Datenschutzerklärung LifeBoxx

1. Verantwortlicher

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO für die Verarbeitung personenbezogener Daten im Rahmen von LifeBoxx ist:

Carsten Kreitz
Hostetstraße 46
52223 Stolberg
E-Mail: mail@carstenkreitz.de

LifeBoxx wird als privat betriebene, nicht kommerzielle Anwendung eingesetzt. Betreiber und Nutzer sind hier nicht identisch, sobald weitere Personen (z. B. Familie/Freunde) eigene Zugänge erhalten. In diesem Fall gilt der Betreiber gegenüber diesen Nutzern als datenschutzrechtlich Verantwortlicher (keine Berufung auf die Haushaltsausnahme des Art. 2 Abs. 2 lit. c DSGVO).

2. Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist nach § 38 BDSG derzeit nicht zu bestellen, da weder die Schwelle von 20 Personen bei automatisierter Verarbeitung erreicht wird noch eine Kerntätigkeit im Sinne von Art. 37 Abs. 1 DSGVO vorliegt. Bei Einführung des Gesundheitsmoduls ist diese Einschätzung erneut zu prüfen (Verarbeitung besonderer Kategorien nach Art. 9 DSGVO kann die Bestellpflicht auslösen).

3. Verarbeitete Datenkategorien und Zwecke

Die einzelnen Module verarbeiten unterschiedliche Datenkategorien zu unterschiedlichen Zwecken. Die vollständige, verbindliche Übersicht führt das Verzeichnis von Verarbeitungstätigkeiten (VVT) gemäß Art. 30 DSGVO (docs/VVT.md), auf das hier verwiesen wird. Zusammengefasst:

Rechtsgrundlage ist regelmäßig Art. 6 Abs. 1 lit. b DSGVO (Nutzung der Anwendung als vertrags-/nutzungsähnliches Verhältnis) bzw. lit. f DSGVO (berechtigtes Interesse an einer funktionierenden, sicheren Verwaltungsanwendung). Für optionale Freigaben zwischen Nutzern („Resource Sharing“) ist die Rechtsgrundlage die eigene Entscheidung des teilenden Nutzers (Art. 6 Abs. 1 lit. a bzw. f DSGVO, je nach Ausgestaltung).

4. Empfänger und Auftragsverarbeiter

LifeBoxx bindet bewusst keine externen Dienste (kein CDN, keine Analyse-/Tracking-Tools) ein; alle Frontend- und Backend-Bibliotheken sind lokal vendored. Daten werden ausschließlich verarbeitet durch:

• Hosting: IONOS SE, Elgendorfer Str. 57, 56410 Montabaur (Server- Infrastruktur, auf der die Anwendung und die Datenbank betrieben werden). Mit IONOS besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO (Vereinbarung zur Auftragsverarbeitung, Version 1.3, Stand 03/2026, Bestandteil der IONOS-AGB, abrufbar unter https://www.ionos.de/terms-gtc/avv/; lokale Ablage des Nachweises unter docs/AVV.pdf). IONOS hat einen eigenen Datenschutzbeauftragten bestellt und weist die Einhaltung seiner Pflichten nach Art. 28 DSGVO u. a. durch eine Zertifizierung nach ISO 27001 nach.

Eine Übermittlung an weitere Empfänger oder in Drittländer außerhalb der EU/des EWR findet nicht statt.

5. Speicherdauer

Die Speicherdauer richtet sich nach dem jeweiligen Modul und ist im Detail in docs/VVT.md je Verarbeitungstätigkeit dokumentiert. Grundsätzlich gilt: Daten werden gespeichert, solange der jeweilige Nutzeraccount besteht bzw. solange sie für den dokumentierten Zweck benötigt werden. Gelöschte Ressourcen verbleiben für eine Übergangszeit im Papierkorb (siehe TrashRegistry) und werden danach automatisiert endgültig gelöscht (scripts/trash_auto_purge.php). Bei vollständiger Kontolöschung werden alle zugeordneten Daten gemäß Art. 17 DSGVO gelöscht (siehe Abschnitt 7).

Backups werden gemäß Backup-Konzept (docs/BACKUP-KONZEPT.md) verschlüsselt vorgehalten und nach Ablauf der Aufbewahrungsfrist (aktuell BACKUP_RETENTION_DAYS, Default 30 Tage) automatisiert gelöscht.

6. Technische und organisatorische Maßnahmen (TOM)

Eine ausführliche Übersicht der TOM findet sich im entsprechenden Kapitel von docs/VVT.md. Wesentliche Maßnahmen u. a.:

• Verschlüsselte Passwortspeicherung (Hashing)
• CSRF-Schutz auf allen datenverändernden Formularen
• Vollständiges Audit-Log (Zugriffe auf Personendaten/Dokumente, für Betroffene selbst einsehbar unter „Mein Datenschutz“)
• Verschlüsselte, automatisierte Backups mit getrenntem Schlüssel
• Zugriffssteuerung/Berechtigungsmodell mit Freigabe-Feinsteuerung

7. Ihre Rechte als betroffene Person

Ihnen stehen nach der DSGVO folgende Rechte zu:

• Auskunft (Art. 15 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO) – in LifeBoxx direkt selbstständig nutzbar über den Datenexport („Mein Datenschutz“ → „Meine Daten exportieren“)
• Berichtigung (Art. 16 DSGVO) – direkt in der jeweiligen Datenmaske möglich
• Löschung (Art. 17 DSGVO) – einzelner Datensätze über den Papierkorb, des gesamten Kontos über „Mein Datenschutz“ → „Konto löschen“
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Widerspruch (Art. 21 DSGVO)
• Einsicht in protokollierte Zugriffe auf die eigenen Daten über „Mein Datenschutz“ → „Zugriffe auf meine Daten“

Zur Ausübung der Rechte, die nicht direkt in der Anwendung umsetzbar sind, genügt eine formlose Mitteilung an die unter Ziffer 1 genannte Adresse.

Ihnen steht zudem ein Beschwerderecht bei einer Datenschutz- Aufsichtsbehörde zu, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Zuständig ist regelmäßig:

Landesbeauftragte für Datenschutz und Informationsfreiheit
Nordrhein-Westfalen (LDI NRW)
Kavalleriestraße 2–4
40213 Düsseldorf
E-Mail: poststelle@ldi.nrw.de
Web: https://www.ldi.nrw.de

8. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

9. Änderungen dieser Datenschutzerklärung

Diese Datenschutzerklärung wird bei Bedarf angepasst, insbesondere bei Einführung neuer Module. Über wesentliche Änderungen werden Nutzer beim nächsten Login informiert. Es gilt jeweils die aktuell in der Anwendung hinterlegte Fassung.

Letzte Aktualisierung: 10.08.2026