Datenschutzerklärung

Stand: 2026-10-28

Kink Keeper hilft Menschen in BDSM-Beziehungen, Absprachen festzuhalten und umzusetzen. Dabei entstehen sehr persönliche Daten. Diese Erklärung sagt dir, welche Daten wir verarbeiten, wofür, wie lange und wie du selbst darüber bestimmst.

1. Verantwortlicher

Phillip Wagner, Friedensstraße 116, 63165 Mühlheim am Main E-Mail: me@akitoitashi.de

Die betreibende Person ist eine Privatperson. Einen Datenschutzbeauftragten gibt es nicht.

2. Das Wichtigste in Kürze

• Wir verarbeiten Angaben zu deinem Sexualleben. Das sind besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO. Wir tun das nur mit deiner ausdrücklichen Einwilligung, getrennt für jeden Zweck.
• Du kannst jede Einwilligung in den Einstellungen mit wenigen Klicks widerrufen. Der Widerruf wirkt sofort.
• Export, Änderung und Löschung deiner Daten erledigst du selbst in den Einstellungen.
• Texte, Fotos, Codes, Chats und Figuren liegen verschlüsselt in der Datenbank. Der Schlüssel wird nur geöffnet, solange du angemeldet und entsperrt bist, und liegt dann im Arbeitsspeicher des Servers. Wird er 12 Stunden lang nicht benutzt, entfernt der Server ihn aus dem Arbeitsspeicher. Während dieser Zeit kann die betreibende Person, die den laufenden Server kontrolliert, die Inhalte technisch lesen. Ein Datenbankabzug oder eine Sicherungskopie allein enthält keine lesbaren Inhalte.
• Es gibt keine Analyse- und Werbewerkzeuge und keine Tracking-Cookies.

3. Welche Daten wir verarbeiten und warum

3.1 Konto und Anmeldung

• Daten: E-Mail-Adresse, Passkey (öffentlicher Teil), Anzeigename, Bestätigung „mindestens 18 Jahre alt“ mit Zeitpunkt, Spracheinstellung, Farbwahl, Einstellungen, Sitzungen (nur als Hash) und die verpackten Schlüssel deiner Inhalte. Dein Datenpasswort und dein Wiederherstellungs-Code selbst werden nicht gespeichert, nur Schlüssel, die sich damit öffnen lassen.
• Zweck: Konto bereitstellen, Anmeldung, Altersbestätigung dokumentieren, Mitteilungen zur Kontoverwaltung senden.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag).
• Hinweis: Den privaten Teil deines Passkeys speichert dein Gerät. Wir erhalten ihn nicht.

3.2 Beziehungs- und Spielinhalte (Einwilligung 1)

• Daten: Beziehungen und Rollen, Locks mit Zeiten und Status, Aufgaben, Regeln, Strafen, Belohnungen, Punkte, Kalendereinträge, Achievements, Vereinbarungen, Notizen und Chats. Diese Angaben können Rückschlüsse auf dein Sexualleben zulassen.
• Zweck: Die Funktionen der App bereitstellen.
• Rechtsgrundlage: Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung), zusätzlich Art. 6 Abs. 1 lit. a DSGVO.
• Verschlüsselung: Titel, Texte, Codes, Fotos, Chat, Figuren und alle übrigen Inhalte sind verschlüsselt. Lesbar für den Server bleiben nur Kennungen, Status, Zeiten und technische Zähler, damit zeitgesteuerte Abläufe (zum Beispiel das Ende eines Locks) ohne dich laufen.

3.3 Fotos und Nachweise (Einwilligung 2)

• Daten: Fotos als Aufgabennachweis oder Lock-Verifikation, Foto eines Zahlenschloss-Codes.
• Zweck: Nachweis gegenüber den anderen Mitgliedern deiner Beziehung.
• Rechtsgrundlage: Art. 9 Abs. 2 lit. a DSGVO.
• Schutz: Verschlüsselt, Metadaten entfernt, nur für Mitglieder deiner Beziehung sichtbar. Die Löschfrist steht in Abschnitt 8.

3.4 KI-Chat und KI-Figuren (Einwilligung 3)

• Daten: Chat-Nachrichten, Figur-Einstellungen, Kontext deiner Beziehung (Rollen, Grenzen, aktive Regeln, Lock-Status).
• Zweck: Die KI-Figur antwortet und handelt im Rahmen ihrer Rechte.
• Rechtsgrundlage: Art. 9 Abs. 2 lit. a DSGVO.
• Empfänger: der KI-Anbieter, den du selbst eingerichtet hast (siehe Abschnitt 5.3). Für die Antwort entschlüsselt der Server die nötigen Inhalte kurz im Arbeitsspeicher und sendet sie dem Anbieter im Klartext.

3.5 Gedächtnis der KI-Figuren (gehört zu Einwilligung 3)

• Daten: eine kurze Zusammenfassung, die eine KI-Figur über euch führt.
• Besonderheit: Die Zusammenfassung ist wie alle Inhalte verschlüsselt gespeichert. Die Figur liest und ergänzt sie nur, wenn du angemeldet und entsperrt bist oder ein von dir freigegebenes Programm (MCP) arbeitet.
• Deine Kontrolle: Du siehst das Gedächtnis jederzeit und kannst es bearbeiten oder löschen. Für jede Figur gibt es den Schalter „Gedächtnis nutzen“; beim Ausschalten wird es gelöscht.
• Rechtsgrundlage: Art. 9 Abs. 2 lit. a DSGVO (Einwilligung 3).

3.6 Gerätesteuerung (Einwilligung 4)

• Daten: Steuerbefehle (Muster, Stärke, Zeitpunkt) und Verbindungsstatus.
• Zweck: Ein Gerät, das du mit Intiface Central verbindest, steuern, auch durch andere Mitglieder deiner Beziehung.
• Technik: Intiface Central läuft auf deinem Rechner oder Handy und spricht per Bluetooth mit dem Gerät. Die Bluetooth-Verbindung verlässt dein Gerät nicht. Bei Fernsteuerung durch andere Mitglieder laufen die Steuerbefehle über unseren Relay-Dienst (eigener Server).
• Rechtsgrundlage: Art. 9 Abs. 2 lit. a DSGVO.

3.7 Standort (Einwilligung 5, nur Android-App)

• Daten: Standort deines Geräts, nur nachdem du das Teilen gestartet hast.
• Zweck: Ein Mitglied deiner Beziehung, das du bestimmst, sieht deinen Standort.
• Begrenzung: Du wählst die Dauer (zum Beispiel 1 oder 8 Stunden). Danach endet das Teilen automatisch. Du kannst es jederzeit beenden. Während des Teilens zeigt dein Gerät einen sichtbaren Hinweis.
• Rechtsgrundlage: Art. 9 Abs. 2 lit. a DSGVO, soweit der Standort Rückschlüsse auf dein Sexualleben zulässt, sonst Art. 6 Abs. 1 lit. a DSGVO.

3.8 Öffentliches Profil und Pranger (Einwilligung 6, Opt-in)

• Daten: Badges, Texte, Abstimmungsergebnisse. Der Pranger zeigt nur Text, keine Fotos.
• Zweck: Freiwillige Darstellung gegenüber anderen. Ein Abstimmungs-Link kann für anonyme Personen offen sein.
• Rechtsgrundlage: Art. 9 Abs. 2 lit. a DSGVO.
• Hinweis: Was du öffentlich machst, kann jede Person sehen, die den Link kennt oder (je nach Einstellung) ein Konto hat.

3.9 App-Kontrolle auf dem Gerät (nur Android-App, Einwilligung 7)

• Daten: Nutzungsstatistik deines Geräts und Bedienungshilfen-Zugriff.
• Zweck: Apps und Websites sperren, Bildschirmzeit begrenzen, wenn du das mit einem anderen Mitglied vereinbart hast.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO; die Einwilligung holt die App zusätzlich in einem eigenen Dialog ein.
• Hinweis: Du kannst diese Kontrolle in den Systemeinstellungen deines Geräts selbst wieder ausschalten. Sie ist kein Schutz vor dir selbst.

3.10 Mitteilungen (Push)

• Daten: Push-Abo (Adresse beim Push-Dienst deines Browsers) und Mitteilungstexte.
• Zweck: Dich an Fristen, Aufgaben und Locks erinnern.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; das Abo startest du selbst.
• Diskreter Modus: Auf Wunsch zeigen Push-Mitteilungen und das Kalender-Abo neutrale Texte.

3.11 E-Mails

• Daten: E-Mail-Adresse, Inhalt der Nachricht.
• Zweck: E-Mail-Bestätigung, Sicherheitsmitteilungen, Antworten auf deine Anfragen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; bei Anfragen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, Anfragen zu beantworten).
• Unzustellbare Mails: Kann eine Mail nicht zugestellt werden, schickt der Mailserver des Empfängers einen Fehlerbericht an das Postfach der App. Der Server liest diese Berichte alle 15 Minuten. Bei einem endgültigen Fehler (zum Beispiel „Adresse existiert nicht“) markiert er das Konto mit dem Zeitpunkt als „E-Mail nicht erreichbar“, sendet an diese Adresse keine Systemmails mehr und informiert die Verwaltung ohne die Adresse zu nennen. Der Bericht wird danach im Postfach gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, Systemmails zuverlässig und ohne unnötige Zustellversuche zu versenden). Die Markierung siehst du in deinem Datenexport.
• Werbe-E-Mails und Newsletter gibt es nicht.

3.12 Server-Protokolle und Sicherheit

• Daten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Fehlermeldungen, Gerätetyp. Bei anonymen Abstimmungen zusätzlich ein Zähler pro Gerät und Stunde als Missbrauchsschutz.
• Zweck: Sicherer und stabiler Betrieb, Abwehr von Missbrauch.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb).
• Dauer: 14 Tage, ohne Inhalte, mit gekürzter IP-Adresse.
• Neue MCP-Programme: Meldet sich ein MCP-Programm (Abschnitt 3.14) neu an, zählen wir die Anmeldungen je Absender-Adresse, um Massenanmeldungen zu verhindern. Dafür lesen wir die Adresse aus der Weiterleitung unseres Reverse Proxys, kürzen IPv6-Adressen auf das Netz und speichern nur einen nicht umkehrbaren Hash im Arbeitsspeicher, höchstens eine Stunde. Er gelangt nie in Protokolle oder die Datenbank.

3.13 Support, Meldungen und Moderation

• Daten: Inhalt von Tickets und Meldungen, Name und E-Mail-Adresse der meldenden Person, Entscheidung und Begründung, Protokoll der Zugriffe.
• Zweck: Anfragen beantworten, Meldungen nach dem Digital Services Act bearbeiten, Verstöße gegen die Nutzungsbedingungen verfolgen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO, Art. 6 Abs. 1 lit. c DSGVO (rechtliche Pflichten nach dem DSA).
• Zugriff auf Inhalte: Die Verwaltung (Admin, Support, Moderation) sieht standardmäßig nur Metadaten. Inhalte sieht sie nur mit deiner befristeten Freigabe. Jeder Zugriff wird protokolliert. Ausnahme ist eine Meldung, bei der du den gemeldeten Inhalt selbst mitsendest oder bei der dies gesetzlich vorgeschrieben ist.
• Wenn du dein Konto löschst: Deine Tickets bleiben für den Support-Verlauf erhalten, aber ohne Verweis auf dich. Dein Name und dein Konto werden durch „Ehemaliges Konto“ ersetzt. Ein offenes Ticket wird dabei geschlossen. Was du selbst in den Text geschrieben hast, bleibt bis zur Löschung stehen (Abschnitt 8); schreibe deshalb nur, was für die Anfrage nötig ist.
• Ehemalige Mitarbeitende: Verlässt jemand das Team oder wird das Konto gelöscht, entfernen wir den Verweis auf die Person aus Zuweisungen, internen Notizen und dem Zugriffsprotokoll. Es erscheint „Ehemaliges Teammitglied“.

3.14 Verbundene MCP-Programme

• Daten: Name und Rücksprung-Adressen des Programms, das du mit deinem Konto verbindest, Zeitpunkt deiner Freigabe und der letzten Nutzung, der Umfang der Freigabe, Ablauf- und Widerrufszeitpunkte. Zugangscodes und -schlüssel speichern wir nur als Hash. Den Nachweis, dass du ein Programm freigegeben oder getrennt hast, halten wir im Zugriffsprotokoll.
• Zweck: Ein MCP-Programm (zum Beispiel ein KI-Assistent auf deinem Gerät) darf in deinem Namen die Werkzeuge der App nutzen, wenn du es auf der Freigabeseite erlaubt hast. Du siehst verbundene Programme in den Einstellungen und trennst sie dort mit einem Klick.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (du startest die Verbindung selbst); für den Nachweis und den Schutz vor Massenanmeldungen Art. 6 Abs. 1 lit. f DSGVO.
• Dauer: Autorisierungscode 5 Minuten, Zugriffsschlüssel 1 Stunde, Erneuerungsschlüssel 30 Tage, bei jeder Nutzung erneut. Eine Freigabe endet 30 Tage nach der letzten Nutzung oder nach deinem Widerruf. Programme, die nie freigegeben wurden, löschen wir nach 7 Tagen. Der Nachweis deiner Zustimmung bleibt 12 Monate im Zugriffsprotokoll.
• Schlüsselkopie: Damit das Programm deine verschlüsselten Inhalte lesen kann, trägt die Freigabe eine eigene, verpackte Kopie deines Schlüssels. Sie wird gelöscht, wenn du die Freigabe widerrufst oder sie 30 Tage nach der letzten Nutzung endet. In den Einstellungen steht bei jedem Programm, bis wann der Zugriff bei Nichtnutzung gilt.
• Hinweis: Was das Programm mit den Inhalten macht, die es abruft, bestimmt das Programm selbst. Wir haben darauf keinen Einfluss.

4. Einwilligungen und Widerruf

• Bei der Registrierung bestätigst du mit einem Haken, dass du die Informationen zur Datenverarbeitung gelesen hast und zustimmst. Der Haken lässt sich nicht direkt setzen: Er öffnet einen Dialog, der jeden Zweck aus Abschnitt 3 ausführlich beschreibt (was verarbeitet wird, wozu, wie lange, wie du widerrufst). Erst mit „Zustimmen“ im Dialog ist der Haken gesetzt.
• Im Dialog ist jeder Zweck einzeln schaltbar. Alle Zwecke sind ausgeschaltet, außer Einwilligung 1: Ohne sie ist die App nicht nutzbar. Was du nicht einschaltest, gilt nicht. Jeden eingeschalteten Zweck speichern wir als eigene Einwilligung, du kannst ihn einzeln widerrufen. Du kannst die App teilweise nutzen, ohne alle Einwilligungen zu geben.
• Später schaltest du jeden Zweck in den Einstellungen unter „Einwilligungen“ einzeln ein oder aus. Eine Funktion, für die dir die Einwilligung fehlt, weist dich darauf hin und bietet den Schalter an. Der Widerruf gilt sofort. Die Verarbeitung bis zum Widerruf bleibt rechtmäßig.
• Wir speichern, wann und wofür du eingewilligt hast, um das nachweisen zu können (Art. 7 Abs. 1 DSGVO).

5. Empfänger und Übermittlung

5.1 Eigener Server und eigene E-Mail

Alle Daten liegen auf einem Server, den die betreibende Person selbst betreibt, in einer PostgreSQL-Datenbank und einem Ordner für verschlüsselte Dateien. E-Mails verschickt ein eigener SMTP-Server. Diese Dienste sind in der Hand der betreibenden Person und keine weiteren Empfänger.

5.2 Push-Dienste der Browser-Hersteller

Für Mitteilungen nutzt dein Browser den Push-Dienst seines Herstellers (zum Beispiel Google, Mozilla oder Apple). Dorthin gehen die Push-Adresse und der verschlüsselte Mitteilungsinhalt. Wir verwenden dafür Web-Push mit VAPID-Schlüsseln. Firebase nutzen wir nicht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Dein Browser-Hersteller ist für seinen Dienst selbst verantwortlich.

5.3 KI-Anbieter deiner Wahl (BYOK)

KI-Funktionen laufen über einen KI-Anbieter, dessen Zugang (API-Schlüssel) du selbst einträgst („Bring Your Own Key“). Wir wählen den Anbieter nicht aus und schließen mit ihm keinen Vertrag.

• Wenn du die KI nutzt, senden wir deine Chat-Nachrichten, die Figur-Einstellungen und den Beziehungskontext an diesen Anbieter. Die Übermittlung erfolgt auf deine Veranlassung und auf Grundlage deiner Einwilligung 3.
• Der Anbieter verarbeitet die Daten nach seinen eigenen Bedingungen. Er kann seinen Sitz außerhalb der EU haben, zum Beispiel in den USA. Lies dort die Datenschutzerklärung und die Inhaltsregeln. Manche Anbieter verbieten sexuelle oder fetischbezogene Inhalte und können deinen Schlüssel sperren.
• Deinen Schlüssel speichern wir verschlüsselt, schreiben ihn nie in Protokolle und senden ihn nur an deinen Anbieter.
• Du kannst den Schlüssel jederzeit löschen. Dann sendet die App nichts mehr an den Anbieter.

5.4 Support-Assistent

Die Hilfe-KI läuft auf einem lokalen Modell auf unserem Server. Sie beantwortet Fragen aus dem Hilfe-Wiki. Sie bekommt keine Nutzerschlüssel und sendet keine Daten nach außen.

5.5 Weitere Empfänger

Behörden und Gerichte erhalten Daten nur, wenn ein Gesetz das verlangt oder eine wirksame Anordnung vorliegt. Andere Mitglieder deiner Beziehung sehen die Inhalte, die für sie bestimmt sind.

6. Cookies, lokaler Speicher und Tracking

Wir setzen keine Werbe-, Analyse- oder Tracking-Werkzeuge ein und binden keine Fremdskripte ein. Wir speichern nur Dinge auf deinem Gerät, die der Dienst, den du ausdrücklich nutzt, unbedingt braucht (§ 25 Abs. 2 Nr. 2 TDDDG). Eine Einwilligung ist dafür nicht nötig:

• Sitzung und Anmeldestatus,
• Spracheinstellung und Farbwahl,
• Service Worker und lokaler Speicher für den Offline-Betrieb (die App funktioniert ohne Internet),
• Push-Abo auf Wunsch,
• ein Cookie mit einem Geheimnis, mit dem der Server deine Sitzung nach einem Neustart wieder entsperrt.

7. KI-Hinweis (Art. 50 EU-KI-Verordnung)

Wenn du im Chat schreibst, antwortet dir eine künstliche Intelligenz, kein Mensch. Die App zeigt diesen Hinweis an jeder Chat-Fläche. Die KI kann Fehler machen. Ihre Entscheidungen setzen nur Funktionen um, die du in Beziehung und Rechten vereinbart hast. Tägliche Obergrenzen, ein Pause-Knopf und die Notfall-Öffnung gelten immer. Die KI trifft keine Entscheidungen mit rechtlicher Wirkung über dich.

8. Speicherdauer

Der Papierkorb löscht gelöschte Einträge nach 30 Tagen endgültig.

9. Deine Rechte

Du kannst deine Rechte weitgehend selbst in den Einstellungen ausüben:

• Auskunft und Datenübertragbarkeit (Art. 15, 20 DSGVO): „Alle Daten exportieren“ liefert eine JSON-Datei mit den Daten deines Kontos (Konto, Einwilligungen, Passkeys, Sitzungen, verbundene Programme) und deinen entschlüsselten Inhalten (Beziehungen, Regeln, Aufgaben, Locks, KI-Figuren und Chats, Mitteilungen, Tickets). Das geht, solange du entsperrt bist. Fotos sind nicht enthalten, weil sie nach kurzer Zeit gelöscht werden; speichere sie vorher in der App. Inhalte, die andere Mitglieder deiner Beziehung eingegeben haben, sind dabei, soweit du sie in der App sehen darfst.
• Berichtigung (Art. 16 DSGVO): Angaben ändern.
• Löschung (Art. 17 DSGVO): „Konto löschen“, bestätigt mit Passkey.
• Widerruf (Art. 7 Abs. 3 DSGVO): siehe Abschnitt 4.
• Einschränkung und Widerspruch (Art. 18, 21 DSGVO): per E-Mail an me@akitoitashi.de. Bei Verarbeitung aus berechtigtem Interesse (Art. 6 Abs. 1 lit. f) kannst du jederzeit aus Gründen widersprechen, die sich aus deiner Lage ergeben.

Beschwerderecht: Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Zuständig ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI), Gustav-Stresemann-Ring 1, 65189 Wiesbaden, https://datenschutz.hessen.de. Du kannst dich auch an die Behörde an deinem Wohnort wenden.

10. Sicherheit

Verbindungen laufen verschlüsselt (TLS). Inhalte sind in der Datenbank verschlüsselt (AES-256-GCM). Der Schlüssel öffnet sich nur mit deinem Datenpasswort oder einem dafür eingerichteten Passkey und liegt nur für die Dauer der entsperrten Sitzung im Arbeitsspeicher des Servers, höchstens bis 12 Stunden nach der letzten Nutzung. Das Datenpasswort wird mit dem Verfahren scrypt auf dem von OWASP empfohlenen Mindestaufwand abgesichert. Gegen häufiges Raten des Datenpassworts gibt es eine Sperre. Die Anmeldung läuft ohne Passwort per Passkey. Der Zugriff der Verwaltung ist auf Metadaten begrenzt und protokolliert; die Verwaltung hat keinen Schlüssel zu deinen Inhalten.

11. Mindestalter

Kink Keeper ist nur für Personen ab 18 Jahren. Wir verarbeiten keine Daten von Minderjährigen absichtlich. Entdecken wir ein Konto einer minderjährigen Person, löschen wir es unwiderruflich.

12. Änderungen

Wenn sich Verarbeitungen ändern, passen wir diese Erklärung an. Für neue Zwecke holen wir eine neue Einwilligung ein. Das Datum oben zeigt den Stand.