Datenschutzerklärung – MyNestPlan

Klötzing Web & IT
Alexander Klötzing
Museumsstraße 3, 29323 Südheide
E-Mail: info@mynestplan.de
Web: mynestplan.de

MyNestPlan ist eine App zur Organisation des Familienalltags (Kalender, Aufgaben, Einkaufslisten, Rezepte, Speiseplan, Stundenplan/Kita-Zeiten, Baby-Tracker, Routinen, Gamification, Newsletter).
Nutzer können außerdem Rezepte per URL importieren sowie externe Kalender und Stundenpläne einbinden (siehe Ziffer 17).
Die App richtet sich an Familien in Deutschland, Österreich und der Schweiz.

Je nach Nutzung verarbeiten wir folgende personenbezogene Daten:

• Name, E-Mail-Adresse, Passwort (für Nutzerkonto)
• Geburtsdatum, optional hinterlegte Wohnadresse
• Geräteinformationen (z.B. für Push-Nachrichten)
• Benutzerrolle (z.B. Elternteil, Kind) und zugewiesene Rechte
• Aufgaben, Termine, Einkaufslisten (frei eingegeben durch Nutzer)
• Nutzererstellte Rezepte (Titel, Zutaten, Zubereitung)
• Stundenplan- bzw. Kita-Daten eines Kindes (Fächer/Einträge, Zeiten, optional Lehrkraft/Gruppe und Raum)
• Kaufstatus (Premium-Freischaltung, freiwillige Unterstützungskäufe — siehe Ziffer 15)
• Zeitpunkt der letzten App-Nutzung pro Konto (einzelner Zeitstempel, siehe Ziffer 19)
• Gamification-Daten (XP-Punkte, Aufgabenhistorie, Level-Ereignisse)
• Standortkoordinaten (Breiten- und Längengrad, aus manueller Adresseingabe)
• Newsletter-Abonnementstatus (E-Mail-Adresse bei Anmeldung)
• Technische Zugriffsdaten (IP-Adresse, Gerätetyp, Zeitstempel)
• Profileinstellungen (z.B. Farbschema, Darkmode)
• Temporär bei Registrierung: Name, E-Mail, Geburtsdatum in pending_users-Tabelle bis zur Bestätigung

Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung: Nutzerkonto, Aufgaben, Termine, Einkaufslisten, Rezepte, Stundenplan/Kita-Zeiten, Familieneinladungen, Abwicklung von In-App-Käufen

Art. 6 Abs. 1 lit. a DSGVO – freiwillige Einwilligung: Push-Benachrichtigungen, Newsletter-Abonnement, Standortkoordinaten (Adresseingabe)

Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse: Technische Sicherheit, Server-Logs, App-Updates, interne aggregierte Nutzungsstatistiken zur Verbesserung des Dienstes (siehe Ziffer 19)

Die App verwendet Supabase als Datenbank- und Authentifizierungsdienst (Region: Frankfurt, eu-central-1).
Anbieter: Supabase Inc., 970 Toa Payoh North, Singapore
Ein AV-Vertrag nach Art. 28 DSGVO besteht.
Alle Daten werden in der EU gespeichert.

Die Website mynestplan.de wird auf einem selbstverwalteten Server im Rechenzentrum der Strato AG gehostet. Die Verwaltung erfolgt ausschließlich durch den Betreiber.

Für den Versand transaktionaler E-Mails betreiben wir einen eigenen SMTP-Server unter mail.mynestplan.de.
Folgende E-Mails werden versandt:

• Willkommensnachricht nach Registrierung
• Familieneinladungen (Name und E-Mail-Adresse der eingeladenen Person)
• Newsletter-Bestätigung (Double-Opt-In)
• Newsletter-Kampagnen an bestätigte Abonnenten

E-Mail-Inhalte und Metadaten (Empfängeradresse, Zeitstempel) verbleiben auf dem selbstverwalteten Server. Es findet keine Weitergabe an Drittanbieter-Mailingdienste statt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung/Einladung) bzw. lit. a DSGVO (Newsletter)

Die Anmeldung zum Newsletter ist freiwillig und erfolgt per Double-Opt-In:

• Nach Eingabe der E-Mail-Adresse wird eine Bestätigungs-E-Mail versandt.
• Erst nach Klick auf den Bestätigungslink erfolgt die endgültige Anmeldung.
• Vor Bestätigung wird die E-Mail-Adresse temporär in der newsletter_pending-Tabelle gespeichert und nach Fristablauf automatisch gelöscht.
• Nach Bestätigung wird die E-Mail-Adresse in der newsletter_signups-Tabelle gespeichert.

Zweck: Versand von Neuigkeiten, Updates und Hinweisen zu MyNestPlan.
Eine Abmeldung ist jederzeit über den Abmeldelink in jeder Newsletter-E-Mail möglich; nach Abmeldung wird die E-Mail-Adresse gelöscht.
Es findet kein Tracking von Öffnungsraten oder Klicks statt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)

Ein Elternteil kann Personen per E-Mail in seine Familie einladen. Dabei werden Name und E-Mail-Adresse der einzuladenden Person sowie der Familien-Einladungscode verarbeitet.
Es wird eine Einladungs-E-Mail mit einem Einladungslink versandt.
Die eingegebene E-Mail-Adresse wird nur für den Versand der Einladung verwendet und nicht dauerhaft gespeichert, sofern keine Registrierung durch die eingeladene Person erfolgt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme)

Eltern können über die App Kinderkonten erstellen. Die Zugänge enthalten keine echte E-Mail-Adresse, sondern z.B. name@fam_code.
Mit dem Anlegen bestätigt der Elternteil, zur Datenweitergabe berechtigt zu sein.
Kinder erhalten eigene Zugänge mit rollenbasierten Einschränkungen (z.B. Lese-/Schreibrechte).
Die App erhebt von Kindern keine weiteren Daten über das Notwendige hinaus.

Die App enthält ein optionales Baby-Tracker-Feature, mit dem Eltern Mahlzeiten (Stillen, Flasche, Beikost), Schlafzeiten, Windelwechsel, Temperaturmessungen, Medikamentengaben sowie die deutschen Vorsorgeuntersuchungen U1–U9, U7a, J1, J2 (inkl. Größe, Gewicht, Kopfumfang, Notizen) für ihr Kind dokumentieren können.

Diese Daten gelten als Gesundheitsdaten im Sinne von Art. 9 DSGVO (besondere Kategorien personenbezogener Daten).

Welche Daten werden erfasst:

• Name und Geburtsdatum des Kindes
• Tracker-Einträge: Zeitpunkt, Typ und typspezifische Werte (z.B. Menge in ml, Schlafdauer, Windel-Inhalt, Temperaturwert, Medikamentenname und -dosis, freie Notizen)
• U-Untersuchungs-Daten: Datum der Durchführung, Größe, Gewicht, Kopfumfang, Arzt/Praxis, Notizen

Es werden keine Fotos oder Bilddaten gespeichert.

Rechtsgrundlage: Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung). Beim ersten Anlegen eines Kindes im Baby-Tracker bestätigt das sorgeberechtigte Elternteil per Hinweisdialog die Erfassung dieser Daten.

Speicherort & Verschlüsselung: Die Daten werden ausschließlich in der EU (Supabase, Region Frankfurt) gespeichert. Übertragungen erfolgen TLS-verschlüsselt; die Daten ruhen auf verschlüsselten Speichersystemen.

Zugriff: Die Daten sind ausschließlich für eingeloggte Mitglieder Ihrer Familie sichtbar (Row-Level-Security). Es findet keine Weitergabe an Dritte statt; insbesondere werden die Daten nicht für Werbung, Profilbildung, Forschung oder Trainingszwecke genutzt.

Speicherdauer: Bis zur manuellen Archivierung oder Löschung des Kind-Profils durch die Eltern bzw. bis zur Löschung des Familienkontos.

Ihre Rechte: Sie können die Daten jederzeit über die App einsehen, einzelne Einträge löschen, das Kind-Profil archivieren oder löschen sowie nach Art. 20 DSGVO einen Datenexport anfordern (per E-Mail an info@mynestplan.de).

Die App greift nicht auf den Gerätestandort (GPS) zu. Die Adresseingabe erfolgt ausschließlich manuell durch den Nutzer.

Wohnadresse – Geokodierung: Die eingegebene Adresse wird einmalig an Nominatim (OpenStreetMap) übermittelt, um daraus Koordinaten (Breitengrad, Längengrad) zu berechnen. Die Adresse selbst wird nicht dauerhaft gespeichert.
Die ermittelten Koordinaten werden dauerhaft dem Familienprofil zugeordnet (Zweck: lokale Wetteranzeige).
Datenschutz Nominatim: nominatim.org/privacy.html
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch Eingabe)

Die gespeicherten Koordinaten werden zur Anzeige des lokalen Wetters an Open-Meteo (open-meteo.com) übermittelt.
Es erfolgt keine Übertragung weiterer personenbezogener Daten.
Open-Meteo speichert Anfragen nicht dauerhaft und nutzt keine Cookies.
Datenschutzerklärung: open-meteo.com/en/docs#privacy

Die App verwendet Push-Benachrichtigungen z.B. für Termin-, Aufgaben-, Müllabfuhr- und Einkaufs-Erinnerungen, Geburtstags-Hinweise, Schulschluss- bzw. Kita-Abhol-Erinnerungen und Familien-Updates.

iOS: Nutzung des Apple Push Notification Service (APNs), Apple Inc., One Apple Park Way, Cupertino, CA 95014, USA. Die Übermittlung des Gerätetokens an Apple erfolgt auf Basis von EU-Standardvertragsklauseln (Art. 46 DSGVO). Apple speichert keine Nachrichteninhalte dauerhaft.

Android: Nutzung von Firebase Cloud Messaging (FCM), Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland (Mutterkonzern Google LLC, USA; Übermittlung auf Basis von EU-Standardvertragsklauseln, Art. 46 DSGVO). FCM wird ausschließlich zur Zustellung der Nachrichten genutzt — nicht für Firebase Analytics oder Werbung.

PWA / Browser: Nutzung von Web Push über den jeweiligen Browser-Anbieter.

Für Push-Benachrichtigungen speichern wir ein anonymes Gerätetoken. Dieses wird gelöscht, sobald du Push-Benachrichtigungen in den App-Einstellungen deaktivierst.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)

Die App bietet einen einmaligen Premium-Kauf pro Familie sowie freiwillige Unterstützungskäufe („Tip Jar") an. Es gibt keine Abonnements.

Die Zahlungsabwicklung erfolgt vollständig über den Apple App Store (Apple Inc., USA) bzw. Google Play (Google Ireland Ltd.). Wir erhalten und speichern keine Zahlungsdaten (keine Kreditkarten- oder Kontodaten).

Zur Zuordnung und Wiederherstellung von Käufen nutzen wir RevenueCat (RevenueCat Inc., 300 California St, San Francisco, CA 94104, USA; Übermittlung auf Basis von EU-Standardvertragsklauseln, Art. 46 DSGVO). Verarbeitet werden dabei eine pseudonyme Nutzer-ID, Kauf-/Transaktionsdaten des Stores und der Kaufstatus — keine Namen und keine E-Mail-Adressen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

Zur schnellen Auslieferung von Fehlerbehebungen und Verbesserungen nutzt die App den Live-Update-Dienst Capgo (Digital Shift OÜ, Sepapaja 6, 15551 Tallinn, Estland). Beim App-Start prüft die App beim Capgo-Dienst, ob ein Update vorliegt.

Dabei werden eine app-bezogene, pseudonyme Geräte-ID, App-Version und technische Metadaten (z.B. Plattform) verarbeitet; die Speicherung erfolgt in der EU/im Vereinigten Königreich (AWS-Region London, Angemessenheitsbeschluss der EU-Kommission). Capgo verarbeitet keine Namen, E-Mail-Adressen oder geräteübergreifenden Kennungen und betreibt kein Tracking. Ein Auftragsverarbeitungsvertrag (Art. 28 DSGVO) besteht.
Datenschutz Capgo: capgo.app/dp
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicheren, aktuellen App-Versionen)

Kalender-Import (ICS): Du kannst externe Kalender per Link oder Datei importieren. Bei Link-Importen ruft unser Server die von dir angegebene Kalender-Adresse in deinem Auftrag ab (auch beim optionalen automatischen Tages-Abgleich). Die Termindaten werden deinem Familienkalender hinzugefügt; der Link wird für den Abgleich gespeichert.

Stundenplan-Import (z.B. WebUntis): Optional kannst du den persönlichen iCal-Abo-Link deines Kindes aus dem Schulsystem angeben. Unser Server ruft diesen Link einmalig ab und leitet daraus den Wochen-Stundenplan ab. Wir erhalten dabei keine Zugangsdaten zum Schulsystem — nur die im Link enthaltenen Termindaten.

Schulferien-Import (OpenHolidays API): Auf Wunsch kannst du die offiziellen Schulferien deines Bundeslandes importieren. Dabei ruft die App die Ferientermine bei der OpenHolidays API ab (STÜBER SYSTEMS GmbH, Deutschland — ein offenes Open-Data-Projekt). Übermittelt werden nur das gewählte Bundesland und der Zeitraum sowie technisch bedingt die IP-Adresse deines Geräts — keine Konto- oder Familiendaten.

Kalender-Abo („Im Handy-Kalender abonnieren"): Auf Wunsch kannst du eure Familientermine über eine geheime, nur eurer Familie bekannte Abo-Adresse in Apple- oder Google-Kalender einbinden. Wer diese Adresse kennt, kann die Termine lesen — behandle sie wie ein Passwort. Du kannst die Adresse in den App-Einstellungen jederzeit zurücksetzen; die alte Adresse wird damit sofort ungültig. Beim Abruf durch deine Kalender-App gelten deren Datenschutzbestimmungen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (von dir angestoßene Funktion)

Innerhalb einer Familie können alle eingeloggten Mitglieder Einkaufslisten, Aufgaben, Termine und Stundenpläne gemeinsam sehen und — je nach Rolle und Freigabe — bearbeiten. Eine Weitergabe an Dritte erfolgt nicht.

MyNestPlan verwendet keinerlei Tracking- oder Analysedienste Dritter (wie z.B. Google Analytics, Firebase Analytics oder vergleichbare Dienste). Es werden keine Werbe- oder Nutzungsprofile erstellt und keine Daten für Werbezwecke verarbeitet.

Zur Verbesserung und zum Betrieb des Dienstes führen wir ausschließlich interne, aggregierte Statistiken auf eigenen Systemen (z.B. Anzahl aktiver Konten und Familien, Nutzung einzelner Funktionen in Summenwerten). Dafür speichern wir pro Konto einen einzelnen Zeitstempel der letzten App-Nutzung. Es werden dabei keine Verhaltensprofile einzelner Personen gebildet, keine Inhalte ausgewertet und keine Daten an Dritte gegeben.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse)

Die einzigen technischen Zugriffsdaten sind Server-Logs (IP-Adresse, Zeitstempel, angefragte URL), die ausschließlich dem Betrieb und der Sicherheit des Systems dienen und nach spätestens 30 Tagen gelöscht werden.

Du hast das Recht auf:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO)
• Widerruf von Einwilligungen (Art. 7 Abs. 3 DSGVO)
• Beschwerde bei einer Datenschutzbehörde

Recht auf Löschung: Du kannst dein Konto jederzeit löschen lassen. Es stehen zwei Wege offen:

• In der App unter Einstellungen → Account → Konto löschen
• Über das Web-Formular: mynestplan.de/account-loeschen (mit E-Mail-Bestätigung per Double-Opt-In)

Die Löschung umfasst dein Konto, deine Familien-Daten (mit Admin-Transfer bzw. Familien-Löschung) und alle persönlichen Inhalte. Aus gesetzlichen Aufbewahrungspflichten resultierende Belege sowie anonymisierte Audit-Einträge können in den jeweils zulässigen Fristen aufbewahrt werden.

Für sonstige Anfragen wende dich bitte an: info@mynestplan.de

Personenbezogene Daten werden nur an folgende Dienstleister weitergegeben, die für den Betrieb der App notwendig sind:

• Supabase Inc. (USA/Irland) – Datenbankbetrieb und Authentifizierung; Daten in EU-Region Frankfurt; AV-Vertrag nach Art. 28 DSGVO vorhanden
• Strato AG (Deutschland) – Webhosting mynestplan.de
• Nominatim / OpenStreetMap – einmalige Geokodierung der Wohnadresse; keine dauerhafte Speicherung durch Nominatim
• Open-Meteo – Wetterdaten; nur Koordinaten übermittelt, keine personenbezogenen Daten
• Apple Inc. (APNs) (USA) – Push-Benachrichtigungen für iOS; Übermittlung auf Basis von EU-Standardvertragsklauseln (Art. 46 DSGVO)
• Google Ireland Ltd. (Firebase Cloud Messaging) (Irland/USA) – Push-Benachrichtigungen für Android; EU-Standardvertragsklauseln (Art. 46 DSGVO); keine Analytics-Nutzung
• Digital Shift OÜ (Capgo) (Estland; Speicherung AWS-Region London/UK, Angemessenheitsbeschluss) – App-Live-Updates; pseudonyme Geräte-ID; AV-Vertrag nach Art. 28 DSGVO
• RevenueCat Inc. (USA) – Zuordnung und Wiederherstellung von In-App-Käufen; pseudonyme Nutzer-ID; EU-Standardvertragsklauseln (Art. 46 DSGVO)
• Apple App Store / Google Play – Zahlungsabwicklung von In-App-Käufen (eigenständig Verantwortliche im Kaufprozess)
• STÜBER SYSTEMS GmbH (OpenHolidays API) (Deutschland) – Abruf offizieller Schulferien-Termine beim Ferien-Import; nur Bundesland und Zeitraum übermittelt, keine personenbezogenen Konto-Daten

Ein Verkauf oder eine Weitergabe zu Werbe- oder sonstigen kommerziellen Zwecken findet nicht statt.

Datenübertragungen erfolgen verschlüsselt (TLS/SSL).
Server und Datenbanken sind durch Firewalls, Rollenrechte und Zugangskontrollen gesichert.

Wir verwenden keine Profilbildung oder automatisierte Einzelentscheidungen gemäß Art. 22 DSGVO.

Diese Datenschutzerklärung wird bei Funktionserweiterungen oder Gesetzesänderungen angepasst.
Letzter Stand: Juli 2026