Datenschutzerklärung Kidnote-App

1.1 Verantwortlicher für diese Datenschutzerklärung

KidNote UG (haftungsbeschränkt), vertreten durch den Geschäftsführer Max Wolf
Brunnenstraße 17, 35315 Homberg (Ohm), Deutschland
Amtsgericht Gießen, HRB 12723
E-Mail: info@kidnote.de

1.2 Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist derzeit nicht benannt. Kontakt für Datenschutzanliegen: datenschutz@kidnote.de.

1.3 Wer ist wofür verantwortlich?

Kidnote hat zwei Rollen:

• Für die pädagogischen Inhaltsdaten (Beobachtungen, Entwicklungsdokumentation, Kinder-Stammdaten) ist die Kita bzw. ihr Träger verantwortlich. Kidnote verarbeitet diese Daten nur im Auftrag und nach Weisung der Kita (Auftragsverarbeitung nach Art. 28 DSGVO; bei kirchlichen Trägern § 30 DSG-EKD). Informationen dazu erhalten Sie von Ihrer Kita.
• Für die Konto- und Nutzungsdaten (Anmeldung von Fachkräften, Leitung und Sorgeberechtigten, Geräteverwaltung, Support, Betrieb der Systeme) sowie für die Website kidnote.de ist Kidnote selbst verantwortlich. Darum geht es in dieser Datenschutzerklärung.
• Eltern-Portal: Sorgeberechtigte können sich mit einem von der Kita-Leitung angelegten Zugang einloggen und die von der Fachkraft freigegebenen Beobachtungen sowie die Stammdaten ihres eigenen Kindes einsehen. Die Kontodaten der Sorgeberechtigten (Abschnitt 3.1a) verantwortet Kidnote selbst; welche Beobachtungsinhalte angezeigt werden, entscheidet die Kita als Auftraggeberin (Abschnitt 1.3 oben).

3.1 Konten für Fachkräfte und Leitung

Zweck: Zugang zur Anwendung, Authentifizierung, Zuordnung von Beobachtungen zu einer verantwortlichen Autorin, Nachvollziehbarkeit (Audit).

Daten: Name, dienstliche E-Mail-Adresse, Passwort (nur als Hash, Argon2id), PIN (nur als Hash), Rolle, Zuordnung zur Kita, Aktiv-Status, Einladungs-Token (nur als Hash). Anmeldeversuche werden mit Zeitstempel und Erfolg/Misserfolg protokolliert — ohne IP-Adresse. Zur Abwehr massenhafter Anmeldeversuche zählen wir außerdem kurzzeitig die Versuche je Netzwerkadresse (siehe Abschnitt 3.4).

Hauptsprache (optional): nur nach gesonderter Einwilligung speichern wir in Ihrem Konto die von Ihnen gewählte Hauptsprache (eine der in der Anwendung angebotenen Sprachen), damit sie auf all Ihren Geräten gilt. Die Sprache kann Rückschlüsse auf Ihre Herkunft zulassen; deshalb ist die Speicherung freiwillig (Art. 6 Abs. 1 lit. a, Art. 9 Abs. 2 lit. a DSGVO), nur für Sie selbst abrufbar und weder für Leitung noch Träger oder Kolleginnen und Kollegen sichtbar. Ohne Einwilligung bleibt die Sprache nur auf Ihrem Gerät gespeichert; der Widerruf ist jederzeit in den Einstellungen möglich, die Sprache wird dann gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsverhältnis) und Art. 6 Abs. 1 lit. f DSGVO (sicherer Betrieb, Missbrauchsabwehr).

Speicherdauer: Konto bis zum Ausscheiden, bis zum Ende der Nutzung durch die Kita oder bis zur Löschung auf Ihren Antrag; Anmeldeprotokolle: erfolgreiche Versuche 90 Tage, fehlgeschlagene Versuche 13 Monate (Sperr-Logik und Missbrauchsnachweis); automatisierte Löschung durch einen täglichen Aufräum-Job. Endet die Testphase einer Kita ohne Vertragsschluss, ist das Konto 30 Tage nur noch lesend nutzbar und wird danach zusammen mit allen Daten der Kita gelöscht. Die Löschung Ihres Kontos können Sie jederzeit beantragen (Seite „Konto löschen“, kidnote.de/konto-loeschen). Wir sperren das Konto dann dauerhaft und löschen die Kontodaten innerhalb eines Monats. Beobachtungen, Updates, Berichte und Chat-Nachrichten gehören zur Dokumentation der Kita und bleiben mit einer internen Kennung erhalten. Ob die Kita Ihren Namen als Verfasserin oder Verfasser ihrer Dokumentation noch braucht, entscheidet sie; sonst löschen wir ihn, spätestens wenn die Kita ihre Daten löschen lässt. Den Antrag und die Löschung dokumentieren wir zum Nachweis drei Jahre lang, ohne Inhalte.

3.1a Eltern-Konten (Sorgeberechtigte)

Zweck: Zugang für Sorgeberechtigte zu den von der Fachkraft freigegebenen Beobachtungen und Sprach-Updates sowie den Stammdaten (Name, Gruppe, Geburtsdatum) ihres eigenen Kindes; seit 2026-09-25 zusätzlich direkte, beidseitige Textkommunikation mit den der Kind-Gruppe zugeordneten Fachkräften/der Leitung (Elternchat — s. Zugriffsgrenzen); seit 2026-09-29 zusätzlich ein wöchentliches, automatisiert aus mehreren freigegebenen Beobachtungen zusammengefasstes Update je Kind, optional mit einem Förderplan-PDF-Anhang bei Integrationsmaßnahmen (Wochen-Update — s. Zugriffsgrenzen); zusätzlich, wenn die Kita dies anbietet und Sie eingewilligt haben, Fotos Ihres Kindes, die die Kita freigibt; Authentifizierung.

Daten: Name, Telefonnummer, E-Mail-Adresse, Passwort (nur als Hash, Argon2id) — verschlüsselt abgelegt (Envelope Encryption, wie Kinderdaten). Zuordnung zu genau den eigenen Kindern (child_ids), keine Sammel- oder Gruppenzugänge.

Hauptsprache (optional): nur nach gesonderter Einwilligung speichern wir in Ihrem Konto die von Ihnen gewählte Hauptsprache (eine der in der Anwendung angebotenen Sprachen), damit sie auf all Ihren Geräten gilt. Die Sprache kann Rückschlüsse auf Ihre Herkunft zulassen; deshalb ist die Speicherung freiwillig (Art. 6 Abs. 1 lit. a, Art. 9 Abs. 2 lit. a DSGVO), nur für Sie selbst abrufbar und weder für Leitung noch Träger oder Kolleginnen und Kollegen sichtbar. Ohne Einwilligung bleibt die Sprache nur auf Ihrem Gerät gespeichert; der Widerruf ist jederzeit in den Einstellungen möglich, die Sprache wird dann gelöscht.

Herkunft/Anlage: Der Zugang wird ausschließlich von der Kita-Leitung angelegt (Einladung per E-Mail, 7-Tage-Token); Sorgeberechtigte können sich nicht selbst registrieren.

Zugriffsgrenzen: Ein Elternteil sieht ausschließlich Beobachtungen mit der Kennzeichnung „Elternfreigabe" zu den eigenen Kindern — keine internen Beobachtungen, keine Notizen zum Schutzauftrag nach § 8a SGB VIII, keine Daten anderer Kinder. Fotos sieht ein Elternteil nur, wenn die Kita sie einzeln für die Eltern freigegeben hat. Auf Gruppenfotos können andere Kinder zu sehen sein, aber nur, wenn deren Eltern eingewilligt haben; ihre Namen werden nicht angezeigt. Serverseitig über Zugriffsrollen und zusätzliche Datenbankprüfungen durchgesetzt, automatisiert getestet. Im Elternchat sieht ein Elternteil andere Sorgeberechtigte desselben Kindes und Fachkräfte nur mit Vornamen, die Leitung als „Leitung" — kein voller Name, keine Kontaktdaten Dritter.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Portalzugangs im Rahmen des Nutzungsverhältnisses zwischen Kita und Sorgeberechtigten) und Art. 6 Abs. 1 lit. f DSGVO (sicherer Betrieb, Missbrauchsabwehr).

Speicherdauer: Konto bis zum Widerruf durch die Leitung, bis zum Ende der Nutzung durch die Kita oder bis zur Löschung auf Ihren Antrag. Zusätzlich endet das Konto automatisch, wenn das letzte einem Elternteil zugeordnete Kind endgültig gelöscht wird (Crypto-Shredding): Im selben Vorgang werden Passwort, E-Mail-Adresse (als Hash), Einladungs-Token und der Verschlüsselungsschlüssel des Kontos gelöscht, eine laufende Anmeldung wird sofort beendet. Die Kita-Leitung kann einem Elternteil den Zugang zu einem Kind entziehen, etwa bei einem Sorgerechtsbeschluss, dem Ende des Betreuungsverhältnisses oder einem Gerichtsbeschluss; die Entscheidung trifft die Einrichtung. Dabei wird die Verknüpfung zu diesem Kind gelöscht und der Elternteil sofort abgemeldet. Betrifft der Entzug das letzte Kind des Elternteils, endet das Konto sofort: Passwort, E-Mail-Adresse (als Hash), Name, Einladungs-Token, Verschlüsselungsschlüssel, Push-Token, gewählte Hauptsprache, Einwilligungen zur Übersetzung und Lesestände werden gelöscht. Bereits gesendete Elternchat-Nachrichten bleiben bis zum Ablauf der Aufbewahrung von 365 Tagen im Chat der übrigen Beteiligten sichtbar; der Absender wird dort nur als „Elternteil“ angezeigt. Zum Nachweis protokolliert Kidnote den Vorgang im Auftrag der Kita (Zeitpunkt, interne Kennungen von Kita, Elternteil, Kind und handelnder Leitung, keine Namen oder Inhalte) und löscht den Eintrag nach drei Jahren. Der Zugang lässt sich nur durch eine neue Einladung wiederherstellen. Solange die Löschfrist eines Kindes noch läuft und eine Wiederherstellung möglich ist, bleibt es als bestehend gezählt und das Elternkonto aktiv. Die Löschung Ihres Kontos können Sie auch selbst bei Kidnote beantragen (Seite „Konto löschen“, kidnote.de/konto-loeschen). Wir beenden dann innerhalb eines Monats Ihren Zugang zu allen Ihren Kindern mit derselben Wirkung wie beim Entzug durch die Leitung, bestätigen Ihnen das und informieren Ihre Kita. Den Antrag und die Löschung dokumentieren wir zum Nachweis drei Jahre lang, ohne Inhalte. Elternchat-Nachrichten: 365 Tage ab Erstellung, Crypto-Shredding. Endet die Testphase einer Kita ohne Vertragsschluss, ist das Konto 30 Tage nur noch lesend nutzbar und wird danach zusammen mit allen Daten der Kita gelöscht.

Live seit: 2026-09-23 (Elternchat: 2026-09-25; Wochen-Update: 2026-09-29; in der Kidnote-App jeweils ab der ersten im App-Store veröffentlichten Version).

3.2 Geräteverwaltung

Zweck: Bindung eines Kita-Geräts an die Kita, Sperrmöglichkeit, Nachvollziehbarkeit.

Daten: Geräte-Token (nur als Hash), Gerätebezeichnung, Zeitpunkt der letzten Nutzung, Sperrzeitpunkt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.

Speicherdauer: bis zur Sperrung des Geräts bzw. Ende der Nutzung.

3.3 Support und Fehlerbearbeitung

Zweck: Bearbeitung von Anfragen, Störungsbeseitigung.

Daten: Kontaktdaten, Inhalt der Anfrage, technische Diagnosedaten (ohne Klartext-Inhalte von Beobachtungen).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO; bei einem Zugriff auf Inhaltsdaten ausschließlich auf Weisung der Kita.

Speicherdauer: Richtwert 24 Monate nach Abschluss des Vorgangs.

Empfänger: E-Mails an info@/support@/rechnungen@/datenschutz@/max@kidnote.de werden über die Postfächer der STRATO GmbH (Deutschland) zugestellt und gespeichert — Auftragsverarbeitung nach Art. 28 DSGVO.

3.4 Betriebs- und Sicherheitsprotokolle

Zweck: Verfügbarkeit, Integrität und Sicherheit des Dienstes, Angriffserkennung, Fehleranalyse. Umfasst auch die KI-gestützte Erkennung des Formular-Layouts beim einmaligen Hochladen einer leeren Formularvorlage der Kita (z. B. Förderplan, Gesprächsprotokoll) durch die Leitung (nur leere Formularseiten oder deren Feldbeschriftungen, keine Kinddaten).

Daten: In der Anwendungsdatenbank: Zeitstempel, Erfolg/Fehler, Latenz, Token-Zahlen des KI-Proxys, kita_id, Pseudonyme — keine Klarnamen, keine IP-Adressen im Klartext, keine Beobachtungsinhalte. Um massenhafte Anmelde-, Registrier- und Passwort-Rücksetzversuche und Abrufe der Bestätigungsseite für den Kita-Export zu bremsen, speichern wir je Versuch den Zeitpunkt und einen Prüfwert der IP-Adresse, den wir mit einem geheimen Schlüssel bilden (Pseudonym nach Art. 4 Nr. 5 DSGVO). Auf Infrastrukturebene (Reverse-Proxy/Gateway, System) können vorübergehend IP-Adressen anfallen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, Art. 32 DSGVO.

Speicherdauer: Datenbank-Protokolle: 90 Tage (mistral_proxy_log), automatisierte Löschung durch täglichen Aufräum-Job. Prüfwerte der IP-Adresse: bei Anmelde-, Registrier- und Rücksetzversuchen höchstens zwei Stunden, bei der Export-Bestätigungsseite höchstens 25 Stunden. Infrastruktur-Zugriffslogs (IP) sind größenbegrenzt; System-Logs (SSH/Fail2ban) rund 4 Wochen.

3.5 Crash-/Fehler-Reporting (Sentry)

Zweck: Erkennung und Analyse von App-Abstürzen und unbehandelten Fehlern (Mobile + Web), um Stabilität und Sicherheit zu sichern.

Daten: Stacktrace, App-/Betriebssystem-/Geräteversion, Fehlerzeitpunkt, technischer Kontext. Keine Klarnamen, keine Beobachtungs-/Transkriptinhalte — die App ist so konfiguriert, dass nur unbehandelte Fehler übermittelt werden, keine personenbezogenen Zusatzdaten (sendDefaultPii: false), keine Sitzungsaufzeichnungen; ein Filter entfernt Freitext und Namen vor dem Versand.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (fehlerfreier, sicherer Betrieb).

Empfänger: Functional Software, Inc. (Sentry), USA — Verarbeitung in der EU-Region. Als US-Anbieter über EU-Standardvertragsklauseln und ein Transfer-Impact-Assessment abgesichert.

Speicherdauer: kurze Event-Aufbewahrung (Richtwert 30–90 Tage).

3.5a Push-Benachrichtigungen (Android)

Zweck: Zeitnahe Zustellung eines Weck-Signals an die App (z. B. bei neuen Updates für Sorgeberechtigte), damit die App den eigentlichen Inhalt vom eigenen Backend nachlädt. Android beendet Hintergrundverbindungen technisch bedingt nach kurzer Zeit (Doze/App-Standby) — ein Push-Kanal ist die einzige verlässliche Weckmethode auf dieser Plattform.

Daten: Push-Registrierungs-Token (pseudonyme Geräte-/App-Installationskennung). Der Push-Inhalt selbst ist vollständig leer (technische Konstante ohne Bedeutungsgehalt) — kein Klarname, kein Kind-Bezug, kein Hinweis auf den Anlass (z. B. Krankmeldung vs. neue Nachricht sind für den Push-Dienst nicht unterscheidbar). Die sichtbare Benachrichtigung wird erst auf dem Gerät erzeugt, nachdem die App den Inhalt über eine authentifizierte Verbindung vom eigenen Backend abgerufen hat.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (zuverlässiger, zeitnaher Betrieb des Dienstes).

Empfänger: Google Ireland Limited / Google LLC (Firebase Cloud Messaging), als technischer Zustelldienst für das Weck-Signal.

Speicherdauer: Das Push-Token wird gespeichert, solange die App-Installation aktiv ist bzw. bis zum Widerruf/zur Abmeldung; ungültige Token werden automatisiert entfernt. Verliert ein Elternteil sein letztes zugeordnetes Kind (s. Abschnitt 3.1a) oder endet die Nutzung durch die Kita, wird auch das Push-Token im selben täglichen Lauf endgültig gelöscht.

iOS: Push-Benachrichtigungen für iOS sind noch nicht aktiv (Prüfung des Apple-Auftragsverarbeitungsvertrags für APNs läuft noch); diese Erklärung wird ergänzt, sobald iOS-Push produktiv geht.

3.6 Website kidnote.de

Zweck: Bereitstellung der Informationsseite, Beantwortung von Kontaktanfragen.

Daten: Server-Logfiles (IP, User-Agent, Zeitstempel) beim Hosting-Anbieter; Kontaktformular — je nach gewählter Formularvariante mindestens Name, E-Mail und Nachricht, bei einer Anfrage für eine Kita zusätzlich z. B. Name der Einrichtung bzw. des Trägers, Rolle, Telefonnummer, Anschrift, Anzahl der Einrichtungen bzw. Kinder, gewünschte Vertragslaufzeit und USt-IdNr. Zusätzlich ein SHA-256-Hash der IP-Adresse mit Zeitstempel zu jeder Formular-Einsendung (nie die IP-Adresse selbst), zur Missbrauchs-/Spam-Abwehr. Schriftarten werden lokal ausgeliefert (keine Anfrage an Google Fonts). Es werden keine Cookies gesetzt, keine Analyse-/Tracking-Software eingesetzt; ein Cookie-Consent-Banner ist daher nicht erforderlich.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Bereitstellung, Sicherheit); Art. 6 Abs. 1 lit. b DSGVO für das Kontaktformular; Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz vor Missbrauch) für den IP-Hash.

Empfänger:

Hosting: Hetzner Online GmbH, Deutschland (Nürnberg) — statischer Seiten-Export, ausgeliefert über den bestehenden Caddy-Server der Backend-VM (/srv/www), kein gesondertes Hosting-Produkt nötig.

Kontaktformular-Anfragen gehen an eine serverseitige Funktion des Kidnote-Produkt-Backends (ebenfalls Hetzner, Deutschland — nicht derselbe Prozess wie der Website-Server) und werden von dort per E-Mail versendet über Scaleway SAS, Frankreich (Scaleway Transactional Email, Region Paris; Verarbeitung in der EU) — Sender-Domain mail.kidnote.de DNS-verifiziert, produktiv im Versand.

Speicherdauer: Server-Logfiles im Rahmen der allgemeinen Backend-Log-Hygiene (siehe Abschnitt 3.4); Name/E-Mail/Nachricht aus dem Kontaktformular werden nicht in einer Datenbank gespeichert, sondern nur einmalig per E-Mail weitergeleitet; der IP-Hash wird nach 48 Stunden automatisch gelöscht.

Abgrenzung: Auf kidnote.de werden keine Kinder-, Beobachtungs- oder Anwendungsdaten verarbeitet — die Seite ist reine Marketing-/Informationsseite mit Kontaktformular. Die Anwendung selbst (Backend und Mitarbeiter-Portal) läuft auf denselben deutschen Servern (Hetzner).

Kein Tracking, keine Analyse-Software, keine Cookies, Schriftarten lokal ausgeliefert — Cookie-Consent-Banner daher nicht erforderlich.

3.7 Vertrags- und Rechnungsdaten der Kunden-Einrichtungen

Zweck: Vertragsabwicklung, Rechnungsstellung, Buchhaltung, optionaler SEPA-Lastschrifteinzug.

Daten: Name und Funktion der Ansprechpersonen, Kontaktdaten, Vertragsdaten, Rechnungsdaten und -positionen, die von der Einrichtung gemeldete Kinderzahl (aggregierte Angabe ohne Personenbezug zu einzelnen Kindern), bei SEPA-Lastschrift zusätzlich die Bankverbindung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag); Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 257 HGB, § 147 AO (Aufbewahrung).

Empfänger: sevDesk GmbH, Deutschland, als Auftragsverarbeiter für die Rechnungsstellung (deren Unterauftragnehmer können Drittlandbezug haben, abgesichert über das EU-US Data Privacy Framework und Standardvertragsklauseln); Steuerberatung; Finanzbehörden. Ein EU-Zahlungsdienstleister für den automatisierten SEPA-Einzug kann später hinzukommen (dann Aktualisierung dieser Erklärung).

Speicherdauer: gesetzliche Aufbewahrungsfristen (Buchungsbelege 8 Jahre nach § 147 Abs. 3 AO, Altfälle 10 Jahre; Handelsbriefe 6 Jahre nach § 257 HGB); während der Frist eingeschränkte Verarbeitung, danach Löschung. Diese Aufbewahrung besteht unabhängig von der Löschung der Kinder- und Kontodaten.