Zur Startseite

Datenschutzerklärung

1. Verantwortlicher

Abubakar Abditube

E-Mail: info@manawg.com

2. Datenschutzbeauftragter

ManaWG wird von Abubakar Abditube privat betrieben. Ein Datenschutzbeauftragter ist nicht benannt.

3. Wer wir sind

ManaWG ist eine App für Wohngemeinschaften. Wir verkaufen keine personenbezogenen Daten und schalten keine Werbung. Für die Produktanalyse übermitteln wir nur die in Abschnitt 4f beschriebenen Angaben an PostHog Cloud EU. Die Konten, die du zur Anmeldung und für deine WG-Mitgliedschaft anlegst, sind davon getrennt; dazu steht mehr in Abschnitt 4a. Der Quellcode wird nicht veröffentlicht.

4. Verarbeitungstätigkeiten

4a. Konto, Authentifizierung und lokale Daten

  • Zweck: Damit Beiträge deiner WG-Mitgliedschaft zugeordnet werden können.
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags)
  • Anmeldung und lokale Daten: Du kannst dich mit Google oder mit E-Mail-Adresse und Passwort anmelden. Bei der Google-Anmeldung erhalten wir von Google deine E-Mail-Adresse und deinen Namen. Bei der Anmeldung per E-Mail versendet Supabase Bestätigungs-E-Mails und E-Mails zum Zurücksetzen des Passworts an deine Adresse. Resend übernimmt den Versand; als Absender erscheint noreply@manawg.com. Supabase Auth verwaltet die Anmeldung, die Sitzung wird in Cookies gespeichert. Außerdem können WG-Zuordnungen und Namensentwürfe im lokalen Browserspeicher (Local Storage) liegen.
  • Speicherdauer: Kontodaten speichern wir, bis du dein Konto über Einstellungen → Zugang → Konto löschen löschst. Lokale WG-Zuordnungen und Namensentwürfe bleiben im Browser, bis du dessen Speicher manuell löschst.
  • Empfänger und Auftragsverarbeiter: Supabase für Anmeldung und Datenbankhosting; Resend für den E-Mail-Versand (siehe Abschnitt 5).
  • Speicherort und Drittlandübermittlungen: Supabase speichert Daten in Frankfurt am Main (EU). Diese Regionseinstellung schließt weitere Übermittlungen nicht aus. Resend, Inc. (USA) erhält beim E-Mail-Versand deine E-Mail-Adresse und den Nachrichteninhalt. Die Übermittlung stützt sich auf EU-Standardvertragsklauseln oder das EU-US Data Privacy Framework.

4b. WG-Daten (WG-Name, Mitgliedschaften, Ausgaben, Fixkosten, Putzplan, Einkaufsliste, Vorräte, Kalender, Pinnwand, Chat)

  • Zweck: Damit die Organisationsfunktionen deiner WG bereitstehen.
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags)
  • Speicherdauer: Gemeinsame WG-Daten bleiben erhalten, solange die WG besteht. Wenn ein Mitglied die WG verlässt, werden diese Daten nicht deshalb gelöscht. Wird die WG dauerhaft gelöscht, entfernen wir die zugehörigen Daten aus der aktiven Datenbank. Löschst du dein Konto, während andere in der WG bleiben, bleibt dein Anzeigename an den von dir erfassten Ausgaben und Beiträgen stehen, damit die übrigen Mitglieder weiter korrekt abrechnen können (Art. 6 Abs. 1 lit. f DSGVO). Die Verknüpfung dieser Einträge mit deinem Konto wird entfernt.
  • Empfänger und Auftragsverarbeiter: Supabase für das Datenbankhosting.
  • Speicherort und Drittlandübermittlungen: Supabase speichert Daten in Frankfurt am Main (EU). Diese Regionseinstellung schließt weitere Übermittlungen nicht aus.

4c. Technische Logs und Fehlerdiagnose

  • Zweck: Für einen sicheren, stabilen Betrieb, die Fehlersuche und den Schutz vor Missbrauch.
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an einem sicheren und stabilen Betrieb).
  • Speicherdauer: Vercel-Logs bleiben höchstens 30 Tage gespeichert. Wenn Sentry für die jeweilige Bereitstellung aktiviert ist, richtet sich die Löschfrist der Fehlerereignisse nach dem geltenden Sentry-Tarif. Sentry nennt die Aufbewahrungsfristen je Tarif.
  • Empfänger: Vercel Inc. (USA) betreibt das Hosting und verarbeitet Server-Logs. Wenn Sentry für eine App-Bereitstellung aktiviert ist, erhält Sentry (Functional Software, Inc.) technische Fehlerdaten, etwa Fehlertypen, Stacktraces (Abläufe im Code bis zu einem Fehler) und freigegebene Diagnosekennzeichen. Für ManaWG ist als Sentry-Speicherregion die EU eingestellt; das schließt weitere Übermittlungen nicht aus. Vor dem Versand werden veränderliche Fehlermeldungen, Nutzerangaben, nicht freigegebene Kontextdaten sowie Anfrage-Header und -Inhalte entfernt. Anfragepfade werden bereinigt; Werte aus URL-Abfragen und Fragmenten, WG-Codes, Kalender-Zugriffstokens und signierte Datei-URLs werden unkenntlich gemacht. Die Sentry-Einbindung fügt Fehlerereignissen weder Nutzerangaben noch automatisch ermittelte IP-Adressen hinzu. Automatisch erfasste Sitzungsdaten und Performance-Traces sendet sie nicht.
  • Drittlandübermittlung: Vercel-Logs können über Server in den USA laufen. EU-Standardvertragsklauseln sind vereinbart.

4d. Foto-Uploads

  • Zweck: Damit Fotos, die du in der WG-App hochlädst (zum Beispiel für die Pinnwand oder als Beleg), gespeichert und angezeigt werden können.
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags).
  • Speicherdauer: Fotos in geteilten WG-Inhalten bleiben für aktive Mitglieder verfügbar, solange diese Inhalte auf sie verweisen. Wenn ein Mitglied die WG verlässt, werden die geteilten Fotos deshalb nicht entfernt. Wird der letzte Verweis auf ein Foto entfernt oder die WG gelöscht, sperren wir den Abruf sofort. Ein späterer Wartungslauf stößt die physische Löschung an. Eine maximale Frist für die endgültige Löschung oder für Anbieter-Backups können wir nicht zusichern.
  • Empfänger und Auftragsverarbeiter: Supabase speichert die Fotos in einem nicht öffentlichen Dateispeicher (siehe Abschnitt 5). Nur Mitglieder der WG können sie abrufen.
  • Speicherort und Drittlandübermittlungen: Die Fotos liegen in der Region Frankfurt am Main (EU). Diese Regionseinstellung schließt weitere Übermittlungen nicht aus.

Wenn du die Belegerkennung (OCR, automatische Texterkennung) startest, lädt die App bei Bedarf Tesseract-Worker- und Kerndateien sowie deutsche und englische Sprachmodelle von jsDelivr. Die Erkennung läuft in deinem Browser. Das Belegbild und der erkannte Text werden nicht an jsDelivr übertragen. Laut der jsDelivr-Datenschutzerklärung können jsDelivr und seine CDN-Dienstleister beim Abruf der Dateien technische Daten wie IP-Adresse, Browsertyp und -version, verweisende Domain, angeforderte Datei-URL, Abrufzeit, Gerätekennungen und weitere Diagnosedaten erhalten. Wenn du danach die Vorschau öffnest oder den Import übernimmst, sendet ManaWG die erkannten Daten an die eigene Import-API.

4e. Rate-Limiting (Missbrauchsschutz)

  • Zweck: Zum Schutz vor automatisierten Anfragen, Erraten von Passwörtern (Brute-Force) und anderem Missbrauch. Dafür führen wir Zähler pro IP-Adresse oder Mitgliedskennung.
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse, die Infrastruktur zu schützen).
  • Zeitfenster: Die Zähler laufen in gleitenden Zeitfenstern von einer Minute oder einer Stunde.
  • Speicherdauer: Im Produktivbetrieb ist die zusätzliche Upstash-Analyse deaktiviert. Die bis zum 30.09.2026 gespeicherten zusätzlichen Analyse-Metadaten wurden an diesem Tag gelöscht; zuvor hatten sie keine automatische Ablaufzeit. Die Rate-Limit-Zähler verfallen spätestens 2 Stunden und 1 Sekunde nach ihrer Anlage.
  • Empfänger und Auftragsverarbeiter: Vercel KV / Upstash, Inc. (USA). Bei IP-basierten Limits erhält der Dienst die ermittelte IP-Adresse ungekürzt und ungehasht als Schlüsselwert. Für andere Limits verwenden wir Mitgliedskennungen.

4f. Produktanalyse ohne Analyse-Cookies (PostHog)

  • Zweck: Um ManaWG weiterzuentwickeln, erfassen wir Seitenaufrufe und zählen, wie oft eine WG erstellt wird oder jemand einer WG beitritt.
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse, ManaWG weiterzuentwickeln).
  • Speicherdauer: Im derzeit genutzten kostenlosen PostHog-Tarif werden Analyseereignisse für ein Jahr gespeichert. Löschungsanfragen kannst du an info@manawg.com richten.
  • Empfänger und Auftragsverarbeiter: PostHog Inc. verarbeitet die Daten über PostHog Cloud EU in Frankfurt (eu.i.posthog.com). ManaWG sendet nur Seitenaufrufe und die Ereignisse wg_created und wg_joined. Andere Ereignisse und zusätzliche Angaben, die App-Funktionen übergeben, werden vor dem Senden entfernt. Mitgesendet werden außerdem eine Ereigniskennung (UUID), der Zeitpunkt, die Projektkennung, eine technische Zuordnungskennung, der Hostname und die Browserkennung. Die IP-Adresse erreicht PostHog mit der Anfrage.
  • Verarbeitungsregion und Drittlandübermittlungen: PostHog Cloud EU in Frankfurt. Diese Regionseinstellung schließt weitere Übermittlungen nicht aus.

Die Produktanalyse läuft ohne Analyse-Cookies und speichert dafür nichts im lokalen Browserspeicher. ManaWG erstellt keine Analyseprofile; automatische Klickerfassung, Sitzungsaufzeichnungen und Umfragen sind nicht aktiviert. Namen, E-Mail-Adressen, WG-Namen, WG-Codes, Nachrichten, Einkaufs- und Finanzdaten werden nicht übertragen. Für die Auswertung kann PostHog aus IP-Adresse, Browserkennung und Domain eine täglich wechselnde Kennung bilden. Schutzfunktionen des Browsers oder Inhaltsblocker können die Analyse verhindern; ManaWG funktioniert dann weiter.

4g. Push-Benachrichtigungen

  • Zweck: Damit du Hinweise auf neue WG-Ereignisse wie Ausgaben, Aufgaben oder Nachrichten erhältst, wenn du Benachrichtigungen einschaltest.
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (deine Einwilligung über die Abfrage des Browsers). Du kannst sie jederzeit in den App-Einstellungen oder im Browser widerrufen.
  • Verarbeitete Daten: Die vom Browser erzeugte Push-Adresse, deren Schlüssel und der Text der Benachrichtigung.
  • Speicherdauer: Bis du Benachrichtigungen ausschaltest, die WG verlässt oder dein Konto löschst.
  • Empfänger: Der Push-Dienst des Browser- oder Betriebssystemherstellers (z. B. Google, Apple oder Mozilla) stellt die Nachricht an dein Gerät zu.
  • Drittlandübermittlung: Möglich, da diese Push-Dienste Server in den USA nutzen können.

5. Empfänger und Auftragsverarbeiter

Folgende Dienste erhalten Daten für die jeweils genannten Zwecke:

  • Supabase: verwaltet Anmeldungen und hostet die Postgres-Datenbank sowie den Dateispeicher für Fotos in Frankfurt am Main (EU).
  • Resend, Inc. (USA): versendet im Produktivbetrieb die von Supabase Auth ausgelösten Bestätigungs-E-Mails und E-Mails zum Zurücksetzen des Passworts. Absender ist noreply@manawg.com (siehe Abschnitt 4a). Die Übermittlung stützt sich auf EU-Standardvertragsklauseln oder das EU-US Data Privacy Framework.
  • Vercel Inc. (USA): hostet die Web-App und betreibt das Edge-Netzwerk; dabei entstehen Server-Logs. Ein Auftragsverarbeitungsvertrag und EU-Standardvertragsklauseln liegen vor.
  • Vercel KV / Upstash, Inc. (USA): führt die Redis-basierten Zähler für den Missbrauchsschutz (pro IP-Adresse oder Kennung, siehe Abschnitt 4e).
  • PostHog Inc.: verarbeitet die Produktanalyse über PostHog Cloud EU in Frankfurt am Main (siehe Abschnitt 4f).
  • Sentry (Functional Software, Inc.): untersucht technische Fehler, wenn Sentry für die jeweilige App-Bereitstellung aktiviert ist (siehe Abschnitt 4c). Datenschutzhinweise von Sentry und offizielles Data Processing Addendum. Das Data Processing Addendum (Auftragsverarbeitungsvertrag) wurde am 30.09.2026 abgeschlossen.
  • jsDelivr und CDN-Dienstleister: liefern Tesseract-Worker-, Kern- und Sprachdateien, wenn du die lokale OCR ausdrücklich startest (siehe Abschnitt 4d).

6. Keine Werbung und keine Werbeprofile

ManaWG enthält keine Werbung, kein Google Analyticsund keine Social-Media-Tracker. Wir verwenden Daten nicht für Werbung und verfolgen dich nicht über verschiedene Websites hinweg. Die in Abschnitt 4f beschriebene Produktanalyse ohne Analyse-Cookies dient der Weiterentwicklung von ManaWG; dafür werden keine Analyseprofile angelegt. Die Konten für Anmeldung und WG-Mitgliedschaft sind davon getrennt; sie sind in Abschnitt 4a beschrieben.

7. Cookies und lokaler Browser-Speicher

Für die Anmeldung bei Supabase verwendet ManaWG Cookies. Außerdem können WG-Zuordnungen und Namensentwürfe im lokalen Browserspeicher (Local Storage) abgelegt werden. Wenn du den Browser-Speicher löschst, werden auch diese lokalen Daten entfernt.

8. Deine Rechte (Betroffenenrechte)

Du kannst folgende Rechte uns gegenüber geltend machen:

  • Art. 15 DSGVO: Auskunft über deine gespeicherten Daten
  • Art. 16 DSGVO: Berichtigung unrichtiger Daten
  • Art. 17 DSGVO: Löschung. Du kannst dein Konto jederzeit löschen. Wähle dazu Einstellungen → Zugang → Konto löschen. Dabei werden deine Anmeldedaten entfernt und du verlässt alle WGs. Daten einer WG, in der du allein bist, werden aus der aktiven Datenbank entfernt; zugehörige Fotos siehe Abschnitt 4d. Bleiben weitere Mitglieder in einer WG, bleibt dein Anzeigename an deinen bisherigen Beiträgen stehen (siehe Abschnitt 4b). Die Erstellerin oder der Ersteller kann eine WG über Einstellungen → Zugang → WG dauerhaft löschen unwiderruflich entfernen. Dann werden alle Mitglieder, Ausgaben, Listen, Aufgaben und Pinnwand-Beiträge der WG aus der aktiven Datenbank entfernt. Der Abruf zugehöriger Bilder wird sofort gesperrt; die physische Löschung folgt später (siehe Abschnitt 4d). Du kannst eine weitergehende Löschung per E-Mail an info@manawg.com beantragen.
  • Art. 18 DSGVO: Einschränkung der Verarbeitung
  • Art. 20 DSGVO: Datenübertragbarkeit
  • Art. 21 DSGVO: Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO aus Gründen, die sich aus deiner besonderen Situation ergeben, zum Beispiel bei Logs oder Rate-Limiting
  • Art. 77 DSGVO: Beschwerde bei der zuständigen Aufsichtsbehörde:
    Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI)
    Gustav-Stresemann-Ring 1, 65189 Wiesbaden
    https://datenschutz.hessen.de

Anfragen an: info@manawg.com

Wir beantworten deinen Antrag ohne unangemessene Verzögerung und spätestens binnen eines Monats. Bei komplexen Anträgen oder einer großen Zahl von Anfragen können wir diese Frist um bis zu zwei weitere Monate verlängern. Über die Verlängerung und ihre Gründe informieren wir dich innerhalb des ersten Monats (Art. 12 Abs. 3 DSGVO). Diese Antwortfrist ist keine Zusage, dass alle Daten innerhalb eines Monats physisch gelöscht werden; bei Fotos gilt insbesondere die Beschreibung in Abschnitt 4d. Gesetzliche Löschpflichten bleiben unberührt.

Wenn wir Daten auf Grundlage deiner Einwilligung verarbeiten, kannst du deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Der Widerruf berührt die Rechtmäßigkeit der Verarbeitung vor dem Widerruf nicht (Art. 7 Abs. 3 DSGVO). Für Push-Benachrichtigungen siehe Abschnitt 4g.

9. Keine automatisierte Entscheidungsfindung / Profiling

Wir treffen keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO und führen kein Profiling durch. Wir verwenden deine Daten für die in dieser Erklärung beschriebenen Zwecke.

10. Pflicht zur Bereitstellung der Daten

Du bist weder gesetzlich noch vertraglich verpflichtet, personenbezogene Daten bereitzustellen (Art. 13 Abs. 2 lit. e DSGVO). Ohne Anmeldung mit Google oder mit E-Mail-Adresse und Passwort sowie ohne Anzeigenamen kannst du die App allerdings nicht nutzen.

11. Aktualisierungen dieser Erklärung

Wenn sich die Datenverarbeitung ändert, können wir diese Datenschutzerklärung aktualisieren. Über wesentliche Änderungen informieren wir dich per E-Mail oder in der App. Das Datum der letzten Aktualisierung steht oben auf dieser Seite.