Datenschutz
Was du in Carry einträgst, bleibt auf deinem Gerät — außer den Reisen, die du teilst, und dem Ziel einer Reise, für die Carry das Wetter zeigt. Kein Konto, keine Anmeldung, keine Werbung, und nichts, das mitzählt, was du in der App tust.
Diese Seite beschreibt, welche Daten die App Carry (iPhone und Android) wohin gibt und wie lange sie dort bleiben.
Was auf dem Gerät bleibt
Reisen, Mitreisende, Packlisten, Ausgaben, Aktivitäten und Anhänge liegen auf dem Gerät: die Reisedaten in einer Datenbank, deine Einstellungen und die Personen deines Haushalts in der Ablage der App daneben, die angehängten Dateien in Carrys eigenem Ordner.
Private Reisen bekommt der Carry-Server nicht zu sehen — zeigt Carry für eine Reise das Wetter am Ziel, nur deren Ziel-Koordinaten und Zeitraum (siehe „Ziel und Wetter“). Es gibt keine Anmeldung, mit der irgendwer sie abrufen könnte — uns eingeschlossen.
Carry bindet keine Werbe- oder Analysebausteine ein. Einzige fremde Bausteine sind die Mitteilungsdienste der Plattform (siehe „Mitteilungen“) und die Kaufabwicklung von Apple bzw. Google (siehe „Carry Plus“).
Geteilte Reisen
Teilst du eine Reise („Einladen“), liegt sie vollständig und lesbar auf dem Carry-Server: Name, Ziel und Zeitraum, die Namen der Mitreisenden, Packlisten, Ausgaben mit Beträgen und Aufteilung, Aktivitäten mit Orten, Webseiten und Notizen. Nicht hinaus gehen private Anhänge, dein Haushalt, Packprofile, Spitznamen und deine eigenen Gegenstände im Katalog.
„Einladen“ übergibt dem Teilen-Blatt einen Link und einen Code. Ein Code gilt 7 Tage, liegt am Server nur als nicht rückrechenbarer Schlüssel und lässt sich zurücknehmen; wer schon beigetreten ist, bleibt. Sehen kann die Reise jedes Gerät, das mit einem Code beigetreten ist; eine Packliste, die jemand nicht freigibt, sehen nur die Geräte, die für diese Person zuständig sind.
Statt eines Kontos meldet sich das Gerät mit einer Zufallskennung an, die die App in einer Datei ablegt. Der Server kennt davon nur einen nicht rückrechenbaren Hash, dazu den Tag der Anmeldung und der letzten Verbindung — keinen Namen, kein Gerätemodell, keine Adresse.
Wer eine geteilte Reise bei sich löscht, tritt aus; für die anderen bleibt sie. Der Server löscht geteilte Reisen nicht. Hält kein Gerät sie mehr — ein Gerät, das sich 13 Monate nicht gemeldet hat, zählt nicht mehr —, entfernt er Namen und alle frei getippten Texte und behält nur Zahlen und Gegenstände aus dem mitgelieferten Katalog, ohne Bezug zu Personen.
Deine IP-Adresse speichert der Server nicht; für Missbrauchsbremsen zählt er sie nur als nicht rückrechenbaren Schlüssel, höchstens einen Tag lang. Die Protokolle des Servers enthalten keine IP-Adressen und keine Inhalte deiner Reisen. Der Server steht in einem Rechenzentrum in der EU.
Geteilte Anhänge
Fotos und Dateien, die du an eine Aktivität oder Ausgabe hängst, legt Carry in seinem eigenen Ordner auf dem Gerät ab. Hochgeladen wird ein Anhang nur, wenn du ihn in einer geteilten Reise ausdrücklich teilst.
Ein geteilter Anhang (Foto als JPEG, PNG oder HEIC, oder PDF, höchstens 10 MB) liegt mit Dateiname und Größe auf dem Carry-Server in der EU, und jedes Mitglied der Reise kann ihn laden. Der Server verarbeitet die Datei nicht und erstellt keine Vorschau.
Der Server löscht einen geteilten Anhang spätestens 30 Tage nach dem Hochladen und spätestens 14 Tage nach dem Ende der Reise — was früher kommt. Löscht jemand den Anhang, ist die Datei sofort vom Server entfernt. Die Kopien auf den Geräten bleiben davon unberührt.
Ziel und Wetter
Gibst du einer geteilten Reise ihr Ziel über die Ortssuche, schickt die App deinen Suchtext und die Sprache der App an den Carry-Server. Der fragt Apple Maps (Apple Inc.) und gibt die Vorschläge an die App zurück. Apple bekommt dabei vom Carry-Server nur den Suchtext und die Sprache — keine Gerätekennung, nicht die IP-Adresse deines Geräts, keine Reise. Dieselbe Suche hält der Server 24 Stunden vor, ohne den Suchtext im Klartext und ohne Bezug zu einem Gerät.
Der gewählte Ort (sein Name und seine Koordinaten) gehört zur geteilten Reise und liegt mit ihr auf dem Carry-Server (siehe „Geteilte Reisen“).
Für die Wetterkarte fragt der Carry-Server Apple Weather (WeatherKit, Apple Inc.) nach der Vorhersage für die Orte von Reisen, die gerade laufen oder in den nächsten zehn Tagen beginnen — mit den auf etwa einen Kilometer gerundeten Koordinaten, alle drei Stunden, ohne Namen, ohne Reise und ohne Gerät. Die Vorhersage liegt je Ort auf dem Server; sieben Tage, nachdem keine Reise sie mehr braucht, wird sie gelöscht. Deine App holt sie nur vom Carry-Server, nie von Apple. Für Reisetage, die weiter als zehn Tage entfernt sind, fragt der Server Apple Weather nach dem Wetter derselben Tage in den letzten fünf Jahren und zeigt daraus typisches Wetter — ebenfalls nur mit den gerundeten Koordinaten; das Mittel je Ort und Kalendertag bleibt ein Jahr gespeichert, ohne Bezug zu einer Reise oder einem Gerät.
Auch für eine Reise, die du nicht teilst, zeigt Carry das Wetter am Ziel. Dafür schickt die App die Koordinaten des Ziels und den Reisezeitraum an den Carry-Server — keinen Reisenamen und keine anderen Inhalte der Reise; zur Anmeldung nur die zufällige Gerätekennung (siehe „Geteilte Reisen“). Der Server merkt sich den Ort, auf etwa einen Kilometer gerundet, und den Zeitraum ohne Bezug zu einem Gerät, damit die Vorhersage aktuell bleibt, und löscht beides, wenn die Reise vorbei ist oder sieben Tage niemand danach gefragt hat. An Apple Weather gehen dabei wie oben nur die gerundeten Koordinaten. Sind Mitteilungen eingeschaltet, speichert der Server für Wetter-Mitteilungen zu einer nicht geteilten Reise zusätzlich die Gerätekennung, den Ort, den Zeitraum und den Reisenamen (nur für den Titel der Mitteilung) — bis einen Tag nach dem Ende der Reise.
Eine Verarbeitung durch Apple in den USA ist dabei nicht ausgeschlossen. Die Wetterdaten stammen von Apple Weather; die Datenquellen nennt https://weatherkit.apple.com/legal-attribution.html.
Mitteilungen
Wenn du in Carry Mitteilungen einschaltest, bekommt dein Gerät vom Mitteilungsdienst des Betriebssystems eine Gerätekennung für Mitteilungen (Push-Token) — auf dem iPhone vom Apple Push Notification service (Apple Inc.), auf Android von Firebase Cloud Messaging (Google). Carry übermittelt diesen Token zusammen mit der eingestellten Sprache an den Carry-Server und speichert ihn dort, solange Mitteilungen eingeschaltet sind; beim Ausschalten wird er gelöscht.
Geschieht in einer geteilten Reise etwas, das dich betrifft (eine neue Ausgabe, an der du beteiligt bist, ein neues Mitglied, eine Änderung von Name, Ziel oder Datum der Reise, etwas, das du mitbringen sollst), schickt der Carry-Server über Apple bzw. Google eine Mitteilung an dein Gerät. Apple und Google erhalten dabei den Push-Token, den Zeitpunkt, die Art des Ereignisses und zufällige Kennungen der Reise, der Mitglieder und gegebenenfalls der Ausgabe oder des Gegenstands, auf dem iPhone zusätzlich einen allgemeinen Text — keine Namen, keine Beträge, keine Reisenamen und keine anderen Inhalte deiner Reise. Namen und Beträge holt die App danach selbst vom Carry-Server und zeigt sie an. Wetter-Mitteilungen (Regen, UV, Gewitter, Hitze, Kälte, Schnee am Ziel einer Reise, die bald beginnt oder läuft) kommen auf demselben Weg; Apple bzw. Google sehen dabei zusätzlich die Wochentage und die Wetterwerte, keinen Orts- oder Reisenamen.
Auf Android meldet sich die App dafür bei Firebase an (Firebase-Installations-Kennung); Firebase Analytics ist nicht eingebunden. Eine Übermittlung in die USA ist dabei nicht ausgeschlossen. Der Carry-Server zählt nur, wie viele Mitteilungen je Monat und Plattform verschickt wurden.
Erinnerungen
Die Erinnerung am Abend vor der Abreise stellt dein Gerät sich selbst. Titel und Text entstehen auf dem Gerät und verlassen es nicht.
Im Titel steht der Name der Reise, im Text das Ziel und die Zahl der Dinge, die noch offen sind. Das ist auf dem Sperrbildschirm lesbar, ohne dass jemand dein Gerät entsperrt. Wer das nicht möchte, blendet Vorschauen in den Einstellungen des Telefons aus.
Wechselkurse
Für Ausgaben in fremder Währung braucht die App Wechselkurse; ein Kursbestand der Europäischen Zentralbank ist dafür mitgeliefert, und was einmal geholt wurde, legt Carry daneben auf dem Gerät ab.
Carry fragt den Carry-Server nach einem Kurs, wenn im vorhandenen Bestand einer fehlt oder veraltet ist, und holt Kurse im Voraus, damit sie unterwegs schon da sind. Eine solche Anfrage enthält ein Währungspaar und einen Zeitraum — beim Nachschlagen für eine einzelne Ausgabe ist das deren Tag, beim Vorausholen immer die letzten 90 Tage bis heute, und wenn eine Reise weiter zurückliegt, zusätzlich deren Zeitraum. Keine Beträge, keine Namen, keine Mitreisenden, keine Gerätekennung, kein Konto.
Wer diese Anfragen sähe, wüsste, an welchem Tag die App benutzt wurde und mit welchen Währungen sie rechnet — und bei einer länger zurückliegenden Reise auch, wann diese Reise war. Nicht wohin, nicht mit wem, nicht wie viel — und nirgends steht ein Name daran. Wie bei jedem Abruf im Internet sieht der Server dabei die IP-Adresse deines Anschlusses.
Support
Schreibst du uns über die Support-Seite, gehen genau diese Angaben mit: das gewählte Anliegen, deine E-Mail-Adresse, dein Text, Version und Build der App, das Modell deines Geräts, die Version des Betriebssystems und die Sprache, in der du Carry liest. Die Adresse brauchen wir für die Antwort, die technischen Angaben, weil ein „stürzt ab“ ohne sie nicht zu beantworten ist. Aus deinen Reisen geht nichts mit — keine Namen, keine Beträge, keine Orte, keine Gerätekennung.
Abgeschickt gehen diese Angaben an den Carry-Server, der sie sofort als E-Mail an support@carryapp.de weiterleitet und nicht auf dem Server speichert. Nur wenn die Weiterleitung einmal scheitert, wartet das Anliegen dort höchstens 24 Stunden auf den nächsten Versuch und wird danach gelöscht. Die Adresse merkt sich die App auf dem Gerät, damit du sie beim nächsten Mal nicht neu tippen musst.
Keine Werbung, keine Nutzungsstatistik
In Carry steckt kein Werbebaustein, kein Analysewerkzeug und kein Absturzmelder. Die App zählt nicht, welche Seite du öffnest, und meldet nirgendwohin, dass du sie benutzt.
Ausgewertet werden nur geteilte Reisen: wie oft Gegenstände aus dem Katalog vorkommen, mit welcher Mengenregel und ob sie in der Tasche landen — als Summen ohne Reise, Namen oder Gerät. Selbst getippte Gegenstände zählen erst, wenn sie in mindestens 20 Reisen stehen. Dazu zählt der Server je Monat, wie viele Mitteilungen verschickt und wie viele Anhänge geteilt wurden.
Wenn du selbst etwas weitergibst
Diese Stellen geben Inhalte nach draußen — und jede erst, wenn du sie antippst:
Das Teilen-Symbol in der Dateivorschau gibt die geöffnete Datei weiter.
„Route“ öffnet einen Kartendienst mit dem Ort, den du bei der Aktivität eingetragen hast. Dieser Ort geht damit an den Kartendienst; dort gilt dessen Datenschutzerklärung, nicht diese.
Die Webseite, die du bei einer Aktivität eingetragen hast, öffnet sich beim Antippen im Browser. Die fremde Seite erfährt dabei, wann du sie aufrufst, und sieht die IP-Adresse deines Anschlusses; Carry öffnet dafür nur Web-Adressen und nichts anderes.
Löschen
„Löschen“ blendet in Carry aus: Eine gelöschte Reise, eine gelöschte Ausgabe, ein gelöschtes Ding verschwindet aus allen Listen — der Eintrag selbst bleibt in der Datenbank auf deinem Gerät liegen. Bei einem Anhang wird die Datei dagegen wirklich vom Gerät entfernt.
Restlos weg ist alles auf dem Gerät, wenn du die App löschst. Geteilte Reisen bleiben für die anderen Mitglieder und auf dem Server (siehe „Geteilte Reisen“).
Backups
Sicherst du dein Gerät — auf dem iPhone in iCloud oder auf einem Computer, auf Android über die Gerätesicherung —, ist Carrys Datenbestand Teil dieses Backups. Das ist das Backup deines Geräts, keine Funktion von Carry.
Carry Plus
Den Kauf wickelt Apple im App Store bzw. Google über Google Play ab. Deine Zahlungsdaten bekommt Carry nie zu sehen; die App fragt beim System nur nach, ob der Kauf vorliegt.
„Käufe wiederherstellen“ kann dabei nach deinem Apple- bzw. Google-Konto fragen. Das ist die Anmeldung von Apple bzw. Google, nicht die von Carry — die App bekommt davon nichts zu sehen, weder Adresse noch Passwort, sondern am Ende nur die Antwort, ob der Kauf vorliegt.
Verantwortlich und erreichbar
Verantwortlich: Alexander Kampmeier, Adresse folgt.
Fragen zum Datenschutz: support@carryapp.de.