Datenschutzerklärung

1. Wer ist verantwortlich

Verantwortlicher

Starthrop Dynamics, Unipessoal Lda

NIPC

519488261

Sitz

Rua da Sociedade, n.º 4, 2695-567 São João da Talha, Loures, Portugal

Datenschutzkontakt

support@starthrop.com

2. Welche Daten wir verarbeiten, und wozu

Wir erheben, was der Dienst zum Funktionieren braucht, und daneben das, was Sie uns geben möchten: Name und Mobilnummer sind freiwillig, und die Tabelle sagt, was was ist. Nichts wird erhoben, «falls es einmal nützlich sein könnte». Sie können den Dienst auch ohne Konto nutzen: Dann fragen wir weder nach E-Mail noch Name, Mobilnummer oder Passwort, und die Sendungen, die Sie verfolgen, sind mit Ihrem Gerät verknüpft (Punkt 5).

Hinweis zum Namen. Der Name ist optional: Das Konto wird erstellt und der Dienst funktioniert vollständig ohne ihn. Wir verarbeiten ihn auf der Grundlage des berechtigten Interesses (Artikel 6 Absatz 1 Buchstabe f DSGVO) und nicht der Vertragserfüllung — denn es ist erwiesen, dass der Dienst ohne Namen funktioniert, und ein Feld, das das Produkt abzufragen beschließt, begründet nicht die objektive Erforderlichkeit, die jene Grundlage verlangen würde. Zweck: Ihr Konto zu identifizieren und zu personalisieren, damit das Produkt Sie mit einem Namen anspricht und nicht mit einer E-Mail-Adresse. Erforderlichkeit: Der Name wird nicht zum Zustellen, Verfolgen, Abrechnen oder Benachrichtigen verwendet — keine dieser Funktionen berührt ihn und keine setzt ihn voraus. Abwägung: Es ist ein einziges Feld, von Ihnen geschrieben, das wir gegen kein Dokument prüfen, weder an Shops, Zusteller, andere Nutzer noch an Werbetreibende weitergeben und weder zur Profilbildung noch für Werbung nutzen — verarbeitet wird er nur von den in Punkt 8 genannten Infrastruktur-Dienstleistern, wie der Rest Ihres Kontos; der Eingriff in Ihre Privatsphäre ist minimal, und der Nutzen ist Ihrer. Widerspruch: Sie können dieser Verarbeitung jederzeit widersprechen, indem Sie an support@starthrop.com schreiben — der Name wird aus Ihrem Konto gelöscht, das auch ohne ihn weiterfunktioniert. Im Profil können Sie den Namen korrigieren oder entfernen, ohne uns zu schreiben. Die Anfrage per E-Mail bleibt für alle bestehen, die sie vorziehen.

Hinweis zur Mobilnummer. Sie ist freiwillig: Der Dienst funktioniert vollständig ohne sie, und wir speichern sie nur, wenn Sie sie im Profil eintragen. Grundlage ist daher Ihre Einwilligung (Artikel 6 Absatz 1 Buchstabe a DSGVO), die Sie mit dem Eintragen erteilen. Zweck: auf Ihren Wunsch eine Kontaktnummer zusammen mit Ihren übrigen Profildaten zu speichern, damit Sie sie einsehen, korrigieren oder exportieren können. Was wir damit nicht tun: Wir nutzen sie weder zur Anmeldung noch für eine Zwei-Schritt-Bestätigung, weder zum Zustellen, Verfolgen, Abrechnen noch zum Benachrichtigen; wir prüfen sie nicht, senden ihr keine SMS, keine Anrufe und keine Nachrichten, um die Sie nicht gebeten haben, und geben sie an keinen Shop, kein Transportunternehmen, keine anderen Nutzer und keine Werbetreibenden weiter. Widerruf: Wenn Sie sie im Profil löschen, widerrufen Sie die Einwilligung und sie wird aus dem Konto entfernt; Sie können uns auch bitten, sie zu löschen. Sie für einen anderen Zweck zu nutzen, wäre eine Änderung dieser Erklärung (Punkt 15).

Was wir nicht erheben

Wir senden Ihnen keine SMS, prüfen Ihre Mobilnummer nicht und nutzen sie weder zur Anmeldung noch für eine Zwei-Schritt-Bestätigung. Die Nummer, die Sie angeben, wird so gespeichert, wie Sie sie eingegeben haben. Zwischen dem 20. August 2026 und der Version 1.1.0 fragte das Profil nicht danach; wer sie vorher eingetragen hatte, behielt sie im Konto. In jedem Fall erscheint sie im Export, und Sie können sie im Profil korrigieren oder löschen.

Wir erfassen keine Zustellhinweise mehr. Bis zum 21. August 2026 hatte die Adresse ein optionales Feld dafür. Es wurde aus demselben Grund entfernt wie die Telefonnummer: Sie wurden für nichts verwendet — sie gingen nicht an das Transportunternehmen, erschienen auf keinem Bildschirm und wurden an niemanden weitergegeben. Was Sie bereits geschrieben hatten, bleibt bei Ihrer Adresse, erscheint im Export Ihrer Daten und verschwindet, wenn Sie Ihr Konto löschen.

Wir erheben Ihre Zahlungsdaten nicht — weder die Kartennummer noch den Namen des Karteninhabers noch die Rechnungsanschrift, auch nicht, wenn Sie freiwillig etwas beitragen. Siehe Punkt 7.

Wir erheben nicht, was Sie in den Shops gekauft haben, bei denen Sie bestellen, welchen Preis Sie gezahlt haben oder warum. Für die Verfolgung einer Lieferung ist nichts davon nötig.

Wir verwenden keine Werbe-IDs, betreiben kein App-übergreifendes Tracking und zeigen im Dienst keine Werbung. Die anonyme Statistik und die optionale Messung mit Google Analytics/Firebase, beschrieben in Punkt 4, messen Nutzung und Qualität; sie erhalten weder Ihre E-Mail noch Ihren Namen, Ihre Mobilnummer oder Ihre Anschrift.

Die Messwahl auf den Seiten von starthrop.com und die Wahl „Statistik und Diagnose“ in der App sind unabhängig voneinander. Die Ablehnung der optionalen Messung verhindert weder den Dienst noch die Nutzung ohne Konto, die Sitzung, Zahlungen oder angeforderte Benachrichtigungen.

3. Serverprotokolle, und wozu sie dienen

Wie jeder Dienst im Internet führt unser Server ein Protokoll der eingehenden Anfragen. Dieses Protokoll enthält die IP-Adresse, von der die Anfrage kam, die Kennung Ihres Kontos, wenn Sie angemeldet sind, den angefragten Pfad und das Ergebnis. Dieses Protokoll bleibt beim Anbieter, der den Dienst hostet, und wird nach etwa sieben Tagen überschrieben — wir bewahren es nicht länger auf und nutzen es für nichts anderes.

Wir nutzen dies für zwei konkrete Dinge, und nicht für andere:

• Versuche begrenzen. Die Anmeldung wird durch zwei unabhängige Zählungen gebremst: eine über die Herkunft der Anfrage, also die IP-Adresse, und eine über die im Formular eingetippte E-Mail-Adresse. Fünf Fehlversuche innerhalb von fünfzehn Minuten sperren diese Zählung für weitere fünfzehn, und eine erfolgreiche Anmeldung setzt beide zurück. Die Zählung über die E-Mail gilt für das, was eingetippt wurde, ob dazu ein Konto besteht oder nicht — zählte sie nur für echte Konten, würde die Sperre selbst verraten, welche existieren. Das System weiß nicht, wem das Konto gehört: Es zählt Versuche, es unterscheidet keine Inhaber.
• Fehler verstehen. Wenn etwas schiefgeht, sieht man in diesen Protokollen, was geschehen ist.

Was nicht in diese Protokolle gelangt, durch ausdrückliche Serverkonfiguration: Passwörter, Ihre E-Mail, Ihr Name, Ihre Mobilnummer, Ihre Anschrift, Cookie-Inhalte und Wiederherstellungscodes.

Wir nutzen diese Protokolle nicht zur Profilbildung, Reichweitenmessung oder zu kommerziellen Zwecken.

Die anonyme Statistik aus Punkt 4 speichert Ihre IP-Adresse nicht: Die Anfragen, die die Zählungen übermitteln, hinterlassen keine IP in den Protokollen der Anwendung, und um die Zahl der Übermittlungen zu begrenzen, verwendet der Server nur einen kryptografischen Hashwert der IP, im Arbeitsspeicher, der nicht gespeichert wird.

4. Cookies und was auf Ihrem Gerät gespeichert bleibt

Ein Cookie: das Ihrer Sitzung, mit dem Namen edid_session. Es hält Sie lediglich angemeldet — mit oder ohne Konto.

Dauer

folgt der Dauer der Sitzung. Siehe Punkt 5

Wann es ungültig wird

beim Abmelden, beim Zurücksetzen des Passworts, beim Ablauf der Sitzung oder beim Löschen des Kontos

Schutzmaßnahmen

HttpOnly (das JavaScript der Seite erreicht es nicht), SameSite=Lax und, über eine sichere Verbindung, Secure

Das Sitzungs-Cookie ist für den Betrieb des Dienstes erforderlich: ohne es können Sie nicht angemeldet bleiben.

Außerdem speichern wir auf Ihrem Gerät, was in der Tabelle steht. Nur die ersten beiden Zeilen sind für den Dienst erforderlich — die erste nur für alle, die ihn ohne Konto nutzen; die Einträge der letzten Zeile dienen der anonymen Statistik aus Punkt 4 und werden nicht mehr geschrieben, wenn Sie widersprechen; die anderen dienen dazu, Ihre Entscheidungen zu respektieren oder Ihnen eine Frage oder einen Hinweis nicht zu wiederholen:

Nur der Gerätecode wird an uns gesendet, und nur, um Ihre Sendungen wiederherzustellen oder zusammenzuführen. Der Rest bleibt auf Ihrem Gerät. Sie können alles löschen, indem Sie die Daten des Browsers oder der App löschen.

Im Dienst verwenden wir keinen Speicher für Werbung. Wenn Ihre App-Version Statistik und Diagnose anbietet und Sie zustimmen, misst Google Analytics/Firebase Navigation und Nutzung; Crashlytics erhält Absturzberichte und Performance Ladezeiten. Auf Android steuert dieselbe Auswahl Zustellmetriken für Benachrichtigungen. Verarbeitet werden Ereignisse, Installationskennungen, technische Gerätemerkmale und technische Ergebnisse; E-Mail-Adresse, Name, Anschrift und Paketinhalte werden nicht gesendet. Mit derselben Wahl speichert unser Server, mit Ihrem Konto verknüpft, Fortschrittsmarken: für jeden Schritt einer geschlossenen Liste das erste Mal, das letzte Mal und wie oft es geschah — weder die Abfolge dessen, was Sie getan haben, noch das, was Sie eingegeben haben. Sie erscheinen im Export und werden mit dem Konto gelöscht.

Anonyme Statistik in der App

Um zu verstehen, wie die App genutzt wird, und Fehler zu beheben, zählen wir Ereignisse aus einer geschlossenen Liste — zum Beispiel „eine Abfrage wurde durchgeführt“, „die App wurde geöffnet“ oder „ein Fehler ist aufgetreten“ — täglich zusammengefasst, zusammen mit Plattform, App-Version, Sprache, dem Land der Gerätesprache und der Kategorie, aus der der Besuch kam (etwa eine Suche oder ein soziales Netzwerk). Von Fehlern speichern wir den Typ, den Bildschirm, auf dem sie auftraten, und die Stelle im Code — nie die Meldung. Diese Zählungen enthalten weder Ihr Konto noch Ihr Gerät, Ihre IP-Adresse oder etwas, das Sie eingeben – etwa Sendungsnummern – und lassen keine Identifizierung zu; deshalb bitten wir nicht um Ihre Einwilligung. Sie können widersprechen: Wenn Sie bei „Statistik und Diagnose“ mit „Nein“ antworten — wenn die App fragt oder jederzeit im Profil —, liest und speichert die App auf dem Gerät weder die Kategorie, aus der der Besuch kam, noch das Land der Gerätesprache noch den Vermerk der schon gezählten Fehler, und löscht, was dort war; die Zählungen gehen weiter, nur mit Plattform, Version und Sprache der App. Ohne Antwort liegt kein Widerspruch vor. Sie liegen auf unserem Server, mit einer Kopie in BigQuery von Google Cloud, beide in der Europäischen Union. Die täglichen Zählungen werden ohne Frist aufbewahrt, weil sie keine personenbezogenen Daten sind; die zusammengefassten Fehler 400 Tage.

In der App steht Ihre Wahl „Statistik und Diagnose“ unter edid-diagnostico; sie beginnt ohne Zustimmung und kann im Profil widerrufen werden. Der Widerruf beendet neue optionale Erhebungen und löscht lokale Analytics-Daten sowie noch nicht gesendete Berichte; bereits von Anbietern empfangene Informationen werden dadurch nicht rückwirkend gelöscht. Werbeeinwilligungen bleiben verweigert.

Messung auf den Seiten von starthrop.com

Die Seiten von starthrop.com, einschließlich der Seite von Package Tracker und dieses Dokuments, sind die institutionelle Website der Starthrop Dynamics. Die Besuchsmessung auf diesen Seiten ist optional, erfolgt nur nach Ihrer Wahl und dient dazu, zu verstehen, wie die Website besucht wird und welche Kampagnen Besucher bringen; Anbieter, Zwecke, Cookies und Fristen stehen in der Datenschutzerklärung und der Cookie-Richtlinie der Starthrop Dynamics. Diese Messung ist nicht Teil der App: In der App (package-tracker.starthrop.com sowie die iOS- und Android-Apps) gilt nur, was dieser Punkt 4 beschreibt.

5. Authentifizierung und Sitzungen

Sie können den Dienst ohne Konto nutzen, ein Konto mit Ihrer E-Mail und einem Passwort anlegen oder sich mit „Weiter mit Google“ oder „Weiter mit Apple“ anmelden. Einen anderen Weg gibt es nicht.

Die Sitzung endet nach 30 Tage ohne Nutzung. Jede Nutzung des Dienstes setzt diese Zählung neu — wer die App regelmäßig nutzt, muss sich nicht erneut anmelden.

Es gibt eine Grenze, die die Nutzung nicht verlängert: keine Sitzung dauert länger als 180 Tage ab ihrer Erstellung. Danach wird erneut eine Anmeldung verlangt, auch von jemandem, der den Dienst täglich nutzt.

Die Sitzung endet sofort, wenn:

• Sie sich abmelden;
• Sie Ihr Passwort ändern — dann enden die Sitzungen der anderen Geräte, und die gerade genutzte bleibt bestehen;
• Sie Ihr Passwort zurücksetzen — dann enden alle, auch die gerade genutzte;
• Sie Ihr Konto löschen.

Anmeldung mit Google oder Apple

Wenn Sie eine davon wählen, bestätigt Google oder Apple, wer Sie sind; das Passwort dieser Konten sehen wir nie. Wir erhalten von ihnen die Kennung Ihres Kontos bei ihnen und die E-Mail — bei Apple kann es eine private Weiterleitungsadresse sein, wenn Sie diese wählen. Apple gibt uns außerdem einen Berechtigungsnachweis, den wir verschlüsselt speichern und der nur dazu dient, Apple um den Widerruf der Verknüpfung zu bitten, wenn Sie Ihr Konto löschen oder Apple trennen. Wenn Sie bereits ein Konto mit derselben E-Mail haben, führen wir sie nicht von uns aus zusammen: Sie melden sich mit Ihrem Passwort an und verknüpfen Google oder Apple im Profil. Sie können sie im Profil trennen, solange ein anderer Anmeldeweg bleibt.

Nutzung ohne Konto

Ohne Konto legt der Dienst für Ihr Gerät ein Besucherkonto an, das erst bei der ersten Abfrage entsteht. Um als Besucher Sendungen zu verfolgen, fragen wir weder nach Namen, E-Mail, Mobilnummer noch Passwort. Das heißt nicht, dass keine personenbezogenen Daten vorliegen: Die Sendungsnummern, die Sie verfolgen, der Verlauf dieser Sendungen, der Gerätecode, das Sitzungs-Cookie und die Serverprotokolle (Punkt 3) können sich auf Sie beziehen, und deshalb behandeln wir sie als personenbezogene Daten, mit denselben Rechten (Punkte 11 und 12). Das Besucherkonto ist ein internes Konto — ohne echte E-Mail und ohne ein Passwort, das jemand kennt —, keine Anonymisierung Ihrer Daten. Das Gerät erhält einen zufälligen Code, der auf ihm gespeichert wird (Punkt 4); wir speichern nur einen kryptografischen Hashwert davon, der ein Pseudonym ist und kein anonymes Datum. Dieser Code dient zwei Dingen: Ihre Sendungen wiederherzustellen, wenn die Sitzung endet, und sie in ein Konto zu übernehmen, wenn Sie eines anlegen oder sich in einem bestehenden anmelden — dann bitten wir um Bestätigung, und doppelte Sendungen werden nicht verdoppelt.

Gut zu wissen: Besuchersendungen sind mit diesem Gerät verknüpft. Wir löschen Sendungen, Ereignisse und Besucherkonten nicht wegen ihres Alters oder wegen Inaktivität: Solange das Besucherkonto auf dem Server besteht, bleibt der Verlauf. Geht der Code aber verloren — etwa durch Löschen der App-Daten, Deinstallieren der App oder Leeren des Browsers —, können Sie sie nicht mehr öffnen, und wir können nicht feststellen, wem sie gehören, um sie Ihnen zurückzugeben; was gespeichert war, bleibt gespeichert, und wir löschen es nicht aus diesem Grund. Um sie zu löschen, nutzen Sie „Daten auf diesem Gerät löschen“ im Profil, bevor Sie die App löschen. Um Ihren Verlauf wiederherstellen und auf anderen Geräten nutzen zu können, legen Sie ein kostenloses Konto an — es ist freiwillig.

Das auf Ihrem Gerät gespeicherte Passwort

Wenn Ihr System — iPhone, iPad, Mac oder Android — anbietet, das Passwort zu speichern, speichert es es, im Anmeldedatenverwalter des Systems, weil Sie es ihm erlaubt haben. Diese Kopie gehört dem System: Sie bleibt unter dessen Kontrolle, sie lässt sich in dessen Einstellungen löschen, und wenn es Face ID, Touch ID oder den Gerätecode zum Ausfüllen verlangt, schützt das System, was ihm gehört. Unsere eigene Aussage handelt von uns: Weder die App noch unsere Server speichern Ihr lesbares Passwort. Auf dem Server existiert nur eine kryptografische Ableitung, aus der es sich nicht zurückgewinnen lässt; die App nutzt es zur Anmeldung und behält es nicht.

6. Benachrichtigungen

Wenn Sie es erlauben, benachrichtigen wir Sie, wenn eine von Ihnen hinzugefügte Sendung den Status ändert. Das ist die Funktion des Dienstes, und deshalb ist die Grundlage die Vertragserfüllung — dieselbe wie in der Tabelle in Punkt 2.

Jede Benachrichtigung, die wir senden, entsteht aus einem Ereignis einer Ihrer Lieferungen. Es ist der einzige Weg, auf dem im Dienst ein Hinweis entsteht: Ein Mechanismus für Werbebenachrichtigungen existiert nicht.

Damit wir Ihnen einen Hinweis senden können, erzeugt Ihr Gerät eine Benachrichtigungskennung, die wir mit Ihrem Konto verknüpft speichern. Diese Kennung wird dem Benachrichtigungsdienst der Plattform übergeben: Apple auf Apple-Geräten; Google auf Android.

Die Benachrichtigung enthält zwei Dinge und sonst nichts: den Status der Sendung, bereits von uns übersetzt, und den Namen, den Sie ihr gegeben haben — oder, wenn Sie keinen vergeben haben, den des Transportunternehmens oder „Ihre Sendung“. Sie enthält weder Ihren Namen noch Ihre E-Mail, Ihre Mobilnummer, Ihre Anschrift, die Sendungsnummer oder den Text, den das Transportunternehmen geschrieben hat. Dieser Text bleibt gespeichert, erscheint aber auf keinem Bildschirm: der Verlauf der Sendung zeigt den von uns übersetzten Status, das Datum und den vom Transportunternehmen angegebenen Ort — nicht den Satz, den es geschrieben hat. Wenn Sie in der App Ihre Daten anfordern, ist dieser Satz im Export enthalten, denn er betrifft Ihre Sendung und Sie haben ein Recht darauf, ihn zu sehen.

Die Erlaubnis, die Ihr Gerät zum Anzeigen von Benachrichtigungen erbittet, ist eine technische Steuerung des Systems und kann jederzeit in dessen Einstellungen widerrufen werden. Ein Widerruf berührt weder Ihre Rechte noch den übrigen Dienst, und sie ist nicht die Grundlage der Verarbeitung.

7. Kostenlos, freiwillige Beiträge und die früheren Tarife

Package Tracker ist kostenlos: Sendungen verfolgen, den Dienst ohne Konto nutzen, ein Konto anlegen, die Anschrift speichern, Ihre Daten exportieren und das Konto löschen kosten nichts. Es gibt keine Werbung und keine Tarife zu kaufen.

Was uns nicht erreicht

Wenn Sie freiwillig etwas beitragen, wird die Transaktion von dem Store abgewickelt, in dem Sie das tun — App Store oder Google Play — oder im Web von Stripe. Dasselbe gilt für die früheren Abonnements. Wir erhalten und verarbeiten weder Ihre Kartennummer noch die Zugangsdaten des Zahlungsmittels, den Namen des Karteninhabers oder die Rechnungsanschrift. Diese Daten bleiben beim Store bzw. bei Stripe und bei den Dienstleistern, die diese jeweils für die Verarbeitung nutzen. Bei Zahlungen im Web ist Starthrop Dynamics der eingetragene Händler (Merchant of Record) und Stripe der Zahlungsabwickler.

Beiträge werden nicht mit Ihrem Konto verknüpft

Ein Beitrag ist eine freiwillige Unterstützung der Entwicklung des Dienstes: eine Zahlung an die Starthrop Dynamics, ein Unternehmen — keine Spende an eine gemeinnützige Organisation. Er schaltet nichts frei, gewährt keine Vorteile, ist kein Abonnement und ändert nicht, was der Dienst tut. In den Apps wird der Kauf im Store abgewickelt, ohne dass wir eine Kennung von Ihnen anhängen, und unser Server speichert nicht, dass Sie beigetragen haben. Wir zählen nur, anonym und zusammengefasst, wie oft der Unterstützungsbildschirm gesehen wurde und wie viele Beiträge abgeschlossen, abgebrochen oder fehlgeschlagen sind (Punkt 4). Wenn Sie im Web beitragen, erhebt Stripe auf seiner eigenen Seite die E-Mail und die Zahlungsdaten; Starthrop Dynamics hat als Händler Zugang zum Datensatz dieser Zahlung bei Stripe — Betrag, Datum, E-Mail und Land — und bewahrt ihn so lange auf, wie das Steuer- und Buchführungsrecht es verlangt.

Die früheren Tarife, BASIC und PLUS

Bis zur Version 1.1.0 verkauften wir die Tarife BASIC und PLUS. Sie werden nicht mehr verkauft. Für alle, die noch ein Abonnement haben oder hatten, wissen und speichern wir: welchen Tarif; den Status des Abonnements — aktiv, in einer Kulanzfrist, mit fehlschlagender Abbuchung, gekündigt, beendet oder erstattet; die Daten des bezahlten Zeitraums; und die Referenz, die der Store dem Kauf zuweist, um die Nachrichten zu erkennen, die er uns später schickt. Ohne dies lassen sich der bezahlte Zeitraum, eine Kündigung oder eine Erstattung nicht einhalten.

Die Kennung, die wir an den Store sendeten

Beim Kauf eines Tarifs sendeten wir dem Store eine zufällige Kennung, von uns erzeugt, die weder Ihren Namen noch Ihre E-Mail, Ihre Anschrift oder Ihren Kontocode enthält. Sie dient dazu, den Kauf Ihrem Konto zuzuordnen, wenn der Store uns über eine Verlängerung, eine Kündigung oder eine Erstattung informiert. Die interne Kennung Ihres Kontos senden wir den Stores nicht.

Diese Kennung bleibt ein personenbezogenes Datum: sie trägt nicht Ihren Namen, kann aber einem Kauf von Ihnen zugeordnet werden. Deshalb hat sie eine Aufbewahrungsfrist und deshalb wird sie hier beschrieben. Wir nennen sie nicht anonym, weil sie es nicht ist.

8. Mit wem die Daten geteilt werden

Wir verkaufen keine Daten und teilen sie nicht zu Werbezwecken. Damit der Dienst funktioniert, greifen wir auf folgende Anbieter zurück, jeder mit einer streng umrissenen Aufgabe:

Package Tracker sendet Ihre Anschrift, Ihren Namen, Ihre E-Mail und Ihre Mobilnummer weder an die Transportunternehmen noch an AfterShip oder an die App-Stores. Die Anschrift wird auch anderen Nutzern nicht angezeigt. Sie wird in Ihrem Konto gespeichert, in der Datenbank des Dienstes — die von dem in der Tabelle oben genannten Anbieter gehostet wird, wie Ihre übrigen Daten. Wo diese Datenbank liegt und was das nicht garantiert, steht in Punkt 9.

Dies ist eine Aussage darüber, was wir tun. Ein Transportunternehmen, das Ihnen eine Sendung zustellt, kennt die Lieferadresse naturgemäß — es hat sie von demjenigen erhalten, der Ihnen die Sendung geschickt hat, nicht von uns.

Google Ireland Limited stellt auch die optionalen App-Dienste Google Analytics/Firebase, Crashlytics und Performance bereit. Die Auswahl dient Nutzungsstatistiken und Diagnose; die Kontoidentität wird nicht an diese Dienste weitergegeben. Die 14 Monate betreffen die konfigurierte Analytics-Aufbewahrung, nicht eine einheitliche Zusage zur Löschung sämtlicher Kopien oder Daten aller Google-Dienste.

9. Wo die Daten verarbeitet werden

Die Infrastruktur, die den Dienst und die Datenbank beherbergt, liegt in der Europäischen Union, in der Region Frankfurt, Deutschland. Dort werden Ihr Konto, Ihre Anschrift und Ihre Sendungen aufbewahrt, und dort liegen auch die in Punkt 3 beschriebenen Serverprotokolle.

Ein Teil der in Punkt 10 beschriebenen Sicherungskopien bleibt bei demselben Anbieter und in derselben Region. Der Rest sind verschlüsselte Kopien, die das Unternehmen selbst außerhalb des Anbieters aufbewahrt: auf eigenen Geräten und im Speicher von Google Cloud in Belgien, ebenfalls in der Europäischen Union. Die Kopie der anonymen Statistik aus Punkt 4 liegt in BigQuery von Google Cloud, am multiregionalen Standort Europäische Union.

Das sagt, wo die Daten liegen, und das ist nicht dasselbe wie zu sagen, es verlasse nichts Deutschland. Drei Dinge lohnt es auseinanderzuhalten, weil sie gern vermengt werden: wo die Daten aufbewahrt werden, wo die Sicherungskopien liegen, und wer darauf zugreifen kann, um den Dienst am Laufen zu halten. Das Hosting erbringt ein international tätiges Unternehmen: Die Konsole und die Verwaltungsoberfläche, über die wir die Infrastruktur betreiben, sind nicht auf diese Region beschränkt, und technischer Wartungszugriff kann von außerhalb erfolgen.

Die übrigen in Punkt 8 genannten Anbieter sind international tätige Unternehmen, und die Verarbeitung, die sie vornehmen, kann eine Übermittlung von Daten außerhalb des Europäischen Wirtschaftsraums umfassen — insbesondere die Abfrage bei den Transportunternehmen, die Anmeldung mit Google oder Apple, die Zustellung der Benachrichtigungen, die E-Mails des Dienstes und die Zahlungen in den Stores. Jeder von ihnen stellt eigene Bedingungen zur Datenverarbeitung bereit, die für diese Verarbeitung gelten und die Garantien angeben, auf denen sie beruht.

Wenn Sie zu einem bestimmten Anbieter wissen möchten, welche Garantie gilt und wo sie einzusehen ist, schreiben Sie an support@starthrop.com und wir antworten mit der genauen Fundstelle.

10. Wie lange

Solange Ihr Konto besteht — mit Konto oder als Besucher. Wir löschen Sendungen und Ereignisse nicht wegen ihres Alters oder wegen Inaktivität: Der Verlauf bleibt, bis Sie die Sendung oder das Konto löschen. Es gibt eine einzige Ausnahme, und nur für eine Quelle: DHL ist heute keine im Dienst genutzte Quelle; sofern und solange die offizielle Schnittstelle von DHL genutzt wird, werden die Informationen aus ihr 30 Tage nach der Zustellung gelöscht, als Bedingung von DHL selbst — die Sendung, der Verlauf aus anderen Quellen und alles Übrige bleiben. Diese Frist gilt für kein anderes Transportunternehmen.

Wenn Sie Ihr Konto löschen, werden Ihre Daten aus der Datenbank gelöscht, die den Dienst betreibt — Konto, Mobilnummer, Anschriften und ihr Verlauf, Sendungen, Sendungsereignisse, Sitzungen, Wiederherstellungsanfragen, Benachrichtigungskennungen, Verknüpfungen mit Google und Apple, die Statistikmarken des Kontos und der Tarifdatensatz — in einem einzigen Vorgang, der entweder vollständig oder gar nicht ausgeführt wird. Das geschieht sofort, und wir sagen es über die aktive Datenbank. Nicht alles endet in diesem Augenblick, und was bleibt, fällt in zwei Kategorien, nicht mehr: die Restdatensätze, von denen es vier gibt und die in der folgenden Tabelle stehen, und die technischen Sicherungen, die etwas anderes sind und am Ende dieses Punktes erklärt werden.

Kategorie eins — die vier Restdatensätze:

Zur Zahlungskennung: Wir bewahren sie auf, solange Ihr Konto besteht — auch nach dem Ende des Abonnements, denn ohne sie wäre ein früherer Kauf nicht mehr zuzuordnen — und löschen sie 180 Tage nach der Löschung des Kontos. Diese Frist ist nicht willkürlich: Sie deckt die Zeitfenster ab, in denen der Store uns noch zu Ihrem Kauf schreiben kann — Apple wiederholt Abbuchungsversuche bis zu 60 Tage, und eine Erstattung oder Beanstandung kann später eintreffen. Nach den 180 Tagen wird sie gelöscht. Wir bewahren sie nicht zu Buchhaltungszwecken auf: Der Store wickelt die Zahlung ab und die Finanzunterlagen der Transaktion bleiben bei ihm — bei uns landen nur diese Kennung und der Status des Abonnements.

Die Sicherungskopien

Die Datenbank verfügt über Sicherungskopien, die einem einzigen Zweck dienen: den Dienst wiederaufzubauen, wenn etwas gravierend schiefgeht. Sie werden weder für laufende Abfragen noch zur selektiven Wiederherstellung der Daten einer Person genutzt. Es gibt vier Arten:

Die vom Unternehmen aufbewahrten Kopien werden verschlüsselt, sobald sie auf seinen Geräten ankommen, und lassen sich nur mit einem Schlüssel öffnen, den weder der Hosting-Anbieter noch Google Cloud hat. Wenn Sie Ihr Konto löschen, verlassen Ihre Daten die aktive Datenbank sofort, bleiben aber in diesen Kopien, bis die jeweilige Kopie abläuft. Sollte der Dienst jemals aus einer Kopie wiederaufgebaut werden müssen, löschen wir die Konten erneut, deren Löschung im oben beschriebenen Nachweis steht, den wir 30 Tage aufbewahren. Deshalb bleibt keine vom Unternehmen aufbewahrte Kopie länger als dieser Nachweis: Eine ältere Kopie ließe sich nicht mehr zurückspielen, ohne gelöschte Konten in den Dienst zurückzubringen, und wird gelöscht.

Außerdem kann es punktuelle Kopien geben, die vor einem Wartungsvorgang angelegt werden — etwa vor einer Änderung an der Struktur der Datenbank —, um zurückgehen zu können, falls der Vorgang schiefgeht. Sie liegen beim Anbieter oder verschlüsselt beim Unternehmen und haben denselben Zweck, denselben Schutz und dieselbe Aufbewahrungsdauer wie die übrigen Kopien am selben Ort.

Anfragen zur Passwortwiederherstellung haben eine Stunde Gültigkeit und werden ungültig, sobald sie genutzt werden oder Sie eine neue Anfrage stellen.

11. Ihr Konto löschen

Sie können das Konto im Profil löschen, mit doppelter Bestätigung. Das ist endgültig. Ohne Konto löscht „Daten auf diesem Gerät löschen“ im Profil auf dieselbe Weise das Besucherkonto und seine Sendungen.

Ein früherer bezahlter Tarif verhindert die Löschung nicht. Ihr Recht, Ihre Daten löschen zu lassen, hängt von keiner kommerziellen Frage ab.

Aber das Löschen des Kontos kündigt kein früheres Abonnement. Der Tarif wurde im App Store, bei Google Play oder im Web gekauft und wird dort gekündigt, wo er gekauft wurde: im App Store, bei Google Play oder im Kundenportal über Ihr Konto. Ein Store-Abonnement können wir nicht für Sie kündigen.

Wenn Sie das Konto ohne Kündigung löschen, wird Ihnen weiterhin berechnet, und zwar von der Stelle, die abrechnet. Die App weist darauf hin, bevor Sie bestätigen, und zeigt den Link zu der Stelle, wo Sie gekauft haben.

12. Ihre Rechte

Als betroffene Person haben Sie die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit. Einen Teil davon üben Sie im Produkt aus, ohne uns zu schreiben, und zwar diesen:

• Exportieren — laden Sie Ihre Daten als Datei aus Ihrem Profil herunter, auch ohne Konto. Das ist das Auskunftsrecht und das Recht auf Datenübertragbarkeit.
• Konto löschen — im Profil, mit doppelter Bestätigung. Das ist endgültig.
• Namen und Mobilnummer korrigieren oder entfernen — im Profil. Das ist die Berichtigung, für den Teil, den wir Ihnen direkt geben können.
• Anschrift korrigieren — im Profil. Die vorherige Fassung bleibt gespeichert, wie in Punkt 2 gesagt.
• Google oder Apple trennen — im Profil, solange ein anderer Anmeldeweg bleibt.
• Die Einwilligung zu „Statistik und Diagnose“ widerrufen — im Profil, jederzeit. Der Widerruf berührt die vorher erfolgte Verarbeitung nicht. Dasselbe „Nein“ gilt auch als Widerspruch gegen die anonyme Statistik auf dem Gerät (Punkt 4).

Was weiterhin eine Nachricht an uns erfordert: die E-Mail-Adresse des Kontos ändern, die das Konto identifiziert und im Produkt noch nicht bearbeitet werden kann; der Verarbeitung des Namens widersprechen, die auf dem berechtigten Interesse beruht, oder uns bitten, die Mobilnummer zu löschen, wenn Sie diesen Weg dem Profil vorziehen; und die Einschränkung der Verarbeitung. Schreiben Sie dafür an support@starthrop.com. Sie haben außerdem das Recht, sich bei der Aufsichtsbehörde zu beschweren — in Portugal bei der Comissão Nacional de Proteção de Dados (CNPD).

13. Sicherheit

Verbindungen zum Dienst sind bei der Übertragung verschlüsselt.

Passwörter werden nur als kryptografische Ableitung gespeichert — nie so, wie Sie sie eingegeben haben. Wiederherstellungsanfragen, Sitzungen und der Gerätecode derjenigen, die den Dienst ohne Konto nutzen, werden als kryptografischer Hashwert gespeichert: Der Wert in Ihrem Cookie existiert in unserer Datenbank nicht, und eine Wiederherstellungsanfrage lässt sich aus dem Gespeicherten nicht rekonstruieren.

Die E-Mails, die wir senden, sind kryptografisch signiert (DKIM), und die Domain ist durch SPF und DMARC geschützt, damit sich niemand leicht für uns ausgeben kann.

Die Serverprotokolle sind so konfiguriert, dass Passwörter, E-Mail, Name, Mobilnummer, Anschrift, Cookies und Wiederherstellungscodes ausgelassen werden. Zugangsdaten zu Anbietern liegen nicht im Code des Dienstes.

14. Minderjährige

Der Dienst richtet sich an Personen ab 18 Jahren, mit oder ohne Konto. Wir verlangen dafür keine Nachweise.

Wir erheben wissentlich keine Daten von Minderjährigen.

15. Änderungen

Diese Erklärung trägt oben Version und Datum, und die geltende Fassung ist stets auf dieser Seite veröffentlicht. Ab der Version 1.1.0 ist ihre Referenzadresse starthrop.com/package-tracker/privacy/, mit einer Fassung in jeder Sprache. Frühere Fassungen werden aufbewahrt und können unter support@starthrop.com angefordert werden.

Bei wesentlichen Änderungen — solchen, die erheblich ändern, was wir mit Ihren Daten tun — informieren wir die Nutzer vor deren Inkrafttreten, auf die der Art der Änderung angemessene Weise und immer dann, wenn das Gesetz es verlangt.

Was sich mit der Version 6.14 ändert. Der Dienst tritt nur noch als Package Tracker auf, ein Produkt der Starthrop Dynamics, unter starthrop.com/package-tracker/ und package-tracker.starthrop.com; Kontakt ist support@starthrop.com, und die Kontolöschung ist unter starthrop.com/de/package-tracker/konto-loeschen/ beschrieben. Die frühere öffentliche Website wurde eingestellt, daher wird ihre Messung hier nicht mehr beschrieben; die Messung auf den Seiten von starthrop.com steht in der Datenschutzerklärung der Starthrop Dynamics (Punkt 4). Der Kontocode wird nun nach seiner tatsächlichen Funktion beschrieben (Punkt 2), und die Liste dessen, was auf Ihrem Gerät bleibt, enthält die technische Markierung einer noch nicht bestätigten Abmeldung (Punkt 4). Die neuen iOS- und Android-Apps nutzen dieselben Anbieter — Apple und Google, einschließlich Firebase und der Anmeldung mit Apple und mit Google — für dieselben Zwecke. Es gibt keine neuen Datenkategorien, Zwecke, Rechtsgrundlagen, Empfänger oder Speicherfristen. Der nächste Absatz beschreibt die Version 6.13.

Was sich mit dieser Fassung ändert, und seit wann. Schon vor der Version 1.1.0 galten: die Anmeldung mit Google oder Apple, verfügbar seit dem 14. Oktober 2026; was eine Benachrichtigung enthält (Punkt 6); und das Ende des Verkaufs der Tarife BASIC und PLUS, die am 21. Oktober 2026 aus dem Verkauf genommen wurden. Mit der Version 1.1.0, an dem Tag, an dem diese Erklärung in Kraft tritt, gelten: die Nutzung ohne Konto, der kostenlose Dienst mit freiwilligen Beiträgen, die freiwillige Mobilnummer im Profil, die direkte Abfrage bei den Transportunternehmen, die anonyme Statistik und die neue Kontaktadresse. AfterShip erhält erst ab der in Punkt 8 beschriebenen Umstellung keine Anfragen mehr.

Wie wir informieren. Wenn eine Änderung es erfordert, informieren wir alle mit einem Konto mit E-Mail per E-Mail und in der App mit dem Hinweis, der beim Öffnen einer neuen Version erscheint. Die Ankündigungsfristen der Nutzungsbedingungen (Punkt 13) gelten weiter für das, was sie regeln.

16. Kontakt

Fragen zu dieser Erklärung oder zu Ihren Daten: support@starthrop.com.