Datenschutz
Verantwortlicher
Aloaha Limited
„Helgoland“
45, Triq Gio Felice Inglott
Pembroke PBK1131
Malta
E-Mail: info@aloaha.com · Telefon: +49 541 3859 4554
Bitte schreiben Sie bei Datenschutzanliegen „DSGVO-Anfrage“ in den Betreff. Wir antworten innerhalb eines Monats (Art. 12 Abs. 3 DSGVO).
Was diese Website nicht tut
Keine Cookies – weder eigene noch von Dritten.
Keine Analyse- oder Statistikdienste, keine Werbe- und Tracking-Pixel, kein Fingerprinting, keine Session-Aufzeichnungen.
Keine externen Schriftarten oder CDNs – Schriften, Skripte und Bilder werden ausschließlich von dieser Website ausgeliefert.
Keine Formulare und keine Benutzerkonten.
Server-Protokolle
Wie jeder Webserver protokolliert unser Server technische Zugriffsdaten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Statuscode, übertragene Datenmenge, Referrer und Browserkennung (User-Agent). Diese Daten brauchen wir, um die Website sicher auszuliefern und Angriffe abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb). Die Protokolle werden nach 14 Tagen automatisch gelöscht, nicht zu Werbe- oder Profilzwecken ausgewertet, nicht mit anderen Daten zusammengeführt und nicht an Dritte weitergegeben. Die Website wird in der Europäischen Union gehostet.
Speicher in Ihrem Browser
Wenn Sie das Farbschema oder die Sprache umschalten, merkt sich Ihr Browser diese Wahl im lokalen Speicher (Schlüssel codeb-theme und codeb-lang). Die Werte bleiben auf Ihrem Gerät und werden nicht an uns übertragen. Sie können sie jederzeit über die Browser-Einstellungen löschen. Die Speicherung ist für die von Ihnen gewünschte Funktion unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).
Kontakt per E-Mail oder Telefon
Wenn Sie uns schreiben oder anrufen, verarbeiten wir Ihre Angaben (etwa Name, E-Mail-Adresse, Telefonnummer und Inhalt Ihrer Nachricht), um Ihre Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Ihre Anfrage) sowie Art. 6 Abs. 1 lit. f DSGVO. Wir bewahren die Korrespondenz nur so lange auf, wie es für die Anfrage und gesetzliche Aufbewahrungspflichten nötig ist.
Die App CodeB Wallet
Nachweise in CodeB Wallet werden auf Ihrem Gerät gespeichert, geschützt durch den hardwaregestützten Android-Schlüsselspeicher und Ihre PIN oder Biometrie. Daten aus einem Nachweis werden nur dann an einen Dienst übermittelt, wenn Sie die Anfrage in der App bestätigen.
Für ihre Funktion verbindet sich die App mit den Ausstellern und Diensten, die Sie wählen, mit den EU-Vertrauenslisten und mit dem Wallet-Provider-Dienst, der Ausstellern die Integrität der App bestätigt. Die Aloaha Limited erhält Daten aus Nachweisen nur, wenn Sie einen von der Aloaha Limited betriebenen Aussteller oder Dienst wählen – zum Beispiel den CodeB-Aussteller.
Berechtigungen. Kamera: nur zum Scannen von QR-Codes und der maschinenlesbaren Zone eines Ausweises oder Reisepasses; die Bilder werden auf dem Gerät verarbeitet, nicht gespeichert und nicht gesendet. Bluetooth (und auf älteren Android-Versionen Standort – Android verlangt diese Berechtigung für die Bluetooth-Suche): nur zum Austausch von Dokumenten von Telefon zu Telefon beim persönlichen Vorzeigen oder Prüfen; Ihr Standort wird nicht ermittelt oder erhoben. NFC: um das persönliche Vorzeigen mit einem Antippen zu starten und um Ausweise, Reisepässe und Signaturkarten zu lesen, die Sie an das Telefon halten. Biometrie: die Entsperrung erledigt Android; Ihr Fingerabdruck erreicht die App nie. Dateien: nur die PDF-Dokumente, die Sie zum Unterschreiben auswählen.
Adressabfragen. Die App ermittelt Serveradressen über die normalen Einstellungen Ihres Telefons. Nur wenn das fehlschlägt, fragt sie die verschlüsselten DNS-Dienste von Cloudflare (1.1.1.1) oder Google (8.8.8.8) nach der Adresse dieses Servernamens; diese erhalten den Namen und Ihre IP-Adresse, sonst nichts. Die zuletzt funktionierenden Adressen bleiben auf Ihrem Telefon gespeichert, damit ein kurzes Netzproblem die App nicht aufhält. Die Verbindungen bleiben in jedem Fall verschlüsselt und werden gegen das Zertifikat des Servers geprüft.
Fernsignatur. Wenn Sie ein PDF mit einem Signaturdienst unterschreiben, wird nur ein kryptografischer Fingerabdruck (Hash) des Dokuments an den Dienst gesendet; das Dokument selbst bleibt auf Ihrem Telefon. Nutzen Sie den CodeB-Signaturdienst (phone.codeb.io), verarbeitet Aloaha Limited Ihr Konto, Ihr Signaturzertifikat und einen Nachweis jeder Signatur, um den Dienst zu erbringen und zu dokumentieren.
Signieren mit einer Signaturkarte. Die Karte signiert einen Fingerabdruck (Hash) des Dokuments; der Schlüssel verlässt die Karte nie, und das Dokument bleibt auf Ihrem Telefon. Ihre PIN wird nie gespeichert. Die Zugangsnummer (CAN) wird verschlüsselt auf Ihrem Telefon aufbewahrt, damit sie beim nächsten Mal angeboten werden kann; Sie können sie im Dialog löschen. Für den vertrauenswürdigen Zeitstempel wird nur ein Fingerabdruck (Hash) der Signatur an den CodeB-Zeitstempeldienst (phone.codeb.io) gesendet. Das Zertifikat der Karte wird – wie bei jeder digitalen Signatur – in das signierte PDF eingebettet.
Verlauf und Protokolle. Die Liste dessen, was Sie geteilt, hinzugefügt oder unterschrieben haben, bleibt nur auf Ihrem Telefon. Die App erhebt keine Statistiken, zeigt keine Werbung und verfolgt Sie nicht. Eine technische Protokolldatei entsteht nur, wenn Sie auf „Retrieve logs“ tippen, und verlässt das Telefon nur, wenn Sie sie uns senden. Stürzt die App unerwartet ab, schreibt sie einen kurzen Absturzbericht auf Ihr Telefon (Zahlen, E-Mail-Adressen und Schlüssel unkenntlich; die letzten fünf bleiben) und hängt ihn nur an das technische Protokoll an, wenn Sie eines senden. Beim Start prüft die App die Sicherheit Ihres Telefons auf dem Telefon selbst (zum Beispiel Root-Zugriff, Emulator, Stand der Sicherheitsupdates) und weist Sie einmal darauf hin, wenn etwas den Schutz schwächt; das Ergebnis wird nirgendwohin gesendet.
Einmalcodes. Konten, die Sie unter Einmalcodes hinzufügen (Dienst, Kontoname und geheimer Schlüssel), werden verschlüsselt auf Ihrem Telefon gespeichert, getrennt von Ihren Dokumenten, und nie an jemanden gesendet. Sie verlassen das Telefon nur, wenn Sie sie als QR-Codes zeigen oder in eine von Ihnen erstellte Sicherungsdatei aufnehmen.
Pseudonyme (Passkeys). Für jede Website, bei der Sie ein Pseudonym erstellen, speichert die App einen Schlüssel in der sicheren Hardware Ihres Telefons und verschlüsselt auf dem Telefon die Adresse der Website, den von der Website gewählten Kontonamen und Ihren optionalen eigenen Namen dafür. Die Website erhält nur den öffentlichen Schlüssel und die signierten Anmeldebestätigungen – nie Ihren Namen, Ihren eigenen Namen für das Pseudonym oder etwas aus Ihren Dokumenten. Für andere Apps prüft die App die öffentliche Digital-Asset-Links-Datei (assetlinks.json) der Website.
Ausweise anderer prüfen. Mit „Verify“ empfangene Angaben werden einmal angezeigt und gelöscht, sobald Sie das Ergebnis schließen.
Auslesen von Ausweisen und Reisepässen. Wenn Sie den Chip Ihres Ausweises oder Reisepasses auslesen, gelangen die Daten direkt vom Chip in die App auf Ihrem Telefon. Um die Signatur des ausstellenden Staates zu prüfen, lädt die App die öffentliche Liste der Länderzertifikate (CSCA-Masterliste und Sperrlisten) von phone.codeb.io; dabei wird nichts über Ihr Dokument übermittelt. Die maschinenlesbare Zone wird auf dem Telefon mit Google ML Kit erkannt, das die Google-Play-Dienste bereitstellen (sie laden das Erkennungsmodell herunter); die Google-Play-Dienste senden Google technische Nutzungs- und Leistungsdaten, niemals die Kamerabilder oder den erkannten Text. Die gelesenen Daten werden Ihnen angezeigt und nur gespeichert, wenn Sie das wünschen – dann verschlüsselt auf Ihrem Telefon mit einem Schlüssel in dessen Sicherheitshardware. Sie können sie jederzeit in der App löschen.
Lesen für den CodeB-PID-Anbieter. Wenn Sie sich beim CodeB-PID-Anbieter (phone.codeb.io) anmelden und Ihren Ausweis oder Reisepass lesen lassen, liest der Server den Chip selbst: Ihr Telefon reicht nur die verschlüsselten Nachrichten weiter und behält keine Kopie. Chip und Server kommunizieren über einen eigenen, Ende-zu-Ende verschlüsselten und authentisierten Kanal, sodass weder Ihr Telefon noch jemand dazwischen die Daten lesen oder verändern kann. Damit der Server erkennt, dass die Anfrage von der echten App auf einem sicheren Telefon kommt, sendet die App ein Schlüsselzertifikat aus der Sicherheitshardware Ihres Telefons (Android Key Attestation) und ein Ergebnis von Google Play Integrity; Google verarbeitet dafür die Anfrage. Der Server nutzt die Daten, um Ihr Konto beim PID-Anbieter anzulegen oder vorauszufüllen.
Daten löschen. Sie können einzelne Dokumente in der App löschen oder alles auf einmal mit Einstellungen → Wallet löschen (oder indem Sie CodeB Wallet deinstallieren). Für Daten bei einem Aussteller oder Signaturdienst ist dieser Anbieter zuständig; für Dienste der Aloaha Limited schreiben Sie an info@aloaha.com.
Die App nutzt einen Wallet-Provider-Dienst, um Ausstellern zu bestätigen, dass die App echt ist. Für den CodeB-Aussteller ist das der eigene Wallet-Provider der Aloaha Limited auf phone.codeb.io: Er erhält den öffentlichen Schlüssel, den die App für diesen Aussteller verwendet, Schlüsselzertifikate aus der Sicherheits-Hardware Ihres Telefons (Android Key Attestation – für diesen Schlüssel und für einen Einmalschlüssel je Anfrage; sie zeigen auch, ob das System des Telefons gesperrt und verifiziert ist, und den Stand der Sicherheitsupdates) und ein Ergebnis von Google Play Integrity – Google verarbeitet die Anfrage für diese Prüfung; ist Googles Prüfung nicht verfügbar, können die Hardware-Zertifikate allein genügen. Für andere Aussteller nutzt die App den EU-Referenz-Wallet-Provider (wallet-provider.eudiw.dev). Keiner von beiden erhält Ihre Dokumente oder deren Inhalt; lässt sich Ihr Telefon nicht prüfen, nutzt die App auch für den CodeB-Aussteller den EU-Referenz-Wallet-Provider.
Ihre Rechte
Nach Art. 15 bis 22 DSGVO haben Sie das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch sowie das Recht, eine Einwilligung jederzeit zu widerrufen. Schreiben Sie dazu an info@aloaha.com mit „DSGVO-Anfrage“ im Betreff.
Beschwerderecht
Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Da der Verantwortliche in Malta niedergelassen ist, ist die federführende Aufsichtsbehörde das Office of the Information and Data Protection Commissioner (IDPC), Malta.