Datenschutzerklärung

Deutsche Fassung. Die englische Übersetzung folgt weiter unten.

Stand: 8. Juli 2026

Diese Datenschutzerklärung erläutert, welche personenbezogenen Daten bei der Nutzung der Karja-Anwendung („die App”) und der Karja-Website unter https://karja.app („die Website”) erhoben werden, wie sie verwendet werden und welche Rechte Sie haben. Sie ist auf die EU-Datenschutz-Grundverordnung (DSGVO) und das Bundesdatenschutzgesetz (BDSG) ausgerichtet.

Sie ergänzt den Endbenutzer-Lizenzvertrag (EULA) und ersetzt ihn nicht (dessen § 6 fasst dasselbe Local-first-Prinzip zusammen).

Verantwortlicher

Verantwortlich im Sinne der DSGVO ist:

Himangshu Saikia
Telefon: +49 163 5170110
E-Mail: contact@karja.app
Postanschrift: siehe Impressum (https://karja.app/impressum)

Kurz gesagt

Karja ist Local-first by design. Ihre Dokumente, Notizen, Boards, Bilder und alles andere, was Sie in der App erstellen oder öffnen, werden auf Ihrem eigenen Gerät verarbeitet und nicht an uns oder Dritte übertragen. Die einzigen personenbezogenen Daten, die der Verantwortliche erhält, sind die von Ihnen freiwillig angegebenen Kontaktdaten - etwa die E-Mail-Adresse, die Sie zum Herunterladen der App oder zum Erhalt eines Lizenzschlüssels eingeben - sowie alles, was Sie über ein Feedback-Formular übermitteln.

1. Daten, die die App nur auf Ihrem Gerät verarbeitet

Die App speichert Ihre Inhalte (Notizen, Kanban-Boards, Tabellen, Zeichnungen, Galeriebilder, Dokumente, Einstellungen und die lokale Datenbank) im Anwendungsspeicher auf Ihrem Rechner. Diese Daten werden niemals an den Verantwortlichen gesendet und verlassen Ihr Gerät über die App nicht, außer wenn Sie sie selbst ausdrücklich exportieren, teilen oder synchronisieren.

Wir betreiben keine Server, die Ihre Inhalte empfangen, speichern oder verarbeiten.

2. KI- und Websuche-Funktionen (bring your own)

• KI-Funktionen laufen gegen ein Sprachmodell (LLM), das Sie bereit­ stellen und lokal betreiben (zum Beispiel über Ollama oder MLX), oder gegen einen von Ihnen selbst konfigurierten Anbieter. Der Verantwortliche betreibt keinen KI-Dienst und erhält weder Ihre Eingaben noch Ihre Dokumente oder KI-Ausgaben. Wenn Sie einen Drittanbieter konfigurieren, gelten dessen Datenschutzbestimmungen, nicht diese Erklärung.
• Websuche ist optional und läuft über ein Backend, das Sie konfigurieren - Ihre selbst gehostete SearXNG-Instanz oder Ihren eigenen Brave-Search-API-Schlüssel. Suchanfragen gehen direkt von Ihrem Gerät an den von Ihnen gewählten Anbieter, zu dessen Bedingungen. Der Verantwortliche sieht diese Anfragen weder ein noch leitet er sie weiter.

3. Keine Analyse oder Telemetrie

Die App enthält keine Analyse, kein Tracking und keine Telemetrie. Sie „telefoniert nicht nach Hause”, meldet keine Nutzung und weist Ihnen keine Kennung zu. Die App stellt Netzwerkanfragen ausschließlich an die von Ihnen konfigurierten Backends (Ihre KI-/Such-Anbieter), zur einmaligen Validierung eines Lizenzschlüssels (siehe § 5) und - nur wenn Sie diese anklicken - zum Öffnen des Feedback-Formulars oder der Download-Seite in Ihrem Browser.

4. Daten, die beim Herunterladen oder Kauf erhoben werden

Um die App zu erhalten (kostenlose Version oder ein kostenpflichtiger Kauf - eine einzelne Capability oder Karja Pro), nutzen Sie unseren Merchant of Record (MoR), Polar (Polar Software Inc.). Der MoR erhebt die Kontakt- und - bei kostenpflichtigen Käufen - Rechnungs-/Zahlungsdaten, die zur Abwicklung der Transaktion und zur Ausstellung Ihres Lizenzschlüssels erforderlich sind.

• Was wir erhalten: Ihre E-Mail-Adresse und, bei Käufen, grundlegende Bestellmetadaten (z. B. Produkt, Bestell-ID, Land für Steuerzwecke). Wenn Sie mehrere Capabilities erwerben, fallen entsprechend mehrere Bestellungen und Lizenzschlüssel an. Wir verwenden diese, um Ihren Download und Lizenzschlüssel bereitzustellen, Support zu leisten und - wenn Sie zustimmen - Sie über den Start und größere Updates zu informieren.
• Zahlungsdaten: Karten- und Zahlungsdaten werden ausschließlich vom MoR und seinen Zahlungsdienstleistern erhoben und verarbeitet. Der Verantwortliche erhält oder speichert niemals Ihre vollständigen Kartenzahlungsdaten.
• Steuern: Als Merchant of Record ist der MoR für die Erhebung und Abführung der EU-Umsatzsteuer (VAT) und anwendbarer Verkaufssteuern verantwortlich.

Der MoR handelt für die Zahlungstransaktion als eigenständiger Verantwortlicher/Auftragsverarbeiter nach seiner eigenen Datenschutzerklärung (https://polar.sh/legal/privacy).

5. Aktivierung des Lizenzschlüssels

Wenn Sie einen Lizenzschlüssel in der App aktivieren, wird der Schlüssel einmalig an die Lizenz-API des MoR gesendet, um seine Gültigkeit zu prüfen. Das Ergebnis (Ihre Berechtigung - Karja Pro oder die einzelnen Capabilities, die Sie besitzen) wird dann lokal auf Ihrem Gerät zwischengespeichert, und die App prüft danach nicht erneut online - so funktioniert sie weiterhin offline. Aktivieren Sie mehrere Schlüssel (etwa je Capability), werden die Berechtigungen lokal zusammengeführt. Bei der Aktivierung werden keine Inhalte oder Gerätekennungen übertragen; nur der Schlüssel selbst.

6. Feedback- und Umfrageformulare

Die Aktion „Feedback” in der App und der Kontaktlink der Website öffnen ein Formular, das von Tally (Tally BVBA) gehostet wird. Wenn Sie ein Formular absenden, erhält der Verantwortliche, was Sie zu schreiben wählen, sowie einige nicht identifizierende technische Felder, die das Formular zur Einordnung vorausfüllt (die App-Version, Ihre Betriebssystem-Familie wie „macOS” und ob die Meldung aus der App oder von der Website kam). Die Bereitstellung ist vollständig freiwillig. Tally verarbeitet die Übermittlung nach seiner eigenen Datenschutzerklärung (https://tally.so/help/privacy-policy).

7. Website und Downloads

• Die Website ist eine statische Website. Ihr Hoster kann Standard-Server-Zugriffsprotokolle (z. B. IP-Adresse, Zeitstempel, angefragte URL, User-Agent) zur Sicherheit und zum Betrieb des Dienstes speichern. Diese Protokolle werden nicht zur Profilbildung verwendet.
• Installationsdateien werden von GitHub Releases heruntergeladen. GitHub kann Ihre IP-Adresse und Anfragemetadaten im Rahmen der Auslieferung verarbeiten, gemäß GitHubs Datenschutzerklärung.

8. Rechtsgrundlagen (Art. 6 DSGVO)

• Vertragserfüllung (Art. 6 Abs. 1 lit. b) - zur Bereitstellung von Downloads, zur Ausstellung und Validierung von Lizenzschlüsseln und zur Leistung von Support.
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f) - zum Betrieb und zur Absicherung der Website sowie zur Beantwortung Ihres Feedbacks.
• Einwilligung (Art. 6 Abs. 1 lit. a) - für etwaige Start-/Update-E-Mails, denen Sie zustimmen; Sie können diese jederzeit über den Abmeldelink widerrufen.
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c) - steuer-/buchhalterische Aufzeichnungen zu Käufen (weitgehend vom MoR als Merchant of Record übernommen).

9. Auftragsverarbeiter und Dritte

Der Verantwortliche setzt folgende Dienstleister ein; jeder verarbeitet Daten zu seinen eigenen Bedingungen:

Wir verkaufen Ihre personenbezogenen Daten nicht und nutzen sie nicht für Werbung.

10. Internationale Datenübermittlung

Einige der oben genannten Anbieter haben ihren Sitz in den USA. Soweit personenbezogene Daten außerhalb der EU/des EWR übermittelt werden, sind sie durch geeignete Garantien geschützt, etwa die EU-Standardvertragsklauseln und/oder die Teilnahme der Anbieter am EU-US Data Privacy Framework, wie in deren jeweiligen Datenschutzerklärungen beschrieben.

11. Speicherdauer

• E-Mail- und Bestelldaten: aufbewahrt, solange dies zur Unterstützung Ihrer Lizenz und zur Erfüllung gesetzlicher/steuerlicher Aufbewahrungspflichten erforderlich ist, danach gelöscht oder anonymisiert.
• Feedback-Übermittlungen: nur so lange aufbewahrt, wie zur Bearbeitung nötig.
• Lokale App-Daten: verbleiben auf Ihrem Gerät, bis Sie sie löschen; das Deinstallieren der App oder das Leeren ihres Anwendungsspeicher-Verzeichnisses entfernt sie.

12. Ihre Rechte

Nach der DSGVO haben Sie das Recht, Auskunft über Ihre personenbezogenen Daten, deren Berichtigung oder Löschung zu verlangen; die Verarbeitung einzuschränken oder ihr zu widersprechen; auf Datenübertragbarkeit; und eine Einwilligung jederzeit zu widerrufen. Zur Ausübung dieser Rechte wenden Sie sich über die oben genannten Kontaktdaten an den Verantwortlichen. Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, auch bei der in Ihrem Wohnsitzland.

13. Kinder

Die App und die Website richten sich nicht an Kinder unter 16 Jahren, und der Verantwortliche erhebt wissentlich keine personenbezogenen Daten von ihnen.

14. Änderungen dieser Erklärung

Diese Erklärung kann mit der Weiterentwicklung des Produkts aktualisiert werden (zum Beispiel, wenn der kostenpflichtige Start live geht). Wesentliche Änderungen werden durch das Datum „Stand” oben und, soweit angemessen, durch eine Ankündigung auf der Website kenntlich gemacht.

15. Anwendbares Recht

Diese Erklärung und die darin beschriebene Verarbeitung unterliegen dem Recht der Bundesrepublik Deutschland und dem anwendbaren EU-Datenschutzrecht.

© 2026 Himangshu Saikia.

English version (Privacy Notice)

This is a courtesy translation of the German version above.

Last updated: 8 July 2026

This Privacy Notice explains what personal data is collected when you use the Karja application (“the App”) and the Karja website at https://karja.app (“the Site”), how it is used, and the rights you have. It is written to satisfy the EU General Data Protection Regulation (GDPR) and the German Federal Data Protection Act (BDSG).

It complements, and does not replace, the End-User License Agreement (§6 of which summarises the same local-first principle).

Who is responsible

The data controller is:

Himangshu Saikia
Phone: +49 163 5170110
Email: contact@karja.app
Postal address: see Imprint (https://karja.app/impressum)

In short

Karja is local-first by design. Your documents, notes, boards, images, and everything else you create or open in the App are processed on your own device and are not transmitted to us or to any third party. The only personal data the controller receives is the contact information you voluntarily provide - for example, the email address you enter to download the App or to obtain a license key - together with anything you choose to send via a feedback form.

1. Data the App processes on your device only

The App stores your content (notes, kanban boards, spreadsheets, drawings, gallery images, documents, settings, and the local database) in application storage on your machine. This data is never sent to the controller and never leaves your device through the App, except where you explicitly export, share, or sync it yourself.

We have no servers that receive, store, or process your content.

2. AI and web-search features (bring your own)

• AI features run against an LLM you provide and run locally (for example via Ollama or MLX), or against a provider you configure yourself. The controller does not host an AI service and does not receive your prompts, documents, or AI output. If you configure a third-party AI provider, your use of that provider is governed by their privacy terms, not this notice.
• Web search is optional and runs through a backend you configure - your self-hosted SearXNG instance or your own Brave Search API key. Search queries go directly from your device to the provider you chose, under that provider’s terms. The controller neither sees nor proxies these queries.

3. No analytics or telemetry

The App contains no analytics, tracking, or telemetry. It does not phone home, does not report usage, and does not assign you an identifier. The App makes network requests only to the backends you configure (your AI/search providers), to validate a license key (see §5), and - only if you click them - to open the feedback form or download page in your browser.

4. Data collected when you download or buy

To obtain the App (free, or a paid purchase - a single Capability or Karja Pro) you go through our Merchant of Record (MoR), Polar (Polar Software Inc.). The MoR collects the contact and, for paid purchases, billing/payment information needed to complete the transaction and to issue your license key.

• What we receive: your email address and, for purchases, basic order metadata (e.g. product, order ID, country for tax purposes). If you buy several Capabilities there are correspondingly several orders and license keys. We use this to deliver your download and license key, to provide support, and - if you opt in - to email you about the launch and major updates.
• Payment data: card and payment details are collected and processed entirely by the MoR and its payment processors. The controller never receives or stores your full payment-card data.
• Tax: as Merchant of Record, the MoR is responsible for collecting and remitting EU VAT and applicable sales taxes.

The MoR acts as an independent controller/processor for the payment transaction under its own privacy policy (https://polar.sh/legal/privacy).

5. License-key activation

When you activate a license key in the App, the key is sent once to the MoR’s license API to verify it is valid. The result (your entitlement - Karja Pro or the individual Capabilities you own) is then cached locally on your device, and the App does not re-check online afterwards - so it keeps working offline. If you activate several keys (e.g. one per Capability), the entitlements are merged locally. No content or device identifiers are sent during activation; only the key itself.

6. Feedback and survey forms

The App’s “Feedback” action and the Site’s contact link open a form hosted by Tally (Tally BVBA). If you submit a form, the controller receives whatever you choose to write, plus a few non-identifying technical fields the form pre-fills to help triage (the App version, your operating-system family such as “macOS”, and whether the report came from the App or the Site). Providing this is entirely voluntary. Tally processes the submission under its own privacy policy (https://tally.so/help/privacy-policy).

7. Website and downloads

• The Site is a static website. Its host may keep standard server access logs (e.g. IP address, timestamp, requested URL, user agent) for security and to operate the service. These logs are not used to profile you.
• Installers are downloaded from GitHub Releases. GitHub may process your IP address and request metadata as part of serving the download, under GitHub’s Privacy Statement.

8. Legal bases (GDPR Art. 6)

• Performance of a contract (Art. 6(1)(b)) - to deliver downloads, issue and validate license keys, and provide support.
• Legitimate interests (Art. 6(1)(f)) - to operate and secure the Site, and to respond to feedback you send.
• Consent (Art. 6(1)(a)) - for any launch/update emails you opt in to; you can withdraw at any time via the unsubscribe link.
• Legal obligation (Art. 6(1)(c)) - tax/accounting records relating to purchases (largely handled by the MoR as Merchant of Record).

9. Processors and third parties

The controller relies on these service providers; each processes data under its own terms:

We do not sell your personal data, and we do not use it for advertising.

10. International transfers

Some of the providers above are based in the United States. Where personal data is transferred outside the EU/EEA, it is protected by appropriate safeguards such as the EU Standard Contractual Clauses and/or the providers’ participation in the EU–U.S. Data Privacy Framework, as described in their respective privacy policies.

11. Retention

• Email and order data: kept for as long as needed to support your license and to meet legal/tax retention obligations, then deleted or anonymised.
• Feedback submissions: kept only as long as needed to act on them.
• Local app data: stays on your device until you delete it; uninstalling the App or clearing its application-storage directory removes it.

12. Your rights

Under the GDPR you have the right to request access to, rectification of, or erasure of your personal data; to restrict or object to processing; to data portability; and to withdraw consent at any time. To exercise any of these, contact the controller using the details above. You also have the right to lodge a complaint with a data-protection supervisory authority, including the one in your country of residence.

13. Children

The App and Site are not directed at children under 16, and the controller does not knowingly collect personal data from them.

14. Changes to this notice

This notice may be updated as the product evolves (for example, when the paid launch goes live). Material changes will be reflected by the “Last updated” date above and, where appropriate, announced on the Site.

15. Governing law

This notice and any processing described in it are governed by the laws of the Federal Republic of Germany and applicable EU data-protection law.

© 2026 Himangshu Saikia.