Datenschutzerklärung

Stand: 03.10.2026

Diese Erklärung beschreibt, welche personenbezogenen Daten die App GYST und ihr Server (gyst.schnaq.com) verarbeiten, wozu, auf welcher Rechtsgrundlage, wer sie außerdem erhält, wie lange sie gespeichert werden und welche Rechte du nach der Datenschutz-Grundverordnung (DSGVO) hast.

1. Verantwortlicher

Verantwortlich im Sinne von Art. 4 Nr. 7 DSGVO ist:

Schreib uns an diese Adresse zu allem, was diese Erklärung betrifft, auch um deine Rechte auszuüben (Abschnitt 8).

2. Kurz gesagt

• Wir verarbeiten, was für dein Konto und deinen Haushalt nötig ist: deine E-Mail-Adresse, deinen Namen und was du und dein Haushalt in der App eintragt.
• Die anderen Mitglieder deines Haushalts sehen deinen Namen und was du im Haushalt tust. Deine E-Mail-Adresse sehen sie nie.
• Die App enthält keine Werbung, keine Analyse- und keine Tracking-Werkzeuge, und wir verkaufen keine Daten.
• Absturzberichte und Mitteilungen sind freiwillig, bleiben aus, bis du sie einschaltest, und lassen sich in der App wieder ausschalten.
• Du kannst deine Daten selbst herunterladen und dein Konto selbst löschen, in der App unter Profil.
• Kinder unter 16 Jahren bekommen ihr Konto von einem Elternteil oder einer erziehungsberechtigten Person, ohne E-Mail-Adresse und Passwort (Abschnitt 9).

3. Was wir verarbeiten, wozu und auf welcher Grundlage

3.1 Dein Konto

Bei der Registrierung speichern wir deine E-Mail-Adresse, den Namen, den du angibst, dein Passwort — nur als nicht umkehrbaren Hash (bcrypt), nie lesbar — sowie wann das Konto angelegt und zuletzt benutzt wurde. Damit melden wir dich an und zeigen deinem Haushalt deinen Namen.

Rechtsgrundlage: Erfüllung des Nutzungsvertrags über GYST, Art. 6 Abs. 1 lit. b DSGVO. Ohne E-Mail-Adresse und Passwort gibt es kein Konto.

Damit du bestätigen kannst, dass die E-Mail-Adresse dir gehört, und ein neues Passwort wählen kannst, wenn du deines vergessen hast, schicken wir dir einen sechsstelligen Code per E-Mail, den du in der App eingibst. Den Code speichern wir nur als mit einem geheimen Schlüssel gebildeten Hash, außerdem, wann du deine Adresse bestätigt hast. Die E-Mails werden über Brevo versendet (Abschnitt 5); sie enthalten deinen Namen, den Code und Links zu dieser Erklärung und zum Impressum, aber keine Zählpixel. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Ein Konto selbst anlegen kannst du ab 16 Jahren (Abschnitt 9). Die App fragt dazu nach deinem Geburtsdatum; es bleibt auf deinem Gerät und wird nicht an uns gesendet. Wir speichern nur, dass du bestätigt hast, mindestens 16 zu sein, und wann. Rechtsgrundlage: unser berechtigtes Interesse, nachweisen zu können, dass wir kein Konto für ein Kind ohne Zustimmung einer erziehungsberechtigten Person eröffnet haben, Art. 6 Abs. 1 lit. f DSGVO.

3.2 Dein Haushalt

GYST speichert, was du und die anderen Mitglieder eintragt: Haushalte und wer dazugehört (und wer Taskmaster ist), Aufgaben (Titel, Beschreibung, Punkte, Zeitplan, Farbe, wer zugewiesen ist), Erledigungen (wer eine Aufgabe eingetragen hat, wer die Punkte bekommen hat, wann und wie viele), Belohnungen, Einlösungen und ob eine Belohnung übergeben wurde, Einladungscodes sowie das Beitrittspasswort des Haushalts (als Hash).

Mitglieder eines Haushalts sehen gegenseitig ihre Namen, Erledigungen, Punkte, Ranglisten und Einlösungen — dafür ist die App da. E-Mail-Adressen sieht nur ihre Inhaberin oder ihr Inhaber.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Trägst du Angaben über andere Menschen ein (etwa eine Aufgabe, die ein Kind nennt), bist du dafür verantwortlich, das zu dürfen.

3.3 Angemeldet bleiben

Nach der Anmeldung speichert die App ein kurzlebiges Zugriffstoken (eine Stunde) und ein Erneuerungstoken (30 Tage) im geschützten Speicher deines Geräts. Der Server speichert das Erneuerungstoken nur als Hash, eines pro Gerät.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; die Speicherung auf deinem Gerät ist für den von dir gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, TDDDG).

3.4 Server-Logs und Schutz vor Missbrauch

Jede Anfrage an den Server wird mit Zeitpunkt, Methode, Pfad, Antwortstatus, einer Anfrage-ID, deiner IP-Adresse und dem User-Agent deines Geräts protokolliert. Die IP-Adresse wird außerdem, nur im Arbeitsspeicher, gezählt, um wiederholte Anmelde-, Registrierungs- und Beitrittsversuche zu begrenzen.

Zweck: sicherer Betrieb, Fehlersuche und Abwehr von Brute-Force-Angriffen. Rechtsgrundlage: unser berechtigtes Interesse an einem sicheren, funktionierenden Dienst, Art. 6 Abs. 1 lit. f DSGVO.

3.5 Fehlerberichte des Servers

Stößt der Server selbst auf einen unerwarteten Fehler, sendet er einen Bericht an unseren Fehlerdienst (Sentry, Abschnitt 5): den Fehler, die Stelle im Code und technische Angaben zur auslösenden Anfrage (etwa Methode, Pfad und User-Agent). Passwörter, Tokens und Inhalte der Anfrage werden vorher entfernt; Cookies und IP-Adressen werden nicht mitgesendet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an der Behebung von Fehlern.

3.6 Absturzberichte der App (freiwillig)

Die App fragt einmal nach der Anmeldung, ob sie Absturzberichte senden darf. Ohne deine Zustimmung wird nichts gesendet. Ein Bericht enthält den Fehler, die App-Version, technische Angaben zum Gerät (Modell, Betriebssystem) und eine zufällige Kennung der Installation, die bei einer Neuinstallation neu erzeugt wird. Er enthält nie deine Aufgaben, Belohnungen, Namen, E-Mail-Adresse oder Nachrichten; eine fehlgeschlagene Anfrage wird nur mit Methode, Pfad und Status gemeldet, nie mit ihrem Inhalt.

Rechtsgrundlage: deine Einwilligung, Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Du kannst sie jederzeit unter Profil → Datenschutz → „Absturzberichte senden“ widerrufen; danach wird sofort nichts mehr gesendet. Bereits gesendete Berichte werden dadurch nicht gelöscht — bitte uns darum (Abschnitt 1).

3.7 Mitteilungen (freiwillig)

Die App fragt einmal, ob sie Mitteilungen senden darf, etwa wenn dir eine Aufgabe zugewiesen wird. Nur wenn du zustimmst, erhält dein Gerät ein Push-Token von Google Firebase Cloud Messaging; wir speichern es mit Plattform und Sprache des Geräts. Der Text jeder Mitteilung — der Name eines Mitglieds und der Titel einer Aufgabe oder Belohnung — läuft über Google und auf iPhones über Apple zu deinem Gerät und wird auf dem Sperrbildschirm angezeigt.

Rechtsgrundlage: deine Einwilligung, Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Du kannst Mitteilungen unter Profil → Mitteilungen oder in den Einstellungen deines Telefons ausschalten. Beim Abmelden wird das Token des Geräts entfernt.

3.8 Einstellungen auf deinem Gerät

Die App speichert deine Antworten auf die beiden Fragen oben und ähnliche Einstellungen auf deinem Gerät. Das ist unbedingt erforderlich, um deine Entscheidung zu behalten (§ 25 Abs. 2 Nr. 2 TDDDG).

3.9 Kontakt mit uns

Schreibst du uns, verwenden wir deine Nachricht und Adresse, um zu antworten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit es um dein Konto geht, sonst Art. 6 Abs. 1 lit. f DSGVO.

3.10 Diese Webseiten

Diese Seiten setzen keine Cookies, laden nichts von anderen Servern und enthalten keine Skripte. Aufrufe werden wie jede andere Anfrage protokolliert (Abschnitt 3.4).

4. Was wir nicht tun

Keine Werbung, keine Analyse- oder Tracking-Werkzeuge, kein Verkauf oder Vermieten von Daten, kein Profiling und keine automatisierten Entscheidungen, die dir gegenüber rechtliche Wirkung entfalten oder dich ähnlich erheblich beeinträchtigen (Art. 22 DSGVO). Die Rangliste zählt nur die Punkte zusammen, die dein Haushalt vergeben hat.

5. Wer Daten erhält

Wir setzen folgende Dienstleister ein, die an Auftragsverarbeitungsverträge gebunden sind (Art. 28 DSGVO):

Darüber hinaus erhalten die anderen Mitglieder deines Haushalts Daten wie in Abschnitt 3.2 beschrieben, und Behörden nur, soweit wir gesetzlich zur Herausgabe verpflichtet sind.

Übermittlung in Drittländer

Einige dieser Anbieter sitzen in den USA oder können von dort auf Daten zugreifen. Übermittlungen stützen sich auf den Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), soweit der Anbieter danach zertifiziert ist, und sonst auf die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

6. Wie lange wir Daten speichern

7. Sicherheit

Alle Verbindungen sind verschlüsselt (TLS). Passwörter, Beitrittspasswörter und Erneuerungstokens werden nur als Hash gespeichert, Anmeldeversuche sind begrenzt, und Backups liegen verschlüsselt in einem privaten Speicher.

8. Deine Rechte

Du hast das Recht auf:

• Auskunft über deine Daten (Art. 15 DSGVO) und deren Herausgabe in einem übertragbaren Format (Art. 20) — in der App unter Profil → „Meine Daten herunterladen“;
• Berichtigung unrichtiger Daten (Art. 16);
• Löschung deiner Daten (Art. 17) — in der App unter Profil → „Konto löschen“;
• Einschränkung der Verarbeitung (Art. 18);
• Widerspruch gegen Verarbeitungen, die auf unserem berechtigten Interesse beruhen (Art. 21), aus Gründen, die sich aus deiner besonderen Situation ergeben;
• Widerruf einer Einwilligung jederzeit mit Wirkung für die Zukunft (Art. 7 Abs. 3) — Absturzberichte unter Profil → Datenschutz, Mitteilungen unter Profil → Mitteilungen;
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77), etwa der an deinem Wohnort oder der für uns zuständigen: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Postfach 20 04 44, 40102 Düsseldorf, Telefon +49 211 38424-0.

Für alles, was die App nicht direkt anbietet, schreib uns (Abschnitt 1).

9. Kinder

GYST ist für Haushalte gemacht, auch für Familien mit Kindern. Ein Konto selbst anlegen kannst du ab 16 Jahren; die App prüft das bei der Registrierung (Abschnitt 3.1). Diese Grenze gilt in jedem Land, auch wo das Gesetz eine niedrigere festlegt. Erfahren wir, dass ein Kind unter 16 ohne Zustimmung einer erziehungsberechtigten Person ein Konto angelegt hat, löschen wir das Konto.

9.1 Konten von Kindern

Ein Kind unter 16 bekommt sein Konto von einem Elternteil oder einer erziehungsberechtigten Person, die Taskmaster im Haushalt ist. Bevor sie das Kind hinzufügt, erklärt sie, Elternteil oder erziehungsberechtigt für das Kind zu sein, und willigt für das Kind in die Verarbeitung ein, die diese Erklärung beschreibt. Wir speichern diese Erklärung: wer sie abgegeben hat, wann, zu welcher Fassung dieser Datenschutzerklärung, und ob das Kind Mitteilungen bekommen darf.

Für das Konto eines Kindes speichern wir den Namen, Monat und Jahr der Geburt (um zu wissen, wann das Kind 16 wird), wer erziehungsberechtigt ist, und die Erklärungen. Das Konto hat keine E-Mail-Adresse und kein Passwort: Das Kind meldet sich mit einem einmaligen Code vom Handy der erziehungsberechtigten Person an, der 15 Minuten gilt und nur als Hash gespeichert wird. Im Haushalt ist das Kind ein Mitglied wie jedes andere: Die anderen sehen seinen Namen und was es dort tut.

Das Konto eines Kindes sendet nie Absturzberichte und bekommt Mitteilungen nur, wenn die erziehungsberechtigte Person sie erlaubt hat. Ein Kind kann keine Haushalte anlegen, ihnen beitreten oder sie verlassen und kann kein Taskmaster werden.

Rechtsgrundlage: der Nutzungsvertrag über GYST, geschlossen mit Zustimmung der erziehungsberechtigten Person, Art. 6 Abs. 1 lit. b DSGVO; für Mitteilungen die Einwilligung der erziehungsberechtigten Person, Art. 6 Abs. 1 lit. a und Art. 8 DSGVO. Die Erklärungen bewahren wir auf, um die Einwilligung nachweisen zu können, Art. 6 Abs. 1 lit. c in Verbindung mit Art. 7 Abs. 1 und Art. 8 Abs. 2 DSGVO.

9.2 Rechte der erziehungsberechtigten Person

Die erziehungsberechtigte Person nimmt die Rechte des Kindes (Abschnitt 8) in der App unter Profil → Kinder wahr: die Daten des Kindes herunterladen, das Kind auf allen Handys abmelden, das Konto des Kindes löschen und Mitteilungen jederzeit erlauben oder die Einwilligung widerrufen (Art. 7 Abs. 3 DSGVO; ein Widerruf wirkt sofort). Alles andere können sie oder das Kind bei uns erfragen (Abschnitt 1).

9.3 Wenn die erziehungsberechtigte Person geht

Verlässt die erziehungsberechtigte Person den Haushalt oder löscht sie ihr Konto, nennt sie einen anderen Taskmaster, der ebenfalls Elternteil oder erziehungsberechtigt für das Kind ist, und dieser übernimmt. Nennt sie niemanden, werden die anderen Taskmaster des Haushalts gebeten zu übernehmen; übernimmt binnen 30 Tagen keiner, wird das Konto eines Kindes unter 16 gelöscht. Ist gar kein Taskmaster mehr da, wird es sofort gelöscht, weil niemand mehr für das Kind einwilligen kann. Solange ihr Kind im Haushalt ist, kann die erziehungsberechtigte Person nicht von jemand anderem aus dem Haushalt entfernt werden.

9.4 Mit 16

Ab dem ersten Tag des Monats nach dem 16. Geburtstag kann das Kind sein Konto in der App unter Profil übernehmen: Es gibt eine eigene E-Mail-Adresse und ein Passwort ein und verwaltet das Konto ab dann selbst, wie in Abschnitt 3.1 beschrieben. Sein Haushalt und alles, was es dort getan hat, bleiben. Wir löschen dann den Geburtsmonat und die Verbindung zur erziehungsberechtigten Person; ihre Erklärungen bleiben beim Konto (Abschnitt 6). Die bisherige erziehungsberechtigte Person wird per Mitteilung informiert.

10. Änderungen

Wir passen diese Erklärung an, wenn sich die App oder die Rechtslage ändert. Das Datum oben zeigt die aktuelle Fassung.