Zum Inhalt springen
VoidQuest

Datenschutzerklärung

VoidQuest und VoidQuest Kids, die Quest-Apps für Familien. Stand: 19.10.2026

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der DSGVO ist:

Christian Romeni Holzwasen 11 73087 Bad Boll Deutschland E-Mail: datenschutz@voidquest.app

Ein gesetzlich verpflichtend zu benennender Datenschutzbeauftragter besteht nicht. Für alle Datenschutz-Anliegen ist die oben genannte Adresse zuständig.

2. Im Überblick und Geltungsbereich

VoidQuest ist eine Familien-App, mit der Eltern den Tag ihrer Kinder als Quests gestalten, Münzen vergeben und Belohnungen verwalten. Diese Erklärung gilt für:

  • die App VoidQuest (iOS und Android, Android-Paket com.voidmind.voidquest) mit den Ansichten für Eltern, Kinder und Fans,
  • die App VoidQuest Kids (iOS und Android, Android-Paket com.voidmind.voidquest.kids),
  • den Web-Admin im Browser unter voidquest.app, die öffentlichen Seiten dort und die zugehörige Schnittstelle (API).

VoidQuest Kids ist eine eigene, schlanke App für das Gerät eines Kindes. Sie enthält nur die Anmeldung für ein Kind und die Ansicht des Kindes. Ein Kind meldet sich dort mit einem QR-Code oder einer PIN an, die ein Elternteil in VoidQuest erzeugt, für ein Kind-Profil, das die Eltern vorher angelegt haben. VoidQuest Kids legt kein eigenes Konto an und erhebt keine Daten, die nicht auch die Kind-Ansicht in VoidQuest verarbeitet. Alles, was diese Erklärung über die Kind-Ansicht und das Kind-Profil sagt, gilt für VoidQuest Kids genauso.

Grundprinzip: Wir verarbeiten so wenige Daten wie möglich. Beide Apps enthalten keine Werbung und keine Werbe-, Analyse- oder Tracking-SDKs und nutzen keine Werbe-ID; eine eigene Auswertung der Nutzung betreiben wir nicht. Der Baustein von Google im QR-Scanner sendet auf Android-Geräten eigene Diagnose- und Nutzungsdaten an Google (Abschnitt 3.12). Die Daten der Familie liegen in unserer Datenbank auf europäischen Servern (Cloudflare, Region weur, West Europa); kurzlebige technische Kopien einzelner Angaben liegen für Sekunden bis wenige Tage im weltweit verteilten Zwischenspeicher von Cloudflare (Abschnitt 3.4). Für Benachrichtigungen, den QR-Scanner und Käufe in der Eltern-App sind Dienste von Expo, Google und Apple beteiligt; welche Daten sie dabei erhalten, steht in den Abschnitten 3.5, 3.10, 3.12 und 5. Kinder haben keine eigene E-Mail-Adresse in VoidQuest und melden sich über einen QR-Code oder eine PIN vom Gerät der Eltern an.

3. Welche Daten wir verarbeiten

3.1 Konto der Eltern

  • E-Mail-Adresse, für die Anmeldung per Anmeldelink
  • Anzeigename (frei wählbar, zum Beispiel „Mama“)
  • Familien-Name, Zeitzone und Wochenstart der Familie
  • Benachrichtigungs-Einstellungen pro Kanal und die Sprache der App
  • die Einstellungen der Familie für Alben, Sticker und Geschenke sowie die von den Eltern freigeschalteten Sticker-Pakete
  • bei einem Kauf von VoidQuest Plus die Angaben zum Kauf, siehe 3.10

3.2 Mitschauende Personen (Fans)

Großeltern oder andere von den Eltern eingeladene Personen können als Fan („Familie“ oder „Begleiter“) den Fortschritt eines Kindes mitverfolgen. Wir verarbeiten dazu:

  • E-Mail-Adresse (für die Einladung per Anmeldelink) und Anzeigename
  • die Zuordnung, welche Kinder eine mitschauende Person sehen darf (von den Eltern jederzeit widerrufbar)
  • abgegebene Reaktionen: ein vordefiniertes Emoji und eine optionale kurze Glückwunsch-Nachricht (höchstens 200 Zeichen) zu einer Aktivität des Kindes

3.3 Kind-Profil

Das Kind-Profil legt ausschließlich ein Elternteil an, in VoidQuest oder im Web-Admin. Weitere Daten entstehen, wenn das Kind die App benutzt. Wir verarbeiten dazu:

  • Anzeigename (zum Beispiel der Vorname oder ein Spitzname, von den Eltern festgelegt)
  • Avatar: ein Emoji oder die Figur, die das Kind in der Avatar-Werkstatt aus Teilen zusammenstellt (gespeichert wird die Auswahl der Figur und der Teile, kein Foto)
  • Geburtsdatum (optional, von den Eltern ergänzt; wird derzeit nur intern für spätere Altersanpassungen vorgehalten und ist nicht öffentlich)
  • Keine E-Mail-Adresse. Kinder haben kein eigenes Konto; die Anmeldung auf dem Kind-Gerät, in VoidQuest wie in VoidQuest Kids, erfolgt ausschließlich über einen QR-Code oder eine sechsstellige PIN, die die Eltern auf ihrem Gerät erzeugen. QR-Code und PIN gelten 10 Minuten: So lange liegt die sechsstellige PIN zusammen mit dem Verweis auf das Kind-Profil im Zwischenspeicher von Cloudflare (Abschnitt 3.4) und wird beim Einlösen oder nach Ablauf gelöscht.
  • Aktivitäts- und Verhaltensverlauf des Kindes. Dies ist der sensibelste Datenbestand und betrifft den Tagesablauf des Kindes. Im Einzelnen:
    • die für das Kind erstellten Quests (Titel, Symbol, Zeitfenster, Münzen)
    • jeder Check-in („ich hab's geschafft“) mit Zeitstempel, Pünktlichkeit und der Angabe, ob er im Zeitfenster lag
    • der vollständige, fortlaufend gespeicherte Münz-Verlauf (Guthaben und Münzen gesamt) als unveränderliches Buchungsbuch
    • kurze Notizen, die das Kind bei einer Nachmeldung („Ich war pünktlich“) oder beim Aussetzen einer Quest schreibt
    • Streaks (Tage in Folge), Streak-Schilde sowie Wochen- und Monats-Ziele
    • erreichte Erfolge
    • angefragte und erfüllte Belohnungen samt Status und Kosten
    • Ausnahmen und Pausen, die die Eltern für das Kind eintragen, mit einer optionalen Notiz
    • Sticker und Alben: welche Sticker das Kind mit Münzen geholt und eingeklebt hat und welche Teile der Avatar-Werkstatt es angelegt hat
    • Geschenke: Sticker, die die Eltern einem Kind schenken oder die Geschwister einander schenken (wenn die Eltern das erlauben), jeweils mit Absender
    • erhaltene Reaktionen der Fans (Emoji und optionale kurze Nachricht)
  • Push-Token des Kind-Geräts (falls Benachrichtigungen aktiv sind), siehe 3.5

Familieninterne Daten: Quests, Check-ins, Notizen, Münzen, Belohnungen, die Figur aus der Avatar-Werkstatt, Sticker, Alben, Geschenke und Reaktionen sehen nur die Mitglieder der eigenen Familie, und zwar jeweils so weit, wie die Eltern es festlegen: Ein Fan sieht nur die Kinder, für die die Eltern ihn freigeschaltet haben. Es gibt kein öffentliches Profil, keine Suche nach anderen Familien und keinen Austausch mit Personen außerhalb der Familie.

3.4 Authentifizierungs- und Sicherheitsdaten

  • Server-seitige Sitzungs-Token (Refresh-Token), gespeichert als SHA-256-Hash, nie im Klartext. Pro Sitzung erfassen wir zur Erkennung gestohlener Sitzungen IP-Adresse und Browser- oder App-Kennung (User-Agent).
  • Der kurzlebige Access-Token (eine Stunde gültig) und der Refresh-Token (90 Tage) liegen auf dem Gerät ausschließlich im verschlüsselten System-Speicher.
  • Persönliche Zugriffstoken (Personal Access Tokens): Eltern können optional langlebige Token erzeugen, mit denen eigene Skripte oder KI-Werkzeuge die Schnittstelle ansprechen. Gespeichert werden nur ein Hash, ein achtstelliges Präfix, ein Name, die Berechtigungen sowie Erstell- und letzter Nutzungszeitpunkt. Token sind jederzeit in den Einstellungen widerrufbar.
  • Sicherheits-Protokoll (Audit-Log): Anmeldungen, Abmeldungen, Token-Erneuerungen, fehlgeschlagene Anmeldungen, das Verbinden von Kind-Geräten sowie wesentliche Änderungen an Konto und Familie, jeweils mit Zeitstempel, IP-Adresse und User-Agent, bei Anmeldeversuchen teils mit der eingegebenen E-Mail-Adresse. Die Einträge enthalten technische Kennungen, etwa von Mitglied und Familie. Dient ausschließlich der Missbrauchs- und Betrugsabwehr.
  • Zwischenspeicher (Cloudflare KV): Für Anmeldung und Betrieb liegen einzelne Angaben kurzzeitig im Schlüssel-Wert-Speicher von Cloudflare, der weltweit verteilt ist. Das sind der Name und die Zeitzone der Familie (60 Sekunden), beim Anmeldelink die E-Mail-Adresse (15 Minuten), beim Link zum Löschen eines Kontos die E-Mail-Adresse und die Sprache der Seite (15 Minuten, Abschnitt 3.13), beim Verbinden eines Kind-Geräts die PIN und die Kennungen von Kind und Familie (10 Minuten) sowie bei einer Einladung die E-Mail-Adresse, der Anzeigename und die Kennungen von Familie, einladendem Elternteil und, bei einem Fan, den freigegebenen Kindern (7 Tage). Dazu kommen: beim Anlegen einer neuen Familie die E-Mail-Adresse für die Einrichtung (60 Minuten); gehört eine E-Mail-Adresse zu mehreren Haushalten, die E-Mail-Adresse für die Auswahl des Haushalts (5 Minuten); je Familie eine Liste der offenen Einladungen mit E-Mail-Adresse, Anzeigename und Rolle (7 Tage); Zähler zur IP-Adresse, mit denen wir die Zahl der Anfragen begrenzen, beim Anfordern und Einlösen eines Anmeldelinks, beim Erneuern und Beenden einer Sitzung, beim Verbinden eines Kind-Geräts, bei einer Einladung, beim Anlegen einer Familie, bei Auswahl und Wechsel des Haushalts und bei Fehlerberichten der App (jeweils eine Minute). Danach laufen die Einträge automatisch ab; eingelöste Links, Codes und Einladungen löschen wir sofort.
  • App-Sperre: Schalten Eltern die App-Sperre ein, liegen die PIN (als gesalzener Hash) und die Einstellung für Fingerabdruck oder Gesichtserkennung nur auf dem Gerät. Die biometrische Prüfung übernimmt das Betriebssystem; wir erhalten keine biometrischen Daten.

3.5 Benachrichtigungen (Push)

Wenn Sie Benachrichtigungen erlauben, holt die App beim Push-Dienst von Expo einen Push-Token für das Gerät. Auf Android-Geräten stellt dafür Firebase Cloud Messaging (Google) einen Geräte-Token aus und verwendet dabei die Firebase-Installations-ID, eine zufällige Kennung der App-Installation; auf iOS-Geräten stellt Apple (Apple Push Notification Service) den Geräte-Token aus. Wir speichern je Gerät den Push-Token, die Plattform (iOS oder Android) und einen optionalen Gerätenamen.

Für eine Benachrichtigung schickt unser Server den Push-Token, einen Titel und einen kurzen Text an Expo, Expo gibt sie an Google oder Apple weiter, und diese stellen sie auf dem Gerät zu. Der Text kann Namen und Inhalte aus der Familie enthalten: den Namen eines Kindes, den Titel einer Quest oder Belohnung, den Namen eines Fans und den Text seiner Reaktion, den Absender eines Geschenks oder den Namen eines Erfolgs. Erinnerungen an Quests plant die App zusätzlich direkt auf dem Gerät; diese verlassen das Gerät nicht.

3.6 Anfragen über das Formular auf voidquest.app

Auf den öffentlichen Seiten (voidquest.app) steht ein Formular, über das Sie sich für den geschlossenen Test melden oder als Illustratorin oder Illustrator Kontakt aufnehmen können. Erhoben werden dabei nur die Angaben, die Sie selbst eintragen:

  • Name
  • E-Mail-Adresse (damit wir antworten können; bei einer Meldung für den Test außerdem, um Sie für den Test freizuschalten)
  • Ihre Nachricht (optional)
  • das Thema der Anfrage (Test oder Illustration)
  • bei einer Meldung für den Test die Plattform Ihres Handys (Android oder iOS)

Zweck und Rechtsgrundlage: Wir verarbeiten diese Angaben, um Ihre Anfrage zu beantworten. Bei einer Meldung für den geschlossenen Test nutzen wir Ihre E-Mail-Adresse außerdem, um Sie für den Test freizuschalten: Bei Android tragen wir sie in der Google Play Console als Testerin oder Tester ein, damit Sie die App über den Play Store installieren können; bei iOS laden wir Sie über App Store Connect zu TestFlight ein, und Apple schickt Ihnen die Einladung an diese Adresse. Zu anderen Zwecken verwenden wir die Angaben nicht. Grundlage ist Ihre Einwilligung, die Sie mit dem Häkchen im Formular erteilen (Art. 6 Abs. 1 lit. a DSGVO). Sie können sie jederzeit unter datenschutz@voidquest.app widerrufen; die Verarbeitung bis zum Widerruf bleibt davon unberührt.

Weg der Daten: Die Angaben werden nicht in unserer Datenbank gespeichert. Sie werden direkt zu einer E-Mail an hallo@voidquest.app zusammengesetzt und über unseren Mail-Dienstleister Resend (Region eu-west-1, Irland, siehe Abschnitt 5) zugestellt. Ihre E-Mail-Adresse steht dabei als Antwortadresse in der Nachricht, damit eine Antwort direkt bei Ihnen landet.

Speicherdauer: Die Anfrage liegt als E-Mail in unserem Postfach und wird gelöscht, sobald sie erledigt ist und keine gesetzliche Aufbewahrungspflicht entgegensteht, spätestens nach zwölf Monaten. Eine Löschung können Sie jederzeit unter datenschutz@voidquest.app verlangen.

Schutz des Formulars: Zum Schutz vor Missbrauch begrenzen wir die Zahl der Anfragen und der Versuche je IP-Adresse. Dafür liegen Zähler zur IP-Adresse eine Stunde lang im Zwischenspeicher (Cloudflare KV) und laufen danach automatisch ab. Vor dem Absenden prüft Cloudflare Turnstile, ob ein Mensch das Formular ausfüllt (Abschnitt 3.8). Zweck dieser Maßnahmen ist die Abwehr automatisierter Anfragen und eingeschleusten Codes; Rechtsgrundlage ist unser berechtigtes Interesse daran (Art. 6 Abs. 1 lit. f DSGVO). Ihre Einwilligung aus dem Formular deckt nur die Bearbeitung Ihrer Anfrage, nicht diese Schutzmaßnahmen.

Protokoll abgelehnter Anfragen: Lehnen wir eine Anfrage ab, weil sie nicht von unserer Seite kommt, die Sicherheitsprüfung nicht bestanden hat, ein für Menschen unsichtbares Feld ausgefüllt ist, unzulässige Zeichen enthält oder das Limit überschreitet, schreiben wir dazu eine Zeile in das Protokoll unseres Servers (Abschnitt 3.7). Gespeichert werden der Grund der Ablehnung, Ihre IP-Adresse, die Kennung Ihres Browsers (User-Agent), das Thema und die Sprache der Anfrage und bei unzulässigen Zeichen die Namen der betroffenen Felder. Ihre Nachricht und Ihre E-Mail-Adresse kommen nicht in das Protokoll. Zweck und Rechtsgrundlage sind dieselben wie beim Schutz des Formulars (Art. 6 Abs. 1 lit. f DSGVO). Die Zeile wird wie das ganze Protokoll höchstens sieben Tage gespeichert und danach automatisch gelöscht (Abschnitt 3.7).

3.7 Server- und Verbindungsdaten

Cloudflare als Hosting-Anbieter verarbeitet beim Aufruf der App und der Schnittstelle automatisch IP-Adressen und Anfrage-Metadaten zur Bereitstellung und Sicherheit (Edge-Logs). Diese Daten werden bei Cloudflare nach kurzer Frist gelöscht und von uns nicht zu Analysezwecken ausgewertet. Details: Cloudflare-Datenschutzerklärung.

Protokoll unseres Servers: Unser Server schreibt technische Fehler- und Sicherheitsmeldungen in ein Protokoll bei Cloudflare (Workers Logs), etwa wenn ein E-Mail-Versand scheitert oder eine Anfrage aus dem Formular abgelehnt wird (Abschnitt 3.6). Ein Protokoll jedes einzelnen Aufrufs mit Adresse und Herkunft führen wir nicht. Eine Meldung enthält je nach Anlass die IP-Adresse, die Kennung des Browsers (User-Agent) oder eine interne Kennung des betroffenen Kontos, aber keine Inhalte wie Nachrichten, E-Mail-Adressen oder Münzstände. Zweck ist der sichere und fehlerfreie Betrieb und die Abwehr von Missbrauch; Rechtsgrundlage ist unser berechtigtes Interesse daran (Art. 6 Abs. 1 lit. f DSGVO). Cloudflare speichert das Protokoll höchstens sieben Tage (im kostenlosen Tarif drei Tage) und löscht es danach automatisch.

3.8 Sicherheitsprüfung mit Cloudflare Turnstile

Bei der Anmeldung in der Web-Verwaltung und beim Formular auf voidquest.app setzen wir Cloudflare Turnstile ein. Turnstile prüft, ob ein Mensch die Seite bedient und kein automatisiertes Programm. Dafür lädt Ihr Browser ein Skript von challenges.cloudflare.com, und Cloudflare wertet technische Merkmale der Verbindung und des Browsers aus, darunter die IP-Adresse, die Kennung des Browsers (User-Agent), Merkmale der verschlüsselten Verbindung und Signale aus der Prüfung im Browser. In den meisten Fällen läuft die Prüfung ohne Ihr Zutun; nur bei Zweifeln bittet Turnstile Sie, ein Kästchen anzuklicken. Das Ergebnis ist ein kurzlebiger Nachweis, den unser Server bei Cloudflare bestätigen lässt, zusammen mit Ihrer IP-Adresse. Turnstile setzt nur Cookies, die für die Erkennung von Bots nötig sind, keine Cookies für Werbung, und erstellt keine Werbeprofile.

Zwei Rollen von Cloudflare: Für den Schutz unserer Anmeldung und unseres Formulars verarbeitet Cloudflare diese Daten in unserem Auftrag (Auftragsverarbeitung, Abschnitt 5). Darüber hinaus nutzt Cloudflare die Signale aus der Prüfung als eigener Verantwortlicher, um Turnstile und die Erkennung von Bots allgemein zu verbessern. Für diese Nutzung ist Cloudflare selbst verantwortlich; Einzelheiten stehen in den Datenschutzhinweisen zu Cloudflare Turnstile.

Rechtsgrundlage für unseren Einsatz von Turnstile: unser berechtigtes Interesse am Schutz der Anmeldung und des Formulars vor automatisiertem Missbrauch (Art. 6 Abs. 1 lit. f DSGVO).

3.9 Feedback-Bogen

Unter voidquest.app/feedback steht ein Feedback-Bogen für die Teilnehmerinnen und Teilnehmer des geschlossenen Tests. Zweck: Wir erfahren, wie VoidQuest im Familienalltag ankommt, und verbessern die App damit. Erhoben werden nur die Angaben, die Sie selbst machen:

  • drei Bewertungen von 1 bis 5 (Alltag mit VoidQuest, wie gern das Kind die App nutzt, wie leicht man sich als Elternteil zurechtfindet)
  • angekreuzte Antworten: was geholfen hat, was gestört hat, wie das Kind VoidQuest nutzt
  • das Alter der Kinder in Altersgruppen (optional)
  • eine Nachricht (optional)
  • eine E-Mail-Adresse für Rückfragen (optional)
  • die Sprache des Bogens (Deutsch oder Englisch)

Freiwillig und anonym: Das Ausfüllen ist freiwillig und hat keinen Einfluss auf die Teilnahme am Test. Wir speichern die Antworten ohne Namen, ohne IP-Adresse, ohne Kennung des Browsers und ohne Verbindung zu einem Konto oder einer Familie. Personenbezogen können nur die Nachricht und die E-Mail-Adresse sein, und beide sind optional. Ohne E-Mail-Adresse kommt der Bogen anonym bei uns an.

Rechtsgrundlage: Für die Auswertung der Antworten unser berechtigtes Interesse an der Verbesserung der App (Art. 6 Abs. 1 lit. f DSGVO). Für die E-Mail-Adresse Ihre Einwilligung, die Sie mit dem Eintragen erteilen (Art. 6 Abs. 1 lit. a DSGVO); wir nutzen sie nur für Rückfragen zu Ihrem Feedback. Sie können die Einwilligung jederzeit unter datenschutz@voidquest.app widerrufen; die Verarbeitung bis zum Widerruf bleibt davon unberührt.

Speicherort und Weg der Daten: Die Antworten liegen in unserer Datenbank bei Cloudflare (D1, Region weur, West Europa, siehe Abschnitt 5). Zusätzlich setzt unser Server sie zu einer E-Mail an hallo@voidquest.app zusammen, die unser Mail-Dienstleister Resend (Region eu-west-1, Irland) zustellt; eine angegebene E-Mail-Adresse steht darin als Antwortadresse.

Speicherdauer: Nachricht und E-Mail-Adresse löschen wir automatisch zwölf Monate nach dem Absenden aus der Datenbank. Die Bewertungen und angekreuzten Antworten bleiben ohne Personenbezug erhalten und fließen nur zusammengefasst in Auswertungen ein. Die E-Mail an hallo@voidquest.app enthält alle Antworten des Bogens, also auch Nachricht und E-Mail-Adresse. Diese E-Mails löschen wir im Postfach von Hand, spätestens zwölf Monate nach ihrem Eingang. Eine frühere Löschung können Sie jederzeit unter datenschutz@voidquest.app verlangen.

Schutz des Bogens: Wie beim Formular in Abschnitt 3.6 begrenzen wir die Zahl der Bögen und der Versuche je IP-Adresse (Zähler eine Stunde lang im Zwischenspeicher Cloudflare KV), prüfen mit Cloudflare Turnstile, ob ein Mensch den Bogen ausfüllt (Abschnitt 3.8), und schreiben bei einer Ablehnung eine Zeile in das Protokoll unseres Servers (Abschnitt 3.7) mit dem Grund, der IP-Adresse, der Kennung des Browsers und der Sprache, ohne Nachricht und ohne E-Mail-Adresse. Rechtsgrundlage ist unser berechtigtes Interesse an der Abwehr von Missbrauch (Art. 6 Abs. 1 lit. f DSGVO).

3.10 Käufe von VoidQuest Plus

In der App VoidQuest können Eltern VoidQuest Plus kaufen, als Abo oder als einmalige Lizenz für die Familie. Der Kauf läuft über Google Play beziehungsweise den App Store von Apple und ist nur in der Ansicht der Eltern nach ihrer Anmeldung erreichbar. In der Ansicht der Kinder, in der Ansicht der Fans und in VoidQuest Kids gibt es keine Käufe.

Zahlungsdaten bleiben bei Google und Apple. Zahlungsmittel, Name und Rechnungsadresse Ihres Store-Kontos erhalten wir nicht. Nach einem Kauf übergibt die App den Kaufbeleg an unseren Server; der Server lässt ihn bei Google (Google Play Developer API) oder Apple (App Store Server API) prüfen und bestätigt ihn bei Google. Wir speichern dazu:

  • die Kennungen des Kaufs: die Bestell- oder Transaktionsnummer des Stores und den Kauf-Token von Google Play beziehungsweise die ursprüngliche Transaktionsnummer von Apple
  • die Plattform, das gekaufte Produkt und den Tarif
  • den Status: Kaufzeitpunkt, Ablaufdatum, ob sich ein Abo verlängert, eine Rückerstattung sowie den Stand der Bestätigung bei Google
  • die Familie, der der Kauf gutgeschrieben ist

Die Kaufkennungen bleiben auf unserem Server; die Geräte der Familie erhalten den Stand von Plus (Tarif und Laufzeit) ohne diese Kennungen. Ein Abo verwalten und kündigen Sie in Ihrem Konto bei Google Play oder Apple. Zweck und Rechtsgrundlage: Erfüllung des Kaufvertrags (Art. 6 Abs. 1 lit. b DSGVO), für die Aufbewahrung der Belege außerdem die handels- und steuerrechtlichen Pflichten (Art. 6 Abs. 1 lit. c DSGVO). Für die Zahlung selbst sind Google und Apple eigene Verantwortliche; es gelten ihre Datenschutzerklärungen.

3.11 Fehlerberichte der App

Stürzt eine Ansicht der App ab oder schlägt ein Vorgang im Hintergrund fehl, etwa das Erneuern der Anmeldung, schickt die App einen Fehlerbericht an unseren eigenen Server. Ein fremder Dienst für Absturzberichte ist nicht beteiligt. Ein Bericht enthält die Version der App, die Plattform (iOS oder Android), die Version des Betriebssystems, die Ansicht, in der der Fehler auftrat, sowie Name, Meldung und Verlauf (Stack) des Fehlers. Ist das Gerät angemeldet, vermerken wir dazu die Kennung der Familie und die Rolle (Elternteil, Kind oder Fan), nie die Kennung eines einzelnen Mitglieds. Vor der Anmeldung bleibt der Bericht ohne Bezug zu einer Familie. Zweck und Rechtsgrundlage: Fehler finden und beheben, unser berechtigtes Interesse an einer fehlerfreien App (Art. 6 Abs. 1 lit. f DSGVO). Speicherdauer: 90 Tage, danach löscht unser Server die Berichte automatisch.

3.12 Kamera und QR-Scanner

Die Kamera nutzen beide Apps nur, um den QR-Code zum Verbinden eines Kind-Geräts zu lesen, und nur nach Ihrer Erlaubnis. Das Kamerabild wird auf dem Gerät ausgewertet; Bilder werden weder gespeichert noch an uns übertragen. Auf Android-Geräten erkennt die Bibliothek ML Kit von Google den QR-Code. ML Kit arbeitet auf dem Gerät, sendet aber Diagnose- und Nutzungsdaten an Google, etwa Angaben zum Gerät und zur App, Leistungswerte und Fehlercodes, zusammen mit einer Kennung der Installation. Google nutzt diese Daten, um ML Kit zu betreiben und zu verbessern; Einzelheiten stehen in der Datenoffenlegung von Google zu ML Kit. Auf iOS-Geräten erkennt das Betriebssystem den Code.

3.13 Konto löschen ohne App

Auf der Seite Konto und Daten löschen können Eltern und Fans ihr Konto ohne App löschen. Dafür verarbeiten wir die eingetragene E-Mail-Adresse. Gehört sie zu einem Konto eines Elternteils oder Fans, schicken wir über Resend (Abschnitt 5) eine E-Mail mit einem Link dorthin. Der Link liegt mit der E-Mail-Adresse und der Sprache der Seite 15 Minuten im Zwischenspeicher (Cloudflare KV) und wird beim Löschen sofort entfernt. Zu einer Adresse ohne Konto schicken wir nichts und speichern nichts außer dem Zähler unten.

Zum Schutz vor Missbrauch begrenzen wir die Anfragen je IP-Adresse (Zähler eine Stunde lang im Zwischenspeicher) und je E-Mail-Adresse. Der Zähler je E-Mail-Adresse liegt eine Stunde in unserer Datenbank, und zwar nicht als Adresse, sondern als mit einem geheimen Schlüssel gebildeter Prüfwert (HMAC), aus dem sich die Adresse nicht zurückrechnen lässt. Vor dem Absenden prüft Cloudflare Turnstile, ob ein Mensch das Formular ausfüllt (Abschnitt 3.8). Abgelehnte Anfragen landen wie beim Formular in Abschnitt 3.6 im Protokoll unseres Servers, ohne die E-Mail-Adresse.

Zweck und Rechtsgrundlage: Wir erfüllen damit Ihr Recht auf Löschung (Art. 17 DSGVO) und prüfen über den Link, dass die Anfrage von der Inhaberin oder dem Inhaber der Adresse kommt (Art. 6 Abs. 1 lit. c DSGVO). Die Begrenzung der Anfragen und Turnstile beruhen auf unserem berechtigten Interesse an der Abwehr von Missbrauch (Art. 6 Abs. 1 lit. f DSGVO). Was beim Löschen passiert, steht in Abschnitt 7.

4. Zwecke und Rechtsgrundlagen

  • Bereitstellung des Dienstes (Verwaltung der Konten, Quests, Check-ins, Münzen, Streaks, Belohnungen, Synchronisierung): Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags) gegenüber den Eltern.
  • Verarbeitung der Daten des Kindes (Profil, Geburtsdatum, Aktivitäts- und Verhaltensverlauf): Art. 6 Abs. 1 lit. a in Verbindung mit Art. 8 DSGVO, Einwilligung des Trägers der elterlichen Verantwortung. Zum Mechanismus siehe Abschnitt 8.
  • Authentifizierung und Sicherheit (Anmeldelink, PIN und QR-Code, Sitzungs- und Audit-Daten, Begrenzung der Anfragen, Sicherheitsprüfung mit Cloudflare Turnstile, Protokoll des Servers mit den abgelehnten Anfragen aus dem Formular): Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Absicherung der Konten der Familie und der Missbrauchsabwehr).
  • Benachrichtigungen (Quest-Erinnerungen, Bestätigungen und Reaktionen): Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, jederzeit in den Geräte-Einstellungen widerrufbar).
  • Versand von System-E-Mails (Anmeldelink, Einladungen): Art. 6 Abs. 1 lit. b DSGVO beziehungsweise lit. a für Einladungs-Mails an Dritte.
  • Anfragen über das Formular auf voidquest.app (Name, E-Mail-Adresse, Plattform, Nachricht): Art. 6 Abs. 1 lit. a DSGVO (Einwilligung über das Häkchen im Formular). Der Schutz des Formulars vor Missbrauch fällt unter Authentifizierung und Sicherheit. Zu den Einzelheiten siehe Abschnitt 3.6.
  • Feedback-Bogen (Bewertungen, angekreuzte Antworten, optional Nachricht und E-Mail-Adresse): Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung der App), für die E-Mail-Adresse Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch das Eintragen). Zu den Einzelheiten siehe Abschnitt 3.9.
  • Käufe von VoidQuest Plus (Prüfung und Gutschrift des Kaufs, Kaufbelege): Art. 6 Abs. 1 lit. b DSGVO, für die Aufbewahrung der Belege Art. 6 Abs. 1 lit. c DSGVO. Siehe Abschnitt 3.10.
  • Fehlerberichte der App: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer fehlerfreien App). Siehe Abschnitt 3.11.
  • QR-Scanner (Verbinden eines Kind-Geräts): Art. 6 Abs. 1 lit. b DSGVO; die Diagnosedaten von ML Kit an Google: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer zuverlässigen Erkennung des Codes). Siehe Abschnitt 3.12.

5. Auftragsverarbeiter und Drittländer

Wir setzen die folgenden Dienstleister ein, die auf weisungsgebundener Grundlage personenbezogene Daten in unserem Auftrag verarbeiten (Auftragsverarbeitung nach Art. 28 DSGVO):

  • Cloudflare, Inc., Hosting der Datenbank (D1), des Schlüssel-Wert-Speichers (KV) und der Worker-Schnittstelle, das Protokoll des Servers (Workers Logs, Abschnitt 3.7) sowie die Sicherheitsprüfung Turnstile bei der Anmeldung und im Formular (Abschnitt 3.8). Die Signale aus der Turnstile-Prüfung nutzt Cloudflare zusätzlich als eigener Verantwortlicher, um Turnstile zu verbessern (Abschnitt 3.8). Speicherort der Datenbank: Region weur (West Europa); der Zwischenspeicher KV ist weltweit verteilt und hält Einträge nur kurz (Abschnitt 3.4). Standardvertragsklauseln (SCC) der EU-Kommission liegen vor; Cloudflare ist zudem unter dem EU-US Data Privacy Framework zertifiziert.
  • Resend, Inc., Versand der System- und Anmeldelink-Mails sowie der Anfragen aus dem Formular und der Antworten aus dem Feedback-Bogen auf voidquest.app (Abschnitte 3.6 und 3.9). Region: eu-west-1 (Irland). Verarbeitet ausschließlich die Empfänger-E-Mail-Adresse und den Mail-Inhalt (Anmelde- beziehungsweise Einladungs-Link oder die Angaben aus dem Formular).
  • Fastmail, Postfächer für hallo@voidquest.app, datenschutz@voidquest.app und security@voidquest.app: speichert E-Mails an uns, darunter die Anfragen aus dem Formular und die Antworten aus dem Feedback-Bogen. Speicherort: Europäische Union.
  • Expo (650 Industries, Inc., USA), Push-Dienst unter exp.host: stellt den Push-Token aus und leitet Benachrichtigungen an Google und Apple weiter. Übermittelt werden der Push-Token sowie Titel und Text der Benachrichtigung, der Namen und Inhalte aus der Familie enthalten kann (Abschnitt 3.5).
  • Google (Google Ireland Limited, Google LLC), Firebase Cloud Messaging für die Zustellung der Benachrichtigungen auf Android-Geräten, mit dem Geräte-Token und der Firebase-Installations-ID (Abschnitt 3.5).
  • Apple (Apple Distribution International Ltd., Apple Inc.), Apple Push Notification Service für die Zustellung der Benachrichtigungen auf iOS-Geräten (Abschnitt 3.5).

Eigene Verantwortliche: Für die folgenden Vorgänge sind Google und Apple selbst verantwortlich; es gelten ihre Datenschutzerklärungen:

  • Google ML Kit im QR-Scanner auf Android-Geräten, mit Diagnose- und Nutzungsdaten und einer Kennung der Installation (Abschnitt 3.12).
  • Google Play und der App Store von Apple für die Installation der Apps und für Käufe von VoidQuest Plus in der Eltern-App, einschließlich der Zahlung (Abschnitt 3.10).

Eine Übermittlung in ein Drittland (USA) erfolgt für die Zustellung der Benachrichtigungen über Expo, Google und Apple, für die Diagnosedaten von ML Kit, für die Prüfung von Käufen bei Google und Apple sowie für die Sicherheitsprüfung Turnstile, die im weltweiten Netz von Cloudflare läuft. Grundlage sind die Standardvertragsklauseln der EU-Kommission und, soweit der Anbieter danach zertifiziert ist, das EU-US Data Privacy Framework. Dabei verlassen die EU: der Push-Token mit Titel und Text der Benachrichtigung, die Diagnosedaten von ML Kit, die Kaufbelege zur Prüfung und die Merkmale der Turnstile-Prüfung. Der Münz-Verlauf, die Check-ins und die übrigen Daten der Familie liegen in unserer Datenbank in der EU; die kurzlebigen Einträge im weltweit verteilten Zwischenspeicher von Cloudflare beschreibt Abschnitt 3.4.

6. Was wir ausdrücklich NICHT tun

  • Kein Tracking, kein Profiling, keine Werbe-IDs, keine Werbe-Cookies
  • Keine eigene Auswertung der Nutzung und keine Analyse- oder Statistik-Dienste (kein Google Analytics, kein Mixpanel, kein Firebase Analytics). Der Baustein ML Kit von Google im QR-Scanner sendet auf Android-Geräten eigene Diagnose- und Nutzungsdaten an Google (Abschnitt 3.12)
  • Kein externes Crash- oder Fehler-Reporting: Fehlerberichte gehen nur an unseren eigenen Server (Abschnitt 3.11)
  • Keine Werbe-, Analyse- oder Tracking-SDKs in den Apps. Die eingebauten Bausteine von Google (Firebase Cloud Messaging, ML Kit) dienen der Zustellung von Benachrichtigungen und dem QR-Scanner (Abschnitte 3.5 und 3.12)
  • Keine Werbung. Käufe gibt es nur in der Ansicht der Eltern in VoidQuest (VoidQuest Plus, Abschnitt 3.10), nicht in der Ansicht der Kinder und nicht in VoidQuest Kids
  • Kein Verkauf und keine Weitergabe von Daten an Dritte zu Werbezwecken
  • Keine Verknüpfung mit sozialen Netzwerken
  • Keine Chat-, Foto-, Standort- oder Freundschafts-Funktionen: Kinder können keine Inhalte mit Fremden austauschen. Die Kamera dient nur dem QR-Code zum Verbinden eines Kind-Geräts

7. Speicherdauer

  • Daten der Familie (Eltern, Fans und Kinder) sowie der Aktivitäts- und Münz-Verlauf: solange die Familie besteht. Der Münz-Verlauf wird dabei als unveränderliche, fälschungssichere Buchungsspur des Belohnungssystems geführt (Korrekturen erfolgen über Gegenbuchungen, nicht durch Löschen). Wird die Familie gelöscht, werden ihre Daten sofort und unwiderruflich aus unserer Datenbank entfernt. Gelöscht wird eine Familie nur, wenn alle Eltern zustimmen; ist nur ein Elternteil da, genügt seine Bestätigung, auch wenn er sein eigenes Konto löscht. Gespeichert bleiben das Sicherheits-Protokoll, die Kaufbelege und die Fehlerberichte (siehe unten). Noch offene Einladungen, Anmeldelinks, Links zum Löschen und Codes zum Verbinden eines Kind-Geräts im Zwischenspeicher laufen nach ihrer Frist von selbst ab (Abschnitt 3.4), höchstens nach 7 Tagen.
  • Konto eines Elternteils oder Fans: bis die Person es löscht, in der App oder ohne App (Abschnitt 3.13), oder bis die Familie gelöscht wird. Entfernen die Eltern einen Fan, wird sein Konto ebenso gelöscht. Beim Löschen wird das Konto sofort zu einem Platzhalter ohne persönliche Daten: Der Name lautet dann „Gelöschtes Mitglied“, E-Mail-Adresse, Geburtstag, Avatar und Benachrichtigungs-Einstellungen werden gelöscht, ebenso Sitzungen, Push-Token und persönliche Zugriffstoken; was ein Fan sehen durfte, endet. Bestätigte Quests, erfüllte Belohnungen und Reaktionen bleiben in der Familie, unter „Gelöschtes Mitglied“. Konten derselben E-Mail-Adresse in anderen Familien bleiben, außer beim Löschen ohne App, das alle Konten der Adresse löscht.
  • Daten eines Kindes: solange es zur Familie gehört. Entfernen die Eltern das Kind, endet sein Zugang sofort; 7 Tage lang können die Eltern es wiederherstellen. Danach löscht unser Server automatisch alle Daten des Kindes, darunter Check-ins, Münz-Verlauf, Streaks, Ziele, Erfolge, Einlösungen, Sticker, Geschenke und Reaktionen an das Kind sowie die Einwilligung der Eltern; die Mitgliedszeile bleibt als Platzhalter ohne persönliche Daten. Was das Kind Geschwistern geschenkt hat, bleibt bei ihnen.
  • Wiederherstellungspunkte der Datenbank: Cloudflare hält für die Datenbank frühere Stände bis zu 30 Tage lang vor, damit sie sich nach einem Fehler auf einen früheren Zeitpunkt zurücksetzen lässt. Gelöschte Daten sind darin noch bis zu 30 Tage enthalten und danach nicht mehr.
  • Sicherheits-Protokoll (Audit-Log): 90 Tage, danach automatische Löschung. Bis dahin bewahren wir es zur Sicherheit und zur Missbrauchsabwehr auf, auch nach dem Löschen eines Kontos, eines Kindes oder der Familie. Beim Löschen entfernen wir aus den Einträgen der Person den Verweis auf das Mitglied, die IP-Adresse und den User-Agent; die E-Mail-Adresse und Namen verschwinden aus den Angaben zum Ereignis, sobald kein anderes Konto die Adresse noch nutzt. Erhalten bleiben Zeitpunkt, Art des Ereignisses und technische Kennungen, etwa die Kennung der Familie. Die Löschung von Einträgen können Sie unter datenschutz@voidquest.app verlangen.
  • Sitzungen (Refresh-Token mit IP-Adresse und User-Agent): Ein Refresh-Token ist 90 Tage gültig oder bis zur Abmeldung beziehungsweise zum Widerruf. Der Eintrag zur Sitzung wird 30 Tage nach Ablauf des Refresh-Tokens automatisch gelöscht, beim Löschen des Kontos oder der Familie sofort.
  • Push-Token eines Geräts (Abschnitt 3.5): Meldet sich die App auf dem Gerät 90 Tage lang nicht bei unserem Server, wird er automatisch gelöscht, beim Löschen des Kontos oder der Familie sofort.
  • Kaufbelege von VoidQuest Plus (Abschnitt 3.10): Sie bleiben auch nach dem Löschen der Familie gespeichert, weil sie belegen, welcher Familie eine Zahlung gutgeschrieben wurde, und weil Handels- und Steuerrecht ihre Aufbewahrung verlangen. Die Berechtigung für Plus selbst löschen wir mit der Familie.
  • Fehlerberichte der App (Abschnitt 3.11): 90 Tage, danach automatische Löschung, auch wenn die Familie vorher gelöscht wurde.
  • Feedback-Bogen: Nachricht und E-Mail-Adresse zwölf Monate in der Datenbank, danach automatische Löschung; die Bewertungen und angekreuzten Antworten bleiben ohne Personenbezug erhalten. Die E-Mail mit allen Antworten im Postfach hallo@voidquest.app löschen wir von Hand spätestens zwölf Monate nach ihrem Eingang (Abschnitt 3.9).
  • Protokoll des Servers (Fehler- und Sicherheitsmeldungen, abgelehnte Anfragen aus dem Formular mit IP-Adresse und Browserkennung): höchstens sieben Tage, im kostenlosen Tarif von Cloudflare drei Tage, danach automatische Löschung durch Cloudflare.
  • Anmeldelink und Link zum Löschen eines Kontos: 15 Minuten. Verbinden eines Kind-Geräts (QR-Code oder PIN): 10 Minuten. Einladung eines zweiten Elternteils oder eines Fans: 7 Tage. Liste der offenen Einladungen einer Familie: 7 Tage. Einrichtung einer neuen Familie: 60 Minuten. Auswahl des Haushalts: 5 Minuten. Name und Zeitzone der Familie im Zwischenspeicher: 60 Sekunden. Zähler zur IP-Adresse: eine Minute, bei den Formularen eine Stunde. Danach jeweils automatischer Ablauf (Abschnitt 3.4).
  • Access-Token: eine Stunde gültig. Refresh-Token: 90 Tage gültig (oder bis zur Abmeldung beziehungsweise zum Widerruf).
  • Persönliche Zugriffstoken: bis zum Widerruf durch den Elternteil (kein automatisches Ablaufdatum).

8. Besonderer Schutz für Kinder (Art. 8 DSGVO)

VoidQuest richtet sich an Familien mit Kindern von etwa 5 bis 13 Jahren. Die Daten der Kinder behandeln wir mit besonderer Sorgfalt und Datensparsamkeit:

  • Alle Daten eines Kindes tragen die Eltern ein oder entstehen, wenn das Kind die App benutzt, die die Eltern für es eingerichtet haben.
  • Kinder haben kein eigenes Konto, keine E-Mail-Adresse und keinen Server-Zugang ohne elterliche Beteiligung. VoidQuest Kids ist nur die Anmeldung für ein Kind-Profil, das die Eltern angelegt haben.
  • Kein Profiling, keine Werbung, keine Werbe-ID, keine Werbe-, Analyse- oder Tracking-SDKs (zum Baustein von Google im QR-Scanner siehe Abschnitt 3.12). Daten der Kinder geben wir an niemanden weiter außer an die in Abschnitt 5 genannten Dienstleister, und nur für die dort genannten Zwecke.
  • Keine Anmeldung über OAuth oder ein soziales Netzwerk (kein Google, kein Apple Sign-In) für Kinder: eine bewusste Designentscheidung zur Minimierung der Datenweitergabe an Plattformen.
  • Keine Chat-, Foto-, Standort- oder Freundschafts-Funktionen.
  • Keine Käufe in der Ansicht der Kinder und in VoidQuest Kids. Sticker und Teile der Avatar-Werkstatt holt ein Kind mit Münzen, die es für Quests bekommt, nie mit Geld.
  • Reaktionen stammen ausschließlich von den Eltern eingeladenen Familienmitgliedern und bestehen aus vordefinierten Emojis plus optionaler kurzer Nachricht, also keine freie Eingabe durch Fremde.
  • Verschlüsselte Übertragung (TLS) auf allen Verbindungen.
  • QR-Codes und PINs zum Verbinden eines Kind-Geräts laufen nach 10 Minuten ab; nur ein angemeldetes Eltern-Gerät kann neue erzeugen.

Einwilligung (Art. 8 DSGVO): Die Verarbeitung der Kinderdaten beruht auf der Einwilligung des Trägers der elterlichen Verantwortung. Diese Einwilligung wird beim Anlegen eines Kind-Profils ausdrücklich und verpflichtend eingeholt: Der angemeldete Elternteil muss auf seinem eigenen, authentifizierten Gerät aktiv bestätigen, erziehungsberechtigt zu sein und in die Verarbeitung der Daten des Kindes einzuwilligen („Ich bin erziehungsberechtigt und willige … ein“). Ohne diese Bestätigung lässt sich kein Kind-Profil erstellen. Für Kind-Profile, die vor Einführung dieser Abfrage angelegt wurden, zeigen App und Web-Admin den Eltern einen Hinweis, über den sie die Einwilligung nachträglich erteilen.

Nachweis der Einwilligung: Wir protokollieren diese Einwilligung als Nachweis. Erfasst werden der Zeitpunkt der Erteilung, die Kennung des einwilligenden Elternteils, die IP-Adresse, die Browser- oder App-Kennung (User-Agent) sowie die Version dieser Datenschutzerklärung, der zugestimmt wurde. Diese Angaben dienen ausschließlich dem Nachweis einer wirksam erteilten Einwilligung nach Art. 8 DSGVO.

Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Entfernen die Eltern das Kind aus der Familie, endet sein Zugang sofort, auch in VoidQuest Kids, und es entstehen keine neuen Daten mehr. 7 Tage lang können die Eltern das Kind wiederherstellen; danach werden die Daten des Kindes und der Nachweis der Einwilligung endgültig gelöscht. Mit dem Löschen der Familie geschieht das sofort. Löscht ein Elternteil sein eigenes Konto, bleibt der Nachweis seiner Einwilligung mit IP-Adresse und User-Agent erhalten, bis das Kind oder die Familie gelöscht wird; was danach bleibt, steht in Abschnitt 7.

9. Ihre Rechte (Art. 15 ff. DSGVO)

Sie haben jederzeit das Recht auf:

  • Auskunft (Art. 15 DSGVO): welche Daten wir über Sie und Ihre Familie gespeichert haben
  • Berichtigung (Art. 16 DSGVO): Korrektur unrichtiger Daten
  • Löschung (Art. 17 DSGVO): Entfernung der Daten („Recht auf Vergessenwerden“)
  • Einschränkung der Verarbeitung (Art. 18 DSGVO)
  • Datenübertragbarkeit (Art. 20 DSGVO): Export der Familien-Daten in einem maschinenlesbaren Format über die Sicherung im Web-Admin (siehe Abschnitt 11)
  • Widerspruch (Art. 21 DSGVO) gegen eine Verarbeitung auf Basis berechtigter Interessen
  • Widerruf von Einwilligungen (Art. 7 Abs. 3 DSGVO): jederzeit mit Wirkung für die Zukunft, insbesondere für die Verarbeitung der Kinderdaten und für Benachrichtigungen
  • Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO), zum Beispiel bei der für Ihren Wohnort zuständigen Datenschutzbehörde. Für den Verantwortlichen zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg.

Für die Ausübung Ihrer Rechte schreiben Sie bitte eine E-Mail an datenschutz@voidquest.app. Wir antworten innerhalb der gesetzlichen Frist (in der Regel binnen eines Monats).

Ihr Konto können Eltern und Fans jederzeit selbst löschen, in der App unter Mein Konto beziehungsweise Profil oder ohne App über ein Formular. Die Familie mit allen Daten der Kinder wird gelöscht, wenn alle Eltern zustimmen, in der App unter Verwaltung, Familie bearbeiten. Die Daten eines Kindes löschen die Eltern unter Verwaltung, Mitglieder. Wie das geht, was dabei gelöscht wird und was bleibt, steht auf der Seite Konto und Daten löschen.

10. Benachrichtigungen

Benachrichtigungen werden nur versendet, wenn Sie diese in den Geräte-Einstellungen erlaubt haben. Sie können die Erlaubnis jederzeit widerrufen (System-Einstellungen, dort Benachrichtigungen, dort VoidQuest), ohne dass die übrigen App-Funktionen davon betroffen sind. Welche Arten von Benachrichtigungen Sie erhalten, stellen Sie zusätzlich je Kanal in der App ein. Der Text einer Benachrichtigung ist kurz und kann Namen und Inhalte aus der Familie enthalten, zum Beispiel den Namen eines Kindes und den Titel einer Quest oder Belohnung; er erscheint auf dem Sperrbildschirm, wenn das Gerät so eingestellt ist. Wie Benachrichtigungen zugestellt werden, steht in Abschnitt 3.5, zur Drittland-Übermittlung siehe Abschnitt 5.

11. Lokale Speicherung und verschlüsselte Sicherung

VoidQuest und VoidQuest Kids speichern Daten lokal auf dem Gerät, um auch ohne Internetverbindung funktionsfähig zu bleiben:

  • eine SQLite-Datenbank mit den Daten der Familie, die das Gerät sehen darf, etwa Quests und Check-in-Verlauf (mit dem Server synchronisiert)
  • Authentifizierungs-Token im verschlüsselten System-Schlüsselbund (iOS Keychain oder Android Keystore), nicht im unverschlüsselten App-Speicher
  • lokale Pläne für Erinnerungen
  • Einstellungen des Geräts wie Sprache, Töne und, falls eingeschaltet, die App-Sperre

Beim Abmelden löscht die App die Anmelde-Token und den Zwischenspeicher der Ansichten. Die lokale Datenbank leert die App, wenn auf diesem Gerät die Familie gelöscht wird. Wird die Familie auf einem anderen Gerät gelöscht oder ein Mitglied aus der Familie entfernt, erfahren die betroffenen Geräte das beim nächsten Kontakt mit dem Server: Das Gerät eines Erwachsenen leert dann seine lokale Datenbank. Das Gerät eines Kindes behält sie, bis die App deinstalliert wird, ihre Daten gelöscht werden oder das Gerät mit einem anderen Konto verbunden wird; bis dahin zeigt die App dort nur noch einen Abschied mit den Münzen, dem Rekord und der Zahl der Sticker des Kindes. Ein Gerät, dessen App den Server nicht mehr erreicht, und ein Gerät mit einer App-Version, die älter ist als diese Regel und die Person nur abmeldet, behalten ihre lokale Datenbank bis zur Deinstallation. Vollständig entfernt werden alle lokalen Daten mit der Deinstallation der App oder wenn Sie die Daten der App in den Einstellungen des Geräts löschen.

Datenexport und Sicherung: Eltern können im Web-Admin (Einstellungen) eine mit einer selbst gewählten Passphrase verschlüsselte Sicherung ihrer Familien-Daten als .vqb-Datei herunterladen. Sie enthält Familie und Mitglieder, Quests, Münz-Verlauf, Belohnungen, Reaktionen, Sticker, die Erfolge der Kinder samt ihrer Einstellungen und Einwilligungen. Nicht enthalten sind Sitzungen, Push-Token, das Sicherheits-Protokoll, persönliche Zugriffstoken und Kaufbelege. Die Datei ist mit AES-256-GCM verschlüsselt; der Schlüssel wird per PBKDF2-SHA256 (200.000 Iterationen) aus der Passphrase abgeleitet. Die Datei ist nur mit dieser Passphrase lesbar, bewahren Sie sie daher sicher auf. Diese Sicherung dient zugleich der Datenübertragbarkeit nach Art. 20 DSGVO. Die Datei liegt nur bei Ihnen und bleibt, bis Sie sie löschen. Beim Wiederherstellen kommt ein gelöschtes Kind nur zurück, wenn die Eltern es ankreuzen; ein gelöschtes Konto eines Erwachsenen kommt nie zurück.

12. Änderungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung anpassen, wenn sich die App, die Rechtslage oder unsere Dienstleister ändern. Die jeweils aktuelle Version ist immer unter voidquest.app/datenschutz abrufbar. Wesentliche Änderungen kündigen wir per E-Mail oder mit einem Hinweis in der App an.

13. Kontakt

Fragen, Auskunfts- oder Löschungsanfragen richten Sie bitte an datenschutz@voidquest.app. Postanschrift siehe Abschnitt 1.