Zum Inhalt
netzpate
AnmeldenKostenlos starten
Menü
Datenschutzerklärung

Datenschutz

Diese Datenschutzerklärung erklärt, welche personenbezogenen Daten wir verarbeiten, wenn du diese Website besuchst, den Dienst netzpate nutzt, auch über die netzpate-App, oder als Partner mit uns zusammenarbeitest, und welche Rechte du hast.

1. Verantwortlicher

JC Software GmbH
Oskar-Winter-Straße 9
30161 Hannover, Deutschland
E-Mail: [email protected]

Einen Datenschutzbeauftragten haben wir nicht benannt. Die Voraussetzungen des Art. 37 DSGVO und des § 38 BDSG liegen bei uns nicht vor.

2. Das Wichtigste in Kürze

  • Diese Website setzt keine Cookies. Zugriffe zählen wir mit der Software Umami auf unserem eigenen Server, ohne Cookies und ohne Weitergabe an Dritte.
  • Einzige Ausnahme ist unsere Anzeigenseite /beta: Dort lädt das Meta-Pixel, aber nur, wenn du zustimmst. Im Portal und in der netzpate-App läuft kein Code von Meta.
  • Schriften und alle anderen Ressourcen liefern wir von unseren eigenen Servern aus.
  • Portal und Datenbank laufen auf Servern der Hetzner Online GmbH in der EU.
  • Die DNS-Filterung erfolgt durch die Securepoint GmbH in Lüneburg im Auftrag von uns. Dort existieren nur Pseudonyme, keine Namen.
  • Das Frühwarnsystem für WhatsApp und Signal ist freiwillig und setzt deine Einwilligung voraus. Eine KI bewertet dabei die neuen Textnachrichten in den Chats deines Kindes, standardmäßig auf unseren eigenen Rechnern. Chatverläufe speichern wir nicht, sondern nur Warnhinweise (30 Tage) und die Namen der Chats (90 Tage). Hat dein Kind die auslösende Nachricht selbst geschrieben, gehört diese eine Zeile wörtlich zum Warnhinweis (Abschnitt 4).
  • Bezahlung und Rechnungen laufen über Stripe. Deine Karten- oder Kontodaten gibst du direkt bei Stripe ein; wir sehen und speichern sie nicht.
  • Die netzpate-App enthält keine Werbung, kein Tracking und keine Reichweitenmessung. Wie lange dein Kind welche App nutzt, bleibt auf seinem Handy. Mitteilungen stellen Apple und Google zu.
  • „Orte & Zeiten“ ist freiwillig und setzt deine Einwilligung voraus. Den Standort deines Kindes speichern wir nur im Moment eines Alarms, verschlüsselt, und löschen ihn nach 24 Stunden. Einen Abruf auf Knopfdruck und einen Verlauf gibt es nicht (Abschnitt 4).
  • In die USA können Daten über Cloudflare und Stripe gelangen, wenn du die netzpate-App mit Mitteilungen oder der Karte von „Orte & Zeiten“ nutzt, über Apple und Google, und nur wenn du auf der Anzeigenseite /beta einwilligst, über das Meta-Pixel an Meta (Abschnitt 7).

3. Besuch dieser Website

Hosting und Auslieferung

Diese Website wird auf Servern der Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, betrieben. Website, Portal und Datenbank laufen in Rechenzentren in Nürnberg und Falkenstein (Deutschland). Ein weiterer Server in Helsinki (Finnland, EU) steuert und überwacht unsere Server und leitet Chat-Nachrichten verschlüsselt an unsere eigenen Bewertungsrechner weiter (Abschnitt „Frühwarnsystem“); die Datenbank mit den Daten der Familien liegt dort nicht. Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Zur Absicherung gegen Angriffe und zur schnellen Auslieferung nutzen wir das Netzwerk von Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA. Cloudflare verarbeitet dabei technische Verbindungsdaten wie deine IP-Adresse. Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren und schnellen Auslieferung der Website (Art. 6 Abs. 1 lit. f DSGVO). Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten die Standardvertragsklauseln der EU-Kommission. Eine Kopie der Standardvertragsklauseln kannst du bei uns unter [email protected] anfordern.

Server-Logdateien

Unser Eingangsserver, der die Anfragen an Website und Portal verteilt, schreibt keine Zugriffsprotokolle. Der Webserver dieser Website schreibt bei jedem Aufruf eine Zeile in sein laufendes Protokoll: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Statuscode, übertragene Datenmenge, Verweisquelle und Browserkennung. Das Portal protokolliert Abläufe und Fehler nur mit internen Kennungen, ohne IP-Adresse, E-Mail-Adresse oder Inhalte. Wir sammeln und werten diese Protokolle nicht aus, sehen sie nur bei Störungen ein; sie werden nach Größe überschrieben und mit jeder neuen Version des Dienstes gelöscht. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Reichweitenmessung (Umami)

Um zu verstehen, wie viele Menschen diese Website und das Portal nutzen und wo sie hängen bleiben, setzen wir die Open-Source-Software Umami ein. Sie läuft auf unserem eigenen Server bei Hetzner in Nürnberg; Daten gehen an keinen Dritten. Umami setzt keine Cookies und speichert keine dauerhaften Kennungen. Deine IP-Adresse und die Kennung deines Browsers werden nur dazu genutzt, einen täglich wechselnden, nicht rückrechenbaren Hashwert zu bilden, und werden nicht gespeichert. Erfasst werden die aufgerufene Seite, die Verweisquelle, Gerätetyp, Browser, Sprache sowie Land, Region und Stadt (aus der IP-Adresse abgeleitet, die IP-Adresse selbst wird nicht gespeichert). Auf der Website zählen wir außerdem einzelne Ereignisse ohne Personenbezug: Klicks auf „Kostenlos starten“ mit der Stelle auf der Seite, Start und Ende des Erklärvideos, das Teilen des Videos mit dem genutzten Weg (Teilen-Menü, Link kopiert, WhatsApp) und ob ein Besuch über einen geteilten Link oder einen QR-Code kam. Inhalte von Nachrichten oder Empfänger beim Teilen erfahren wir nicht. Wenn dein Browser „Do Not Track“ sendet, zählen wir dich nicht. Rechtsgrundlage ist unser berechtigtes Interesse, Website und Portal zu verstehen und zu verbessern (Art. 6 Abs. 1 lit. f DSGVO). Eine automatische Löschung der erfassten Aufrufe ist derzeit nicht eingerichtet; sie bleiben gespeichert, bis wir sie löschen.

Meta-Pixel auf der Anzeigenseite /beta (nur mit Einwilligung)

Wir werben auf Facebook und Instagram. Die Anzeigen führen auf unsere Seite /beta. Nur auf dieser Seite und nur, wenn du im Hinweisfenster auf „Zustimmen“ tippst, laden wir das Meta-Pixel der Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, D04 X2K5, Irland („Meta“). Lehnst du ab, lädt die Seite keinen Code von Meta.

Mit deiner Zustimmung lädt dein Browser ein Script von Servern von Meta. Meta setzt dabei Cookies (etwa _fbp, nach einem Klick auf eine Anzeige auch _fbc) und erhält deine IP-Adresse, Angaben zu Browser und Gerät, die aufgerufene Seite, die Kennung des Klicks auf die Anzeige sowie die Information, ob du auf den Anmeldeknopf getippt hast. Meta kann diese Angaben mit deinem Facebook- oder Instagram-Konto verknüpfen. Wir nutzen sie, um zu messen, ob unsere Anzeigen Familien erreichen, und damit Meta die Anzeigen passenden Menschen zeigt. Wir selbst sehen nur zusammengefasste Zahlen, keine einzelnen Personen.

Für das Erheben und Übermitteln dieser Daten an Meta sind wir und Meta gemeinsam verantwortlich (Art. 26 DSGVO). Die Vereinbarung dazu findest du unter facebook.com/legal/controller_addendum. Für die weitere Verarbeitung ist Meta allein verantwortlich; mehr dazu in der Datenschutzrichtlinie von Meta: facebook.com/privacy/policy. Deine Rechte kannst du bei uns oder bei Meta geltend machen. Meta kann Daten auch an die Meta Platforms, Inc. in den USA übermitteln. Meta ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten die Standardvertragsklauseln der EU-Kommission.

Rechtsgrundlage ist deine Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen: über den Link „Cookie-Einstellungen“ unten auf der Seite /beta. Deine Wahl merken wir uns im Speicher deines Browsers (nicht in einem Cookie), damit wir dich nicht bei jedem Besuch erneut fragen. Daten aus deinem Konto im Portal geben wir nie an Meta weiter.

Kontaktaufnahme

Wenn du uns per E-Mail schreibst, verarbeiten wir deine Angaben zur Bearbeitung der Anfrage (Art. 6 Abs. 1 lit. b DSGVO, bei allgemeinen Anfragen lit. f). Die E-Mails löschen wir, sobald die Anfrage erledigt ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

4. Nutzung des Dienstes netzpate

Auch der Zugriff auf das Portal läuft über das in Abschnitt 3 beschriebene Netzwerk von Cloudflare, Inc. Die dortigen Angaben zu Cloudflare gelten entsprechend.

Konto eines Elternteils

Für die Nutzung des Portals unter https://app.netzpate.de legst du ein Konto an. Dabei verarbeiten wir deinen Namen, deine E-Mail-Adresse, ein Passwort (nur als Hash), optional Daten für die Zwei-Faktor-Anmeldung sowie Anmeldezeitpunkte. Die Anmeldung läuft über eine von uns selbst betriebene Zitadel-Instanz auf Hetzner-Servern in der EU. Rechtsgrundlage ist die Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO).

Lädst du weitere Elternteile in deine Familie ein, sehen alle Elternteile der Familie Namen und E-Mail-Adressen der anderen sowie alle Angaben zu Kindern, Geräten, gesperrten Anfragen und Warnhinweisen, und alle erhalten dieselben Benachrichtigungen.

Angaben zu Kindern und Geräten

Du als Elternteil erfasst den Vornamen oder Rufnamen deines Kindes, die Altersstufe, die Namen der Geräte und die Filterregeln. Diese Angaben speichern wir in unserer Datenbank auf Hetzner-Servern in der EU. Kinder legen kein eigenes Konto an und nutzen das Portal nicht selbst. Rechtsgrundlage ist die Erfüllung des Vertrags mit dir (Art. 6 Abs. 1 lit. b DSGVO) sowie, für die Daten deines Kindes, unser berechtigtes Interesse an der Erbringung des mit dir vereinbarten Schutzdienstes für dein Kind (Art. 6 Abs. 1 lit. f DSGVO). Auch insoweit dient die Verarbeitung ausschließlich der Erbringung der mit dir vereinbarten Leistung.

Schickt ein Gerät länger keine Anfragen mehr über den Filter (die Wartezeit stellst du im Portal ein), benachrichtigen wir alle Elternteile der Familie per E-Mail und, falls eingerichtet, per Mitteilung an die netzpate-App. Die E-Mail nennt Kind, Gerät und den Zeitpunkt, zu dem das Gerät zuletzt gesehen wurde; die Mitteilung enthält keine Namen. Schickt das Gerät wieder Anfragen, folgt eine Entwarnung per E-Mail.

DNS-Filterung durch Securepoint

Der eigentliche Filter läuft auf Securepoint Cloud Shield, einem Dienst der Securepoint GmbH, Bleckeder Landstraße 28, 21337 Lüneburg. Securepoint verarbeitet in unserem Auftrag (Art. 28 DSGVO) die DNS-Anfragen der eingerichteten Geräte: die angefragte Domain, den Zeitpunkt, die zugeordnete Kategorie und ob die Anfrage erlaubt oder gesperrt wurde.

Bei Securepoint existiert für jedes Gerät nur eine pseudonyme Kennung. Name des Kindes, Gerätename und deine Kontodaten werden nicht an Securepoint übermittelt. Die Anfrage-Statistik enthält keine IP-Adressen. Aus der Statistik zeigen wir dir im Portal den Schutzstatus jedes Geräts und die gesperrten Anfragen (angefragte Domain, Zeitpunkt, Kategorie). Rechtsgrundlage ist die Erfüllung des Vertrags mit dir (Art. 6 Abs. 1 lit. b DSGVO).

Hinweisseite bei gesperrten Seiten

Ruft ein eingerichtetes Gerät eine gesperrte Seite auf, leitet der Filter es auf unsere Hinweisseite um. Sie läuft auf unseren eigenen Servern bei Hetzner. Das Gerät deines Kindes verbindet sich dabei direkt, ohne Cloudflare, mit unserem Server und überträgt, was ein Browser bei jedem Seitenaufruf sendet: IP-Adresse, Browsertyp und den Namen der gesperrten Seite, bei unverschlüsselten Seiten (http) auch die vollständige aufgerufene Adresse. Unser Webserver protokolliert diese Aufrufe wie unter „Server-Logdateien“ in Abschnitt 3 beschrieben. Die Hinweisseite lädt außerdem das Zählscript von unserem Umami-Server, der wie die Website über Cloudflare erreichbar ist (Abschnitt 3); gezählt wird auf der Hinweisseite aber nichts. Rechtsgrundlage ist die Erfüllung des Vertrags mit dir (Art. 6 Abs. 1 lit. b DSGVO) sowie, für die Daten deines Kindes, unser berechtigtes Interesse an der Erbringung des mit dir vereinbarten Schutzdienstes (Art. 6 Abs. 1 lit. f DSGVO).

Frühwarnsystem: Warnhinweise aus WhatsApp und Signal

Das Frühwarnsystem soll dich auf mögliche Gefahren in den Chats deines Kindes aufmerksam machen: Mobbing, Annäherung durch Fremde (Grooming), Selbstverletzung und Drogen. Es gehört zu jedem Abo, zum kostenlosen Test und zur Beta; genutzt wird es nur, wenn ein Elternteil im Portal einwilligt und das WhatsApp- oder Signal-Konto des Kindes per QR-Code als weiteres Gerät verknüpft. Die Verknüpfung ist auf dem Handy des Kindes unter „Verknüpfte Geräte“ sichtbar und kann dort jederzeit entfernt werden.

Ab der Verknüpfung empfängt unser Dienst auf unseren Servern bei Hetzner die neuen Nachrichten in allen Chats des Kindes, die eigenen und die seiner Chatpartner, in Einzelchats wie in Gruppen. Chats, die du ausgeschlossen hast, werden nicht bewertet; ihr Name und der Zeitpunkt der letzten Nachricht werden weiter aktualisiert. Ältere Nachrichten, die beim Verknüpfen übertragen werden, verwerfen wir ohne Bewertung. Bewertet wird nur Text; Bilder, Videos, Sprachnachrichten und Dokumente selbst werden weder bewertet noch gespeichert. Eine Vorprüfung im Arbeitsspeicher sortiert offensichtlich Unauffälliges aus, etwa sehr kurze Nachrichten ohne Warnwort.

Die übrigen Nachrichten bewertet ein KI-Sprachmodell, zusammen mit bis zu 15 vorangehenden Zeilen aus demselben Chat als Zusammenhang. Namen und Rufnummern aus den Kontaktdaten der Beteiligten erhält das Modell nicht, sondern nur „Kind“ oder „Kontakt A, B …“. Telefonnummern und E-Mail-Adressen im Nachrichtentext machen wir vorher unkenntlich; Namen, die im Text selbst stehen, bleiben erhalten. Bis zur Bewertung liegt eine Nachricht samt Zusammenhang verschlüsselt in einer Warteschlange und wird danach gelöscht, spätestens nach etwa drei Stunden. Darüber hinaus halten wir die letzten Zeilen eines Chats nur im Arbeitsspeicher: Nach 30 Minuten nutzen wir sie nicht mehr, nach spätestens etwa 90 Minuten sind sie entfernt.

Das Sprachmodell läuft standardmäßig auf eigenen Rechnern der JC Software GmbH in Deutschland, die über eine verschlüsselte Verbindung an unsere Server angebunden sind (die Weiterleitung läuft über unseren Server in Helsinki, der die Nachrichten nur durchreicht und nicht speichert); kein Dienstleister erhält dann die Nachrichten. Fallen diese Rechner aus oder reichen sie nicht mehr, können wir auf einen KI-Dienst der Mittwald CM Service GmbH & Co. KG in deutschen Rechenzentren umstellen, der dann in unserem Auftrag tätig wird (Art. 28 DSGVO). Welcher Weg gerade gilt, steht im Portal vor der Verknüpfung und in der Hilfe.

Gespeichert werden nur:

  • Warnhinweise: Kategorie, Einschätzung des Risikos (mittel oder hoch), Zeitpunkt (auf die Minute gerundet), der betroffene Chat und eine kurze Begründung, die das Modell in eigenen Worten und ohne Zitat formulieren soll; ausschließen können wir ein Zitat darin nicht. Hat dein Kind die auslösende Nachricht selbst geschrieben, gehört diese eine Zeile im Wortlaut dazu (höchstens 280 Zeichen). Zeilen von Chatpartnern übernehmen wir nicht in den Warnhinweis. Dazu kommt deine Rückmeldung („Hilfreich“ oder „Unnötig“), falls du eine gibst. Gelöscht nach 30 Tagen.
  • Namen der Chats (Anzeigename der Person oder Name der Gruppe), damit du einzelne Chats ausschließen kannst; die Kennung des Chats nur als Prüfwert, nicht im Klartext. Gelöscht 90 Tage nach der letzten Nachricht im Chat, frühestens wenn kein Warnhinweis zu diesem Chat mehr besteht.
  • Zähler für schwache Hinweise je Chat, Kategorie und Tag, ohne Text. Gelöscht nach drei Tagen.
  • Zugang des verknüpften Geräts: die Schlüssel, die WhatsApp oder Signal dem verknüpften Gerät zuteilt, bei Signal außerdem die Rufnummer des Kontos deines Kindes und die Kontaktliste, die Signal an verknüpfte Geräte überträgt. Gelöscht, wenn die Verknüpfung aufgehoben wird.
  • Einwilligung: welches Elternteil wann eingewilligt hat. Gespeichert als Nachweis, solange das Kind in deinem Konto besteht.

Begründung, Zeile deines Kindes, Namen der Chats und Zugangsdaten speichern wir verschlüsselt. Chatverläufe, Bilder und Sprachnachrichten speichern wir nicht. Im Portal und in der netzpate-App sehen alle Elternteile der Familie die Warnhinweise mit Begründung und gegebenenfalls der Zeile deines Kindes. Bei jedem neuen oder verschärften Warnhinweis erhalten alle Elternteile eine E-Mail mit dem Namen des Kindes, dem Messenger, Kategorie, Einschätzung und Zeitpunkt, bei Selbstverletzung zusätzlich mit Anlaufstellen für Hilfe; Begründung, Zeile und Chat stehen nicht darin. Die Mitteilung an die netzpate-App enthält keine Namen. Wird eine Verknüpfung am Handy entfernt oder vom Messenger gesperrt, erhalten alle Elternteile ebenfalls eine E-Mail. Hebst du die Verknüpfung auf, nimmt unser Dienst ab sofort keine Nachrichten mehr an; bereits angenommene werden noch zu Ende bewertet, vorhandene Warnhinweise bleiben bis zum Ende ihrer 30 Tage sichtbar. Löschst du das Kind, löschen wir alle seine Daten aus dem Frühwarnsystem.

Betroffen sind dein Kind und die Menschen, mit denen es schreibt: Auch deren Nachrichten werden bewertet, und ihre Anzeigenamen stehen bei den Namen der Chats. Rechtsgrundlage für die Verarbeitung der Daten deines Kindes ist deine Einwilligung als sorgeberechtigtes Elternteil (Art. 6 Abs. 1 lit. a DSGVO) und, soweit ein Warnhinweis Rückschlüsse auf die Gesundheit zulässt, etwa bei Selbstverletzung, deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO). Für die Daten der Chatpartner stützen wir uns auf das berechtigte Interesse deiner Familie und unser berechtigtes Interesse am Schutz deines Kindes (Art. 6 Abs. 1 lit. f DSGVO). Deine Einwilligung kannst du jederzeit widerrufen, indem du die Verknüpfung aufhebst (Abschnitt 8).

E-Mails (Brevo)

E-Mails versenden wir über den Dienst Brevo (Brevo GmbH, Köpenicker Straße 126, 10179 Berlin) im Rahmen einer Auftragsverarbeitung nach Art. 28 DSGVO. Das betrifft E-Mails zur Registrierung, zur Anmeldung und zu sicherheitsrelevanten Ereignissen, Benachrichtigungen zu Geräten ohne Schutz, zur netzpate-App auf dem Kinderhandy und aus dem Frühwarnsystem, Mitteilungen zu Test, Abo, Zahlung, Kündigung und bevorstehender Löschung, Eingangsbestätigungen für Kündigungen, Gutschriften an Partner sowie dein Feedback an uns. Je nach Anlass enthalten sie den Namen deines Kindes, Gerätenamen, Kategorie und Einschätzung eines Warnhinweises, deine Kundennummer oder Beträge. Mails zu Test, Abo und Zahlung speichern wir mit der Empfängeradresse, damit keine doppelt rausgeht, und löschen sie 90 Tage nach dem Versand. Rechtsgrundlage ist die Erfüllung des Vertrags mit dir (Art. 6 Abs. 1 lit. b DSGVO). Werbe-E-Mails versenden wir nicht ohne deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Abo und Zahlung (Stripe)

Wenn du ein Abo abschließt, wickeln wir Zahlung, Rechnungen und die Verwaltung deiner Zahlungsart über Stripe ab (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland). Bezahlseite und Kundenportal (Zahlungsart ändern, Rechnungen abrufen) sind Seiten von Stripe, auf die wir dich weiterleiten.

Dabei verarbeitet Stripe: deine E-Mail-Adresse, deinen Namen und deine Rechnungsadresse, deine Zahlungsdaten (Kartendaten oder IBAN für das SEPA-Lastschriftmandat), gewählten Tarif, Rechnungen und Zahlungsstatus sowie technische Daten deines Geräts und Browsers, die Stripe zur Betrugsprävention erhebt. Von uns erhält Stripe zusätzlich interne Kennungen deiner Familie, deines Kontos und gegebenenfalls des vermittelnden Partners, Tarif und Zahlweise sowie einen verwendeten Gutscheincode. Deine Kartendaten und deine IBAN gibst du direkt bei Stripe ein; sie erreichen unsere Server nicht.

Für Abo und Buchhaltung speichern wir Tarif, Laufzeit, Zahlungsstatus, Rechnungsnummern und -beträge, einen verwendeten Gutscheincode und die Kennungen deines Kunden- und Abo-Datensatzes bei Stripe. Hast du einen Partnercode verwendet, speichern wir, über welchen Partner du gekommen bist, um dessen Provision abzurechnen; der Partner erfährt dabei nicht, wer du bist. Die Benachrichtigungen, die Stripe uns zu Zahlungsvorgängen schickt, bewahren wir 90 Tage vollständig auf; sie können deinen Namen, deine E-Mail-Adresse und deine Rechnungsadresse enthalten. Danach löschen wir den Inhalt. Es bleiben Kennung und Art der Benachrichtigung, die Kennung des betroffenen Stripe-Vorgangs (etwa Rechnung oder Abo), die Zeitpunkte von Erstellung, Eingang und Verarbeitung, die Zahl der Verarbeitungsversuche und gegebenenfalls eine technische Fehlermeldung; diese Angaben löschen wir derzeit nicht automatisch.

Rechtsgrundlage ist die Erfüllung des Vertrags mit dir (Art. 6 Abs. 1 lit. b DSGVO) und, für die Aufbewahrung der Rechnungen, unsere gesetzliche Pflicht nach Handels- und Steuerrecht (Art. 6 Abs. 1 lit. c DSGVO). Für die Betrugsprävention und die Erfüllung eigener gesetzlicher Pflichten, etwa zur Geldwäscheprävention, ist Stripe selbst verantwortlich. Stripe kann Daten auch an die Stripe, Inc. in den USA übermitteln. Stripe ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten die Standardvertragsklauseln der EU-Kommission. Mehr dazu in der Datenschutzerklärung von Stripe: stripe.com/de/privacy.

Kündigung und Widerruf ohne Anmeldung

Über die Seiten zum Kündigen und Widerrufen im Portal kannst du deinen Vertrag auch ohne Anmeldung kündigen oder widerrufen. Wir speichern dazu deine Angaben aus dem Formular (Name, E-Mail-Adresse, Adresse für die Eingangsbestätigung, Vertrag und gewünschter Zeitpunkt, optional Kundennummer und Grund) und schicken eine Eingangsbestätigung. Erledigte Erklärungen löschen wir 36 Monate nach Eingang. Rechtsgrundlage ist die Erfüllung des Vertrags mit dir und unsere gesetzliche Pflicht, Kündigung und Widerruf zu ermöglichen und nachzuweisen (Art. 6 Abs. 1 lit. b und c DSGVO).

Nutzungsstatistik im Portal

Im Portal erfassen wir mit Umami (siehe Abschnitt 3) nur den Typ der aufgerufenen Seite, zum Beispiel „Seite eines Kindes“, und technische Ereignisse wie „Gerät angelegt“ oder „Fehler 500“ — keine Namen, keine Kennungen, keine Eingaben und keine Bildschirmgröße. Auf den Einrichtungsseiten für Kindergeräte läuft kein Zählscript; dort zählen wir nur auf dem Server, ob der Einrichtungslink geöffnet, das Profil geladen und die Einrichtung bestätigt wurde, ohne IP-Adresse. Bei einem neuen Konto zählen wir außerdem, ob die Anmeldung auf unserer Anzeigenseite /beta begonnen hat. An Meta oder andere Dritte geht dabei nichts.

Feedback im Portal

Über den Knopf „Feedback“ im Portal kannst du uns eine Nachricht schicken. Sie erreicht uns als E-Mail und enthält deinen Text, die gewählte Stimmung, den Typ der Seite, von der du gekommen bist, die Kennung deines Browsers sowie Anzeigename und E-Mail-Adresse deines Kontos, damit wir antworten können. Rechtsgrundlage ist die Erfüllung des Vertrags mit dir (Art. 6 Abs. 1 lit. b DSGVO) sowie unser berechtigtes Interesse, das Portal zu verbessern (Art. 6 Abs. 1 lit. f DSGVO). Wir löschen die Nachricht, sobald dein Anliegen erledigt ist, spätestens nach zwölf Monaten.

Beta-Feedback

Während der Beta laden wir per E-Mail ein, unter www.netzpate.de/beta/feedback Fragen zu netzpate zu beantworten. Wir speichern deine Antworten mit dem Wortlaut der Fragen und dem Zeitpunkt, ohne Bezug zu deinem Konto und ohne IP-Adresse oder Browserangaben. Eine E-Mail-Adresse speichern wir nur, wenn du sie freiwillig für Rückfragen angibst. Zweck ist die Verbesserung von netzpate. Rechtsgrundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO), Fragen und Rückmeldungen zur Beta auszuwerten und bei Bedarf nachzufragen. Du kannst jederzeit per E-Mail an [email protected] widersprechen; dann löschen wir deine Einsendung, soweit wir sie über deine E-Mail-Adresse finden. Gegen automatisierte Einsendungen löst dein Browser eine kleine Rechenaufgabe (ALTCHA). Sie läuft nur in deinem Browser und auf unseren Servern, ohne Cookies und ohne Drittanbieter. Wir geben die Antworten nicht an Dritte weiter; zu unseren Auftragsverarbeitern siehe Abschnitt 7.

Meldung einer falsch eingeordneten Seite

Im Portal und in der App kannst du uns melden, dass der Filter eine Seite aus deiner Sicht falsch einordnet. Wir speichern dann die Adresse (Hauptdomain), deine freiwillige Notiz und den Zeitpunkt, ohne gespeicherten Bezug zu deinem Konto, deiner Familie oder deinem Kind. Wie bei jedem Aufruf des Portals stehen deine IP-Adresse, der aufgerufene Pfad und der Zeitpunkt für kurze Zeit in den Protokollen unseres Servers. Zweck ist, die Einordnung bei Securepoint korrigieren zu lassen und den Filter zu verbessern; bei Securepoint reichen wir nur die Adresse ein, nicht deine Notiz. Rechtsgrundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO), Fehleinordnungen des Filters zu erkennen und beheben zu lassen. Schreib bitte keine Namen oder andere Angaben zu Personen in die Notiz.

Die netzpate-App

Die netzpate-App für iPhone und Android lädst du über den App Store von Apple bzw. über Google Play herunter. Dabei verarbeiten Apple bzw. Google Daten wie dein Store-Konto und den Zeitpunkt des Downloads in eigener Verantwortung; darauf haben wir keinen Einfluss. Die App ist kostenlos, ein Abo schließt du nur im Portal ab. Dieselbe App läuft auf deinem Handy (Rolle „Eltern“) und auf dem Handy deines Kindes (Rolle „Kind“). Sie spricht dieselben Server an wie das Portal; die Angaben in Abschnitt 3 zu Hosting, Cloudflare und Server-Logdateien gelten entsprechend. Die App enthält keine Werbung, keine Werbe-ID, kein Tracking und keine Reichweitenmessung. Auf Kontakte, Fotos oder Mikrofon greift sie nicht zu. Den Standort nutzt sie nur auf dem Kinderhandy und nur, wenn du „Orte & Zeiten“ für dein Kind eingeschaltet hast (unten).

netzpate-App auf deinem Handy

In der App meldest du dich mit deinem netzpate-Konto an. Die Anmeldung läuft wie im Portal über unsere Zitadel-Instanz; die App öffnet dafür deren Anmeldeseite im Browserfenster deines Handys. Die Anmelde-Tokens, mit denen die App danach auf dein Konto zugreift, liegen nur auf deinem Handy: auf dem iPhone im Schlüsselbund, auf Android verschlüsselt mit einem Schlüssel aus dem Android-Keystore. Beim Abmelden löscht die App sie. Meldest du dich am iPhone deines Kindes an, um dort Apps für „Immer erlaubt“ auszuwählen, bleibt die Anmeldung nur im Arbeitsspeicher und endet, sobald du die Auswahl schließt. Die App zeigt und ändert dieselben Daten wie das Portal, etwa Kinder, Geräte, Regeln, gesperrte Anfragen und den Stand deines Abos; dafür gelten die Angaben oben. Rechtsgrundlage ist die Erfüllung des Vertrags mit dir (Art. 6 Abs. 1 lit. b DSGVO).

Erlaubst du Mitteilungen, meldet die App das Push-Token deines Handys bei uns an. Wir speichern dazu eine zufällige Kennung der App-Installation, die Plattform (Apple oder Google), das Push-Token, einen Gerätenamen, falls die App ihn mitschickt (etwa „iPhone von Ada“), sowie den Zeitpunkt der Anmeldung und der letzten Erneuerung, höchstens fünf Installationen je Elternteil. Damit benachrichtigen wir dich, wenn ein Gerät deines Kindes seinen Schutz verliert, ein neuer Warnhinweis vorliegt, dein Kind um mehr Zeit bittet oder die netzpate-App auf einem Kinderhandy abgeschaltet ist oder sich nicht meldet, und bei Alarmen von „Orte & Zeiten“. Die Mitteilungen enthalten keine Namen, keine Chat-Texte und keine aufgerufenen Adressen, nur die Art des Ereignisses, den Zeitpunkt und interne Kennungen, mit denen die App die passende Ansicht öffnet. Rechtsgrundlage ist die Erfüllung des Vertrags mit dir (Art. 6 Abs. 1 lit. b DSGVO).

netzpate-App auf dem Kinderhandy

Auf dem Handy deines Kindes setzt die App die Zeitregeln, Tageslimits und Ausnahmen durch, die du festlegst, und hilft beim Einrichten des Inhaltsfilters. Du verbindest das Handy, indem die App den QR-Code aus dem Portal oder aus deiner App scannt. Dein Kind legt dafür kein Konto an und gibt keine Inhalte ein; es kann nur um mehr Zeit bitten. Bei der Kopplung erhält das Handy ein Gerätegeheimnis, das nur auf dem Handy liegt; wir speichern davon nur einen Hashwert. Zu dem verbundenen Handy verarbeiten wir:

  • Meldungen der App: Plattform, Gerätemodell, Betriebssystem- und App-Version, ob die nötigen Berechtigungen erteilt sind, die Schutzstufe („stark“ oder „Basis“), welche Version deiner Regeln das Handy anwendet, den Zeitpunkt der Kopplung und den Zeitpunkt des letzten Kontakts (jede Anfrage des Handys gilt als Lebenszeichen). Damit zeigen wir dir, ob deine Regeln auf dem Handy wirken.
  • Push-Token des Kinderhandys, damit neue Regeln und deine Antwort auf eine Zeit-Anfrage sofort ankommen. Mitteilungen an das Kinderhandy enthalten weder eine Kennung noch den Namen deines Kindes.
  • App-Alarm: Fehlt der App eine Berechtigung oder meldet sie sich zu lange nicht, obwohl der Inhaltsfilter aktiv ist, schreiben wir allen Elternteilen der Familie eine E-Mail, die dein Kind und das Gerät nennt, und schicken eine Mitteilung ohne Namen an die netzpate-App der Eltern. Meldet sich die App wieder, folgt eine Entwarnung per E-Mail. Den Zeitpunkt des Alarms speichern wir, damit er nicht mehrfach ausgelöst wird.
  • Zeit-Anfragen („Mehr Zeit“): Zeitpunkt, Stand (offen, erlaubt, abgelehnt, abgelaufen), welches Elternteil wann geantwortet hat, die gewährten Minuten und bis wann die Zeit gilt. Eine Anfrage enthält keinen Freitext. Alle Elternteile, die die App mit Mitteilungen nutzen, werden benachrichtigt und sehen, wer geantwortet hat.
  • Liste der Apps, nur mit aktivem Abo und aktiven App-Regeln: Ein Android-Handy meldet die Apps mit Startsymbol, jeweils mit Paketnamen und App-Namen. Ein iPhone meldet die Apps aus der auf dem Handy gespeicherten App-Auswahl als Kennungen von Apple (ApplicationTokens), aus denen wir weder den Namen noch die Bundle-ID der App lesen können; mit Namen zeigt sie erst die netzpate-App auf deinem Handy an. Die Liste dient allein dazu, dass du Apps für „Immer erlaubt“ auswählen kannst. Jede Meldung ersetzt die vorige Liste des Handys.
  • „Immer erlaubt“: die Apps, die du von Sperren und Tageslimits ausnimmst, mit Anzeigename und Android-Paketname bzw. Apple-Kennung; eine Apple-Kennung auch ohne Namen. Einträge, die du am iPhone deines Kindes auswählst, gelten nur für dieses Handy.

Diese Daten speichern wir in unserer Datenbank auf Hetzner-Servern in der EU; zur Zustellung der Mitteilungen siehe unten. Rechtsgrundlage ist die Erfüllung des Vertrags mit dir (Art. 6 Abs. 1 lit. b DSGVO) sowie, für die Daten deines Kindes, unser berechtigtes Interesse an der Erbringung des mit dir vereinbarten Schutzdienstes für dein Kind (Art. 6 Abs. 1 lit. f DSGVO).

Orte & Zeiten (Standort-Alarm)

Mit „Orte & Zeiten“ legst du für ein Kind Orte fest, jeweils mit Name, Anschrift, Mittelpunkt, Radius und den Tagen und Uhrzeiten, zu denen dein Kind dort sein soll, und je Ort das Gerät deines Kindes, das ihn prüft. Stellt dieses Gerät fest, dass dein Kind in diesen Zeiten alle geltenden Orte verlassen hat oder zu Beginn einer Zeit nicht dort ist, benachrichtigen wir alle Elternteile der Familie. Antwortet das Gerät nicht oder ist sein Standort unklar, gibt es keinen Alarm; du siehst dann nur den Stand der letzten Prüfung. Nach dem Anlegen oder Ändern eines Orts prüfen wir die Ankunft dort erst ab dem nächsten Tag. Die Funktion ist freiwillig; du schaltest sie für jedes Kind einzeln ein. Einen Abruf des Standorts auf Knopfdruck und einen Verlauf gibt es nicht.

Beim Einschalten willigst du ein und bestätigst, dass du mit deinem Kind darüber gesprochen hast. Wir speichern, welches Elternteil wann eingewilligt hat und welches Gerät deines Kindes welchen Ort prüft (genau eines je Ort). Solange die Funktion eingeschaltet ist, speichern wir außerdem ohne Koordinaten, wann ein Gerät dein Kind zuletzt in einem Ort gemeldet hat, wann der letzte Alarm mit Standort war und welche Orte er betraf, bis zu welchem Zeitpunkt wir geprüft haben und wann wir dich zuletzt über einen eingeschränkten Standort oder ein stummes Gerät benachrichtigt haben. Dein Kind sieht in der netzpate-App seine Orte und Zeiten und dass netzpate dafür den Standort nutzt.

Jedes dieser Geräte meldet seine Orte beim Betriebssystem an, rund um die Uhr, weil es den Beginn einer Zeit nicht zuverlässig mitbekommt. Bei jedem Ereignis prüft es auf dem Gerät, ob gerade eine Zeit gilt, und vergleicht seinen Standort mit den Orten. An uns meldet es nur während einer der eingestellten Zeiten, und nur Folgendes:

  • Verlassen: Ist dein Kind deutlich außerhalb aller geltenden Orte, schickt das Gerät seinen Standort: Breite, Länge, Genauigkeit, Zeitpunkt der Messung und Akkustand.
  • Antwort auf eine Prüfung: Zu Beginn einer Zeit fragt unser Server das Gerät dieses Orts über eine unsichtbare Mitteilung, ob dein Kind dort ist. Das Gerät antwortet „drin“ oder „unklar“ ohne Standort oder „draußen“ mit dem Standort wie oben.
  • Rückkehr: dass dein Kind wieder in einem der Orte ist, ohne Standort.

Mit den übrigen Meldungen der App (oben) schickt jedes Gerät außerdem den Stand der Berechtigung: ob der Standort für netzpate „immer“ oder nur „beim Verwenden“ erlaubt ist, ob er genau ist, ob der Stromsparmodus an ist, ob das Gerät nach einem Neustart noch nicht geöffnet wurde und welchen Stand der Orte es kennt. Damit zeigen wir dir, ob die Prüfung wirkt.

Den Standort aus einem Alarm speichern wir verschlüsselt mit dem Schlüssel deiner Familie; unser Server entschlüsselt ihn, um ihn dir anzuzeigen. Zum Alarm gehören außerdem Art, betroffene Orte, Zeitpunkte und gegebenenfalls, welches Elternteil ihn erledigt hat. Den ganzen Alarm samt Standort löschen wir 24 Stunden nach dem Auslösen, die Prüfungen ebenso nach 24 Stunden. Nach einem Alarm mit Standort speichern wir bei einem weiteren Alarm erst wieder einen Standort, wenn dein Kind zurück an einem der Orte dieses Alarms war oder ein neuer Tag begonnen hat; bis dahin kommt der Alarm ohne Karte. Die Orte selbst sind deine Einstellungen; wir speichern sie unverschlüsselt wie deine anderen Regeln, bis du sie löschst oder „Orte & Zeiten“ ausschaltest. Unsere Protokolle enthalten keine Standorte, Anschriften oder Suchtexte.

Mitteilung und E-Mail zu einem Alarm nennen weder dein Kind noch den Ort noch die Uhrzeit. Erst nach der Anmeldung im Portal oder in der App siehst du eine Karte mit dem Ort und dem Standort deines Kindes, dazu Uhrzeit, Genauigkeit und Akkustand. Ein Elternteil kann den Alarm mit „Alles okay“ erledigen; alle Elternteile sehen, wer das wann war. Ist an einem Gerät der Standort für netzpate eingeschränkt oder meldet sich das Gerät eines geltenden Orts drei Stunden lang nicht, benachrichtigen wir dich ebenfalls, ohne Standort. Die Nachricht über ein stummes Gerät entfällt, wenn bei allen gerade geltenden Orten „Handy darf hier aus sein“ eingestellt ist.

Für die Adresssuche im Portal und in der netzpate-App sowie für die Karten im Portal nutzen wir den Kartendienst Geoapify (KEPTAGO LTD, Zypern), der in unserem Auftrag tätig wird (Art. 28 DSGVO). Wir nutzen dessen EU-Zugang; laut Geoapify werden Anfragen dort nur in der EU verarbeitet, auf Servern von Hetzner in Deutschland und Finnland. Die Anfragen stellt unser Server, nicht dein Browser oder deine App. Geoapify erhält dabei den Suchtext, den du eingibst, und Mittelpunkt und Radius der Orte. Für das Kartenbild eines Alarms übermitteln wir außerdem den Standort deines Kindes aus dem Alarm, und zwar nur, wenn ein Elternteil die Alarmansicht im Portal öffnet. Namen, deine Kontodaten und deine IP-Adresse erhält Geoapify nicht. Geoapify speichert die Anfragen in der Regel höchstens 24 Stunden; nur in Ausnahmefällen, etwa bei Verdacht auf Missbrauch, bewahrt Geoapify einzelne Angaben einer Anfrage bis zu zwei Monate auf. Suchergebnisse speichern wir nicht, nur den Punkt, den du für einen Ort wählst. Die Karte in der netzpate-App beschreibt der Abschnitt „Karten in der App“ unten.

Rechtsgrundlage ist deine Einwilligung als sorgeberechtigtes Elternteil (Art. 6 Abs. 1 lit. a DSGVO, für den Zugriff auf den Standort der Geräte § 25 Abs. 1 TDDDG). Du kannst sie jederzeit widerrufen, indem du „Orte & Zeiten“ im Portal oder in der App ausschaltest. Dann löschen wir sofort Einwilligung, Orte, Alarme und Prüfungen und nehmen keine Meldungen der Geräte mehr an; aus den Sicherungen verschwinden die Daten nach Ablauf ihrer 30 Tage (Abschnitt 6). Die Geräte hören beim nächsten Abruf der Regeln auf, die Orte zu prüfen. Ohne Einwilligung, oder wenn dein Kind den Standort am Gerät nicht freigibt, nutzt du netzpate ohne diese Funktion. Endet dein Abo, schicken wir keine Orte mehr an die Geräte; Orte und Einwilligung löschen wir mit den übrigen Angaben zu deinem Kind (Abschnitt 6).

Was auf dem Kinderhandy bleibt

Die App braucht auf dem Kinderhandy einige Berechtigungen. Was sie damit liest, verarbeitet sie nur auf dem Handy; an uns geht davon nichts außer den oben genannten Meldungen.

  • Kamera (iPhone und Android): nur zum Scannen des QR-Codes für die Kopplung. Das Bild wird auf dem Handy ausgewertet und verlässt es nicht.
  • Bildschirmzeit (iPhone): Die App nutzt Apples Schnittstelle für die Bildschirmzeit (Family Controls), um Apps zu sperren und Tageslimits zu zählen. Die Nutzungszeit zählt iOS auf dem Handy; sie verlässt das Gerät nicht.
  • Nutzungszugriff (Android): um die Bildschirmzeit für die Tageslimits zu zählen und zu erkennen, welche App gerade offen ist. Die Nutzungsdaten bleiben auf dem Handy; die Nutzungszeit erfahren wir nicht.
  • Bedienungshilfe (Android): um zu erkennen, welche App geöffnet wird, und in Sperrzeiten den Sperrbildschirm zu zeigen. Die App liest dabei nur die Paketnamen von Fensterwechseln und Mitteilungen (etwa bei einem eingehenden Anruf), keine Bildschirm- oder Mitteilungsinhalte und keine Eingaben.
  • Geräteadministrator (Android): ohne weitere Rechte; er macht das Löschen der App zu einem bewussten zusätzlichen Schritt.
  • Mitteilungen, Start nach dem Einschalten und Ausnahme von der Akku-Optimierung (Android; Mitteilungen auch auf dem iPhone): damit die App im Hintergrund weiterläuft, neue Regeln übernimmt und Hinweise wie die Antwort auf „Mehr Zeit“ zeigt.
  • Standort (iPhone und Android, nur mit „Orte & Zeiten“): Die App meldet die Orte beim Betriebssystem an und wertet den Standort auf dem Handy aus, auch im Hintergrund. An uns geht davon nur, was unter „Orte & Zeiten“ steht. Auf Android zeigt eine dauerhafte Mitteilung, dass netzpate auf die Orte achtet.
  • Inhaltsfilter: Auf dem iPhone speichert die App eine DNS-Einstellung „netzpate“, die dein Kind einmal in den Einstellungen auswählt. Auf Android zeigt die App den Eintrag für „Privates DNS“ und prüft, ob er gesetzt ist; das Ergebnis meldet sie nicht an uns. Die DNS-Anfragen laufen danach wie unter „DNS-Filterung durch Securepoint“ beschrieben.

Mitteilungen über Apple und Google

Mitteilungen an iPhones stellen wir über den Apple Push Notification service (APNs) der Apple Inc., One Apple Park Way, Cupertino, CA 95014, USA, zu, Mitteilungen an Android-Handys über Firebase Cloud Messaging (FCM) von Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Dafür übermitteln wir Apple bzw. Google das Push-Token des Handys und den Inhalt der Mitteilung; Namen, Chat-Texte, aufgerufene Adressen und Standorte enthält sie nicht. Kann eine Mitteilung nicht zugestellt werden, verwirft der Anbieter sie nach spätestens 24 Stunden. Die Android-App bindet von Firebase nur den Baustein für Mitteilungen ein, keine Analyse- oder Absturzdienste wie Firebase Analytics oder Crashlytics. Rechtsgrundlage ist die Erfüllung des Vertrags mit dir (Art. 6 Abs. 1 lit. b DSGVO), für Mitteilungen an das Kinderhandy zusätzlich unser berechtigtes Interesse an der Erbringung des mit dir vereinbarten Schutzdienstes (Art. 6 Abs. 1 lit. f DSGVO). Apple und Google können Daten auch in die USA übermitteln. Apple und Google sind unter dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten die Standardvertragsklauseln der EU-Kommission.

Karten in der App

Bei „Orte & Zeiten“ zeigt die netzpate-App auf deinem Handy Orte und, bei einem Alarm, den Standort deines Kindes auf einer Karte: auf dem iPhone mit Apple Karten (MapKit) der Apple Inc., auf Android mit Google Maps (Maps SDK for Android) von Google. Dein Handy lädt dafür die Kartenausschnitte rund um Ort und Standort direkt bei Apple bzw. Google; dabei erhalten sie technisch auch die IP-Adresse deines Handys. Laut Google erfasst das Maps SDK außerdem Geräteinformationen, eine Kennung und Absturzdaten. Namen von Kindern und Orten übermitteln wir dabei nicht. Die Adresssuche beim Anlegen eines Orts läuft auch in der App über unseren Server zu Geoapify (oben). Rechtsgrundlage ist die Erfüllung des Vertrags mit dir (Art. 6 Abs. 1 lit. b DSGVO), denn du rufst die Karte selbst auf. Apple und Google können Daten auch in die USA übermitteln; zur Grundlage siehe den Abschnitt oben.

5. Partnerprogramm

Partner, die uns Familien vermitteln (etwa Creator, Fachpartner, Schulen oder Händler), erhalten dafür eine Provision. Von Partnern speichern wir Partnercode, Name oder Firma, Anschrift, Land, E-Mail-Adresse, Steuernummer oder USt-IdNr., den umsatzsteuerlichen Status, ob die Künstlersozialabgabe anfällt, und die Provisionen aus vermittelten Abos. Zum Ende jedes Quartals erstellen wir ab 25 € Provision eine Gutschrift als PDF, speichern sie und senden sie per E-Mail über Brevo. Rechtsgrundlage ist die Erfüllung des Partnervertrags (Art. 6 Abs. 1 lit. b DSGVO) und, für die Aufbewahrung der Gutschriften, unsere gesetzliche Pflicht nach Handels- und Steuerrecht (Art. 6 Abs. 1 lit. c DSGVO). Gutschriften bewahren wir so lange auf, wie diese Pflichten es verlangen.

6. Speicherdauer

Kontodaten, Angaben zu Kindern und Geräten sowie Filterregeln speichern wir, solange dein Konto besteht. Löschst du ein Kind oder ein Gerät, werden die zugehörigen Daten bei uns und bei Securepoint entfernt. Löschst du dein Konto, löschen wir alle zugehörigen Daten, soweit keine gesetzlichen Aufbewahrungspflichten (etwa nach Handels- und Steuerrecht) bestehen. Löschst du als einziges Elternteil der Familie dein Konto, während ein bezahltes Abo läuft, kündigen wir das Abo zum Ende der bezahlten Laufzeit und löschen das Konto direkt danach.

Endet ein Abo oder ein kostenloser Test ohne anschließendes Abo, löschen wir zum Ende der Laufzeit die Angaben zu Kindern und Geräten samt den Filtern bei Securepoint und den Daten des Frühwarnsystems. Das Konto bleibt danach noch zwölf Monate bestehen und wird dann gelöscht; 30 Tage vorher erinnern wir dich per E-Mail, ein neues Abo verhindert die Löschung.

Die DNS-Anfrage-Statistik bei Securepoint (angefragte Domain, Zeitpunkt, Kategorie, Ergebnis) wird nur so lange gespeichert, wie sie für die Anzeige des Schutzstatus und der gesperrten Anfragen im Portal benötigt wird, und danach automatisiert gelöscht.

Weitere Fristen, jeweils in Abschnitt 4 näher beschrieben: Warnhinweise 30 Tage, Namen der Chats 90 Tage nach der letzten Nachricht, Mails zu Test, Abo und Zahlung sowie der Inhalt der Benachrichtigungen von Stripe 90 Tage, Kündigungen und Widerrufe aus dem Formular 36 Monate nach Eingang, Feedback im Portal höchstens zwölf Monate.

Beta-Feedback: bis zur Auswertung, höchstens 12 Monate nach Eingang.

Meldungen falsch eingeordneter Seiten: bis 90 Tage, nachdem wir sie bei Securepoint eingereicht haben, höchstens 12 Monate nach Eingang.

Meta-Pixel (nur mit Einwilligung): Das Cookie _fbp bleibt bis zu 90 Tage in deinem Browser, _fbc ebenso. Widerrufst du deine Einwilligung, löschen wir beide. Wie lange Meta die übermittelten Daten speichert, legt Meta fest. Deine Wahl im Hinweisfenster bleibt in deinem Browser, bis du sie änderst oder die Browserdaten löschst.

netzpate-App auf dem Kinderhandy: Meldungen der App, Push-Token, Schutzstufe, Regelversion, Lebenszeichen und Zeitpunkt des App-Alarms löschen wir, sobald du die App entkoppelst („Neu verbinden“) oder das Gerät löschst. Die Liste der Apps löschen wir beim Entkoppeln, beim Löschen des Geräts und sobald die App-Regeln deiner Familie enden, etwa weil das Abo ausläuft. Zeit-Anfragen löschen wir 30 Tage nach ihrem Eingang, offene Anfragen schon beim Entkoppeln. Einträge unter „Immer erlaubt“, die nur für ein Handy gelten, löschen wir beim Entkoppeln; die übrigen bleiben wie deine anderen Regeln, bis du sie entfernst.

Orte & Zeiten: Alarme samt Standort löschen wir 24 Stunden nach dem Auslösen, Prüfungen 24 Stunden nach der Prüfung. Orte und Einwilligung löschen wir, sobald du „Orte & Zeiten“ ausschaltest oder das Kind löschst, spätestens mit den übrigen Angaben zu deinem Kind. Den Stand der Standort-Berechtigung löschen wir wie die übrigen Meldungen der App.

Push-Registrierungen deiner netzpate-App: Das Push-Token löschen wir, sobald du dich in der App abmeldest oder Apple bzw. Google es als ungültig zurückweist. Eine Registrierung, die 60 Tage lang nicht erneuert wurde, löschen wir ganz, ebenso alle mit deinem Konto.

Unsere Datenbank sichern wir laufend in einen Speicher von Hetzner in Falkenstein (Deutschland). Die Sicherungen dienen nur dazu, Daten nach einem Ausfall wiederherzustellen, und werden 30 Tage aufbewahrt. Gelöschte Daten verschwinden aus ihnen spätestens 31 Tage nach der Löschung.

7. Empfänger und Weitergabe an Dritte

Personenbezogene Daten erhalten nur:

  • unsere Auftragsverarbeiter, die vertraglich an unsere Weisungen gebunden sind: Hetzner (Server und Datensicherungen), Cloudflare (Auslieferung von Website und Portal), Brevo (E-Mail-Versand), Securepoint (DNS-Filter), Geoapify (Adresssuche und Karten bei „Orte & Zeiten“, für das Kartenbild eines Alarms auch mit dem Standort des Kindes) und, nur im Ausweichbetrieb des Frühwarnsystems, Mittwald (Abschnitt 4);
  • Stripe für Zahlung und Rechnungen, teils als eigener Verantwortlicher (Abschnitt 4);
  • Apple und Google für die Zustellung von Mitteilungen an die netzpate-App und für die Karten in der netzpate-App bei „Orte & Zeiten“ (Abschnitt 4, „Karten in der App“);
  • die anderen Elternteile deiner Familie (Abschnitt 4);
  • Meta, nur wenn du auf der Anzeigenseite /beta einwilligst, für das Meta-Pixel (Abschnitt 3).

Zu Werbezwecken gehen Daten nur mit deiner Einwilligung über das Meta-Pixel auf der Anzeigenseite /beta an Meta; Daten aus deinem Konto geben wir nie zu Werbezwecken weiter. In Länder außerhalb der EU können Daten nur über Cloudflare, Stripe, Apple, Google und Meta gelangen, jeweils in die USA. Die Grundlage der Übermittlung steht bei den jeweiligen Anbietern in den Abschnitten 3 und 4.

8. Deine Rechte

Du hast gegenüber uns folgende Rechte hinsichtlich deiner personenbezogenen Daten:

  • Auskunft (Art. 15 DSGVO)
  • Berichtigung (Art. 16 DSGVO)
  • Löschung (Art. 17 DSGVO)
  • Einschränkung der Verarbeitung (Art. 18 DSGVO)
  • Datenübertragbarkeit (Art. 20 DSGVO)
  • Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO)
  • Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO). Die Einwilligung in das Frühwarnsystem widerrufst du, indem du im Portal die Verknüpfung aufhebst oder uns schreibst, die Einwilligung in „Orte & Zeiten“, indem du die Funktion ausschaltest. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt davon unberührt.

Soweit sich diese Rechte auf personenbezogene Daten deines Kindes beziehen, übst du sie als dessen gesetzlicher Vertreter aus.

Zur Ausübung deiner Rechte genügt eine E-Mail an [email protected]. Außerdem hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns zuständig ist die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover.

Die Angabe deiner E-Mail-Adresse sowie der Angaben zu Kind und Gerät ist erforderlich, damit wir den Vertrag mit dir erfüllen können. Ohne diese Angaben können wir dir den Dienst netzpate nicht bereitstellen. Das Frühwarnsystem und „Orte & Zeiten“ sind freiwillig; ohne Einwilligung nutzt du den Dienst ohne diese Funktionen.

9. Automatisierte Bewertung und Entscheidungen

Die Filterregeln legst ausschließlich du als Elternteil fest. Das Frühwarnsystem bewertet Nachrichten dagegen automatisiert: Ein KI-Sprachmodell ordnet jede bewertete Nachricht einer der Kategorien Mobbing, Grooming, Selbstverletzung, Drogen oder „unauffällig“ zu und schätzt das Risiko ein. Einen Verdacht mit mittlerem oder hohem Risiko prüft ein zweiter Durchgang mit längerem Zusammenhang, bevor ein Warnhinweis entsteht; drei schwache Hinweise derselben Kategorie in einem Chat an einem Tag ergeben ebenfalls einen Warnhinweis. Diese Bewertung persönlicher Aspekte deines Kindes kann ein Profiling im Sinne von Art. 4 Nr. 4 DSGVO sein. Eine Entscheidung, die dein Kind rechtlich betrifft oder ähnlich erheblich beeinträchtigt (Art. 22 DSGVO), trifft das System nicht: Es informiert nur die Elternteile; was daraus folgt, entscheiden sie. Ein Warnhinweis ist eine Einschätzung, kein Beweis; das System übersieht Dinge und schlägt manchmal ohne Grund an.

Bei „Orte & Zeiten“ prüft das Handy automatisch, ob dein Kind in einem der Orte ist, und löst bei „draußen“ einen Alarm aus. Auch hier entscheiden die Elternteile, was daraus folgt.

10. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich der Dienst oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.

Stand: 20. Oktober 2026