Entwurf, ergänzt am 22. Oktober 2026. Angaben in [[eckigen Klammern]] und offene Nachweise müssen vor der Veröffentlichung geklärt werden.
1. Wer ist verantwortlich?
Carsten Uwe Schneider (Einzelunternehmen), Färberstr. 24, 38442 Wolfsburg. E-Mail: tailorcode@c-schneider.de. Alle Angaben stehen im Impressum.
Datenschutzbeauftragte oder Datenschutzbeauftragter: [[Name, Anschrift, E-Mail]]
2. Worum es geht
Quibbi ist eine App mit einem KI-Begleiter, dem „Buddy“. Du kannst mit ihm schreiben und sprechen. Er merkt sich, was du ihm erzählst, und erinnert dich an Termine. Der Buddy ist eine künstliche Intelligenz und kein Mensch; in der App steht deshalb immer „KI“ an seinem Namen.
Damit das funktioniert, verarbeiten wir die Inhalte deiner Gespräche. Sie können sehr persönlich sein, zum Beispiel über Gesundheit, Gefühle, Glauben oder Beziehungen.
Kurz gesagt
Deine Daten liegen in der EU: Datenbank in Frankfurt, Server in Deutschland.
Antworten erzeugt Google Cloud in der EU.
Die Stimme deines Buddys erzeugt für Erwachsene teilweise ElevenLabs in den USA. Dorthin geht nur der Text, den der Buddy sagt, nie deine Stimme. Für alle unter 18 verwenden wir Google-Stimmen in der EU. Die Löschung bei ElevenLabs und die Voraussetzungen für einen Betrieb ohne Verlauf sind in Abschnitt 4 beschrieben.
Wir verkaufen keine Daten, zeigen keine Werbung und nutzen keine Tracker.
Du kannst alles herunterladen und löschen.
3. Welche Daten wir verarbeiten, wofür und auf welcher Rechtsgrundlage
3.1 Konto und Anmeldung
Daten: E-Mail-Adresse, Konto-ID, Zeitpunkt deiner Anmeldungen. Beim Anmeldedienst zusätzlich IP-Adresse und Gerätetyp im Sicherheitsprotokoll.
Zweck: Konto führen. Du meldest dich mit einem Code an, den wir dir per E-Mail schicken.
Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO).
Dienstleister: Supabase (Anmeldung, Datenbank), Resend (Versand der Code-Mail und der Mail an die Eltern, Abschnitt 5).
Schutz vor automatisierten Anmeldungen: Bevor die App eine Code-Mail anfordert oder ein Gast-Konto für das Kennenlernen anlegt, prüft Cloudflare Turnstile kurz, ob ein Mensch die App bedient und kein Programm massenhaft Konten anlegt. Meist merkst du davon nichts; nur selten bittet die App dich, einmal auf ein Feld zu tippen. Cloudflare verarbeitet dafür deine IP-Adresse sowie technische Angaben zu Gerät und Browser der App (zum Beispiel Browserversion, Spracheinstellung, Bildschirm). Cloudflare setzt dafür keine Cookies zur Nachverfolgung und erhält weder deine E-Mail-Adresse noch Gesprächsinhalte. Die Prüfung ist für die Anmeldung technisch erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Rechtsgrundlage ist unser berechtigtes Interesse, Konten und Dienst vor Missbrauch zu schützen (Art. 6 Abs. 1 lit. f DSGVO).
3.2 Profil
Daten: Name (ein Vorname reicht), Geburtsjahr, Sprache, die Zeitzone deines Handys (zum Beispiel Europe/Berlin), wie du telefonieren möchtest, ob dein Buddy sich Dinge merken soll. Die Zeitzone hilft bei Tageszeit und Wiedersehen; sie enthält keine genaue Adresse oder GPS-Position.
Zweck: Der Buddy spricht dich mit Namen an. Dein Alter brauchen wir, um dich zu schützen: Unter 16 Jahren ist der Kindermodus an (Abschnitt 5); mit 16 und 17 spricht der Buddy nicht über Themen für Erwachsene und nennt keine Preise.
Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b); für den Jugendschutz zusätzlich berechtigtes Interesse (Art. 6 Abs. 1 lit. f).
3.2a Freiwilliges Kennenlernen vor dem ersten Gespräch
Du kannst Fragen der Lichtglockenblume beantworten, einzelne Fragen auslassen oder ohne Antworten mit Lumi starten. Der lokale Test verwendet feste Fragen und Regeln. Er erstellt keine psychologische Diagnose und entscheidet nicht über Rechte, Verträge oder Preise. Namen von Profilen sind beschreibende Gestaltungselemente, keine wissenschaftlich ermittelten Persönlichkeitstypen.
Antworten, ungesendete Entwürfe und ihre Auswertung liegen auf deinem Gerät. Nach 30 Tagen ohne Bearbeitung werden sie beim nächsten App-Start gelöscht. Du kannst sie im Test über das Papierkorb-Symbol oder unter „Daten & Konto“ über „Kennenlerndaten löschen“ früher entfernen. Bereits eingestellte Charakterwerte von Lumi bleiben dabei erhalten und können separat angepasst werden. Der Download deiner Daten enthält die lokalen Kennenlerndaten zusätzlich zu deinen Serverdaten. Beim lokalen Test werden nur begrenzte Charakterwerte mit deinem Konto synchronisiert; Antworten werden nicht als dauerhafte Erinnerungen übernommen.
Freiwillige KI-Erweiterung: Zu Beginn des Kennenlernens kannst du wählen, ob eine KI mitliest. Dann verarbeitet Google Cloud jede Antwort einzeln in der EU: um Gesprächswünsche wie Humor, Direktheit oder Zuhören zu erkennen, um dir mit einer kurzen Reaktion der Lichtglockenblume zu antworten und um aus Antworten über dich bis zu vier Dinge vorzuschlagen, die sich dein Quibbi merken darf. Die Vorschläge siehst du im Profil und kannst jeden einzeln abwählen; gespeichert werden sie erst mit deinem Konto. Gesundheit, Glauben und andere sensible Angaben werden dabei nicht vorgeschlagen. Die Reaktionen sind KI-generiert und als KI gekennzeichnet; im Kindermodus prüft ein weiteres Modell jeden Satz, bevor er erscheint. Spricht eine Antwort von einer Krise, zeigen wir statt einer Reaktion feste Hilfsangebote. Die Antworten werden auf unseren Servern nicht gespeichert. Sprachaufnahmen (höchstens 30 Sekunden) werden in Text umgewandelt; du kannst den Text vor dem Absenden korrigieren. Das Vorlesen verwendet im Kennenlernen für alle Altersgruppen eine Google-Stimme über den EU-Pfad. Es erfolgt keine biometrische Analyse deiner Stimme, kein Erkennen von Emotionen aus dem Audiosignal und keine Ableitung sensibler Eigenschaften für das Profil.
Hast du noch kein Konto, legt die App dafür ein anonymes Gast-Konto bei unserem Anmeldedienst an. Es enthält nur eine zufällige Kennung, dein Geburtsjahr und den Nachweis deiner Einwilligung, kann nur das Kennenlernen nutzen und wird sieben Tage nach dem Anlegen samt Anmeldung gelöscht.
Die KI-Verarbeitung erfolgt nur nach deiner ausdrücklichen Einwilligung (Art. 6 Abs. 1 lit. a und, soweit besondere Kategorien betroffen sind, Art. 9 Abs. 2 lit. a DSGVO), die du mit „Mit KI kennenlernen“ gibst. Im Kindermodus muss ein bereits bestätigter Elternteil die Freigabe mit seiner Elternzahl erteilen. Du kannst die Freigabe im Kennenlernen oder unter „Daten & Datenschutz“ widerrufen; danach werden keine neuen KI-Anfragen für das Kennenlernen zugelassen, und was die KI gelesen hat, wird auf deinem Gerät gelöscht. Ohne Freigabe geht das Kennenlernen mit festen Fragen, festen Antworten und Schnellantworten weiter.
Quibbi schreibt Testantworten und Aufnahmen für diese Erweiterung nicht in die Serverdatenbank. Während einer Anfrage werden sie im Arbeitsspeicher verarbeitet. Zur Wiederholungssicherung bleiben bis zu 16 Minuten nur ein Prüfsummenwert und das begrenzte Auswertungsergebnis im Arbeitsspeicher; beim Widerruf wird dieser Zwischenspeicher entfernt. Einwilligung und Widerruf werden mit Zweck, Textversion, Konto und Zeitpunkt protokolliert. Technische Kosten- und Sicherheitszähler enthalten keine Testantworten. Die konkreten Anbieterfristen und Übermittlungsbedingungen müssen zusätzlich nach Abschnitt 4 nachgewiesen werden; die Cloud-Erweiterung bleibt bis zur betrieblichen Freigabe ausgeschaltet.
3.3 Gespräche (Text und Sprache)
Daten: Was du schreibst oder sagst (als Text) und was der Buddy antwortet, mit Zeitpunkt. Jede Antwort ist maschinenlesbar als von einer KI erzeugt gekennzeichnet.
Sprache: Bei Sprachgesprächen wird deine Stimme in Text umgewandelt und nicht gespeichert.
Fotos: Fotos, die du dem Buddy zeigst, gehen nur für diese eine Antwort an das KI-Modell. Quibbi speichert das Foto nicht im Gespräch oder auf seinem Server. Die Auswahl über Kamera oder Galerie kann eine temporäre Datei auf deinem Gerät erzeugen. Eine solche Kopie im App-Cache wird nach dem Einlesen gelöscht; schlägt die Bereinigung fehl, kann sie bis zur Cache-Bereinigung des Betriebssystems verbleiben. Dein Originalbild bleibt erhalten. Fotos sind nur bei einem hinterlegten Alter ab 18 verfügbar; der Server prüft dies ebenfalls.
Zweck: Der Buddy antwortet dir und kennt den Verlauf. Du siehst deine Gespräche auf allen deinen Geräten.
Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b). Erzählst du von Gesundheit, Gefühlen, Glauben, Sexualleben, politischer Meinung oder Herkunft, sind das besondere Kategorien nach Art. 9 DSGVO. Im Gespräch verarbeiten wir sie nur, um dir zu antworten, weil du sie uns dafür selbst erzählst [[Kanzlei: Rechtsgrundlage nach Art. 9 Abs. 2 für Gesprächsinhalte ohne Einwilligung prüfen]]. Merken darf sich der Buddy so etwas nur mit deiner freiwilligen Einwilligung (3.4).
Private Gespräche: Wir speichern sie nicht, weder auf unserem Server noch auf deinem Handy. Solange das Gespräch offen ist, hält unser Server die letzten Nachrichten nur im Arbeitsspeicher, damit der Buddy den Zusammenhang kennt. Schließt du das Gespräch, nach einer Stunde Pause oder beim Neustart des Servers ist alles weg. Nichts davon kommt ins Gedächtnis, auf andere Geräte oder in den Datenexport. Gespeichert werden nur Zahlen ohne Inhalt (Nachrichtenzähler, Kosten) und im Kindermodus der Themenbereich einer ausgelassenen Nachricht. Meldest du eine Antwort aus einem privaten Gespräch, speichern wir diese eine Antwort mit der Meldung (3.8).
Dienstleister: Google Cloud, ElevenLabs, Supabase, Hetzner.
3.4 Gedächtnis („Das weiß dein Buddy über dich“)
Zu Erinnerungen erzeugen wir kurze Suchfragen, damit der Buddy sie auch bei anders formulierten Fragen findet. Sie unterliegen denselben Lösch- und Einwilligungsregeln wie die Erinnerung und stehen im Datenexport. Nachts können automatisch angelegte Dubletten zusammengelegt und überholte Fakten als „Früher“ markiert werden. Der Inhalt bleibt unverändert. Selbst bearbeitete und ausgeblendete Einträge fasst diese Pflege nicht an. Unter „Früher“ kannst du einen Eintrag wieder gelten lassen.
Daten: Kurze Sätze, die der Buddy aus deinen Nachrichten ableitet, etwa „Mag Pfannkuchen“. Sie können andere Menschen betreffen, von denen du erzählst. Dazu eine mathematische Darstellung des Satzes („Embedding“) für die Suche.
Zweck: Der Buddy erinnert sich an dich.
Ausschalten: Unter „Für Erwachsene › Daten & Konto“ kannst du das Gedächtnis ausschalten. Dann leitet der Buddy nichts Neues ab und nutzt nichts Gemerktes; was du in dieser Zeit sagst, wird auch später nicht übernommen. Jede Erinnerung kannst du ansehen, ändern und löschen.
Sensible Themen: Gesundheit, Gefühle und seelischer Zustand, Religion oder Weltanschauung, Sexualleben, politische Meinung, Herkunft, Gewerkschaft, genetische oder biometrische Daten und Straftaten merkt sich der Buddy nur mit deiner freiwilligen Einwilligung (Art. 9 Abs. 2 lit. a). Ohne sie erkennt ein KI-Modell solche Sätze beim Merken und verwirft sie; eine Wortliste fängt zusätzlich ab, was das Modell übersieht. Die App funktioniert ohne Einwilligung genauso. Du erteilst oder widerrufst sie unter „Für Erwachsene › Daten & Konto“, im Kindermodus entscheiden die Eltern mit der Elternzahl. Mit Einwilligung darf der Buddy nach einem gemerkten Termin, etwa einem Arzttermin, einmal im Gespräch nachfragen, wie es war; eine Benachrichtigung dazu schicken wir nicht, im Kindermodus gibt es solche Nachfragen nie. Beim Widerruf löschen wir sofort alle gemerkten sensiblen Sätze. Was du selbst als Erinnerung einträgst, bleibt deine Entscheidung und wird nicht gelöscht.
Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b); sensible Inhalte nur mit deiner Einwilligung (Art. 9 Abs. 2 lit. a). Angaben über andere Personen: berechtigtes Interesse (Art. 6 Abs. 1 lit. f).
3.5 Termine und Benachrichtigungen
Du kannst im Gespräch ausdrücklich um eine Erinnerung bitten. Quibbi zeigt zunächst einen Vorschlag; erst dein „Ja“ speichert ihn. Auch in einem privaten Gespräch wird diese bestätigte Erinnerung separat gespeichert. Nicht bestätigte Vorschläge verfallen nach fünf Minuten und werden bei Ablehnung oder beim nächsten anderen Gesprächsschritt verworfen. Abgelaufene Vorschläge werden spätestens beim nächsten Bereinigungslauf nach 30 Sekunden aus dem Arbeitsspeicher entfernt.
Daten: Termine, die du erzählst oder einträgst. Die Benachrichtigung plant dein Handy; auf dem Sperrbildschirm steht nur ein allgemeiner Hinweis, nicht der Inhalt.
Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b).
Websuche für Erwachsene – vor Aktivierung zu ergänzen
Die optionale Suche verwendet die Brave Search API. Nur eine abstrahierte Anfrage ohne Personenbezug darf an Brave gehen; Gesprächsverlauf und Erinnerungen werden nicht mitgesendet. Die App zeigt die Anfrage an. In privaten Gesprächen wird vorher gesondert gefragt. Quibbi speichert die Suchanfrage nicht in seiner Datenbank. Quellen erscheinen bei der Antwort; ohne Inhalt gespeicherte Zähler begrenzen die Suche auf 30 Aufrufe pro lokalem Tag und werden nach zwei Tagen bereinigt. Kostenereignisse bleiben entsprechend den allgemeinen Kostenfristen erhalten.
Die Funktion bleibt standardmäßig deaktiviert. [[Vor Aktivierung: konkrete Brave-Vertragsbedingungen, Übermittlungsgrundlage, Anbieterfristen, Datenschutzprüfung und Transparenzhinweis ergänzen. Keine Zusage einer Zero-Retention-Verarbeitung durch Brave.]]
Listen, Tagesritual, Rückblick und Quibbora
Listen enthalten deine Einträge und deren Erledigungsstand. Sie bleiben bis zur Löschung gespeichert und werden zwischen deinen Geräten abgeglichen. Im privaten Gespräch speichert Quibbi Listen erst nach deiner Bestätigung separat. Beim Teilen übergibst du den gewählten Text an die von dir ausgewählte App.
Das freiwillige Tagesritual speichert Vorsatz, Ergebnis und Abschlusskennzeichen für 90 Tage. Eigene Vorsätze bleiben ohne Einwilligung für sensible Inhalte lokal; synchronisiert werden dann nur Abschlusskennzeichen. Im Kindermodus stammen Vorschläge aus festen Listen. Eltern können das Ritual ausschalten.
Der Rückblick leitet Texte aus gespeicherten Erinnerungen ab und zeigt ihre Quellen. Er ist abschaltbar. Kinder erhalten ausschließlich feste Stärkenkarten. Wird eine Quelle geändert, verborgen, überholt oder gelöscht, werden daraus abgeleitete Texte entfernt. Du kannst Rückblicke löschen; ab 16 kannst du sie auch bearbeiten oder eine Erinnerung ausdrücklich als Zitat behalten. Sensible Inhalte unterliegen derselben Einwilligung wie Erinnerungen.
Quibbora speichert den Lichtsamenstand und platzierte Objekte bis zur Löschung des Kontos beziehungsweise Objekts. Lichtsamen verfallen nicht. Die Postkarte entsteht auf deinem Gerät und enthält weder Kontodaten noch Gesprächsinhalte; das Teilen im Kindermodus erfordert die Elternzahl. Die ausgewählte Ziel-App erhält das Bild. Rechtsgrundlage für diese freiwillig verwendeten Funktionen ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b); für sensible gespeicherte Inhalte gilt zusätzlich Abschnitt 3.4.
Optionale Server-Benachrichtigungen – noch deaktiviert
Nach betrieblicher Aktivierung und deinem Einschalten verwendet Quibbi Firebase Cloud Messaging. Google erhält eine Gerätekennung sowie ausschließlich Nachrichtentyp und zufällige Zustell-ID, keine Namen, Termine oder Gesprächstexte. Auf dem Sperrbildschirm erscheint ein allgemeiner Hinweis. Ruhezeiten und Altersgrenzen werden auf Server und Gerät geprüft. Ohne Zustellung erreichbare Geräte werden nicht mit verspäteten Nachrichten versorgt. Zustellnachweise bleiben 30 Tage, inaktive Gerätekennungen höchstens 90 Tage; beim Ausschalten oder Abmelden wird ihre Entfernung veranlasst. [[Vor Aktivierung: Firebase-Vertragsbedingungen, Übermittlungsgrundlage und Anbieterfristen bestätigen.]]
3.6 Einwilligungen
Daten: Wann du welcher Fassung der Nutzungsbedingungen zugestimmt und ob du die Einwilligung für sensible Themen erteilt oder widerrufen hast. Ändern sich die Nutzungsbedingungen, fragen wir dich beim nächsten Start erneut.
Rechtsgrundlage: rechtliche Pflicht (Art. 6 Abs. 1 lit. c i. V. m. Art. 7 Abs. 1).
3.7 Krisen-Check
Im selben Prüfschritt wird aus deiner Nachricht eine grobe momentane Stimmung erkannt, damit der Buddy seinen Ton anpassen kann. Es werden keine Gefühle aus dem Klang deiner Stimme abgeleitet. Die letzten drei Einschätzungen liegen nur im Arbeitsspeicher der Sitzung; sie werden nicht in Gesprächszeilen, Protokollen oder Kostenereignissen gespeichert und nicht an die App gesendet. Ein Serverneustart vergisst sie. Im Kindermodus erfolgt die Prüfung erst nach Elternbestätigung.
Was passiert: Jede deiner Nachrichten prüft ein kleines KI-Modell von Google Cloud (EU) zusätzlich darauf, ob sie von einer Krise spricht, etwa von Gedanken, nicht mehr leben zu wollen. Dann zeigt die App eine feste Karte mit Telefonnummern, unter denen dir Menschen helfen.
Speicherung: Das Krisenurteil speichern wir nicht; es steuert die Hilfekarte. Der Ton der Antwort kann sich durch die oben beschriebene momentane Stimmung anpassen.
Daten: Meldest du eine Antwort des Buddys, speichern wir die Antwort, deinen Grund, deinen Text dazu und den Zeitpunkt. Unser Team bekommt per E-Mail nur einen Hinweis ohne Inhalt.
Zweck: Fehler und unpassende Antworten finden und verhindern.
Speicherdauer: 12 Monate.
Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f); Pflichten aus Store-Richtlinien und dem Gesetz über digitale Dienste.
3.9 Nutzung und Kosten
Daten: Wie viele Nachrichten und Sprachminuten du im Monat nutzt; pro Aufruf eines KI-Dienstes Zeitpunkt, Art und Kosten, ohne Inhalte.
Zweck: Grenzen, Schutz vor Missbrauch, Kostenkontrolle.
Rechtsgrundlage: Vertrag und berechtigtes Interesse (Art. 6 Abs. 1 lit. b, f).
3.10 Server-Protokolle
Daten: Zeitpunkt, aufgerufene Funktion ohne Parameter, Statuscode, Antwortzeit, App-Version, technische Kennungen. Keine IP-Adresse und keine Gesprächsinhalte.
Schreibst du uns, verarbeiten wir deine Adresse und Nachricht, um zu antworten (Art. 6 Abs. 1 lit. b oder f).
3.12 Website quibbi.de und Warteliste
Besuch der Website: Die Website liegt auf einem eigenen Server bei Hetzner in Deutschland. Wir speichern keine Zugriffsprotokolle und keine IP-Adressen und setzen keine Cookies, kein Tracking und keine Inhalte von Dritten ein; Schriften, Bilder und Skripte kommen von unserem Server. Gegen massenhafte Anmeldungen hält der Server deine IP-Adresse höchstens 10 Minuten im Arbeitsspeicher, ohne sie zu speichern (berechtigtes Interesse, Art. 6 Abs. 1 lit. f).
Warteliste, Daten: deine E-Mail-Adresse, auf Wunsch dein Vorname, wann du eingewilligt und wann du bestätigt hast.
Zweck: dir Bescheid zu geben, wenn Quibbi startet. Sonst schreiben wir dir nichts.
Ablauf: Zuerst bekommst du eine Mail mit einem Bestätigungslink (Double-Opt-in). Ohne Bestätigung löschen wir die Angaben nach 7 Tagen. Austragen kannst du dich jederzeit über den Link in jeder Mail oder per Mail an uns; dann löschen wir deine Angaben sofort.
Dienstleister: Hetzner (Server), Resend (Versand der Mails).
4. Wer deine Daten bekommt
Nur Dienstleister, die in unserem Auftrag arbeiten (Art. 28 DSGVO):
Google Cloud (Google Cloud EMEA Ltd., Irland): Antworten, Gedächtnis, Prüfung im Kindermodus, Krisen-Check, Spracherkennung, die Stimme für alle unter 18 und die Ersatzstimme. Die Stimme läuft über den EU-Endpunkt von Google Text-to-Speech (eu-texttospeech.googleapis.com); laut Google bleiben die Daten dabei gespeichert und in Verarbeitung in der EU. Verarbeitung in der EU (Frankfurt, bei Verzögerungen die EU-Region „eu“ oder die Niederlande). Google nutzt die Daten nicht zum Training; Anfragen können bis zu 24 Stunden zwischengespeichert werden [[nach A07 bestätigen]].
ElevenLabs (USA): Sprachausgabe für Erwachsene, nur der Text, den dein Buddy sagt. Er kann deinen Namen oder Dinge enthalten, die der Buddy über dich weiß. ElevenLabs legt jeden Satz in einem Verlauf ab; wir löschen ihn direkt nach dem Sprechen (und spätestens nach sechs Stunden, falls das einmal nicht klappt). Gelöschte Einträge hält ElevenLabs nach eigenen Angaben bis zu 30 Tage in Sicherungen. Der Nutzung für das Training seiner Modelle haben wir im Konto widersprochen. Für Kinder und Jugendliche unter 18 geht nichts an ElevenLabs. Ein Betrieb ohne Anbieter-Verlauf wird nur bei nachgewiesener Vertragsberechtigung aktiviert; standardmäßig ist diese Option aus. Die nachträgliche History-Löschung ist keine Zusage einer Verarbeitung ohne Speicherung.
Supabase (Singapur, Daten in Frankfurt): Anmeldung, Datenbank.
Hetzner Online GmbH (Deutschland): Server und verschlüsselte Sicherungen.
Resend (USA, Versand über die EU-Region): Versand der Anmelde-Codes, der Mail an die Eltern, kurzer Bestätigungen und der Mails der Warteliste (Abschnitt 3.12). Die Mails enthalten keine Gesprächsinhalte und nicht den Namen des Kindes.
Cloudflare (Cloudflare, Inc., USA; Verarbeitung im weltweiten Netz von Cloudflare, auch in der EU und den USA): Schutz vor automatisierten Anmeldungen mit Turnstile (Abschnitt 3.1). Cloudflare ist nach dem EU-U.S. Data Privacy Framework zertifiziert.
Für die USA stützen wir uns auf das EU-U.S. Data Privacy Framework (Art. 45 DSGVO), sonst auf Standardvertragsklauseln (Art. 46). Eine Kopie der Garantien erhältst du auf Anfrage. Behörden geben wir Daten nur, wenn wir dazu verpflichtet sind.
5. Kindermodus
Das Konto gehört einer Person ab 16 Jahren. Kinder unter 16 nutzen Quibbi im Kindermodus.
Einwilligung der Eltern (Art. 8 DSGVO): Ist das angegebene Alter unter 16, fragt die App nach der E-Mail-Adresse eines Elternteils. Wir schicken dorthin einen Link zu einer Seite auf unserem Server. Dort bestätigt der Elternteil, erziehungsberechtigt zu sein, willigt ein und entscheidet, ob sich der Buddy etwas merken darf und ob auch sensible Themen; er kann eine neue Elternzahl wählen. Bis zu dieser Bestätigung führt der Buddy keine Gespräche, und kein KI-Modell verarbeitet etwas von dem Kind. Der Link gilt 7 Tage und nur einmal. Wir speichern Zeitpunkt, Textfassung und die Entscheidungen, von der Adresse nur einen Prüfwert (Hash), nie die Adresse selbst. Widerruf jederzeit: in der App über „Konto löschen“ oder per Mail.
Prüfung: Ein Prüfmodell von Google Cloud (EU) prüft jede Nachricht des Kindes, bevor der Buddy sie sieht, und jeden Satz des Buddys, bevor das Kind ihn hört oder liest. Das gilt auch für Erinnerungen und für Name und Beschreibung des Buddys. Geprüft wird nur Text, nie die Stimme.
Abgelehnte Inhalte: Wir speichern nur, dass und zu welchem Themenbereich etwas ausgelassen wurde, 90 Tage lang. Erwachsene sehen das hinter der Elternzahl, den Wortlaut nicht. Abgelehnte Nachrichten gehen nicht ins Gedächtnis.
Elternzahl: Der Bereich „Für Erwachsene“ ist durch eine vierstellige Zahl geschützt. Wir speichern sie nur als Prüfwert; nach falschen Eingaben gibt es immer längere Pausen.
Stimme: Der Buddy spricht mit einem Kind immer mit einer Google-Stimme in der EU, nie über ElevenLabs. Das entscheidet unser Server bei jeder Antwort nach dem gespeicherten Alter.
Kamera: aus; unser Server lehnt Fotos ab.
Hilfe: Hilfe, Rechtliches und Notfallnummern sind ohne Elternzahl erreichbar. Kinder können Antworten melden.
Grenzen: Das Alter beruht auf der Angabe beim Einrichten. Die Bestätigung per Mail zeigt nur, dass jemand das Postfach liest. Die Prüfung ist ein KI-Modell und kann sich irren.
6. Wie lange wir Daten speichern
Gespräche, Erinnerungen, Buddys, Profil: bis du sie löschst oder dein Konto löschst.
Private Gespräche: nicht gespeichert; nur im Arbeitsspeicher, solange sie offen sind, höchstens eine Stunde nach der letzten Nachricht.
Sprachaufnahmen, Fotos, Krisen-Check: nicht gespeichert.
Gesprochene Sätze bei ElevenLabs: direkt nach dem Sprechen gelöscht, in deren Sicherungen bis zu 30 Tage.
Ausgelassene Themen im Kindermodus: 90 Tage.
Einwilligung der Eltern: bis zur Kontolöschung; Links der Eltern-Mail 30 Tage nach Nutzung oder Ablauf.
Gemeldete Antworten: 12 Monate.
Nutzungs- und Kostendaten: 400 Tage.
Messwerte zu Gesprächen und Anrufen (Längen, Wartezeiten, keine Worte), mit deiner Konto-Kennung: 30 Tage. Daraus bilden wir Wochenzahlen für das Team, jede Zahl erst ab fünf Personen und ohne Kennungen.
Server-Protokolle: 14 Tage.
Datensicherungen: 14 Tage, verschlüsselt.
Warteliste: unbestätigt 7 Tage; bestätigt, bis du dich austrägst oder wir die Warteliste nach dem Start auflösen.
Nach der Kontolöschung: sofort gesperrt; nach 30 Tagen löschen wir alle Daten, auch die Anmeldung, und schicken dir eine Bestätigung. Höchstens 14 Tage danach sind die Daten auch aus den Sicherungen weg. Wird eine Sicherung eingespielt, löschen wir dein Konto sofort wieder.
7. Deine Rechte
Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Einwilligungen kannst du jederzeit für die Zukunft widerrufen (Art. 7 Abs. 3).
In der App unter „Für Erwachsene › Daten & Konto“, im Kindermodus mit der Elternzahl:
„Meine Daten herunterladen“: alle Daten vom Server als Datei.
„Konto löschen“.
Gespräche und Erinnerungen ansehen, ändern, löschen.
Ohne App: E-Mail an tailorcode@c-schneider.de. Wir antworten innerhalb eines Monats.
Beschwerde: bei einer Datenschutz-Aufsichtsbehörde, etwa bei der für uns zuständigen: Die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover.
8. Keine automatisierten Entscheidungen
Die Antworten des Buddys und die Prüfungen entstehen automatisch durch KI. Sie haben für dich keine rechtliche Wirkung (Art. 22 DSGVO). Wir erstellen keine Werbeprofile.
9. Sicherheit
Alle Verbindungen sind verschlüsselt.
Nur unser Server kann auf die Datenbank zugreifen; jede Abfrage ist auf dein Konto beschränkt.
Sicherungen sind verschlüsselt, der Schlüssel liegt nicht auf dem Server.
Auf deinem Handy liegen Anmeldung und Elternzahl im geschützten Schlüsselspeicher von Android.
10. Daten auf deinem Gerät
Die App speichert Gespräche, Erinnerungen und Einstellungen auf deinem Handy, damit sie auch offline funktioniert (§ 25 Abs. 2 Nr. 2 TDDDG). Beim Abmelden löschen wir sie vom Gerät. Berechtigungen: Mikrofon nur im Sprachgespräch, Benachrichtigungen nur wenn eingeschaltet, Internet, Start nach Neustart für Termin-Erinnerungen.
11. Änderungen
Wir passen diese Erklärung an, bevor sich die Verarbeitung ändert. Die aktuelle Fassung steht in der App und auf quibbi.de/datenschutz.