Datenschutzerklärung für die Yumiqo-App

Stand: November 2026

Diese Erklärung informiert dich, welche personenbezogenen Daten die App Yumiqo (Android) verarbeitet, zu welchem Zweck und auf welcher Rechtsgrundlage. Sie ist bewusst verständlich gehalten. Für die Website yumiqo.de gilt zusätzlich die Datenschutzerklärung der Website.

1. Verantwortlicher

Yumiqo UG (haftungsbeschränkt)
vertreten durch die Geschäftsführerin Nina Pinsel
Tal 44, 80331 München, Deutschland
E-Mail: info@yumiqo.de

2. Grundprinzip: so wenig wie möglich, Ende-zu-Ende-verschlüsselt — und ehrlich bei den Ausnahmen

• Der Großteil deiner Daten bleibt auf deinem Gerät. Deine Yumiqos, Listen, Timer, Erinnerungen, Steckbriefe und Einstellungen werden lokal gespeichert.
• Geteilte und in der Cloud gesicherte Inhalte sind Ende-zu-Ende-verschlüsselt. Der Server speichert nur einen verschlüsselten Datenblock; wir können die Inhalte nicht lesen. Sichtbar sind nur technische Zuordnungsdaten (siehe 3 b).
• Drei Ausnahmen, die wir offen benennen, weil sie technisch nicht verschlüsselt laufen können: die Ankunftszeit des Auto-Yumiqos und die Adress-Suche über Google (3 f), Hilfe-/Feedback-Nachrichten an uns (3 k) und die Wiederfinden-Funktion (3 l). Benachrichtigungen sind keine Ausnahme: Sie transportieren keinen lesbaren Inhalt, sondern wecken nur dein Gerät (3 e).
• Sprachanrufe laufen von Gerät zu Gerät, verschlüsselt; wir speichern keine Gespräche (3 m).
• Kein Werbe-Tracking. Keine Werbe-Kennungen, keine Werbeprofile, keine Weitergabe an Werbenetzwerke.

3. Welche Daten wir verarbeiten – Zweck und Rechtsgrundlage

a) Konto (nur wenn du dich registrierst)

Für Cloud-Sync, Backup, Familien-Teilen und Anrufe legst du ein Konto an. Verarbeitet werden deine E-Mail-Adresse und ein Passwort (nur als kryptografischer Hash, nie im Klartext) sowie Anmelde-Token. Dein Passwort wird auf dem Gerät in einen Anmelde- und einen Verschlüsselungsteil aufgeteilt; der Server erhält nie den Teil, mit dem deine Inhalte verschlüsselt sind.
Für Konto-E-Mails (Bestätigung der Adresse, Passwort zurücksetzen) nutzen wir den Versanddienst Brevo; er erhält dafür deine E-Mail-Adresse und den Inhalt der Mail. Zum Zurücksetzen des Passworts enthält die Mail nur einen Code, den du in der App eingibst — keinen Anmelde-Link.

Zweck: Konto, Synchronisierung, geteilter Zugriff, Anrufe. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Auftragsverarbeiter: Supabase, Brevo (siehe 4).

b) Yumiqo-Inhalte (Cloud-Sync / Backup / Teilen)

Sicherst oder teilst du Yumiqos, werden deren Inhalte Ende-zu-Ende-verschlüsselt übertragen und gespeichert — auch Kontakte, die du in einem Yumiqo hinterlegst (z. B. Tierarzt, Notfallkontakt, Betreuungspersonen), gespeicherte Orte und WLAN-Zugangsdaten eines WLAN-Yumiqos. Der Server sieht nur den verschlüsselten Block und technische Zuordnungsdaten (zufällige Yumiqo-/Gruppen-Kennung, Tabellen-/Zeilen-Kennung, Schlüsselversion, Zeitstempel, Lösch-Markierung). Inhalte, Namen, Adressen oder Kontakte sind für uns nicht lesbar — mit den in Abschnitt 2 genannten Ausnahmen, die jeweils dort beschrieben sind, wo sie entstehen.
Zweck: geräteübergreifende Synchronisierung, Backup, Teilen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b, im Familien-Kontext lit. f DSGVO.

c) Familie und Profil

Zum Teilen verarbeiten wir Gruppen-/Raum-Zugehörigkeiten, Rollen (Verwalter/Mitglied/Zuschauer/Kind), Einladungen (als gehashter Code; im Einladungslink steht der Code hinter dem Zeichen „#“ — dieser Teil wird vom Browser nicht an unseren Webserver übertragen und taucht deshalb nicht in Server-Logs auf) und öffentliche Schlüssel der Mitglieder (für den verschlüsselten Schlüsselaustausch).

Dein Anzeigename und – nur wenn du sie einträgst – deine Telefonnummer sind für die Personen sichtbar, mit denen du eine Familie oder ein Yumiqo teilst (z. B. „Peter holt ab", „📞 Peter"). Für alle anderen sind sie nicht abrufbar. Der Anzeigename erscheint auch in Benachrichtigungen an deine Familie („Nina ruft an", „Nina fährt los"). Deine E-Mail-Adresse sehen Familienmitglieder nicht.
Zweck: sicheres Teilen, Zugriffsverwaltung, Ansprache in der Familie. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f; Telefonnummer: lit. a (freiwillig).

d) Zuhause-Erkennung (Heim-WLAN, optional)

Der Familien-Verwalter kann das Heim-WLAN hinterlegen (nur der Netzwerkname, keine Zugangsdaten); es wird Ende-zu-Ende-verschlüsselt mit der Familie geteilt. Damit kann eine Erinnerung „nur zuhause" zugestellt werden.

• Was die App prüft: ob dieses Gerät gerade im Heimnetz ist — nicht, wo du bist. Dazu vergleicht sie den Namen des verbundenen WLANs mit dem Heim-WLAN. Solange dein Handy im eingerichteten Heim-WLAN ist, merkt sie sich zusätzlich technische Kennungen deines Heim-Routers — seine Hardware-Kennung und seine lokalen Netz-Adressen — nur als gerätespezifische Prüfsumme, aus der sich die Werte nicht zurückrechnen lassen. Damit erkennt die App dein Heimnetz auch dann wieder, wenn sich das WLAN neu verbunden hat und der WLAN-Name ohne Standort nicht lesbar ist. In anderen Netzen vergleicht sie die Netz-Adressen des verbundenen Routers nur mit diesen Prüfsummen und speichert nichts davon.
• Was daraus nicht wird: kein GPS, keine Adresse, kein Bewegungsverlauf. Das Ergebnis („im Heimnetz / nicht / unbekannt") bleibt auf deinem Gerät, wird weder gespeichert noch an uns oder deine Familie übertragen. Es ist vom Android-Backup ausgenommen und wird beim Abmelden gelöscht. Auch die Prüfsummen bleiben auf deinem Gerät: nicht synchronisiert, nicht an uns übertragen, nicht im Backup. Beim Abmelden oder Ausschalten werden sie gelöscht, beim Ändern des Heim-WLANs überschrieben.
• Berechtigung: Android verlangt zum Auslesen des WLAN-Namens die Standort-Berechtigung „Bei Nutzung der App". Eine Hintergrund-Standort-Berechtigung („immer zulassen") nutzt Yumiqo nicht. Den WLAN-Namen liest die App deshalb nur, wenn sie geöffnet ist oder du einen Sticker scannst; danach merkt sie sich lediglich, ob genau diese WLAN-Verbindung noch besteht. Ob das verbundene Netz zu deinem Heimnetz passt, prüft sie anhand der Router-Adressen auch im Hintergrund — für beides braucht Android keinen Standort. Ist dein Handy ohne WLAN unterwegs, wartet eine Erinnerung „zuhause" bis zum nächsten Öffnen oder Scannen zuhause — spätestens bis zur eingestellten Wartezeit (30 Min · 1 h · 4 h). Kann Yumiqo ein verbundenes WLAN gerade nicht zuordnen, kommt die Erinnerung sofort. Das WLAN muss für „zuhause" eingeschaltet sein.
• Lokale Zähler: Zur Qualitätsprüfung zählt die App auf deinem Gerät mit, wie oft eine solche Erinnerung sofort, später oder erst nach der Wartezeit kam. Das sind reine Zahlen ohne Inhalt; sie verlassen dein Gerät nicht.
• Ausschalten: jederzeit unter Familie → Zuhause; dann werden keine WLAN-Namen mehr gelesen.

Zweck: Erinnerungen „nur zuhause", Reihum-Zuständigkeit an Anwesende. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, jederzeit widerrufbar).

e) Push-Benachrichtigungen und Familien-Hinweise

Für Erinnerungen, Familien-Hinweise und das Klingeln bei Anrufen verarbeiten wir ein Geräte-Token von Firebase Cloud Messaging (Google).

Eigene Erinnerungen (Timer, Aufgaben, Fütterung) entstehen auf deinem Gerät; dafür verlässt kein Inhalt das Handy. Familien-Hinweise — z. B. „ki wurde gefüttert – von Mila“, „🚗 Nina fährt los, Ankunft ca. 17:32 Uhr“, „Etwas wurde in deiner Familie geteilt“ — werden auf dem Empfängergerät entschlüsselt und angezeigt: Das sendende Handy verschlüsselt den Hinweis Ende-zu-Ende mit dem Schlüssel, den die Familie bzw. die Zugriffsberechtigten des Yumiqos ohnehin teilen; über Google und unseren Server läuft nur dieser verschlüsselte Umschlag zusammen mit Kennungen (Empfänger, betroffener Yumiqo). Lesbar bleibt dabei allein die Art des Ereignisses (Tier · Auto · Teilen · Beitritt · Weckruf) — daraus lässt sich ableiten, dass eure Familie diese Funktion nutzt, aber nicht, wer was getan hat. Namen, Tiernamen und Hinweistexte sind für uns und für Google nicht lesbar. Auf unserem Server liegt der Umschlag nur als kurzlebige Warteschlange (24 Stunden). Kann ein Gerät einen Umschlag nicht öffnen (z. B. direkt nach einer neuen Freigabe), zeigt es einen neutralen Hinweis („Neues aus deiner Familie“).

Weckruf für pünktliche Erinnerungen: Damit eine Erinnerung auch dann kommt, wenn Android die App im Hintergrund beendet hat, meldet dein Gerät unserem Server nur den Zeitpunkt der nächsten Fälligkeit (ein einzelner Zeitstempel je Konto — kein Yumiqo, kein Inhalt, keine Historie). Zu diesem Zeitpunkt schickt der Server einen stillen Weckruf über Google; die Erinnerung selbst entsteht dann lokal aus deinen verschlüsselten Daten. Die Zeile wird beim Wecken gelöscht; der Server lernt daraus nur „um X Uhr ist irgendetwas fällig“. Zusätzlich nutzt die App Android-eigene Wecker; der Server-Weckruf ist die Absicherung für Geräte, die die App aggressiv schlafen legen.
Zweck: Zustellung der Benachrichtigungen, die du eingerichtet hast. Rechtsgrundlage: Art. 6 Abs. 1 lit. b bzw. f DSGVO; Benachrichtigungen selbst nur mit deiner Android-Freigabe. Auftragsverarbeiter: Google, Supabase (siehe 4).

f) Auto-Yumiqo: Ankunftszeit, Adressen und Navigation (Yumiqo Plus)

Das Auto-Yumiqo ist die einzige Funktion, die deinen Standort nutzt — und nur, wenn du sie einrichtest (darauf weist die App direkt am Adressfeld hin):

• Ankunftszeit an die Familie: Schaltest du „Beim Losfahren Bescheid geben" mit Ankunftszeit ein, ermittelt dein Gerät beim Losfahren einmalig seine GPS-Position und sendet sie zusammen mit der Zieladresse über unseren Server an die Google Directions API, die die Fahrzeit berechnet. Unser Server rundet die Position vorher auf etwa 100 Meter; Google sieht dabei den gerundeten Start, das Ziel (Adresse) und die IP unseres Servers. Wir speichern die Position nicht; in technischen Fehlerprotokollen steht keine Nutzerkennung. Ohne diese Einstellung fragt die App keinen Standort ab.
• Adress-Eingabe: Wenn du ein Ziel eintippst, gehen deine Eingabe und die ausgewählte Adresse zur Vervollständigung und Prüfung über unseren Server an Google Places / Address Validation. Die fertige Adresse wird danach Ende-zu-Ende-verschlüsselt in deinem Yumiqo gespeichert (3 b).
• Navigation startet in der von dir gewählten App (Google Maps, Waze); ab dem Moment gelten die Datenschutzbestimmungen dieser App. Yumiqo übergibt nur die Zieladresse.

Zweck: Fahrzeit-Hinweis an die Familie, korrekte Zieladressen. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch Aktivieren; Standort-Freigabe in Android). Auftragsverarbeiter/Empfänger: Google Maps Platform, Supabase (siehe 4).

g) Medien-Yumiqo (Musik, Radio, Hörbücher)

• Spotify (optional): Verknüpfst du Spotify, meldest du dich bei Spotify an (OAuth); Yumiqo erhält ein Zugriffs-Token, das nur auf deinem Gerät gespeichert wird, und liest von deinem Spotify-Konto ausschließlich den Kontotyp (Premium ja/nein). Suchanfragen gehen direkt an Spotify.
• Suche und Vorschau: Suchst du Titel, Sender oder Hörbücher, geht dein Suchbegriff direkt von deinem Gerät an den jeweiligen Dienst (Spotify, Deezer, Apple iTunes Search). Fügst du einen Link ein, ruft die App beim Anbieter (Spotify, Deezer, YouTube, SoundCloud) Titel und Vorschaubild ab. Diese Anbieter sehen dabei deine IP-Adresse.
• Radio: Streams kommen direkt vom Sender (z. B. BR, SWR, WDR, NDR, Deutschlandfunk, Antenne); einzelne Sender liefern nur über unverschlüsseltes http. Der Sender sieht deine IP-Adresse.
• Benachrichtigungs-Zugriff (optional): Damit Yumiqo erkennt, ob gerade Musik läuft, kannst du ihm Zugriff auf Medien-Benachrichtigungen geben. Die App liest daraus nur Wiedergabe-Status und Titel des aktiven Players, nichts wird gespeichert oder übertragen.
• Yumiqo startet Wiedergabe auch in anderen Apps (YouTube Music, Amazon Music, Audible, ARD Audiothek, TuneIn …); dort gelten deren Bestimmungen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a bzw. b DSGVO.

h) Schul-Yumiqo

• Ferien: Zur Anzeige von Ferien fragt die App mit dem gewählten Bundesland die OpenHolidays API ab (sieht Bundesland und IP).
• Stundenplan-Import (optional): Gibst du eine iCal-/WebUntis-Adresse deiner Schule ein, ruft dein Gerät diese Adresse direkt ab; der Plan wird lokal gespeichert bzw. Ende-zu-Ende geteilt.
• Abholung: Wer abholt, ist ein Familien-Inhalt (3 b, verschlüsselt); die Erinnerung entsteht auf dem Gerät der abholenden Person.

i) Anonyme Nutzungsstatistiken (nur mit deiner Einwilligung)

Wenn – und nur wenn – du zustimmst, erfassen wir über Firebase Analytics (Google) anonyme Ereignisse (z. B. „Yumiqo geöffnet", „Routine abgeschlossen", „eigener Eintrag angelegt") mit technischen Kategorien wie Yumiqo-Typ, Dauer oder Rhythmus. Frei eingegebene Texte, Namen, Inhalte, Adressen, Kontakte oder Standortdaten werden nicht übertragen — bei eigenen Einträgen nur die Art und die Anzahl der Wörter, nicht das Wort selbst. Werbebezogene Speicherung ist dauerhaft deaktiviert.
Zweck: Verbesserung der App. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO. Widerruf: Einstellungen › Datenschutz › „Anonyme Nutzungsstatistiken". Vor deiner Einwilligung ist die Erfassung technisch deaktiviert.

j) Absturzberichte während der Beta (nur mit deiner Einwilligung)

Während der Beta senden wir – nur mit derselben Einwilligung – bei einem Absturz einen Absturzbericht über Firebase Crashlytics (Google): technischer Fehlerverlauf, App-Version, Geräte-/Android-Version. Keine Namen, Inhalte, Adressen, Kontakte oder Standortdaten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO. Widerruf: wie unter i). Wird zum Launch neu bewertet.

k) Hilfe, Feedback und Support-Anfragen

Sendest du über Hilfe / Feedback eine Nachricht oder über „Funktioniert nicht?" eine Support-Anfrage, übertragen wir — unverschlüsselt, weil wir sie lesen müssen — deine Nachricht, die gewählte Kategorie und den Bildschirm, aus dem du sie schickst, bei Support-Anfragen die durchlaufenen Schritte, den Yumiqo-Typ (falls die Anfrage einen Yumiqo betrifft) und – nur wenn du sie angibst – deine E-Mail-Adresse. Bist du angemeldet, speichern wir bei beiden Wegen außerdem die Kennung deines Kontos, damit wir dir antworten und den Fehler deinem Konto zuordnen können.

Geräte-Angaben (abschaltbar): Vor dem Senden zeigt die App unter „Diese Angaben schicken wir mit" genau die Liste, die mitgeht. Ist der Schalter „Geräte-Angaben mitschicken" an (Voreinstellung), kommen hinzu: App-Version, Gerätehersteller und -modell, Android-Version und diese Ja/Nein-Angaben: Benachrichtigungen erlaubt, Kategorie „Erinnerungen" an, „Wecker & Erinnerungen" erlaubt, App im Hintergrund eingeschränkt, Akku-Optimierung aktiv, NFC an, Zuhause-Erkennung an. Keine Inhalte deiner Yumiqos, keine WLAN-Namen, kein Standort, keine Werbe-ID und keine Geräte-Kennung im Klartext. Ist der Schalter aus, schicken wir keine dieser Geräte-Angaben.

Schutz vor Massen-Einsendungen: Damit niemand das Formular automatisiert überflutet, zählen wir Einsendungen je Gerät. Dazu schickt die App eine Prüfsumme mit, die sie aus der Android-Gerätekennung bildet; die Kennung selbst verlässt dein Handy nicht, und aus der Prüfsumme lässt sie sich nicht zurückrechnen. Unser Server speichert davon nur eine weitere Prüfsumme mit dem Zeitfenster — getrennt von deiner Nachricht — und löscht sie nach 2 Tagen. Bist du angemeldet, zählen wir je Konto.

Unser Support-Gerät bekommt über Google nur den Hinweis „neue Anfrage“ mit der gewählten Kategorie und dem Bildschirm — nie deine Nachricht und nie deine E-Mail-Adresse; den Inhalt lesen wir direkt auf unserem Server. Nach 12 Monaten anonymisieren wir Anfragen: Kontokennung, E-Mail-Adresse und Geräte-Angaben werden gelöscht, die Nachricht bleibt ohne Personenbezug.
Zweck: Bearbeitung deines Anliegens und Fehlersuche. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (dein Anliegen), für die Geräte-Angaben Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, Fehler schnell zu finden; du kannst sie vor jedem Senden abschalten), für die Prüfsumme Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz vor Missbrauch); Zugriff auf die Gerätekennung nach § 25 Abs. 2 Nr. 2 TDDDG.

l) Wiederfinden-Funktion (Lost & Found, optional)

Aktivierst du für ein Yumiqo (z. B. Halsband, Schulranzen) die Wiederfinden-Funktion, erzeugt die App eine zufällige Kennung für eine öffentliche Seite unter yumiqo.de/f/. Eine findende Person erreicht die Seite über den aufgedruckten QR-Code oder, wenn du es einschaltest, durch Antippen des Stickers mit einem beliebigen Handy (NFC). Die Kennung lässt sich nicht aus dem Chip ableiten; mit „Neuen Code erzeugen“ kannst du sie jederzeit ersetzen, die alte wird dann ungültig. Öffentlich abrufbar — ohne Anmeldung — sind dann nur die von dir gewählte Bezeichnung (z. B. „Ranzen von Mila") und die Kategorie (Tier/Gegenstand). Eine findende Person kann auf dieser Seite Bescheid geben; dabei gibt sie freiwillig Kontakt (E-Mail oder Telefonnummer), einen Ort als Text und — nur nach Zustimmung im Browser — ihre GPS-Position an. Diese Meldung speichern wir 30 Tage (oder bis du sie als erledigt markierst) und geben dir Bescheid: per Benachrichtigung — nur „Jemand hat etwas von dir gefunden“, ohne Bezeichnung und ohne Fundort; die Einzelheiten siehst du in der App — und per E-Mail (über den Versanddienst Brevo, siehe 4) mit Bezeichnung, Kontakt und ggf. einem Kartenlink. Antwortest du auf diese E-Mail, geht deine Antwort an info@yumiqo.de. Die Website-Seite wird von Netlify ausgeliefert (Server-Logs, siehe Website-Datenschutzerklärung).
Familie: Familienmitglieder mit Zugriff auf den Yumiqo können die Fundhilfe beenden oder einen neuen Code erzeugen. Fundmeldungen gehen weiterhin nur an die Person, die die Fundhilfe eingerichtet hat.
Neu eingerichtet: Richtet jemand anderes einen Sticker, der noch deinen Fund-Link trägt, bei sich neu ein, bekommt er eine eigene neue Kennung. Du erhältst dann einmalig einen Hinweis; Daten der anderen Person bekommst du nicht. Ein gedruckter QR-Code mit deiner alten Kennung führt weiter zu dir, bis du die Fundhilfe beendest.
Kontolöschung: In der 30-tägigen Schonfrist nach deinem Löschauftrag ist deine Fundseite nicht aktiv; es werden keine Meldungen angenommen. Mit der endgültigen Löschung werden Registrierung und Meldungen gelöscht.
Zweck: Wiederfinden. Rechtsgrundlage: Art. 6 Abs. 1 lit. a (du), lit. f (findende Person, berechtigtes Interesse an der Rückgabe).

m) Yumiqo-Anruf (Sprachanruf in der App)

Mit Yumiqo kannst du Personen deiner Familie – und nur diese – direkt in der App anrufen, ohne Telefonnummer:

• Mikrofon: Die Berechtigung fragen wir erst beim ersten Anruf ab. Aufgenommen wird nur während eines Gesprächs.
• Das Gespräch läuft direkt von Gerät zu Gerät (WebRTC) und ist verschlüsselt (DTLS-SRTP). Wir speichern keine Gespräche und können sie nicht mithören.
• Verbindungsaufbau (Metadaten): Für jeden Anruf speichern wir, wer wen wann angerufen hat, den Verlauf (klingelt / angenommen / abgelehnt / verpasst / beendet) und die Zeitpunkte — 30 Tage, damit „verpasster Anruf" funktioniert. Technische Verbindungsdaten (Codec-Angebot, Netzwerk-Kandidaten einschließlich IP-Adressen beider Geräte) werden nur zwischen den Beteiligten ausgetauscht und nach einem Tag gelöscht.
• Vermittlungsserver (STUN/TURN): Um den Weg zwischen zwei Geräten zu finden, fragt die App STUN-Server von Cloudflare und Google (sehen die IP-Adresse). Können sich zwei Geräte nicht direkt erreichen, leitet ein TURN-Server von Cloudflare die verschlüsselten Sprachpakete weiter (sieht IP-Adressen und Datenvolumen, nicht den Inhalt). Die Zugangsdaten dafür gelten 10 Minuten und werden nur für einen laufenden Anruf ausgegeben.
• Wer darf anrufen: nur Konten, die mit dir eine Familie oder ein Yumiqo teilen. Aus der Kinder-Ansicht sind nur die Erwachsenen der Familie anrufbar.
• Klingeln per Push (siehe e): Der Push trägt nur die Kennungen von Anrufer und Angerufenem; den Namen setzt dein Handy aus seiner lokalen Familienliste ein.

Zweck: Erreichbarkeit in der Familie, besonders für Kinder ohne Telefonnummer. Rechtsgrundlage: Art. 6 Abs. 1 lit. b; Mikrofon lit. a. Auftragsverarbeiter: Supabase, Cloudflare, Google (siehe 4).

n) Yumiqo Plus (Abo)

Schließt du Yumiqo Plus ab, läuft Kauf und Abrechnung über Google Play (Google Play Billing); wir erhalten von Google nur den Abo-Status (aktiv/abgelaufen), keine Zahlungsdaten. Den Status speichern wir an deinem Konto, damit er auf allen Geräten gilt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

o) Funktionen für Geschäftskunden (Hersteller-Modus)

Yumiqo enthält Funktionen für Geschäftskunden (z. B. zentral verwaltete Gäste-WLANs, Bestellungen an Tischen), die nur in einem gesondert freigeschalteten Modus erreichbar sind und nicht Teil der Beta sind. Für sie gelten eigene Vereinbarungen mit dem jeweiligen Geschäftskunden. Verwaltete WLAN-Zugänge sind nur für das anlegende Geschäftskunden-Konto abrufbar; das WLAN-Yumiqo deiner Familie ist davon unabhängig und wie alle Familieninhalte Ende-zu-Ende-verschlüsselt.

p) Seiten auf yumiqo.de, die die App öffnet

Einige Funktionen öffnen Seiten unserer Website (Wiederfinden /f/, Gäste-WLAN /wifi, Einladungslink /join/, Konto löschen /konto-loeschen). Diese werden von Netlify ausgeliefert; dabei entstehen Server-Logs (IP-Adresse, Zeitpunkt, aufgerufene Seite). Einzelheiten in der Datenschutzerklärung der Website.

q) Eigene Packlisten-Einträge an Yumiqo senden (optional, Voreinstellung aus)

Eigene Einträge in Packlisten (z. B. „Geodreieck" bei Mathe) bleiben normalerweise auf deinem Gerät; die App schlägt sie deiner Familie beim nächsten Mal wieder vor.
Nur wenn du unter Einstellungen › Datenschutz › „Eigene Packlisten-Einträge an Yumiqo senden" einschaltest, übertragen wir bei jedem eigenen Eintrag das Fach bzw. die Aktivität, den eingetippten Text und den Tag — ohne Kontokennung, ohne Geräte- und ohne Familienbezug. Wir nutzen die Einträge, um die Vorschlagsliste für alle zu verbessern.
Weil der Text frei eingegeben ist, können wir nicht ausschließen, dass er etwas Persönliches enthält; bitte trag dort keine Namen ein. Da wir Einträge keinem Konto zuordnen, können wir einzelne bereits gesendete Einträge später nicht heraussuchen oder löschen. Bei der Übertragung sieht unser Server technisch deine IP-Adresse; wir speichern sie nicht zusammen mit dem Eintrag.
Zweck: bessere Vorschläge. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Widerruf: Schalter ausschalten — ab dann wird nichts mehr gesendet. Speicherdauer: 24 Monate (siehe 5). Empfänger: Supabase (siehe 4). Für Kinder-Konten steht der Schalter nicht zur Verfügung.

r) Termine aus dem Handy-Kalender (optional, Voreinstellung aus)

Schaltest du unter Einstellungen › Datenschutz › „Termine aus dem Handy-Kalender im Zuhause-Hub zeigen" ein, fragt Android nach der Berechtigung „Kalender lesen"; danach wählst du, welche Kalender Yumiqo zeigen darf. Die App liest aus diesen Kalendern Titel, Uhrzeit und ob ein Termin ganztägig ist und zeigt sie in der Tagesleiste des Zuhause-Hubs — nur auf diesem Gerät. Die Termine werden nicht synchronisiert, nicht mit deiner Familie geteilt, nicht an uns oder andere übertragen und nicht in Benachrichtigungen, Statistiken oder Absturzberichten verwendet. Yumiqo schreibt nie in deinen Kalender. Welche Kalender du ausgewählt hast, speichert die App nur auf dem Gerät (als Kennung, ohne Kalendernamen); beim Abmelden wird die Auswahl gelöscht. Im Kindermodus und auf Kinder-Konten zeigt Yumiqo keine Termine.
Abschalten: Schalter aus; die Berechtigung kannst du in den Android-Einstellungen entziehen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Funktion, die du einschaltest); Zugriff auf dein Gerät nach § 25 Abs. 2 Nr. 2 TDDDG.

4. Empfänger / Auftragsverarbeiter

• Supabase – Konto (Authentifizierung), Ende-zu-Ende-verschlüsselte Sync-Daten, Familien- und Profildaten, verschlüsselte Familien-Hinweise (24 Stunden), Anruf-Metadaten, Feedback/Support, Wiederfinden-Meldungen, Abo-Status; Server-Funktionen für Ankunftszeit und Adress-Suche. Anbieter: Supabase, Inc. (USA). Datenbank, Authentifizierung und Server-Funktionen laufen in der Region Frankfurt (AWS eu-central-1). Auftragsverarbeitung nach dem Supabase Data Processing Addendum (Bestandteil der Nutzungsbedingungen); für einen etwaigen Zugriff aus Drittländern gelten die EU-Standardvertragsklauseln. Inhalte deiner Yumiqos liegen dort nur Ende-zu-Ende-verschlüsselt (Abschnitt 2).
• Google Ireland Ltd. / Google LLC – Firebase Cloud Messaging (Push, Klingeln), Firebase Analytics und Crashlytics (nur mit Einwilligung), Google Maps Platform (Directions, Places, Address Validation — nur Auto-Yumiqo), STUN-Server (Anrufe), Google Play Billing (Abo). Vertragspartner für Firebase, Maps Platform und Play ist Google Ireland Limited (Gordon House, Barrow Street, Dublin 4). Auftragsverarbeitung nach den Google Cloud / Firebase Data Processing and Security Terms bzw. den Google Measurement Controller-Controller Data Protection Terms (Analytics). Drittlandübermittlung in die USA auf Grundlage des EU-US Data Privacy Framework (Google LLC ist zertifiziert) und ergänzend der EU-Standardvertragsklauseln.
• Cloudflare, Inc. (101 Townsend Street, San Francisco, USA) – STUN-/TURN-Vermittlung für Sprachanrufe: sieht die IP-Adressen beider Geräte zum Verbindungsaufbau und leitet bei Bedarf die bereits Ende-zu-Ende-verschlüsselten Sprachpakete weiter (WebRTC, kann sie nicht mithören). Auftragsverarbeitung nach dem Cloudflare Data Processing Addendum (Bestandteil der Self-Serve-Bedingungen); Drittlandübermittlung auf Grundlage des EU-US Data Privacy Framework (Cloudflare ist zertifiziert) und der EU-Standardvertragsklauseln.
• Brevo (Sendinblue GmbH, Köhlstraße 23, 50827 Köln, bzw. Brevo SAS, 106 boulevard Haussmann, 75008 Paris, Frankreich) – Versand von Konto-E-Mails (Bestätigung, Passwort zurücksetzen) und der E-Mail bei Fundmeldungen: sieht deine E-Mail-Adresse und den Inhalt der jeweiligen Mail (bei Fundmeldungen Kontakt der findenden Person und Ort). Verarbeitung auf Servern innerhalb der EU; ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO) besteht.
• IONOS SE (Elgendorfer Str. 57, 56410 Montabaur) – unser E-Mail-Postfach info@yumiqo.de: Wenn du uns schreibst oder auf eine unserer E-Mails antwortest, liegt deine Nachricht dort. Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO) besteht.
• Netlify, Inc. – Hosting der yumiqo.de-Seiten, die die App öffnet.
• Direkt von deinem Gerät kontaktierte Dienste (sehen deine IP-Adresse und die jeweilige Anfrage; keine Auftragsverarbeiter, eigene Datenschutzerklärungen): Spotify, Deezer, Apple (iTunes Search), YouTube/SoundCloud (Link-Vorschau), Radiosender, OpenHolidays API, von dir eingegebene Stundenplan-Adressen, sowie Apps, die Yumiqo startet (Google Maps, Waze, Musik-Apps).

Eine Weitergabe zu anderen als den genannten Zwecken findet nicht statt.

5. Speicherdauer

Ein täglicher Server-Job setzt diese Fristen automatisch durch:

• Konto- und Sync-Daten: bis zur Löschung deines Kontos (siehe 6) bzw. der Inhalte.
• Zur Löschung vorgemerktes Konto: 30 Tage Kulanz, dann endgültig.
• Geteiltes Yumiqo ohne Besitzer, das niemand übernimmt („Teilen pausiert"): 30 Tage.
• Yumiqos ohne Schlüsselinhaber und Familien ohne Mitglieder: sofort.
• Widerrufene oder abgelaufene Freigaben: 90 Tage.
• Familien-Hinweise (verschlüsselte Umschläge, Ereignisart, Kennungen): 24 Stunden.
• Anruf-Metadaten: 30 Tage. Technische Verbindungsdaten eines Anrufs: 1 Tag.
• Wiederfinden-Meldungen: 30 Tage oder bis „erledigt".
• Push-Geräte-Token: bis zur Abmeldung; ungenutzte nach 180 Tagen.
• Feedback / Support: bis zur Bearbeitung; nach 12 Monaten anonymisiert (Kontokennung, E-Mail-Adresse und Geräte-Angaben gelöscht).
• Gesendete Packlisten-Einträge (nur mit Einwilligung, ohne Kontobezug, siehe 3 q): 24 Monate.
• Technische Schutzdaten (Aufruf-Zähler gegen Missbrauch: Nutzerkennung bzw. Geräte-Prüfsumme + Zeitfenster): 2 Tage. Weckruf-Zeitpunkt (nur der nächste, siehe 3 e): bis zum Wecken, dann gelöscht.
• Nutzungsstatistiken (Firebase Analytics): nutzer- und ereignisbezogene Daten 2 Monate ab Erfassung (ohne Verlängerung bei erneuter Nutzung), danach nur noch zusammengefasste Berichte ohne Personenbezug.
• Lokale Daten: auf deinem Gerät, bis du sie oder die App löschst.

6. Deine Rechte, Export und Konto-Löschung

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Beschwerderecht: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach. Zur Ausübung genügt eine Nachricht an info@yumiqo.de. Wir antworten innerhalb eines Monats (Art. 12 Abs. 3 DSGVO). Damit niemand anderes Auskunft über dich bekommt, schreib uns bitte von der E-Mail-Adresse deines Kontos; sonst bitten wir dich, die Anfrage in der App zu bestätigen. Für Kinder-Konten fragen die Eltern an.

Export selbst abrufen: Unter Einstellungen → Konto → „Meine Daten exportieren" erstellst du eine Datei mit allen synchronisierten Inhalten deiner Yumiqos sowie E-Mail-Adresse, Konto-Kennung und Anzeigename — lesbar, im offenen JSON-Format. Nicht enthalten sind rein lokale Einstellungen (z. B. Zuhause-Erkennung, Ruhezeiten) und deine Telefonnummer im Profil; diese und alle weiteren Konto-Daten bei uns (verschlüsselte Schlüssel-Hüllen, Push-Token, Abo-Status, Anruf-Metadaten, Feedback) beauskunften wir auf Nachricht. Die Datei entsteht auf deinem Gerät, ist unverschlüsselt und enthält z. B. auch WLAN-Passwörter — bewahre sie sicher auf.

Konto löschen: in der App unter Einstellungen › Konto › Konto löschen – oder ohne App über yumiqo.de/konto-loeschen bzw. per Nachricht an info@yumiqo.de:

1. Du wirst sofort abgemeldet; die Daten auf diesem Gerät werden gelöscht (einschließlich Zuhause-Erkennung und Drittdienst-Verknüpfungen).
2. 30 Tage Kulanzfrist: Meldest du dich in dieser Zeit wieder an, kannst du die Löschung abbrechen.
3. Danach werden Konto, E-Mail-Adresse, Profilangaben, alle persönlichen Schlüssel, Geräte-Token und deine verschlüsselten Cloud-Daten unwiderruflich gelöscht.
4. Inhalte in geteilten Yumiqos bleiben bei den Personen, mit denen du sie geteilt hast. Verwaltest du eine Familie, wirst du gefragt, wer sie weiter verwaltet; geteilte Yumiqos, die niemand übernimmt, werden nach 30 Tagen entfernt.
5. Kinder: Fällt der letzte Erziehungsberechtigte weg, werden Kinderprofile gelöscht – verwaltete Profile sofort, Kinder-Konten nach 30 Tagen Schonfrist.

Abmelden ohne Löschung: Einstellungen › Konto › Abmelden entfernt alle Konto- und Inhaltsdaten auf diesem Gerät (einschließlich Zuhause-Erkennung und Spotify-Verknüpfung); dein Konto bleibt bestehen.

7. NFC-Tags und QR-Codes

Yumiqo nutzt NFC-Tags als physische Auslöser. Das Antippen öffnet lokal die zugehörige Funktion; dabei werden keine personenbezogenen Daten an uns übertragen (Ausnahme: der Fund-Link, den eine fremde Person öffnet, siehe 3 l). Beim WLAN-Yumiqo schreibt die App auf deinen Wunsch den WLAN-Namen und das Passwort im Klartext auf den Tag (so, wie Android und iOS es zum Verbinden brauchen) — jeder, der den Tag antippt, kann sich verbinden; darauf weist die App beim Beschreiben hin. Bei der Wiederfinden-Funktion (3 l) schreibt die App auf deinen Wunsch einen Link zur Fundseite mit der zufälligen Kennung auf deinen eigenen Sticker. Jeder, der ihn antippt, kann diese Seite öffnen; sichtbar ist dort nur, was unter 3 l steht. Schaltest du die Funktion aus, setzt die App den Sticker zurück, und die Kennung wird ungültig. Der QR-Code für ein Kinder-Handy enthält die Zugangsdaten des Kinder-Kontos und wird nur von Gerät zu Gerät gezeigt (Kamera-Berechtigung, siehe 9).

8. Kinder

a) Kinderprofile ohne Konto

Kinderprofile (Name, Symbol, Mitmach-Stufe, zugeordnete Yumiqos) sind ein Familien-Inhalt, Ende-zu-Ende-verschlüsselt; sie erfordern keine Anmeldung des Kindes. Die Verantwortung für die Einrichtung liegt bei den Erwachsenen des Haushalts.

b) Kinder-Konto (eigenes Handy des Kindes)

In der App heißt das Kinder-Konto einfach „eigenes Handy“ (z. B. „Bellas Handy“).

Damit ein Kind ein eigenes (altes) Handy ohne SIM-Karte nutzen kann, richten Eltern in ihrer App ein Kinder-Konto ein:

• Das Konto bekommt eine interne Adresse (Form …@kinder.yumiqo.de) — kein Postfach; das Kind braucht keine E-Mail und kennt kein Passwort. Der Zugang wird per QR-Code direkt vom Eltern- auf das Kinder-Handy übertragen.
• Serverseitig speichern wir zum Kinder-Konto: die interne Adresse, die Kennung des einrichtenden Elternteils, der Familie und des Kinderprofils (damit das Konto der richtigen Familie zugeordnet bleibt) sowie dieselben technischen Daten wie bei Erwachsenen (Anmelde-Token, öffentliche Schlüssel, Push-Token, Anruf-Metadaten). Keinen Namen und keine echte E-Mail: Der Anzeigename des Kinder-Kontos ist auf dem Server neutral („Kind“); der von den Eltern gewählte Vorname oder Spitzname lebt nur im Ende-zu-Ende-verschlüsselten Kinderprofil und wird auf den Familien-Geräten daraus angezeigt.
• Das Kinder-Konto sieht nur die Yumiqos, die Eltern ausdrücklich freigeben; Konto-Einstellungen und Teilen sind auf dem Kinder-Handy nicht erreichbar.
• Beim Einrichten fragen wir Geburtsmonat und -jahr ab und dokumentieren die Einwilligung des Erziehungsberechtigten (wer, wann) — Ende-zu-Ende-verschlüsselt im Kinderprofil, für uns nicht lesbar. Für Kinder unter 16 Jahren ist diese Einwilligung Voraussetzung (Art. 8 DSGVO).
• Anrufe aus der Kinder-Ansicht gehen nur an die Erwachsenen der Familie.
• Löschen: Eltern können das Kinder-Konto jederzeit über uns löschen lassen (info@yumiqo.de). Fällt der letzte Erziehungsberechtigte weg, gilt die 30-Tage-Schonfrist aus Abschnitt 6.

9. Berechtigungen im Überblick

Berechtigung	Wofür	Wann gefragt
Benachrichtigungen	Erinnerungen, Timer, Familien-Hinweise, Klingeln	beim ersten Einrichten einer Erinnerung
Standort (nur bei Nutzung der App)	WLAN-Namen für die Zuhause-Erkennung lesen; Auto-Yumiqo Ankunftszeit — kein Standort im Hintergrund	beim Einrichten der jeweiligen Funktion
WLAN-Geräte in der Nähe	Auswahl des WLANs beim WLAN-Yumiqo (ohne Standortnutzung)	beim WLAN-Yumiqo
Kamera	QR-Code beim Verbinden eines Kinder-Handys scannen	beim Verbinden
Mikrofon	Sprachanrufe	beim ersten Anruf
Benachrichtigungs-Zugriff	erkennen, ob Musik läuft (Medien-Yumiqo)	optional, im Medien-Yumiqo
„Nicht stören"-Zugriff	Fokus-Yumiqo stellt Ruhe ein (nicht in der Beta)	beim Fokus-Yumiqo
Kalender lesen	Termine im Zuhause-Hub zeigen — nur auf dem Gerät, nichts wird übertragen	erst beim Einschalten in Einstellungen › Datenschutz, optional
Akku-Optimierung ausnehmen	damit Erinnerungen bei geschlossener App pünktlich kommen	Hinweis in den Einstellungen, optional
NFC, Internet, Wecker, Neustart-Ereignis	Sticker lesen, Sync, pünktliche Erinnerungen	ohne Nachfrage (Systemberechtigungen)

Alle Berechtigungen kannst du in den Android-Einstellungen jederzeit entziehen; die zugehörige Funktion steht dann nicht zur Verfügung, alles andere funktioniert weiter.

10. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich die App oder die Rechtslage ändert. Die jeweils aktuelle Fassung findest du unter https://yumiqo.de/datenschutz-app/ und in der App unter Einstellungen › Datenschutz.