Datenschutzerklärung der Wald&Schrat-App

Zu einigen unserer Produkte gehört eine kostenlose Begleit-App. Hier steht, welche Daten wir dafür verarbeiten: zuerst, was schon beim Kauf in unserem Shop passiert, auch wenn du die App gar nicht nutzt, und danach, was in der App selbst passiert. Für deinen Einkauf im Shop gilt außerdem unsere allgemeine Datenschutzerklärung.

Verantwortlich

Wald&Schrat GmbH, Alte Kohlenwäsche 17, 82380 Peißenberg. Bei Fragen zu deinen Daten oder wenn du eines deiner Rechte nutzen willst, schreib an datenschutz@waldundschrat.de.

Worum es bei der App geht

Die Wald&Schrat-App begleitet unser Produkt. Sie führt dich durch eine 30-tägige Meditations-Journey: ein Audio pro Tag, ein kurzer Check-in, und am Ende siehst du deine eigene Kurve über die 30 Tage. Die App ist keine Therapie und ersetzt keine ärztliche oder psychotherapeutische Behandlung.

In der App gibt es keine Werbung, kein Tracking, keine Analyse deines Verhaltens und keinen Verkauf digitaler Inhalte. Wir geben deine Daten nicht an Dritte zu deren eigenen Zwecken weiter und verkaufen sie nicht.

1. Wenn du ein Produkt mit App kaufst

1.1 Freischaltung über deine Bestellung

Kaufst du ein Produkt, das zur App gehört, übermittelt unser Shop (Shopify) die Bestellung an unseren Server in Frankfurt am Main. Wir übernehmen davon nur:

  • die E-Mail-Adresse deiner Bestellung,
  • die Bestellnummer und das Kaufdatum,
  • ob die Bestellung bezahlt, storniert oder erstattet ist,
  • wie viele Produkte der Bestellung zur App gehören.

Namen, Post- oder Lieferadressen, Telefonnummern und Zahlungsdaten übernehmen wir nicht.

Wozu: Für diese E-Mail-Adresse ist die App dauerhaft freigeschaltet. Meldest du dich in der App mit genau dieser Adresse an, hast du vollen Zugang, ohne Code und ohne weiteres Zutun. Geht eine Meldung des Shops unterwegs verloren, holt ein stündlicher Abgleich sie nach.

Wird eine Bestellung storniert oder erstattet, bleibt die Freischaltung bestehen. Noch nicht eingelöste Codes aus dieser Bestellung sperren wir (siehe 1.3).

1.2 Frühere Käufe

Hast du ein solches Produkt schon vor dem Start der App gekauft, bist du ebenfalls freigeschaltet. Dafür lesen wir frühere bezahlte Bestellungen einmalig mit denselben Angaben wie in 1.1 ein. Grundlage ist eine Abfrage bei Shopify oder ein Export aus unserem Shop, den wir nach dem Einlesen löschen. Wegen eines früheren Kaufs bekommst du keine Mail von uns.

1.3 Die Begleit-Mail und deine Codes

Sobald die App in den App-Stores erhältlich ist, schicken wir dir zu deiner ersten Bestellung genau eine Mail von app@waldundschrat.de. Darin steht, wie du in die App kommst, und je gekauftem Produkt ein Code. Mit einem Code schaltest du eine andere eigene E-Mail-Adresse frei, oder du gibst ihn an jemanden weiter. Weitere Bestellungen lösen keine Mail aus. Die Mail enthält keine Werbung und ist kein Newsletter. Dieser Versand ist derzeit noch nicht aktiv.

Die Mail verschicken wir über unser E-Mail-Postfach bei Google (Google Workspace). Die Codes speichern wir auf unserem Server nie lesbar, sondern als Prüfwert, als Kürzel und verschlüsselt.

1.4 Die Einlöse-Seite app.waldundschrat.de

Hast du einen Link mit einem Code bekommen, aus unserer Mail oder von jemandem, der ihn dir weitergegeben hat, landest du auf app.waldundschrat.de. Diese Seite gehört zur App.

  • Der Code bleibt im Link. Er steht hinter dem Zeichen #. Diesen Teil eines Links schickt dein Browser nicht an den Server, der die Seite ausliefert. Die Seite zeigt den Code auch nirgends an.
  • Die Seite fragt nur nach deiner E-Mail-Adresse. Bestätigst du sie, schickt die Seite Adresse und Code an unseren Server in Frankfurt am Main. Dort halten wir fest, dass diese Adresse die App nutzen darf. Mit genau dieser Adresse meldest du dich danach in der App an.
  • Schutz vor Durchprobieren. Damit niemand massenhaft Codes oder Adressen ausprobieren kann, zählen wir Versuche je Anschluss. Die Herkunft halten wir dafür nicht als IP-Adresse fest, sondern nur als gekürzten Prüfwert mit einem täglich wechselnden Schlüssel. Diese Zählwerte löschen wir spätestens nach 72 Stunden.
  • Keine Cookies, kein Speicher im Browser, kein Tracking. Die Seite legt nichts auf deinem Gerät ab und misst nicht, was du dort tust. Schriften, Bilder und Skripte kommen alle von der Seite selbst.
  • Wer die Seite ausliefert: Bunny.net, mit Speicher in Deutschland und Auslieferung in Europa. Ein Zugriffsprotokoll für diese Seite ist dort abgeschaltet.

Codes speichern wir nie lesbar, sondern als Prüfwert, als Kürzel und verschlüsselt.

2. Wenn du die App nutzt

2.1 Deine E-Mail-Adresse und die Anmeldung

Du meldest dich mit deiner E-Mail-Adresse an. Wir schicken dir einen einmaligen Code, den du in der App eingibst. Ein Passwort gibt es nicht, eine Anmeldung über Google, Apple oder Facebook auch nicht. Die Mail mit dem Code verschicken wir über unser E-Mail-Postfach bei Google (Google Workspace). Gespeichert wird die E-Mail-Adresse, damit dein Konto und dein Fortschritt beim nächsten Start wieder da sind.

2.2 Dein Profil

  • Anzeigename: freiwillig. Du kannst ihn setzen, musst es aber nicht.
  • Uhrzeit für die Erinnerung: die Uhrzeit, die du für deinen täglichen Anstoß wählst. Solange du keine wählst, steht hier nichts.
  • Zeitzone: fest auf Europe/Berlin gesetzt. Wir lesen sie bewusst nicht vom Gerät aus. Die Freischaltung des nächsten Tages richtet sich nach der deutschen Tagesgrenze, damit sie sich im Urlaub nicht verschiebt. Aus der Zeitzone erfahren wir deshalb nichts über deinen Aufenthaltsort.
  • Erstellungszeitpunkt deines Profils.

2.3 Dein Fortschritt in der Journey

  • wann du deine Journey gestartet und wann du sie beendet hast,
  • welche Tage du abgeschlossen hast, und wann,
  • welche Bausteine eines Tages du gehört oder gelesen hast.

Daran erkennt die App, wo du stehst, und schaltet am nächsten Tag den nächsten Tag frei.

2.4 Deine Check-ins — besondere Kategorie personenbezogener Daten

Bei jedem Check-in wählst du eine Stufe von 1 bis 10 und kannst freiwillig eine Notiz dazuschreiben. Dazu kommen deine Antworten auf die Fragen zum Start und zum Abschluss der Journey: entweder ein Skalenwert oder eine Auswahl aus vorgegebenen Antworten. Gespeichert wird außerdem, zu welchem Moment die Eingabe gehörte und wann sie erfolgte.

Angaben zu deinem Befinden gehören nach Artikel 9 der Datenschutz-Grundverordnung zu den besonderen Kategorien personenbezogener Daten. Wir verarbeiten sie nur mit deiner ausdrücklichen Einwilligung, die wir vor dem Start der Journey einholen. Wozu: damit du deinen eigenen Verlauf sehen kannst, also deine Kurve, deinen Fortschritt und deinen Abschluss nach 30 Tagen. Für nichts anderes. Diese Werte verlassen die Datenbank nicht. Sie erscheinen in keinem Protokoll, in keinem Absturzbericht und in keiner Auswertung.

2.5 Angebote per E-Mail (freiwillig)

Im Onboarding und im Profil kannst du freiwillig zustimmen, dass wir dir an die E-Mail-Adresse, mit der du in der App angemeldet bist, Informationen zu Produkten, Angeboten und Neuigkeiten schicken. Die App funktioniert ohne diese Zustimmung genauso. Wir speichern den Zeitpunkt deiner Zustimmung, die Fassung des Textes und jeden späteren Widerruf. Derzeit verschicken wir noch keine solchen Mails. Bevor wir damit beginnen, ergänzen wir diese Erklärung um den Dienst, über den der Versand läuft.

2.6 Nachweis deiner Einwilligungen

Wir halten fest, welcher Einwilligung du in welcher Fassung wann zugestimmt hast. Das verlangt die Nachweispflicht der DSGVO. Den Wortlaut jeder Fassung bewahren wir auf und überschreiben ihn nie. Ein Widerruf löscht den Nachweis nicht, sondern wird als eigener Eintrag festgehalten.

2.7 Absturzberichte

Wenn die App abstürzt, senden wir einen technischen Fehlerbericht an unseren Dienstleister Sentry (EU-Region Frankfurt am Main). Der Bericht enthält, an welcher Stelle im Programm der Fehler auftrat, sowie Gerätetyp und Betriebssystemversion. Er enthält keine Kennung, die auf dich zeigt, und keine Inhalte deiner Eingaben. Leistungsmessungen erheben wir nicht.

2.8 Audios und was nur auf deinem Gerät bleibt

  • Die Audio-Dateien der Journey kommen über das Auslieferungsnetz von Bunny.net. Die App bekommt dafür eine nur kurz gültige, signierte Adresse. Unser Server hält dabei nur fest, dass ein Abruf stattfand, nie eine Kennung, die auf dich zeigt. Die Audios lädt die App auf dein Gerät, damit du auch ohne Netz hören kannst.
  • Deine Anmeldesitzung wird auf dem Gerät gespeichert, damit du dich nicht bei jedem Start neu anmelden musst.
  • Ein Zwischenstand deiner Eingaben bleibt auf dem Gerät, solange du einen Check-in noch nicht abgeschickt hast.

Tippst du in der App auf einen Link zu unserem Shop, öffnet sich der Shop. Dort gilt die Datenschutzerklärung des Shops.

2.9 Berechtigungen auf deinem Gerät

Die App fordert keine Geräteberechtigungen an: kein Mikrofon, keine Kamera, keinen Standort, keine Kontakte, keinen Kalender und keinen Zugriff auf deine Fotos. Sie spielt Audio auch dann weiter, wenn du den Bildschirm sperrst. Das ist eine reine Wiedergabefunktion und erhebt keine Daten.

3. Rechtsgrundlagen im Überblick

  • Freischaltung über die Bestellung, Begleit-Mail und Codes, Einlösen eines Codes: Art. 6 Abs. 1 lit. b DSGVO, denn die App gehört zu dem Produkt, das du gekauft hast.
  • Einlesen früherer Käufe: Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse, auch alle, die vor dem Start der App gekauft haben, ohne Code freizuschalten.
  • Schutz der Einlöse-Seite vor Durchprobieren: Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse, Missbrauch der Codes zu verhindern.
  • E-Mail-Adresse, Anmeldung, Profil, Fortschritt: Art. 6 Abs. 1 lit. b DSGVO, die Erfüllung des Nutzungsvertrags der App.
  • Check-ins, Start- und Abschlussantworten, Notizen: Art. 9 Abs. 2 lit. a DSGVO, deine ausdrückliche Einwilligung.
  • Angebote per E-Mail: Art. 6 Abs. 1 lit. a DSGVO, deine Einwilligung.
  • Nachweis der Einwilligungen: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO, die Nachweispflicht.
  • Absturzberichte: Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an einer funktionierenden App.

4. Wer die Daten in unserem Auftrag verarbeitet

Diese Dienstleister verarbeiten die Daten nach unseren Weisungen und dürfen sie nicht für eigene Zwecke nutzen:

  • Supabase: Server, Datenbank und Anmeldung, Rechenzentrum in Frankfurt am Main (EU). Hier liegen Freischaltungen, Codes, dein Konto, dein Profil, dein Fortschritt, deine Check-ins und deine Einwilligungsnachweise.
  • Google Workspace: Versand der Anmelde-Mails und der Begleit-Mail über unser Postfach.
  • Bunny.net: Auslieferung der Audios und der Einlöse-Seite.
  • Sentry: Absturzberichte, EU-Region Frankfurt am Main.

Shopify betreibt unseren Shop. Mehr dazu steht in unserer allgemeinen Datenschutzerklärung.

5. Wie lange wir Daten speichern und wie du sie löschst

  • Freischaltungen und Codes bleiben dauerhaft bestehen. Sie gehören zu deinem Kauf.
  • Die eingehende Meldung des Shops zu einer Bestellung löschen wir 30 Tage, nachdem wir sie verarbeitet haben.
  • Die Zählwerte der Einlöse-Seite löschen wir spätestens nach 72 Stunden.
  • Deine App-Daten speichern wir, solange dein Konto besteht. Löschst du dein Konto, werden gelöscht: deine E-Mail-Adresse, dein Profil, deine Journey-Läufe, dein Fortschritt, deine Check-ins samt Notizen, deine Start- und Abschlussantworten und deine Einwilligungsnachweise. Was zu deiner Bestellung gehört (Freischaltung, eingelöste Codes, Protokolle der Bestellvorgänge), bleibt als Vertragsdaten bestehen und verliert die Verknüpfung zu deinem Konto.

Für die Löschung deines Kontos schreib an datenschutz@waldundschrat.de.

6. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung und Einschränkung der Verarbeitung sowie auf Datenübertragbarkeit. Einer Verarbeitung, die auf unserem berechtigten Interesse beruht, kannst du widersprechen. Möchtest du nicht, dass deine E-Mail-Adresse für die App freigeschaltet bleibt, schreib uns. Dann nehmen wir die Freischaltung zurück. Wende dich für all das an datenschutz@waldundschrat.de.

Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht in Ansbach.

7. Widerruf deiner Einwilligungen

Deine Einwilligung in die Verarbeitung der Check-in-Daten kannst du jederzeit ohne Angabe von Gründen widerrufen. Schreib dafür an datenschutz@waldundschrat.de. Ab dem Widerruf verarbeiten wir keine neuen Check-in-Daten mehr; was bis dahin geschehen ist, bleibt rechtmäßig. Ohne diese Einwilligung ist die 30-Tage-Journey nicht nutzbar, denn sie besteht aus deinen Check-ins.

Deine Zustimmung zu Angeboten per E-Mail widerrufst du im Profil unter „Angebote per E-Mail“ oder über den Abmeldelink in jeder solchen Mail.

8. Änderungen dieser Erklärung

Wenn sich die Verarbeitung ändert, ändern wir diese Erklärung. Geplant sind tägliche Erinnerungen als Benachrichtigungen, die dein Gerät selbst auslöst, ohne dass ein Server davon erfährt. Eine Reichweitenmessung gibt es nicht. Sollte sie kommen, dann nur mit deiner vorherigen Einwilligung und mit angepasster Erklärung.

Stand: Oktober 2026