Kimda

Datenschutzerklärung

Zuletzt aktualisiert: 27. Oktober 2026

Dies ist eine maschinelle Übersetzung. Rechtlich verbindlich ist die tschechische Fassung.

Verbindlich ist die tschechische Fassung dieser Datenschutzerklärung. Übersetzungen in andere Sprachen dienen nur der Information; bei Widersprüchen gilt die tschechische Fassung.

Dieses Dokument beschreibt, welche Daten die App Kimda ("App", "wir") und die Website kimda.app verarbeiten, warum und auf welcher Rechtsgrundlage, an wen wir sie weitergeben, wie lange wir sie speichern und welche Rechte Sie und Ihre Kinder haben. Die App ist für die Nutzung durch die ganze Familie einschließlich der Kinder bestimmt — deshalb gehen wir beim Datenschutz besonders sorgfältig vor.

1. Wer ist Verantwortlicher

Verantwortlicher ist Mgr. Ivo Slávka, Betreiber der App Kimda als Gewerbetreibender eingetragen im Gewerberegister des Amts des Stadtbezirks Prag 8, Id.-Nr. 30070929, mit Sitz in Bergerova 1115/2, 182 00 Praha 8 – Kobylisy, Tschechische Republik. Kontakt-E-Mail für Fragen zum Datenschutz und zur Ausübung Ihrer Rechte: privacy@kimda.app.

2. Welche Daten wir verarbeiten und warum

Kontodaten: Vorname, Nachname, Telefonnummer, Rolle (Elternteil/Kind), gewählte Sprache und Design, optionales Profilfoto, die Version dieser Datenschutzerklärung und der Zeitpunkt, zu dem Sie ihr zugestimmt haben, bei einem Elternteil der Zeitpunkt, zu dem er seine Volljährigkeit bestätigt hat, und bei einem Kind der Zeitpunkt, die Version der Datenschutzerklärung und der Elternteil, der für das Kind eingewilligt hat (Abschnitt 5). Ihr Name und Ihr Profilfoto sind für andere Mitglieder Ihrer Familie in der App sichtbar (ein Elternteil sieht alle Mitglieder, ein Kind sieht seine Eltern und Geschwister).
Die Telefonnummer verwenden wir zur Identitätsprüfung (SMS-Code) und Anmeldung und ihren irreversiblen Fingerabdruck auch zum Schutz des Premium-Testzeitraums (Abschnitt 6), nach einer Nummernänderung zur Überprüfung einer Anfrage auf Rückgabe eines übernommenen Kontos (Sicherheitseinträge unten) und nach einer Wiederherstellung der Datenbank aus einem Backup zum Zurückhalten einer Anmeldung mit einer Nummer, die das Konto zuvor verlassen hat (Journal der Telefonnummernänderungen unten) - die App schreibt sonst niemandem an diese Nummer und gibt sie nicht an Dritte weiter, außer an den Anbieter der SMS-Verifizierung (Twilio, siehe Abschnitt 4).
Familiendaten: Name der Familie, wer zu ihr gehört, welche Rollen und Einstellungen die Mitglieder haben (Prozentsätze für die Aufteilung des Taschengelds, Währung, Sprache und Zeitzone der Familie) und der Verlauf der Änderungen von Finanzregeln (wer wann z. B. Zinsen, Aufteilungsprozentsätze, Währung oder Zeitzone von welchem Wert auf welchen geändert hat).
Beitrittsanfragen: Vorname, Nachname, Rolle und Telefonnummer der Person, die der Familie beitreten möchte, sowie der Zeitpunkt der Anfrage - damit der Elternteil sieht, wen er genehmigt.
Anträge auf elterliche Zustimmung: Art des Antrags (Entfernung eines Elternteils oder Löschung der gesamten Familie), wer ihn gestellt hat, wen er betrifft und wer ihn genehmigt, abgelehnt oder abgebrochen hat (interne Kennungen), Zeitpunkte (Einreichung, Frist, Erinnerung, Erledigung) und Ergebnis (genehmigt, abgelehnt, abgebrochen, nach Fristablauf ausgeführt oder ungültig geworden); Namen, Telefonnummern oder Freitext speichern wir nicht. Anträge sind für die Eltern der Familie in der App sichtbar.
Aufgabendaten: Name der Aufgabe, Punkte, wann sie erledigt/genehmigt/abgelehnt wurde, und Fotos, sofern die Aufgabe ein Foto erfordert, einschließlich des technischen Fingerabdrucks des Fotos (siehe Abschnitt 3).
Pläne, Routinen und Erinnerungen: wem eine Aufgabe zugewiesen ist, geplanter Tag und Uhrzeit, Erledigungsstatus, Verspätung, Reihenfolge der Rotation und ob eine Erinnerung gesendet wurde.
Belohnungen und Ziele: der Belohnungskatalog der Familie, Anfragen nach Belohnungen, Sparziele und Beträge, die ein Kind auf ein Ziel übertragen hat. Die Elternübersicht leitet aus diesen Daten eine zusammengefasste Erledigungsquote, Pünktlichkeit und Ausgewogenheit der Zuteilung ab; sie erstellt keine öffentliche Rangliste der Kinder.
Finanzdaten in der App: Punkte, virtuelles Taschengeld und dessen Aufteilung, Auszahlungsanfragen, Darlehen und Zinsen innerhalb der Familie - es handelt sich um interne Aufzeichnungen der App, nicht um echte Bank- oder Zahlungsdaten. Die App hat keinen Zugriff auf Bankkonten oder Zahlungskarten. Die monatliche Zusammenfassung eines Kindes (Anzahl der genehmigten Aufgaben, Punkte und mit Premium auch der Betrag für den aktuellen Monat; nicht die Box-Guthaben) ist auch für andere Kinder in derselben Familie sichtbar, es sei denn, ein Elternteil deaktiviert dies in den Familieneinstellungen.
Einträge über Direktauszahlungen und manuelle Rückzahlungen: wenn ein Elternteil in der App einem Kind einen Teil seines Guthabens direkt auszahlt (ohne Anfrage des Kindes) oder die Rückzahlung seines Darlehens manuell erfasst, speichert der Server über jede solche Operation einen separaten Eintrag, der nicht weiter geändert wird. Er enthält interne Kennungen der Familie, des Kindes und des Elternteils, der die Operation durchgeführt hat, die Art der Operation (Direktauszahlung, manuelle Rückzahlung), den Betrag, bei einer Auszahlung die Box, aus der ausgezahlt wurde, und die Aufschlüsselung des Betrags (bei einer Auszahlung in den Teil aus eigenen Einzahlungen und den Teil aus gutgeschriebenen Zinsen, bei einer Rückzahlung in Tilgung und Zinsen), den Zeitpunkt der Operation und eine zufällige Kennung der Anfrage. Der Eintrag dient dazu, belegen zu können, was und wann der Elternteil in der App erfasst hat, und damit ein möglicher Streit in der Familie anhand des Eintrags und nicht nur anhand des Endguthabens beurteilt werden kann. Es handelt sich um eine interne Erfassung der App - die App selbst überweist kein Geld. Die Einträge sind Teil des Datenexports (Abschnitt 7) und werden gemäß Abschnitt 6 aufbewahrt.
Abonnements: der Abonnementstatus der Familie (Probezeitraum, Premium, dessen Gültigkeit und Verlängerung) und ein eventueller kostenloser Zugang über einen Promo-Code; die Promo-Codes selbst speichert der Server nur als HMAC-Fingerabdruck und protokolliert die Code-Verwaltung (wer, wann, welche Aktion). Zahlungsdaten sehen wir nicht - die Zahlung wird von Apple oder Google abgewickelt. Der Nachweis über die Zustimmung zum sofortigen Beginn von Premium, den wir als Beleg für diese Zustimmung aufbewahren, wird in Abschnitt 6 beschrieben.
Anmeldung und Sicherheit: Anmeldesitzungen der einzelnen Geräte (wann erstellt, wann zuletzt verwendet und bis wann gültig). Der Elternteil sieht im Profil eine Übersicht seiner angemeldeten Geräte (nur Zeitpunkt der Anmeldung und der letzten Nutzung, ohne IP-Adresse und Gerätename) und kann diese einzeln abmelden. Der Server speichert Aktualisierungstoken nur als SHA-256-Fingerabdrücke, einschließlich der Fingerabdrücke bereits ersetzter Token, um den Missbrauch eines gestohlenen Tokens zu erkennen. Bei der Anforderung eines SMS-Codes speichert er einen schlüsselbasierten Fingerabdruck (HMAC-SHA-256) der Telefonnummer und den SHA-256-Fingerabdruck der einmaligen Herausforderung zusammen mit der Anzahl der Versuche, bei einer Nummernänderung und bei der Bestätigung der Löschung der Familie auch deren Zweck und die interne Kontokennung. Er berechnet Ratenlimits, einschließlich des Tageslimits für gesendete SMS, basierend auf dem schlüsselbasierten Fingerabdruck (HMAC-SHA-256) der IP-Adresse oder ihres Netzwerks (IPv4 /24, IPv6 /56), der Telefonnummer, eines Paares aus Telefonnummer und Netzwerk oder des Kontos, oder basierend auf dem Land oder der Telefonvorwahl. Der Server leitet den Schlüssel für diese Fingerabdrücke aus einem geheimen, außerhalb der Datenbank gespeicherten Schlüssel ab, sodass der Fingerabdruck ohne diesen nicht in die Telefonnummer oder IP-Adresse zurückübersetzt werden kann. Sicherheitseinträge zu wichtigen Ereignissen (z. B. Anmeldung, Beitrittsanfrage, Genehmigung, Ablehnung oder Entfernung eines Mitglieds, neuer Einladungscode, Abmeldung eines Geräts, Änderung der Telefonnummer, Bestätigung der Datenschutzerklärung, Einwilligung eines Elternteils für ein Kind oder Verdacht auf Token-Missbrauch) enthalten den Ereignistyp, den Zeitpunkt und interne Kennungen; bei der Entfernung eines Mitglieds zusätzlich dessen Rolle (Elternteil/Kind), bei der Bestätigung der Datenschutzerklärung und der Einwilligung eines Elternteils die Version der Datenschutzerklärung und bei der Löschung des Kontos eines Kindes, das Schulden, ein Guthaben oder offene Anfragen hatte, auch die Währung, abgeschriebene Beträge und die Anzahl der offenen Anfragen. Der Eintrag über eine Änderung der Telefonnummer enthält zusätzlich einen irreversiblen Fingerabdruck der ursprünglichen Nummer (HMAC mit geheimem Schlüssel), damit der Support überprüfen kann, ob eine Anfrage auf Rückgabe eines übernommenen Kontos vom wahren Inhaber der ursprünglichen Nummer gestellt wird. Namen, Telefonnummern und IP-Adressen sind darin nicht enthalten. Änderungen der Telefonnummer sowie das Entfernen oder Wiederherstellen eines Familienmitglieds werden darüber hinaus in ein separates Journal eingetragen, das der Aufzählungspunkt „Journal der Änderungen von Telefonnummer und Mitgliedsstatus“ unten beschreibt.
Sicherheitsbenachrichtigungen: wenn sich ein Elternteil mit einem SMS-Code anmeldet, erhalten die anderen Eltern in der Familie eine allgemeine Benachrichtigung ohne Name und Telefonnummer; bei jeder Anmeldung mit einem SMS-Code (eines Elternteils und eines Kindes) erhalten auch die bisher angemeldeten Geräte desselben Kontos eine allgemeine Benachrichtigung über die neue Anmeldung. Bei einer Änderung der Telefonnummer (die neue Nummer wird per SMS-Code verifiziert) meldet der Server die übrigen angemeldeten Geräte des Kontos ab und die bisherigen Geräte des Kontos sowie die Eltern in der Familie erhalten eine allgemeine Benachrichtigung; die ursprüngliche Nummer wird nicht weiter aufbewahrt – es verbleiben nur ihr irreversibler Fingerabdruck im Sicherheitseintrag über die Änderung (30 Tage, siehe Abschnitt 6), irreversible Fingerabdrücke der ursprünglichen und der neuen Nummer im Journal der Telefonnummernänderungen (60 Tage, siehe unten und Abschnitt 6) und bei einem Elternteil, der während des Testzeitraums der Familie Mitglied der Familie war, auch ein Fingerabdruck gemäß Abschnitt 6. Wenn der Support die Nummer auf Antrag des Kontoinhabers wiederherstellt, überprüft er zunächst dessen Identität: mit einem SMS-Code, der an die ursprüngliche Nummer gesendet wird, deren Fingerabdruck mit dem Fingerabdruck im Eintrag über die Nummernänderung übereinstimmen muss. Wenn eine solche Überprüfung nicht möglich ist (der Eintrag über die Änderung existiert nicht mehr oder der Inhaber hat die ursprüngliche Nummer nicht), überprüft er sie durch eine Bestätigung von einem anderen Elternteil in der Familie (verifiziert durch einen an die Nummer dieses Elternteils gesendeten SMS-Code) und mit Antworten auf Fragen, die der Support stellt; in diesem Fall sendet er zunächst eine Benachrichtigung an die Geräte des Kontos und an die Eltern in der Familie und gibt die Nummer frühestens in 72 Stunden zurück, sofern niemand widerspricht; Sie sehen diese Benachrichtigung nach der Anmeldung und direkt in der App während der gesamten Frist. Ohne eine solche Überprüfung stellt er die Nummer nicht wieder her und storniert keine Anfrage – er kann nur alle Geräte des Kontos abmelden. Wenn der Support dasselbe Konto in den letzten 30 Tagen bereits einmal zurückgegeben hat, betrachtet er den nächsten Antrag als Streitfall und stellt die Nummer ohne weitere Prüfung nicht wieder her. Nach der Wiederherstellung meldet der Server das Konto auf allen Geräten ab, die Eltern in der Familie erhalten eine allgemeine Benachrichtigung und der Eingriff wird protokolliert (wer ihn durchgeführt hat, wann, welches Konto er betrifft und ein Verweis auf Ihren Antrag – ohne Telefonnummer). Eine allgemeine Benachrichtigung erhalten Eltern auch bei der Löschung des Kontos eines Kindes, bei der Entfernung eines anderen Elternteils (auch der entfernte Elternteil) und bei Verdacht auf Missbrauch eines Anmeldetokens; in diesem Fall meldet der Server das Konto auf allen Geräten ab und storniert seine Registrierungen für Benachrichtigungen. Sicherheitsbenachrichtigungen (z. B. über eine neue Anmeldung oder ein neues Gerät, eine Änderung der Telefonnummer, eine Änderung der Finanzregeln, die Entfernung eines Mitglieds, die Löschung des Kontos eines Kindes oder den Verdacht auf Token-Missbrauch) speichert der Server zunächst in einer Warteschlange (Art der Benachrichtigung, Empfänger - Push-Token des Geräts oder interne Kennung der Familie oder des Kontos und Sprache - und allgemeiner technischer Ereignistyp) und stellt sie erst von dort aus zu; Benachrichtigungen bei der Rückgabe eines übernommenen Kontos durch den Support (siehe oben) sendet er direkt. Wenn die Zustellung der Benachrichtigung an die Eltern oder an die Geräte des Kontos eines Familienmitglieds auch nach wiederholten Versuchen nicht gelingt, speichert der Server nur die interne Kennung der Familie, die Art der Benachrichtigung und den Zeitpunkt (ohne Push-Token und ohne Namen), damit der Elternteil nach der nächsten Anmeldung in der App sehen kann, um welche Benachrichtigung es sich handelte, und diese bestätigen kann; hat der Empfänger kein Gerät, an das eine Benachrichtigung gesendet werden kann, wird ein solcher Eintrag nicht erstellt. Aufbewahrungsfristen werden in Abschnitt 6 festgelegt.
Journal der Änderungen von Telefonnummer und Mitgliedsstatus: neben den obigen Sicherheitseinträgen führt der Server für jede Änderung der Telefonnummer des Kontos (sei es, dass Sie diese selbst im Profil vornehmen oder dass der Support sie auf Ihre Anfrage hin vornimmt) und für jedes Entfernen oder Wiederherstellen eines Familienmitglieds einen separaten Eintrag im Journal. Der Eintrag enthält eine zufällige Kennung des Eintrags, interne Kennungen des Kontos und der Familie, die Art des Ereignisses (Nummernänderung, Wiederherstellung der Nummer durch den Support, Entfernung eines Mitglieds, Wiederherstellung eines Mitglieds), den Zeitpunkt des Ereignisses und - nur bei einer Nummernänderung - irreversible Fingerabdrücke der ursprünglichen sowie der neuen Nummer (HMAC-SHA-256 mit einem geheimen Schlüssel, der außerhalb der Datenbank gespeichert ist). Beim Entfernen und Wiederherstellen eines Mitglieds sind keine Fingerabdrücke vorhanden. Telefonnummern, Namen und IP-Adressen sind im Journal nicht enthalten. Der Fingerabdruck kann ohne den geheimen Schlüssel nicht in eine Telefonnummer zurückgeführt werden; da er jedoch mit der internen Kennung des Kontos verknüpft ist, handelt es sich um pseudonyme und nicht um anonyme Daten. Das Journal dient nur dem Schutz vor den Folgen einer Wiederherstellung der Datenbank aus einem Backup: damit nicht eine Nummer zum Konto zurückkehrt, die das Konto zwischenzeitlich verlassen hat (und die möglicherweise jemand anderes übernommen hat), und damit die Entfernung eines Familienmitglieds, die im Backup nicht enthalten ist, erneut wirksam wird. Der Server vergleicht daher bei der Anmeldung per SMS-Code und bei der Verifizierung der Telefonnummer den Fingerabdruck der eingegebenen Nummer mit dem letzten Eintrag des Journals; stimmt dieser nicht überein, hält er die Anmeldung zurück und verweist an den Support. Der Eintrag wird in der Datenbank und in der Regel innerhalb weniger Minuten auch in einer Kopie in einem separaten, nicht öffentlichen Speicher Cloudflare R2 (Abschnitt 4) gespeichert, damit er den Verlust der Datenbank zwischen den Backups übersteht. Die Aufbewahrungsfristen sind in Abschnitt 6 festgelegt.
Technische Daten: Push-Token und eine zufällige Gerätekennung, die die App zur Zustellung von Benachrichtigungen erstellt (keine Hardwarekennung), den Zeitpunkt der letzten Geräteregistrierung, die Anmeldung, zu der die Registrierung gehört, und den SHA-256-Fingerabdruck eines zufälligen Installationsgeheimnisses, mit dem das Gerät nachweist, dass das Push-Token zu ihm gehört. Nach Freigabe der Registrierung (Abmeldung, Entfernung eines Mitglieds, Sicherheitssperre oder automatische Bereinigung) merkt sich der Server zwei zeitlich begrenzte Einträge, damit ein fremdes Konto die Benachrichtigungen des Geräts nicht übernehmen kann: (a) den Datensatz über das freigegebene Push-Token - SHA-256-Fingerabdrücke des Push-Tokens und des Installationsgeheimnisses, die interne Kennung der Familie und den Zeitpunkt der Freigabe (so kann das freigegebene Token nicht von einem Konto aus einer anderen Familie übernommen werden); und (b) den Datensatz über das freigegebene Gerät - die interne Kennung des Kontos, die zufällige Gerätekennung, dieselben Fingerabdrücke und den Zeitpunkt der Freigabe (so kann das freigegebene Gerät nicht ohne den Nachweis, dass es sich um dieselbe Installation handelt, erneut von einer anderen Anmeldesitzung desselben Kontos, beispielsweise einer gestohlenen, belegt werden). Der Server bewahrt ferner 30 Tage lang einen Datensatz über die Geräteregistrierung auf (interne Kennung des Kontos und des Geräts, Fingerabdruck des Push-Tokens, Ereignisart und Zeitpunkt), anhand dessen er das Limit für Registrierungen neuer Geräte in 24 Stunden überwacht. Die Aufbewahrungsfristen sind in Abschnitt 6 festgelegt; ein Datensatz über ein freigegebenes Gerät wird bei Löschung des Kontos nicht geführt. Ferner Server-Betriebsprotokolle (z. B. Fehlerzustände) ohne Telefonnummern und Anfrageinhalte. Auf dem Telefon speichert die App Anmeldetoken in einem sicheren Speicher und merkt sich die gewählte Sprache und das Design; sie teilt die gewählte Sprache auch dem Server mit, damit Benachrichtigungen in Ihrer Sprache ankommen. Was die App direkt an die Dienste Expo und Sentry sendet, ist in Abschnitt 4 beschrieben.

Warum wir Daten verarbeiten und auf welcher Rechtsgrundlage:

Familienkonto und App-Funktionen (Registrierung, Familie, Aufgaben und Fotos, Pläne, Erinnerungen, Belohnungen, Ziele, Taschengeld einschließlich der Einträge über Direktauszahlungen und manuelle Rückzahlungen, Benachrichtigungen und Abonnements): Vertragserfüllung, also der Nutzungsbedingungen (Art. 6 Abs. 1 lit. b DSGVO). Einträge über Direktauszahlungen und manuelle Rückzahlungen und die Historie der Änderungen von Finanzregeln verarbeiten wir zudem auf Grundlage unseres berechtigten Interesses an der Nachweisbarkeit von Finanzoperationen und Regeln in der App und an der Beilegung von Streitigkeiten in der Familie (Art. 6 Abs. 1 lit. f DSGVO). Den Nachweis über die Zustimmung zum sofortigen Beginn von Premium und dessen Kopie außerhalb der Datenbank verarbeiten wir zudem auf Grundlage unseres berechtigten Interesses am Nachweis dieser Zustimmung und an der Verteidigung von Rechtsansprüchen (Art. 6 Abs. 1 lit. f DSGVO). Zu den Daten von Kindern siehe Abschnitt 5.
Anmeldung verifiziert durch SMS-Code: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) - ohne verifizierte Telefonnummer ist eine Anmeldung in der App nicht möglich.
Sicherheit und Schutz vor Missbrauch (Sitzungen und Token-Fingerabdrücke, SMS-Code-Herausforderungen, Ratenlimits und SMS-Tageslimit, Sicherheitseinträge, Journal der Änderungen von Telefonnummer und Mitgliedsstatus, Speicher freigegebener Push-Token und Geräte, Eintrag über die Geräteregistrierung und Limit für die Registrierung neuer Geräte in 24 Stunden, Warteschlange für Sicherheitsbenachrichtigungen und Verzeichnis unzustellbarer Benachrichtigungen, Betriebsprotokolle, Telefonnummer-Fingerabdruck gegen wiederholte Inanspruchnahme des Testzeitraums, Anträge auf elterliche Zustimmung, die die Familie vor einer einseitigen Entfernung eines Elternteils oder Löschung schützen, und Identitätsprüfung, wenn der Support ein übernommenes Konto zurückgibt, einschließlich der Protokollierung solcher Eingriffe): unser berechtigtes Interesse am sicheren Betrieb des Dienstes, am Schutz der Konten von Eltern und Kindern und an der Abwehr von Missbrauch der SMS-Verifizierung (Art. 6 Abs. 1 lit. f DSGVO).
Fehlerbehebung und App-Updates (Fehlerberichte über Sentry, Updates über Expo): unser berechtigtes Interesse an einer stabilen und sicheren App (Art. 6 Abs. 1 lit. f DSGVO).
Bearbeitung Ihrer Anfragen gemäß Abschnitt 7 und Nachweis darüber, wie und wann wir sie bearbeitet haben (z. B. der Status einer durchgeführten Löschung, das Protokoll der durchgeführten Löschungen und die Aufgabe der externen Löschung): Erfüllung einer rechtlichen Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO).
Messung von Werbung auf der Website kimda.app (Meta Pixel): Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), siehe Abschnitt 9.

Gegen die Verarbeitung aufgrund eines berechtigten Interesses können Sie Widerspruch einlegen (Abschnitt 7). Die Telefonnummer ist für die Registrierung und Anmeldung erforderlich; ohne sie kann die App nicht genutzt werden. Das Profilfoto ist freiwillig und ein Foto einer erledigten Aufgabe wird nur für Aufgaben benötigt, bei denen der Elternteil dies verlangt. Wir verwenden keine automatisierte Entscheidungsfindung oder Profiling mit rechtlicher oder ähnlich erheblicher Wirkung (Art. 22 DSGVO); automatische Sicherheitslimits, die beispielsweise weitere SMS-Code-Versuche vorübergehend blockieren, dienen nur dem Schutz der Konten und des Dienstes.

3. Fotos zu Aufgaben

Fotos, die ein Kind (oder ein Elternteil für dieses) zu einer Aufgabe hochlädt, sehen nur Mitglieder derselben Familie (Eltern und Kinder in der App). Sie sind nicht öffentlich, und die App teilt sie mit keiner anderen App und keinem sozialen Netzwerk. Ein Foto zu einer Aufgabe kann nur mit der Kamera in der App aufgenommen werden. Die App und danach nochmals der Server entfernen vor dem Speichern Metadaten (wie GPS-Standort oder Kameradaten) aus dem Foto. Die Fotos werden in einem nicht öffentlichen Objektspeicher (siehe Abschnitt 4) gespeichert und der Server gibt sie nur an ein angemeldetes Mitglied derselben Familie heraus. Ein Elternteil kann jederzeit ihre Löschung verlangen.

Für jedes hochgeladene Foto berechnet der Server einen technischen Fingerabdruck (Prüfsumme und ein vereinfachter 64-Bit-Bildfingerabdruck). Er dient nur dazu, dass die App erkennt, wenn dasselbe oder ein fast identisches Foto erneut für eine Aufgabe verwendet wird, und dass das Foto zu der Aufgabe gehört, für die das Kind es gerade in der App aufgenommen hat. Aus dem Fingerabdruck lässt sich das Foto weder anzeigen noch wiederherstellen, und er wird zusammen mit dem Foto gelöscht. Der Datensatz zur Zeitabfrage für das Foto (wer es in der App angefordert hat, für welche Aufgabe und wann) wird vom Server nach 7 Tagen gelöscht. Der Elternteil sieht beim Foto eine Warnung, wenn das Foto keine gültige Zeitprüfung der App hat oder einem früheren Foto sehr ähnlich ist, als Hilfe bei der Genehmigung; die Prüfung garantiert nicht, dass das Foto nicht gefälscht werden kann.

4. An wen wir Daten weitergeben und Übermittlung in Drittländer

Wir geben Daten nur an Anbieter weiter, die den Betrieb der App für uns sicherstellen (Auftragsverarbeiter), und nur in dem Umfang, den sie dafür benötigen. Die Auftragsverarbeiter dürfen die Daten nur zur Erbringung ihrer Dienstleistung für uns und nach unseren Weisungen verwenden. Apple und Google handeln bei Käufen in den Stores als eigenständige Verantwortliche.

Hosting-Anbieter (Railway) - betreibt den App-Server und die Datenbank, in der die App-Daten gespeichert sind.
Cloudflare - der private Objektspeicher R2 speichert verschlüsselt übertragene Profilfotos und Fotos erledigter Aufgaben, Datenbank-Backups (die noch vor der Übertragung so verschlüsselt werden, dass sie nur mit einem privaten Schlüssel entschlüsselt werden können, den wir außerhalb der Cloud aufbewahren), ein Protokoll der durchgeführten Löschungen (nur interne Kennungen, Art der Löschung und Zeitpunkt), das Journal der Änderungen von Telefonnummer und Mitgliedsstatus (Abschnitt 2: interne Kennungen, Art und Zeitpunkt des Ereignisses und bei einer Nummernänderung irreversible Fingerabdrücke der Nummern) und eine Kopie des Nachweises über die Zustimmung zum sofortigen Beginn von Premium (Abschnitt 6: interne Kennungen der Familie und des Nutzers, Zeitpunkt der Zustimmung, gewählter Plan, Beginn des bezahlten Zeitraums, Transaktionskennung des Stores und Version des angezeigten Textes) in nicht öffentlichen Buckets; der Zugriff auf die Fotos wird weiterhin vom angemeldeten Kimda-Backend gesteuert. Cloudflare betreibt auch die Website kimda.app (Abschnitt 9).
Twilio (Verifizierung der Telefonnummer per SMS-Code) - erhält die Telefonnummer und den von Ihnen eingegebenen Code ausschließlich zur Zustellung und Prüfung des SMS-Codes.
Expo (650 Industries) - erstens stellt es Benachrichtigungen zu: es erhält das Push-Token des Geräts, die Installationskennung für Benachrichtigungen, das native Apple- oder Google-Token, einen allgemeinen Benachrichtigungstext oder ein Emoji und einen allgemeinen technischen Ereignistyp. Datenbank-IDs, Namen, Aufgabennamen oder Beträge senden wir nicht in Push-Nachrichten. Expo leitet die Nachricht an den Push-Dienst von Apple (Apple Push Notification service) oder Google (Firebase Cloud Messaging) weiter. Zweitens stellt es App-Updates zu (EAS Update): die App fragt bei jedem Start die Expo-Server, ob eine Fehlerbehebung verfügbar ist. Dabei erhält Expo die IP-Adresse des Geräts, die Plattform, die App-Version, die Kennung des installierten Updates, gegebenenfalls den Text des letzten Fehlers, der die App zum Absturz gebracht hat, und eine zufällige Installationskennung EAS-Client-ID, die die App dauerhaft auf dem Telefon speichert und die sich auch nach der Abmeldung nicht ändert. Wir verknüpfen sie nicht mit Ihrem Konto und die App sendet sie nicht an unseren Server.
Apple und Google - als eigenständige Verantwortliche verarbeiten sie den Kauf und die Verwaltung von Abonnements im App Store und bei Google Play; als Push-Dienste (Apple Push Notification service, Firebase Cloud Messaging) stellen sie Benachrichtigungen an Geräte zu.
RevenueCat (Abwicklung von Abonnements über den App Store / Google Play, nur bei Elternkonten) - verarbeitet die Kennung der Familie, die Kaufhistorie, den Apple-Kaufbeleg oder das Google-Kauftoken, den Zeitpunkt der letzten Nutzung und technische Gerätedaten (z. B. Gerätetyp und Betriebssystem). Von Kimda erhält es weder den Namen noch die Telefonnummer eines Elternteils oder Kindes. In der App sind weder Werbe-/Attributionsintegrationen von RevenueCat noch die manuelle Erfassung von Werbekennungen aktiviert.
Sentry (technische Fehlerberichte der App und des Servers, zur Fehlerbehebung) - erhält den Fehlertyp, die Stelle im Code, die App- und Betriebssystemversion. Sowohl die App als auch der Server sind so eingestellt, dass sie weder Name, Telefonnummer, Anmeldetoken, Anfrageinhalte noch IP-Adresse an Sentry senden. Die Kimda-Organisation in Sentry wird in der EU-Datenregion (Deutschland) gehostet.
E-Mail-Anbieter (Spaceship, Dienst Spacemail) - stellt E-Mails zu und speichert sie, die Sie uns an privacy@kimda.app oder support@kimda.app senden.

Railway, Cloudflare, Twilio, Expo, RevenueCat, Sentry, Spaceship, Apple, Google und Meta (Abschnitt 9) sind Unternehmen mit Sitz oder Hintergrund in den USA und können Daten daher auch außerhalb des Europäischen Wirtschaftsraums verarbeiten. Bei Übermittlungen außerhalb des Europäischen Wirtschaftsraums verwenden wir einen Mechanismus gemäß Kapitel V der DSGVO, der sich auf den konkreten Empfänger und die Verarbeitung bezieht - in der Regel die Zertifizierung des Empfängers im Rahmen des EU-USA Data Privacy Framework (Angemessenheitsbeschluss der Europäischen Kommission, Art. 45 DSGVO) oder von der Europäischen Kommission genehmigte Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Informationen zum Mechanismus bei einem bestimmten Empfänger und dazu, wo eine Kopie der entsprechenden Garantien erhältlich ist, stellen wir Ihnen auf Anfrage unter privacy@kimda.app zur Verfügung.

Wir verkaufen keine Daten aus der App, geben sie nicht an Werbetreibende weiter und nutzen sie nicht für gezielte Werbung. Die Messung von Werbung auf der Website kimda.app mit Einwilligung des Besuchers ist in Abschnitt 9 beschrieben.

5. Einwilligung der Eltern und Rollen der Kinder

Nur eine volljährige Person darf die App einrichten (die Rolle "Elternteil" und eine neue Familie). Ein Konto mit der Rolle "Kind" entsteht immer erst nach dem Beitritt mit einem Einladungscode, den nur der Elternteil kennt - ein Kind kann also nur mit Wissen und Einwilligung des Elternteils teilnehmen, der den Code weitergibt. Darüber hinaus muss jeder Beitritt eines Kindes oder eines weiteren Elternteils von einem Elternteil in der App ausdrücklich genehmigt werden; bis zur Genehmigung sieht das neue Mitglied von der Familie nur deren Namen. Der Einladungscode der Familie ist 48 Stunden gültig, eine nicht genehmigte Anfrage wird nach 72 Stunden automatisch gelöscht und eine abgelehnte oder stornierte sofort. Mit der Registrierung in der Rolle "Elternteil" bestätigen Sie, dass Sie volljährig sind und das gesetzliche Recht haben, in die Verarbeitung der Daten Ihrer Kinder in der App einzuwilligen.

Wir verarbeiten die Daten des Kindes nur in dem Umfang, der für das Funktionieren des vom Elternteil eingerichteten und verwalteten Familienkontos erforderlich ist, also zur Erfüllung des Vertrags mit dem Elternteil (Art. 6 Abs. 1 lit. b DSGVO). Der Elternteil entscheidet als gesetzlicher Vertreter über die Teilnahme des Kindes: er teilt den Einladungscode, genehmigt den Beitritt des Kindes ausdrücklich und kann das Kind jederzeit aus der Familie entfernen oder die Löschung seines Kontos verlangen. Das Kind nimmt die Datenschutzerklärung bei der Registrierung nur zur Kenntnis; die Einwilligung zur Verarbeitung seiner Daten erteilt der Elternteil, wenn er den Beitritt des Kindes in der App genehmigt, und der Server protokolliert den Zeitpunkt, den Elternteil und die Version der Datenschutzerklärung. Bei Kindern, die mit einer älteren Version der App genehmigt wurden, fordert die App die fehlende Einwilligung des Elternteils nachträglich an. Soweit die Verarbeitung eine Einwilligung erfordert und das Kind noch nicht 15 Jahre alt ist (Altersgrenze in Tschechien nach Art. 8 DSGVO und § 7 des Gesetzes Nr. 110/2019 Slg. über die Verarbeitung personenbezogener Daten), erteilt der Elternteil die Einwilligung für das Kind. Die Rechte des Kindes gemäß Abschnitt 7 kann der Elternteil für dieses ausüben.

6. Wie lange wir Daten speichern

Konto- und Familiendaten speichern wir, bis ein Nutzer die Löschung des Kontos oder der gesamten Familie verlangt. Bloße Inaktivität in der App löst keine automatische Löschung aus. Nutzer müssen die App daher nicht regelmäßig öffnen, um die Familienhistorie nicht zu verlieren, und können die Löschung jederzeit direkt in der App anstoßen oder unter privacy@kimda.app beantragen. Den Verlauf der Änderungen von Finanzregeln (Abschnitt 2) bewahren wir für die gesamte Dauer der Existenz der Familie auf, ohne zeitliche oder betragsmäßige Beschränkung der Gesamtzahl (die Familie darf Änderungen der Finanzregeln höchstens 30-mal pro Stunde speichern), da er als unveränderlicher Nachweis dafür dient, wer die Regeln wann geändert hat, beispielsweise bei einem Streit zwischen den Eltern; in der App kann er weder bearbeitet noch gelöscht werden. Nach der Löschung der gesamten Familie (Abschnitt 7) löscht ihn der Server bei der nächsten Bereinigung; die Löschung des Kontos eines einzelnen Mitglieds ändert ihn nicht und es verbleibt nur die interne Kennung ohne Namen bei ihm.

Für die einzelnen weiteren Datensätze gelten folgende Fristen:

SMS-Code-Herausforderungen (Fingerabdrücke der Telefonnummer und Herausforderung): 10 Minuten gültig; nach erfolgreicher Verifizierung löscht der Server sie sofort, andernfalls spätestens eine Stunde nach ihrem Ablauf.
Ratenlimits und SMS-Tageslimit (Fingerabdrücke): der Server löscht sie 24 Stunden nach Ende des beobachteten Zeitraums; das SMS-Tageslimit endet immer um Mitternacht UTC.
Anmeldesitzungen: das Anmeldetoken ist 15 Minuten gültig; die Sitzung endet nach 30 Tagen Inaktivität, spätestens nach 90 Tagen, oder früher durch Abmeldung. Die beendete Sitzung einschließlich der Token-Fingerabdrücke löscht der Server 30 Tage nach ihrem Ende.
Einladungen und Beitrittsanfragen: der Einladungscode der Familie ist 48 Stunden und eine Einladung für einen weiteren Elternteil 24 Stunden gültig; eine nicht genehmigte Beitrittsanfrage wird nach 72 Stunden automatisch gelöscht, eine abgelehnte oder stornierte sofort. Der Datensatz über eine Einladung für einen weiteren Elternteil (Code, wer sie erstellt und wer sie verwendet hat) wird vom Server 30 Tage nach ihrem Ablauf, ihrer Verwendung oder Stornierung gelöscht.
Sicherheitseinträge in der Datenbank (Abschnitt 2): der Server löscht sie nach 30 Tagen selbst. Das Journal der Änderungen von Telefonnummer und Mitgliedsstatus unterliegt einer eigenen, unten angegebenen Frist.
Journal der Änderungen von Telefonnummer und Mitgliedsstatus (Abschnitt 2): einen Eintrag in der Datenbank löscht der Server frühestens 60 Tage nach seiner Erstellung, und zwar erst, nachdem er ihn in einen separaten Speicher kopiert hat (eine Kopie wird in der Regel innerhalb weniger Minuten erstellt). Einen Eintrag, der nicht kopiert werden konnte, löscht der Server nicht, bis der Kopiervorgang erfolgreich ist; er verbleibt daher auch länger als 60 Tage in der Datenbank. Die Kopie im separaten, nicht öffentlichen Speicher Cloudflare R2 löscht der Speicher nach 60 Tagen ab deren Speicherung selbst. Bei der Löschung eines Kontos oder der gesamten Familie (Abschnitt 7) löscht der Server die Journal-Einträge des gelöschten Kontos oder der Familie aus der Datenbank; ihre Kopie im Speicher erlischt spätestens 60 Tage nach der Speicherung.
Fotos: nicht zugeordnete Fotos, die keinem Profil und keiner Aufgabe zugeordnet werden konnten, entfernt der Server nach 24 Stunden; den Datensatz zur Zeitabfrage für ein Foto löscht er nach 7 Tagen (Abschnitt 3) und den technischen Datensatz über ein gelöschtes Foto (nur interne Kennungen) 30 Tage nach der Löschung des Fotos.
Push-Token und Gerätekennung: bis zur Abmeldung des Geräts, Entfernung des Mitglieds aus der Familie oder Löschung des Kontos, oder bis Apple oder Google es als ungültig markiert. Darüber hinaus löscht der Server sie selbst, wenn die App die Geräteregistrierung 90 Tage lang nicht erneuert hat (sie erneuert sie bei jeder Anmeldung und jedem Start), oder wenn der Nutzer länger als 30 Tage keine gültige Anmeldesitzung hat. Nach der Abmeldung des Geräts (auch aus der Ferne im Profil) oder dem Ende seiner Anmeldung wird nichts an das Gerät zugestellt. Eine Ausnahme bilden Registrierungen aus der Zeit vor der Bereitstellung dieser Version, die die App seitdem nicht erneuert hat: die Abmeldung eines Geräts aus der Ferne trennt sie nicht, die Option Alle Geräte abmelden jedoch schon; andernfalls löscht der Server sie gemäß den oben genannten Fristen. Den Datensatz über das freigegebene Push-Token (Fingerabdrücke, Familie und Zeitpunkt) löscht der Server nach 30 Tagen, oder früher, wenn sich das Gerät erneut registriert. Den Datensatz über das freigegebene Gerät (interne Kennung des Kontos, zufällige Gerätekennung, Fingerabdrücke und Zeitpunkt) löscht der Server nach 91 Tagen - also erst nach Ablauf der längstmöglichen Gültigkeit einer Anmeldesitzung (90 Tage) - oder früher, wenn sich ein Gerät desselben Kontos erneut registriert. Ein Datensatz über ein freigegebenes Gerät wird bei Löschung des Kontos nicht geführt; ist er bereits zu Beginn der Löschung entstanden, löscht der Server ihn bei deren Abschluss. Die Frist für den Datensatz über das freigegebene Push-Token bleibt dadurch unverändert. Der technische Fingerabdruck des Push-Tokens bei einer gesendeten Erinnerung dient nur zur Überprüfung der Zustellung; der Server löscht ihn nach Auswertung der Zustellung, spätestens 30 Tage nach dem Senden. Den Datensatz über die Geräteregistrierung (interne Kennung von Konto und Gerät, Fingerabdruck des Push-Tokens, Art des Ereignisses und Zeitpunkt; Abschnitt 2) löscht der Server 30 Tage nach seiner Erstellung, auch wenn Sie das Konto in der Zwischenzeit löschen.
Warteschlange der Sicherheitsbenachrichtigungen und unzustellbare Benachrichtigungen (Abschnitt 2): Daten zum Empfänger der Benachrichtigung (Push-Token des Geräts oder interne Kennung der Familie oder des Kontos und Sprache) entfernt der Server sofort nach der Zustellung oder nach Aufgabe der Zustellung aus dem gespeicherten Eintrag der Warteschlange, spätestens jedoch 7 Tage nach Erstellung der Benachrichtigung; nur die interne Kennung der Familie (bei einem außergewöhnlichen Datenbankfehler vorübergehend auch des Kontos) kann darin bis zum Schreiben des Eintrags über die unzustellbare Benachrichtigung (siehe unten) verbleiben. Den verbleibenden Eintrag (Art der Benachrichtigung, allgemeiner technischer Ereignistyp, Zeitpunkt und technische Fehlermeldung) löscht er 30 Tage nach der Verarbeitung. Den Eintrag über eine unzustellbare Benachrichtigung für einen Elternteil (interne Kennung der Familie, Art der Benachrichtigung und Zeitpunkt, ohne Push-Token und ohne Namen) bewahrt er auf, bis der Elternteil ihn in der App bestätigt; den bestätigten Eintrag löscht er, sobald er älter als 90 Tage ist. Den Eintrag einer Familie, die nicht mehr existiert, löscht er bei der nächsten Bereinigung.
Gespeicherte Antworten von Finanzoperationen: damit eine wiederholte Anfrage nach einem Netzwerkausfall eine Auszahlung, ein Darlehen oder eine andere Finanzoperation nicht doppelt erfasst, merkt sich der Server die Antwort darauf 30 Tage lang. Der Datensatz über die Operation selbst (Art der Operation, ihre zufällige Kennung, interne Kennungen der Familie, des Akteurs und des betroffenen Mitglieds, SHA-256-Fingerabdruck der Anfrage und Zeitpunkt) ist Teil der Finanzhistorie und wird bis zur Löschung des Kontos oder der Familie aufbewahrt.
Einträge über Direktauszahlungen und manuelle Rückzahlungen (Abschnitt 2): im Gegensatz zur oben genannten gespeicherten Antwort, die nach 30 Tagen gelöscht wird, werden diese Einträge bis zur Löschung des Kindes, das sie betreffen, oder der gesamten Familie aufbewahrt (Abschnitt 7).
Gespeicherte Einträge über wiederholte Anforderungen des Planers: damit eine wiederholte Anforderung nach einem Netzwerkausfall keinen Aufgabenplan doppelt erstellt, bewahrt der Server 60 Tage lang einen Eintrag über dessen Erstellung auf (interne Kennungen von Familie und Elternteil, Art der Operation, zufällige Kennung der Anforderung, SHA-256-Fingerabdruck der eingegebenen Planparameter, Verweis auf den erstellten Plan und Zeitpunkt). Den Eintrag löscht der Server auch bei der Löschung des Kontos des Elternteils, der den Plan erstellt hat, und bei der Löschung der gesamten Familie (Abschnitt 7).
Antrag auf Kontolöschung: ein unbestätigter Löschantrag wird nach 45 Tagen ungültig und spätestens nach weiteren 400 Tagen gelöscht; den Datensatz über die durchgeführte Löschung (nur interne Kennungen und Status, ohne Namen und Kontakte) speichern wir als Nachweis, dass wir Ihre Anfrage bearbeitet haben, und zwar 3 Jahre ab der Bearbeitung. Im gleichen Umfang (interne zufällige Kennung des Kontos oder der Familie, Art der Löschung und Zeitpunkt) führen wir ein Protokoll der durchgeführten Löschungen, damit nach einer eventuellen Wiederherstellung der Datenbank aus einem Backup alle späteren Löschungen erneut angewendet werden. Den Protokolleintrag in der Datenbank löscht der Server frühestens 180 Tage nach seiner Erstellung, und zwar erst, nachdem er ihn in einen separaten Speicher kopiert hat (die Kopie wird in der Regel innerhalb weniger Minuten erstellt); einen Eintrag, der nicht kopiert werden konnte, löscht der Server nicht, bis das Kopieren erfolgreich ist. Die Kopie in einem separaten, nicht öffentlichen Speicher wird vom Speicher selbst nach 60 Tagen ab ihrer Speicherung gelöscht. Der verschlüsselte Export des Protokolls, der Teil des Datenbank-Backups ist, erlischt zusammen mit dem Backup (spätestens nach 30 Tagen).
Anträge auf elterliche Zustimmung: Ein offener Antrag ist 14 Tage gültig; er wird nur verlängert, wenn der Familie in der Zwischenzeit ein Elternteil beitritt (bei einem Antrag auf Löschung der Familie erhält der neue Elternteil eigene 14 Tage, jedoch höchstens bis zum Ende einer eventuellen Schutzfrist nach dem Entfernen eines anderen Elternteils), oder nach der Wiederherstellung der Datenbank aus einem Backup (außer bei einem Antrag auf Löschung der Familie, der nur bis zum Ende der Schutzfrist gilt). Ein Antrag auf Löschung der Familie, der während der 14-tägigen Frist nach dem Entfernen eines anderen Elternteils ablaufen würde, gilt bis zum Ende dieser Frist und erlischt danach. Während der 14-tägigen Frist nach dem Entfernen eines anderen Elternteils kann die Familie nicht gelöscht werden; ein in dieser Frist gestellter Antrag auf Löschung der Familie erlischt nach deren Ablauf. Nach Ablauf der Frist kann der einzige verbleibende Elternteil die Familie direkt im Profil löschen. Einen erledigten Antrag löscht der Server nach 90 Tagen.
Telefonnummer-Fingerabdruck nach Kontolöschung oder Nummernänderung: Damit der Premium-Testzeitraum nicht wiederholt durch Löschung des Kontos und Neuregistrierung erlangt werden kann, speichert der Server bei der Löschung des Kontos eines Elternteils, der während des Testzeitraums der Familie Mitglied der Familie war, und bei der Nummernänderung eines solchen Elternteils (auch wenn die Nummer auf seinen Antrag vom Support geändert wird) nur den Fingerabdruck der bisherigen Telefonnummer (HMAC mit geheimem Schlüssel) und den Zeitpunkt – nicht die Nummer selbst. Eine Neuregistrierung mit derselben Nummer erhält den Testzeitraum nicht. Den Fingerabdruck löscht der Server nach 12 Monaten.
E-Mails, die Sie uns senden: für die Dauer, die zur Bearbeitung Ihrer Frage oder Anfrage und zum Nachweis, wie wir sie bearbeitet haben, erforderlich ist.
Protokoll der Support- und Verwaltungseingriffe: den Eintrag über den Eingriff in der Datenbank (Art des Eingriffs, wer ihn durchgeführt hat, wann, welche Familie er betrifft und die Anfragenummer – ohne Namen und Telefonnummern; so protokollieren wir die Wiederherstellung der Nummer und die Abmeldung von Geräten durch den Support, den Export von Familiendaten auf Anfrage und die Verwaltung von Promo-Codes und kostenlosem Zugang) löscht der Server nach 3 Jahren selbst. Das Protokoll der Support-Anfragen (Anfragenummer, Datum, interne Kontokennung, Methode der Identitätsprüfung und Ergebnis – ohne Telefonnummer) führen wir verschlüsselt außerhalb der Datenbank und bewahren es ebenfalls 3 Jahre lang als Nachweis auf, wie wir die Anfrage bearbeitet haben.

Betriebs- und Sicherheitsprotokolle des Hostings in der Produktivumgebung dürfen höchstens 30 Tage gespeichert werden. Technische Fehlermeldungen der App und des Servers speichert Sentry höchstens 90 Tage, damit wir Fehler nachverfolgen und beheben können, die sich erst nach der Veröffentlichung einer neuen Version der App zeigen; etwaige Betriebs-Backups von Sentry erlöschen spätestens 90 Tage nach ihrer Erstellung. Datenbank-Backups werden täglich erstellt, noch vor der Übertragung aus der Produktivumgebung verschlüsselt und 30 Tage nach der Erstellung gelöscht, sodass zuvor gelöschte Daten höchstens 30 Tage darin verbleiben; sie werden nicht für die reguläre Wiederherstellung eines gelöschten Kontos verwendet. Müssten wir die Datenbank aus einem Backup wiederherstellen, würden wir nach der Erstellung des Backups durchgeführte Löschungen anhand des Löschprotokolls erneut anwenden. Die Einstellungen von Hosting, Datenbank und Speicher müssen diese Fristen technisch durchsetzen, und der Betreiber überprüft sie regelmäßig.

Lässt sich die Löschung eines Datensatzes bei einem externen Abo-Anbieter nicht sofort abschließen, anonymisiert Kimda die lokalen personenbezogenen Daten nach dem Entfernen der Medien ohne weiteren Aufschub. Für die sichere Wiederholung der externen Anfrage bleiben nur die interne zufällige Kennung der Familie und der technische Löschstatus erhalten, nicht aber Namen oder Telefonnummern. Den Datensatz über diese Aufgabe zur externen Löschung (interne Kennung der Familie, Bezeichnung des Anbieters, Anzahl der Versuche, Zeiten und Code des letzten Fehlers, ohne Namen und Telefonnummern) löscht der Server 90 Tage nach ihrem Abschluss; eine unfertige Aufgabe wird aufbewahrt, bis sie abgeschlossen ist.

Wir bewahren den Nachweis über die Zustimmung zum sofortigen Beginn von Premium (interne Kennungen der Familie und des Nutzers, Zeitpunkt der Zustimmung, gewählter Plan, Beginn des bezahlten Zeitraums, Transaktionskennung des Stores, interne Kennung des Kaufversuchs und Version des angezeigten Textes) für den Zeitraum auf, der erforderlich ist, um diese Zustimmung in einem möglichen Streitfall nachzuweisen, standardmäßig 3 Jahre ab ihrer Erteilung. Nach Ablauf der Frist wird der Nachweis kontrolliert gelöscht. Der Nachweis wird weder mit dem Konto noch mit der Familie gelöscht (Abschnitt 7). Wir speichern eine Kopie davon (ohne interne Kennung des Kaufversuchs) auch im separaten, nicht öffentlichen Cloudflare R2-Speicher (Abschnitt 4), damit der Nachweis einen Verlust der Datenbank zwischen Backups übersteht; der Speicher löscht sie selbst nach 1125 Tagen ab ihrer Speicherung.

7. Ihre Rechte

Sie haben das Recht:

auf Auskunft über alle Daten, die die App über Sie und Ihre Familie speichert (Art. 15 DSGVO),
auf Berichtigung unrichtiger Daten (Art. 16 DSGVO) – die Telefonnummer ändern Sie im Profil nach Verifizierung der neuen Nummer per SMS-Code selbst; wenn Sie den Zugang zu Ihrem Konto verlieren (beispielsweise weil jemand anderes die Nummer von einem angemeldeten Gerät geändert hat), ändern wir sie auf Ihre Anfrage nach Überprüfung der Identität,
auf Löschung des Kontos eines einzelnen Mitglieds (Art. 17 DSGVO) - direkt in der App (Profil → Konto löschen) entfernt oder anonymisiert die App unwiderruflich Name, Telefonnummer, Foto und Push-Token und löscht alle Fotos, die Sie hochgeladen haben; beim Konto eines Kindes auch die Fotos zu seinen Aufgaben, die ein Elternteil für dieses hochgeladen hat. Mit diesem Konto kann man sich dann nicht mehr anmelden und es bleiben weder Name noch Kontakt erhalten. Im Verlauf von Aufgaben und Zahlungen bleiben nur die Abrechnungsangaben erhalten, die für die Nachvollziehbarkeit der übrigen Familie erforderlich sind (Punkte, Betrag, Status und Zeitpunkt); die freie Notiz wird gelöscht und die Namen von Aufgaben und Zielen werden durch einen neutralen Wert ersetzt. Dieser Verlauf wird nicht gelöscht, da er mit der übrigen Familie verbunden bleibt (sonst würde deren gegenseitige Abrechnung nicht mehr stimmen), ist aber nur mit einem Datensatz ohne Name und Kontakt verknüpft. Einträge über Direktauszahlungen und manuelle Rückzahlungen des Kindes (Abschnitt 2) werden zusammen mit dem Kind gelöscht. Einträge des Journals der Änderungen von Telefonnummer und Mitgliedsstatus (Abschnitt 2) löscht der Server aus der Datenbank; ihre Kopie in einem separaten Speicher erlischt spätestens 60 Tage nach der Speicherung. Wenn ein Kind Schulden, ein Guthaben oder offene Anfragen hat, zeigt ihm die App vor der Löschung, welche Beträge es verliert, und es muss die Löschung ausdrücklich bestätigen; die Eltern erhalten dann eine allgemeine Benachrichtigung. Ein Mitglied, das ein Elternteil aus der Familie entfernt hat, kann nach Verifizierung durch einen SMS-Code in der App sein Konto selbst dauerhaft löschen und dadurch seine Telefonnummer freigeben,
auf kaskadierende Löschung der ganzen Familie - wenn der Elternteil ausdrücklich die Löschung der ganzen Familie bestätigt, anonymisieren wir alle ihre Mitglieder, löschen ihre Fotos und ersetzen zusätzlich freie Texte sowie die Namen eigener Aufgaben, Ziele und Belohnungen durch neutrale Werte; wir löschen auch die Einträge über Direktauszahlungen und manuelle Rückzahlungen der Familie (Abschnitt 2), die Historie der Änderungen von Finanzregeln der Familie (bei der nächsten Bereinigung) und die Einträge des Journals der Änderungen von Telefonnummer und Mitgliedsstatus ihrer Mitglieder (eine Kopie des Journals in einem separaten Speicher erlischt spätestens 60 Tage nach der Speicherung). Die Entfernung eines anderen Elternteils erfordert die Zustimmung des betroffenen Elternteils: Eine ausdrückliche Ablehnung stoppt die Aktion, ohne Reaktion wird sie nach 14 Tagen ausgeführt. Die Löschung der gesamten Familie, in der sich ein weiterer Elternteil befindet, erfordert die ausdrückliche Zustimmung jedes weiteren Elternteils; ohne die Zustimmung aller wird der Antrag nach 14 Tagen storniert und die Familie nicht gelöscht. Eine Familie, aus der in den letzten 14 Tagen ein anderer Elternteil entfernt wurde, kann frühestens 14 Tage nach dessen Entfernung gelöscht werden. Buchhaltungsaufzeichnungen über eine gelöschte Familie, einschließlich Salden und Ständen von Krediten und Ersparnissen der Kinder, werden spätestens innerhalb von 30 Tagen nach der Löschung aus der operativen Datenbank entfernt; in verschlüsselten Backups können sie höchstens weitere 30 Tage verbleiben, bevor das Backup gelöscht wird. Der Nachweis über die Zustimmung zum sofortigen Beginn von Premium wird durch die Löschung der Familie nicht gelöscht (Abschnitt 6). Anonymisierte Aufzeichnungen über die Einlösung von Partnercodes, die keine personenbezogenen Daten enthalten, werden zur Partnererfassung und zum Schutz vor Missbrauch aufbewahrt. Nach dem Entfernen der Medien erfolgt die lokale Anonymisierung auch dann, wenn RevenueCat vorübergehend nicht erreichbar ist; die externe Anfrage wird anschließend sicher und ausschließlich mit der internen Kennung der Familie wiederholt. RevenueCat führt die Löschung asynchron durch. Ein über den App Store oder Google Play geführtes Abonnement wird dadurch nicht gekündigt - der Elternteil muss es separat in den Einstellungen des jeweiligen Stores kündigen,
auf Einschränkung der Verarbeitung (Art. 18 DSGVO), beispielsweise wenn Sie die Richtigkeit der Daten bestreiten, für die Dauer, bis wir diese überprüfen,
auf Datenübertragbarkeit (Art. 20 DSGVO) - die Daten, die Sie uns bereitgestellt haben und die wir aufgrund eines Vertrags verarbeiten, stellen wir Ihnen in einem strukturierten, gängigen und maschinenlesbaren Format (z. B. JSON) zur Verfügung oder übermitteln sie auf Ihren Wunsch an einen anderen Verantwortlichen, soweit dies technisch machbar ist,
Widerspruch (Art. 21 DSGVO) gegen die Verarbeitung aufgrund unseres berechtigten Interesses (Abschnitt 2) einzulegen; wir werden die Verarbeitung dann beenden, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder wir benötigen sie zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen,
jederzeit Ihre Einwilligung zu widerrufen (Art. 7 Abs. 3 DSGVO) - die Einwilligung zur Messung von Werbung auf der Website widerrufen Sie über den Link "Cookie-Einstellungen" in der Fußzeile der Website (Abschnitt 9); der Widerruf berührt nicht die Verarbeitung davor,
eine Beschwerde bei einer Aufsichtsbehörde einzureichen (Art. 77 DSGVO) - in Tschechien ist dies das Amt für den Schutz personenbezogener Daten (Úřad pro ochranu osobních údajů), Pplk. Sochora 27, 170 00 Praha 7, Website uoou.gov.cz; Sie können sich auch an die Aufsichtsbehörde in dem EU-Mitgliedstaat wenden, in dem Sie leben oder arbeiten.

Senden Sie Ihren Antrag an privacy@kimda.app. Damit wir Daten nicht an jemand anderen herausgeben oder löschen, prüfen wir zunächst, ob der Antrag vom Kontoinhaber gestellt wird (beispielsweise durch Bestätigung von der mit dem Konto verknüpften Telefonnummer); senden Sie uns niemals Codes aus Anmelde-SMS. Die einzige Ausnahme ist der Code aus der mit „Kimda obnova účtu“ gekennzeichneten SMS, um den der Support Sie nur als Antwort auf Ihre eigene Anfrage zur Rückgabe eines übernommenen Kontos oder auf Ihre eigene Bestätigung einer solchen Anfrage eines anderen Elternteils in Ihrer Familie (Punkt 2) bitten wird; teilen Sie ihn auch dann nur dem Support mit, niemals einem anderen Familienmitglied. Der Support bittet Sie um diesen Code ausschließlich per E-Mail von der Adresse support@kimda.app mit Ihrer Anfragenummer, niemals telefonisch oder über ein anderes Familienmitglied. Anfragen auf Auskunft oder Datenübertragbarkeit bearbeiten wir durch den Export der Familiendaten im JSON-Format (ohne Anmeldetoken und deren Fingerabdrücke und ohne Fingerabdrücke ursprünglicher Telefonnummern aus Sicherheitseinträgen, die nur zur Überprüfung eines Antrags auf Rückgabe eines Kontos dienen, und ohne das Journal der Änderungen von Telefonnummer und Mitgliedsstatus, das nur zum Schutz vor einer Übernahme der Nummer dient; der Export enthält Einträge über Direktauszahlungen und manuelle Rückzahlungen (Punkt 2); bei Fotos enthält er deren technischen Fingerabdruck gemäß Punkt 3, die Fotos selbst stellen wir auf Anfrage separat zur Verfügung); jeden Export protokollieren wir (wer ihn wann und aufgrund welcher Anfrage vorbereitet hat). Ereignisdaten aus dem Journal der Änderungen von Telefonnummer und Mitgliedsstatus (Art und Zeitpunkt, ohne Fingerabdrücke) teilen wir Ihnen auf Anfrage mit. Wir antworten ohne ungebührliche Verzögerung, spätestens innerhalb eines Monats; in komplexeren Fällen können wir die Frist um weitere zwei Monate verlängern, worüber wir Sie rechtzeitig informieren. Die Rechte eines Kindes kann ein Elternteil als dessen gesetzlicher Vertreter ausüben.

8. Sicherheit

Die App verwendet keine Passwörter (Anmeldung nur über eine verifizierte Telefonnummer). Der Zugang wird durch ein kurzlebiges Anmeldetoken mit einer Gültigkeit von 15 Minuten und ein Aktualisierungstoken geschützt, das der Server nur als Fingerabdruck speichert; bei nachgewiesener wiederholter Verwendung eines bereits ersetzten Aktualisierungstokens meldet der Server das Konto auf allen Geräten ab, storniert seine Registrierungen für Benachrichtigungen, schreibt einen Sicherheitseintrag und benachrichtigt die anderen Eltern. Im Produktivbetrieb erfolgt die Kommunikation zwischen App und Server über HTTPS. Fotos liegen in einem nicht öffentlichen Speicher, und das Backend prüft vor ihrer Herausgabe das Konto und die Zugehörigkeit zur selben Familie. Datenbank-Backups werden noch vor der Übertragung verschlüsselt und können nur mit einem privaten Schlüssel entschlüsselt werden, der außerhalb der Cloud gespeichert ist; Promo-Codes liegen in der Datenbank nur als HMAC-Fingerabdruck mit einem Schlüssel außerhalb der Datenbank vor, und wir protokollieren die Verwaltung der Promo-Codes. Telefonnummern, Token oder Anfrageinhalte schreibt der Server nicht in die Betriebsprotokolle.

9. Website kimda.app und Cookies

Dieser Abschnitt gilt nur für Besucher der Website kimda.app, nicht für die Nutzung der App. Die Website läuft im Netzwerk von Cloudflare, das bei jedem Besuch technisch die IP-Adresse und Browserdaten verarbeitet, um die Seite ausliefern und vor Angriffen schützen zu können; Aufzeichnungen zur Fehlerdiagnose der Website speichert Cloudflare höchstens 3 Tage. Je nach Browsersprache (beim Download-Link auch nach Gerätetyp) leitet Sie die Website auf die passende Version der Seite weiter. Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren und funktionsfähigen Website (Art. 6 Abs. 1 lit. f DSGVO). Das gewählte Design speichert die Website nur in Ihrem Browser (localStorage). Ihre Cookie-Entscheidung speichert die Website im localStorage und in einem technisch notwendigen Cookie kimda-consent-proof (Gültigkeit 180 Tage), das nur die Art der Entscheidung und deren Zeitpunkt enthält, ohne Kennung einer Person oder eines Kontos. Ihr Browser sendet es technisch bedingt mit jeder Anfrage an die Website; der Server wertet es nicht aus, es dient ausschließlich dem Skript in Ihrem Browser zur Prüfung, dass die Einwilligung nicht widerrufen wurde. Dieses Cookie erfordert keine Einwilligung und wird weder zur Messung noch zu Werbezwecken verwendet.

Nur wenn Sie im Banner auf der Website "Zustimmen" wählen, lädt die Website das Meta Pixel der Meta Platforms Ireland Limited. Es speichert ein Cookie in Ihrem Browser (z. B. _fbp mit einer Gültigkeit von bis zu 90 Tagen) und übermittelt Meta Daten über den Besuch: die besuchte Seite, die IP-Adresse, Browserdaten und die Cookie-Kennung. Es dient uns zur Messung der Wirksamkeit von Werbung auf Facebook und Instagram. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO und § 89 Abs. 3 des Gesetzes Nr. 127/2005 Slg. über die elektronische Kommunikation). Für die Erhebung und Übermittlung dieser Daten sind wir gemeinsam mit Meta verantwortlich; deren weitere Verarbeitung, einschließlich einer etwaigen Übermittlung in die USA auf Grundlage des EU-USA Data Privacy Framework, erfolgt durch Meta als eigenständigen Verantwortlichen nach dessen Richtlinie unter facebook.com/privacy/policy. Daten aus der App, dem Konto oder der Familie übermitteln wir niemals an Meta.

Ohne Einwilligung wird das Meta Pixel überhaupt nicht geladen. Sie können Ihre Einwilligung jederzeit über den Link "Cookie-Einstellungen" in der Fußzeile der Website widerrufen; die Website löscht dann die Cookies des Pixels und lädt das Pixel nicht mehr.

Wenn Sie über die Seite für Tester der Testergruppe in Google Groups beitreten, sieht der Gruppenadministrator die E-Mail-Adresse Ihres Google-Kontos; wir verwenden sie nur zum Testen der App und für den Zugriff auf deren Testversion bei Google Play. Die Testversion für das iPhone wird von Apple über TestFlight vertrieben. Google und Apple verarbeiten die Daten dabei als eigenständige Verantwortliche gemäß ihren Richtlinien. Rechtsgrundlage ist Ihre Anfrage zur Teilnahme am Test (Art. 6 Abs. 1 lit. b DSGVO). Die E-Mail-Adresse verbleibt in der Gruppe, bis Sie sich von dieser abmelden oder bis der Test endet.

10. Änderungen dieser Erklärung

Über jede wesentliche Änderung dieser Datenschutzerklärung informieren wir Sie in der App und auf der Website kimda.app. Die App erkennt, welcher Version der Datenschutzerklärung Sie zugestimmt haben: sie bittet Eltern um Bestätigung der neuen Version (und gegebenenfalls um Einwilligung für Kinder), ein Kind nimmt sie zur Kenntnis. Zeitpunkt und Version der Bestätigung werden von uns protokolliert.

11. Kontakt

Fragen zum Schutz personenbezogener Daten: privacy@kimda.app