Datenschutzerklärung

1. Verantwortlicher

Sascha Seyfert – Webdesign, Karolinenstr. 8a, 01900 Großröhrsdorf, E-Mail hallo@elternkopf.de. Ein Datenschutzbeauftragter ist nicht bestellt, weil die gesetzlichen Schwellen nicht erreicht werden. Fragen zum Datenschutz gehen an dieselbe Adresse.

2. Das Wichtigste in fünf Sätzen

• Deine Daten und die deiner Kinder verarbeiten wir nur, um Elternkopf für dich zu betreiben.
• Server und Datenbank stehen bei Hetzner in Falkenstein (Sachsen).
• Zettelfotos gehen zur Erkennung an ein Sprachmodell. Sie trainieren kein Modell, und das Original löschen wir nach 30 Tagen.
• Namen fremder Kinder, etwa von Klassenlisten, speichern wir nicht.
• Keine Werbung, kein Tracking durch Dritte, keine Weitergabe und kein Verkauf von Daten.

3. Aufruf der Website

Beim Aufruf von elternkopf.de verarbeitet unser Server die IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser und Betriebssystem. Das braucht es, um die Seite auszuliefern und Angriffe zu erkennen (Art. 6 Abs. 1 lit. f DSGVO). Diese Protokolle löschen wir nach spätestens 14 Tagen. Hosting: Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Rechenzentrum Falkenstein.

4. Konto und Anmeldung

Für ein Konto brauchen wir deine E-Mail-Adresse; Name und Sprache kannst du freiwillig angeben. Du meldest dich mit einem Link an, den wir dir per E-Mail schicken. Der Link ist 15 Minuten gültig, nur einmal nutzbar, und wir speichern ihn nur als Prüfsumme. Nach der Anmeldung setzt der Browser ein Sitzungs-Cookie (ek_session), das 30 Tage gilt. Es ist technisch notwendig und braucht keine Einwilligung (§ 25 Abs. 2 TDDDG). Zu jeder Sitzung merken wir uns den Browser, damit du in den Einstellungen siehst, wo du angemeldet bist, und einzelne Sitzungen beenden kannst. Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO).

5. Familie und Kinder

Du legst deine Kinder mit Name, Gruppe oder Klasse und Einrichtung an, damit Elternkopf Zettel dem richtigen Kind zuordnen kann. Ein Vorname reicht dafür. Diese Daten verarbeiten wir in deinem Auftrag als Erziehungsberechtigte oder Erziehungsberechtigter (Art. 6 Abs. 1 lit. b DSGVO). Kinder können sich nicht selbst anmelden; Elternkopf ist kein Dienst für Kinder im Sinne von Art. 8 DSGVO, sondern ein Werkzeug für ihre Eltern.

Du kannst weitere Erwachsene in deine Familie einladen. Dafür speichern wir deren E-Mail-Adresse bis zur Annahme oder zum Ablauf der Einladung. Im Wechselmodell sieht der andere Haushalt nur die Einträge der gemeinsam freigegebenen Kinder, nie den Rest.

6. Zettelfotos und KI-Auswertung

Ein Foto wird zunächst auf unserem Server gedreht, beschnitten und im Kontrast verbessert. Dann geht es zusammen mit einer Anweisung an ein Sprachmodell, das Termine, Aufgaben, Zugangsdaten und Hausaufgaben daraus liest. Damit das Modell den Zettel dem richtigen Kind zuordnen kann, bekommt es die Vornamen, Gruppen oder Klassen und Einrichtungen deiner Kinder mit.

Das Modell erreichen wir über OpenRouter, Inc. (USA), der Anbieter des Modells ist Google (Gemini). Nach den Vertragsbedingungen beider Anbieter werden deine Inhalte nicht zum Training von Modellen verwendet und nicht dauerhaft gespeichert. Die Verarbeitung findet ganz oder teilweise außerhalb der EU statt. [[Rechtsgrundlage der Drittlandübermittlung eintragen: Zertifizierung nach dem EU-US Data Privacy Framework oder Standardvertragsklauseln, jeweils mit Datum der Prüfung]]

Steht auf einem Zettel eine Klassenliste, entfernt Elternkopf die Kontaktdaten anderer Kinder, bevor etwas gespeichert wird. Was übrig bleibt, ist der Eintrag für dein Kind.

Das Originalfoto löschen wir 30 Tage nach dem Hochladen automatisch. Die daraus gelesenen Einträge und ein kurzer Textauszug des Zettels bleiben, bis du sie löschst oder dein Konto löschst. Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO).

Fotos, die du vom Handy über das Teilen-Menü schickst, liegen bis zu 60 Minuten in einer Zwischenablage auf unserem Server und werden danach gelöscht, falls du sie nicht abholst.

7. Tresor für Zugangsdaten

Passwörter aus Zetteln, etwa für Moodle oder WebUntis, speichern wir ausschließlich verschlüsselt (AES-256-GCM). Der Schlüssel liegt auf dem Server und verlässt ihn nie. Ein Passwort wird nur dann entschlüsselt, wenn du es ausdrücklich anzeigen lässt. Auf dem Kitchen Display steht nur, dass ein Zugang existiert. Auch aus dem Textauszug des Zettels entfernen wir das Passwort.

8. E-Mails, die wir dir schicken

Wir schicken dir Anmeldelinks, eine Bestätigung nach jedem per Mail eingesandten Zettel und, wenn du es eingeschaltet hast, abends ein Briefing mit dem, was morgen ansteht. Das Briefing enthält die Vornamen deiner Kinder und ihre Termine. Du schaltest es in den Einstellungen oder über den Link in jeder Mail ab. Wir merken uns, an welchem Tag ein Briefing an welche Adressen ging, damit niemand es doppelt bekommt.

Versand über Resend (Resend, Inc., USA), Region EU (Irland). Die Mails werden dort zugestellt und nicht ausgewertet; Öffnungs- und Klick-Verfolgung sind abgeschaltet. [[Auftragsverarbeitungsvertrag mit Resend samt Standardvertragsklauseln abschließen und Datum eintragen]]

9. Zettel per E-Mail einsenden

Jede Familie hat eine eigene Einsendeadresse. Angenommen werden nur Mails von Adressen, die zur Familie gehören. Anhänge behandeln wir wie Fotos, den Mailtext wie einen Zettel. Abgelehnte Mails speichern wir nicht; wir merken uns lediglich Absender, Empfänger, Betreff und den Grund der Ablehnung für 30 Tage, damit du nachvollziehen kannst, warum etwas nicht angekommen ist. Der Empfang läuft über Resend in der EU-Region.

10. Kalender-Abo, Kitchen Display, Teilen

Das Kalender-Abo ist eine geheime Adresse, die dein Apple- oder Google-Kalender regelmäßig abruft. Was der Kalenderanbieter dann mit den Terminen macht, liegt in dessen Verantwortung. Die Adresse kannst du in den Einstellungen jederzeit erneuern, dann ist die alte wertlos.

Das Kitchen Display zeigt Namen und Termine deiner Familie auf einem Bildschirm, den du aufstellst. Wer ihn sehen darf, entscheidest du.

Über den Kündigungsbutton kannst du ohne Anmeldung kündigen. Wir speichern dafür E-Mail-Adresse, Name, Kündigungsart, Begründung und den Eingangszeitpunkt und schicken die gesetzliche Bestätigung an die angegebene Adresse (§ 312k BGB). Ob zu der Adresse ein Vertrag besteht, steht nur in dieser Mail, nicht auf der Seite, damit niemand fremde Adressen ausprobieren kann.

Beim Teilen über WhatsApp entsteht der Text in deinem Browser. Erst wenn du auf Senden tippst, übergibt dein Gerät ihn an WhatsApp; wir schicken dorthin nichts.

11. Empfehlungen

Wenn du Elternkopf weiterempfiehlst, bekommst du einen Code. Wir zählen, wie oft er geöffnet wurde und wie viele Familien sich darüber angemeldet haben. IP-Adressen oder Geräte speichern wir dafür nicht.

12. Reichweitenmessung ohne Cookies

Wir zählen Seitenaufrufe mit Umami, das auf einem eigenen Server läuft. Umami setzt keine Cookies, speichert keine IP-Adressen und erkennt niemanden wieder. Deshalb gibt es kein Cookie-Banner. Rechtsgrundlage ist unser Interesse zu wissen, welche Seiten gelesen werden (Art. 6 Abs. 1 lit. f DSGVO).

13. Speicherfristen

14. Empfänger und Auftragsverarbeiter

[[Auftragsverarbeitungsvertrag mit Hetzner: Datum des Abschlusses eintragen]]

Andere Empfänger gibt es nicht. Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken weiter.

15. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15 bis 21 DSGVO). Zwei davon erledigst du ohne uns: In den Einstellungen lädst du alle Daten deiner Familie als Datei herunter und löschst dein Konto samt allem, was dazugehört. Für alles andere schreib an hallo@elternkopf.de.

Du kannst dich bei einer Aufsichtsbehörde beschweren, für uns zuständig ist die Sächsische Datenschutz- und Transparenzbeauftragte, Devrientstraße 5, 01067 Dresden.

16. Sicherheit

Verbindungen sind verschlüsselt (TLS). Anmeldelinks liegen nur als Prüfsumme vor, Passwörter aus dem Tresor nur verschlüsselt. Hochgeladene Dateien prüfen wir, bevor sie verarbeitet werden, und der Browser bekommt eine strenge Content-Security-Policy. Zugriff auf den Server hat nur der Verantwortliche.

17. Änderungen

Ändert sich Elternkopf oder das Recht, passen wir diese Erklärung an. Die jeweils aktuelle Fassung steht hier; bei wesentlichen Änderungen sagen wir dir per E-Mail Bescheid.