Datenschutzerklärung

Verantwortlicher

Verantwortlich für die Verarbeitung ist die JVMG GmbH, Wien, Österreich – die Herausgeberin von Popcorn. Anschrift, Firmenbuchnummer und weitere Angaben stehen im Impressum.

Für alle Fragen zum Datenschutz und um deine Rechte auszuüben, erreichst du uns unter support@jvmg.at.

Auf einen Blick

Popcorn finanziert sich über bezahlte Pläne – nicht über Werbung in den Apps und nicht über den Verkauf von Daten.
Deine Konten- und Inhaltsdaten liegen auf Servern in der EU.
Nutzungsstatistik und Fehlerberichte gibt es nur mit deiner Einwilligung. Die Android-App sendet keine.
Google, Microsoft und die KI-Eingabe nutzt Popcorn nur, wenn du sie selbst einschaltest bzw. verwendest.
Du kannst deine Daten jederzeit exportieren und dein Konto selbst löschen.

Website (www.popcorntask.com)

Aufruf der Website

Die Website wird bei Vercel in der Region Frankfurt (fra1) betrieben. Beim Aufruf verarbeiten die Server technisch notwendige Verbindungsdaten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser-Kennung (User-Agent) und gegebenenfalls die zuvor besuchte Seite. Wir nutzen sie nur, um die Website auszuliefern, Fehler zu finden und Angriffe abzuwehren; Vercel bewahrt diese Protokolle höchstens 30 Tage auf. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren, funktionierenden Angebot (Art. 6 Abs. 1 lit. f DSGVO).

Schriften liefern wir selbst aus. Es werden keine Inhalte von Google Fonts oder anderen fremden Servern nachgeladen.

Technisch notwendige Speicherung im Browser

Ohne Einwilligung speichern wir in deinem Browser nur, was für eine von dir gewünschte Funktion unbedingt nötig ist (§ 165 Abs. 3 TKG 2021, Art. 6 Abs. 1 lit. b und f DSGVO):

deine Wahl im Cookie-Banner (lokaler Speicher, 12 Monate; danach fragen wir erneut),
Anmelde- und Sitzungs-Cookies, wenn du auf der Website einen Plan kaufst oder dein Konto löschst – nur für diese Website, für Skripte nicht lesbar, höchstens 2 Stunden gültig,
die Herkunft, wenn du über einen Empfehlungs- oder Challenge-Link kommst und dich eintragen willst (lokaler Speicher, 30 Tage), damit die Empfehlung bei der Registrierung zugeordnet wird,
eine zufällige Gast-ID für die Gast-Runde auf einer Challenge-Seite (lokaler Speicher), ohne Bezug zu deiner Person.

Reichweitenmessung und Fehlerberichte – nur mit Einwilligung

Nur wenn du im Cookie-Banner zustimmst, lädt die Website diese Dienste:

Meta Pixel (Meta Platforms Ireland Ltd.): misst, ob unsere Werbung wirkt – Seitenaufrufe und Klicks auf Kauf- und Download-Knöpfe. Meta setzt dafür Cookies (_fbp, _fbc), kann die Daten mit einem Meta-Konto verknüpfen und in die USA übermitteln. Für die Erhebung auf der Website und die Übermittlung an Meta sind wir mit Meta gemeinsam verantwortlich (Art. 26 DSGVO, Abschnitt 14).
PostHog (EU-Cloud, Frankfurt): Seitenaufrufe und Klicks auf Knöpfe, ohne automatische Erfassung von Eingaben und ohne Sitzungsaufzeichnung. Speichereinträge mit dem Präfix ph_.
Sentry (EU-Region, Frankfurt): technische Fehlerberichte. E-Mail-Adressen, Schlüssel, Inhalte und ähnliche Angaben werden vor dem Versand herausgefiltert.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs. 3 TKG 2021). Du kannst sie jederzeit über „Cookie-Einstellungen“ im Fuß der Startseite widerrufen; wir stoppen die Dienste dann und entfernen ihre Cookies und Speichereinträge. Lehnst du ab, wird keiner dieser Dienste geladen.

Downloads

Lädst du die Desktop-App über unsere Website herunter, zählen wir nur die Anzahl der Downloads je Tag und Version. Wir speichern dabei weder IP-Adresse noch Browser-Kennung und setzen kein Cookie.

Warteliste

Ist die Registrierung zeitweise geschlossen, kannst du dich mit deiner E-Mail-Adresse auf die Warteliste setzen. Du bekommst eine Bestätigungs-E-Mail; erst nach deiner Bestätigung gilt der Eintrag (Double-Opt-in). Rechtsgrundlage: deine Anfrage (Art. 6 Abs. 1 lit. b DSGVO). Unbestätigte Einträge löschen wir nach 30 Tagen, bestätigte nach 12 Monaten. Legst du ein Konto an, löschen wir den Eintrag spätestens zwei Tage danach, mit deinem Konto sofort, auf Anfrage an support@jvmg.at jederzeit.

Popcorn-Konto

Für die Apps brauchst du ein Popcorn-Konto. Du meldest dich mit einem Anmeldelink per E-Mail, mit Google oder mit Microsoft an; ein Passwort gibt es nicht. Wir verarbeiten dafür:

E-Mail-Adresse und eine zufällige Konto-ID,
Anzeigename und gegebenenfalls die Adresse deines Profilbilds – bei der Anmeldung mit Google oder Microsoft übernommen aus dem Konto des Anbieters,
Sprache, Zeitzone und Einstellungen (z. B. Dock-Seite, Darstellung, Benachrichtigungen, Einwilligung zur Statistik),
den Faktor für die Zwei-Faktor-Anmeldung, wenn du sie einschaltest,
Plan und Abo-Status sowie Zeitpunkte von Registrierung und Anmeldung.

Bei der Anmeldung mit Google oder Microsoft erhalten wir nur Adresse, Name und Profilbild. Der Zugriff auf Kalender oder Aufgaben ist davon getrennt und nur nach einer eigenen Zustimmung möglich (Abschnitte 8 und 9).

Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO). Schutz vor Missbrauch, etwa die Begrenzung von Anmeldeversuchen, beruht auf unserem berechtigten Interesse (Art. 6 Abs. 1 lit. f DSGVO).

Deine Inhalte und die Synchronisation

Was du in Popcorn anlegst, speichern wir, damit es auf allen deinen Geräten gleich ist: Tasks mit Notizen, Fälligkeiten, Wiederholungen und Unteraufgaben, Listen, Projekte, Meilensteine, Kunden, Zeiteinträge, den Verlauf deiner Änderungen (für „Rückgängig“) und Hinweise, etwa auf Zuweisungen.

Die Daten liegen in einer Datenbank bei Supabase in der EU (Frankfurt). Zugriffsrechte prüft die Datenbank bei jeder Anfrage: Du siehst nur deine eigenen Daten und die Projekte, in denen du Mitglied bist.

Auf deinen Geräten hält Popcorn eine verschlüsselte Kopie (SQLCipher), damit die Apps auch offline funktionieren. Den Schlüssel verwahrt die Windows-Anmeldeinformationsverwaltung bzw. der Android Keystore.

Wir werten deine Inhalte nicht aus und nutzen sie weder für Statistik noch für Werbung. In Server-Logs, Statistik und Fehlerberichten stehen keine Inhalte. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

KI-Eingabe

Ab Plan Check kannst du Tasks in der Befehlsleiste in natürlicher Sprache eingeben. Nur wenn du das tust, senden wir an Anthropic (USA): den eingegebenen Text, Datum, Uhrzeit und Zeitzone, die Sprache der App sowie die Namen deiner Projekte, damit die KI das passende Projekt vorschlagen kann.

Die KI macht nur Vorschläge; ausgeführt wird erst, was du bestätigst. Wir speichern den eingegebenen Text nicht, unsere Logs enthalten nur Anzahl und Dauer. Für das Tageslimit zählen wir deine Anfragen je Tag und löschen den Zähler nach 7 Tagen.

Für Popcorn gilt bei Anthropic „Zero Data Retention“: Anthropic speichert Eingaben und Antworten nicht über die Bearbeitung der jeweiligen Anfrage hinaus, außer das Gesetz schreibt es vor, und verwendet sie nicht zum Training von KI-Modellen. Anthropic verarbeitet die Daten in unserem Auftrag. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (die von dir genutzte Funktion). Zur Übermittlung in die USA siehe Abschnitt 15.

Google-Kalender und Google Tasks

Die Verbindung mit Google ist freiwillig (ab Plan Check). Sie startet nur, wenn du sie in den Einstellungen auslöst und bei Google zustimmst. Popcorn fragt diese Berechtigungen an:

Termine lesen (calendar.events.readonly): Termine in „Heute“ und im Kalender anzeigen und freie Zeitfenster berechnen.
Kalenderliste lesen (calendar.calendarlist.readonly): die Kalender deines Kontos kennen, damit du auswählen kannst, welche angezeigt werden.
Eigene Kalender verwalten (calendar.app.created): einen eigenen Kalender „Popcorn“ anlegen und darin Tasks mit Uhrzeit als Termine eintragen. Andere Kalender, auch dein Hauptkalender, werden nicht verändert.
Google Tasks (tasks): ausgewählte Aufgabenlisten in beide Richtungen mit Popcorn abgleichen.

Welche Daten: Name und Adresse des Google-Kontos; aus den ausgewählten Kalendern Titel, Beginn und Ende, Ort, Meeting-Link, Serie, Status „beschäftigt“ und Kalenderfarbe von Terminen der letzten 7 und der nächsten 30 Tage (abgesagte und abgelehnte Termine speichern wir nicht); aus den abgeglichenen Google-Tasks-Listen Titel, Notizen, Fälligkeit und Erledigt-Status.

Wie: Den Zugangsschlüssel (Refresh-Token) speichern wir verschlüsselt in Supabase Vault (EU). Nur unser Abgleichdienst auf einem Server bei Hetzner in der EU verwendet ihn; die Apps sehen ihn nie. Termine liegen als Zwischenspeicher in unserer Datenbank (EU) und werden dir in den Apps angezeigt; Aufgaben aus Google werden zu Tasks in deinem Konto.

Wofür nicht: Daten aus Google-APIs nutzen wir ausschließlich, um dir diese Funktionen bereitzustellen und zu verbessern, die du in Popcorn siehst. Wir verkaufen sie nicht, nutzen sie nicht für Werbung, geben sie nicht an Dritte weiter (außer an die in Abschnitt 14 genannten Dienstleister für Betrieb und Speicherung, wenn es gesetzlich vorgeschrieben ist oder du zustimmst), senden sie nicht an KI-Dienste und verwenden sie nicht, um KI- oder Machine-Learning-Modelle zu entwickeln, zu verbessern oder zu trainieren. Menschen lesen diese Daten nicht – außer mit deiner ausdrücklichen Zustimmung, wenn es für Sicherheit und Missbrauchsabwehr nötig ist oder das Gesetz es verlangt.

Die Nutzung und Übertragung von Informationen, die Popcorn Task von Google-APIs erhält, an andere Apps entspricht der Google API Services User Data Policy, einschließlich der Anforderungen zur eingeschränkten Nutzung („Limited Use“).

Englischer Originalwortlaut: Popcorn Task's use and transfer of information received from Google APIs to any other app will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

Trennen und Löschen: Du kannst Google jederzeit in den Einstellungen trennen. Wir widerrufen den Zugang dann innerhalb weniger Minuten bei Google, löschen den Zugangsschlüssel und entfernen zwischengespeicherte Termine und Verknüpfungen. Deine Daten bei Google, auch der Kalender „Popcorn“ und deine Aufgaben, bleiben unverändert. Den Zugriff kannst du auch unter myaccount.google.com/permissions entfernen. Löschst du dein Konto, geschieht dasselbe automatisch.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (die von dir gewünschte Verbindung).

Microsoft-Kalender (Outlook)

Auch die Verbindung mit Microsoft-Konten (Microsoft 365 und Outlook.com) ist freiwillig (ab Plan Check). Beim Verbinden fragt Popcorn nur Leserechte an: Anmeldung und Kontoadresse (openid, email, profile, User.Read), dauerhaften Zugang für den Abgleich (offline_access) und Kalender lesen (Calendars.Read). Nur wenn du Tasks mit Uhrzeit in Outlook eintragen lassen willst, fragt Popcorn zusätzlich nach Calendars.ReadWrite.

Gelesen werden die Termine der von dir ausgewählten Kalender in den letzten 7 und den nächsten 30 Tagen: Titel, Beginn und Ende, Ort, Teams-Link, Serie, Status „beschäftigt“ und Kalenderfarbe. Geschrieben wird nur in einen eigenen Kalender „Popcorn“; andere Kalender bleiben unverändert.

Den Zugangsschlüssel speichern wir verschlüsselt in Supabase Vault (EU); nur unser Abgleichdienst bei Hetzner (EU) verwendet ihn. Die Daten nutzen wir nur für diese Funktionen – nicht für Werbung, nicht für KI-Dienste und ohne Weitergabe an Dritte.

Beim Trennen löschen wir den Zugangsschlüssel sofort, ebenso zwischengespeicherte Termine und Verknüpfungen; deine Daten bei Microsoft bleiben unverändert. Microsoft bietet keinen Widerruf einzelner Zugänge – die Freigabe selbst entfernst du unter myapps.microsoft.com (Firmen- und Schulkonten) bzw. account.live.com/consent/Manage (private Konten). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Bezahlung über Stripe

Bezahlte Pläne kaufst du über Stripe (Stripe Payments Europe, Ltd., Irland). Deine Zahlungsdaten, etwa die Kartennummer, gibst du direkt bei Stripe ein; wir erhalten sie nicht. Wir übermitteln Stripe deine E-Mail-Adresse, deine Konto-ID, den gewählten Plan und deine Sprache und erhalten von Stripe Status und Laufzeit deines Abos bzw. Kaufs.

Zu jedem Kauf wird eine Rechnung erstellt. Rechnungen und Buchungsbelege werden so lange aufbewahrt, wie es das Gesetz verlangt (in Österreich grundsätzlich sieben Jahre, § 132 BAO) – auch nach dem Löschen deines Kontos. Für eigene Zwecke wie Betrugsprävention und gesetzliche Pflichten ist Stripe selbst verantwortlich; dafür gilt die Datenschutzerklärung von Stripe.

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und gesetzliche Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO).

E-Mails

Wir schicken E-Mails nur, wenn sie zu einer Funktion gehören: Anmeldelinks, Einladungen in Projekte, die Bestätigung der Warteliste und die tägliche Sammel-E-Mail mit Hinweisen (abschaltbar). Anmelde-Mails verschickt Supabase Auth (EU) über unseren Mail-Dienstleister Resend; Einladungen, Warteliste und Sammel-E-Mail verschicken wir direkt über Resend. Resend versendet aus der Region Irland (EU). Rechnungen verschickt Stripe. Unsere E-Mails enthalten keine Zählpixel. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Desktop-App (Windows)

Lokale Daten: verschlüsselte Datenbank; Anmeldeschlüssel (Refresh-Token) und Datenbankschlüssel in der Windows-Anmeldeinformationsverwaltung. Beim Abmelden entfernt die App die lokalen Daten.
Das Ausblenden bei Bildschirmfreigaben und im Vollbild läuft nur auf deinem Gerät; dabei wird nichts übertragen.
Updates: Ist die Update-Prüfung aktiv, fragt die App regelmäßig eine Update-Datei von unserem Speicher bei Supabase (EU) ab. Dabei wird technisch deine IP-Adresse übertragen; wir werten sie nicht aus.
Das Wochenspiel lädt die App von www.popcorntask.com und führt es abgeschottet aus; das Spiel selbst hat keinen Netzzugriff.
Nutzungsstatistik und Fehlerberichte nur mit Einwilligung: Im Onboarding und unter Einstellungen → Datenschutz kannst du „Anonyme Nutzungsstatistik und Fehlerberichte senden“ einschalten (standardmäßig aus). Dann senden wir an PostHog (EU) Ereignisse wie „App geöffnet“ oder „Task erledigt“ – ohne Inhalte, ohne Konto-ID und ohne E-Mail-Adresse, nur mit einer zufälligen Installations-ID und ohne Standortauswertung – und an Sentry (EU) Absturz- und Fehlerberichte, aus denen persönliche Angaben, Inhalte, Benutzerverzeichnisse und Schlüssel vorher entfernt werden. Abschalten wirkt sofort. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs. 3 TKG 2021).
Beziehst du die App über den Microsoft Store oder winget, gelten für den Download zusätzlich die Bestimmungen von Microsoft.

Android-App

Die Android-App synchronisiert Konto und Inhalte wie oben beschrieben. Darüber hinaus gilt:

keine Werbung, keine Werbe-ID, keine Nutzungsstatistik und keine Absturzberichte,
einzige Berechtigung sind Benachrichtigungen: Erinnerungen plant die App lokal auf dem Gerät, es gibt keinen Push-Dienst,
lokale Daten in einer verschlüsselten Datenbank, Schlüssel im Android Keystore, kein Cloud-Backup,
die Anmeldung läuft in einem Browser-Tab auf www.popcorntask.com,
beziehst du die App über Google Play, verarbeitet Google dabei Daten nach seinen eigenen Bestimmungen.

Empfänger und Dienstleister

Wir verkaufen deine Daten nicht. Wir setzen folgende Dienstleister ein, die Daten nur in unserem Auftrag und nach unseren Weisungen verarbeiten (Art. 28 DSGVO):

Supabase – Datenbank, Anmeldung, Dateispeicher und Server-Funktionen; Region EU (Frankfurt)
Vercel – Betrieb der Website; Region Frankfurt (fra1)
Hetzner Online GmbH, Deutschland – Server für den Kalender-Abgleich und die Sammel-E-Mail; Rechenzentrum in der EU
Resend – Versand von E-Mails; Versandregion Irland (EU)
Anthropic – KI-Eingabe, nur wenn du sie nutzt
PostHog – Nutzungsstatistik, EU-Cloud, nur mit Einwilligung
Sentry – Fehlerberichte, EU-Region, nur mit Einwilligung

Eigenständig verantwortlich sind Stripe für Zahlungen (Abschnitt 10), Google und Microsoft für ihre Dienste, mit denen du Popcorn verbindest, sowie Google Play und der Microsoft Store als Bezugsquellen. Für die Erhebung über das Meta Pixel auf der Website und die Übermittlung an Meta (nur mit Einwilligung) sind wir mit Meta Platforms Ireland Ltd. gemeinsam verantwortlich (Art. 26 DSGVO); für die weitere Verarbeitung ist Meta allein verantwortlich. Deine Rechte kannst du dabei uns und Meta gegenüber geltend machen.

Innerhalb von Popcorn sehen andere Personen nur, was du mit ihnen teilst (Abschnitt 6). Behörden erhalten Daten nur, wenn wir gesetzlich dazu verpflichtet sind.

Übermittlung in Drittländer

Wir speichern deine Daten in der EU. Einige Dienstleister haben ihren Sitz in den USA (u. a. Supabase, Vercel, Resend, Anthropic, Sentry, PostHog, Stripe und Meta) oder können von dort auf Daten zugreifen. Bei der KI-Eingabe verarbeitet Anthropic die Daten in den USA.

Für Anthropic, Stripe, Resend und Meta stützen wir die Übermittlung auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO) und zusätzlich auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Bei den übrigen Dienstleistern gilt das Data Privacy Framework, soweit der Anbieter danach zertifiziert ist, und sonst die Standardvertragsklauseln. Eine Kopie der Garantien erhältst du auf Anfrage an support@jvmg.at.

Speicherdauer und Löschung

Konto und Inhalte speichern wir, solange dein Konto besteht.
Konto löschen: in der Desktop-App unter Einstellungen → Daten und Konto, in der Android-App unter Einstellungen → Konto oder auf www.popcorntask.com/konto-loeschen. Nach dem Antrag hast du 7 Tage Bedenkzeit und kannst die Löschung abbrechen. Danach löschen wir das Konto beim nächsten täglichen Lauf, spätestens 8 Tage nach dem Antrag. Geteilte Projekte und Kunden gehen an das am längsten beteiligte Mitglied; deine Tasks darin bleiben ohne deinen Namen erhalten.
Verbindungen zu Google und Microsoft bestehen, bis du sie trennst oder dein Konto löschst. Termine halten wir nur für die letzten 7 und die nächsten 30 Tage vor.
Rechnungen und Zahlungsbelege: gesetzliche Aufbewahrungsfrist (grundsätzlich sieben Jahre).
Zähler für die KI-Eingabe: 7 Tage.
Warteliste: unbestätigte Einträge 30 Tage, bestätigte oder per Beta-Code freigegebene Einträge 12 Monate. Legst du ein Konto an, löschen wir den Eintrag spätestens zwei Tage danach.
Status-Links: bis zum Ablauf (standardmäßig 14 Tage) oder bis du sie widerrufst.
Im Browser: Cookie-Wahl 12 Monate, Sitzungs-Cookies höchstens 2 Stunden, Herkunft aus Empfehlungslinks 30 Tage.
Sicherungskopien der Datenbank: Supabase erstellt täglich eine Sicherung und bewahrt sie 7 Tage auf. Gelöschte Daten verschwinden damit spätestens 7 Tage nach dem Löschen auch aus den Sicherungen.
Server-Logs: Protokolle der Website bei Vercel höchstens 30 Tage, Plattform-Logs bei Supabase (z. B. Anfragen an Datenbank und Anmeldung) 7 Tage, Logs unseres Abgleichdiensts bei Hetzner höchstens 14 Tage. Sie enthalten keine Inhalte.

Ohne Zugang zur App oder zum Konto genügt eine E-Mail an support@jvmg.at.

Sicherheit

Verbindungen sind durchgehend verschlüsselt (HTTPS). Zugriffsrechte prüft die Datenbank bei jeder Anfrage. Zugangsschlüssel zu Google und Microsoft liegen verschlüsselt im Vault und nie auf deinen Geräten; lokale Daten sind verschlüsselt. Du kannst die Zwei-Faktor-Anmeldung einschalten.

Wir treffen keine ausschließlich automatisierten Entscheidungen, die dir gegenüber rechtliche Wirkung entfalten (Art. 22 DSGVO).

Kinder

Popcorn richtet sich an Erwachsene ab 18 Jahren und ist nicht für Kinder bestimmt. Wir erheben wissentlich keine Daten von Kindern; erfahren wir davon, löschen wir das Konto.

Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen, die auf berechtigten Interessen beruhen (Art. 21). Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3).

Auskunft und Datenübertragbarkeit: In der Desktop-App lädst du unter Einstellungen → Daten und Konto alle deine Daten als JSON-Datei herunter – kostenlos in jedem Plan. Profil und Einstellungen änderst du direkt in der App.

Für alle Anliegen genügt eine E-Mail an support@jvmg.at. Wenn du meinst, dass wir deine Daten nicht rechtmäßig verarbeiten, kannst du dich bei der Österreichischen Datenschutzbehörde beschweren.

Änderungen

Wir passen diese Erklärung an, wenn sich Popcorn oder die Rechtslage ändert. Es gilt die hier veröffentlichte Fassung; das Datum steht oben.