Datenschutzerklärung der App

Neu gegenüber der Fassung datenschutz-2026-21: Die Erklärung beschreibt jetzt auch Mitteilungen auf Android über Firebase Cloud Messaging (FCM) von Google. Die technische Zustellkennung, neutrale Mitteilungsdaten und die Verarbeitung durch Google werden unten erläutert. Google Analytics wird nicht eingesetzt. Bestehende Einwilligungen für Kinder und deren bisherige Funktionen werden durch diese Ergänzung nicht zurückgenommen.

Diese Erklärung beschreibt, was die App CoParity mit euren Daten tut, auf dem iPhone, auf Android und im Browser. Sie beschreibt keine Absicht, sondern das, was gebaut ist: wo etwas nicht gespeichert wird, ist es auch technisch nicht vorgesehen.

1. Verantwortlicher

Datargo GmbH
Omniturm
Neue Mainzer Straße 52-58
60311 Frankfurt am Main

Vertreten durch Andreas Mallek
Amtsgericht Friedberg (Hessen), HRB 9742
E-Mail: [email protected]

Ein Datenschutzbeauftragter ist nicht bestellt; die Voraussetzungen des § 38 BDSG liegen nicht vor. Anfragen zum Datenschutz gehen an die oben genannte Adresse.

2. Was verarbeitet wird, wozu und auf welcher Grundlage

Zur Gesundheitsangabe gehört gesagt, worauf sie NICHT beruht. Eine gesonderte ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a holt die App dafür nicht ein, und sie wäre hier auch die falsche Grundlage: ein Kind unter 16 kann sie selbst nicht erteilen, und eine Grundlage, die im Ernstfall widerrufen sein kann, taugt für eine Angabe nicht, die eine Betreuungsperson in genau diesem Ernstfall braucht. Getragen wird sie deshalb von Art. 9 Abs. 2 lit. c. Was sie im Gegenzug eng hält, steht im Bauplan der Software: **eine Zeile je Kind, höchstens 280 Zeichen, keine Vorgängerfassung**, und der Kindertext erklärt dem Kind in seiner Sprache, dass es diesen Satz gibt, wer ihn liest und dass es ihm widersprechen kann.

Besondere Kategorien nach Art. 9 entstehen an drei Stellen, und nur an diesen dreien. Die eine ist die Gesundheitsangabe oben: dafür gibt es das Feld, und die App wertet es nicht aus. Die zweite sind die Freitextfelder (etwa ein Hinweis für eine Betreuerin, ein Punkt auf einer Liste oder eine Elternnachricht). Die dritte sind die Dokumente zu einem Kind; für sie gilt der Absatz über die Dokumente weiter unten.

Für die Freitextfelder ist das Feld nicht vorgesehen, die Daten stehen trotzdem darin. „EpiPen in der Außentasche" ist ein Gesundheitsdatum, gleichgültig in welches Feld jemand es tippt, und die Software kann das weder verhindern noch erkennen. Ein Verantwortlicher, der das weiß und die Erlaubnis dafür nicht nennt, verarbeitet ohne eine; die Verantwortung dafür auf den Nutzer zu schieben, sieht die Verordnung nicht vor (Art. 24, Art. 25 Abs. 2). **Diese Felder stehen deshalb auf derselben Grundlage wie die Gesundheitsangabe, Art. 9 Abs. 2 lit. c**, und unter demselben Zeitfenster (Abschnitt 4).

Was eine genannte Grundlage nicht besser macht: das vorgesehene Feld bleibt die Gesundheitsangabe, weil es davon genau eine Zeile je Kind gibt, weil an ihr ein Ende stehen kann und weil beide Elternteile und das Kind sie jederzeit lesen. Ein Satz im Freitext eines Einsatzes hat das alles nicht: er gilt ohne Ende, er ersetzt die Angabe nicht, sondern steht neben ihr, und er erreicht die Personen, die in dem betreffenden Zeitfenster Zugriff haben. Einen Einspruch des Kindes trägt er wie die Angabe selbst (Abschnitt 4).

Zu den Dokumenten gehört gesagt, worauf sie beruhen. Ein Impfpass oder ein Arztbrief ist kein Notfall, und die Grundlage der Gesundheitsangabe (lebenswichtige Interessen) trägt ihn nicht. Die App kann außerdem nicht erkennen, was in einer Datei steht. Bevor ein Elternteil sein erstes Dokument ablegt, fragt sie ihn deshalb ausdrücklich, ob er einwilligt, dass Dokumente zu seinen Kindern hier gespeichert werden, auch wenn sie Gesundheitsdaten enthalten (Art. 9 Abs. 2 lit. a), und hält fest, wann er zugestimmt hat. Er kann die Einwilligung jederzeit in der App widerrufen. Die Dokumente, die er abgelegt hat, werden dann gelöscht; die App bietet vorher an, sie auf dem eigenen Gerät zu sichern.

Zu den Zeugnissen gehört gesagt, worauf sie beruhen. Ein Zeugnis ist in aller Regel kein Gesundheitsdatum, und die Einwilligung für Dokumente nach Art. 9 Abs. 2 lit. a gilt für Zeugnisse nicht. Bevor ein Elternteil sein erstes Zeugnis ablegt, gibt er die Ablage frei; die Freigabe hat einen eigenen Text (Kennung zeugnisfreigabe-2026-1), den die App vorher zeigt und der jederzeit abrufbar bleibt. Sie ist keine Einwilligung: getragen wird die Ablage von Art. 6 Abs. 1 lit. b, und dass der andere Elternteil ein Zeugnis sieht, von Art. 6 Abs. 1 lit. f. **Wer die Freigabe zurücknimmt, kann danach keine Zeugnisse mehr ablegen; abgelegte Zeugnisse bleiben**, bis der Elternteil, der sie abgelegt hat, sie einzeln löscht, weil sie beiden Eltern zur Verfügung stehen. Dasselbe gilt beim Widerruf der Einwilligung für Dokumente. Enthält ein Zeugnis etwas über die Gesundheit eines Kindes, etwa einen Nachteilsausgleich, gehört es zu den Dokumenten der Kategorie Gesundheit und damit unter die Einwilligung; die App erkennt das nicht selbst.

Zu den Ferien gehört gesagt, dass sie niemanden betreffen. Die Ferientermine der 16 Länder sind eine allgemeine Tabelle, die der Server für alle gleich ausliefert; sie sind keine personenbezogenen Daten. Personenbezogen ist nur, welches Bundesland ihr für ein Kind eintragt (Schule eines Kindes, oben).

Zum Zugang im Browser gehört gesagt, was im Browser liegt. Genau ein Cookie. Es enthält die Anmeldung verschlüsselt, lässt sich von Skripten auf der Seite nicht lesen, wird nur über eine verschlüsselte Verbindung und nur an unseren Server geschickt, und gilt nur für die laufende Sitzung im Browser. Die Anmeldedaten selbst hält der Server; im Browser liegen weder Passwort noch lesbare Zugangsschlüssel. Die Seiten laden nichts von fremden Servern und speichern nichts im Speicher des Browsers. Weil dieses Cookie für die Anmeldung unbedingt erforderlich ist, fragt die Seite nicht danach (§ 25 Abs. 2 Nr. 2 TDDDG), und es gibt kein weiteres, nach dem sie fragen müsste. Schlägt eine Anmeldung im Browser fehl, zählt der Server das zusätzlich im Arbeitsspeicher, höchstens 15 Minuten lang, und schreibt es nirgends hin.

CoParity ist kostenlos nutzbar. Für die derzeit angebotenen Funktionen ist kein Kauf und kein Abo erforderlich. Bei früheren Käufen gilt: Apple ist Händler. Apple wickelt Zahlungen und Erstattungen nach seinen Bedingungen ab. Eure Zahlungsdaten und eure Apple-ID sehen wir nicht. Soweit frühere Käufe oder Testtransaktionen bestehen, erhalten wir von Apple deren Laufzeit und Zustand und gleichen sie weiter ab. Das ist keine Voraussetzung für den Zugang zu Funktionen. Die App zeigt keinem anderen Mitglied, wer in der Familie zahlt oder früher bezahlt hat: die Zuordnung eines Kaufs zu einem Konto sieht nur, wem der Kauf gehört, auch in der Auskunft (Abschnitt 8).

Zur Mitteilung einer anderen Uhrzeit gehört gesagt, was sie nicht ist. Sie ist keine Abrede: der Plan bleibt, niemand antwortet, und es wird nicht festgehalten, ob oder wann der andere sie gelesen hat. Eine neue Mitteilung zum selben Wechsel ersetzt die alte, und es wird nicht gezählt, wie oft jemand eine geschickt hat.

Zu Terminen und Kalendern gehört gesagt, was die App verlässt und wohin. In ein Abo und in einen Kalender, den es schon gibt, gehen Termintitel und Orte nur nach ausdrücklicher Wahl; nur ein eigener Kalender „CoParity", den die App anlegt, trägt sie von sich aus. Ein Kinderkonto trägt seinen Plan in keinen Kalender. In der App stehen Termine bei beiden Elternteilen und, soweit sie gelten, beim Kind (Abschnitt 4). Einen Kalender außerhalb der App erreichen sie auf zwei Wegen, und beide wählt ein Elternteil selbst:

1. Das Kalender-Abo ist ein geheimer Link. Wer ihn hat, liest ohne Anmeldung: eure eigenen Betreuungszeiten, die Übergaben an ihren Rändern und die Termine des Kindes, bis 90 Tage voraus. Zurück reicht es 30 Tage, und ein Aufenthalt, der früher begonnen hat, steht mit seinem wirklichen Beginn darin, auch wenn der weiter zurückliegt; ein Termin steht darin, bis er zwei Tage nach seinem Ende gelöscht ist. Nie darin stehen die Zeiten des anderen Haushalts, der Name eines Elternteils und ein Termin, über den noch zu entscheiden ist. Ohne ausdrückliche Wahl steht darin die neutrale Fassung: „Noah ist da" und „Termin für Noah", ohne Termintitel und ohne Ort. Der Link steht in der Einstellung eures Kalenderprogramms und im Protokoll jeder Stelle, über die er abgerufen wird; wer das Abo neu anlegt, macht den alten Link unbrauchbar.
2. Der Kalender auf dem Gerät. Die App schreibt dieselben Einträge in einen Kalender auf eurem iPhone. Dafür braucht sie von iOS den Vollzugriff, und iOS öffnet damit **alle Kalender dieses Geräts**, auch geteilte und dienstliche: eine engere Berechtigung, mit der eine App ihre eigenen Einträge ändern oder löschen kann, bietet iOS nicht. Die App liest bei jedem Abgleich den Kalender, in den sie schreibt, um ihre eigenen Einträge darin zu finden, und beim Übernehmen die Kalender, die ihr dafür auswählt. Aus euren Kalendern verlässt nur ein Termin das Telefon, den ihr ausdrücklich übernehmt: er wird ein Termin in der App wie jeder andere, und sein Titel steht so beim anderen Haushalt. Legt die App für ihre Einträge einen eigenen Kalender „CoParity" an, stehen darin Titel und Ort; in einem Kalender, den es schon gibt, steht zuerst die neutrale Fassung, und Titel und Ort erst nach ausdrücklicher Wahl.

Auf Android nutzt die App dafür den Android Calendar Provider. Sie benötigt die Systemrechte READ_CALENDAR und WRITE_CALENDAR, die den Zugriff auf die Kalender des Geräts erlauben, auch auf geteilte und dienstliche Kalender. Beim Abgleich liest sie Termine nur im gewählten Zielkalender, um ihre eigenen Einträge wiederzufinden; sie schreibt, ändert und löscht nur ihre eigenen Einträge. Als Ziel dient ein eigener lokaler Kalender „CoParity" oder ein von euch gewählter beschreibbarer Kalender. Daten aus anderen Kalendern überträgt dieser Abgleich nicht an CoParity.

Termine können vom anderen Elternteil stammen. Wer einen Termin einträgt, schreibt seinen Titel und seinen Ort, und in der vollen Fassung stehen beide wortgleich in eurem Kalender. Wählt ihr die volle Fassung für einen Kalender, den andere mitlesen, etwa den eures Arbeitgebers, lesen sie auch, was der andere Elternteil geschrieben hat. Die neutrale Fassung trägt kein Wort, das jemand getippt hat.

Ein Titel kann ein Gesundheitsdatum sein. „Kinderarzt" oder „Impfung" sagt etwas über die Gesundheit eines Kindes, und die App kann das weder verhindern noch erkennen. Die Grundlage, auf die sich der Freitext zu einem Betreuungsdienst stützt (Art. 9 Abs. 2 lit. c), hängt an dessen Zeitfenster, und ein Termin hat keines: beide Elternteile und das Kind lesen ihn, bis er zwei Tage nach seinem Ende gelöscht ist. Diese Grundlage nennen wir für Termine deshalb nicht. Was die App tut, ist, den Titel eng zu halten: sie wertet ihn nicht aus, zeigt ihn nur in der Familie, und außerhalb der App steht er nur im eigenen Kalender „CoParity" oder dort, wo ihr die volle Fassung ausdrücklich wählt. Schreibt in einen Titel nur, was der andere Haushalt zum Planen braucht; was ein Kind im Ernstfall schützt, gehört in die Gesundheitsangabe.

Die eigene Telefonnummer gehört zum Konto und gilt damit für alle Familien dieses Kontos. Nur das angemeldete Elternteil kann sie selbst hinterlegen, ändern oder durch Leeren entfernen. Die App prüft das Format, nicht die Erreichbarkeit oder den Besitz der Nummer. Kinder mit berechtigtem Zugang können darüber ihre aktiven Eltern erreichen. Für Notfallkarten bleibt die Freigabe je Familie getrennt: Eine Nummer zu speichern oder zu ändern hebt eine bestehende Zurückhaltung nicht auf. Karten werden weiterhin nur im vorgesehenen Betreuungsfenster an die dafür berechtigten Personen ausgeliefert. Die Nummer erscheint in der eigenen Auskunft und wird bei der Kontolöschung entfernt. Es wird keine Historie früherer Nummern angelegt.

Gemeinsame Vereinbarungen

Vereinbarungen sind nur für die aktiven Eltern derselben Familie sichtbar, nicht für Kinder oder Betreuungspersonen. Der vorschlagende Elternteil stimmt dem vorgeschlagenen Wortlaut mit dem Absenden zu. Eine neue Vereinbarung, Änderung oder Beendigung wird erst übernommen, wenn alle beteiligten Eltern ausdrücklich demselben Textstand zugestimmt haben. Ohne Antwort entsteht keine Zustimmung. Während einer Änderung bleibt der bisherige Text bestehen. Die App zeigt keine einzelnen Antwortzeiten, Lesebestätigungen oder Ablehnungen. Der Datenexport enthält die Vereinbarung und gegebenenfalls den offenen Vorschlag, keine Liste einzelner Zustimmungen und keinen Urheber des Vorschlags.

Die Freitextfunktion ist für organisatorische Alltagsabsprachen bestimmt. Gesundheitsangaben, Medikation und andere sensible Angaben gehören nicht in Vereinbarungen. Für notwendige Gesundheitsangaben nutzt den dafür vorgesehenen Bereich zum Kind. Die App analysiert den Wortlaut nicht und kann solche Angaben nicht automatisch erkennen oder aussortieren.

3. Was ausdrücklich NICHT verarbeitet wird

Das sind keine Zusagen für die Zukunft, sondern Eigenschaften der Software:

• Kein Standort, keine Ortung. Es gibt kein Feld dafür.
• Kein Protokoll darüber, wer sich woran nicht gehalten hat. Ein abgelehnter oder abgelaufener Vorschlag wird gelöscht, nicht als abgelehnt vermerkt. Das Datenmodell kennt keinen Zustand „abgelehnt" und keine Versionshistorie eines Plans.
• Kein Lesestatus, keine Zähler, keine Anwesenheitsanzeige.
• Kein Tracking, keine Analyse-Werkzeuge, keine Werbe-Kennungen. Die App bindet keine fremden Bibliotheken für diese Zwecke ein.
• Keine Aufzeichnung darüber, ob ein Kind die anonyme Beratung angerufen hat.
• Kein Häkchen auf dem Server. Was jemand auf einer Liste abhakt, bleibt auf seinem Gerät. Kein Elternteil sieht, was im anderen Haushalt oder beim Kind abgehakt ist.
• Kein Papierkorb für Dokumente. Ein gelöschtes Dokument ist gelöscht, auch für den anderen Elternteil, und es wird nirgends als gelöscht vermerkt.
• Keine Zahlungsdaten. Kartennummer, Kontoverbindung und Rechnungsanschrift bleiben bei Apple.
• Kein Verlauf der Mitteilungen. Wie oft ein Elternteil eine andere Uhrzeit mitgeteilt hat, steht nirgends.
• Kein Aufnahmeort in Fotos. Aus einem Foto entfernt der Server vor dem Speichern die eingebetteten Zusatzdaten, darunter Aufnahmeort, Zeitpunkt und Gerät.
• Keine Noten. Es gibt kein Feld für eine Note, und aus einem Zeugnis liest die App nichts aus: keine Texterkennung, keine Auswertung.
• Kein Vermerk, wer geübt oder unterschrieben hat, und kein Bezug einer Klassenarbeit oder eines Lerntermins zu einem Haushalt. Wer einen Termin eingetragen hat, wird gespeichert, aber niemandem angezeigt.
• Im Browser kein zweites Cookie, kein Speicher im Browser, keine Inhalte oder Skripte von fremden Servern.

4. Wer welche Daten sieht

Innerhalb einer Familie entscheidet die Rolle, nicht die Neugier:

• Beide Elternteile sehen den Plan, die Abweichungen und die Abholliste.
• Ein Kind mit eigenem Konto sieht, wo es ist und wann es wechselt, und ausdrücklich nicht, worüber die Erwachsenen gerade verhandeln.
• Großeltern und Betreuungspersonen sehen nur, was sie für ihren eigenen Einsatz brauchen, nicht den Plan der Familie.

Elternnachrichten lesen und schreiben nur aktive Eltern derselben Familie. Das gilt auch für Nachrichten, die der andere Elternteil verfasst hat. Kinder, Großeltern und Betreuungspersonen haben keinen Zugang. Es wird nicht gespeichert, ob eine Nachricht gelesen wurde. Der Kanal erzeugt weder eine Planänderung noch einen Termin oder eine Aufgabe; er ist auch nicht der private Draht eines Kindes.

Die Mitteilung einer anderen Uhrzeit sieht der andere Elternteil im Plan, als Mitteilung auf dem Telefon, wenn er sie eingeschaltet hat, und als verschobenen Übergabe-Eintrag in seinem Kalender. Ein Kind, Großeltern und Betreuungspersonen bekommen sie nicht. Nach dem Tag steht im Kalender nur noch die Uhrzeit, zu der der Übergabe-Eintrag stand, ohne wer sie mitgeteilt hat und ohne Anlass.

Ein Plan, den ein Elternteil allein eingetragen hat, sieht zunächst nur er selbst, in der App und in seinem Kalender. Der andere Elternteil sieht ihn, sobald er dabei ist, als eingetragen und noch nicht vereinbart.

Alle derzeit angebotenen Funktionen sind kostenlos zugänglich, entsprechend der Rolle in der Familie. Daten zu früheren Käufen sieht nur die Person, zu deren Konto der Kauf gehört.

Die Gesundheitsangabe zu einem Kind lesen beide Elternteile und das Kind selbst, jederzeit und ohne Anlass; schreiben und löschen kann sie nur ein Elternteil. Eine Betreuungsperson liest sie nur im Zeitfenster ihrer eigenen Betreuung, und dieses Fenster beginnt zwei Stunden vor einem zugesagten Einsatz und endet eine Stunde danach. Außerhalb davon wird sie ihr nicht ausgeliefert. Dasselbe Fenster gilt für den Freitext zu einem Betreuungsdienst und für die Notfallkarte, und es gilt auch für einen Elternteil: was an einem Einsatz steht, liest er in dem Zeitraum, in dem die Kinder nach Plan bei ihm sind, nicht darüber hinaus.

Eine Ausnahme, und sie ist der Grund, aus dem es diese Verarbeitung überhaupt gibt. Gelten an einem Tag über den Körper desselben Kindes mehrere Sätze, und sagen sie nicht dasselbe, dann bekommt die Person, die das Kind gerade betreut, in ihrem eigenen Fenster alle diese Sätze, auch den aus einem Einsatz, der früher an diesem Tag lag und einer anderen Person gehörte. Ohne diese Ausnahme läse sie einen Satz, von dem die Software weiß, dass ihm ein zweiter widerspricht, und hätte weder den zweiten noch die Auskunft, dass es ihn gibt. Das ist der Fall, in dem eine Betreuungsperson ein Notfallmedikament an der falschen Stelle sucht, und dagegen ist die Verarbeitung gerichtet (Art. 9 Abs. 2 lit. c).

Ihre Grenzen sind eng, und alle vier werden auf dem Server gezogen:

1. Nur, wo sich Sätze widersprechen. Gilt an einem Tag nur ein Satz über dieses Kind, gibt es nichts zu vergleichen, und die Ausnahme greift nicht.
2. Nur im eigenen Fenster des Lesers. Es beginnt zwei Stunden vor seinem eigenen Einsatz und endet eine Stunde danach. Außerhalb davon bekommt er nichts, auch nicht den eigenen Satz.
3. Nur über das Kind, das er betreut. Ein Satz zu einem Kind, das in seinem Einsatz nicht vorkommt, erreicht ihn nicht. Ein Text ist dabei unteilbar: nennt er ein Geschwisterkind mit, geht er mit, weil er sich nicht zerlegen lässt, ohne seinen Sinn zu verlieren.
4. Ohne Urheber. Sobald mehrere Sätze über denselben Körper gelten, wird zu keinem von ihnen mehr ausgeliefert, wer ihn geschrieben hat, auch nicht zu der Gesundheitsangabe selbst. Was bleibt, ist der Tag. Aus zwei genannten Erwachsenen und einem gemeldeten Widerspruch ließe sich sonst ableiten, wem der Irrtum zugerechnet wird, und darüber entscheidet diese Software nicht.

Der Einspruch eines Kindes steht dort, wo die Angabe steht, gegen die er sich richtet: bei beiden Elternteilen und, im selben Fenster wie die Angabe, bei der Betreuungsperson. Er nennt das Kind und sonst nichts.

Dokumente sehen beide Elternteile, jedes Dokument, gleich wer es abgelegt hat; ein privates Fach gibt es nicht. Ein Kind, Großeltern und Betreuungspersonen sehen keine Dokumente, auch nicht im Zeitfenster einer Betreuung. Ändern und löschen kann ein Dokument nur, wer es abgelegt hat; der andere Elternteil kann eine eigene Kopie behalten. Titel und Inhalt liegen verschlüsselt, und der Hauptschlüssel, ohne den sie nicht lesbar sind, liegt nicht in der Datenbank.

Markierungen eines erfolgten Wechsels sehen ausschließlich die aktiven Eltern der Familie. Nur das übergebende Elternteil setzt oder entfernt seine Markierung. Angezeigt wird, wer den Wechsel als erfolgt markiert hat und wann; daraus wird keine Bestätigung des empfangenden Elternteils abgeleitet. Schweigen und Zeitablauf setzen keine Markierung. Eine spätere Planänderung verschiebt die Markierung nicht auf einen anderen Wechsel. Nach dem Ende des örtlichen Tages wird sie gelöscht, ebenso die zugehörigen technischen Wiederholungsbelege. Die App führt keinen Verlauf entfernter Markierungen und keine Statistik daraus.

Listenbezüge verlängern die Aufbewahrungsfrist der Liste nicht. Ein geänderter oder entfernter Anlass wird kenntlich, ohne den Vorbereitungstag automatisch zu verschieben. Kinder erhalten nur die Listenart, keine zusätzlichen Termindaten oder Wechselmarkierungen der Eltern.

Listen für einen Tag sehen beide Elternteile und das Kind, für das sie gelten, sofern sein Konto die Einwilligung trägt, deren Text die Listen erklärt. Vorlagen sieht nur, wer sie angelegt hat.

Schule, Stundenplan, Klassenarbeiten und Lerntermine sehen beide Elternteile, für jedes Kind der Familie. Ein Kind mit eigenem Konto sieht seine eigenen, sofern jede Einwilligung, die sein Konto trägt, auf dem Text beruht, der die Schule erklärt; die eines Geschwisterkindes sieht es nicht. Eintragen und ändern kann nur ein Elternteil. Großeltern und Betreuungspersonen haben über ihre Familienrolle keinen Zugang. Ein Elternteil kann ihnen jedoch einen Stundenplan-Freigabelink geben:

• Jeder Link betrifft genau ein Kind und ein Halbjahr. Sichtbar sind Vorname, Schule, Klasse, Halbjahr, Unterrichtszeiten, Fächer, Räume und Notizen. Klassenarbeiten und Lerntermine sind getrennt wählbar und zunächst ausgeschlossen. Angezeigt werden nur Termine des Halbjahres, die nicht länger als einen Tag zurückliegen und vor Ablauf der Freigabe beginnen. Zeugnisse, andere Dokumente, private Angaben und Eintragsurheber sind nicht enthalten.
• Zum Lesen im Browser ist kein Konto nötig. Wer den geheimen Link und gegebenenfalls das Passwort besitzt, kann die ausgewählten Inhalte sehen. Weitergabe ermöglicht weiteren Personen den Zugriff. Der optionale Passwortschutz ist beim Anlegen zunächst eingeschaltet. Link und Passwort sollten getrennt weitergegeben werden.
• Alle aktiven Eltern der Familie können Freigaben verwalten und einzeln beenden. Jede Freigabe hat ein Ablaufdatum, höchstens 366 Tage in der Zukunft; als Vorschlag dient das Ende des Halbjahres. Es können höchstens 50 aktive Freigaben je Familie bestehen.
• Der Server prüft bei jedem Datenabruf den Umfang, Ablauf, Widerruf und den fortbestehenden Elternzugang der anlegenden Person. Die Browserseite prüft zusätzlich regelmäßig und vor dem Drucken. Ein bereits gespeichertes PDF, ein Ausdruck oder eine fremde Kopie lässt sich dadurch nicht zurückholen. Sie können nach einer Änderung veraltet sein.
• Gespeichert werden nur geheime Prüfwerte, nicht der lesbare Linkschlüssel oder das Passwort. Das Linkgeheimnis steht im Fragment der URL, wird daraus nach dem Öffnen entfernt und zur Prüfung im Anfrageinhalt übertragen. Die Ansicht verwendet keine Anmeldung, Cookies oder dauerhafte lokale Speicherung. Es gibt keine Besuchsliste und keinen Lesestatus. Fehlgeschlagene Passwortversuche werden über Prüfwerte je Link und Netzadresse begrenzt: fünf Versuche in 15 Minuten beziehungsweise 20 Versuche in einer Stunde. Die Zähler werden spätestens nach 30 Minuten beziehungsweise zwei Stunden seit dem ersten Fehlversuch gelöscht.

Zeugnisse sehen beide Elternteile, wie jedes Dokument. Ein Kind, Großeltern und Betreuungspersonen sehen sie nicht.

Termine eines Kindes (Abschnitt 2) sehen beide Elternteile, gleich wer sie eingetragen hat, und ohne den Namen dessen, der eingetragen hat. Ein Kind sieht die Termine, die gelten, und keinen, über den die Eltern noch entscheiden. Großeltern und Betreuungspersonen sehen sie nicht.

Einen Plan in einen Kalender außerhalb der App tragen kann nur ein Elternteil, und nur seine eigenen Betreuungszeiten samt Übergaben und die Termine des Kindes: ein Kinderkonto, Großeltern und Betreuungspersonen können weder ein Abo anlegen noch den Kalender auf dem Gerät nutzen.

Diese Grenzen werden auf dem Server durchgesetzt, nicht in der App: was jemand nicht sehen darf, wird nicht ausgeliefert, nicht bloß ausgeblendet.

5. Empfänger

Für die technische Bereitstellung der App und des Browserzugangs nutzen wir Cloudflare (Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA). Cloudflare verarbeitet hierbei als technischer Dienstleister auch personenbezogene Anfrageinhalte: etwa die Anmeldedaten, Kontodaten und Familiendaten, die ihr über die App oder den Browser sendet oder abruft. Die in Abschnitt 4 beschriebenen Zugriffsgrenzen gelten weiterhin.

• Verarbeitung durch Cloudflare Workers. Workers führen die Serverfunktionen für App, API und Browserzugang aus. Bei einer Anfrage verarbeitet Cloudflare technisch notwendige Verbindungsdaten wie die IP-Adresse, die aufgerufene Adresse und den Zeitpunkt sowie die für die jeweilige Funktion erforderlichen Inhalte. Workers können Anfragen weltweit verarbeiten, auch außerhalb der Europäischen Union und in den USA. Eine ausschließlich europäische Ausführung dieser Funktionen wird nicht zugesagt.
• Speicherung in D1 und R2. Konten und Familiendaten werden in Cloudflare D1 mit der Jurisdiktion EU gespeichert. Dateiobjekte, darunter Dokumente und Zimmerfotos, liegen in privaten Cloudflare-R2-Buckets mit der Jurisdiktion EU. Diese Grenze betrifft den Speicherort; sie verhindert nicht, dass Workers außerhalb der EU auf die Daten zugreifen und sie für eine Anfrage verarbeiten. Dokumente und Zeugnisse werden vor der Ablage serverseitig verschlüsselt. Die Serverfunktionen verwenden die dafür erforderlichen Schlüssel beim berechtigten Abruf. Dies ist keine Ende-zu-Ende-Verschlüsselung gegenüber dem technischen Dienstleister.
• Drittlandverarbeitung. Neben den nachstehend beschriebenen Wegen über Apple und selbst verbundene Kalender kann es durch die technische Bereitstellung mit Cloudflare zu einer Verarbeitung außerhalb der EU kommen. Cloudflare veröffentlicht Angaben zur Auftragsverarbeitung und zu den vorgesehenen Schutzmechanismen für solche Übermittlungen, einschließlich Standardvertragsklauseln, im Auftragsverarbeitungszusatz. Die technischen Grenzen der EU-Speicherung sind in der Dokumentation zu D1, R2 und Workers erläutert.
• Mitteilungen über Apple. Eine Mitteilung auf euer iPhone stellt der Apple Push Notification service der Apple Inc. zu, einen anderen Weg auf ein iPhone gibt es nicht. Apple bekommt dafür die Gerätemarke eures Telefons, die Kategorie, den Satz der Mitteilung und einen Link in die App, der eine Familienkennung und bei kinderbezogenen Anlässen auch eine Kinderkennung als Zahlen trägt. Bei einer wichtigen Elternnachricht steht nur die Familienkennung im Link, nie der Nachrichtentext oder ihre Kennung. Kein Satz nennt ein Kind, einen Elternteil, einen Tag oder einen Inhalt, und es steht keine Zahl auf dem Symbol. Ein stiller Anstoß für den Kalender trägt nur die Gerätemarke und keinen Satz, keinen Link und keine Kategorie. Apple verarbeitet diese Daten auch in den USA; nach eigenen Angaben sichert Apple solche Übermittlungen mit den Standardvertragsklauseln der EU-Kommission ab. Welche Kategorien euch erreichen, schaltet ihr in der App, und iOS lässt euch Mitteilungen ganz abschalten.
• Mitteilungen auf Android über Google. Dafür nutzen wir Firebase Cloud Messaging (FCM) von Google als Zustelldienstleister. Erst wenn ihr Mitteilungen erlaubt habt und ein aktiver Eltern- oder Betreuungszugang vorliegt, fordert die App einen FCM-Registrierungstoken an und ordnet ihn eurer CoParity-Sitzung zu. Bei Google entsteht dabei eine Firebase-Installationskennung (FID); das SDK überträgt außerdem technische App-, Geräte- und Konfigurationsangaben. Ohne diese Freigabe bleibt die App ohne Android-Push nutzbar. Google Analytics, Werbe-Kennungen und die Auswertung eurer Mitteilungsinteraktionen werden dafür nicht eingesetzt. Google erhält zum Zustellen den Token, eine neutrale Kategorie und einen neutralen Satz, einen Link mit technischen Kennungen der Familie und des betroffenen App-Eintrags (je nach Anlass auch einer Kinderkennung) sowie Zustellsteuerung wie Ablauf und Zusammenfassung. Namen, Nachrichtentexte, Schul-, Gesundheits- und Termininhalte gehen nicht in diese Mitteilungen. Ein stiller Kalenderanstoß enthält nur eine technische Kennzeichnung für den Kalenderabgleich, keinen Satz und keinen Familienlink. Der Transport ist verschlüsselt; eine Ende-zu-Ende-Verschlüsselung gegenüber Google ist damit nicht verbunden. Die Inhalte lädt die App nach der Anmeldung direkt bei CoParity. Google verarbeitet diese technischen Daten weltweit, auch außerhalb der EU und in den USA; die EU-Speichergrenzen von D1 und R2 gelten für diesen Zustellweg nicht. Einzelheiten zu Datenarten, Fristen und Vertragsbedingungen stehen in den Firebase-Datenschutzhinweisen, den Angaben zum Android-SDK und den Firebase-Vertragsbedingungen. Ihr könnt Mitteilungen in Android und die Kategorien in CoParity abschalten. Das sperrt weitere CoParity-Mitteilungen; die Löschung einer CoParity-Gerätezuordnung bedeutet keine sofortige Löschung der Firebase-Installationskennung bei Google.
• Apple als Händler und die App Store Server API (Altbestand). Frühere Käufe wurden bei Apple abgeschlossen (für Kunden in der Europäischen Union nach unserem Verständnis Apple Distribution International Ltd., Irland). Apple schickt unserem Server signierte Nachrichten über Kauf, Verlängerung, Erstattung und Ablauf. Unser Server fragt zum Abgleich bei der App Store Server API von Apple nach dem Zustand eines Abos und schickt dafür die Kennung der ursprünglichen Transaktion, sonst nichts. Für den Kauf selbst gelten die Bedingungen und die Datenschutzerklärung von Apple. Apple verarbeitet Daten auch in den USA; nach eigenen Angaben sichert Apple solche Übermittlungen mit den Standardvertragsklauseln der EU-Kommission ab.
• Blätter, die ihr selbst weitergebt (etwa die Abholliste für die Schule), verlassen die App durch eure eigene Handlung. Was damit geschieht, entscheidet ihr.
• Kalender, die ihr selbst verbindet. Wohin das Abo oder der Kalender auf dem Gerät die Einträge trägt, entscheidet ihr: iCloud, Google, das Exchange-Konto eures Arbeitgebers oder ein Kalender nur auf dem iPhone. Der Anbieter dieses Kalenders bekommt die Einträge, und bei einem dienstlichen Kalender kann euer Arbeitgeber sie lesen, eine Vertretung sie sehen und seine Aufbewahrung sie behalten. Liegt der Anbieter außerhalb der Europäischen Union, etwa in den USA, gelangen die Einträge in ein Drittland: beim Abo, weil sein Dienst den Link bei unserem Server abruft, beim Kalender auf dem Gerät, weil das iPhone den Kalender mit ihm abgleicht. Beides geschieht, weil ihr den Kalender dort führt, und für die Daten gelten dann auch die Bedingungen dieses Anbieters. Wir geben keinem Kalenderanbieter von uns aus etwas weiter.

6. Speicherdauer

• Gemeinsame Vereinbarungen bleiben als aktueller Text bis zur gemeinsam bestätigten Beendigung oder bis sich der aktive Elternkreis der Familie ändert. Beim Löschen eines beteiligten Kontos werden auch diese Vereinbarungen gelöscht. Offene Vorschläge gelten höchstens 14 Tage. Nach Ablauf oder Verwerfen werden Vorschlag und einzelne Zustimmungen entfernt; ein bisheriger vereinbarter Text bleibt bestehen. Nach vollständiger Zustimmung werden ebenfalls alle einzelnen Zustimmungsdaten und die vorschlagende Person entfernt. Eine Änderung ersetzt den alten Text ohne Archiv. Bei geändertem Elternkreis werden alte Vereinbarungen sofort nicht mehr ausgeliefert und beim nächsten Bereinigungslauf gelöscht. Technische Wiederholungsbelege für Schreibzugriffe bleiben höchstens 48 Stunden; sie enthalten keinen Vereinbarungstext.
• Ein Vorschlag für eine Abweichung wird gelöscht, sobald die Antwortfrist abgelaufen ist, ohne Rückstand.
• Eine angenommene Abweichung verlässt die Abstimmung zwei Tage nach ihrem Ende. Als Zeitraum und Seite bleibt sie danach noch 45 Tage nach ihrem Ende stehen, ohne wer sie vorgeschlagen hat, ohne ihre Antwortfrist und ohne den Zeitpunkt, zu dem sie angenommen wurde: sonst zeigten Plan und Kalender die vergangenen Wochen so, als hätte es sie nie gegeben. Danach ist auch das gelöscht.
• Eine Mitteilung einer anderen Uhrzeit wird am Ende des Tages gelöscht, an dem der Wechsel stattfindet, spätestens 25 Stunden nach dem geplanten Wechsel. Eine neue Mitteilung zum selben Wechsel ersetzt sie sofort. Was danach im Kalender bleibt, ist nur, zu welcher Uhrzeit der vergangene Übergabe-Eintrag stand, ohne wer sie mitgeteilt hat, ohne Anlass und ohne Zeitpunkt des Sendens; auch das ist 31 Tage nach dem Wechsel gelöscht. Die Zustellung dieser Mitteilung steht eine Stunde im Zustelllog.
• Ein abgelöster Betreuungsplan wird beim Ersetzen gelöscht. Es gibt keine Vorgängerfassung.
• Konto- und Plandaten bleiben, solange das Konto besteht.
• Eine Gesundheitsangabe zu einem Kind bleibt stehen, bis ein Elternteil sie ersetzt oder löscht. Es gibt eine Zeile je Kind: wer sie ersetzt, überschreibt sie, und eine Vorgängerfassung entsteht dabei nicht. Steht an einer Angabe ein Tag, bis zu dem sie gilt, verschwindet sie mit dem Ablauf dieses Tages, ohne dass jemand daran denken muss. Der Einspruch eines Kindes gehört zu der Fassung, gegen die er sich richtet, und fällt mit ihr: schreibt ein Elternteil die Angabe neu, ist er weg.
• Nachrichten des privaten Drahts werden spätestens 48 Stunden nach dem Schreiben gelöscht. Die Frist steht als Bedingung im Datenbankschema, eine längere Speicherung ist dort nicht eintragbar; ein Dienst löscht viertelstündlich, was abgelaufen ist. Eine Antwort erbt die Frist der Nachricht, auf die sie antwortet, und verschwindet mit ihr. Das Kind kann seinen Draht jederzeit vorher selbst löschen.
• Elternnachrichten sind höchstens 30 Tage gespeichert. Die Frist steht als Bedingung im Datenbankschema. Abgelaufene Nachrichten werden auch dann nicht mehr ausgeliefert, wenn der viertelstündliche Löschlauf noch nicht stattgefunden hat. Bei einer Kontolöschung gehen die von diesem Konto geschriebenen Elternnachrichten sofort; Nachrichten des anderen Elternteils bleiben bis zu ihrem eigenen Ablauf.
• Eine Liste für einen Tag wird nach dem Ende dieses Tages gelöscht. Öffnet jemand die App, geschieht es dabei; sonst räumt ein Dienst sie ab, sobald der Tag in jeder Zeitzone vorbei ist, in Deutschland spätestens am Nachmittag des folgenden Tages. Vorlagen bleiben, bis ihr Elternteil sie löscht.
• Ein Dokument bleibt, bis der Elternteil, der es abgelegt hat, es löscht, seine Einwilligung widerruft oder sein Konto löschen lässt.
• Ein Zeugnis bleibt, bis der Elternteil, der es abgelegt hat, es löscht oder sein Konto löschen lässt. Die Freigabe zurückzunehmen oder die Einwilligung für Dokumente zu widerrufen löscht kein Zeugnis.
• Stundenplan-Freigaben werden beim Widerruf und beim Löschen des Halbjahres gelöscht. Abgelaufene Freigaben und solche ohne aktiven Elternzugang der anlegenden Person werden entfernt; sie sind bereits bei jedem Abruf ungültig. Kontolöschung entfernt die selbst angelegten Freigaben. Die Auskunft enthält die eigenen Freigabeeinstellungen, aber weder Link- noch Passwortprüfwerte. Technische Wiederholungsbelege bleiben höchstens 48 Stunden.
• Schule und Stundenplan bleiben, bis ein Elternteil sie ändert oder löscht; ein gelöschtes Halbjahr nimmt seine Stunden und seine Belegung mit. Klassenarbeiten und Lerntermine werden wie jeder Termin zwei Tage nach ihrem Ende gelöscht. Lassen die Eltern die Daten eines Kindes ohne eigenes Konto löschen, gehen seine Schule, sein Stundenplan, seine Klassenarbeiten und Lerntermine und die Zeugnisse mit, die nur dieses Kind betreffen.
• Ein Termin wird zwei Tage nach seinem Ende gelöscht. Wer ihn vorher streicht, löscht ihn sofort; galt er, erfährt der andere Elternteil, dass ein Termin gestrichen wurde, und sonst nichts. Ein offener Termin, der nicht zustande kommt, hinterlässt dem, der gefragt hat, sieben Tage lang einen Abschluss seiner Frage, der nicht sagt, ob abgelehnt wurde oder niemand geantwortet hat.
• Ein Kalender-Abo bleibt, bis ihr es widerruft, neu anlegt oder euer Konto löschen lasst. Endet eure Mitgliedschaft in der Familie, liefert der Link einen leeren Kalender.
• Mitteilungen: Das Zustelllog wird nach 30 Tagen gelöscht, eine Zustellkennung auf unseren Servern 30 Tage nach ihrem Widerruf oder 180 Tage nach dem letzten Kontakt des Geräts, die Schalter mit dem Konto.
• Einträge im Kalender auf dem Gerät löscht die App, wenn ihr den Abgleich ausschaltet, euch abmeldet, euer Konto löschen lasst oder keinen Zugang mehr zu einem Kind habt. Aufenthalte und Übergaben löscht sie 30 Tage nach ihrem Ende, einen Termin mit seiner Löschung zwei Tage nach seinem Ende. Zwischen zwei Abgleichen kann ein Eintrag veraltet sein. Was die App nicht erreicht: Kopien, die euer Kalenderanbieter oder euer Arbeitgeber schon angelegt hat, und Einträge nach einer Deinstallation der App oder nachdem ihr ihr den Kalenderzugriff entzogen habt. Sie bleiben in eurem Kalender, bis ihr sie selbst löscht.
• Kaufdaten aus dem Altbestand bleiben, solange ein früheres Abo läuft, und werden 90 Tage nach dem Ende der Laufzeit gelöscht, ein erstattetes oder widerrufenes Abo 90 Tage nach dem Widerruf. Die historische Zuordnung der Familie geht mit ihnen; die kostenlose Nutzung bleibt davon unberührt. Belege über empfangene Nachrichten von Apple werden nach 30 Tagen gelöscht. Die Kontokennung für Käufe bleibt, solange das Konto besteht.
• Anmeldung: Der vorige Erneuerungsschlüssel gilt 60 Sekunden nach seinem Wechsel nicht mehr; die Sitzung endet mit dem Abmelden oder der Löschung des Kontos.
• Schutz vor Passwort-Raten: Die Zählung zu einem Anmeldenamen ist spätestens 30 Minuten nach dem ersten Fehlversuch gelöscht; eine erfolgreiche Anmeldung oder ein neu gesetztes Passwort löscht sie sofort. Die Zählung zu einer Netzadresse ist spätestens 2 Stunden nach dem ersten Fehlversuch gelöscht; eine erfolgreiche Anmeldung löscht sie nicht, sonst könnte jemand mit einem eigenen Konto die Sperre aufheben. Weil sie keinem Konto zugeordnet ist, erscheint sie nicht in der Auskunft und fällt nicht unter die Löschung eines Kontos.
• Der stille Anstoß wird nicht gespeichert.
• Das Cookie im Browser endet mit der Sitzung im Browser, nach 30 Minuten ohne Nutzung, spätestens 30 Tage nach der Anmeldung oder mit dem Abmelden; in den drei letzten Fällen endet auch die Sitzung auf dem Server.
• Nach einer Löschung siehe Abschnitt 8.

7. Kinderkonten

Ein eigenes Konto für ein Kind unter 16 Jahren setzt die Einwilligung eines Sorgeberechtigten voraus (Art. 8 Abs. 1 DSGVO). Ohne sie ist das Konto ohne Funktion.

Das Kind bekommt vor der Nutzung einen eigenen Text in seiner Sprache; er ist unter der Kennung kinderhinweis-2026-18 jederzeit abrufbar, auch ohne Anmeldung. Ältere Fassungen bleiben unter ihrer eigenen Kennung abrufbar, damit nachlesbar ist, worauf sich eine Einwilligung von damals bezog.

Das Kind kann seine eigene Ansicht jederzeit selbst abschalten, ohne Begründung, und nur es selbst kann sie wieder anschalten. Die Eltern erfahren, dass sie aus ist, nicht warum und nicht wie oft. Ein Wiedereinschalten löscht diesen Vermerk vollständig.

Der private Draht. Ein Kind mit eigenem Konto kann einem Elternteil allein schreiben. Der jeweils andere Elternteil erfährt davon nichts, auch nicht, dass geschrieben wurde, und auch nicht als Zahl. Diese Nachrichten stehen in keinem Plan, erzeugen keinen Vorgang und stehen, solange sie noch gespeichert sind, in der Auskunft nach Art. 15 beider Beteiligten. Es gibt keine Lesebestätigung, keine Suche über ältere Nachrichten und keine Möglichkeit, sie aus der App heraus weiterzureichen. Was der Empfänger mit einer erhaltenen Nachricht tut, liegt außerhalb dessen, was Software verhindern kann; der Kindertext sagt das dem Kind in seiner Sprache.

Die eigene Schule. Ein Kind mit eigenem Konto sieht seinen Stundenplan, seine Klassenarbeiten und Lerntermine, lesend und nur die eigenen. Das setzt voraus, dass jede Einwilligung, die sein Konto trägt, auf dem Text beruht, der die Schule erklärt; bis dahin bleibt die Schule für das Kind zu, der Rest des Kontos nicht. Zeugnisse sieht ein Kind nicht.

Kein Kalender. Ein Kinderkonto kann weder ein Kalender-Abo anlegen noch seinen Plan in einen Kalender auf dem Gerät schreiben: kein Text, den ein Kind vor der Nutzung bekommt, erklärt einen Kalender. Ein Abo, das für ein Kinderkonto vor dieser Fassung angelegt wurde, liefert einen leeren Kalender.

Die Einwilligung kann jeder Sorgeberechtigte jederzeit widerrufen; das Konto ist dann sofort ohne Funktion.

8. Eure Rechte

Ihr habt nach der DSGVO das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21).

Auskunft und Übertragbarkeit könnt ihr direkt in der App auslösen, unter Einstellungen. Ihr bekommt eine maschinenlesbare Datei mit allem, was zu eurem Konto gespeichert ist. Die Dokumente, die ihr abgelegt habt, stehen darin als Verzeichnis; die Dateien selbst sichert ihr in der App unter Einstellungen, Dokumente, jede einzeln oder alle auf einmal. Elternnachrichten stehen darin, solange sie gespeichert sind, wenn ihr sie selbst geschrieben habt oder als aktiver Elternteil der Familie lesen dürft.

Löschung könnt ihr ebenfalls in der App auslösen. Zwei Dinge gehören dazu gesagt, und zwar vorher:

1. Was nur euch betrifft, wird gelöscht. Eure selbst geschriebenen Elternnachrichten, eure offenen Vorschläge, eure Kalender-Abrufe, eure Einladungen, eure allein geltenden Einträge auf der Abholliste. Dazu eure Vorlagen für Listen, die Dokumente und Zeugnisse, die ihr abgelegt habt, und eure Freigabe für Zeugnisse; der andere Elternteil kann vorher eine eigene Kopie behalten. Vorher löscht die App die Einträge, die sie in den Kalender auf diesem Gerät geschrieben hat; Kopien bei eurem Kalenderanbieter erreicht sie nicht (Abschnitt 6).
2. Was auch andere betrifft, bleibt. Ein Betreuungsplan ist eine Abrede zwischen zwei Haushalten und betrifft ein Kind; ihn einseitig zu löschen wäre ein Eingriff in die Rechte der anderen (Art. 17 Abs. 3 lit. e). Dasselbe gilt für gemeinsam eingetragene Abholberechtigte.

Ein gegebenenfalls noch bestehendes früheres Abo endet nicht mit der Löschung des Kontos. Kündigen könnt ihr es nur bei Apple, in den Einstellungen eures Apple-Kontos. Nach der Löschung bleibt der Kauf ohne Zuordnung zu einer Person bis zum Ende seiner Frist gespeichert (Abschnitt 6). Die kostenlose Nutzung durch die übrigen Familienmitglieder hängt weder von diesem Kauf noch von seiner Laufzeit ab.

Für die vollständige Löschung eures Kontos schreibt an [email protected]. Wir antworten innerhalb der Frist des Art. 12 Abs. 3 DSGVO.

Beschwerderecht: Ihr könnt euch bei einer Aufsichtsbehörde beschweren, für uns zuständig ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Postfach 3163, 65021 Wiesbaden.

9. Änderungen

Diese Erklärung trägt eine Kennung. Ändert sich etwas Wesentliches, entsteht eine neue Fassung mit neuer Kennung; die alte bleibt unter ihrer Kennung abrufbar, damit nachvollziehbar ist, was zum Zeitpunkt einer Einwilligung galt.