Datenschutzerklärung von Arbo

Better Planet LLC

Version: 1.0
Inkrafttreten: 14. Oktober 2026
Öffentliche URL: https://arbofamily.com/privacidad-de
Sprache: Deutsch · Weitere Fassungen: Español · English · Français

0. Was du in 30 Sekunden wissen musst

• Arbo speichert die Lebensgeschichte von Kindern: Fotos, Messwerte, Meilensteine, Emotionen, Gesundheitseinträge, Medikamente, Unterstützung bei Behinderung, Bildungsweg, Berufsorientierung von Jugendlichen und die Position eines Tracker-Chips, falls du einen verwendest.
• Das umfasst Daten von Minderjährigen und Gesundheitsdaten. Das sind die beiden sensibelsten Kategorien überhaupt, und sie werden auch so behandelt.
• Wir verkaufen keine Daten. Es gibt keine Werbung. Es gibt in der App keine Werbetracker und keine Analysetools von Drittanbietern. (Im Code überprüft: Die App enthält kein SDK für Analyse, Werbung oder Attribution. Sie enthält allerdings eines für Fehlerberichte, Sentry, das ausgeschaltet ist, solange wir es nicht aktivieren: Abschnitt 5.7.)
• Wir trainieren keine Modelle künstlicher Intelligenz mit deinen Daten, und wir verlangen dasselbe von unseren Dienstleistern.
• Sehr wohl senden wir einen Teil der Historie des Kindes an Anthropic, wenn du den Berater oder die Berufsorientierung nutzt. Abschnitt 5 sagt genau, was gesendet wird.
• Du kannst die Daten einsehen, berichtigen, exportieren und löschen. Abschnitt 10 sagt, wie.

1. Wer für deine Daten verantwortlich ist

Verantwortlicher (data controller):

Better Planet LLC, eine Limited Liability Company nach dem Recht des US-Bundesstaats New Mexico. Anschrift: 1209 Mountain Road Pl NE, Ste N, Albuquerque, NM 87110, USA

Kontakt für Datenschutz: privacy@arbofamily.com Allgemeiner Kontakt: hola@arbofamily.com Website: https://arbofamily.com

2. Für wen diese Datenschutzerklärung gilt

• Für alle, die ein Konto erstellen und die App nutzen (Mutter, Vater, Vormund oder eine andere erwachsene Betreuungsperson).
• Für die Kinder und Jugendlichen, deren Daten diese Betreuungsperson erfasst.
• Für alle, die zum Konto einer Familie eingeladen werden.

Sie gilt für die mobile App (iOS und Android), den Arbo-Server und jede Website, die wir betreiben.

3. Welche Daten wir erheben, ganz genau

Dieser Abschnitt führt auf, was das System tatsächlich speichert, Feld für Feld. Er ist keine Zusammenfassung: Er ist das Inventar.

3.1. Kontodaten der Betreuungsperson (Erwachsene)

3.2. Daten des Kindes oder Jugendlichen

Daten der Familie, nicht eines Kindes:

Um die erste Kultur zu wählen, sendet die App zusammen mit der Anfrage nach dem Spruch der Woche die Sprach- und Regionskennung des Telefons an den Server (zum Beispiel „es-CL“; das ist die im Telefon eingestellte Region, nicht sein Standort). Der Server verwendet sie nur, solange die Familie noch keine Kultur hat; danach ignoriert er sie. Die Kennung wird nicht in unserer Datenbank gespeichert: Gespeichert wird nur die gewählte Kultur, und jeder Erwachsene der Familie kann sie in der App ändern.

Keine dieser beiden Funktionen sendet Daten an Dritte: Nichts geht an Anthropic oder an Amazon. Die Wörter und die Sprüche stammen aus dem Katalog der App. Die Aussprache nutzt die Sprachausgabe des Telefons selbst, und vorgelesen werden immer Texte der App (das Wort, sein Beispielsatz, der Spruch), nie etwas, das die Familie geschrieben hat; die App spricht nur, sie hört nicht zu. Das JSON mit dem Profil des Kindes (Abschnitt 10) enthält die Wörter, die es gelernt hat, mit den beiden Sprachen und dem Datum. Der Spruch der Woche gehört der Familie und nicht einem Kind, deshalb ist er nicht in diesem JSON enthalten. Wir können jede der beiden Funktionen über unser Betriebs-Dashboard für alle ausschalten; das Ausschalten löscht nichts.

3.3. Tracker-Chip (nur wenn du ihn verwendest)

Wichtige Warnung: Der Endpunkt, der die Signale des Chips empfängt (/api/tracker/ping), verlangt keine Benutzersitzung: Die Authentifizierung erfolgt ausschließlich über den Code des Geräts. Dieser Code ist die einzige Barriere zwischen einem Dritten und der Möglichkeit, falsche Positionen in das Konto einer Familie zu schreiben. Behandle ihn wie ein Passwort.

Hinweis zum tatsächlichen Stand: Die Hardware existiert noch nicht. Heute erzeugt das Modul Codes und ist darauf vorbereitet, Signale zu empfangen, aber es gibt keine Chips, die sich melden. Gibt es sie eines Tages, wird die Position eines Kindes zu Standortdaten eines Minderjährigen, einer der sensibelsten Kategorien überhaupt.

3.4. Kommunikation zwischen Betreuungspersonen

In einer Nachbarschaft teilen sich die Erwachsenen der benachbarten Familien den Kreis-Chat – jede Familie sieht das gemeinsame Gespräch ab dem Tag, an dem sie beigetreten ist, und was sie vor dem Beitritt geschrieben hat, bleibt allein ihrem Haushalt vorbehalten – und können sich Direktnachrichten schreiben. Von den Erwachsenen eines anderen Haushalts sieht man den Anzeigenamen (oder, falls keiner gesetzt ist, den Teil der E-Mail-Adresse vor dem @), ob es sich um das Hauptkonto oder eine eingeladene Betreuungsperson handelt, das Verwandtschaftsverhältnis, das Profilfoto, ob die Identität verifiziert wurde, seit wann das Konto besteht, den Namen der Familie (einen generischen Namen, den die App vergibt) und die Anzahl der Kinder; und von diesen Kindern nur ihren Rufnamen (den Spitznamen oder den ersten Vornamen), ihr Alter in Worten (in Jahren oder in Monaten), ihre Lieblingsfarbe und ihr Geschlecht. Niemals ihr Profil, ihre Gesundheit, ihre Messwerte, ihre Fotos oder ihre GPS-Daten. Das Titelbild eines Erwachsenen erscheint nicht im Kreis: Die App gibt den anderen nur die Adresse seines Profilfotos. Unser Server würde das aktuelle Titelbild allerdings einer Person herausgeben, die mit diesem Erwachsenen den Kreis teilt, wenn sie es mit seiner exakten Adresse anfordern würde; diese Adresse ist aber ein zufälliger Name, den die App niemand anderem anzeigt.

Die Nachrichten werden auf dem Server ohne Ende-zu-Ende-Verschlüsselung gespeichert. Better Planet kann technisch auf sie zugreifen, tut dies aber nicht routinemäßig (siehe Abschnitt 8.4), und auf dem Weg zwischen der App und dem Server laufen sie über Cloudflare (Abschnitt 5.6).

3.5. Fotos

• Sie werden als Dateien in einem privaten Speicher bei Cloudflare R2 (Abschnitt 5.6) abgelegt, nicht in der Datenbank, unter einem von uns erzeugten Namen (UUID). Der Name der Datei, die du hochlädst, wird nie gespeichert. Dieser Speicher hat keinen öffentlichen Zugang und keine Freigabelinks, und die App verbindet sich nie mit ihm.
• Akzeptierte Formate: JPEG, PNG und WebP. Maximale Größe pro Datei: 5 MB.
• Sie werden nur bei angemeldeter Sitzung und über unseren Server ausgeliefert, der vorher prüft, wer sie anfordert: das Foto eines Kindes nur an die Erwachsenen seines Haushalts; das aktuelle Profilfoto oder Titelbild eines Erwachsenen auch an Personen, die mit ihm den Kreis teilen (Abschnitt 3.4). Die Namen werden geprüft, damit niemand eine Datei aus einem anderen Ordner anfordern kann.
• Bevor es gespeichert wird, durchläuft jedes Foto eine automatische Inhaltsprüfung bei Amazon Rekognition: die Fotos im Album und in der Lebenslinie der Kinder sowie das Profilfoto und das Titelbild der Erwachsenen. Das Selfie und das Ausweisdokument der Identitätsprüfung (Abschnitt 5.2) durchlaufen diese Prüfung nicht und werden nicht gespeichert. Was gesendet wird, was passiert, wenn der Filter ein Foto markiert, und was passiert, wenn die Prüfung fehlschlägt, steht in Abschnitt 5.3.
• Jeder Upload hinterlässt auf dem Server eine Zeile in einem Prüfprotokoll: die Familie, das Kind oder der Erwachsene, zu dem das Foto gehört, das Datum, die Größe, der Dateityp und das Ergebnis (bestanden, markiert oder ungeprüft); wenn der Filter es markiert hat, außerdem die Kategorien, die er ihm zugewiesen hat, und später die Entscheidung unseres Teams. Von Fotos, die bestehen, wird der Dateiname nicht gespeichert. Von denen, die der Filter markiert, wird zusätzlich eine Kopie in Quarantäne gespeichert, in einem separaten Ordner, den die App nicht anzeigt. Wann was gelöscht wird: Abschnitt 5.3.
• Die App rekomprimiert die Bilder auf deinem Telefon, bevor sie sie hochlädt (Qualität 0,7). Außerdem entfernt der Server beim Empfang eines Fotos dessen Metadaten (EXIF, XMP und ähnliche), einschließlich der GPS-Koordinaten des Aufnahmeorts, des Telefonmodells und der Uhrzeit. Erhalten bleibt nur die Ausrichtung, damit das Foto nicht gedreht angezeigt wird.

3.6. Technische Daten

Was wir NICHT erheben:

• Es gibt keine Werbung, keine Werbe-IDs (IDFA / GAID), kein Analyse-SDK, keine Attributionstools und keine Tracking-Pixel. Überprüft anhand der Abhängigkeiten der App. Die App enthält allerdings die Fehlerberichts-Bibliothek von Sentry, die ausgeschaltet ist, solange wir sie nicht aktivieren; was sie sendet, wenn sie eingeschaltet ist, steht in Abschnitt 5.7.
• Wir greifen nicht auf den Standort deines Telefons zu. Die App fragt keine Standortberechtigung an und enthält nicht die Bibliothek, die das tun würde. Die einzige mögliche Ortung ist die, die ein physischer Chip melden würde (Abschnitt 3.3). Am nächsten kommt dem die Sprach- und Regionseinstellung des Telefons (zum Beispiel „es-CL“), die die App ausliest und die der „Spruch der Woche“ nutzt, um die erste Kultur der Familie zu wählen (Abschnitt 3.2): Das ist eine Einstellung, keine Position.
• Wir lesen dein Adressbuch, deinen Kalender, dein Mikrofon und deine Nachrichten nicht aus.
• Wir verwenden keine Push-Benachrichtigungen vom Server. Alle Erinnerungen sind lokale Benachrichtigungen, die auf deinem eigenen Telefon geplant werden, einschließlich der optionalen täglichen Erinnerung für „Wort des Tages“ (Abschnitt 3.7). Auf unserem Server gibt es kein Push-Token, und wir können dir nicht nach Belieben Benachrichtigungen senden.

3.7. Was auf deinem Telefon gespeichert wird

Diese Erinnerung ist eine optionale lokale Benachrichtigung, die das Telefon selbst einmal am Tag plant. Sie ist standardmäßig ausgeschaltet, mit einer Ausnahme: Auf dem Telefon, auf dem ein Erwachsener die Funktion für ein Kind einrichtet, schaltet sie sich von selbst ein, um 19:00 Uhr, sofern sie auf diesem Telefon nicht schon früher ein- oder ausgeschaltet worden war. Jedes Telefon entscheidet für sich: Auf jedem kann sie ein- oder ausgeschaltet oder ihre Uhrzeit geändert werden. Ihr Text enthält nicht den Namen des Kindes („Das Wort von heute wartet auf dich.“), weil er sich lesen lässt, ohne das Telefon zu entsperren.

Das Deinstallieren der App löscht alles, was sich auf dem Telefon befindet, aber nichts auf dem Server.

4. Wofür wir die Daten verwenden und auf welcher Rechtsgrundlage

Wir verwenden die Daten nicht für: Werbung, kommerzielles Profiling, automatisierte Entscheidungen mit rechtlicher Wirkung, Verkauf oder Weitergabe an Dritte zu kommerziellen Zwecken oder das Training von Modellen künstlicher Intelligenz.

5. Mit wem die Daten geteilt werden

Better Planet verkauft keine personenbezogenen Daten und teilt sie mit niemandem außer mit den hier aufgeführten Dienstleistern, die den Betrieb des Dienstes ermöglichen.

5.1. Anthropic PBC — Erziehungsberater und Berufsorientierung

Wann: nur wenn eine Betreuungsperson den Berater öffnet und eine Frage stellt oder wenn ein geführtes Gespräch zur Berufsorientierung zur Analyse gesendet wird. Wenn du diese Funktionen nicht nutzt, wird nichts an Anthropic gesendet.

Was genau gesendet wird (aus dem Code ausgelesen; der Kontext wird auf 4.000 Zeichen gekürzt):

• Anstelle von Name und Spitzname des Kindes ein Platzhalter (siehe unten); sein Alter in Jahren und sein Geschlecht.
• Seine Vorlieben, so wie du sie geschrieben hast.
• Die erfassten Angaben zu Unterstützung oder Besonderheiten, in den Worten der Familie, und was dem Kind hilft.
• Bis zu 5 laufende Medikamente: Name und Abstand zwischen den Einnahmen in Stunden.
• Die letzten 5 Messungen: Datum, Größe, Gewicht und Meilenstein.
• Die Emotionen der letzten 30 Tage: die Anzahl pro Emotion und bis zu 5 Notizen im Wortlaut aus diesen Einträgen.
• Bis zu 5 Gesundheitsprobleme, aktiv oder chronisch: nur der Titel des Eintrags (nicht die Notizen).
• Die aktuelle Bildungseinrichtung und die Klasse oder der Studiengang.
• Die im Spielmodus gesammelten „Talente“.
• Deine Frage (bis zu 1.000 Zeichen) und bis zu 6 vorherige Beiträge des Gesprächs.

Bei der Berufsorientierung werden außerdem die 11 offenen Antworten des Jugendlichen gesendet, einschließlich der Antwort auf die Frage, wie er oder sie sich fühlt.

Verwendetes Modell: Claude-Modelle von Anthropic. Was Anthropic damit macht: Nach seinen kommerziellen Bedingungen für die API verwendet Anthropic diese Daten nicht zum Training seiner Modelle und bewahrt sie nur für einen begrenzten Zeitraum auf.

Pseudonymisierung. Der Name des Kindes wird nicht an die KI gesendet: Stattdessen wird ein Platzhalter übermittelt, und unser Server setzt den Namen wieder in die Antwort ein, bevor sie dir angezeigt wird. Das gilt sowohl für den Berater als auch für das Berufsorientierungsgespräch.

Das Gespräch mit dem Berater wird nicht auf unserem Server gespeichert. Die Analyse des Berufsorientierungsgesprächs hingegen schon, weil sie Teil der Historie des Jugendlichen ist.

5.2. Amazon Web Services (Amazon Rekognition) — Identitätsprüfung, optional

Wann: nur wenn die Funktion von uns aktiviert ist und du dich entscheidest, dich zu verifizieren. Was gesendet wird: zwei Bilder des Erwachsenen – ein Selfie und das Foto seines Ausweisdokuments – für einen Gesichtsabgleich (CompareFaces). Was wir selbst speichern: nur das Ergebnis (verifiziert / fehlgeschlagen), die Ähnlichkeit in Prozent und das Datum. Die Bilder werden nicht auf unserem Server gespeichert. Verarbeitungsregion: Nord-Virginia (us-east-1), USA.

Ehrlicher Hinweis: Der AWS-Vorgang CompareFaces speichert weder die Bilder noch die Gesichtsvorlagen dauerhaft. Standardmäßig kann AWS die an seine KI-Dienste gesendeten Inhalte nutzen, um diese zu verbessern; Better Planet hat bei AWS jedoch die Ausschlussrichtlinie für KI-Dienste (AI services opt-out policy) aktiviert, sodass AWS diese Bilder nicht zur Verbesserung seiner Dienste verwendet.

Die Identitätsprüfung verwendet keine Fotos von Kindern: Sie erhält nur diese beiden Bilder des Erwachsenen. Fotos von Kindern gelangen aber sehr wohl zu Amazon Rekognition, auf einem anderen Weg: über die automatische Prüfung jedes hochgeladenen Fotos, die in Abschnitt 5.3 erklärt wird.

5.3. Amazon Web Services (Amazon Rekognition) — Prüfung der Fotos beim Hochladen

Alle Fotos, die in die App hochgeladen werden – die im Album und in der Lebenslinie eines Kindes sowie das Profilfoto und das Titelbild eines Erwachsenen –, werden im Moment des Hochladens an Amazon Rekognition gesendet. Wir schreiben das hier in aller Deutlichkeit, denn eine Datenschutzerklärung, die sich in diesem Punkt irrt, taugt nichts.

Wann: bei jedem Upload, bevor das Foto gespeichert wird, solange die Funktion eingeschaltet ist. Sie ist standardmäßig eingeschaltet, und im veröffentlichten Dienst startet der Server nicht ohne die Zugangsdaten für diesen Dienst. Wir können sie über unser Betriebs-Dashboard für alle ausschalten; ist sie ausgeschaltet, wird nichts an Amazon gesendet, und die Fotos werden ungeprüft gespeichert. Die beiden Bilder der Identitätsprüfung (Abschnitt 5.2) durchlaufen diese Prüfung nicht. Was gesendet wird: das Bild, ein einziges Mal, an den Vorgang DetectModerationLabels. Nur das Bild: weder der Dateiname noch der Name des Kindes noch irgendwelche anderen Daten der Familie. Wozu: um unangemessene Inhalte zu erkennen – zum Beispiel Nacktheit, sexuelle Inhalte oder Gewalt, neben anderen von Amazon definierten Kategorien –, bevor das Foto gespeichert wird. Es zählen nur die Hauptkategorien, die Amazon mit einer Konfidenz von mindestens 80 % erkennt, und eine einzige reicht aus, damit das Foto abgelehnt wird. Die Regeln der App-Stores (bei Apple die Richtlinie 1.2) verlangen von Apps mit Inhalten ihrer Nutzer eine Möglichkeit, unangemessenes Material zu filtern, und eine App mit Fotos von Minderjährigen ohne diesen Filter sollte es nicht geben. Was NICHT geschieht: Kein Mensch sieht sich die Fotos an, die den Filter passieren. Es gibt keine Gesichtserkennung, keine Identifizierung von Personen und keinen Abgleich mit irgendeiner Gesichtsdatenbank. Das Bild wird für eine automatische Klassifizierung übertragen und für nichts anderes.

Was je nach Ergebnis gespeichert bleibt:

• Wenn das Foto die Prüfung besteht: Es wird wie jedes andere gespeichert (Abschnitt 3.5). In unserem Prüfprotokoll bleibt nur eine Zeile mit der Familie, dem Kind oder dem Erwachsenen, zu dem es gehört, dem Datum, der Größe, dem Dateityp und dem Ergebnis – ohne den Dateinamen und ohne Kopie des Bildes. Diese Zeile wird nach 30 Tagen gelöscht.
• Wenn der Filter es markiert: Das Foto wird abgelehnt – es kommt nicht ins Album, und die App weist darauf hin –, und eine Kopie verbleibt in Quarantäne, in einem separaten Ordner, den die App nicht anzeigt, damit eine Person aus unserem Team im Betriebs-Dashboard prüfen kann, ob es ein Fehler war. Das bedeutet, dass jemand von Better Planet dieses Foto zu sehen bekommen kann, das oft das eines Kindes sein wird; es ist der einzige Fall, in dem das Betriebs-Dashboard ein Foto anzeigt. Die Zeile im Prüfprotokoll speichert außerdem die Kategorien, die Amazon zugewiesen hat, und später die Entscheidung unseres Teams. Mit der Erledigung des Falls wird die Kopie gelöscht, unabhängig von der Entscheidung, und das Foto wird nicht dem Album hinzugefügt: Die Entscheidung wird lediglich vermerkt. Erledigt niemand den Fall, wird die Kopie 30 Tage nach dem Hochladen automatisch gelöscht; die Zeile im Prüfprotokoll wird ebenfalls nach 30 Tagen gelöscht, ob erledigt oder nicht. Hat die Familie bereits 20 Fotos, die auf Prüfung warten, werden weitere, die der Filter markiert, trotzdem abgelehnt, es wird aber keine Kopie mehr gespeichert; ebenso bleibt keine Kopie, wenn sie nicht gespeichert werden konnte. Auch in diesen Fällen wird die Zeile im Prüfprotokoll nach 30 Tagen gelöscht, wie alle anderen.
• Wenn die Prüfung nicht durchgeführt werden kann – Amazon antwortet nicht, lehnt das Bild ab, die tägliche Obergrenze an Prüfungen, die wir zur Kostenkontrolle für den gesamten Dienst festgelegt haben, ist erreicht, oder sie schlägt aus irgendeinem anderen Grund fehl –, wird das Foto nicht gespeichert, und die App bittet darum, es in ein paar Minuten erneut zu versuchen. Ein ungeprüftes Foto gilt nicht als unbedenklich. Es bleibt eine Zeile im Prüfprotokoll mit denselben Daten wie bei einem Foto, das die Prüfung besteht, als ungeprüft gekennzeichnet, ohne Datei und ohne Kopie, die nach 30 Tagen gelöscht wird.

Wenn du ein Kind löschst, werden das Prüfprotokoll seiner Fotos und eventuell vorhandene Quarantänekopien sofort gelöscht; wenn du dein Konto schließt, die deines Profilfotos und deines Titelbilds; und wenn das letzte Konto des Haushalts geschlossen wird, die der gesamten Familie (Abschnitt 9.2). Verarbeitungsregion: Nord-Virginia (us-east-1), USA.

Ehrlicher Hinweis: Wie bei der Identitätsprüfung kann AWS standardmäßig die an seine KI-Dienste gesendeten Inhalte nutzen, um diese zu verbessern; Better Planet hat bei AWS jedoch die Ausschlussrichtlinie für KI-Dienste (AI services opt-out policy) aktiviert, sodass AWS diese Bilder nicht zur Verbesserung seiner Dienste verwendet.

5.4. Google LLC und Apple Inc. — Anmeldung (optional)

Wenn du „Weiter mit Google“ oder „Mit Apple anmelden“ wählst, erhält dein Telefon von diesem Anbieter ein Identitätstoken, und wir überprüfen es kryptografisch anhand seiner öffentlichen Schlüssel. Daraus erhalten wir deine E-Mail-Adresse und, falls mitgeliefert, deinen Namen. Wir erhalten weder dein Passwort noch Zugriff auf dein Google- oder Apple-Konto. Dieser Anbieter erfährt, dass du dich bei Arbo angemeldet hast.

5.5. Render — Hosting des Servers und der Datenbank

Der Arbo-Server und seine PostgreSQL-Datenbank werden bei Render gehostet, in Oregon, USA. Die Fotos werden nicht bei Render gespeichert, sondern bei Cloudflare R2 (Abschnitt 5.6), auch wenn sie beim Hochladen und beim Anzeigen über den Server laufen. Render handelt als Auftragsverarbeiter auf Grundlage seines Auftragsverarbeitungsvertrags, und seine Mitarbeiter greifen nicht auf die Daten zu, außer um die Infrastruktur zu betreiben.

5.6. Cloudflare, Inc. — Netzwerk, Fotospeicher und Website

Cloudflare arbeitet für uns in drei Rollen, stets als Auftragsverarbeiter auf Grundlage seines Auftragsverarbeitungsvertrags:

• Vor unserem Server. Der gesamte Datenverkehr zwischen der App und unserem Server (api.arbofamily.com) läuft über das Netzwerk von Cloudflare: jede Anfrage und jede Antwort, die Fotos, die du hochlädst und die du ansiehst, und die Chat-Nachrichten. Die Verbindung ist von deinem Telefon bis zu Cloudflare verschlüsselt; Cloudflare entschlüsselt sie, um sie weiterzuleiten, und verschlüsselt sie auf dem Weg zu Render erneut (Abschnitt 8.2). Das bedeutet, dass Cloudflare alles, was zwischen der App und dem Server übertragen wird, während der Übertragung verarbeitet, einschließlich der Daten der Kinder, und deine IP-Adresse sieht, die es an uns weitergibt, damit wir die Anfragebegrenzung anwenden können (Abschnitt 3.6). Unser Server kennzeichnet alle API-Antworten so, dass kein Zwischenserver sie im Cache speichert (Abschnitt 8.1).
• Speicherung der Fotos. Alle Fotos – die im Album und in der Lebenslinie der Kinder, das Profilfoto und das Titelbild der Erwachsenen sowie die Quarantänekopien der vom Filter markierten Fotos (Abschnitt 5.3) – werden bei Cloudflare R2 in einem privaten Speicher abgelegt: ohne öffentlichen Zugang und ohne Freigabelinks. Die App verbindet sich nie mit R2: Sie fordert jedes Foto bei unserem Server an, der zuerst prüft, ob du es sehen darfst (Abschnitt 3.5), und es erst dann aus R2 liest und dir ausliefert. Wenn ein Foto gelöscht wird (Abschnitte 5.3 und 9.2), wird es aus R2 gelöscht. Speicherort: USA (Nordamerika); die Fotos werden dort verschlüsselt gespeichert.
• Unsere Website und unsere E-Mail. Cloudflare Pages hostet die öffentliche Website: die Startseite, diese Datenschutzerklärung, die Nutzungsbedingungen und die Seite, auf der man die Löschung des Kontos beantragen kann; wie jeder Webserver sieht es die IP-Adresse der Besucher. Cloudflare Email Routing empfängt die E-Mails, die du uns an hola@arbofamily.com, privacy@arbofamily.com oder support@arbofamily.com schreibst, und leitet sie an das Postfach unseres Teams bei Google Workspace (Google LLC) weiter.

Außerdem kann unser Betriebs-Dashboard durch Cloudflare Access geschützt sein, das von der Person aus unserem Team einen Code verlangt, bevor sie hineingelassen wird. Access verarbeitet nur Daten unseres Teams, nicht die der Familien.

5.7. Sentry (Functional Software, Inc.) — Fehlerberichte

Wir nutzen Sentry, um zu erfahren, wenn etwas fehlschlägt, und es beheben zu können. Sentry handelt als Auftragsverarbeiter. Es arbeitet an zwei Stellen, und an beiden ist es ausgeschaltet, solange wir es nicht aktivieren – über eine Konfiguration unsererseits.

Auf unserem Server. Wenn Sentry aktiviert ist, sendet der Server jedes Mal, wenn er einen Fehler in sein Log schreibt – nur dann: nicht bei Warnungen und nicht bei normaler Aktivität –, diese Meldung an Sentry, den technischen Stacktrace des Fehlers (in welchem Teil des Codes er auftrat), technische Daten des Servers und, als Kontext, die letzten Info- und Warnzeilen, die das Log vor dem Fehler geschrieben hat. Der Inhalt der Anfragen wird nicht gesendet. Grundsätzlich schreibt unser Log keine Namen, E-Mail-Adressen, Daten der Kinder oder Zugangsdaten: Es vermerkt interne Nummern (einer Familie, eines Kindes, eines Kontos) und technische Beschreibungen. Der technische Text eines unerwarteten Fehlers kann jedoch ausnahmsweise ein Fragment der Angabe mitführen, die ihn ausgelöst hat.

In der App. Wenn Sentry aktiviert ist und in der App ein Fehler auftritt oder sie unerwartet beendet wird, sendet sie an Sentry:

• den Fehler: seinen Typ, seine Meldung und in welchem Teil des App-Codes er auftrat;
• technische Daten des Telefons und der App: Modell, Betriebssystem und dessen Version, Speicher, Einstellungen wie Sprache oder Zeitzone sowie die Version der App;
• die interne Nummer deines Kontos, nie deinen Namen oder deine E-Mail-Adresse;
• was unmittelbar davor geschah: durch welche Bildschirme navigiert wurde, mit dem Routennamen als Muster (zum Beispiel child/[id]/growth); welche Aufrufe an unseren Server gingen, ebenfalls als Muster: die Adresse ohne ihren Abfrageteil und mit maskierten internen Nummern und Dateinamen der Fotos (zum Beispiel /api/children/:id/growth), die Methode und der Antwortcode; und welche Elemente angetippt wurden, nach dem internen Namen, den der App-Code ihnen gibt, und nicht nach dem, was auf dem Bildschirm steht. Weder die Bildschirme noch die Aufrufe enthalten die Nummer eines Kindes, eines Kontos oder eines Fotos.

Was die App nicht sendet: Namen, E-Mail-Adressen, Daten der Kinder, Screenshots, Sitzungsaufzeichnungen (Session Replay), die Struktur des Bildschirms, das, was die App in ihre Konsole schreibt, und auch keine Meldungen bei jedem Öffnen oder Schließen (die Nutzungssitzungen): nur Fehler und Abstürze. Sie hängt deine IP-Adresse nicht an und bittet Sentry auch nicht, sie zu speichern (obwohl Sentry sie, wie bei jeder Verbindung, beim Empfang des Berichts sieht). Bevor er das Telefon verlässt, durchläuft jeder Bericht einen Filter, der sensible Felder löscht (Passwörter, Tokens und Sitzungen, E-Mail-Adressen, Vor- und Nachnamen, Geburtsdaten, Telefonnummern, Anschriften und Koordinaten) sowie innerhalb jedes Textes alles, was wie ein Token oder eine E-Mail-Adresse aussieht; was er nicht als solches erkennt, etwa ein einzelnes Wort in einer Fehlermeldung, kann er nicht löschen.

Ehrliche Einschränkung: Dieser Filter läuft im JavaScript-Teil der App. Abstürze im nativen Code des Telefons werden vom nativen Teil der Bibliothek erfasst und – beim erneuten Öffnen der App – gesendet und durchlaufen diesen Filter nicht: Sie enthalten dieselbe Kontonummer, dieselben technischen Daten und die Breadcrumbs, die das System selbst aufzeichnet und die die vollständigen Adressen der Aufrufe an unseren Server samt ihren internen Nummern enthalten können, weil sie auch die Maskierung aus dem vorherigen Absatz nicht durchlaufen.

Region: USA. Wenn die Fehlerberichte aktiviert sind, handelt Sentry auf Grundlage seines Auftragsverarbeitungsvertrags, und unser Sentry-Projekt ist so konfiguriert, dass es keine IP-Adressen speichert.

5.8. Resend — E-Mail zur Kontowiederherstellung

Wann: nur wenn jemand mit einer E-Mail-Adresse, die zu einem Arbo-Konto gehört, die Wiederherstellung des Passworts anfordert („Passwort vergessen“). Wenn niemand das anfordert, wird nichts an Resend gesendet. Was Resend erhält: die E-Mail-Adresse des Erwachsenen und die Nachricht, die wir ihm schicken, in der Sprache der Familie, mit einem 6-stelligen Code, der 30 Minuten gültig ist. Nichts über die Kinder. Was wir selbst speichern: nur einen Fingerabdruck (Hash) des Codes, nie den Code selbst; er wird nach 30 Minuten oder nach 5 Fehlversuchen ungültig. Resend handelt als Auftragsverarbeiter auf Grundlage seines Auftragsverarbeitungsvertrags und versendet die E-Mail in unserem Auftrag, von hola@arbofamily.com. Region: USA (us-east-1).

5.9. Expo / mobile Plattformen

Die App wird mit Expo entwickelt und über den App Store von Apple und Google Play vertrieben. Diese Stores erheben eigene Daten über den Download und die Nutzung, gemäß ihren eigenen Datenschutzerklärungen, auf die wir keinen Einfluss haben.

5.10. Weitere Fälle, in denen wir Daten offenlegen könnten

• Rechtliche Verpflichtung: auf Anordnung eines Gerichts oder einer zuständigen Behörde.
• Sicherheit: um Betrug, einen Angriff oder einen schweren und unmittelbar drohenden Schaden für eine Person zu verhindern.
• Schutz von Minderjährigen: Wir werden den Behörden jeden Hinweis auf Darstellungen sexuellen Kindesmissbrauchs oder auf eine ernste Gefahr für ein Kind melden.
• Kontrollwechsel: Bei einer Fusion, einer Übernahme oder einem Verkauf von Vermögenswerten könnten die Daten an den Erwerber übertragen werden, nach Maßgabe dieser Datenschutzerklärung. Wir würden dich darüber informieren.

5.11. Dritte im Überblick

6. Internationale Datenübermittlungen

Better Planet LLC ist ein US-amerikanisches Unternehmen. Der Server und die Datenbank werden in Oregon (USA) gehostet; die Fotos werden in den USA (Nordamerika) gespeichert; der Datenverkehr läuft über das globale Netzwerk von Cloudflare, das ihn in jedem seiner Rechenzentren verarbeiten kann, normalerweise in dem, das dir am nächsten liegt; die E-Mails zur Kontowiederherstellung versendet Resend, in den USA (us-east-1); und die Fehlerberichte gehen, falls aktiviert, an Sentry, in den USA. Wenn du dich in Chile, in der Europäischen Union oder in einem anderen Land befindest, werden deine Daten außerhalb deines Landes übermittelt.

• Für Nutzer in der EU / im EWR / im Vereinigten Königreich / in der Schweiz: Übermittlungen aus dem Europäischen Wirtschaftsraum, dem Vereinigten Königreich oder der Schweiz stützen sich auf die Standardvertragsklauseln der Europäischen Kommission, die in den Auftragsverarbeitungsverträgen der einzelnen Dienstleister enthalten sind, oder – wenn der Dienstleister zertifiziert ist – auf den EU-US-Datenschutzrahmen (EU-U.S. Data Privacy Framework). Hinzu kommen die in Abschnitt 8 beschriebenen technischen Maßnahmen.
• Für Nutzer in Chile: Gemäß Ley 21.719 erfordert die internationale Übermittlung geeignete Garantien. Sobald die chilenische Agencia de Protección de Datos Personales Vorgaben zu internationalen Übermittlungen erlässt, passen wir diesen Mechanismus entsprechend an.

7. 🔴 DATEN VON KINDERN UND JUGENDLICHEN

Dieser Abschnitt ist der wichtigste dieser Datenschutzerklärung.

7.1. Arbo existiert, um Daten von Minderjährigen zu speichern

Das ist kein Nebeneffekt: Es ist der Zweck der App. Fast alles, was Arbo speichert, sind Informationen über eine minderjährige Person, und ein wesentlicher Teil davon sind Gesundheitsdaten, die das Gesetz als die am stärksten geschützte Kategorie behandelt.

7.2. Wer ein Kind erfassen darf

Nur ein Erwachsener, der Mutter, Vater, gesetzlicher Vormund oder Inhaber der Personensorge des Kindes ist oder mit ausdrücklicher Genehmigung dieser Person handelt. Der Erwachsene erklärt diese Eigenschaft beim Anlegen des Eintrags. Wir können das nicht überprüfen, und deshalb fragen wir ausdrücklich und deutlich hervorgehoben danach.

7.3. Das Kind hat kein eigenes Konto

Minderjährige erstellen keine Konten bei Arbo und melden sich nicht an. Alle Informationen werden von einer erwachsenen Betreuungsperson eingegeben und kontrolliert. Wenn ein Kind den „Kindermodus“ nutzt oder das Wort des Tages beantwortet oder wenn ein Jugendlicher das geführte Gespräch beantwortet, geschieht das auf dem Gerät des Erwachsenen und unter seiner Aufsicht.

7.4. Überprüfbare elterliche Einwilligung (COPPA, USA)

Da sich die App an Familien richtet und personenbezogene Informationen von Minderjährigen unter 13 Jahren erhebt, gilt der US-amerikanische Children's Online Privacy Protection Act samt seiner von der FTC reformierten Durchführungsverordnung, deren vollständige Einhaltung seit dem 22. April 2026 verpflichtend ist. Folglich:

• Nur ein Elternteil oder Vormund darf die Daten des Kindes angeben.
• Die Einwilligung wird klar und gesondert eingeholt, bevor der erste Eintrag eines Minderjährigen angelegt wird.
• Die Weitergabe an Dritte erfordert eine Einwilligung, die von der allgemeinen Einwilligung in die Erhebung getrennt ist – das ist eine der Neuerungen der Reform von 2025. Deshalb wird in die Übermittlung von Daten an den KI-Berater gesondert eingewilligt, und sie kann abgelehnt werden, ohne den Rest der App zu verlieren.
• Der Hinweis an die Eltern nennt, welche Dritten Daten erhalten und wozu.
• Ein Elternteil kann jederzeit die Daten seines Kindes einsehen, ihre Löschung verlangen und die Einwilligung widerrufen, ohne dass ihn das daran hindert, den Rest des Dienstes weiter zu nutzen.
• Wir machen die Teilnahme des Kindes an keiner Aktivität davon abhängig, dass es mehr Daten als nötig angibt.

So funktioniert die Einwilligung in Arbo: Das Konto erstellt ein Erwachsener, der erklärt, Mutter, Vater, gesetzlicher Vormund oder Inhaber der Personensorge des Kindes zu sein, und der beim Hinzufügen des Kindes ausdrücklich einwilligt. Das Kind erstellt kein Konto und gibt keine Daten selbst ein. Wenn du als Elternteil glaubst, dass wir Daten deines Kindes ohne deine Einwilligung erfasst haben, schreib an privacy@arbofamily.com, und wir löschen sie.

7.5. Chile: Kindeswohl und fortschreitende Autonomie (Ley 21.719)

Das chilenische Gesetz, das seit dem 1. Dezember 2026 vollständig in Kraft ist, sieht eine verstärkte Regelung für Daten von Kindern und Jugendlichen vor (art. 16 quáter):

• Die Verarbeitung muss das Kindeswohl und die fortschreitende Autonomie des Minderjährigen achten.
• Für die Verarbeitung von Daten von Kindern (unter 14 Jahren) ist die Einwilligung der Eltern oder gesetzlichen Vertreter oder der Person, die die Personensorge innehat, erforderlich.
• Für Jugendliche (14 bis 17 Jahre) gelten im Allgemeinen die Regeln für Erwachsene, mit Ausnahme der sensiblen Daten von unter 16-Jährigen, die die Einwilligung des Vaters, der Mutter oder des Vertreters erfordern.
• Gesundheitsdaten sind sensible Daten. Der größte Teil dessen, was Arbo über ein Kind speichert, fällt in diese Kategorie.
• Wer Daten von Minderjährigen verarbeitet, hat die besondere Pflicht, über ihre rechtmäßige Verwendung und ihren Schutz zu wachen.

Praktische Konsequenz für Arbo: Die Gesundheitsdaten eines Jugendlichen von 14 oder 15 Jahren benötigen weiterhin die elterliche Einwilligung; und ab 16 ist auch er oder sie selbst um Zustimmung zu bitten, bevor seine oder ihre Daten verarbeitet werden, insbesondere beim Berufsorientierungsgespräch, wo die Antworten von ihm oder ihr stammen und davon handeln, wie er oder sie sich fühlt.

7.6. Jugendliche: Ihre Stimme zählt

Das geführte Gespräch zur Berufsorientierung erfasst Antworten, die der Jugendliche selbst geschrieben hat, darunter eine zu seiner Gemütslage, und sendet sie zur Analyse an einen Dritten. Das sollte nicht geschehen, ohne dass der Jugendliche davon weiß und es akzeptiert. Die App bittet ihn vor dem Start um seine Zustimmung, in eigenen Worten und nicht in denen eines Formulars.

7.7. Keine Werbung und kein Profiling

Arbo zeigt keine Werbung, betreibt keine verhaltensbasierte Werbung, erstellt keine kommerziellen Profile von Kindern und teilt keine Daten von Minderjährigen mit Werbetreibenden, Datenhändlern oder sozialen Netzwerken. Das verlangen zudem ausdrücklich die Regeln von Apple (Richtlinie 5.1.4) und die Richtlinie für Familien von Google Play.

7.8. Datenminimierung

Erfrage nicht mehr als nötig und gib nicht mehr ein als nötig. Alle sensiblen Felder von Arbo – Unterstützung, Besonderheiten, Gesundheitsnotizen, Emotionsnotizen – sind optional. Ein Eintrag mit weniger Daten ist ein Eintrag mit weniger Risiko.

8. Wie wir die Daten schützen

8.1. Was heute umgesetzt ist

• Passwörter werden nur als BCrypt-Hash gespeichert; nie im Klartext.
• Sitzungen mit signierten JWT-Tokens (HMAC-SHA256), in konstanter Zeit verifiziert.
• Anfragebegrenzung pro IP, mit einem engeren Kontingent für Login, Registrierung und OAuth, das Brute-Force-Angriffe bremst.
• Föderiertes Login mit echter kryptografischer Verifizierung der Tokens von Google und Apple anhand ihrer offiziellen öffentlichen Schlüssel.
• Foto-Upload eingeschränkt nach Typ und Größe, mit vom Server erzeugten Namen, ohne Möglichkeit, Verzeichnisse zu durchlaufen, gespeichert in einem privaten Speicher ohne öffentlichen Zugang und ohne signierte Links, und der Download erfolgt immer authentifiziert und über unseren Server.
• Chat über WebSocket, beim Handshake authentifiziert, mit dem Token außerhalb der URL, damit es nicht in den Zugriffslogs landet.
• Sicherheits-Header in allen Antworten, einschließlich Cache-Control: no-store in der gesamten API, damit Daten von Minderjährigen nicht in Zwischen-Caches verbleiben.
• Kein von Hand zusammengesetztes SQL: Alle Abfragen sind parametrisiert.
• Generische Fehlermeldungen an den Client; die Details bleiben nur im Serverlog.
• Versioniertes Schema mit Migrationen und regelmäßigen Backups der Datenbank.

8.2. Verschlüsselung

• Bei der Übertragung: In der Produktionsumgebung ist der gesamte Datenverkehr zwischen der App und dem Server mit HTTPS/TLS verschlüsselt. Zuerst entschlüsselt ihn Cloudflare (Abschnitt 5.6), das ihn auf dem Weg zu Render erneut verschlüsselt, in dem Modus, der das Zertifikat unseres Servers überprüft (Full (strict)); Render entschlüsselt ihn an seinem Netzwerkrand und übergibt ihn dem Server, dann bereits unverschlüsselt, innerhalb seines eigenen Netzwerks. Der Server erkennt die Header, die diese Zwischenserver hinzufügen – und verweigert den Start auf Render, wenn er nicht dafür konfiguriert ist –, sodass er HSTS sendet (die Anweisung, immer https zu verwenden) und die Anfragebegrenzung auf deine echte IP anwendet und nicht auf die eines Zwischenservers. Zwischen dem Server und Cloudflare R2 werden die Fotos immer verschlüsselt (HTTPS) übertragen: Der Server verweigert den Start, wenn die R2-Adresse es nicht ist.
• Im Ruhezustand: Die Fotos werden bei Cloudflare R2 verschlüsselt gespeichert. Die Datenbank ist nicht aus dem Internet erreichbar, und der Zugriff jeder Familie ist von dem der anderen getrennt (Abschnitt 8.3).

8.3. Was noch fehlt und gesagt werden muss

8.4. Zugriff durch das Personal

Der Zugriff auf die Produktionsdaten ist auf das Personal beschränkt, das für den Betrieb und die Wartung des Dienstes unbedingt erforderlich ist. Wir lesen die Notizen, Nachrichten oder Fotos der Familien nicht routinemäßig und würden nur bei einem technischen Problem, das es erfordert, einer rechtlichen Verpflichtung oder einer ernsten Gefahr für eine Person darauf zugreifen. Es gibt zwei in der App selbst vorgesehene Ausnahmen: Eine Person aus unserem Team prüft die Kopie eines Fotos, das der Inhaltsfilter markiert hat (Abschnitt 5.3), und die Kopie einer Nachricht, die ein Erwachsener gemeldet hat (Abschnitt 3.4), um zu entscheiden, was damit geschehen soll. Zugang zur Verwaltung hat nur das Personal von Better Planet, das den Dienst betreibt, mit persönlichen Zugangsdaten und nur, wenn es nötig ist (zum Beispiel, um ein Foto zu prüfen, das der Filter zurückgehalten hat).

8.5. Benachrichtigung bei Datenschutzverletzungen

Wenn es zu einer Sicherheitsverletzung kommt, die personenbezogene Daten betrifft:

• Wir werden dich unverzüglich und, wenn das Risiko es rechtfertigt, innerhalb von 72 Stunden, nachdem wir davon erfahren haben, per E-Mail und in der App benachrichtigen.
• Wir werden die zuständigen Behörden benachrichtigen: die Agencia de Protección de Datos Personales in Chile, gegebenenfalls die europäische Aufsichtsbehörde und die Behörden der US-Bundesstaaten, die dies verlangen.
• Wir werden dir sagen, was passiert ist, welche Daten betroffen sind, was wir unternehmen und was du selbst tun kannst.

8.6. Keine Maßnahme ist perfekt

Kein mit dem Internet verbundenes System ist vollkommen sicher. Wir tun, was vernünftig ist, und sagen es ohne Übertreibung: Wir können keine absolute Sicherheit garantieren.

9. Wie lange wir die Daten aufbewahren und wie sie gelöscht werden

9.1. Fristen

9.2. Was „löschen“ bedeutet

Wenn du ein Kind löschst, entfernt das System tatsächlich seine Einträge zu Wachstum, Emotionen, Gesundheit, Medikamenten, Bildung, Fortschritt und Missionen, seine Ergebnisse und Gespräche zur Berufsorientierung, seine Tracker-Geräte und -Signale, seine Wörter des Tages (die gewählten Sprachen und das Wort jedes Tages, gelernt oder nicht) und das Prüfprotokoll seiner Fotos, und es löscht seine Fotos aus dem Speicher (Cloudflare R2, Abschnitt 5.6), einschließlich eventuell vorhandener Quarantänekopien. Es bleibt kein als „gelöscht“ markierter Datensatz zurück: Er wird gelöscht.

Wenn die letzte Person des Haushalts ihr Konto schließt, geschieht mit jedem Kind dasselbe, und zusätzlich wird gelöscht, was der Familie und nicht einem Kind gehört: der Chat, der Spruch der Woche (die gewählte Kultur und welcher Spruch in jeder Woche an der Reihe war), das Prüfprotokoll der Fotos der Familie mit seinen Quarantänekopien und die Mitgliedschaft in der Nachbarschaft, deren Beitrittscode außerdem geändert wird. Solange andere Erwachsene bleiben, bleiben die Kinder und das, was der Familie gehört, erhalten (siehe 8.3). Und wer sein Konto schließt, ob als letzte Person oder nicht, nimmt außerdem das Prüfprotokoll seines Profilfotos und seines Titelbilds mit den Quarantänekopien, seine Blockierungen und die Meldungen, die er gemacht hat oder in denen er vorkommt, mit.

Auf dem Telefon vergisst die App beim Abmelden oder beim Löschen des Kontos die tägliche Wort-Erinnerung und hebt auf, was bereits geplant war.

Ehrliche Ausnahme: die Backups. Eine heute gelöschte Angabe kann in einer Sicherungskopie weiterbestehen, bis diese Kopie durch Rotation abläuft. Wir stellen keine Backups wieder her, um Daten zurückzuholen, die auf Wunsch des Nutzers gelöscht wurden.

10. Deine Rechte

Du hast das Recht auf:

Antwortfrist: Wir antworten innerhalb von 30 Kalendertagen; bei komplexen Anfragen kann die Frist verlängert werden, worüber wir dich informieren.

Überprüfung: Zum Schutz der Familien überprüfen wir, bevor wir Daten herausgeben oder löschen, ob die anfragende Person tatsächlich Inhaber des Kontos ist.

Unentgeltlichkeit: Die Ausübung dieser Rechte ist kostenlos, außer bei offenkundig unbegründeten oder exzessiven Anträgen.

10.1. Besondere Rechte von Eltern nach COPPA

Wenn du Mutter, Vater oder Vormund eines Minderjährigen unter 13 Jahren bist, hast du das Recht, die personenbezogenen Informationen, die wir über dein Kind erhoben haben, einzusehen; ihre Löschung zu verlangen; und ihre weitere Erhebung oder Verwendung abzulehnen, ohne dass dich das daran hindert, den Rest der App zu nutzen. Schreib an privacy@arbofamily.com.

10.2. Einwohner Kaliforniens und anderer US-Bundesstaaten

Better Planet verkauft oder teilt keine personenbezogenen Informationen im Sinne des CCPA/CPRA und verwendet keine personenbezogenen Daten für websiteübergreifende verhaltensbasierte Werbung. Einwohner Kaliforniens und anderer Bundesstaaten mit gleichwertigen Gesetzen haben das Recht auf Auskunft, Löschung und Berichtigung sowie darauf, wegen der Ausübung dieser Rechte nicht benachteiligt zu werden. Wir gewähren diese Rechte allen Personen, die Arbo nutzen, unabhängig davon, ob uns das Recht ihres Bundesstaats dazu verpflichtet.

11. Automatisierte Entscheidungen

Arbo trifft über niemanden automatisierte Entscheidungen mit rechtlicher Wirkung. Die Berechnung von Perzentilen, die RIASEC-Profile, die „Talente“ und die Antworten der KI sind informatives Material, das ein Mensch interpretieren soll, und haben für sich allein keinerlei Folgen.

12. Cookies und ähnliche Technologien

Die mobile App verwendet keine Cookies. Die Website – die Startseite, diese Datenschutzerklärung, die Nutzungsbedingungen und die Seite zur Kontolöschung, gehostet bei Cloudflare Pages (Abschnitt 5.6) – besteht aus statischen Dateien: Sie verwendet keine Analyse- und keine Werbe-Cookies, lädt nichts von Dritten, und das Einzige, was sie selbst in deinem Browser speichert, wenn du den Design-Schalter auf der Startseite benutzt, ist, ob du das helle oder das dunkle Design gewählt hast. Cloudflare kann ein technisches, unbedingt erforderliches Cookie verwenden, um die Website vor automatisiertem Datenverkehr zu schützen.

13. Änderungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung aktualisieren. Ist die Änderung wesentlich – zum Beispiel ein neuer Dritter, der Daten erhält, oder ein neuer Zweck –, informieren wir dich mindestens 30 Tage im Voraus per E-Mail und in der App und holen die Einwilligung erneut ein, wenn das Gesetz es verlangt. Das Datum der letzten Fassung steht am Anfang. Wenn du eine frühere Fassung möchtest, schreib an privacy@arbofamily.com, und wir schicken sie dir.

14. Kontakt und Beschwerden

Better Planet LLC, 1209 Mountain Road Pl NE, Ste N, Albuquerque, NM 87110, USA. Datenschutz: privacy@arbofamily.com Allgemein: hola@arbofamily.com

Wenn du mit unserer Antwort nicht zufrieden bist, kannst du dich beschweren bei:

• Chile: Agencia de Protección de Datos Personales (sobald sie ihre Tätigkeit aufgenommen hat). In Verbraucherangelegenheiten SERNAC.
• Europäische Union / EWR: der Aufsichtsbehörde deines Wohnsitzlandes.
• USA: der Federal Trade Commission (FTC), unter reportfraud.ftc.gov.

Ende des Dokuments.