Datenschutzerklärung

Stand: August 2026

1. Verantwortlicher

back to ctrl · Inhaber Manuel Schmidt
Mollstraße 13, 68165 Mannheim, Deutschland
E-Mail: hello@backtoctrl.com

2. Das Wichtigste in Kürze

Diese Website setzt keine Tracking-Cookies und keine Werbe-Tracker ein.
Wir erheben nur Daten, die du uns aktiv gibst (z. B. deine E-Mail-Adresse für die Warteliste).
Beim Aufruf der Website fallen technisch bedingt Server-Logdaten an (siehe Ziffer 3).

3. Hosting und Server-Logdaten

Diese Website wird als statische Website gehostet. Beim Aufruf verarbeitet der Hosting-Anbieter automatisch Informationen in sogenannten Server-Logfiles, die dein Browser übermittelt: IP-Adresse, Datum und Uhrzeit der Anfrage, aufgerufene Seite, Browsertyp und -version, Betriebssystem, Referrer-URL. Diese Daten sind technisch erforderlich, um die Website auszuliefern und die Stabilität und Sicherheit zu gewährleisten (Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse). Eine Zusammenführung mit anderen Datenquellen findet nicht statt.

Unsere Website wird bei Cloudflare (Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA) gehostet; die Server-Logfiles fallen dort an. Cloudflare kann Daten in die USA übermitteln. Als Grundlage für diesen Drittlandtransfer dienen die EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO; Cloudflare ist zudem unter dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO).

4. Warteliste (E-Mail-Anmeldung)

Wenn du dich auf unsere Warteliste einträgst, verarbeiten wir deine E-Mail-Adresse, um dich über den Launch und die Verfügbarkeit des ctrl key zu informieren. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst diese Einwilligung jederzeit widerrufen — jede E-Mail enthält eine Abmeldemöglichkeit, oder du schreibst uns formlos an hello@backtoctrl.com. Für die Warteliste sowie den Versand unserer Bestätigungs-, Launch- und Update-E-Mails nutzen wir Klaviyo (Klaviyo, Inc., 125 Summer Street, Boston, MA 02110, USA) als Auftragsverarbeiter. Deine E-Mail-Adresse wird dort gespeichert und für den Versand verarbeitet. Klaviyo kann Daten in die USA übermitteln; Grundlage dieses Drittlandtransfers sind die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO); Klaviyo ist zudem unter dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO). Die Daten werden nach Zweckerfüllung oder Widerruf deiner Einwilligung gelöscht und nicht zu Werbezwecken an Dritte weitergegeben.

Zum Schutz des Formulars vor automatisierten und missbräuchlichen Einträgen verwenden wir Cloudflare Turnstile. Dabei bewertet Cloudflare technische Verbindungs- und Browsermerkmale, um zu unterscheiden, ob die Anfrage wahrscheinlich von einem Menschen stammt. Die Prüfung dient ausschließlich der Sicherheit der Warteliste und nicht der Werbung oder Reichweitenmessung. Rechtsgrundlage ist unser berechtigtes Interesse am Schutz des Dienstes (Art. 6 Abs. 1 lit. f DSGVO). Weitere Informationen stehen in der Datenschutzerklärung von Cloudflare und im Cloudflare Data Processing Addendum.

5. Kontakt per E-Mail

Wenn du uns per E-Mail kontaktierst, verarbeiten wir deine Angaben zur Bearbeitung der Anfrage (Art. 6 Abs. 1 lit. b bzw. f DSGVO). Die Daten werden gelöscht, sobald sie für die Bearbeitung nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten bestehen.

6. Bestellungen und Bezahlung

Sobald du in unserem Shop bestellst, verarbeiten wir die für die Vertragsabwicklung erforderlichen Daten (Name, Anschrift, E-Mail, Bestelldaten) auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Die Zahlungsabwicklung erfolgt über Stripe (Stripe Payments Europe Ltd., Irland). Deine Zahlungsdaten (z. B. Kartendaten) werden direkt von Stripe erhoben und verarbeitet — wir erhalten und speichern keine vollständigen Zahlungsdaten. Weitere Informationen: stripe.com/de/privacy. Für den Versand geben wir deine Lieferdaten an das beauftragte Versandunternehmen (z. B. DHL) weiter. Rechnungs- und Buchungsdaten bewahren wir gemäß den gesetzlichen Fristen (§ 147 AO: bis zu 10 Jahre) auf.

7. Die ctrl App (iPhone)

Dieser Abschnitt gilt für unsere iOS-App „ctrl". Sie ist so gebaut, dass so wenig wie möglich das Gerät verlässt.

7.1 Was das Handy nie verlässt

Diese Daten werden ausschließlich lokal auf deinem iPhone verarbeitet und nicht an uns übertragen: deine Bildschirmzeit-Daten aus Apples Screen Time (welche App wie lange), die Auswahl der gesperrten Apps und Websites, deine Modi, Zeitpläne und Sperr-Einstellungen, Gesundheitsdaten aus Apple Health (Puls, Herzfrequenzvariabilität, Schritte) sowie ein optional gesetztes Profilbild. Apples Erweiterungen für Bildschirmzeit haben technisch keinen Netzwerkzugriff.

7.2 Konto (freiwillig)

Die Sperr-Funktion der App funktioniert ohne Konto. Für Freunde-Funktionen („Connect"), Familie und die Sicherung deiner Erfolge kannst du ein Konto anlegen. Je nach gewähltem Weg verarbeiten wir: E-Mail-Adresse und Passwort (als Hashwert), Telefonnummer, deinen Anzeigenamen sowie eine Kennung von Apple oder Google, wenn du dich damit anmeldest. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Bei der Anmeldung mit Telefonnummer senden wir dir eine SMS mit einem Bestätigungscode über den Dienstleister seven.io (seven communications GmbH & Co. KG, Deutschland) als Auftragsverarbeiter. Bei der Anmeldung mit Google erfolgt ein Austausch von Anmeldecodes mit Google; dabei werden keine Nutzungsdaten übertragen. Bei „Mit Apple anmelden" gelten Apples Datenschutzbestimmungen.

7.3 Was mit Konto übertragen wird

Mit aktivem Konto überträgt die App an unseren Server: deinen Sperr-Zustand (ob gerade gesperrt ist oder nicht) für die Anzeige „wie viele sind gerade in ctrl" und für die gemeinsame Zeit mit Freunden, sowie einen Gerätekennungs-Token von Apple, wenn du Mitteilungen erlaubt hast.

Wenn du den Schalter „Mit Account syncen" einschaltest, kommen hinzu: deine Serie (Streak), deine Siege, deine ctrl-Zeit von heute und dieser Woche sowie ein daraus berechneter Wochen-Score (ein Wert zwischen 0 und 100). Außerdem deine Einstellungen, damit ein neues Gerät da weitermacht, wo du aufgehört hast: deine Modes (Name, Symbol, Strenge, Zeitfenster), Zeitpläne, der Schlafmodus, Wecker-Zeiten und Anzeige-Einstellungen. Nicht übertragen werden die zugrundeliegenden Bildschirmzeit- und Gesundheitsdaten sowie die Auswahl, welche konkreten Apps ein Mode sperrt: Diese Auswahl liegt als anonymes Apple-Token nur auf deinem Gerät; auch wir können daraus nicht ablesen, welche Apps du gewählt hast.

Weitere Übertragungen erfolgen nur, wenn du die jeweilige Funktion aktiv nutzt: Fortschritt bei Challenges, denen du beigetreten bist; deine Sichtbarkeits-Einstellungen je Freund; ein selbstgewähltes Pseudonym, wenn du der öffentlichen Liste beitrittst; der Sperr-Zustand für den Geräte-Verbund, wenn du mehrere eigene Geräte koppelst.

7.4 Freunde aus Kontakten finden (freiwillig)

Wenn du diese Funktion nutzt, werden die Telefonnummern aus deinem Adressbuch auf deinem Gerät in nicht rückrechenbare Prüfwerte (SHA-256-Hashes) umgewandelt. Nur diese Prüfwerte werden übertragen und dort mit den Prüfwerten anderer Nutzerinnen und Nutzer verglichen. Namen und Telefonnummern deiner Kontakte verlassen dein Gerät nicht; Nicht-Treffer werden nicht gespeichert. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); du kannst den Schritt überspringen und die Funktion jederzeit abschalten.

7.5 Familie und Kinder-Geräte

Richtest du eine Familie ein, verarbeiten wir die Zugehörigkeit der Mitglieder, ihre Rolle (Elternteil oder Kind) und den Verwaltungsstatus eines gekoppelten Kinder-Geräts, damit vereinbarte Sperr-Zeiten wirken können. Die Einrichtung eines Kinder-Geräts erfolgt ausdrücklich durch einen Erziehungsberechtigten. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) sowie die Einwilligung des Erziehungsberechtigten (Art. 8 DSGVO).

7.6 Käufe in der App

Das Abonnement „ctrl club" wird ausschließlich über Apples In-App-Kauf abgewickelt. Deine Zahlungsdaten verarbeitet Apple; wir erhalten sie nicht. Wir speichern lediglich, ob ein aktives Abonnement besteht.

7.7 Wo die Daten liegen

Unsere App-Server stehen in Deutschland (Hetzner Online GmbH, Rechenzentrum Nürnberg). Es findet keine Übermittlung in Drittländer statt, ausgenommen die oben genannten Anmeldedienste von Apple und Google sowie Apples Kaufabwicklung.

7.8 Löschen

Du kannst dein Konto jederzeit direkt in der App löschen (System → Account → Account löschen). Damit werden deine Konto- und Synchronisationsdaten auf unseren Servern entfernt. Deine lokalen Einstellungen bleiben auf dem Gerät und verschwinden, wenn du die App löschst.

7.9 Kein Tracking, keine Werbung

Die App enthält keine Werbe-Netzwerke, keine Analyse-Dienste Dritter und kein geräteübergreifendes Tracking. Es wird keine Werbe-Kennung (IDFA) verwendet; daher erscheint auch keine Tracking-Abfrage.

8. Deine Rechte

Du hast gegenüber uns folgende Rechte hinsichtlich deiner personenbezogenen Daten:

Recht auf Auskunft (Art. 15 DSGVO)
Recht auf Berichtigung (Art. 16 DSGVO)
Recht auf Löschung (Art. 17 DSGVO)
Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
Widerspruchsrecht gegen Verarbeitungen auf Basis berechtigter Interessen (Art. 21 DSGVO)
Recht, eine erteilte Einwilligung jederzeit zu widerrufen (Art. 7 Abs. 3 DSGVO)

Außerdem hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO).