Datenschutzerklärung

Je nach Nutzung von Kreis & Quer Familienplaner können insbesondere folgende Daten verarbeitet werden:

• Benutzername, E-Mail-Adresse und Profildaten, einschließlich eines freiwillig hinterlegten Avatars; bei einer Google-Anmeldung zusätzlich die von Google übermittelte eindeutige Konto-ID
• Passwörter ausschließlich in Form eines sicheren Passwort-Hashes
• Budget-, Fixkosten-, Kalender-, Aufgaben-, Einkaufs-, Speiseplan-, Dokumenten-, Chat- und sonstige von dir eingegebene Familiendaten
• bei Nutzung des Familienchats: Nachrichtentexte, Fotos, Videos und freiwillig aufgenommene Sprachnachrichten sowie Absender, Familienzuordnung, Zeit- und Dateiinformationen. Das Mikrofon wird nach Gerätefreigabe für eine vom Nutzer gestartete Aufnahme verwendet.
• bei freiwilliger Nutzung des zunächst ausgeschalteten Babymoduls: Schlafzeiten, Mahlzeiten, Trinkmengen, Stilldauer, Windeln, Gewicht, Größe, Zahnentwicklung und Notizen mit Kinderprofil, Familie, Zeitangaben und eintragender Person; diese Angaben können Gesundheitsdaten enthalten
• bei Nutzung der Familienmediathek: freiwillig hochgeladene Fotos und Videos, Dateiname, Dateityp, Dateigröße, Aufnahme- oder Uploadzeitpunkt, Albumzuordnung, Sichtbarkeit und Favoritenstatus sowie technisch erzeugte Vorschaubilder
• technische Serverdaten wie IP-Adresse, Zeitpunkt des Zugriffs und technische Logdateien
• bei Nutzung der iOS- oder Android-App: App-Anmelde-Token, Push-Abonnementkennungen und technische Gerätekennungen, soweit sie für Anmeldung, Sicherheit oder Push-Mitteilungen erforderlich sind
• bei aktivierter Wetterfunktion: Standortkoordinaten, soweit du den Standortzugriff erlaubst
• bei einem Kalenderimport: die von dir ausdrücklich ausgewählten Termindaten wie Titel, Beschreibung, Datum und Uhrzeit

Die Verarbeitung von Konto-, Haushalts-, Kalender- und Budgetdaten erfolgt zur Bereitstellung der von dir genutzten Kreis & Quer Familienplaner-Funktionen sowie zur Authentifizierung und Kontosicherheit.

Soweit die DSGVO anwendbar ist, erfolgt die Verarbeitung zur Bereitstellung des Dienstes auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Technisch erforderliche Protokoll- und Sicherheitsdaten werden auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeitet; das berechtigte Interesse liegt im sicheren und störungsfreien Betrieb des Dienstes.

Standortzugriff und Push-Mitteilungen werden nur nach entsprechender Freigabe durch dich bzw. durch die Systemeinstellungen des Geräts verwendet und beruhen, soweit erforderlich, auf deiner Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.

Wenn du Kreis & Quer Familienplaner mit einem Partner oder weiteren Familienmitgliedern verknüpfst, können die dafür vorgesehenen gemeinsamen Inhalte – zum Beispiel Kalender-, Budget-, Aufgaben-, Einkaufs-, Speiseplan- oder Chatdaten – für die jeweils verknüpften Konten sichtbar und bearbeitbar sein. Eine darüber hinausgehende Freigabe findet nicht automatisch statt.

Für die Anzeige lokaler Wetterinformationen kann Kreis & Quer Familienplaner auf iOS und Android den ungefähren oder genauen Standort deines Geräts abfragen. Die Berechtigung wird über die Systemeinstellungen des jeweiligen Geräts verwaltet. Ohne Standortfreigabe kann das lokale Wetter nicht automatisch ermittelt werden.

Bei Verwendung des aktuellen Standorts werden die ermittelten Breiten- und Längengrade zur Abfrage der Wetterdaten an den Wetterdienst Open-Meteo übertragen. Die Standortkoordinaten werden durch Kreis & Quer Familienplaner für diese Wetterabfrage verwendet und nach der derzeitigen technischen Umsetzung nicht dauerhaft im Kreis & Quer Familienplaner-Benutzerkonto gespeichert.

Für die Anzeige und Prüfung von Adressvorschlägen verwendet die Android-App den auf dem Gerät verfügbaren Geocoding-Dienst. Abhängig vom Gerätehersteller und den installierten Systemdiensten kann die eingegebene Suchanfrage dabei durch den jeweiligen Karten- oder Systemanbieter verarbeitet werden. Erst die von dir geprüfte und gespeicherte gemeinsame Heimadresse wird an den Kreis-&-Quer-Server übertragen und mit den berechtigten Erwachsenen und Kindern der Familie synchronisiert; Großeltern- und Verwandtenkonten erhalten sie nicht.

Die freiwillige Funktion „Familien-Standorte“ kann auf einem ausdrücklich eingerichteten iPhone individuelle Orte auch im Hintergrund erkennen. Individuelle Orte, Koordinaten, Erkennungsradien und Zeitfenster bleiben lokal auf diesem iPhone. Die von einem Erwachsenen festgelegte gemeinsame Heimadresse wird dagegen verschlüsselt an den Kreis-&-Quer-Server übertragen und mit den berechtigten Erwachsenen und Kindern der Familie synchronisiert. Zusätzlich wird nur der abgeleitete Status – zum Beispiel „Zu Hause“, „Auf Arbeit“ oder „Unterwegs“ – zusammen mit Benutzerzuordnung und Aktualisierungszeitpunkt übertragen. Dadurch kann der Status für verknüpfte Familienkonten angezeigt und eine vereinbarte Ankunftsmitteilung versendet werden.

Die Standortfreigabe ist freiwillig und kann pro Gerät in den iOS- oder Android-Systemeinstellungen jederzeit entzogen werden. Auf einem ausdrücklich eingerichteten Android-Gerät kann die App die gemeinsame Heimadresse auch im Hintergrund erkennen. Dabei wird keine fortlaufende Standortkarte oder Bewegungsverlauf an den Kreis-&-Quer-Server übertragen, sondern nur der daraus abgeleitete Familienstatus mit Benutzerzuordnung und Aktualisierungszeitpunkt. Die Funktion dient der freiwilligen Familienorganisation und ist kein Notfall-, Personenüberwachungs- oder Sicherheitsdienst.

Anbieter: OpenMeteo GmbH, Schweiz. Weitere Informationen: Datenschutz-/Nutzungsinformationen von Open-Meteo.

Kreis & Quer Familienplaner kann auf Wunsch Push-Benachrichtigungen senden, zum Beispiel zu Terminen, Aufgaben, neuen Familiennachrichten oder Änderungen innerhalb gemeinsam genutzter Funktionen. Push-Mitteilungen sind freiwillig und können jederzeit in den Browser- bzw. Geräteeinstellungen deaktiviert werden.

Für Web-/PWA-Push wird derzeit OneSignal eingesetzt. Dabei können technisch erforderliche Push-Abonnementkennungen, Geräte- und Browserinformationen, IP-Adressen sowie Informationen über versandte Benachrichtigungen durch OneSignal verarbeitet werden.

Für native iOS-Push-Mitteilungen wird OneSignal in Verbindung mit dem Apple Push Notification service (APNs) verwendet. Dabei erhält die App eine gerätebezogene Push-Abonnementkennung. Diese Kennung wird an den Kreis-&-Quer-Server übertragen und dem Benutzerkonto zugeordnet, damit Benachrichtigungen an das richtige Gerät zugestellt werden können. Der Inhalt der Push-Mitteilung wird zur Zustellung über OneSignal und APNs verarbeitet.

Für native Android-Push-Mitteilungen wird OneSignal in Verbindung mit Firebase Cloud Messaging (FCM), einem Dienst von Google, verwendet. Dabei werden eine gerätebezogene Push-Abonnementkennung sowie die zur Zustellung erforderlichen technischen Geräte- und Nachrichtendaten durch OneSignal und Google verarbeitet. Die Abonnementkennung wird dem Kreis-&-Quer-Benutzerkonto zugeordnet.

Push-Nachrichten sollen keine vertraulichen Finanz-, Konto- oder sonstigen besonders schutzbedürftigen Inhalte enthalten. Stattdessen werden Benachrichtigungen auf die für den Hinweis erforderlichen Informationen beschränkt.

Informationen zu OneSignal: OneSignal Privacy Policy. Informationen zu Apple: Apple Datenschutzrichtlinie. Informationen zu Google/Firebase: Datenschutz und Sicherheit in Firebase.

In der Web-Version kannst du dich freiwillig mit deinem Google-Konto anmelden. Dafür wird Google Identity Services der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, eingebunden. Beim Aufruf der Anmeldeseite kann dein Browser hierzu eine Verbindung zu Google herstellen.

Nach deiner Auswahl eines Google-Kontos erhält Kreis & Quer Familienplaner ein von Google signiertes Anmelde-Token. Daraus werden die eindeutige Google-Konto-ID, die bestätigte E-Mail-Adresse und – soweit im Google-Konto vorhanden – Vor- und Nachname verarbeitet. Das Google-Passwort wird nicht an Kreis & Quer Familienplaner übermittelt. Die Google-Konto-ID wird gespeichert, um spätere Anmeldungen sicher deinem Benutzerkonto zuzuordnen. Besteht bereits ein verifiziertes Konto mit derselben E-Mail-Adresse, wird die Google-Anmeldung mit diesem Konto verknüpft.

Die Verarbeitung dient der von dir gewählten Anmeldung und Kontosicherheit auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Weitere Informationen findest du in der Datenschutzerklärung von Google.

Die iOS-App kann ein App-Anmelde-Token im iOS-Schlüsselbund (Keychain) speichern, damit du angemeldet bleiben kannst. Auf dem Kreis & Quer Familienplaner-Server wird nicht das Klartext-Token, sondern nur ein kryptografischer Hash zur Prüfung gespeichert. App-Tokens können serverseitig widerrufen werden.

Sofern Face ID später aktiviert wird, erfolgt die biometrische Prüfung durch iOS bzw. die Secure-Enclave-Funktionen des Geräts. Kreis & Quer Familienplaner erhält keinen Zugriff auf Gesichtsdaten oder andere biometrische Rohdaten, sondern lediglich die Information, ob die Authentifizierung erfolgreich war.

Die Android-App speichert das App-Anmelde-Token verschlüsselt mit einem im Android Keystore verwalteten Geräteschlüssel. Berechtigungen wie Standort, Kalender und Mitteilungen können jederzeit in den Android-Systemeinstellungen geändert oder entzogen werden.

Bei der Anmeldung eines Fernseh- oder Großbildgeräts per QR-Code verarbeiten wir eine zufällige, kurzlebige Verbindungskennung, einen Bestätigungscode sowie Gerätekennung und Gerätename. Die Anfrage verfällt nach wenigen Minuten. Erst nach ausdrücklicher Bestätigung auf einem bereits angemeldeten Gerät oder im Browser wird für das Fernsehgerät ein eigenes widerrufbares App-Anmeldetoken ausgestellt. Passwörter und bestehende Anmeldetoken sind nicht im QR-Code enthalten.

Beim Android-Kalenderimport liest die App nach deiner Freigabe kommende Termine aus dem Gerätekalender. Es werden nur die von dir ausgewählten Termine an den Kreis-&-Quer-Server übertragen und anschließend entsprechend der gewählten Sichtbarkeit synchronisiert. Nicht ausgewählte Termine verbleiben auf dem Gerät. Ein Schreibzugriff auf den Gerätekalender wird nicht angefordert.

In der optionalen Familienmediathek können berechtigte Familienmitglieder Fotos und Videos in gemeinsamen Alben speichern. Die Medien können personenbezogene Inhalte zeigen. Welche Inhalte hochgeladen werden, entscheiden die Nutzer selbst. Vor einem Upload ist daher sicherzustellen, dass erforderliche Rechte und Einwilligungen der abgebildeten oder aufgenommenen Personen vorliegen.

Originaldateien und technisch erzeugte Vorschaubilder werden getrennt von der Anwendungsdatenbank in einem nicht öffentlich zugänglichen Object Storage der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, an einem konfigurierten europäischen Speicherstandort verarbeitet. Hetzner wird als technischer Auftragsverarbeiter eingesetzt. In der Anwendungsdatenbank werden insbesondere Album-, Datei-, Berechtigungs-, Größen- und Zuordnungsinformationen gespeichert.

Der Speicher ist nicht als öffentliches Fotoalbum eingerichtet. Der Zugriff erfolgt nur nach Anmeldung und Prüfung der Familienzugehörigkeit, der für das Album festgelegten Rolle oder einer ausdrücklich angenommenen Albumfreigabe. Alben können über einen zeitlich begrenzten, einmal verwendbaren Einladungscode mit anderen registrierten Nutzern geteilt werden. Der Albumeigentümer legt fest, ob eingeladene Personen Inhalte nur ansehen oder zusätzlich eigene Medien hochladen dürfen, und kann den Zugriff jederzeit widerrufen. Für Upload und Anzeige erzeugt der Kreis-&-Quer-Server zeitlich begrenzte, signierte Adressen. Wer eine solche Adresse während ihrer kurzen Gültigkeitsdauer erhält, kann technisch auf die betreffende Datei zugreifen; sie soll deshalb nicht weitergegeben werden.

Alben können zusätzlich mit einem numerischen Albumcode geschützt werden. Der Code wird serverseitig nur als kryptografische Prüfsumme gespeichert. Nach erfolgreicher Prüfung wird ein kurzzeitig gültiger Entsperrschlüssel ausgegeben. Wird Face ID, Touch ID oder der Gerätecode zum erneuten Entsperren verwendet, erfolgt diese Prüfung ausschließlich durch iOS; biometrische Rohdaten werden weder an Kreis & Quer noch an Hetzner übermittelt.

Mit der Sichtbarkeit „Nur ich“ ist ein Album zunächst ausschließlich für das Benutzerkonto sichtbar, das es erstellt hat; auch andere Mitglieder derselben Familie erhalten allein durch ihre Familienrolle keinen Zugriff. Der Ersteller kann das Album jedoch gezielt mit anderen registrierten Nutzern teilen und diese Freigabe jederzeit widerrufen.

Der reguläre Speicherumfang beträgt derzeit 5 GB je Familie und kann im Einzelfall durch den Betreiber angepasst werden. Zur technischen Kontingentverwaltung können besonders berechtigte Administratoren ausschließlich Familienname, Mitgliederzahl, belegten Speicher und Speicherlimit einsehen. Diese Verwaltungsansicht eröffnet keinen Zugriff auf Alben, Datei- oder Bildnamen oder Medieninhalte; Änderungen des Speicherlimits werden protokolliert. Medien bleiben grundsätzlich gespeichert, bis sie von einer berechtigten Person endgültig entfernt werden, die betreffende Familie beziehungsweise das zugehörige Konto gelöscht wird oder eine andere angezeigte Speicherregel greift. Das Verschieben in den Papierkorb blendet ein Medium zunächst aus, stellt aber noch keine endgültige technische Löschung dar. Vorschaubilder können auf dem Gerät vorübergehend zwischengespeichert werden, um die Darstellung zu beschleunigen.

Bei Installation oder Test der iOS-App über Apple-Dienste wie App Store oder TestFlight verarbeitet Apple die hierfür erforderlichen Konto-, Geräte-, Installations- und gegebenenfalls Diagnoseinformationen nach den eigenen Datenschutzbestimmungen von Apple. Diese Verarbeitung liegt außerhalb der unmittelbaren Kontrolle von Kreis & Quer Familienplaner.

Bei Installation oder Test der Android-App über Google Play verarbeitet Google die hierfür erforderlichen Konto-, Geräte-, Installations-, Sicherheits- und gegebenenfalls Diagnoseinformationen nach den eigenen Datenschutzbestimmungen. Diese Verarbeitung liegt ebenfalls außerhalb der unmittelbaren Kontrolle von Kreis & Quer Familienplaner.

Die Web-Version verwendet technisch erforderliche Session-Cookies, um angemeldete Sitzungen bereitzustellen. Zusätzlich kann localStorage verwendet werden, um lokale Einstellungen wie Theme- oder Farbauswahl zu speichern. In der iOS-App wird für die dauerhafte App-Anmeldung der iOS-Keychain verwendet; unter Android wird das Token verschlüsselt mit einem Schlüssel aus dem Android Keystore gespeichert.

Personenbezogene Daten werden nur so lange gespeichert, wie dies für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Kontodaten und vom Benutzer gespeicherte Inhalte werden grundsätzlich bis zur Löschung des Kontos bzw. der betreffenden Inhalte gespeichert. App- und Push-Tokens werden bis zu ihrem Ablauf, ihrer Ersetzung, ihrem Widerruf oder bis zur Löschung des zugehörigen Kontos gespeichert, soweit sie nicht bereits vorher technisch entfernt werden.

Das eigene Konto kann in der iOS-App, der Android-App und im Web-Profil dauerhaft gelöscht werden. Persönliche Inhalte werden dabei entfernt. Gemeinsam genutzte Familieninhalte können zur weiteren Nutzung durch verbleibende Familienmitglieder erhalten und innerhalb der Familie einem verbleibenden Erwachsenen zugeordnet werden.

Beim Familien-Standort wird serverseitig nur der jeweils letzte abgeleitete Status mit Aktualisierungszeitpunkt gespeichert und bei einer neuen Meldung ersetzt. Beim Abmelden versucht die iOS-App, den Status auf „nicht verfügbar“ zu setzen; bei einer Kontolöschung wird die Statuszuordnung gelöscht. Lokal gespeicherte Orte und Regeln werden beim Abmelden von diesem iPhone entfernt.

Im Familienchat verfallen Nachrichtentexte nach 90 Tagen, Medien einschließlich Fotos, Videos und Sprachnachrichten nach 30 Tagen. Abgelaufene Inhalte werden durch die serverseitige Bereinigung entfernt. Der gemeinsame Chat-Medienspeicher beträgt 1 GB je Familie; bei vollem Speicher werden neue Uploads abgewiesen, nicht automatisch die ältesten Inhalte gelöscht. Familienmitglieder können eigene Nachrichten vorher löschen. Neue Chat-Anhänge werden über dieselbe Hetzner-Object-Storage-Anbindung wie die Mediathek gespeichert. Texte, Zuordnungen und Berechtigungen liegen auf dem Anwendungsserver; ältere Anhänge können dort bis zur Löschung verbleiben. Gesendete Inhalte sind für berechtigte Mitglieder der jeweiligen Familie verfügbar. Die Übertragung ist transportverschlüsselt, nicht Ende-zu-Ende-verschlüsselt. Diese Regeln gelten plattformübergreifend.

Freundesgruppen haben getrennte Mitgliedschaften, Kalender und Chats. Nur freigeschaltete Mitglieder sehen Gruppeninhalte; Wartende haben keinen Zugriff darauf. Gruppenverwalter verwalten Mitglieder und können Gruppeninhalte löschen. Umfragestimmen sind innerhalb der Gruppe namentlich sichtbar. Auch im Gruppenchat gelten 90 Tage für Nachrichten, 30 Tage für Medien und 1 GB gemeinsamer Medienspeicher pro Gruppe. Gruppenmedien liegen im privaten Hetzner Object Storage; nach einer Berechtigungsprüfung werden kurzzeitig gültige Abruflinks ausgegeben. Es besteht keine Ende-zu-Ende-Verschlüsselung. Gruppentermine bleiben bis zur Löschung erhalten. Bei Kontolöschung bleiben gemeinsame Inhalte für verbleibende Gruppenmitglieder ohne Kontozuordnung erhalten; Gruppen ohne weitere freigeschaltete Mitglieder werden gelöscht. Der letzte Verwalter einer weiterhin genutzten Gruppe muss zuvor einen anderen Verwalter bestimmen. Gelöschte Medien sind nicht mehr abrufbar und werden durch die regelmäßige Serverbereinigung aus dem Objektspeicher entfernt.

Die Android-Karte lädt OpenStreetMap-Karten über osmdroid. Dabei erhält der Kartenanbieter die IP-Adresse und angeforderte Kartenausschnitte; Profilnamen werden nicht als Kartenparameter gesendet. Einzelheiten: OpenStreetMap-Datenschutz. Gespeicherte Orte samt Koordinaten werden zur Synchronisierung an unseren Server übertragen. Android-Systemdienste unterstützen Standortermittlung und Adresssuche.

Die Gruppenmediathek ist vom Gruppenchat getrennt. Dort hochgeladene Fotos und Videos stehen allen freigeschalteten Gruppenmitgliedern zur Verfügung; separate Einzelfreigaben gibt es nicht. Sie bleiben bis zur Löschung des Mediums oder der Gruppe erhalten und unterliegen nicht der 30-Tage-Aufbewahrung für Chatmedien. Bereitsteller und Gruppenverwalter können Medien löschen. Die Gruppenmediathek hat ein eigenes Speicherlimit von 10 GB je Gruppe; Videos dürfen dort bis zu 250 MB groß sein. Für Chatmedien stehen unabhängig davon 1 GB je Gruppe bereit. Nach Löschung werden keine neuen Abruflinks ausgegeben; bereits ausgestellte Links können bis zu fünf Minuten gültig bleiben. Die regelmäßige Serverbereinigung entfernt die Dateien aus dem Objektspeicher. Gruppentermine speichern die Zuordnung zum erstellenden Konto; der Ersteller wird Gruppenmitgliedern angezeigt.

Wetteranfragen der Android-App übertragen die verfügbaren Koordinaten ohne Rundung an Open-Meteo; bei genauer Standortfreigabe können diese genau sein. Open-Meteo kann IP-Adressen und geografische Koordinaten in Serverprotokollen bis zu 90 Tage speichern. Einzelheiten: Open-Meteo-Datenschutz. Standortberechtigungen können in den Geräteeinstellungen widerrufen werden.

Das Babymodul ist zunächst ausgeschaltet. Die freiwillig erfassten Protokolle werden auf dem Kreis-&-Quer-Server gespeichert und nur erwachsenen Mitgliedern der zugehörigen Familie bereitgestellt. Es erfolgen keine medizinische Auswertung und keine automatische Weitergabe an Ärzte. Arzt- und U-Termine werden zusätzlich als gemeinsame Kalendertermine angelegt und unterliegen dort den Kalenderfreigaben.

Das Abschalten des Moduls oder das Beenden des Baby-Modus löscht den Verlauf nicht. Einträge können bei aktivem Baby-Modus bearbeitet und gelöscht werden. Wird ein verknüpfter Termin im Babymodul gelöscht, wird auch der Kalendertermin entfernt. Die Babyprotokolle werden beim Löschen des Kinderprofils oder der Familie gelöscht. Beim Löschen eines einzelnen Erwachsenenkontos können gemeinsame Protokolle für verbleibende Familienmitglieder erhalten bleiben.

Soweit die gesetzlichen Voraussetzungen vorliegen, hast du insbesondere das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen.

Zur Ausübung deiner Rechte kannst du dich an webmaster@kreisundquer.de wenden. Außerdem besteht das Recht, sich bei einer zuständigen Datenschutzaufsichtsbehörde zu beschweren.

Diese Datenschutzerklärung wird angepasst, wenn sich Funktionen, eingesetzte Dienste oder rechtliche Anforderungen ändern. Maßgeblich ist die jeweils veröffentlichte Fassung.