Datenschutz­erklärung

1. Wer verantwortlich ist

Wir sind für die hier beschriebene Datenverarbeitung durch PaceFox verantwortlich. YouTube, Netflix und der App Store verarbeiten ebenfalls Informationen für eigene Zwecke, wie nachfolgend erläutert.

2. Eltern und Kinder

PaceFox ermöglicht einem Elternteil oder einer sorgeberechtigten Person, die Videoroutine einer Familie zu verwalten. Kinder verwenden Profile, die diese erwachsene Person verbunden hat; sie registrieren kein eigenes Konto mit E-Mail-Adresse und Passwort. Eine mit einem Kinderprofil verknüpfte Gerätekennung ist auch dann ein personenbezogenes Datum, wenn kein echter Name verwendet wird.

Ein Spitzname und ein in der App ausgewähltes Symbol reichen für ein Profil aus. Dieses Symbol, auch Avatar genannt, ist eine bereitgestellte Illustration und kein Foto deines Kindes. Das aktuelle Profilformular fragt nicht nach Geburtsdatum, Altersgruppe, Schule, Adresse, Foto, Gewicht oder Krankengeschichte des Kindes. Bitte verwende solche Angaben nicht in Spitznamen, Gerätenamen oder Supportnachrichten.

Der verbundene Elternteil kann die für seine Familie verfügbaren Profile, Einstellungen, zugewiesenen Geräte und Aktivitätsübersichten sehen. Kindergeräte erhalten die ihnen zugewiesenen Profile und Einstellungen. Profile sind nicht öffentlich, für andere Familien nicht durchsuchbar und werden nicht in einer Rangliste angezeigt.

Eltern richten PaceFox für ihre Kinder ein und verwalten die Nutzung. Vor der Einrichtung für ein Kind bestätigt der Elternteil, den Hinweis zur Verarbeitung von Kinderdaten zur Kenntnis genommen zu haben, und bestätigt ausdrücklich per E-Mail, ein erwachsener Elternteil oder eine sorgeberechtigte Person zu sein. Damit wird die Bestätigung des authentifizierten Kontoinhabers dokumentiert; Alter und elterliche Befugnis werden dadurch nicht unabhängig überprüft. Diese Bestätigung ist keine unabhängige Überprüfung einer elterlichen Einwilligung, soweit eine solche Überprüfung gesetzlich vorgeschrieben ist. Ein Elternkonto hebt die Datenschutzrechte des Kindes nicht auf. Kontaktiere uns, wenn du Fragen zur Berechtigung hast oder möchtest, dass wir die Verarbeitung der Informationen eines Kindes einstellen.

Eltern können uns kontaktieren, um Auskunft über die Informationen ihres Kindes, deren Berichtigung oder Löschung zu verlangen oder der weiteren Verarbeitung zu widersprechen. Wir überprüfen die Befugnis der anfragenden Person in angemessener Weise. Muss eine für eine Funktion notwendige Verarbeitung eingestellt werden, steht diese Funktion möglicherweise nicht mehr zur Verfügung. Wenn du glaubst, dass ein Kind den Dienst ohne die erforderliche Berechtigung genutzt hat, kontaktiere uns, damit wir den Zugriff beschränken und den Fall prüfen können.

Für Kinder: Dein Elternteil wählt deine Routine aus und kann die Aktivitätsübersicht deines Profils sehen. Wenn dein Elternteil den Videoverlauf einschaltet, kann er auch die von PaceFox gemeldeten Videos sehen. Kamerabilder für Bewegungspausen bleiben auf deinem Gerät. PaceFox zeigt dein Profil keinen anderen Familien. Du kannst eine Pause oder die Videowiedergabe jederzeit beenden. Bitte deinen Elternteil um Hilfe, wenn du deine Informationen ändern oder entfernen möchtest.

3. Elternkonten und Familienprofile

Firebase Authentication verarbeitet die E-Mail-Adresse des Elternteils, die Kontokennung, die Passwortauthentifizierung, die E-Mail-Bestätigung, Anmeldesitzungen und das Zurücksetzen von Passwörtern. Passwörter werden vom Authentifizierungsdienst verarbeitet und nicht in unserer Datenbank für Familienprofile gespeichert. Du kannst dich mit E-Mail-Adresse und Passwort, Apple oder Google anmelden. Bei einer Anmeldung über einen dieser Anbieter erhält Firebase die Anbieterkennung, Authentifizierungsdaten sowie alle vom Anbieter übermittelten Namen, E-Mail-Adressen oder Profilinformationen. Apple kann eine private Relay-E-Mail-Adresse bereitstellen. PaceFox erhält dein Apple- oder Google-Passwort nicht. Die Anmeldung bei PaceFox meldet dich nicht bei YouTube oder Netflix an.

Das PaceFox-Profil deines Kindes ist nicht öffentlich und wird innerhalb deiner Familie über dein Elternkonto verwaltet. Unsere Familiendatenbank speichert die Zuordnung des Elternteils zur Familie, Mitgliedschaft und Kontostatus, die Zeitzone der Familie, Einrichtungszeitpunkte, ausgewählte Spitznamen und Avatare der Kinder, Routinen und erlaubte Zeitfenster, die Zuordnung von Kindergeräten sowie den Free- oder Plus-Zugang der Familie. Soweit dokumentiert, enthalten Nachweise über Hinweise und Berechtigungen deren Version, Umfang, Verfahren und Zeitpunkt.

Für den Kontozugriff ist eine Internetverbindung erforderlich. Authentifizierungssitzungen und begrenzte App-Zustandsdaten können auf dem Gerät erhalten bleiben, damit du dich nicht nach jedem Neustart erneut anmelden musst. Das Entfernen einer App ist kein Antrag auf Löschung des zugehörigen Cloud-Kontos; auch der Geräteschlüsselbund oder Sicherungen des Betriebssystems können einige lokale Anmeldedaten bewahren.

4. Verbundene Geräte, PINs und Sicherheit

Um ein Kindergerät zu verbinden, verarbeiten wir eine Installationskennung, die Verbindungseinladung und deren Bestätigungsstatus, Gerätenamen, Familien- und Profilzuordnungen, Sitzungszugangsdaten sowie Zeitpunkte von Verbindungen und Einstellungsänderungen. QR-Einladungen enthalten ein Geheimnis, das die Verbindung autorisiert. Manuelle Codes müssen auf dem Gerät des Elternteils bestätigt werden. Behandle beides vertraulich.

Eine optionale vierstellige Kinder-PIN hilft dabei, Geschwister in ihren eigenen Profilen zu halten. Wir speichern einen mit einem Salt versehenen Prüfwert in einem zugriffsbeschränkten Serverbereich und begrenzen die Anzahl der Versuche. Eltern können eine PIN zurücksetzen, statt sie abzurufen. Eine Kinder-PIN ist kein Elternpasswort und keine Garantie dafür, dass eine andere Person ein entsperrtes Gerät nicht benutzen kann.

Eine verpflichtende sechsstellige Eltern-PIN der Familie schützt die Elternfunktionen auf einem gemeinsam genutzten Gerät sowie das Abmelden verbundener Kindergeräte. Bei serververwaltetem Plus-Zugang bleiben ihr mit einem Salt versehener Prüfwert und der familienweite Versuchszähler in einem zugriffsbeschränkten Serverbereich. Eine autorisierte Free-Einrichtung speichert außerdem einen geschützten PIN-Prüfwert auf dem ausgewählten gemeinsamen Gerät, damit Elternfunktionen lokal überprüft werden können. Dieser Prüfwert ist keine lesbare Kopie der PIN. Ein authentifizierter Elternteil kann sie zurücksetzen, nachdem seine Identität mit der unterstützten Anmeldemethode des Kontos bestätigt wurde. Bei der Wiederherstellung auf einem reinen Kindergerät bleibt die Anmeldesitzung des Elternteils dort nicht erhalten.

Unsere Infrastruktur verarbeitet außerdem technische Anfrageinformationen wie IP-Adressen, Zeitstempel, App- und Geräteinformationen, Authentifizierungs- und App-Integritätssignale sowie Fehler. Zugriffsbeschränkte Zähler und Sitzungsdatensätze helfen, wiederholtes Erraten von Codes, unbefugten Zugriff, doppelte Anfragen und die erneute Nutzung bereits verbrauchter Videozeit zu verhindern. Wir verwenden diese Informationen zum Betrieb und Schutz des Dienstes, nicht für Werbung.

Wir verwenden verschlüsselte Verbindungen, Zugriffskontrollen und serverseitige Berechtigungsprüfungen. Familiendaten in unserer Cloud-Datenbank Google Firebase Cloud Firestore sind bei der Übertragung und Speicherung verschlüsselt. Kein System ist vollständig sicher. Entziehe einem verlorenen Gerät den Zugriff im Elternbereich und kontaktiere uns, wenn du unbefugten Zugriff vermutest.

5. Videozeit und Aktivitäten

PaceFox zählt die Zeit im Vordergrund seines Videobereichs einschließlich Stöbern und Werbung zur verfügbaren Videozeit. Dies ist nicht dasselbe wie die genaue Wiedergabezeit eines bestimmten Videos. Wir verarbeiten das ausgewählte Profil, die Routine, freigeschaltete Videozeit, Sitzungs- und Gerätekennungen, gewährte Zeitfenster, den Status des Tageslimits, Einstellungen für Auszeit und Ausnahme, den Elternteil, der sie geändert hat, Start- und Endzeiten, Anfragekennungen sowie Bestätigungen, die zur Umsetzung der Routine auf mehreren Geräten nötig sind.

Free unterstützt ein Kind auf einem gemeinsam von Elternteil und Kind genutzten Gerät. Die Routine, der ausgewählte YouTube-Modus und die Freigabeliste, die verbleibende Videozeit sowie die heutigen Summen für Videozeit und abgeschlossene Pausen werden im geschützten lokalen App-Speicher abgelegt. Normale Free-Videonutzung und der Abschluss von Pausen laden keine Aktivitäten hoch und erzeugen keinen Verlauf einzelner Videos. Auf unserem Server bewahren wir eine Sicherung der Einstellungen und einen Nachweis über die Zuordnung der Installation auf. Geänderte Einstellungen können bei bestehender Verbindung gesichert werden. Die App prüft gelegentlich die Zuordnung und den Tarifstatus, unter anderem beim App-Start, bei regelmäßigen Prüfungen und beim Öffnen der Elternfunktionen. Free benötigt mindestens alle sieben Tage eine Online-Prüfung der Zuordnung. Für den Wechsel von Free auf ein anderes Gerät ist das Elternkonto erforderlich: Einstellungen können wiederhergestellt werden, lokale Aktivitäten und verbleibende Videozeit jedoch nicht aus dieser Sicherung. Ein altes Offline-Gerät kann bis zum Ablauf seiner Prüfung weiterhin autorisiert bleiben.

Bei einem Upgrade auf Plus überträgt das Gerät einmalig seine aktuellen Einstellungen, die verbleibende freigeschaltete Videozeit und die Summen des aktuellen Tages, damit diese geräteübergreifend verwaltet werden können. Ein Verlauf einzelner Videos wird nicht rückwirkend ergänzt. Plus speichert serverseitig koordinierte Videozeitfreigaben und Tagesübersichten. Videozeit während einer Ausnahme fließt in die heutige Videozeitsumme ein und zählt nicht als abgeschlossene Pause. Die Übersichten sind Näherungswerte und umfassen auch eine vorsichtige Zeitabrechnung nach einem Absturz oder einer Unterbrechung.

Mit Plus kannst du einen detaillierten Videoverlauf optional für jedes Kind gesondert aktivieren. Er ist standardmäßig ausgeschaltet. Wenn er aktiviert ist, meldet der verwaltete Browser beobachtete Videowiedergaben an den privaten Verlauf deiner Familie: das ausgewählte Kinderprofil, Inhaltsanbieter und Videokennung, verfügbare Titel, YouTube-Kanalmetadaten oder eine Netflix-Bild-URL, Start- und Beobachtungszeitpunkte, geschätzte Wiedergabesekunden sowie eine Meldekennung zur Vermeidung doppelter Einträge. Diese Aktivitätsmeldungen übertragen keine Suchanfragen, Anmeldeformulare, Passwörter oder Website-Cookies an unsere Familiendatenbank. Meldungen erfolgen verzögert und sind Näherungswerte; Pausen, Unterbrechungen, Werbung oder Website-Änderungen können Lücken oder unvollständige Metadaten verursachen. Sie beschreiben in PaceFox beobachtete Aktivitäten, keinen vollständigen YouTube- oder Netflix-Kontoverlauf. Die Anbieter selbst erhalten die in Abschnitt 7 beschriebenen Informationen über die Websitenutzung.

Mit Plus können berechtigte Eltern gemeldete Videos, tägliche Sitzungszeitsummen und die Anzahl abgeschlossener Pausen für den aktuellen und vorherigen Kalendermonat der Familie ansehen. Das Gerät bündelt Videomeldungen, erlaubt zwei kurz aufeinanderfolgende Aktualisierungen und ergänzt alle drei Minuten eine weitere Upload-Freigabe. Schnelle Videowechsel werden zu einer Meldung gebündelt; unveränderte Wiedergabe erzeugt keine wiederholten Uploads. Das Ausschalten der Aufzeichnung beendet neue Videomeldungen, sobald verbundene Geräte die Einstellung erhalten, löscht ihre noch nicht gesendeten Beobachtungen und verhindert die Annahme neuer Meldungen durch den Server. Getrennte Geräte übernehmen die Änderung beim erneuten Verbinden. Ein erneutes Aktivieren beginnt einen neuen Aufzeichnungszeitraum, ohne alte Beobachtungen nachträglich zu ergänzen. Bereits gespeicherter Verlauf bleibt bis zu seinem regulären Ablauf verfügbar; bei der Löschung eines Kindes oder einer Familie wird er im Löschverfahren entfernt. Videozeitsummen und Pausensteuerung laufen unabhängig davon weiter. Ausstehende Beobachtungen werden im geschützten App-Speicher gespeichert, sind von Gerätesicherungen ausgeschlossen und können bei einer späteren App-Nutzung gesendet werden. Klar gekennzeichnete Beispielberichte verwenden Beispieldaten und keinen verborgenen Free-Verlauf. Free-Eltern können bis zu fünf YouTube-Videos und einen Kanal auf ihrem gemeinsamen Gerät freigeben und ihre Auswahl frei ersetzen. Plus unterstützt weitere YouTube-Freigaben, Playlists und Netflix-Freigaben. Wir speichern ausgewählte Inhaltsreferenzen, verfügbare Titel und zugehörige Metadaten, Entscheidungen zum Ein- oder Ausschließen sowie Aktualisierungs- und Versionsinformationen, damit das ausgewählte Free-Gerät oder verbundene Plus-Geräte diese Auswahl anwenden können. Freigabelisten beschreiben die Auswahl der Eltern; sie sind keine unabhängige Bewertung der Eignung von Inhalten.

6. Kamera und Bewegungspausen

Die aktuelle Version kann die Kamera zum Scannen eines QR-Codes für die Geräteverbindung verwenden. Bilder werden auf dem Gerät verarbeitet, um den Code zu lesen; PaceFox lädt diese Kamerabilder weder hoch noch bewahrt es sie auf. Der für die Verbindung benötigte Code wird an unseren Server gesendet.

Bewegungspausen verwenden die Kamera und eine auf dem Gerät ausgeführte Posenerkennung, um die Teilnahme an angeleiteten Bewegungen zu erkennen. Kamerabilder und die zur Bewegungserfassung verwendeten Körperpunkte werden live auf dem Gerät verarbeitet. PaceFox speichert keine Fotos oder Videos deines Kindes, lädt keine Kamerabilder oder Körperpunkte hoch, erkennt keine Identität und erstellt kein biometrisches Identitätsprofil. Die Erfassung ist eine Näherung und kann Bewegungen übersehen oder falsch erkennen.

Eltern können sowohl mit Free als auch mit Plus zwischen Bewegungs- und Ruhepausen wählen. Ruhepausen verwenden einen als Fortschritt dargestellten Timer, eine Fuchsanimation und optional mitgelieferte beruhigende Klänge; sie verwenden keine Kamera und bewerten keine Bewegungen. Es wird nicht nach einer Behinderung, Erkrankung oder einem Grund für diese Wahl gefragt, und solche Angaben werden nicht gespeichert. Free führt den Timer lokal. Plus speichert die Pausenart, Start- und Endzeitpunkte sowie die Profil- und Gerätereferenz, die zur Prüfung des Abschlusses nötig sind. Abgeschlossene Ruhepausen zählen zu denselben Pausensummen und werden im Plus-Verlauf gesondert gekennzeichnet. Pausensummen und Abschlusseinträge werden auch bei ausgeschaltetem detailliertem Videoverlauf weitergeführt.

Der Abschluss einer Bewegungs- oder Ruhepause erhöht die verfügbare Videozeit und die Anzahl abgeschlossener Pausen. Free speichert diese Aktivität im geschützten lokalen App-Speicher. Mit Plus sendet die App die Abschlussanfrage, Profil- und Sitzungskennungen sowie die aktuelle Runde an unseren Server. Der Server erfasst die abgeschlossene Pause für die Zeitfreigabe, Tagesübersichten und den Familienverlauf. Er erhält keine Kamerabilder oder Körperpunkte. Aufgezeichnete Anleitungsstimmen und Animationen des Maskottchens sind App-Ressourcen. Ihre Wiedergabe sendet die Stimme, Bilder oder Aktivitäten deines Kindes nicht an einen Dienst zur Spracherzeugung.

PaceFox fordert keinen Mikrofonzugriff an und ist nicht mit Apple Health, Health Connect, Strava oder einem Kalender verbunden.

7. YouTube, Netflix und Website-Speicher

Beim Öffnen von YouTube oder Netflix wird die Website des jeweiligen Anbieters im eingebetteten Browser von PaceFox geladen. Der Anbieter und die zur Bereitstellung seiner Website verwendeten Dienste können die IP-Adresse des Geräts, Browserinformationen, besuchte Seiten, Videoanfragen, Cookies und andere Kennungen erhalten. Für Anbieterkonten, Empfehlungen, Werbung und Wiedergabe gelten die eigenen Bedingungen und Datenschutzhinweise des Anbieters. Eine Beschränkung der Navigation innerhalb von PaceFox verhindert nicht, dass eine geladene Seite Domains für Medien, Werbung oder unterstützende Ressourcen kontaktiert.

Der Website-Speicher bleibt erhalten und ist nach PaceFox-Familie, Kinderprofil und verbundener Installation getrennt. Cookies können einen App-Neustart überdauern und eine Anbieteranmeldung aufrechterhalten, abhängig von Ablaufzeiten und Sicherheitsprüfungen des Anbieters. Diese Cookies werden nicht in die PaceFox-Familiendatenbank hochgeladen und nicht mit Geschwisterprofilen geteilt. Die Abmelde- und Datenschutzfunktionen des Anbieters bleiben relevant. Die Löschung eines PaceFox-Kontos entfernt keine Daten, die YouTube oder Netflix bereits unabhängig davon gespeichert haben.

Bevor ein Kind einen Anbieter erstmals auf einem Gerät nutzt, entsperrt der Elternteil die Einrichtung mit der Eltern-PIN, prüft den Anbieterhinweis, konfiguriert bei Bedarf das Anbieterkonto oder -profil und bestätigt den Abschluss der Einrichtung. PaceFox speichert auf dieser Installation für jeden Anbieter, jede Familie und jedes Kind einen getrennten lokalen Einrichtungsnachweis. Dieser ist keine Kopie der Anbieterzugangsdaten und überprüft weder Alter noch Aufsicht noch die fortbestehende Gültigkeit der Anbieteranmeldung unabhängig. Das Zurücksetzen der Anbietereinrichtung löscht ihre lokale Bestätigung und den Website-Speicher. Eine später abgelaufene Anmeldung kann erneut die Hilfe des Elternteils erfordern.

PaceFox fügt keine Werbe-SDKs hinzu, verkauft keine Familiendaten und verwendet Kinderprofile nicht für Werbung. YouTube oder Netflix können dennoch Werbung anzeigen oder Daten nach ihren eigenen Richtlinien verarbeiten. Plus und der Modus für freigegebene Inhalte machen diese Dienste nicht werbefrei und deaktivieren ihr Tracking nicht. Ein PaceFox-Profil ist kein Anbieterkonto und setzt die Anforderungen eines Anbieters zu Alter, Aufsicht, Haushalt oder Abonnement nicht außer Kraft.

Siehe die Datenschutzerklärung von Google, die Nutzungsbedingungen von YouTube, die Datenschutzerklärung von Netflix und die Nutzungsbedingungen von Netflix. Ein Elternteil muss die Alters- und Aufsichtsanforderungen des Anbieters vor dessen Aktivierung berücksichtigen. Das Akzeptieren der PaceFox-Bedingungen ersetzt keine Berechtigungen oder Einwilligungen, die für die eigene Verarbeitung des Anbieters erforderlich sind.

8. Käufe und kostenpflichtiger Zugang

Apple wickelt die Zahlung für iOS-Käufe ab. RevenueCat hilft uns, Produkte abzurufen, Transaktionen zu prüfen und Zugang wiederherzustellen. Dabei verarbeitet RevenueCat die PaceFox-Kontokennung des Elternteils, das gekaufte Produkt, Transaktions- und ursprüngliche Transaktionskennungen, Kauf- und Verlängerungsdaten, Ablauf-, Erstattungs- und Berechtigungsstatus, Informationen zu Store und Umgebung sowie technische Informationen wie SDK- und App-Version und IP-Adresse. Wir erhalten keine vollständigen Zahlungskarten- oder Bankkontodaten.

Unser Server speichert ein begrenztes Ergebnis der Kaufprüfung und den daraus folgenden Familienzugang. Käufe sind dem Elternkonto zugeordnet, damit sie auf den verbundenen Geräten der Familie funktionieren. Wir übermitteln nicht absichtlich Spitznamen der Kinder, PINs, Kameradaten oder Videoaktivitäten an RevenueCat. Wir senden keine Kinderdaten zur Werbezuordnung. Die optionale Messung der Web-Einrichtung wird nachfolgend beschrieben.

Der Produktivdienst unterstützt Apple-Käufe; TestFlight und andere Store-Tests können Sandbox-Transaktionen verwenden. Android-Käufe und Web-Abonnementkäufe werden derzeit nicht angeboten. Codes für lebenslangen Zugang werden auf unserem Server geprüft. Wir speichern eine gehashte Codekennung und einen der Familie zugeordneten Einlösungsnachweis, jedoch keine Zahlungsdaten. Das Einlösen eines Zugangscodes startet kein Abonnement. Siehe die Datenschutzinformationen von RevenueCat und die Datenschutzinformationen von Apple.

9. Website, Konto-E-Mails und Support

Wenn du eine Sprache für die Website auswählst, merken wir uns diese Einstellung in deinem Browser, bis du sie änderst oder den Browser-Speicher löschst. Die Einstellung wird nicht an unsere Familiendatenbank gesendet.

Die Web-Registrierung unter /register und die Kontoverwaltung unter /account verwenden dasselbe Elternkonto wie die App. Nach der elterlichen Einwilligung werden unvollständige Einrichtungseinstellungen in der Familie gespeichert, damit du fortfahren kannst. Die Authentifizierung verwendet den Sitzungsspeicher des Browsers. Eltern-PINs werden sicher zur serverseitigen Speicherung eines Prüfwerts übertragen und niemals im Browser-Speicher abgelegt. Firebase App Check und Google reCAPTCHA schützen Kontovorgänge vor Missbrauch; diese Sicherheitsdienste verarbeiten Verbindungs- und Browserinformationen. Sie sind von der optionalen Messung getrennt. Siehe Googles Datenschutzinformationen.

Wenn eine optionale Einrichtungsmessung aktiviert ist, kannst du sie unabhängig von der elterlichen Einwilligung erlauben oder ablehnen. Erst nach deiner Zustimmung speichern wir eine zufällige Kennung des Einrichtungsverlaufs, eine Kampagne oder Herkunft aus einer festgelegten Liste, den Einrichtungsschritt, Ereignisnamen und Zeitstempel. Diese Ereignisse enthalten keine Kontokennungen, E-Mail-Adressen, Kindernamen, Videoverläufe, PINs, Zahlungsdaten, Werbeklick-Kennungen oder vollständigen URLs. Wir laden keine Werbepixel. Zählungen beziehen sich auf zustimmende Einrichtungsverläufe im Browser und werden nicht geräteübergreifend verknüpft. Die Messentscheidung und der Einrichtungsverlauf werden bis zu 30 Tage in deinem Browser gespeichert. Servermessungen laufen nach 30 Tagen ab und werden durch geplante Bereinigungen entfernt. Über „Measurement preferences“ kannst du die Einwilligung widerrufen und die Messungen des aktuellen Browser-Einrichtungsverlaufs löschen. Eine Ablehnung beeinträchtigt weder die Familieneinrichtung noch den bezahlten Zugang.

Bei der Elterneinrichtung fordert PaceFox eine ausdrückliche Bestätigung des Hinweises zu Kinderdaten an und sendet eine Einwilligungs-E-Mail. Der Elternteil bestätigt auf unserer gehosteten Seite; das bloße Öffnen der E-Mail oder des Links erteilt keine Einwilligung. Bei einer E-Mail-Registrierung bestätigt dieser Schritt zugleich die E-Mail-Adresse. Der ausstehende Einwilligungsschritt bleibt dem Elternkonto geräteübergreifend zugeordnet und verhindert weitere Einrichtungsschritte bis zur Bestätigung. Eine informative Folge-E-Mail ist für 24 Stunden später vorgesehen und erfordert keine zweite Bestätigung. Die Einwilligung kann in den Einstellungen des Elternkontos oder über den Link in der Folge-E-Mail widerrufen werden. Ein Widerruf blockiert weitere Online-Autorisierungen; er löscht vorhandene Datensätze nicht automatisch und entfernt Daten auf Offline-Geräten nicht sofort.

Firebase Hosting stellt unsere Konto- und rechtlichen Seiten bereit. Hosting und zugehörige Infrastruktur verarbeiten die Anfrageinformationen, die für die Bereitstellung und Absicherung der Seiten benötigt werden. Die rechtlichen Seiten verwenden lokal gehostete Schriften und Bilder, ohne Analyseskripte, eingebettete Videos oder Marketing-Cookies.

Links für Kontoaktionen enthalten einen vorübergehenden Code und Aktionsinformationen, die zur Bestätigung einer E-Mail-Adresse oder zum Zurücksetzen eines Passworts benötigt werden. Firebase verarbeitet sie, wenn du den Link verwendest. Leite solche Links nicht weiter. Unsere Kontoseiten verwenden eine No-Referrer-Richtlinie und vermeiden das Erfassen von Aktions-URLs in Anwendungsprotokollen. Hosting-, Browser- und E-Mail-Systeme können URLs dennoch bei der Bereitstellung des Dienstes verarbeiten.

Wir verwenden den Authentifizierungs-E-Mail-Dienst von Firebase für Kontonachrichten und IONOS für die Domain pacefox.app, unser Supportpostfach und E-Mails zur elterlichen Einwilligung. Für die Zustellung der Einwilligungs-E-Mails verarbeitet IONOS die Empfängeradresse des Elternteils, unsere Absenderadresse, den Hinweis und Bestätigungs- oder Widerrufslink sowie technische Zustellinformationen. Wenn du uns kontaktierst, verarbeiten wir deine E-Mail-Adresse, Nachricht und die zur Beantwortung benötigten Informationen. Bitte sende keine Passwörter, Kameraaufnahmen von Kindern oder unnötigen sensiblen Angaben.

Die aktuelle App hat keine Firebase-Analytics- oder Crashlytics-Integration, keinen Marketing-Newsletter und keine sozialen Funktionen für Kinder. Infrastrukturprotokolle und Informationen, die du freiwillig zur Fehlerbehebung sendest, sind von einem Analyse- oder Absturzbericht-SDK getrennt. Push-Mitteilungen sind derzeit nicht aktiviert. Eine zukünftige Mitteilungsfunktion wird die Verarbeitung von Gerätetokens erklären und um eine Systemberechtigung bitten.

10. Zwecke und Rechtsgrundlagen

Beim erwachsenen Kontoinhaber beruhen Kontobetrieb, Bereitstellung des vereinbarten Dienstes, Kaufprüfung und angeforderter Support normalerweise auf der Erfüllung des Vertrags oder auf von dir angeforderten vorvertraglichen Maßnahmen (Art. 6 Abs. 1 Buchst. b DSGVO). Erforderliche gesetzliche und buchhalterische Aufzeichnungen beruhen auf den geltenden rechtlichen Verpflichtungen (Art. 6 Abs. 1 Buchst. c).

Notwendige Dienstsicherheit, Betrugsprävention und begrenzte technische Fehlerbehebung können auf unseren berechtigten Interessen beruhen (Art. 6 Abs. 1 Buchst. f), nachdem die Auswirkungen auf die betroffenen Personen, insbesondere Kinder, berücksichtigt wurden. Diese Interessen rechtfertigen kein zweckfremdes Tracking und keine Datenerhebung allein deshalb, weil sie nützlich sein könnte.

Beruht eine Verarbeitung auf Einwilligung (Art. 6 Abs. 1 Buchst. a), muss diese für den bestimmten Fall, informiert und freiwillig erteilt werden und widerrufbar sein. Ein Vertrag mit einem Elternteil ist nicht automatisch eine Rechtsgrundlage für jede Verarbeitung von Kinderdaten. Informationen über die Routine und Aktivitäten von Kindern werden für die von den Eltern ausgewählten Steuerungsfunktionen und die in dieser Erklärung beschriebenen privaten Familienberichte verwendet. Diese Zwecke benötigen eine anwendbare Rechtsgrundlage und jede gesetzlich erforderliche elterliche Berechtigung. Eine Bestätigung durch ein erwachsenes Konto oder eine Kameraberechtigung begründet für sich genommen keines von beidem. Wir behandeln das Akzeptieren unserer Bedingungen nicht als Einwilligung in zweckfremde oder optionale Verarbeitung.

Wenn du Informationen nicht bereitstellst, die zur Authentifizierung eines Kontos, zum Verbinden eines Geräts oder zur Prüfung eines gekauften Zugangs nötig sind, können wir diese bestimmte Funktion nicht anbieten. Du kannst diese rechtlichen Seiten ohne Konto lesen. Wir verwenden die Daten nicht für Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung. Automatische Timer setzen die vom Elternteil ausgewählte Routine um.

11. Dienstleister und internationale Verarbeitung

• Google/Firebase: Google-Anmeldung, Authentifizierung, Familiendatenbank, Funktionen, Hosting, Integritätsprüfungen und unterstützende Betriebsinfrastruktur.
• RevenueCat: Prüfung von Abonnements und Käufen sowie Verwaltung von Zugangsberechtigungen.
• Apple: Anmeldung mit Apple, App-Store-Transaktionen, Betriebssystemdienste sowie App- und Geräteintegritätsdienste.
• IONOS: Dienste für Domain, Support-E-Mails und Zustellung von E-Mails zur elterlichen Einwilligung.
• Google/YouTube: die eingebettete Video-Website, die für ihre eigenen Dienstzwecke unabhängig handelt. Tatsächliche und beispielhafte Verlaufsberichte rufen außerdem kleine öffentliche Video-Vorschaubilder vom YouTube-Bilddienst ab. Diese Anfragen offenbaren Google die angefragte Videokennung und Verbindungsinformationen wie die IP-Adresse des Geräts. PaceFox fügt diesen Bildanfragen keine Kontozugangsdaten oder YouTube-Browser-Cookies hinzu. Die App speichert diese Bilder lokal zwischen, um wiederholte Downloads zu vermeiden. Frühere App-Versionen verwendeten außerdem einen begrenzten Zwischenspeicher auf dem Datenträger. Aktualisierte Versionen verwenden vorübergehendes Zwischenspeichern im Arbeitsspeicher und entfernen den früheren Datenträger-Zwischenspeicher beim Initialisieren des Bild-Zwischenspeichers. Die lokale Löschbereinigung entfernt ihn ebenfalls. Ein inaktives Gerät kann diese Bereinigung erst durchführen, wenn die App wieder ausgeführt wird.
• Netflix: die eingebettete Streaming-Website und öffentliche Bildanfragen nach den eigenen Datenschutzregelungen von Netflix. Beim Abrufen von Bildern erhält der Bildhost Verbindungsinformationen wie die IP-Adresse des Geräts.

Firebase und RevenueCat veröffentlichen die nachfolgend verlinkten Datenverarbeitungsbedingungen für ihre Dienste. Anbieter, die in unserem Auftrag handeln, verarbeiten Informationen nach den anwendbaren Dienst- und Datenverarbeitungsbedingungen. Apple, Google/YouTube und andere Anbieter können außerdem unabhängige gesetzliche Pflichten und Zwecke haben. Wir können begrenzte Informationen offenlegen, soweit dies gesetzlich vorgeschrieben oder zur Geltendmachung oder Verteidigung rechtlicher Ansprüche erforderlich ist. Wir verkaufen oder vermieten keine Familiendaten und geben sie nicht für Marketing Dritter weiter.

Unsere produktive Firestore-Datenbank und Anwendungsfunktionen verwenden die Google-Region Frankfurt (europe-west3). Andere Verarbeitung und Support können außerhalb Deutschlands oder des Europäischen Wirtschaftsraums erfolgen. Die Auswahl eines europäischen Datenbank- oder Funktionsstandorts verlagert nicht jeden Authentifizierungs-, Kauf-, Protokoll- oder Supportdienst nach Europa. Wenn die DSGVO Schutzmaßnahmen für Übermittlungen verlangt, muss die jeweilige Regelung einen anwendbaren Angemessenheitsbeschluss oder Standardvertragsklauseln mit gegebenenfalls erforderlichen ergänzenden Maßnahmen verwenden. Auf Anfrage können wir Informationen über die für deine Daten geltenden Schutzmaßnahmen bereitstellen.

Siehe Datenschutz und Sicherheit bei Firebase, die Datenverarbeitungsbedingungen von RevenueCat und die Datenschutzinformationen von IONOS. Kontaktiere uns für Einzelheiten zu den für deine Informationen relevanten Anbietern und Regelungen.

12. Aufbewahrung und Löschung

Konten, Profile und Einstellungen

Sie werden aufbewahrt, solange sie für das aktive Konto und seine ausgewählten Funktionen benötigt werden. Das Entfernen eines Kindes startet die Löschung seines Profils, seiner Einstellungen und des zugehörigen Verlaufs. Die Löschung des Familienkontos entzieht den Serverzugriff und stellt die Entfernung der Familiendatensätze und des Authentifizierungskontos des Elternteils in eine Warteschlange. Sie löscht nicht augenblicklich jede Kopie.

Elterliche Einwilligung und Zustellnachweise

Wir speichern die Elternkontokennung, Version und Umfang des Hinweises, Zeitpunkte der Kenntnisnahme und Bestätigung, Sprache, einen Hash der E-Mail-Adresse sowie Zustell- und Widerrufsstatus. Einwilligungsnachweise bleiben vorbehaltlich geltender Aufbewahrungspflichten bis zur Kontolöschung mit dem Elternkonto verbunden. Bestätigungslinks laufen innerhalb von 48 Stunden ab und Widerrufslinks innerhalb eines Jahres. Abgelaufene Linkdatensätze werden durch Bereinigungsaufgaben mit begrenztem Umfang entfernt. E-Mail-Links in der Warteschlange werden nach dem Versand, der Stornierung oder dem Ausschöpfen der Wiederholungsversuche entfernt. E-Mail-Anbieter und das Empfängerpostfach können eigene Kopien nach ihren jeweiligen Aufbewahrungsregelungen behalten.

Tagesübersichten

Normale lokale Free-Aktivitäten bleiben auf dem Gerät. Soweit serverseitige tägliche Betriebsdatensätze außerhalb der Plus-Berichte bestehen, werden sie 48 Stunden nach Ende des betreffenden Kalendertages der Familie zur Löschung markiert. Bei aktivierten Plus-Kalenderberichten werden während Plus erfasste Tagesübersichten für den aktuellen und vorherigen Kalendermonat der Familie aufbewahrt und dann zu Beginn des darauffolgenden Monats zur Löschung markiert. Ein aufbewahrter Plus-Tag behält diesen Ablaufzeitpunkt nach einem Wechsel zu Free; neue Free-Tage werden nicht archiviert. Beginnt Plus im Laufe eines Tages, kann die Tagesgesamtzahl auch die früher an diesem Tag bereits erfassten Betriebssummen enthalten. Dadurch entsteht kein Verlauf einzelner Videos. Für den Verlaufszugriff ist aktives Plus erforderlich. Der Zugriff endet an der Aufbewahrungsgrenze, auch wenn die Datenbankbereinigung verzögert ist. Die Bereinigung abgelaufener Datenbankeinträge erfolgt asynchron; der Ablauf ist daher keine garantierte Frist für die physische Entfernung.

Plus-Videoverlauf und ausstehende Meldungen

Gemeldete Videos und Ereignisse abgeschlossener Pausen verwenden dieselbe Frist des aktuellen und vorherigen Kalendermonats wie die Plus-Tagesübersichten. Der Zugriff erfordert einen aktuell berechtigten Elternteil und aktives Plus. Das Entfernen eines Kindes oder einer Familie entzieht den Zugriff und plant die schrittweise Löschung ihres Verlaufs. Eine lokale Warteschlange enthält höchstens 2.000 Beobachtungen. Beobachtungen, die älter als 48 Stunden sind, werden bei der nächsten Aufzeichnungs- oder Upload-Gelegenheit verworfen. Beim Abmelden wird diese Warteschlange geleert. Ein inaktives Gerät kann eine ungesendete Warteschlange bis zur nächsten App-Ausführung oder zur Löschung seiner Daten behalten. Free-Wiedergaben werden nicht für spätere Uploads aufgezeichnet.

Verbindungen, Sitzungen und Betriebsdatensätze

Verbindungseinladungen sind fünf Minuten gültig. Sitzungs- und Videozeitberechtigungen haben eigene kurze Gültigkeitszeiträume. Der Ablauf verhindert weitere Nutzung, löscht den Datensatz aber nicht unbedingt. Abgelaufene Verbindungscode-Zuordnungen und Datensätze zur Begrenzung der Anfragehäufigkeit sind für die automatische Bereinigung abgelaufener Datenbankeinträge vorgesehen: Codes nach ihrer fünfminütigen Gültigkeit, Anfragedatensätze zehn Minuten nach ihrer letzten Anfrage. Eine stündliche Aufgabe entfernt geeignete erfolglose Verbindungseinladungen ab 24 Stunden nach deren Ablauf, in begrenzten Chargen und mit Prüfungen zum Schutz verbundener Geräte. Datenbankablauf und geplante Bereinigung erfolgen asynchron. Dies sind Zeitpunkte der Löschberechtigung, keine garantierten Fristen für die physische Löschung. Für verbundene Geräte und Wiederherstellungsdatensätze gelten gesonderte Regeln. Minimale Datensätze zur Freigabe einer Installation und die zugehörige anonyme Wiederherstellungsidentität können nach der Familienlöschung erhalten bleiben, damit ein Offline-Gerät bei erneuter Verbindung feststellen kann, dass seine Verbindung aufgehoben wurde. Freigabedatensätze verwenden Installations- oder Verbindungskennungen, einschließlich aus Geheimnissen abgeleiteter Hashes für die lokale Free-Wiederherstellung, sowie einen Freigabezeitpunkt, jedoch keine Kindernamen, PINs oder Videoverläufe. Nach vollständiger Löschung einer Familie entfernt eine stündliche Aufgabe geeignete Datensätze und die passende anonyme Wiederherstellungsidentität, sobald das Gerät bestätigt hat, über eine lokale Wiederherstellungsmöglichkeit zu verfügen. Prüfungen schützen aktive Familien und Ersatzverbindungen. Widerrufene Verbindungen in weiterhin bestehenden Familien sowie ältere Verbindungen ohne diese Bestätigung haben keine feste automatische Löschfrist: Ihr Wiederherstellungsnachweis wird weiterhin von Offline-Geräten benötigt. Du kannst uns kontaktieren, um die Prüfung oder Löschung von Datensätzen zu einem getrennten Gerät anzufordern.

Kaufdatensätze

Wir bewahren den Prüfstatus auf, solange er zur Bereitstellung oder Wiederherstellung bezahlten Zugangs und zur Klärung von Kaufproblemen benötigt wird. Apple und RevenueCat führen eigene Transaktionsdatensätze. Die Löschung des Familienkontos entfernt unseren Familien-Abrechnungsstatus. Nach der Löschung der Familiendatensätze und des Authentifizierungskontos des Elternteils wird automatisch die Löschung des zugehörigen RevenueCat-Kunden in eine Warteschlange gestellt. Die Bereinigung prüft vor Abschluss der Aufgabe, dass der Anbieterdatensatz nicht mehr vorhanden ist, und wiederholt vorübergehend fehlgeschlagene Versuche. Wird die Anbieteridentität mit einem anderen identifizierten Konto geteilt oder kann die Löschung nicht bestätigt werden, bleibt die Aufgabe zur Prüfung erhalten, damit nicht ungeprüft Datensätze einer anderen Familie gelöscht werden. Eine minimale Kundenkennung, der Aufgabenstatus und der Grund bleiben bis zur Klärung erhalten. Dies erfolgt asynchron und löscht nicht sofort jede beim Anbieter gespeicherte Kopie. Datensätze für bestimmte gesetzliche oder finanzielle Verpflichtungen unterliegen weiterhin den jeweiligen Aufbewahrungspflichten. Kontolöschung und RevenueCat-Bereinigung kündigen kein Apple-Abonnement und garantieren keine Erstattung. Kontaktiere uns bei einer ungeklärten Löschanfrage.

Support, Protokolle und Sicherungen

Der Standard-Cloud-Logging-Bucket unseres Produktivprojekts bewahrt Protokolle 30 Tage auf; der verpflichtende Bucket für administrative Audit-Protokolle bewahrt Datensätze 400 Tage auf. Diese sind von anbieterbetriebenen Protokollen getrennt: Firebase beschreibt die Aufbewahrung von Authentifizierungs-IP-Protokollen mit einigen Wochen und von Hosting-IP-Daten mit einigen Monaten. Gelöschte Firebase-Authentication-Informationen können nach Googles veröffentlichter Richtlinie bis zu 180 Tage in aktiven Systemen oder Sicherungssystemen bleiben. Geplante Firestore-Sicherungen und die Wiederherstellung zu einem bestimmten Zeitpunkt sind in diesem Projekt nicht aktiviert. Das bedeutet nicht, dass Anbieter keine Kopien auf Dienstebene vorhalten. Supportnachrichten werden zur Bearbeitung der Anfrage und zugehöriger Folgefragen aufbewahrt. Das Postfach hat derzeit keine automatische Löschfrist. Du kannst die Löschung bei uns anfordern. Für beim Anbieter gespeicherte Kopien gelten dessen Aufbewahrungsregelungen. Datensätze, die für eine bestimmte gesetzliche Verpflichtung oder einen Rechtsstreit benötigt werden, dürfen nur für diesen Zweck und den betreffenden Zeitraum aufbewahrt werden.

Entferne ein Profil über die Einstellungen des Kindes oder lösche die Familie über die Kontoeinstellungen des Elternteils. Du kannst uns auch wegen Auskunft oder Löschung per E-Mail kontaktieren, wenn du dich nicht anmelden kannst. Die Kontolöschung kündigt kein Apple-Abonnement, löscht keinen YouTube- oder Netflix-Kontoverlauf und entfernt keine unabhängig gespeicherten Store-Datensätze. Verwalte Abonnements gesondert in deinem Apple-Konto. Auf getrennten Geräten kann bereits freigegebene Videozeit bis zu ihrem kurzen Ablauf weiter nutzbar bleiben; beim erneuten Verbinden wird der Zugriff erneut geprüft.

13. Deine Rechte und Möglichkeiten

Unter den jeweils geltenden Voraussetzungen haben du und dein Kind Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Du kannst eine Einwilligung widerrufen, ohne die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung zu berühren. Gegen eine auf berechtigten Interessen beruhende Verarbeitung kannst du aus Gründen widersprechen, die sich aus deiner besonderen Situation ergeben.

Kontaktiere mail@pacefox.app. Wir benötigen gegebenenfalls einen angemessenen Nachweis deiner Identität oder elterlichen Befugnis. Auf Anfragen nach der DSGVO antworten wir normalerweise innerhalb eines Monats. Ist eine zulässige Verlängerung nötig, erläutern wir sie innerhalb dieser Frist. Für eine Datenschutzfrage ist weder ein öffentliches Profil noch ein Kauf erforderlich.

Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren, auch in dem Land, in dem du lebst oder arbeitest. Für unseren Sitz in Bayern ist die zuständige Behörde für private Unternehmen das Bayerische Landesamt für Datenschutzaufsicht (BayLDA).

14. Änderungen dieser Erklärung

Bevor wir die Verarbeitung personenbezogener Daten wesentlich ändern, aktualisieren wir diese Erklärung, informieren angemessen darüber und holen eine Einwilligung ein, soweit dies erforderlich ist. Derzeit nicht angebotene Funktionen wie Android-Unterstützung, direkte Web-Abrechnung oder Push-Mitteilungen sind nicht allein deshalb autorisiert, weil sie in einer Planung erscheinen.