Datenschutzerklärung — Everstow

Stand: 18.08.2026 — Everstow befindet sich in geschlossener Beta.

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der DSGVO:

Ein Datenschutzbeauftragter ist nicht bestellt (keine Benennungspflicht nach § 38 BDSG).

2. Das Grundprinzip: deine Daten bleiben auf deinem Gerät

Everstow ist local-first gebaut. Deine Inhalte — Termine und Kalender-Auswertungen, Aufgaben, Mail-Analysen, Verträge, Notizen sowie das „Gedächtnis" der KI über dich und Personen aus deinem Umfeld — liegen in einer lokalen Datenbank auf deinem iPhone, geschützt durch die iOS-Geräteverschlüsselung (Data Protection). Es gibt keine Server-Datenbank, in der wir deine Inhalte im Normalbetrieb speichern.

Deine Inhalte verlassen dein Gerät nur in diesen Fällen:

1. KI-Verarbeitung (Abschnitt 5) — damit Aura deine Anfragen beantworten kann,
2. Cloud-Backup (Abschnitt 6) — nur wenn du es aktivierst,
3. direkte Verbindungen zu deinen eigenen Konten (Microsoft-Mail, Gmail, Google-Kalender — Abschnitte 7 und 8),
4. Mail-Abruf über unseren Server in Deutschland, wenn du ein Postfach per IMAP verbindest (Abschnitt 7.3) — dieser eine Weg läuft ausdrücklich nicht direkt von deinem Gerät zu deinem Anbieter,
5. einzelne Funktionsaufrufe (Websuche, Wetter — Abschnitte 9 und 10),
6. Benachrichtigungen und Abo (Push-Token, Kaufstatus — Abschnitte 11 und 12),
7. Feedback, das du aktiv absendest (Abschnitt 13).

Diese Erklärung gilt für die App. Was beim Besuch der Website everstow.app passiert, steht in Abschnitt 19.

Wir verwenden keine Werbe-SDKs, keine Third-Party-Analytics und kein externes Crash-Reporting.

3. Übersicht: Datenkategorien, Zwecke, Rechtsgrundlagen

4. Konto und Anmeldung

Du meldest dich mit Sign in with Apple oder mit E-Mail und Passwort an. Die Konto-Verwaltung läuft über unseren Auftragsverarbeiter Supabase (Hosting in der EU). Gespeichert werden E-Mail-Adresse bzw. Apple-Kennung, Passwort-Hash und Session-Tokens. Bei „Sign in with Apple" ist Apple für den Anmeldevorgang selbst eigenständig verantwortlich. Die Bestätigung deiner E-Mail-Adresse ist Pflicht.

5. KI-Verarbeitung (Mistral AI, EU)

Kern von Everstow ist die KI-Assistenz. Wenn du mit Aura sprichst oder schreibst (Chat, Sprachassistent, Braindump) oder eine Auswertung anstößt, übermitteln wir an unseren Auftragsverarbeiter Mistral AI (Frankreich, EU):

• deine Eingabe — Text oder Sprachaufnahme; die Aufnahme wird zur Spracherkennung übertragen, für die Sprachausgabe geht der Antworttext an denselben Dienst,
• den Kontext-Block, den Aura für die Anfrage zusammenstellt: Termine des betrachteten Zeitraums (Titel, Zeit, Ort, Teilnehmer), offene Aufgaben, gespeicherte Gedächtnis-Fakten über dich, Namen, Rollen und gespeicherte Fakten zu Personen aus deinem Umfeld, die aktuellen Fokus-Karten, eine Mail-Status-Zusammenfassung (Zähler und einsätzige Zusammenfassungen dringender Mails) sowie das Wetter deines Orts,
• Text-Einbettungen: Damit Aura Notizen und Fakten wiederfindet, übermitteln wir kurze Textausschnitte an dasselbe Unternehmen, das daraus eine rein numerische Darstellung berechnet.

Die Übermittlung läuft über unseren eigenen Server (Vercel-Funktion), der als reine Durchleitung arbeitet: Die API-Schlüssel liegen nur serverseitig, und pro Konto gilt ein tägliches Nutzungslimit (dafür führen wir einen reinen Zählerstand — keine Inhalte). Wir selbst speichern deine KI-Anfragen nicht auf unseren Servern. Der Gesprächsverlauf wird lokal auf deinem Gerät archiviert und ist dort für dich einsehbar.

Mistral AI verarbeitet deine Inhalte als Auftragsverarbeiter nach unseren Weisungen. Nach den API-Nutzungsbedingungen von Mistral AI ist die Aufbewahrung von API-Inhalten zeitlich begrenzt und eine Nutzung zum Training von KI-Modellen ausgeschlossen; den ergänzenden Auftragsverarbeitungsvertrag nach Art. 28 DSGVO schließen wir im Rahmen der Beta noch ab (Abschnitt 14).

Daten anderer Menschen. Weil Aura sich Dinge über Personen aus deinem Umfeld merkt (Geburtstage, Vorlieben, „Opa geht gern angeln"), stehen in diesem Kontext-Block auch Angaben über Dritte. Erwähnst du dabei Sensibles — etwa Gesundheit, Religion oder Ähnliches —, können ausnahmsweise auch besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) verarbeitet werden. Wir fragen solche Angaben nicht ab, werten sie nicht gesondert aus und nutzen sie ausschließlich, um deine Anfrage zu beantworten; Rechtsgrundlage ist insoweit deine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO, die du mit der freiwilligen Eingabe erteilst und durch Löschen des Eintrags jederzeit widerrufst. Jeden gespeicherten Fakt kannst du in der App einsehen, ändern und löschen. Bitte gib nur Informationen über Dritte ein, die du weitergeben darfst.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — die KI-Assistenz ist die Leistung, für die du Everstow nutzt. Für Inhalte aus Konten, die du selbst verbindest (Mail, Kalender), zusätzlich deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.

KI-Transparenz: Die Antworten von Aura werden durch ein KI-Sprachmodell erzeugt und können Fehler enthalten. Darauf weisen wir direkt in der App an den KI-Eingabefeldern hin (Transparenzhinweis nach Art. 50 der KI-Verordnung (EU) 2024/1689). Wichtige Angaben (Fristen, Beträge, Termine) solltest du an der Quelle prüfen.

6. Cloud-Backup — ehrlich erklärt (optional)

Wenn du das Cloud-Backup aktivierst, sichern wir deine App-Daten verschlüsselt (AES-256-CBC mit HMAC-SHA256 als Encrypt-then-MAC, Übertragung per TLS) bei unserem Auftragsverarbeiter Supabase in der EU. Backups werden automatisch und auf deine Auslösung hin erstellt; wir behalten die letzten 7 Versionen, ältere werden gelöscht.

Damit du nach einem Passwort-Reset oder erneutem Apple-Login wieder an deine Daten kommst, verwahren wir deinen individuellen Datenschlüssel in verschlüsselter Form für dich. Das bedeutet in aller Offenheit: Anders als bei einem reinen Zero-Knowledge-System könnten wir deine Sicherung technisch entschlüsseln. Wir lesen deine Daten nicht. Wir greifen auf deine Sicherung nur in dem Umfang zu, der nötig ist, wenn du selbst eine Wiederherstellung auslöst — oder soweit wir gesetzlich dazu verpflichtet werden. Wir werten deine Inhalte nicht aus, nutzen sie nicht für Werbung, Analysen oder KI-Training und geben sie nicht weiter.

Du kannst das Backup jederzeit deaktivieren und deine Sicherungen in der App löschen. Löschst du dein Konto, werden Sicherung und verwahrter Schlüssel mitgelöscht (Abschnitt 15).

7. E-Mail (Microsoft, Google oder IMAP — optional)

Du kannst dein Postfach über drei Wege verbinden: Microsoft (Outlook), Google (Gmail) oder einen beliebigen anderen Anbieter per IMAP (z. B. GMX, 1&1, IONOS, Web.de, T-Online). Ohne Verbindung verarbeitet Everstow keine Mails.

7.1 Microsoft (Outlook)

Verbindest du dein Microsoft-Konto (Outlook), erteilst du Everstow über die Microsoft-Anmeldung (OAuth) Zugriff auf dein Postfach (Berechtigungen u. a. Mails lesen/ändern und in deinem Namen senden). Dabei gilt:

• Die Zugangs-Tokens liegen ausschließlich im Schlüsselbund (Keychain) deines Geräts — nie auf unseren Servern.
• Mail-Inhalte werden lokal auf deinem Gerät analysiert; für Triage und Extraktion (z. B. Dringlichkeit, Rechnungen, Termine) werden Auszüge an die KI-Verarbeitung übermittelt (Abschnitt 5).
• Mail-Aktionen (archivieren, löschen, als gelesen markieren, antworten, weiterleiten) führst du in der App aus; sie gehen direkt von deinem Gerät an Microsoft, in deinem Auftrag und über dein Konto.

Microsoft ist als dein E-Mail-Anbieter eigenständig verantwortlich. Du kannst die Verbindung jederzeit in der App trennen und die erteilte Berechtigung in deinem Microsoft-Konto widerrufen.

Hinweis: In deinem Postfach stecken naturgemäß auch Daten Dritter (Absender, Empfänger). Diese verarbeitet Everstow nur lokal bzw. auszugsweise für die KI-Auswertung — nie zu eigenen Zwecken.

7.2 Google (Gmail) — nur Lesezugriff

Verbindest du Gmail, geschieht das über die Google-Anmeldung (OAuth) mit ausschließlich lesendem Zugriff (gmail.readonly). Everstow kann über Gmail keine Mails senden, ändern oder löschen. Die Zugangs-Tokens liegen im Schlüsselbund deines Geräts; Mails werden direkt zwischen deinem Gerät und Google abgerufen. Google ist als dein Mail-Anbieter eigenständig verantwortlich.

7.3 Andere Anbieter per IMAP — nur Lesezugriff, über unseren Server in Deutschland

Für Anbieter ohne OAuth (GMX, 1&1, IONOS, Web.de, T-Online u. a.) nutzt Everstow eine eigene Vermittlungs-Komponente („IMAP-Bridge“) auf einem Server in Deutschland (Hetzner, imap.everstow.app). Anders als bei Microsoft und Google läuft der Abruf hier nicht direkt vom Gerät zum Anbieter, sondern über diesen Server. Deshalb im Detail:

• Nur Lesezugriff: keine Sende-, Änderungs- oder Löschaktionen über IMAP.
• Umfang je Abruf: die Nachrichten deines Posteingangs aus den letzten 90 Tagen, höchstens 50 Stück — jeweils Betreff, Absender, Empfangsdatum, Gelesen-Status und der Textinhalt (auf 4.000 Zeichen gekürzt). Anhänge werden nicht abgerufen.
• Dein IMAP-Passwort wird auf dem Server nicht gespeichert. Weil IMAP keine Token-Anmeldung wie Microsoft oder Google kennt, sendet die App bei jedem Abruf Serveradresse, Benutzername und Passwort TLS-verschlüsselt an unsere Bridge. Sie verwendet die Angaben ausschließlich für diese eine Verbindung, protokolliert sie nicht und verwirft sie danach. Dauerhaft liegt das Passwort nur im Schlüsselbund (Keychain) deines Geräts.
• Keine Mailinhalte und keine Zugangsdaten auf dem Server. Es gibt keine Datenbank mit deinen Nachrichten; abgerufene Inhalte werden nur für die Dauer der Anfrage verarbeitet und nicht gespeichert. Was der Server vorhält, ist ausschließlich das Folgende — ohne Mailinhalte, ohne Passwörter und ohne deine Mailadresse im Klartext:
• Missbrauchsprotokoll (seit 17.08.2026). Weil der Abruf über unseren Server läuft, könnte er missbraucht werden, um fremde Postfach-Passwörter zu erraten. Um das zu erkennen und zu belegen, hält der Server je Abruf fest: Zeitpunkt, deine Everstow-Konto-Kennung, den Namen des Ziel-Mailservers (z. B. imap.gmx.net), die Art des Ergebnisses (erfolgreich / Anmeldung fehlgeschlagen / Server nicht erreichbar) und die Dauer. Das Postfach selbst wird dabei nur als nicht zurückrechenbare Prüfsumme (HMAC) gespeichert — daran lässt sich erkennen, dass viele verschiedene Postfächer angefragt wurden, ohne dass eine Mailadresse im Protokoll steht. Nicht protokolliert werden: Passwörter, Mailinhalte, Betreffzeilen, Absender, Mailadressen im Klartext und deine IP-Adresse. Aufbewahrung: 30 Tage, danach automatische Löschung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse, den Dienst vor Missbrauch zu schützen und Missbrauch nachweisen zu können.
• Zugang nur mit angemeldetem Konto, mit Tageszählern. Die Bridge prüft dein Everstow-Anmeldetoken und begrenzt die Nutzung doppelt: je Konto und Tag (Verbindungstest 30, Abrufe 200, Ordnerlisten 100) und zusätzlich je Ziel-Postfach und Tag auf 30 fehlgeschlagene Anmeldungen — letzteres über alle Konten hinweg, damit sich die Grenze nicht durch mehrere Konten umgehen lässt. Dafür speichert der Server Zählerstände, und zwar seit dem 17.08.2026 in einer Datei statt nur im Arbeitsspeicher: sonst würde jeder Neustart des Dienstes alle Grenzen aufheben. Zu einem Zählerstand gehören deine Konto-Kennung bzw. die genannte Prüfsumme des Postfachs — keine Mailadresse im Klartext. Jeder Stand verfällt spätestens nach 24 Stunden. Ist ausnahmsweise kein Token vorhanden, wird ersatzweise die IP-Adresse gezählt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch).
• Zielprüfung: Verbindungen sind nur zu den IMAP-Standardports 993 und 143 möglich, die Verschlüsselung ist nicht abwählbar, interne Netzadressen werden abgewiesen.

Dein IMAP-Anbieter bleibt als Mail-Anbieter eigenständig verantwortlich. Du kannst die Verbindung jederzeit in der App trennen; das Passwort wird dabei vom Gerät gelöscht.

8. Kalender (Apple / Google, optional)

• iOS-Kalender: Zugriff über die iOS-Kalenderberechtigung (EventKit), Verarbeitung lokal auf dem Gerät.
• Google Kalender: Verbindung per Google-Anmeldung (OAuth). Die Tokens liegen lokal auf deinem Gerät; unser Server dient beim Anmeldevorgang nur als technische Durchreiche (OAuth-Callback), speichert aber keine Kalenderdaten. Lesen, Anlegen und Ändern von Terminen laufen direkt zwischen deinem Gerät und Google.

Apple bzw. Google sind als deine Kalender-Anbieter eigenständig verantwortlich. Kalenderdaten (inkl. Terminteilnehmern) können als Kontext-Auszüge in die KI-Verarbeitung einfließen (Abschnitt 5).

9. Websuche und Produktsuche (optional)

Fragst du Aura etwas, das aktuelle Informationen braucht, oder suchst du im Geschenke-Bereich nach Produkten, schickt die App den Suchtext (2 bis 200 Zeichen) über unseren Server an den Suchdienst SearchAPI (searchapi.io, USA). Übermittelt wird ausschließlich dieser Suchtext, fest auf die Region Deutschland eingestellt — ohne deinen Namen, ohne Konto-Bezug und ohne Geräte-Kennung. Der Suchtext kann Angaben aus deiner Anfrage enthalten (etwa „Geschenk für einen Angler bis 50 €"); bedenke das bei sehr persönlichen Suchen.

Damit findet eine Übermittlung in die USA statt, ein Drittland ohne generellen Angemessenheitsbeschluss. Den Auftragsverarbeitungsvertrag samt EU-Standardvertragsklauseln schließen wir derzeit ab (Abschnitt 14); solange er nicht vorliegt, stützen wir die Übermittlung auf Art. 49 Abs. 1 lit. b DSGVO — sie erfolgt nur auf deine ausdrückliche Suchanfrage hin und ist zu deren Erfüllung erforderlich. Ein Zugriff US-amerikanischer Behörden lässt sich auch mit Garantien nicht vollständig ausschließen. Rechtsgrundlage der Verarbeitung: Art. 6 Abs. 1 lit. b DSGVO.

Je Konto führen wir einen Tageszähler für Suchanfragen (Missbrauchs- und Kostenschutz, Art. 6 Abs. 1 lit. f DSGVO). Gespeichert wird nur die Anzahl, nie der Suchtext.

10. Wetter und Standort (optional)

Für Wetter-Hinweise fragt die App — nur wenn du die iOS-Standortberechtigung erteilst — deinen ungefähren Standort ab. Die Koordinaten werden an den Wetterdienst Open-Meteo übermittelt (Vorhersage und Orts-Auflösung); dabei wird kein Konto angelegt und kein Name übermittelt. Ohne Standortberechtigung kannst du eine Stadt manuell eingeben — oder die Funktion ungenutzt lassen.

11. Push-Benachrichtigungen (optional)

Erlaubst du Benachrichtigungen, speichern wir bei Supabase: dein Push-Token, die Plattform (iOS), deine Zeitzone, deine Spracheinstellung und die von dir gewählte Uhrzeit für das Morgen-Briefing — jeweils deinem Konto zugeordnet, damit die Zustellung zur richtigen Zeit erfolgt. Die Zustellung läuft über den Expo Push Service (USA) und Apples APNs. Die Benachrichtigung selbst ist bewusst generisch gehalten (z. B. „Guten Morgen ☀️") — der persönliche Text entsteht erst auf deinem Gerät, deine Inhalte laufen nie über den Push-Dienst. Widerruf jederzeit in den iOS-Einstellungen oder in der App.

12. Abo und Bezahlung

Abos werden als Apple In-App-Kauf abgeschlossen. Die Zahlungsabwicklung übernimmt Apple; wir erhalten keine Zahlungsdaten (keine Kreditkartennummern o. ä.). Für die Abo-Verwaltung (Kaufstatus, Berechtigungen) setzen wir RevenueCat ein; dorthin gelangen pseudonyme Kauf-/Transaktionsdaten und eine App-Nutzer-Kennung, keine App-Inhalte.

13. Feedback und Produkt-Metriken

Zwei eng begrenzte Ereignis-Typen synchronisieren wir zu Supabase (EU):

• Feedback aus dem Formular (Profil → Feedback): dein Freitext, die Angabe, worauf er sich bezieht, und die App-Version — verknüpft mit deiner Konto-Kennung, damit wir bei Rückfragen antworten können. Übertragen wird nur, was du selbst absendest; ohne Verbindung wartet der Eintrag lokal auf dem Gerät.
• „Antwort war ungut"-Meldungen: Markierst du eine KI-Antwort aktiv als fehlerhaft, übermitteln wir einen Schnappschuss dieses einen Gesprächs-Turns — deine Eingabe, die KI-Antwort, den dabei verwendeten Kontext-Auszug, Modellname und aufgerufene Funktionen — damit wir den Fehler diagnostizieren können. Das passiert ausschließlich, wenn du die Meldung selbst absendest.
• Aktivierungs-Ereignisse: Beim Onboarding erfassen wir Ereignis-Namen mit Zeitstempel (z. B. „Setup abgeschlossen") — ohne Inhalte.

Beides dient allein der Produktverbesserung (Art. 6 Abs. 1 lit. f DSGVO), wird nicht an Dritte weitergegeben und mit dem Konto gelöscht.

14. Empfänger und Auftragsverarbeiter

Die nachstehenden Dienstleister stellen jeweils einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO samt Drittland-Garantien (EU-Standardvertragsklauseln/SCC bzw. EU-U.S. Data Privacy Framework/DPF) bereit. Im Rahmen der laufenden geschlossenen Beta ist der Abschluss dieser Verträge noch nicht mit allen Dienstleistern vollzogen; wir holen dies vor dem öffentlichen Start nach. Wir nennen das hier ausdrücklich, statt einen Zustand zu behaupten, der noch nicht besteht.

15. Speicherdauer und Löschung

• Lokale Daten: bleiben auf deinem Gerät, bis du sie in der App löschst oder die App entfernst.
• Cloud-Backup: letzte 7 Versionen; vollständige Löschung bei Backup-Löschung in der App oder Konto-Löschung.
• Konto-Löschung (in der App: Profil → Konto): löscht dein Cloud-Backup samt verwahrtem Schlüssel und anschließend dein Konto mit allen Server-Daten (Push-Tokens, Feedback-Ereignisse, Nutzungszähler). Aus technischen Server-Sicherungen unseres Hosting-Anbieters werden die Daten spätestens nach — Frist wird ergänzt — entfernt.
• KI-Anfragen: keine Speicherung auf unseren Servern; Aufbewahrung beim Auftragsverarbeiter Mistral AI zeitlich begrenzt gemäß Auftragsverarbeitungsvertrag.
• Feedback-/Aktivierungs-Ereignisse und Nutzungszähler: bis zur Konto-Löschung.

16. Deine Rechte

Du hast nach der DSGVO das Recht auf:

• Auskunft (Art. 15) — in der App: Profil → „Daten exportieren" liefert deine Gedächtnis- und Profildaten als JSON-Export; darüber hinausgehende Auskunft jederzeit per E-Mail an — wird ergänzt —,
• Berichtigung (Art. 16) — Gedächtnis-Fakten und Profildaten kannst du direkt in der App einsehen und korrigieren,
• Löschung (Art. 17) — Konto-Löschung direkt in der App; dabei werden auch die lokalen Daten auf deinem Gerät gelöscht,
• Einschränkung der Verarbeitung (Art. 18),
• Datenübertragbarkeit (Art. 20) — JSON-Export in der App,
• Widerspruch (Art. 21) gegen Verarbeitungen auf Grundlage berechtigter Interessen (Abschnitt 13),
• Widerruf erteilter Einwilligungen (Art. 7 Abs. 3) mit Wirkung für die Zukunft — z. B. Backup deaktivieren, Konten trennen, iOS-Berechtigungen entziehen,
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77), z. B. der Behörde deines Wohnorts oder der für uns zuständigen Behörde — wird ergänzt —.

Anfragen richtest du formlos an — E-Mail wird ergänzt —. Wir antworten innerhalb eines Monats.

17. Datensicherheit

Übertragungen erfolgen ausschließlich TLS-verschlüsselt. Lokale Daten schützt die iOS-Geräteverschlüsselung; Zugangs-Tokens und dein IMAP-Passwort liegen im Geräte-Schlüsselbund (Keychain). Backups sind mit AES-256-CBC und HMAC-SHA256 verschlüsselt (Encrypt-then-MAC); der zugehörige Datenschlüssel wird serverseitig in verschlüsselter Form (AES-256-GCM) verwahrt (Abschnitt 6) — bewusst kein Zero-Knowledge-Verfahren, sondern der Preis dafür, dass du nach einem Passwort-Reset wieder an deine Daten kommst. KI-API-Schlüssel liegen nie in der App, sondern nur auf unserem Server.

18. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich die App oder die Rechtslage ändert. Die jeweils aktuelle Fassung findest du unter everstow.app/datenschutz.html und verlinkt in der App (Profil → Datenschutz). Bei wesentlichen Änderungen informieren wir dich in der App.

19. Diese Website (everstow.app)

Aufruf der Seite. Die Website wird bei Vercel gehostet (Auslieferung aus Frankfurt). Beim Aufruf verarbeitet der Server technisch notwendige Zugriffsdaten — IP-Adresse, Zeitpunkt, aufgerufene Adresse, übertragene Datenmenge, Browser- und Geräteangaben —, um die Seite auszuliefern und Angriffe abzuwehren. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sicherer, störungsfreier Betrieb). Wir setzen keine Cookies, kein Tracking und keine Reichweitenmessung ein; ein Cookie-Banner ist deshalb nicht nötig.

„Ich war hier"-Zähler. Tippst du auf den Besucherzähler, erhöhen wir eine anonyme Gesamtzahl um eins. Zu dir wird nichts gespeichert. Damit der Zähler nicht manipuliert wird, hält der Server deine IP-Adresse für eine Minute im Arbeitsspeicher und verwirft sie danach. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Newsletter. Meldest du dich für Neuigkeiten an, speichern wir deine E-Mail-Adresse, den Zeitpunkt der Anmeldung und den Zeitpunkt deiner Bestätigung. Wir senden zunächst eine Bestätigungsmail und nehmen dich erst nach deinem Klick auf den enthaltenen Link auf (Double-Opt-in). Der Versand läuft über den Mailserver von IONOS (Deutschland), die Adressen liegen bei Supabase (EU). Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO. Du kannst dich über den Abmeldelink in jeder Mail jederzeit abmelden; wir löschen deine Adresse dann. Anmelde- und Bestätigungszeitpunkt bewahren wir als Nachweis der Einwilligung auf, solange die Einwilligung besteht und darüber hinaus, solange wir sie zur Abwehr von Ansprüchen benötigen (in der Regel bis zu drei Jahre nach Abmeldung). Für Werbung nutzen wir deine Adresse ausschließlich im Rahmen dieser Einwilligung; eine Weitergabe an Dritte findet nicht statt.

20. Automatisierte Entscheidungen, Profilbildung, Freiwilligkeit

Everstow wertet deine Daten aus, um Zusammenhänge zu erkennen und dir Vorschläge zu machen — überfüllte Tage, Terminkonflikte, Geburtstage, Fristen. Das ist Profilbildung im Sinne von Art. 4 Nr. 4 DSGVO und dient ausschließlich der Assistenz. Eine automatisierte Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung nach Art. 22 DSGVO findet nicht statt: Aura schlägt vor, entschieden und ausgelöst wird alles von dir. Termine, Aufgaben und Mails werden nur nach deiner Bestätigung angelegt, geändert oder verschickt.

Die Bereitstellung deiner Daten ist weder gesetzlich noch vertraglich vorgeschrieben und du bist nicht verpflichtet, sie bereitzustellen (Art. 13 Abs. 2 lit. e DSGVO). Ohne Kalender-, Mail- oder Standortfreigabe funktionieren die jeweiligen Funktionen allerdings nicht.