← Zurück zur Startseite

Konto löschen

Endgültig zurücksetzen, nur lokal aufräumen, gestohlenes Gerät melden oder Auto-Cleanup nach Inaktivität — die Wege im Überblick.

Aregoland speichert kein klassisches Server-Konto. Deine Identität (Aregoland-ID) lebt kryptographisch lokal auf deinem Gerät. „Konto löschen" gibt es deshalb in mehreren Varianten — wähle die, die zu deiner Situation passt.

1. Konto endgültig zurücksetzen

Endgültige Löschung direkt aus der App. Entfernt deine Aregoland-ID samt Server-Eintrag, entkoppelt den EUDI-Wallet und löst alle unter demselben EUDI-Hash verknüpften Geräte mit auf. Nach dieser Aktion ist keine Wiederherstellung mehr möglich.

So geht's:

  1. Aregoland-App öffnen
  2. Mein Konto → Einstellungen → Gefahrenzone → Konto zurücksetzen
  3. Zweistufige Bestätigung — zwei aufeinanderfolgende Warn-Dialoge, der letzte Schritt ist nicht umkehrbar
  4. Sofort danach ist alles weg: lokale Daten, Server-Eintrag, alle verknüpften Geräte, EUDI-Wallet entkoppelt
  5. Andere online Geräte werden per Lösch-Ping sofort zurückgesetzt; offline Geräte resetten sich beim nächsten Start automatisch
  6. Die App startet wieder im Welcome-Screen

2. Nur lokal löschen

Nur App-Cache leeren — das Konto bleibt. Entfernt ausschließlich die lokalen App-Daten auf diesem Gerät (App-Cache, IndexedDB, Service-Worker-Caches). Deine Aregoland-ID, deine EUDI-Verknüpfung und alle anderen verknüpften Geräte bleiben unverändert.

So geht's:

  1. Aregoland-App öffnen
  2. Mein Konto → Einstellungen → Gefahrenzone → Lokal löschen
  3. Einstufige Bestätigung
  4. Lokale Daten werden gewipt, App startet neu im Welcome-Screen
  5. Dort bietet die App die Wiederherstellungs-Option über deine EUDI-Verknüpfung an — danach lädt die App alle Daten neu

Sinnvoll wenn du das Gerät weitergeben willst, einen Cache-Fehler vermutest oder den Welcome-Flow erneut durchlaufen möchtest, ohne dein Konto aufzugeben.

3. Gestohlenes oder verlorenes Gerät melden

Ein einzelnes Gerät aus deinem Konto entfernen — von einem anderen deiner Geräte aus. Wenn ein Smartphone verloren oder gestohlen wurde, kannst du dessen Aregoland-ID gezielt sperren. Dein Konto bleibt, deine anderen Geräte behalten alles.

So geht's:

  1. Aregoland-App auf einem deiner anderen verknüpften Geräte öffnen
  2. Mein Konto → Geräte
  3. Das verlorene Gerät in der Liste auswählen
  4. Aktion „Gerät entfernen" → Bestätigung

Es gibt bewusst keinen eigenen „geklaut"-Knopf: Ob ein Gerät gestohlen wurde oder du es einfach loswerden willst, ändert nichts daran, was passieren muss. Deshalb führt beides über denselben einen Weg.

Das gemeldete Gerät wird sofort aus deinem Konto gelöst. Im selben Zug wechseln deine übrigen Geräte auf einen frischen Abgleich-Schlüssel — ab diesem Moment kommt das gemeldete Gerät an nichts Neues mehr heran, egal was auf ihm läuft und ob es je wieder online geht. Das ist der Teil, der wirklich schützt, und er wirkt auf deiner Seite, ohne Zutun des verlorenen Geräts.

Zusätzlich hinterlegen wir auf dem Server ein signiertes „gehört nicht mehr zum Konto"-Flag. Sobald das gemeldete Gerät das nächste Mal Kontakt hat, holt es dieses Flag, prüft die Unterschrift selbst gegen seine eigene Geräte-Liste und sperrt sich: Ab dann tut die App dort gar nichts mehr — keine Verbindung, keine Erinnerungen, keine Funktion, nur noch ein Sperrbildschirm. Aufgemacht wird er allein mit deinem EUDI-Nachweis; niemand sonst kann das, wir auch nicht. Klappt das Hinterlegen des Flags gerade nicht (kein Netz, Server nicht erreichbar), bleibt das Gerät trotzdem aus dem Konto draußen — die Meldung sagt dir dann, dass die Sperre noch aussteht.

Gelöscht wird auf dem gemeldeten Gerät nichts. Das ist Absicht: Ein Fern-Löschbefehl wäre eine Waffe — was wir von außen auslösen könnten, könnte auch jemand auslösen, der unseren Server übernimmt. Deshalb legt eine Meldung von außen das Gerät nur still. Was auf einem Gerät liegt, wirft nur weg, wer es in der Hand hat: Am Gerät selbst geht das über Mein Konto → Geräte → dieses Gerät → Gerät entfernen — es nimmt das Gerät aus dem Konto und leert seinen Zwischenspeicher, aber erst nach deinem EUDI-Nachweis. Ein bloßer Tastendruck löscht dort nichts.

Und ebenso ehrlich: Die Sperre hält jeden auf, der die App benutzt — sie hält niemanden auf, der den Speicher des Geräts direkt ausliest. Schütze dein Gerät darum mit einem starken Sperrcode.

Der Konto-Eintrag dieses Geräts bleibt dabei zunächst stehen. Anders als beim Zurücksetzen (Punkt 1) wird er nicht sofort gelöscht — die Meldung nimmt dem Gerät den Zugang, nicht seinen Server-Eintrag. Da die EUDI-Verknüpfung gelöst ist, greift für ihn danach die 6-Monats-Frist aus Punkt 4: ohne Heartbeat ist er dann endgültig weg. Wenn du nicht so lange warten möchtest, schreib uns — siehe unten.

Andere Geräte bleiben unverändert. Die EUDI-Verknüpfung bleibt, deine anderen Aregoland-IDs unter demselben EUDI-Hash sind unberührt.

4. Automatische Löschung bei Inaktivität

Wenn du keinen Zugriff mehr auf dein Gerät hast (verloren, gestohlen, kaputt) und auch kein anderes verknüpftes Gerät zur Hand hast, läuft dein Konto automatisch nach Inaktivität aus — kein Zutun nötig:

Mit EUDI-Wallet: Die Frist gilt auf EUDI-Hash-Ebene über alle deine verknüpften Geräte hinweg. Solange mindestens ein einziges Gerät unter dem Hash einen Heartbeat sendet, läuft der Timer nicht. Das verhindert versehentlichen Verlust, wenn z. B. ein altes Tablet inaktiv ist, aber dein Hauptgerät weiter läuft.

Ohne EUDI-Wallet: Die Frist gilt pro Aregoland-ID einzeln — jedes Gerät hat seine eigene Inaktivitäts-Uhr.

Aregoland verschickt keine Vorwarnung — kein Push, keine E-Mail. Der Server vergisst still, der Client reagiert beim nächsten Versuch automatisch (siehe Auto-Reset unten).

Was bei „Konto zurücksetzen" und Auto-Cleanup gemeinsam passiert

Manueller Reset (Punkt 1) und Auto-Cleanup nach längerer Inaktivität (Punkt 4) nutzen denselben Server-Code-Pfad. Konkret heißt das:

Welche Server-Daten Aregoland überhaupt speichert

Aregoland speichert das technisch notwendige Minimum, damit Routing zwischen Geräten und Kinderschutz funktionieren. Folgende Tabelle listet alle Server-Datenkategorien mit Aufbewahrungsdauer und Zweck. Jede Kategorie hat eine Frist — es gibt keine, die einfach für immer liegen bleibt.

Manche Kategorien haben keine eigene Uhr, sondern hängen an einem Haus oder an einem Konto: sie verschwinden in dem Moment, in dem das verschwindet. Dort steht die Kette samt ihrer Endzahl. Wichtig dabei: die 30 Tage ohne Aktivität betreffen nur den Eintrag eines Hauses in der Suche — das Haus selbst lebt danach weiter, es ist nur nicht mehr auffindbar. Alles, was an einem Haus hängt, endet mit dem Haus. Und ein Haus endet nicht zwangsläufig mit seinem Gründer: fällt dessen Konto weg (6 Monate ohne Lebenszeichen, mit EUDI-Wallet 1 Jahr), bleibt das Haus noch 60 Tage stehen. Übernehmen kann es in dieser Zeit niemand mehr: eine Gründer-Übertragung muss beantragt, von uns freigegeben und vom neuen Gründer angenommen sein, bevor das Konto wegfällt. Sonst fällt das Haus nach den 60 Tagen. Nur ein Haus, das der Gründer auf „Auflösen" gestellt hat, geht sofort mit seinem Konto.

Der Gründer muss auf nichts davon warten. Schließt er sein Haus in der App, räumt der Server im selben Moment alles weg, was zu diesem Haus gehört — Gründer-Anker, Kurzkennung, Lesekreise, Knoten und die Anhänge im Rückfall-Speicher. Die Zeiträume oben sind also die Obergrenze für den Fall, dass niemand mehr nach einem Haus schaut, nicht die Regel-Wartezeit.

Daten Aufbewahrung Zweck
Konto-Eintrag: Aregoland-ID, EUDI-Hash, Heartbeat-Zeitstempel, FSK-Stufe, Verwalter-Verknüpfung, ein paar Konto-Schalter (z. B. „Anrufe erlaubt"). Dazu die Geräte-Verknüpfung unter einem EUDI-Hash (Gerätename, letzter Kontakt). Ohne EUDI-Wallet: 6 Monate ohne Heartbeat → gelöscht. Mit EUDI-Wallet: 1 Jahr ohne Heartbeat → gelöscht; dabei zählt der jüngste Heartbeat über alle unter demselben Hash verknüpften Geräte. Routing zwischen Geräten, Kinderschutz, Missbrauchsprävention
AL-ID-Vergabe (welche AL-ID zu welcher Aregoland-ID bzw. zu welchem EUDI-Hash gehört) Geht mit dem Konto: beim Zurücksetzen und beim Auto-Cleanup wird die Zuordnung mit gelöscht — keine Frist, kein Rest. Ersetzt wird sie außerdem, wenn ein Gerät vom Konto abgespalten wird. Auch jedes Haus hat eine eigene Kurzkennung. Sie wird gelöscht, sobald das Haus wirklich weg ist — schließt du dein Haus, ist sie sofort weg. Nimmst du dein Haus dagegen nur aus der Suche, bleibt sie stehen: das Haus gibt es ja weiter und es soll seine Nummer behalten. Eindeutige Kurzkennung, die nicht doppelt vergeben wird
Unsere eigenen Vermerke zu einzelnen Nummern: welche Nummer wir gegen einen Nachweis freigegeben oder von Hand an ein Haus vergeben haben, welche Gutscheine es gibt, welche Nummer wir gegen ein Namensrecht zurückgenommen haben und aus welchem Grund, und welche Sperrwörter wir schon einmal durch den Bestand geschickt haben Dauerhaft — in keiner dieser Zeilen steht ein Mensch. Sie sagen etwas über eine Nummer („diese hier durfte vergeben werden, und das ist der Grund") oder über eine Aufräum-Arbeit von uns. Wer einen Gutschein eingelöst hat, steht nicht dabei, und bei einer von Hand vergebenen Haus-Adresse steht nicht, welches Haus sie bekommen hat. Dauerhaft, weil eine Nummer nie ein zweites Mal vergeben wird: der Vermerk erklärt sie auch in zehn Jahren noch, und ein einmal anerkannter Namensnachweis muss so lange gelten wie sein Träger. Bei einer zurückgenommenen Nummer ist der Grund sogar das Einzige, was dir den Tausch erklärt — du bekommst ihn beim nächsten Anmelden zu lesen, und dafür muss der Satz stehen bleiben. Diese Nummer selbst wird übrigens wieder frei; der Vermerk sagt nur, warum sie einmal getauscht wurde, nicht wer sie getragen hat. Nummern gegen Nachweis vergeben und davor schützen, wieder eingezogen zu werden — und einen Zwangstausch begründen können
Einträge der Häuser, die in der Suche stehen (Name, Beschreibung, Sprache, Schlagworte, Mitgliederzahl, Gründer, FSK-Stufe), dazu Kalender-Abo und Kalender-Feed dieser Häuser 30 Tage ohne Aktivität → Eintrag gelöscht; Kalender-Abo und Feed gehen im selben Lauf mit. Die öffentliche Seite eines Hauses liegt nicht bei uns, sondern auf einem Knoten des Hauses. Der Server speichert keine Mitglieder-Liste — nur die Anzahl. Haus-Suche, Beitritt, Kalender-Abo
Offene Beitritts-Anfragen, Kanal-Lesekreise, öffentlich gestellte Dateien und die Alters-Stufe eines Hauses Beitritts-Anfragen: höchstens 30 Tage. Entscheidet der Gründer, bleibt seine Antwort so lange liegen, bis dein Gerät sie abgeholt hat — sonst ginge sie verloren, wenn du in dem Moment offline bist. Abgeholt heißt weg: dein Gerät bestätigt den Empfang und die Zeile wird sofort gelöscht. Holt sie niemand ab, wird sie nach 30 Tagen von selbst gelöscht; dieselbe Frist gilt für eine Anfrage, die nie entschieden wird. Alles Übrige geht mit dem Haus — und das Haus geht spätestens mit dem Konto seines jeweiligen Gründers (6 Monate ohne Lebenszeichen, mit EUDI-Wallet 1 Jahr) — bei „Weitergeben" erst nach den 60 Tagen Standzeit, und bekommt das Haus in dieser Zeit einen neuen Gründer, zählt ab da sein Konto. Vorher schon weg: sobald der Gründer sein Haus schließt oder sobald eines der beiden Konten gelöscht wird. Lesekreise werden außerdem ersetzt, wenn der Gründer sie neu setzt. Beitritt freigeben, Kanäle auf einen Lesekreis begrenzen, Dateien öffentlich stellen, Alters-Stufe des Hauses
Gründer-Anker der Häuser (wer welches Haus gegründet hat) Geht mit dem Haus — und das Haus geht mit dem Konto seines jeweiligen Gründers (6 Monate ohne Lebenszeichen, mit EUDI-Wallet 1 Jahr) — bei „Weitergeben" erst nach den 60 Tagen Standzeit, und bekommt das Haus in dieser Zeit einen neuen Gründer, zählt ab da sein Konto. Gründer-Rechte prüfen — auch bei Häusern, die nicht in der Suche stehen
Einladungs-Codes für Häuser (Kurzcode, Haus-Name, Rolle, Gründer) Solange der Code gilt — mit der Laufzeit, die beim Ausstellen gewählt wurde; ohne Ablaufdatum höchstens 1 Jahr. Meldet sich das Gerät des Ausstellers 3 Tage lang nicht, wirkt der Code schon vorher nicht mehr. Einladung ans richtige Haus leiten
Anmelde-Schlüssel deiner Geräte (nur als Prüfwert, mit Geräte-Kennung und Ablauf) 12 Stunden; geht das Gerät aus deinem Konto, sofort weg. Nicht in den Sicherungen. Angemeldet bleiben, auch über einen Neustart unseres Servers
Kurzcodes fürs Verbinden zweier eigener Geräte 5 Minuten; beim Einlösen sofort weg Geräte-Kopplung
Haus-Knoten (eigene Server-Hardware eines Hauses): offener Schlüssel, Bezeichnung, Raum-Zuschnitt — plus offene Kopplungs-Anfragen Kopplungs-Anfragen: bis zum Ablauf, eingelöste nach 24 Stunden. Der Knoten-Eintrag selbst geht mit dem Haus — und das Haus geht mit dem Konto seines jeweiligen Gründers (6 Monate ohne Lebenszeichen, mit EUDI-Wallet 1 Jahr) — bei „Weitergeben" erst nach den 60 Tagen Standzeit, und bekommt das Haus in dieser Zeit einen neuen Gründer, zählt ab da sein Konto. Solange das Haus läuft, bleibt auch ein zurückgezogener Knoten als widerrufen vermerkt: nur so lässt sich sein alter Schlüssel nicht wiederverwenden. Eigene Haus-Hardware anmelden und wiedererkennen
Push-Adressen (FCM/Web-Push-Tokens) 90 Tage ohne Aktualisierung Weckruf zustellen (inhaltsfrei — der Text steht nur auf dem Gerät)
Erinnerungs-Weckzeiten (nur Zeitpunkt und Aregoland-ID, kein Inhalt) Bis zum Wecken; Reste spätestens 24 Stunden nach dem Termin Erinnerung auch bei geschlossener App auslösen
Sperr-Zeitpunkt für alte Verwalter-Anfragen: eine einzige Zahl an deinem Konto-Eintrag — kein Verlauf, kein Name, kein Verwalter 24 Stunden, dann weggeräumt; weil einmal pro Stunde aufgeräumt wird, sind es in der Praxis höchstens gut 25. Länger wäre zwecklos: eine Bitte um eine Verwalter-Verknüpfung lebt selbst nur 24 Stunden. Wird dein Konto gelöscht, geht die Zahl mit ihm. Eine gelöste Verwalter-Verknüpfung lässt sich nicht mit derselben alten Bitte wieder herstellen
Ein neues Gerät eines Kindes unter 12, das auf das Ja seines Verwalters wartet: die Kennung des Geräts, das Konto, zu dem es gehören soll, wer gefragt hat, wie das Gerät heißt und wann gefragt wurde — und nach einem Ja, wer Ja gesagt hat und wann. Kein Inhalt, kein Schlüssel. 7 Tage ab der Frage (nach einem Ja: ab dem Ja). Kommt keine Antwort, gilt das als Nein, und die Frage ist weg. Vorher schon weg: bei einem Nein, wenn das Kind die Frage zurückzieht, sobald das Gerät nach dem Ja verbunden ist — und in derselben Sekunde, in der das Konto des Kindes gelöscht wird oder das Konto, von dem aus gefragt oder freigegeben wurde. Ein Verwalter entscheidet, ob ein neues Gerät zu seinem Kind gehört
FSK-Freigaben für Häuser Geht mit dem Haus — und das Haus geht mit dem Konto seines jeweiligen Gründers (6 Monate ohne Lebenszeichen, mit EUDI-Wallet 1 Jahr) — bei „Weitergeben" erst nach den 60 Tagen Standzeit, und bekommt das Haus in dieser Zeit einen neuen Gründer, zählt ab da sein Konto. Unabhängig davon gilt die Freigabe schon nach 30 Tagen ohne Lebenszeichen des Hauses nicht mehr: dann zählt wieder FSK 18. Vorher schon weg, sobald das Haus aus der Freigabe-Liste genommen wird. FSK-Stufen-Durchsetzung (Kinderschutz)
Sperren und Widerrufe: Konto-Sperren auf Zeit, Haus-Banns, Kontakt-Sperren, Geräte-Widerrufe (signiertes Flag „dieses Gerät gehört nicht mehr zum Konto") und Fern-Stilllegungen (signiertes Flag „dieses Gerät ist bis auf Weiteres zu") 6 Monate, nachdem die Sperre aufgehört hat zu wirken — also nach ihrem Ablauf oder nachdem sie zurückgenommen wurde. Solange sie wirkt, bleibt sie. Die 6 Monate sind kein Hausgebrauch: der EU-Digital-Services-Act gibt jedem mindestens sechs Monate Zeit, sich gegen eine solche Entscheidung zu beschweren — so lange bleibt sie darum nachvollziehbar. Geräte-Widerrufe und Fern-Stilllegungen haben keine eigene Uhr, sie gehen mit dem Konto (6 Monate ohne Lebenszeichen, mit EUDI-Wallet 1 Jahr); eine Stilllegung fällt außerdem sofort, sobald das Gerät wieder aufgesperrt ist. Kontakt-Sperren und Haus-Banns gehen außerdem sofort, sobald das Konto bzw. das Haus verschwindet, um das es geht. Missbrauchsprävention, verlorene Geräte aussperren
Grabsteine gelöschter Aregoland-IDs 30 Tage Gelöschte Geräte sicher auf „Konto weg" laufen lassen, statt sie wiederzubeleben
EUDI-Hash-Spur nach einer automatischen Gruppen-Löschung 6 Monate — oder früher: sobald sich derselbe EUDI-Hash neu registriert, ist die Spur sofort weg. Hinweis „du hattest hier schon einmal eine ID" beim Wiederkommen
Anträge auf Übertragung eines Hauses an einen anderen Gründer: die beiden Geräte-Kennungen, die vom bisherigen Gründer unterschriebene Übergabe, der Stand des Antrags und ein Ablehnungsgrund 6 Monate ab der letzten Bewegung — auch ein freigegebener Antrag, den niemand annimmt, läuft nach 6 Monaten aus. In jedem Fall sofort weg, sobald das Haus verschwindet oder eines der beiden beteiligten Konten gelöscht wird. Was du im Antrag schreibst — Name des künftigen Gründers, Einrichtung, deine Rückfrage-Adresse und die Begründung — legen wir gar nicht erst hier ab: das steht nur in dem Vorgang, den ein Mensch bei uns liest. Ein Gründerwechsel geht nur über einen Antrag bei uns, nicht aus der App heraus
Raum-Anhänge im Rückfall-Speicher (verschlüsselte Datei plus Vermerk, wer sie hochgeladen hat) — nur für Häuser ohne eigenen Anhang-Speicher Geht mit dem Haus oder mit dem Konto des Hochladers — je nachdem, was zuerst kommt; beides spätestens nach 6 Monaten ohne Lebenszeichen (mit EUDI-Wallet 1 Jahr). Vorher schon weg, sobald der Hochlader den Anhang löscht. Datei und Vermerk gehen dabei zusammen; eine Datei, die niemand mehr löschen könnte, bleibt nicht liegen. Das gilt für jedes Haus — auch für eines, das nie in der Suche stand: der Server kennt seinen Gründer. Anhänge in Raum-Aufgaben, wenn das Haus keinen eigenen Speicher hat
Support-Anliegen und Meldungen auf dem Server (Ticket-Nummer, deine AL-ID, das sendende Gerät, die Zeit und unsere Antwort, bis du sie abgeholt hast) sowie eine Tageszählung ohne Personenbezug Unsere Antwort wird gelöscht, sobald deine App sie abgeholt hat; das Ticket selbst 24 Stunden später. Wird nichts abgeholt, ist es spätestens nach 30 Tagen weg. Die Tageszählung (wie viele Anliegen an einem Tag kamen) bleibt 90 Tage. Unsere Antwort auf dein Anliegen oder deine Meldung zu dir zurückbringen; höchstens drei Anliegen und zwanzig Meldungen pro Tag
Prüfwerte gespeicherter Meldungen (ein Prüfwert, deine AL-ID, das Gerät und die Uhrzeit — kein Inhalt der Meldung) Bis dein Konto gelöscht wird; mit dem Gerät, von dem die Meldung kam, gehen sie auch. Später bestätigen, dass eine gespeicherte Meldung echt und seit diesem Zeitpunkt unverändert ist
Anonyme Zählerstände für die öffentliche Statistik (z. B. wie viele IDs insgesamt angelegt wurden) Dauerhaft — reine Summen, kein Personenbezug Öffentliche Transparenz-Zahlen
Nginx Zugriffs-Logs werden gar nicht geschrieben Der Webserver protokolliert Zugriffe nicht — es entsteht kein Eintrag mit IP-Adresse, Zeitstempel oder aufgerufener Adresse.

Der Aufräum-Lauf läuft stündlich im Signaling-Server. Wo „ohne Heartbeat" oder „ohne Aktivität" steht, ist gemeint: in diesem Zeitraum hat der Server kein Lebenszeichen vom Gerät bzw. vom Haus gesehen. Aregoland ist quelloffen — der Code, der diese Fristen durchsetzt, ist öffentlich einsehbar (signaling-server/server.js).

Was Aregoland gar nicht erst speichert

Hilfe nötig? Falls etwas nicht funktioniert, du dein einziges Gerät verloren hast (und keine Geklaut-Meldung von einem anderen Gerät aus möglich ist) oder Fragen zu deinen Daten hast — schreib an support@aregoland.de. Wir antworten persönlich. Ohne anderes Gerät prüfen wir die Identität manuell; alternativ greift der Auto-Cleanup nach längerer Inaktivität (6 Monate ohne EUDI, 1 Jahr mit EUDI) automatisch.

Mehr zum Umgang mit deinen Daten: aregoland.eu/datenschutz