Datenschutz & Sicherheit

Verschlüsselte Datenübertragung

Die Kommunikation mit Evylla läuft über HTTPS/TLS.

IMAP-App- und Postfach-Passwörter sowie OAuth-Tokens werden mit AES-256-GCM verschlüsselt gespeichert. Das Passwort deines Evylla-Kontos speichern wir nur als nicht umkehrbaren Hash.

Zugriff nach dem Prinzip der geringsten Berechtigung

Evylla soll nur auf diejenigen Daten zugreifen, die für die jeweilige Funktion erforderlich sind.

Interne Zugriffsrechte werden nach dem Prinzip der geringstmöglichen Berechtigung vergeben.

Schutz gespeicherter Daten

Personenbezogene und andere schützenswerte Daten werden durch technische und organisatorische Maßnahmen geschützt. Dazu gehören abhängig von der jeweiligen Datenart insbesondere:

• Zugriffskontrollen
• Verschlüsselung bzw. geeignete Schutzmechanismen
• sichere Authentifizierung
• Protokollierung sicherheitsrelevanter Vorgänge
• regelmäßige Aktualisierung der eingesetzten Systeme
• Sicherungs- und Wiederherstellungsverfahren
• Trennung von Berechtigungen und Systembereichen

Welche konkreten Maßnahmen eingesetzt werden, richtet sich nach Art, Umfang und Risiko der jeweiligen Verarbeitung.

Evylla wird nach dem Grundsatz entwickelt, Datenschutz möglichst bereits bei der Gestaltung einer Funktion zu berücksichtigen.

Das bedeutet beispielsweise:

So wenig Daten wie nötig.
Wir wollen nur Daten verarbeiten, die für die jeweilige Funktion erforderlich sind.

So wenig Zugriff wie nötig.
Eine Funktion soll nicht automatisch Zugriff auf sämtliche Informationen deines Kontos erhalten.

Datenschutzfreundliche Voreinstellungen.
Funktionen, die zusätzliche Datenverarbeitungen ermöglichen, sollen nicht ohne deine entsprechende Entscheidung aktiviert werden.

Kontrolle für dich.
Du sollst nachvollziehen können, welche Dienste verbunden sind und diese Verbindungen wieder trennen können.

Dieser Ansatz entspricht dem Grundgedanken von „Data Protection by Design and by Default“ nach Art. 25 DSGVO.

Das hängt davon ab, welche Funktionen du verwendest.

Benutzerkonto

Für dein Evylla-Konto können beispielsweise folgende Daten verarbeitet werden:

• E-Mail-Adresse
• Name, sofern angegeben
• Anmelde- und Kontodaten
• Tarif- und Zahlungsinformationen
• Einstellungen
• technische Informationen
• Sicherheits- und Protokolldaten

E-Mail-Verbindungen

Wenn du ein E-Mail-Konto mit Evylla verbindest, kann Evylla die von dir freigegebenen Nachrichten verarbeiten, um darin kaufbezogene Informationen zu erkennen.

Dazu können beispielsweise gehören:

• Absender
• Betreff
• Datum und Uhrzeit
• Produkt- und Bestellinformationen
• Händler
• Rechnungs- oder Bestellnummer
• Preise
• Lieferinformationen
• Inhalte von Nachrichten, soweit für die jeweilige Funktion erforderlich

Evylla versucht dabei, die für die jeweilige Funktion erforderlichen Informationen zu verarbeiten und nicht mehr.

Zahlungs- und Finanzdienste

Wenn du später einen Zahlungs- oder Finanzdienst mit Evylla verbindest, können abhängig vom jeweiligen Anbieter und den von dir erteilten Berechtigungen beispielsweise folgende Informationen verarbeitet werden:

• Händler
• Transaktionsdatum
• Betrag
• Währung
• Transaktionsbeschreibung
• Transaktions- oder Referenznummer
• weitere vom jeweiligen Dienst bereitgestellte Informationen

Der konkrete Umfang hängt vom jeweiligen Anbieter und der jeweiligen Verbindung ab.

🤖 KI und automatische Verarbeitung

Evylla kann automatisierte Verfahren und gegebenenfalls KI-gestützte Verfahren einsetzen, um Informationen aus deinen Daten zu erkennen und zu strukturieren.

Beispielsweise kann eine Kaufbestätigung automatisch erkannt werden:

„Bestellung bei Händler X – 14.09.2026 – 79,99 € – Produkt Y“

Dabei dient die automatische Verarbeitung dazu, Informationen für die von dir angeforderten Evylla-Funktionen aufzubereiten.

Eine automatische Auswertung bedeutet nicht automatisch, dass eine rechtlich relevante automatisierte Entscheidung über dich getroffen wird.

Falls Evylla Funktionen einführt, bei denen automatisierte Entscheidungen oder Profiling im Sinne von Art. 22 DSGVO eingesetzt werden, werden die hierfür erforderlichen Informationen gesondert bereitgestellt.

🧠 Deine Daten werden nicht für andere Zwecke verwendet

Die von dir bereitgestellten Daten werden grundsätzlich für die Zwecke verarbeitet, für die du Evylla nutzt.

Insbesondere sollen deine Kauf- und Kontodaten nicht einfach für beliebige andere Zwecke verwendet werden.

Eine Verwendung für zusätzliche Zwecke, beispielsweise bestimmte Analyse-, Marketing- oder Trainingszwecke, erfolgt nur, wenn hierfür eine entsprechende Rechtsgrundlage besteht und die datenschutzrechtlichen Voraussetzungen erfüllt sind.

🚫 Kein Verkauf deiner persönlichen Daten

Evylla verkauft personenbezogene Daten seiner Nutzer nicht.

Eine Weitergabe kann jedoch erforderlich sein, wenn Dienstleister für den Betrieb von Evylla eingesetzt werden oder eine gesetzliche Verpflichtung hierzu besteht.

Solche Dienstleister erhalten nur den für ihre jeweilige Aufgabe erforderlichen Zugriff.

Evylla kann verschiedene externe Dienste unterstützen.

Dazu können beispielsweise gehören:

• E-Mail-Anbieter
• Zahlungsanbieter
• Finanzdienstleister
• Cloud-Dienste
• Analyse- oder Infrastruktur-Dienste

Beim Verbinden eines Dienstes wird dir angezeigt, welche Berechtigungen für diese Verbindung erforderlich sind.

Verbindung trennen stoppt weitere Abrufe; gespeicherte Käufe bleiben. Mail-Konto entfernen löscht Verbindung, Mails und zugehörige Käufe.

Zusätzlich kannst du nur die importierten Daten einer Verbindung löschen – die Verbindung selbst bleibt dann bestehen.

🗑️ Löschen deiner Daten

Im Konto unter Datenschutz & Sicherheit kannst du gezielt steuern, was gelöscht wird.

Bei einer Löschung können gesetzliche Aufbewahrungspflichten oder technisch notwendige Sicherungskopien dazu führen, dass bestimmte Daten nicht sofort aus sämtlichen Systemen verschwinden.

Solche Daten werden nach Ablauf der jeweiligen Aufbewahrungs- bzw. Backup-Fristen gelöscht oder anonymisiert, sofern keine andere gesetzliche Grundlage für eine weitere Speicherung besteht.

Konkrete Löschfristen:

• Kontodaten: bis zur Löschung des Kontos bzw. solange das Nutzungsverhältnis besteht
• Bestell- und Mail-bezogene Daten: mit dem Konto oder früher, wenn du sie selbst löschst – vorbehaltlich gesetzlicher Aufbewahrungspflichten
• Server-Logs: typischerweise bis zu 14 Tage
• Admin-SQL-Backups: höchstens 20 Versionen (ältere werden automatisch entfernt); bei regelmäßiger Sicherung typischerweise bis zu etwa 90 Tage
• Einwilligungs- und Sicherheitsnachweise: nur so lange wie für Zweck und Nachweis erforderlich

📦 Datenexport

Du hast grundsätzlich das Recht, deine personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten, soweit die gesetzlichen Voraussetzungen für die Datenübertragbarkeit erfüllt sind.

Evylla kann hierfür eine Exportfunktion bereitstellen.

Das Recht auf Datenübertragbarkeit ist in Art. 20 DSGVO geregelt.

Je nach den gesetzlichen Voraussetzungen stehen dir insbesondere folgende Rechte zu:

Auskunft

Du kannst Auskunft darüber verlangen, welche personenbezogenen Daten wir über dich verarbeiten.

Berichtigung

Du kannst die Berichtigung unrichtiger personenbezogener Daten verlangen.

Löschung

Du kannst unter den gesetzlichen Voraussetzungen die Löschung deiner personenbezogenen Daten verlangen.

Einschränkung der Verarbeitung

Du kannst unter bestimmten Voraussetzungen verlangen, dass die Verarbeitung deiner Daten eingeschränkt wird.

Widerspruch

Du kannst unter den gesetzlichen Voraussetzungen einer Verarbeitung widersprechen.

Datenübertragbarkeit

Du kannst unter den gesetzlichen Voraussetzungen verlangen, deine bereitgestellten personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten.

Widerruf einer Einwilligung

Wenn eine Verarbeitung auf deiner Einwilligung beruht, kannst du diese Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.

⚖️ Auf welcher Grundlage verarbeitet Evylla Daten?

Die konkrete Rechtsgrundlage hängt vom jeweiligen Verarbeitungsvorgang ab.

Je nach Funktion können insbesondere folgende Rechtsgrundlagen relevant sein:

Art. 6 Abs. 1 lit. a DSGVO
Einwilligung.

Art. 6 Abs. 1 lit. b DSGVO
Verarbeitung, die für die Erfüllung eines Vertrags oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist.

Art. 6 Abs. 1 lit. c DSGVO
Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung.

Art. 6 Abs. 1 lit. f DSGVO
Verarbeitung aufgrund berechtigter Interessen, sofern die gesetzlichen Voraussetzungen erfüllt sind.

Welche Rechtsgrundlage für welchen Verarbeitungsvorgang gilt, wird in der vollständigen Datenschutzerklärung erläutert.

🏢 Verantwortlicher

Verantwortlicher für die Verarbeitung personenbezogener Daten ist:

URBAN
Friedensplatz 13
SAN-39164 Seehausen Börde
Deutschland

Vertreten durch: Udo Urban

E-Mail

…

🛡️ Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist derzeit nicht bestellt, da die gesetzlichen Voraussetzungen hierfür nicht vorliegen.

🔧 Auftragsverarbeiter und technische Dienstleister

Für den Betrieb von Evylla können technische Dienstleister eingesetzt werden.

Dazu können insbesondere gehören:

• Hosting
• Datenbanken
• E-Mail-Versand
• Zahlungsabwicklung
• Authentifizierung
• Cloud-Infrastruktur
• KI-/API-Dienste
• Monitoring und Fehleranalyse
• Backups

Soweit diese Anbieter personenbezogene Daten in unserem Auftrag verarbeiten, erfolgt dies auf Grundlage der jeweils erforderlichen datenschutzrechtlichen Vereinbarungen.

Eine aktuelle Übersicht der eingesetzten Dienstleister und der jeweiligen Verarbeitung befindet sich in unserer vollständigen Datenschutzerklärung.

🌍 Wo werden deine Daten verarbeitet?

Die Verarbeitung kann innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums erfolgen.

Sofern Dienstleister eingesetzt werden, die Daten außerhalb der EU bzw. des EWR verarbeiten, erfolgt eine solche Übermittlung nur unter Beachtung der hierfür geltenden datenschutzrechtlichen Anforderungen.

Aktuelle Speicher- und Verarbeitungsorte:
Anwendung, Datenbank und Backups werden in Deutschland bzw. in der Europäischen Union betrieben.

Drittlandübermittlungen:
Stripe (USA) kann Zahlungsdaten außerhalb der EU verarbeiten und stützt sich dabei auf geeignete Garantien, insbesondere Standardvertragsklauseln. Details: https://stripe.com/privacy

💳 Zahlungsdaten

Zahlungen für kostenpflichtige Evylla-Tarife können über externe Zahlungsdienstleister abgewickelt werden.

Die Verarbeitung der Zahlungsdaten erfolgt dabei nach den Bedingungen und Datenschutzbestimmungen des jeweiligen Zahlungsdienstleisters.

Evylla speichert keine vollständigen Kreditkartennummern, sofern diese nicht für die jeweilige Funktion erforderlich sind und die technische Zahlungsabwicklung über einen spezialisierten Zahlungsdienstleister erfolgt.

Eingesetzte Zahlungsdienstleister:
Stripe

🔒 Technische und organisatorische Maßnahmen

Evylla trifft angemessene technische und organisatorische Maßnahmen, um personenbezogene Daten gegen Verlust, Zerstörung, Veränderung sowie unbefugten Zugriff zu schützen.

Dazu können insbesondere gehören:

• verschlüsselte Übertragung
• sichere Authentifizierung
• Zugriffskontrollen
• Berechtigungskonzepte
• Verschlüsselung bzw. Schutz sensibler Daten
• regelmäßige Sicherheitsupdates
• Backup- und Wiederherstellungsverfahren
• Überwachung sicherheitsrelevanter Vorgänge
• Trennung von System- und Berechtigungsbereichen
• Verfahren zum Umgang mit Sicherheitsvorfällen

Die Maßnahmen werden entsprechend dem Stand der Technik sowie dem jeweiligen Risiko überprüft und weiterentwickelt.

Art. 32 DSGVO verlangt angemessene technische und organisatorische Maßnahmen unter Berücksichtigung unter anderem des Stands der Technik, der Kosten, der Art und des Umfangs der Verarbeitung sowie des Risikos für die Rechte und Freiheiten natürlicher Personen.

🚨 Sicherheitsvorfälle

Trotz umfangreicher Sicherheitsmaßnahmen kann kein internetbasierter Dienst ein absolut risikofreies System garantieren.

Sollte es zu einer Verletzung des Schutzes personenbezogener Daten kommen, bewertet Evylla den Vorfall unverzüglich und ergreift die erforderlichen Maßnahmen.

Soweit gesetzlich erforderlich, werden zuständige Aufsichtsbehörden und betroffene Personen entsprechend den gesetzlichen Vorgaben informiert.