Picobello-Datenschutzerklärung

Version 1 · Veröffentlichungsdatum: 13. Oktober 2026

Picobello ist eine Familien-App für Aufgaben und Belohnungen und wird von der Picobello Software UG (haftungsbeschränkt) betrieben („Picobello“, „wir“, „uns“). Ein Elternteil oder eine andere sorgeberechtigte Person erstellt und verwaltet das Familienkonto. Kinder verwenden Profile, die von dieser erwachsenen Person erstellt und autorisiert wurden.

Diese Erklärung beschreibt die aktuelle App und die damit verbundenen Cloud-, Webseiten-, Anmelde-, Benachrichtigungs-, Abonnement-, Support-, Export- und Löschdienste. Sie konzentriert sich auf die Datenschutz-Grundverordnung („DSGVO“). Zusätzliche lokale Vorschriften können gelten; Abschnitt 10.7 enthält ergänzende Informationen für Personen in den USA.

Kurz gesagt: Wir zeigen keine Werbung Dritter, verkaufen keine personenbezogenen Daten, verwenden keine Produktanalyse-SDKs, verfolgen Nutzer nicht über andere Apps hinweg, trainieren keine KI-Modelle mit Familiendaten, stellen keine öffentlichen Kinderprofile bereit und ermöglichen Kindern keinen Kontakt mit Fremden. Jedes Kinderprofil muss ein Elternteil per E-Mail freigeben, bevor ein Kind es nutzen kann (Abschnitt 10.3). Wir verarbeiten Familien- und Kinderdaten, die für Konten, Haushaltsaufgaben, Belohnungen, Synchronisierung, Sicherheit, von Eltern gewünschte Funktionen und de-identifizierte aggregierte Nutzungsstatistiken zur Verbesserung der App benötigt werden, sowie – nur wenn ein Elternteil dies wählt – de-identifizierte Statistiken darüber, wie Erwachsene die App nutzen.

1. Verantwortlicher und Kontakt

Verantwortlicher ist die Picobello Software UG (haftungsbeschränkt) mit Sitz in Berlin und der Geschäftsanschrift c/o The Base Berlin One, Pestalozzistraße 5-8, Apt. 216, 13187 Berlin, Deutschland.

Die Gesellschaft wird durch den Geschäftsführer Felix Parey vertreten und ist im Handelsregister des Amtsgerichts Charlottenburg unter HRB 291439 B eingetragen.

E-Mail für Datenschutz und Support: support@picobelloapp.com

Telefon: +49 160 93115625

Datenschutzbeauftragter: IITR Datenschutz GmbH, Dr. Sebastian Kraska, Marienplatz 2, 80331 München, Deutschland. E-Mail: email@iitr.de, Telefon: 089 18917360. Mit allen Fragen zur Verarbeitung Ihrer Daten und zu Ihren Rechten können Sie sich an unseren Datenschutzbeauftragten wenden.

2. Wer Picobello verwendet

• Eltern und Erziehungsberechtigte erstellen Erwachsenenkonten, konfigurieren den Haushalt, erstellen und autorisieren Kinderprofile, wählen Aufgaben und Belohnungen, prüfen Aktivitäten, verwalten Abonnements und kontrollieren verbundene Sitzungen.
• Kinder verwenden eine authentifizierte Kindersitzung oder ein gemeinsam genutztes Familiengerät, um Missionen anzusehen und zu erledigen, Münzen zu verdienen und auszugeben, den Familien-Belohnungsshop zu verwenden und altersgerechte Datenschutzinformationen anzusehen.
• Weitere Elternteile können über den Beitritt für Erwachsene beitreten, entweder mit eigener Anmeldung (E-Mail, „Mit Apple anmelden“ oder Google) oder ohne eine solche, indem sie einen Miteltern-Code auf ihrem Gerät eingeben. Ein Elternteil, das nur per Code beigetreten ist, hat weniger Rechte als ein Elternteil mit eigener Anmeldung: Es kann von einem Elternteil mit eigener Anmeldung entfernt werden und verliert den Zugang, wenn das letzte Elternteil mit eigener Anmeldung sein Konto löscht (Abschnitt 9).

Die Bezeichnung child ist eine Rolle in der App und keine rechtliche Feststellung, dass eine Person minderjährig ist. Die Rolle unterstützt derzeit ein Alter von 4 bis 18 Jahren. Für Personen unterhalb der jeweils geltenden Altersgrenze für eine eigene digitale Einwilligung erteilt das Elternteil oder der gesetzliche Vormund die erforderliche Autorisierung. Ab dieser Altersgrenze kann die App einen Übergang zur eigenen Einwilligung anbieten, damit die junge Person die ihr zustehenden Datenschutzentscheidungen, etwa die Löschung ihres eigenen Profils, selbst statt eines Elternteils trifft. Eine als 18 Jahre erfasste oder nach anwendbarem Recht anderweitig volljährige Person erhält die für Erwachsene geltenden Befugnisse, Informationen, Wahlmöglichkeiten und Rechte; eine Autorisierung durch ein Elternteil wird nicht als Einwilligung dieser volljährigen Person verwendet.

Eltern sollten statt des vollständigen amtlichen Namens eines Kindes einen Spitznamen verwenden und keine medizinischen, religiösen, ortsbezogenen, verhaltensbezogenen oder sonstigen sensiblen Informationen in Namen, Supportnachrichten oder Haushaltskonfigurationen eingeben.

3. Welche Informationen wir verarbeiten

3.1 Elternkonto und Anmeldung

Abhängig von der Anmeldemethode verarbeiten wir:

• E-Mail-Adresse, Anzeigename und ausgewählten Avatar;
• Firebase-Authentication-Nutzerkennung und Kontostatus;
• die Kennung von „Mit Apple anmelden“ oder Google sowie die von diesem Anbieter übermittelten grundlegenden Identitätsdaten;
• Informationen zu E-Mail-Bestätigung, Anmeldung und Passwortzurücksetzung, einschließlich kurzlebiger Codes oder Link-Metadaten;
• Familienkennung, Rolle, Tutorialstatus und Kontozeitstempel; sowie
• Authentifizierungs-, App-Check-, Ratenbegrenzungs- und Sicherheitsmetadaten.

Passwörter werden von Firebase Authentication verarbeitet. Picobello speichert keine lesbare Kopie des Elternpassworts in seinen Firestore-Anwendungsdatensätzen.

Ein Elternteil kann sich außerdem mit einem Passkey anmelden. Legt ein Elternteil einen an, speichern wir die öffentlichen Daten des Passkeys: die Credential-ID, den öffentlichen Schlüssel, einen Signaturzähler, die Transportarten, die E-Mail-Adresse des Elternteils, die Firebase-Authentication-Nutzerkennung, das Gerätemodell (zum Beispiel „iPhone15,4“ oder „Pixel 8“) sowie den Zeitpunkt der Erstellung und der letzten Nutzung. Der private Schlüssel verlässt das Gerät oder den Credential Manager des Elternteils nie. Die gespeicherten Passkey-Datensätze löschen wir, wenn das Konto des Elternteils gelöscht wird. Für jede Passkey-Registrierung und -Anmeldung wird eine kurzlebige Challenge erzeugt, die die tägliche Bereinigung entfernt (Abschnitt 7).

Unter Android läuft die Google-Anmeldung über den Credential Manager des Geräts und die Google Play-Dienste, die Googles Anmeldetoken für das gewählte Konto an Firebase Authentication übergeben. „Mit Apple anmelden“ gibt es nur unter iOS; ein Elternteil, das sich mit Apple registriert hat, erreicht unter Android dasselbe Konto über seine E-Mail-Adresse.

3.2 Kinderprofile

Für ein Kinderprofil verarbeiten wir:

• eine interne Kinder- und Familienkennung;
• den vom Elternteil eingegebenen Anzeigenamen oder Spitznamen;
• einen ausgewählten In-App-Avatar;
• eine Altersgruppe statt eines genauen Alters: 4-6, 7-9, 10-12, 13, 14, 15 oder 16-18. Nur ein Elternteil oder eine sorgeberechtigte Person kann sie festlegen oder ändern; ein Kind kann seine eigene Altersgruppe weder setzen noch ändern. Die Altersgruppe wird synchronisiert und kann von den in Abschnitt 3.6 beschriebenen Empfängern derselben Familie erhalten werden;
• den Status des Kinder-Tutorials;
• Firebase-Authentifizierungskennungen und widerrufbare Sitzungskennungen; sowie
• den mit dem Profil verbundenen Status der Erziehungsberechtigten-Autorisierung, einschließlich der Angabe, ob ein Elternteil das Profil per E-Mail freigegeben hat (Abschnitt 10.3).

Wir speichern eine Altersgruppe statt eines Jahres, weil wir das Jahr nicht benötigen. Bei jüngeren Kindern sind die Gruppen bewusst grob, ab 13 Jahren dagegen jahresgenau: Das Alter, ab dem eine junge Person ihre datenschutzrechtlichen Entscheidungen selbst trifft und nicht mehr die sorgeberechtigte Person, liegt je nach Land zwischen 13 und 16 Jahren. Ab 13 muss die App deshalb erkennen können, auf welcher Seite der jeweils geltenden Grenze ein Profil steht. Unter 13 Jahren gilt nirgends eine solche Grenze, dort genügt eine Spanne von drei Jahren.

Die Altersgruppe eines Kindes ist in dieser App für sich genommen ein gewöhnliches personenbezogenes Datum und keine besondere Kategorie personenbezogener Daten. Wir versuchen nicht, daraus die sexuelle Orientierung, Gesundheit, Religion oder andere sensible Merkmale eines Kindes abzuleiten.

3.3 Familienkonfiguration, Missionen und Belohnungen

Wir verarbeiten die Familienmitgliedschaft und die für den Dienst erforderlichen Einstellungen, darunter:

• ausgewählte Bereiche, Missionen, Belohnungsshop-Artikel, Währung und Abonnementstatus;
• das Land, das das Elternteil für die Familie bestätigt, und bei einer US-Familie der Bundesstaat; sie bestimmen, welche lokalen Regeln und Funktionen gelten (zum Beispiel ab welchem Alter eine junge Person ihre Datenschutzentscheidungen selbst trifft);
• Missionszuweisungen, berechtigte Kinderkennungen, Verfügbarkeit und Abschlussstatus;
• Zuweisungs-, Ablauf- und Abkühlzeitpunkte;
• Genehmigungen oder Ablehnungen durch Eltern und die damit verbundenen Münzänderungen;
• familienspezifische Münzpreise, Zeit- und Berechtigungseinstellungen;
• Münzstände sowie tägliche und gesamte Abschlusszahlen;
• gekaufte oder eingelöste Belohnungen, Mengen, Status und Zeitstempel; sowie
• einen kurzen Aktivitätsverlauf mit Missions- oder Belohnungsereignissen, jeweils mit Zeitstempel; einzelne Einträge werden nach 7 Tagen automatisch gelöscht, danach bleiben nur die oben genannten laufenden Abschlusszahlen.

Wenn die Elternumschaltung auf einem gemeinsam genutzten iPad oder Android-Tablet aktiviert ist, speichert die App einen Prüfwert und ein Salt für den Elterncode. Unter Android bleibt der Prüfwert auf dem Tablet und ist mit einem Schlüssel aus dem Android Keystore verschlüsselt. Der vierstellige Code selbst wird nicht lesbar gespeichert.

3.4 Begrenzte Personalisierung

Während der Einrichtung durch Eltern filtert die App den Missionskatalog und filtert oder trifft eine Vorauswahl bei Belohnungsshop-Artikeln anhand der Altersgruppen der Kinder und der elterlichen Präferenz für materielle oder nicht materielle Belohnungen. Bei Familien mit mehreren Kindern kann ein Artikel verfügbar bleiben, wenn er zu mindestens einem Kind passt. Diese Berechnung erfolgt in der App und dient nur dazu, die Familienkonfiguration zu erleichtern. Die endgültige Auswahl trifft das Elternteil.

Dies ist eine begrenzte Form von Profiling oder Personalisierung im Sinne des Datenschutzrechts. Sie dient nicht der Werbung und trifft keine rechtliche oder ähnlich erhebliche Entscheidung über ein Kind. Die resultierende Familienauswahl wird synchronisiert; ein separates Profil für verhaltensbezogene Werbung wird nicht erstellt.

3.5 Kopplung und verbundene Sitzungen

Ein authentifiziertes Elternteil kann einen sechsstelligen Haushaltscode für Kinder erstellen. Der Code:

• ist 10 Minuten gültig;
• kann während seiner Gültigkeit von mehr als einem Kindergerät verwendet werden;
• ermöglicht einem Gerät mit gültigem Code, die internen Kennungen, Anzeigenamen und Avatare der aktiven Kinder zu erhalten, damit das richtige Profil ausgewählt werden kann; und
• kann eine widerrufbare authentifizierte Sitzung für das ausgewählte Kind erstellen, ohne dass auf dem Elterngerät eine zweite Genehmigung angetippt werden muss, jedoch nur für ein Profil, das ein Elternteil bereits per E-Mail freigegeben hat (Abschnitt 10.3).

Das Elternteil kann Beitrittsaktivitäten sehen, erhält bei aktivierten Benachrichtigungen eine Beitrittsmeldung und kann die Freigabe oder spätere Kindersitzungen widerrufen. Ein separater Miteltern-Code ist für eine einzige erwachsene Person bestimmt, ist 10 Minuten gültig und wird nach einem erfolgreichen Erwachsenenbeitritt verbraucht (was ein Elternteil kann, das nur per Code beigetreten ist, steht in Abschnitt 2).

Für Kopplung und Missbrauchsschutz verarbeiten wir Freigabe-, Familien- und Erstellerkennungen, Rolle, gehashte Challenge, Anspruchs-/Sitzungskennungen, Status, Versuchszahlen sowie Erstellungs-, Ablauf-, Nutzungs-, Zuletzt-gesehen- oder Widerrufszeitpunkte. Die Infrastruktur kann die IP-Adresse der Anfrage erhalten; Ratenbegrenzungsdatensätze verwenden rotierende oder pseudonyme Hashes, anstatt die rohe Adresse im Ratenbegrenzungsdokument zu speichern.

Für jedes gekoppelte Kindergerät speichern wir Geräteklasse und Modellkennung (zum Beispiel „iPhone15,4“ oder unter Android „Pixel 8“), ob es ein gemeinsam genutztes Familien-Tablet ist und wann es zuletzt verwendet wurde, damit ein Elternteil gekoppelte Geräte unterscheiden und widerrufen kann. Eine Modellkennung teilen sich alle Geräte dieses Modells; sie identifiziert kein einzelnes Gerät. Den vom Nutzer vergebenen Gerätenamen, die Seriennummer, eine Werbekennung, die Apple-Herstellerkennung, die Android-ID, den genauen Standort oder die Zeitzone eines Kindergeräts erfassen wir für die Kopplung nicht. Abschnitt 10.4 nennt jede Gerätekennung und ihren Zweck.

3.6 Welche Daten Familienmitglieder erhalten können

Unsere Datenbankregeln und unser Backend sind darauf ausgelegt, die privaten Daten einer Familie von denen jeder anderen Familie zu trennen. Innerhalb einer authentifizierten Familie gilt:

• Eltern können Familienkonfigurationen verwalten und Informationen zu Kinderprofilen, Fortschritt, Aktivitäten, Inventar, Kopplung und Sitzungen erhalten;
• ein Gerät, das einen gültigen, noch nicht verbrauchten Kindercode vorlegt, erhält nur die oben beschriebene Kopplungsliste;
• eine authentifizierte Kindersitzung erhält für den Profilwechsel nur familieninterne Profilkennungen, Rollen, Familienkennung, von Eltern eingegebene Anzeigenamen und Namen mitgelieferter Avatare; Altersgruppen, Guthaben, Aktivitätssummen und Datenschutzeinstellungen von Geschwistern bleiben ausgeschlossen; und
• Kindersitzungen können die für Missionen und Shop erforderlichen Zuweisungs- und Konfigurationsdaten derselben Familie erhalten, während rohe Nutzerdokumente nur für die jeweilige Person und detaillierte Aktivitäten und Inventardaten nur für das Kind oder ein autorisiertes Elternteil zugänglich sind.

Der Profilwechsel für Kinder liefert nur Kennungen, von Eltern vergebene Spitznamen und mitgelieferte Avatare. Eltern und Kinder erhalten unterschiedliche Mitgliederantworten. Eltern erhalten die zur Familienverwaltung nötigen Daten; unabhängige Rechte Jugendlicher und Streit über die Sorgeberechtigung werden gesondert behandelt.

3.7 Benachrichtigungen

Wenn Benachrichtigungen aktiviert sind, verarbeiten wir die Firebase-Installationskennung und den APNs- oder FCM-Push-Token des Geräts, autorisierte Profil- und Sitzungsreferenzen, den Aktualisierungszeitpunkt, Sprache und Benachrichtigungseinstellungen. Ein zugriffsbeschränkter Installationsdatensatz enthält außerdem frühere Profilzuordnungen, damit bei einer Profillöschung auch die alte Kennung eines gemeinsam genutzten Geräts stillgelegt werden kann. Remote-Mitteilungen verwenden allgemeine Hinweise oder Synchronisierungssignale; persönliche Einzelheiten werden über die authentifizierte App abgerufen. Das Betriebssystem kann Benachrichtigungstext entsprechend den Geräteeinstellungen auf dem Sperrbildschirm anzeigen.

Die Kernfunktionen stehen auch ohne Push-Mitteilungen zur Verfügung. Lokale Erinnerungen werden auf dem Gerät gespeichert, bis sie zugestellt, abgebrochen oder vom Betriebssystem entfernt werden.

3.8 Abonnementinformationen

Für das derzeit zur Aktivierung einer neuen Familie erforderliche Abonnement oder Probeabo verarbeiten wir Produkt und Berechtigung, einen StoreKit-App-Account-Token, die ursprüngliche Transaktionskennung, die signierte Transaktion während der Serverprüfung sowie Aktiv-, Ablauf-, Widerrufs- oder Übertragungsstatus. Apple verarbeitet Karten- und Abrechnungsdaten; Picobello erhält nicht die vollständige Zahlungskartennummer.

Unter Android wird das Abonnement über Google Play Billing abgeschlossen. Wir verarbeiten Produkt, Basis-Abo und Angebot, das Google Play-Kauftoken und die Bestellnummer, denselben zufälligen Familien-Kontotoken wie unter iOS (er wird dem Kauf beigefügt, damit dieser der Familie zugeordnet werden kann) sowie Aktiv-, Ablauf-, Bestätigungs-, Kündigungs- oder Ersetzungsstatus. Unser Server bestätigt jeden Kauf bei Google Play und erhält die Echtzeit-Benachrichtigungen von Google Play, wenn sich ein Abonnement ändert. Google verarbeitet Zahlungs- und Abrechnungsdaten; Picobello erhält nicht die vollständige Zahlungskartennummer.

Unter iOS liest die App außerdem Land und Währung des App-Store-Storefronts, um die richtigen Preise anzuzeigen und die Währung der Familie vorzuschlagen.

Um zu verstehen, wie sich das Abonnement entwickelt, erfasst unser Server jede geprüfte App-Store-Benachrichtigung (Start, Testzeitraum, Verlängerung, Kündigung, Erstattung, erneuter Abbuchungsversuch) in Tageszählern und führt je Abonnement einen Datensatz, der dessen Zustand über mehrere Benachrichtigungen hinweg festhält: Produkt, Angebot, Testzeitraum-, Verlängerungs- und Kündigungsstatus sowie die zugehörigen Daten. Der Datensatz wird über einen Einweg-Hash der ursprünglichen Transaktionskennung von Apple identifiziert. Er enthält keinen Namen, keine E-Mail-Adresse und keine Familien- oder Kinderkennung, ist aber pseudonym und nicht anonym: Wir können ihn einer Familie zuordnen, indem wir den Hash aus der Transaktionskennung berechnen, die wir zum Abonnement dieser Familie speichern. Einen Datensatz bewahren wir nach seiner letzten Aktualisierung 25 Monate auf, solange das Abonnement aktiv ist, und 30 Tage nach seinem Ende, die Tageszähler etwa 25 Monate. Das gilt für Abonnements, die über den App Store abgeschlossen wurden; Käufe über Google Play erfassen wir so nicht. Es gehört zu unserem berechtigten Interesse, den Dienst zu verstehen und zu verbessern (Abschnitt 4), und du kannst jederzeit widersprechen (Abschnitt 9).

3.9 Aggregierte Nutzungsstatistiken zur Verbesserung der App

Wir verwenden aggregierte Nutzungsstatistiken zur Verbesserung der App. Einmal täglich erzeugt eine geplante Cloud Function aus aktiven Kinderprofilen de-identifizierte Statistiken: die Größe der Grundgesamtheit, den Anteil mit bekannter Altersgruppe und Anzahlen in den breiten Altersgruppen 4–6, 7–9, 10–12, 13–15 und 16–18. Neben der Anzahl jeder Altersgruppe veröffentlichen wir, wie viele Missionen Kinder dieser Altersgruppe insgesamt abgeschlossen haben, sowie diese Summe geteilt durch die Größe der Gruppe.

Die Funktion schreibt keine Kinder-IDs, Familien-IDs, Zeilen mit exaktem Alter und keine Aktivitätszeilen einzelner Kinder. Sie liest das Alter eines Kindes und dessen Missionssumme nur im Arbeitsspeicher zusammen und nur so lange, wie es dauert, sie einer Altersgruppe zuzuordnen; ein Datensatz, der beides verbindet, wird nicht aufbewahrt.

Die gesamte Veröffentlichung wird zurückgehalten, bis mindestens 10 aktive Profile vorhanden sind; jede Altersgruppe mit weniger als 10 Profilen wird weggelassen – zusammen mit ihrer Missionssumme, sodass eine weggelassene Gruppe nichts offenlegt. Von den Kinderstatistiken erreicht nur dieses schwellenwertgeschützte Aggregat das separate Administrator-Dashboard.

Wir bewahren das aktuelle Aggregat und eine Momentaufnahme pro Kalenderwoche auf, um zu erkennen, wie sich die Altersverteilung der App im Zeitverlauf verändert. Jede wöchentliche Momentaufnahme wird nach denselben Regeln eigenständig geprüft. Wöchentliche Momentaufnahmen werden 26 Wochen aufbewahrt und danach gelöscht. Wir veröffentlichen und speichern die Werte selbst, niemals die Differenz zwischen zwei Werten.

Diese serverseitige Aggregation bleibt von Firebase Analytics und individuellen Aktivitätsdaten getrennt. Picobello verknüpft Firestore-Altersangaben nicht mit Firebase-Analytics-Kennungen und bewahrt keinen Datensatz auf, der das Alter einer einzelnen Person mit ihren Aktivitäten kombiniert. Das Dashboard arbeitet ausschließlich mit den de-identifizierten aggregierten Ergebnissen und kann Kinder- oder Familiendokumente nicht direkt lesen.

Ein Elternteil und ebenso eine junge Person jeden Alters, die ihr eigenes Profil nutzt, können jederzeit widersprechen, dass dieses Profil in diesen Statistiken mitgezählt wird. Der Widerspruch ist ein Schalter in der App, wirkt ab dem nächsten geplanten Lauf und nimmt das Profil vollständig aus den Zahlen heraus, nicht nur aus einer Altersgruppe. Am übrigen Funktionsumfang der App ändert ein Widerspruch nichts.

Picobello bittet Kinder in keinem Alter um eine Einwilligung in Analysen über sie selbst, weil wir auf dieser Grundlage keine erheben. Alles in diesem Abschnitt beruht auf unserem berechtigten Interesse und wird durch den oben genannten Widerspruch gesteuert.

Unabhängig davon kann ein Elternteil entscheiden, ob Picobello de-identifizierte Statistiken darüber erhält, wie lange die Einrichtung von Picobello dauert und wie Eltern den Abonnement-Bildschirm nutzen. Wir fragen danach auf einem eigenen Bildschirm direkt nach der Anmeldung, vor dem Abonnement-Bildschirm; die Antwort ändert sonst nichts an der App. Falls gewählt, sendet die App einen Datensatz, wenn das Elternteil die Einrichtung abschließt, mit der Gesamtdauer, der Dauer der einzelnen Einrichtungsschritte, der Plattform, der App-Version und der Sprache. Außerdem sendet sie jedes Mal, wenn sich der Abonnement-Bildschirm schließt, einen Datensatz: wo er gezeigt wurde (während der Einrichtung, nach dem Ende eines Abonnements oder aus den Einstellungen), welche Fassung des Bildschirms, die Verweildauer, wie der Besuch endete (zum Beispiel mit einem Kauf, durch Schließen, Abmelden oder Verlassen der App), den gewählten Tarif, wie oft ein Kauf begonnen, abgebrochen oder fehlgeschlagen ist, wie oft die Tarifwahl gewechselt und unter Android die Zurück-Taste gedrückt wurde, die Plattform, die App-Version und die Sprache. Damit wir sehen, ob Eltern wiederkommen, speichert die App – nur nach der Zustimmung des Elternteils – einen kleinen Zähler auf dem Gerät: die Zahl der Besuche auf diesem Gerät, das Datum des ersten und wie der letzte endete. Unser Server speichert davon nur die Besuchsnummer, gruppiert als 1, 2, 3 oder 4 und mehr, die Tage seit dem ersten Besuch, gruppiert als selber Tag, 1, 2–3, 4–7 oder 8 und mehr, und wie der vorherige Besuch endete. Jeder Datensatz enthält eine zufällige Ereignis-Kennung und den Zeitpunkt. Er enthält keine Eltern-, Kinder-, Familien- oder Gerätekennung und keine gespeicherte Adresse; zwei dieser Datensätze lassen sich daher weder miteinander noch mit einem Konto verbinden. Die Nutzung der App durch Kinder ist niemals Teil davon. Sie bleibt einwilligungsbasiert, ist für die oben beschriebenen Statistiken nicht erforderlich und kann in der App jederzeit ausgeschaltet werden; das Ausschalten beendet die künftige Erhebung und löscht den Zähler auf diesem Gerät.

3.10 Datenschutzanfragen, Exporte und Löschung

Wir verarbeiten die Kennungen von anfragender Person, Kind und Familie sowie Art, Umfang, Status, Korrespondenz und Zeitstempel, die für Auskunft, Datenübertragbarkeit, Berichtigung, Einschränkung, Widerspruch, Widerruf der Autorisierung, Sitzungswiderruf und Löschanfragen über die Datenschutzfunktionen der App oder unseren Datenschutz-Supportkanal erforderlich sind. Zur Erfüllung einer verifizierten Auskunfts- oder Datenübertragbarkeitsanfrage können wir vorübergehend eine konzentrierte Kopie der Familiendaten in einem geschützten Cloud-Storage-Objekt, über einen ablaufenden Downloadlink oder in einer anderen geschützten elektronischen Datei zusammenstellen.

Eine automatisch zusammengestellte Datei enthält nicht zwingend jeden kurzlebigen Sicherheitsdatensatz. Der Datenschutz-Supportprozess führt deshalb jede ergänzende, verifizierte Suche durch, die für eine vollständige Auskunft erforderlich ist.

Die Löschkaskade umfasst Kaufbelege, Kopplungsansprüche, Freigabenachweise, Exporte, Benachrichtigungstoken und Passkey-Datensätze. Wiederholungen sind idempotent.

Wie lange eine Löschung dauert. Wir schließen eine Löschung innerhalb eines Monats nach Eingang des Antrags ab. Eine in der App gestartete Löschung läuft sofort und entfernt die Daten innerhalb weniger Minuten aus unseren aktiven Systemen. Wird ein Elternkonto oder eine Familie gelöscht, werden auch die von dort gesendeten Supportanfragen gelöscht: abgeschlossene sofort, eine noch offene, sobald wir sie beantworten konnten, spätestens aber einen Monat nach der Löschung. Für Kopien außerhalb unserer aktiven Systeme gelten unterschiedliche Fristen: Datenbank-Backups laufen innerhalb von 98 Tagen ab; Resend bewahrt versendete E-Mails 30 Tage auf (zuzüglich bis zu 7 Tagen in dessen Backups). Googles anwendbare Datenverarbeitungsbedingungen für Cloud und Firebase sehen für die Entfernung gelöschter Kundendaten aus seinen Systemen bis zu 180 Tage vor, vorbehaltlich gesetzlicher Ausnahmen; Firebase nennt dieselbe Höchstfrist nach der Löschung eines Authentication-Nutzers oder einer Firebase-Installationskennung. Für getrennte Dienst- und Sicherheitsmetadaten gelten Googles eigene Aufbewahrungsangaben; einige Sicherheits-, Missbrauchs- und Rechtsdatensätze können länger aufbewahrt werden. Ein wiederhergestelltes Backup wendet alle späteren Löschungen an, bevor es genutzt werden kann. Wenn Sie die Löschung per E-Mail beantragen, antworten wir auf diese E-Mail, sobald die Löschung erledigt ist, und löschen den Schriftwechsel danach innerhalb derselben Frist.

3.11 Lokale Speicherung und Betriebsdaten

Die iOS-App speichert SwiftData-Datensätze, ausstehende Synchronisierung, Profil- und Familiendaten sowie Einstellungen für die angeforderten Funktionen. Verzeichnisse mit persönlichen Daten sind von Gerätesicherungen ausgeschlossen. Plattform und Firebase-SDKs verwalten die Anmeldung. Die Löschung eines Profils oder Kontos und der Widerruf der Freigabe durch Eltern entfernen diese lokalen Daten vom Gerät; die Abmeldung eines Elternteils löscht die lokale Kopie der Familiendaten nicht.

Unter Android speichert die App den Firestore-Cache, eine lokale Familienliste, ausstehende Schreibvorgänge und Einstellungen. Gerätegeheimnisse verwenden Android Keystore. Backups sind deaktiviert; persönliche Dateien, Datenbanken und Einstellungen sind auch von der Geräteübertragung ausgeschlossen.

Google/Firebase und die Hosting-Infrastruktur können IP-Adresse, App-Check-Daten (Apple App Attest unter iOS, Google Play Integrity unter Android), App-Version, Anfragezeit, Fehler- und Sicherheitsprotokolle verarbeiten. Wir verwenden diese Betriebsdaten für Bereitstellung, Fehlerbehebung, Betrugsprävention und Sicherheit, nicht zur Produktmessung. Google beschreibt bestimmte technische Metadaten getrennt als Firebase-Dienstdaten oder Google-Cloud-Dienstdaten und erlaubt nach seinen Angaben unter anderem deren Verwendung zur Bereitstellung und Verbesserung seiner Dienste; siehe die Firebase-Datenschutzseite und die Google-Cloud-Datenschutzhinweise. Wir haben die optionale Firebase-Einstellung zur Verwendung von Firebase-Dienstdaten für die Verbesserung anderer Google-Dienste deaktiviert; Googles weitere angegebene Nutzungen von Dienstdaten werden dadurch nicht abgeschaltet.

Unter iOS fragt die App höchstens einmal täglich beim App Store die aktuelle Versionsnummer von Picobello ab und übermittelt dabei die Bundle-ID der App und das Storefront-Land des Geräts, damit sie dich auf ein verfügbares Update hinweisen kann. Das geschieht auch im Kindermodus.

Support-E-Mails können die Absenderadresse, die Nachricht und alle freiwillig mitgeteilten Informationen enthalten. Bitte sende keine Passwörter, Authentifizierungstoken oder unnötigen Kinderinformationen.

3.12 Transaktionale und Support-E-Mails

Picobello verwendet Resend (Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA), um angeforderte Anmeldecodes, E-Mail-Bestätigungen, Nachrichten zur Passwortzurücksetzung, Anfragen und Bestätigungen zur Freigabe durch Eltern, Support-Bestätigungscodes, Supportanfragen und inhaltlich begrenzte Empfangsbestätigungen zu versenden. Unser Supportpostfach wird bei Hostinger (Hostinger International Ltd, 61 Lordou Vironos str., 6023 Larnaka, Zypern) gehostet. Postfachkopien folgen unserem Aufbewahrungs- und Löschprozess für Supportanfragen; wenn wir eine Nachricht löschen, leeren wir sie auch aus dem Papierkorb des Postfachs. Hostinger gibt an, Restkopien für einen begrenzten, nicht veröffentlichten Zeitraum in eigenen Backups aufbewahren zu können und Postfachdaten 30 Tage nach Ende des Dienstes zu löschen. Zustell- und Zugriffsprotokolle mit E-Mail- und IP-Adressen stellt Hostinger uns 30 Tage lang bereit. Resend erhält die Absender- und Empfängeradressen, Betreff, Nachrichteninhalt, Authentifizierungscode oder Link sowie Header- und Zustellinformationen. Supportnachrichten können außerdem das Thema, die Nachricht der anfragenden Person, begrenzte Konto- oder Familienkennungen zur Bearbeitung der Anfrage und freiwillig gesendete Anhänge enthalten.

Diese Nachrichten sind transaktional oder wurden vom Nutzer angefordert, nicht Werbung. Picobello aktiviert dafür kein Öffnungs- oder Klicktracking und erstellt daraus kein Werbeprofil. Resend verarbeitet diese Kundennachrichtendaten als Dienstleister/Auftragsverarbeiter für Picobello. Resend kann eigene Konto-, Abrechnungs- und Nutzungsdaten als selbstständig Verantwortlicher nach seiner Datenschutzerklärung verarbeiten.

Um automatisierten Missbrauch des öffentlichen Support-Formulars zu reduzieren, verwendet Picobello Cloudflare Turnstile. Die Supportseite lädt beim Öffnen das Turnstile-Skript von Cloudflare, Googles Firebase-Anmeldeskript (gstatic.com) und für die Option „Mit Apple anmelden“ Apples Anmeldeskript; Cloudflare, Google und Apple erhalten daher IP-Adresse, Browserinformationen und die Seitenadresse der besuchenden Person schon vor jeder Support-Aktion. Wenn eine Person eine geschützte Support-Aktion startet, kann Cloudflare IP-Adresse, Browser- und Gerätesignale, das Ergebnis der Prüfung und damit verbundene technische Metadaten verarbeiten. Das einmalige Token wird zur Prüfung an Picobellos Backend gesendet. Cloudflare nutzt diese Signale außerdem als eigenständig Verantwortlicher, um seine Bot-Erkennung zu verbessern. Turnstile dient der Sicherheit des Support-Formulars, nicht Werbung oder Produktanalyse. Weitere Informationen enthält Cloudflares Datenschutzerklärung.

3.13 Alterssignale von Google Play und Apple

Manche Gesetze verlangen, dass eine App die Altersangaben berücksichtigt, die ein App-Store vorhält, etwa das texanische App-Store-Gesetz für Nutzer in Texas. Unter Android fragt die App, wo Google Play es bereitstellt, das Alterssignal des Google-Kontos auf dem Gerät ab: ob der Kontoinhaber ein verifizierter Erwachsener oder ein beaufsichtigter Nutzer ist, die Altersspanne des Kontos und bei einem beaufsichtigten Nutzer eine Installationskennung sowie das Datum, an dem ein Elternteil zuletzt eine wesentliche Änderung in Google Play genehmigt hat.

Wir verwenden das Signal nur, um altersgerechten Zugang zu gewähren und diese Gesetze einzuhalten, zum Beispiel um ein beaufsichtigtes Konto von Elternfunktionen fernzuhalten oder um den Widerruf einer Genehmigung durch ein Elternteil in Google Play umzusetzen. Die Bedingungen von Google Play beschränken es auf diesen Zweck; für Werbung, Marketing, Analyse oder Profilbildung verwenden wir es nicht. Es wird nicht zum Profil eines Kindes hinzugefügt: Die Altersgruppe eines Kindes legt weiterhin nur ein Elternteil fest (Abschnitt 3.2). Soweit wir einen Teil davon auf unseren Servern speichern, etwa die Installationskennung, mit der Google Play uns einen Widerruf der Genehmigung mitteilt, speichern wir ihn bei der Sitzung dieses Geräts und löschen ihn mit dieser Sitzung.

Unter iOS verwendet die App, wo Apple es verlangt, Apples Dienst „Declared Age Range“. Bei der Registrierung eines Elternteils fragt die App, ob der Inhaber des Apple-Kontos erwachsen ist; die Antwort wird auf dem Gerät verwendet, um zu entscheiden, ob es weitergehen darf, und von uns nicht gespeichert. Auf dem Gerät eines Kindes fragt die App die Altersspanne des Kontos ab und ob ein Elternteil eine wesentliche App-Änderung genehmigt hat. Wir speichern nur das Ergebnis (zum Beispiel erlaubt oder Genehmigung erforderlich), die Plattform und den Zeitpunkt bei der Sitzung dieses Geräts und löschen es mit der Sitzung. Die Altersspanne selbst speichern wir nicht, sie wird nicht zum Profil eines Kindes hinzugefügt, und wir verwenden sie nur, um altersgerechten Zugang zu gewähren und die für den Nutzer geltenden App-Store-Gesetze einzuhalten.

3.14 Widerruf der Einwilligung im App Store unter iOS

Dieselben Gesetze erlauben einem Elternteil, im App Store seine Einwilligung in die Nutzung einer App durch sein Kind zu widerrufen, und verpflichten die App, das umzusetzen. Apple teilt uns dann die Transaktionskennung des App Stores für das betroffene Apple-Konto mit: ein Wert pro Apple-Konto und App, derselbe auf jedem Gerät, das mit diesem Konto angemeldet ist. Damit wir die Geräte dieses Kontos erkennen, meldet die App des Kindes bei jedem Öffnen die Kennung ihres eigenen Apple-Kontos, und wir speichern davon nur einen Einweg-Hash bei der Sitzung dieses Geräts. Teilt Apple uns einen Widerruf mit, beenden wir jede Kindersitzung, die mit dem passenden Hash gespeichert ist: Das Gerät kehrt zum Kopplungsbildschirm zurück, und ein Elternteil muss es erneut verbinden. Den Hash verwenden wir für nichts anderes, er wird nicht zum Profil des Kindes hinzugefügt und mit der Sitzung gelöscht (Abschnitt 10.6).

3.15 Besuche der Website

Wenn du picobelloapp.com besuchst, verarbeitet unser Hosting-Anbieter Google Firebase Hosting in seinen Server-Protokollen deine IP-Adresse, Browser- und Geräteinformationen, die angeforderte Seite, die verweisende Seite und den Zeitpunkt und speichert Anfrage-IP-Adressen einige Monate lang. Wir verwenden sie, um die Website auszuliefern und sicher zu halten. Die Website setzt keine Cookies. Wenn du die Sprache wechselst, wird die Auswahl im lokalen Speicher deines Browsers abgelegt (unter dem Namen „picobello-locale“), damit die Website sie sich merkt; sie wird nicht an uns gesendet. Die Website enthält keine Werbe- oder Analyseskripte und lädt keine Schriftarten von Dritten. Die Supportseite lädt zusätzliche Skripte, wie in Abschnitt 3.12 beschrieben.

4. Warum wir Informationen verarbeiten und unsere DSGVO-Rechtsgrundlagen

Für den EWR und andere Rechtsordnungen mit dem DSGVO-Rahmen werden die folgenden Grundlagen verwendet. Wo eine Einwilligung erforderlich ist, holen wir sie getrennt ein und ermöglichen ihren Widerruf:

• Elternkonto, Abonnement und angeforderter Familiendienst: Art. 6 Abs. 1 Buchst. b DSGVO, um auf Wunsch des Elternteils tätig zu werden und den Dienstvertrag zu erfüllen.
• Kinderprofil, Quests, Belohnungen, Synchronisierung und begrenzte Personalisierung: Art. 6 Abs. 1 Buchst. f DSGVO, unser berechtigtes Interesse und das des Elternteils, den Familiendienst bereitzustellen, den das Elternteil für seinen Haushalt gewählt hat, nach einer dokumentierten kindbezogenen Abwägung, in der die Interessen und Rechte des Kindes besonderes Gewicht haben. Sie umfasst nur, was der Dienst zum Funktionieren braucht: den vom Elternteil eingegebenen Spitznamen und die Altersgruppe, den Avatar, den das Kind aus den mit der App mitgelieferten Avataren wählt, Quest- und Belohnungsaktivitäten mit ihrem siebentägigen Verlauf, Münzstände, die Filterung nach Altersgruppe in Abschnitt 3.4 und die Kennungen in Abschnitt 10.4. Sie umfasst niemals Werbung, Profilbildung über Abschnitt 3.4 hinaus, Weitergabe für Zwecke anderer oder öffentliche Sichtbarkeit. Wir stützen diese Verarbeitung nicht auf eine Einwilligung; die nationalen Altersgrenzen für die eigene Einwilligung eines Kindes nach Art. 8 DSGVO gelten für sie daher nicht. Die E-Mail-Freigabe durch das Elternteil in Abschnitt 10.3 ist eine Schutzmaßnahme, nicht die Rechtsgrundlage: Von einem Kind wird nichts erhoben, bevor ein Elternteil entschieden hat. Ein Elternteil und eine junge Person für ihr eigenes Profil können widersprechen (Abschnitt 9); ein Elternteil kann außerdem die Freigabe widerrufen, wodurch das Profil endet.
• Push-Mitteilungen: für Eltern Art. 6 Abs. 1 Buchst. b DSGVO als Teil des gewünschten Dienstes; für Kinderprofile Art. 6 Abs. 1 Buchst. f DSGVO als Teil des oben beschriebenen Familiendienstes. Die Mitteilungsberechtigung des Geräts ist die Steuerung: Auf einem Gerät, auf dem sie ausgeschaltet ist, wird nichts angezeigt, und sie kann jederzeit in der App oder den Geräteeinstellungen ausgeschaltet werden. Die Speicherung des Push-Tokens ist für die Mitteilungen unbedingt erforderlich, die mit dem Einschalten gewünscht wurden.
• Angeforderte Authentifizierungs- und Support-E-Mails: Art. 6 Abs. 1 Buchst. b DSGVO für kontobezogene Nachrichten und angeforderten Support oder Art. 6 Abs. 1 Buchst. f DSGVO, soweit dies zum Schutz des Dienstes und zur Missbrauchsverhinderung erforderlich ist. Die Verarbeitung durch Resend ist auf den Versand dieser Nachrichten nach unseren Weisungen beschränkt.
• Aggregierte Nutzungsstatistiken zur Verbesserung der App: Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse daran, die breite Altersverteilung und das Aktivitätsniveau des tatsächlich betriebenen Dienstes zu verstehen, vorbehaltlich der dokumentierten, kindbezogenen Abwägung. Zu den Schutzmaßnahmen gehören ausschließlich serverseitige Aggregation, breite Altersgruppen, eine Mindestgruppengröße von 10 für jede veröffentlichte Zahl, das Weglassen kleinerer Gruppen, keine Kennungen und keine Einzelaktivitäten im veröffentlichten Aggregat, kein aufbewahrter Datensatz, der Alter und Aktivität einer einzelnen Person verbindet, eigenständig geprüfte wöchentliche Momentaufnahmen mit 26 Wochen Speicherdauer, Werte statt Differenzen, beschränkter Administratorzugriff, keine Verknüpfung mit Firebase Analytics und ein Widerspruchsrecht in der App, das ein Profil aus den Statistiken entfernt.
• Optionale de-identifizierte Statistiken zur Nutzung durch Erwachsene (Einrichtungsdauer und Besuche des Abonnement-Bildschirms): Art. 6 Abs. 1 lit. a DSGVO. Diese eigene Erhebung erfolgt nur nach der Wahl des Elternteils, betrifft ausschließlich die Nutzung durch Erwachsene, enthält keine Kennung, über die ein Datensatz mit einem anderen oder mit einem Konto verbunden werden könnte, und kann in der App jederzeit ausgeschaltet werden, was die künftige Erhebung beendet. Dieselbe Einwilligung deckt das Speichern des Besuchszählers auf dem Gerät und das Auslesen daraus ab (in Deutschland § 25 Abs. 1 TDDDG).
• Abonnementstatistiken: Art. 6 Abs. 1 Buchst. f DSGVO, unser berechtigtes Interesse daran, zu verstehen, wie sich das Abonnement entwickelt, und den Dienst zu verbessern. Die Datensätze sind pseudonym, enthalten keinen Namen, keine E-Mail-Adresse und keine Familien- oder Kinderkennung und werden für die in Abschnitt 7 genannten Zeiträume aufbewahrt; du kannst widersprechen (Abschnitt 9).
• Alterssignale von Google Play (Android) und Apple (iOS): Art. 6 Abs. 1 Buchst. f DSGVO, unser berechtigtes Interesse daran, altersgerechten Zugang zu gewähren und die für den Nutzer geltenden App-Store-Altersgesetze einzuhalten, unter besonderer Berücksichtigung der Interessen und Rechte des Kindes; das Signal wird für nichts anderes verwendet.
• Widerruf der Einwilligung im App Store unter iOS: Art. 6 Abs. 1 Buchst. f DSGVO, unser berechtigtes Interesse daran, den Widerruf einer Einwilligung durch ein Elternteil im App Store umzusetzen, wie es die für den Nutzer geltenden App-Store-Gesetze verlangen, unter besonderer Berücksichtigung der Interessen und Rechte des Kindes; der Hash wird für nichts anderes verwendet.
• Besuche der Website: Art. 6 Abs. 1 Buchst. f DSGVO, unser berechtigtes Interesse daran, die Website auszuliefern und sicher zu halten; die im Browser gespeicherte Sprachauswahl ist für die von dir gewünschte Funktion unbedingt erforderlich.
• Authentifizierungssicherheit, Missbrauchsprävention, Dienstintegrität und begrenzte Rechtsverteidigungsnachweise: Art. 6 Abs. 1 Buchst. f DSGVO, unser berechtigtes Interesse an der Sicherheit eines auf Kinder ausgerichteten Familiendienstes unter besonderer Berücksichtigung der Interessen und Rechte der Kinder.
• Datenschutzrechte, regulatorische, steuerliche, buchhalterische und Meldepflichten bei Datenschutzverletzungen: Art. 6 Abs. 1 Buchst. c DSGVO, soweit eine konkrete gesetzliche Pflicht gilt.
• Schutz einer Person in einem Notfall: Art. 6 Abs. 1 Buchst. d DSGVO, um lebenswichtige Interessen eines Kindes oder einer anderen Person zu schützen, wenn wir erfahren, dass ihr Leben oder ihre Sicherheit unmittelbar in Gefahr ist.

Wir verwenden Kinderdaten nicht für Werbung, appübergreifendes Tracking, Datenhändler-Weitergabe oder personenbezogene Nutzungsanalysen. Wir verwenden keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung.

5. Anbieter und andere Empfänger

Wir übermitteln nur das Erforderliche an:

• Google/Firebase und Google Cloud: Authentication, Firestore, Cloud Functions, Cloud Storage, Cloud Messaging, App Check, Hosting und Betriebsprotokolle. Google-Anmeldung wird nur verwendet, wenn das Elternteil sie auswählt.
• Google Play: Vertrieb der Android-App, Abonnements über Play Billing und deren serverseitige Prüfung, App-Attestierung über Play Integrity, Play Age Signals sowie die Google Play-Dienste, über die die Google-Anmeldung mit dem Android Credential Manager läuft.
• Apple: „Mit Apple anmelden“, App Attest, APNs, StoreKit, App-Store-Vertrieb und Abonnementdienste die Mitteilung des App Stores, wenn ein Elternteil seine Einwilligung widerruft (Abschnitt 3.14), Declared Age Range (Abschnitt 3.13) und die Versionsabfrage des App Stores (Abschnitt 3.11).
• Cloudflare: Turnstile-Prüfung und Token-Validierung zur Missbrauchsvermeidung im öffentlichen Support-Formular. Cloudflare erhält die für diesen Sicherheitsdienst erforderlichen technischen Signale und nutzt sie außerdem als eigenständig Verantwortlicher, um seine Bot-Erkennung zu verbessern.
• Resend (Plus Five Five, Inc.): Versand transaktionaler und Support-E-Mails. Resend erhält die für den Versand erforderlichen E-Mail-Adressen, Nachrichteninhalte, Codes oder Links, Supporttexte oder Anhänge sowie Zustellmetadaten. Resends aktuelle DSGVO-Informationen und Datenschutzvereinbarung besagen, dass Kundendaten in den USA gespeichert werden, die Datenschutzvereinbarung nach Art. 28 DSGVO soweit anwendbar EU-Standardvertragsklauseln und das UK Addendum enthält und Resend am EU-US Data Privacy Framework teilnimmt. Die einschlägigen Garantien können bei Picobello angefordert werden.
• Autorisierte Familienmitglieder: entsprechend der oben beschriebenen Familiensichtbarkeit.
• Autorisierte Support-, Sicherheits-, Rechts- oder Fachberater: nur wenn sie bestellt und erforderlich sind und freigegebenen Vertraulichkeits- und Zugriffskontrollen unterliegen.
• Behörden oder andere gesetzlich vorgeschriebene Empfänger: nach Prüfung der Anfrage, soweit rechtlich zulässig.
• Rettungsdienste und Polizei im Notfall: nur wenn wir erfahren, dass ein Kind oder eine andere Person unmittelbar in Gefahr ist, und nur die Angaben, die sie zum Helfen brauchen.
• Einen Rechtsnachfolger: bei Umstrukturierung oder Übertragung des Dienstes unter Beachtung anwendbarer Informations-, Kinderdaten- und Einwilligungspflichten.

Wir verkaufen keine personenbezogenen Daten und teilen sie nicht für kontextübergreifende verhaltensbezogene Werbung. Die aktuelle App enthält keine Werbung Dritter, Firebase Analytics, andere Produktanalyse-SDKs, offenen Chats oder öffentlichen Kinderprofile.

Kein Dienst der künstlichen Intelligenz erhält personenbezogene Daten von Picobello, und wir verwenden Informationen von Eltern oder Kindern nicht zum Training von KI-Modellen. Wir nutzen KI-Werkzeuge bei der Entwicklung der Picobello-Software; sie arbeiten mit Quellcode und Testdaten und erhalten keinen Zugriff auf die personenbezogenen Daten der Menschen, die Picobello nutzen.

6. Internationale Verarbeitung

Die konfigurierten Firestore-Produktions- und Entwicklungsdatenbanken sowie der Content-Storage-Bucket befinden sich in Googles Region europe-west3 (Frankfurt, Deutschland). Allgemeine Cloud Functions und geplante Aufträge laufen in europe-west1 (Belgien); ressourcenbezogene Funktionen, die mit Firestore oder Storage zusammenliegen müssen, laufen in europe-west3. Google, Apple, Cloudflare und andere Anbieter können Informationen dennoch in den USA oder anderen Ländern verarbeiten. Resend speichert Kundendaten in den USA, einschließlich Nachrichteninhalten und Zustellprotokollen.

Soweit die Übermittlungsbeschränkungen der DSGVO gelten, verwendet Picobello einen anwendbaren Mechanismus, etwa einen Angemessenheitsbeschluss oder Auftragsverarbeitungsbedingungen des Anbieters mit Standardvertragsklauseln und ergänzenden Schutzmaßnahmen. Resend erklärt, dass seine Datenschutzvereinbarung Übermittlungen in die USA durch EU-Standardvertragsklauseln und das UK Addendum absichert und das EU-US Data Privacy Framework als zusätzlichen Mechanismus einbezieht. Aktuelle Anbieter- und Übermittlungsnachweise können über den obigen Kontakt angefordert werden.

Für Familien in der Schweiz gilt zusätzlich das Schweizer Bundesgesetz über den Datenschutz (DSG). Personendaten werden ins Ausland bekanntgegeben: nach Deutschland und Belgien (Googles Hosting-Regionen), nach Zypern (Hostingers Support-Postfach) und in die USA (Google, Cloudflare und Resend). Die Schweiz anerkennt für Deutschland, Belgien und Zypern einen angemessenen Datenschutz. Übermittlungen an Google und Cloudflare in den USA stützen sich auf deren Zertifizierung unter dem Swiss-U.S. Data Privacy Framework; Übermittlungen an Resend stützen sich auf die an das Schweizer Recht angepassten Standardvertragsklauseln in dessen Datenschutzvereinbarung.

7. Speicherdauer

Derzeit gelten auf Anwendungsebene folgende Fristen:

• Eltern-, Kinder-, Familien-, aktuelle Zuweisungs-, Guthaben- und Inventardaten: solange das betreffende Konto/Profil aktiv ist, danach im Rahmen des anwendbaren Löschprozesses;
• eine Familie, die 12 Monate lang weder ein Elternteil noch ein Kind genutzt hat und die kein aktives Picobello-Abonnement hat: Solange ein Abonnement aktiv ist, bezahlt das Elternteil dafür, dass die Daten der Familie erhalten bleiben; die 12 Monate beginnen daher erst mit seinem Ende. Jedes Elternteil mit Anmelde-E-Mail wird 30 Tage vorher gewarnt; öffnet bis dahin kein Elternteil und kein Kind Picobello, werden die Familie, jedes Kinderprofil und ihre Daten im selben Verfahren wie bei einer von Eltern veranlassten Familienlöschung gelöscht. Das Datum der letzten Nutzung der Familie speichern wir nur dafür und löschen es mit der Familie;
• einzelne Aktivitätsdatensätze: höchstens sieben Tage verfügbar. Serverregeln verweigern ältere Einträge sofort; ein stündlicher Auftrag löscht die gespeicherten Zeilen. Fehler können die physische Löschung verzögern und werden gesondert überwacht. Aktuelle Guthaben, benötigte Missionszustände, Ansprüche und Kaufbelege haben eigene Zwecke und werden nicht allein wegen des Ablaufs der Aktivitätsanzeige gelöscht;
• Veröffentlichung aggregierter Analysedaten: Das aktuelle schwellenwertgeschützte Aggregat wird beim nächsten geplanten Lauf ersetzt, und eine Momentaufnahme pro Kalenderwoche wird 26 Wochen aufbewahrt; keiner dieser Datensätze enthält eine Kinder- oder Familienkennung, eine Zeile mit exaktem Alter oder eine Aktivitätszeile eines einzelnen Kindes;
• optionale Ereignisdatensätze Erwachsener (Einrichtungsdauer und Besuche des Abonnement-Bildschirms): 30 Tage; daraus entstehende tägliche Aggregatdatensätze: ungefähr 25 Monate; der Besuchszähler auf dem Gerät des Elternteils: bis die Statistiken auf diesem Gerät ausgeschaltet werden oder die App entfernt wird;
• Belege zur Wiederholungssicherheit von Shop-Käufen: 30 Tage;
• Kinder-Kopplungscode: 10 Minuten gültig; Freigabe- und Anspruchsdatensätze werden 15 Minuten nach Ablauf oder Verbrauch/Widerruf zur Löschung vorgemerkt, die Bereinigung läuft alle 15 Minuten;
• Kopplungs-Ratenbegrenzung: das jeweilige 10-Minuten-Versuchsfenster;
• E-Mail-Anmeldesitzungen: 10 Minuten gültig; E-Mail-Bestätigungscodes: 15 Minuten gültig; Support-Bestätigungscodes (10 Minuten) und -Token (30 Minuten); Passkey-Challenges (5 Minuten). Die abgelaufenen Datensätze entfernt eine tägliche Bereinigung; sie können daher bis zu etwa einen Tag bestehen bleiben, bei Verzögerung des Auftrags länger. Abgebrochene anonyme Startkonten werden nach 24 Stunden löschbar und können, da die Bereinigung alle 24 Stunden läuft, normalerweise ungefähr 24 bis 48 Stunden oder bei Verzögerung des Auftrags länger bestehen bleiben;
• von Resend gespeicherte transaktionale und Support-E-Mail-Inhalte und Zustellprotokolle: Resend veröffentlicht derzeit 30 Tage für Free-, Pro- und Scale-Tarife; Backups bleiben 7 Tage bestehen. Bei Enterprise kann die Speicherdauer anders konfiguriert sein. Für die genaue Dauer gelten der konkrete Resend-Tarif und die Datenschutzvereinbarung; nach Beendigung des Kontos erfolgt die Löschung innerhalb der dort genannten Frist (derzeit bis zu 90 Tage);
• Routine-Supportanfragen: 90 Tage nach Abschluss; Anhänge: 30 Tage nach Abschluss. Offene Anfragen werden auf ihre weitere Erforderlichkeit geprüft. Eine dokumentierte gesetzliche Pflicht oder ein Rechtsstreit kann eine begrenzte, gesondert geprüfte Aufbewahrung erfordern. Wird das Elternkonto oder die Familie des Absenders gelöscht, werden abgeschlossene Anfragen sofort gelöscht und offene nur so lange aufbewahrt, bis wir sie beantwortet haben, höchstens einen Monat nach der Löschung; Kopien im Postfach werden bis zum selben Datum gelöscht. Für Kopien beim Versanddienst gelten eigene Fristen (siehe Resend oben);
• aktive Kindersitzungen: bis zum Widerruf oder zur Löschung von Kind/Konto; Nachweise widerrufener Sitzungen: 90 Tage;
• Datensätze zu Datenschutzanfragen: Offene Anfragen bleiben bis zur Erfüllung oder sonstigen rechtmäßigen Klärung erhalten. Abgeschlossene Datensätze werden 365 Tage nach Abschluss löschbar. Die Antwortfrist ist davon unabhängig; DSGVO-Anfragen verwenden einen Kalendermonat statt pauschal 30 Tagen;
• Exportdatei und Link: bis zu 72 Stunden; minimierter Abschlussbeleg des Exportauftrags: weitere 7 Tage;
• Kinder-/Kontolöschaufträge, Belege und Sperrvermerke: 98 Tage (14 Wochen), damit sie die letzte Sicherung überdauern, die die gelöschten Daten noch enthalten kann;
• Belege zu Erziehungsberechtigten-Autorisierung, Bedingungen und Datenschutzhinweis: 2.555 Tage (etwa sieben Jahre), bei Löschung eines Kindes minimiert;
• Kinderprofile, die auf Freigabe warten: Die ursprüngliche Frist von 30 Tagen beginnt mit der ersten Anfrage oder Profilanlage. Erneutes Versenden verlängert sie nicht. Eine tägliche Bereinigung entfernt überfällige Profile; Fehler können die physische Löschung verzögern;
• Freigabedatensätze: 2.555 Tage nach einer erteilten Freigabe als deren Nachweis; eine nie freigegebene oder durch eine neuere E-Mail ersetzte Anfrage 7 Tage nach Ablauf oder Ersetzung ihres Links;
• Passkey-Datensätze: solange das Elternkonto besteht, mit ihm gelöscht;
• Abonnementstatistiken des App Stores: der Datensatz je Abonnement 25 Monate nach seiner letzten Aktualisierung, solange das Abonnement aktiv ist, und 30 Tage nach seinem Ende; die Tageszähler etwa 25 Monate;
• Anmeldedatensätze von Eltern auf gemeinsam genutzten Geräten (iPad und Android-Tablet): solange die Familie besteht; ein widerrufener Datensatz bleibt bis zur Löschung der Familie;
• ein Elternkonto, das nie eine Familie angelegt hat: nach 30 Tagen ohne Anmeldung gelöscht, zusammen mit seinem Anmeldedatensatz und etwaigen Passkeys (eine Autorisierung über „Mit Apple anmelden“ können wir in diesem Fall nicht selbst beenden; du kannst Picobello in den Einstellungen deines Apple-Kontos unter „Mit Apple anmelden“ entfernen);
• Admin-Prüfprotokolle: 365 Tage; und
• Push-Registrierungen: Inaktivitätsfrist von 30 Tagen, die bei Nutzung der App durch eine berechtigte Benachrichtigungssitzung erneuert wird. Ein Profilwechsel ändert die Zustellung; die letzte Abmeldung, der Entzug der Benachrichtigungsberechtigung oder eine Profillöschung leiten die Stilllegung ein. Offline-Bereinigungen werden bei wiederhergestellter Verbindung erneut versucht. Der Server entfernt die Zustellungszuordnung vor der Löschanforderung an den Anbieter und bewahrt einen minimierten Beleg mit Hash-Kennung 187 Tage auf. Laut Firebase kann die Installationslöschung 1–2 Tage zur Weitergabe und bis zu 180 Tage bis zum Ablauf verbleibender Kopien benötigen. Das Ausschalten einer einzelnen In-App-Kategorie löscht die Installation nicht. Push-Mitteilungen werden ohne Offline-Warteschlange gesendet; stattdessen kann die App aktualisiert werden.

Für Anbieterprotokolle, Sicherheitsuntersuchungen, Support, Abrechnungsunterlagen und Backups gelten eigene zweckgebundene Fristen. Datenbank-Backups werden 7 Tage (tägliche Backups) oder 98 Tage (wöchentliche Backups) aufbewahrt; Löschbelege decken dieses Fenster ab. Vor einem Zugriff nach Wiederherstellung müssen spätere Löschvermerke erneut angewendet werden.

8. Sicherheit

Zum aktuellen Konzept gehören verschlüsselte Übertragung, Firebase Authentication, App Check mit Apple App Attest oder Google Play Integrity, standardmäßig verweigernde Datenbank- und Speicherregeln, serverseitig geprüfte Familienmitgliedschaft und Rollen, kurzlebige Kopplungscodes, Ratenbegrenzungen, widerrufbare Sitzungen, ausschließlich für das Backend zugängliche Lebenszyklus-Sammlungen, ablaufende Exporte und geplante Löschung.

Kein Dienst ist vollständig sicher. Wir führen einen Ablaufplan für Sicherheitsvorfälle und ein Verzeichnis von Datenschutzverletzungen. Bei einer Verletzung des Schutzes personenbezogener Daten untersuchen und dokumentieren wir sie und benachrichtigen die Aufsichtsbehörde und die betroffenen Personen, soweit Art. 33 und 34 DSGVO dies verlangen.

9. Rechte und Wahlmöglichkeiten

Vorbehaltlich des anwendbaren Rechts können Eltern, Erziehungsberechtigte oder Kinder Folgendes verlangen:

• Auskunft über personenbezogene Daten und deren Verwendung;
• eine übertragbare Kopie, soweit anwendbar;
• Berichtigung unrichtiger Informationen;
• Löschung;
• Einschränkung oder Widerspruch;
• Widerruf einer Einwilligung oder Erziehungsberechtigten-Autorisierung; sowie
• Widerruf verbundener Kindersitzungen.

Zwei dieser Wahlmöglichkeiten sind Schalter in der App und keine Anfrage an uns. Ein Elternteil kann die optionalen Statistiken zur Nutzung durch Erwachsene (Einrichtungsdauer und Besuche des Abonnement-Bildschirms) in den Einstellungen unter „Datenschutz-Optionen“ ein- und ausschalten und dort pro Kind widersprechen, dass ein Profil in den aggregierten Statistiken mitgezählt wird. Eine junge Person, die ihr eigenes Profil nutzt, hat den Widerspruchsschalter in ihrem eigenen Datenschutzbereich – in jedem Alter. Ein Schalter wird sofort gespeichert und erfordert keine Begründung und keine Zustimmung; die Statistiken berücksichtigen einen Widerspruch ab dem nächsten täglichen Lauf.

Ein Elternteil und eine junge Person für ihr eigenes Profil können außerdem der Verarbeitung eines Kinderprofils selbst widersprechen, die auf berechtigtem Interesse beruht (Abschnitt 4). Ein Profil kann ohne diese Verarbeitung nicht funktionieren. Wir behandeln einen solchen Widerspruch deshalb so, dass wir die Nutzung des Profils beenden und es über den Löschprozess für Kinderprofile löschen, abgesehen von den in Abschnitt 7 beschriebenen begrenzten Aufzeichnungen. Ein Widerspruch nur gegen die aggregierten Statistiken berührt das Profil nicht.

Du kannst außerdem den Abonnementstatistiken (Abschnitt 3.8) per E-Mail an uns widersprechen; wir löschen dann den mit deinem Abonnement verknüpften Datensatz.

Für Auskunft, eine übertragbare Kopie oder einen Export, Berichtigung, Einschränkung, Widerspruch, Widerruf der Autorisierung oder sonstige Datenschutzunterstützung nutze die Datenschutzfunktionen der App oder sende eine E-Mail an support@picobelloapp.com. Kontolöschung, Löschung einzelner Kinderprofile, Widerruf verbundener Sitzungen und Benachrichtigungseinstellungen bleiben über die jeweils anwendbaren elterlich kontrollierten App-Einstellungen verfügbar. Das Betriebsverfahren verlangt verhältnismäßige Prüfungen von Identität und Erziehungsberechtigung sowie die Eskalation von Familienkonflikten oder Kinderschutzbedenken, statt Daten automatisch allen Familienmitgliedern offenzulegen. Kopien mit Kinder- oder Familiendaten werden, soweit angemessen, über einen geschützten Download oder eine geschützte elektronische Datei und nicht im Text einer gewöhnlichen E-Mail bereitgestellt. Eine per E-Mail gesendete Anfrage kann während des Versands von Resend verarbeitet werden.

Wenn mindestens ein weiteres Elternteil mit einer eigenen Anmeldung über Apple, Google oder eine bestätigte E-Mail-Adresse in der Familie verbleibt, werden nur das gelöschte Elternkonto und dessen Zugang entfernt. Die Familiendaten bleiben für die übrigen Elternteile mit eigenen Anmeldedaten bestehen. Die Löschung des letzten Elternkontos mit eigener Anmeldung startet die Löschung der Familie, sämtlicher Kinderprofile und aller Elternprofile, die nur über einen Einladungscode beigetreten sind. Ein Kinderprofil kann außerdem über den dafür vorgesehenen elterlich kontrollierten Ablauf einzeln gelöscht werden.

Du kannst dich bei der Datenschutzaufsichtsbehörde des EU-/EWR-Landes beschweren, in dem du lebst oder arbeitest oder in dem du einen Verstoß vermutest. In der Schweiz kannst du dich an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) wenden. Ein Widerruf berührt nicht die Rechtmäßigkeit bereits erfolgter Verarbeitung; begrenzte Nachweise können verbleiben, wenn eine gesetzliche Pflicht oder ein angemessen dokumentierter Rechtsanspruch dies erfordert.

10. Kinder und weitere Märkte

10.1 Informationen für Kinder

Eine kurze deutsch- und englischsprachige Datenschutzerklärung für Kinder sowie ein Datenschutzbereich sind in der App verfügbar. Eltern kontrollieren die Erstellung von Cloud-Kinderprofilen unterhalb der jeweils geltenden Altersgrenze für eine eigene digitale Einwilligung; ab dieser Altersgrenze überlässt die App der jungen Person ihre eigenen Datenschutzentscheidungen. Die kindgerechte Erklärung ergänzt diese vollständige Erklärung; bei Abweichungen gilt diese vollständige Erklärung.

10.2 Was ein Kinderprofil enthält

Ein Elternteil legt jedes Kinderprofil mit Spitznamen und Altersgruppe an. Nachdem ein Elternteil das Profil freigegeben hat, wählt das Kind seinen Avatar selbst aus einer festen Auswahl, die mit der App mitgeliefert wird; eigene Bilder kann das Kind weder hochladen noch erstellen. Kinder können keine Kontaktdaten, Fotos, Standortdaten oder frei geschriebenen Nachrichten angeben. Bei der App-Nutzung entstehen personenbezogene Daten, darunter betriebliche Kennungen, Missionen, Guthaben und Belohnungsaktivitäten. Google/Firebase und weitere Betriebsdienstleister erhalten die für den Dienst benötigten Daten. Firebase-freie UI-Pakete verhindern diese Backend-Weitergaben nicht. Es gelten die Freigabe, Zweckbeschränkungen, Zugriffskontrollen und Speicherfristen dieser Erklärung.

10.3 Freigabe durch Eltern, bevor ein Kind Picobello nutzt

Ein Elternteil oder eine sorgeberechtigte Person gibt jedes neue Kinderprofil per E-Mail frei, bevor Profildaten vom Kind erhoben werden. Das ist die Methode „E-Mail plus“ für die elterliche Einwilligung, die die US-amerikanische Children's Online Privacy Protection Rule zulässt (16 CFR 312.5(b)(2)(viii)). Wir verwenden sie für jedes Kinderprofil, in jedem Land und in jeder Altersgruppe, damit die Wahl einer höheren Altersgruppe sie nie umgeht. Der Ablauf:

• Ein neues Kinderprofil beginnt als ausstehend. Ein ausstehendes Profil enthält nur, was das Elternteil eingetragen hat: den Spitznamen und die Altersgruppe. Kein Gerät kann sich damit koppeln, dorthin wechseln oder eine Kindersitzung dafür öffnen, sodass keine Profildaten vom Kind erhoben werden. Ein Gerät, das den Kopplungsbildschirm öffnet, erhält allerdings eine vorübergehende anonyme Anmeldung von Firebase Authentication, mit den üblichen IP-Adress- und App-Check-Daten; sie ist mit keinem Profil verknüpft, und nicht genutzte werden innerhalb von etwa zwei Tagen gelöscht (Abschnitt 7).
• Wir senden einen Hinweis an die Anmelde-E-Mail-Adresse des Elternteils, das das Profil angelegt hat. Er nennt die Kinder, beschreibt, was wir von ihnen erheben, wie wir es nutzen und wer es sieht, und verlinkt auf diese Datenschutzerklärung. Die E-Mail wird über Resend zugestellt (Abschnitt 3.12).
• Das Elternteil gibt frei, indem es den Link öffnet und auf die Freigabe-Schaltfläche tippt, in der Picobello-App, sofern sie installiert ist, sonst auf picobelloapp.com. Das Öffnen des Links allein gibt nichts frei. Die App bietet eine Freigabe nie ohne den Link aus der E-Mail an, sodass ein Kind, das das Gerät oder den Code eines Elternteils für gemeinsam genutzte Geräte verwenden kann, sein eigenes Profil nicht freigeben kann.
• Ein Link läuft spätestens mit der ursprünglichen Frist von 30 Tagen ab. Erneutes Senden ersetzt frühere Links und startet die Speicherfrist ausstehender Profile niemals neu.
• Gibt niemand bis zur ursprünglichen Frist von 30 Tagen frei, entfernt die tägliche Bereinigung die ausstehenden Profile samt Namen. Erneutes Versenden verlängert die Frist nicht; bei Fehlern kann die physische Löschung länger dauern.
• Eine Freigabe erzeugt einen dauerhaft gespeicherten Auftrag für eine Bestätigungs-E-Mail an den ursprünglich bestätigten Empfänger. Der Kinderzugriff bleibt pausiert, bis der Anbieter die Bestätigung zum Versand angenommen hat. Fehlversuche werden begrenzt wiederholt; ein endgültiger Fehler verhindert die Aktivierung. Die Annahme zum Versand beweist nicht den Eingang im Postfach.
• Vor einer wesentlich geänderten Verarbeitung sind ein neuer Hinweis und eine neue Freigabe nötig. Bereits freigegebene Profile dürfen bis zur gespeicherten Frist nur Zwecke fortsetzen, die von der gültigen bisherigen Freigabe gedeckt sind. Neue Zwecke bleiben deaktiviert. Fehlende Nachweise, Widerruf, Einschränkung oder Löschung sperren den Kinderzugriff.
• Ein Widerruf sperrt sofort die Geräte der Kinder und neue Sitzungen und löscht dann die von der Freigabe erfassten Profile samt ihrer Aktivitäten dauerhaft, im selben Verfahren wie eine von Eltern veranlasste Löschung. Was nicht sofort abgeschlossen werden kann, erledigt die tägliche Bereinigung. Das Familienkonto und die eigenen Daten des Elternteils bleiben bestehen.

Jede Freigabe ist an die genaue Hinweisversion, den Inhaltsprüfwert, die Zwecke, die Kinderkennungen und den ursprünglich bestätigten Empfänger gebunden. Der personalisierte Hinweis und die angezeigten Kindernamen werden für diese Entscheidung festgehalten. Wesentliche Änderungen machen ausstehende Links ungültig. Ein ausstehender Bestätigungsauftrag enthält vorübergehend die Empfängeradresse und den benötigten Widerrufslink; diese temporären Werte werden nach Abschluss, Abbruch oder endgültigem Fehler entfernt. Bei Löschung werden personenbezogene Freigabenachweise minimiert. Auch gehashte Kennungen sind personenbezogene Daten.

10.4 Gerätekennungen und wofür wir sie verwenden

Bei der Nutzung von Picobello durch ein Kind fallen die folgenden dauerhaften Kennungen an. Wir verwenden sie nur, um den Dienst für die Familie zu betreiben: um ein Gerät anzumelden, seine Daten zu synchronisieren, Benachrichtigungen zuzustellen, den Dienst zu schützen und Eltern gekoppelte Geräte anzeigen und widerrufen zu lassen.

• Konto- und Profilkennungen: die internen Kinder- und Familienkennungen und die Firebase-Authentication-Nutzerkennung der Kindersitzung. Sie authentifizieren das Kind, laden das richtige Profil und halten Missionen, Münzen und Belohnungen auf den Geräten der Familie synchron.
• Sitzungsreferenz: ein Zufallswert, den die App auf dem Gerät erzeugt und in ihrem eigenen Speicher ablegt, einer pro Kind auf diesem Gerät. Damit nutzen eine erneute Verbindung oder ein Profilwechsel auf demselben Gerät einen einzigen Sitzungsdatensatz, den ein Elternteil sehen und widerrufen kann.
• Geräteklasse, Modellkennung und letzte Nutzung: zum Beispiel „iPhone15,4“ oder „Pixel 8“, ob das Gerät ein gemeinsam genutztes Familien-Tablet ist und wann die Sitzung zuletzt verwendet wurde. Damit können Eltern gekoppelte Geräte unterscheiden, und Geschwister können auf einem gemeinsamen Tablet das Profil wechseln, aber nicht auf dem eigenen Handy eines Kindes.
• Push-Token: das APNs- oder FCM-Token des Geräts mit seiner Sprache und den Benachrichtigungseinstellungen. Es stellt Erinnerungen und Familienbenachrichtigungen über Apple oder Google zu.
• App-Attestierung: Apple App Attest unter iOS und Google Play Integrity unter Android, geprüft über Firebase App Check. Sie bestätigt, dass eine Anfrage von einer echten Kopie der App stammt; wir speichern die Attestierung nicht zum Profil des Kindes.
• Alterssignal von Google Play: unter Android, wo Google Play es bereitstellt, der Status als verifizierter Erwachsener oder beaufsichtigtes Konto, die Altersspanne und bei einem beaufsichtigten Konto eine Installationskennung (Abschnitt 3.13). Es dient nur dazu, altersgerechten Zugang zu gewähren und Entscheidungen der Eltern in Google Play umzusetzen, und wird nie zum Profil des Kindes hinzugefügt.
• Transaktionskennung des App Stores: unter iOS ein Einweg-Hash der Kennung des App Stores für das Apple-Konto des Geräts und diese App, gespeichert bei der Sitzung des Geräts (Abschnitt 3.14). Er dient nur dazu, den Widerruf einer Einwilligung durch ein Elternteil im App Store umzusetzen, und wird nie zum Profil des Kindes hinzugefügt.
• Ergebnis der Apple-Altersabfrage: unter iOS, wo Apple es verlangt, ob der Zugang erlaubt ist oder die Genehmigung eines Elternteils braucht, gespeichert nur als Status bei der Sitzung des Geräts (Abschnitt 3.13); es wird nie zum Profil des Kindes hinzugefügt.
• Versionsabfrage beim App Store: unter iOS fragt die App höchstens einmal täglich beim App Store die aktuelle Versionsnummer ab und übermittelt dabei die Bundle-ID der App und das Storefront-Land des Geräts (Abschnitt 3.11).
• IP-Adresse: Sie erreicht mit jeder Anfrage unsere Hosting- und Cloud-Infrastruktur und dient der Zustellung, Sicherheit und Ratenbegrenzung. Ratenbegrenzungsdatensätze enthalten einen rotierenden oder pseudonymen Hash, nicht die Adresse.

Werbekennung, Apple-Herstellerkennung, Android-ID, Gerätename, Seriennummer, Telefonnummer oder genauer Standort eines Kindergeräts werden nicht erhoben. Wir verwenden keine Kennung eines Kindes, um es zu kontaktieren, für verhaltensbasierte Werbung oder um ein Profil über das Kind anzulegen, und geben keine solche Kennung an Werbeanbieter weiter. Betriebskennungen erreichen die Dienstleister in Abschnitt 5. Google verarbeitet Kundendaten nach unseren Weisungen gemäß den anwendbaren Datenverarbeitungsbedingungen und verarbeitet bestimmte Dienstmetadaten getrennt nach den in Abschnitt 3.11 genannten Hinweisen. Zu unseren Schutzmaßnahmen gehören der Verzicht auf Werbe-, Analyse- und Absturzberichts-SDKs, Datenbankregeln, die Anwendungsdatensätze auf die Familie und unser Backend beschränken, der Ausschluss der Nutzung durch Kinder aus den optionalen Statistiken über Erwachsene und der Verzicht auf Kinder- oder Gerätekennungen in den aggregierten Statistiken (Abschnitt 3.9).

10.5 Wahlmöglichkeiten der Eltern

Eltern oder Erziehungsberechtigte können Einsicht, Berichtigung, Löschung und ein Ende weiterer Erhebung verlangen. Auch das Kind hat Rechte. Eigenständige Entscheidungen Jugendlicher und strittige Sorgeberechtigung werden vor einer Offenlegung geprüft; eine Familienrolle berechtigt nicht zu jedem Datensatz.

Eltern können Profile einsehen und berichtigen, Kopien anfordern, Geräte widerrufen und Profile löschen. Der Widerrufslink sperrt den Dienstzugriff und startet die Löschung der erfassten Profile. Notwendige Rechtebearbeitung, Sicherheit und begründete gesetzliche Nachweise können unter eigenen Fristen bestehen bleiben. Die Dienstleister in Abschnitt 5 verarbeiten personenbezogene Betriebsdaten; Kinderdaten werden nicht veröffentlicht oder für eigenständige Werbung oder Marketing verwendet.

10.6 Wie lange wir Daten von Kindern aufbewahren

Dies ist unser Aufbewahrungskonzept für personenbezogene Daten von Kindern. Wir bewahren jede Angabe nur für den genannten Zweck und nicht länger als angegeben auf:

• Profil (Spitzname, Avatar, Altersgruppe und Freigabestatus), damit das Kind sein Profil nutzen und die Familie ihre Mitglieder sehen kann: bis ein Elternteil das Profil löscht, die Freigabe widerruft oder die Familie löscht, oder bis die Familie 12 Monate lang weder genutzt wurde noch ein aktives Abonnement hatte (Abschnitt 7). Ein nie freigegebenes Profil wird 30 Tage nach der ursprünglichen Freigabeanfrage gelöscht.
• Einzelne Aktivitätsdatensätze, für den Rückblick der Eltern: höchstens sieben Tage verfügbar, mit stündlicher physischer Bereinigung und Ablauf lokaler Kopien. Fehler können die Löschung verzögern, verlängern aber nicht den erlaubten Serverzugriff.
• Spielstand (aktuelle Missionen, Münzstand, laufende Abschlusszähler, Belohnungsinventar und Einlösungen), um das Spiel zu betreiben: solange das Profil besteht.
• Belege zu Shop-Käufen, damit ein Kauf nie doppelt angewendet wird: 30 Tage.
• Sitzungsdatensätze und Geräteangaben (Abschnitt 10.4), um ein Gerät angemeldet zu halten und Eltern den Widerruf zu ermöglichen: solange die Sitzung aktiv ist, und 90 Tage nach ihrem Widerruf.
• Push-Token, um Benachrichtigungen zuzustellen: wie in Abschnitt 7 beschrieben.
• Das Datum der letzten Nutzung der Familie, um Familien zu erkennen, die niemand mehr nutzt oder bezahlt: bis die Familie gelöscht wird.
• Kopplungscodes und -ansprüche, um ein Gerät zu verbinden: 10 Minuten gültig und innerhalb von etwa 30 Minuten nach Ablauf oder Verwendung gelöscht.
• Freigabedatensätze, als Nachweis der Freigabe: 2.555 Tage (etwa sieben Jahre) nach der Freigabe. Eine nie freigegebene oder ersetzte Anfrage wird 7 Tage nach Ablauf oder Ersetzung ihres Links gelöscht.
• Löschbelege, um eine Löschung nachzuweisen und die Wiederherstellung eines gelöschten Profils zu verhindern: 98 Tage (14 Wochen, so lange wie die älteste Sicherung), ohne das lesbare Profil des Kindes.
• Sicherungen, für Wiederherstellung: tägliche Backups 7 Tage, wöchentliche Backups 98 Tage. Löschung im aktiven System und Ablauf letzter Backups sind getrennte Schritte. Nach Wiederherstellung müssen Löschvermerke vor jedem Familienzugriff angewendet werden.

10.7 Ergänzende Informationen für Personen in den USA

Dieser Abschnitt ergänzt die übrige Erklärung für Personen in den Vereinigten Staaten. Welche Datenschutzgesetze der US-Bundesstaaten für Picobello gelten, hängt von Schwellenwerten ab, die wir möglicherweise nicht erreichen; deshalb bieten wir die folgenden Rechte jeder US-Familie an.

Was wir erheben. Wir erheben die folgenden Kategorien personenbezogener Informationen, die in den Abschnitten 3 und 10.4 beschrieben sind: Kennungen (Name oder E-Mail-Adresse eines Elternteils, Spitznamen von Kindern, Konto-, Sitzungs- und Gerätekennungen, IP-Adresse), kommerzielle Informationen (Abonnementstatus), Internet- oder sonstige elektronische Aktivitäten (Missions-, Münz- und Belohnungsaktivitäten in der App, Anmelde- und Sicherheitsdatensätze) sowie die Altersgruppe, die ein Elternteil für ein Kind festlegt. Wir erheben keine genauen oder ungefähren Standortdaten, keine biometrischen Daten, keine Gesundheitsdaten, keine Kontakte, Fotos oder Audiodaten. Wir verwenden Altersgruppen, keine Geburtsdaten.

Warum und von wem. Wir erheben sie von dem Elternteil, das die Familie anlegt, aus der Nutzung der App durch die Familie, vom App Store oder von Google Play (Abonnement- und Alterssignale) und aus den Sicherheitssystemen unserer Anbieter. Wir verwenden sie für die in Abschnitt 4 genannten Zwecke.

Wer sie erhält. Nur die in Abschnitt 5 genannten Dienstleister und Plattformen, die für uns aufgrund eines Vertrags oder als App Stores handeln. Wir verkaufen keine personenbezogenen Informationen, geben sie nicht für kontextübergreifende verhaltensbezogene oder zielgerichtete Werbung weiter und verkaufen oder teilen die personenbezogenen Informationen von Personen unter 16 Jahren nicht wissentlich. Wir verwenden sie nicht für Profiling mit rechtlicher oder ähnlich erheblicher Wirkung.

Deine Rechte. Du kannst von uns verlangen, dir mitzuteilen, welche personenbezogenen Informationen wir über dich und deine Familie speichern, dir eine Kopie zu geben, sie zu berichtigen, sie zu löschen und dir eine übertragbare Kopie zu geben; für optionale Verarbeitung kannst du die Einwilligung widerrufen. Ein Elternteil kann diese Rechte für ein Kind in seiner Obhut ausüben. Wir behandeln dich nicht anders, weil du sie nutzt. Nutze die Datenschutzfunktionen der App oder schreibe an support@picobelloapp.com. Möglicherweise müssen wir vor einer Maßnahme prüfen, ob du das Familienkonto kontrollierst, und verlangen dafür nicht mehr als nötig.

Antwortfrist und Widerspruch gegen unsere Entscheidung (Appeal). Wir antworten innerhalb eines Kalendermonats, in jedem Fall innerhalb von 45 Tagen. Lehnen wir einen Antrag ab, nennen wir dir den Grund. Du kannst unserer Entscheidung widersprechen (Appeal), indem du auf unsere Antwort antwortest oder an support@picobelloapp.com schreibst und „Appeal“ in die Betreffzeile setzt; wir beantworten einen Appeal innerhalb von 45 Tagen schriftlich. Bist du mit dem Ergebnis nicht zufrieden, kannst du dich an den Generalstaatsanwalt (Attorney General) deines US-Bundesstaats wenden.

Do Not Track. Picobello verfolgt dich nicht über andere Websites oder Apps hinweg. Abgesehen von den in den Abschnitten 3.12 und 3.15 genannten Anbietern erhebt kein Dritter personenbezogene Informationen über die App oder die Website. Da wir nicht tracken, ändern wir nicht, wie die App oder die Website funktioniert, wenn dein Browser ein Do-Not-Track-Signal sendet.

11. Änderungen

Wir können diese Erklärung aktualisieren, wenn sich App, Anbieter, Rechtsgrundlage, Empfänger oder Speicherdauer ändern. Wir ändern Version und Datum und informieren zusätzlich oder holen eine erneute Autorisierung ein, wenn dies erforderlich ist. Bevor wir Daten von Kindern auf wesentlich andere Weise erheben, nutzen oder weitergeben, informieren wir Eltern per E-Mail und bitten um eine neue Freigabe, wie in Abschnitt 10.3 beschrieben. Der Ablauf zur Erziehungsberechtigten-Autorisierung zeigt genau die Versionen der Datenschutzerklärung und der Bedingungen, die in seinen Belegen festgehalten werden. Die Rechtstexte in der App zeigen jeweils die aktuelle Fassung des Dokuments.

12. Kontakt

Picobello Software UG (haftungsbeschränkt)

c/o The Base Berlin One, Pestalozzistraße 5-8, Apt. 216, 13187 Berlin, Deutschland

Geschäftsführer: Felix Parey

Handelsregister: Amtsgericht Charlottenburg, HRB 291439 B

Telefon: +49 160 93115625

support@picobelloapp.com