aufbewahrung der von Google Mobile Ads verarbeiteten technischen Daten richtet sich nach Googles eigenen Vorgaben. Deine Werbeauswahl kannst du in Kiebitz erneut öffnen; die Werbe-ID lässt sich in Android zurücksetzen oder löschen.

Solange die anonyme Nutzungsstatistik eingeschaltet ist, werden die einzelnen Tageseinträge nach 60 Tagen gelöscht. Vorher werden sie zu Monatssummen ohne Gerätebezug verdichtet (Anzahl aktiver Installationen je Monat, Betriebssystem, Bezugsweg, Version und Stufe); diese Summen bleiben als Statistik erhalten und lassen keinen Rückschluss auf eine einzelne Installation zu. Schaltest du die Statistik ab, wird die Kennung dieser Installation auf dem Gerät gelöscht und es werden keine weiteren Einträge erzeugt; die bereits vorhandenen Tageseinträge laufen nach der genannten Frist aus.

12Kinder und Jugendliche

Kiebitz richtet sich nicht speziell an Kinder. Für Werbung gelten die von Google und Google Play vorgesehenen Alters-, Einwilligungs- und Jugendschutzregeln; bei einer Einstufung für Kinder müssen außerdem die entsprechenden Familien- und Anzeigenanforderungen erfüllt werden. Beim Import von Partien gelten die Bedingungen des jeweiligen Schachportals.

13Deine Rechte

Dir stehen nach der DSGVO die Rechte auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) zu, ebenso das Recht, eine erteilte Einwilligung jederzeit zu widerrufen (Art. 7 Abs. 3).

Kiebitz speichert keine Schachdaten über dich in einem eigenen Backend; lokale Daten kannst du selbst einsehen, exportieren und löschen. Für Kiebitz-Anfragen genügt eine E-Mail an support@kiebitz.dev. Rechte bezüglich der von Google verarbeiteten Werbedaten kannst du außerdem über Googles Datenschutzoptionen ausüben.

Du hast außerdem das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz; du kannst dich auch an die Behörde deines Wohnorts wenden.

14Diese Website

Diese Website ist statisch und wird über GitHub Pages (GitHub, Inc., 88 Colin P. Kelly Jr. Street, San Francisco, CA 94107, USA) ausgeliefert. Beim Aufruf verarbeitet GitHub als Hoster technisch notwendige Verbindungsdaten, insbesondere deine IP-Adresse, Datum und Uhrzeit, angeforderte Datei, Referrer und Browserkennung, in Server-Logfiles. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (sicherer, störungsfreier Betrieb). Der Anbieter dieser Website hat keinen Zugriff auf diese Logdaten.

Reichweitenmessung: Die öffentlich aufrufbaren Website-Seiten verwenden Cloudflare Web Analytics (Cloudflare, Inc.). Dafür wird ein Skript von static.cloudflareinsights.com geladen. Es erfasst Seitenaufrufe und Besuche sowie den aufgerufenen Pfad, Referrer, Land, Gerätetyp, Browser, Betriebssystem und technische Leistungswerte; beim Abruf und bei der Übermittlung verarbeitet Cloudflare außerdem technisch notwendige Verbindungsdaten wie die IP-Adresse. Der Dienst setzt für Analytics weder Cookies noch localStorage ein, bildet keine dauerhaften Nutzerkennungen und verwendet kein Fingerprinting. Die Auswertung ist aggregiert; ein „Besuch“ ist keine eindeutig identifizierte Person. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Reichweite, gefragten Inhalten und technischer Qualität der Website). Hinweise von Cloudflare: Web Analytics und Datenschutz.

Abgesehen von Cloudflare Web Analytics setzen die öffentlich aufrufbaren Website-Seiten keine Werbe- oder Social-Media-Skripte ein. Die ausschließlich in Kiebitz Desktop eingebettete Werbefläche erhält das Analytics-Skript nicht und verwendet ein lokales Skript zur Auswahl aktiver Kampagnen, aber ebenfalls keine Cookies, Speicherung, Nutzerkennungen, Analytics oder Drittanbieter-Skripte. Schriftarten, Stile und Werbemittel liegen auf demselben Server. Die von dir auf der Website gewählte Sprache wird ausschließlich lokal in deinem Browser (localStorage) gespeichert, damit die Seite beim nächsten Besuch in derselben Sprache erscheint; diese Angabe wird nicht übertragen. Datenschutzerklärung von GitHub: docs.github.com.

Feedback-Formular: Nur wenn du eine Meldung absendest, werden die von dir eingetragenen Angaben (Art der Meldung, Kurzfassung, Details, optional Plattform, App-Version und E-Mail-Adresse) sowie technisch notwendige Verbindungsdaten an FormSubmit (formsubmit.co) übertragen und von dort per E-Mail an den Anbieter weitergeleitet. Es werden keine Daten automatisch aus der App ausgelesen oder angehängt. FormSubmit hält Einsendungen nach eigenen Angaben bis zu 30 Tage für die Zustellung und den Abruf vor. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit du Support anfragst, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (Bearbeitung freiwilliger Rückmeldungen und Verbesserung der Software). Die beim Anbieter eingegangene E-Mail wird gelöscht, sobald sie für Bearbeitung und Rückfragen nicht mehr benötigt wird. Hinweise von FormSubmit: Datenschutz und Dokumentation.

Geteilte Stellungen: Teilst du in der App eine Stellung, entsteht ein Link auf s.kiebitz.dev. Die Stellung steckt in der Adresse dieses Links; beim Anbieter wird dafür nichts gespeichert, es gibt weder Datenbank noch Datensatz. Öffnet jemand den Link, beantwortet ihn ein Cloudflare Worker (Cloudflare, Inc.): Er liest die Stellung aus der Adresse, zeichnet daraus Seite und Vorschaubild und verwirft sie anschließend. Cloudflare verarbeitet dabei als Auftragsverarbeiter technisch notwendige Verbindungsdaten wie IP-Adresse, Zeitpunkt, angeforderte Adresse, Referrer und Browserkennung; außerdem läuft dort dieselbe Reichweitenmessung wie auf der übrigen Website (siehe oben), ohne Cookies und ohne dauerhafte Kennung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Bereitstellung der aufgerufenen Seite und berechtigtes Interesse an ihrer Reichweite). Der Link enthält nur die Stellung, gegebenenfalls die zugehörige Zugfolge, Bewertung, Puzzle-Elo und die Überschrift, die du selbst eingibst; Spielernamen, Partien, Notizen oder Trainingsdaten enthält er nicht. Wer den Link hat, sieht die Stellung: Er ist nicht geheim und lässt sich nicht zurückrufen, weil es serverseitig nichts zu löschen gibt. Teile deshalb nur, was du weitergeben willst. Für Suchmaschinen sind diese Seiten gesperrt. Datenschutzerklärung von Cloudflare: Datenschutz.

15Änderungen dieser Erklärung

Wird die App um Funktionen erweitert, die neue Datenverarbeitungen mit sich bringen, wird diese Erklärung vorher angepasst. Der jeweils aktuelle Stand ist oben datiert und dauerhaft unter dieser Adresse erreichbar.