Datenschutzerklärung

Unser Versprechen

Khalily ist darauf ausgelegt, ruhig und privat zu sein. Die Nutzung ist als Gast möglich oder mit Anmeldung (Google / Apple), um Fortschritt und Benutzernamen geräteübergreifend zu behalten — in beiden Fällen werden keine Profile erstellt und es findet keine Verfolgung über andere Apps und Websites hinweg statt. Die App zeigt keine Werbung. Es wird so wenig wie möglich erhoben, Daten werden niemals verkauft, alles rund um die Gottesdienste ist standardmäßig privat, und das Konto samt allen Inhalten lässt sich jederzeit aus der App heraus in einem einzigen Schritt löschen.

Was auf dem Gerät bleibt

Auf dem Gerät liegt die vollständige, detaillierte Aufzeichnung: jedes abgehakte Gebet und jede Gewohnheit, die Zeitpunkte des Abhakens, Notizen und eigene Gewohnheitsnamen, die Lese- und Auswendiglernposition im Quran, die Tasbih-Zähler, die Benachrichtigungseinstellungen sowie die Markierungen der أيام العذر (Tage der Entschuldigung).

Zwei davon verlassen das Gerät in keiner Form. Die Markierungen entschuldigter Tage bleiben ausschließlich auf dem Gerät — ist ein Tag entschuldigt, enthält die Zusammenfassung, die das Telefon verlässt, überhaupt keine Gebetsdaten, sodass ein entschuldigter Tag von einem schlicht nicht erfassten Tag nicht zu unterscheiden ist. Auch die genauen Koordinaten bleiben ausschließlich auf dem Gerät (siehe „Standort“ weiter unten).

Was auf unseren Servern gespeichert wird

Wird Khalily vollständig offline als Gast genutzt, ohne Kopplung, Anmeldung oder Teilnahme an der Rangliste, wird nahezu nichts gespeichert. Sobald das Gerät synchronisiert, enthält der Kontodatensatz:

• Identität: Anzeigename, Avatar, optionaler @Benutzername und Kurzbiografie, Sprache, Ländercode, Name der Stadt bzw. Region, ein anonymer Geräteschlüssel und — nur bei Anmeldung — eine einweg-gehashte (unlesbare, nicht umkehrbare) Form der E-Mail-Adresse. Die unverschlüsselte E-Mail-Adresse und Passwörter werden niemals gespeichert.
• Optionales Geschlecht: nur wenn es angegeben wird, und ausschließlich, weil es die Funktion أيام العذر auf dem eigenen Gerät ermöglicht. Es wird nie öffentlich angezeigt, nie an einen Begleiter übermittelt und nie für Werbung oder Analyse verwendet.
• Fortschritts-Zusammenfassungen: eine Tageszusammenfassung pro Tag (siehe „Der Fortschrittsverlauf“ weiter unten), die täglichen Punktsummen, die Ranglisten-Aggregate und die Zahlen, die das Profil anzeigt — Serie, beste Serie, XP, Stufe, Anzahl der Abzeichen und die ausgewählten Schaukastenabzeichen.
• Die Aufgabenliste: eine Sicherung der Gewohnheiten bzw. Aufgaben selbst, damit ein neues Gerät sie wiederherstellen kann.
• Abonnement: der Status und Ablauf von Khalily Plus sowie eine Aufzeichnung der Kaufereignisse, die unser Zahlungsdienstleister meldet.
• Kopplung: mit wem eine Kopplung besteht, die Aufzeichnungen des gemeinsamen Tagespakts und die vorgegebenen Anstöße, die zwischen den Beteiligten gesendet werden (gespeichert wird, welche von drei festen Nachrichten angetippt wurde — einen freien Textaustausch gibt es in Khalily überhaupt nicht).
• Benachrichtigungen: das Push-Token des Geräts, damit eine Erinnerung oder ein Anstoß des Begleiters zugestellt werden kann (siehe „Benachrichtigungen“).
• Fajr-Wecker (nur wenn er eingerichtet wird): der eingegebene Vorname, Sprache und Stimme des Weckers (eine Männer- oder Frauenstimme), der Zeitpunkt der Zustimmung, den Namen an unseren Partner für KI-Stimmen zu senden, und jede Meldung zu einer Aufnahme — siehe „Die Stimme des Fajr-Weckers“.
• Khalily-Laternen: ob jemals eine Verbindung mit einem Khalil bestand, gemeinsam mit einem Partner auswendig gelernt und der Fajr-Wecker in einer Verbindung genutzt wurde, um die Laternen anzuzeigen; beim Fajr-Wecker nur der Tag der Erfassung, nie eine Uhrzeit.

Der Fortschrittsverlauf

Damit das Fortschritts-Dashboard — die Jahresheatmap, das Gebetsregister, die Durchschnittswerte und die Erfolge — eine Neuinstallation oder ein neues Telefon übersteht, wird auf unseren Servern eine private Tageszusammenfassung jedes abgeschlossenen Tages aufbewahrt. Jede Zusammenfassung enthält: den Erfüllungsgrad und die Punkte des Tages, welche der fünf Gebete angesetzt und welche als erledigt markiert waren, wie viele Gewohnheiten von wie vielen abgeschlossen wurden, und eine kompakte Zuordnung, welche Gewohnheiten das waren. Sie enthält weder die Gebetszeitpunkte noch Notizen noch eigenen Gewohnheitstext über dessen Kennung hinaus.

Diese Sicherung ist privat. Sie erscheint nie im öffentlichen Profil, wird nie einem Begleiter gezeigt und nie für Werbung, Analyse oder Ranglisten verwendet. Sie existiert allein dazu, das eigene Dashboard wiederherzustellen. Sie wird aufbewahrt, solange das Konto besteht – bei kostenlosen Konten wie bei Khalily Plus –, damit nichts, was aufgebaut wurde, jemals abgeschnitten wird.

Ohne Anmeldung und ohne Synchronisierung wird diese Sicherung nie angelegt. Mit dem Löschen des Kontos wird sie vollständig gelöscht.

Standort

Sofern es erlaubt wird, liest Khalily den Gerätestandort nur während der Nutzung der App aus, und zwar zu einem einzigen Zweck: der Berechnung genauer Gebetszeiten für die jeweilige Umgebung.

Die genauen Koordinaten werden ausschließlich auf dem Gerät verarbeitet und dort behalten. Sie werden nie an unsere Server gesendet, nie verkauft, nie geteilt, nie im Hintergrund abgerufen und nie für Werbung verwendet. Was das Gerät verlässt, ist das grobe Ergebnis: der Name der Stadt oder Region (zum Beispiel „Mekka“) und der zweistellige Ländercode. Diese werden gespeichert, damit die Gebetszeiten auf ein neues Gerät mitwandern, damit die Länderrangliste funktioniert und damit ein gekoppelter Begleiter ungefähr sehen kann, wo sich die andere Person befindet. Die Stadt lässt sich jederzeit über die Städteauswahl in der App ändern oder löschen.

Eine Klarstellung, damit der Satz oben genau stimmt: Um Koordinaten in einen Stadtnamen umzuwandeln, ruft das Gerät den Geocoder seines eigenen Betriebssystems auf — den von Apple auf iPhone und iPad, den von Google auf Android. Diese Abfrage geht vom Gerät an den Betriebssystemhersteller und unterliegt dessen Datenschutzerklärung. Sie läuft nicht über die Server von Khalily, und die Koordinaten erreichen uns nie.

Wird die Berechtigung nicht erteilt, funktioniert die App weiterhin und zeigt Zeiten für eine Standardstadt (Mekka). Der Standortzugriff lässt sich jederzeit in den Geräteeinstellungen ein- oder ausschalten; das Entfernen der App löscht die auf dem Gerät gespeicherten Standortdaten.

Der Begleiter (Kopplung)

Die Kopplung ist vollkommen freiwillig und stets einvernehmlich: Eine Person teilt einen Einladungslink, die andere muss annehmen, bevor irgendetwas geteilt wird. Ein Paar besteht aus genau zwei Personen.

Nach der Kopplung sieht der Begleiter den Anzeigenamen, den Avatar, die Stadt bzw. Region, den heutigen Erfüllungsgrad — also welche Gebete und Gewohnheiten heute erledigt wurden — sowie den gemeinsamen Tagespakt. Nicht sichtbar sind der Verlauf, Notizen, das Geschlecht, die E-Mail-Adresse, der genaue Standort oder irgendein anderer Tag als der gemeinsame. Beide Seiten können die Kopplung jederzeit in der App auflösen, was das Teilen sofort beendet.

Die einzigen Nachrichten, die Khalily zwischen Begleitern zulässt, sind drei feste, vorgegebene Anstöße. Es gibt keinen freien Chat, also gibt es für uns nichts zu lesen oder zu speichern außer, welcher Anstoß wann angetippt wurde.

Öffentliches Profil, Rangliste & Abzeichen

Khalily hat eine öffentliche Seite — die Rangliste المتنافسون und die Profilseite. Ist sie eingeschaltet, können andere sehen: Anzeigename oder @Benutzername, Avatar, Land, Punkte und Rang, Stufe, Serie, die Anzahl verdienter Abzeichen und die im Schaukasten gewählten Abzeichen sowie die Kurzbiografie, sofern eine geschrieben wurde.

Nie sichtbar sind: die Gewohnheiten und ihre Namen, die Detailangaben je Gebet, einzelne Tage, entschuldigte Tage, das Geschlecht, die Stadt und die E-Mail-Adresse.

Im Profil gibt es zwei Schalter, und sie liegen allein beim Nutzer: Der eine blendet das Konto aus der Rangliste aus, der andere schaltet das öffentliche Profil vollständig ab — womit auch Abzeichen und Stufe für alle verborgen werden. Beide greifen mit der nächsten Synchronisierung. Gäste, die nie einen Namen gesetzt haben, erscheinen unter einer allgemeinen anonymen Bezeichnung statt unter einem echten Namen.

Benachrichtigungen

Die meisten Erinnerungen von Khalily — Gebetszeiten, Adhkar, Gewohnheiten — werden vom Gerät selbst geplant und kommen ganz ohne Server aus.

Begleiter-Benachrichtigungen (eine angenommene Einladung, ein Anstoß, der abgeschlossene Tag des Khalil) werden über den Push-Dienst von Expo auf Basis der Benachrichtigungsnetze von Apple und Google zugestellt. Dafür wird ein anonymes Push-Token pro Gerät gespeichert, das mit dem Konto verknüpft ist. Der Benachrichtigungstext wird auf unserem Server aus einer festen Vorlagensammlung sowie dem Vornamen und der Sprache zusammengesetzt; er enthält nie Gewohnheiten, den Verlauf oder selbst Geschriebenes. Wird die Benachrichtigungsberechtigung abgelehnt oder werden Benachrichtigungen in den Geräteeinstellungen ausgeschaltet, wird nichts gesendet, und das Token wird beim ersten fehlgeschlagenen Zustellversuch verworfen.

Die Stimme des Fajr-Weckers

Khalily Plus enthält einen Fajr-Wecker, der mit einer aufgenommenen Nachricht weckt und beim Vornamen ruft. Damit der Name gesprochen werden kann, sendet Khalily nur den eingegebenen Vornamen — eingebettet in sechs kurze, feste Sätze, zusammen mit Sprache und Stimme des Weckers — an ElevenLabs, unseren Partner für KI-Stimmen, und das erst nach Zustimmung auf dem Bildschirm, der danach fragt. Sonst wird nichts übermittelt: weder das Konto noch die E-Mail-Adresse, der Standort, die Gebete oder die Gewohnheiten. Die Stimme wird von einer KI erzeugt.

Gespeichert werden der eingegebene Name, Sprache und Stimme des Weckers sowie der Zeitpunkt der Zustimmung, damit sich der Wecker auf einem neuen Telefon wiederherstellen lässt. Die sechs Aufnahmen liegen auf unseren Servern unter einem anonymen Code statt unter dem Namen und werden von allen geteilt, die denselben Namen mit derselben Stimme haben — so wird ein Name nur einmal aufgenommen. Wir bitten ElevenLabs, jede Aufnahme sofort nach Erhalt aus dem eigenen Verlauf zu löschen, und der Name wird nie in unsere Protokolle geschrieben. Die fertigen Wecktöne bleiben auf dem Telefon.

Eine Aufnahme, die falsch oder anstößig klingt, lässt sich in den Einstellungen des Weckers melden; die Meldung enthält das Konto, den Code der Aufnahme und den angegebenen Grund. „Meinen Wecker und Namen löschen“ in den Einstellungen des Weckers oder das Löschen des Kontos entfernt Name und Weckereinstellungen sofort von unseren Servern; eine geteilte Aufnahme, die niemand mehr nutzt, wird nach 90 Tagen gelöscht.

Analyse & Absturzberichte

Um zu verstehen, wie Khalily genutzt wird, und um es zu verbessern, nutzen wir aggregierte Analyse (Google Analytics / Firebase). Erfasst werden anonyme Ereignisse — eine hinzugefügte Gewohnheit, ein als erledigt markiertes Gebet, welche Sprache verwendet wird, welcher Bildschirm geöffnet wurde — nie jedoch der Name, der Gewohnheitstext, Notizen oder genaue Koordinaten.

Außerdem nutzen wir Sentry, um Absturz- und Fehlerberichte zu erhalten und Defekte beheben zu können. Ein Bericht enthält den technischen Fehler (die Fehlermeldung, den Bildschirm, die App- und Betriebssystemversion) und keine personenbezogenen Daten: Wir betreiben es mit abgeschalteter Erfassung personenbezogener Informationen und deaktiviertem Performance-Tracing.

Auf der Website nutzen wir Google Analytics mit Consent Mode. Wo das Gesetz eine Einwilligung verlangt — im Europäischen Wirtschaftsraum, im Vereinigten Königreich und in der Schweiz — fragen wir vor dem Setzen eines Analyse-Cookies, und bis zur Entscheidung wird nichts gespeichert. Eine Ablehnung ist möglich, und die Website verhält sich danach genau gleich. Andernorts ist die Analyse standardmäßig aktiv, soweit das örtliche Recht dies zulässt. Diese Wahl lässt sich jederzeit über „Datenschutzeinstellungen“ am Fuß jeder Seite ändern oder widerrufen.

Die Schriftarten der Website werden von unserer eigenen Domain ausgeliefert, sodass das Öffnen einer Seite keinen Drittanbieter-Schriftdienst aufruft.

Keine Werbung

Khalily zeigt keine Werbung, weder in der App noch auf der Website. Die App enthält kein Werbe-SDK, verwendet nicht die Werbe-ID des Geräts und fragt nie nach einer Erlaubnis zum Tracking. Frühere Versionen der App zeigten Google-AdMob-Werbung; ein Update der App entfernt Googles Werbe-SDK vollständig vom Gerät.

Zahlungen

Khalily-Plus-Abonnements werden über Google Play oder den App Store gekauft und von dort abgerechnet — Kartendaten, Rechnungsadressen oder sonstige Zahlungsdaten sehen und speichern wir nie. Unser Abo-Dienstleister (RevenueCat) teilt uns nur den Berechtigungsstatus und dessen Ablauf mit, damit die App Plus freischalten kann, und wir bewahren eine Aufzeichnung der gemeldeten Kaufereignisse (Ereignistyp, Zeitpunkt und Konto-Kennung) zu Buchhaltungs- und Betrugsvermeidungszwecken auf.

Khalily verwendet keine Münzen mehr: Ein gemeinsamer Tag mit dem Begleiter ist für alle kostenlos, und Münzstände und Buchungsverläufe früherer Versionen wurden gelöscht.

Wo die Daten verarbeitet werden

Das Backend von Khalily läuft im globalen Netz von Cloudflare (Workers, D1 und R2), sodass Daten auch auf Servern außerhalb des eigenen Landes gespeichert und verarbeitet werden können, unter anderem in den Vereinigten Staaten und in der Europäischen Union. Unsere weiteren Auftragsverarbeiter — Google (Play-Abrechnung, Analytics/Firebase), Apple (App-Store-Abrechnung, Push), RevenueCat (Abonnements), Expo (Push-Zustellung), Sentry (Absturzberichte) und ElevenLabs (die Stimme des Fajr-Weckers) — arbeiten auf derselben Grundlage international. Für diese Übermittlungen stützen wir uns auf deren übliche vertragliche Schutzmechanismen, und wir verkaufen oder vermieten Daten niemals an Dritte.

Speicherdauer

Die Kontodaten werden aufbewahrt, solange das Konto besteht. Tagespunkt-Datensätze werden nach etwa 60 Tagen entfernt, sobald sie in die Gesamtwerte eingeflossen sind; die Tageszusammenfassung des Fortschritts wird, wie oben beschrieben, aufbewahrt, solange das Konto besteht. Ein Konto, das über einen längeren Zeitraum völlig ungenutzt bleibt, wird schrittweise abgebaut — zuerst wird sein öffentliches Profil zurückgezogen, dann sein @Benutzername freigegeben, damit ihn jemand anderes verwenden kann — und ein Gastprofil, bei dem nie eine Anmeldung und nie eine Synchronisierung stattfand, wird nach längerer Untätigkeit vollständig gelöscht. Kaufdaten werden so lange aufbewahrt, wie es buchhalterische und Betrugsvermeidungspflichten erfordern; alles Übrige verschwindet mit dem Löschen des Kontos. Name und Einstellungen des Fajr-Weckers bleiben, bis der Wecker oder das Konto gelöscht wird; eine geteilte Namensaufnahme, die niemand mehr nutzt, wird nach 90 Tagen gelöscht. Abgesehen von Kaufbelegen bleibt nach dem Löschen des Kontos nur der unter „Kontrolle & Löschung des Kontos“ beschriebene Einweg-Code der Gratiswoche erhalten, und zwar 12 Monate lang.

Rechte & Wahlmöglichkeiten

Unabhängig vom Wohnort lassen sich die eigenen Daten in der App einsehen und ändern, der öffentliche Teil über die Schalter im Profil verbergen und alles selbst in einem Schritt löschen.

Im EWR, im Vereinigten Königreich oder in einer anderen Region mit gleichwertigem Recht bestehen zusätzlich die Rechte auf Auskunft, Berichtigung, Datenübertragbarkeit, Einschränkung und Widerspruch gegen unsere Verarbeitung sowie das Recht, eine Einwilligung (für Standort, Benachrichtigungen, Analyse oder das Senden des Vornamens an unseren Partner für KI-Stimmen) jederzeit durch Abschalten der entsprechenden Berechtigung zu widerrufen — der Widerruf berührt nicht, was zuvor rechtmäßig geschah. Wir verarbeiten Daten, um die angeforderte App bereitzustellen (Vertrag), um sie funktionsfähig und sicher zu halten (berechtigte Interessen) und — bei Standort, Benachrichtigungen und der Stimme des Fajr-Weckers — auf Grundlage einer Einwilligung. In Kalifornien oder einem vergleichbaren US-Bundesstaat gilt: Wir verkaufen oder teilen personenbezogene Informationen nicht im Sinne dieser Gesetze und verwenden sie für keinerlei Werbung. Zur Ausübung eines Rechts genügt eine Nachricht an [email protected]; ebenso steht der Weg zur örtlichen Datenschutzaufsichtsbehörde offen.

Der nach dem Löschen aufbewahrte Einweg-Code der Gratiswoche (siehe „Kontrolle & Löschung des Kontos“) beruht auf unserem berechtigten Interesse, die Gratiswoche nur einmal pro Person anzubieten. Der Einweg-Code des Telefons (gleicher Abschnitt) beruht auf demselben Interesse, die Gratiswoche nur einmal pro Telefon anzubieten.

Sicherheit

Sämtliche Übertragung läuft über verschlüsseltes HTTPS, und die gespeicherten Daten liegen auf der verwalteten, ruhend verschlüsselten Infrastruktur von Cloudflare. Der Sitzungsschlüssel wird im sicheren Schlüsselbund bzw. Keystore des Geräts verwahrt. Wir speichern keine unverschlüsselten E-Mail-Adressen und überhaupt keine Passwörter, es gibt also keine Passwortdatenbank, die kompromittiert werden könnte. Kein System ist perfekt, und wir behaupten das auch nicht — aber wir halten die Menge der vorgehaltenen Daten bewusst klein, und das ist der wirksamste Schutz überhaupt.

Kontrolle & Löschung des Kontos

Gewohnheiten lassen sich jederzeit bearbeiten oder löschen, und ein Schalter genügt, um sich aus der Rangliste zu nehmen oder das öffentliche Profil abzuschalten. Um alles zu löschen: Profil → Konto löschen entfernt Konto, @Benutzername, Aufgabensicherung, Fortschrittsverlauf, Punkte, Abzeichen, Serie und den Namen des Fajr-Weckers dauerhaft von unseren Servern und löscht die Daten der App auf dem Gerät — sofort und unwiderruflich. Die Löschung kann auch ohne die App unter khalily.online/delete-account beantragt werden. Kauf- und Transaktionsnachweise werden aufbewahrt, soweit gesetzlich vorgeschrieben. Hinweis: Das Löschen des Kontos kündigt kein laufendes Store-Abonnement — dies muss in Google Play bzw. im App Store geschehen.

Damit die Gratiswoche eine pro Person bleibt: Wurde eine Gratiswoche (allein oder mit einem Partner beim Auswendiglernen) oder der Fajr-Wecker genutzt, speichern wir 12 Monate lang einen Einweg-Code, der aus der Anmelde-ID gebildet wird — ohne Namen, E-Mail-Adresse oder sonst etwas über die Person —, zusammen mit dem, was bereits genutzt wurde. Bei einer erneuten Anmeldung mit demselben Konto innerhalb dieser Zeit geht es an derselben Stelle weiter — mit derselben Gratiswoche und demselben Kontingent des Weckers —, statt von vorn zu beginnen. Nach 12 Monaten wird der Code gelöscht.

Und damit die Gratiswoche auch eine pro Telefon bleibt, mit oder ohne Anmeldung: Wird auf einem Telefon eine Gratiswoche oder der Fajr-Wecker genutzt, speichern wir einen Einweg-Code, der aus einem privaten Code gebildet wird, den diese App auf dem Telefon erzeugt — er enthält nichts über die Person oder das Telefon und wird nie beim Konto gespeichert —, zusammen mit dem, was auf diesem Telefon bereits genutzt wurde. Ein Neubeginn auf demselben Telefon nach dem Abmelden oder Löschen des Kontos bringt daher keine neue Gratiswoche. Dieser Code wird 12 Monate nach seiner letzten Aktualisierung gelöscht.

Kinder

Khalily ist ein Begleiter für die Gottesdienste mit allgemeinem Publikum und richtet sich nicht an Kinder unter 13 Jahren. Wir erheben wissentlich keine personenbezogenen Daten von Kindern unter 13 Jahren; bei dem Verdacht, dass ein Kind uns Daten übermittelt hat, genügt eine Nachricht an [email protected], und wir löschen sie.

Änderungen dieser Erklärung

Mit dem Wachsen von Khalily wird diese Erklärung aktualisiert, und das Datum oben zeigt stets, welche Fassung gerade vorliegt. Betrifft eine Änderung wesentlich, was erhoben wird oder warum, weisen wir vor dem Inkrafttreten in der App darauf hin, statt die Seite stillschweigend zu ändern.

Kontakt

Fragen zum Datenschutz oder der Wunsch, ein Recht auszuüben? Eine Nachricht an [email protected] genügt, und wir antworten.