Datenschutz bei Koja

Entwurf. Dieser Text ist noch nicht anwaltlich geprüft. Stellen in eckigen Klammern sind Platzhalter.

Stand: 24. Oktober 2026 · Version 1.0

Koja ist ein Raum für zwei Menschen. Was ihr dort ablegt, ist privat. Hier steht, welche Daten wir dafür brauchen, wo sie liegen und wie du sie wieder loswirst.

Kurz: Keine Werbung. Kein Datenverkauf. Server und Speicher in Deutschland. Deine Inhalte schaut niemand an. Koja nimmt nichts auf: Anrufe laufen live und werden nicht gespeichert. Du kannst dein Konto jederzeit in der App löschen.

1. Wer ist verantwortlich?

Nils Weißer
Grüner Ring 39, 38108 Braunschweig
E-Mail: datenschutz@heykoja.com

2. Welche Daten wir verarbeiten, wofür und auf welcher Grundlage

2.1 Dein Konto

Für dein Konto speichern wir deine E-Mail-Adresse, deinen Anzeigenamen, deine gewählte Farbe und Sprache und dein Passwort, aber nur als sicheren Hash, nie im Klartext. Wer über den Anmeldelink einer Einladung beitritt, hat zunächst kein Passwort. Dazu speichern wir, wann du bestätigt hast, mindestens 16 Jahre alt zu sein (ohne Geburtsdatum), und wann du der Einwilligung aus 2.3 zugestimmt oder sie widerrufen hast, mit der Fassung des Textes. Nach der Anmeldung merkt sich dein Browser die Sitzung in einem technisch notwendigen Cookie, höchstens 30 Tage.

Auf deinem Gerät: Damit eure Räume auch ohne Netz aufgehen, legt Koja eine Kopie davon und deine letzte Anmeldung im Speicher deines Browsers bzw. der App ab. Beim Abmelden wird beides gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag); Nachweis von Alter und Einwilligung Art. 6 Abs. 1 lit. c i. V. m. Art. 7 Abs. 1 und Art. 8 DSGVO.

2.2 Dein Profilbild

Wenn du willst, legst du ein Profilbild an. Wir schneiden es auf den Ausschnitt zu, den du wählst, verkleinern es auf höchstens 512 Pixel und speichern es als AVIF ohne Metadaten wie Aufnahmeort oder Kamera. Sehen können es nur du und deine Person, auch schon bevor ihr einen gemeinsamen Raum habt, und das Widget deiner Person auf ihrem Home-Bildschirm (2.8). Du kannst es jederzeit entfernen. Mit deinem Konto wird es gelöscht. Nimmst du einen Raum mit, liegt dein eigenes Profilbild im ZIP.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

2.3 Euer Raum

Alles, was ihr in euren Raum legt, speichern wir, damit ihr es beide sehen und bearbeiten könnt: Karten, Notizen, Chat, Zeichnungen, Fotos, Videos, Lieder und andere Audiodateien, Termine, Spielstände. Koja selbst nimmt weder Ton noch Bild auf, Audiodateien gibt es nur, wenn ihr welche hochladet. Was ihr ablegt, kann sehr Persönliches sein, auch Angaben über Gesundheit oder eure Beziehung.

• Den Raum seht nur ihr beide. Weitere Personen lassen sich nicht einladen. Was der Einladungslink zeigt, solange deine Person noch fehlt, steht in 2.4.
• Wir werten eure Inhalte nicht aus, trainieren damit keine KI und zeigen sie niemandem.
• Bevor du einen Raum anlegst oder einem beitrittst, bitten wir dich um deine ausdrückliche Einwilligung, dass Koja auch solche sensiblen Angaben speichert. Ohne sie entsteht kein Raum. Du kannst sie jederzeit im Konto widerrufen. Danach kannst du keinen neuen Raum anlegen und keinem beitreten. Was schon liegt, bleibt, bis ihr es entfernt, den Raum auflöst oder du dein Konto löschst.
• Fotos wandeln wir beim Hochladen um: höchstens 2048 Pixel an der längsten Kante, als AVIF (bewegte Bilder als WebP) und ohne Metadaten wie Aufnahmeort oder Kamera. Das Original bewahren wir nicht auf. Auch Fotos im Format HEIC (Standard auf iPhone und Mac) wandeln wir so um. Videos und Audiodateien speichern wir so, wie du sie hochlädst, mit allen Angaben, die in der Datei stehen.
• Papierkorb: Entfernt ihr in den Einstellungen eures Raums unter „Aufräumen“ Fotos, Videos oder andere Dateien, liegen sie danach noch 30 Tage im Papierkorb. Bis dahin könnt ihr sie zurücklegen, danach löschen wir sie endgültig. Während ihr euren Raum auflöst (Bedenkzeit, siehe 4), ruht diese Frist, die Dateien bleiben also um die Bedenkzeit länger. Zu jeder Datei im Papierkorb speichern wir, wer sie hochgeladen und wer sie entfernt hat, wann sie entfernt wurde und an welcher Karte sie hing.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für besondere Kategorien Art. 9 Abs. 2 lit. a DSGVO.

Fotos von anderen Menschen: Wenn du Fotos oder Texte über andere Personen hochlädst, achte bitte darauf, dass sie damit einverstanden sind.

2.4 Einladung

Deine Person holst du mit einem Einladungslink in euren Raum. Davon gibt es je Paar genau einen. Er gilt, bis deine Person beigetreten ist, und „Neuen Link erzeugen“ macht ihn sofort ungültig. Wir speichern nur einen Hash des Links. Den Link verschickst du selbst, zum Beispiel in einem Messenger. Koja verschickt keine Einladungen per E-Mail und liest kein Adressbuch.

Wer den Link öffnet, sieht ohne Konto deinen Anzeigenamen, den Titel eures Raums und kurze Textauszüge von bis zu sechs Karten, aber keine Fotos und keine anderen Dateien. Teilst du den Link in einem Messenger, zeigt dessen Vorschau deinen Anzeigenamen und ein Bild von Koja. Deine Person legt auf der Einladungsseite ein Konto mit Name, E-Mail-Adresse und Passwort an oder meldet sich an. Statt eines Passworts kann sie sich auch einen Anmeldelink an ihre eigene Adresse schicken lassen. Diese Mail nennt deinen Anzeigenamen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (für dich), Art. 6 Abs. 1 lit. f DSGVO (für die eingeladene Person; unser Interesse: die Einladung zeigen, die du verschickst).

2.5 E-Mails

Wir schicken dir nur Mails, die zu deinem Konto gehören: Adresse bestätigen, Passwort zurücksetzen oder geändert, Anmeldelink, neue E-Mail-Adresse bestätigen, Löschen des Kontos bestätigen und Hinweise zur Löschung, Hinweise zur Auflösung eines Raums und einmalig eine Erinnerung, wenn deine Person 48 Stunden nach dem Anlegen noch nicht beigetreten ist. Die Erinnerung kannst du mit einem Klick abbestellen. Wir versenden keinen Newsletter.

Dienstleister: Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland (Auftragsverarbeitung). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; Erinnerung Art. 6 Abs. 1 lit. f DSGVO.

2.6 Anrufe mit Ton und Bild

Koja nimmt nichts auf. Im Gespräch laufen Ton und Bild live und verschlüsselt direkt zwischen euren Geräten. Nur wenn das nicht geht, leitet unser eigener Server in Deutschland sie weiter, ohne sie zu speichern. Technisch bedingt sehen eure Geräte dabei gegenseitig ihre IP-Adressen. Die Zugangsdaten für die Weiterleitung gelten höchstens 12 Stunden.

Damit es bei deiner Person klingelt, hält jedes offene Koja-Fenster eine Verbindung zu unserem Server. Wer gerade wen anruft, hält der Server nur im Arbeitsspeicher, solange es klingelt (höchstens 45 Sekunden) oder ihr sprecht. Nimmt niemand ab, speichern wir einen verpassten Anruf: wer wen wann in welchem Raum anrufen wollte, ohne Inhalt. Er verschwindet, sobald ihr euch erreicht oder der Hinweis weggetippt wird, spätestens nach 7 Tagen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

2.7 Mitteilungen

Erlaubst du Mitteilungen, meldet dein Gerät uns seine Kennung für Mitteilungen (in der App ein Push-Token, im Browser die Adresse des Abos beim Push-Dienst des Browsers). Wir speichern sie mit Plattform, der Zeitzone deines Geräts (für die Ruhezeit) und Zeitpunkten, für höchstens 10 Geräte je Konto, dazu deine Einstellungen: welche Mitteilungen du willst und deine Ruhezeit. Eine Mitteilung wie „… hat etwas dazugelegt“ enthält den Anzeigenamen deiner Person, die Anzahl und einen Link in euren Raum, nie das, was dazugelegt wurde. Bis sie verschickt ist, merken wir uns, wie viele Karten in welchem Raum dazugekommen sind.

Eine Ausnahme sind Erinnerungen an Termine aus eurem Kalender („Morgen: Annas Geburtstag“): Hat einer von euch an einem Termin „Erinnern“ gewählt, steht der Titel des Termins in der Mitteilung, an euch beide. Dieser Titel läuft damit über die Mitteilungsdienste von Apple bzw. Google (in der App) oder den Push-Dienst deines Browsers. Damit keine Erinnerung doppelt kommt, merken wir uns zwei Tage lang, welche schon verschickt ist. Die Mitteilung „… hat einen Termin eingetragen“ nennt keinen Titel. Beide kannst du in den Einstellungen für Mitteilungen einzeln abschalten.

Zugestellt wird über Apple (iPhone, iPad), Google (Android) oder den Push-Dienst deines Browsers. Den betreibt der Anbieter deines Browsers: Google (Chrome und andere Browser auf Chromium-Basis, auch Edge auf Android), Mozilla (Firefox), Apple (Safari) oder Microsoft (Edge unter Windows). Wir schicken nur an diese vier Dienste. Der Dienst bekommt von uns die Adresse des Abos und die verschlüsselte Mitteilung, dein Browser hält dafür selbst eine Verbindung zu ihm. Im Browser ist die Mitteilung so verschlüsselt, dass nur dein Browser sie lesen kann. Meldest du dich auf dem Gerät ab, löschen wir seine Kennung, mit deinem Konto alle.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

2.8 Widget auf dem Home-Bildschirm

Richtest du in der App für iPhone oder Android das Koja-Widget ein, bekommt es einen eigenen Schlüssel, der nur zum Lesen taugt und 90 Tage gilt. Wir speichern davon nur einen Hash, zusammen mit einer zufälligen Kennung deines Geräts. Das Widget zeigt auf deinem Home-Bildschirm den nächsten Countdown oder das, was deine Person zuletzt dazugelegt hat (ein Foto oder eine Notiz), und ihr Profilbild. Das sieht jeder, der deinen Bildschirm sieht. Abmelden auf dem Gerät, ein neues Passwort und das Löschen deines Kontos machen den Schlüssel ungültig.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

2.9 Übersetzer und Wetter

Zwei Karten fragen direkt aus deinem Browser einen fremden Dienst: Der Übersetzer schickt den Text, den du übersetzen lässt, an MyMemory (Translated S.r.l., Via Indonesia 23, 00144 Rom, Italien). Das Wetter schickt den Ortsnamen an Open-Meteo (OpenMeteo GmbH, Hintere Schilligmatte 6, 6463 Bürglen, Schweiz). Dabei sieht der Dienst deine IP-Adresse. Andere Inhalte aus eurem Raum bekommen sie nicht.

2.10 Sicherheit

Um Missbrauch zu erkennen, protokollieren wir sicherheitsrelevante Ereignisse deines Kontos (z. B. Anmeldung, falsches Passwort, geänderte E-Mail) mit Zeitpunkt und IP-Adresse. Du siehst sie selbst unter Konto → Letzte Aktivität. Die Einträge bleiben, solange dein Konto besteht. Löschst du es, entfernen wir IP-Adresse und Bezug zu dir.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Sicherheit deines Kontos und unseres Dienstes).

2.11 Betrieb und Sicherheit des Dienstes

• Server und Speicher: Hetzner Online GmbH, Deutschland (Auftragsverarbeitung).
• Sicherungen: Täglich eine Sicherung der Datenbank in einem getrennten Speicher in Deutschland, ausschließlich zur Wiederherstellung nach einem Fehler.
• Fehlermeldungen: Tritt ein technischer Fehler auf, erfassen wir eine Fehlermeldung auf unserem eigenen Server. Vorher entfernen wir Inhalte, E-Mail-Adressen, IP-Adressen und Zugangsdaten. Die Kennung des betroffenen Raums bleibt stehen. Dafür nutzen wir Bugsink auf unserem eigenen Server. Kein Dritter bekommt die Fehlermeldungen. Nach 30 Tagen löschen wir sie.
• Abstürze der Apps: Stürzt die App für iPhone oder Android selbst ab, sammeln Apple bzw. Google einen Bericht ohne Inhalte (Gerätemodell, Version des Systems und der App), aber nur, wenn du das in den Einstellungen deines Geräts erlaubt hast. Apple und Google tun das in eigener Verantwortung. Wir sehen nur zusammengefasste Berichte.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sicherer, verfügbarer Betrieb).

2.12 Statistik

Um Koja zu verbessern, zählen wir einzelne Ereignisse, etwa „Einladung angenommen“, und die Aufrufe der Seiten dieser Website, ohne Cookies und ohne Bezug zu dir oder eurem Raum. Dafür nutzen wir Umami auf unserem eigenen Server. Umami bekommt die Ereignisse von unserem Server, nie von deinem Gerät, und sieht deshalb weder deine IP-Adresse noch deinen Browser.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

2.13 Feedback aus der App

Unter Konto → „Feedback geben“ kannst du uns schreiben. Wir bekommen deine Nachricht als E-Mail, zusammen mit deinem Namen und deiner E-Mail-Adresse, damit wir antworten können, und auf Wunsch einem Screenshot, aus dem wir vorher Standort- und Kameradaten entfernen. Dazu kommen ein paar Angaben zum Gerät, damit wir einen Fehler nachstellen können: App-Version, Plattform, Browser bzw. Gerät, Bildschirmgröße, Sprache, die geöffnete Seite ohne Raum-Kennung und die Uhrzeit. Du siehst diese Angaben vor dem Absenden und kannst jede abwählen. Inhalte aus eurem Raum schicken wir nicht mit. Gespeichert wird nur die E-Mail in unserem Postfach.

Dienstleister: wie in 2.5. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (deine Anfrage beantworten, Koja verbessern).

3. Wer deine Daten bekommt

Niemand außer euch beiden und unseren Auftragsverarbeitern:

• Hetzner Online GmbH (Server, Speicher, Sicherungen, E-Mails), Industriestr. 25, 91710 Gunzenhausen, Deutschland

Dazu kommen nur, wenn du die jeweilige Funktion benutzt: die beiden Dienste aus 2.9 und Apple, Google oder der Push-Dienst deines Browsers (Google, Mozilla, Apple oder Microsoft) für Mitteilungen (2.7). Apple und Google sammeln außerdem die Absturzberichte der Apps (2.11).

Mit allen Auftragsverarbeitern haben wir Verträge nach Art. 28 DSGVO. Koja selbst speichert alles in Deutschland. Benutzt du Mitteilungen oder die Apps, können Daten an Apple und Google in die USA gehen. Bei Mitteilungen im Browser gilt das auch für den Push-Dienst deines Browsers, also Google, Mozilla, Apple oder Microsoft. Open-Meteo sitzt in der Schweiz. Für die Schweiz hat die EU-Kommission ein angemessenes Datenschutzniveau festgestellt.

4. Wie lange wir speichern

• Solange du ein Konto hast, speichern wir die Daten aus 2.1 bis 2.5. Was in 2.6 bis 2.10 eine eigene Frist hat, steht dort.
• Konto löschen: jederzeit in der App unter Konto → Konto löschen. Hast du kein Passwort, etwa nach einem Beitritt über den Anmeldelink, bestätigst du das über einen Link per E-Mail, der eine Stunde gilt. Damit du es dir anders überlegen kannst, wird das Konto erst 7 Tage später endgültig gelöscht. Bis dahin kannst du die Löschung zurücknehmen. Wir informieren dich per E-Mail.
• Was gelöscht wird: dein Konto (Name, E-Mail-Adresse, Passwort, Profilbild), deine eigenen Räume, die du mit niemandem teilst, mit allen Inhalten, Fotos, Videos und Dateien, deine Einstellungen, die Kennungen deiner Geräte für Mitteilungen, die Schlüssel deiner Widgets und verpasste Anrufe. Einträge im Sicherheitsprotokoll werden anonymisiert, die Nachweise zu Alter und Einwilligung bleiben ohne Bezug zu dir.
• Was bleibt: Räume, die du mit deiner Person geteilt hast, bleiben bei ihr, mit allem, was darauf liegt, auch mit dem, was du dazugelegt hast. Kopien, die sie heruntergeladen hat (zum Beispiel als ZIP), können wir nicht löschen.
• Einen Raum auflösen: Jede der beiden Personen kann einen gemeinsamen Raum mit 7 Tagen Bedenkzeit auflösen. Eine Person behält den Raum, die andere bekommt eine vollständige Kopie.
• Sicherungen: Gelöschte Daten können in Sicherungen noch bis zu 12 Monate enthalten sein. Danach werden die Sicherungen automatisch gelöscht. Stellen wir eine Sicherung wieder her, löschen wir Konten, die seitdem gelöscht wurden, erneut. Gelöschte Fotos und Dateien bewahren wir aus demselben Grund noch 30 Tage auf.
• Papierkorb: Was ihr unter „Aufräumen“ entfernt, löschen wir nach 30 Tagen endgültig, zusammen mit der Angabe, wer es hochgeladen und wer es entfernt hat. Während ihr euren Raum auflöst, ruht die Frist und läuft danach dort weiter, wo sie stand.
• Fehlermeldungen: 30 Tage.
• Feedback aus der App: Wir löschen die E-Mail, sobald dein Anliegen erledigt ist, spätestens nach 12 Monaten.

5. Deine Rechte

Du hast das Recht auf

• Auskunft über deine Daten (Art. 15),
• Berichtigung (Art. 16) – Name, E-Mail, Profilbild und Inhalte änderst du direkt in der App,
• Löschung (Art. 17) – direkt in der App, siehe oben,
• Einschränkung der Verarbeitung (Art. 18),
• Datenübertragbarkeit (Art. 20) – mit „Euren Raum mitnehmen“ bekommst du den Raum als ZIP mit Seite, Daten, allen Medien und deinem Profilbild,
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21),
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3).

Schreib uns dafür an datenschutz@heykoja.com. Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren, z. B. bei der für uns zuständigen Behörde: Die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover.

6. Alter

Koja ist für Menschen ab 16 Jahren. Bei der Registrierung und beim Beitritt über eine Einladung bestätigst du das. Ein Geburtsdatum fragen wir nicht ab.

7. Sicherheit

Verbindungen sind verschlüsselt (HTTPS). Passwörter speichern wir nur als Hash, Einladungslinks, Anmeldelinks und die Schlüssel der Widgets ebenso. Fotos, Videos und Dateien haben in eurem Raum eine feste Adresse. Öffnen kann sie nur, wer angemeldet ist und zu eurem Raum gehört. Der Server gibt die Datei dann über eine Adresse heraus, die nach zehn Minuten nicht mehr gilt. Zugriff auf einen Raum habt nur ihr beide. Server und Speicher stehen in Deutschland.

8. Änderungen

Ändert sich etwas Wesentliches, informieren wir dich in der App oder per E-Mail. Die jeweils aktuelle Fassung steht hier.