Deutsch

Datenschutzhinweise

Diese Hinweise beschreiben die Verarbeitung beim Betrieb von PhantomLink und auf diesen Informationsseiten.

Verantwortlicher und Kontakt

Fatih Karabacak
fatih-kara58@t-online.de

Für Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit oder Widerspruch gegen eine auf berechtigten Interessen beruhende Verarbeitung kannst du diese Adresse nutzen. Die jeweiligen gesetzlichen Voraussetzungen gelten. Du kannst dich außerdem bei einer Datenschutzaufsichtsbehörde beschweren.

Gerätefreigabe und Kontakte

PhantomLink ist ein geschlossener Kommunikationsdienst. Das Gerät erzeugt seine Schlüssel lokal. Für eine Freigabe verarbeitet der Server Gerätekennungen, öffentliche Schlüssel, den von dir angegebenen Anfragenamen sowie Antrags-, Freigabe- und Widerrufsdaten. Berechtigte Administratoren können Geräteanfragen prüfen. Dein angegebener Name ist keine automatisch verifizierte Identität.

PhantomLink-Kontaktanfragen, angegebene Kontaktnamen, Sender- und Empfängerkennungen sowie Entscheidungen über Anfragen bilden Kontaktbeziehungen auf dem Server ab. Die App importiert nicht dein iOS-Systemadressbuch.

Diese Daten dienen der Bereitstellung des angefragten Zugangs und der Kommunikation (Art. 6 Abs. 1 Buchst. b DSGVO). Sicherheits- und Widerrufsnachweise dienen außerdem dem Schutz des geschlossenen Dienstes und der Verhinderung unberechtigter Zugriffe (Art. 6 Abs. 1 Buchst. f DSGVO).

Nachrichten, Bilder, Audio und weitere Dateien

Die App verschlüsselt Nachrichten und ausgewählte Medien oder Dateien auf dem Gerät vor dem Versand. Die privaten Nachrichtenschlüssel werden nicht zur Entschlüsselung an den Relay-Server übertragen. Für die Zustellung verarbeitet der Server dennoch lesbare Metadaten: unter anderem Sender- und Empfängerkennungen, Zeitangaben, Dateitypen, Dateinamen und Größen. Empfänger können erhaltene Inhalte auf ihren eigenen Geräten speichern oder weitergeben.

Ausstehende Nachrichten und verschlüsselte Mediendateien haben im laufenden Zustelldienst eine Gültigkeit von bis zu 24 Stunden. Medien können nach einer abgeschlossenen Übertragung früher vom Relay entfernt werden. Diese Zustellfrist ist keine Zusage, dass alle Metadaten, Sicherungskopien oder Kopien auf Empfängergeräten zu diesem Zeitpunkt gelöscht sind.

Auch die Gültigkeit einer Geräteanfrage ist von der Aufbewahrung der Daten zu unterscheiden. Angegebene Namen können bis zu einer späteren Bereinigung bestehen bleiben. Persistierte Kontaktanfragen, Freigaben und Widerrufe fallen nicht unter eine allgemeine 24-Stunden-Löschfrist.

Audioanrufe und Benachrichtigungen

Audioanrufe verwenden WebRTC und die PhantomLink-Verbindungsserver. Dabei können Netzwerkadressen, Teilnehmer- und Anrufkennungen, Verbindungszeiten und übertragene Datenmengen verarbeitet werden. Die App bietet keine Aufnahme- oder Archivfunktion für Gesprächsaudio.

Push-Benachrichtigungen werden über Apple Push Notification service (APNs) zugestellt. Dafür werden gerätebezogene Push-Tokens und Zustellinformationen verarbeitet. Normale Benachrichtigungen enthalten keinen Nachrichtentext. Anrufbenachrichtigungen enthalten technische Anruf- und Gerätekennungen.

Lokale Daten und Berechtigungen

Identitätsschlüssel werden lokal in der Keychain gespeichert. Kontakte, Nachrichten und Medien liegen auf dem Gerät; bei einer Datenmigration wird eine geschützte lokale Sicherung angelegt. Mikrofon und Kamera werden erst nach Systemfreigabe verwendet. Die Fotoauswahl erfolgt über die Systemauswahl. Es wird nicht automatisch dein gesamtes Fotoalbum übertragen. Du kannst erteilte Berechtigungen in den Geräteeinstellungen ändern.

Eine persönliche Bestätigung mit Face ID, Touch ID oder Gerätecode erfolgt über das Betriebssystem. Die App erhält keine biometrische Vorlage.

Hosting, E-Mail und weitere Dienstleister

Die PhantomLink-Serverinfrastruktur wird bei Hetzner betrieben. Apple stellt Betriebssystem-, App-Store- und Push-Dienste bereit und kann dabei Daten nach seinen eigenen Datenschutzhinweisen verarbeiten.

Wenn du per E-Mail Kontakt aufnimmst, werden deine Nachricht, Absenderdaten und von dir beigefügte Inhalte über die beteiligten E-Mail-Anbieter verarbeitet, um dein Anliegen zu bearbeiten. E-Mail ist nicht der verschlüsselte PhantomLink-Chatkanal. Für Supportnachrichten besteht derzeit keine im Produkt implementierte automatische Aufbewahrungsfrist.

Datenschutzhinweise der Anbieter: Apple · Hetzner.

Technische Betriebsdaten

Für Verbindungen und den Schutz vor Missbrauch werden technische Daten wie IP-Adressen verarbeitet. Die PhantomLink-API und diese Informationsseiten schreiben nach der geprüften Konfiguration keine gewöhnlichen Nginx-Zugriffsprotokolle. Technische Fehler können dennoch im Nginx-Fehlerprotokoll erscheinen. Dieses wird täglich rotiert und mit 14 Rotationen verwaltet.

TURN-Verbindungsdienste und der App-Dienst können Betriebsinformationen im Systemjournal vorhalten. Dafür ist keine feste maximale Aufbewahrungsdauer konfiguriert. Auch eine Logrotation ist keine Garantie, dass sämtliche technischen Daten nach 14 Tagen gelöscht sind. Zusätzlich aktivierte Debugprotokolle können Gerätekennungen und Ereignisse enthalten. Die Protokolle dienen dem Betrieb und der Sicherheit, nicht einer in der App eingebauten Werbe- oder Analyseauswertung.

Aufbewahrung und Löschen

Zulassungs-, Widerrufs- und Sicherheitsdaten werden getrennt von verschlüsselten Nachrichten verarbeitet. Sie bleiben bestehen, soweit sie für den aktiven Zugang, die Verhinderung einer erneuten Nutzung widerrufener Berechtigungen oder die Klärung von Sicherheitsvorfällen erforderlich sind. Für diese Daten besteht derzeit keine automatische einheitliche Löschfrist. Sicherungskopien für Migration und Wiederherstellung werden getrennt verwaltet und sind nicht durch die 24-Stunden-Zustellfrist abgedeckt.

Die Funktion „Identität zurücksetzen“ widerruft die bisherige Berechtigung, bereinigt den lokalen Chat- und Kontaktbestand und legt eine neue Identität an. Sie ist keine vollständige automatische Löschung sämtlicher Serverdaten oder Sicherungen. Ab Build 15 stellst du deinen Löschauftrag mit „Zugang und Daten löschen“ direkt in der App. Der vom Server angenommene Auftrag erfasst auch die Bearbeitung zugehöriger Betreibersicherungen.

Betreibersicherungen mit den zu löschenden Daten werden spätestens 30 Tage nach Annahme deiner In-App-Löschanfrage durch den Server bereinigt oder entfernt. Der Betreiber führt diese gesonderte Bearbeitung manuell durch und dokumentiert ihren tatsächlichen Abschluss. Eine zusätzliche E-Mail oder Kontaktaufnahme ist für die Bearbeitung nicht erforderlich und verschiebt den Fristbeginn nicht.

Die App bestätigt die lokale und aktive Serverbereinigung getrennt; sie bestätigt den Abschluss der Betreibersicherungen derzeit nicht automatisch. Der Betreiber teilt den tatsächlichen Abschluss über einen bereits vorhandenen berechtigten persönlichen Kontaktweg mit, soweit ein solcher besteht. Ein fehlender Kontaktweg verzögert weder die Bearbeitung noch die 30-Tage-Frist. Für Rückfragen zum Stand kannst du den Betreiber freiwillig kontaktieren.

Blockieren und Missbrauch melden

Ab Build 15 werden Blockierungen mit den beteiligten Gerätekennungen, der Richtung und einer Revisionsnummer lokal und auf dem Server gespeichert. Sie bleiben bis zur Aufhebung oder einer passenden Löschung bestehen. Eine Sperre verhindert neue Kommunikationsaufträge; bereits erhaltene Daten oder begonnene Übertragungen werden nicht zurückgeholt.

Eine freiwillige Missbrauchsmeldung enthält deinen Bericht, die öffentliche Gerätekennung des gemeldeten Kontakts und beim E-Mail-Versand deine Absenderdaten. Die App hängt keine Chats, Medien oder Schlüssel automatisch an. Erst deine Bestätigung im E-Mail-Programm versendet die Meldung. Für E-Mail gelten die oben beschriebenen gesonderten Verarbeitungs- und Aufbewahrungsgrenzen.

Eigene Löschung ab Build 15

„Zugang und Daten löschen“ ist ein eigener Vorgang und nicht „Identität zurücksetzen“. Nach deiner ausdrücklichen Bestätigung wird ein nachweisgebundener Löschauftrag erstellt. Ein angenommener Serverauftrag widerruft die betreffende Berechtigung. Die App bereinigt ihre eigenen lokalen Kontakte, Chats, Medien, Schlüssel und Migrationssicherungen. Offene Schritte lassen sich nach einer Unterbrechung fortsetzen. Es entsteht nicht automatisch eine neue Identität.

Die App unterscheidet lokale Bereinigung und aktive Serverbereinigung. Nach erfolgreicher aktiver Serverbereinigung werden eigene aktive Zustell-, Token-, Antrags- und zugeordnete Daten entfernt oder auf notwendige Schutzbelege reduziert. Betreibersicherungen und externe Betriebsprotokolle sind damit nicht automatisch gelöscht.

Minimale Lösch- und Wiederaufnahmenachweise, gesperrte Identifikator- oder Schlüsselhashes sowie Schutz gegen wiederholte Nutzung alter Freigaben können bestehen bleiben. Solche Hashes sind nicht als anonym zu verstehen. Die 30-Tage-Frist für Betreibersicherungen ist keine pauschale Löschfrist für diese minimal notwendigen Schutzbelege. Sie bleiben nur bestehen, soweit sie für die Verhinderung einer erneuten Nutzung gelöschter oder widerrufener Berechtigungen und für Lösch- oder Wiederaufnahmebelege erforderlich sind; die Erforderlichkeit wird gesondert geprüft. Für sie besteht derzeit keine einheitliche automatische Löschfrist. Die oben beschriebenen Betriebsprotokolle werden gesondert behandelt; für sie wird hier keine allgemeine 30-Tage-Frist zugesagt. Abhängige Freigaben können ungültig werden; die vollständige Löschung anderer Geräte wird dadurch nicht zugesagt.

Für Auskunft, nicht erreichbare Geräte, weitere Löschung und offene Sicherungen kannst du den Betreiber kontaktieren. Erforderliche Sicherheitsnachweise und gesetzliche Aufbewahrungsgründe werden gesondert geprüft. Daten auf Empfängergeräten kann der Betreiber nicht entfernen. Es wird keine sichere physische Überschreibung aller Speichermedien zugesagt.

Diese Informationsseiten

Diese Seiten verwenden keine Analyse-, Werbe- oder Social-Media-Einbettungen und setzen keine Cookies. Bei ihrem Abruf werden die für die HTTPS-Verbindung notwendigen technischen Daten, etwa die IP-Adresse, verarbeitet. Technische Fehler können in Serverprotokollen erscheinen. Externe Seiten werden erst aufgerufen, wenn du einen Link auswählst.

Änderungen

Wenn sich Funktionen oder Datenverarbeitung ändern, werden diese Hinweise angepasst. Stand: 11. September 2026.

Read in English

English

Privacy notice

This notice describes data processing when operating PhantomLink and these information pages.

Responsible operator and contact

Fatih Karabacak
fatih-kara58@t-online.de

Use this address to request access, correction, deletion, restriction or portability of your data, or to object to processing based on legitimate interests. The applicable legal conditions apply. You may also lodge a complaint with a data protection supervisory authority.

Device approval and contacts

PhantomLink is a closed communication service. The device generates its keys locally. To approve access, the server processes device identifiers, public keys, the request name you provide, and records of requests, approvals and revocations. Authorized administrators can review device requests. The name you provide is not an automatically verified identity.

PhantomLink contact requests, provided contact names, sender and recipient identifiers, and decisions on requests record contact relationships on the server. The app does not import your iOS system address book.

These data are used to provide the access and communication you request (Article 6(1)(b) GDPR). Security and revocation records also protect the closed service and prevent unauthorized access (Article 6(1)(f) GDPR).

Messages, images, audio and other files

The app encrypts messages and selected media or files on the device before sending them. Private message keys are not sent to the relay server for decryption. The server still processes readable delivery metadata, including sender and recipient identifiers, times, file types, file names and sizes. Recipients can save or share received content on their own devices.

Pending messages and encrypted media files are valid for delivery for up to 24 hours. Media may be removed from the relay earlier after a completed transfer. This delivery period does not mean that all metadata, backups or copies on recipients’ devices are deleted at that time.

The validity period of a device request is also separate from data retention. Provided names may remain until a later cleanup. Persisted contact requests, approvals and revocations are not subject to a general 24-hour deletion period.

Audio calls and notifications

Audio calls use WebRTC and PhantomLink connection servers. Network addresses, participant and call identifiers, connection times and transferred data volumes may be processed. The app does not provide a recording or archive feature for call audio.

Push notifications are delivered through Apple Push Notification service (APNs). Device-related push tokens and delivery information are processed for this purpose. Regular notifications do not contain message text. Call notifications contain technical call and device identifiers.

Local data and permissions

Identity keys are stored locally in the Keychain. Contacts, messages and media are stored on the device; a protected local backup is created during data migration. Microphone and camera access require system permission. Photos are chosen through the system picker. Your entire photo library is not uploaded automatically. You can change granted permissions in the device settings.

Personal confirmation with Face ID, Touch ID or the device passcode is handled by the operating system. The app does not receive a biometric template.

Hosting, email and other providers

PhantomLink server infrastructure is hosted by Hetzner. Apple provides operating system, App Store and push services and may process data under its own privacy notices.

When you contact support by email, your message, sender details and any content you attach are processed through the email providers involved to handle your request. Email is not the encrypted PhantomLink chat channel. Support messages currently have no automatic retention period implemented by the product.

Provider privacy notices: Apple · Hetzner.

Technical operating data

Technical data such as IP addresses are processed to establish connections and protect against misuse. Under the reviewed configuration, the PhantomLink API and these information pages do not write ordinary Nginx access logs. Technical errors may still appear in the Nginx error log, which is rotated daily with 14 rotations retained.

TURN connection services and the app service may keep operating information in the system journal. No fixed maximum retention period is configured for that journal. Log rotation also does not guarantee that all technical data is deleted after 14 days. Additional debug logging, if enabled, may contain device identifiers and events. Logs support operation and security, rather than advertising or analytics built into the app.

Retention and deletion

Access, revocation and security records are processed separately from encrypted messages. They remain as needed for active access, preventing reuse of revoked authorizations or investigating security incidents. There is currently no single automatic deletion period for these records. Migration and recovery backups are managed separately and are not covered by the 24-hour delivery period.

The “Reset identity” feature revokes the previous authorization, clears local chat and contact records, and creates a new identity. It does not automatically delete every server record or backup. From Build 15, submit your deletion request directly in the app using “Delete access and data”. A request accepted by the server also covers handling of associated operator backups.

Operator backups containing the data to be deleted are cleared or removed no later than 30 days after the server accepts your in-app deletion request. The operator handles this separate step manually and records its actual completion. No additional email or contact is required for processing, and contacting the operator does not change when the period starts.

The app confirms local cleanup and live server cleanup separately; it does not currently confirm completion of operator backups automatically. The operator communicates actual completion through an existing authorized personal contact channel, where one is available. The absence of such a channel delays neither processing nor the 30-day deadline. You may voluntarily contact the operator to ask about progress.

Blocking and abuse reports

From Build 15, blocks are stored locally and on the server with the device identifiers involved, their direction and a revision number. They remain until unblocked or removed by an applicable deletion. Blocking prevents new communication requests; it does not retrieve data already received or undo transfers already in progress.

A voluntary abuse report contains your description, the reported contact’s public device identifier and your sender details when sent by email. The app does not attach chats, media or keys automatically. The report is sent only after you confirm it in your email application. The separate email processing and retention limits described above apply.

Own deletion from Build 15

“Delete access and data” is a separate action from “Reset identity”. After your explicit confirmation, a proof-bound deletion request is created. An accepted server request revokes the affected authorization. The app clears its own local contacts, chats, media, keys and migration backups. Pending steps can resume after an interruption. A new identity is not created automatically.

The app distinguishes local cleanup from live server cleanup. After successful live server cleanup, the device’s own active delivery, token, request and associated records are removed or reduced to necessary protection records. Operator backups and external operating logs are not automatically deleted by this process.

Minimal deletion and recovery records, blocked identifier or key hashes, and safeguards against reusing old authorizations may remain. Such hashes are not treated as anonymous. The 30-day period for operator backups is not a blanket deletion period for these minimal necessary protection records. They remain only as needed to prevent reuse of deleted or revoked authorizations and to retain deletion or recovery evidence; their necessity is reviewed separately. They currently have no single automatic deletion period. The operating logs described above are handled separately; this notice does not promise a general 30-day period for those logs. Dependent authorizations may become invalid; this does not promise complete deletion of other devices.

Contact the operator for access to your data, unreachable devices, further deletion or outstanding backups. Necessary security records and legal retention requirements are reviewed separately. The operator cannot remove copies on recipients’ devices. Secure physical overwriting of all storage media is not promised.

These information pages

These pages use no analytics, advertising or embedded social media and set no cookies. Technical data needed for the HTTPS connection, such as your IP address, is processed when you open them. Technical errors may appear in server logs. External sites are opened only when you select a link.

Changes

This notice will be updated when features or data processing change. Last updated: 11 September 2026.

Auf Deutsch lesen