Datenschutzerklärung

1. Einleitung

AuPairSync („wir“, „unser“ oder „uns“) verpflichtet sich zum Schutz deiner Privatsphäre und deiner personenbezogenen Daten. Diese Datenschutzerklärung erläutert, wie wir deine Informationen erheben, verwenden, speichern und schützen, wenn du unsere Website und unsere Apps für iOS und Android nutzt.

Wir halten die Datenschutz-Grundverordnung (DSGVO) und andere geltende Datenschutzgesetze ein. Durch die Nutzung unserer Dienste stimmst du den in dieser Erklärung beschriebenen Datenpraktiken zu.

2. Daten, die wir erheben

2.1 Informationen, die du bereitstellst

• Kontoinformationen: E-Mail-Adresse, Name und Rolle (Elternteil oder Au Pair) bei der Kontoerstellung. Außerdem speichern wir die bevorzugte Sprache und Region deines Geräts (zum Beispiel pt-BR) einmal bei der Registrierung oder beim nächsten App-Start, falls die Angabe bei einem bestehenden Konto noch fehlt. Damit entscheiden wir über künftige Übersetzungen. Das ist eine Spracheinstellung, nicht dein Standort; die Anzeigesprache der App bleibt unverändert.
• Geburtstag (optional): Als Elternteil oder Au Pair kannst du in deinem Profil deinen Geburtstag eintragen, als Tag und Monat. Das Jahr wird nicht gespeichert, und du kannst den Geburtstag jederzeit wieder entfernen. Die anderen Mitglieder deiner Familie können ihn sehen: In den sieben Tagen vor deinem Geburtstag und am Tag selbst zeigt ihr Dashboard deinen Namen und das Datum, nie ein Alter. Bei Kindern verwendet das Dashboard das Geburtsdatum aus dem Profil des Kindes und zeigt zusätzlich, wie alt das Kind wird. Dein Geburtstag ist Teil deines Datenexports. Verbundene KI-Apps (siehe 2.5) erhalten ihn nicht.
• E-Mail-Bestätigung: Wenn du dich mit E-Mail-Adresse und Passwort registriert hast, kannst du dir aus der App eine Bestätigungs-E-Mail an diese Adresse schicken lassen. Die E-Mail enthält einen Link, der einmal funktioniert und eine Seite unserer Website öffnet, auf der du bestätigst, dass die Adresse dir gehört. Wir senden diese E-Mail nur, wenn du sie anforderst, und ohne Öffnungs- oder Klick-Tracking. Du kannst die App auch ohne Bestätigung nutzen. Ab App-Version 4.3 bittet die App jeden Elternteil, der sich mit einem Passwort registriert hat, die Adresse noch nicht bestätigt hat und noch keiner Familie angehört, die Adresse zu bestätigen. Das geschieht unabhängig davon, ob die Adresse eingeladen wurde. Eine Rolle spielt die Bestätigung in einem Fall: Hat ein Elternteil deine E-Mail-Adresse als Elternteil in seine Familie eingeladen, fügen wir dich dieser Familie hinzu, sobald du bestätigt hast. Das Elternteil, das dich eingeladen hat, sieht, dass die Einladung auf deine Bestätigung wartet. Wir speichern, ob deine Adresse bestätigt ist. Zu jeder Bestätigungs-E-Mail halten wir deine Konto-ID, einen Einweg-Hash der Adresse und den Zeitpunkt fest, und wir zählen diese E-Mails je Konto und je Adresse, um zu begrenzen, wie viele verschickt werden können. Rechtsgrundlage: Vertragserfüllung (siehe Abschnitt 12) für das Bestätigen der Adresse und den Beitritt zur Familie, und unser berechtigtes Interesse, Missbrauch zu verhindern (Art. 6 Abs. 1 lit. f DSGVO), für den Vermerk und die Begrenzung.
• Einladungen per E-Mail: Ein Elternteil kann eine weitere Person in seine Familie einladen, indem er deren E-Mail-Adresse eingibt, als Au Pair oder als weiteren Elternteil. Wir speichern die Adresse zusammen mit der Einladung: die Rolle, die Familie, den Namen und die Konto-ID des Elternteils, der sie verschickt hat, den Einladungscode, den Status und die Zeitpunkte der Einladung und, wenn ein AuPairSync-Konto diese Adresse verwendet, einen Verweis auf dieses Konto und die Angabe, ob die Einladung darauf wartet, dass dieses Konto seine Adresse bestätigt (siehe „E-Mail-Bestätigung“ oben). An diesem Konto vermerken wir, welcher Einladung es zugeordnet wurde. An diese Adresse senden wir eine E-Mail mit dem Namen der Familie, dem Namen des einladenden Elternteils und dem Code für den Beitritt; wen wir der Familie direkt hinzufügen konnten, erhält stattdessen eine Willkommens-E-Mail. Ist die Person noch nicht beigetreten, senden wir nach 3 Tagen eine Erinnerung und nach 7 Tagen eine zweite. Eine Einladung ist 30 Tage gültig, und ein Elternteil der Familie kann sie vorher zurückziehen; ist sie abgelaufen oder zurückgezogen, senden wir der eingeladenen Person dazu keine E-Mails mehr. Verwendet bereits ein AuPairSync-Konto die Adresse, kann dieses Konto zusätzlich eine Push-Mitteilung über die Einladung erhalten. Die Eltern der Familie sehen in der App die eingeladene Adresse und den Status der Einladung. Der Elternteil, der eingeladen hat, erhält E-Mails dazu: dass die Einladung verschickt wurde, nach 14 Tagen, wenn die Person noch nicht beigetreten ist, wenn die Einladung abläuft und wenn die Person beitritt. Die Erinnerungen, die Willkommens-E-Mail und die E-Mails an den Elternteil versenden wir über eine Warteschlange auf unserem Server; jeder Eintrag enthält die Adresse und, sofern vorhanden, die Konto-ID des Empfängers, die Namen, die eingeladene Adresse oder den Code, die in der E-Mail stehen, den Zeitpunkt und die Nachrichten-ID des Zustelldienstes. Ein Eintrag, der seit Einführung der Frist am 10. Oktober 2026 geschrieben wurde, wird 90 Tage nach dem Schreiben gelöscht. Für ältere Einträge gibt es keine Frist; gelöscht werden sie, wenn der Empfänger sein AuPairSync-Konto löscht oder die Familie gelöscht wird, der er angehört. Rechtsgrundlage: für den Elternteil, der die Einladung verschickt, Vertragserfüllung (siehe Abschnitt 12); für die eingeladene Person das berechtigte Interesse der Familie, die Menschen, die ihre Kinder betreuen, in die App zu holen (Art. 6 Abs. 1 lit. f DSGVO). Wenn du eingeladen wurdest und keine weiteren E-Mails erhalten möchtest oder deine Adresse entfernen lassen willst, schreib an privacy@aupairsync.com.
• Familiendaten: Namen und Alter der Kinder, Familienpräferenzen, Zeitpläne, Aufgaben und Nachrichten, die du in der App erstellst
• Kontaktdaten: Wenn du uns für Support oder Anfragen kontaktierst

2.2 Automatisch erhobene Informationen

• Analysedaten: Seitenaufrufe, Sitzungsdauer, Gerätetyp, Browsertyp und Betriebssystem über Google Analytics 4
• App-Nutzungsdaten: Funktionsnutzung und Geräteinformationen über Firebase Analytics (iPhone- und Android-App) sowie Absturzberichte über Firebase Crashlytics (nur iPhone-App). Beides ist standardmäßig eingeschaltet und endet, sobald du die Nutzungsanalyse in der App unter Einstellungen → Datenschutz & Daten ausschaltest.
• Betriebsereignisse: Wenn du die iPhone- oder Android-App nutzt, erfassen wir, ob bestimmte Schritte geklappt haben: der Beitritt zu einer Familie, die Einrichtung einer Familie, das Anlegen des ersten Kindes, ein Foto-Upload, Kauf oder Wiederherstellung des Abos, das Planen einer Mahlzeit und die Bitte eines Au-pairs an die Familie, das Abo zu verlängern. Jeder Eintrag enthält deine Konto-ID, deine Familien-ID, sofern vorhanden, die App-Version und das Ergebnis (bei einem Fehler mit einem kurzen Fehlercode), nie Inhalte, die du eingegeben hast. Wir nutzen das, um die App zuverlässig zu betreiben und zu bemerken, wenn etwas nicht funktioniert. Rechtsgrundlage ist unser berechtigtes Interesse an einem funktionierenden Dienst (Art. 6 Abs. 1 lit. f DSGVO). Diese Ereignisse werden unabhängig davon erfasst, ob die Nutzungsanalyse eingeschaltet ist. Sie werden nach 28 Tagen automatisch gelöscht, und sofort, wenn du dein Konto löschst. Du kannst jederzeit per E-Mail an privacy@aupairsync.com widersprechen.
• UTM-Parameter: Marketingkampagnen-Quelle, Medium und Kampagnenname aus URL-Parametern
• IP-Adresse: Wird verwendet, um einen Website-Besuch nur einmal zu zählen und missbräuchlich viele Anfragen zu begrenzen. Wir speichern davon nur einen täglich wechselnden Einweg-Hash, nie die Adresse selbst, und löschen diesen Hash automatisch nach spätestens 30 Tagen.
• Cookies: Google Analytics Cookies zur Unterscheidung von Besuchern (siehe Abschnitt 5)

2.3 Daten, die wir NICHT erheben

Wir praktizieren Datenminimierung. Wir erheben nicht:

• Zahlungskartendaten. Käufe laufen über den App Store oder Google Play; wir erhalten nur den Abostatus und das Kauf-Token, das wir zur Prüfung brauchen, nie Kartendaten.
• Andere besondere Kategorien personenbezogener Daten, etwa ethnische Herkunft oder religiöse Überzeugungen. Ausnahmen sind Gesundheitsdaten von Kindern, die Eltern selbst eintragen (siehe 2.4), das, was ein Betreuungsprotokoll über die Gesundheit eines Kindes aussagen kann (siehe 2.9), und die in einem Medikamentenprotokoll erfassten Dosen (siehe 2.11)
• Genaue Standortdaten (wir leiten nur das Land aus der IP-Adresse für Analysen ab)
• Kontakte oder Fotos von deinem Gerät (es sei denn, du teilst sie explizit in der App)

2.4 Gesundheitsdaten von Kindern

Eltern können im Profil eines Kindes in der App Gesundheitsangaben hinterlegen: Allergien und einen Notfallplan für Allergien, Erkrankungen, Medikamente (auch mit Fotos), medizinische Hinweise, Angaben zur Krankenversicherung und Notfallkontakte. Das sind Gesundheitsdaten, eine besondere Kategorie personenbezogener Daten nach Art. 9 DSGVO.

Wir speichern sie, damit alle, die das Kind betreuen, im Alltag und im Notfall wissen, was zu tun ist. Sichtbar sind sie für die Eltern der Familie und für das Au Pair der Familie.

Rechtsgrundlage: deine Einwilligung als Elternteil (Art. 9 Abs. 2 lit. a DSGVO), die du mit dem Eintragen der Daten gibst. Du kannst sie jederzeit widerrufen, indem du die Einträge in der App löschst. Das Medikamentenprotokoll hat einen eigenen Schalter und eigene Regeln (siehe 2.11): Wird dort ein einzelner Eintrag gelöscht, bleibt eine Zeile stehen, dass ein Eintrag gelöscht wurde.

Die Daten werden zusammen mit deinen übrigen Familiendaten in Firebase (Google Cloud) gespeichert, siehe Abschnitte 4 und 10. Gelöscht werden sie, wenn du das Profil des Kindes oder die Familie löschst.

2.5 Verbundene KI-Apps

Eltern können einen KI-Assistenten ihrer Wahl mit AuPairSync verbinden. Derzeit sind das ChatGPT (OpenAI) und Claude (Anthropic). Eine verbundene KI-App kann einen Teil der Familiendaten lesen, siehe unten. Einträge anlegen, ändern oder löschen kann sie nur, wenn das Elternteil das beim Verbinden erlaubt hat (siehe „Anlegen, ändern und löschen“). Die Einstellung „KI-Apps erlauben“ ist standardmäßig aus. Nur ein Elternteil kann sie einschalten und eine KI-App verbinden, und nur solange die Familie ein aktives Abo oder eine laufende Testphase hat.

Eine verbundene KI-App kann acht Bereiche lesen:

• Familienübersicht: Name und Zeitzone der Familie, Vornamen, Rollen und das Alter der Kinder
• Tagesplan: Termine, Routinen und Aufgaben eines Tages und welches Au Pair an dem Tag frei hat
• Kalender: Termine mit Titel, Uhrzeit, Ort und Kindern, für wen sie sind und wer bringt und abholt, sowie die Ferienpausen wiederkehrender Termine mit ihrem Namen
• Aufgaben: Titel, Art, Fälligkeit, Priorität, Status, wann sie erledigt wurden und für wen sie sind
• Einkaufslisten: Name der Liste, ihre Artikel und ob sie abgehakt sind, Geschäft, Status und für wen die Liste ist
• Ausgaben: Betrag, Währung, Kategorie, Status, wann sie eingereicht und bezahlt wurden und wer sie eingereicht hat
• Freie Tage: Zeitraum, Art (Urlaub oder Sonstiges), Status und wer sie beantragt hat
• Ankündigungen: Titel, Text, wer sie wann gepostet hat und, falls angegeben, bis wann sie gilt

Titel, Orte und Namen sind Freitext: Titel und Ort eines Termins, der Name einer Ferienpause, der Titel einer Aufgabe, der Name einer Einkaufsliste und jedes Artikels darauf sowie der Name eines Geschäfts. Eine verbundene KI-App kann sie so lesen, wie sie eingetragen wurden, egal wer in der Familie sie geschrieben hat, auch das Au Pair. Bist du Au Pair, kann sie außerdem deinen Zeitplan lesen, die Aufgaben, die dir zugewiesen sind, deine freien Tage mit ihrem Status sowie Betrag, Datum, Kategorie und Status der Ausgaben, die du eingereicht hast.

Eine KI-App erhält nie Nachrichten oder Chats, Dokumente, Fotos oder Belege, Gesundheits-, Allergie- oder Versicherungsangaben, Pass- oder Visumsdaten und keine Notizen. Außer bei Ankündigungen erhält sie als Freitext nur die eben genannten Titel, Orte und Namen. Sie erhält nie die Beschreibung oder die Notizen eines Termins, einer Aufgabe oder eines Artikels, die Beschreibung einer Ausgabe, den Grund für einen Antrag auf freie Tage oder die Antwort der Eltern darauf, egal wer sie geschrieben hat. Bei Ankündigungen erfährt sie nicht, wer sie gelesen, bestätigt oder ausgeblendet hat.

Anlegen, ändern und löschen

Auf der Seite, auf der ein Elternteil eine KI-App verbindet, gibt es dafür zwei weitere Kästchen, beide standardmäßig nicht angehakt. Mit „Anlegen von Terminen, Aufgaben und Ankündigungen erlauben“ kann die KI-App auf Bitte des Elternteils Termine und Aufgaben anlegen und Ankündigungen an die Familie posten. Mit „Ändern und Löschen erlauben“ kann sie Termine und Aufgaben ändern, absagen, erledigen, wieder öffnen oder löschen, mit denselben Rechten, die das Elternteil in der App hat; Ankündigungen kann sie weder ändern noch löschen. Ist keines der beiden angehakt, kann die Verbindung nur lesen. Eine bestehende Verbindung bekommt diese Rechte nie von selbst: Das Elternteil muss die App neu verbinden und ein Kästchen anhaken. Das gilt auch für Ankündigungen: Eine Verbindung aus der Zeit, bevor sie am 4. Oktober 2026 hinzukamen, kann sie weder lesen noch posten, bis das Elternteil die App neu verbindet.

Für einen Termin übergibt die KI-App Titel, Beginn und Ende, ob er sich wiederholt und, wenn das Elternteil sie nennt, den Ort, das Kind und wer bringt und abholt. Bei einem wiederkehrenden Termin kann sie außerdem eine Ferienpause eintragen oder entfernen: die Tage ohne den Termin und, wenn das Elternteil einen nennt, einen Namen. Für eine Aufgabe übergibt sie Titel, für wen sie ist, das Fälligkeitsdatum und ob sie sich wiederholt. Für eine Ankündigung übergibt sie Titel, Text und, wenn das Elternteil einen nennt, den Tag, an dem sie endet. Mehr kann sie nicht schreiben: keine Notizen, Einkaufslisten, Babysitting-Anfragen, freien Tage oder Urlaube und nichts zu Gesundheit, Dokumenten oder Chats.

Jeder dieser Einträge hält fest, welche KI-App ihn angelegt oder zuletzt geändert hat, auch nachdem die Verbindung beendet ist. Ab Version 3.6 der App steht das am Eintrag, etwa „Hinzugefügt von Claude“ oder „Geändert von Claude“. Bei einer Ankündigung zeigen die Apps ab Version 3.7, welche KI-App sie angelegt hat. Der Eintrag lässt sich in der App bearbeiten und löschen wie jeder andere, und es gehen dieselben Benachrichtigungen raus, wie wenn ein Elternteil ihn in der App macht. Eine Ankündigung, die über eine KI-App gepostet wird, benachrichtigt alle anderen in der Familie, auch das Au Pair, wie eine Ankündigung, die ein Elternteil in der App postet; wer Benachrichtigungen für Ankündigungen ausgeschaltet hat, wird nicht benachrichtigt.

Legt die KI-App etwas an oder ändert sie etwas, bekommt sie eine Bestätigung zurück, was gespeichert wurde: Titel, Zeit und die Beteiligten mit Vornamen. Fällt ein Termin auf einen freien Tag oder ein freies Wochenende des Au Pairs, bekommt sie stattdessen einen Hinweis mit dem Vornamen des Au Pairs und dem Datum, und der Termin wird erst gespeichert, wenn das Elternteil bestätigt. Für diese Prüfung lesen wir die Arbeitszeit-Einstellungen des Au Pairs und die Einträge der Familie rund um das Datum; an die KI-App geht davon nur der Hinweis. Auch eine Ankündigung wird nicht sofort gepostet: Die KI-App bekommt zunächst den genauen Titel und Text zurück und wer benachrichtigt wird, mit Vornamen und Rolle, und gepostet wird erst, wenn das Elternteil bestätigt. Wie viele Ankündigungen eine KI-App posten kann, ist je Verbindung und je Familie begrenzt. Mit „Ändern und Löschen erlauben“ sieht die KI-App außerdem die interne Kennung jedes Termins und jeder Aufgabe, damit sie den richtigen Eintrag ändert. Zu jedem Schreibvorgang speichern wir 30 Tage lang einen Vermerk mit der Kennung des Eintrags und der Art der Änderung, ohne Inhalt. Er verhindert, dass eine wiederholte Anfrage denselben Eintrag doppelt anlegt.

Der KI-Anbieter erhält diese Daten als eigenständig Verantwortlicher, über das eigene Konto des Elternteils bei ihm und nach seinen eigenen Datenschutzbestimmungen. Er ist nicht unser Auftragsverarbeiter. Ob Unterhaltungen zum Training seiner Modelle genutzt werden, stellt das Elternteil in der KI-App ein. Der Anbieter verarbeitet die Daten womöglich außerhalb der EU (siehe Abschnitt 10). Unser Server, der der KI-App antwortet, läuft in der EU (Google Cloud, Belgien). Was eine KI-App liest, speichern wir nicht und legen es auch nicht zwischen. Zu jeder Anfrage protokollieren wir, welche Verbindung welchen Bereich genutzt hat, das Ergebnis und die Größe der Antwort, ohne Inhalt, und löschen dieses Protokoll nach 30 Tagen.

Rechtsgrundlage für das Lesen: das berechtigte Interesse der Familie, die Betreuung ihrer Kinder zu organisieren (Art. 6 Abs. 1 lit. f DSGVO). Was eine KI-App anlegt, ändert oder löscht, verarbeiten wir auf derselben Rechtsgrundlage wie denselben Eintrag, den ein Elternteil in der App macht (Vertragserfüllung, siehe Abschnitt 12): Die KI-App ist nur ein weiterer Weg, auf dem das Elternteil den Eintrag macht. Die Kästchen halten fest, dass das Elternteil der KI-App diesen Zugriff bewusst gegeben hat; eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO sind sie nicht.

AuPairSync benachrichtigt das Au Pair nicht, wenn ein Elternteil eine KI-App verbindet. Welche KI-Apps verbunden sind, sehen Au Pairs in der App unter Einstellungen → Rechtliches → Verbundene KI-Apps. Hat ein Elternteil es erlaubt, kann seine KI-App Einträge anlegen, in denen das Au Pair eingeteilt ist (zum Bringen oder Abholen bei einem Termin oder für eine Aufgabe), und solche Einträge ändern oder löschen. Das Au Pair bekommt dann dieselben Benachrichtigungen, wie wenn ein Elternteil den Eintrag in der App macht. Eine Ankündigung, die ein Elternteil über eine KI-App postet, benachrichtigt das Au Pair wie alle anderen in der Familie. Bist du Au Pair, kannst du jederzeit widersprechen: Schreib an privacy@aupairsync.com. Dann lassen wir deine Ausgaben und deine freien Tage aus dem heraus, was verbundene KI-Apps lesen können, zeigen dich nur als „Au Pair“, ohne deinen Namen, und keine KI-App kann dich mehr einteilen. Kalender, Aufgaben und Einkaufslisten der Familie bleiben lesbar, auch Einträge, in denen du eingeteilt bist, und Titel, die du geschrieben hast. In der App kann deine Familie dich weiter einteilen. Eine Ankündigung, die über eine KI-App gepostet wird, erreicht dich auch nach einem Widerspruch: Sie ist die Nachricht des Elternteils an die ganze Familie, und in der Liste der Benachrichtigten sieht die KI-App dich dann nur als „Au Pair“.

Jedes Elternteil kann einer KI-App den Zugriff jederzeit in der App unter Einstellungen → Rechtliches → Verbundene KI-Apps entziehen. Wer „KI-Apps erlauben“ ausschaltet, entzieht allen verbundenen Apps den Zugriff. Beim Entziehen löschen wir die Zugangstokens der App sofort. Einen Vermerk über die beendete Verbindung (welche App, wann und wer sie beendet hat) bewahren wir 90 Tage zur Sicherheit auf und löschen ihn dann. Er enthält keine Familiendaten.

2.6 Bestätigung von Bringen und Abholen

Ein Elternteil kann bei einem Termin „Bestätigung für Bringen und Abholen anfordern“ einschalten. Das ist standardmäßig aus, und für einen Termin, bei dem es aus ist, wird nichts davon gespeichert. Für jedes Bringen oder Abholen eines Termins, bei dem es an ist und ein Elternteil eine bestimmte Person eingetragen hat, speichert die App deren Antwort: angenommen, abgelehnt mit einer optionalen Begründung als Freitext oder erledigt (angezeigt als „Gebracht“ oder „Abgeholt“). Jede Antwort trägt den Zeitpunkt, die Zeiten des Termins, für den sie gegeben wurde, die Angabe, ob sie in der App oder aus einer Mitteilung heraus gegeben wurde, und die Nutzer-ID der Person. Außerdem speichern wir, wer die Einstellung zuletzt geändert hat, einen Vermerk, dass die Person erinnert wurde, und welche Eltern als angenommen gelten, weil sie sich das Bringen oder Abholen selbst zugewiesen haben. Standortdaten speichern wir dafür nicht.

Unser Server führt außerdem einen Verlauf zu jeder Antwort. Er hält jeden Schritt fest (angenommen, abgelehnt, erledigt, rückgängig gemacht oder erneut gefragt, nachdem ein Elternteil die Uhrzeit geändert oder neu gefragt hat), mit dem Zeitpunkt, zu dem er unseren Server erreicht hat, den Zeiten des Termins, wie unser Server sie kennt, der Begründung einer Ablehnung und dem Vermerk „verspätet“, wenn ein Bringen oder Abholen mehr als 30 Minuten nach seiner Zeit als erledigt eingetragen wurde. „Erledigt“ lässt sich für begrenzte Zeit rückgängig machen und ist danach endgültig; eine Änderung, die unser Server nicht übernommen hat, bleibt im Verlauf stehen und ist als nicht übernommen gekennzeichnet. Die Apps können diesen Verlauf weder schreiben noch ändern. Zu einem Termin mit Bestätigung vermerkt unser Server außerdem, wann seine Zeiten zuletzt geändert wurden und ob ein Elternteil sie geändert hat; dieser Vermerk nennt niemanden. Verschiebt die Person, die für ein Bringen oder Abholen eingetragen ist, den Termin selbst, hält der Verlauf ihrer Antworten auch das fest: wann sie die Zeiten geändert hat, die alten und die neuen Zeiten und ob ihre neuen Zeiten für ihr Bringen oder Abholen gelten. Dieser Eintrag liegt bei ihren eigenen Antworten und gehört damit zu ihr.

Die aktuellen Antworten und die Erinnerungsvermerke können alle Mitglieder der Familie lesen. Den Verlauf können die Eltern lesen und, für die eigenen Antworten, die Person, die sie gegeben hat. Antworten, ihr Verlauf und Erinnerungsvermerke werden 30 Tage nach dem Termin automatisch gelöscht. Ein Verlaufseintrag ohne Antwort, etwa weil die Person den Termin verschoben, aber nie geantwortet hat, wird 30 Tage nach seiner Aufzeichnung gelöscht. Löschst du dein Konto, werden deine Antworten, ihr Verlauf und deine Erinnerungsvermerke gelöscht, in jeder Familie, in der du warst. Deine Antworten und ihr Verlauf sind Teil deines Datenexports. Verbundene KI-Apps (siehe 2.5) erhalten nichts davon.

2.7 Dokumentanfragen

Ein Elternteil kann bei einem Au Pair der Familie ein Dokument anfordern, zum Beispiel einen Pass, ein Visum oder einen Versicherungsnachweis. Zu jeder Anfrage speichert die App die Dokumentart und den Titel, den Zweck, den der Elternteil geschrieben hat, das Fälligkeitsdatum, das Au Pair, an das sie gerichtet ist, den Elternteil, der angefragt hat, und den Elternteil, der prüft (jeweils mit Namen), den Status (angefordert, hochgeladen, geprüft oder zurückgezogen) und einen Verlauf der Schritte mit dem Zeitpunkt jedes Schritts. Wer einen Schritt ausgeführt hat, steht in einem gesonderten Vermerk auf dem Server, der nach 30 Tagen gelöscht wird. Sobald das Au Pair antwortet, verweist die Anfrage auf das Dokument, das es hochgeladen oder aus den eigenen gespeicherten Dokumenten gewählt hat; die Datei selbst bleibt in seinem sicheren Dokumentenspeicher mit den dort geltenden Berechtigungen. Eine Anfrage gibt niemandem Zugriff auf eine Datei. Wird die Datei einer geprüften Anfrage danach ersetzt oder gelöscht, wartet die Anfrage wieder auf Prüfung und zeigt, dass und wann sich die Datei nach der Prüfung geändert hat; wer sie geändert hat, wird nicht festgehalten. Benachrichtigt wird der prüfende Elternteil oder, wenn er die Familie verlassen hat, alle Eltern der Familie. Das gilt auch, wenn das Au Pair ein Dokument löscht, das schon geprüft war: Die Anfrage wartet dann wieder auf Prüfung. Push-Mitteilungen zu einer Anfrage enthalten weder den Zweck noch Dateinamen oder Dokumentinhalte.

Eine Anfrage wird beim Konto des Au Pairs aufbewahrt. Lesen können sie nur das Au Pair und die Eltern der Familie, in der es jetzt ist; eine Anfrage aus einer früheren Familie ist für alle geschlossen. Eine Anfrage wird mit ihrem Verlauf gelöscht, wenn das Au Pair sein Konto löscht. Anfragen aus einer Familie, in der es nicht mehr ist, werden außerdem gelöscht, wenn die Übergabenotiz gelöscht wird, die diese Familie über das ehemalige Au Pair aufbewahrt hat: zwölf Monate nach dem Archivieren oder früher, wenn ein Elternteil dieser Familie sie in der App löscht. Löscht der Elternteil, der angefragt hat, oder der Elternteil, der prüft, sein Konto, wird sein Name in der Anfrage durch einen Platzhalter (in den Apps als „Ehemaliges Mitglied“ angezeigt) ersetzt, und die Anfrage bleibt bestehen. Der Datenexport des Au Pairs enthält die Anfragen, die an es gerichtet waren. Der Datenexport eines Elternteils enthält die Anfragen, die er geschrieben hat oder prüft; ist das Au Pair nicht mehr in der Familie dieses Elternteils, enthält er nur noch, was der Elternteil selbst getan hat: was er in einer eigenen Anfrage geschrieben hat und wann er eine geprüft hat.

2.8 Terminvorbereitung

Ein Elternteil kann den Termin eines Kindes für eine Person in der Familie vorbereiten. Das Vorbereitungspaket speichert das Kind, die Person, für die es gedacht ist, die Hinweise (mit der Angabe, wer sie geschrieben und wann sie zuletzt geändert hat), die Fragen, die Checkliste zum Mitbringen mit der Angabe, wer jeden Punkt abgehakt hat, und wer das Paket geprüft und als bereit markiert hat. Ein Elternteil kann bis zu fünf Dokumente verknüpfen; das Paket speichert zu jedem nur einen Verweis, nie die Datei, ihren Namen, einen Download-Link oder eine Kopie medizinischer Angaben, und das Verknüpfen gibt niemandem Zugriff auf die Datei. Ein Elternteil muss das Paket freigeben, bevor die zugewiesene Person es öffnen kann, und andere Au Pairs können es nicht lesen. Nach dem Termin können die zugewiesene Person oder ein Elternteil eine Notiz schreiben und eine Folgeaufgabe mit Titel, Zuständigkeit und Frist vorschlagen. Notiz und Vorschlag werden mit dem Paket gespeichert, zusammen mit den Namen der Person, die vorgeschlagen hat, des Elternteils, der geprüft hat, und der vorgeschlagenen zuständigen Person; lesen können sie nur die Eltern und die Person, für die das Paket gedacht ist. Eine Aufgabe entsteht erst, wenn ein Elternteil genehmigt. Ab Version 4.1 der App schreibt der genehmigende Elternteil die Beschreibung der Aufgabe, und die Notiz bleibt im Paket; genehmigt ein Elternteil mit einer älteren App-Version, wird die Notiz wie bisher in die Beschreibung der Aufgabe übernommen. Die Aufgabe selbst ist für die ganze Familie sichtbar und wird wie jede andere Aufgabe aufbewahrt. Eine verbundene KI-App (siehe 2.5) erhält nie ein Paket, eine Notiz oder die Beschreibung einer Aufgabe. Den Titel einer solchen Folgeaufgabe sieht sie nur, wenn ein Elternteil ihn geschrieben hat; sonst sieht sie einen neutralen Titel.

Ein Paket wird gelöscht, wenn sein Termin oder das Kind gelöscht wird oder wenn das Konto der Person gelöscht wird, für die es gedacht ist. Folgeaufgaben, die aus einem Paket genehmigt wurden, bleiben bestehen, wenn der Termin gelöscht wird; sie werden gelöscht, wenn das Kind gelöscht wird. Löscht jemand anderes, der in einem Paket etwas geschrieben, abgehakt oder geprüft hat, sein Konto, werden Name und ID in dem Paket durch einen Platzhalter (in den Apps als „Ehemaliges Mitglied“ angezeigt) ersetzt, und der Wortlaut bleibt, auch in einer Familie, die er schon verlassen hat. In einer genehmigten Folgeaufgabe werden die IDs der Person, die sie vorgeschlagen hat, und des Elternteils, der sie genehmigt hat, genauso ersetzt. Ein Paket gehört zum Datenexport des Elternteils, der es erstellt hat, und, sobald es freigegeben ist, der Person, für die es gedacht ist; Folgenotizen und Vorschläge gehören zum Export der Person, die sie geschrieben hat.

2.9 Betreuungsprotokoll

Für jedes Kind kann ein Elternteil im Profil des Kindes „Betreuung protokollieren“ einschalten. Das ist standardmäßig aus, und solange es aus ist, kann niemand Einträge anlegen. Ist es an, können die Eltern und die Au Pairs der Familie Einträge zum Tag des Kindes erfassen: Mahlzeiten, Schlaf (mit Beginn und Ende), Fläschchen, Windeln, Aktivitäten und Notizen. Jeder Eintrag enthält die Art, die Zeit, optionale Details und eine Notiz als Freitext sowie die Angabe, wer ihn wann erfasst hat (Name und Nutzer-ID). Das Betreuungsprotokoll ist für Babys und Kleinkinder gedacht. Seine Einträge sind Daten über ein Kind und können Angaben zu seiner Gesundheit enthalten, zum Beispiel was und wie viel das Kind gegessen oder getrunken hat oder eine Notiz zu Fieber. Soweit das der Fall ist, sind es Gesundheitsdaten, eine besondere Kategorie personenbezogener Daten nach Art. 9 DSGVO.

Lesen können das Betreuungsprotokoll die Eltern der Familie und die Au Pairs der Familie, sonst niemand. Verbundene KI-Apps (siehe 2.5) können es nicht lesen. Ein Elternteil kann jeden Eintrag korrigieren, ein Au Pair nur die Einträge, die es selbst erfasst hat. Eine Korrektur überschreibt nichts: Die frühere Fassung bleibt mit Person und Zeit im Verlauf des Eintrags erhalten und ist für dieselben Personen sichtbar.

Ob für ein Kind ein Betreuungsprotokoll geführt wird, entscheiden die Eltern. Rechtsgrundlage: deine Einwilligung als Elternteil (Art. 9 Abs. 2 lit. a DSGVO), die du gibst, indem du „Betreuung protokollieren“ für das Kind einschaltest. Unter dem Schalter weist die App dich darauf hin, dass Einträge Gesundheitsangaben zu deinem Kind enthalten können und dass du sie jederzeit löschen kannst. Du kannst sie jederzeit widerrufen: Schalte „Betreuung protokollieren“ aus, dann sind keine neuen Einträge mehr möglich, und lösche das Betreuungsprotokoll. Das Ausschalten allein löscht nichts; die vorhandenen Einträge bleiben lesbar, bis ein Elternteil sie löscht.

Löschen können nur Eltern. Ein Elternteil kann einen einzelnen Eintrag jederzeit löschen und das ganze Betreuungsprotokoll eines Kindes, sobald „Betreuung protokollieren“ für dieses Kind ausgeschaltet ist. Beim Löschen werden der Eintrag und alle seine früheren Fassungen für alle in der Familie entfernt; das lässt sich nicht rückgängig machen. Das Betreuungsprotokoll wird außerdem gelöscht, wenn ein Elternteil das Profil des Kindes löscht und wenn die Familie gelöscht wird. Löscht jemand, der Einträge erfasst oder korrigiert hat, sein Konto, bleiben die Einträge bei der Familie, und sein Name und seine Nutzer-ID daran werden durch einen Platzhalter (in den Apps als „Ehemaliges Mitglied“ angezeigt) ersetzt, auch in einer Familie, die er schon verlassen hat. Der Datenexport eines Elternteils enthält das Betreuungsprotokoll der Kinder der Familie mit allen früheren Fassungen; der Datenexport jeder Person enthält die Einträge und Korrekturen, die sie selbst geschrieben hat. Das Betreuungsprotokoll wird zusammen mit deinen übrigen Familiendaten in Firebase (Google Cloud) gespeichert, siehe Abschnitte 4 und 10.

2.10 Haustiere

Ein Elternteil kann die Haustiere des Haushalts anlegen. Ein Haustierprofil enthält Name, Tierart, Rasse (optional), ein Foto (optional), die Anweisungen der Familie für die Pflege und zwei Kontakte: Name und Telefonnummer des Tierarztes und einer Tierbetreuung. Das Profil hält außerdem fest, welcher Elternteil es angelegt und zuletzt geändert hat und, unter den Anweisungen angezeigt, wer sie wann geschrieben hat. Tierarzt und Tierbetreuung sind Personen außerhalb der Familie: Ein Elternteil entscheidet, ob er ihren Namen und ihre Nummer einträgt, und gespeichert werden sie nur, damit die Person, die sich um das Tier kümmert, sie erreichen kann.

Nur Eltern können ein Haustierprofil anlegen oder ändern und das Foto hochladen. Lesen können Profil, Kontakte und Foto die Eltern und die Au Pairs der Familie. Ein Elternteil kann für ein Haustier Pflegeaufgaben anlegen, einmalig oder täglich oder wöchentlich wiederkehrend, und sie einem Familienmitglied zuweisen. Das sind gewöhnliche Aufgaben: Wie jede Aufgabe halten sie fest, wem sie zugewiesen sind und wer sie wann erledigt hat, und alle in der Familie können sie sehen. Eine verbundene KI-App (siehe 2.5) kann Haustierprofile, Kontakte und Fotos nicht lesen; die Pflegeaufgaben eines Haustiers sieht sie wie jede andere Aufgabe, mit ihrem Titel.

Das Foto wird zusammen mit deinen übrigen Familiendaten in Firebase (Google Cloud) gespeichert. Ersetzt ein Elternteil das Foto eines Haustiers oder verlässt er das Formular, ohne zu speichern, löscht die App die Datei, die nicht mehr gebraucht wird. Ein Elternteil kann ein Profil jederzeit ändern und zum Beispiel die Kontakte entfernen. Ein Elternteil kann ein Haustier auch in der App löschen („Haustier löschen“). Gelöscht werden dann das Profil (Name, Tierart, Rasse, Anweisungen und die Kontakte von Tierarzt und Tierbetreuung), sein Foto samt früher hochgeladener Fotos und die offenen Pflegeaufgaben des Haustiers. Erledigte Pflegeaufgaben bleiben als gewöhnliche Aufgaben im Aufgabenverlauf der Familie, ohne die Verknüpfung zum Haustier; ihr Titel kann das Haustier weiter nennen. Niemand wird benachrichtigt, und es lässt sich nicht rückgängig machen. Haustierprofile und ihre Fotos werden außerdem gelöscht, wenn die Familie gelöscht wird. Löscht ein Elternteil, der ein Profil angelegt oder geändert oder die Anweisungen geschrieben hat, sein Konto, bleibt das Profil bestehen; sein Name wird entfernt und seine Nutzer-ID durch einen Platzhalter (in den Apps als „Ehemaliges Mitglied“ angezeigt) ersetzt. Der Datenexport eines Elternteils enthält die Haustierprofile der Familie.

2.11 Medikamentenprotokoll

Für jedes Kind kann ein Elternteil im Profil des Kindes „Medikamentenprotokoll“ einschalten. Das ist standardmäßig aus, und solange es aus ist, kann niemand Einträge anlegen. Ist es an, können die Eltern und die Au Pairs der Familie jede Dosis erfassen, die sie dem Kind von einem Medikament aus dem Profil des Kindes (siehe 2.4) gegeben haben. Jeder Eintrag enthält das Medikament mit einer Kopie seiner Angaben, wie sie in diesem Moment im Profil standen (zum Beispiel Name, Dosierung, Einnahmeplan, Anweisungen und wer es verordnet hat), die gegebene Menge, die Zeit der Gabe, eine optionale Notiz als Freitext sowie die Angabe, wer die Dosis gegeben und erfasst hat (Name, Nutzer-ID und Rolle) und wann. Als die Person, die die Dosis gegeben hat, hält die App die angemeldete Person fest. Die Kopie bleibt im Eintrag, auch wenn das Medikament später im Profil geändert oder daraus entfernt wird. Diese Einträge sind Gesundheitsdaten eines Kindes, eine besondere Kategorie personenbezogener Daten nach Art. 9 DSGVO.

Lesen können das Medikamentenprotokoll die Eltern der Familie und die Au Pairs der Familie, sonst niemand. Verbundene KI-Apps (siehe 2.5) können es nicht lesen. Ein Elternteil kann jeden Eintrag korrigieren, ein Au Pair nur die Einträge, die es selbst erfasst hat; ein Eintrag kann höchstens 50-mal korrigiert werden. Eine Korrektur überschreibt nichts: Der Eintrag erhält die korrigierte Menge, Zeit und Notiz zusammen mit der Angabe, wer die Korrektur wann erfasst hat (Name und Nutzer-ID), und die ursprünglichen Angaben und jede frühere Korrektur bleiben für dieselben Personen sichtbar.

Ob für ein Kind ein Medikamentenprotokoll geführt wird, entscheiden die Eltern. Rechtsgrundlage: deine Einwilligung als Elternteil (Art. 9 Abs. 2 lit. a DSGVO), die du gibst, indem du „Medikamentenprotokoll“ für das Kind einschaltest. Unter dem Schalter weist die App dich darauf hin, dass die Einträge Gesundheitsangaben zu deinem Kind sind, wer sie sieht und wie sie gelöscht werden können. Du kannst die Einwilligung jederzeit widerrufen: Schalte „Medikamentenprotokoll“ aus, dann sind keine neuen Einträge und keine Korrekturen mehr möglich, und lösche das Medikamentenprotokoll. Das Ausschalten allein löscht nichts; die vorhandenen Einträge bleiben für die Eltern und die Au Pairs der Familie lesbar, bis ein Elternteil sie löscht. Auch das Löschen eines einzelnen Eintrags entfernt nicht alles: Eine Zeile bleibt stehen (siehe nächster Absatz). Erst wenn das ganze Protokoll, das Profil des Kindes oder die Familie gelöscht wird, ist auch diese Zeile entfernt.

Löschen können nur Eltern. Ein Elternteil kann einen einzelnen Eintrag jederzeit löschen, ob das Protokoll ein- oder ausgeschaltet ist. Dabei wird der Inhalt des Eintrags für alle in der Familie entfernt: das Medikament mit den kopierten Angaben, die Menge, die Zeit, die Notiz, wer die Dosis gegeben hat, und jede Korrektur. Das lässt sich nicht rückgängig machen. An der Stelle des Eintrags bleibt im Protokoll eine Zeile, die festhält, dass ein Eintrag gelöscht wurde, mit Name und Nutzer-ID des Elternteils, der gelöscht hat, und dem Zeitpunkt der Löschung. Die Zeile behält außerdem den Zeitpunkt, zu dem der Eintrag ursprünglich erfasst wurde; die Apps nutzen ihn nur, um die Zeile an ihrem Platz zu halten, und zeigen ihn nicht an. Alle, die das Protokoll lesen können, sehen diese Zeile. Wir behalten sie, damit eine gelöschte Dosis nicht so aussieht, als sei nichts gegeben worden; in den 24 Stunden nach einer Löschung zeigen die Apps zusätzlich einen Hinweis, wenn jemand für dieses Kind eine Dosis erfasst. Die Zeile lässt sich weder ändern noch einzeln entfernen. Das ganze Medikamentenprotokoll eines Kindes kann ein Elternteil löschen, sobald „Medikamentenprotokoll“ für dieses Kind ausgeschaltet ist; dabei werden alle Einträge und alle solchen Zeilen entfernt. Das Medikamentenprotokoll wird mit diesen Zeilen außerdem gelöscht, wenn ein Elternteil das Profil des Kindes löscht und wenn die Familie gelöscht wird. Eine Aufbewahrungsfrist gibt es nicht: Tritt keiner dieser Fälle ein, bleiben Einträge und Zeilen gespeichert. Löscht jemand, der eine Dosis erfasst, eine Korrektur erfasst oder einen Eintrag gelöscht hat, sein Konto, bleiben die Einträge und Zeilen bei der Familie, und sein Name und seine Nutzer-ID daran werden durch einen Platzhalter ersetzt, auch in einer Familie, die er schon verlassen hat; ob er Elternteil oder Au Pair war, bleibt an den von ihm erfassten Dosen stehen. Der Datenexport eines Elternteils enthält das Medikamentenprotokoll der Kinder der Familie mit allen Korrekturen und den Zeilen über gelöschte Einträge; der Datenexport jeder Person enthält die Dosen, die sie selbst erfasst hat, die Korrekturen, die sie geschrieben hat, und eine Liste der Einträge, die sie gelöscht hat. Das Medikamentenprotokoll wird zusammen mit deinen übrigen Familiendaten in Firebase (Google Cloud) gespeichert, siehe Abschnitte 4 und 10.

2.12 Letzte Änderungen („Seit deinem letzten Besuch“)

Damit Familienmitglieder sehen, was sich in ihrer Abwesenheit an den Plänen der Familie geändert hat, führt AuPairSync eine kurze Aufzeichnung der Änderungen an Terminen, Aktivitäten, Routinen und Haushaltsaufgaben. Jeder Eintrag enthält die Art der Änderung (zum Beispiel eine neue Zeit, ein neuer Ort, eine andere zuständige Person oder dass ein Termin hinzugefügt oder abgesagt wurde), die Angaben zu dem, was geändert wurde, vor und nach der Änderung, die Kinder, die sie betrifft, den Zeitpunkt der Änderung und, wenn ein Familienmitglied sie vorgenommen hat, wer das war.

Ein Eintrag wird nur den Eltern und den Au Pairs derselben Familie angezeigt. Eine Änderung, die ein Familienmitglied vorgenommen hat, wird mit dessen Namen angezeigt, solange es der Familie angehört, oder, wenn es sie über eine verbundene KI-App vorgenommen hat, mit dem Namen dieser App. Änderungen, die die App von selbst vornimmt, zum Beispiel wenn ein Mitglied die Familie verlässt, tragen keinen Namen. Niemand außerhalb der Familie kann diese Einträge sehen, und sie werden für keinen anderen Zweck verwendet.

Einträge werden nach 30 Tagen nicht mehr angezeigt und kurz danach gelöscht. Gelöscht werden sie außerdem, wenn die Familie gelöscht wird, und Einträge, die dich nennen, werden gelöscht, wenn du dein Konto löschst. Die Änderungen, die du selbst vorgenommen hast, sind Teil deines Datenexports.

3. Wie wir deine Daten verwenden

Wir verwenden deine personenbezogenen Daten für folgende Zwecke:

• Bereitstellung des Dienstes: Zum Betrieb der App, zur Verwaltung deines Kontos, zur Synchronisation von Familiendaten und zur Zustellung von Benachrichtigungen
• Kommunikation: Um dir wichtige Updates, Onboarding-Tipps und Erinnerungen zu AuPairSync zu senden und auf Support-Anfragen zu antworten
• Analyse und Verbesserung: Um das Nutzerverhalten zu verstehen, Fehler zu beheben und die App-Erfahrung zu verbessern
• Rechtliche Einhaltung: Zur Einhaltung gesetzlicher Verpflichtungen und zum Schutz unserer Rechte

Wir verkaufen, vermieten oder teilen deine personenbezogenen Daten nicht mit Dritten zu deren Marketingzwecken.

4. Datenspeicherung und Sicherheit

4.1 Wo wir deine Daten speichern

• Primärspeicher: Firebase Firestore (Google Cloud Platform)
• Authentifizierung: Firebase Authentication (E-Mail/Passwort, Apple-Anmeldung, Google-Anmeldung)
• E-Mail-Dienst: MailerSend (E-Mail-Zustelldienst)
• Analyse: Google Analytics 4 und Firebase Analytics
• Fehlerüberwachung: Firebase Crashlytics (Absturzberichte aus der iPhone-App, siehe 2.2)

4.2 Datenaufbewahrung

• Kontodaten: Werden aufbewahrt, solange dein Konto aktiv ist. Ein eingetragener Geburtstag (siehe 2.1) wird gelöscht, sobald du ihn entfernst, sonst mit deinem Konto. Die Zähler für Bestätigungs-E-Mails (siehe 2.1) werden mit deinem Konto gelöscht; eine noch laufende Begrenzung von einer Stunde für die Adresse endet zuerst und wird spätestens einen Tag danach gelöscht. Ist aus der Zeit vor Version 4.3 noch ein Vermerk gespeichert, dass eine Einladung auf dich wartete, wird er spätestens mit deinem Konto gelöscht. Der Vermerk über eine Bestätigungs-E-Mail, die seit Einführung der Frist am 10. Oktober 2026 verschickt wurde, wird 90 Tage nach dem Versand gelöscht; löschst du dein Konto vorher, bleibt er bis dahin ohne deine Konto-ID und ohne den Hash deiner Adresse. Für ältere Vermerke gibt es keine Frist: Ein solcher Vermerk bleibt gespeichert, nach dem Löschen deines Kontos ohne deine Konto-ID und ohne den Hash deiner Adresse. Nachdem du dein Konto gelöscht hast, bewahren wir als Nachweis einen Vermerk auf, dass die Löschung beantragt und durchgeführt wurde: Nutzer-ID, Rolle, Familien-ID, Zeitpunkte, Status und eine Liste dessen, was entfernt wurde; keinen Namen und keine E-Mail-Adresse.
• Einladungen per E-Mail: Die Einladung bleibt mit der eingeladenen Adresse gespeichert, auch nachdem sie verwendet wurde, abgelaufen ist oder zurückgezogen wurde. Sie wird gelöscht, wenn der Elternteil, der sie verschickt hat, sein Konto löscht, wenn die eingeladene Person das AuPairSync-Konto löscht, das mit dieser Adresse registriert ist, oder wenn die Familie gelöscht wird. Die Einträge der Warteschlange für die E-Mails dazu werden 90 Tage nach dem Schreiben gelöscht, wenn sie seit Einführung der Frist am 10. Oktober 2026 geschrieben wurden; für ältere Einträge gibt es keine Frist (siehe 2.1)
• Familiendaten: Werden aufbewahrt, solange die Familie besteht. Löscht der letzte Elternteil einer Familie sein Konto, werden die Familie und ihre Daten gelöscht. Löscht ein anderes Mitglied sein Konto, bleibt bei der Familie in anonymisierter Form, was es eingetragen hat (siehe „Nach dem Verlassen einer Familie“ weiter unten)
• Analysedaten: Werden 26 Monate aufbewahrt (Google Analytics Standard)
• Betriebsereignisse: Werden nach 28 Tagen automatisch gelöscht (siehe 2.2)
• Bestätigungen von Bringen und Abholen: Antworten, ihr Verlauf und Erinnerungsvermerke werden 30 Tage nach dem Termin automatisch gelöscht (siehe 2.6)
• Dokumentanfragen: Werden beim Konto des Au Pairs aufbewahrt und mit ihm gelöscht, wenn es sein Konto löscht. Anfragen aus einer Familie, in der es nicht mehr ist, werden früher gelöscht, wenn die Übergabenotiz dieser Familie über das Au Pair gelöscht wird (siehe 2.7)
• Terminvorbereitungen: Werden gelöscht, wenn der Termin oder das Kind gelöscht wird oder das Konto der Person, für die das Paket gedacht ist. Genehmigte Folgeaufgaben werden gelöscht, wenn das Kind gelöscht wird (siehe 2.8)
• Betreuungsprotokoll: Wird aufbewahrt, bis ein Elternteil einen Eintrag oder das ganze Betreuungsprotokoll löscht oder bis das Profil des Kindes oder die Familie gelöscht wird (siehe 2.9)
• Medikamentenprotokoll: Keine Aufbewahrungsfrist: Einträge bleiben, bis ein Elternteil sie löscht. Ein gelöschter Eintrag hinterlässt eine Zeile (dass ein Eintrag gelöscht wurde, von wem und wann); sie bleibt, bis ein Elternteil das ganze Medikamentenprotokoll löscht. Einträge und Zeilen werden außerdem gelöscht, wenn das Profil des Kindes oder die Familie gelöscht wird (siehe 2.11)
• Haustierprofile: Werden aufbewahrt, bis ein Elternteil das Haustier löscht oder die Familie gelöscht wird. Mit dem Haustier werden auch sein Foto und seine offenen Pflegeaufgaben gelöscht; erledigte Pflegeaufgaben bleiben als gewöhnliche Aufgaben bestehen. Ein Foto, das ersetzt oder nicht gespeichert wurde, löscht die App (siehe 2.10)
• Letzte Änderungen: Einträge werden nach 30 Tagen nicht mehr angezeigt und kurz danach gelöscht. Gelöscht werden sie außerdem, wenn die Familie gelöscht wird, und Einträge, die dich nennen, werden gelöscht, wenn du dein Konto löschst (siehe 2.12)
• Profildaten ehemaliger Au Pairs: Archiviert eine Familie ein Au Pair, behält die Familie einen Vermerk, dass es ihr Au Pair war (Name, Programmdaten, Grund und Zeitpunkt des Archivierens), und die Übergabenotiz. Die Übergabenotiz wird nach zwölf Monaten automatisch gelöscht oder früher, wenn ein Elternteil sie in der App löscht. Die eigenen Profilangaben des Au Pairs, seine gespeicherten Dokumente und sein Profilfoto bleiben bei seinem Konto und werden gelöscht, wenn es sein Konto löscht. Der Vermerk der Familie bleibt, bis das Au Pair sein Konto löscht oder die Familie gelöscht wird
• Nach dem Verlassen einer Familie: Wird ein Au Pair archiviert oder ein Elternteil aus einer Familie entfernt, bleibt bei dieser Familie, was die Person eingetragen hat. Wir führen einen Vermerk, zu welchen Familien ein Konto gehört hat; keine App kann ihn lesen, nur unser Server, und er ist Teil deines Datenexports. Löschst du später dein Konto, wird dieser Vermerk gelöscht, und dein Name und deine Nutzer-ID werden in dem, was diese Familien noch aufbewahren (zum Beispiel Aufgaben, Kalendertermine, Packlisten, Haustierprofile, Arbeitszeit-Einstellungen, Einträge im Betreuungsprotokoll und Terminvorbereitungen), durch einen Platzhalter (in den Apps als „Ehemaliges Mitglied“ angezeigt) ersetzt. Kalendertermine und Serien, in denen du eingetragen warst, gehen an „irgendein Elternteil“ zurück, und deine eigenen Kalendereinträge für freie Tage und Babysitting werden gelöscht. Eine Ausnahme: An einer gewöhnlichen Aufgabe bleibt die interne Kennung der Person stehen, die sie angelegt oder erledigt hat, ohne Namen, weil die Apps sie für wiederkehrende Aufgaben brauchen
• Fotos für Abholhinweise: Fotos, die für Abholhinweise hochgeladen, aber keinen gespeicherten Abholhinweisen zugeordnet sind, werden nach 24 Stunden automatisch gelöscht
• Verbundene KI-Apps: Eine Verbindung bleibt gespeichert, solange sie aktiv ist. Nach dem Entziehen bewahren wir einen Vermerk (welche App, wann, wer) 90 Tage zur Sicherheit auf und löschen ihn dann. Löschst du dein Konto oder die Familie, wird er sofort gelöscht. Termine und Aufgaben, die eine KI-App angelegt oder geändert hat, und Ankündigungen, die sie gepostet hat, bleiben gespeichert wie jeder andere Eintrag. Den Vermerk zu jedem Schreibvorgang (Kennung des Eintrags und Art der Änderung, ohne Inhalt) löschen wir nach 30 Tagen (siehe 2.5)
• Support-Kommunikation: Wird 2 Jahre für Aufzeichnungszwecke aufbewahrt

4.3 Sicherheitsmaßnahmen

Wir setzen branchenübliche Sicherheitspraktiken ein:

• Verschlüsselte Datenübertragung (HTTPS/TLS)
• Firebase Security Rules zur Einschränkung unbefugter Zugriffe
• Sichere Authentifizierung mit Unterstützung für Apple-Anmeldung und Google-Anmeldung
• API-Schlüssel-Einschränkungen und Domain-Whitelisting
• Regelmäßige Sicherheitsüberprüfungen und Updates
• Rate Limiting auf API-Endpunkten zum Schutz vor Missbrauch

6. Drittanbieterdienste

Wir verwenden folgende Drittanbieterdienste, die deine Daten verarbeiten können:

7. Deine Rechte nach DSGVO

Als betroffene Person nach DSGVO hast du folgende Rechte in Bezug auf deine personenbezogenen Daten:

8. Datenanfragen und Kontakt

Um eines deiner DSGVO-Rechte auszuüben oder für datenschutzbezogene Anfragen, kontaktiere uns bitte unter:

So forderst du die Datenlöschung an

Du kannst dein Konto selbst in der App löschen. Wie das geht und was mit deinen Daten passiert, erklärt unsere Seite zur Kontolöschung. Du kannst die Löschung auch per E-Mail beantragen:

1. Sende eine E-Mail an privacy@aupairsync.com mit dem Betreff „Datenlöschungsanfrage“
2. Gib die mit deinem Konto verknüpfte E-Mail-Adresse an
3. Wir bestätigen deine Identität und bearbeiten die Löschung innerhalb von 30 Tagen
4. Du erhältst eine Bestätigung, sobald die Löschung abgeschlossen ist

9. Datenschutz für Kinder

AuPairSync ist für die Nutzung durch Eltern und Au Pairs (Erwachsene) konzipiert. Obwohl die App Informationen über Kinder verwaltet (Namen, Alter und Fotos, Zeitpläne und Routinen sowie, wenn Eltern sie eintragen, Gesundheitsdaten (siehe 2.4), ein Betreuungsprotokoll (siehe 2.9) und ein Medikamentenprotokoll (siehe 2.11)), werden diese Daten von den Erwachsenen der Familie eingegeben und vom Eltern-Kontoinhaber kontrolliert. Wir erheben wissentlich keine personenbezogenen Daten direkt von Kindern unter 16 Jahren. Wenn du glaubst, dass wir Daten von einem Kind erhoben haben, kontaktiere uns bitte umgehend unter privacy@aupairsync.com.

10. Internationale Datenübermittlungen

Deine Daten können in die Vereinigten Staaten übermittelt und dort verarbeitet werden, wo sich unsere Server und Drittanbieterdienste befinden. Wir stellen angemessene Schutzmaßnahmen sicher:

• Google Cloud Platform (Firebase) erfüllt das EU-US Data Privacy Framework
• Standardvertragsklauseln (SCCs) mit Auftragsverarbeitern
• DSGVO-konforme Auftragsverarbeitungsverträge (AVVs) mit allen Anbietern

GitHub (siehe 6): Feedback und Support-Nachrichten, die du aus der App sendest, gehen an GitHub, Inc. in den USA. Nach eigener Datenschutzerklärung ist GitHub, Inc. nach dem EU-US Data Privacy Framework zertifiziert.

KI-Apps, die ein Elternteil verbindet (siehe 2.5): OpenAI (ChatGPT) und Anthropic (Claude) sind nicht nach dem EU-US Data Privacy Framework zertifiziert, und wir haben mit ihnen keine Standardvertragsklauseln. Die Daten gehen an sie, weil ein Elternteil uns anweist, sie an sein eigenes Konto bei diesem Anbieter zu senden. Sie werden womöglich außerhalb der EU verarbeitet, etwa in den USA. Das gilt auch für die Bestätigungen und Hinweise, die eine KI-App beim Anlegen oder Ändern eines Eintrags zurückbekommt. Tritt ein Anbieter dem Data Privacy Framework bei, prüfen wir das neu.

11. Änderungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren, um Änderungen unserer Praktiken oder gesetzlicher Anforderungen widerzuspiegeln. Wir informieren dich über wesentliche Änderungen durch:

• Aktualisierung des „Zuletzt aktualisiert“-Datums oben auf dieser Seite
• E-Mail-Benachrichtigung an registrierte Nutzer (bei wesentlichen Änderungen)
• Anzeige eines Hinweises in der App oder auf unserer Website

Die fortgesetzte Nutzung unserer Dienste nach Änderungen gilt als Zustimmung zur aktualisierten Erklärung.

12. Rechtsgrundlage für die Verarbeitung (DSGVO)

Wir verarbeiten deine personenbezogenen Daten auf folgenden Rechtsgrundlagen:

• Einwilligung: E-Mail-Anmeldung auf unserer Website (du stimmst ausdrücklich zu)
• Vertragserfüllung: Bereitstellung des Dienstes, Verwaltung deines Kontos und Synchronisation von Familiendaten, einschließlich Dokumentanfragen, Terminvorbereitungen und Haustierprofilen (siehe 2.7, 2.8 und 2.10)
• Berechtigtes Interesse: Sicherheit sowie Analyse und App-Verbesserung: Google Analytics auf unserer Website (siehe Abschnitt 5), in den Apps Firebase Analytics und auf dem iPhone Crashlytics-Absturzberichte. In den Apps ist das standardmäßig eingeschaltet; du kannst jederzeit widersprechen, indem du die Nutzungsanalyse unter Einstellungen → Datenschutz & Daten ausschaltest. Dann endet die Erfassung auf diesem Gerät (abgewogen gegen deine Datenschutzrechte)
• Verbundene KI-Apps: Für das, was eine KI-App liest: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO), das Interesse der Familie, ihre Betreuung mit einem KI-Assistenten zu organisieren, den ein Elternteil ausgewählt hat (siehe 2.5). Au Pairs können unter privacy@aupairsync.com widersprechen. Für Termine und Aufgaben, die eine KI-App auf Bitte eines Elternteils anlegt, ändert oder löscht, und Ankündigungen, die sie postet: dieselbe Rechtsgrundlage wie für denselben Eintrag in der App (Vertragserfüllung). Die Kästchen, die ein Elternteil beim Verbinden anhakt, halten diese Wahl fest; eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO sind sie nicht
• E-Mails zu AuPairSync: Wenn du ein Konto hast, senden wir dir E-Mails zu AuPairSync: Onboarding-Tipps und Erinnerungen, zur App zurückzukehren. Eine gesonderte Einwilligung holen wir dafür nicht ein. Rechtsgrundlage ist § 7 Abs. 3 UWG in Verbindung mit unserem berechtigten Interesse, unsere Nutzer über unseren eigenen Dienst zu informieren (Art. 6 Abs. 1 lit. f DSGVO). Du kannst dem jederzeit widersprechen, ohne dass dir andere als die Übermittlungskosten nach den Basistarifen entstehen: über den Abmelde-Link in jeder dieser E-Mails oder per E-Mail an privacy@aupairsync.com.
• Gesetzliche Verpflichtung: Einhaltung geltender Gesetze und Vorschriften

13. Kontaktinformationen

Bei Fragen, Bedenken oder Anfragen zu dieser Datenschutzerklärung oder deinen personenbezogenen Daten: