mergemychats

Start › Datenschutzerklärung

Datenschutzerklärung

Hinweis: Gelb markierte [PLATZHALTER] bitte ausfüllen. Sorgfältig erstellter Entwurf, keine Rechtsberatung.

1. Verantwortlicher

Vincent Wittwer, Einzelunternehmen, Steinstraße 13a, 20095 Hamburg
E-Mail: whatsapp@freiwerk-hamburg.de

2. Überblick

  • Diese Website bindet keine Analyse- oder Tracking-Dienste, keine Social-Media-Plugins, keine externen Schriftarten und keine Skripte von Dritten ein. Nur der Assistent unter /start nutzt eigene Skripte (siehe Abschnitt 8.1.2). Wir selbst setzen auf den Informationsseiten keine Cookies. Der Assistent setzt ein technisch notwendiges Sitzungs-Cookie (HttpOnly, SameSite=Strict, 24 Stunden), damit dein Auftrag nach dem Anmelden geöffnet bleibt. Es enthält keinen Chat-Inhalt (§ 25 Abs. 2 Nr. 2 TDDDG). Bei unserer Prüfung am 19.10.2026 hat der Hoster beim reinen Seitenaufruf keine Cookies gesetzt.
  • Backup-Dateien und Schlüssel verarbeiten wir ausschließlich zur Durchführung deines Auftrags und löschen sie spätestens 7 Tage nach Abschluss.

3. Hosting (Cloudflare)

Diese Website und der Assistent werden bei Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA gehostet (Workers und statische Dateien). Beim Aufruf verarbeitet Cloudflare technisch notwendige Daten (z. B. IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Browser-Informationen), um die Website auszuliefern und vor Angriffen zu schützen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, stabilen Betrieb). Wir selbst werten diese Daten nicht aus. Cloudflare verarbeitet die Daten als unser Auftragsverarbeiter auf Grundlage seines Auftragsverarbeitungsvertrags (Data Processing Addendum). Eine Übermittlung in die USA ist möglich; Cloudflare ist nach dem EU-U.S. Data Privacy Framework zertifiziert, ergänzend gelten EU-Standardvertragsklauseln.

Die Domain mergemychats.de wird bei der STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin, verwaltet.

4. Kontakt per E-Mail oder Kontaktformular

Wenn du uns kontaktierst, verarbeiten wir deine Angaben (Name, Kontaktdaten, Inhalt der Anfrage), um sie zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. vorvertragliche Maßnahmen), sonst Art. 6 Abs. 1 lit. f DSGVO (Beantwortung von Anfragen). Das E-Mail-Postfach whatsapp@freiwerk-hamburg.de wird bei STRATO GmbH (Anschrift oben) betrieben. Kommt kein Auftrag zustande, löschen wir die Anfrage nach spätestens 6 Monaten. Für das Kontaktformular gilt dasselbe; der eingesetzte Dienst wird hier ergänzt, sobald das Formular online ist [PLATZHALTER: Anbieter Kontaktformular].

5. Empfänger

Eine Weitergabe an Dritte erfolgt nur im oben beschriebenen Umfang (Hosting, E-Mail, Datei-Übertragung, Zahlungsabwicklung) sowie, falls zutreffend, an einen Steuerberater für Rechnungsdaten oder an Behörden, wenn wir gesetzlich dazu verpflichtet sind.

6. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21). Eine Nachricht an whatsapp@freiwerk-hamburg.de genügt. Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren, z. B. bei der Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit (HmbBfDI).

7. Datensicherheit

Die Website wird ausschließlich über eine verschlüsselte HTTPS-Verbindung ausgeliefert. Backup-Dateien speichern und übertragen wir nur verschlüsselt.

Stand: 31.10.2026

8. Projekte

Für einzelne Projekte von mergemychats gelten zusätzlich die folgenden Abschnitte. Weitere Projekte ergänzen wir hier.

8.1 Projekt „Chats zusammenführen“

8.1.1 Durchführung des Auftrags: Upload und Verarbeitung deiner Backups

Welche Daten?

Deine WhatsApp-Backup-Dateien (msgstore.db.crypt15), die dazugehörigen 64-stelligen Schlüssel sowie deine Kontakt- und Bestelldaten. Die Backups enthalten deinen Chatverlauf und damit auch personenbezogene Daten deiner Chatpartner (z. B. Telefonnummern, Namen, Nachrichteninhalte) – unter Umständen auch besondere Kategorien von Daten (z. B. Gesundheitsangaben), die in Chats vorkommen.

Zweck und Rechtsgrundlage

Wir verarbeiten diese Daten ausschließlich, um deine Backups technisch zusammenzuführen und dir das Ergebnis zurückzugeben (Art. 6 Abs. 1 lit. b DSGVO). Für die Daten deiner Chatpartner stützen wir uns auf Art. 6 Abs. 1 lit. f DSGVO: Dein und unser berechtigtes Interesse ist, dass du deinen eigenen Chatverlauf vollständig behältst; die Daten werden nicht inhaltlich ausgewertet, nicht weitergegeben und kurzfristig gelöscht. Mit der Bestellung bestätigst du, dass du über die Backups verfügen und sie uns zu diesem Zweck übermitteln darfst.

Unsere Rolle

Für die Erbringung dieses Dienstes entscheiden wir selbst über die eingesetzten Mittel und sind insoweit eigenständig Verantwortlicher im Sinne der DSGVO. Einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO schließen wir daher nach unserer Einschätzung nicht ab. Geht es um geschäftlich genutzte Geräte oder Firmen-Chats, sprich uns bitte vor der Bestellung an.

Wie wird verarbeitet?

  • Du lädst die Backup-Dateien im Assistenten über eine verschlüsselte Verbindung (HTTPS) auf unseren Server. Gespeichert werden sie bei Cloudflare (Anschrift siehe Abschnitt 3) im Dienst R2, in einem privaten Bucket mit Jurisdiktion Europäische Union. Es gibt keinen öffentlichen Zugriff. Die Dateien bleiben so verschlüsselt, wie dein Handy sie erzeugt hat.
  • Das Zusammenführen läuft in einem Cloudflare Container mit Jurisdiktion Europäische Union. Dein Browser schickt die beiden Schlüssel nur für diesen Lauf mit. Der Container hält sie nur im Arbeitsspeicher, schreibt sie nicht in eine Datenbank und nicht in Protokolle und löscht die Zwischendateien am Ende des Laufs. Auftragsdaten ohne Chat-Inhalte (Auftragsnummer, Fortschritt, Prüfwerte, der mit deinem Passwort verschlüsselte Schlüssel-Kasten) liegen in einer Cloudflare-D1-Datenbank.
  • Kein inhaltliches Lesen der Chats; Ausnahmen nur, wenn zur Fehlersuche technisch zwingend nötig und nach deiner Zustimmung.
  • Das Zusammenführen findet auf unserem Server statt, nicht in deinem Browser.

Prüfung von Hand (geplant)

Klappt das automatische Zusammenführen nicht – oder wurden deine Backups mit verschiedenen Telefonnummern erstellt –, schauen wir es uns selbst an:

  • Deine Backup-Dateien bleiben dafür auf unserem Server.
  • Deine E-Mail-Adresse nutzen wir nur, um dir zu antworten (in der Regel in ca. 2 Werktagen).
  • Deine Schlüssel speichern wir nur mit deiner Einwilligung (Checkbox im Assistenten; Art. 6 Abs. 1 lit. a DSGVO, jederzeit widerrufbar). Sie sind in deinem Browser mit deinem Auftragspasswort verschlüsselt. Zusätzlich verschlüsselt der Browser sie mit unserem öffentlichen Schlüssel, sobald der hinterlegt ist, damit wir sie für die Prüfung öffnen können. Der private Schlüssel liegt nicht auf dem Server.
  • Nach Abschluss löschen wir Schlüssel, Dateien und E-Mail-Adresse (Fristen siehe unten).

Löschfristen

DatenLöschung
Backup-Dateien, Zwischenstände, Ergebnisdatei, Schlüsselspätestens 7 Tage nach Abschluss des Auftrags; Empfehlung: Schlüssel danach in WhatsApp ändern
Prüfung von Hand: verschlüsselt gespeicherte Schlüssel, E-Mail-Adressenach Abschluss der Prüfung, spätestens 7 Tage danach
Bei Abbruch oder Widerrufunverzüglich, spätestens nach 7 Tagen
Rechnungs- und Buchhaltungsdatennach Ablauf der gesetzlichen Aufbewahrungsfristen (i. d. R. 8 bzw. 10 Jahre, § 147 AO)
Nachricht über „Ich komm nicht weiter“ (Text, E-Mail, Seitenkennung, Seitentitel, Auftragsnummer)mit dem Auftrag, spätestens 7 Tage nach dem Anlegen
Korrespondenz zum Auftrag3 Jahre nach Abschluss (regelmäßige Verjährungsfrist), soweit nicht steuerlich länger aufzubewahren

8.1.2 Assistent unter /start – Testversion

In der Testversion werden die Backup-Dateien an uns übertragen und auf dem Server verarbeitet (siehe 8.1.1). Auf deinem Gerät bleibt zusätzlich, was du für die Schritte ohne Internet brauchst:

  • Prüfung der Backups: Datei und Schlüssel werden direkt in deinem Browser geprüft (Entschlüsseln, Entpacken, Zählen von Nachrichten und Chats). Gespeichert wird ein nicht umkehrbarer Prüfwert, mit dem der Assistent später erkennt, ob du den richtigen Schlüssel eingibst.
  • Schlüssel: Wenn du deinen 64-stelligen Schlüssel im Assistenten einfügst, wird er nur verschlüsselt mit deinem Auftragspasswort gespeichert (AES-GCM, Schlüsselableitung PBKDF2 im Browser). Ohne dein Passwort kann ihn niemand lesen – auch wir nicht. Zum Einfügen liest der Assistent die Zwischenablage nur, wenn du auf „Einfügen“ tippst und es erlaubst. Das Auftragspasswort selbst wird nicht an den Server geschickt; für die Anmeldung geht nur ein davon abgeleiteter Prüfwert.
  • Speicherung auf deinem Gerät: Auftragsnummer, ein Hash deines Passworts, dein Fortschritt, die Prüfergebnisse und deine verschlüsselten Schlüssel werden im Speicher deines Browsers abgelegt (IndexedDB; für die laufende Sitzung zusätzlich sessionStorage, für das Vorausfüllen der Auftragsnummer localStorage), damit der Assistent auch ohne Internet weitergeht. Das ist für die von dir gewünschte Funktion unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).
  • „Ich komm nicht weiter“: Dein Text, deine E-Mail-Adresse, die Kennung und der Titel der Seite, auf der du bist, und – wenn du schon einen Auftrag hast – die Auftragsnummer werden bei uns gespeichert, damit wir die Nachricht lesen können. Eine automatische E-Mail geht dabei nicht raus. Schick uns keine Schlüssel.
  • Prüfung von Hand: Die E-Mail-Adresse und der Zeitpunkt deiner Einwilligung werden gespeichert. Die Schlüssel bleiben verschlüsselt, wie im Abschnitt „Prüfung von Hand“ beschrieben.
  • Löschung auf dem Server: Backup-Dateien, Ergebnis, Auftragsdaten und Hilfe-Nachrichten spätestens 7 Tage nach dem Anlegen, jederzeit sofort über „Auftrag jetzt löschen“.
  • Löschung auf deinem Gerät: über „Auftrag jetzt löschen“ oder indem du die Website-Daten in deinem Browser löschst.

8.1.3 Zahlungsabwicklung über Stripe

In der Testphase wird keine Zahlung ausgeführt und es werden keine Zahlungsdaten an Stripe oder einen anderen Zahlungsdienst übermittelt. Sobald die Zahlung live geht, gilt der folgende Absatz.

Bezahlt wird über die Bezahlseite der Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland („Stripe“). Dabei verarbeitet Stripe insbesondere Name, E-Mail-Adresse, ggf. Telefonnummer und Rechnungsanschrift, Zahlungsdaten (z. B. Kartendaten), Betrag, Zeitpunkt sowie Geräte- und Verbindungsdaten zur Betrugsprävention. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflichten, z. B. Geldwäscheprävention). Stripe ist für Teile dieser Verarbeitung (u. a. Betrugsprävention, gesetzliche Pflichten) eigenständig Verantwortlicher. Auf der Bezahlseite (Domain von Stripe, nicht dieser Website) setzt Stripe eigene Cookies, insbesondere zur Betrugsprävention. Eine Übermittlung an Stripe, Inc. in die USA ist möglich; Stripe ist nach dem EU-U.S. Data Privacy Framework zertifiziert. Datenschutzhinweise: stripe.com/de/privacy.

Wählst du auf der Bezahlseite PayPal, werden deine Zahlungsdaten an PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg, übermittelt (Datenschutz PayPal). Wählst du Klarna, an Klarna Bank AB (publ), Sveavägen 46, 111 34 Stockholm, Schweden; Klarna kann dabei eine Identitäts- und Bonitätsprüfung durchführen (Datenschutz Klarna). Bei Apple Pay bzw. Google Pay gelten zusätzlich die Bestimmungen von Apple bzw. Google. PayPal und Klarna verarbeiten die Daten als eigenständige Verantwortliche.