Datenschutzerklärung

Bercio hilft dir, den Tag deines Babys festzuhalten: die Schlafzeiten, Mahlzeiten und Windeln, die du einträgst, und die voraussichtliche Uhrzeit des nächsten Schläfchens. Das Babytagebuch erfordert ein Konto, mit dem du es mit dem anderen Elternteil oder einer nahestehenden Person teilen und auf einem neuen Smartphone wiederfinden kannst.

Das Babytagebuch ist Ende-zu-Ende-verschlüsselt, auf deinen Smartphones, mit einem Schlüssel, den der Anbieter nie besitzt. Sein Server speichert davon nur unlesbare Blöcke: Der Anbieter kann nicht lesen, was du einträgst, und das Babytagebuch wird nie für Werbung verwendet.

Bercio kann außerdem zwei deiner Smartphones verbinden, damit du über dein Baby wachen kannst: Eines bleibt im Kinderzimmer (Babygerät), das andere begleitet dich (Elterngerät). Das Babyphone funktioniert ohne Konto.

Bild und Ton gehen von einem Smartphone zum anderen, Ende-zu-Ende-verschlüsselt: meistens direkt und, wenn das Netzwerk es erfordert, über das Relay des Anbieters. Der Anbieter kann sie weder sehen noch hören und zeichnet sie nicht auf.

Die App ist kostenlos und wird durch Werbung von Google AdMob finanziert, die nie auf dem Überwachungsbildschirm oder auf dem Babygerät erscheint. Der optionale Premium-Kauf entfernt jegliche Werbung.

Verantwortlicher für die Verarbeitung der hier beschriebenen Daten ist der Anbieter von Bercio, Téqui Studio (Charles Grimont EI), dessen Anschrift im Impressum steht. Bei Fragen zu deinen Daten: support@tequi.app.

Das Babytagebuch erfordert ein Konto, das Babyphone nie: Das Babygerät meldet sich bei keinem Konto an. Du meldest dich mit Apple (auf iPhone und iPad), mit Google oder mit einem 6-stelligen Code an, den du per E-Mail erhältst, ohne Passwort. Der Kontodienst des Anbieters (api.tequi.app) speichert:

• deine E-Mail-Adresse bzw. die Weiterleitungsadresse von Apple, wenn du deine eigene verbergen möchtest, und die Kennung, die dir Apple oder Google zuweist. Eine Anmeldung mit derselben bestätigten Adresse, über Apple, Google oder E-Mail, führt zum selben Konto;
• die Sprache der App, um dir in deiner Sprache schreiben zu können, sowie das Erstellungsdatum und das Datum der letzten Nutzung des Kontos;
• die Versionen des Einwilligungstextes zum Babytagebuch, denen du zugestimmt hast, mit dem Datum der ersten und der letzten Zustimmung zu jeder Version (siehe „Rechtsgrundlagen“);
• die Smartphones des Kontos (höchstens 20): den Namen jedes Smartphones (sein Modell oder den Namen, den du ihm gegeben hast), einen von der App erzeugten öffentlichen Schlüssel sowie das Datum, an dem es hinzugefügt wurde, und das seiner letzten Anmeldung;
• für jedes angemeldete Smartphone eine Sitzung: den Hashwert eines Anmeldetokens, gültig bis 180 Tage nach seiner letzten Verwendung;
• wenn du dich mit Apple anmeldest, das Token, das Apple dabei dem Anbieter übergibt, verschlüsselt gespeichert: Es dient nur dazu, deine Anmeldung bei Apple zu widerrufen, wenn du dein Konto löschst.

Apple und Google übergeben der App ein signiertes Token, das deine Identität nachweist; der Kontodienst speichert davon nur deine E-Mail-Adresse und deine Kennung, nie deinen Namen oder dein Foto.

Bei einer Anmeldung per E-Mail wird der Code von einem E-Mail-Versanddienstleister verschickt, der nur deine Adresse und die Nachricht erhält. Der Code gilt 10 Minuten und für 5 Versuche; der Server speichert davon nur einen Hashwert, im Arbeitsspeicher. Derselbe Dienstleister verschickt die Warnung, die der Löschung eines ungenutzten Kontos vorausgeht.

Eine Familie vereint die Konten, die das Babytagebuch eines oder mehrerer Kinder teilen: den anderen Elternteil, Großeltern, die Nanny. Der Server speichert die Mitgliederliste jeder Familie und das Beitrittsdatum jedes Mitglieds, die offenen Einladungen und die Beitrittsanfragen.

Um jemanden einzuladen, zeigt die App einen QR-Code und einen Link an, gültig für 48 Stunden und für eine einzige Person. Das darin enthaltene Geheimnis bleibt zwischen deinen Smartphones: Es wird nie an den Server gesendet, und die Seite der Website, die den Link empfängt, gibt es nirgendwohin weiter.

Die Mitglieder einer Familie sehen die E-Mail-Adresse der anderen Mitglieder sowie die Namen ihrer Smartphones und ihre letzte Anmeldung. Sie sehen auch die E-Mail-Adresse und den Smartphone-Namen einer Person, die der Familie beitreten möchte: So lässt sich erkennen, wer anfragt, bevor man die Anfrage annimmt.

Alle Mitglieder sind gleichgestellt: Jedes kann einladen, eine Anfrage annehmen oder ablehnen und ein Mitglied entfernen.

Das Babytagebuch (Vorname, Geburtsdatum und gegebenenfalls errechneter Geburtstermin jedes Kindes; Schlafzeiten, Mahlzeiten und Windeln) wird auf deinen Smartphones mit dem Familienschlüssel verschlüsselt, den der Server nie im Klartext erhält. Jedes Smartphone hat seinen eigenen Schlüssel, der es nie verlässt; den Familienschlüssel erhält es, nur für dieses Smartphone verschlüsselt, von einem anderen Smartphone der Familie.

Der Server speichert vom Babytagebuch nur verschlüsselte Blöcke, nummeriert und datiert, zusammen mit dem Smartphone, das sie hochgeladen hat, und ihrer Größe. Der Anbieter kann sie nicht lesen: weder um sie dir zurückzugeben noch um sie an irgendjemanden weiterzugeben noch für Werbung.

Der Wiederherstellungsschlüssel, den die App anzeigt, damit du ihn notierst, öffnet das Babytagebuch auf einem neuen Smartphone. Der Server speichert den damit verschlüsselten Familienschlüssel, nie den Wiederherstellungsschlüssel selbst.

Diese Einträge können Informationen über die Gesundheit deines Kindes offenbaren, zum Beispiel eine Frühgeburt: Sie werden als Gesundheitsdaten behandelt, mit deiner ausdrücklichen Einwilligung (siehe „Rechtsgrundlagen“).

Auf dem Babygerät filmen und hören Kamera und Mikrofon während der Überwachung das Kinderzimmer. Der Stream wird live und Ende-zu-Ende-verschlüsselt (WebRTC, DTLS-SRTP) nur an die Elterngeräte übertragen, die du gekoppelt hast. Es wird nichts aufgezeichnet.

Auf dem Elterngerät dient die Kamera nur zum Scannen des QR-Codes für die Kopplung und das Mikrofon dem Button „Sprechen“, solange du ihn gedrückt hältst.

Die Weinerkennung (YAMNet-Modell von Google, ausgeführt mit MediaPipe), die Geräuscherkennung und die Bewegungserkennung laufen offline auf dem Babygerät. An das Elterngerät werden nur Ergebnisse gesendet: Lautstärkepegel, Werte für Weinen, Brabbeln oder Lachen, Bewegungswert. Niemals das analysierte Audio.

Damit deine beiden Smartphones sich über das Internet finden, nutzt die App den Vermittlungsdienst des Anbieters, der bei IONOS in der Europäischen Union gehostet wird und vom Kontodienst getrennt ist. Er erhält weder deinen Namen noch deine E-Mail-Adresse, weder Bild noch Ton, und speichert keinerlei Spuren der Verbindungen:

• Vermittlung (peer.tequi.app): erhält eine zufällige Kennung des Babygeräts (und während der Kopplung eine aus dem dort angezeigten Code abgeleitete Kennung) und die IP-Adresse jedes Geräts, für die Dauer der Verbindung. Um Missbrauch des Relays zu begrenzen, zählt der Server außerdem die Anfragen jeder IP-Adresse, im Arbeitsspeicher und höchstens eine Stunde lang.
• STUN (turn.tequi.app): sieht die IP-Adresse des Geräts, um ihm seine öffentliche Adresse mitzuteilen.
• TURN-Relay (turn.tequi.app): Ist keine direkte Verbindung möglich, läuft der Stream über dieses Relay. Er bleibt Ende-zu-Ende-verschlüsselt: Das Relay kann ihn weder sehen noch hören.
• Prüfung der App: Damit das Relay Bercio vorbehalten bleibt, weist die App dem Server nach, dass sie die Original-App ist, installiert aus dem App Store oder von Google Play, auf einem echten Smartphone. Dazu nutzt sie auf iPhone und iPad App Attest von Apple und auf Android Play Integrity von Google, die die App und das Gerät nach ihren eigenen Regeln prüfen. Der Server speichert davon nichts: Er gibt der App einen Passierschein, der eine Woche gilt und keine Kennung des Geräts enthält.

Die Werbung wird von Google AdMob ausgeliefert: ein Banner auf dem Startbildschirm und den Bildschirmen für Kopplung, Einstellungen, Nachtprotokoll und Babytagebuch sowie ein Video, das weitere beruhigende Klänge freischaltet, wenn du es dir ansehen möchtest. Auf dem Überwachungsbildschirm erscheint keine Anzeige, ebenso wenig auf dem Babygerät, sobald der Babymodus gestartet ist. Dafür verarbeitet Google:

• die Werbe-ID des Geräts;
• die IP-Adresse und den daraus abgeleiteten ungefähren Standort;
• Interaktionen mit den Anzeigen und Diagnoseinformationen.

Das Babytagebuch wird nie an Google übermittelt und nie für Werbung verwendet: Es ist verschlüsselt, und selbst der Anbieter kann es nicht lesen.

Im Europäischen Wirtschaftsraum, im Vereinigten Königreich und in der Schweiz bittet dich ein Formular um deine Einwilligung in personalisierte Werbung. Du kannst deine Auswahl jederzeit ändern: Einstellungen, „Werbeeinstellungen verwalten“. Unter iOS fragt die App zusätzlich nach der Erlaubnis zum Tracking (App Tracking Transparency); ohne sie werden die Anzeigen nicht personalisiert.

Die Anzeigen sind stumm und auf Inhalte beschränkt, die für ein breites Publikum mit elterlicher Begleitung geeignet sind.

Mit dem Premium-Kauf zeigt die App überhaupt keine Werbung mehr an und greift nicht mehr auf Google AdMob zurück.

Richtlinien von Google: https://policies.google.com/technologies/partner-sites

Der optionale Premium-Kauf erfolgt über den App Store von Apple oder über Google Play, die die Zahlung nach ihren eigenen Datenschutzbestimmungen verarbeiten. Der Anbieter erhält weder deine Zahlungsdaten noch deinen Namen noch deine E-Mail-Adresse.

Um zu wissen, ob Premium erworben wurde, fragt die App bei jedem Start von deinem Smartphone aus beim Store nach; sie speichert nur eine Kopie der Antwort auf dem Smartphone, um offline zu funktionieren. Es werden keine Kaufdaten an den Anbieter gesendet.

Der Button „Foto aufnehmen“ auf dem Elterngerät hält das aktuelle Bild fest. Es bleibt auf dem Smartphone, in einem temporären Ordner der App, bis du es über das Teilen-Menü des Smartphones teilst oder speicherst. Es wird nie an den Anbieter gesendet.

Die App speichert auf jedem Smartphone:

• deine Einstellungen (Sprache, Empfindlichkeit, Videoqualität, Design…);
• den Status des Premium-Kaufs und der per Video freigeschalteten weiteren beruhigenden Klänge;
• auf dem Babygerät die Kennung und den Namen des Zimmers sowie den Namen und den geheimen Schlüssel jedes Elterngeräts, das du zugelassen hast;
• auf dem Elterngerät die gekoppelten Zimmer mit ihrem geheimen Schlüssel und das Nachtprotokoll (Weinen, Bewegungen, Geräusche und Verbindungsabbrüche der letzten 14 Nächte);
• wenn du es nutzt, das vollständige Babytagebuch, damit es offline funktioniert: Vorname, Geburtsdatum und, bei einer Frühgeburt, den errechneten Geburtstermin jedes Kindes sowie die Schlafzeiten, Mahlzeiten und Windelwechsel, die in der Familie eingetragen wurden. Die Schätzungen für die Schläfchen werden auf dem Smartphone berechnet. Auf dem Server wird davon nur eine verschlüsselte Kopie gespeichert (siehe „Ende-zu-Ende-verschlüsseltes Babytagebuch“);
• mit einem Konto, im Schlüsselbund von iOS oder im Keystore von Android: den privaten Schlüssel des Smartphones, den Familienschlüssel, den Wiederherstellungsschlüssel und das Anmeldetoken.

• Kamera und Mikrofon: die Überwachung, der QR-Code, der Button „Sprechen“.
• Benachrichtigungen: die Alarme (Weinen, Bewegung, Geräusche, schwacher Akku, Verbindungsabbruch), die auf dem Smartphone selbst erzeugt werden; unter Android die dauerhafte Benachrichtigung der Überwachung bei ausgeschaltetem Bildschirm.
• Fotos (iOS, nur Hinzufügen): ein Foto speichern, wenn du es möchtest.
• Hintergrund: das Baby weiter hören, wenn der Bildschirm des Elterngeräts ausgeschaltet ist.

Jede Verarbeitung beruht auf einer in der DSGVO vorgesehenen Rechtsgrundlage:

• Das Konto und die Familie (E-Mail-Adresse, Smartphones des Kontos, Mitglieder, Einladungen), ebenso wie die Vermittlung und das Relay des Babyphones: die Erfüllung des Vertrags, den die Nutzungsbedingungen bilden (Artikel 6.1.b).
• Das Babytagebuch deines Kindes, das verschlüsselt auf dem Server gespeichert und mit den Mitgliedern deiner Familie geteilt wird und Informationen über die Gesundheit deines Kindes offenbaren kann: deine ausdrückliche Einwilligung (Artikel 6.1.a und 9.2.a). Du erteilst sie bei jeder Anmeldung durch Ankreuzen des dafür vorgesehenen, nie vorab angekreuzten Kästchens, als Inhaber der elterlichen Sorge für das Kind (Elternteil oder Vormund) oder mit dessen Zustimmung. Du widerrufst sie jederzeit in der App, indem du das Babytagebuch verlässt oder dein Konto löschst (siehe „Speicherdauer und Löschung“); der Widerruf lässt die bis dahin erfolgte Verarbeitung unberührt. Das Babytagebuch bleibt dann bei den anderen Mitgliedern der Familie, auf Grundlage der Einwilligung, die jedes von ihnen erteilt hat; warst du das einzige Mitglied, wird es vom Server gelöscht. Der Anbieter speichert die Version des akzeptierten Textes sowie das Datum der ersten und der letzten Zustimmung, um deine Einwilligung nachweisen zu können.
• Die Sicherheit des Dienstes (Missbrauch begrenzen, eine Sitzung schließen, deren Token kopiert wurde, die App prüfen): das berechtigte Interesse des Anbieters, den Dienst und seine Nutzer zu schützen (Artikel 6.1.f).
• Die Werbung: deine Einwilligung in personalisierte Werbung, eingeholt über das Formular von Google; andernfalls nicht personalisierte Anzeigen, auf Grundlage des berechtigten Interesses des Anbieters, eine kostenlose App zu finanzieren.

Die Kontodaten und das verschlüsselte Babytagebuch werden auf dem Server des Anbieters in der Europäischen Union gespeichert. Beteiligt sind:

• IONOS, Hoster dieses Servers (Vermittlung, Relay und Kontodienst), eines virtuellen privaten Servers in der Europäischen Union, als Auftragsverarbeiter des Anbieters;
• ein E-Mail-Versanddienstleister, Auftragsverarbeiter des Anbieters, für die Anmeldecodes und die Warnung vor der Löschung eines ungenutzten Kontos;
• Apple und Google, wenn du dich mit ihnen anmeldest: Sie prüfen deine Identität nach ihren eigenen Datenschutzbestimmungen und wissen, dass du Bercio nutzt;
• Cloudflare, Hoster der Website von Bercio (bercio.tequi.app), der die IP-Adresse der Besucher sieht, um ihnen die Seiten auszuliefern. Die Seite zur Kontolöschung sendet deine Adresse und deinen Code direkt an den Kontodienst; die Einladungsseite sendet nichts.

Der Server des Anbieters, der die Kontodaten und das verschlüsselte Babytagebuch speichert, steht in der Europäischen Union. Google (Werbung, Anmeldung mit Google), Apple (Anmeldung mit Apple) und Cloudflare (Website) können Daten außerhalb der Union verarbeiten, insbesondere in den Vereinigten Staaten, mit den in der DSGVO vorgesehenen Garantien: dem Angemessenheitsbeschluss der Europäischen Kommission für den Datenschutzrahmen EU–USA oder ihren Standardvertragsklauseln.

Außer dem oben beschriebenen Konto erhebt der Anbieter keine Daten über dich: Er speichert weder Passwort noch Namen, weder Zahlungsdaten noch Nutzungsstatistiken, weder Bild noch Ton. Die Bilder deines Kindes sehen nur die Geräte, die du gekoppelt hast.

Der Kontodienst speichert keine IP-Adressen: Er nutzt sie nur, um Missbrauch zu begrenzen, im Arbeitsspeicher und höchstens eine Stunde lang. Seine technischen Protokolle, die 7 Tage aufbewahrt werden, enthalten weder E-Mail-Adresse noch Code noch Kennung.

Bercio richtet sich an Erwachsene; die App ist nicht zur Nutzung durch Kinder bestimmt.

• Das Nachtprotokoll speichert nur die letzten 14 Nächte; „Protokoll löschen“ leert es sofort.
• Das Babytagebuch speichert deine Einträge, bis du sie löschst: einen einzelnen Eintrag („Löschen“) oder das ganze Tagebuch eines Kindes über sein Profil; die Löschung gilt für alle Smartphones der Familie. Auf dem Server verschwinden die alten verschlüsselten Blöcke, wenn ein Smartphone dort einen vollständigen Stand des Babytagebuchs hochlädt, der sie ersetzt.
• Eine Sitzung läuft 180 Tage nach ihrer letzten Verwendung ab, ein Anmeldecode nach 10 Minuten, eine Einladung nach 48 Stunden oder sobald sie verwendet wurde, zusammen mit den damit gestellten Anfragen.
• Ist ein Konto seit zwei Jahren ungenutzt, wird es per E-Mail benachrichtigt und 30 Tage später gelöscht, wenn sich niemand wieder anmeldet; ein Konto ohne E-Mail-Adresse, das nicht benachrichtigt werden kann, wird 30 Tage nach Ablauf dieser zwei Jahre gelöscht.
• Dein Konto löschen: in der App (Babytagebuch, „Geteilt mit“, „Mein Konto löschen“), auf https://bercio.tequi.app/delete-account mit einem per E-Mail erhaltenen Code oder indem du von der Adresse des Kontos an support@tequi.app schreibst. Das Konto, seine Smartphones und seine Sitzungen werden sofort vom Server gelöscht, und die Anmeldung mit Apple wird bei Apple widerrufen. Das Babytagebuch bleibt bei den anderen Mitgliedern der Familie; warst du das einzige Mitglied, wird es ebenfalls gelöscht.
• „Abmelden“ löscht das Babytagebuch von diesem Smartphone und lässt den Server dieses Smartphone vergessen; „Dieses Babytagebuch verlassen“ entfernt dich aus der Familie und löscht das Babytagebuch von diesem Smartphone. In beiden Fällen bleibt das Babytagebuch bei den anderen Mitgliedern der Familie.
• „Entfernen“ auf dem Kopplungsbildschirm des Babygeräts vergisst ein Elterngerät und trennt es.
• Das Deinstallieren der App oder das Löschen ihrer Daten in den Einstellungen des Smartphones entfernt, was sie auf diesem Smartphone gespeichert hat. Auf iPhone und iPad kann iOS die Schlüssel des Kontos nach der Deinstallation behalten: Ohne die App nützen sie nichts, und die App löscht sie beim ersten Start, wenn sie erneut installiert wird. Dein Konto dagegen bleibt auf dem Server, bis du es löschst.
• Von Google für Werbung verarbeitete Daten unterliegen den Richtlinien von Google; die Werbe-ID lässt sich in den Einstellungen des Smartphones zurücksetzen.

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch und Datenübertragbarkeit, das Recht, deine Einwilligung jederzeit zu widerrufen, und das Recht, Verfügungen darüber zu treffen, was nach deinem Tod mit deinen Daten geschieht.

Du übst sie in der App aus (einen Eintrag korrigieren oder löschen, das Babytagebuch verlassen, dein Konto löschen) oder indem du von der Adresse deines Kontos an support@tequi.app schreibst; der Anbieter antwortet innerhalb eines Monats. Da der Anbieter das Babytagebuch nicht lesen kann, lässt sich sein Inhalt auf deinen Smartphones einsehen und kopieren („Zusammenfassung kopieren“). Für die Werbung übst du diese Rechte gegenüber Google aus.

Du kannst dich auch bei der CNIL, der französischen Datenschutzbehörde, beschweren: https://www.cnil.fr

Diese Erklärung kann sich mit der App weiterentwickeln. Das Datum der letzten Aktualisierung steht unten; die gültige Fassung ist immer in der App und auf ihrer Website veröffentlicht.

Bei Fragen zu dieser Erklärung: support@tequi.app.