Privacy Policy

Depending on how Kreis & Quer Family Planner is used, the following data in particular may be processed:

• Benutzername, E-Mail-Adresse und Profildaten, einschließlich eines freiwillig hinterlegten Avatars; bei einer Google-Anmeldung zusätzlich die von Google übermittelte eindeutige Konto-ID
• Passwords exclusively in the form of a secure password hash
• Budget-, Fixkosten-, Kalender-, Aufgaben-, Einkaufs-, Speiseplan-, Dokumenten-, Chat- und sonstige von dir eingegebene Familiendaten
• bei Nutzung des Familienchats: Nachrichtentexte, Fotos, Videos und freiwillig aufgenommene Sprachnachrichten sowie Absender, Familienzuordnung, Zeit- und Dateiinformationen. Das Mikrofon wird nach Gerätefreigabe für eine vom Nutzer gestartete Aufnahme verwendet.
• bei freiwilliger Nutzung des zunächst ausgeschalteten Babymoduls: Schlafzeiten, Mahlzeiten, Trinkmengen, Stilldauer, Windeln, Gewicht, Größe, Zahnentwicklung und Notizen mit Kinderprofil, Familie, Zeitangaben und eintragender Person; diese Angaben können Gesundheitsdaten enthalten
• when using the family media library: voluntarily uploaded photos and videos, file name, file type, file size, capture or upload time, album assignment, visibility and favorite status, as well as technically generated preview images
• Technical server data such as IP address, access time, and technical log files
• When using the iOS or Android app: app login tokens, push subscription identifiers, and technical device identifiers where required for sign-in, security, or push notifications
• When the weather feature is enabled: location coordinates where you grant location access
• When importing a calendar: event data you expressly select, such as title, description, date, and time

Account, household, calendar, and budget data is processed to provide the Kreis & Quer Family Planner features you use and for authentication and account security.

Where the GDPR applies, processing required to provide the service is based on Art. 6(1)(b) GDPR. Technically necessary log and security data is processed on the basis of Art. 6(1)(f) GDPR; the legitimate interest is the secure and reliable operation of the service.

Location access and push notifications are used only after permission has been granted by you or in the device settings and, where required, are based on your consent under Art. 6(1)(a) GDPR.

Wenn du Kreis & Quer Familienplaner mit einem Partner oder weiteren Familienmitgliedern verknüpfst, können die dafür vorgesehenen gemeinsamen Inhalte – zum Beispiel Kalender-, Budget-, Aufgaben-, Einkaufs-, Speiseplan- oder Chatdaten – für die jeweils verknüpften Konten sichtbar und bearbeitbar sein. Eine darüber hinausgehende Freigabe findet nicht automatisch statt.

To display local weather information, Kreis & Quer Family Planner may request the approximate or precise location of your iOS or Android device. Permission is managed through the device system settings. Without location access, local weather cannot be determined automatically.

When the current location is used, latitude and longitude are transmitted to Open-Meteo to retrieve weather data. Kreis & Quer Family Planner uses the coordinates for this request and, under the current implementation, does not permanently store them in the user account.

To display and verify address suggestions, the Android app uses the geocoding service available on the device. Depending on the device manufacturer and installed system services, the search query may be processed by the respective map or system provider. Only the shared home address you verify and save is transmitted to the Kreis & Quer server and synchronized with authorized adults and children; grandparents and relatives do not receive it.

The optional Family Locations feature can recognize personal places in the background on an explicitly configured iPhone. Personal places, coordinates, detection radii, and time windows remain local to that iPhone. The shared home address set by an adult is transmitted encrypted to the Kreis & Quer server and synchronized with authorized adults and children. Only the derived status—such as Home, At work, or On the way—together with the user assignment and update time is additionally transmitted, allowing linked family accounts to see the status and receive agreed arrival notifications.

Location sharing is optional and can be withdrawn at any time in the iOS or Android system settings. On an explicitly configured Android device, the app may recognize the shared home address in the background. No continuous location map or movement history is transmitted to the Kreis & Quer server; only the derived family status with user assignment and update time is sent. The feature supports optional family organization and is not an emergency, surveillance, or security service.

Provider: OpenMeteo GmbH, Switzerland. Further information: Open-Meteo privacy and terms information.

Kreis & Quer Familienplaner kann auf Wunsch Push-Benachrichtigungen senden, zum Beispiel zu Terminen, Aufgaben, neuen Familiennachrichten oder Änderungen innerhalb gemeinsam genutzter Funktionen. Push-Mitteilungen sind freiwillig und können jederzeit in den Browser- bzw. Geräteeinstellungen deaktiviert werden.

OneSignal is currently used for web/PWA push notifications. OneSignal may process technically required push subscription identifiers, device and browser information, IP addresses, and information about sent notifications.

For native iOS push notifications, OneSignal is used together with Apple Push Notification service (APNs). The app receives a device-specific push subscription identifier, which is transmitted to the Kreis & Quer server and associated with the user account so notifications reach the correct device. Notification content is processed through OneSignal and APNs for delivery.

For native Android push notifications, OneSignal is used with Firebase Cloud Messaging (FCM), a Google service. OneSignal and Google process a device-specific push subscription identifier and the technical device and message data required for delivery. The subscription identifier is associated with the Kreis & Quer user account.

Push notifications should not contain confidential financial, account, or other particularly sensitive content. Notifications are limited to the information required for the alert.

Information about OneSignal: OneSignal Privacy Policy. Information about Apple: Apple Privacy Policy. Information about Google/Firebase: Privacy and security in Firebase.

In der Web-Version kannst du dich freiwillig mit deinem Google-Konto anmelden. Dafür wird Google Identity Services der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, eingebunden. Beim Aufruf der Anmeldeseite kann dein Browser hierzu eine Verbindung zu Google herstellen.

Nach deiner Auswahl eines Google-Kontos erhält Kreis & Quer Familienplaner ein von Google signiertes Anmelde-Token. Daraus werden die eindeutige Google-Konto-ID, die bestätigte E-Mail-Adresse und – soweit im Google-Konto vorhanden – Vor- und Nachname verarbeitet. Das Google-Passwort wird nicht an Kreis & Quer Familienplaner übermittelt. Die Google-Konto-ID wird gespeichert, um spätere Anmeldungen sicher deinem Benutzerkonto zuzuordnen. Besteht bereits ein verifiziertes Konto mit derselben E-Mail-Adresse, wird die Google-Anmeldung mit diesem Konto verknüpft.

Die Verarbeitung dient der von dir gewählten Anmeldung und Kontosicherheit auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Weitere Informationen findest du in der Datenschutzerklärung von Google.

The iOS app may store an app login token in the iOS Keychain so you can remain signed in. The Kreis & Quer Family Planner server stores only a cryptographic hash for verification, not the plain-text token. App tokens can be revoked on the server.

When Face ID is enabled, biometric verification is performed by iOS and the device Secure Enclave. Kreis & Quer Family Planner receives no facial data or other raw biometric data, only whether authentication succeeded.

The Android app stores the app login token encrypted with a device key managed by Android Keystore. Permissions such as location, calendar, and notifications can be changed or withdrawn at any time in Android settings.

Bei der Anmeldung eines Fernseh- oder Großbildgeräts per QR-Code verarbeiten wir eine zufällige, kurzlebige Verbindungskennung, einen Bestätigungscode sowie Gerätekennung und Gerätename. Die Anfrage verfällt nach wenigen Minuten. Erst nach ausdrücklicher Bestätigung auf einem bereits angemeldeten Gerät oder im Browser wird für das Fernsehgerät ein eigenes widerrufbares App-Anmeldetoken ausgestellt. Passwörter und bestehende Anmeldetoken sind nicht im QR-Code enthalten.

When importing an Android calendar, the app reads upcoming events after permission is granted. Only events you select are transmitted to the Kreis & Quer server and synchronized according to the selected visibility. Unselected events remain on the device. Write access to the device calendar is not requested.

In the optional family media library, authorized family members can store photos and videos in shared albums. Media may contain personal content. Users decide which content they upload and must ensure before uploading that they have the necessary rights and consent of the people shown or recorded.

Original files and technically generated preview images are processed separately from the application database in non-public object storage provided by Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Germany, at a configured European storage location. Hetzner acts as a technical data processor. In particular, album, file, permission, size, and assignment information is stored in the application database.

The storage is not configured as a public photo album. Access requires sign-in and verification of family membership, the role assigned to the album, or an explicitly accepted album share. Albums can be shared with other registered users using a time-limited, single-use invitation code. The album owner decides whether invited users may only view content or may also upload their own media, and can revoke access at any time. For uploading and viewing, the Kreis & Quer server creates time-limited signed addresses. Anyone who obtains such an address during its short validity period can technically access the relevant file, so it should not be shared.

Albums can additionally be protected with a numeric album code. The server stores the code only as a cryptographic verification hash. After successful verification, a short-lived unlock token is issued. If Face ID, Touch ID, or the device passcode is used for subsequent unlocking, verification is performed exclusively by iOS; raw biometric data is not transmitted to Kreis & Quer or Hetzner.

With “Only me” visibility, an album is initially visible only to the user account that created it; other members of the same family do not gain access merely through their family role. However, the creator may specifically share the album with other registered users and revoke that access at any time.

Der reguläre Speicherumfang beträgt derzeit 5 GB je Familie und kann im Einzelfall durch den Betreiber angepasst werden. Zur technischen Kontingentverwaltung können besonders berechtigte Administratoren ausschließlich Familienname, Mitgliederzahl, belegten Speicher und Speicherlimit einsehen. Diese Verwaltungsansicht eröffnet keinen Zugriff auf Alben, Datei- oder Bildnamen oder Medieninhalte; Änderungen des Speicherlimits werden protokolliert. Medien bleiben grundsätzlich gespeichert, bis sie von einer berechtigten Person endgültig entfernt werden, die betreffende Familie beziehungsweise das zugehörige Konto gelöscht wird oder eine andere angezeigte Speicherregel greift. Das Verschieben in den Papierkorb blendet ein Medium zunächst aus, stellt aber noch keine endgültige technische Löschung dar. Vorschaubilder können auf dem Gerät vorübergehend zwischengespeichert werden, um die Darstellung zu beschleunigen.

When installing or testing the iOS app through Apple services such as the App Store or TestFlight, Apple processes the necessary account, device, installation, and, where applicable, diagnostic information under its own privacy policy. This processing is outside the direct control of Kreis & Quer Family Planner.

When installing or testing the Android app through Google Play, Google processes the necessary account, device, installation, security, and, where applicable, diagnostic information under its own privacy policy. This processing is also outside the direct control of Kreis & Quer Family Planner.

The web version uses technically necessary session cookies for signed-in sessions. In addition, localStorage may be used to store local settings such as theme or color selection. The iOS app uses the iOS Keychain for persistent sign-in; on Android, the token is encrypted with a key from Android Keystore.

Personal data is stored only for as long as necessary for its purpose or as required by statutory retention obligations. Account data and user content are generally stored until the account or relevant content is deleted. App and push tokens are stored until expiry, replacement, revocation, or deletion of the associated account unless technically removed earlier.

The account can be permanently deleted in the iOS app, Android app, and web profile. Personal content is removed. Shared family content may remain available to remaining family members and be assigned to a remaining adult within the family.

For Family Locations, only the latest derived status and update time are stored on the server and replaced by a new report. On sign-out, the iOS app attempts to set the status to unavailable; account deletion removes the status assignment. Locally stored places and rules are removed from the iPhone on sign-out.

Im Familienchat verfallen Nachrichtentexte nach 90 Tagen, Medien einschließlich Fotos, Videos und Sprachnachrichten nach 30 Tagen. Abgelaufene Inhalte werden durch die serverseitige Bereinigung entfernt. Der gemeinsame Chat-Medienspeicher beträgt 1 GB je Familie; bei vollem Speicher werden neue Uploads abgewiesen, nicht automatisch die ältesten Inhalte gelöscht. Familienmitglieder können eigene Nachrichten vorher löschen. Neue Chat-Anhänge werden über dieselbe Hetzner-Object-Storage-Anbindung wie die Mediathek gespeichert. Texte, Zuordnungen und Berechtigungen liegen auf dem Anwendungsserver; ältere Anhänge können dort bis zur Löschung verbleiben. Gesendete Inhalte sind für berechtigte Mitglieder der jeweiligen Familie verfügbar. Die Übertragung ist transportverschlüsselt, nicht Ende-zu-Ende-verschlüsselt. Diese Regeln gelten plattformübergreifend.

Freundesgruppen haben getrennte Mitgliedschaften, Kalender und Chats. Nur freigeschaltete Mitglieder sehen Gruppeninhalte; Wartende haben keinen Zugriff darauf. Gruppenverwalter verwalten Mitglieder und können Gruppeninhalte löschen. Umfragestimmen sind innerhalb der Gruppe namentlich sichtbar. Auch im Gruppenchat gelten 90 Tage für Nachrichten, 30 Tage für Medien und 1 GB gemeinsamer Medienspeicher pro Gruppe. Gruppenmedien liegen im privaten Hetzner Object Storage; nach einer Berechtigungsprüfung werden kurzzeitig gültige Abruflinks ausgegeben. Es besteht keine Ende-zu-Ende-Verschlüsselung. Gruppentermine bleiben bis zur Löschung erhalten. Bei Kontolöschung bleiben gemeinsame Inhalte für verbleibende Gruppenmitglieder ohne Kontozuordnung erhalten; Gruppen ohne weitere freigeschaltete Mitglieder werden gelöscht. Der letzte Verwalter einer weiterhin genutzten Gruppe muss zuvor einen anderen Verwalter bestimmen. Gelöschte Medien sind nicht mehr abrufbar und werden durch die regelmäßige Serverbereinigung aus dem Objektspeicher entfernt.

Die Android-Karte lädt OpenStreetMap-Karten über osmdroid. Dabei erhält der Kartenanbieter die IP-Adresse und angeforderte Kartenausschnitte; Profilnamen werden nicht als Kartenparameter gesendet. Einzelheiten: OpenStreetMap-Datenschutz. Gespeicherte Orte samt Koordinaten werden zur Synchronisierung an unseren Server übertragen. Android-Systemdienste unterstützen Standortermittlung und Adresssuche.

Die Gruppenmediathek ist vom Gruppenchat getrennt. Dort hochgeladene Fotos und Videos stehen allen freigeschalteten Gruppenmitgliedern zur Verfügung; separate Einzelfreigaben gibt es nicht. Sie bleiben bis zur Löschung des Mediums oder der Gruppe erhalten und unterliegen nicht der 30-Tage-Aufbewahrung für Chatmedien. Bereitsteller und Gruppenverwalter können Medien löschen. Die Gruppenmediathek hat ein eigenes Speicherlimit von 10 GB je Gruppe; Videos dürfen dort bis zu 250 MB groß sein. Für Chatmedien stehen unabhängig davon 1 GB je Gruppe bereit. Nach Löschung werden keine neuen Abruflinks ausgegeben; bereits ausgestellte Links können bis zu fünf Minuten gültig bleiben. Die regelmäßige Serverbereinigung entfernt die Dateien aus dem Objektspeicher. Gruppentermine speichern die Zuordnung zum erstellenden Konto; der Ersteller wird Gruppenmitgliedern angezeigt.

Wetteranfragen der Android-App übertragen die verfügbaren Koordinaten ohne Rundung an Open-Meteo; bei genauer Standortfreigabe können diese genau sein. Open-Meteo kann IP-Adressen und geografische Koordinaten in Serverprotokollen bis zu 90 Tage speichern. Einzelheiten: Open-Meteo-Datenschutz. Standortberechtigungen können in den Geräteeinstellungen widerrufen werden.

Das Babymodul ist zunächst ausgeschaltet. Die freiwillig erfassten Protokolle werden auf dem Kreis-&-Quer-Server gespeichert und nur erwachsenen Mitgliedern der zugehörigen Familie bereitgestellt. Es erfolgen keine medizinische Auswertung und keine automatische Weitergabe an Ärzte. Arzt- und U-Termine werden zusätzlich als gemeinsame Kalendertermine angelegt und unterliegen dort den Kalenderfreigaben.

Das Abschalten des Moduls oder das Beenden des Baby-Modus löscht den Verlauf nicht. Einträge können bei aktivem Baby-Modus bearbeitet und gelöscht werden. Wird ein verknüpfter Termin im Babymodul gelöscht, wird auch der Kalendertermin entfernt. Die Babyprotokolle werden beim Löschen des Kinderprofils oder der Familie gelöscht. Beim Löschen eines einzelnen Erwachsenenkontos können gemeinsame Protokolle für verbleibende Familienmitglieder erhalten bleiben.

Where the legal requirements are met, you have rights including access, rectification, erasure, restriction of processing, and data portability. You may withdraw consent at any time with effect for the future.

To exercise your rights, contact webmaster@kreisundquer.de You also have the right to lodge a complaint with a competent data-protection supervisory authority.

This Privacy Policy will be updated if features, services used, or legal requirements change. The currently published version applies.