LystBot - Stand: 07.10.2026
TourAround UG (haftungsbeschränkt)
Menzelstr. 18
55127 Mainz, Deutschland
E-Mail: support@lystbot.com
Webseite: www.touraround.io
Geschäftsführer: Alexander Iyimen. Für Datenschutzanfragen nutze die oben genannten Kontaktdaten.
LystBot stellt Listen, Synchronisierung, geteilte Inhalte, Erinnerungen und optionale Zugänge über Agenten, CLI/MCP, ChatGPT und Alexa bereit. Ein separates Benutzerkonto ist für die App nicht erforderlich; der Zugang wird einem Gerät zugeordnet. Wir erhalten Daten von dir und deinem Gerät, durch Aktionen von Mitgliedern geteilter Listen sowie bei verbundenen Diensten von den jeweiligen Anbietern.
Wir verarbeiten die zufällig erzeugte Geräte-UUID und API-Schlüssel, Gerätename und -modell, Betriebssystem, App-Version und Build, Anzeigename und Signatur-Emoji, Sprache und Zeitzone. Die Geräte-UUID ist ein personenbezogenes, pseudonymes Kennzeichen, weil sie Aktivitäten und Inhalte deinem Gerät zuordnet.
Listendaten umfassen Kennungen, Titel, Typen, Kategorien, Einträge, Mengen, Einheiten, Reihenfolge, Abhakstatus, Mitgliedschaften und Teilen-Codes. Hinzu kommen Favoriten, Änderungshistorie und Synchronisierungsdaten, Erinnerungen mit Titel, Zeitpunkt, Zeitzone, Wiederholung und Zustellungsart, hochgeladene Bilder, Vorschaubilder, Anhang-Metadaten und gespeicherte Links. Bei API-Zugriffen verarbeiten wir Agentennamen, Emojis und Aktionen.
Für Push-Dienste fallen Registrierungstokens und Benachrichtigungsinhalte an. Webseiten- und API-Aufrufe erzeugen Verbindungs- und Server-Logdaten einschließlich IP-Adresse, Zeitpunkt, angefragter URL, Statuscode und Browser-/Clientinformationen. Bei Kontaktaufnahme verarbeiten wir Kontaktdaten und Korrespondenz.
Für die gewöhnliche Listennutzung sind echter Name, E-Mail-Adresse und Telefonnummer nicht erforderlich. Inhalte können personenbezogene oder sensible Angaben enthalten. Für die Listennutzung wird kein GPS-Standort angefordert. Die Daten optionaler Verbindungen und Absturzberichte sind in Abschnitt 7 beschrieben.
Mitglieder geteilter Listen erhalten deren Inhalte, Anhänge und Mitgliederinformationen. Von dir autorisierte Agenten und Dienste erhalten Daten innerhalb ihrer Zugriffsrechte, einschließlich zugänglicher geteilter Listen. Befugte Betreiber und technische Dienstleister erhalten Daten, soweit dies für Betrieb, Support und Sicherheit erforderlich ist. Bei Kontaktaufnahme verarbeiten E-Mail-Dienstleister die Korrespondenz. Weitere Empfänger stehen in Abschnitt 7.
Es besteht keine gesetzliche Pflicht, Daten für die Nutzung von LystBot bereitzustellen. Gerätekennung, Zugangsschlüssel und die für eine Aktion erforderlichen Inhalte sind für diese Funktion notwendig; ohne sie kann sie nicht ausgeführt werden. Anzeigename, Bilder, sichtbare Push-Benachrichtigungen und Drittanbieter-Verbindungen sind optional. Kamera- oder Fotozugriff wird für die jeweilige Bildfunktion benötigt. Ohne Drittanbieter-Verbindungen bleiben die Listenfunktionen der App verfügbar.
Es erfolgen keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO. KI interpretiert angeforderte Befehle und kann Listen- oder Erinnerungsaktionen ausführen; prüfe die Ergebnisse.
Unser Auftragsverarbeiter ist DigitalOcean, LLC (USA). Die Backend-Datenbank und hochgeladenen Dateien werden im Rechenzentrum Frankfurt am Main gespeichert. Der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, das DigitalOcean DPA, ist akzeptiert.
Wegen des US-Bezugs können insbesondere Supportzugriffe aus den USA stattfinden. Garantien sind das EU-U.S. Data Privacy Framework (Art. 45 DSGVO) und die Standardvertragsklauseln des DPA (Art. 46 Abs. 2 lit. c DSGVO). Google LLC ist ebenfalls unter dem EU-U.S. Data Privacy Framework zertifiziert. Bei optionalen Verbindungen können die in Abschnitt 7 genannten Anbieter Daten in den USA oder anderen Ländern außerhalb des EWR verarbeiten. Anbieterhinweise beschreiben deren Verarbeitung und Übermittlungsgrundlagen. Informationen und Kopien der anwendbaren Garantien erhältst du über support@lystbot.com.
Die App nutzt HTTPS für API-Verbindungen. Geräte-Zugangsdaten werden lokal in sicherem Plattform-Speicher gehalten; Datenbankzugriffe erfordern Zugangsdaten. Listeninhalte sind nicht Ende-zu-Ende-verschlüsselt.
Für Synchronisierung und Benachrichtigungen verwenden wir Firebase Cloud Messaging (Google Ireland Ltd. und Google LLC, USA); auf iOS erfolgt die Zustellung zusätzlich über Apple Push Notification service (Apple Distribution International Ltd. und Apple Inc., USA). Verarbeitet werden Firebase-Installationskennungen, FCM-/APNs-Tokens und Zustellungsdaten. Der Payload enthält je nach Ereignis Listen-, Eintrags- oder Erinnerungskennungen, Aktionstyp, Navigationsziel, Zeitstempel, Benachrichtigungstitel und -text; darin können Listen- und Eintragstexte, Erinnerungstitel, Anzeigename und Emoji des Handelnden stehen. Auch stille Synchronisierungsnachrichten können solche Daten enthalten. Rechtsgrundlagen stehen in Abschnitt 4. Weitere Informationen: Firebase-Datenschutz und Apple-Datenschutz.
Amazon verarbeitet deine Spracheingabe nach seiner Datenschutzerklärung. LystBot erhält Befehlstext, Sprache und Alexa-Benutzerkennung, keine Sprachaufnahmen. Zur Verknüpfung speichern wir einen Hash der Alexa-Benutzer-ID, Gerätezuordnung sowie Verknüpfungs- und Nutzungszeitpunkte. Amazon erhält Antworttexte, die Listen-, Eintrags- oder Erinnerungsinhalte enthalten können. Amazon-Empfänger sind Amazon Europe Core S.à r.l. und verbundene Amazon-Unternehmen, auch in den USA.
Zur Interpretation freier Alexa-Befehle gehen der gesprochene Befehl als Text, Sprache, Zeitzone, aktueller Zeitpunkt sowie Titel und Typen der zugänglichen Listen an OpenRouter, Inc. (USA) und den Anbieter des dort konfigurierten Modells. Die Verarbeitung einschließlich möglicher Speicherung richtet sich auch nach den Bedingungen dieser Anbieter; weitere Informationen bietet die OpenRouter-Datenschutzerklärung. Rechtsgrundlage für die angeforderte Alexa-Verbindung und Befehlsverarbeitung ist Art. 6 Abs. 1 lit. b DSGVO. Du kannst die Verbindung in den Einstellungen trennen.
Du verbindest ChatGPT mit einem sechsstelligen App-Code und bestätigst den Zugriff auf der OAuth-Seite von LystBot. OAuth mit PKCE ordnet die Verbindung deinem Gerät zu. LystBot speichert Gerätefreigabe, Client-Kennung, Scopes und Hashes der Access- und Refresh-Tokens. IP-basierte gehashte Versuchszähler und ein globaler Zähler begrenzen Kopplungsversuche in einem Zehn-Minuten-Fenster. Ein technisch erforderliches OAuth-Sicherheitscookie wird in Abschnitt 8 beschrieben.
OpenAI (OpenAI Ireland Ltd. und OpenAI OpCo, LLC, USA) erhält Tool-Ergebnisse mit Kennungen, Titeln, Typen und Mitgliedschaftsrolle zugänglicher Listen einschließlich geteilter Listen, Eintragstexten, Mengen, Einheiten, Reihenfolge und Abhakstatus sowie Erinnerungen mit Titel, Zeitpunkt, Zeitzone, Wiederholung, Aktivierungsstatus und Zustellungsart. Schreib-Tools übermitteln gewünschte Listen-, Eintrags- und Erinnerungsdaten an LystBot. Der Zugriff ist auf deine Geräte-Mitgliedschaften und freigegebene Scopes begrenzt (lists:read, lists:write, reminders:read, reminders:write). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
OpenAI verarbeitet übermittelte Daten nach seiner Datenschutzerklärung und deinen ChatGPT-Einstellungen, auch außerhalb der EU. Trennen unter Einstellungen → ChatGPT, in ChatGPT oder per Token-Widerruf entzieht sofort den Zugriff, löscht aber weder deine Listen noch bereits an OpenAI übermittelte Daten. Fristen stehen in Abschnitt 9.
Crashlytics (Google Ireland Ltd. und Google LLC, USA, EU-U.S. Data Privacy Framework) verarbeitet Stacktraces, Fehlertyp, Gerätemodell, Betriebssystem, App-Version, Absturzzeitpunkt, Crashlytics-Installations-ID sowie Firebase-Installations- und Sitzungskennungen und technische Diagnoseinformationen. Es werden keine Listeninhalte, keine Geräte-UUID von LystBot und keine personenbezogenen Custom Keys übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Stabilität der App und die Behebung von Fehlern. Google speichert Absturzberichte und zugehörige Kennungen standardmäßig 90 Tage und beginnt danach deren Entfernung aus aktiven Systemen und Sicherungen.
Widerspruch nach Art. 21 DSGVO: Du kannst Absturzberichte jederzeit in der App unter Einstellungen → App → „Absturzberichte senden“ ausschalten oder der Verarbeitung per E-Mail an support@lystbot.com widersprechen. Standardmäßig ist das Senden aktiviert. Weitere Informationen: Google/Firebase-Datenschutz.
Die OAuth-Freigabeseite setzt das Sicherheitscookie __Host-lystbot-oauth-csrf zum Schutz vor gefälschten Freigaben. Es gilt höchstens zehn Minuten (Max-Age=600) und wird nach Abschluss entfernt; es ist Secure, HttpOnly und SameSite=Lax. Es dient ausschließlich der von dir angeforderten Verbindung.
Die App speichert UUID und API-Schlüssel, Geräte- und Profileinstellungen in sicherem Plattform-Speicher sowie Onboarding-, Versions- und Anzeigeeinstellungen in lokalen Preferences. Listen und Erinnerungsdaten werden für die App-Funktionen lokal gespeichert; Diagnoseausgaben bleiben in einem lokalen Arbeitsspeicherpuffer von höchstens 500 Zeilen und in der Plattformkonsole. Sie werden nicht als App-Log an Crashlytics übertragen. iOS-Keychain-Daten können eine Deinstallation überdauern.
Technisch erforderliche Cookies und lokale Speicherung für die ausdrücklich angeforderten Funktionen erfolgen nach § 25 Abs. 2 Nr. 2 TDDDG. Die anschließende personenbezogene Verarbeitung erfolgt auf den in Abschnitt 4 genannten Grundlagen. Lokale Schriften auf Webseite, Blog und in der App verursachen keine Font-Anfragen an Google. Für Absturzberichte gilt die Widerspruchsmöglichkeit in Abschnitt 7.5.
Löschung kannst du unter support@lystbot.com verlangen. Gesetzliche Ausnahmen, Rechte anderer Mitglieder und unabhängig gespeicherte Kopien bei verbundenen Diensten bleiben zu berücksichtigen. Wir antworten ohne unangemessene Verzögerung, grundsätzlich innerhalb eines Monats; bei zulässiger Verlängerung um bis zu zwei weitere Monate informieren wir dich innerhalb des ersten Monats mit Begründung.
Unter den gesetzlichen Voraussetzungen hast du Rechte auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Information über Empfänger bei Berichtigung, Löschung oder Einschränkung (Art. 19) und Datenübertragbarkeit bei automatisierter Verarbeitung auf Grundlage von Einwilligung oder Vertrag (Art. 20 DSGVO). Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3); die Rechtmäßigkeit der bisherigen Verarbeitung bleibt unberührt.
Widerspruch nach Art. 21 DSGVO: Bei Verarbeitung aufgrund berechtigter Interessen kannst du aus Gründen deiner besonderen Situation widersprechen. Dann verarbeiten wir die Daten nicht weiter, sofern keine zwingenden schutzwürdigen Gründe oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen entgegenstehen. Gegen Direktwerbung kannst du jederzeit ohne Begründung widersprechen. Der Verarbeitung von Absturzberichten kannst du per E-Mail an support@lystbot.com widersprechen oder sie unter Einstellungen → App → „Absturzberichte senden“ ausschalten.
Für diese Rechte kontaktiere support@lystbot.com. Zur sicheren Zuordnung einer Anfrage können wir erforderliche Angaben zur Identitätsprüfung verlangen.
Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren (Art. 77 DSGVO), insbesondere am Ort deines gewöhnlichen Aufenthalts, Arbeitsplatzes oder des vermuteten Verstoßes. Für uns zuständig ist:
Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz
Postfach 30 40
55020 Mainz
www.datenschutz.rlp.de
Die aktuelle Datenschutzerklärung ist über die App und unter dieser URL verfügbar. Erforderliche ergänzende Informationen bei Änderungen der Verarbeitung stellen wir nach den gesetzlichen Vorgaben bereit.