Datenschutzerklärung der KitaLotse-Anwendung

1. Über dieses Dokument

Diese Datenschutzerklärung informiert Sie als Sorgeberechtigte:r, abholberechtigte Person oder Mitarbeitende:r darüber, welche personenbezogenen Daten bei der Nutzung der App/Web-Anwendung KitaLotse durch unsere Einrichtung verarbeitet werden, zu welchen Zwecken, auf welcher Rechtsgrundlage, an wen sie ggf. weitergegeben werden und welche Rechte Ihnen zustehen (Art. 13, 14 DSGVO).

2. Verantwortlicher

[TODO: Name der Einrichtung/des Trägers]
[TODO: Anschrift]
[TODO: Vertretungsberechtigte Person]
E-Mail: [TODO: Kontakt-E-Mail-Adresse]
Telefon: [TODO: Telefonnummer]

KitaLotse wird uns als Software-as-a-Service durch die nelyox UG (haftungsbeschränkt), Alfred-Delp-Straße 40, 53840 Troisdorf, bereitgestellt. nelyox verarbeitet die in dieser Erklärung genannten Daten ausschließlich in unserem Auftrag und nach unserer Weisung als Auftragsverarbeiter (Art. 28 DSGVO) — nicht als eigenständig Verantwortlicher. Grundlage ist ein Vertrag zur Auftragsverarbeitung, der u. a. die technischen und organisatorischen Maßnahmen sowie eingesetzte Unterauftragsverarbeiter auflistet.

3. Datenschutzbeauftragte:r

[TODO: „Es besteht derzeit keine gesetzliche Pflicht zur Bestellung eines Datenschutzbeauftragten (Art. 37 DSGVO / § 38 BDSG)“ oder Kontaktdaten der/des bestellten Datenschutzbeauftragten eintragen.]

Hinweis für den Träger: Da KitaLotse Gesundheitsdaten von Kindern verarbeitet, sollte diese Frage für die eigene Einrichtung geprüft werden. Für nelyox als Auftragsverarbeiter wurde die Frage einer eigenen Pflicht zur Bestellung einer/eines Datenschutzbeauftragten (wegen der trägerübergreifenden Verarbeitung von Gesundheitsdaten, § 38 BDSG/Art. 37 Abs. 1 lit. b DSGVO) geprüft; danach besteht keine Bestellpflicht.

4. Welche Daten wir verarbeiten und wofür

Die folgenden Datenkategorien fallen im Rahmen der App-Nutzung an. Für welches Kind/welche Person welche Felder tatsächlich gepflegt werden, hängt vom jeweiligen Nutzungsumfang ab.

4.1 Stammdaten des Kindes

Vorname, Nachname, Geburtsdatum, Geschlecht, Nationalität, Muttersprache/Deutschkenntnisse, Gruppe, Betreuungsbeginn/-ende, wöchentliche Betreuungsstunden, KiBiz-Nummer bzw. vergleichbare landesrechtliche Kennung, voraussichtliches Einschulungsjahr, Profilfoto sowie — sofern von Ihnen angegeben — Essverhalten und sonstige, Ihnen im Kinderprofil angezeigte Hinweise.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung/Anbahnung des Betreuungsvertrags).

4.2 Gesundheitsdaten (besondere Kategorie personenbezogener Daten, Art. 9 DSGVO)

Allergien, Unverträglichkeiten, Medikation und weitere gesundheitsbezogene Hinweise zu Ihrem Kind, Angaben zum Kinderarzt/zur Kinderärztin (Name, Anschrift, Telefonnummer) sowie zur Krankenkasse. Diese Angaben werden in KitaLotse verschlüsselt gespeichert (AES-256-GCM, mit je Datensatz eigenem Initialisierungsvektor) und sind ausschließlich für das Team der Einrichtung einsehbar. Auch Abwesenheitsmeldungen der Art „krank“ stellen ein gesundheitsbezogenes Datum dar.

Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a i. V. m. Art. 9 Abs. 2 lit. a DSGVO) [TODO: ggf. i. V. m. der einschlägigen landesrechtlichen/kirchenrechtlichen Datenschutzregelung bzw. § 61 SGB VIII/§ 35 Abs. 2 SGB I, § 67 SGB X bei öffentlichen Trägern der Jugendhilfe — je nach Trägerart ergänzen]. Diese Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (siehe Abschnitt 8).

4.3 Abholberechtigte

Name, Verhältnis zum Kind, Telefonnummer(n) und ggf. Sprachkenntnisse der von Ihnen benannten abholberechtigten Personen — sowohl als dauerhafte Liste als auch als tagesaktuelle, einmalige Zusatzberechtigung. Bei jeder Abholung wird zudem dokumentiert, welche Person das Kind tatsächlich abgeholt hat.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Organisation der Übergabe im Rahmen des Betreuungsvertrags) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit des Kindes).

4.4 Anwesenheits- und Abwesenheitsdaten

Bring- und Abholzeiten, Anwesenheitsstatus, gemeldete Abwesenheiten (entschuldigt/krank/Urlaub/unentschuldigt) einschließlich eines optionalen Freitext-Grunds, sowie — sofern das Notbetreuungs-Modul genutzt wird — die Zuordnung zu Notbetreuungs-Haupt- und Untergruppen und deren Berechtigung an einem bestimmten Tag.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; bei „krank“-Meldungen zusätzlich Art. 9 Abs. 2 lit. a DSGVO (Einwilligung) [TODO: ggf. i. V. m. landesrechtlicher/kirchenrechtlicher Regelung, siehe 4.2].

4.5 Kommunikation (Chat, Neuigkeiten, Pinnwand, Kalender)

Inhalte, die Sie oder das Team über den Chat, Neuigkeiten-Beiträge, Pinnwand-Karten oder Kalendertermine austauschen, einschließlich hochgeladener Dateien/Bilder. Vertrauliche Unterhaltungen (z. B. zwischen Leitung und Mitarbeitenden oder mit dem Elternbeirat) sind technisch vor dem Zugriff anderer Rollen geschützt; der Träger selbst sieht standardmäßig keine Chats zwischen Einrichtung und Eltern, es sei denn, das Team gibt eine Unterhaltung ausdrücklich für den Träger frei. Datei-Anhänge im Chat werden nach 48 Geschäftsstunden automatisch gelöscht; der übrige Nachrichtenverlauf bleibt bestehen. Optional können diese Inhalte für Sie automatisch übersetzt werden (siehe Abschnitt 4.9).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO (Organisation des Kita-Alltags, berechtigtes Interesse an funktionierender Kommunikation).

4.6 Kontaktdaten der Sorgeberechtigten

Name, Verhältnis zum Kind, E-Mail-Adresse, Telefonnummern (mobil/privat/dienstlich), Anschrift sowie — soweit Sie einen App-Zugang nutzen — Ihre Zugangsdaten (E-Mail, Passwort-Hash bzw. TOTP-Secret bei aktivierter Zwei-Faktor-Authentifizierung).

Bei Einrichtung Ihres Zugangs erhalten Sie eine von zwei PINs per E-Mail an die von der Einrichtung hinterlegte E-Mail-Adresse zugesandt (Zwei-Kanal-Einladung); die zweite PIN wird Ihnen ausschließlich persönlich durch die Einrichtung übergeben, nicht per E-Mail. Sie wird bis zur Einrichtung Ihres Zugangs verschlüsselt (AES-256-GCM) gespeichert und danach bzw. bei Ablauf der Einladung gelöscht. Der Versand dieser Einladungs-E-Mail erfolgt über Hostinger (Hostinger UK Limited, siehe Auftragsverarbeiter-Liste unten) als E-Mail-/SMTP-Anbieter.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

4.7 Mitarbeitendendaten

Name, Kontaktdaten, Profilfoto, Zugangsdaten (E-Mail/Passwort-Hash oder geräte-gebundener PIN-Hash, TOTP-Secret), sowie — soweit das Modul Arbeitszeiterfassung genutzt wird — wöchentliche Soll-Arbeitszeit, tägliche Kommt-/Geht-Zeiten inkl. Pausen, Kürzel für Urlaub/Krankheit/Resturlaub/Dienstbefreiung/Ausgleichstag sowie ggf. der Status „schwerbehindert“ zur korrekten Berechnung von Zusatzurlaub (Art. 9 DSGVO).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO i. V. m. § 26 BDSG (Beschäftigtendatenschutz); für den Schwerbehinderten-Status zusätzlich Art. 9 Abs. 2 lit. b DSGVO i. V. m. § 26 Abs. 3 BDSG.

4.8 Nutzungs- und Protokolldaten

Änderungen an Kinder-/Personendaten sowie sicherheitsrelevante Aktionen (Login, PIN-/Passwortänderung, Foto-Änderung, Exporte u. a.) werden in einem Audit-Protokoll mit Nutzer:in, Zeitpunkt und Aktion festgehalten. Sensible Änderungen (z. B. an Gesundheitsdaten) werden dabei protokolliert, ohne den neuen Wert im Klartext zu speichern. Diese Protokolldaten dienen der Nachvollziehbarkeit und Missbrauchsprävention und bleiben bestehen, bis die zugehörige Einrichtung bzw. der Träger vollständig gelöscht wird — eine gesonderte, kürzere Löschfrist für das Protokoll allein besteht aktuell nicht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Nachvollziehbarkeit und Systemsicherheit).

4.9 Übersetzungsfunktion (KI-gestützt)

Sorgeberechtigte können die Anwendung in einer anderen Sprache nutzen (Auswahl bei der Registrierung, in der Kopfzeile und unter „Mein Konto → Sprache“). Die Übersetzung erfolgt automatisch durch ein KI-Sprachmodell (offenes Modell „Qwen3.5-9B“), das über den „AI Model Hub“ unseres Dienstleisters IONOS in Rechenzentren in Deutschland betrieben wird (siehe Abschnitt 5). Die Funktion kann von der Einrichtung bzw. dem Träger jederzeit abgeschaltet werden. Solange Sie keine andere Sprache wählen, bleibt die Anwendung auf Deutsch und es findet keine Übersetzung statt.

(a) Oberfläche der Anwendung. Menüs, Schaltflächen, Hinweise und Fehlermeldungen sind feste Texte der Anwendung. Nur diese festen Texte werden an das Sprachmodell gesendet; die Übersetzung wird einmalig zur Wiederverwendung gespeichert. Namen, Nachrichten und andere Eingaben sind davon technisch ausgeschlossen. Dafür werden keine personenbezogenen Daten übermittelt, gespeichert wird lediglich Ihre gewählte Sprache. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO (Bereitstellung der Anwendung in der von Ihnen gewünschten Sprache).

(b) Inhalte (Chat, Neuigkeiten, Pinnwand, Kalender, Kommentare, Umfragen). Wenn Sie eine andere Sprache als Deutsch gewählt haben, werden Texte, die Sie lesen oder schreiben, automatisch übersetzt: Texte des Teams für Sie in Ihre Sprache, Ihre eigenen Texte für das Team (auf Deutsch) und für andere Eltern in deren Sprache. Dazu wird nur der Text selbst (Nachricht, auch als Vorschau der letzten Nachricht in der Chat-Liste, Titel und Inhalt einer Neuigkeit, Pinnwand-Karte oder eines Termins, Titel von Pinnwänden und Spalten, Kommentar, Umfragetext) an IONOS übermittelt — nicht Ihr Name, Ihre Kontaktdaten oder Dateianhänge. Die Texte können jedoch Namen von Kindern und Gesundheitsangaben enthalten. Eine Übersetzung wird nur für Personen angefordert, die den Text ohnehin sehen dürfen. Wer die Anwendung auf Deutsch nutzt, dessen Texte werden nicht übersetzt; das Team sieht Ihre Texte nur dann automatisch auf Deutsch, wenn Sie eine andere Sprache gewählt haben. Die Übersetzungsfunktion ist Bestandteil der Nutzung von KitaLotse, der Sie mit der Unterzeichnung der Datenschutzerklärung Ihrer Einrichtung zustimmen; ohne diese Erklärung erhalten Sie keinen Zugang zur Anwendung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO (Nutzung der Kommunikationsfunktionen in einer Sprache, die alle Beteiligten verstehen) sowie, soweit ein Text Gesundheitsdaten enthält, Ihre mit der Unterzeichnung der Datenschutzerklärung erteilte ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO). Sie können die Übersetzung jederzeit beenden, indem Sie die Sprache unter „Mein Konto → Sprache“ wieder auf Deutsch stellen; Ihre Texte werden dann nicht mehr übersetzt und bereits gespeicherte Übersetzungen Ihrer eigenen Texte werden gelöscht. Einer Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO können Sie nach Art. 21 DSGVO widersprechen (siehe Abschnitt 8).

(c) Benachrichtigungen und Einladungs-E-Mail. Push-Benachrichtigungen erhalten Sie in der gewählten Sprache, ebenso die Einladungs-E-Mail, deren Sprache die Einrichtung beim Einladen wählt. Dafür werden nur feste Textbausteine übersetzt (z. B. „Neue Nachricht“). Namen, Titel, Daten und der Name der Einrichtung werden von unserem Server erst nach der Übersetzung eingesetzt und nicht an IONOS übermittelt. Eine Textvorschau von Nachrichten wird bei gewählter Fremdsprache in Push-Benachrichtigungen nicht angezeigt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.

Speicherung und Löschung. Die Übersetzungen von Inhalten speichern wir auf unserem Hosting (siehe Abschnitt 5), damit derselbe Text nicht erneut übersetzt werden muss. Sie werden zusammen mit dem Originaltext gelöscht (beim Löschen oder Ändern des Originals (Nachricht, Neuigkeit, Pinnwand-Karte, Termin, Kommentar) sofort, im Übrigen spätestens im täglichen Aufräumlauf), wenn Sie die Sprache wieder auf Deutsch stellen sofort für Ihre eigenen Texte. Bei IONOS werden die übermittelten Texte und die Ergebnisse nach den Angaben des Anbieters nicht protokolliert, nicht dauerhaft gespeichert und nicht zum Training von Modellen verwendet; protokolliert werden nur technische Metadaten ohne Inhalte (Zeitpunkt, Modell, Anzahl der Token). Zusätzlich führen wir tägliche Zähler ohne Personenbezug (Sprache, Anzahl und Länge der übersetzten Texte).

Grenzen der Übersetzung. Maschinelle Übersetzungen können Fehler enthalten. Übersetzte Texte sind als „Automatisch übersetzt“ gekennzeichnet, das Original ist jederzeit abrufbar; maßgeblich ist stets der Originaltext. Bitte klären Sie wichtige Angelegenheiten (z. B. Gesundheit, Abholung, Notfälle) im Zweifel direkt mit der Einrichtung.

5. Empfänger der Daten

Innerhalb der Einrichtung sehen ausschließlich die Personen Ihre Daten, deren Rolle dies erfordert (Team der Einrichtung, ggf. Leitung und Träger — mit den in Abschnitt 4.5 beschriebenen Einschränkungen bei vertraulichen Chats).

Für den technischen Betrieb setzen wir folgende Auftragsverarbeiter/Empfänger ein:

• nelyox UG (haftungsbeschränkt) als Betreiber von KitaLotse (Auftragsverarbeiter, Art. 28 DSGVO). Support-Mitarbeitende von nelyox erhalten nur nach Ihrer/unserer aktiven Bestätigung Zugriff auf ein einzelnes Konto (Support-Zugriff mit Rückfrage) — kein voraussetzungsloser Zugriff auf Kita-Daten.
• Hostinger UK Limited, 6 Lloyds Avenue Suite 4CL, London, England EC3N 3AX (Vereinigtes Königreich), als Hosting-Anbieter für Server, Datenbank und Dateispeicher. Verarbeitungsort ist Frankfurt am Main (Deutschland/EU); die automatische Tagessicherung (Backup) wird zusätzlich auf einem Server in Frankreich (EU) vorgehalten. Für den Vertragspartner mit Sitz im Vereinigten Königreich besteht ein Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO) — zusätzliche Garantien sind daher nicht erforderlich.
• GlitchTip zur automatisierten Erkennung von Programmfehlern (Stacktraces, Zeitpunkt der Fehler). Der Dienst wird auf eigener, in Deutschland gehosteter Server-Infrastruktur betrieben. Es werden ausschließlich technische Fehlerdaten verarbeitet, keine bewusste Übermittlung von Kontoinhalten (Formulareingaben, Anfrage-/Antwortinhalte und Cookies sind technisch von der Erfassung ausgeschlossen). Für die Erreichbarkeit aus dem Internet wird Tailscale Funnel (Tailscale Inc.) als reiner Verbindungsvermittler eingesetzt: Der Datenverkehr wird nicht bei Tailscale entschlüsselt (die Verschlüsselung endet auf unserer Server-Infrastruktur), Tailscale erhält bei der Vermittlung jedoch technische Verbindungsdaten (IP-Adresse, Zeitpunkt, Zielport). Ein Auftragsverarbeitungsvertrag mit Tailscale inkl. EU-Standardvertragsklauseln (Art. 46 DSGVO) liegt vor.
• Uptime Kuma zur externen Erreichbarkeitsüberwachung unserer Server. Der Dienst wird auf eigener, in Deutschland gehosteter Server-Infrastruktur betrieben. Dabei werden ausschließlich technische Verfügbarkeitsdaten unserer eigenen Server-Infrastruktur erhoben (HTTP-Statuscode, Antwortzeit) — keine der hier genannten personenbezogenen Daten. Für die Erreichbarkeit aus dem Internet wird, wie bei GlitchTip beschrieben, Tailscale Funnel als Verbindungsvermittler eingesetzt (Auftragsverarbeitungsvertrag inkl. EU-Standardvertragsklauseln, Art. 46 DSGVO).
• Umami zur cookielosen Reichweiten- und Nutzungsstatistik von Homepage und Anwendung. Der Dienst wird auf eigener, in Deutschland gehosteter Server-Infrastruktur betrieben, speichert keine IP-Adressen und erkennt Nutzer:innen nicht geräte- oder seitenübergreifend wieder. Erfasst werden nur die aufgerufene Seite der Anwendung (Token und Parameter in Adressen werden vor der Übertragung entfernt), die Herkunft, Browser, Betriebssystem, Gerätetyp, Sprache sowie grob Land, Region und Stadt (kurzzeitig aus der IP-Adresse abgeleitet, danach verworfen) — keine Inhalte, Namen oder Kontodaten. Ein Do-Not-Track-Signal des Browsers wird beachtet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Stabilität und Weiterentwicklung der Anwendung). Für die Erreichbarkeit aus dem Internet wird, wie bei GlitchTip beschrieben, Tailscale Funnel als Verbindungsvermittler eingesetzt (Auftragsverarbeitungsvertrag inkl. EU-Standardvertragsklauseln, Art. 46 DSGVO).
• IONOS (IONOS SE, Montabaur, bzw. die jeweils vertragsschließende Konzerngesellschaft der IONOS-Gruppe, Deutschland) als Betreiber des KI-Sprachmodells („AI Model Hub“) für die Übersetzungsfunktion (siehe Abschnitt 4.9). Verarbeitungsort sind Rechenzentren in Deutschland. Übermittelt werden die festen Oberflächentexte der Anwendung sowie — sobald Sie eine andere Sprache als Deutsch nutzen — der Text von Chat-Nachrichten, Neuigkeiten, Pinnwand-Karten und Pinnwand-Titeln, Kalenderterminen, Kommentaren und Umfragen, ohne Namen der Verfasser:innen, Kontaktdaten und Anhänge; für Push-Benachrichtigungen und die Einladungs-E-Mail nur feste Textbausteine ohne Namen, Titel oder Daten. Nach den Angaben des Anbieters werden Eingaben und Ausgaben nicht protokolliert oder dauerhaft gespeichert, nicht zum Training von Modellen verwendet und nicht an Dritte weitergegeben; der Zugriff auf Betriebsdaten erfolgt ausschließlich durch Personal in der EU, weitere Unterauftragsverarbeiter werden für diesen Dienst nicht eingesetzt. Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO besteht (nach Angabe des Anbieters Bestandteil der IONOS-Vertragsbedingungen).
• E-Mail-Versand der Einladungs-E-Mail bei Einrichtung eines Sorgeberechtigten-Zugangs (siehe Abschnitt 4.6) über Hostinger als E-Mail-/SMTP-Anbieter (dieselbe Hostinger UK Limited wie oben als Hosting-Anbieter — der Auftragsverarbeitungsvertrag deckt beide Dienste ab).
• Push-Benachrichtigungen an Ihr Endgerät laufen über den offenen Web-Push-Standard mit verschlüsselter Nutzlast; technisch bedingt wird dabei die Zustellinfrastruktur Ihres Browser-/ Geräteherstellers (z. B. Google, Mozilla, Apple) genutzt, die Zeitpunkt und Push-Endpunkt, nicht aber den Nachrichteninhalt sehen kann. Falls Sie keine Push-Benachrichtigungen wünschen, können Sie diese in Ihrem Browser/Gerät deaktivieren.

Eine Weitergabe an Werbetreibende, Analyse- oder Trackingdienste findet nicht statt. Abrechnungsrelevante Kontaktdaten unseres Trägers (nicht: Ihre Daten als Eltern oder Daten Ihres Kindes) können zur Rechnungsstellung an einen externen Rechnungsdienst übermittelt werden — hiervon sind Kinder-, Eltern- und Mitarbeitendendaten nicht betroffen.

Eine Offenlegung an Behörden erfolgt nur, wenn wir gesetzlich dazu verpflichtet sind (Art. 6 Abs. 1 lit. c DSGVO).

6. Übermittlung in Drittländer

Die tatsächliche Datenverarbeitung/-speicherung (inkl. Backup) erfolgt ausschließlich innerhalb der EU (Deutschland/Frankreich, siehe Abschnitt 5); eine gezielte Drittlandübermittlung ist nicht vorgesehen. Der Hosting-Anbieter hat seinen Firmensitz im Vereinigten Königreich — hierfür besteht ein Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO, sodass keine zusätzlichen Garantien erforderlich sind. Eine weitere technisch bedingte Ausnahme kann die Zustellung von Push-Benachrichtigungen betreffen (siehe Abschnitt 5) — hier kann je nach genutztem Browser eine Übermittlung von Metadaten an Infrastruktur außerhalb der EU/des EWR erfolgen. [TODO: bei Bedarf mit Rechtsberatung klären, ob hierfür ein gesonderter Transfermechanismus zu benennen ist.]

Auch der Übersetzungsdienst (IONOS, siehe Abschnitt 4.9) verarbeitet ausschließlich in Rechenzentren in Deutschland; eine Übermittlung in Drittländer erfolgt dabei nicht.

7. Speicherdauer

• Stammdaten, Gesundheitsdaten, Kontaktdaten: für die Dauer der Betreuung; nach Austritt archiviert die Einrichtung das Kinderprofil und entscheidet zu einem späteren Zeitpunkt über die endgültige Löschung, sobald keine Aufbewahrungsfrist mehr entgegensteht. [TODO: konkrete Aufbewahrungsfrist der Einrichtung ergänzen, z. B. anhand landesrechtlicher Vorgaben.]
• Chat-Dateianhänge: automatische Löschung nach 48 Geschäftsstunden; der übrige Nachrichtenverlauf bleibt bis zur Löschung der Einrichtung bestehen.
• Audit-Protokoll: Einträge werden bei einer aktiven Einrichtung automatisiert 12 Monate nach ihrer Entstehung gelöscht, sofern sie nicht Teil einer laufenden Missbrauchsprüfung sind; im Übrigen bis zur vollständigen Löschung der zugehörigen Einrichtung bzw. des Trägers (siehe Abschnitt 4.8).
• Arbeitszeitdaten der Mitarbeitenden: [TODO: nach den einschlägigen arbeits-/ sozialversicherungsrechtlichen Aufbewahrungsfristen ergänzen].
• Übersetzungen: Übersetzungen von Chat-Nachrichten, Neuigkeiten, Pinnwand-Karten, Kalenderterminen, Kommentaren und Umfragen werden zusammen mit dem Originaltext gelöscht, wenn die Sprache wieder auf Deutsch gestellt wird sofort für die eigenen Texte (siehe Abschnitt 4.9). Übersetzungen der festen Oberflächentexte enthalten keine personenbezogenen Daten. Die gewählte Sprache bleibt bis zur Löschung des Zugangs gespeichert.
• Formulare und Einverständniserklärungen: Antworten der Eltern samt Anhängen und Unterschriften werden mit den übrigen Details des Kindes 3 Monate nach dem Austritt gelöscht. Bei einer Unterschrift auf dem Display speichert KitaLotse als Nachweis zusätzlich die IP-Adresse und die Browserkennung (User-Agent) des verwendeten Geräts; bei einer Klick-Bestätigung geschieht das nicht. Diese Angaben werden zusammen mit der Unterschrift gelöscht.
• Vollständige Löschung: Auf Wunsch der Einrichtung/des Trägers werden sämtliche Daten eines Kindes, einer Einrichtung oder eines gesamten Trägers unwiderruflich gelöscht (technisch in KitaLotse hinterlegte Löschfunktion mit automatisch erstelltem Löschnachweis).

8. Ihre Rechte

Ihnen stehen nach Art. 15–21 DSGVO folgende Rechte zu: Auskunft über die zu Ihrer Person bzw. zu Ihrem Kind gespeicherten Daten, Berichtigung unrichtiger Daten, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit sowie Widerspruch gegen eine auf Art. 6 Abs. 1 lit. f DSGVO gestützte Verarbeitung. Eine erteilte Einwilligung (z. B. zu Gesundheitsdaten oder Fotos) können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Die Übersetzung Ihrer Inhalte beenden Sie jederzeit, indem Sie die Sprache unter „Mein Konto → Sprache“ auf Deutsch stellen.

Bitte wenden Sie sich zur Ausübung dieser Rechte an den unter Abschnitt 2 genannten Verantwortlichen (Ihre Einrichtung/Ihren Träger). Zudem steht Ihnen jederzeit ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

9. Automatisierte Entscheidungen

KitaLotse trifft keine automatisierten Entscheidungen mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne von Art. 22 DSGVO und erstellt kein Profiling zu Werbe- oder Bonitätszwecken. Die automatische Kennzeichnung nicht gemeldeter Kinder als „unentschuldigt“ nach einer festgelegten Uhrzeit sowie die regelbasierte Zuteilung zu Notbetreuungsgruppen anhand eines hinterlegten Rotationsplans sind rein organisatorische Funktionen ohne eigenständige Rechtswirkung Ihnen gegenüber. Auch die automatische Übersetzung (Abschnitt 4.9) ist eine reine Verständnishilfe und trifft keine Entscheidungen über Personen.

10. Datensicherheit

Gesundheitsdaten und TOTP-Geheimnisse werden verschlüsselt gespeichert (AES-256-GCM). Passwörter und PINs werden mit Argon2id gehasht. Die zweite PIN einer Eltern-Einladung wird nur verschlüsselt gespeichert. Für die Offline-Nutzung zwischengespeicherte Daten werden im Browser verschlüsselt und beim Abmelden entfernt. Wiederholte Fehlversuche bei der Anmeldung führen zu einer zeitweisen Sperre. Für Trägerkonten ist eine Zwei-Faktor-Authentifizierung (TOTP) im Standardfall verpflichtend; für Leitungs- und Elternkonten ist sie im Standardfall optional aktivierbar, kann aber je Träger auch für diese Rollen verbindlich vorgeschrieben werden. Mitarbeitende melden sich alternativ über einen geräte-gebundenen PIN an einem von der Leitung registrierten Gerät an. Interne Zugänge unseres eigenen Support-/Administrationspersonals (nicht Träger-, Leitungs- oder Elternkonten) sind zusätzlich zu Passwort und TOTP durch einen Passkey (WebAuthn) absicherbar. Die Übertragung erfolgt ausschließlich verschlüsselt (TLS). Der Zugriff ist strikt rollenbasiert und je Träger/Einrichtung logisch getrennt. Die Übersetzungsfunktion ist so abgesichert, dass nur feste Anwendungstexte bzw. — bei gewählter Fremdsprache — Inhalte an den Dienst gelangen, die die anfragende Person ohnehin sehen darf (signierte, kurzlebige Anforderungen, Tageslimits, Notausschalter).

11. Cookies und ähnliche Technologien in der Anwendung

Die Anwendung setzt ausschließlich technisch notwendige Cookies/Tokens ein — keine Marketing-, Analyse- oder Tracking-Cookies:

• Sitzungs-Cookie zur Anmeldung (verschlüsselt, „httpOnly“, läuft nach 12 Stunden bzw. bei „Eingeloggt bleiben“ nach 30 Tagen ab und kann von dir jederzeit unter „Mein Konto“ beendet werden). Zur Sitzungsverwaltung werden je Anmeldung Zeitpunkt, IP-Adresse und Browserkennung (User-Agent) gespeichert, unter „Mein Konto → Aktive Sitzungen“ angezeigt und 24 Stunden nach Ablauf der Sitzung gelöscht.
• „Gerät vertrauen“-Cookie für die Zwei-Faktor-Authentifizierung, das den erneuten Code-Abruf für einen von Ihnen gewählten Zeitraum überspringt (das Passwort bleibt weiterhin erforderlich).
• Geräte-Token für gemeinsam genutzte Gruppen-Tablets der Einrichtung (kein Cookie, sondern ein auf dem Gerät hinterlegter technischer Schlüssel).
• Abo-Link-Token für den optionalen Kalender-/Notbetreuungs-Feed zum Abonnieren in einer externen Kalender-App.

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TTDSG (technisch notwendig) i. V. m. Art. 6 Abs. 1 lit. b/f DSGVO.

12. Änderungen dieser Datenschutzerklärung

Wir passen diese Erklärung an, sobald sich der Funktionsumfang von KitaLotse oder die eingesetzten Auftragsverarbeiter ändern. Es gilt jeweils die aktuell abrufbare Fassung.