Stand: Angabe folgt (Datum der Veröffentlichung)

Datenschutzerklärung FamilienPilot (Beta)

Geschrieben für Eltern, nicht für Juristen. Wo ein Gesetz genannt wird, steht es in Klammern — damit ihr nachschlagen könnt.

1. Wer ist verantwortlich?

Verantwortlich für die Verarbeitung eurer Daten bin ich:
Angabe folgt (Vorname Nachname), Angabe folgt (Anschrift), E-Mail: hallo@familienpilot.de.
Einen Datenschutzbeauftragten habe ich nicht benannt; das ist erst ab 20 ständig mit Datenverarbeitung beschäftigten Personen Pflicht (§ 38 Abs. 1 S. 1 BDSG).

2. Kurz gesagt

• FamilienPilot läuft auf einem eigenen Server bei Angabe folgt (Hoster) in Angabe folgt (Land/Ort). Dort liegen euer Konto, Kalender, Aufgaben, Brief-Fotos und Auswertungen — verschlüsselt gespeichert.
• Brief-Fotos, die ihr auswerten lasst, werden an ein KI-Modell der Firma Anthropic geschickt. Diese Verarbeitung findet in den USA statt. Wir sagen deshalb ausdrücklich nicht „alles bleibt in der EU". Details in Abschnitt 5.
• Erinnerungs-E-Mails versenden wir über den Dienst Resend (USA). Wenn ihr Briefe per E-Mail weiterleitet, läuft auch dieser Empfang über Resend. Details in Abschnitt 6.
• Wir nutzen keine Werbung, kein Tracking, keine Analyse-Dienste, keine Schriften oder Skripte von fremden Servern. Es gibt genau ein technisch notwendiges Cookie für die Anmeldung.
• Ihr könnt jederzeit ein vollständiges Datenpaket herunterladen und euer Konto selbst löschen (Abschnitt 10).

3. Konto, Anmeldung, Familie

Was: E-Mail-Adresse, Passwort (nur als Argon2-Hash gespeichert — wir kennen euer Passwort nicht), optional ein Zwei-Faktor-Geheimnis (verschlüsselt), Anzeigename, Rolle im Haushalt, Zeitpunkt und Gerät eurer Anmeldung.

Wozu: damit nur ihr in euren Haushalt kommt.

Rechtsgrundlage: Erfüllung des Nutzungsvertrags über die Beta (Art. 6 Abs. 1 lit. b DSGVO).

Speicherdauer: bis zur Löschung eures Kontos. Eine Anmeldesitzung endet nach spätestens 14 Tagen (technische Vorgabe, 336 Stunden), Anmelde-Herausforderungen nach 5 Minuten.

Cookie: Das Sitzungs-Cookie ist zwingend nötig, damit die App euch erkennt; dafür braucht es keine Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG).

4. Kalender, Aufgaben, Termine, Wanddisplay

Was: alles, was ihr selbst eintragt — Termine, Aufgaben, Zuständigkeiten („Ich übernehme das"), Personen-Zuordnungen, optional ein Wetter-Ort.

Wozu: die Familienzentrale — das ist der Zweck der App.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Wanddisplay: Ein Display (z. B. Tablet in der Küche) wird mit einem Kopplungscode angemeldet und bekommt eine eigene, nur lesende Sitzung — kein Erwachsenen-Konto bleibt an der Wand eingeloggt. Das Display sieht eine reduzierte Ansicht ohne private Inhalte und ohne Brief-Details. Ihr könnt jedes Display in den Einstellungen einzeln abmelden; ein abgemeldetes Gerät sieht sofort nichts mehr.

Wetter: Wenn ihr einen Ort eintragt, fragt unser Server (nicht euer Gerät) das Wetter bei Open-Meteo ab. Dabei gehen nur Ortsname bzw. Koordinaten hinaus — kein Haushalt, kein Gerät, kein Name. Open-Meteo protokolliert dabei die IP-Adresse unseres Servers (nicht eure) und löscht diese Protokolle nach 90 Tagen (Anbieterangabe). Wetter-Anbieter: Open-Meteo, Angabe folgt (Anschrift/Rechtsform).

5. Brief-Fotos und KI-Auswertung — der wichtigste Abschnitt

Was passiert: Ihr fotografiert einen Brief (Behörde, Schule/Kita, Verein) oder ladet ein Bild hoch. Das Bild wird verkleinert und an ein KI-Modell geschickt, das erkennt, um welche Art Schreiben es sich handelt, und Termine, Beträge und Fristen ausliest. Die App zeigt euch jeden Wert mit der markierten Stelle im Original; nichts wird zum Termin oder zur Frist, bevor ihr es bestätigt habt.

Wer die KI betreibt: Anthropic Ireland, Limited (Irland) als unser Vertragspartner für den Europäischen Wirtschaftsraum. Die Verarbeitung und Speicherung erfolgt nach Anbieterangabe in den USA. Grundlage der Übermittlung: Auftragsverarbeitungsvertrag (Data Processing Addendum) mit EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Was Anthropic mit den Daten tut — und was nicht (Anbieterangaben):

• Bilder werden nur für die Dauer der Anfrage verarbeitet und danach automatisch gelöscht („Image uploads are ephemeral").
• Text-Ein- und Ausgaben werden innerhalb von 30 Tagen gelöscht. Ausnahme: Bei Verdacht auf Verstoß gegen die Nutzungsrichtlinien kann Anthropic Ein-/Ausgaben bis zu 2 Jahre und Prüf-Ergebnisse bis zu 7 Jahre aufbewahren. Wir nennen das, weil unser Löschversprechen sonst nicht ehrlich wäre.
• Kein Training von KI-Modellen mit euren Inhalten.

Modelle: ein kleines Modell für die Einordnung (claude-haiku-4-5) und ein Bild-Modell für das Auslesen. Die KI hat keinen Internetzugang und kann nichts ausführen — sie liefert nur ein festes Datenformat zurück.

Rechtsgrundlage: Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO) — die Auswertung ist die Kernfunktion, und ihr stoßt jede Auswertung selbst an.

Gesundheitsdaten: FamilienPilot wertet keine Schreiben aus, in denen es um die Gesundheit einer bestimmten Person geht (Diagnosen, Therapien, Kostenübernahmen, Arztbriefe) — unabhängig davon, wer der Absender ist. Ehrlich gesagt heißt das: Das Bild geht einmal an das KI-Modell, das erkennt „hier geht es um Gesundheit", und dann endet die Verarbeitung sofort; es wird kein Wert gespeichert, keine Frist angelegt, und ihr seht auf der Karte, warum nichts ausgewertet wurde. Die Erkennung ist nicht fehlerfrei. Bitte ladet keine Gesundheitsunterlagen hoch.

Daten anderer Personen in euren Briefen: Ein Elternbrief nennt Lehrkräfte, andere Eltern, Kinder; ein Bescheid nennt Sachbearbeiter. Diese Personen wissen nicht, dass ihr den Brief bei uns ablegt. Wir verarbeiten diese Angaben nur, um euer Dokument zu ordnen, teilen sie mit niemandem und informieren die Betroffenen über diese Erklärung, weil eine Einzelbenachrichtigung nicht möglich ist.

Speicherdauer bei uns: Original-Foto, ausgelesene Werte und die Beweiskette (wer hat wann was bestätigt oder geändert) bleiben in eurem Familienarchiv, bis ihr das Dokument oder das Konto löscht. Die Beweiskette gehört zum Dokument; sie wird mit ihm gelöscht.

6. E-Mails: Erinnerungen und Brief-Weiterleitung

Versand: Erinnerungen (z. B. „Frist in 7 Tagen") schicken wir als reine Text-E-Mail über Resend (Anbieter: Plus Five Five, Inc., San Francisco, USA). Wir setzen keine Lesebestätigung und kein Zählpixel; Öffnungs- und Klick-Meldungen des Anbieters werden verworfen. Gespeichert wird bei uns nur, ob der Anbieter die Mail angenommen hat oder sie zurückkam (Bounce).

Empfang: Jeder Haushalt kann eine eigene Weiterleitungsadresse (fp-…@eingang.Angabe folgt (Domain)) erzeugen. Nur Mails von der Anmelde-Adresse eines erwachsenen Mitglieds und mit gültiger Absender-Prüfung (DMARC) werden angenommen; nur Bild-Anhänge werden zu Briefen, der Mail-Text und HTML werden nicht gespeichert. Alles andere wird verworfen. Wichtig: Eine weitergeleitete Mail samt Anhang läuft vollständig durch die Server von Resend in den USA, bevor unser Server das Bild abholt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Übermittlung in die USA: Auftragsverarbeitungsvertrag mit EU-Standardvertragsklauseln; Resend beruft sich zusätzlich auf das EU-US Data Privacy Framework.

Abbestell-Links: Links in Erinnerungsmails enthalten einen Zufallsschlüssel, der 14 bzw. 30 Tage gültig ist und in unseren Zugriffsprotokollen nicht gespeichert wird.

7. Mitteilungen aufs Handy (Web-Push)

Nur wenn ihr es im Browser ausdrücklich erlaubt. Die Nachricht wird auf unserem Server mit der Standard-Verschlüsselung des Web-Push-Verfahrens verschlüsselt und über den Push-Dienst des Browser-Herstellers eures Geräts (je nach Gerät Google, Apple oder Mozilla) zugestellt; der Dienst sieht den Inhalt nicht. Eine erloschene Anmeldung wird sofort gelöscht. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), jederzeit im Browser widerrufbar.

8. Kinder

Kinder nutzen FamilienPilot nur, wenn ein Elternteil sie im Haushalt anlegt. Wir speichern über ein Kind höchstens: Vorname/Anzeigename, optional das Geburtsjahr (kein Geburtsdatum), seine Termine, Aufgaben, Sterne und Packlisten, sowie — wenn ihr ihm einen eigenen Zugang gebt — eine vierstellige PIN (nur als Argon2-Hash) und die Kopplung seines Geräts.

Eigener Zugang: Ein Kind bekommt entweder (a) ein gekoppeltes Handy — Eltern zeigen einen 6-stelligen Code, der 10 Minuten gilt; das Kind wählt eine PIN; das Gerät bleibt 90 Tage angemeldet und muss dann neu gekoppelt werden — oder (b) eine E-Mail-Einladung für ältere Kinder. Kinder sehen nur den Kinderbereich: keine Briefe, keine Beträge, kein KI-Chat, keine Käufe. Eltern sehen alles, was das Kind sieht, und können PIN und Gerät jederzeit zurücksetzen.

Rechtsgrundlage: Nutzungsvertrag der Eltern (Art. 6 Abs. 1 lit. b DSGVO); die Eltern handeln für ihr Kind.

9. Wer sonst noch Daten sieht — Auftragsverarbeiter und Empfänger

Wir verkaufen keine Daten, schalten keine Werbung und geben nichts an Dritte weiter, außer an die oben Genannten oder wenn ein Gesetz uns dazu verpflichtet.

10. Wie lange wir speichern — und wie ihr löscht

Datenpaket: Unter Einstellungen → Konto könnt ihr ein vollständiges Datenpaket (ZIP) erzeugen und 72 Stunden lang herunterladen.

Konto löschen: Ebenfalls unter Einstellungen → Konto, mit Passwort-Bestätigung. Die App sagt euch vorher, was passiert: Seid ihr die letzte erwachsene Person, wird der ganze Haushalt samt aller Dateien gelöscht. Verlässt ihr einen Haushalt mit weiteren Erwachsenen, werden eure privaten Dokumente gelöscht; gemeinsame Familieneinträge bleiben, an ihnen steht dann „ehemaliges Mitglied". Die Löschung wirkt sofort; in Sicherungskopien können Daten bis zu deren Ablauf verbleiben.

11. Eure Rechte

Ihr habt das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Basis berechtigter Interessen (Art. 21 DSGVO). Eine erteilte Einwilligung (Push, ggf. KI-Auswertung) könnt ihr jederzeit widerrufen; die Rechtmäßigkeit bis zum Widerruf bleibt unberührt (Art. 7 Abs. 3). Schreibt an hallo@familienpilot.de. Ihr könnt euch bei einer Datenschutz-Aufsichtsbehörde beschweren, z. B. beim Landesbeauftragten für Datenschutz und Informationsfreiheit Baden-Württemberg, Heilbronner Straße 35, 70191 Stuttgart.

Eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt: Jeder ausgelesene Wert wird erst durch eure Bestätigung wirksam.

12. Sicherheit

Verschlüsselte Verbindung (HTTPS mit HSTS), Passwörter als Argon2-Hash, optionale Zwei-Faktor-Anmeldung, verschlüsselter Dateispeicher und verschlüsselte Backups, Mandantentrennung in der Datenbank, keine fremden Skripte oder Schriften im Browser.

13. Änderungen

Diese Erklärung ändert sich, wenn die App neue Funktionen bekommt. Wir informieren euch in der App und per E-Mail; die aktuelle Fassung steht immer unter Angabe folgt (URL).