Better Baby Book — Datenschutzerklärung

1. Verantwortlicher und Geltungsbereich

Verantwortlich für Better Baby Book ist Cyril Blum, Kontakt: apps@cblum.ch, cblum.ch. Diese Erklärung betrifft die App und ihren standardmässigen Dienst für die Familien-Synchronisation. Ein Server, den Sie selbst einrichten, Ihr E-Mail-Dienst und die Ziele, die Sie für Exporte wählen, können Angaben nach eigenen Richtlinien verarbeiten.

2. Lokale Einträge und Berechtigungen

Die App speichert Kinderprofile, Namen, Daten, Meilensteine, Notizen, Wachstums- und Alltagsprotokolle, Zitate, Spitznamen, ausgewählte Fotos und optionale Aufnahmen im lokalen App-Speicher. Die Verschlüsselung der Familien-Synchronisation wird auf lokale Dateien nicht angewendet. Der Geräteschutz und allfällige von Ihnen aktivierte Geräte- oder Cloud-Sicherungen gelten separat.

Die lokalen Funktionen können Sie ohne Sync-Konto nutzen. Fotos werden importiert, wenn Sie sie auswählen. Die aktualisierte App speichert Fotos, die Sie Einträgen hinzufügen, als JPEG-Bilder, deren längere Seite auf höchstens 2560 Pixel verkleinert ist. Kamerametadaten wie der Standort bleiben in dieser Kopie nicht erhalten. Für optionale Aufnahmen wird der Mikrofonzugriff angefragt. Import und Export verwenden Dateien und Ziele, die Sie wählen.

3. Optionale Synchronisation und Verschlüsselung

Die Familien-Synchronisation lädt ausgewählte Kinderpakete hoch, die auf Ihrem Gerät mit AES-256-GCM verschlüsselt werden. Der Schlüssel wird lokal aus Ihrer Familien-Passphrase und der Familienkennung abgeleitet. Aktuelle App-Versionen strecken die Passphrase vor der Schlüsselableitung mit PBKDF2 (600 000 Iterationen). Das verlangsamt das Erraten schwacher Passphrasen, macht sie aber nicht sicher. In den geprüften Sync-Anfragen wird die Familien-Passphrase nicht übertragen. Wer den nötigen Familienzugang und die Passphrase hat, kann geteilte Inhalte entschlüsseln.

Unterstützt werden Profile, Ereignisse, Protokolle, Profil- und Spitznamenfotos, Sprachaufnahmen zu Spitznamen und Medien zu Ereignissen. Ältere App-Versionen haben Sprachaufnahmen zu Spitznamen nicht einbezogen. Solche Geräte können einen Verweis auf eine Aufnahme ohne die Datei anzeigen. Verschlüsselung macht eine schwache oder offengelegte Passphrase nicht sicher. Neue Familien brauchen eine längere Passphrase. Der Betreiber kann sie weder wiederherstellen noch zurücksetzen.

Auf dem Gerät bewahrt die aktualisierte App die Anmeldesitzung und die Familien-Passphrasen im iOS-Schlüsselbund auf statt in den allgemeinen Einstellungen der App. Schlüsselbund-Einträge können in verschlüsselten Gerätesicherungen enthalten sein.

Kontoangaben und Familien- und Sync-Metadaten liegen nicht im verschlüsselten Kinderpaket. Dazu gehören Benutzername, E-Mail-Adresse, Passwort-Hash, Konto- und Familienkennungen, Familienname, Einladungscode, Mitgliedschaft, Kinderkennungen, Inhalts-Hashes, Versionen, Zeitstempel und Löschmarkierungen. Passwörter werden bei Registrierung und Anmeldung übermittelt. Der Server speichert gesalzene Passwort-Hashes.

Der Standarddienst läuft auf dem Hetzner-Server des Betreibers in Deutschland. Die Hosting-Infrastruktur verarbeitet Verbindungsdaten wie IP-Adressen und Zeitpunkte der Anfragen. Ein eigener Server kann anderswo betrieben werden.

4. Zwecke und Empfänger

Lokale Daten dienen dem Tagebuch, den Diagrammen, der Suche und den Exporten. Konto- und Sync-Angaben dienen der Anmeldung, der Familienmitgliedschaft und der Übermittlung geteilter Einträge. Familienmitglieder erhalten die Inhalte, die Sie teilen. Hosting-Anbieter verarbeiten die für den Betrieb des Dienstes nötigen Angaben.

Die geprüfte App enthält keine SDKs für Werbung oder Analyse. Wir verwenden App-Inhalte nicht für Werbung und verkaufen sie nicht an Datenhändler. Das heisst nicht, dass Online-Dienste ohne technische Verbindungsdaten arbeiten.

5. Exporte und Feedback

PDF-, ZIP-, JSON- und CSV-Exporte sind nicht durch die Verschlüsselung der Familien-Synchronisation geschützt. Kopien, die Sie an andere Personen oder Speicheranbieter senden, liegen ausserhalb der Kontrolle der App. Exporte enthalten die verfügbaren Medien. Eine fehlende Datei kann nicht aufgenommen werden.

Feedback öffnet einen E-Mail-Entwurf an apps@cblum.ch. Sie entscheiden, ob Sie ihn senden. Ihr Text, optionale Kontaktangaben und allfällig ausgewählte Diagnoseangaben werden über Ihren E-Mail-Anbieter und den empfangenden E-Mail-Dienst verarbeitet. Sie sind von der verschlüsselten Synchronisation getrennt. Senden Sie keine sensiblen Angaben zu Ihrem Kind, wenn es nicht nötig ist.

6. Aufbewahrung, Löschung und Abmelden

Sync-Einträge verfallen nicht automatisch wegen Inaktivität. Der aktualisierte Dienst entfernt das verschlüsselte Paket eines Kindes, wenn er eine authentifizierte Löschung für diese Familie bestätigt. Eine minimale Markierung mit den Familien- und Kinderkennungen, dem Löschzeitpunkt und der Version bleibt bestehen, damit ein Gerät, das offline war, den gelöschten Eintrag nicht erneut hochlädt.

Die aktualisierte App verlangt eine Bestätigung des Servers, bevor sie ein geteiltes Profil lokal löscht. Schlägt die Bestätigung fehl, meldet sie den Fehler und behält das lokale Profil, damit Sie es ausdrücklich erneut versuchen können. Der Server verlangt eine ausdrückliche Löschbestätigung der aktualisierten App. Automatisches Bereinigen von Duplikaten und unklare Löschmarkierungen älterer Versionen berechtigen nicht zur Löschung auf dem Server. Aktualisierte Geräte übernehmen Löschmarkierungen des Servers bei der nächsten Synchronisation. Diese Schutzmechanismen erfordern den aktualisierten App-Build. Alte oder offline befindliche Geräte, Exporte und manuell geteilte Kopien können Daten behalten.

Das Entfernen eines lokalen Profils oder das Zurücksetzen der lokalen Daten garantiert nicht, dass jede verbleibende Mediendatei, jede Gerätesicherung oder jede unabhängige Kopie gelöscht ist. Das Aufheben einer Freigabe und das Abmelden löschen die Kopie auf dem Server nicht. Das Abmelden entfernt die gespeicherte aktive Sitzung und die Familien-Passphrasen der App. Nach der erneuten Anmeldung brauchen Sie Ihre Passphrase wieder, um geteilte Inhalte zu entschlüsseln.

Löschen des Kontos. In der aktualisierten App können Sie Ihr Sync-Konto unter Family Sync löschen, nachdem Sie Ihr Passwort erneut eingegeben und ausdrücklich bestätigt haben. Der Server löscht dann Ihren Benutzernamen, Ihre E-Mail-Adresse, Ihren Passwort-Hash und Ihre Familienmitgliedschaft. Geteilte Kinderinhalte gehören der Familie, nicht dem Mitglied, das sie hochgeladen hat: Bleiben andere Mitglieder, stehen ihnen die Familie und ihre verschlüsselten Kinderpakete weiter zur Verfügung, und der Einladungscode wird erneuert. Sind Sie das letzte Mitglied, werden auch der Familieneintrag, alle verschlüsselten Kinderpakete und die Löschmarkierungen gelöscht. Um ein geteiltes Kind für alle zu entfernen, löschen Sie dieses Kind ausdrücklich, bevor Sie Ihr Konto löschen.

Verlassen oder Wechseln einer Familie. Dieselbe Regel gilt, wenn Sie in der aktualisierten App eine Familie verlassen oder Ihr Konto einer anderen Familie zuordnen: Bleiben andere Mitglieder, behalten sie die Familie und ihre verschlüsselten Pakete, und der Einladungscode wird erneuert. Sind Sie das letzte Mitglied, löscht der Server die Familie, ihre verschlüsselten Pakete und Löschmarkierungen, nachdem Sie dies ausdrücklich bestätigt haben. Ihr Konto selbst bleibt bestehen. Jedes Mitglied kann den Einladungscode erneuern, der bisherige Code funktioniert danach nicht mehr. Ein erneuerter Code entfernt keine bestehenden Mitglieder, und wer die Familien-Passphrase kennt, kann früher geteilte Inhalte weiterhin entschlüsseln.

Löschen einer Familiengruppe. In der aktualisierten App kann jedes Mitglied die ganze Familiengruppe löschen, nachdem es sein Kontopasswort erneut eingegeben und ausdrücklich bestätigt hat. Der Server entfernt dann den Familieneintrag, alle Mitgliedschaften, den Einladungscode und alle verschlüsselten Kinderpakete und Löschmarkierungen dieser Familie, auch Kinder, die andere Mitglieder geteilt haben. Alle Mitgliedskonten bleiben bestehen. Die Geräte der anderen Mitglieder behalten ihre lokalen Kopien als nicht geteilte Daten und beenden die Synchronisation für diese Familie bei ihrer nächsten Synchronisation. Auch das Verlassen einer Familie verlangt in der aktualisierten App Ihr Kontopasswort.

Nach dem Löschen des Kontos entfernt die App die Sitzung und die Familien-Passphrasen von Ihrem Gerät. Die Kinderdaten auf Ihrem Gerät bleiben als nicht geteilte lokale Daten erhalten, ausser Sie löschen zusätzlich alle App-Daten auf dem Gerät. Das Löschen des Kontos entfernt keine Kopien auf Geräten anderer Mitglieder, in Exporten, E-Mails oder Geräte- und Cloud-Sicherungen. Das Abmelden allein löscht Ihr Konto nicht. Für andere Anfragen zu Auskunft, Berichtigung oder Löschung schreiben Sie an apps@cblum.ch.

Serversicherungen. Der Server mit der Sync-Datenbank wird jede Nacht auf einen von uns betriebenen Speicher in der Schweiz gesichert. Die Sicherungen enthalten dieselben Daten wie die Datenbank: Konto- und Familienmetadaten sowie Kinderinhalte, die mit Ihrer Familien-Passphrase verschlüsselt bleiben. Wir verschlüsseln diese Sicherungen nicht zusätzlich. Ältere Sicherungen werden automatisch gelöscht. Aus dem Dienst gelöschte Daten können deshalb bis zu etwa 4 Monate in Sicherungen verbleiben. Müssen wir eine Sicherung wiederherstellen, wenden wir Löschungen, die nach deren Datum erfolgt sind, erneut an, soweit dies möglich ist.

7. Ihre Wahlmöglichkeiten und Rechte

Sie können die App lokal nutzen, wählen, welche Kinder Sie teilen, Geräteberechtigungen verwalten und Ihre Exporte steuern. Für Anfragen zu Personendaten oder Fragen zu Aufbewahrung und Empfängern schreiben Sie an apps@cblum.ch. Die Rechte auf Auskunft, Berichtigung und Löschung gelten nach dem anwendbaren schweizerischen Datenschutzrecht und, soweit anwendbar, nach anderem Datenschutzrecht. Sie können sich an die zuständige Datenschutzbehörde wenden.

8. Medizinische Angaben

Die App erfasst Angaben und zeigt Referenzansichten an. Die Wachstumskurven verwenden Perzentilwerte, die aus den WHO Child Growth Standards für das Alter von 0 bis 36 Monaten übertragen wurden. Werte zwischen ganzen Monaten sind angenähert. Die App diagnostiziert keine Krankheiten und liefert keine validierte Beurteilung von Wachstum oder Gesundheit. Wenden Sie sich bei gesundheitlichen Fragen an qualifiziertes medizinisches Fachpersonal und im Notfall an den örtlichen Rettungsdienst.