Datenschutzerklärung

Produkt: FamOS (Family Operating System)
Version: 2026-10-21
Stand: 21. Oktober 2026
Sprache: Deutsch

Diese Datenschutzerklärung informiert Sie gemäß Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO) sowie § 25 TDDDG darüber, welche personenbezogenen Daten bei der Nutzung von FamOS verarbeitet werden, zu welchen Zwecken dies geschieht und welche Rechte Ihnen zustehen.

---

1. Verantwortlicher

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist:

ConTec Solutions GbR
Maybachstr. 39
73037 Göppingen
Deutschland

E-Mail für Datenschutzanfragen: support@fam-os.de

Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen (Art. 37 DSGVO, § 38 BDSG) nicht vorliegen.

Die vollständige Anbieterkennzeichnung finden Sie im Impressum.

---

2. Überblick und Grundsätze

FamOS ist eine Plattform zur Organisation des Familienalltags: Kalender mit optionaler Verbindung zu Handykalendern (Ziffer 4c), Aufgaben (Todos), Vorräte und Einkauf, Essensplan und Kochbuch, Haushaltsfinanzen mit optionalem Beleg-Scan, Push-Benachrichtigungen sowie ein optionaler KI-Assistent. Erwachsene Mitglieder einer Gruppe können außerdem Personen ohne eigenes Konto anlegen (zum Beispiel Kinder oder Großeltern) und für Kinder ein eigenes Gerät verbinden (siehe Ziffer 14).

Wir folgen den Grundsätzen der Datenminimierung und Privacy by Default:

• Kernfunktionen laufen ohne Tracking zu Marketingprofilen außerhalb der hier beschriebenen Zwecke.
• Werbung im Free-Tier: Sobald freigeschaltet, können im kostenlosen Tarif Werbebanner eingeblendet werden (Android: Google AdMob, Website: Google AdSense, sobald freigeschaltet). Dafür kann eine Einwilligung (UMP / Consent-Banner) erforderlich sein. Premium und Family sind werbefrei. Kinder sehen nie Werbung.
• KI-Funktionen sind standardmäßig deaktiviert und werden erst nach Ihrer ausdrücklichen Einwilligung genutzt (siehe Ziffer 4). Für Kinder entscheiden die Erziehungsberechtigten (siehe Ziffer 4a).
• Sensible Inhalte werden serverseitig verschlüsselt gespeichert (siehe Ziffer 11).
• Ihre Daten werden nicht verkauft. Eine Weitergabe erfolgt nur wie hier und in der Subprozessoren-Liste beschrieben.

---

3. Zwecke, Datenkategorien und Rechtsgrundlagen

Herkunft der Daten (Art. 14 DSGVO): In der Regel verarbeiten wir Daten, die Sie selbst eingeben. In geteilten Haushalten/Gruppen können andere Mitglieder Daten eingeben, die sich auf Sie beziehen. Geteilte Inhalte sind für alle Mitglieder der jeweiligen Gruppe sichtbar. Angaben über Personen ohne eigenes Konto (Ziffer 14.2) stammen von dem erwachsenen Gruppenmitglied, das das Profil anlegt. Bei einer Anmeldung über einen Anmeldedienst erhalten wir E-Mail-Adresse und Name von diesem Dienst. Zahlungs- und Abo-Metadaten können von PayPal, Google Play bzw. Apple an uns übermittelt werden. Werbedaten können von Google-Werbe-SDKs/Tags erhoben werden.

Hinweis zu freien Textfeldern: Bitte geben Sie in freien Textfeldern (Todos, Notizen, Chat) keine besonderen Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO ein (z. B. Gesundheitsdaten). Die App ist für solche Daten nicht bestimmt und verarbeitet sie dort nicht gezielt. Ausgenommen ist das optionale Ernährungsprofil mit eigener Einwilligung (Ziffer 4b); tragen Sie auch dort in Allergien und Ausschlüsse keine Namen oder Diagnosen ein.

---

4. KI-Funktionen (nur mit Einwilligung)

FamOS bietet optionale KI-Funktionen (Assistent-Chat, Schnelleingabe per Sprache/Text, Wochenplaner, Bild-Import, Tages-Briefing, Beleg-Scan). Für diese Funktionen gilt:

• Standardmäßig deaktiviert. Keine Daten werden an KI-Anbieter übermittelt, solange Sie die Funktionen nicht aktivieren.
• Ausdrückliche Einwilligung. Vor der ersten Nutzung informiert ein Hinweis-Dialog darüber, dass Inhalte an externe KI-Anbieter übermittelt werden; Ihre Einwilligung wird protokolliert (Art. 6 Abs. 1 lit. a DSGVO).
• Übermittelte Daten. Je nach Funktion: Ihre Eingaben/Prompts, relevante App-Inhalte (z. B. Einkaufslisten für den Wochenplaner) und ggf. von Ihnen bereitgestellte Bilder (z. B. Kassenbelege). Die eingesetzten Anbieter sind in der Subprozessoren-Liste aufgeführt; ein Drittlandtransfer (insb. USA) ist möglich (siehe Ziffer 5).
• Auftragsverarbeitung / Verträge. Der technische Zugang zu Sprachmodellen erfolgt über OpenRouter, Inc. Zwischen uns und OpenRouter gelten die Terms of Service sowie die darin für organisatorische/kommerzielle Nutzung einbezogene Data Processing Agreement (DPA) (Art. 28 DSGVO, inkl. Standardvertragsklauseln für Drittlandtransfers) und die Privacy Policy. OpenRouter kann Anfragen an nachgelagerte Modell-Anbieter weiterleiten; deren Datenpraktiken und Vertragsbedingungen gelten ergänzend (Details und Links: Subprozessoren).
• Datenminimierung. Vor der Übermittlung an KI-Anbieter werden E-Mail-Adressen und Telefonnummern in Textinhalten automatisch maskiert.
• Keine automatisierte Entscheidung mit Rechtswirkung. KI-Ausgaben sind Vorschläge; Sie entscheiden selbst über Übernahme oder Verwerfen (vgl. Art. 22 DSGVO).
• Widerruf jederzeit. Sie können einzelne KI-Funktionen oder alle KI-Funktionen mit einem Klick im Privacy Center deaktivieren (Art. 7 Abs. 3 DSGVO). Der Widerruf wirkt für die Zukunft.
• Kinder. Für Kind-Konten gilt ergänzend Ziffer 4a. Ein Kind willigt nicht selbst ein.

---

4a. KI-Funktionen für Kinder

• Nur mit Freigabe der Eltern. Ein Kind-Konto (Ziffer 14.3) hat KI-Funktionen standardmäßig aus. Ein Erziehungsberechtigter oder Gruppen-Administrator kann zwei Schalter einzeln einschalten:
• KI-Helfer: Schnelleingabe (Text und Sprache) und Tages-Briefing.
• Assistenten-Chat: der freie Chat mit dem Assistenten.
• Nie für Kinder verfügbar sind Bild-Import, KI-Wochenplaner und Beleg-Scan, weil der Essensplan für Kinder nur lesbar und Finanzen gesperrt sind.
• Nachweis. Die Freigabe wird als Einwilligung der Eltern protokolliert (Zeitpunkt, wer, welcher Schalter, Version dieser Erklärung). Das Kind ändert Freigaben und eigene KI-Einstellungen nie selbst.
• Widerruf. Die Eltern können die Freigabe jederzeit ausschalten. Dann endet die KI-Nutzung des Kindes mit Wirkung für die Zukunft.
• Neue Fassung der Erklärung. Ändert sich diese Erklärung oder der KI-Hinweis, wird die Freigabe ungültig, bis die Eltern sie erneuern („Freigabe erneuern“). Das Kind sieht dazu keinen Einwilligungsdialog.
• Familien-Plätze. Jede KI-Freigabe für ein Kind belegt einen der drei Plätze des Family-Abos. Endet das Family-Abo, bleiben Kind-Konten nutzbar, die KI-Funktionen für Kinder entfallen.
• Leitplanken im Chat. Für Kinder gelten zusätzliche Vorgaben an den Assistenten: altersgerechte Sprache, keine ungeeigneten Themen, keine Abfrage persönlicher Daten, bei Problemen Verweis an die Eltern, keine Finanzthemen. Diese Vorgaben sind eine technische Anweisung an das Sprachmodell, keine Garantie für die Eignung jeder Antwort. Eine zusätzliche automatische Prüfung der Inhalte (Moderation) ist derzeit nicht eingerichtet. Die Erziehungsberechtigten begleiten die Nutzung durch das Kind.
• Gesperrte Wege. Der Assistent kann für Kinder im Essensplan nichts anlegen, ändern oder löschen.
• Übermittlung. Wie bei Erwachsenen werden Eingaben und für die Funktion nötige App-Inhalte an den KI-Dienstleister übermittelt (siehe Ziffer 4 und Subprozessoren). Die Maskierung von E-Mail-Adressen und Telefonnummern gilt unverändert.
• Rechtsgrundlage. Art. 6 Abs. 1 lit. a i. V. m. Art. 8 DSGVO: Einwilligung des Trägers der elterlichen Verantwortung.

---

4b. Ernährungsprofile und Gesundheitsdaten

4b.1 Was das ist. Optional können Sie für sich oder für ein Kind oder Baby, das Sie verwalten, ein Ernährungsprofil anlegen. Wir nutzen es ausschließlich, um Essenspläne, Rezepte und Portionen passend zu planen. Das Ernährungsprofil ist freiwillig. Ohne Profil funktioniert der Essensplan wie bisher. Haben Sie Größe, Gewicht oder Ziel bisher nur auf dem Gerät gespeichert („Meine Werte“), übernimmt die App diese Werte nach Ihrer Einwilligung einmalig in Ihr Ernährungsprofil und löscht sie auf dem Gerät. Bereits im Profil vorhandene Werte werden nicht überschrieben. Die Funktion steht erst zur Verfügung, wenn wir sie freischalten.

4b.2 Welche Daten. Körperdaten (Gewicht, Größe, Geburtsjahr, Formelvariante männlich/weiblich/neutral für den Grundumsatz), Aktivitätsniveau (bei Erwachsenen eine Stufe von überwiegend sitzend bis sehr aktiv, bei Kindern wenig/normal/viel), Ziel (nur Erwachsene: abnehmen, halten, zunehmen), Protein-Faktor und Mahlzeitenverteilung, Ernährungsform, Allergien und Unverträglichkeiten, Ausschlüsse; bei Babys Milchernährung (voll gestillt, teilgestillt, Flasche, abgestillt), Beikost-Form (noch keine, Brei, BLW, gemischt), Beikost seit (Monat) und, soweit erfasst, bereits eingeführte Lebensmittel; die Einstellungen „im Familienplan berücksichtigen“ und „Kalorien anzeigen“; außerdem Trainings, die FamOS aus Ihrem Kalender erkennt und die Sie nicht abgewählt haben. Freitext zu Diagnosen (z. B. Frühgeburt) erfassen wir nicht; dazu gibt es nur einen Hinweis zur kinderärztlichen Abstimmung. Erkannt werden Trainings an Begriffen im Titel Ihrer Termine (z. B. „Fußball“, „Laufen“, „Crossfit“, „Dehnen“ oder allgemeine Sporttermine). Termine, die für die Gruppe verborgen sind, werden nicht ausgewertet; bei „beschäftigt“ wird kein Titel verwendet. Sie bestätigen oder entfernen erkannte Trainings im Wochenplaner und können je Terminserie eine Intensitätsstufe (leicht, normal, intensiv) wählen; die Entscheidung gilt für die ganze Terminserie und wird gespeichert. Der Trainingszuschlag wird bei der Planung der nächsten geplanten Mahlzeit nach dem Training zugerechnet (bzw. der letzten geplanten Mahlzeit davor). Im Wochenplaner und im Einzelrezept steuern Sie über den Schalter „Ziele und Training“ pro Person, wessen Ziele und Trainings in die Planung einfließen; für mitessende Erwachsene ohne sichtbare Zeile gilt deren Einstellung „im Familienplan berücksichtigen“. Die Auswahl des Schalters wird pro Gerät gespeichert (Ziffer 12.1), auf dem gespeicherten Essensplan jedoch nicht für andere Gruppenmitglieder ausgegeben. Aus diesen Angaben berechnet FamOS Ziele (kcal und Protein pro Mahlzeit) und Teller (Portionsgrößen in Gramm).

4b.3 Besondere Kategorie, Rechtsgrundlage (Art. 9). Diese Daten sind Gesundheitsdaten im Sinne von Art. 9 DSGVO. Wir verarbeiten sie nur mit Ihrer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a i. V. m. Art. 6 Abs. 1 lit. a DSGVO). Ohne gültige Einwilligung speichert der Server keine Körperdaten (Fehler 409 consent_required). Die Einwilligung hat eine eigene Version (nutrition-2026-10-ernaehrung-1). Nur wenn sich diese Version ändert, bitten wir erneut um Ihre Einwilligung; ein neuer Stand der übrigen Datenschutzerklärung löst das nicht aus.

4b.4 Zweck. Ausschließlich Essensplanung: passende Mahlzeiten, Rezeptvorschläge und Portionen für die Esser. Keine Werbenutzung, kein Profiling zu Werbezwecken, keine Weitergabe zu Marketing, keine Nutzung für Modelltraining, keine Auswertung für Dritte.

4b.5 Wer sieht was (Erziehungsberechtigte, Gruppe).

• Eigene Daten sieht und ändert nur die Person selbst.
• Verwaltete Profile (Kinder und Babys): Ernährungs- und Körperdaten sehen und ändern nur die eingetragenen Erziehungsberechtigten dieses Profils, nicht Gruppen-Administratoren ohne Erziehungsberechtigung. Für erwachsene Personen ohne Konto legen wir kein Ernährungsprofil an. Sie können mit einem eigenen Konto ein eigenes Profil führen. Erwachsene ohne Konto nehmen weiterhin als Esser teil (Typ und Alter).
• Andere Gruppenmitglieder sehen auf dem Teller Mengen in Gramm, aber keine Ziele, keine kcal und keine Körperdaten anderer Personen. Das gilt auch für Assistent und MCP-Schnittstelle.
• Kind-Konten haben keinen Zugriff auf die Ernährungsfunktionen.
• Wer Erziehungsberechtigter wird: Wer als Gruppen-Administrator ein verwaltetes Profil anlegt, wird automatisch Erziehungsberechtigter. Weitere Erziehungsberechtigte stehen in der Liste im Personen-Sheet. Schutz der Liste: Sobald für ein Profil ein Ernährungsprofil existiert, können nur die bestehenden Erziehungsberechtigten diese Liste ändern. Administratoren dürfen nur dann eintragen, wenn kein Erziehungsberechtigter mehr übrig ist. Jede Änderung der Liste wird als Ereignis protokolliert (ohne Gesundheitswerte).
• Im Familienplan berücksichtigen. Ist diese Einstellung an, berücksichtigen Essenspläne, die andere Mitglieder Ihrer Gruppe erzeugen, Ihre abgeleiteten Ziele (pseudonymisiert an die KI, Ziffer 4b.9) und berechnen Ihren Teller. Die Mitglieder sehen dabei nur Gramm. Für Erwachsene ist die Einstellung standardmäßig aus, für Kinder und Babys an.
• Allergien und Ausschlüsse aller Esser. Erzeugte Rezepte und Pläne berücksichtigen Allergien und Ausschlüsse aller Esser. Mitglieder ohne Zugriff sehen dabei nur den Hinweis „Allergien eines Essers berücksichtigt“, ohne Namen und ohne Inhalt. Namen erscheinen nur für Personen, deren Daten Sie sehen dürfen oder die ihre Angaben freigegeben haben (4b.10).

4b.6 Einwilligung für Kinder und Babys. Für ein verwaltetes Profil willigt ein Erziehungsberechtigter ein. Dabei bestätigt er ausdrücklich, dass er für die Person sorgeberechtigt ist oder mit Zustimmung der Sorgeberechtigten handelt (wie beim Verbinden eines Kind-Geräts, Ziffer 14.3); Bestätigung und Einwilligung erfolgen in einem ausdrücklichen Schritt, und ohne die Bestätigung nimmt der Server die Einwilligung nicht an. Die Einwilligung wird auf den handelnden Erziehungsberechtigten protokolliert (mit der Angabe, dass die Sorgeberechtigung bestätigt wurde) und dem Profil zugeordnet. Jugendliche ab 16 Jahren mit eigenem Konto willigen für sich selbst ein. Wird ein verwaltetes Profil volljährig, endet die Grundlage der Einwilligung: Die Ernährungsdaten werden dann automatisch gelöscht, das Personenprofil bleibt bestehen.

4b.7 Widerruf und Löschung. Sie können jederzeit mit Wirkung für die Zukunft widerrufen, auch nachdem eine Person volljährig geworden ist. Der Widerruf löscht die Gesundheitsdaten der Person sofort und entfernt ihre Einträge aus allen gespeicherten Tellern. Die Grunddaten der Person (Name, Farbe, Emoji, Typ, Geburtsjahr) bleiben bestehen. Ein neues Ernährungsprofil ist nur nach einer neuen Einwilligung möglich. Dasselbe gilt, wenn die Person, die für ein Profil eingewilligt hat, ihr Konto löscht, die Gruppe verlässt, entfernt oder aus der Liste der Erziehungsberechtigten gestrichen wird. Ein verbleibender Erziehungsberechtigter kann dann neu einwilligen. Sie können die Gesundheitsdaten auch löschen, ohne die Einwilligung zu widerrufen; dann bleibt die Einwilligung bestehen und Sie können neue Werte eintragen.

4b.8 Verschlüsselung. Das Ernährungsprofil wird in der Datenbank verschlüsselt gespeichert (AES-256-GCM, Schlüssel je Person bzw. je Gruppe). Der Schlüsselbezug ändert sich nicht, wenn ein Profil später mit einem Konto verknüpft wird.

4b.9 Weitergabe an die KI (Pseudonymisierung, Rezeptgröße, Favoriten und Verlauf). An den KI-Dienstleister gehen nur abgeleitete Ziele und Einschränkungen, ohne Namen, ohne Gewicht, Größe, Geburtsdatum und ohne Personen-ID. Übermittelt werden: ein Pseudonym je Esser mit Alter („E1“, „E2“ für Erwachsene; „Kind 9 J.“, „Kleinkind 2 J.“, „Baby 11 Mon. BLW“), die Ernährungsform, die Allergene als Vereinigung aller Esser und Ausschlüsse (so, wie Sie sie eingetragen haben, auf eine Zeile gekürzt), bei aktivem Schalter „Ziele und Training“ kcal und Protein je Mahlzeit, bei mindestens einem Erwachsenen-Ziel zusätzlich die Gesamt-kcal des Rezepts über alle mitessenden Personen (niemals Einzelschätzungen für Personen ohne freigegebenes Ziel) sowie je Plantag Hinweise zu erkannten Trainings (Sportart, Uhrzeit, Dauer, Mehrbedarf), nie der Titel des Termins; bei Kindern nur der Hinweis „Training an diesem Tag, Snack einplanen“. Um die Vorschläge an den Geschmack des Haushalts anzupassen und Wiederholungen zu vermeiden, übermittelt FamOS außerdem bis zu 10 bereinigte Titel von als Favorit markierten Gerichten («…», ohne Zutaten, Notizen oder Personenbezug) als stilistische Inspiration sowie die bereinigten Titel der in den letzten 14 Tagen geplanten Mahlzeiten der Gruppe. Personentyp und Alter gehen auch ohne Ernährungsprofil mit (Ziffer 14.2), damit Baby- und Kleinkind-Regeln gelten. Bitte tragen Sie in Allergien und Ausschlüsse keine Namen oder Diagnosen ein; die Einträge werden so an die KI gegeben. Die Übermittlung setzt die Einwilligung in die KI-Funktionen (Ziffer 4) voraus. Nach der Generierung prüft FamOS die Rezepte deterministisch gegen die hinterlegten Allergene, die Baby-Regeln und die Abwechslungs-Regel (maximal zweimal dieselbe Hauptzutat pro Woche).

4b.10 Freigabe an die Gruppe (nur Erwachsene, eigene Entscheidung). Erwachsene können in der Gruppenverwaltung, in ihrer eigenen Mitgliedszeile, ihre Allergien, Ausschlüsse und Ernährungsform für diese Gruppe freigeben. Die Freigabe ist standardmäßig aus, gilt je Gruppe, ist eine eigene, ausdrückliche Entscheidung (getrennt von der Einwilligung in das Ernährungsprofil) und jederzeit widerrufbar. Sie endet auch, wenn Sie die Einwilligung in das Ernährungsprofil widerrufen. Sie steht nur zur Verfügung, wenn die Funktion aktiv ist und Sie ein eigenes Profil mit gültiger Einwilligung haben. Nie freigegeben werden Körperdaten oder Ziele. Für Kinderprofile gibt es keine Freigabe; dort sehen nur die Erziehungsberechtigten.

4b.11 Nährwerte der Zutaten (Bundeslebensmittelschlüssel BLS 4.0 und KI-Schätzungen). Für die Portionsberechnung (Teller) und die Makronährwert-Übersicht löst FamOS die Nährwerte je 100 g (kcal, Eiweiß, Kohlenhydrate, Fett), die Rolle der Zutat und ggf. den Garfaktor dreistufig auf: Primäre Quelle ist der Bundeslebensmittelschlüssel (BLS 4.0) des Max Rubner-Instituts (MRI), Bundesforschungsinstitut für Ernährung und Lebensmittel, bereitgestellt unter der Lizenz Creative Commons Namensnennung 4.0 International (CC BY 4.0); bei einem Treffer überschreiben die amtlichen Referenzwerte etwaige Schätzungen der KI verbindlich. Für Zutaten, die nicht im BLS-Katalog enthalten sind, greift FamOS auf einen globalen, personenbezugsfreien Cache plausibilitätsgeprüfter KI-Schätzungen (nutrition_ai_estimates) zurück oder übernimmt den vom Sprachmodell geschätzten Wert nach einer rechnerischen Plausibilitätsprüfung. Alle Werte können im Zutaten-Editor jeder Mahlzeit korrigiert werden und können von konkreten Handelsprodukten abweichen.

4b.12 Kein Medizinprodukt, Orientierungswerte. Die Werte in FamOS sind Orientierungswerte für die Essensplanung. Sie ersetzen keine ärztliche, ernährungsmedizinische oder kinderärztliche Beratung. FamOS ist kein Medizinprodukt und stellt keine Diagnosen. Weitere Hinweise: Bei Babys und Kleinkindern gilt: „Bei Frühgeburt, Gedeihstörung oder Allergien die Beikost kinderärztlich abstimmen.“ und „BLW nur aufrecht sitzend und nie unbeaufsichtigt essen lassen.“ Die App entnimmt die Babyportion vor dem Salzen und Würzen. Nährwerte der Zutaten stammen aus dem BLS 4.0 und ergänzenden KI-Schätzungen und können abweichen (4b.11). Für Kinder passt FamOS bei Training keine kcal an, es erscheint nur der Hinweis „Snack einplanen“; für Babys gibt es keine Anpassung. FamOS kennt keine Streaks und keinen Gewichtsverlauf für Minderjährige, Kalorienanzeigen sind abschaltbar und für Kinder und Babys nie sichtbar.

4b.13 Kochbuch und Vorauswahl im Wochenplaner. Geplante, manuell angelegte und importierte Rezepte werden im Kochbuch der jeweiligen Gruppe (bzw. im privaten Kochbuch bei Nutzung ohne Gruppe) gespeichert. Beim Erstellen eines KI-Wochenplans belegt FamOS bis zu 50 % der angeforderten Mahlzeit-Slots vorab lokal auf dem FamOS-Server mit passenden Rezepten aus dem Kochbuch — ausschließlich aus Favoriten und noch ungekochten importierten Rezepten, die in den letzten 14 Tagen nicht gekocht wurden und alle Vorgaben des Plans (Slot, Ernährungsform, Allergene, Baby-/Kleinkind-Regeln, Zeitlimit, Küchengeräte, Hauptzutaten-Abwechslung) erfüllen. Für diese lokal belegten Slots findet kein Aufruf des externen KI-Dienstes statt. Hat eine Gruppe noch keine passenden Favoriten oder Importe (Startphase), generiert die KI sämtliche Slots neu.

---

4c. Gerätekalender (optional)

4c.1 Was das ist. Optional können Sie in der App einen oder mehrere Kalender Ihres Handys (Android oder iPhone) mit FamOS verbinden. Die Funktion ist freiwillig und steht nur Erwachsenen mit eigenem Konto zur Verfügung. Ohne Verbindung liest und ändert FamOS keine Termine auf Ihrem Gerät. Der Zugriff setzt die Kalenderberechtigung des Betriebssystems voraus, die Sie jederzeit in den Systemeinstellungen entziehen können. Entziehen Sie die Berechtigung, endet der Abgleich; bereits importierte Termine bleiben in FamOS, bis Sie die Kalenderquelle entfernen.

4c.2 Lesen. Für die von Ihnen gewählten Kalender liest die App bei jedem Abgleich die Termine vom aktuellen Tag an 180 Tage in die Zukunft und übermittelt sie an FamOS. Je Termin werden Titel, Beschreibung, Ort, Beginn, Ende, Ganztag-Kennzeichen und die Kennung des Termins im Gerätekalender (in der Regel die Kalender-UID, sonst eine Synchronisations- oder Zeilenkennung) übertragen, dazu technische Angaben: ob der Kalender beschreibbar ist, ob der Termin zu einer Terminserie gehört, ob der Termin Gäste hat und ob Sie selbst Organisator sind. Je Abgleich kommen Name und Farbe des Kalenders (so, wie Sie sie in FamOS eingestellt haben), die Kennung des Kalenders, der gelesene Zeitraum und der Lesezeitpunkt hinzu. Namen oder E-Mail-Adressen von Gästen und des Organisators übermittelt die App nicht; auf Android liest sie diese Angaben nur auf dem Gerät, um die genannten technischen Angaben zu bilden. Die Termine werden wie Ihre übrigen Kalenderinhalte in FamOS gespeichert (Ziffer 11) und sind, je nach Ihrer Einstellung, für Mitglieder Ihrer Gruppe sichtbar. Termine, die Sie im Handy löschen, entfernt der nächste Abgleich auch aus FamOS, solange sie im gelesenen Zeitraum liegen und für sie kein Übertragungsauftrag offen ist (meldet das Handy für einen Kalender gar keinen Termin, löscht der Abgleich zur Sicherheit nichts); Termine, die aus dem Zeitraum herausgefallen sind, bleiben in FamOS gespeichert und werden nicht mehr abgeglichen (Ziffer 4c.6, Ziffer 8). Teilnehmer-Zuordnungen in FamOS sowie die Einstellungen zu Gruppe und Wiederholung gelten nur in FamOS (Ziffer 4c.5); Terminserien werden gelesen, aber nicht zurückgeschrieben (Ziffer 4c.4).

4c.3 Installationskennung. Beim Verbinden des ersten Handykalenders (bzw. beim ersten Abgleich eines Handykalenders, den Sie mit einer früheren App-Version verbunden haben) erzeugt die App einmal je Installation eine zufällige Kennung (UUID) und speichert sie lokal auf dem Gerät. Sie enthält keine Geräte- oder Werbekennung des Betriebssystems und ist nicht aus anderen Merkmalen Ihres Geräts abgeleitet. Bei jedem Abgleich übermittelt die App die Kennung zusammen mit der Plattform (Android oder iOS) an FamOS. FamOS speichert beides an der verbundenen Kalenderquelle. Zweck ist ausschließlich die Zuordnung von Kalenderquelle und Gerät: Änderungen werden nur auf dem Gerät ausgeführt, von dem die Quelle stammt, und zwei Geräte desselben Kontos überschreiben sich nicht gegenseitig. Die Kennung wird nicht für Werbung oder Tracking verwendet. Sie liegt im Speicher der App und wird mit den App-Daten gelöscht (Deinstallation, Löschen der App-Daten); stellen Sie die App aus einer Gerätesicherung wieder her, kann die Kennung mit wiederhergestellt werden. Installieren Sie die App neu, entsteht eine neue Kennung; die zuvor verbundene Kalenderquelle bleibt mit ihren Terminen in FamOS bestehen, wird aber nicht mehr abgeglichen, bis Sie sie in den Kalender-Einstellungen entfernen. In FamOS endet die Speicherung der Kennung mit der Löschung der Kalenderquelle oder des Kontos.

4c.4 Rückschreiben Ihrer Änderungen in den Handykalender. Ändern Sie in FamOS Titel, Beschreibung, Ort oder Zeit (bzw. Ganztag) eines Termins aus Ihrem Gerätekalender, speichert FamOS die Änderung und legt einen Übertragungsauftrag an. Die App auf Ihrem Gerät holt den Auftrag ab und schreibt die Änderung über die Kalenderfunktion Ihres Betriebssystems in den Handykalender. Das passiert beim Öffnen der App bzw. kurz nach der Änderung, wenn die App geöffnet ist. Im Web und auf anderen Geräten bleibt der Auftrag offen, bis die App auf dem verbundenen Handy geöffnet wird.

• Weitergabe an den Kalenderanbieter. Ist der Handykalender mit einem Konto verknüpft (zum Beispiel Google, Microsoft oder Apple iCloud), synchronisiert das Betriebssystem bzw. die Kalender-App die Änderung mit dem Anbieter. FamOS übermittelt nichts direkt an diese Anbieter. Für deren Verarbeitung ist der jeweilige Anbieter selbst verantwortlich, es gelten seine Datenschutzhinweise.
• Termine mit Gästen. Hat ein Termin Gäste und sind Sie Organisator, benachrichtigt der Kalenderanbieter die Teilnehmer über die Änderung. FamOS zeigt Ihnen vor dem Speichern einen Hinweis und die Möglichkeit abzubrechen. FamOS ändert Teilnehmer nie. Einladungen anderer Organisatoren, Termine in schreibgeschützten Kalendern und Serienvorkommen lassen sich in FamOS nicht ändern.
• Änderungen am Handy haben Vorrang. Hat sich ein Feld inzwischen am Handy geändert, behält das Handy seinen Wert. FamOS zeigt einen Hinweis, dass Ihre Änderung nicht übernommen wurde.
• Nur Sie. Aufträge holt und bestätigt nur der Kontoinhaber, auf dem Gerät, das die Quelle verbunden hat. Andere Mitglieder einer Gruppe, der Sie einen Handytermin zugeordnet haben, sehen ihn und können nur FamOS-eigene Angaben (Farbe, Erinnerungen, Teilnehmer) anpassen. Gruppenzuordnung, Sichtbarkeit, Titel, Beschreibung, Ort, Zeit und das Ausblenden bleiben Ihnen vorbehalten.

4c.5 Was nicht zurückgeschrieben wird. Farbe, Erinnerungen, Sichtbarkeit, Teilnehmer (auch FamOS-Teilnehmer ohne Konto, Ziffer 14.2), Zuordnung zu einer Gruppe und Wiederholung sowie das Ausblenden gelten nur in FamOS und gelangen nie in den Handykalender oder zu einem Kalenderanbieter. FamOS legt keine neuen Termine im Handykalender an.

4c.6 Ausblenden statt Löschen. Löschen Sie einen Termin aus Ihrem Gerätekalender in FamOS, wird er in FamOS nur ausgeblendet. Er bleibt im Handykalender und beim Kalenderanbieter bestehen. Das gilt auch für Aktionen über den Assistenten und die MCP-Schnittstelle. Ausgeblendete Termine werden im Hintergrund weiter mit dem Handykalender abgeglichen; ihre Erinnerungen in FamOS werden beim Ausblenden entfernt. In den Kalender-Einstellungen der Quelle können Sie alle ausgeblendeten Termine eines Kalenders wieder einblenden. Einzelne Handytermine lassen sich in FamOS nicht endgültig löschen. Aus FamOS entfernt wird ein Handytermin, wenn Sie ihn im Handy löschen und er im gelesenen Zeitraum liegt (Ziffer 4c.2), wenn Sie die Kalenderquelle in FamOS entfernen (das löscht alle importierten Termine dieser Quelle aus FamOS, nicht aus Ihrem Handykalender) oder wenn Sie Ihr Konto löschen. Wird die Gruppe gelöscht, der der Termin zugeordnet ist, bleibt er als Ihr persönlicher Termin in FamOS bestehen; seine Teilnehmer-Zuordnungen in FamOS werden gelöscht.

4c.7 Schreibrecht nur auf Nachfrage. Auf Android fragt die App die Berechtigung zum Schreiben in Kalender erst an, wenn Sie eine Änderung an einem Handytermin speichern (bzw. bei einem offenen Auftrag, solange die App im Vordergrund ist und der Kalender geöffnet ist). Beim Speichern erklärt vorher ein kurzer Hinweis im Formular den Zweck; die Abfrage selbst erfolgt über den Berechtigungsdialog des Betriebssystems. Lehnen Sie ab, bleibt der Auftrag zunächst offen, und FamOS bietet die Freigabe in den Kalender-Einstellungen erneut an; nach mehrfacher Ablehnung oder nach 30 Tagen wird der Auftrag verworfen (Ziffer 4c.9). Auf dem iPhone fragt das Betriebssystem beim Verbinden nach dem Kalenderzugriff; ein getrenntes Schreibrecht gibt es dort nicht. Die Berechtigung können Sie jederzeit in den Systemeinstellungen widerrufen; der Widerruf wirkt für die Zukunft.

4c.8 Not-Aus. Der Betreiber kann das Rückschreiben je Plattform (Android, iOS) abschalten. Dann sperrt FamOS Änderungen an den Rückschreib-Feldern von Handyterminen dieser Plattform und beendet offene Aufträge mit einem Hinweis, sobald die App auf dem Gerät das nächste Mal abgleicht. Das Lesen und die in den Handykalender bereits geschriebenen Änderungen bleiben unberührt.

4c.9 Aufträge: Inhalt, Dauer und Löschung. Ein Übertragungsauftrag enthält nur die geänderten Felder (Titel, Beschreibung, Ort, Zeit) mit dem alten und dem gewünschten Wert, die Kennung des Termins und des Kalenders, Status, Ergebnis, Versuchszähler und Zeitpunkte; am Termin speichert FamOS zusätzlich einen Hinweis mit den betroffenen Feldern, dem Grund und dem Zeitpunkt. Er bleibt gespeichert, bis Sie Titel, Beschreibung, Ort oder Zeit des Termins in FamOS erneut ändern oder der Termin aus FamOS entfernt wird; das Schließen des Hinweises blendet ihn nur in der geöffneten Ansicht aus. Offene Aufträge laufen nach 30 Tagen ab. Ein Auftrag endet außerdem, wenn die Übertragung endgültig scheitert (zum Beispiel Termin im Handy nicht mehr gefunden, Kalender schreibgeschützt, Schreibrecht wiederholt abgelehnt) oder das Handy ein Feld inzwischen selbst geändert hat. In diesen Fällen übernimmt FamOS beim nächsten Abgleich wieder den Stand Ihres Handykalenders; Ihre nicht übertragene Änderung wird in FamOS verworfen und nur noch im Hinweis am Termin genannt. Verschwindet der Termin aus FamOS (Ziffer 4c.6), bleibt der zugehörige Auftrag als beendet gespeichert und wird nie ausgeführt. Erledigte, abgelaufene, fehlgeschlagene und beendete Aufträge bleiben als Protokoll gespeichert und werden gelöscht, wenn Sie die Kalenderquelle entfernen oder Ihr Konto löschen.

4c.10 Rechtsgrundlage. Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der von Ihnen gewählten Kalenderfunktion). Der Zugriff auf Kalenderdaten im Gerät beruht zusätzlich auf Ihrer Berechtigung im Betriebssystem. Die zufällige Installationskennung ist für die Zuordnung der Quelle zum Gerät und damit für die ausdrücklich gewünschte Funktion erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Beim Lesen und Rückschreiben handelt FamOS nicht auf Anweisung eines Kalenderanbieters und gibt keine Daten an ihn weiter; die Weitergabe erfolgt über Ihr Betriebssystem.

---

5. Empfänger und Drittlandtransfer

Personenbezogene Daten werden nur übermittelt, soweit dies für den Betrieb erforderlich ist oder Sie eingewilligt haben:

• Hosting: Die Anwendung und Datenbank werden auf Servern in Deutschland betrieben (Strato AG, Berlin). Es findet insoweit kein Drittlandtransfer statt.
• E-Mail-Versand (SMTP): über den SMTP-Dienst der Strato AG (smtp.strato.de) für Verifikations-, Passwort-Reset- und Einladungs-E-Mails.
• Anmeldedienste (Social Login): Nur wenn Sie sich über „Mit Google anmelden“, „Mit Microsoft anmelden“ oder „Mit Apple anmelden“ registrieren oder anmelden, tauschen wir mit dem jeweiligen Anbieter (Google Ireland Ltd. / Google LLC, Microsoft Ireland / Microsoft Corp., Apple Inc.) die für die Anmeldung nötigen Daten aus. Es findet kein Zugriff auf Ihre Kalender über diesen Login statt.
• Kalenderanbieter Ihres Handys (Google, Microsoft, Apple): FamOS übermittelt keine Daten direkt an diese Anbieter. Schreibt die App eine Änderung in einen Handykalender, der mit einem Konto bei einem Anbieter verknüpft ist, synchronisiert Ihr Betriebssystem sie mit dem Anbieter; bei Terminen mit Gästen benachrichtigt der Anbieter die Teilnehmer (Ziffer 4c.4). Der Anbieter ist hierfür selbst verantwortlich. Bei einem rein lokalen Kalender ohne verknüpftes Konto findet keine Weitergabe statt.
• Push-Benachrichtigungen: Zustellung über Firebase Cloud Messaging (Google). Dabei werden Geräte-Token und Benachrichtigungsinhalte über Google-Infrastruktur übertragen; ein Transfer in die USA ist möglich. Auch Geräte von Kindern können Push-Benachrichtigungen empfangen.
• KI-Anbieter: nur bei aktivierten KI-Funktionen mit Ihrer Einwilligung bzw. bei Kindern mit der Freigabe der Eltern (siehe Ziffern 4 und 4a). Primär OpenRouter, Inc. (USA); nachgelagerte Modell-Anbieter je nach Modell. Bei Essensplänen zusätzlich pseudonymisierte Ziele und Einschränkungen der Esser (Ziffer 4b.9).
• Zahlungsabwicklung Premium und Family:
• PayPal (Europe) S.à r.l. et Cie, S.C.A. (Luxemburg) bei Web-Abos: Zahlungs- und Abo-Daten gemäß PayPal-Bedingungen.
• Google Ireland Ltd. / Google LLC (Google Play Billing) bei In-App-Abos auf Android: Kauf-/Abo-Token und Statusinformationen zur Freischaltung.
• Apple (App Store, In-App-Kauf) bei In-App-Abos auf iOS: Apple wickelt die Zahlung ab. Wir erhalten eine von Apple signierte Transaktionsbestätigung (Transaktions-ID, ursprüngliche Transaktions-ID, Produkt-ID, Kaufzeitpunkt, Laufzeit, Status), die wir serverseitig prüfen, um das Abo freizuschalten oder zu entziehen.
• Werbung (Free-Tier, sobald aktiv, nur für Erwachsene):
• Google AdMob in der Android-App (Banner).
• Google AdSense auf der Website (sobald freigeschaltet; Marketing-Landing ohne Ads).
• Dabei können Google und eingebundene Werbepartner Kennungen, IP-Adressen, Cookie- bzw. SDK-Daten und Nutzungsinformationen zu Anzeigen verarbeiten. Es kann ein Transfer in die USA und andere Drittländer erfolgen.

Details: Subprozessoren-Liste.

Übermittlung in Drittländer: Soweit Daten in Länder außerhalb der EU/des EWR (insb. USA) übermittelt werden, erfolgt dies auf Grundlage eines Angemessenheitsbeschlusses der EU-Kommission (EU-US Data Privacy Framework, sofern der Anbieter zertifiziert ist) und/oder der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), bei OpenRouter insbesondere über die in der OpenRouter DPA einbezogenen SCCs, und bei einwilligungsbasierten Verarbeitungen (KI, personalisierte Werbung) ergänzend auf Art. 6 Abs. 1 lit. a bzw. Art. 49 Abs. 1 lit. a DSGVO.

---

6. Werbung im Free-Tier (AdMob / AdSense)

6.1 Wann werden Anzeigen gezeigt?

• Nur im Free-Tarif, sobald die Werbefunktion technisch freigeschaltet ist.
• Premium- und Family-Nutzer sehen keine FamOS-Werbebanner; der Anzeigen-Slot wird nicht geladen.
• Kinder sehen keine Werbung. In Kind-Konten wird weder das Mobile-Ads-SDK (AdMob) initialisiert noch ein Consent-Dialog (UMP) angezeigt, und es wird kein AdSense-Skript geladen. Das gilt auch auf der Beitrittsseite für Kind-Geräte (/join). Kindern werden keine Werbe- oder Kauf-Einstiege angezeigt.
• Das AdSense-Skript wird im Web erst geladen, wenn tatsächlich Werbung angezeigt wird. In den nativen Apps wird es nicht geladen.
• Die Marketing-Landingpage und öffentliche Tarifseiten sind ohne Werbeanzeigen konzipiert.

6.2 Technologien

Zusätzlich kann das Google User Messaging Platform (UMP)-SDK bzw. ein vergleichbares Consent-Management (CMP) eingesetzt werden, um in der EU/dem EWR und vergleichbaren Regionen Einwilligungen und Ablehnungen für Werbung, personalisierte Anzeigen und ggf. weitere Zwecke einzuholen und zu speichern (Consent Mode).

6.3 Welche Daten können verarbeitet werden?

Je nach Gerät, Einwilligungsstatus und Google-Konfiguration u. a.:

• IP-Adresse und grobe Standortableitung
• Geräte- und App-Kennungen, Advertising-ID (z. B. GAID), Cookie-IDs
• Geräte-/Browser-Informationen, App- und Seitenkontext der Anzeigenanfrage
• Einwilligungsstatus und Timestamp
• Interaktionen mit Anzeigen (Einblendungen, Klicks)

FamOS steuert primär, ob der Anzeigen-Slot geladen wird (showAds nur wenn nicht Premium oder Family, nicht Kind, und nach Consent-Regeln). Die konkrete Anzeigenauslieferung und Reichweitenmessung erfolgt durch Google und deren Partner.

6.4 Rechtsgrundlage und Einwilligung

• Speicherung/Zugriff auf Informationen im Endgerät für Werbung: grundsätzlich § 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), soweit nicht eine Ausnahme für unbedingt erforderliche Speicherung greift.
• Personalisierte Werbung und nicht notwendige Tracking-Technologien nur mit Einwilligung.
• Sie können Einwilligungen über das Consent-Banner / die UMP-Oberfläche ändern oder widerrufen; im Betriebssystem können Sie die Advertising-ID zurücksetzen oder personalisierte Anzeigen einschränken (Android-Einstellungen). Widerruf wirkt für die Zukunft.

6.5 Weitere Informationen von Google

• Google Privacy Policy
• How Google uses information from sites or apps that use our services
• AdMob / AdSense

6.6 Play Console: Data safety

Für die Android-App werden in der Google-Play-Datensicherheit u. a. Kategorien zu Werbung und ggf. Geräte-IDs deklariert, sobald AdMob produktiv ist. Dazu kommen Gesundheit und Fitness für Ernährungsprofile (nur erhoben, nicht geteilt; Auftragsverarbeitung durch den KI-Anbieter). Diese Erklärung ist die kanonische Nutzerinformation; die Play-Angaben werden daran ausgerichtet.

---

7. Premium, Family, PayPal, Google Play und Apple App Store

7.1 Beim Abschluss von Premium oder Family verarbeiten wir die für Vertrag und Freischaltung erforderlichen Daten (Kontozuordnung, Abo-Status, Produkt, Laufzeit, Ereignis-IDs zur Idempotenz).

7.2 Family-Plätze. Beim Family-Abo können Sie bis zu drei Mitgliedern Ihrer Gruppe einen Platz zuweisen. Wir speichern dazu, wem Sie wann einen Platz zugewiesen oder entzogen haben. Die KI-Freigabe für ein Kind belegt ebenfalls einen Platz (Ziffer 4a). Endet das Abo, bleiben die Plätze bis zum Ende der bezahlten Periode bestehen und werden dann entzogen.

7.3 PayPal (Web): Die Zahlung wird durch PayPal verarbeitet. Es gelten die Datenschutzhinweise von PayPal. Wir erhalten in der Regel keine vollständigen Kreditkartendaten, sondern Status- und Abonnementinformationen per API/Webhook.

7.4 Google Play (Android): Käufe laufen über Google Play Billing. Google verarbeitet Zahlungsdaten; wir erhalten Kauf-/Abo-Token und Status, um das Abo freizuschalten oder zu entziehen (auch über serverseitige Benachrichtigungen, z. B. RTDN, sobald aktiv).

7.5 Apple App Store (iOS): Käufe laufen über den In-App-Kauf von Apple (StoreKit). Apple verarbeitet die Zahlungsdaten; wir erhalten eine von Apple signierte Transaktionsbestätigung (siehe Ziffer 5), prüfen deren Signatur serverseitig gegen die Apple-Zertifikatskette und speichern die Transaktions- und Produktkennungen, Laufzeit und Status zur Freischaltung. Es gelten die Datenschutzhinweise von Apple.

7.6 Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag / vorvertragliche Maßnahmen). Aufbewahrung von abrechnungs- und buchungsrelevanten Daten nach handels- und steuerrechtlichen Vorgaben (typischerweise bis zu 10 Jahre), Abo-Status solange für den Vertrag und Nachweise erforderlich.

---

8. Speicherdauer

Bei Löschung Ihres Kontos werden Ihre Daten unmittelbar aus der aktiven Datenbank entfernt (vollständige Löschkaskade einschließlich Dateien wie Belegbildern und privaten Kochbuch-Rezepten). In geteilten Gruppen-Haushaltsbüchern und im gemeinsamen Familien-Kochbuch werden Ihre Buchungen bzw. der Erstellerbezug (owner_id) anonymisiert, damit die Summen und das Kochbuch der Gruppe konsistent bleiben; ein Personenbezug wird dabei entfernt. Laufende Abos bei PayPal, Google Play oder Apple müssen Sie ggf. zusätzlich dort kündigen. Was bei der Löschung mit Personenprofilen und Kind-Konten geschieht, steht in Ziffer 14.9.

---

9. Ihre Rechte

Sie haben im Rahmen der gesetzlichen Voraussetzungen folgende Rechte:

• Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17)
• Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20)
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3), gilt auch für KI und Werbung/Consent

Viele Rechte können Sie direkt in der App im Privacy Center (Einstellungen → Datenschutz) selbst ausüben:

• Datenexport (Art. 15/20): vollständiger Export Ihrer Daten als ZIP-Archiv im maschinenlesbaren JSON-Format, optional inklusive Belegbilder. Der Export enthält auch Ihre Kochbuch-Rezepte (export/cookbook.json), die Personenprofile, die Sie angelegt haben oder verwalten, Ihre Teilnehmer-Zuordnungen, Ihre verbundenen Kalenderquellen (mit Installationskennung und Plattform), die importierten Termine und die Übertragungsaufträge für den Handykalender (Ziffer 4c).
• Kontolöschung (Art. 17): vollständige Löschung mit Passwort-Bestätigung direkt in den Profileinstellungen.
• Einwilligungsverwaltung: alle KI- und Benachrichtigungs-Einwilligungen einzeln oder gesamt („KI aus“ mit einem Klick) widerrufen.
• Berichtigung: Profildaten jederzeit selbst ändern.
• Ernährungsprofil: Die Einwilligung können Sie jederzeit in der App widerrufen (Personen- bzw. Ernährungseinstellungen, Privacy Center). Der Widerruf löscht die Gesundheitsdaten sofort. Für verwaltete Profile üben die Erziehungsberechtigten die Rechte aus. Ihr Datenexport enthält Ihr Ernährungsprofil, die Ernährungsprofile der von Ihnen als Erziehungsberechtigter verwalteten Personen und die erkannten Trainings.

Kinder mit Kind-Konto. Für Kinder üben die Erziehungsberechtigten die Rechte aus. Das Verbinden und Trennen von Geräten, das Entfernen des Kind-Kontos und die Freigaben für KI verwalten sie in der Personenverwaltung (Einstellungen → Konto). Einen Datenexport für ein Kind-Konto bieten wir derzeit nur auf Anfrage an support@fam-os.de an; wir beantworten solche Anfragen innerhalb der Frist nach Art. 12 Abs. 3 DSGVO.

Für alle übrigen Anliegen (z. B. Einschränkung der Verarbeitung) wenden Sie sich an support@fam-os.de. Wir antworten unverzüglich, spätestens innerhalb eines Monats (Art. 12 Abs. 3 DSGVO).

Beschwerderecht: Sie haben das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts oder des Orts des mutmaßlichen Verstoßes. Für den Verantwortlichen (Sitz Baden-Württemberg) zuständig ist:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Lautenschlagerstraße 20
70173 Stuttgart
Deutschland
Website: https://www.baden-wuerttemberg.datenschutz.de/

---

10. Bereitstellungspflicht

Die Bereitstellung von E-Mail-Adresse, Name und Passwort ist für die Registrierung und Nutzung von FamOS mit eigenem Konto erforderlich (Art. 13 Abs. 2 lit. e DSGVO); ohne diese Daten kann kein Konto erstellt werden. Bei der Anmeldung über einen Anmeldedienst tritt dessen Kennung an die Stelle des Passworts. Alle weiteren Angaben und Funktionen sind freiwillig. Premium und Family setzen zusätzlich eine erfolgreiche Zahlungsabwicklung über PayPal, Google Play oder den Apple App Store voraus.

Für Kind-Konten werden keine E-Mail-Adresse und kein Passwort verlangt. Der Name stammt aus dem Profil, das die Eltern angelegt haben. Das Verbinden eines Geräts setzt ein aktives Family-Abo in der Gruppe voraus.

---

11. Datensicherheit (Art. 32 DSGVO)

Wir treffen unter anderem folgende technische und organisatorische Maßnahmen:

• Verschlüsselte Übertragung aller Daten (TLS/HTTPS)
• Passwörter werden ausschließlich als bcrypt-Hash gespeichert
• Serverseitige Verschlüsselung sensibler Inhalte im Ruhezustand (AES-256-GCM), u. a. KI-Chatverläufe, Finanzdaten, Belegbilder und Ernährungsprofile
• Verschlüsselte, zugriffsbeschränkte Backups mit fester Rotations- und Löschfrist
• Maskierung von E-Mail-Adressen und Telefonnummern vor Übermittlung an KI-Anbieter
• Rollen- und gruppenbasierte Zugriffskontrolle; Finanzdaten zusätzlich mit eigenem Berechtigungsmodell; Einschränkungen des Kind-Modus werden serverseitig durchgesetzt
• Kopplungscodes und Links für Kind-Geräte werden nur als SHA-256-Hash gespeichert, gelten 10 Minuten und genau einmal; Fehlversuche werden begrenzt
• Geräte-Sitzungen von Kindern können durch die Erziehungsberechtigten jederzeit widerrufen werden; der Widerruf beendet auch laufende Verbindungen des Geräts
• Schutz vor Missbrauch durch Rate-Limits; Protokollierung administrativer Zugriffe (Audit-Log)
• Speicherung von IP-Adressen in Einwilligungsnachweisen und Fehlversuch-Protokollen nur als SHA-256-Hash

Hinweis zur Formulierung „Ende-zu-Ende“: FamOS verschlüsselt Übertragung und sensible Speicherung auf dem Server. Der Server kann für den Betrieb und für von Ihnen freigegebene KI-Funktionen Daten entschlüsseln bzw. verarbeiten. Ein allgemeines Zero-Knowledge- / Ende-zu-Ende-Versprechen für alle Daten wird nicht gegeben.

---

12. Cookies, lokale Speicherung und SDKs

12.1 Technisch notwendig

Im Browser bzw. in der App werden technisch notwendige Daten lokal gespeichert (localStorage / App-Speicher), u. a.:

• Sitzungstoken (JWT, Gültigkeit 7 Tage) zur Anmeldung
• UI-Einstellungen (einschließlich der letzten Auswahl des Schalters „Ziele und Training“ pro Person im Essensplan) und ein optionaler Offline-Cache Ihrer App-Daten
• die zufällige Installationskennung der App (Ziffer 4c.3), die beim Verbinden des ersten Handykalenders angelegt wird, zur Zuordnung von Kalenderquelle und Gerät, auf Android und iOS; sowie der zuletzt bekannte Stand des Not-Aus für das Rückschreiben

Auf dem Gerät eines Kindes speichert die App ein Sitzungstoken mit einer Gültigkeit von 180 Tagen. Es wird beim Öffnen der App erneuert und ist an die Geräte-Sitzung gebunden, die nur die Erziehungsberechtigten widerrufen können (Ziffer 14.5).

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich). Beim Abmelden werden Sitzungstoken und Cache lokal gelöscht.

12.2 Werbung / Consent (Free-Tier)

Sobald Werbung aktiv ist, können Cookies, lokale Speicher-Einträge und Mobile-Advertising-SDKs (AdMob, UMP) gesetzt bzw. genutzt werden. Soweit nicht unbedingt erforderlich, erfolgt dies nur nach Einwilligung (Consent-Banner / UMP). Premium- und Family-Nutzer laden diese Werbe-SDKs in der Regel nicht, Kind-Konten nie.

12.3 Analyse

FamOS setzt derzeit keine eigenständigen Web-Analyse-Tools (z. B. Google Analytics) ein. Sollte sich das ändern, wird diese Erklärung vorab aktualisiert.

---

13. Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne von Art. 22 DSGVO (z. B. Scoring) findet nicht statt, auch nicht gegenüber Kindern. Die KI-Funktionen erstellen ausschließlich Vorschläge, die Sie selbst bestätigen oder verwerfen.

---

14. Mindestalter, Kinder und Personenprofile

14.1 Mindestalter für eigene Konten. Ein eigenes Konto mit E-Mail und Passwort oder über einen Anmeldedienst setzt ein Mindestalter von 16 Jahren voraus. Bei der Registrierung bestätigen Sie, dieses Alter erreicht zu haben. Für personalisierte Werbung können die Alters- und Einwilligungsregeln von Google und des anwendbaren Rechts zusätzliche Beschränkungen vorsehen.

14.2 Personen ohne eigenes Konto. Erwachsene Mitglieder einer Gruppe können dort Personen anlegen, die kein Konto haben, zum Beispiel Kinder, Babys oder Großeltern. Wir speichern dafür die Angaben, die die anlegende Person eingibt:

• Name (Anzeigename), Farbe und Emoji
• Geburtsjahr, optional Geburtsmonat
• Typ der Person (Baby, Kind, Erwachsener)
• die Erziehungsberechtigten, die das Profil verwalten dürfen

Geburtsjahr, Geburtsmonat und Erziehungsberechtigte sehen nur Gruppen-Administratoren und die eingetragenen Erziehungsberechtigten. Die übrigen Gruppenmitglieder sehen Name, Farbe, Emoji und Typ. Solche Personen können außerdem als Teilnehmer in Termine eingetragen werden. Die Teilnehmer-Zuordnung ist eine Annotation in FamOS. Sie wird nicht an externe Kalender (Google, Exchange u. a.) zurückgeschrieben.

Die anlegende Person versichert, dass sie die Angaben über die betreffende Person eingeben darf. Bei Kindern handelt sie als Träger der elterlichen Verantwortung oder mit deren Einverständnis. Erwachsene Personen, die Sie als Profil anlegen, informieren Sie bitte über den Eintrag und diese Erklärung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Nutzung der Familienfunktionen durch die anlegende Person), für das Interesse der Familie an einer gemeinsamen Organisation ergänzend lit. f. Ernährungsprofile für Kinder und Babys: Ziffer 4b.

14.3 Kind-Konto auf einem eigenen Gerät. Ist in der Gruppe ein Family-Abo aktiv, können Erziehungsberechtigte oder Gruppen-Administratoren für ein Kind ein eigenes Gerät verbinden. Dafür gilt:

• Die Einrichtung geht nur durch ein erwachsenes Gruppenmitglied, das das Profil verwalten darf. Das Kind legt kein Konto selbst an und gibt keine E-Mail-Adresse und kein Passwort an.
• Vor dem Erzeugen eines Codes bestätigt die einrichtende Person ausdrücklich, dass sie für das Kind sorgeberechtigt ist oder mit Zustimmung der Sorgeberechtigten handelt. Ohne diese Bestätigung erzeugt FamOS keinen Code. Die Bestätigung speichern wir mit Zeitpunkt und Konto im Protokoll. Das Sorgerecht selbst prüfen wir nicht.
• Das Elternteil erzeugt einen 6-stelligen Code und einen QR-Link. Beides gilt 10 Minuten und genau einmal. Wir speichern Code und Link-Token nur als Hash. Ein neuer Code entwertet ältere offene Codes desselben Kindes.
• Mit dem Einlösen entsteht ein Kind-Konto ohne E-Mail-Adresse und ohne Passwort. Der Name des Kindes entspricht dem Profilnamen. Das Kind ist Mitglied genau der Gruppe seines Profils, ohne Admin-Rechte.
• Das Elternteil erhält eine Benachrichtigung in der App, sobald ein Gerät verbunden wurde („Neues Gerät für <Name> verbunden“).

Rechtsgrundlage und Einwilligung nach Art. 8 DSGVO. Das Kind-Konto ist ein Dienst der Informationsgesellschaft, der sich an ein Kind unter 16 Jahren richten kann. Die Verarbeitung der Daten des Kindes beruht auf der Zustimmung des Trägers der elterlichen Verantwortung (Art. 8 Abs. 1 i. V. m. Art. 6 Abs. 1 lit. a DSGVO). Die Zustimmung erteilt das Elternteil mit der Bestätigung und dem Verbinden des Geräts. Sie kann jederzeit mit Wirkung für die Zukunft widerrufen werden, indem das Gerät getrennt oder das Kind-Konto entfernt wird (siehe 14.9). Für die Bereitstellung der Funktionen im Rahmen des Family-Vertrags des Elternteils gilt ergänzend Art. 6 Abs. 1 lit. b DSGVO.

14.4 Welche Daten zum Kind-Konto entstehen.

Die Gerätebezeichnung ist ein freier Text bis 64 Zeichen. Bitte tragen Sie darin keine personenbezogenen Angaben über das Kind ein.

14.5 Geräte-Sitzungen. Das Gerät des Kindes bleibt angemeldet. Die Sitzung ist 180 Tage gültig und verlängert sich, wenn die App geöffnet wird. Wird die App 180 Tage nicht geöffnet, ist ein neuer Code nötig. Im Kind-Modus gibt es keine Abmeldefunktion. Nur ein Erziehungsberechtigter oder Gruppen-Administrator kann ein Gerät trennen, einzeln oder durch Entfernen des Kind-Kontos. Beim Trennen werden auch laufende Verbindungen des Geräts beendet. Auf dem Gerät speichert die App das Sitzungstoken lokal (siehe Ziffer 12.1). Bitte trennen Sie ein Gerät, das verloren gegangen ist oder weitergegeben wird.

14.6 Was das Kind nicht kann. Im Kind-Modus sind abgeschaltet: Finanzen und Abrechnung, Abo-Verwaltung, Gruppenverwaltung und Einladungen, Kalender-Anbindungen und Importe, API-Schlüssel, Profil- und Passwortänderung, Kontolöschung, Datenexport, Datenschutz-Einstellungen und das Ändern eigener KI-Einstellungen. Fremde Termine kann das Kind nur lesen, bei Aufgaben nur den Erledigt-Status ändern, den Essensplan und das Kochbuch nur ansehen. Das wird serverseitig durchgesetzt.

14.7 KI für Kinder. Siehe Ziffer 4a.

14.8 Werbung. Kinder sehen keine Werbung, siehe Ziffer 6.1.

14.9 Rechte, Löschung und Export bei Kindern.

• Ausübung durch die Eltern. Das Kind kann Rechte aus Kapitel III DSGVO im Kind-Modus nicht selbst ausüben (kein Datenexport, keine Kontolöschung). Die Erziehungsberechtigten üben sie für das Kind aus. Ein Self-Service-Export der Daten eines Kind-Kontos durch die Eltern ist noch nicht verfügbar. Anfragen bearbeiten wir über support@fam-os.de (siehe Ziffer 9).
• Gerät trennen, Kind-Konto entfernen. Erziehungsberechtigte und Gruppen-Administratoren können in der Personenverwaltung ein Gerät trennen oder das Kind-Konto vollständig entfernen. Dabei werden Sitzungen und offene Codes gelöscht, die KI-Freigabe samt Platz beendet und das Konto samt seiner Inhalte nach der normalen Löschkaskade gelöscht. Das Profil bleibt ohne Verknüpfung bestehen und kann separat gelöscht werden.
• Löschung des Profils. Beim Löschen eines Profils entfallen auch die zugehörigen Teilnehmer-Zuordnungen.
• Löschung der Eltern. Löscht ein Elternteil sein Konto oder verlässt die Gruppe, wird es aus der Liste der Erziehungsberechtigten entfernt. Bleibt für ein Profil weder ein Erziehungsberechtigter noch ein Admin übrig, wird das Profil samt verknüpftem Kind-Konto gelöscht. Wird die Gruppe gelöscht, werden Profile, Kind-Konten und die Teilnehmer der Gruppentermine gelöscht.
• Austritt. Beim Austritt oder Entfernen eines Mitglieds werden seine Teilnehmer-Zuordnungen an Gruppenterminen gelöscht und Zuständigkeiten für Gruppenaufgaben aufgehoben.

14.10 Verzicht auf Profiling. Es findet kein Profiling von Kindern zu Werbezwecken statt (siehe 14.8). Es gibt keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO.

---

15. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert. Jede Fassung ist versioniert; frühere Fassungen bleiben über die App abrufbar. Bei wesentlichen Änderungen, insbesondere bei einwilligungsrelevanten Funktionen (KI, Werbung), informieren wir Sie in der App und holen erforderlichenfalls eine erneute Einwilligung ein.

Die Fassung vom 21. Oktober 2026 ergänzt die optionale Verbindung mit Handykalendern (Ziffer 4c): das Lesen der gewählten Kalender, eine zufällige Installationskennung je App-Installation zur Zuordnung von Kalenderquelle und Gerät, das Rückschreiben Ihrer Änderungen an Titel, Beschreibung, Ort und Zeit in den Handykalender und damit zum jeweiligen Kalenderanbieter, die Benachrichtigung von Teilnehmern durch den Kalenderanbieter bei Terminen mit Gästen, das Ausblenden statt Löschen von Handyterminen, die Abfrage des Schreibrechts nur bei Bedarf und die Abschaltmöglichkeit je Plattform (Ziffern 2, 3, 5, 8, 9, 12.1). Die Einwilligungsversion für das Ernährungsprofil (nutrition-2026-10-ernaehrung-1) bleibt unverändert. Die Fassung vom 20. Oktober 2026 ergänzte das Kochbuch mit automatischer Wochenplan-Vorauswahl und Begrenzung gekochter Nicht-Favoriten auf 14 Einträge pro Mahlzeit-Slot (Ziffern 4b.13, 8, 9), die dreistufige Nährwertauflösung über den Bundeslebensmittelschlüssel (BLS 4.0, CC BY 4.0) und den personenbezugsfreien KI-Schätz-Cache (Ziffer 4b.11), den Schalter „Ziele und Training“ pro Person sowie die Trainingsintensitätsstufen (Ziffer 4b.2) und die Übermittlung der Gesamt-kcal des Rezepts, von bis zu 10 Favoriten-Titeln und des 14-Tage-Mahlzeitverlaufs an den KI-Dienst (Ziffer 4b.9). Die Einwilligungsversion für das Ernährungsprofil (nutrition-2026-10-ernaehrung-1) bleibt unverändert. Die Fassung vom 15. Oktober 2026 ergänzte das optionale Ernährungsprofil mit persönlichen Zielen, Tellern, Aktivitätsanpassung und Freigabe an die Gruppe (Ziffer 4b). Die Fassung vom 5. Oktober 2026 ergänzte Personenprofile ohne Konto, Termin-Teilnehmer, Kind-Konten (Ziffern 4a und 14), das Family-Abo, die Zahlungsabwicklung über den Apple App Store und die Anmeldung über Anmeldedienste. Eine für ein Kind erteilte KI-Freigabe muss unter einer neuen Fassung erneuert werden, wenn sie ungültig geworden ist (Ziffer 4a).

---

FamOS · Datenschutzerklärung Version 2026-10-21 · Impressum · AGB · Widerruf · Subprozessoren