Datenschutzerklärung für WWWveilig Authenticator

Zuletzt aktualisiert: 3. November 2026

Dies ist eine Übersetzung der niederländischen Datenschutzerklärung. Weichen die beiden Fassungen voneinander ab, gilt die niederländische Fassung.

Wer verantwortlich ist

Die App und die API unter api.wwwveilig.nl sind ein Dienst von WWWveilig, einem Teil von EVweb BV. EVweb BV ist für die Verarbeitung personenbezogener Daten durch die App und die API verantwortlich.

EVweb BV / Centerdesk / WWWveilig
Bijlestaal 44M
1721 PW Broek op Langedijk
Niederlande

Fragen zu dieser Erklärung oder zu Ihren Daten? Schreiben Sie an privacy@wwwveilig.nl.

Was nur auf Ihrem Smartphone bleibt

Die geheimen Schlüssel, mit denen Ihre sechsstelligen Codes berechnet werden. Sie liegen im sicheren Speicher des Betriebssystems (iOS Keychain, Android Keystore) und werden nur auf dem Gerät verwendet. Ein Code wird offline erzeugt, dabei wird nichts versendet.
Die Adresse der API, zu der Ihre Konten gehören.

Die App selbst hat kein Konto. Es gibt keinen Benutzernamen, kein Passwort und keine Registrierung.

Was die API speichert

Wenn eine Anwendung Ihr Smartphone als zweiten Faktor verknüpft, speichert der Dienst:

Eine Benutzerkennung dieser Anwendung: um zu wissen, zu welchem ihrer Benutzer dieses Smartphone gehört. Es ist die eigene Kennung dieser Anwendung, nicht Ihr Name.
Eine optionale Bezeichnung (oft Ihre E-Mail-Adresse): damit Sie Ihre Konten in der App auseinanderhalten können. Sie stammt von der Anwendung, nicht von uns.
Eine verschlüsselte Kopie des geheimen Schlüssels: um die Codes zu prüfen, die Sie eingeben. Verschlüsselt gespeichert.
Name, Plattform und App-Version Ihres Geräts: damit Sie Ihr Smartphone wiedererkennen und wir es unterstützen können.
Ein Token für Push-Benachrichtigungen: um Bestätigungsanfragen an Ihr Smartphone zuzustellen.
Für jede Anmeldeanfrage: Zeitpunkt, Status, IP-Adresse und gegebenenfalls ein Standorttext, den die Anwendung mitgeschickt hat: um Ihnen zu zeigen, woher eine Anfrage kam, und als Sicherheitsnachweis.

Wir führen ein Sicherheitsprotokoll über Ereignisse wie „Code geprüft“, „Anfrage bestätigt“ und „Verknüpfung widerrufen“, jeweils mit der beteiligten IP-Adresse. Einträge im Sicherheitsprotokoll werden nach 180 Tagen automatisch gelöscht.

Anfragen nach Adressen, die es nicht gibt

Fragt etwas beim Dienst eine Adresse an, die es dort nicht gibt, antworten wir mit einer kurzen Seite „nicht erlaubt“ und protokollieren die Anfrage: die IP-Adresse, von der sie tatsächlich kam, die Kennung des Browsers oder Programms, die angefragte Adresse und den Zeitpunkt. So bemerken wir Scans und wiederholtes Abtasten des Dienstes; das ist unser berechtigtes Interesse an seiner Sicherheit (Art. 6 Abs. 1 lit. f DSGVO). Diese Aufzeichnungen betreffen die Anfrage, nicht ein Konto: Wir versuchen nicht herauszufinden, wer sie gesendet hat, und führen sie nicht mit anderen Daten zusammen. Sie werden nach 90 Tagen automatisch gelöscht.

Demo-Anmeldung für App-Prüfer

Auf dem ersten Bildschirm eines Smartphones ohne Konten steht Demo-Konto (App-Prüfung). Das ist für die Prüfer von Google Play und dem App Store gedacht. Was Sie dort eingeben (E-Mail-Adresse und Passwort), geht an unsere Demo-Website m.centerdesk.nl, die nur ihre eigenen Prüfkonten akzeptiert und das Smartphone mit einem davon verknüpft. Normale Benutzer brauchen diesen Bildschirm nicht.

Was wir nicht tun

Wir verkaufen oder vermieten Ihre Daten nicht.
Wir verwenden keine Werbung, kein Tracking und keine Analysedienste.
Wir erstellen keine Profile über Sie und treffen keine automatisierten Entscheidungen über Sie.
Wir fragen nicht nach Ihrem Namen, Ihrer Adresse, Ihrer Telefonnummer oder Ihrem Geburtsdatum.
Wir haben keinen Zugriff auf die Konten, die Sie schützen: Nur die Anwendung, bei der Sie sich anmelden, weiß, wer Sie sind.

Wer sonst noch beteiligt ist

Push-Benachrichtigungen werden über den Dienst des Betriebssystemherstellers zugestellt: Apple Push Notification service unter iOS und Firebase Cloud Messaging unter Android sowie, wo eingerichtet, über das Push-Relay von Expo. Diese Dienste erhalten das Benachrichtigungstoken und den Text der Benachrichtigung, um sie zustellen zu können. Darüber hinaus geben wir nichts an Dritte weiter.

Der Dienst läuft auf Servern in der Europäischen Union.

Wie lange wir Daten speichern

Verknüpfungsdaten: bis das Konto aus der App entfernt wird oder der Betreiber der Anwendung Ihre Zwei-Faktor-Authentifizierung abschaltet.
Anmeldeanfragen: Sie laufen innerhalb weniger Minuten ab; der Eintrag bleibt Teil des Sicherheitsprotokolls.
Sicherheitsprotokoll: 180 Tage, danach automatisch gelöscht.
Anfragen nach nicht existierenden Adressen: 90 Tage, danach automatisch gelöscht.

Ihre Rechte

Nach der DSGVO können Sie Auskunft über Ihre Daten sowie deren Berichtigung oder Löschung verlangen und der Verarbeitung widersprechen. Der Dienst kennt Sie nur über eine Kennung der Anwendung, bei der Sie sich anmelden. Am schnellsten geht es daher meist über die Kontoeinstellungen dieser Anwendung.

Sie können Daten jederzeit selbst entfernen:

Ein Konto entfernen: in der App unter Einstellungen → das Konto → Entfernen. Dadurch wird der geheime Schlüssel gelöscht und die Verknüpfung des Smartphones aufgehoben.
Alles entfernen: Einstellungen → Dieses Smartphone zurücksetzen.
Vollständiger Löschantrag: siehe Ihre Daten löschen, oder schreiben Sie an privacy@wwwveilig.nl.

Außerdem haben Sie das Recht, sich bei der niederländischen Datenschutzbehörde (Autoriteit Persoonsgegevens) zu beschweren.

Sicherheit

Geheime Schlüssel werden verschlüsselt gespeichert. Jeder sechsstellige Code kann nur einmal verwendet werden. Bestätigungsanfragen laufen innerhalb weniger Minuten ab und sind an ein einziges Gerät gebunden. Die gesamte Kommunikation läuft über TLS.

Änderungen

Ändert sich diese Erklärung wesentlich, passen wir das Datum oben an und weisen, wo es Sie betrifft, in der App darauf hin.