Datenschutzerklärung – Papyr

Stand: 25.06.2026

Diese Datenschutzerklärung gilt für die iOS-App Papyr sowie für die zugehörige Website https://usepapyr.app. Sie informiert gemäß Art. 13/14 DSGVO über die Verarbeitung personenbezogener Daten.

1. Verantwortlicher

Marcel Rückert
Schillerring 20
65795 Hattersheim am Main, Deutschland
E-Mail: privacy@usepapyr.app

Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen (Art. 37 DSGVO, § 38 BDSG) nicht vorliegen.

2. Grundprinzip: Verarbeitung primär auf dem Gerät

Papyr ist als „on-device”-Anwendung konzipiert. Gescannte Dokumente, der per Texterkennung (OCR) extrahierte Inhalt sowie Kategorisierungen werden ausschließlich lokal auf deinem Gerät verarbeitet und gespeichert. Diese Inhalte verlassen dein Gerät nur dann, wenn du die iCloud-Synchronisation aktivierst – und in diesem Fall ausschließlich in deinen eigenen, von Apple verschlüsselten iCloud-Speicher. Wir als Verantwortlicher erhalten zu keinem Zeitpunkt Zugriff auf die Inhalte deiner Dokumente.

An externe Dienste übermitteln wir nur die unter Ziffer 4 und 5 beschriebenen technischen Nutzungs- und Fehlerdaten.

3. Verarbeitung in der App

3.1 Lokale Speicherung auf dem Gerät

Daten: Dokument-Scans (Bilder/PDF), per OCR erkannter Text, Metadaten (Kategorie, Datum, Tags), App-Einstellungen.
Zweck: Bereitstellung der Kernfunktion (Erfassen, Lesen, Kategorisieren, Durchsuchen, Archivieren von Dokumenten).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags). Da die Verarbeitung lokal erfolgt, fließen diese Daten nicht an uns ab.
Speicherdauer: bis zur Löschung durch dich bzw. Deinstallation der App.

3.2 Texterkennung (OCR)

Die Texterkennung erfolgt über die Apple-eigenen, gerätelokalen Frameworks (VisionKit/Vision). Die Bildinhalte werden hierfür nicht an Server übertragen.

3.3 iCloud-Synchronisation (optional)

Aktivierst du die Synchronisation, speichert Papyr deine Dokumente in der privaten CloudKit-Datenbank deines iCloud-Kontos. Anbieter und Verarbeiter dieses Speichers ist Apple; die Daten unterliegen Apples Datenschutzbestimmungen und Verschlüsselung. Wir haben keinen Zugriff auf diese Daten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (von dir angeforderte Funktion).
Hinweis: Verantwortlich für den iCloud-Dienst ist Apple Inc. / Apple Distribution International Ltd. (Irland). Datenschutzinformationen von Apple: https://www.apple.com/legal/privacy/.

4. Analyse- und Fehlerdiagnose in der App (PostHog)

Zur Verbesserung der App und zur Behebung technischer Fehler setzen wir PostHog ein.

Zwecke:

Crash-Analytics: Erkennung und Diagnose von Abstürzen (Stacktraces, Fehlermeldungen).
Feature-Analytics: pseudonyme Nutzungsstatistik (welche Funktionen/Ansichten genutzt werden).

Verarbeitete Daten: pseudonyme Installations-/Geräte-ID, App-Version, Betriebssystemversion, Gerätetyp, Sprache, ungefähre Region (aus der IP-Adresse abgeleitet, die IP wird anschließend nicht dauerhaft gespeichert), Ereignis-/Interaktionsdaten (z. B. „Scan gestartet”, „Kategorie geändert”) sowie Absturzberichte.
Nicht verarbeitet: Inhalte deiner Dokumente, OCR-Texte, Bilder oder Dateinamen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO – deine Einwilligung, die du beim ersten Start bzw. in den App-Einstellungen erteilst (Opt-in). Du kannst sie jederzeit mit Wirkung für die Zukunft über die App-Einstellungen widerrufen; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt. Ohne Einwilligung bleibt die App vollständig nutzbar.

Auftragsverarbeitung: PostHog verarbeitet diese Daten als Auftragsverarbeiter auf Grundlage eines Vertrags nach Art. 28 DSGVO.
Anbieter / Hosting: PostHog – EU Cloud, gehostet in Frankfurt am Main, Deutschland. Es findet keine Datenübermittlung in ein Drittland statt.
Speicherdauer: 12 Monate, danach Löschung oder Anonymisierung.

App Tracking Transparency: Papyr nutzt diese Daten ausschließlich first-party zur eigenen Produktverbesserung und teilt sie nicht mit Datenbrokern oder zu app-übergreifendem Tracking.

5. Website (usepapyr.app)

5.1 Hosting und Server-Logfiles

Die Website wird über Cloudflare Pages (Anbieter: Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA) gehostet und ausgeliefert. Beim Aufruf verarbeitet Cloudflare technisch notwendige Daten (IP-Adresse, Datum/Uhrzeit, abgerufene Ressource, Referrer, User-Agent) in Server-/Edge-Logfiles.
Zweck: Auslieferung der Seite, Sicherheit (u. a. Schutz vor Angriffen) und Stabilität.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren, performanten Betrieb).
Auftragsverarbeitung / Drittland: Es besteht ein Vertrag nach Art. 28 DSGVO (Cloudflare-DPA). Da Cloudflare, Inc. ein US-Unternehmen ist, findet eine Übermittlung in die USA (Drittland) statt. Grundlage sind die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) sowie die Zertifizierung von Cloudflare unter dem EU-US Data Privacy Framework (Art. 45 DSGVO). Trotz dieser Garantien besteht in den USA nicht in jeder Hinsicht ein dem EU-Recht entsprechendes Datenschutzniveau, insbesondere hinsichtlich behördlicher Zugriffsmöglichkeiten.
Speicherdauer: max. 30 Tage.

5.2 Reichweitenmessung mit PostHog (cookiefrei)

Die Website nutzt PostHog zur Reichweiten- und Fehleranalyse in einer cookiefreien Konfiguration (Modus persistence: 'memory'). Es werden keine Cookies gesetzt und keine Informationen in deinem Endgerät gespeichert oder ausgelesen. Verarbeitet werden pseudonyme Ereignisdaten (aufgerufene Seiten, ungefähre Region aus der IP, Browser-/Gerätetyp) ohne dauerhafte Speicherung der vollständigen IP-Adresse. Hosting: PostHog EU Cloud, Frankfurt am Main.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer datensparsamen, anonymen Reichweitenmessung). Da im Memory-Modus keine Informationen auf dem Endgerät gespeichert oder abgerufen werden, ist § 25 TDDDG nicht einschlägig; eine Einwilligung ist nicht erforderlich.
Widerspruchsrecht: Du kannst der Verarbeitung jederzeit gem. Art. 21 DSGVO widersprechen; ein „Global Privacy Control”-/Do-Not-Track-Signal deines Browsers respektieren wir.

6. Empfänger und Drittlandübermittlungen (Übersicht)

Apple (iCloud/CloudKit) – nur bei aktivierter Synchronisation; eigenständig Verantwortlicher/Verarbeiter (Apple Distribution International Ltd., Irland).
PostHog – Auftragsverarbeiter für Analyse/Fehlerdiagnose; Hosting EU (Frankfurt), keine Drittlandübermittlung.
Cloudflare, Inc. – Auftragsverarbeiter für Hosting und Auslieferung der Website; Übermittlung in die USA, abgesichert durch EU-Standardvertragsklauseln und das EU-US Data Privacy Framework.

Die Übermittlung an Cloudflare in die USA ist durch Standardvertragsklauseln und die DPF-Zertifizierung abgesichert; eine darüber hinausgehende Weitergabe oder ein Verkauf personenbezogener Daten erfolgt nicht.

7. Deine Rechte

Dir stehen zu: Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch (Art. 21) gegen Verarbeitungen auf Grundlage berechtigter Interessen. Erteilte Einwilligungen kannst du jederzeit widerrufen (Art. 7 Abs. 3). Zur Ausübung genügt eine Nachricht an privacy@usepapyr.app.

8. Beschwerderecht

Du hast das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere am Ort deines Aufenthalts oder unseres Sitzes. Zuständige Behörde für uns: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI), Postfach 3163, 65021 Wiesbaden.

9. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung oder ein Profiling im Sinne des Art. 22 DSGVO findet nicht statt. Die Kategorisierung von Dokumenten erfolgt lokal und dient ausschließlich deiner Organisation.

10. Pflicht zur Bereitstellung

Die Bereitstellung der App-Daten ist zur Nutzung erforderlich; die Analyse-/Diagnosedaten sind freiwillig (Einwilligung).

11. Änderungen

Wir passen diese Erklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert. Maßgeblich ist die jeweils hier veröffentlichte Fassung.