Datenschutzerklärung

1. Verantwortlicher

Verantwortlich im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer nationaler Datenschutzgesetze:

Stefan Mende
Obere Hausbreite 9
80939 München
Deutschland
E-Mail: datenschutz@patchio.de

Vollständige Angaben siehe Impressum.

2. Allgemeines zur Datenverarbeitung

patchio ist ein Organisations-Werkzeug für Familien und Patchwork-Haushalte. Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung der Anwendung und zur Erfüllung des Nutzungsverhältnisses erforderlich ist.

Rechtsgrundlage ist überwiegend Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Vertrags über die Nutzung der Anwendung), in Einzelfällen Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, z. B. für optionale Benachrichtigungen per E-Mail) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, z. B. zur Sicherstellung eines stabilen und sicheren Betriebs).

3. Welche Daten wir verarbeiten

Im Rahmen der Nutzung werden folgende Daten verarbeitet:

• Account-Daten: E-Mail-Adresse, Passwort (gehasht), Vorname, Profil-Avatar (optional)
• Anmeldung mit Google: Statt mit E-Mail und Passwort kannst du dich im Browser und in der App über „Mit Google fortfahren" registrieren und anmelden. Dabei übermittelt uns Google (Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland; ggf. Google LLC, USA) eine Kennung deines Google-Kontos, deine E-Mail-Adresse und die Profilangaben, die Google dabei freigibt (in der Regel Name und Profilbild). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung deines Zugangs). Für die Anmeldung bei Google selbst ist Google in eigener Verantwortung zuständig; es gilt die Datenschutzerklärung von Google. Die Verknüpfung trennst du im Profil unter „Verbundene Konten". „Anmelden mit Apple" gibt es nur in der App (siehe Abschnitt 11).
• Haushalts- und Familiendaten: Namen und Beziehungen weiterer Haushaltsmitglieder (auch ohne Login, z. B. Kinder), Mitgliedschaften in Haushalten und Gruppen, Sharing-Codes
• Kalender- und Aufgabendaten: Termine, Termin-Serien, Erinnerungen, Aufgaben, Sichtbarkeitseinstellungen
• Listen und Mahlzeiten: Einkaufslisten, Rezepte, Mahlzeitenpläne
• Vorratsdaten: Vorratsartikel mit Lagerort und Bestand
• Verzeichnis-Daten: Kontakte mit Adressen, Öffnungszeiten und sonstigen Notizen, die durch den Nutzer selbst eingetragen werden
• Notfallpass-Daten: Gesundheits- und Notfallinformationen (Blutgruppe, Allergien, Medikamente, Erkrankungen, Versicherung, Hausarzt), die der Nutzer freiwillig zu einem Familienmitglied pflegt. Vor dem ersten Speichern eines Notfallpasses ist eine ausdrückliche Einwilligung über eine Checkbox erforderlich (Art. 9 Abs. 2 lit. a DSGVO). Zeitpunkt und Version der Einwilligung werden zu Nachweiszwecken protokolliert.
• Notfallpass-Zugriffs-Logs: Zeitstempel und Identifikation des zugreifenden Familienmitglieds bei jedem Lese-Zugriff über die Druckansicht des Notfallpasses. Aufbewahrung 90 Tage, danach automatische Löschung. Die Logs sind für alle Mit-Haushaltsmitglieder einsehbar und dienen der Transparenz innerhalb des Haushalts sowie der Rechenschaftspflicht nach Art. 7 DSGVO.
• Ausweisdokumente (Dokumenten-Tresor): Wenn du den Dokumenten-Tresor nutzt, speichern wir die von dir hochgeladenen Bilder/PDFs von Ausweispapieren (z. B. Reisepass, Personalausweis, Geburtsurkunde, Aufenthaltstitel) sowie Titel, Art und optionale Notiz dazu (Art. 6 Abs. 1 lit. b DSGVO), gespeichert beim Auftragsverarbeiter Supabase in der Region eu-west-1 (Irland, siehe Abschnitt 5). Zuständig ist entweder die Person selbst (bei eigenem Zugang) oder ihre eingetragenen Betreuer:innen — beide legen zusätzlich fest, ob einzelne weitere Personen oder ein verknüpfter Haushalt mitlesen dürfen. Haushalts-Admins ohne Betreuer-Rolle sehen diese Dokumente NICHT automatisch und andere Haushaltsmitglieder ohne eine solche Freigabe ebenfalls nicht; ausgeliefert wird eine Datei ausschließlich über ein kurzlebiges Einmal-Ticket, nie über einen dauerhaften Link. Technisch könnte patchio die gespeicherten Dateien serverseitig dennoch lesen — eine Ende-zu-Ende-Verschlüsselung findet nicht statt. Löschst du deinen Account, werden deine eigenen Ausweisdokumente mit gelöscht, nicht an den verbleibenden Haushalt übergeben. Auf Wunsch speichern wir zu einem Dokument zusätzlich das Ausstellungsdatum und die Dokumentnummer; die Nummer liegt in einer eigenen, per Datenbankrichtlinie verschlossenen Tabelle und ist in der App nur über eine eigene, protokollierte Funktion abrufbar; im Datenexport deines eigenen Kontos ist sie enthalten. Ist ein Ablaufdatum hinterlegt, kannst du zusätzlich eine Erinnerung per E-Mail und In-App-Mitteilung aktivieren, die rechtzeitig vor dem Ablauf ausschließlich an die jeweils Zuständigen geht — die Dokumentnummer wird darin nie genannt.
• Zugriffsprotokoll des Dokumenten-Tresors: Zeitstempel und Identifikation des zugreifenden Familienmitglieds bei jedem Öffnen, Herunterladen, Abrufen der Dokumentnummer oder Ändern einer Freigabe. Aufbewahrung 90 Tage, danach automatische Löschung. Einsehbar sind diese Einträge nur für die Zuständigen des jeweiligen Dokuments, nicht für den ganzen Haushalt — die Datenart ist sensibler als der Notfallpass.
• Gesundheits- und Zyklusdaten (Gesundheitsmodul): Wenn du Bereiche des Gesundheitsmoduls aktiv nutzt (z. B. Routinen, Medikamente, Werte, Journal oder das Zyklusprotokoll), verarbeiten wir die von dir eingetragenen Gesundheitsdaten (Art. 9 Abs. 2 lit. a DSGVO – auf Grundlage deiner ausdrücklichen Einwilligung durch das aktive Anlegen der Einträge). Journal und Zyklusprotokoll sind technisch so beschränkt, dass ausschließlich du selbst sie lesen kannst – auch Familienmitglieder und Haushalts-Verwalter haben keinen Zugriff. Du kannst diese Daten jederzeit selbst vollständig löschen (Zyklusprotokoll über „Deaktivieren"). Eine Weitergabe an Dritte findet nicht statt.
• Schuldaten (Schulmodul): Wenn du das Schulmodul für ein Kind nutzt, verarbeiten wir die von dir eingetragenen Angaben: Schulprofil (Bundesland, Schulart, Klasse, ggf. Schulname), Fächer und Arbeitsgemeinschaften, Stundenplan, Prüfungstermine sowie Noten. Prüfungstermine sind im Familienkalender für alle Haushaltsmitglieder sichtbar; die dazugehörigen Noten eines Kindes sind besonders geschützt und liegen technisch getrennt: Sie sehen ausschließlich das Kind selbst und die Mitglieder mit der Freigabe „Schule verwalten“ – und nur, solange die Sichtbarkeit auf „Familie“ steht. Steht sie auf „Nur das Kind“, hat niemand außer dem Kind Zugriff, auch keine Admins. Jede Änderung dieser Sichtbarkeit wird protokolliert und dem Kind angezeigt. Die Schulferien- und Feiertagsdaten, die der Kalender anzeigt, stammen aus der OpenHolidays API (openholidaysapi.org) und sind unter der Lizenz ODbL-1.0 (Open Database License) veröffentlicht; sie sind fest in die Anwendung eingebunden und werden ohne Bezug zu deiner Person angezeigt.
• Unfallberichte (Fahrzeugmodul): Erfasst du einen Unfall, speichern wir die Angaben des Europäischen Unfallberichts: Datum, Uhrzeit, Ort und Land — auf deinen Wunsch mit den GPS-Koordinaten deines Geräts (nur wenn du auf „Aktuellen Standort übernehmen" tippst) —, Verletzte und Schäden, Angaben zu Zeugen, Angaben zum Unfallgegner (Halter, Fahrer, Kennzeichen, Marke, Versicherung und Police), den Hergang, eine Skizze, Fotos und die Unterschriften beider Fahrer. Damit verarbeiten wir auch Daten Dritter (Unfallgegner, Zeugen). Sichtbar ist der Bericht für die Personen, die das Fahrzeug in patchio sehen; ändern oder löschen können ihn die erfassende Person und die Fahrzeug-Verwalter. Beim Löschen werden Fotos, Skizze und Unterschriften mit entfernt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; für die Daten Dritter Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Abwicklung des Schadens).
• Wetter-/Standort-Daten: für die Wetter-Kachel automatisch deine im Profil hinterlegte Wetter-Position oder, falls du keine eigene einträgst, der Hauptwohnsitz deines Haushalts (Stadt/PLZ) — nicht der reale Standort deines Geräts. Zusätzlich kannst du dir an einem Termin mit Ortsangabe das Wetter für genau diesen Ort anzeigen lassen; das passiert ausschließlich, wenn du selbst darauf tippst (Details in Abschnitt 5, „Wetter für Terminorte").
• Zahlungs- und Rechnungsdaten (nur bei einem kostenpflichtigen Abo): Zahlungsmittel-Angaben (z. B. Kreditkarte oder SEPA-Lastschriftmandat mit IBAN), Rechnungsname und -anschrift, Betrag, Zahlungsstatus und Rechnungsverlauf. Die eigentlichen Zahlungsdaten (Kartennummer, IBAN) werden direkt von unserem Zahlungsdienstleister Stripe verarbeitet und uns nicht im Klartext zugänglich gemacht (siehe Abschnitt 5).
• Finanzdaten aus dem Bankumsätze-Import: Importierst du einen Kontoauszug als CSV-, XML- oder Excel-Datei (Finanzen → Import), liest patchio ihn ausschließlich in deinem Browser ein — die Datei selbst wird nicht an unsere Server übertragen. Gespeichert werden nur die daraus erkannten Umsätze: Datum, Betrag, Empfänger oder Auftraggeber, die IBAN des Gegenkontos und der Verwendungszweck. Diese Daten liegen im jeweiligen Haushalt mit der Sichtbarkeit des zugehörigen Kontos (privat als Standard) und enthalten dadurch personenbezogene Daten Dritter — etwa Namen und IBANs der Personen, mit denen du Zahlungen austauschst. Kategorie-Vorschläge der KI erhältst du dabei nur, wenn ein Admin die KI-Kategorisierung eingeschaltet hat (siehe Abschnitt 5); der Verwendungszweck wird vor der Übermittlung an Claude (Anthropic) maskiert, IBANs werden dabei nie mitgesendet. Löschst du das Konto, werden die zugehörigen importierten Umsätze mit gelöscht — daraus bereits angelegte Ausgaben bleiben bestehen. Löschst du deinen Account, fallen deine privaten Konten samt Umsätzen weg; ein Konto, das für den Haushalt sichtbar ist, bleibt samt Umsätzen für die anderen Mitglieder stehen. Die importierten Umsätze sind im Datenexport deines eigenen Kontos enthalten.
• Technische Daten: IP-Adresse, Zeitstempel, Browser-Typ und Server-Logs unserer Infrastruktur-Anbieter (siehe Abschnitt 5)

4. Zwecke der Verarbeitung

• Bereitstellung und Anzeige der Anwendung
• Verwaltung von Accounts, Haushalten, Familien und Gruppen
• Versand transaktionaler E-Mails (Bestätigung, Passwort-Reset, Erinnerungen an zugewiesene Termine, Timer-Mails)
• Schutz vor Missbrauch und Sicherstellung des Betriebs (z. B. Rate-Limits, Fehleranalyse)

Eine automatisierte Entscheidungsfindung oder ein Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

Wenn du unser Kontaktformular nutzt, verarbeiten wir die von dir angegebenen Daten (Name, E-Mail-Adresse, Nachricht) sowie deine IP-Adresse, um deine Anfrage zu bearbeiten und zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO (Bearbeitung deiner Anfrage bzw. unser berechtigtes Interesse an der Kommunikation). Die Daten werden gelöscht, sobald die Anfrage erledigt ist und keine Aufbewahrungspflichten entgegenstehen.

5. Auftragsverarbeiter und Empfänger

Zur Bereitstellung der Anwendung setzen wir folgende Auftragsverarbeiter ein. Mit allen besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

• Supabase (Supabase Inc., 970 Toa Payoh North #07-04, Singapur, sowie Tochtergesellschaften) — Datenbank, Authentifizierung, Datei-Speicher, Edge-Funktionen. Daten werden in der Region eu-west-1 (Irland) gespeichert. Datenübermittlung in Drittländer findet im Rahmen des Betriebs nicht regulär statt.
• Vercel (Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA) — statisches Hosting des Frontends und Edge-CDN. Es gilt der DPA von Vercel inkl. der EU-Standardvertragsklauseln (SCC). Soweit personenbezogene Daten (z. B. IP-Adresse) verarbeitet werden, kann ein Transfer in die USA stattfinden; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit den SCC nach Art. 46 Abs. 2 lit. c DSGVO.
• Resend (Plus Five Five, Inc., 2261 Market Street #4667, San Francisco, CA 94114, USA) — Versand transaktionaler E-Mails und des Newsletters über die Absenderadresse noreply@patchio.de. Der Versand läuft über die europäische Region (eu-west-1, Irland); die damit verbundenen Daten (Empfängeradresse, Inhalt, Logs) speichert Resend aber auch in den USA. Für diese Konstellation gilt der DPA von Resend einschließlich EU-Standardvertragsklauseln (SCC) nach Art. 46 Abs. 2 lit. c DSGVO. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vertragliche E-Mail-Kommunikation) sowie ggf. lit. a DSGVO (Einwilligung für optionale Benachrichtigungen). Zum Newsletter, seiner Öffnungs- und Klickmessung und den Rechtsgrundlagen dafür siehe Abschnitt 6b.
• Stripe (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland; sowie Stripe, Inc., 354 Oyster Point Blvd, South San Francisco, CA 94080, USA) — Abwicklung von Zahlungen für ein kostenpflichtiges patchio-Abo. Nur bei Abschluss eines Abos werden die für die Zahlung erforderlichen Daten verarbeitet: Zahlungsmittel-Angaben (Kreditkarte oder SEPA-Lastschriftmandat mit IBAN), Rechnungsname und -anschrift, Betrag, Zahlungsstatus sowie eine technische Kennung deines Abos. Die sensiblen Zahlungsdaten (vollständige Kartennummer, IBAN) gibst du direkt bei Stripe ein; sie werden ausschließlich von Stripe verarbeitet und uns nicht im Klartext übermittelt. Stripe verarbeitet diese Daten teils in den USA; der Datentransfer ist durch die EU-Standardvertragsklauseln (SCC) nach Art. 46 Abs. 2 lit. c DSGVO und das EU-US Data Privacy Framework (DPF) abgesichert, dem Stripe, Inc. zertifiziert beigetreten ist. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Abo-Vertrags) sowie Art. 6 Abs. 1 lit. c DSGVO für die steuerlich vorgeschriebene Aufbewahrung von Rechnungsdaten. Stripe ist daneben in eigener Verantwortung zur Betrugsprävention tätig; Einzelheiten dazu in der Datenschutzerklärung von Stripe.
• Anthropic (Anthropic PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA) — nur bei optionalen KI-Funktionen. Diese sind ausnahmslos standardmäßig ausgeschaltet und müssen von einem Haushalts-Admin ausdrücklich aktiviert werden. Es gibt dafür zwei getrennte Schalter, die unabhängig voneinander wirken:
  
  (1) Schalter „KI-Kategorisierung" (unter „Verwaltung"). Ist er aktiv, werden übermittelt: bei Kategorie-Vorschlägen für Ausgaben und Verträge die Beschreibung und der Betrag (bei Verträgen zusätzlich der Anbieter) sowie die Namen eurer Kategorien; bei der Einkaufsliste ausschließlich der reine Artikelname, wenn ein Artikel dem lokalen Wörterbuch unbekannt ist. Nicht übertragen werden Personennamen, IBAN/Kontodaten, Kundennummern, Belege, Notizen oder die Aufteilung. Zweck ist allein der Kategorie-Vorschlag; den endgültigen Eintrag bestätigst stets du selbst. Am selben Schalter hängt die Datenart Bilder: Ist zu einem Rezept ein Bild hochgeladen, lassen sich daraus die Zutaten auslesen — dabei wird dieses eine Bild an Claude (Anthropic) übermittelt. Das geschieht nur auf ausdrückliche Anforderung über den Knopf „Zutaten aus dem Bild lesen" und nicht automatisch: weder beim Hochladen noch im Hintergrund. Mitgesendet werden keine weiteren Rezept-Angaben (kein Name, keine Notizen, keine Zubereitung, keine Personen). Auslösen kann das jedes Mitglied eures Haushalts, das Rezepte bearbeiten darf — auch für ein Bild, das jemand anderes hochgeladen hat. Was auf dem Bild zu sehen ist, bestimmt allein die Wahl des hochgeladenen Bildes; lade daher keine Bilder hoch, deren Inhalt nicht zu Claude gelangen soll. Das Ergebnis ist ein Vorschlag für die Zutatenliste, den ihr prüft, ändert und selbst übernehmt.
  
  Am selben Schalter hängt außerdem der Rezept-Import per Text, Foto oder PDF (Reiter „Text einfügen" bzw. „Foto oder PDF" im Import-Dialog eines Rezepts). Fügt ihr einen Rezepttext ein oder wählt ein Foto bzw. eine PDF, wird dieser eine Text bzw. diese eine Datei an Claude (Anthropic) übermittelt, damit daraus Name, Zutaten, Mengen und Zubereitungsschritte als strukturierter Vorschlag entstehen. Auch das läuft ausschließlich auf ausdrückliche Anforderung über den jeweiligen Knopf und nicht automatisch. Ein hochgeladenes Foto oder eine PDF wird nach der Verarbeitung gelöscht und nicht als Rezeptbild übernommen. Dafür gilt dasselbe monatliche Kontingent wie für die übrigen KI-Funktionen; ist es aufgebraucht oder der Schalter ausgeschaltet, funktioniert nur der Import per Link weiter. Auslösen kann das jedes Mitglied eures Haushalts, das Rezepte bearbeiten darf. Das Ergebnis ist auch hier nur ein Vorschlag, den ihr vor dem Speichern prüft und ändert.
  
  Am selben Schalter hängt seit dem Schulmodul der Elternbrief-Scanner. Tippst du im Bereich „Schule → Termine" auf „Elternbrief scannen" und fotografierst einen Elternbrief, wird dieses eine Foto an Claude (Anthropic) übermittelt, damit daraus Termine, Fristen, Beträge und eine Packliste vorgeschlagen werden können. Auf einem Elternbrief stehen typischerweise Daten eines Kindes (Klasse, Schule, Veranstaltungen, gelegentlich der Name des Kindes) — diese Daten werden mit dem Foto mitübertragen. Die Übermittlung erfolgt ausschließlich auf ausdrückliche Anforderung durch das Antippen des Knopfes und nicht automatisch: weder beim Fotografieren noch im Hintergrund, und es werden keine bereits gespeicherten Briefe erneut verarbeitet. Mitgesendet werden keine weiteren Angaben aus patchio: kein Name des Kindes aus dem Profil, keine Klasse, keine Noten, keine Termine, keine Adress- oder Kontaktdaten. Das Originalfoto verbleibt in eurem Haushalt — es liegt in einem privaten Speicherbereich, den ausschließlich Mitglieder eures Haushalts abrufen können. Legt ihr es nicht an einem Termin ab, löscht patchio es beim Schließen des Scanners, spätestens aber nach 24 Stunden automatisch. Das Ergebnis ist ein Vorschlag, den ihr prüft, ändert und selbst übernehmt. Auslösen kann das jedes Mitglied, das für das jeweilige Kind Schul-Einträge bearbeiten darf.
  
  Am selben Schalter hängen die Geschenkideen im Wunschzettel. Tippst du bei einem Wunschzettel auf „Ideen finden" und schickst den Dialog ab, werden nur die Angaben aus diesem Dialog an Claude (Anthropic) übermittelt: Alter, deine Beschreibung der Interessen (höchstens 300 Zeichen), ein optionales Budget und die Art des Anlasses (etwa Geburtstag oder Weihnachten). Nicht übertragen werden Namen, der Text des Anlasses, Geburtsdaten, andere Wünsche, Reservierungen oder Beteiligungen. Schreib deshalb keine Namen oder Gesundheitsangaben in die Interessen. Die Übermittlung erfolgt ausschließlich auf ausdrückliche Anforderung und nicht automatisch. Das Ergebnis sind unverbindliche Vorschläge, die du einzeln als Wunsch übernehmen kannst. Auslösen kann das, wer den jeweiligen Zettel pflegen darf.
  
  (2) Schalter „Familien-E-Mail-Adresse" (unter „Familie"). Ist er aktiv, werden Betreff und Textinhalt der an diese Adresse geschickten E-Mails an Claude (Anthropic) übermittelt, damit daraus ein Termin oder eine Aufgabe erkannt werden kann (Betreff gekürzt auf 300, Text auf 20.000 Zeichen). Verarbeitet werden nur E-Mails, die von der bei patchio hinterlegten Adresse eines registrierten Haushaltsmitglieds stammen. Anhänge werden nicht an Claude übermittelt: Visitenkarten (.vcf) und Kalender-Dateien (.ics) wertet patchio selbst ohne KI aus, alle übrigen Anhänge werden gar nicht verarbeitet. Lässt sich aus einem .vcf- oder .ics-Anhang direkt ein Kontakt bzw. ein Termin lesen, findet für diese E-Mail überhaupt keine Übermittlung an Claude statt. Dieser Weg hängt nicht am Schalter „KI-Kategorisierung" — er hat seine eigene Einwilligung.
  
  Anthropic PBC hat seinen Sitz in den USA; es gelten der DPA von Anthropic einschließlich EU-Standardvertragsklauseln (SCC) nach Art. 46 Abs. 2 lit. c DSGVO. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch Aktivierung). Anthropic verwendet die über die API übermittelten Daten nicht zum Training seiner Modelle. Beide Schalter lassen sich jederzeit an der jeweiligen Stelle wieder abschalten.
• AppSignal (AppSignal B.V., Rietwaard 4, 's-Hertogenbosch, Niederlande) — technische Fehler- und Absturzerkennung im Browser (Frontend), damit wir Fehler in der Anwendung schnell erkennen und beheben können. Übermittelt werden bei einem auftretenden Fehler ausschließlich technische Angaben: Fehlermeldung und technischer Verlauf (Stacktrace), Browser- und Geräte-Typ, die aufgerufene Seite, der Zeitpunkt sowie die IP-Adresse. Nicht übertragen werden Namen, E-Mail-Adressen, Konto- oder Inhaltsdaten; token- und ID-artige Bestandteile von Adressen (z. B. Einladungs- oder Umfrage-Links) werden vor der Übermittlung automatisch entfernt. Es findet kein Tracking und kein Profiling statt — es werden nur Fehler gemeldet. AppSignal verarbeitet die Daten ausschließlich in der EU (Niederlande); eine Übermittlung in Drittländer findet nicht statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem stabilen und fehlerfreien Betrieb der Anwendung).

Eine Weitergabe an sonstige Dritte findet nicht statt, außer wir sind gesetzlich dazu verpflichtet.

Karten- und Routenlinks. An Stellen mit einer Adresse (Kontakte, Wohnsitze, Notfall-Infos, Termin-Orte) bietet patchio einen Routen-Knopf an. patchio bindet dabei keine fremde Karte ein — es wird kein Karten-Dienst geladen, kein Skript und kein Bild eines Dritten, und ohne dein Zutun verlässt keine Adresse die Anwendung. Erst wenn du den Knopf antippst, öffnet dein Gerät die Karten- bzw. Navigations-App oder eine Karten-Webseite und übergibt dabei die betreffende Adresse an den dort eingestellten Anbieter: auf Android an die von dir gewählte Navi-App, auf dem iPhone an die Karten-App, im Browser an Google Maps (Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland). Was dieser Anbieter mit der Adresse macht, richtet sich allein nach dessen Datenschutzerklärung; wir haben darauf keinen Einfluss und erhalten davon keine Rückmeldung. Enthält die Adresse Daten anderer Personen (z. B. die Anschrift eines Kontakts), gibst du diese mit dem Antippen selbst weiter. Rechtsgrundlage für das Anbieten der Funktion ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer nutzbaren Anwendung); die Übermittlung selbst löst du bewusst mit dem Tippen aus.

Wetter für Terminorte. Für die Wetter-Kachel (Dashboard, Menü) fragt patchio automatisch bei Open-Meteo (OpenMeteo GmbH, Hintere Schilligmatte 6, 6463 Bürglen (UR), Schweiz) den aktuellen Wetterstand und die 7-Tage-Prognose für deine hinterlegte Wetter-Position an (Profil-Übersteuerung oder Hauptwohnsitz, siehe Abschnitt 3) — das geschieht ohne dein weiteres Zutun beim Öffnen. Steht an einem Termin ein Ort, zeigt patchio dort keine Wetter-Vorschau automatisch an: Erkennt patchio darin eine Adresse mit Postleitzahl (dieselbe Erkennung, die auch über den Routen-Knopf entscheidet, und zusätzlich lässt sich daraus eine Stadt herauslösen), erscheint zunächst nur ein Hinweis-Knopf („Wetter zeigen (sendet Stadt)"), der nichts überträgt. Bei reinem Freitext ohne erkennbare Adresse — etwa „Küche" oder „Turnhalle" — gibt es diesen Knopf gar nicht, ebenso wenig bei einer Adresse ohne Postleitzahl (nur Straße und Hausnummer): Open-Meteos Wetterdienst versteht keine Straßenadresse, sondern ausschließlich Städtenamen — eine so unspezifische oder unvollständige Angabe würde ihn sonst irgendeinen gleichnamigen Ort irgendwo auf der Welt treffen lassen, und ein falsches Wetter ist schlimmer als gar keines. Erst wenn du den Knopf antippst, ermittelt patchio aus dem eingetragenen Ort die Stadt und sendet nur diese — nie Straße, Hausnummer oder Postleitzahl — an Open-Meteo, um daraus Koordinaten und das aktuelle Wetter zu ermitteln. Enthält der Ort Daten anderer Personen (z. B. eine private Adresse), gibst du mit dem Antippen die darin erkannte Stadt weiter — nicht die vollständige Adresse. Open-Meteo verarbeitet die Anfrage ohne Konto oder Anmeldung; laut eigener Datenschutzerklärung verknüpft Open-Meteo dabei anfallende IP-Adressen nicht mit einer Identität und löscht die zugehörigen Server-Logs nach 90 Tagen. Ein Auftragsverarbeitungsvertrag besteht nicht — patchio spricht den Dienst direkt aus deinem Browser an und hat auf die dortige Verarbeitung keinen Einfluss; was Open-Meteo mit der Anfrage macht, richtet sich allein nach dessen eigener Datenschutzerklärung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer nutzbaren Wetteranzeige); bei Terminorten löst du die Übermittlung bewusst mit dem Tippen aus.

6. Cookies und Local Storage

Wir setzen keine Tracking- oder Marketing-Cookies ein. Im Browser werden ausschließlich technisch notwendige Daten gespeichert:

• Auth-Session-Token von Supabase im Local Storage (notwendig, damit du angemeldet bleibst)
• Theme-Einstellung (hell/dunkel/auto) im Local Storage (Komfort)
• Offline-Cache für die Einkaufsliste und die App-Shell (Service-Worker)
• ein Offline-Spiegel deiner Kernbereiche (z. B. Kalender, Aufgaben, Einkaufsliste, Verzeichnis) in der IndexedDB, damit patchio den zuletzt geladenen Stand auch ohne Netz anzeigen kann; er wird beim Abmelden gelöscht

Diese Daten verlassen dein Gerät nicht. Eine Einwilligungspflicht nach § 25 TDDDG besteht nur für nicht-notwendige Cookies; solche setzen wir nicht.

6a. Reichweitenmessung ohne Cookies

Auf den öffentlichen Informationsseiten von patchio (Startseite, Funktionsseiten, Ratgeber, Vergleiche u. a.) messen wir, wie viele Besucher kommen und welche Seiten gelesen werden — ohne Cookies und ohne etwas auf deinem Gerät zu speichern oder aus ihm auszulesen. In der App und nach der Anmeldung messen wir nicht.

Dein Browser sendet dafür nur den Seitenpfad, den Host der Seite, von der du kommst (z. B. „google.com", nicht die volle Adresse), ein etwaiges Kampagnen-Kennzeichen aus dem Link und die Art des Ereignisses (Seitenaufruf oder Klick auf „Registrieren" bzw. einen App-Store-Knopf). Aus dem User-Agent, den dein Browser bei jeder Anfrage ohnehin mitschickt, leiten wir auf unserem Server nur grobe Klassen ab — Geräteklasse (Handy, Tablet, Computer), Browser und Betriebssystem — und speichern ausschließlich diese Klassen, nicht den User-Agent selbst. Dazu kommen die Sprache der Seite und der Zeitpunkt, auf die volle Stunde gerundet.

In unserer Statistik wird keine IP-Adresse gespeichert. IP-Adresse und User-Agent nutzen wir nur für einen Augenblick, um daraus mit einem täglich wechselnden, geheimen Schlüssel zwei Prüfsummen zu berechnen: eine Kennung, die mehrere Aufrufe desselben Tages zusammenfasst, und eine, mit der wir massenhafte Fehlaufrufe begrenzen. Beide lassen sich nach Ablauf des Tages nicht mehr nachrechnen und dir nicht zuordnen: Der Tagesschlüssel und der Zähler der Begrenzung werden dann gelöscht. Wer an zwei Tagen kommt, wird als zwei Besucher gezählt. Ein Bezug zu deinem Konto besteht nicht.

Unabhängig davon entstehen — wie bei jedem Seitenaufruf — beim Hosting-Dienstleister technische Zugriffsprotokolle, die auch IP-Adresse und User-Agent enthalten. Sie liegen nicht in unserer Statistik; es gilt, was in Abschnitt 5 zu unseren Auftragsverarbeitern (Supabase, Vercel) steht.

Zweck ist die Auswertung unserer Reichweite und der Wirkung unserer Marketing-Maßnahmen; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Da nichts auf deinem Gerät gespeichert oder ausgelesen wird, ist keine Einwilligung nach § 25 TDDDG nötig. Die Einzelereignisse löschen wir nach 13 Monaten. Wir setzen keinen Analyse-Dienst eines Dritten ein; die Daten liegen bei unserem Auftragsverarbeiter Supabase und werden nicht weitergegeben. Du kannst der Verarbeitung nach Art. 21 DSGVO widersprechen (siehe Abschnitt 8); da wir dich nicht identifizieren können, lässt sich ein einzelner Datensatz allerdings nicht heraussuchen.

6b. Newsletter

Unser Newsletter berichtet über Neuigkeiten zu patchio. Versendet wird er über Resend (siehe Abschnitt 5). Du bekommst ihn auf einem von zwei Wegen:

• Anmeldung über das Formular auf unserer Website: Nach der Anmeldung schicken wir dir eine Bestätigungsmail; erst wenn du den Link darin anklickst, bist du eingetragen (Double-Opt-in). Als Nachweis speichern wir dazu den Zeitpunkt von Anmeldung und Bestätigung sowie die IP-Adresse und die Browserkennung (User-Agent), mit denen du dich angemeldet hast. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit über den Abmeldelink in jeder Ausgabe widerrufen kannst. Die Nachweisdaten bleiben auch nach einer Abmeldung bei deinem Eintrag gespeichert, damit wir die Einwilligung belegen können (Art. 7 Abs. 1 DSGVO) — drei Jahre lang ab der Abmeldung, so lange wie die regelmäßige Verjährungsfrist. Danach löschen wir IP-Adresse und Browserkennung automatisch; deine E-Mail-Adresse bleibt nur mit dem Vermerk „abgemeldet“ stehen, damit wir dich nicht versehentlich erneut eintragen. Früher gelöscht werden die Nachweisdaten, wenn du die Löschung verlangst oder dein patchio-Konto löschst.
• Als Admin eines Haushalts: Admins bekommen den Newsletter auch ohne gesonderte Anmeldung, weil sie patchio bereits nutzen. Rechtsgrundlage ist unser berechtigtes Interesse, bestehende Nutzerinnen und Nutzer über Neuerungen des Dienstes zu informieren (Art. 6 Abs. 1 lit. f DSGVO). Du kannst dem jederzeit widersprechen — mit dem Abmeldelink in jeder Ausgabe. Wer sich einmal abgemeldet hat, wird nicht erneut eingetragen.

Öffnungs- und Klickmessung: Für jede Ausgabe messen wir über Resend, ob und wann die Mail geöffnet wurde und ob darin enthaltene Links angeklickt wurden (Links laufen dafür über die Subdomain links.patchio.de). Diese Angaben sind deiner E-Mail-Adresse zugeordnet; wir nutzen sie, um zu sehen, welche Themen ankommen, und den Newsletter zu verbessern. Rechtsgrundlage ist unser berechtigtes Interesse daran (Art. 6 Abs. 1 lit. f DSGVO). Du kannst dem jederzeit widersprechen, indem du dich über den Abmeldelink abmeldest. Die Zeitpunkte von Öffnung und Klick löschen wir automatisch zwölf Monate nach dem Ereignis — früher, wenn du dein patchio-Konto löschst oder die Löschung verlangst.

6c. Kündigung und Widerruf ohne Anmeldung

Kündigst oder widerrufst du über /kuendigen oder /widerruf, speichern wir deine Erklärung mit Eingangszeitpunkt: Art der Erklärung, gegebenenfalls Grund und gewünschten Zeitpunkt, deine E-Mail-Adresse oder deinen Namen mit Rechnungsnummer sowie eine verschlüsselte Prüfsumme deiner IP-Adresse (keine IP-Adresse im Klartext; sie dient nur dem Schutz vor massenhaftem Missbrauch des Formulars). Mit diesen Angaben ordnen wir die Erklärung deinem Abo zu, setzen sie bei unserem Zahlungsdienstleister Stripe um und schicken dir Bestätigungen per E-Mail. Rechtsgrundlage ist die Abwicklung des Vertrags und unsere gesetzliche Pflicht, Kündigung und Widerruf entgegenzunehmen und zu bestätigen (Art. 6 Abs. 1 lit. b und c DSGVO, §§ 312k, 356a BGB). Wir bewahren die Erklärung auf, solange daraus noch Ansprüche entstehen können, also bis zum Ende der regelmäßigen Verjährungsfrist (drei Jahre ab Ende des Jahres, in dem die Erklärung einging); danach löschen wir sie automatisch.

7. Speicherdauer

• Account-Daten: bis zur Löschung des Accounts durch den Nutzer
• Inhaltsdaten (Termine, Listen, Kontakte etc.): bis zur Löschung durch den Nutzer oder bis zur Account-Löschung
• Technische Server-Logs der Auftragsverarbeiter: gemäß deren Standardretention (regelmäßig 7–30 Tage)
• Haushalte ohne jede Aktivität: Meldet sich zwölf Monate lang kein Mitglied eines Haushalts an und passiert dort auch sonst nichts, löschen wir den Haushalt und die zugehörigen Konten vollständig (Art. 5 Abs. 1 lit. e DSGVO, Speicherbegrenzung). Nach elf Monaten und noch einmal rund drei Wochen vor Ablauf erinnern wir die Haushalts-Admins per E-Mail; eine einzige Anmeldung setzt die Frist zurück. Ausgenommen sind Haushalte mit laufendem Abo oder laufender Testphase sowie Haushalte, in denen ein Mitglied anderswo aktiv ist.
• Rechnungs- und Zahlungsdaten eines kostenpflichtigen Abos: Aufbewahrung über die gesetzlichen steuer- und handelsrechtlichen Fristen (in der Regel bis zu 10 Jahre nach §§ 147 AO, 257 HGB), auch über eine Account-Löschung hinaus, soweit dies zur Erfüllung der Aufbewahrungspflichten erforderlich ist.
• Daten, die du in einem geteilten Haushalt oder einer Gruppe erzeugt hast, bleiben dort verfügbar, auch wenn du selbst den Haushalt verlässt. Eine Löschung deiner persönlichen Identifikatoren (Name, E-Mail) erfolgt mit der Account-Löschung.
• Deine Meldungen aus dem Feedback-Bereich (Fehler, Wünsche, Fragen) und die Antworten darunter: Beim Löschantrag wählst du, was damit geschieht — anonymisieren (die Texte bleiben, dein Account wird davon getrennt) oder mitlöschen. Triffst du keine Wahl, werden sie anonymisiert. Angehängte Screenshots werden in beiden Fällen gelöscht. Einträge auf der Roadmap bleiben bestehen; ihre Texte formulieren wir und sie nennen dich nicht.

8. Deine Rechte

Dir stehen folgende Rechte gegenüber dem Verantwortlichen zu:

• Recht auf Auskunft über die zu deiner Person gespeicherten Daten (Art. 15 DSGVO)
• Recht auf Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit in einem strukturierten, gängigen Format (Art. 20 DSGVO)
• Recht auf Widerspruch gegen die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO)
• Recht auf Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
• Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO). Du kannst dich an die Aufsichtsbehörde deines Wohnsitzes wenden; für den Verantwortlichen zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, www.lda.bayern.de.

Zur Ausübung deiner Rechte genügt eine formlose Nachricht an datenschutz@patchio.de.

9. Datensicherheit

Die Datenübertragung erfolgt verschlüsselt via TLS (HTTPS). Die Datenbank-Inhalte sind durch Row-Level-Security (RLS) so abgesichert, dass Nutzer ausschließlich Daten der Haushalte und Gruppen sehen, in denen sie Mitglied sind. Sicherheitsrelevante HTTP-Header (HSTS, CSP, X-Frame-Options, Permissions-Policy) sind aktiviert.

10. Datenverarbeitung von Kindern und Minderjährigen

Die Anwendung richtet sich an Personen ab 16 Jahren. Personen unter 16 Jahren können sich nicht selbst registrieren (vgl. Art. 8 DSGVO). Kinder unter 16 bekommen einen eigenen Login nur über die Einladung durch einen sorgeberechtigten Haushalts-Admin, der damit zustimmt. Für ein solches Kinder-Konto verarbeiten wir zusätzlich die Account-Daten des Kindes (E-Mail-Adresse, Vorname) und das, was das Kind selbst in patchio einträgt oder abhakt.

Daten von Kindern (z. B. Name, Geburtstag, Notfallpass-Inhalte, Termine, Zuordnungen) werden ausschließlich von ihren sorgeberechtigten Eltern oder Erziehungsberechtigten in der Anwendung gepflegt. Rechtsgrundlage hierfür ist Art. 6 Abs. 1 lit. b DSGVO in Verbindung mit der elterlichen Sorge nach §§ 1626 ff. BGB. Für Gesundheitsdaten im Notfallpass kommt ergänzend Art. 9 Abs. 2 lit. a DSGVO zur Anwendung; die ausdrückliche Einwilligung wird von den Sorgeberechtigten beim erstmaligen Speichern explizit erteilt und protokolliert.

Die Sorgeberechtigten verantworten die für ihre Kinder eingetragenen Daten und können diese jederzeit ändern oder löschen. Die unter § 8 genannten Rechte (Auskunft, Berichtigung, Löschung u. a.) stehen Kindern in gleichem Maße zu und werden bis zur eigenen Geschäftsfähigkeit durch die Sorgeberechtigten wahrgenommen.

11. Nutzung der patchio-App auf dem Smartphone (iOS und Android)

Wenn du patchio als App auf dem Smartphone (iPhone oder Android-Gerät) nutzt, gelten zusätzlich die folgenden Hinweise. Alles Übrige aus dieser Erklärung gilt unverändert weiter — es sind dieselben Daten und dieselben Auftragsverarbeiter wie im Browser.

• Push-Benachrichtigungen: Wenn du Erinnerungen auf dem Gerät erlaubst, erzeugt das Betriebssystem deines Geräts einen Geräte-Token. Wir speichern diesen Token, um dir gezielt Erinnerungen (z. B. an Termine, Aufgaben oder Medikamente) schicken zu können. Auf dem iPhone läuft der Versand über den Apple Push Notification service (APNs) von Apple, auf Android-Geräten über Firebase Cloud Messaging (FCM) von Google. Die auf dem Sperrbildschirm sichtbare Nachricht ist bewusst allgemein gehalten und enthält keine sensiblen Inhalte (keine Beträge, keine Gesundheitsangaben, keine Namen) — die Details siehst nur du nach dem Entsperren in der App. Du kannst Push jederzeit in den Einstellungen deines Geräts oder in patchio wieder abschalten. Empfänger ist auf dem iPhone Apple Inc., One Apple Park Way, Cupertino, CA 95014, USA, auf Android-Geräten Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland (ggf. Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA); in beiden Fällen ist der Transfer in die USA über EU-Standardvertragsklauseln (SCC) nach Art. 46 Abs. 2 lit. c DSGVO abgesichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch Aktivierung der Benachrichtigungen).
• Anmelden mit Apple: Du kannst dich in der App mit „Anmelden mit Apple" registrieren und einloggen. Dabei übermittelt Apple uns eine Kennung deines Apple-Accounts und — wenn du zustimmst — deinen Namen und eine E-Mail-Adresse. Nutzt du Apples Funktion „E-Mail verbergen", erhalten wir nur eine anonyme Weiterleitungsadresse von Apple statt deiner echten Adresse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung deines Zugangs).
• Daten auf deinem Gerät: Damit du angemeldet bleibst und die App auch offline funktioniert, speichert patchio bestimmte Daten lokal auf deinem Smartphone: dein Anmelde-Token; den zuletzt geladenen Stand deiner Kernbereiche (Kalender, Aufgaben, Einkaufsliste, Verzeichnis u. a.) als lokalen Spiegel, damit du sie auch ohne Netz ansehen kannst; Einträge, die du offline erfasst hast (bis sie synchronisiert sind); sowie — falls du das Modul nutzt — deine Kundenkarten zum Vorzeigen an der Kasse. Diese Daten liegen im App-eigenen, vom Betriebssystem abgeschotteten Speicher deines Geräts und verlassen es nur im Rahmen der normalen Synchronisierung mit deinem Konto. Beim Abmelden oder Löschen der App werden sie entfernt.
• Kamera: Die App fragt nach Zugriff auf die Kamera ausschließlich dann, wenn du eine Kundenkarte oder einen Barcode einscannen möchtest. Die Auswertung geschieht direkt auf dem Gerät; es werden keine Kamerabilder an uns oder Dritte übertragen.
• Kein Tracking: Die App enthält keine Werbe-Kennung (IDFA), kein App-Tracking über App- oder Website-Grenzen hinweg und keine Analyse- oder Werbe-SDKs von Drittanbietern. Es wird nicht um eine Tracking-Erlaubnis gebeten, weil kein Tracking stattfindet.

Mitteilungen im Browser und auf Mac/PC (Web-Push): Auch ohne Smartphone-App kannst du in deinem Profil unter „Benachrichtigungen" Mitteilungen auf einem Computer, im Browser oder in der installierten Web-App einschalten — immer nur für das Gerät, auf dem du das tust, und erst nach der Erlaubnis in deinem Browser. Dabei legt dein Browser ein Push-Abonnement an: eine Zustell-Adresse (Endpoint) beim Push-Dienst des Browser-Herstellers und zwei Schlüssel. Wir speichern Endpoint, Schlüssel, eine gekürzte Browser-Kennung (User-Agent) und den Zeitpunkt der letzten Nutzung, bis du die Mitteilungen auf dem Gerät ausschaltest, dich abmeldest oder der Push-Dienst das Abonnement als abgelaufen meldet. Der Inhalt jeder Mitteilung wird Ende-zu-Ende verschlüsselt (Verfahren „aes128gcm" nach RFC 8291) und ist — wie in der App — bewusst allgemein gehalten (keine Beträge, keine Gesundheitsangaben, keine Namen); der Push-Dienst kann ihn nicht lesen, sieht aber, dass und wann eine Mitteilung an das Abonnement geht. Je nach Browser ist der Push-Dienst der von Google (Chrome, Edge, Opera u. a.; Google Ireland Ltd., ggf. Google LLC, USA), Apple (Safari und Web-Apps auf iPhone, iPad und Mac; Apple Inc., USA), Microsoft (Edge unter Windows; Microsoft Ireland Operations Ltd., ggf. Microsoft Corporation, USA) oder Mozilla (Firefox; Mozilla Corporation, USA). Für Übermittlungen in die USA gelten die Standardvertragsklauseln bzw. der Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework, soweit der jeweilige Anbieter zertifiziert ist. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch Einschalten der Mitteilungen); du kannst sie jederzeit im Profil oder in den Browser-Einstellungen widerrufen.

12. Empfehlungsprogramm

Wenn du patchio weiterempfiehlst, speichern wir zu deinem Konto einen Empfehlungscode. Registriert sich eine Familie über deinen Link oder Code, speichern wir beim neuen Haushalt, über welchen Code er entstanden ist. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Empfehlungsprogramms); gegen Missbrauch prüfen wir zusätzlich, ob jemand sich selbst geworben hat (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an einem fairen Programm).

Beantwortest du in der Einrichtung die freiwillige Frage, wie ihr von patchio erfahren habt, speichern wir diese Antwort zu eurem Haushalt (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an der Auswertung, wie Familien zu patchio finden). Die Frage lässt sich überspringen.

Für den Dankeschön-Monat verarbeiten wir zusätzlich, ob ein geworbener Haushalt seine erste Rechnung bezahlt hat und ob diese Zahlung innerhalb von 14 Tagen erstattet oder zurückgebucht wurde (Daten aus der Zahlungsabwicklung, Abschnitt 7). Daraus entsteht je Empfehlung ein Eintrag mit Status und Zeitpunkt der Gutschrift, den nur unser System liest; die Gutschrift selbst legt unser Zahlungsdienstleister Stripe als Guthaben auf dem Kundenkonto deines Haushalts an. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung der Teilnahmebedingungen).

Du siehst nur Zahlen: wie viele Familien über dich zu patchio gefunden haben, wie viele Dankeschön-Monate gutgeschrieben sind und wie viele noch in der Wartezeit stecken — nie, wer es war oder wann jemand bezahlt hat; die geworbene Familie sieht umgekehrt deinen Namen nicht.

Im Browser oder auf dem Gerät wird dafür nichts gespeichert: Der Empfehlungscode wird bei der Registrierung direkt übertragen. Wir setzen dafür weder Cookies noch sonstige Marker (siehe Abschnitt 6). Die Zuordnung wird mit dem Haushalt gelöscht; die Teilnahmebedingungen findest du unter Empfehlungsprogramm.

Partnerprogramm: Wenn du dich als patchio-Partner:in bewirbst, verarbeiten wir die Daten aus deiner Bewerbung und deine Abrechnungs-Stammdaten (Name, Anschrift, Steuerangaben, IBAN) zur Durchführung der Partnervereinbarung (Art. 6 Abs. 1 lit. b DSGVO) und zur Erfüllung steuerlicher Pflichten (Art. 6 Abs. 1 lit. c DSGVO, Aufbewahrung nach § 147 AO). Dein Partner-Bereich zeigt dir ausschließlich zusammengefasste Zahlen — nie, wer eine geworbene Familie ist.

Auf Partner-Seiten (patchio.de/mit/…) zählen wir ausschließlich, DASS die Seite aufgerufen wurde — eine Strichliste pro Tag, ohne IP-Adresse, ohne Gerätemerkmale, ohne Cookies. Das gilt auch für die einzelnen Kanal-Links einer Partnerin oder eines Partners (z. B. ein eigener Link je Beitrag): Jeder Link bekommt seine eigene Tagessumme, aber genauso ohne IP-Adresse, Gerätemerkmale oder Cookies — der Kanal beschreibt den Link, den du angeklickt hast, nie dich als Person.

Kampagnen-Links: Beim Aufruf eines patchio-Kurzlinks (patchio.de/l/…) zählen wir ausschließlich, wie oft der Link an einem Tag aufgerufen wurde. Gespeichert wird dabei nur diese Zahl — keine IP-Adresse, keine Geräte- oder Browserdaten, kein Cookie und nichts im Speicher deines Browsers. Die Browserkennung prüfen wir nur im Moment des Aufrufs, um automatische Abrufe (etwa Link-Vorschauen) nicht mitzuzählen; sie wird weder gespeichert noch protokolliert. Registrierst du dich nach einem solchen Klick, merken wir uns an deinem neuen Haushalt einmalig, über welchen Link du zu patchio gekommen bist. Das werten wir ausschließlich als Anzahlen je Link und Kanal aus — auch, wie viele dieser Haushalte in die Testphase oder ein Abo übergehen — und verknüpfen es nicht mit dem, was du in der App tust. Sichtbar ist das nur für uns als Betreiber, kein Haushaltsmitglied sieht es. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse daran, zu verstehen, welche Kanäle Familien erreichen). Die Angabe wird nicht an Dritte weitergegeben und mit dem Haushalt gelöscht.

13. Kiosk-Bildschirm

Mit dem optionalen Modul Kiosk lässt sich ein Tablet oder Monitor als Familienbildschirm an die Wand hängen. Der Bildschirm meldet sich nicht als Person an: Er zeigt einen sechsstelligen Code, den ein:e Haushalts-Admin in patchio einträgt, und erhält danach einmalig ein Geräte-Token — eine Zufallszeichenfolge, die im Speicher des Geräts liegt und bei uns nur als nicht rückrechenbarer Prüfwert (SHA-256) gespeichert wird. Zum Gerät speichern wir außerdem den vergebenen Namen, die Browser-Kennung, das gemeldete Bildschirmformat sowie Kopplungs- und letzten Abrufzeitpunkt. Das Geräte-Token gilt unbefristet, bis ihr das Gerät trennt, oder das Gerät 90 Tage nicht mehr gesehen wurde — dann trennt patchio es automatisch. Genau deshalb gibt es außerdem den Trennen-Knopf. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der gebuchten Funktion).

Beim Koppeln und beim Abwehren von Missbrauch verarbeiten wir kurzzeitig die IP-Adresse des anfragenden Geräts: zum offenen Kopplungsvorgang gespeichert, längstens eine Stunde, und als Zählwert in der Anfragen-Bremse längstens einen Tag — danach wird beides automatisch gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse daran, dass niemand fremde Bildschirme koppelt oder unsere Server überlastet).

Der Bildschirm sieht ausschließlich Daten des einen Haushalts, für den er gekoppelt wurde, und davon nur, was für die Anzeige nötig ist: Termine, Aufgaben, Essensplan, Einkaufsliste, Schule, Wechselmodell, Geburtstage, Punkte und die für euch hochgeladenen Kiosk-Fotos. Nicht abgerufen werden Finanzen, Verträge, Gesundheits- und Zyklusdaten, Dokumente, Fahrzeuge, Kundenkarten, Notizen an Terminen, Telefonnummern und Adressen. Als privat markierte Termine erscheinen gar nicht oder — auf ausdrücklichen Wunsch der eintragenden Person — nur als „Belegt" ohne Titel und Ort. Ein Gästemodus blendet zusätzlich Aufgaben, Punkte, Schule, Wechselmodell und Geburtstage aus und kürzt Termin-Titel; er wirkt serverseitig, die Daten erreichen das Gerät also gar nicht erst.

Kiosk-Fotos liegen in einem privaten Speicherbereich ohne öffentliche Adresse; abrufen können sie nur Mitglieder eures Haushalts und die gekoppelten Bildschirme über ihr Geräte-Token. Es sind höchstens 30 Fotos je Haushalt. Ein gelöschtes Foto wird auch aus dem Speicher entfernt.

Ein Gerät lässt sich jederzeit unter Verwaltung → Kiosk → Geräte trennen; das Token ist damit sofort ungültig. Geräte, Layouts und Kiosk-Fotos werden mit dem Haushalt gelöscht und sind in der Datenauskunft (Art. 15 DSGVO) enthalten — das Geräte-Token selbst wird dabei nicht ausgegeben, da es allein der Zugangssicherung dient.

Ein Restrisiko benennen wir offen: Wer physisch an das Gerät kommt, kann das dort gespeicherte Token auslesen und damit die Anzeigedaten eures Haushalts abrufen — so lange, bis ihr das Gerät trennt. Trennt ein Tablet oder Monitor deshalb in patchio, sobald es euren Haushalt verlässt (Verkauf, Weitergabe, Verlust).

14. Team-Postfächer

Schreibst du uns an eine unserer Adressen (hallo@, partner@, kontakt@, support@ oder datenschutz@patchio.de), verarbeiten wir deine Nachricht, um sie zu beantworten. Gespeichert werden Absender- und Empfängeradresse, Betreff, Inhalt, Anhänge und technische Kopfzeilen der Mail. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn es um einen Vertrag mit dir geht (etwa Support zu deinem Konto), sonst Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse daran, geschäftliche Post zu lesen und zu beantworten.

Die Mails werden bei unserem Versanddienstleister Resend (Plus Five Five, Inc., USA) empfangen und versendet; dort liegen sie höchstens 30 Tage. Mit Resend besteht ein Auftragsverarbeitungsvertrag mit EU-Standardvertragsklauseln; die Daten werden auch bei einem europäischen Versandweg in den USA gespeichert. Die dauerhafte Ablage liegt in unserer Datenbank bei Supabase in der EU (Irland); Anhänge liegen dort in einem privaten Speicherbereich ohne öffentliche Adresse. Zugriff haben nur Personen mit Plattform-Rolle; jeder Zugriff auf einen Anhang wird protokolliert.

Für Antwortentwürfe nutzen wir KI von Anthropic (Claude). Dabei werden der betroffene Mailverlauf und unsere Stichworte übertragen; Anthropic nutzt diese Inhalte nicht zum Training seiner Modelle. Entwürfe sind immer nur Vorschläge — gesendet wird ausschließlich von einem Menschen, automatische Antworten gibt es nicht.

Geschäftliche E-Mails bewahren wir wegen der handels- und steuerrechtlichen Aufbewahrungspflichten sechs Jahre auf; gelöschte Nachrichten wandern deshalb in einen Papierkorb und werden nicht sofort endgültig entfernt (Art. 17 Abs. 3 lit. b DSGVO). Nur Entwürfe, die nie gesendet wurden, löschen wir nach 30 Tagen im Papierkorb endgültig. Unsere Server-Protokolle enthalten keine Mailinhalte; bei Nachrichten an Adressen, die es bei uns nicht gibt, notieren wir nur die Domain des Absenders.

15. Zugriffsschlüssel und Schnittstelle

Für deinen Haushalt lässt sich eine Schnittstelle (API) freischalten — ein Admin schaltet sie in der Verwaltung ein, standardmäßig ist sie aus. Ist sie aktiv, kannst du unter Profil → Account & Sicherheit eigene Zugriffsschlüssel anlegen, mit denen externe Werkzeuge (z. B. Home Assistant) in deinem Namen auf ausgewählte Bereiche von patchio zugreifen — Einkaufsliste, Aufgaben, Kalender —, jeweils genau mit den Rechten, die du beim Anlegen des Schlüssels auswählst. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (deine Einwilligung durch das Anlegen des Schlüssels) sowie Art. 6 Abs. 1 lit. f DSGVO für den Betrieb der Schnittstelle als solche.

Gespeichert wird nur ein kryptografischer Hash-Wert des Schlüssels, nicht der Schlüssel selbst — der Klartext wird dir beim Anlegen einmalig angezeigt und ist danach auch für uns nicht mehr einsehbar. Zu jedem Aufruf über einen Zugriffsschlüssel führen wir ein Nutzungsprotokoll (Endpunkt, Zeitpunkt, Status — keine Inhalte), das nach 30 Tagen automatisch gelöscht wird; es dient der Anzeige „zuletzt benutzt" und der Erkennung von Missbrauch. Schlägt eine Anmeldung mit einem Zugriffsschlüssel fehl, speichern wir zur Missbrauchsabwehr zusätzlich für einen Tag die IP-Adresse und ein gekürztes, gehashtes Schlüssel-Präfix.

Ist zusätzlich ein Textbefehl über die Schnittstelle aktiviert, werden der von dir geschickte Text sowie die Namen eurer Kategorien an unseren KI-Dienstleister Anthropic (siehe Abschnitt 5) übermittelt, um daraus eine Aufgabe, einen Termin oder einen Einkaufslisten-Eintrag zu erkennen — mehr nicht. Namen, IDs oder sonstige Listeninhalte werden dabei nicht übertragen.

Du kannst jeden deiner Zugriffsschlüssel jederzeit unter Profil → Account & Sicherheit widerrufen; der Widerruf wirkt sofort. Ein Admin kann außerdem die gesamte Schnittstelle für den Haushalt abschalten — das widerruft automatisch alle Zugriffsschlüssel des Haushalts.

Verbindest du dich statt mit einem Zugriffsschlüssel über eine Anmeldung mit einer externen Anwendung — etwa einem KI-Assistenten per MCP —, entsteht ein OAuth-Zugang mit denselben Eigenschaften: Bevor die Verbindung zustande kommt, siehst du den Namen der Anwendung, den Haushalt und die Rechte, denen du zustimmst. Über einen OAuth-Zugang abgerufene Daten — je nach vergebenen Rechten etwa Einkaufsliste, Aufgaben oder Termine — verlassen patchio und unterliegen danach der Datenschutzerklärung des Anbieters der verbundenen Anwendung (bei claude.ai: Anthropic). Ein OAuth-Zugang läuft spätestens zwölf Monate nach dem Verbinden automatisch ab und lässt sich jederzeit unter Profil → Account & Sicherheit → Verbundene Apps widerrufen — mit derselben sofortigen Wirkung wie bei einem Zugriffsschlüssel.

16. Videos (YouTube)

Einige Anleitungen und die Seite „Lernen“ enthalten Videos, die bei YouTube liegen. Beim Aufruf der Seite wird nichts von YouTube geladen: Du siehst nur ein Vorschaubild von unserem eigenen Server. Erst wenn du auf „Abspielen“ klickst, binden wir den Player von youtube-nocookie.com (datenschutzfreundlicher Modus von YouTube) ein. Ab diesem Moment verbindet sich dein Gerät mit den Servern von Google, und dabei können Daten wie deine IP-Adresse, Geräte- und Browserangaben sowie die angesehene Seite an Google gelangen. Auf die weitere Verarbeitung durch Google haben wir keinen Einfluss.

Empfänger ist Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; ggf. Google LLC, USA). Rechtsgrundlage ist deine Einwilligung durch den Klick auf „Abspielen“ (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Ohne Klick findet keine Übermittlung statt; die Anleitungen kannst du auch ohne Video vollständig nutzen. Die Einwilligung gilt nur für dieses eine Video und wird nicht gespeichert. Wenn du die Seite neu lädst, fragen wir wieder. In den nativen Apps binden wir keinen Player ein; dort öffnet der Knopf „Auf YouTube öffnen“ das Video in YouTube bzw. im Browser.

Markierung „Angesehen“: Bist du angemeldet und startest ein Lernvideo, speichern wir zu deinem Konto, welches Video du gestartet hast (Kennung des Videos und Zeitpunkt des ersten Starts). Die Angabe ist nur für dich sichtbar, nicht für andere Mitglieder deines Haushalts, und wir nutzen sie für nichts anderes als die Anzeige „Angesehen“ an den Videos und den Fortschritt auf der Seite „Lernen“. Mit dem Knopf „Angesehen-Markierungen zurücksetzen“ löschst du alle Markierungen jederzeit selbst; mit deinem Konto werden sie ebenfalls gelöscht. An YouTube bzw. Google geht dabei nichts zusätzlich. Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).

Wie Google Daten verarbeitet, steht in der Datenschutzerklärung von Google.

17. Änderungen dieser Erklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, wenn sich technische Rahmenbedingungen oder die Rechtslage ändern. Es gilt jeweils die zum Zeitpunkt der Nutzung abrufbare Fassung.