Datenschutzerklärung

Stand: 7. Oktober 2026 — gilt für die Nutzung von NOTUA (notua.site)

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
Tom Nüßer
Breedlandweg 27
24944 Flensburg
Deutschland
E-Mail: nuessertom@gmail.com

2. Überblick: Wie NOTUA grundsätzlich funktioniert

NOTUA ist in erster Linie eine lokale App (Progressive Web App). Deine Boards, Karten und Notizen werden standardmäßig ausschließlich auf deinem eigenen Gerät gespeichert — entweder im internen Browser-Speicher (IndexedDB) oder, falls du das ausdrücklich einrichtest, in einem selbst gewählten Ordner auf deinem Gerät (über die sogenannte File System Access API deines Browsers). Für diese Grundnutzung findet keine Übertragung deiner Inhalte an einen Server statt.

Erst wenn du eine der folgenden, ausdrücklich optionalen Funktionen selbst aktivierst, verlassen Daten dein Gerät: Cloud Sync, die Google-Anmeldung dafür, oder die Übernahme einzelner Termine in deinen Google Kalender. Diese sind im Folgenden einzeln beschrieben.

3. Lokale Datenspeicherung (Standardfall)

Boards, Karten, Bilder und sonstige Inhalte, die du in NOTUA anlegst, werden im Browser-Speicher deines Geräts (IndexedDB) bzw. im von dir gewählten lokalen Ordner abgelegt. Diese Daten verlassen dein Gerät nicht und sind für uns nicht einsehbar. Der Service Worker von NOTUA (die Technik, die Offline-Nutzung ermöglicht) speichert dabei ausschließlich die Programmdateien der App selbst (HTML, Icons, o.ä.) zwischen — niemals deine Board-Inhalte.

4. Cloud Sync (optional, verschlüsselt gespeichert)

Wenn du "Cloud Sync" aktivierst, um Boards zwischen mehreren eigenen Geräten abzugleichen, werden deine Board-Daten (Boards, Karten, Texte, Bilder) bei einem Cloud-Speicher-Anbieter (Cloudflare, Objektspeicher-Dienst "R2") hinterlegt. Dabei gilt:

• Deine Daten werden auf deinem Gerät verschlüsselt, bevor sie hochgeladen werden (AES-256-GCM). Im Cloud-Speicher liegen ausschließlich verschlüsselte Datenblöcke.
• Keine Ende-zu-Ende-Verschlüsselung: Der dafür verwendete Schlüssel wird mit deinem Konto verknüpft und zusätzlich auf dem NOTUA-Server (einem Cloudflare Worker) verwahrt, dort wiederum mit einem nur dem Server bekannten Geheimnis verschlüsselt. Dadurch kannst du dich auf einem neuen Gerät allein mit deiner Google-Anmeldung einloggen und bekommst sofort alle deine Boards, ohne einen Code eingeben zu müssen. Technisch bedeutet das: Wer den Server samt Geheimnis und Speicher kontrolliert, also der Betreiber (Tom Nüßer) oder Cloudflare im Rahmen der Auftragsverarbeitung, könnte deine Cloud-Daten entschlüsseln und lesen. Der Betreiber nutzt diese Möglichkeit nicht, um Inhalte einzusehen; sie ist aber technisch vorhanden.
• Alternativ kannst du ein weiteres Gerät ohne Google-Anmeldung per QR-Code oder Code-Eingabe ("Gerät verknüpfen") mit demselben Cloud-Speicher koppeln. Dabei wird der Schlüssel über einen ECDH-Schlüsselaustausch direkt zwischen deinen Geräten übertragen; der Server leitet nur bedeutungslose Zwischenwerte weiter.
• Server-seitig gespeichert sind: verschlüsselte Datenblöcke pro Board, der verschlüsselt verwahrte Kontoschlüssel, ein Geräte-Zugangstoken pro Gerät (ausgestellt bei der Verknüpfung per Code oder nach deiner ersten Google-Anmeldung) sowie technische Metadaten wie Zeitpunkt und Größe der gespeicherten Daten. Das Speichervolumen ist pro Konto auf 100 MB begrenzt.
• Ein Geräte-Zugangstoken hält dich auf dem jeweiligen Gerät dauerhaft angemeldet ("Autologin"), ohne dass Google erneut abgefragt wird; er wird nur lokal auf diesem Gerät gespeichert und erlaubt Lese-/Schreibzugriff auf die Daten deines Kontos. Über "Cloud-Daten zurücksetzen" in den App-Einstellungen kannst du jederzeit alle bisher ausgegebenen Geräte-Zugangstoken widerrufen und deine in der Cloud gespeicherten Daten samt verwahrtem Schlüssel vollständig löschen.
• Rechtsgrundlage ist deine Einwilligung durch die ausdrückliche Aktivierung der Funktion (Art. 6 Abs. 1 lit. a bzw. lit. b DSGVO). Wenn du die Verschlüsselungs-Hinweise bei der ersten Aktivierung bestätigst, stimmst du der beschriebenen Schlüsselverwahrung zu; ohne Bestätigung wird kein Schlüssel auf dem Server abgelegt.

5. Google-Anmeldung (zur Konto-Identifizierung)

Um Cloud Sync einem Konto zuzuordnen und auf einem neuen Gerät automatisch freizuschalten, bietet NOTUA optional eine Anmeldung über dein Google-Konto an. Dabei erhält NOTUA von Google ausschließlich grundlegende Profildaten zur Identifizierung (z. B. E-Mail-Adresse, Name); der Server verwendet daraus eine interne Konto-Kennung, unter der deine Cloud-Daten und dein verwahrter Schlüssel abgelegt sind. Nach der ersten erfolgreichen Anmeldung bleibt das Gerät über den Geräte-Zugangstoken (siehe Abschnitt 4) angemeldet. Ein Zugriff auf deine sonstigen Google-Dienste (etwa Google Drive oder Gmail) findet dabei nicht statt.

6. Übernahme von Terminen in Google Kalender (optional)

Wenn du bei einer datierten Karte auf "In Google Kalender übernehmen" klickst, fragt NOTUA — getrennt von der Anmeldung oben — eine eigene, eng begrenzte Google-Berechtigung an (Bereich calendar.events). Diese Berechtigung wird ausschließlich in dem Moment genutzt, in dem du aktiv auf diesen Button klickst, um einen neuen Termin in deinem Google Kalender anzulegen. NOTUA liest zu keinem Zeitpunkt bestehende Kalendereinträge aus und gleicht auch nicht automatisch im Hintergrund ab.

7. Eingebettete Inhalte Dritter

NOTUA erlaubt es dir, Inhalte von Drittanbietern in Karten einzubetten (z. B. YouTube-Videos, Spotify, Pinterest oder Strava-Aktivitäten). Bindest du einen solchen Inhalt aktiv ein, lädt dein Browser diesen direkt vom jeweiligen Anbieter — es gelten dann zusätzlich dessen eigene Datenschutzbestimmungen. NOTUA selbst speichert dabei nur den von dir eingefügten Link bzw. die ID des Inhalts.

8. Cookies, Tracking, Werbung

NOTUA verwendet keine Analyse- oder Tracking-Dienste und keine Werbung. Im Browser gespeichert werden ausschließlich technisch notwendige Daten (deine Boards selbst, sowie Einstellungen wie Theme/Sprache) — keine Cookies zu Analyse- oder Marketingzwecken.

9. Deine Rechte

Nach der DSGVO stehen dir insbesondere folgende Rechte zu:

• Auskunft über die zu dir gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung deiner Daten (Art. 17 DSGVO) — für Cloud-Sync-Daten jederzeit selbst über "Cloud-Daten zurücksetzen" in der App möglich, für sonstige Anfragen per E-Mail
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde

Wende dich dafür an die oben genannte Kontakt-E-Mail-Adresse.

10. Speicherdauer

Lokal gespeicherte Daten bleiben, bis du sie selbst löschst oder die App-Daten deines Browsers leerst. Cloud-Sync-Daten und der dafür verwahrte Schlüssel bleiben gespeichert, bis du sie über "Cloud-Daten zurücksetzen" löschst.

11. Änderungen dieser Erklärung

Diese Datenschutzerklärung kann angepasst werden, etwa wenn sich der Funktionsumfang von NOTUA ändert. Die jeweils aktuelle Fassung ist immer unter dieser Adresse abrufbar.