Datenschutzerklärung

Diese Erklärung gilt für die App yuna (iOS und Android) und für die Website appoxi.com/yuna.

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Ein Datenschutzbeauftragter ist nicht benannt, da die gesetzlichen Voraussetzungen des Art. 37 DSGVO in Verbindung mit § 38 BDSG nicht vorliegen. Für alle Anliegen zum Datenschutz erreichen Sie uns unter der oben genannten Adresse.

2. Grundsatz: Verarbeitung auf Ihrem Gerät

yuna ist so gebaut, dass die Verarbeitung Ihrer Eingaben auf Ihrem Endgerät stattfindet. Die App speichert ihre Daten im lokalen Speicher des Geräts.

Solange der Familien-Sync ausgeschaltet ist — das ist der Auslieferungszustand — werden Ihre Einträge nicht an unseren Server übertragen, und es findet kein Abgleich im Hintergrund statt. Unabhängig vom Familien-Sync bestehen jedoch zweckgebundene Verbindungen zu unserem Server, die keine Ihrer Einträge enthalten: unter iOS die Prüfung auf eine neue App-Version (Abschnitt 8b), unter Android die Preisanzeige und das Einlösen von Aktivierungscodes (Abschnitt 4a) sowie auf beiden Plattformen eine Problem-Meldung, wenn Sie selbst eine abschicken (Abschnitt 4b).

Haben Sie den Familien-Sync eingeschaltet, gleicht die App bei geöffneter Anwendung ab: beim Öffnen, kurz nach jeder Änderung sowie regelmäßig, derzeit etwa alle 10 Sekunden. Übertragen wird dabei nur dann etwas, wenn sich seit dem letzten Abgleich tatsächlich etwas geändert hat; andernfalls wird lediglich nachgefragt, ob ein anderes Gerät Neues hinterlegt hat. Tippen Sie eine Schnellaktion im Widget an, legt das Widget diesen Eintrag sofort für die verbundenen Geräte ab, auch wenn die App dabei geschlossen bleibt; ältere Tipps, die noch nicht übertragen werden konnten, gehen dabei mit. Damit die Widgets aller verbundenen Geräte den aktuellen Schlafstand zeigen, legt die App bei jeder Änderung des Schlafstands (Einschlafen, Aufwachen oder eine Korrektur) außerdem den Schlafstand dort ab, und die Widgets fragen von sich aus etwa alle 15 bis 30 Minuten sowie bei jeder Bedienung nach. Nach einer stillen Push-Nachricht (Abschnitt 4.3a) holt das Gerät außerdem im Hintergrund den Schlafstand für die Widgets ab, auch wenn die App geschlossen ist. Alle Inhalte sind dabei Ende-zu-Ende verschlüsselt (siehe Abschnitt 4).

Insbesondere gilt:

• Es gibt kein Benutzerkonto und keine Registrierung.
• Es wird keine Werbe-ID verwendet, und es wird keine Geräte-ID des Herstellers ausgelesen. Die App fragt weder E-Mail-Adresse noch Telefonnummer noch Anschrift ab. Bei eingeschaltetem Familien-Sync werden die von der App selbst erzeugten zufälligen Kennungen für Familie und Gerät, ein aus dem Familien-Geheimnis abgeleiteter Prüfwert, zufällige Kennungen einzelner Widget-Einträge, die Push-Adresse des Geräts (Abschnitt 4.3a) sowie technisch bedingt Ihre IP-Adresse übertragen — all das ist in Abschnitt 4.3 im Einzelnen aufgeschlüsselt.
• Es findet keine Standortverarbeitung statt. Die App fordert keine Standortberechtigung an.
• Es wird nicht auf Kontakte, Fotos, Mikrofon oder Kalender zugegriffen; diese Berechtigungen werden nicht angefordert. Die Kamera wird ausschließlich optional zum Scannen des Kopplungscodes genutzt — das Bild wird nur auf dem Gerät ausgewertet, nichts davon gespeichert oder übertragen (siehe Abschnitt 9).
• Die Auswertungen und Vorhersagen zu den Schlafenszeiten Ihres Kindes werden bei jedem Aufruf neu auf dem Gerät berechnet. Es wird kein Profil an uns übertragen und keines bei uns gebildet. Zur Grundlage dieser Berechnung siehe die Gesundheits- und Sicherheitshinweise.

Die Speicherung auf Ihrem Endgerät und der Zugriff darauf sind für die von Ihnen ausdrücklich gewünschte Funktion der App unbedingt erforderlich im Sinne von § 25 Abs. 2 Nr. 2 TDDDG. Eine Einwilligung ist dafür nicht erforderlich; es werden zu keinem Zeitpunkt Informationen auf Ihrem Gerät gespeichert oder ausgelesen, die über diesen Zweck hinausgehen.

3. Welche Daten Sie in der App erfassen können

Sie entscheiden selbst, was Sie eintragen. Möglich sind:

Zu freiem Text: Freien Text geben Sie an vier Stellen ein: beim Rufnamen, bei der Bezeichnung von Terminen, bei der Bezeichnung eigener Eintragsarten und in der optionalen Notiz zu eigenen Einträgen. Bitte tragen Sie dort nur ein, was Sie tatsächlich festhalten möchten, und keine Angaben zu weiteren Personen. Freien Text schreiben Sie außerdem in eine Problem-Meldung; er erreicht uns nur, wenn Sie die Meldung abschicken (Abschnitt 4b).

Einordnung: Angaben zu Schlaf, Ernährung, Ausscheidungen, Gewicht und Körperlänge eines Kindes sowie Bezeichnungen von Arztterminen können Gesundheitsdaten im Sinne von Art. 4 Nr. 15 DSGVO darstellen und unterliegen damit dem besonderen Schutz nach Art. 9 DSGVO. Wir behandeln sie durchgehend als solche. Diese Daten erreichen unseren Server nur, wenn Sie den Familien-Sync einschalten, und dann ausschließlich Ende-zu-Ende verschlüsselt. Sicherungen (Export, iCloud, Google Drive) legt die App als unverschlüsselte Datei an dem von Ihnen gewählten Ort ab; zusätzlich können die Systemsicherungen von Apple und Google die App-Daten erfassen (Abschnitt 7).

Für die Verarbeitung auf Ihrem eigenen Gerät sind wir nicht Verantwortlicher im Sinne der DSGVO, da wir darauf zu keinem Zeitpunkt Zugriff haben.

4. Familien-Sync

4.1 Wozu die Funktion dient

Der Familien-Sync gleicht die Einträge zwischen den Geräten einer Familie ab, damit beispielsweise beide Elternteile denselben Stand sehen. Übertragen werden dabei Ihre Einträge, das Profil, Meilensteine, Termine, Ihre eigenen Eintragsarten und Löschvermerke sowie die auf dem Gerät berechnete Prognose; die Erinnerungs-, Kauf- und Sicherungseinstellungen bleiben gerätegebunden. Die Funktion ist standardmäßig ausgeschaltet. Sie wird aktiv, sobald Sie unter „Einstellungen → Familie verbinden“ einen Kopplungscode erzeugen oder den Code eines anderen Geräts eingeben. Ab diesem Moment legt Ihr Gerät seine verschlüsselten Daten auf dem Server ab, auch wenn noch kein zweites Gerät verbunden ist.

4.2 Wie die Verschlüsselung funktioniert

1. Beim Einrichten erzeugt Ihr Gerät ein zufälliges Familien-Geheimnis. Daraus werden mit einem Schlüsselableitungsverfahren (PBKDF2) die eigentlichen Schlüssel abgeleitet.
2. Ihre Daten werden auf dem Gerät mit AES-GCM verschlüsselt, Datenpakete zuvor komprimiert. Erst danach werden sie übertragen.
3. Beim Verbinden eines zweiten Geräts wird das Familien-Geheimnis mit einem kurzlebigen Kopplungscode verschlüsselt übergeben. Diese Übergabe ist 60 Sekunden gültig und nur einmal abrufbar; sie wird ausschließlich im Arbeitsspeicher gehalten.
4. Die Schlüssel selbst werden zu keinem Zeitpunkt an unseren Server übertragen.

Damit liegen uns ausschließlich verschlüsselte Datenpakete vor, die wir nicht entschlüsseln können. Wir sehen weder den Namen Ihres Kindes noch Schlafzeiten, Mahlzeiten oder sonstige Einträge.

4.3 Was der Server tatsächlich verarbeitet

Die Familien- und Gerätekennungen sind zufällig erzeugt. Sie enthalten keine Angaben zu Ihrer Person und werden von uns mit keiner anderen Information zusammengeführt.

Zusätzlich protokolliert der vorgeschaltete Webserver für die Adressen des Familien-Syncs nur Zeitpunkt, aufgerufenen Pfad ohne Kennungen, Statuscode und übertragene Datenmenge, keine IP-Adresse. Diese Protokolle dienen dem Betrieb, werden täglich gewechselt und nach 14 Tagen gelöscht. Eine Zusammenführung mit den Datenpaketen findet nicht statt.

4.3a Stille Push-Nachrichten für das Widget

Damit das Widget auf dem Gerät Ihres Partners schnell den aktuellen Stand zeigt, schickt unser Server nach jedem Widget-Eintrag und jeder Änderung des Schlafstands den anderen Geräten Ihrer Familie eine stille Push-Nachricht ohne Inhalt. Sie wird nicht angezeigt. Die App holt daraufhin die verschlüsselten Einträge selbst bei unserem Server ab. Zugestellt wird die Nachricht unter iOS über den Apple Push Notification service, unter Android über Firebase Cloud Messaging von Google. Apple bzw. Google erhalten dabei nur das Geräte-Token, die Kennung der App und technische Angaben zur Zustellung, keine Einträge und keine Familienkennung. Unter Android legt die Firebase-Bibliothek dafür eine Installationskennung an. Für die Zustellung verarbeiten Apple bzw. Google außerdem die IP-Adresse des Geräts. Eine Push-Adresse meldet die App erst, wenn der Familien-Sync aktiv ist, und löscht sie beim Trennen. Mitteilungs-Erlaubnis brauchen diese Nachrichten nicht.

4.4 Warum wir Ihre Daten nicht wiederherstellen können

Der Server ist bewusst als „blinder Briefkasten" gebaut. Er kennt den Schlüssel nicht und ist nicht als Sicherung ausgelegt — das dort liegende Paket ist ohne Ihr Familien-Geheimnis wertlos, auch für uns. Daraus folgt ausdrücklich:

• Wir können keine gelöschten oder verlorenen Einträge wiederherstellen.
• Wir können bei Verlust des Familien-Geheimnisses — etwa wenn alle Geräte verloren gehen oder die App auf allen Geräten gelöscht wird — keinen Zugang wiederherstellen.
• Wir können keine Auskunft über den Inhalt Ihrer Daten geben, weil er uns nicht zugänglich ist.

Für Sicherungen stehen Ihnen in der App zwei Wege zur Verfügung, die Sie selbst kontrollieren: der Export als Datei und die Sicherung in Ihrer eigenen Cloud (siehe Abschnitt 7). Wir empfehlen ausdrücklich, davon regelmäßig Gebrauch zu machen.

4.5 Trennen und Löschen

Wenn Sie die Verbindung in den Einstellungen trennen, werden die lokalen Zugangsdaten auf Ihrem Gerät gelöscht und den verbundenen Geräten ein Trennhinweis übermittelt. Da danach keine neuen Pakete mehr abgelegt werden, entfernt der Aufräumlauf das zuletzt hinterlegte Paket spätestens nach 30 Tagen, einzelne Widget-Einträge nach 7 Tagen. Familienkennung und Prüfwert bleiben danach noch ein Jahr erhalten (Abschnitt 4.3). Auf Wunsch löschen wir die zu einer Familienkennung gehörenden Pakete und den Prüfwert auch vorher, unverzüglich, spätestens innerhalb von 7 Tagen — dafür genügt eine Nachricht an info@appoxi.com mit der Familienkennung. Sie sehen sie nur bei bestehender Verbindung in den Einstellungen; notieren Sie sie deshalb vor dem Trennen. Das gilt auch, wenn Sie nur einen Code erzeugt haben und kein zweites Gerät beigetreten ist.

4.6 Rechtsgrundlage

Die Verarbeitung im Rahmen des Familien-Syncs beruht auf Ihrer ausdrücklichen Einwilligung nach Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO, die Sie erteilen, indem Sie einen Kopplungscode erzeugen oder eingeben. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie die Verbindung in den Einstellungen trennen. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt davon unberührt. Ohne diese Einwilligung ist die App uneingeschränkt nutzbar; lediglich der Abgleich zwischen mehreren Geräten entfällt.

Die kurzzeitige Verarbeitung der IP-Adresse und des daraus berechneten Tageswerts (Abschnitt 4.3) zur Begrenzung der Anfragen stützt sich auf unser berechtigtes Interesse an einem stabilen und missbrauchsfreien Betrieb, Art. 6 Abs. 1 lit. f DSGVO.

4.7 Wer die Daten Ihrer Familie einsehen kann

Jede Person, der Sie den Kopplungscode innerhalb des 60-Sekunden-Fensters übermitteln, kann ihr Gerät mit Ihrer Familie verbinden und sieht danach die geteilten Einträge. Geben Sie den Code deshalb nur an Personen weiter, die diese Daten sehen sollen. Unter „Einstellungen → Familie verbinden" sehen Sie nach einem Abgleich, wie viele Partner-Geräte zuletzt Einträge hinterlegt haben, und können die Verbindung dort trennen.

4a. Preisanzeige und Aktivierungscodes

Zwei Funktionen stellen — unabhängig vom Familien-Sync — eine Verbindung zu unserem Server her. Dabei werden keine Ihrer Einträge übertragen.

• Preisanzeige (nur Android). Starten Sie die App ohne aktiven Zugang, ruft sie die aktuellen Store-Preise für Ihr Land ab; solange die Kaufseite geöffnet ist, fragt sie den Preis alle paar Sekunden erneut ab. Übertragen werden dabei technisch bedingt Ihre IP-Adresse und der zweistellige Ländercode Ihres Google-Play-Kontos. Der Server antwortet mit den Preisen und speichert nichts außer dem üblichen Webserver-Protokoll (14 Tage). Unter iOS entfällt dies; dort liefert Apple über StoreKit die Preise (siehe Abschnitt 6).
• Aktivierungscodes (nur Android-App). Lösen Sie in der Android-App unter „Code einlösen" einen Code ein, wird dieser an unseren Server gesendet und geprüft. Solange der Code gilt, fragt die App etwa alle 24 Stunden erneut nach, ob er weiterhin gültig ist. Der Server führt je Code einen Einlösezähler (eine Zahl). Bei Codes, die nur begrenzt oft eingelöst werden können, erzeugt er bei der Einlösung (für früher eingelöste Codes bei der nächsten Nachfrage) außerdem eine zufällige Einlöse-Kennung und speichert sie beim Code; die App speichert sie zusammen mit dem Code auf Ihrem Gerät und schickt sie bei der Nachfrage als Nachweis der Einlösung mit. Zähler und Einlöse-Kennungen speichert der Server ohne Angaben zu Ihrer Person, Ihrem Gerät oder Ihrer IP-Adresse, solange der Code in unserer Codeliste steht. Ihre IP-Adresse landet im Webserver-Protokoll (14 Tage).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anzeige des Preises zur Vertragsanbahnung sowie Einlösen und Prüfen Ihres Codes) und für die technische Anfragebegrenzung Art. 6 Abs. 1 lit. f DSGVO.

4b. Problem melden

Über „Einstellungen → Hilfe → Problem melden“ können Sie uns eine Nachricht schicken. Mit dem Schalter „Technische Angaben anhängen“ (vorab an, abschaltbar) gehen zusätzlich App-Version, Betriebssystem und Gerätebezeichnung (aus der Kennung des Browserteils der App), Bildschirmgröße, Darstellungsart (etwa Duo- oder Tablet-Ansicht), Sprache und die letzten Fehlermeldungen der App mit, nach einem Absturz auch dessen Art und Zeitpunkt. Einträge, Name oder Geburtsdatum Ihres Kindes, Familien- oder Gerätekennungen und Kaufdaten werden nie übertragen. Fehlermeldungen speichert die App nur auf Ihrem Gerät (höchstens 20, nach 14 Tagen gelöscht) und überträgt sie nur mit einer Meldung, die Sie selbst abschicken. Nach einem Absturz fragt die App einmal, ob Sie uns Bescheid geben möchten; ohne Ihr Absenden wird nichts übertragen. Die Meldung geht verschlüsselt (TLS) an unseren eigenen Server, wird ohne IP-Adresse gespeichert, nur zur Fehlerbehebung verwendet und nach 90 Tagen gelöscht. Für die Begrenzung auf 10 Meldungen je Absender und Tag zählt der Server nur einen flüchtigen Tageswert (Abschnitt 4.3). Rechtsgrundlage ist Ihr Absenden der Meldung bzw. unser berechtigtes Interesse an einer fehlerfreien App (Art. 6 Abs. 1 lit. b und f DSGVO).

5. Hosting

Den Server für den Familien-Sync betreiben wir bei:

Der Server steht im Rechenzentrum Nürnberg, Deutschland. Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Diese Website (appoxi.com) liegt bei:

Die Website liegt auf einem Server von Hostinger in Deutschland und wird über das Auslieferungsnetz (CDN) von Hostinger an Ihren Browser übertragen. Mit Hostinger besteht eine Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO.

Rechtsgrundlage für den Einsatz beider Anbieter ist unser berechtigtes Interesse an einem sicheren und leistungsfähigen Betrieb unseres Angebots, Art. 6 Abs. 1 lit. f DSGVO.

6. Käufe und Zahlungen

Kostenpflichtige Funktionen erwerben Sie ausschließlich über den App Store von Apple beziehungsweise über Google Play. Der Kaufvertrag kommt mit dem jeweiligen Store-Betreiber zustande.

• Wir erhalten keine Zahlungsdaten. Kreditkartennummern, Kontoverbindungen, Ihre Apple-ID oder Ihr Google-Konto erreichen uns zu keinem Zeitpunkt.
• Die Prüfung, ob ein Kauf vorliegt, erfolgt über die Schnittstelle des jeweiligen Betriebssystems auf Ihrem Gerät. Das Ergebnis wird lokal gespeichert.
• Apple und Google verarbeiten die Kaufabwicklung als eigene Verantwortliche. Es gelten deren Datenschutzhinweise: Apple – apple.com/legal/privacy, Google – policies.google.com/privacy.

Von den Store-Betreibern erhalten wir lediglich zusammengefasste Verkaufsauswertungen ohne Bezug zu einzelnen Personen.

7. Sicherungen in Ihrer eigenen Cloud

Sie können Ihre Daten sichern. Alle Wege liegen vollständig in Ihrer Hand:

• Export als Datei: Die App erzeugt eine JSON-Datei. Unter iOS öffnet sich das Teilen-Menü, und Sie entscheiden, wohin die Datei geht; unter Android legt die App sie im Ordner „Download" ab.
• Sicherung in iCloud (iOS): Die Sicherung wird in Ihrem persönlichen iCloud-Bereich (Ordner „yuna") abgelegt. Verantwortlich für die Speicherung ist Apple, es gelten die Bedingungen Ihres iCloud-Vertrags.
• Sicherung in Google Drive oder im Gerätespeicher (Android): Über „In Google Drive sichern" öffnet sich die Android-Speicherauswahl (Storage Access Framework); Sie wählen Google Drive oder einen Ort im Gerätespeicher. Wählen Sie zusätzlich die automatische Sicherung, merkt sich die App den gewählten Ablageort mit dauerhaftem Schreibrecht und schreibt künftig ohne erneute Nachfrage genau dorthin.
• Automatische Sicherung (iOS und Android): Auf Ihren Wunsch (Nachfrage beim ersten Sichern) legt die App die Sicherung nach jeder Änderung und beim Verlassen der App von selbst an — nach iCloud (iOS) beziehungsweise an den von Ihnen gewählten Ort (Android). Diese Einstellung ist standardmäßig aus, gilt je Gerät und lässt sich jederzeit wieder abschalten.
• Android-Systemsicherung (Google-Konto): Zusätzlich sichert Android App-Daten im Rahmen der Systemfunktion „Automatische Sicherung" in Ihrem Google-Konto. Diese Sicherungen sind gemäß Angaben von Google mit Ihrer Gerätesperre verschlüsselt. Verantwortlich ist Google; Sie können die Funktion in den Systemeinstellungen Ihres Geräts abschalten.
• iOS-Gerätesicherung (iCloud/Computer): Apple sichert App-Daten im Rahmen der Gerätesicherung; verantwortlich ist Apple, abschaltbar in den Systemeinstellungen.
• Direktübertragung auf ein neues Gerät (Android): Richten Sie ein neues Gerät ein und übertragen dabei Ihre Apps, gibt Android die Daten von yuna unmittelbar an das neue Gerät weiter. Auch dies ist eine Systemfunktion; wir sind daran nicht beteiligt.

Export- und Sicherungsdateien sind nicht verschlüsselt; das Familien-Geheimnis ist darin nicht enthalten. Die Drive-Datei und die iCloud-Datei liegen in Ihrem eigenen Konto. Wir haben auf keine dieser Sicherungen Zugriff.

8. Mitteilungen und Erinnerungen

Die App kann Sie an anstehende Schlafenszeiten sowie an Stillen, Fläschchen, Beikost, Wickeln, Termine und Ihre eigenen Einträge erinnern. Diese Mitteilungen werden ausschließlich lokal auf Ihrem Gerät geplant und ausgelöst. Für die Erinnerungen wird kein Push-Dienst genutzt. Nur bei eingeschaltetem Familien-Sync meldet die App zusätzlich eine Push-Adresse an unseren Server, damit die Widgets der verbundenen Geräte per stiller Nachricht ohne Inhalt aktualisiert werden (Abschnitt 4.3a). Mitteilungen können Aktionsknöpfe (etwa „Ja, eintragen" oder „In 15 Min") enthalten; tippen Sie darauf, erzeugt die App den entsprechenden Eintrag auf dem Gerät. Bei eingeschaltetem Familien-Sync wird er wie jeder Eintrag Ende-zu-Ende verschlüsselt an die verbundenen Geräte übertragen. Die Berechtigung für Mitteilungen können Sie jederzeit in den Systemeinstellungen widerrufen.

8a. Bewertungsabfrage

Gelegentlich bittet die App über den offiziellen Dialog von Apple (StoreKit) bzw. Google Play (In-App Review) um eine Bewertung, höchstens dreimal und frühestens nach einer Woche Nutzung. Ob und wie Sie bewerten, erfahren wir nicht; die Bewertung wickeln Apple bzw. Google in eigener Verantwortung ab. Damit nicht zu früh oder zu oft gefragt wird, speichert die App nur auf Ihrem Gerät, wann sie zuerst gestartet wurde, wie oft und an wie vielen Tagen sie genutzt wurde und wann zuletzt gefragt wurde. Diese Angaben werden nicht übertragen.

8b. App-Aktualisierungen

Wenn eine neue Version verfügbar ist, weist die App Sie darauf hin; Sie entscheiden selbst, ob Sie aktualisieren. Unter Android nutzt die App dafür die In-App-Update-Funktion von Google Play: Google Play prüft, ob eine neuere Version vorliegt, und zeigt gegebenenfalls einen eigenen Hinweis an; die Verarbeitung erfolgt durch Google gemäß der Google-Datenschutzerklärung. Unter iOS fragt die App unseren Server nach der aktuellen Versionsnummer im App Store; unser Server ruft diese Angabe bei Apple ab, ohne Daten über Sie weiterzugeben, und speichert dabei nichts über Sie (Ihre IP-Adresse dient wie bei jeder Anfrage nur kurz der Anfragebegrenzung, siehe Abschnitt 14). Damit der Hinweis nicht zu oft erscheint, speichert die App nur auf Ihrem Gerät, zu welcher Version und wann sie zuletzt darauf hingewiesen hat. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren, aktuellen App).

9. Berechtigungen der App

Die Kamerafreigabe wird erst beim ersten Antippen des Scan-Symbols erfragt. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. b DSGVO (von Ihnen angeforderte Kopplungsfunktion).

Nicht angefordert werden insbesondere: Standort, Kontakte, Mikrofon, Fotos, Kalender, Telefonstatus sowie eine allgemeine Speicherberechtigung für fremde Ordner. Zugriff auf die eine von Ihnen selbst gewählte Sicherungsdatei erhält die App, wenn Sie die automatische Sicherung einschalten (siehe Abschnitt 7). Er bleibt bestehen, bis Sie „Alle Daten löschen“ wählen oder die App deinstallieren; nach dem Abschalten der automatischen Sicherung nutzt die App ihn nicht mehr.

10. Die Website

Beim Aufruf der Website appoxi.com/yuna verarbeitet der Webserver technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, übertragene Datenmenge, Statuscode, verweisende Seite sowie Angaben zu Browser und Betriebssystem. Diese Verarbeitung ist zur Auslieferung der Seite und zur Abwehr von Angriffen erforderlich; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Protokolle werden täglich gewechselt und nach 14 Tagen gelöscht.

Die Website setzt keine Cookies zu Analyse- oder Werbezwecken ein und bindet keine Dienste Dritter wie Schriftarten-, Karten- oder Videodienste von externen Servern ein. Alle Ressourcen werden vom eigenen Server ausgeliefert. Ein Einwilligungsbanner ist deshalb nicht erforderlich.

Wenn Sie uns per E-Mail schreiben, verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage auf Grundlage von Art. 6 Abs. 1 lit. b beziehungsweise lit. f DSGVO. Wir löschen die Korrespondenz, sobald sie nicht mehr benötigt wird und keine gesetzlichen Aufbewahrungspflichten entgegenstehen; handelsrechtlich relevante Nachrichten bewahren wir entsprechend den gesetzlichen Fristen von sechs beziehungsweise zehn Jahren auf.

11. Daten Ihres Kindes und weiterer Personen

Die App wird von Erwachsenen geführt. Die Einträge betreffen jedoch überwiegend Ihr Kind, das selbst eine betroffene Person im Sinne der DSGVO ist. Für die Eingabe dieser Daten sind Sie als sorgeberechtigte Person verantwortlich. Bitte stellen Sie sicher, dass Sie zur Eingabe berechtigt sind, wenn Sie Daten eines Kindes erfassen, für das Sie nicht allein sorgeberechtigt sind, oder wenn Sie die App beruflich in der Kinderbetreuung einsetzen.

Die App richtet sich nicht an Kinder und ist nicht für die Nutzung durch Kinder bestimmt. Sie ist Personen ab 18 Jahren vorbehalten.

12. Übersicht der Rechtsgrundlagen

13. Empfänger und Übermittlung in Drittländer

Empfänger sind ausschließlich:

• Hetzner Online GmbH als Auftragsverarbeiter für den Server des Familien-Syncs (Deutschland).
• Hostinger International Ltd. als Auftragsverarbeiter für das Hosting dieser Website (Server in Deutschland).
• Apple (Apple Push Notification service) und Google (Firebase Cloud Messaging, Google Ireland Limited) für die Zustellung der stillen Push-Nachrichten des Familien-Syncs (Abschnitt 4.3a). Übermittelt werden nur Geräte-Token und Zustellangaben, keine Einträge.
• Apple und Google im Rahmen der von Ihnen ausgelösten Käufe sowie der von Ihnen gewählten Systemsicherungen, jeweils als eigene Verantwortliche.

Eine Übermittlung Ihrer Einträge in Drittländer findet durch uns nicht statt; unsere Server stehen in Deutschland. Soweit Apple oder Google Daten in Länder außerhalb der EU übermitteln, geschieht dies in deren eigener Verantwortung und auf deren Rechtsgrundlagen, insbesondere Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO beziehungsweise dem EU-US Data Privacy Framework.

Eine Weitergabe zu Werbezwecken, ein Verkauf von Daten oder eine Weitergabe an Datenhändler findet nicht statt und ist ausgeschlossen.

14. Speicherdauer im Überblick

15. Ihre Rechte

Sie haben uns gegenüber folgende Rechte:

• Auskunft über die zu Ihrer Person verarbeiteten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Bitte beachten Sie: Da wir Ihre Einträge nicht entschlüsseln können und Ihnen keine Kennung zuordnen, ist eine inhaltliche Auskunft zu diesen Daten technisch nicht möglich. Diese Auskunft erhalten Sie unmittelbar in der App über die Exportfunktion, die Ihnen sämtliche gespeicherten Angaben in maschinenlesbarer Form ausgibt. Für Löschungen auf dem Server genügt uns die Familienkennung; weitere Angaben zu Ihrer Person benötigen wir nicht und wünschen wir auch nicht.

Ihnen steht zudem ein Beschwerderecht bei einer Aufsichtsbehörde zu, Art. 77 DSGVO. Für uns zuständig ist:

16. Automatisierte Entscheidungen und Prognosen

yuna berechnet aus Ihren bisherigen Einträgen Vorschläge für die nächsten Schlafenszeiten. Diese Berechnung findet ausschließlich auf Ihrem Gerät statt. Es werden dabei keine Daten an uns übermittelt und keine Profile bei uns gebildet. Die zuletzt angezeigten Vorschläge und eine kurze Statistik zu ihrer Treffergenauigkeit („typische Abweichung") speichert die App als kleine Verlaufsliste (jeweils höchstens 30 Einträge) nur lokal auf dem Gerät (und damit auch in Ihren eigenen Sicherungen, Abschnitt 7). Bei eingeschaltetem Familien-Sync kann Ihnen die auf einem Partnergerät berechnete Prognose angezeigt werden, etwa wenn dort eine neuere App-Version läuft.

Eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt, findet nicht statt. Die Vorschläge sind unverbindliche Hinweise; welche Schlüsse Sie daraus ziehen, entscheiden allein Sie. Zur Aussagekraft und zu den Grenzen dieser Vorschläge siehe die Gesundheits- und Sicherheitshinweise.

17. Sicherheit

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO, insbesondere:

• Ende-zu-Ende-Verschlüsselung der Sync-Inhalte mit AES-GCM und Schlüsselableitung über PBKDF2
• durchgehende Transportverschlüsselung (TLS) mit Zertifikaten von Let's Encrypt; unverschlüsselte Aufrufe werden zwingend auf die verschlüsselte Verbindung umgeleitet
• Begrenzung der Paketgröße auf 5 MB und der Anfragen auf 120 je Minute und Absender sowie neuer Familien auf 20 und Problem-Meldungen auf 10 je Absender und Tag; für die Tagesgrenzen zählt der Server nicht die IP-Adresse, sondern einen HMAC-Wert mit täglich neuem Schlüssel
• der Sync-Dienst ist nicht unmittelbar aus dem Internet erreichbar, sondern ausschließlich über den vorgelagerten Webserver
• Verzicht auf Benutzerkonten und damit auf einen zentralen Angriffspunkt
• Verzicht auf Analyse-, Werbe- und Absturzberichtsdienste Dritter: eingebunden sind neben den Systembibliotheken nur Googles Bibliotheken für Käufe (Play Billing), den Bewertungsdialog (Play In-App Review), den Update-Hinweis (Play In-App Update) und die stillen Push-Nachrichten des Familien-Syncs (Firebase Cloud Messaging, ohne Firebase Analytics), AndroidX sowie zwei lokal laufende QR-Code-Bibliotheken für den Kopplungscode

Ein hundertprozentiger Schutz von Datenübertragungen im Internet ist technisch nicht erreichbar. Wir arbeiten deshalb nach dem Grundsatz, so wenig Daten wie möglich überhaupt entstehen zu lassen.

18. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich die App, die Rechtslage oder die Verarbeitung ändert. Es gilt jeweils die auf appoxi.com/yuna veröffentlichte Fassung. Bei wesentlichen Änderungen, die Ihre Rechte betreffen, weisen wir Sie zusätzlich in der App darauf hin.