Rulyo

Datenschutzerklärung

1. Wer für die Verarbeitung verantwortlich ist

Peak Software UG (haftungsbeschränkt)
Sillemstraße 76A
20257 Hamburg

vertreten durch  Hannes Graf, Geschäftsführer
E-Mail           kontakt@rulyo.app
Register         Amtsgericht Hamburg, HRB 178326

Datenschutzbeauftragte

Jasmin Lieffering
LITC
Verdener Landstraße 4
31623 Drakenburg

E-Mail           datenschutz@rulyo.app

Sie ist für die Peak Software UG benannt und damit auch für Rulyo zuständig.

2. Worum es geht

Rulyo ist eine App, in der Familien Aufgaben, Absprachen und Coins gemeinsam führen. Coins sind interne Punkte ohne Geldwert; in der App heißen sie überall so. Sorgeberechtigte legen ein Konto an und richten Profile für ihre Kinder ein. Kinder nutzen die App mit einem eigenen Profil, aber ohne eigenes Rulyo-Konto und ohne eigene E-Mail-Adresse.

Diese Erklärung beschreibt, welche Daten dabei entstehen, warum wir sie verarbeiten und wie lange sie bleiben.

3. Was Rulyo bewusst nicht tut

Diese Punkte sind keine Zusicherungen guten Willens, sondern Eigenschaften der Software.

4. Einwilligung bei Minderjährigen

Die Zielgruppe von Rulyo ist neun bis sechzehn Jahre. Die Altersgrenze des Art. 8 DSGVO liegt in Deutschland bei sechzehn Jahren. Für die gesamte Zielgruppe gilt deshalb: Die Einwilligung erteilen die Sorgeberechtigten.

5. Verarbeitungen im Einzelnen

Zweck Daten Rechtsgrundlage Aufbewahrung
Konto der Sorgeberechtigten Name, E-Mail-Adresse, Passwort (nur als Hashwert) Art. 6 Abs. 1 lit. b bis zur Löschung des Kontos
Wechsel der E-Mail-Adresse neue Adresse, Bestätigungscode (nur als Hashwert), Zahl der Fehlversuche Art. 6 Abs. 1 lit. b bis zur Bestätigung, zum Abbruch, zu einem neuen Wechsel oder zur Löschung des Kontos, siehe unten
Kinderprofil Vorname, Geburtsjahr, PIN (nur als Hashwert) Art. 6 Abs. 1 lit. a i. V. m. Art. 8 bis zur Löschung des Profils; mit dem Profil löschen wir auch Aufgaben, Nachweise, Fotos und Coin-Buchungen dieses Kindes
Aufgaben und Wochenvereinbarungen Bezeichnungen, Termine, Zustimmungen, Erledigungsstände wie vor Einzeldaten 12 Monate, danach nur Summen
Foto-Nachweise Bilddatei ohne Metadaten gesonderte Einwilligung 60 Tage ab Entscheidung, abgelehnte 14 Tage
Text- und Zeitnachweise Freitext, gemessene Dauer wie Aufgaben wie Aufgaben
Coin-Buchungen Betrag, Anlass, Begründung, Zeitpunkt wie Aufgaben wie Aufgaben
Rückfragen und Widersprüche Freitext zwischen Familienmitgliedern wie Aufgaben wie die zugehörige Aufgabe
Geräte und Benachrichtigungen Gerätekennung, Push-Token, Plattform, letzte Aktivität Art. 6 Abs. 1 lit. a und lit. f bis zur Abmeldung des Geräts
Schutz vor Missbrauch von Anmeldung und Konto IP-Adresse (bei IPv6 gekürzt) und je nach Vorgang E-Mail-Adresse, Kennung eines Kindes, einer Anmeldung oder eines Kontos, jeweils nur als Hashwert; dazu Vorgang, Art des Zählers, Zahl der Versuche und Zeitfenster Art. 6 Abs. 1 lit. f bis zum nächsten stündlichen Aufräumlauf nach Ablauf von 15 Minuten, höchstens rund 75 Minuten nach dem letzten Versuch; der Zähler für den Beginn eines Wechsels der E-Mail-Adresse bis zum Ende des Tages, höchstens rund 26 Stunden, siehe unten
Betriebsprotokolle Zeitpunkt, Anfragekennung, Familienkennung, Fehlermeldung — ohne Inhalte Art. 6 Abs. 1 lit. f begrenzt durch Rotation, siehe unten
Zugriffsprotokoll für Support Person, Zeitpunkt, Vorgang, Begründung Art. 6 Abs. 1 lit. c und lit. f mindestens 1 Jahr nach Ende des Zugriffs, höchstens rund einen Tag länger, siehe unten

Aufbewahrungsfristen sind laut Konzept noch nicht abschließend festgelegt (Abschnitt 19.6). Die Werte oben sind die derzeitigen Vorgaben.

Coin-Buchungen sind unveränderlich

Buchungen werden nicht überschrieben und nicht gelöscht. Eine Korrektur entsteht als zusätzliche Buchung mit Begründung und Verweis auf die ursprüngliche. Das ist der Kern des Produktversprechens — ein Kind soll nachvollziehen können, wie sein Coin-Stand zustande kam. Es bedeutet zugleich, dass eine einzelne Buchung nicht isoliert berichtigt werden kann; ein Berichtigungsverlangen nach Art. 16 DSGVO führt zu einer korrigierenden Buchung, nicht zum Verschwinden der ursprünglichen. Das betrifft die Berichtigung. Wird ein Kind oder die Familie gelöscht (Art. 17 DSGVO), löschen wir auch die Buchungen.

Warum bei Betriebsprotokollen keine Tagesfrist steht

Betriebsprotokolle sind die Ausgaben der laufenden Dienste. Sie werden nach Umfang begrenzt, nicht nach Zeit: je Dienst höchstens drei Dateien zu je 10 Megabyte, danach wird die jeweils älteste überschrieben. Wie viele Tage das abdeckt, hängt davon ab, wie viel los ist: Bei wenigen Familien sind es Wochen, bei starker Nutzung Tage.

Wir nennen hier bewusst keine Tagesangabe, weil der eingesetzte Mechanismus sie nicht einhalten könnte. Eine Frist, die niemand durchsetzt, wäre keine Zusage, sondern eine Behauptung.

Das Zugriffsprotokoll für Support ist davon nicht betroffen. Es liegt in der Datenbank und hat zwei Teile: den Zugriff selbst, mit Person, Begründung, Beginn und Ende, und je einen Eintrag für das, was unter diesem Zugriff geschieht, etwa jede Ansicht Ihrer Familie. Die Frist läuft ab dem Ende des Zugriffs, nicht ab seinem Beginn. Verlängern lässt sich ein Zugriff nicht: Fordert der Support erneut Zugriff an, endet der laufende Zugriff, und ein neuer beginnt. Für jeden Zugriff läuft die Frist ab seinem eigenen Ende.

Ein stündlich laufender Vorgang löscht den Zugriff selbst ein Jahr nach seinem Ende. Die Einträge zu den einzelnen Vorgängen tragen nur ihren eigenen Zeitpunkt, nicht das Ende ihres Zugriffs. Damit keiner davon vor Ablauf eines Jahres nach dem Ende seines Zugriffs verschwindet, löschen wir sie erst ein Jahr und 24 Stunden nach ihrem Zeitpunkt; 24 Stunden ist die längste Dauer eines Zugriffs. Ein solcher Eintrag bleibt deshalb mindestens ein Jahr nach dem Ende seines Zugriffs und höchstens rund einen Tag länger.

Schutz vor Missbrauch von Anmeldung und Konto

Einige Vorgänge lassen sich nicht beliebig oft versuchen, etwa die Anmeldung mit Passwort oder PIN, das Registrieren, das Koppeln eines Geräts, das Annehmen einer Einladung oder das Ändern des Passworts oder der E-Mail-Adresse. Dafür zählen wir für kurze Zeit die Versuche je IP-Adresse und bei manchen Vorgängen auch je Ziel, etwa je E-Mail-Adresse. Dabei entsteht auch bei einem gelungenen Versuch ein Eintrag, etwa wenn die App Ihre Anmeldung im Hintergrund erneuert. Nach zu vielen Versuchen weisen wir weitere ab, bis das Zeitfenster vorbei ist, jeweils höchstens 15 Minuten.

Eine Ausnahme ist der Beginn eines Wechsels der E-Mail-Adresse. Dabei geht eine E-Mail an eine Adresse, die frei eingegeben wird; damit Rulyo dafür nicht missbraucht werden kann, lässt sich ein Wechsel je Konto höchstens dreimal am Tag beginnen. Dieser Zähler hängt an einem Hashwert der Kennung Ihres Kontos und gilt bis zum Beginn des nächsten Tages Ihrer Familie (voreingestellt um 3 Uhr).

Für diese Zähler speichern wir von IP-Adresse und Ziel nur einen Hashwert (SHA-256), nie die Angabe selbst. Das hält die Angaben aus Abfragen heraus, schützt sie aber nicht vor jemandem, der die Datenbank einsehen kann: Eine IPv4-Adresse lässt sich durchprobieren, weil es nur rund vier Milliarden gibt, und eine E-Mail-Adresse, ein Kind, eine Anmeldung oder ein Konto lässt sich nachrechnen, sobald man sie kennt oder vermutet. Der Schutz ist deshalb die kurze Frist: Ein Zähler gilt 15 Minuten und wird beim nächsten stündlichen Aufräumlauf danach gelöscht, also höchstens rund 75 Minuten nach dem letzten Versuch. Der Zähler für den Beginn eines Wechsels der E-Mail-Adresse gilt bis zum Ende des Tages und wird beim nächsten stündlichen Aufräumlauf danach gelöscht, also höchstens rund 26 Stunden nach dem ersten Versuch an diesem Tag. In unsere Datensicherungen nehmen wir diese Zähler nicht auf.

Diese Zähler sind nicht Teil der Datenauskunft. Die Zähler zu IP-Adresse, E-Mail-Adresse, Kind und Anmeldung hängen nicht an Ihrem Konto, sondern nur an einem Hashwert, und wir führen keine Zuordnung von Zählern zu Konten (Art. 11 DSGVO). Der Zähler für den Beginn eines Wechsels der E-Mail-Adresse hängt dagegen an einem Hashwert der Kennung Ihres Kontos; er hält nur fest, wie oft an diesem Tag ein Wechsel begonnen wurde. Nach höchstens rund 75 Minuten sind die Zähler gelöscht, der Zähler für den Beginn eines Wechsels der E-Mail-Adresse nach höchstens rund 26 Stunden. Das gilt auch, wenn Sie Ihr Konto oder die Familie vorher löschen: Mit dem Konto löschen wir keinen dieser Zähler, sie laufen ab.

Unser berechtigtes Interesse ist, Konten, Kinderprofile und Kopplungen davor zu schützen, dass jemand Passwörter, PINs oder Codes durchprobiert, und zu verhindern, dass jemand massenhaft Konten anlegt oder ausprobiert, ob eine E-Mail-Adresse bei uns registriert ist.

Wechsel der E-Mail-Adresse

Ändern Sie in der App Ihre E-Mail-Adresse, schicken wir einen Code an die neue Adresse. Bis Sie ihn in der App eingeben, gilt die bisherige Adresse weiter, auch für die Anmeldung. Bis dahin speichern wir die neue Adresse neben der bisherigen, dazu den Code nur als Hashwert. Der Code lässt sich 60 Minuten lang und höchstens fünfmal falsch eingeben.

Wir löschen die neue Adresse, sobald Sie den Wechsel bestätigen (dann ersetzt sie die bisherige), ihn abbrechen oder einen neuen beginnen, nach dem fünften falschen Code und mit Ihrem Konto. Läuft der Code ab, ohne dass eines davon geschieht, nutzen wir die neue Adresse für nichts mehr; gespeichert bleibt sie bis dahin trotzdem.

Nach der Bestätigung enden Ihre Anmeldungen auf anderen Geräten, und wir schreiben an die bisherige Adresse einen Hinweis. Er nennt die neue Adresse nicht.

6. Wer die Daten außerdem verarbeitet

Die folgenden Stellen verarbeiten Daten, soweit dies für den Betrieb von Rulyo erforderlich ist. Soweit ein Dienst als Auftragsverarbeiter im Sinne von Art. 28 DSGVO eingesetzt wird, besteht ein entsprechender Vertrag zur Auftragsverarbeitung. Bei Plattformdiensten für Push-Benachrichtigungen kann die Rolle des jeweiligen Anbieters abweichen.

Anbieter Aufgabe Ort
Hetzner Online GmbH, Gunzenhausen Server, Objektspeicher Deutschland
Host Europe GmbH, Köln Versand von E-Mails Deutschland
Google Ireland Limited / Google LLC Push-Benachrichtigungen über Firebase Cloud Messaging EU und USA
Apple Distribution International / Apple Inc. Push-Benachrichtigungen auf Apple-Geräten über APNs EU und USA
Apple Distribution International / Apple Inc. Verteilung der App über TestFlight EU und USA
Google Ireland Limited / Google LLC Verteilung der App über Google Play EU und USA

Verteilung über TestFlight und Google Play

Solange Rulyo über TestFlight (Apple) oder über einen Test von Google Play verteilt wird und noch nicht regulär im App Store und bei Google Play erhältlich ist, installieren Sie die App auf diesem Weg. Das gilt auch für die Geräte Ihrer Kinder. Bei Google Play gibt es dafür zwei Wege: den internen Test, in den wir Sie mit einer E-Mail-Adresse aufnehmen, und den offenen Test, dem Sie im Play Store selbst beitreten.

Damit die App über TestFlight oder den internen Test von Google Play installiert werden kann, geben wir die E-Mail-Adresse des Apple- oder Google-Kontos an Apple beziehungsweise Google weiter, mit dem sie installiert wird, bei TestFlight zusätzlich den Namen, den Sie uns dafür nennen. Hat ein Kind ein eigenes Gerät mit einem eigenen Konto, ist das die Adresse dieses Kontos. Wir geben sie nur weiter, wenn Sie sie uns dafür nennen, und speichern sie nicht in Rulyo. Für den offenen Test von Google Play geben wir nichts weiter: Sie treten ihm mit Ihrem Google-Konto selbst bei, wie bei jeder anderen App aus dem Play Store.

Apple stellt uns für jede Person, die Rulyo über TestFlight nutzt, Name, E-Mail-Adresse, Angaben zur Nutzung wie Installationen und Sitzungen sowie Absturzprotokolle bereit, außerdem Feedback, das Sie über TestFlight senden. Google stellt uns Absturz- und Stabilitätsdaten bereit. Diese Daten erhebt nicht Rulyo selbst, sondern Apple und Google über ihre Testdienste; in Rulyo ist dafür kein Werkzeug eingebunden. Wir nutzen sie nur, um Fehler zu finden und zu beheben.

Dabei kann es zu einer Verarbeitung personenbezogener Daten außerhalb der Europäischen Union, insbesondere in den USA, kommen. Google verweist dafür auf das EU-U.S. Data Privacy Framework, Apple für internationale Datenübermittlungen aus dem Europäischen Wirtschaftsraum insbesondere auf Standardvertragsklauseln.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, die Bereitstellung der App. Sobald Rulyo regulär im App Store und bei Google Play erhältlich ist, entfällt diese Weitergabe; dann entfernen wir alle Einträge aus TestFlight und dem internen Test von Google Play. Wer Rulyo vorher nicht mehr nutzt, wird auf Wunsch sofort entfernt; aus dem offenen Test von Google Play treten Sie im Play Store selbst aus. Absturzprotokolle und Feedback, die uns bis dahin erreicht haben, bleiben nach den Bestimmungen von Apple und Google bei diesen gespeichert; wir nutzen sie nur zur Fehlersuche.

Push-Benachrichtigungen

Rulyo kann Push-Benachrichtigungen senden, wenn Nutzerinnen und Nutzer diese auf ihrem Gerät erlauben. Die Push-Benachrichtigungen werden über Firebase Cloud Messaging von Google zugestellt. Bei Apple-Geräten erfolgt die Zustellung zusätzlich über den Apple Push Notification service.

Für die Zustellung wird ein Push-Token verarbeitet, das dem jeweiligen Gerät beziehungsweise der jeweiligen App-Installation zugeordnet ist. Push-Benachrichtigungen enthalten keine Namen, keine Aufgabentitel und keine Bildinhalte. Eine Nachricht lautet zum Beispiel „Es wartet eine Freigabe“. Alle Einzelheiten lädt die App erst nach dem Öffnen über unsere eigene Schnittstelle.

Firebase Cloud Messaging und Apple Push Notification service sind technische Zustelldienste. Dabei kann es zu einer Verarbeitung personenbezogener Daten außerhalb der Europäischen Union, insbesondere in den USA, kommen. Für Google verweist Google auf das EU-U.S. Data Privacy Framework und die Firebase-Datenschutzbedingungen. Apple verweist für internationale Datenübermittlungen aus dem Europäischen Wirtschaftsraum insbesondere auf Standardvertragsklauseln.

Rechtsgrundlage für Push-Benachrichtigungen ist die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Die Einwilligung kann jederzeit über die Geräteeinstellungen widerrufen werden. Wird die Einwilligung nicht erteilt oder später widerrufen, kann Rulyo weiterhin ohne Push-Benachrichtigungen genutzt werden.

7. Support-Zugriff

Mitarbeitende können Ihre Familiendaten nicht frei einsehen. Ein Zugriff setzt voraus:

Jeden Zugriff sehen Sie in der App unter „Familie“ › „Zugriff für den Support“, mit Beginn, Ende und der angegebenen Begründung im Klartext. Der Zugriff endet automatisch mit Ablauf dieser Frist. Haben Sie keinen Support angefragt, schreiben Sie uns an kontakt@rulyo.app.

Auch bei aktivem Zugriff bleiben zwei Dinge verborgen: Beweisfotos und die Inhalte von Rückfragen und Widersprüchen. Sichtbar ist nur, dass sie existieren. Das gilt für alle Rollen einschließlich der technischen Administration.

8. Was Kinder sehen dürfen

Ein Kind hat Einsicht in alles, was in Rulyo über es gespeichert ist. Es gibt keinen Elternbereich mit Daten über das Kind, die dem Kind nicht zugänglich sind. Ein Kind kann außerdem die Löschung eigener Fotos anstoßen; die zugehörige Entscheidung bleibt im Verlauf erhalten.

9. Automatisierte Entscheidungen

Rulyo bewertet weder Sie noch Ihr Kind. Es gibt kein Scoring und keine Prognose.

Die App führt Regeln aus, die Sie selbst festlegen und denen Ihre Familie zugestimmt hat. Sperrt der Belohnungsbereich, weil eine vereinbarte Aufgabe offen ist, ist das die Ausführung Ihrer Vereinbarung — die App zeigt dabei stets an, welche Aufgabe die Sperre auslöst und was sie aufhebt.

10. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Auskunft und Datenübertragbarkeit können Sie in der App selbst auslösen; Sie erhalten eine vollständige Datei über alles, was in Rulyo gespeichert ist. Nicht in dieser Datei sind die Angaben, die Apple und Google uns über die Verteilung bereitstellen (Abschnitt 6); die nennen wir Ihnen auf Anfrage. Ebenfalls nicht in dieser Datei sind die kurzlebigen Zähler zum Schutz vor Missbrauch (Abschnitt 5), auch der Zähler für den Beginn eines Wechsels der E-Mail-Adresse, der an Ihrem Konto hängt; auf Anfrage nennen wir Ihnen seinen Stand.

Löschung bei mehreren Sorgeberechtigten

Jeder Sorgeberechtigte kann in der App ein einzelnes Kind oder die gesamte Familie löschen. Rulyo holt dafür keine Zustimmung des anderen Sorgeberechtigten ein. Vor dem Löschen zeigt die App, was dabei verloren geht. Eine Löschung lässt sich nicht rückgängig machen; wer den Verlauf behalten möchte, nutzt vorher die Exportfunktion. Bitte sprechen Sie sich vorher ab.

Ein Sorgeberechtigter kann sich jederzeit allein aus der Familie entfernen, indem er sein eigenes Konto löscht (nächster Abschnitt).

Ihr eigenes Konto löschen

Ihr eigenes Konto löschen Sie in der App unter „Einstellungen“ › „Mein Konto“ › „Konto löschen“ oder unter „Familie“ › „Eure Daten“ › „Konto löschen“. Das geht auch, solange Ihre Elternansicht auf Ihre Zustimmung zu einer neuen Fassung dieser Erklärung wartet (Abschnitt 12): Dort führt „Daten exportieren oder Familie löschen“ zu „Eure Daten“. Was dabei geschieht, hängt davon ab, wer sonst zur Familie gehört. Die App nennt es vor dem Löschen in der Rückfrage:

Verlassen Sie die Familie, löschen wir sofort Ihr Konto mit E-Mail-Adresse und Passwort (Hashwert), Ihre Anmeldungen, einen offenen Wechsel der E-Mail-Adresse und Ihre Zustimmungen zu dieser Erklärung. Geräte, auf denen danach niemand aus der Familie mehr angemeldet ist, verlieren ihren Push-Token. Ihre E-Mail-Adresse entfernen wir auch aus der Liste der Einladungen Ihrer Familie, wo danach „entfernt“ steht, und aus Einträgen über Vorgänge und Notizen des Supports zu Ihrer Familie. Offene Einladungen, die Sie verschickt haben, ziehen wir zurück. Ihre Zustimmung zu Wochen, die noch nicht vereinbart sind, entfällt; eine Woche, die gerade zur Zustimmung vorliegt, geht zurück in den Entwurf.

Einiges bleibt, damit der Verlauf der Kinder stimmt:

Was nach dem Löschen der Familie noch eine Weile bleibt

Löschen Sie die Familie, entfernen wir sie sofort aus Rulyo: Aufgaben, Nachweise, Fotos, Coin-Buchungen, Kinderprofile, Geräte und die Konten der Sorgeberechtigten. Ebenso sofort gelöscht wird die Liste der Support-Zugriffe, die Sie in der App unter „Familie“ › „Zugriff für den Support“ sehen. Einige Spuren bleiben noch eine Weile:

11. Beschwerderecht

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere bei der Behörde Ihres Wohnorts oder bei der für uns zuständigen Behörde:

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit
Ludwig-Erhard-Straße 22, 7. OG
20459 Hamburg

Die Zuständigkeit folgt aus unserem Sitz in Hamburg.

12. Änderungen dieser Erklärung

Wir ändern diese Erklärung, wenn sich die Verarbeitung ändert. Jede Fassung trägt eine Nummer und ein Datum. Ändert sich etwas Wesentliches, holen wir die Einwilligung erneut ein und informieren Sie per E-Mail. Wie das abläuft, hängt davon ab, was sich ändert.

Ist die Änderung für Ihre Zustimmung zu dieser Erklärung wesentlich:

Ändert sich etwas Wesentliches an den Foto-Nachweisen:

In beiden Fällen geht die E-Mail an jede sorgeberechtigte Person mit Konto, die noch zustimmen oder für ein Kind neu einwilligen muss, und zwar in der Regel einmal je Änderung. Sie nennt, was sich geändert hat.