Datenschutzerklärung

Wir nehmen den Schutz deiner Daten sehr ernst und behandeln deine personenbezogenen Daten vertraulich und entsprechend der gesetzlichen Vorschriften der EU-DSGVO sowie dieser Datenschutzerklärung. doWallet wird in Deutschland gehostet; deine Daten verlassen den EU-Wirtschaftsraum nur in den unter Ziffer 11 genannten Fällen.

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist die Applox GmbH, Röhrichtweg 29, 44263 Dortmund. Kontakt und Vertretung findest du im Impressum.

2. Datenschutzbeauftragter

Du erreichst unseren Datenschutzbeauftragten unter dsb@dowallet.de.

3. Erhobene Daten und Zwecke

3.1 Konto- und Nutzungsdaten

• E-Mail, Name, gehashtes Passwort (argon2id) · zur Kontoerstellung und Authentifizierung.
• Organisations- und Workspace-Zugehörigkeit, Rolle.
• Session-Metadaten (IP-Adresse, User-Agent, Zeitpunkt) · zur Missbrauchserkennung.
• Audit-Log: Wer hat was wann geändert (Vorher-/Nachher-Diff). IP-Adresse und User-Agent werden nach 90 Tagen entfernt, der Eintrag bleibt gemäß Tenant-Einstellung (Standard 365 Tage).
• Login-Codes und Einladungen, jeweils nur für die Dauer ihrer Gültigkeit.

3.2 Pass-bezogene Daten

• Template- und Kampagnendefinitionen (vom Kunden eingegeben).
• Ausgegebene Pässe mit Seriennummer, AuthToken (AES-256-GCM verschlüsselt), Attribute (vom Pass-Empfänger optional eingegeben), UTM-Zuordnung.
• Geräte-Registrierungen von Apple Wallet (Kennung der Wallet-Bibliothek des Geräts und Push-Token, die das Gerät selbst bei doWallet registriert).
• Lifecycle-Events (Pass aktiviert, deaktiviert, reaktiviert).
• Link-Klicks und Events zur Auswertung von Kampagnen. IP-Adresse und User-Agent von Link-Klicks werden nach 7 Tagen entfernt, E-Mail-Schlüssel in Events nach 90 Tagen.

3.3 Pass-Empfänger (Endkunden unserer Kunden)

Wenn ein Endkunde einen Pass beansprucht, speichern wir die Geräte-Registrierung und ggf. die freiwillig angegebene E-Mail-Adresse · ausschließlich im Auftrag des Pass-Ausstellers (Auftragsverarbeitung gem. Art. 28 DSGVO, siehe AVV in den AGB).

3.4 Öffentliche Landing-Seiten

Auf den Landing-Seiten unter /p/<slug> gibt der Pass-Aussteller (unser Kunde) Pässe an seine Endkunden aus. Für die dort erhobenen Daten ist der Pass-Aussteller Verantwortlicher, doWallet ist Auftragsverarbeiter. Name und E-Mail werden nur erhoben, wenn der Endkunde eine ausdrückliche Checkbox setzt. Ein Gerätekennzeichen (Cookie dw_attr_<slug> und Local Storage, 180 Tage) sorgt dafür, dass pro Telefon nur ein Pass ausgegeben wird. Es ist technisch notwendig und enthält keine personenbezogenen Angaben.

3.5 Pitch-Decks

Präsentationen unter /pitch/<token> erfassen eine eigene, einfache Nutzungsstatistik (aufgerufene Folien, Dauer). Dafür wird eine zufällige Sitzungs-ID nur im Arbeitsspeicher des Browsers gehalten. Es wird kein Cookie gesetzt und weder IP-Adresse noch User-Agent gespeichert. Aufbewahrung 12 Monate.

3.6 Anfragen über Kontaktformulare

Wenn du uns über ein Formular auf dowallet.de kontaktierst, speichern wir deine Angaben zur Bearbeitung der Anfrage. IP-Adresse und User-Agent werden nach 30 Tagen entfernt, die Anfrage selbst nach 24 Monaten gelöscht. Eine Benachrichtigung mit Name, E-Mail, Firma, gewähltem Paket und Nachricht geht per E-Mail an ein Postfach der Applox GmbH bei Google Workspace (Ziffer 5).

3.7 Cookielose, datensparsame Reichweitenmessung

Um zu wissen, welche unserer Seiten gelesen werden, zählen wir Seitenaufrufe auf den öffentlichen Seiten von dowallet.de (Startseite, Produkt, Lösungen, Preise, Roadmap, Änderungen, Dokumentation, Trust Center und Rechtstexte) und auf den Landing-Seiten unter /p/<slug>. Dafür nutzen wir die Open-Source-Software Umami, die die Applox GmbH selbst auf eigenen Servern bei Hetzner in Falkenstein (Deutschland) betreibt. Kein Dritter erhält diese Daten. Nie gezählt werden die App nach der Anmeldung, Anmelde- und Registrierungsseiten, das Backoffice, Pitch-Decks, der Scanner sowie Einladungs-, Abmelde- und Pass-Links.

Dein Browser schickt den Seitenaufruf an dowallet.de selbst, nicht an einen anderen Server. Übermittelt werden die Adresse der Seite ohne Parameter (auf den öffentlichen Seiten bleiben nur die Kampagnenkennzeichen utm_source, utm_medium und utm_campaign erhalten, Landing-Seiten zählen wir ganz ohne Parameter), auf den öffentlichen Seiten der Seitentitel, die Website, von der du kommst (nur ihr Domainname), und die Angaben, die dein Browser mit jedem Seitenaufruf sendet: Browser-Kennung (User-Agent), bevorzugte Sprache und IP-Adresse. Die IP-Adresse kürzen wir auf unseren Servern, bevor sie die Statistik erreicht (IPv4 um das letzte Byte, IPv6 auf die ersten 48 Bit); die vollständige IP-Adresse wird weder weitergegeben noch in der Statistik gespeichert (wie jeder Aufruf steht der Seitenaufruf im Zugriffsprotokoll des Servers, Ziffer 3.8). Gespeichert werden nur der Seitenaufruf, daraus abgeleitet Browser, Betriebssystem, Gerätetyp und der ungefähre Ort (Land, Region und Stadt, soweit sie sich aus der gekürzten IP-Adresse ergeben), sowie eine Besuchskennung. Sie ist ein Hashwert aus gekürzter IP-Adresse, Browser-Kennung, einem geheimen Schlüssel und dem aktuellen Tag und wechselt deshalb täglich. Die Besuchskennung ist ein Pseudonym und damit kein anonymes Datum: Wer den Schlüssel kennt, könnte sie für eine bekannte gekürzte IP-Adresse und Browser-Kennung nachrechnen. Wir tun das nicht und führen die Statistik mit keinen anderen Daten zusammen; Besuche verschiedener Tage lassen sich nicht verbinden.

Es wird kein Cookie gesetzt und nichts im Speicher deines Browsers abgelegt, und es werden keine Eigenschaften deines Geräts wie Bildschirmgröße oder Spracheinstellung ausgelesen. Weil nichts auf deinem Endgerät gespeichert und keine Information aus ihm gelesen wird, die nicht ohnehin mit dem Seitenaufruf übertragen wird, ist nach unserer Bewertung keine Einwilligung nach § 25 TDDDG nötig; deshalb gibt es kein Cookie-Banner. Rechtsgrundlage ist unser berechtigtes Interesse, Reichweite und Nutzung unserer Website zu verstehen und sie zu verbessern (Art. 6 Abs. 1 lit. f DSGVO). Für die Zählung auf den Landing-Seiten ist ebenfalls die Applox GmbH verantwortlich; der Pass-Aussteller erhält diese Daten nicht. Die Daten werden nach 25 Monaten gelöscht.

Widerspruch: Hast du in deinem Browser „Do Not Track“ oder „Global Privacy Control“ eingeschaltet, zählen wir keinen Seitenaufruf. Darüber hinaus kannst du der Verarbeitung nach Art. 21 DSGVO widersprechen (dsb@dowallet.de); weil die Statistik weder Name noch IP-Adresse enthält und wir dich darin nicht finden können, ist die Einstellung im Browser der wirksame Weg.

3.8 Zugriffsprotokolle der Server

Bei jedem Aufruf von dowallet.de und seinen Subdomains (app., api. und pass.dowallet.de, also auch bei Landing-Seiten, Pass-Links und den Abrufen der Wallet-Apps) schreibt der Webserver eine Zeile in das Zugriffsprotokoll: Zeitpunkt, aufgerufener Host, Methode, Pfad einschließlich der Parameter in der Adresse (zum Beispiel Kampagnenkennzeichen oder Kennungen in Links), Statuscode, übertragene Datenmenge, Antwortzeit, die vollständige IP-Adresse, die Browser-Kennung (User-Agent), die verweisende Seite (Referer) und eine Kennung der Anfrage. Bei der Adresssuche des Standort-Editors steht nur der Pfad ohne Parameter und ohne verweisende Seite im Protokoll, Suchbegriffe und Koordinaten also nie.

Zweck ist die Sicherheit des Betriebs: Angriffe und Missbrauch erkennen, abwehren und aufklären sowie Fehler finden (Art. 6 Abs. 1 lit. f DSGVO). Das Protokoll bleibt bis zu 90 Tage auf dem Server. Jede Nacht geht eine verschlüsselte Kopie in den Backup-Speicher bei Hetzner in Falkenstein, wo sie nach 365 Tagen automatisch gelöscht wird. Wir werten das Protokoll nicht für Profile aus und führen es mit keinen anderen Daten zusammen; nach Personen durchsuchbar ist es nicht, weil es weder Namen noch E-Mail-Adressen enthält. Die Anwendung selbst protokolliert Anfragen nur mit gekürzter IP-Adresse (IPv4 /24, IPv6 /64) und ohne die Parameter der Adresse; diese Protokolle bleiben 30 Tage auf dem Server und 365 Tage in der verschlüsselten Kopie.

3.9 Statusseite und Überwachung der Erreichbarkeit

Ob doWallet erreichbar ist, prüfen wir selbst: Die Open-Source-Software Gatus, die die Applox GmbH auf eigenen Servern bei Hetzner in Falkenstein (Deutschland) betreibt, ruft jede Minute die öffentlichen Adressen von doWallet auf und meldet Ausfälle. Dabei werden keine personenbezogenen Daten verarbeitet, und kein externer Überwachungsdienst erhält Daten.

Das Ergebnis zeigt die Statusseite status.dowallet.de. Sie setzt kein Cookie, legt nichts im Speicher deines Browsers ab und lädt nichts von anderen Servern. Wie bei jedem Aufruf schreibt der vorgeschaltete Server der Applox GmbH (ebenfalls bei Hetzner in Falkenstein) die Anfrage mit vollständiger IP-Adresse, Browser-Kennung (User-Agent) und verweisender Seite in sein Zugriffsprotokoll. Es bleibt 14 Tage auf diesem Server und 30 Tage in unserem Protokollspeicher, der ebenfalls in Falkenstein steht. Zweck ist der sichere Betrieb der Seite (Art. 6 Abs. 1 lit. f DSGVO).

4. Rechtsgrundlagen

• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) · Bereitstellung der Plattform.
• Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) · Steuerrechtliche Aufbewahrung.
• Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen) · IT-Sicherheit, Betrugsprävention, Audit-Log, Zugriffsprotokolle der Server (Ziffer 3.8), Bot-Schutz, cookielose Reichweitenmessung (Ziffer 3.7), Statusseite und Überwachung der Erreichbarkeit (Ziffer 3.9).
• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) · E-Mails an Pass-Empfänger, Name und E-Mail auf Landing-Seiten.

5. Empfänger und Auftragsverarbeiter

• Hetzner Online GmbH (Deutschland) · Server-Hosting, Objektspeicher, Backups, Zugriffsprotokolle, Kartenkacheln und Adresssuche. AVV abgeschlossen.
• Apple Inc. (USA) · Apple Wallet: Push-Benachrichtigungen über APNs an Geräte, auf denen ein Pass gespeichert ist. Apple erhält nur das Push-Token des Geräts und die Pass-Typ-Kennung; den Pass lädt das Gerät direkt bei doWallet. Die Übermittlung erfolgt auf Weisung des Pass-Ausstellers, weil er Wallet-Pässe ausgibt. Grundlage siehe Ziffer 11.
• Google LLC (USA) · Google Wallet API: Inhalt des Passes als Wallet-Klasse und -Objekt, einschließlich der Angaben über den Passinhaber, die die Vorlage auf den Pass setzt. Die Übermittlung erfolgt auf Weisung des Pass-Ausstellers, weil er Wallet-Pässe ausgibt. Grundlage siehe Ziffer 11.
• Brevo (Sendinblue SAS, Frankreich) · Versand von Transaktions-E-Mails (Login-Codes, Einladungen, Rechnungen, Pass-E-Mails), sofern der Kunde keinen eigenen SMTP-Server hinterlegt hat. AVV abgeschlossen.
• doCaptcha (Applox GmbH, Deutschland) · Bot-Schutz der Anmeldung, der Formulare und, mit Page Guard, der Website. Eigener Dienst desselben Unternehmens auf Servern in Deutschland, kein Dritter; siehe Ziffer 6.1.
• sevDesk GmbH (Deutschland) · Rechnungsstellung und Buchhaltung: Firmendaten und Rechnungskontakt unserer Kunden. AVV abgeschlossen.
• Google Ireland Limited (Google Workspace, Irland) · Postfächer der Applox GmbH. Dort kommen derzeit die Benachrichtigungen über Kontaktanfragen (Ziffer 3.6) und über hochgeladene Zahlungsnachweise (Organisation, Rechnungsnummer, Betrag, Notiz des Kunden) an, ebenso Meldungen an security@applox.com und Antworten auf unsere E-Mails, bis diese Postfächer zu einem Anbieter in Deutschland umziehen. Zur Verarbeitung in den USA siehe Ziffer 11.
• Vom Kunden konfigurierte Empfänger · eigener SMTP-Server, Webhook-Endpunkte, die API seines Systems für den Wert des Passes (doWallet sendet beim Ausstellen die Angaben, die der Kunde dafür festlegt, etwa Pass-ID, Seriennummer, Vorlage, Kampagnenkennzeichen und Attribute des Passes, auch Name und E-Mail des Pass-Inhabers, wenn er eingewilligt hat) und Adressen für Bilder je Pass (doWallet ruft das Bild einmal von dieser Adresse ab). Diese Übermittlungen erfolgen auf Weisung des Kunden; er wählt die Empfänger selbst aus und verantwortet sie.

Überwachung der Erreichbarkeit, Statusseite und Reichweitenmessung betreibt die Applox GmbH selbst auf Servern bei Hetzner in Deutschland (Ziffer 3.7 und 3.9); dafür gibt es keinen weiteren Empfänger. Externe Dienste für Überwachung, Statusseite oder Fehlerberichte nutzt doWallet nicht.

6. Eingebundene Dienste

6.1 doCaptcha (Bot-Schutz)

Die Anmeldung, die Anforderung eines Login-Codes, „Passwort vergessen“ und das Kontaktformular sind durch doCaptcha geschützt, einen Dienst der Applox GmbH (Deutschland), die auch doWallet betreibt; die Daten verlassen das Unternehmen und Deutschland nicht. Ist Page Guard aktiv, prüft doCaptcha auch die übrigen Seiten der Website und der App. Seiten, die Pass-Inhaber aus dem Wallet, per QR-Code oder E-Mail öffnen (Landing-Seiten, persönliche Einladungen, Pass-Links, Abmelden, Scanner), bleiben immer ohne doCaptcha. Dein Browser lädt dafür ein Skript von widget.docaptcha.com und spricht mit der API von doCaptcha. Übermittelt werden deine IP-Adresse, der User-Agent und technische Merkmale, an denen sich automatisierte Zugriffe erkennen lassen: Eigenschaften des Browsers, Zähler und Zeitabstände von Mausbewegungen, Klicks und Tastendrücken und, mit Page Guard, je Seitenwechsel die Verweildauer und die Zahl der Eingaben. Was du eintippst, welche Tasten du drückst, die Adressen der Seiten und Linktexte verlassen deinen Browser dabei nicht. Gibt sich ein KI-Agent über seinen User-Agent oder eine Signatur (Web Bot Auth) zu erkennen, prüft doCaptcha diese Angaben; Suchmaschinen und Link-Vorschauen sind ausgenommen. Der Dienst setzt genau einen First-Party-Freigabe-Cookie (__dc_clr, 30 Minuten, technisch notwendig), sobald Page Guard aktiv ist; er belegt, dass dein Browser die Prüfung bestanden hat. Das Formular-Widget selbst setzt keinen Cookie und nutzt keinen Browser-Speicher. Der Schutz dient ausschließlich der Abwehr automatisierter Zugriffe, Anmeldeversuche und missbräuchlich ausgelöster E-Mails (Art. 6 Abs. 1 lit. f DSGVO; Zugriff auf dein Endgerät nach § 25 Abs. 2 Nr. 2 TDDDG).

6.2 Karten und Adresssuche

Der Standort-Editor der App zeigt eine Karte und bietet eine Adresssuche. Kartenkacheln, Schriften und Symbole lädt dein Browser aus dem Objektspeicher von doWallet bei Hetzner in Falkenstein. Suchbegriffe und angeklickte Kartenpunkte gehen an die doWallet-API, die sie mit einem eigenen Geocoding-Dienst auf doWallet-Servern in Deutschland beantwortet. Kein Dritter erhält dabei deine IP-Adresse oder deine Suchanfrage. Suchbegriffe und Koordinaten landen nie in einer Datenbank oder einem Protokoll. Damit wiederholte Suchen schnell sind, dienen Suchbegriff und gerundete Koordinaten, nur als Hash-Wert, als Schlüssel eines Zwischenspeichers: zusammen mit der Antwort bleiben sie höchstens 24 Stunden (ohne Treffer 10 Minuten) im Arbeitsspeicher der doWallet-Server, ohne Bezug zu deiner Person (Art. 6 Abs. 1 lit. b DSGVO). Kartendaten © OpenStreetMap-Mitwirkende, verfügbar unter der Open Database License (ODbL).

Auf Landing-Seiten öffnet die Schaltfläche „In Karten öffnen“ erst nach deinem Tippen die Karten-App deines Geräts (Apple Karten auf dem iPhone, sonst Google Maps); erst dann erhält dieser Anbieter die Koordinaten des Standorts, nach seinen eigenen Bedingungen.

7. Cookies und ähnliche Technologien

Wir setzen nur technisch notwendige Cookies und Einstellungs-Speicher. Es gibt keine Analyse- und keine Marketing-Cookies; die Reichweitenmessung (Ziffer 3.7) kommt ohne Cookies und ohne Browser-Speicher aus. Jeder einzelne Eintrag ist mit Zweck und Dauer in unserer Cookie-Richtlinie beschrieben. Deine Einstellungen erreichst du jederzeit hier: Cookie-Einstellungen

8. Deine Rechte

Du hast jederzeit das Recht auf:

• Auskunft (Art. 15) · vollständige Übersicht über deine Daten bei uns.
• Berichtigung (Art. 16).
• Löschung (Art. 17) · vollständige Löschung mit 30-Tage-Schonfrist, jederzeit widerrufbar.
• Einschränkung (Art. 18).
• Datenübertragbarkeit (Art. 20) · Export als JSON-Archiv.
• Widerspruch (Art. 21) und Widerruf einer Einwilligung (Art. 7 Abs. 3).
• Beschwerde bei einer Aufsichtsbehörde (z.B. LDI NRW bei Sitz in Dortmund).

So übst du deine Rechte aus:

• Kunden: Export und Löschung unter Einstellungen → Profil → Datenrechte. Dort ist auch eine Übersicht zur Auftragsverarbeitung (AVV) als PDF abrufbar; den Vertrag zum Unterschreiben erhältst du über dsb@dowallet.de.
• Pass-Empfänger: Den Empfang von E-Mails zu einem Pass widerrufst du über den Link in jeder E-Mail. Der Pass bleibt in deiner Wallet. Die Löschung deiner Daten kannst du beim Pass-Aussteller oder unter dsb@dowallet.de verlangen.
• Pass-Aussteller können die personenbezogenen Daten eines Passes in der Pass-Liste über „Personenbezogene Daten löschen“ entfernen.

Alle weiteren Anliegen richtest du an dsb@dowallet.de.

9. Speicherdauer

Aktive Konten speichern wir, solange das Vertragsverhältnis besteht. Für die Zugriffsprotokolle der Server gilt Ziffer 3.8. Für alle übrigen Daten gelten folgende Fristen, die ein täglicher Job automatisch durchsetzt:

10. Technische und organisatorische Maßnahmen

• Transportverschlüsselung mit TLS 1.2 oder höher, TLS 1.3 bevorzugt; unverschlüsselte Anfragen werden auf HTTPS umgeleitet.
• Wallet-Credentials und Pass-AuthTokens AES-256-GCM verschlüsselt mit rotierbaren Keys.
• Passwörter mit argon2id gehasht.
• Rate-Limit, CSRF-Schutz, Helmet-CSP, CORS-Allowlist.
• Hetzner-Cloud-Firewalls und Firewalls der Server mit Allowlists, Rate-Limits am Reverse-Proxy; Datenbank-Backups alle 6 Stunden, vor dem Upload verschlüsselt.
• Schwachstellen-Scan jedes Images vor dem Ausrollen; ein externer Penetrationstest ist geplant. Audit-Log mit IP-Adresse und User-Agent (nach 90 Tagen entfernt).

11. Internationale Datenübermittlung

Hosting, Datenbank, Backups, Kartenkacheln, Adresssuche, Reichweitenmessung, Überwachung und Statusseite betreiben wir in Deutschland (Hetzner, Falkenstein). Transaktions-E-Mails versendet Brevo (Sendinblue SAS) in Frankreich, also innerhalb der EU.

Daten aus Pässen übermitteln wir in die USA nur, soweit es entsteht, weil unser Kunde Wallet-Pässe ausgibt und du einen Pass in deiner Wallet speicherst: an Apple Inc. für Apple Wallet das Push-Token deines Geräts und die Pass-Typ-Kennung (den Pass selbst lädt dein Gerät direkt bei doWallet), an Google LLC für Google Wallet den Inhalt des Passes einschließlich der Angaben über dich, die die Vorlage auf den Pass setzt. Grundlage für Google LLC ist der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework vom 10. Juli 2023 (Art. 45 DSGVO), unter dem Google LLC zertifiziert ist, ergänzend Standardvertragsklauseln. Apple Inc. ist nicht unter dem Data Privacy Framework zertifiziert; für Apple stützt sich die Übermittlung auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

Anbieter der Postfächer der Applox GmbH ist Google Ireland Limited (Google Workspace, Irland); Google kann die Daten darin auch in den USA verarbeiten. Grundlage ist der Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO), unter dem Google LLC zertifiziert ist, ergänzend Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Empfänger, die ein Kunde selbst konfiguriert (Ziffer 5), können außerhalb der EU sitzen; diese Übermittlung erfolgt auf seine Weisung und in seiner Verantwortung. Werkzeuge unseres Betriebs mit Sitz außerhalb Deutschlands (GitLab und Let’s Encrypt in den USA, 1Password in Kanada) erhalten keine Daten über dich; sie stehen im Trust Center.

doWallet enthält keine KI-Funktionen und übermittelt keine Daten an KI-Anbieter.

12. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen. Über wesentliche Änderungen informieren wir per E-Mail.