Datenschutzerklärung der App

Fassung: datenschutz-2026-13
Stand: September 2026

Neu gegenüber der Fassung datenschutz-2026-12:

Die Mitteilung einer anderen Uhrzeit (Abschnitte 2, 4, 5 und 6). Kommt ein Wechsel am selben Tag zu einer anderen Uhrzeit zustande als nach dem Plan, kann ein Elternteil das dem anderen mitteilen, mit Uhrzeit und auf Wunsch einem festen Anlass. Der Plan ändert sich dadurch nicht. Die Mitteilung ist am Ende des Tages gelöscht.
Allein anfangen (Abschnitte 2 und 4). Ein Elternteil kann den Plan eintragen und nutzen, bevor der andere dabei ist.
Die Bezahlung über den App Store (Abschnitte 2, 3, 4, 5, 6 und 8). Wer die Familie freischaltet, kauft ein Abo bei Apple. Apple ist Händler; wir erfahren, dass und bis wann eine Familie freigeschaltet ist.
Der stille Anstoß für den Kalender und die Karenz beim Anmelden (Abschnitte 2, 5 und 6).
Entfallen sind die Hilfe beim Formulieren und der Nachrichtenkanal der Eltern. Beides gibt es in der App nicht mehr, und Abschnitte 2, 5 und 8 nennen es nicht mehr.

Der Verweis auf den Kindertext in Abschnitt 7 nennt weiterhin die Fassung kinderhinweis-2026-16.

Diese Erklärung beschreibt, was die App mit euren Daten tut. Sie beschreibt keine Absicht, sondern das, was gebaut ist: wo etwas nicht gespeichert wird, ist es auch technisch nicht vorgesehen.

1. Verantwortlicher

Datargo GmbH
Omniturm Frankfurt
Neue Mainzer Str. 52-58
60311 Frankfurt am Main

Vertreten durch Andreas Mallek
Amtsgericht Friedberg (Hessen), HRB 9742
E-Mail: [email protected]

Ein Datenschutzbeauftragter ist nicht bestellt; die Voraussetzungen des § 38 BDSG liegen nicht vor. Anfragen zum Datenschutz gehen an die oben genannte Adresse.

2. Was verarbeitet wird, wozu und auf welcher Grundlage

Daten	Wozu	Rechtsgrundlage
Name, E-Mail-Adresse, Zugangsdaten	Konto und Anmeldung	Art. 6 Abs. 1 lit. b (Vertrag)
Betreuungsplan: Rhythmus, Wechseltage, Uhrzeiten, Übergabeorte, Ferienzeiträume	Der Zweck der App: wo ist das Kind, wann, bei wem	Art. 6 Abs. 1 lit. b
Abweichungen vom Plan mit Zeitraum und Antwortfrist	Einen Einzelfall abstimmen	Art. 6 Abs. 1 lit. b
Mitteilung einer anderen Uhrzeit: das Kind, der geplante Wechsel, die mitgeteilte Uhrzeit am selben Tag, ein freiwilliger Anlass aus einer festen Auswahl (unterwegs, Arbeit, Termin, anderer Grund), wer sie geschickt hat und wann. Kein Freitext	Dem anderen Haushalt sagen, dass ein Wechsel heute zu einer anderen Uhrzeit stattfindet, ohne den Plan zu ändern	Art. 6 Abs. 1 lit. b
Allein anfangen: ein Plan, den ein Elternteil eingetragen hat, bevor der andere dabei ist, gekennzeichnet als eingetragen und noch nicht vereinbart	Die App nutzen, bevor der andere Elternteil zusagt	Art. 6 Abs. 1 lit. b
Abo über den App Store: eine Kontokennung, die unser Server je Konto ausgibt und die Apple in den Kauf einträgt; zum Kauf die Kennung der ursprünglichen Transaktion bei Apple, das Produkt (monatlich oder jährlich), Laufzeitende, Zustand (aktiv, Kulanzzeit, Zahlungsproblem, abgelaufen, widerrufen), Umgebung (Test oder Produktion) und der Zeitpunkt der letzten Nachricht von Apple; die freigeschaltete Familie und bis wann; Belege über empfangene Nachrichten von Apple. Keine Zahlungsdaten	Die Familie freischalten, solange das Abo läuft, und das mit Apple abgleichen	Art. 6 Abs. 1 lit. b; für die Aufbewahrung nach Ende der Laufzeit Art. 6 Abs. 1 lit. f (Klärung von Erstattungen und Rückfragen); soweit steuer- oder handelsrechtliche Pflichten bestehen, Art. 6 Abs. 1 lit. c
Anmeldung: die Sitzung eines Geräts mit einem Erneuerungsschlüssel, der bei jeder Erneuerung wechselt; 60 Sekunden danach bleibt der vorige Schlüssel als Prüfwert erkennbar	Angemeldet bleiben, ohne dass zwei gleichzeitige Erneuerungen das Gerät abmelden	Art. 6 Abs. 1 lit. b
Termine eines Kindes: Titel, Beginn, Ende, Ort, ob beide zustimmen müssen, bis wann zugestimmt sein muss und ob zugestimmt ist, dazu wer ihn eingetragen hat	Arzt, Elternabend, Zeugnis: was im Tag eines Kindes steht, für beide Haushalte	Art. 6 Abs. 1 lit. b; ein Titel kann ein Gesundheitsdatum sein, dazu der Absatz über Termine unten
Kalender-Abo: ein geheimer Link je Elternteil und Kind, für welches Kind und welche Familie er gilt, wann er angelegt wurde, und ob Titel und Ort mitgehen	Die eigenen Betreuungszeiten und die Termine des Kindes in einem Kalender eurer Wahl	Art. 6 Abs. 1 lit. b
Kalender auf dem Gerät: welche Einträge die App in welchen Kalender geschrieben hat (auf dem Gerät, nicht auf unseren Servern), und ein Termin, den ihr aus einem eurer Kalender übernehmt: Titel, Beginn, Ende, Ort	Den Plan dort sehen, wo euer Alltag schon steht, ohne ihn zweimal einzutragen	Art. 6 Abs. 1 lit. b
Vorname und Geburtsdatum des Kindes	Der Plan bezieht sich auf ein bestimmtes Kind	Art. 6 Abs. 1 lit. b, für Konten unter 16 Jahren zusätzlich Art. 8 Abs. 1
Abholberechtigte: Name, Beziehung, Reichweite	Die Frage an der Schultür beantworten	Art. 6 Abs. 1 lit. b
Aufgaben und ob sie erledigt sind	Alltag zwischen zwei Haushalten	Art. 6 Abs. 1 lit. b
Listen für einen Tag: Titel, Punkte, das Kind und der Tag, für die sie gelten, und wer sie angelegt hat; Vorlagen dafür bei dem Elternteil, der sie angelegt hat. Nicht, was abgehakt ist	Was an einem Tag gebraucht wird, lesbar für beide Haushalte und das Kind	Art. 6 Abs. 1 lit. b, für Konten unter 16 Jahren zusätzlich Art. 8 Abs. 1, und soweit Gesundheitsdaten des Kindes in einem Punkt stehen, Art. 9 Abs. 2 lit. c wie beim Freitext zu einem Betreuungsdienst
Dokumente zu einem Kind: die Datei (PDF oder Foto), Titel, Kategorie (Gesundheit, Schule, Ausweise, Betreuung), die Kinder, die es betrifft, wer es abgelegt hat und wann; dazu, wann ein Elternteil in die Verarbeitung eingewilligt hat	Unterlagen zu den Kindern an einem Ort, für beide Elternteile	Art. 6 Abs. 1 lit. b, und weil solche Unterlagen oft Gesundheitsdaten enthalten, zusätzlich Art. 9 Abs. 2 lit. a (ausdrückliche Einwilligung, siehe unten)
Mitteilungen auf das Telefon: die Gerätemarke, die iOS dafür vergibt, die Sprache des Geräts, eure Schalter je Kategorie (auch für die Mitteilung einer anderen Uhrzeit), und ein Zustelllog aus Kategorie, Tag und Ergebnis. Dazu der stille Anstoß: eine Zustellung ohne Satz und ohne Inhalt, die die App im Hintergrund weckt, damit sie den Kalender auf dem Gerät abgleicht; von ihr wird nichts gespeichert	Bescheid geben, wenn etwas auf euch wartet, ohne Inhalt auf dem Sperrbildschirm, und den Kalender auf dem Gerät aktuell halten	Art. 6 Abs. 1 lit. b
Freitext zu einem Betreuungsdienst (z. B. Hinweise für eine Betreuerin)	Übergabe an eine dritte Person	Art. 6 Abs. 1 lit. b, und soweit Gesundheitsdaten des Kindes darin stehen, zusätzlich Art. 9 Abs. 2 lit. c
Nachrichten zwischen einem Kinderkonto und einem Elternteil (privater Draht)	Ein Kind soll sich an einen Elternteil allein wenden können, ohne Umweg über einen Dienst außerhalb dieser App	Art. 6 Abs. 1 lit. b, für Konten unter 16 Jahren zusätzlich Art. 8 Abs. 1
Gesundheitsangabe zu einem Kind: ein Satz von höchstens 280 Zeichen, geschrieben von einem Elternteil, dazu wer ihn geschrieben hat und wann	Die Übergabe an die Person, die das Kind betreut: was sie im Ernstfall wissen muss (Allergie, Autoinjektor, Medikament)	Art. 6 Abs. 1 lit. b und Art. 9 Abs. 2 lit. c (lebenswichtige Interessen des Kindes)
Einspruch eines Kindes gegen einen Satz über seinen Körper: der Zeitpunkt und das Kinderkonto, das gedrückt hat, an der Gesundheitsangabe wie am Freitext eines Einsatzes. Kein Freitext, kein Grund	Ein Kind soll einem Satz über seinen eigenen Körper widersprechen können, ohne darüber sprechen zu müssen	Art. 6 Abs. 1 lit. c in Verbindung mit Art. 16, und für den Satz selbst dieselbe Grundlage wie in der Zeile darüber

Zur Gesundheitsangabe gehört gesagt, worauf sie NICHT beruht. Eine gesonderte ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a holt die App dafür nicht ein, und sie wäre hier auch die falsche Grundlage: ein Kind unter 16 kann sie selbst nicht erteilen, und eine Grundlage, die im Ernstfall widerrufen sein kann, taugt für eine Angabe nicht, die eine Betreuungsperson in genau diesem Ernstfall braucht. Getragen wird sie deshalb von Art. 9 Abs. 2 lit. c. Was sie im Gegenzug eng hält, steht im Bauplan der Software: **eine Zeile je Kind, höchstens 280 Zeichen, keine Vorgängerfassung**, und der Kindertext erklärt dem Kind in seiner Sprache, dass es diesen Satz gibt, wer ihn liest und dass es ihm widersprechen kann.

Besondere Kategorien nach Art. 9 entstehen an drei Stellen, und nur an diesen dreien. Die eine ist die Gesundheitsangabe oben: dafür gibt es das Feld, und die App wertet es nicht aus. Die zweite sind die Freitextfelder (etwa ein Hinweis für eine Betreuerin oder ein Punkt auf einer Liste). Die dritte sind die Dokumente zu einem Kind; für sie gilt der Absatz über die Dokumente weiter unten.

Für die Freitextfelder ist das Feld nicht vorgesehen, die Daten stehen trotzdem darin. „EpiPen in der Außentasche“ ist ein Gesundheitsdatum, gleichgültig in welches Feld jemand es tippt, und die Software kann das weder verhindern noch erkennen. Ein Verantwortlicher, der das weiß und die Erlaubnis dafür nicht nennt, verarbeitet ohne eine; die Verantwortung dafür auf den Nutzer zu schieben, sieht die Verordnung nicht vor (Art. 24, Art. 25 Abs. 2). **Diese Felder stehen deshalb auf derselben Grundlage wie die Gesundheitsangabe, Art. 9 Abs. 2 lit. c**, und unter demselben Zeitfenster (Abschnitt 4).

Was eine genannte Grundlage nicht besser macht: das vorgesehene Feld bleibt die Gesundheitsangabe, weil es davon genau eine Zeile je Kind gibt, weil an ihr ein Ende stehen kann und weil beide Elternteile und das Kind sie jederzeit lesen. Ein Satz im Freitext eines Einsatzes hat das alles nicht: er gilt ohne Ende, er ersetzt die Angabe nicht, sondern steht neben ihr, und er erreicht die Personen, die in dem betreffenden Zeitfenster Zugriff haben. Einen Einspruch des Kindes trägt er wie die Angabe selbst (Abschnitt 4).

Zu den Dokumenten gehört gesagt, worauf sie beruhen. Ein Impfpass oder ein Arztbrief ist kein Notfall, und die Grundlage der Gesundheitsangabe (lebenswichtige Interessen) trägt ihn nicht. Die App kann außerdem nicht erkennen, was in einer Datei steht. Bevor ein Elternteil sein erstes Dokument ablegt, fragt sie ihn deshalb ausdrücklich, ob er einwilligt, dass Dokumente zu seinen Kindern hier gespeichert werden, auch wenn sie Gesundheitsdaten enthalten (Art. 9 Abs. 2 lit. a), und hält fest, wann er zugestimmt hat. Er kann die Einwilligung jederzeit in der App widerrufen. Die Dokumente, die er abgelegt hat, werden dann gelöscht; die App bietet vorher an, sie auf dem eigenen Gerät zu sichern.

Zur Bezahlung gehört gesagt, wer was weiß. Apple ist Händler: Apple schließt den Kaufvertrag mit euch, zieht den Preis ein, verlängert das Abo und erstattet es. Eure Zahlungsdaten und eure Apple-ID sehen wir nicht. Wir erfahren von Apple, welches Abo zu welcher Kontokennung gehört, bis wann es läuft und ob es erstattet oder widerrufen wurde. Ein Abo schaltet genau eine Familie frei. Die App zeigt keinem anderen Mitglied, wer in der Familie zahlt: die Zuordnung eines Kaufs zu einem Konto sieht nur, wem der Kauf gehört, auch in der Auskunft (Abschnitt 8).

Zur Mitteilung einer anderen Uhrzeit gehört gesagt, was sie nicht ist. Sie ist keine Abrede: der Plan bleibt, niemand antwortet, und es wird nicht festgehalten, ob oder wann der andere sie gelesen hat. Eine neue Mitteilung zum selben Wechsel ersetzt die alte, und es wird nicht gezählt, wie oft jemand eine geschickt hat.

Zu Terminen und Kalendern gehört gesagt, was die App verlässt und wohin. In ein Abo und in einen Kalender, den es schon gibt, gehen Termintitel und Orte nur nach ausdrücklicher Wahl; nur ein eigener Kalender „Claro“, den die App anlegt, trägt sie von sich aus. Ein Kinderkonto trägt seinen Plan in keinen Kalender. In der App stehen Termine bei beiden Elternteilen und, soweit sie gelten, beim Kind (Abschnitt 4). Einen Kalender außerhalb der App erreichen sie auf zwei Wegen, und beide wählt ein Elternteil selbst:

Das Kalender-Abo ist ein geheimer Link. Wer ihn hat, liest ohne Anmeldung: eure eigenen Betreuungszeiten, die Übergaben an ihren Rändern und die Termine des Kindes, bis 90 Tage voraus. Zurück reicht es 30 Tage, und ein Aufenthalt, der früher begonnen hat, steht mit seinem wirklichen Beginn darin, auch wenn der weiter zurückliegt; ein Termin steht darin, bis er zwei Tage nach seinem Ende gelöscht ist. Nie darin stehen die Zeiten des anderen Haushalts, der Name eines Elternteils und ein Termin, über den noch zu entscheiden ist. Ohne ausdrückliche Wahl steht darin die neutrale Fassung: „Noah ist da“ und „Termin für Noah“, ohne Termintitel und ohne Ort. Der Link steht in der Einstellung eures Kalenderprogramms und im Protokoll jeder Stelle, über die er abgerufen wird; wer das Abo neu anlegt, macht den alten Link unbrauchbar.
Der Kalender auf dem Gerät. Die App schreibt dieselben Einträge in einen Kalender auf eurem iPhone. Dafür braucht sie von iOS den Vollzugriff, und iOS öffnet damit **alle Kalender dieses Geräts**, auch geteilte und dienstliche: eine engere Berechtigung, mit der eine App ihre eigenen Einträge ändern oder löschen kann, bietet iOS nicht. Die App liest bei jedem Abgleich den Kalender, in den sie schreibt, um ihre eigenen Einträge darin zu finden, und beim Übernehmen die Kalender, die ihr dafür auswählt. Aus euren Kalendern verlässt nur ein Termin das Telefon, den ihr ausdrücklich übernehmt: er wird ein Termin in der App wie jeder andere, und sein Titel steht so beim anderen Haushalt. Legt die App für ihre Einträge einen eigenen Kalender „Claro“ an, stehen darin Titel und Ort; in einem Kalender, den es schon gibt, steht zuerst die neutrale Fassung, und Titel und Ort erst nach ausdrücklicher Wahl.

Termine können vom anderen Elternteil stammen. Wer einen Termin einträgt, schreibt seinen Titel und seinen Ort, und in der vollen Fassung stehen beide wortgleich in eurem Kalender. Wählt ihr die volle Fassung für einen Kalender, den andere mitlesen, etwa den eures Arbeitgebers, lesen sie auch, was der andere Elternteil geschrieben hat. Die neutrale Fassung trägt kein Wort, das jemand getippt hat.

Ein Titel kann ein Gesundheitsdatum sein. „Kinderarzt“ oder „Impfung“ sagt etwas über die Gesundheit eines Kindes, und die App kann das weder verhindern noch erkennen. Die Grundlage, auf die sich der Freitext zu einem Betreuungsdienst stützt (Art. 9 Abs. 2 lit. c), hängt an dessen Zeitfenster, und ein Termin hat keines: beide Elternteile und das Kind lesen ihn, bis er zwei Tage nach seinem Ende gelöscht ist. Diese Grundlage nennen wir für Termine deshalb nicht. Was die App tut, ist, den Titel eng zu halten: sie wertet ihn nicht aus, zeigt ihn nur in der Familie, und außerhalb der App steht er nur im eigenen Kalender „Claro“ oder dort, wo ihr die volle Fassung ausdrücklich wählt. Schreibt in einen Titel nur, was der andere Haushalt zum Planen braucht; was ein Kind im Ernstfall schützt, gehört in die Gesundheitsangabe.

3. Was ausdrücklich NICHT verarbeitet wird

Das sind keine Zusagen für die Zukunft, sondern Eigenschaften der Software:

Kein Standort, keine Ortung. Es gibt kein Feld dafür.
Kein Protokoll darüber, wer sich woran nicht gehalten hat. Ein abgelehnter oder abgelaufener Vorschlag wird gelöscht, nicht als abgelehnt vermerkt. Das Datenmodell kennt keinen Zustand „abgelehnt“ und keine Versionshistorie eines Plans.
Kein Lesestatus, keine Zähler, keine Anwesenheitsanzeige.
Kein Tracking, keine Analyse-Werkzeuge, keine Werbe-Kennungen. Die App bindet keine fremden Bibliotheken für diese Zwecke ein.
Keine Aufzeichnung darüber, ob ein Kind die anonyme Beratung angerufen hat.
Kein Häkchen auf dem Server. Was jemand auf einer Liste abhakt, bleibt auf seinem Gerät. Kein Elternteil sieht, was im anderen Haushalt oder beim Kind abgehakt ist.
Kein Papierkorb für Dokumente. Ein gelöschtes Dokument ist gelöscht, auch für den anderen Elternteil, und es wird nirgends als gelöscht vermerkt.
Keine Zahlungsdaten. Kartennummer, Kontoverbindung und Rechnungsanschrift bleiben bei Apple.
Kein Verlauf der Mitteilungen. Wie oft ein Elternteil eine andere Uhrzeit mitgeteilt hat, steht nirgends.
Kein Aufnahmeort in Fotos. Aus einem Foto entfernt der Server vor dem Speichern die eingebetteten Zusatzdaten, darunter Aufnahmeort, Zeitpunkt und Gerät.

4. Wer welche Daten sieht

Innerhalb einer Familie entscheidet die Rolle, nicht die Neugier:

Beide Elternteile sehen den Plan, die Abweichungen und die Abholliste.
Ein Kind mit eigenem Konto sieht, wo es ist und wann es wechselt, und ausdrücklich nicht, worüber die Erwachsenen gerade verhandeln.
Großeltern und Betreuungspersonen sehen nur, was sie für ihren eigenen Einsatz brauchen, nicht den Plan der Familie.

Die Mitteilung einer anderen Uhrzeit sieht der andere Elternteil im Plan, als Mitteilung auf dem Telefon, wenn er sie eingeschaltet hat, und als verschobenen Übergabe-Eintrag in seinem Kalender. Ein Kind, Großeltern und Betreuungspersonen bekommen sie nicht. Nach dem Tag steht im Kalender nur noch die Uhrzeit, zu der der Übergabe-Eintrag stand, ohne wer sie mitgeteilt hat und ohne Anlass.

Ein Plan, den ein Elternteil allein eingetragen hat, sieht zunächst nur er selbst, in der App und in seinem Kalender. Der andere Elternteil sieht ihn, sobald er dabei ist, als eingetragen und noch nicht vereinbart.

Ob eine Familie freigeschaltet ist, sehen beide Elternteile. **Wer das Abo gekauft hat, sieht nur, wer es gekauft hat.**

Die Gesundheitsangabe zu einem Kind lesen beide Elternteile und das Kind selbst, jederzeit und ohne Anlass; schreiben und löschen kann sie nur ein Elternteil. Eine Betreuungsperson liest sie nur im Zeitfenster ihrer eigenen Betreuung, und dieses Fenster beginnt zwei Stunden vor einem zugesagten Einsatz und endet eine Stunde danach. Außerhalb davon wird sie ihr nicht ausgeliefert. Dasselbe Fenster gilt für den Freitext zu einem Betreuungsdienst und für die Notfallkarte, und es gilt auch für einen Elternteil: was an einem Einsatz steht, liest er in dem Zeitraum, in dem die Kinder nach Plan bei ihm sind, nicht darüber hinaus.

Eine Ausnahme, und sie ist der Grund, aus dem es diese Verarbeitung überhaupt gibt. Gelten an einem Tag über den Körper desselben Kindes mehrere Sätze, und sagen sie nicht dasselbe, dann bekommt die Person, die das Kind gerade betreut, in ihrem eigenen Fenster alle diese Sätze, auch den aus einem Einsatz, der früher an diesem Tag lag und einer anderen Person gehörte. Ohne diese Ausnahme läse sie einen Satz, von dem die Software weiß, dass ihm ein zweiter widerspricht, und hätte weder den zweiten noch die Auskunft, dass es ihn gibt. Das ist der Fall, in dem eine Betreuungsperson ein Notfallmedikament an der falschen Stelle sucht, und dagegen ist die Verarbeitung gerichtet (Art. 9 Abs. 2 lit. c).

Ihre Grenzen sind eng, und alle vier werden auf dem Server gezogen:

Nur, wo sich Sätze widersprechen. Gilt an einem Tag nur ein Satz über dieses Kind, gibt es nichts zu vergleichen, und die Ausnahme greift nicht.
Nur im eigenen Fenster des Lesers. Es beginnt zwei Stunden vor seinem eigenen Einsatz und endet eine Stunde danach. Außerhalb davon bekommt er nichts, auch nicht den eigenen Satz.
Nur über das Kind, das er betreut. Ein Satz zu einem Kind, das in seinem Einsatz nicht vorkommt, erreicht ihn nicht. Ein Text ist dabei unteilbar: nennt er ein Geschwisterkind mit, geht er mit, weil er sich nicht zerlegen lässt, ohne seinen Sinn zu verlieren.
Ohne Urheber. Sobald mehrere Sätze über denselben Körper gelten, wird zu keinem von ihnen mehr ausgeliefert, wer ihn geschrieben hat, auch nicht zu der Gesundheitsangabe selbst. Was bleibt, ist der Tag. Aus zwei genannten Erwachsenen und einem gemeldeten Widerspruch ließe sich sonst ableiten, wem der Irrtum zugerechnet wird, und darüber entscheidet diese Software nicht.

Der Einspruch eines Kindes steht dort, wo die Angabe steht, gegen die er sich richtet: bei beiden Elternteilen und, im selben Fenster wie die Angabe, bei der Betreuungsperson. Er nennt das Kind und sonst nichts.

Dokumente sehen beide Elternteile, jedes Dokument, gleich wer es abgelegt hat; ein privates Fach gibt es nicht. Ein Kind, Großeltern und Betreuungspersonen sehen keine Dokumente, auch nicht im Zeitfenster einer Betreuung. Ändern und löschen kann ein Dokument nur, wer es abgelegt hat; der andere Elternteil kann eine eigene Kopie behalten. Titel und Inhalt liegen verschlüsselt, und der Hauptschlüssel, ohne den sie nicht lesbar sind, liegt nicht in der Datenbank.

Listen für einen Tag sehen beide Elternteile und das Kind, für das sie gelten, sofern sein Konto die Einwilligung trägt, deren Text die Listen erklärt. Vorlagen sieht nur, wer sie angelegt hat.

Termine eines Kindes (Abschnitt 2) sehen beide Elternteile, gleich wer sie eingetragen hat, und ohne den Namen dessen, der eingetragen hat. Ein Kind sieht die Termine, die gelten, und keinen, über den die Eltern noch entscheiden. Großeltern und Betreuungspersonen sehen sie nicht.

Einen Plan in einen Kalender außerhalb der App tragen kann nur ein Elternteil, und nur seine eigenen Betreuungszeiten samt Übergaben und die Termine des Kindes: ein Kinderkonto, Großeltern und Betreuungspersonen können weder ein Abo anlegen noch den Kalender auf dem Gerät nutzen.

Diese Grenzen werden auf dem Server durchgesetzt, nicht in der App: was jemand nicht sehen darf, wird nicht ausgeliefert, nicht bloß ausgeblendet.

5. Empfänger

Es gibt keinen Auftragsverarbeiter, der eure Inhalte sieht.

Server: Die Daten liegen auf Servern der Datargo GmbH in der Europäischen Union. Eine Übermittlung in ein Drittland gibt es an drei Stellen, und alle stehen unten: die Mitteilungen über Apple, der Abgleich eines Abos mit Apple, und was ein Kalender abruft, den ihr selbst dort führt.
Mitteilungen über Apple. Eine Mitteilung auf euer iPhone stellt der Apple Push Notification service der Apple Inc. zu, einen anderen Weg auf ein iPhone gibt es nicht. Apple bekommt dafür die Gerätemarke eures Telefons, die Kategorie, den Satz der Mitteilung und einen Link in die App, der die Kennungen der Familie und des Kindes als Zahlen trägt. Kein Satz nennt ein Kind, einen Elternteil, einen Tag oder einen Inhalt, und es steht keine Zahl auf dem Symbol. Ein stiller Anstoß für den Kalender trägt nur die Gerätemarke und keinen Satz, keinen Link und keine Kategorie. Apple verarbeitet diese Daten auch in den USA; nach eigenen Angaben sichert Apple solche Übermittlungen mit den Standardvertragsklauseln der EU-Kommission ab. Welche Kategorien euch erreichen, schaltet ihr in der App, und iOS lässt euch Mitteilungen ganz abschalten.
Apple als Händler und die App Store Server API. Ein Abo kauft ihr bei Apple (für Kunden in der Europäischen Union nach unserem Verständnis Apple Distribution International Ltd., Irland). Apple schickt unserem Server signierte Nachrichten über Kauf, Verlängerung, Erstattung und Ablauf. Unser Server fragt zum Abgleich bei der App Store Server API von Apple nach dem Zustand eines Abos und schickt dafür die Kennung der ursprünglichen Transaktion, sonst nichts. Für den Kauf selbst gelten die Bedingungen und die Datenschutzerklärung von Apple. Apple verarbeitet Daten auch in den USA; nach eigenen Angaben sichert Apple solche Übermittlungen mit den Standardvertragsklauseln der EU-Kommission ab.
Blätter, die ihr selbst weitergebt (etwa die Abholliste für die Schule), verlassen die App durch eure eigene Handlung. Was damit geschieht, entscheidet ihr.
Kalender, die ihr selbst verbindet. Wohin das Abo oder der Kalender auf dem Gerät die Einträge trägt, entscheidet ihr: iCloud, Google, das Exchange-Konto eures Arbeitgebers oder ein Kalender nur auf dem iPhone. Der Anbieter dieses Kalenders bekommt die Einträge, und bei einem dienstlichen Kalender kann euer Arbeitgeber sie lesen, eine Vertretung sie sehen und seine Aufbewahrung sie behalten. Liegt der Anbieter außerhalb der Europäischen Union, etwa in den USA, gelangen die Einträge in ein Drittland: beim Abo, weil sein Dienst den Link bei unserem Server abruft, beim Kalender auf dem Gerät, weil das iPhone den Kalender mit ihm abgleicht. Beides geschieht, weil ihr den Kalender dort führt, und für die Daten gelten dann auch die Bedingungen dieses Anbieters. Wir geben keinem Kalenderanbieter von uns aus etwas weiter.

6. Speicherdauer

Ein Vorschlag für eine Abweichung wird gelöscht, sobald die Antwortfrist abgelaufen ist, ohne Rückstand.
Eine angenommene Abweichung verlässt die Abstimmung zwei Tage nach ihrem Ende. Als Zeitraum und Seite bleibt sie danach noch 45 Tage nach ihrem Ende stehen, ohne wer sie vorgeschlagen hat, ohne ihre Antwortfrist und ohne den Zeitpunkt, zu dem sie angenommen wurde: sonst zeigten Plan und Kalender die vergangenen Wochen so, als hätte es sie nie gegeben. Danach ist auch das gelöscht.
Eine Mitteilung einer anderen Uhrzeit wird am Ende des Tages gelöscht, an dem der Wechsel stattfindet, spätestens 25 Stunden nach dem geplanten Wechsel. Eine neue Mitteilung zum selben Wechsel ersetzt sie sofort. Was danach im Kalender bleibt, ist nur, zu welcher Uhrzeit der vergangene Übergabe-Eintrag stand, ohne wer sie mitgeteilt hat, ohne Anlass und ohne Zeitpunkt des Sendens; auch das ist 31 Tage nach dem Wechsel gelöscht. Die Zustellung dieser Mitteilung steht eine Stunde im Zustelllog.
Ein abgelöster Betreuungsplan wird beim Ersetzen gelöscht. Es gibt keine Vorgängerfassung.
Konto- und Plandaten bleiben, solange das Konto besteht.
Eine Gesundheitsangabe zu einem Kind bleibt stehen, bis ein Elternteil sie ersetzt oder löscht. Es gibt eine Zeile je Kind: wer sie ersetzt, überschreibt sie, und eine Vorgängerfassung entsteht dabei nicht. Steht an einer Angabe ein Tag, bis zu dem sie gilt, verschwindet sie mit dem Ablauf dieses Tages, ohne dass jemand daran denken muss. Der Einspruch eines Kindes gehört zu der Fassung, gegen die er sich richtet, und fällt mit ihr: schreibt ein Elternteil die Angabe neu, ist er weg.
Nachrichten des privaten Drahts werden spätestens 48 Stunden nach dem Schreiben gelöscht. Die Frist steht als Bedingung im Datenbankschema, eine längere Speicherung ist dort nicht eintragbar; ein Dienst löscht viertelstündlich, was abgelaufen ist. Eine Antwort erbt die Frist der Nachricht, auf die sie antwortet, und verschwindet mit ihr. Das Kind kann seinen Draht jederzeit vorher selbst löschen.
Eine Liste für einen Tag wird nach dem Ende dieses Tages gelöscht. Öffnet jemand die App, geschieht es dabei; sonst räumt ein Dienst sie ab, sobald der Tag in jeder Zeitzone vorbei ist, in Deutschland spätestens am Nachmittag des folgenden Tages. Vorlagen bleiben, bis ihr Elternteil sie löscht.
Ein Dokument bleibt, bis der Elternteil, der es abgelegt hat, es löscht, seine Einwilligung widerruft oder sein Konto löschen lässt.
Ein Termin wird zwei Tage nach seinem Ende gelöscht. Wer ihn vorher streicht, löscht ihn sofort; galt er, erfährt der andere Elternteil, dass ein Termin gestrichen wurde, und sonst nichts. Ein offener Termin, der nicht zustande kommt, hinterlässt dem, der gefragt hat, sieben Tage lang einen Abschluss seiner Frage, der nicht sagt, ob abgelehnt wurde oder niemand geantwortet hat.
Ein Kalender-Abo bleibt, bis ihr es widerruft, neu anlegt oder euer Konto löschen lasst. Endet eure Mitgliedschaft in der Familie, liefert der Link einen leeren Kalender.
Mitteilungen: Das Zustelllog wird nach 30 Tagen gelöscht, eine Gerätemarke 30 Tage nach ihrem Widerruf oder 180 Tage nach dem letzten Kontakt des Geräts, die Schalter mit dem Konto.
Einträge im Kalender auf dem Gerät löscht die App, wenn ihr den Abgleich ausschaltet, euch abmeldet, euer Konto löschen lasst oder keinen Zugang mehr zu einem Kind habt. Aufenthalte und Übergaben löscht sie 30 Tage nach ihrem Ende, einen Termin mit seiner Löschung zwei Tage nach seinem Ende. Zwischen zwei Abgleichen kann ein Eintrag veraltet sein. Was die App nicht erreicht: Kopien, die euer Kalenderanbieter oder euer Arbeitgeber schon angelegt hat, und Einträge nach einer Deinstallation der App oder nachdem ihr ihr den Kalenderzugriff entzogen habt. Sie bleiben in eurem Kalender, bis ihr sie selbst löscht.
Kaufdaten bleiben, solange das Abo läuft, und werden 90 Tage nach dem Ende der Laufzeit gelöscht, ein erstattetes oder widerrufenes Abo 90 Tage nach dem Widerruf. Die Freischaltung der Familie geht mit ihnen. Belege über empfangene Nachrichten von Apple werden nach 30 Tagen gelöscht. Die Kontokennung für Käufe bleibt, solange das Konto besteht.
Anmeldung: Der vorige Erneuerungsschlüssel gilt 60 Sekunden nach seinem Wechsel nicht mehr; die Sitzung endet mit dem Abmelden oder der Löschung des Kontos.
Der stille Anstoß wird nicht gespeichert.
Nach einer Löschung siehe Abschnitt 8.

7. Kinderkonten

Ein eigenes Konto für ein Kind unter 16 Jahren setzt die Einwilligung eines Sorgeberechtigten voraus (Art. 8 Abs. 1 DSGVO). Ohne sie ist das Konto ohne Funktion.

Das Kind bekommt vor der Nutzung einen eigenen Text in seiner Sprache; er ist unter der Kennung kinderhinweis-2026-16 jederzeit abrufbar, auch ohne Anmeldung. Ältere Fassungen bleiben unter ihrer eigenen Kennung abrufbar, damit nachlesbar ist, worauf sich eine Einwilligung von damals bezog.

Das Kind kann seine eigene Ansicht jederzeit selbst abschalten, ohne Begründung, und nur es selbst kann sie wieder anschalten. Die Eltern erfahren, dass sie aus ist, nicht warum und nicht wie oft. Ein Wiedereinschalten löscht diesen Vermerk vollständig.

Der private Draht. Ein Kind mit eigenem Konto kann einem Elternteil allein schreiben. Der jeweils andere Elternteil erfährt davon nichts, auch nicht, dass geschrieben wurde, und auch nicht als Zahl. Diese Nachrichten stehen in keinem Plan, erzeugen keinen Vorgang und stehen aus dem genannten Grund der 48-Stunden-Frist auch nicht in der Auskunft nach Art. 15; die Auskunft sagt das ausdrücklich. Es gibt keine Lesebestätigung, keine Suche über ältere Nachrichten und keine Möglichkeit, sie aus der App heraus weiterzureichen. Was der Empfänger mit einer erhaltenen Nachricht tut, liegt außerhalb dessen, was Software verhindern kann; der Kindertext sagt das dem Kind in seiner Sprache.

Kein Kalender. Ein Kinderkonto kann weder ein Kalender-Abo anlegen noch seinen Plan in einen Kalender auf dem Gerät schreiben: kein Text, den ein Kind vor der Nutzung bekommt, erklärt einen Kalender. Ein Abo, das für ein Kinderkonto vor dieser Fassung angelegt wurde, liefert einen leeren Kalender.

Die Einwilligung kann jeder Sorgeberechtigte jederzeit widerrufen; das Konto ist dann sofort ohne Funktion.

8. Eure Rechte

Ihr habt nach der DSGVO das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21).

Auskunft und Übertragbarkeit könnt ihr direkt in der App auslösen, unter Einstellungen. Ihr bekommt eine maschinenlesbare Datei mit allem, was zu eurem Konto gespeichert ist. Die Dokumente, die ihr abgelegt habt, stehen darin als Verzeichnis; die Dateien selbst sichert ihr in der App unter Einstellungen, Dokumente, jede einzeln oder alle auf einmal.

Löschung könnt ihr ebenfalls in der App auslösen. Zwei Dinge gehören dazu gesagt, und zwar vorher:

Was nur euch betrifft, wird gelöscht. Eure offenen Vorschläge, eure Kalender-Abrufe, eure Einladungen, eure allein geltenden Einträge auf der Abholliste. Dazu eure Vorlagen für Listen und die Dokumente, die ihr abgelegt habt; der andere Elternteil kann vorher eine eigene Kopie behalten. Vorher löscht die App die Einträge, die sie in den Kalender auf diesem Gerät geschrieben hat; Kopien bei eurem Kalenderanbieter erreicht sie nicht (Abschnitt 6).
Was auch andere betrifft, bleibt. Ein Betreuungsplan ist eine Abrede zwischen zwei Haushalten und betrifft ein Kind; ihn einseitig zu löschen wäre ein Eingriff in die Rechte der anderen (Art. 17 Abs. 3 lit. e). Dasselbe gilt für gemeinsam eingetragene Abholberechtigte.

Ein Abo endet nicht mit der Löschung des Kontos. Kündigen könnt ihr es nur bei Apple, in den Einstellungen eures Apple-Kontos. Nach der Löschung bleibt der Kauf ohne Zuordnung zu einer Person bis zum Ende seiner Frist gespeichert (Abschnitt 6), und die Familie bleibt bis zum Ende der bezahlten Laufzeit freigeschaltet.

Für die vollständige Löschung eures Kontos schreibt an [email protected]. Wir antworten innerhalb der Frist des Art. 12 Abs. 3 DSGVO.

Beschwerderecht: Ihr könnt euch bei einer Aufsichtsbehörde beschweren, für uns zuständig ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Postfach 3163, 65021 Wiesbaden.

9. Änderungen

Diese Erklärung trägt eine Kennung. Ändert sich etwas Wesentliches, entsteht eine neue Fassung mit neuer Kennung; die alte bleibt unter ihrer Kennung abrufbar, damit nachvollziehbar ist, was zum Zeitpunkt einer Einwilligung galt.