Datenschutz für FamilyPlan

Diese Erklärung gilt für FamilyPlan auf Android, iPhone und iPad, die Webapp unter familyplan.cloud/app, die öffentlichen Webseiten sowie E-Mail- und FamilyPlan-Supportanfragen. FamilyPlan organisiert Familienkalender, Aufgaben, Listen, Mahlzeiten, Rezepte, Schule, Chat, Budget, Punkte, Belohnungen und freiwillige Standortfreigaben.

Wir verarbeiten Daten zur Bereitstellung des Dienstes und der Synchronisation, zur Vertragserfüllung, aufgrund aktiver Einwilligungen beziehungsweise Geräteberechtigungen, zur sicheren Fehler- und Missbrauchsabwehr sowie zur Erfüllung von Abrechnungs- und gesetzlichen Pflichten. Soweit eine Verarbeitung auf berechtigten Interessen beruht, liegt das Interesse in einem sicheren, funktionsfähigen und nachvollziehbaren Dienst.

Für Registrierung, Anmeldung und Sitzungen verarbeitet FamilyPlan E-Mail-Adresse, Supabase User-ID, Authentifizierungsanbieter, Sitzungs- und Bestätigungsstatus sowie technische Zeitstempel. Familien-, Mitgliedschafts- und Profil-IDs ordnen Inhalte den berechtigten Personen zu.

Bei „Mit Google anmelden“ führt Supabase den OAuth-Ablauf mit Google durch. Google verarbeitet dabei die Anmeldeanfrage und stellt FamilyPlan beziehungsweise Supabase die freigegebenen Basis-Identitätsdaten bereit, insbesondere Kontokennung und E-Mail-Adresse. Das Google-Passwort erhält FamilyPlan nicht. Es gelten ergänzend die Datenschutzbestimmungen von Google.

FamilyPlan nutzt Supabase als Cloud-Plattform. Supabase Auth verwaltet Konten und Sitzungen. Die Postgres-Datenbank speichert Familien- und Funktionsdaten unter rollenbasierten Zugriffsregeln. Supabase Realtime übermittelt berechtigte Datenänderungen zwischen Geräten. Supabase Storage speichert private Familien- und Profilbilder im Bucket „family-media“.

Supabase Edge Functions bearbeiten geschützte Servervorgänge, darunter Kontolöschung, Synchronisation, Push-Registrierung und -Versand, Kalendersynchronisation, Wetterabrufe, FamilyPlan-Assistent sowie Apple- und Google-Play-Kaufprüfung. Dabei fallen technisch notwendige Request-, Zeit-, Status- und Fehlerdaten an. Familieninhalte, Passwörter oder Tokens sollen nicht unnötig in Anwendungslogs geschrieben werden. Weitere Informationen enthält die Datenschutzerklärung von Supabase.

Je nach Nutzung speichert FamilyPlan Familienname, Profile, Anzeigenamen, Profilbilder, Rollen und Einladungen sowie Kalendertermine, Aufgaben, Routinen, Erinnerungen, Einkaufslisten, Chats, Budgetbuchungen, Rezepte, Mahlzeiten, Stundenpläne, Ferien, Punkte und Belohnungen. Inhalte sind einer Familie und teils Profilen oder Konten zugeordnet.

Eltern können Kinderprofile und familienfreundliche Inhalte verwalten. Kinderprofile erhalten eingeschränkte Bereiche und keine Elternaktionen. Bitte tragt nur Daten ein, die für die Familienorganisation nötig sind, und vermeidet besonders sensible Angaben über Kinder. FamilyPlan nutzt Kinder- oder Familieninhalte nicht für personalisierte Werbung und verkauft sie nicht.

Standortfunktionen sind freiwillig. Android fragt erst nach einer Nutzeraktion nach ungefährem oder genauem Standort im Vordergrund. Die App erfasst dann Koordinaten, horizontale Genauigkeit, Kennzeichen „ungefähr“ und Erfassungszeitpunkt und kann diese einem Familienprofil in Supabase zuordnen. Der aktuelle Android-Build fordert keine Berechtigung für Standortzugriff im Hintergrund an.

Auf iOS kann zusätzlich die getrennt aktivierbare Funktion „Live im Hintergrund“ genutzt werden, wenn Standortfreigabe aktiv ist, iOS „Immer“ erlaubt und der zusätzliche Schalter eingeschaltet wurde. Sichtbare aktuelle Standorte und Freigabeanfragen werden nur innerhalb der Familie nach den hinterlegten Freigaberegeln bereitgestellt. Freigaben können widerrufen werden; beim Verlassen oder Löschen der Familie werden betroffene aktuelle Standortdaten entfernt.

Die Android-App zeigt die Familienkarte mit dem Google Maps SDK. Nach Angaben von Google erhebt das SDK automatisch Geräte- und Anfragemetadaten wie Betriebssystem, Gerätemodell, Marke und Formfaktor, SDK-Build und -Version, Ergebnisanzahl und eine interne Nutzungszuordnungskennung. Außerdem verarbeitet Google IP-Adresse, Stacktraces und Crash-Metriken sowie eine pseudonyme Maps-SDK-Kennung.

Je nach Kartenaufruf kann Google Karteninteraktionen wie Verschieben und Zoomen erfassen. Google beschreibt diese Verarbeitung als Betrieb, Messung und Verbesserung seiner Dienste; die interne Nutzungskennung soll laut Google weder Personen identifizieren noch Werbeattribution dienen. Details stehen in Googles Hinweisen zur Datensicherheit des Maps SDK.

Nach ausdrücklicher Leseberechtigung liest Android Kalenderinstanzen im gewählten Importzeitraum vom Gerät: Kalender- und Termin-ID, Titel, Beschreibung, Ort, Start, Ende und Ganztagsstatus. FamilyPlan benötigt keine Schreibberechtigung für den Android-Systemkalender.

Ausgewählte Importe werden als „privater Import“ mit dem importierenden Erwachsenenprofil gekennzeichnet und in FamilyPlan synchronisiert. Sie sollen in der App nur diesem Profil angezeigt und nicht automatisch in einen gemeinsam sichtbaren Familientermin umgewandelt werden. Erst eine bewusste Übernahme oder Freigabe macht einen Termin zum regulären Familieninhalt. Gleichartige Regeln gelten für lokale Apple-Kalenderimporte. Separat verbundene Google- oder Outlook-Kalender können verschlüsselte OAuth-Tokens in Supabase verwenden.

Android fragt die Benachrichtigungsberechtigung für lokale Erinnerungen an. Termine und Aufgaben können Titel, Zeitpunkt und Vorlauf enthalten; die App plant die Benachrichtigung lokal und stellt sie auch nach einem Neustart erneut bereit. Lokale Reminder bleiben auf dem Gerät, bis sie geändert, gelöscht, abgemeldet oder die App-Daten entfernt werden.

Für plattformübergreifende Push-Nachrichten kann FamilyPlan zusätzlich nutzergebundene Geräte-Tokens, Plattform, App-Version, letzte Nutzung, Zustellstatus und Benachrichtigungstext über Supabase verarbeiten. Nutzergebundene Tokens und Zustellzeilen werden mit dem Auth-Konto gelöscht.

Die Android-App lädt Aboangebote über Google Play Billing. Beim Kauf verarbeitet Google Play Zahlungs- und Storekontodaten nach eigenen Regeln. FamilyPlan erhält Produkt- und Paketkennung, Kauf-Token, gegebenenfalls Bestellkennung, Kaufzeit, Bestätigungs- und Abozustand. Zusätzlich übergibt die App pseudonymisierte Hashwerte für Konto und Familie an Google Play.

Die Supabase Edge Function „google-play-transaction-sync“ prüft den Kauf-Token, Produkt, Paket, Nutzer und Familie serverseitig über die Google Android Publisher API und speichert den erforderlichen Entitlement- und Prüfstatus. Auf iOS verarbeitet FamilyPlan entsprechende StoreKit-, Transaktions-, Wiederherstellungs- und Apple Server Notification-Daten. FamilyPlan erhält keine vollständigen Zahlungsdaten wie Kreditkartennummern. Store-Datenschutz: Google und Apple.

Der FamilyPlan-Assistent verarbeitet die sichtbare Texteingabe und einen nach Berechtigungen gefilterten, für die Aufgabe nötigen Familienkontext über die authentifizierte Supabase Edge Function „family-assistant“. Die Function nutzt serverseitig OpenAI zur Erzeugung von Antworten und Vorschlägen. Vorschläge werden erst nach ausdrücklicher Bestätigung in FamilyPlan gespeichert.

Optionaler Cloud-Verlauf speichert private Assistant-Threads, Nachrichten, Vorschläge und technische Laufdaten für das jeweilige Konto, die Familie und das Erwachsenenprofil. Nutzer können einzelne oder alle Chats löschen oder den Cloud-Verlauf deaktivieren. Spracheingabe wird auf dem Gerät transkribiert; Audio wird nach der geprüften Implementierung nicht an Supabase oder OpenAI gesendet. Weitere Informationen: Datenschutz bei OpenAI.

Der Supportchat nutzt ein unter support.familyplan.cloud eingebettetes Chatwoot-Widget. In der Android-App wird es erst nach Öffnen des Supports geladen. Bei Cloud-Anmeldung werden Supabase User-ID und E-Mail sowie Plattform, App-Version, Build, Sprache und Auth-Modus gesetzt. Hinzu kommen Nachrichten und Anhänge, die Nutzer selbst senden. Familieninhalte werden nicht automatisch übertragen.

Das Chatwoot-Widget wird auch auf öffentlichen familyplan.cloud-Seiten geladen und kann dort technisch notwendige Cookie-, Browser-, IP- und Sitzungsdaten verarbeiten. Bei E-Mail-Support verarbeiten wir Absenderadresse, Inhalt und technische Kommunikationsmetadaten. Bitte sendet keine Passwörter, PINs, Live-Standorte, unnötigen Kinder-, Chat-, Kalender- oder Budgetdaten.

Die öffentlichen Seiten werden bei Hostinger bereitgestellt. Hosting- und Sicherheitslogs können IP-Adresse, Zeitpunkt, angefragte URL, Referrer, Browser-/Geräteangaben und Statuscode enthalten.

FamilyPlan sendet für eine einfache eigene Reichweitenstatistik Seitenpfad, Sprache, Referrer-Host und Geräteklasse (Desktop, Tablet, Mobil oder unbekannt) an eine Supabase Edge Function. Es werden dafür im Projekt keine Werbe-ID, kein vollständiger Referrer-Pfad und kein Drittanbieter-Werbetracking verwendet. Die öffentlichen Seiten verlinken außerdem externe Social-Media-Profile; erst beim Klick gelten die Datenschutzregeln der Zielplattform.

• Supabase: Auth, Postgres-Datenbank, Realtime, Storage und Edge Functions.
• Google: OAuth, Google Play/Billing und Android Publisher API, Google Maps SDK.
• OpenAI: serverseitige Verarbeitung des gefilterten Assistant-Texts und -Kontexts.
• Apple: App Store, StoreKit, Apple-Anmeldung, Plattformberechtigungen und gegebenenfalls Kalender-/Wetterdienste.
• Hostinger und E-Mail-Infrastruktur: Website-Hosting und Supportkommunikation; Chatwoot wird unter der FamilyPlan-Supportdomain betrieben.

• Familieninhalte bleiben bis zur jeweiligen Löschung, zum Löschen der Familie oder den Regeln einer Kontolöschung gespeichert. Geteilte Inhalte können für eine weiterbestehende Familie neutralisiert erhalten bleiben.
• Aktuelle Standorte bleiben bis Widerruf, Überschreiben, Verlassen beziehungsweise Löschen der Familie oder Kontolöschung gespeichert; im Backend ist keine zusätzliche periodische Standortfrist konfiguriert.
• Assistant-Laufdiagnosen werden nach 30 Tagen automatisch gelöscht. Assistant-Chats bleiben bis zur Löschung durch Nutzer, Deaktivierung des Cloud-Verlaufs oder Konto-/Familienlöschung.
• Steuerlich relevante Unterlagen werden, soweit einschlägig, zehn Jahre (Bücher/Aufzeichnungen), acht Jahre (Buchungsbelege) oder sechs Jahre (sonstige steuerlich relevante Unterlagen) ab dem gesetzlich bestimmten Fristbeginn aufbewahrt (§ 147 AO).
• Für Löschprotokolle, Website-Seitenaufrufe, Support-E-Mails und Chatwoot-Konversationen ist im aktuellen Projekt keine feste automatische Löschfrist konfiguriert. Eine zweck- und rechtsbezogene Prüfung erfolgt bei Wegfall des Zwecks oder berechtigter Anfrage.
• Gelöschte Daten können bis zur planmäßigen Rotation in Supabase-Sicherungskopien enthalten sein; eine feste, im Repository belegte Backup-Frist liegt derzeit nicht vor.

In der Webapp führt „Einstellungen“ → „Daten & Konto“ → „Konto löschen“ zur Kontolöschung. Einzelne Inhalte, Assistant-Verläufe, Standortfreigaben, Mitgliedschaften oder eine gesamte Familie können auch ohne vollständige Kontolöschung entfernt werden. Eine externe, sicher verifizierte Löschanfrage ist per E-Mail möglich.

Vollständige Schritte, Datenfolgen und die aktuelle Einschränkung bei Storage-Medien stehen auf der öffentlichen FamilyPlan-Kontolöschseite.

• Auskunft, Berichtigung, Löschung und Einschränkung der Verarbeitung.
• Datenübertragbarkeit, soweit gesetzlich anwendbar.
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen.
• Widerruf erteilter Einwilligungen für die Zukunft.

Du kannst dich außerdem bei einer Datenschutzaufsichtsbehörde beschweren. Für den Verantwortlichen ist regelmäßig der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg zuständig.