ENTWURF – vor Veröffentlichung rechtlich prüfen lassen. Keine Rechtsberatung. Platzhalter in
[KLAMMERN]sind auszufüllen. Stand: DATUM. Englische Fassung:privacy-policy.en.md; bei Abweichungen gilt die deutsche Fassung – mit Anwalt abstimmen.
Datenschutzerklärung für Pepelly
Pepelly ist eine Video-App für Kinder, die nur YouTube-Kanäle abspielt, die ein Elternteil freigegeben hat. Konten gehören den Eltern. Kinder haben kein Konto, melden sich nicht an und geben uns keine E-Mail-Adresse.
1. Verantwortlicher
Verantwortlicher im Sinne der DSGVO: COMPANY, ADDRESS, E-Mail: privacy@pepelly.appDatenschutzbeauftragter, falls benannt: NAME, E-MAIL
Fragen zu dieser Erklärung oder zu Ihren Daten: privacy@pepelly.app.
2. Das Wichtigste in Kürze
- Wir erheben nur, was die App zum Funktionieren braucht: das Elternkonto, die Kinderprofile, die Eltern anlegen, und die damit gekoppelten Geräte.
- Wir erheben keine E-Mail-Adresse, keinen Standort, kein Foto, keine Stimme, keine Kontakte und keine Werbe-ID des Kindes.
- Pepelly zeigt keine eigene Werbung (YouTube kann in Videos weiterhin Werbung zeigen) und enthält im Kindermodus keine Analyse- oder Tracking-Dienste Dritter.
- Videos laufen über den offiziellen YouTube-Player. Pepelly nutzt die YouTube API Services (siehe Abschnitt 6).
- Sie können jederzeit in der App alle Daten exportieren oder löschen. Die Löschung ist innerhalb von 24 Stunden abgeschlossen.
3. Welche Daten wir verarbeiten
Elternkonto
| Daten | Zweck |
|---|---|
| E-Mail-Adresse und Name (aus „Mit Google anmelden“ bzw. „Mit Apple anmelden“), der Anmeldedienst und dessen Kontokennung | Konto anlegen und schützen, Anmeldung, Service-E-Mails |
| Sprache und Zeitzone | Sprache der App; wann ein „Tag“ für Tageslimit, Schlafenszeit und Wochenbericht beginnt |
| Tarif (kostenlos oder Family) und Kaufquelle (App Store / Google Play) | Freischaltung der Family-Funktionen |
| Eltern-PIN (nur als Einweg-Hash gespeichert) | Elternsperre auf Ihren Geräten |
| Push-Tokens Ihrer Elterngeräte, Plattform, zuletzt aktiv | Benachrichtigung über Kanalwünsche Ihres Kindes und Wochenberichte |
| Optional: YouTube-Zugriff für „Meine Abos importieren“, verschlüsselt gespeichert (AES-256-GCM) | Nur wenn Sie Ihre YouTube-Abos importieren; ausschließlich lesend, um die Abos aufzulisten |
Kinderprofil (von den Eltern angelegt)
| Daten | Zweck |
|---|---|
| Profilname (Vorname oder Spitzname genügt) und ein Avatar aus unserer festen Auswahl | Richtiges Profil auf dem Kindergerät anzeigen |
| Altersgruppe (3–5, 6–8 oder 9–12) – kein Geburtsdatum | Vorgeschlagene Kanalpakete und Standard-Filter für die Videolänge |
| Freigabeliste: freigegebene Kanäle, Regeln für einzelne Videos, Inhaltsfilter | Kernfunktion: nur Freigegebenes zeigen |
| Tageslimit und Schlafenszeit | Von Ihnen gesetzte Bildschirmzeit |
| Kanalwünsche, die das Kind schickt („Diesen Kanal wünschen“) | Damit Sie zustimmen oder ablehnen können |
| Wiedergabesitzungen: welches Video, auf welchem gekoppelten Gerät, wann, wie viele Sekunden | Tageslimit und Wochenbericht für Sie |
Kinder können keine Texte eingeben, die anderen angezeigt werden, nichts hochladen und keine anderen Nutzer kontaktieren.
Kindergeräte
| Daten | Zweck |
|---|---|
| Kopplungscode (10 Minuten gültig) und das beim Koppeln ausgegebene Geräte-Token (wir speichern nur einen Hash), Gerätename, Plattform, Zeitpunkt der Kopplung und der letzten Aktivität | Ein Gerät genau einem Kinderprofil zuordnen und es widerrufen können |
Technische Daten
Wenn die App oder das Web-Dashboard mit unserem Server kommuniziert, erhält der Server zwangsläufig die IP-Adresse und technische Anfragedaten. Server-Logs werden 14 Tage zur Sicherheit und Fehlersuche aufbewahrt. Absturzberichte: siehe Abschnitt 7.
Wir nutzen diese Daten nicht, um Profile von Kindern zu bilden, und wir verkaufen oder teilen keine personenbezogenen Daten zu Werbezwecken.
4. Rechtsgrundlagen (DSGVO)
- Vertrag (Art. 6 Abs. 1 lit. b): Elternkonto, Kinderprofile, Freigabeliste, Limits, Kopplung, Abo, Service-E-Mails.
- Einwilligung (Art. 6 Abs. 1 lit. a, Art. 8): Verarbeitung der Daten Ihres Kindes im Kinderprofil; der optionale Import der YouTube-Abos.
- Berechtigtes Interesse (Art. 6 Abs. 1 lit. f): Sicherheits-Logs, Missbrauchsschutz (Rate Limiting), Absturzberichte für eine stabile App.
- Rechtliche Pflicht (Art. 6 Abs. 1 lit. c): Aufbewahrung von Belegen, soweit vorgeschrieben (die Abrechnung selbst übernehmen Apple bzw. Google).
5. Daten von Kindern und Einwilligung der Eltern (Art. 8 DSGVO, COPPA)
Pepelly richtet sich an Kinder, kann aber nur von einem Elternteil oder Sorgeberechtigten eingerichtet werden.
- Einwilligung beim Anlegen des Profils. Beim Anlegen eines Kinderprofils bestätigen Sie, dass Sie Elternteil oder Sorgeberechtigte/r sind, und willigen in die hier beschriebene Verarbeitung ein. Wir speichern den Zeitpunkt dieser Einwilligung. Ohne sie wird kein Profil angelegt.
- Datensparsamkeit. Wir erheben vom oder über das Kind nur die in Abschnitt 3 genannten Profildaten. Keine E-Mail, kein Standort, keine Werbe-ID, keine dauerhafte Kennung zu Tracking-Zwecken.
- Keine eigene Werbung, kein Tracking im Kindermodus. Der Kindermodus enthält kein Werbe-SDK, kein Analyse-SDK und keine Links aus der App. Push-Benachrichtigungen und Firebase werden im Kindermodus nicht geladen.
- Kontrolle durch die Eltern. Sie können die Daten Ihres Kindes jederzeit einsehen, ändern, exportieren oder löschen und Ihre Einwilligung widerrufen, indem Sie das Profil löschen. Wird ein gekoppeltes Gerät widerrufen, endet sein Zugriff sofort.
- COPPA (USA). Falls Pepelly in den USA angeboten wird, dienen die Anmeldung des Elternkontos und die Einwilligungs-Checkbox als Verfahren zur nachprüfbaren elterlichen Einwilligung Anwalt: prüfen, ob das nach 16 CFR 312.5 ausreicht. Eltern erreichen uns unter privacy@pepelly.app, um die Daten ihres Kindes einzusehen oder löschen zu lassen.
6. YouTube
Pepelly nutzt die YouTube API Services. Videos werden im offiziellen eingebetteten YouTube-Player abgespielt; Kanal- und Videoinformationen (Titel, Vorschaubilder, Länge, Veröffentlichungsdatum) ruft unser Server über die YouTube Data API ab.
- Mit der Nutzung von Pepelly erklären Sie sich mit den YouTube-Nutzungsbedingungen einverstanden: https://www.youtube.com/t/terms
- Für YouTube gilt die Datenschutzerklärung von Google: https://policies.google.com/privacy
- Der YouTube-Player wird von Google bereitgestellt. Beim Abspielen kann Google Daten wie die IP-Adresse des Geräts erhalten und Cookies nach eigenen Regeln setzen. YouTube kann in Videos Werbung zeigen; Pepelly fügt keine Werbung hinzu und verändert sie nicht. Pepelly entfernt keine YouTube-Werbung. Werbefreie Wiedergabe hängt vom eigenen YouTube-Premium-Abo der Eltern ab und davon, ob YouTube es im eingebetteten Player anwendet.
- Import der YouTube-Abos (optional). Wenn Sie Ihr YouTube-Konto verbinden, fordern wir nur Lesezugriff (
youtube.readonly) an, um Ihre Abos aufzulisten, damit Sie Kanäle schneller freigeben können. Wir speichern die Zugriffsberechtigung verschlüsselt und geben sie nie heraus, auch nicht im Datenexport. - YouTube-Zugriff widerrufen. In der App: Einstellungen → YouTube-Verbindung → Trennen (die gespeicherte Berechtigung wird gelöscht und bei Google widerrufen). Sie können den Zugriff auch jederzeit unter https://security.google.com/settings/security/permissions widerrufen. Das Löschen Ihres Kontos widerruft ihn ebenfalls.
- Zwischengespeicherte YouTube-Daten. Kanal- und Videoinformationen speichern wir nur so lange wie nötig und aktualisieren sie regelmäßig. YouTube-Daten, die 30 Tage lang nicht aktualisiert wurden, werden gelöscht.
7. Dienstleister (Auftragsverarbeiter) und Empfänger
Wir setzen folgende Dienstleister auf Grundlage von Auftragsverarbeitungsverträgen ein. Einige sitzen außerhalb der EU/des EWR; Übermittlungen stützen sich dann auf das EU-US Data Privacy Framework und/oder Standardvertragsklauseln Anwalt: je Anbieter bestätigen.
| Anbieter | Zweck | Daten |
|---|---|---|
| Google LLC / Google Ireland – YouTube API Services | Kanal- und Videoinformationen; offizieller Player; optionaler Abo-Import | Kanal- und Video-IDs; beim Import Ihre YouTube-Berechtigung; Player: IP-Adresse und Gerätedaten (Google als eigenständig Verantwortlicher) |
| Google – „Mit Google anmelden“; Apple – „Mit Apple anmelden“ | Anmeldung | Identitäts-Token, E-Mail, Name |
| Apple (App Store), Google (Google Play) | Kauf und Abrechnung des Abos (für Zahlungsdaten eigenständig Verantwortliche) | Kauf- und Abostatus; Kartendaten sehen wir nie |
| RevenueCat, Inc. | Prüfung der Store-Belege und des Abostatus | Pseudonyme Nutzerkennung (unsere interne Eltern-ID), Kauf- und Abo-Ereignisse |
| Google – Firebase Cloud Messaging | Ausschließlich Push-Weiterleitung an Elterngeräte; kein anderer Firebase-Dienst | Push-Token des Elterngeräts; Inhalt der Benachrichtigung (bei Kanalwünschen: Profilname des Kindes und Kanaltitel) |
| PostHog Inc. (EU-Cloud, Frankfurt) | Fehlerberichte von Server und Elternbereich der App; Nutzungsstatistik des Elternbereichs (z. B. auf welchem Weg ein Kanal hinzugefügt wurde) | Stacktraces, Gerätemodell und Betriebssystem, App-Version, interne Eltern-ID, Ereignisse im Elternbereich; für Kinder nur eine tägliche Summe der Sehminuten unter einer nicht umkehrbar gehashten Profil-ID; keine Namen, E-Mails oder Tokens; nichts aus dem Kindermodus |
| Resend (Plus Five Five, Inc.) | Service-E-Mails (z. B. Bestätigung der Kontolöschung) | E-Mail-Adresse, Inhalt der E-Mail |
| HOSTING-ANBIETER, STANDORT | Server- und Datenbank-Hosting, Backups | Alle in Abschnitt 3 genannten Daten |
| BACKUP-SPEICHER-ANBIETER, STANDORT | Verschlüsselte tägliche Datenbank-Backups | Alle in Abschnitt 3 genannten Daten |
OFFEN: Die technischen Entscheidungen sehen serverseitige Nutzungsereignisse nur des Elternbereichs in PostHog vor. Falls genutzt, ergänzen: „PostHog Inc. / PostHog EU – Nutzungsstatistik des Elternbereichs, nur serverseitig, nie im Kindermodus, EU-Hosting“. Sonst diesen Hinweis entfernen.
An weitere Dritte geben wir personenbezogene Daten nur weiter, wenn das Gesetz es verlangt.
8. Speicherdauer
| Daten | Speicherdauer |
|---|---|
| Konto und Kinderprofile | Bis Sie sie löschen; die Löschung ist innerhalb von 24 Stunden abgeschlossen |
| Wiedergabesitzungen | 13 Monate bestätigen oder bis Profil/Konto gelöscht wird |
| Kopplungscodes | Verfallen nach 10 Minuten; gelöscht nach 24 Stunden |
| Widerrufene Kindergeräte | 30 Tage nach Widerruf bestätigen |
| Zwischengespeicherte YouTube-Daten | Regelmäßig aktualisiert; gelöscht, wenn 30 Tage nicht aktualisiert |
| Server-Logs | 14 Tage |
| Fehlerberichte und Nutzungsstatistik (PostHog) | 90 Tage |
| Backups | 30 Tage rollierend; gelöschte Daten verschwinden aus den Backups, sobald diese überschrieben werden |
9. Ihre Rechte
Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21) und können Einwilligungen jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Eltern üben diese Rechte für ihre Kinder aus.
- Export: Einstellungen → Konto → Meine Daten exportieren liefert eine maschinenlesbare Datei (JSON) mit allem, was wir über Sie und Ihre Kinder speichern.
- Löschen: Einstellungen → Konto → Konto löschen entfernt Ihr Konto, alle Kinderprofile, Freigabelisten, Wiedergabesitzungen, gekoppelten Geräte und eine YouTube-Berechtigung innerhalb von 24 Stunden. Sie erhalten eine Bestätigung per E-Mail. Ihr Abo kündigen Sie separat im App Store bzw. bei Google Play; das Löschen des Kontos beendet die Abrechnung im Store nicht.
- Kontakt: privacy@pepelly.app
Sie können sich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren, etwa in Ihrem Wohnsitzland oder bei der für COMPANY zuständigen Behörde, z. B. „Landesbeauftragte für Datenschutz ...“.
10. Sicherheit
Verbindungen sind verschlüsselt (TLS). Anmelde-Tokens sind kurzlebig; Geräte-Tokens von Kindergeräten können nur die freigegebenen Inhalte dieses einen Kindes lesen. Eltern-PIN und Geräte-Tokens werden als Hash gespeichert, die YouTube-Berechtigung verschlüsselt. Zugriff auf Produktivsysteme haben nur Mitarbeitende von COMPANY, die ihn benötigen.
11. Änderungen
Wir passen diese Erklärung an, wenn sich die App oder die Rechtslage ändert, und zeigen wesentliche Änderungen in der App an, bevor sie wirksam werden.
Anhang: diese Website (pepelly.app)
Dieser Abschnitt betrifft nur die Website. Anwalt: prüfen und in die Erklärung oben übernehmen.
- Hosting und Server-Logs. Die Website wird von unserem eigenen Webserver bei HOSTING-ANBIETER, STANDORT ausgeliefert. Jeder Abruf wird mit IP-Adresse, Datum und Uhrzeit, aufgerufener Seite, verweisender Seite und Browserkennung protokolliert, zur Sicherheit und Fehlersuche, und nach 14 Tagen gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an einer sicheren, funktionierenden Website).
- Keine Cookies. Die Website setzt keine Cookies und speichert nichts auf Ihrem Gerät.
- Keine Anfragen an Dritte. Schriften, Bilder und Stylesheets kommen von dieser Domain. Die Website lädt nichts von Google oder anderen Dritten.
- Statistik (nur wenn eingeschaltet). Falls PostHog für die Website aktiviert wird: Wir zählen Seitenaufrufe mit PostHog (EU-Hosting) ohne Cookies und ohne Speicherung auf Ihrem Gerät; IP-Verarbeitung wie konfiguriert beschreiben. Solange die Statistik aus ist, diesen Punkt streichen.
- Store-Links führen zum App Store oder zu Google Play; dort gilt die Datenschutzerklärung von Apple bzw. Google.