Hinweis zu Cookies + Tracking

• Authentifizierungs-Cookies (notwendig). Werden von Supabase Auth gesetzt, wenn du dich anmeldest. Dienen dazu, dich bei folgenden Anfragen zu erkennen, damit du dich nicht auf jeder Seite neu anmelden musst. HttpOnly, Secure, SameSite=Lax. Laufen ab, wenn du dich abmeldest oder nach längerer Inaktivität.
• CSRF-Token-Cookie (notwendig). Ein kurzer Zufallswert, der an deine Sitzung gebunden ist und Cross-Site-Request-Forgery bei Server-Aktionen und Formularübermittlungen verhindert.
• Design- + Spracheinstellungen (funktional). localStorage auf deinem Gerät, keine Übertragung an den Server. Speichert, ob du den Dunkelmodus eingeschaltet, eine Sprache gewählt oder ein einmaliges Onboarding-Banner geschlossen hast.
• Capacitor Secure Storage (nur iOS / Android). Wird von der nativen App-Hülle genutzt, um nach der Zustimmung für Google Calendar das OAuth-Refresh-Token zu speichern. Verschlüsselt durch den Schlüsselbund des Betriebssystems. Wird gelöscht, wenn du Google Calendar trennst oder dich abmeldest.

• Kein Google Analytics, Mixpanel, Amplitude, Heap, Segment oder irgendein anderes Analyse-SDK.
• Kein Facebook Pixel, kein Conversion-Tracking von Google Ads und kein Werbenetzwerk.
• Keine Tools zur Sitzungsaufzeichnung (Hotjar, FullStory, LogRocket).
• Keine Fingerprinting-Bibliotheken, Device-Graph-Dienste oder websiteübergreifenden Kennungen.
• Keine Social-Sharing-Widgets von Drittanbietern, die Daten nach Hause senden (z. B. Like-Buttons, eingebettete Twitter-Timelines).

Bei bestimmten Aktionen wirst du an Drittanbieter weitergeleitet, die auf ihren eigenen Domains (nicht unseren) eigene Cookies setzen können:

• Stripe Checkout – wenn eine Familie eine Rechnung per Karte bezahlt, wird sie auf eine von Stripe gehostete Seite auf checkout.stripe.com weitergeleitet. Stripe setzt auf seiner eigenen Domain Cookies zur Betrugserkennung. Siehe die Cookie-Richtlinie von Stripe.
• Apple-ID / Mit Apple anmelden (falls genutzt) – die Authentifizierung findet auf appleid.apple.com statt, das während des OAuth-Ablaufs eigene Sitzungs-Cookies setzt.
• Google OAuth (wenn Lehrkräfte Google Calendar verbinden) – die Authentifizierung findet auf accounts.google.com statt. Google setzt während des OAuth-Ablaufs eigene Sitzungs-Cookies.

Diese Abläufe sind kurzlebig. Sobald die Weiterleitung abgeschlossen ist, bist du wieder auf noteandkey.app, und es bleiben nur unsere notwendigen Cookies.

Da wir nur notwendige / funktionale Cookies verwenden, zeigen wir kein Cookie-Einwilligungsbanner an. Nach den meisten Datenschutzgesetzen (DSGVO, ePrivacy-Richtlinie, PIPEDA, CCPA) ist für Cookies, die zur Bereitstellung eines vom Nutzer ausdrücklich angeforderten Dienstes unbedingt erforderlich sind, keine Einwilligung nötig – und genau das sind alle unsere Cookies.

Wenn du generell nicht websiteübergreifend verfolgt werden möchtest, bietet dein Browser bereits Einstellungen, um Cookies von Drittanbietern zu blockieren, Do Not Track zu senden oder ein privates Fenster zu nutzen. Diese funktionieren mit unserer App ganz normal.

In der iOS-App:

• App Tracking Transparency (ATT) – wir rufen requestTrackingAuthorization nicht auf, weil wir dich nicht über andere Apps oder Websites hinweg verfolgen.
• Keine Erfassung der IDFA. Keine Nutzung der IDFV zu Tracking-Zwecken.
• Keine Analyse-SDKs von Drittanbietern im App-Binary.

Unter Android: dieselbe Haltung. Keine Erfassung der Google Advertising ID. Kein Firebase Analytics oder Vergleichbares.

Falls wir jemals ein nicht notwendiges Cookie hinzufügen (Analyse, A/B-Tests usw.), fügen wir vorher ein ausdrückliches Einwilligungsbanner hinzu, bevor es geladen wird – und aktualisieren zuerst diese Seite.

Fragen zum Datenschutz: [email protected].