Datenschutzerklärung

Dieser Teil betrifft die Website kindfair.net, die Anmeldekonten, die Vertrags- und Kontodaten der Betriebe, den technischen Betrieb der Plattform und Anfragen an den Anbieter. Für diese Verarbeitungen ist der Anbieter selbst verantwortlich. Wie Kindfair die Daten verarbeitet, die ein Betrieb in der Anwendung führt, beschreibt Teil 2.

Für diese Website und die Verarbeitungen dieses Teils ist der ANBIETER verantwortlich: Kutvention – Inh. Aykut Bicak (Einzelunternehmen), Seewenjestraße 175A, 28237 Bremen, E-Mail support@kindfair.net. Weitere Angaben stehen im Impressum. Eine datenschutzbeauftragte Person ist nicht benannt.

Für die Daten IN der Anwendung — Klienten, Protokolle, Personalakten — ist der jeweilige BETRIEB verantwortlich. Er entscheidet über Zwecke und Mittel; der Anbieter verarbeitet sie in seinem Auftrag (Art. 28 DSGVO). Name, Anschrift und Kontakt des Betriebs nennt das Bewerbungsformular des Betriebs unter „Verantwortlich"; im Übrigen seine eigene Information.

Die Unterscheidung ist keine Formsache: sie entscheidet, an wen sich eine betroffene Person mit einer Auskunft oder einer Löschung wendet.

Der Anbieter verarbeitet die Vertrags- und Kontodaten der Betriebe — Name und E-Mail-Adresse der Ansprechperson, Paket, Beginn der Zusammenarbeit und Testphase —, um den Vertrag über die Nutzung von Kindfair zu schließen und durchzuführen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Nach der kostenlosen Testphase zahlt der Betrieb im Abonnement über den Zahlungsdienstleister Stripe (Stripe Payments Europe, Limited, Dublin, Irland). Stripe erhält dafür Name, Anschrift und E-Mail-Adresse des Betriebs bzw. der Ansprechperson, die Zahlungsweise, die Zahl der aktiven Konten, die Beträge und die Zahlungsdaten, die der Betrieb bei Stripe selbst eingibt; der Anbieter sieht die Zahlungsdaten nicht. Namen einzelner Beschäftigter und Inhalte aus der Anwendung gehen nicht an Stripe. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Stripe verarbeitet die Zahlungsdaten nach seiner eigenen Einordnung als eigener Verantwortlicher, im Übrigen im Auftrag des Anbieters; die Datenschutzhinweise von Stripe gelten ergänzend. Stripe kann Daten auch in den USA verarbeiten; Grundlage sind der Angemessenheitsbeschluss zum EU-US Data Privacy Framework und die Standardvertragsklauseln der EU-Kommission.

Der Anbieter speichert sie für die Dauer des Vertrags und danach, soweit gesetzliche Aufbewahrungspflichten bestehen (§ 147 AO, § 257 HGB), bis zu deren Ablauf, im Übrigen bis zum Ende der regelmäßigen Verjährung (§§ 195, 199 BGB). In der Anwendung selbst fallen Vertrags- und Abodaten weg, sobald der Anbieter den Betrieb löscht; was danach einer Aufbewahrungspflicht unterliegt — vor allem Rechnungen und Zahlungsbelege —, liegt bei Stripe und in der Buchhaltung des Anbieters.

Name und E-Mail-Adresse der Ansprechperson sind für den Vertragsschluss erforderlich; gesetzlich vorgeschrieben ist ihre Angabe nicht. Fehlen sie, kann der Anbieter den Vertrag nicht schließen und den Zugang des Betriebs nicht einrichten. Hinterlegt der Betrieb nach der Testphase keine Zahlungsdaten bei Stripe, kann er Kindfair nur noch lesend nutzen, und nach dreißig weiteren Tagen endet der Vertrag.

Die Meldungen und Anfragen an VentionDesk beschreibt der Abschnitt „Kontaktformular und Fehlermeldungen", die technischen Protokolle bei Vercel, Render und Sentry der Abschnitt „Technische Protokolle".

Beim Betrieb der Anwendung entstehen technische Protokolle: das Protokoll der Auslieferung bei Vercel mit der aufgerufenen Adresse, die Laufprotokolle der Dienste bei Render und die Fehlerberichte und die Ablaufmessungen auf den Servern bei Sentry. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und fehlerfreien Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Ablaufmessungen im Browser gibt es nur mit Ihrer Einwilligung (Abschnitt „Anmeldung und Cookies").

Die Protokolle der Auslieferung bei Vercel werden spätestens nach einem Tag gelöscht, die Laufprotokolle bei Render spätestens nach 14 Tagen, Fehlerberichte und Ablaufmessungen bei Sentry spätestens nach 30 Tagen.

Enthält ein Protokoll Daten aus dem Bereich eines Betriebs, verarbeitet der Anbieter sie im Auftrag dieses Betriebs.

Wenn Sie uns über das Kontaktformular oder in der Anwendung über „Etwas melden" (das Fragezeichen unten rechts) schreiben, verarbeiten wir Ihre Angaben — beim Kontaktformular Name, E-Mail-Adresse und Nachricht, bei „Etwas melden" Nachricht, E-Mail-Adresse für Rückfragen und Ihren Namen aus Ihrer Personalakte —, einen aus dem Anfang der Nachricht gebildeten Betreff sowie technische Begleitdaten, um Ihre Anfrage zu bearbeiten und Fehler zu beheben. Technische Begleitdaten sind die aufgerufene Seite und, bei „Etwas melden", die Bildschirmbreite, Name und Kennung Ihres Betriebs, Ihre Rolle in der Anwendung, ob Sie als Anbieter angemeldet sind, ob die Seite Klientendaten zeigt und, falls Sie es beifügen, ein Bildschirmfoto. Das Feld für die E-Mail-Adresse ist bei „Etwas melden" mit der Adresse Ihres Kontos vorbelegt; bleibt es leer, wird die Adresse Ihres Kontos übermittelt.

An die angegebene E-Mail-Adresse senden wir eine automatische Eingangsbestätigung mit der Vorgangsnummer.

Schreiben Sie uns eine E-Mail an die Adresse im Abschnitt „Verantwortlicher", verarbeiten wir Ihre E-Mail-Adresse, den Inhalt der E-Mail mit Anhängen und die Angaben im Kopf der E-Mail, etwa den Zeitpunkt, um Ihre Anfrage zu bearbeiten. Die E-Mail geht in unser Postfach bei Google Workspace; zur Bearbeitung übernehmen wir sie in VentionDesk. Rechtsgrundlage und Speicherdauer sind dieselben wie bei einer Anfrage über das Kontaktformular.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage einen Vertrag mit Ihnen betrifft — etwa als Betrieb oder vor einem Vertragsschluss. Melden Sie sich als Beschäftigte oder Beschäftigter eines Betriebs, ist Rechtsgrundlage unser berechtigtes Interesse an der Bearbeitung von Anfragen und dem fehlerfreien Betrieb der Anwendung (Art. 6 Abs. 1 lit. f DSGVO); dasselbe gilt für alle übrigen Anfragen.

Für die Bearbeitung setzen wir unser Ticketsystem VentionDesk ein. Das Kontaktformular ist zusätzlich vor automatisierten Anfragen geschützt; das beschreibt der Abschnitt „Schutz der öffentlichen Formulare".

Technische Begleitdaten und Bildschirmfotos werden nach 90 Tagen gelöscht, Ihre Anfrage samt unserer Antwort sechs Jahre nach Abschluss des Vorgangs (Aufbewahrung von Geschäftsbriefen nach § 147 AO); einmal im Jahr löschen wir, was älter ist. Endet der Vertrag eines Betriebs, löschen wir seine Anfragen, soweit sie keine Geschäftsbriefe sind.

Um die Zahl der Anfragen zu begrenzen, speichert die Anwendung selbst beim Kontaktformular je Anfrage zwei mit einem Serverschlüssel gestreute Werte — einen aus der IP-Adresse, einen aus ihrem Netz — und den Zeitpunkt, nie die Adresse selbst; bei „Etwas melden" je Meldung Ihre Nutzerkennung und den Zeitpunkt. Diese Vermerke gehen nicht an VentionDesk und werden nach 24 Stunden gelöscht.

Ob Sie uns schreiben, entscheiden Sie selbst; weder Gesetz noch Vertrag verpflichten Sie dazu. Das Kontaktformular nimmt eine Anfrage nur mit Name, E-Mail-Adresse und Nachricht an, und ohne E-Mail-Adresse können wir Ihnen nicht antworten.

Bitte schicken Sie uns über diese Wege keine Gesundheitsdaten oder andere besondere Kategorien personenbezogener Daten, und achten Sie darauf, dass ein Bildschirmfoto keine Daten anderer Personen zeigt.

Das Kontaktformular, das Bewerbungsformular und die Seite zum Nachreichen von Unterlagen schützen wir mit Cloudflare Turnstile vor automatisierten Anfragen. Das Prüfprogramm von Cloudflare wird erst geladen, wenn Sie beginnen, das Formular auszufüllen; wer die Seite nur aufruft, löst es nicht aus. Es prüft im Browser technische Merkmale — nach Angabe von Cloudflare die IP-Adresse, Merkmale der verschlüsselten Verbindung, die Kennung des Browsers und die aufrufende Seite — und zeigt nur im Zweifel ein Feld zum Anklicken.

Das Ergebnis ist ein Prüfzeichen, das beim Absenden mitgeht. Unser Server lässt es von Cloudflare bestätigen, bevor er Ihre Angaben verarbeitet; ohne Bestätigung geht nichts weiter, und Sie können erneut senden. Ihre IP-Adresse übermittelt der Server dabei nicht zusätzlich. Die Anmeldung zu Kindfair nutzt Turnstile nicht.

Zweck ist, dass die Formulare von Menschen und nicht massenhaft von Programmen genutzt werden — Schutz vor Missbrauch und Überlastung. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Beim Bewerbungsformular und auf der Seite zum Nachreichen prüfen wir im Auftrag des Betriebs, an den sich Ihre Bewerbung richtet (Art. 28 DSGVO); Rechtsgrundlage ist dort dessen berechtigtes Interesse an einem sicheren Bewerbungsverfahren. Damit die Prüfung funktioniert, legt Cloudflare in seinem eingebetteten Prüffeld Angaben im Browser ab (Cookies oder lokaler Speicher unter der Adresse von Cloudflare); Namen und Dauer dieser Einträge veröffentlicht Cloudflare nicht. Das geschieht nur für das Absenden des Formulars, das Sie verlangen (§ 25 Abs. 2 Nr. 2 TDDDG).

Anbieter ist Cloudflare, Inc., San Francisco, USA. Cloudflare prüft die Merkmale in unserem Auftrag; nach eigener Angabe verwendet Cloudflare sie außerdem als eigener Verantwortlicher, um die Erkennung von Programmen zu verbessern. Für die Übermittlung in die USA gilt, was der Abschnitt „Empfänger und Auftragsverarbeiter" zu Cloudflare sagt.

Bei Entwicklung, Wartung und Fehlersuche setzt der Anbieter das KI-Werkzeug Claude Code von Anthropic ein. Über den Datenbankzugang des Anbieters hat es technisch vollen Zugriff auf die Datenbank der Anwendung, als deren Eigentümer und damit an Rechten und Zeilen-Sicherheit der Anwendung vorbei; über Anbindungen an die Konten des Anbieters liest es außerdem Einsatz-, Fehler- und Versanddaten der Dienstleister für Auslieferung, Fehlerberichte und E-Mail-Versand. Nach den Arbeitsregeln des Anbieters nutzt es den Datenbankzugang lesend und nur so weit, wie die jeweilige Aufgabe es verlangt, mit Abfragen auf Aufbau, Kennungen und Anzahlen statt auf Inhalte; schreibend nutzt es ihn nur, um Änderungen am Aufbau der Datenbank einzuspielen, oder im Einzelfall auf ausdrückliche Anweisung des Anbieters. Meldungen aus dem Meldefenster der Anwendung und Anfragen aus dem Kontaktformular liest es nicht. Diese Grenzen sind organisatorisch, nicht technisch. Was das Werkzeug liest, geht an Anthropic in den USA. Der Anbieter nutzt Claude Code über ein Konto zu Verbraucherbedingungen; einen Vertrag zur Auftragsverarbeitung mit Anthropic gibt es dafür nicht. Lesende Zugriffe auf diesem Weg erscheinen weder im Zugriffs- noch im Aktivitätsprotokoll der Anwendung, Spuren davon gibt es allein in den Protokollen des Betreibers der Datenbank; Änderungen an Daten hält das Aktivitätsprotokoll mit dem Kanal „sql“ fest.

Ein weiteres KI-Werkzeug, Codex von OpenAI, arbeitet nur am Quelltext von Kindfair; es hat keinen Zugang zur Datenbank, zu Anfragen aus dem Kontaktformular oder zu Meldungen aus der Anwendung.

Davon getrennt ist die maschinelle Übersetzung der Textfelder in Protokollen: Wird in einem solchen Textfeld Text gespeichert, geht er nach fünf Minuten automatisch an das KI-Modell Claude von Anthropic und wird einmal in die Sprache übersetzt, die der Betrieb für sein Unternehmen eingestellt hat; benutzt eine Person die Anwendung in einer anderen Sprache, wird er beim Öffnen außerdem in ihre Sprache übersetzt. Im Paket Start werden Textfelder nicht übersetzt. Anthropic verwendet ihn nicht zum Training seiner Modelle. Die Übersetzung trifft keine Entscheidung über eine Person; sie wird als maschinell gekennzeichnet, und das Original bleibt der Nachweis. Einzelheiten stehen im Abschnitt „Empfänger und Auftragsverarbeiter“.

Ebenfalls getrennt davon ist das Auslesen von Kontoauszügen, das ein Betrieb unter Finanzen einschalten kann (ab Werk aus): Ein hochgeladener Kontoauszug geht dann an ein anderes KI-Modell Claude von Anthropic als die Übersetzung, das die Buchungen ausliest und je Buchung eine Kostenart vorschlägt. Das Ergebnis ist als Vorschlag einer KI gekennzeichnet; in die Auswertung zählt eine Buchung erst, wenn eine Person sie übernimmt oder korrigiert. Anthropic verwendet die Datei nicht zum Training seiner Modelle. Einzelheiten stehen im Abschnitt „Empfänger und Auftragsverarbeiter“.

Die Anmeldung erfolgt ohne Passwort über einen Link an die dienstliche E-Mail-Adresse. Der Link gilt 15 Minuten und nur auf diesem Gerät.

Ein Konto ohne Zugang — ohne Mitgliedschaft bei einem Betrieb, ohne offene Einladung und ohne Zugang als Anbieter — wird in einem nächtlichen Lauf gelöscht, sobald der letzte Zugang seit 30 Tagen beendet ist und in dieser Zeit weder eine Anmeldung noch eine Anlage stattfand, samt Passkeys und zweitem Faktor. Wer danach wieder eingeladen wird, bekommt ein neues Konto.

Wer möchte, meldet sich statt mit dem Link mit einem Passkey an — mit Fingerabdruck, Gesicht oder der PIN des eigenen Geräts. Eingerichtet wird er freiwillig unter Einstellungen → Sicherheit. Gespeichert werden dazu nur der öffentliche Schlüssel des Passkeys, seine Kennung, ein Zähler, zwei technische Merkmale zur Sicherung auf anderen Geräten, der selbst gewählte Name des Geräts und die Zeitpunkte der Anlage und der letzten Benutzung. Biometrische Daten und der private Schlüssel verlassen das Gerät nie und erreichen uns nicht. Die Angaben bestehen, bis Sie den Passkey entfernen oder der Zugang beendet wird. Für jede Anmeldung mit Passkey entsteht eine Zufallszahl, die mit der Anmeldung, spätestens nach fünf Minuten gelöscht wird; zur Abwehr von Missbrauch zählen wir die Versuche je Netzadresse in gestreuter Form und löschen die Zählung nach 24 Stunden.

Statt mit dem Link oder einem Passkey kann sich anmelden, wer bei Google (Google Ireland Limited, Dublin, Irland), Apple (Apple Distribution International Limited, Cork, Irland) oder Microsoft (Microsoft Ireland Operations Limited, Dublin, Irland) ein Konto mit genau der dienstlichen E-Mail-Adresse hat, für die hier ein Zugang besteht. Mit einer anderen Adresse — auch mit „E-Mail verbergen“ bei Apple — entsteht kein Zugang und ist keine Anmeldung möglich. Die Anmeldung selbst findet beim Anbieter statt: er erfährt dabei, dass Sie sich bei Kindfair anmelden, und verarbeitet die Daten Ihres Kontos bei ihm in eigener Verantwortung nach seiner Datenschutzerklärung, auch in den USA. An den Anmeldedienst von Kindfair gibt er Ihre E-Mail-Adresse, die Angabe, ob sie bestätigt ist, eine Kennung Ihres Kontos beim Anbieter und — je nach Anbieter — Ihren Namen und die Adresse Ihres Profilbilds weiter. Der Anmeldedienst speichert diese Angaben bei Ihrem Konto, bis es gelöscht wird; zur Anmeldung verwendet Kindfair nur die E-Mail-Adresse und die Kennung. Ein Passwort des Anbieters erreicht Kindfair nie. Ist ein zweiter Faktor eingerichtet, verlangt auch diese Anmeldung den Code. Welche Anbieter angeboten werden, zeigt die Anmeldeseite.

Ebenso freiwillig kann jedes Konto unter Einstellungen → Sicherheit einen zweiten Faktor einrichten: einen Einmalcode aus einer Authenticator-App. Ist er eingerichtet, verlangt jede Anmeldung — per Link wie per Passkey — zusätzlich den Code. Beim Anmeldedienst wird dafür der geheime Schlüssel des Faktors gespeichert; die App selbst überträgt nichts. Der Faktor besteht, bis Sie ihn entfernen, der Anbieter ihn auf Ihre Bitte zurücksetzt oder der Zugang beendet wird. Zum Faktor können Sie zehn Wiederherstellungscodes erzeugen, mit denen Sie ihn ohne Telefon selbst entfernen; gespeichert wird je Code nur ein nicht umkehrbarer Prüfwert, nie der Code. Die Prüfwerte werden mit dem Faktor, beim Erzeugen neuer Codes oder mit dem Zugang gelöscht; die Versuche, einen Code einzulösen, zählen wir je Konto und löschen die Zählung nach 24 Stunden.

Die Sprache der Oberfläche wählt jede Person selbst — im Browser über das Personenmenü, in der App unter Einstellungen. Die Wahl steht beim Anmeldedienst in Ihrem Konto, bis Sie eine andere wählen oder das Konto gelöscht wird; in dieser Sprache gehen auch die E-Mails und Mitteilungen der Anwendung an Sie hinaus, sofern Ihr Betrieb die Vorlage nicht selbst geschrieben hat. Eine Wahl in der App gilt auch im Browser und wird dort zusätzlich als Wahl der App vermerkt; „Systemsprache“ löscht diesen Vermerk. Eine Wahl im Browser gilt in der App nicht: Solange Sie in der App keine Sprache wählen, richtet sie sich nach der Spracheinstellung des Telefons, im Browser ohne Wahl nach der des Browsers. Die Spracheinstellung des Geräts wird dafür gelesen und nicht gespeichert. Ihr Standort spielt keine Rolle.

Cookies werden nur durch eine Handlung gesetzt: beim Absenden des Anmeldeformulars, bei der Anmeldung über Google, Apple oder Microsoft, beim Anmelden mit einem Passkey oder beim Hinzufügen eines Passkeys, beim Umschalten der Darstellung und bei der Wahl zur Ablaufmessung. Wer die öffentlichen Seiten nur aufruft, bekommt keines. Wer beginnt, eines der öffentlichen Formulare auszufüllen, lädt die Prüfung von Cloudflare Turnstile; was sie im Browser ablegt, steht im Abschnitt „Schutz der öffentlichen Formulare". Die folgenden Absätze nennen jede Art einzeln, mit Zweck und Dauer. Eine feste Gesamtzahl steht hier bewusst nicht: wie viele es sind, hängt davon ab, wie oft ein Anmeldelink angefordert wurde.

Das Sitzungscookie „sb-<Kennung des Datenbankprojekts>-auth-token" hält den Zugangs- und den Erneuerungstoken der Anmeldung; bei längeren Werten kommen die Teile „.0" und „.1" hinzu. Es trägt „Secure" und „SameSite=Lax" und liegt höchstens 30 Tage auf dem Gerät. Diese Grenze ist gleitend: jede Auffrischung der Anmeldung setzt sie zurück, begrenzt wird also das unbenutzte Gerät. Bei Konten mit Admin-Rechten eines Betriebs und beim Anbieter liegt es höchstens 12 Stunden ab der Anmeldung auf dem Gerät; eine Auffrischung verlängert diese Frist nicht. Wird die Sitzung beendet, löscht die Anwendung das Cookie.

Beim Absenden des Anmeldeformulars und bei der Anmeldung über Google, Apple oder Microsoft entstehen im Browser weitere Cookies, deren Namen auf „-code-verifier" enden. Sie halten das Einmalgeheimnis, mit dem der Anmeldelink oder die Rückkehr vom Anbieter eingelöst wird: eines für jeden angeforderten Anmeldelink und jede begonnene Anmeldung über einen Anbieter, dazu ein Verzeichnis dieser Vorgänge und ein Eintrag für ältere Programmfassungen. Wer den Link mehrmals anfordert — weil die E-Mail nicht ankam oder die 15 Minuten abgelaufen waren —, hat deshalb mehrere davon nebeneinander; die Anwendung behält die fünf jüngsten Vorgänge und löscht die älteren. Nach dem Einlösen und beim Abmelden werden sie gelöscht; ein nicht eingelöster bleibt längstens 30 Tage.

Wer „Mit Passkey anmelden“ oder „Passkey hinzufügen“ wählt, setzt das Cookie „kindfair-passkey-anmeldung“ beziehungsweise „kindfair-passkey-einrichtung“. Es enthält nur eine zufällige Kennung des laufenden Vorgangs, ist für Skripte im Browser nicht lesbar, wird mit dem Abschluss gelöscht und gilt höchstens 5 Minuten.

Wer die Darstellung umschaltet — hell, dunkel oder automatisch —, setzt das Cookie „kindfair-darstellung". Es enthält nur die gewählte Darstellung, ist für Skripte im Browser nicht lesbar und gilt 365 Tage.

Wer im Hinweis „Ablaufmessung erlauben?“ eine Wahl trifft, setzt das Cookie „kindfair-messung-2“. Es enthält nur „ja“ oder „nein“ und gilt 365 Tage.

Alle genannten Cookies sind für den verlangten Dienst erforderlich und brauchen deshalb keine Einwilligung: ohne sie gibt es keine Anmeldung, keine Anmeldung mit Passkey, keine gemerkte Darstellung und keine gemerkte Wahl. Ein Cookie zu Werbe-, Analyse- oder Reichweitenzwecken wird nicht gesetzt; ein Einwilligungsbanner für Cookies gibt es deshalb nicht.

Das gilt für Cookies. Für die Ablaufmessungen, die an Sentry gehen (Abschnitt „Empfänger und Auftragsverarbeiter"), liest die Anwendung im Browser technische Merkmale des Geräts aus — Art der Verbindung, Größe des Arbeitsspeichers, Zahl der Prozessorkerne. Das geschieht nur mit Ihrer Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO): ohne Wahl und nach einer Ablehnung wird nicht gemessen. Fehlerberichte sind davon unabhängig: sie tragen nur, was zur Behebung eines Fehlers nötig ist — Fehlermeldung, Programmstelle, die Adresse der Seite und die Fassung der Anwendung —, keine Merkmale des Geräts und keinen Verlauf der Nutzung vor dem Fehler. Ihre Wahl können Sie hier oder über „Cookie-Einstellungen“ bei den rechtlichen Hinweisen jederzeit ändern; der Widerruf gilt ab dann. Sind Sie angemeldet, hält die Anwendung jede Wahl zusätzlich als Nachweis der Einwilligung fest (Art. 7 Abs. 1 DSGVO): Ihr Konto, „ja“ oder „nein“, die Fassung des Hinweises, seine Sprache und den Zeitpunkt — kein Gerät und keine Adresse. Der Nachweis wird mit Ihrem Konto gelöscht. Ohne Anmeldung gibt es keinen Nachweis ausser dem Cookie selbst.

Bei welchem Betrieb eine Adresse geführt wird, verrät die Anmeldung nicht. Die Anmeldemaske antwortet jeder Adresse gleich, ob für sie ein Zugang besteht oder nicht. Wer die Schnittstelle der Anmeldung unmittelbar aufruft, dem kann ihre Antwort dagegen erkennen lassen, ob für eine Adresse bereits ein Zugang besteht — ein Konto oder eine Einladung.

Die App „Kindfair" für iPhone und — sobald sie erscheint — für Android ist ein zweiter Zugang zu derselben Anwendung: dieselben Konten, dieselben Rechte, dieselben Daten. Was Sie in der App über betreute Personen, Protokolle, Auslagen, Abwesenheiten oder Kalendereinträge erfassen, verarbeitet der Anbieter wie im Browser im Auftrag Ihres Betriebs (Teil 2).

In der App melden Sie sich mit dem sechsstelligen Code an, der in derselben E-Mail wie der Anmeldelink steht, mit einem Passkey über Face ID, unter Android über Fingerabdruck, Gesichtserkennung oder die Displaysperre, oder über Apple, Google oder Microsoft, wie im Abschnitt „Anmeldung und Cookies" beschrieben; „Mit Apple anmelden“ läuft am iPhone über das Gerät selbst, Google und Microsoft — unter Android alle drei — in einem Anmeldefenster des Systems, das keine Cookies mit dem Browser teilt. Für den Code sendet die App Ihre dienstliche E-Mail-Adresse an den Anmeldedienst; die E-Mail wird wie im Browser über Resend versendet (Abschnitt „Empfänger und Auftragsverarbeiter"). Beim Passkey prüft das Gerät Ihr Gesicht oder Ihren Fingerabdruck selbst; die App und der Anbieter erhalten keine biometrischen Daten, sondern nur die Signatur, mit der Ihr Passkey die Anmeldung bestätigt. Rechtsgrundlage ist unser berechtigtes Interesse, den Beschäftigten der Betriebe einen sicheren Zugang zu ihrem Arbeitswerkzeug zu geben (Art. 6 Abs. 1 lit. f DSGVO).

Nach der Anmeldung legt die App den Zugangs- und den Erneuerungstoken im Schlüsselbund des iPhones ab, unter Android verschlüsselt mit einem Schlüssel aus dem Android-Keystore. Er ist nur bei entsperrtem Gerät lesbar, wandert in keine Sicherung und auf kein anderes Gerät und gilt höchstens 30 Tage ab der letzten Erneuerung, bei Konten mit Admin-Rechten eines Betriebs und beim Anbieter höchstens 12 Stunden ab der Anmeldung; beim Abmelden löscht die App ihn. Ebenfalls auf dem Gerät steht, ob Sie Mitteilungen ein- oder ausgeschaltet haben. Das Speichern auf dem Gerät ist für die Anmeldung, die Sie verlangt haben, unbedingt erforderlich und braucht keine Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG). Daneben merkt sich die App im selben Speicher unter „kindfair.wiedererkennung“, mit welchem Konto zuletzt eine Sitzung auf diesem Gerät bestand, Ihren Vornamen, den Namen Ihres Betriebs und die Kennung des Passkeys, den Sie auf diesem Gerät benutzen — damit die Anmeldung Sie wiedererkennt und den Passkey dieses Geräts zuordnet. Diese Angaben bleiben, wenn eine Sitzung nur abläuft, und werden gelöscht, sobald Sie sich in der App abmelden.

Nach der Anmeldung fragt das Betriebssystem, ob die App Mitteilungen senden darf; unter „Mehr" → „Mitteilungen" schalten Sie sie jederzeit aus und wieder ein. Erst wenn Sie erlauben, holt die App eine Gerätekennung — am iPhone von Apple, unter Android von Google — und meldet sie beim Anbieter an. Gespeichert werden je Gerät diese Kennung, Ihr Konto, die Umgebung (Test oder Betrieb) und die Zeitpunkte der Anmeldung und der letzten Erneuerung. Nach jeder E-Mail, die Kindfair Ihnen schickt, sendet der Anbieter über den Apple Push Notification service, unter Android über Firebase Cloud Messaging von Google, eine Mitteilung mit immer demselben Text: „Neue Mitteilung in Kindfair". Sie nennt keinen Namen, keinen Grund und keinen Zeitraum; mit ihr geht höchstens die Angabe, welche Seite der App sich beim Antippen öffnet, etwa „Abwesenheit" — ohne Angabe zu einem einzelnen Vorgang. Die Kennung wird gelöscht, wenn Sie Mitteilungen ausschalten, wenn Sie sich in der App abmelden, wenn Apple oder Google sie als ungültig zurückweist, wenn sich das Gerät 90 Tage lang nicht gemeldet hat, und mit Ihrem Konto. Erneuert wird sie bei jedem Start der App, solange Sie angemeldet sind. Mitteilungen gibt es nur, wenn Sie sie erlauben; Rechtsgrundlage ist unser berechtigtes Interesse, Sie auf neue Vorgänge hinzuweisen (Art. 6 Abs. 1 lit. f DSGVO), der Zugriff auf das Gerät geschieht für den Dienst, den Sie mit der Erlaubnis verlangen (§ 25 Abs. 2 Nr. 2 TDDDG). Empfänger und Übermittlung in die USA nennt der Abschnitt „Empfänger und Auftragsverarbeiter".

Auf Kamera, Mediathek und Mikrofon greift die App nur zu, wenn Sie einem Protokoll ein Foto oder Video oder einem Beleg ein Foto hinzufügen; beim ersten Mal fragt das Betriebssystem um Ihre Erlaubnis, die Sie in den Einstellungen des Geräts jederzeit zurücknehmen können. Das Mikrofon nimmt nur den Ton eines Protokollvideos auf. Hochgeladen werden allein die Aufnahmen, die Sie aufnehmen oder auswählen — für ein Protokoll aus der Mediathek auch mehrere auf einmal —, in die Ablage Ihres Betriebs; andere Fotos Ihrer Mediathek sieht die App nicht. Den Aufnahmeort, den ein Foto oder Video aus der Mediathek tragen kann, entfernt die App vor dem Hochladen; Fotos in Formaten, bei denen das nicht möglich ist, nimmt sie nicht an. Fotografieren Sie am iPhone einen Beleg, liest die Texterkennung des iPhones Betrag, Datum und Händler aus dem Bild, um die Felder vorzufüllen; das geschieht allein auf dem Gerät, das Bild geht dafür an niemanden, und gespeichert wird nur, was Sie mit dem Beleg speichern. Unter Android gibt es diese Erkennung nicht; dort füllen Sie die Felder selbst aus. Für den Inhalt gilt Teil 2.

Unter „Mehr“ → „Hilfe“ schicken Sie eine Meldung an den Support des Anbieters — wie über das Fragezeichen im Browser. Übermittelt werden Ihr Text, die Adresse für Rückfragen, Ihr Name, Ihr Betrieb und Ihre Rolle, der Name des Bildschirms und die Fassung der App; ein Bildschirmfoto nur, wenn Sie selbst eines aus der Mediathek anhängen. Wie die Meldung weiterverarbeitet wird, steht im Abschnitt „Kontaktformular und Fehlermeldungen“.

Stürzt die App ab oder tritt in ihr ein Fehler auf, den sie nicht abfangen kann, sendet sie einen Absturzbericht an Sentry in dessen EU-Region (Abschnitt „Empfänger und Auftragsverarbeiter"). Er enthält die Fehlermeldung, die Stelle im Programm, an der der Fehler auftrat, die Fassung der App, die Umgebung (Test oder Betrieb), das Betriebssystem mit seiner Fassung und das Gerätemodell. E-Mail-Adressen, Zugangsschlüssel, Kennungen von Datensätzen und die Angaben in Adressen entfernt die App vor dem Versand aus der Fehlermeldung. Der Bericht nennt weder Ihr Konto noch den Namen Ihres Geräts und enthält keinen Verlauf darüber, welche Bildschirme Sie zuvor geöffnet oder was Sie getippt haben, kein Bildschirmfoto und keine Aufzeichnung der Nutzung. Stürzt der systemnahe Teil der App ab, geht der Bericht beim nächsten Start hinaus; er kann dann zusätzlich Angaben zum Speicher des Geräts und eine zufällige Kennung tragen, die die Absturzerfassung für diese Installation der App erzeugt und die weder Ihr Konto noch Ihr Gerät bezeichnet. Die IP-Adresse der Verbindung speichert Sentry nicht. Rechtsgrundlage ist unser berechtigtes Interesse an einer fehlerfreien App (Art. 6 Abs. 1 lit. f DSGVO); Gerätemodell und Betriebssystem liest die App aus, weil ein Absturz ohne sie nicht zu beheben ist (§ 25 Abs. 2 Nr. 2 TDDDG). Sentry löscht die Berichte spätestens nach 30 Tagen. Fassungen der App, die vor dem 20.10.2026 gebaut wurden, senden keine Absturzberichte.

Die App enthält keine Werbung, keine Werkzeuge zur Analyse oder Reichweitenmessung und kein Tracking über Apps oder Websites anderer Anbieter hinweg. Sie fragt keinen Standort ab und liest keine Kontakte aus; ein Tipp auf eine Telefonnummer öffnet nur die Telefon-App. Der Knopf „Route“ an einem Einsatz öffnet am iPhone Apple Karten, unter Android Google Maps, mit dem Ort der Unterkunft als Ziel; die App sendet dafür nichts an den Anbieter, und was die Karten-App mit dem Ziel und Ihrem Standort tut, verantworten Apple und Google selbst. Haben Sie in den Einstellungen des iPhones erlaubt, Analysedaten mit App-Entwicklern zu teilen, stellt Apple dem Anbieter zusammengefasste Nutzungszahlen und Absturzberichte bereit; unter Android tut Google dasselbe, wenn Sie auf dem Gerät erlaubt haben, Nutzungs- und Diagnosedaten zu senden. Dafür sind Apple und Google jeweils selbst verantwortlich.

Für die Prüfung der App durch Apple und Google gibt es ein einzelnes Prüfkonto in einem Prüfbetrieb des Anbieters, der nur erfundene Daten enthält. Nur dieses Konto meldet sich in der App mit einem Passwort statt des Codes an — die App fragt dazu nach der Eingabe der Adresse beim Anbieter nach, ob es das Prüfkonto ist —, das der Anbieter vom System erzeugen lässt und nach jeder Prüfung erneuert; gespeichert wird davon nur ein Prüfwert, und jede Anmeldung damit wird protokolliert. Für andere Konten vergibt der Anbieter kein Passwort; dort führt der Weg nur zu einer Abweisung.

Die App beziehen Sie über den App Store, die Android-App über Google Play. Die Daten, die dabei entstehen — Apple- oder Google-Konto, Lade- und Kaufvorgang —, verarbeiten Apple und Google in eigener Verantwortung.

Die Daten liegen bei Supabase in der Region eu-central-1 (Frankfurt am Main). Vertragspartner ist die Supabase Pte. Ltd., Singapur; eine Gesellschaft in der EU gibt es nicht. Zugriffe von Supabase zu Wartung und Support sind auch aus Staaten außerhalb der EU möglich, auch aus den USA, wo Behörden nach dortigem Recht Zugriff verlangen können. Die Übermittlung stützt sich auf die Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914).

Die zeitgesteuerten Dienste laufen bei Render (Render Services, Inc., San Francisco, USA) in der Region Frankfurt.

Die Anwendung selbst wird bei Vercel (Vercel Inc., Covina, USA) betrieben; ihre Serverfunktionen laufen in der Region fra1 (Frankfurt am Main). Anfragen von außerhalb der EU nimmt Vercel an Standorten nahe der anfragenden Person entgegen.

Der Mailversand läuft über Resend (Plus Five Five, Inc., San Francisco, USA). Versendet wird aus der Region eu-west-1 (Irland); die E-Mails einschließlich Empfängeradresse, Betreff und Inhalt, dazu Zustellprotokolle, Webhook-Daten und Kontodaten speichert Resend in den USA; E-Mails und Protokolle werden nach 30 Tagen gelöscht.

Fehlerberichte und stichprobenartige Ablaufmessungen gehen an Sentry (Functional Software, Inc., San Francisco, USA) in dessen EU-Region: technische Angaben und die Adresse der Seite. Im Browser wird nur mit Ihrer Einwilligung gemessen. Auf den Servern der Anwendung und der Dienste misst der Anbieter ohne Einwilligung eine Stichprobe von 10 Prozent der Anfragen: den aufgerufenen Pfad samt den Angaben in der Adresse, die Dauer der einzelnen Schritte, das Ergebnis und technische Kopfzeilen wie die Kennung des Browsers — ohne den Inhalt der Anfrage, ohne Cookies und ohne Anmeldedaten. Rechtsgrundlage dafür ist unser berechtigtes Interesse an einem sicheren und fehlerfreien Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Aus Fehlerberichten und Ablaufmessungen werden E-Mail-Adresse, IP-Adresse und Benutzername vor dem Versand entfernt; eine Kennung der angemeldeten Person setzt die Anwendung nicht. Bei Ablaufmessungen leitet Sentry beim Empfang aus der Verbindung einen ungefähren Ort (Stadt) ab und speichert ihn mit der Messung — bei einer Messung im Browser aus Ihrer Verbindung, bei einer Messung auf dem Server aus der des Servers; die IP-Adresse selbst speichert Sentry nicht. Fehlerberichte tragen keinen Ort. Auch die Absturzberichte der App gehen an Sentry (Abschnitt „App für iPhone und Android").

Das Kontaktformular, das Bewerbungsformular und die Seite zum Nachreichen von Unterlagen schützt Cloudflare Turnstile (Cloudflare, Inc., San Francisco, USA) vor automatisierten Anfragen; was dabei verarbeitet wird, steht im Abschnitt „Schutz der öffentlichen Formulare".

Die Dateien, die in der Anwendung abgelegt werden, sichert der Anbieter jede Nacht bei Cloudflare (Cloudflare, Inc., San Francisco, USA) in einem Speicherbereich in der EU. Sie werden vorher verschlüsselt; den Schlüssel hat allein der Anbieter, Cloudflare sieht weder den Inhalt noch den Namen einer Datei. Gelöschte und geänderte Dateien bleiben dort 30 Tage und werden dann gelöscht.

Push-Mitteilungen an die iPhone-App stellt Apple zu (Apple Distribution International Limited, Cork, Irland, mit Apple Inc., Cupertino, USA). Übermittelt werden die Gerätekennung des iPhones, der neutrale Text „Neue Mitteilung in Kindfair“ in der Sprache der empfangenden Person und, wo vorgesehen, der Pfad der Seite der App, die sich beim Antippen öffnet, etwa „Abwesenheit“ — kein Name, kein Grund, kein Zeitraum, keine Kennung eines Vorgangs. Apple kann die Daten in den USA verarbeiten; Grundlage sind nach Apples Datenschutzrichtlinie die Standardvertragsklauseln der EU-Kommission.

Push-Mitteilungen an die Android-App stellt Google über Firebase Cloud Messaging zu (Google Ireland Limited, Dublin, Irland, mit Google LLC, Mountain View, USA), sobald die Android-App erscheint. Übermittelt werden die Gerätekennung, derselbe neutrale Text und, wo vorgesehen, derselbe Pfad einer Seite der App — kein Name, kein Grund, kein Zeitraum, keine Kennung eines Vorgangs. Google kann die Daten in den USA verarbeiten; Grundlage sind der Angemessenheitsbeschluss zum EU-US Data Privacy Framework, nach dem Google LLC zertifiziert ist, und ergänzend die Standardvertragsklauseln der EU-Kommission in den Datenverarbeitungsbedingungen von Google.

Wer sich über Google, Apple oder Microsoft anmeldet, wird zur Anmeldung an den gewählten Anbieter weitergeleitet; der Anbieter handelt dabei in eigener Verantwortung, nicht im Auftrag von Kindfair. Was er erfährt und was er an Kindfair weitergibt, steht im Abschnitt „Anmeldung und Cookies".

Die Textfelder in der Checkliste eines Protokolls übersetzt ein KI-Modell Claude von Anthropic (Anthropic Ireland, Limited, Dublin, Irland, mit Anthropic, PBC, San Francisco, USA). Übertragen werden automatisch der Text eines Textfeldes fünf Minuten nach dem Speichern und die Sprache, die der Betrieb für sein Unternehmen eingestellt hat; benutzt eine Person die Anwendung in einer anderen Sprache, beim Öffnen außerdem diese Übersetzung und die Sprache der Person. Übersetzt wird erst, wenn die Verwaltung des Betriebs den Vertrag zur Auftragsverarbeitung in der Fassung bestätigt hat, die Anthropic nennt, und nicht im Paket Start. Vorher ersetzt Kindfair den Namen der betreuten Person sowie erkennbare Anschriften, Telefonnummern, E-Mail-Adressen und Kontonummern durch neutrale Kennzeichen und setzt sie nach der Übersetzung wieder ein; andere Angaben im Text, etwa Namen weiterer Personen, werden nicht ersetzt. Anthropic verarbeitet den Text in den USA und an weiteren Standorten außerhalb der EU, verwendet ihn nicht zum Training und löscht ihn nach eigener Angabe spätestens nach 30 Tagen. Die Übermittlung stützt sich auf die Standardvertragsklauseln der EU-Kommission im Vertrag zur Auftragsverarbeitung von Anthropic. Die Übersetzungen legt Kindfair beim Protokoll ab und löscht sie, sobald sich der Text ändert oder das Protokoll gelöscht wird.

Hat ein Betrieb unter Finanzen das automatische Auslesen eingeschaltet (ab Werk aus), geht jeder Kontoauszug, den er als PDF oder Foto hochlädt, an ein anderes KI-Modell Claude von Anthropic. Übertragen wird die ganze Datei mit allen Buchungen — Buchungsdatum, Verwendungszweck, Name der Gegenpartei, Betrag und Salden —, ohne dass Namen vorher ersetzt werden. Ausgelesen wird erst, wenn die Verwaltung des Betriebs den Vertrag zur Auftragsverarbeitung in der Fassung bestätigt hat, die diesen Zweck nennt. Anthropic gibt die gelesenen Buchungen mit einem Vorschlag für die Kostenart zurück; Kindfair legt sie als Vorschläge beim Kontoauszug ab, und eine Person übernimmt oder korrigiert sie. Verarbeitung, Löschung bei Anthropic und Grundlage der Übermittlung sind dieselben wie bei der Übersetzung; Kindfair vermerkt je Aufruf nur Zahl der Token und Kosten, keinen Inhalt.

Für Vercel, Render, Resend, Sentry und Cloudflare stützt sich eine Übermittlung in die USA auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework vom 10.07.2023, nach dem die Unternehmen zertifiziert sind, und ergänzend auf die Standardvertragsklauseln der EU-Kommission.

E-Mails an die Adresse im Impressum gehen in das Postfach des Anbieters bei Google Workspace (Google Ireland Limited, Dublin, Irland). Google kann sie auch in Rechenzentren außerhalb der EU verarbeiten; Grundlage sind die Standardvertragsklauseln der EU-Kommission in den Datenverarbeitungsbedingungen von Google.

Meldungen aus dem Meldefenster der Anwendung, Anfragen aus dem Kontaktformular und E-Mails an die Adresse im Impressum gehen an unser Ticketsystem VentionDesk. VentionDesk betreiben wir selbst; es ist kein Auftragsverarbeiter. Empfänger sind die Dienstleister, auf denen es läuft: Schnittstelle und Ticketeingang laufen bei Render in der Region Frankfurt, die Weboberfläche bei Vercel mit Serverfunktionen in der Region fra1 (Frankfurt am Main). Die Meldungen und ihre Anhänge wie Bildschirmfotos liegen bei Supabase in der Region eu-central-1 (Frankfurt am Main), in einem eigenen Projekt getrennt von dem der Anwendung. Die Eingangsbestätigung wird über Resend aus der Region eu-west-1 (Irland) versendet; auch hier speichert Resend die E-Mails samt Inhalt nach eigener Angabe in den USA. Fehlerberichte von VentionDesk gehen an Sentry in dessen EU-Region.

Mit Supabase, Vercel, Render, Resend, Sentry, Google und Cloudflare bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO; sie gelten auch für den Betrieb von VentionDesk. Mit Anthropic besteht ein Vertrag zur Auftragsverarbeitung für die Übersetzung und das Auslesen der Kontoauszüge.

Zahlungen der Betriebe wickelt Stripe (Stripe Payments Europe, Limited, Dublin, Irland) ab; Einzelheiten stehen im Abschnitt „Vertrags- und Kontodaten".

Über diese Dienstleister hinaus werden Daten nur an Stellen übermittelt, denen gegenüber eine gesetzliche Auskunfts- oder Nachweispflicht besteht — insbesondere den Kostenträger nach § 62 ff. SGB VIII.

Für die Daten, die ein Betrieb in der Anwendung führt, ist der jeweilige Betrieb verantwortlich; der Anbieter verarbeitet sie in seinem Auftrag. Dieser Teil beschreibt, wie die Anwendung mit diesen Daten umgeht. Zwecke und Rechtsgrundlagen legt der jeweilige Betrieb fest.

Verarbeitet werden Sozialdaten aus der Assistenz- und Jugendhilfe: Klientenakten und Hilfeplanung, Einsatzplanung und Teamkalender, Unterbringung, Protokolle in den Arten, die der Betrieb festlegt — etwa Übergabe, Einzug und Umzug —, auch mit frei formulierten Textfeldern, Personalakten, Abwesenheiten, Auslagen und Abrechnung, die Finanzen des Betriebs mit Kontoauszügen und Bankbuchungen — schaltet der Betrieb es ein, mit dem Vorschlag einer KI für die Kostenart jeder Buchung, den eine Person übernimmt oder korrigiert — sowie die Rechnungen, die Mitarbeitende in freier Mitarbeit dem Betrieb stellen — mit Name, Privatadresse, Steuernummer oder Umsatzsteuer-Identifikationsnummer und der Bankverbindung aus der Personalakte.

Zwecke und Rechtsgrundlagen legt der jeweilige Betrieb fest. Typischerweise sind es die Durchführung der Betreuung und die Nachweispflichten gegenüber dem Kostenträger, gestützt auf Art. 6 Abs. 1 lit. b und c sowie Art. 9 Abs. 2 lit. b und h DSGVO in Verbindung mit § 35 SGB I, §§ 61 ff. SGB VIII und § 22 BDSG. Die Daten unterliegen beim Betrieb dem Sozialgeheimnis.

Eine automatisierte Entscheidungsfindung oder ein Profiling im Sinne des Art. 22 DSGVO findet nicht statt.

Jeder Betrieb ist ein eigener Mandant. Jede Tabelle trägt die Kennung des Mandanten, und die Datenbank setzt die Trennung selbst durch (Row-Level-Security) — nicht erst die Oberfläche. Der Mandant sieht ausschließlich seine eigenen Daten.

Innerhalb eines Betriebs gilt zusätzlich die Rolle: die festen Rollen Betreuer, Planer und Admin und eigene Rollen, die die Verwaltung des Betriebs je Vorgang zuschneidet, etwa für die Buchhaltung — höchstens mit den Rechten eines Admins und nie mit den Einstellungen, den Schlüsseln der Programmierschnittstelle oder dem Änderungs-, Zugriffs- und Aktivitätsprotokoll. Ein Betreuer sieht nur die Betreuungsteams, in denen er Mitglied ist, und von fremden Mitarbeitenden nur Bild, Telefon, E-Mail und Funktion; eine eigene Rolle ebenso, solange die Verwaltung ihr nicht die Rechte „Klienten aller Teams lesen“ oder „Volle Akten anderer lesen“ gibt.

Ein neuer Mandant startet leer. Es entsteht ein leerer Mandant mit Admin-Konto — keine Daten anderer Mandanten sind sichtbar.

Jede Änderung an einem Datensatz der Fachbereiche und am Vertragsstand des Betriebs (Paket, Ansprechpartner) wird mit Zeitpunkt, handelnder Person, Tabelle, vorherigem und neuem Stand festgehalten. Das Änderungsprotokoll wird nach 12 Monaten gelöscht. Das Protokoll lässt sich nur anfügen; Ändern und Löschen sind allen Rollen entzogen.

Wird ein Datensatz mit Sozial- oder Personaldaten gelöscht, entfernt die Datenbank im selben Zug seinen Inhalt auch aus dem Änderungsprotokoll; dort bleibt nur, dass er gelöscht wurde, wann und von wem. Einen einzelnen Eintrag bereinigt allein der Anbieter auf ausdrückliche Weisung des Betriebs und vermerkt den Eingriff.

Öffnet der Anbieter die Ansicht eines Betriebs („Als Mandant öffnen"), wird der Zugriff mit Beginn, Ablauf und Grund festgehalten. Der Admin des Betriebs sieht ihn im Aktivitätsprotokoll der Anwendung; auf Anfrage gibt der Anbieter Auskunft über Grund und Umfang. Eine Nachricht je Zugriff geht nicht hinaus. Der Zugriff endet automatisch. Auch einen gesperrten Betrieb kann der Anbieter so öffnen, um die Zusammenarbeit abzuwickeln; festgehalten wird der Zugriff dann ebenso.

Der Anbieter sieht Konten, Pakete und Zugriffe — Inhalte eines Betriebs in der Anwendung nur über einen solchen protokollierten Zugriff. Außerhalb dieses Wegs greift der Anbieter nur zur Abwehr einer Störung, zur Wiederherstellung von Daten oder auf ausdrückliche Weisung unmittelbar auf Datenbank oder Dateiablage zu; diese Fälle hat der Betrieb im Vertrag zur Auftragsverarbeitung allgemein angewiesen. Der Anbieter vermerkt jeden solchen Zugriff mit Zeitpunkt, Anlass und Umfang und gibt dem Betrieb auf Nachfrage Auskunft darüber.

Festgehalten wird nicht nur, wer etwas geändert hat, sondern auch, wer eine Klienten- oder Personalakte geöffnet und wer eine Datei mit Personenbezug abgerufen hat. Jede Ausfuhr des gesamten Bestands eines Betriebs steht ebenfalls darin — wer, wann, für welchen Betrieb und mit wie vielen Dateien und Lücken, ohne Inhalte; auch eine abgebrochene oder unvollständige Ausfuhr.

Der Vermerk fasst zusammen: derselbe Mensch, dieselbe Akte und eine Viertelstunde ergeben einen Eintrag. Das Protokoll ist damit kein Klickprotokoll und nicht zur Verhaltens- oder Leistungskontrolle bestimmt. Gelesen wird es von der Verwaltung des Betriebs; wer die eigene Personalakte geöffnet hat, erfährt jede Person auf Anfrage von der Verwaltung.

Aufbewahrt wird es zwölf Monate und danach gelöscht. Die Frist richtet sich nicht nach den Fristen der Akten und Dateien, die es nennt, weil es nicht der Akte dient, sondern ihrer Kontrolle; ein Eintrag kann deshalb kürzer oder länger stehen als die Akte selbst.

Eine Grenze gehört dazu: erfasst wird der Weg über diese Anwendung. Ein unmittelbarer Zugriff auf die Datenbank mit einem technischen Schlüssel erscheint hier nicht; ihn vermerkt der Anbieter nach dem Abschnitt „Protokollierung" und gibt dem Betrieb auf Nachfrage Auskunft darüber. Ebenso wenig erscheinen hier die Zugriffe des KI-Werkzeugs der Entwicklung, das Teil 1 im Abschnitt „KI-Werkzeuge und maschinelle Übersetzung" beschreibt.

Für die Datenarten der folgenden Aufstellung ist eine Frist mit Rechtsgrundlage hinterlegt. Die Dauer stellt der Betrieb ein; die Rechtsgrundlage ist nicht einstellbar. Nicht jeder Bestand hat eine Frist in dieser Aufstellung: für Kalendereinträge und Kontoauszüge ist heute keine hinterlegt; für das Protokoll der Zugriffe des Anbieters, offene Einladungen, Anmeldekonten ohne Zugang und weitere technische Daten gelten feste Fristen des Systems, die der Betrieb nicht einstellt — sie nennt der Abschnitt „Durchsetzung der Löschung". Rechnungen freier Mitarbeit sind Buchungsbelege des Betriebs (§ 147 AO) und gehören wie die Auslagen zu den „Entgelt- und Lohnunterlagen"; gelöscht werden sie nicht automatisch, sondern von Hand durch die Verwaltung des Betriebs.

Eine Klienten- oder Personalakte kann ein Admin des Betriebs jederzeit endgültig löschen; ob eine Aufbewahrungspflicht entgegensteht, prüft der Betrieb. Löscht der Anbieter einen Betrieb insgesamt, gehen dessen Akten mit. Und mit einer Personalakte entfallen auch ihre Einsätze in Klientenakten.

30 Tage bevor die Aufbewahrung einer Klientenakte endet, geht eine Erinnerung an die Admins des Betriebs. Sie rechnet mit der eingestellten Frist „Klientenakte und Dokumentation" ab dem Ende der Betreuung, ohne eigene Einstellung mit der Voreinstellung aus der folgenden Aufstellung; eine Akte ohne eingetragenes Betreuungsende bekommt keine. Gelöscht wird die Akte nicht automatisch.

Die folgende Aufstellung nennt die Voreinstellung des Systems. Der eigene Betrieb kann längere Fristen gesetzt haben.

Automatisch gelöscht wird allein, was ein nächtlicher Lauf in der Anwendung erfasst: Bewerbungen samt Unterlagen sechs Monate nach der Entscheidung, ohne Entscheidung sechs Monate nach dem Eingang; die Fotos und Videos an Protokollen, auch an Protokollen eigener Arten, samt ihrer Dateien nach Ablauf der Frist „Fotodokumentation Übergaben", die der Betrieb einstellt (Voreinstellung 12 Monate ab dem Datum des Protokolls) — das Protokoll selbst bleibt und vermerkt nur, an welchem Tag seine Aufnahmen gelöscht wurden; das Zugriffsprotokoll nach 12 Monaten; das Änderungsprotokoll samt der Vermerke über Bereinigungen nach 12 Monaten; das Protokoll der versandten Benachrichtigungen nach 6 Monaten; die technischen Vermerke des Bewerbungsformulars, der Seite zum Nachreichen von Unterlagen, von „Etwas melden" und des Kontaktformulars nach 24 Stunden. Die Dateien der Bewerbungen werden dabei mitgelöscht, ebenso ihre Nachforderungen und die Links zum Nachreichen.

Technische Daten löscht derselbe Lauf nach festen Fristen, die der Betrieb nicht einstellt: das Aktivitätsprotokoll 12 Monate nach dem Eintrag; das Protokoll der Abrufe über die Kindfair-API 30 Tage nach dem Abruf; die Vermerke über Zugriffe des Anbieters („Als Mandant öffnen") 6 Monate nach dem Ende des Zugriffs; die technischen Vermerke über Ausfuhren des gesamten Bestands 6 Monate nach ihrem Beginn; Vertretungen 30 Tage nach ihrem Ablauf; gesperrte und abgelaufene API-Schlüssel samt ihrer Abrufe 90 Tage nach Sperre oder Ablauf; nicht angenommene Einladungen 30 Tage nach dem Versand; der Zugang einer ausgeschiedenen Person zum Betrieb 30 Tage nach dem Austritt; ein Anmeldekonto, das keinen Zugang mehr hat, 30 Tage nach dem Ende des letzten Zugangs; im Protokoll der versandten Benachrichtigungen Empfänger und Fehlertext 30 Tage nach dem Versand; die Gerätekennungen für Mitteilungen der App 90 Tage nach der letzten Meldung des Geräts; und Dateien in der Ablage, zu denen kein Datensatz mehr gehört, 7 Tage nach dem letzten Schreiben. Wann ein Anmeldekonto keinen Zugang mehr hat, beschreibt Teil 1 im Abschnitt „Anmeldung und Cookies".

Das Änderungsprotokoll hält bei jeder Änderung den vorherigen Stand eines Datensatzes fest. Wird ein Datensatz mit Sozial- oder Personaldaten gelöscht, bleibt dort nur, dass er gelöscht wurde, wann und von wem — nicht sein Inhalt.

Die Einsätze der Einsatzplanung werden nach Ablauf der Frist „Arbeitszeitnachweise" (Voreinstellung 24 Monate ab dem Ende des Monats) anonymisiert: ein nächtlicher Lauf entfernt die eingeplante Person, auch aus dem Änderungsprotokoll. Betreute Person, Tag und Zeitfenster bleiben für die Dokumentation und die Auswertungen.

Die Klientenakte wird ausdrücklich NICHT automatisch gelöscht. Die Aufbewahrung nach § 62 ff. SGB VIII endet nicht an einem Datum, das sich ausrechnen lässt — es kommt darauf an, ob noch ein Verfahren läuft. Entschieden wird von Hand; das gilt für „Klientenakte und Dokumentation", „Hilfeplanung und Berichte", „Abrechnungsunterlagen Klient", „Personalakte" und „Entgelt- und Lohnunterlagen".

Wie die Klientenakte legt die Anwendung den Admins des Betriebs nach Ablauf der Frist auch „Abrechnungsunterlagen Klient" und „Entgelt- und Lohnunterlagen" zur Prüfung vor; 30 Tage vorher geht eine Erinnerung. Gelöscht werden auch diese Daten nur von Hand.

Ein Löschantrag nach Art. 17 wird unabhängig davon einzeln geprüft: gesetzliche Aufbewahrungspflichten gehen ihm vor.

Das Bewerbungsformular ist ohne Anmeldung erreichbar. Freigeschaltet wird es erst, wenn der Betrieb Name, Anschrift, einen Kontakt und seine Aufsichtsbehörde hinterlegt hat; das Formular nennt diese Angaben. Der Betrieb verarbeitet die Angaben, um über die Bewerbung zu entscheiden; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Nach einer Absage bewahrt er sie zur Abwehr von Ansprüchen nach dem Allgemeinen Gleichbehandlungsgesetz auf (Art. 6 Abs. 1 lit. f DSGVO); nach sechs Monaten gelöscht werden sie vom nächtlichen Lauf. Das Formular und die Seite zum Nachreichen schützt der Anbieter im Auftrag des Betriebs vor automatisierten Anfragen; das beschreibt Teil 1 im Abschnitt „Schutz der öffentlichen Formulare".

Fehlen Unterlagen, kann der Betrieb sie nachfordern. Die bewerbende Person bekommt dann eine E-Mail mit einem Link, über den sie genau die angeforderten Unterlagen ohne Anmeldung hochlädt. Die Seite hinter dem Link nennt nur den Betrieb und die Arten der angeforderten Unterlagen, nichts aus der Bewerbung. Die hochgeladenen Dateien liegen danach bei der Bewerbung und werden mit ihr gelöscht.

Der Link gilt 14 Tage ab der ersten E-Mail und lässt sich genau einmal absenden; das Öffnen der Seite verbraucht ihn nicht. Gespeichert wird er nur als Prüfwert (SHA-256), nicht im Klartext. Nach einer Zusage oder Absage nimmt er nichts mehr an. Nach 7 Tagen ohne die angeforderten Unterlagen geht eine Erinnerung mit einem neuen Link hinaus, der bis zum selben Tag gilt; über beide Links zusammen lässt sich nur einmal absenden.

Um das Durchprobieren von Links zu bremsen, wird jeder Aufruf der Seite mit einer Absenderkennung vermerkt, die mit einem Serverschlüssel aus der IP-Adresse gestreut ist — nie mit der Adresse selbst. Die Vermerke werden nach 24 Stunden gelöscht.

Eine Grenze gehört dazu: der Zugang steht im Link, und zwar hinter dem Zeichen „#". Diesen Teil schickt der Browser nicht an den Server; er steht deshalb nicht im Zugriffsprotokoll der Auslieferung, wohl aber im Text der E-Mail, auch beim Mailversand, und kann im Browserverlauf stehen. Die Seite nimmt ihn nach dem Öffnen aus der Adresszeile und schickt ihn nur beim Prüfen und Absenden an den Server. Links, die vor dem 27.09.2026 verschickt wurden, tragen den Zugang noch in der Adresse; ihr Aufruf steht einmal im Zugriffsprotokoll der Auslieferung. Aus Fehlerberichten und Ablaufmessungen wird er vor dem Versand entfernt, und die Seite gibt ihre Adresse nicht als Herkunft an andere Websites weiter.

Es besteht das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Eine erteilte Einwilligung kann jederzeit für die Zukunft widerrufen werden.

Bei Sozialdaten treten die Sonderregeln der §§ 83 ff. SGB X hinzu; sie können das Auskunfts- und Löschungsrecht einschränken, solange gesetzliche Aufbewahrungsfristen laufen.

Anfragen zu den Sozialdaten in der Anwendung richten sich an den verantwortlichen Betrieb. Anfragen zu dieser Website und zu den Vertrags- und Kontodaten der Betriebe richten sich an den Anbieter; der Kontakt steht im Abschnitt „Verantwortlicher" und im Impressum.

Der Anbieter beantwortet eine Anfrage innerhalb eines Monats (Art. 12 Abs. 3 DSGVO). Bestehen Zweifel, ob die Anfrage von der betroffenen Person stammt, fragt er vorher nach. Erreicht ihn eine Anfrage zu Daten eines Betriebs, leitet er sie an diesen weiter.

Jede betroffene Person kann sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat ihres Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

Für die Verarbeitungen, für die der Anbieter verantwortlich ist, ist die Aufsichtsbehörde an seinem Sitz zuständig: Der Landesbeauftragte für Datenschutz und Informationsfreiheit der Freien Hansestadt Bremen, Georgstraße 122-124, 27570 Bremerhaven.

Für die Daten in der Anwendung richtet sich die zuständige Behörde nach dem Sitz des verantwortlichen Betriebs, bei einem Betrieb in kirchlicher Trägerschaft ist es die kirchliche Datenschutzaufsicht. Welche es ist, nennt der Betrieb in seiner eigenen Information und am Bewerbungsformular.

Diese Erklärung hat den Stand vom 21.10.2026.