Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher für die hier beschriebenen Verarbeitungen durch Looly ist Tillmann Bedau (Looly), Ebertplatz 10, 50668 Köln, Deutschland — E-Mail: support@looly.app (siehe Impressum). Wende dich mit allen Datenschutzanliegen an die genannte Adresse.

2. Hosting, Speicherung und Auslieferung

Originaldateien liegen in Cloudflare R2 mit EU-Jurisdiktion; unsere Neon-Datenbank ist in Frankfurt am Main konfiguriert. Cloudflare Workers, Images, WebSockets (Durable Objects), Hintergrund-Workflows und Stream übernehmen Anfragen, Vorschaubilder, Importe und Videowiedergabe. Stream-Wiedergabekopien und globale Auslieferungs-Caches fallen nicht unter die EU-Speicherbeschränkung von R2. Verarbeitung und Anbieterzugriffe können außerhalb der EU erfolgen. Der Dienst ist nicht Ende-zu-Ende-verschlüsselt: Unsere Systeme und Dienstleister verarbeiten Inhalte zum Betrieb. Zugriffe sind auf berechtigte Zwecke beschränkt; Kreismitglieder erhalten Zugriff gemäß ihren Berechtigungen.

3. Konto und Anmeldung

Du meldest dich mit einem einmaligen E-Mail-Code (OTP) oder einem Passkey an — ein Passwort gibt es nicht. Dafür verarbeiten wir: deine E-Mail-Adresse, Einmalcodes (10 Minuten gültig), öffentliche Passkey-Schlüssel, falls du einen registrierst (Looly erhält den privaten Schlüssel nicht; dein Passkey-Anbieter kann ihn zwischen deinen Geräten synchronisieren), sowie Sitzungsdaten einschließlich IP-Adresse und Browser-Kennung, die du unter Einstellungen → Sicherheit → Aktive Sitzungen einsehen und widerrufen kannst. Sitzungen laufen nach 7 Tagen ab. Die Anmeldung ist durch Cloudflare Turnstile geschützt (eine unsichtbare Bot-Prüfung, die IP-Adresse und Browser-Signale verarbeitet). Rechtsgrundlagen: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse an der Absicherung des Dienstes (Art. 6 Abs. 1 lit. f DSGVO).

4. Deine Fotos, Videos und Familieninhalte

Der Kern des Dienstes: Fotos, Videos (einschließlich Live Photos), Bildunterschriften, Kommentare, Likes, Alben, Personen-Markierungen und die Profile der Kinder, um die es in einem Kreis geht. Wir verarbeiten diese Inhalte ausschließlich, um den Dienst für dich und die Mitglieder deiner Kreise zu erbringen — Speicherung, Transkodierung, Vorschaubilder, Auslieferung, Suche innerhalb deiner Kreise und Export. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); für Daten von Familienmitgliedern und Kindern, die selbst keine Nutzer sind, unser berechtigtes Interesse und das der beteiligten Familie an privatem Teilen nur auf Einladung (Art. 6 Abs. 1 lit. f DSGVO) — mit den Schutzmaßnahmen aus Abschnitt 5.

Foto-Metadaten (EXIF), Standort und Kamera

• Die Originaldatei bleibt unverändert erhalten. Was deine Kamera hineingeschrieben hat — einschließlich GPS-Koordinaten — bleibt im Original, steht dir beim Original-Download zur Verfügung und ist in Kreis-Exporten enthalten.
• Zwei Upload-Einstellungen (Einstellungen → Medien) steuern, was Looly zusätzlich ausliest, speichert und anzeigt: Aufnahmeort und Kameramodell. Das Abschalten stoppt Auslesen und Anzeige; die Bytes der Originaldatei verändert es nicht.
• Ist der Standort aktiviert, leiten wir aus den Koordinaten eine grobe Ortsangabe („Stadt, Land") ab — auf unseren eigenen Servern mit einem eingebauten Offline-Datensatz; ein externer Geocoding-Dienst wird nicht kontaktiert. In der App angezeigte Kopien sind neu kodiert und enthalten kein EXIF.

Kreis-Admins wählen je Kreis eine Download-Richtlinie (Originale / Webqualität / keine Downloads). Gelöschte Fotos liegen 30 Tage im Papierkorb (wiederherstellbar) und werden dann endgültig gelöscht; „Jetzt löschen" löscht sofort.

5. Daten von Kindern

Looly existiert, damit Eltern die ersten Jahre ihres Kindes privat teilen können. Kinder sind keine Nutzer — Konten gehören Erwachsenen. Ein Kreis speichert Name und Geburtsdatum des Kindes (das in der Zukunft liegen darf, für werdende Eltern), optional Bio und Avatar sowie die von Mitgliedern hinzugefügten Fotos und Markierungen. Weil Kinderdaten besonderen Schutz verdienen (Erwägungsgrund 38 DSGVO), ist das Produkt konservativ gebaut: Kreise sind nur auf Einladung zugänglich und standardmäßig privat, es gibt keine öffentlichen Links, keine Werbung in der App, kein Scannen von Inhalten, keine Gesichtserkennung, und Kinderdaten gehen niemals an Analyse- oder Werbeanbieter. Eltern behalten die Kontrolle: Admins können Inhalte und Mitglieder jederzeit entfernen; das Löschen von Fotos, Kreisen und Konten wird wie in Abschnitt 14 beschrieben umgesetzt.

6. Kreise, Einladungen und Sichtbarkeit

• Inhalte sind nur für Mitglieder des Kreises sichtbar, in den sie geteilt wurden — gemäß ihrer Rolle (Admin, Beitragende, Follower).
• Einladungen sind persönlich: Wir speichern die eingeladene E-Mail-Adresse und einen gehashten, einmalig nutzbaren Einladungs-Token mit 7 Tagen Gültigkeit. Die Annahme ist durch Turnstile geschützt.
• Kreis-Admins sehen die E-Mail-Adressen der Mitglieder ihres Kreises in der Mitgliederliste; Mitglieder sehen gegenseitig Namen, Avatare und Beziehungsangaben.
• Die „Zuletzt aktiv"-Anzeige je Kreis kann der Admin abschalten; sie wird dann serverseitig unterdrückt, nicht nur ausgeblendet.

7. Bezahlung — Stripe als Merchant of Record

Web-Abonnements werden über Stripe verkauft. Stripe handelt als Merchant of Record: Kauf, Zahlungsdaten, Rechnung und Umsatzsteuer wickelt Stripe als Verkäufer der Transaktion ab; für die Zahlungsbeziehung ist Stripe eigener Verantwortlicher (siehe Datenschutzerklärung von Stripe). Deine Kartendaten sehen wir nie. Mit Stripe tauschen wir aus: deine Looly-Konto-ID zur Zuordnung des Kaufs, den gewählten Tarif, ein Einwilligungs-Flag und — falls du über eine Kampagne kamst — grobe Attributionswerte (Abschnitt 10). Stripe meldet uns den Abo-Status und für Belege die beim Checkout verwendete E-Mail-Adresse. Rechtsgrundlagen: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und gesetzliche Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO).

App-Store-Käufe und TestFlight

In-App-Käufe verwenden Apple StoreKit. Apple verarbeitet Zahlungs- und Storefront-Daten nach eigenen Bedingungen und Datenschutzhinweisen. Wir erhalten signierte Transaktions- und Verlängerungsdaten, Produkt- und Transaktionskennungen, Kauf- und Ablaufstatus sowie einen mit deinem Looly-Konto verknüpften App-Account-Token, um Berechtigungen zu prüfen und Käufe wiederherzustellen. Kartendaten erhalten wir von Apple nicht. TestFlight ist Apples Beta-Verteilungsdienst; Apple verarbeitet Installations-, Absturz- und Feedbackdaten nach seinen TestFlight-Bedingungen. Käufe in TestFlight verwenden Apples Sandbox. Rechtsgrundlage für unsere Kaufprüfung: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

8. E-Mails von uns

Wir versenden E-Mails über den E-Mail-Dienst von Cloudflare, von no-reply@looly.app. Zwei Arten:

• Transaktional (nicht abschaltbar, solange du ein Konto hast): Anmeldecodes, Einladungen, Export-fertig-Hinweise und Abrechnungs-Hinweise wie die Erinnerung vier Tage vor Ende deiner Testphase.
• Aktivität (vollständig konfigurierbar): neue Fotos, Kommentare, neue Mitglieder und Zusammenfassungen (stündlich, täglich oder wöchentlich). Jede Aktivitäts-E-Mail enthält einen funktionierenden Ein-Klick-Abmeldelink; feingranulare Einstellungen unter Einstellungen → Benachrichtigungen.

Rechtsgrundlagen: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); bei Aktivitäts-E-Mails zusätzlich deine Einstellungen.

9. Push-Mitteilungen (iOS)

Aktivierst du Push auf iOS, speichern wir deinen Geräte-Token und stellen Mitteilungen über Apples Push-Dienst (APNs) zu. Die Push-Inhalte enthalten den Mitteilungstext — etwa den Namen des Kindes als Gruppierungstitel, den Namen des handelnden Mitglieds und einen Kommentar-Auszug. Apple verarbeitet diese Daten zur Zustellung. Kategorien steuerst du in den Benachrichtigungs-Einstellungen der App; Push lässt sich in den iOS-Einstellungen vollständig deaktivieren. Rechtsgrundlage: Erfüllung der von dir aktivierten Benachrichtigungsfunktion (Art. 6 Abs. 1 lit. b DSGVO). Die iOS-App enthält keine Werbe- oder Tracking-SDKs.

10. Produkt-Analytik — First-Party, ohne Werbe-Tracker

Auf öffentlichen Seiten (optional)

Erst nach deiner Analyse-Einwilligung zählt PostHog Cloud EU öffentliche Seitenaufrufe und ausdrückliche Aktionen. Browser-Persistenz, Sitzungsaufzeichnung, Autocapture, Personenprofile und IP-Geolokalisierung sind deaktiviert. Der Endpunkt erhält deine IP-Adresse als Teil der Netzwerkanfrage. URL-Parameter, private URLs und Formularinhalte werden nicht in diese Ereignisse aufgenommen. Du kannst Analyse getrennt von Werbung ablehnen, deine Auswahl über „Datenschutzeinstellungen“ ändern oder Do Not Track im Browser nutzen. Rechtsgrundlagen: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO und, soweit anwendbar, § 25 Abs. 1 TDDDG).

Im Produkt (serverseitig, mit Opt-out)

Unsere Server erfassen wenige Funnel-Ereignisse, verknüpft mit deiner Konto-ID — etwa „registriert", „Kind angelegt", „Paywall gesehen", „Checkout gestartet", „Abo aktiviert". Sie enthalten keine Fotos, keine Nachrichteninhalte und keine Kindernamen; Standortangaben beschränken sich auf einen am Netzwerk-Edge ermittelten Ländercode, nie auf gespeicherte IPs. Du kannst das jederzeit unter Einstellungen → Privatsphäre → „Hilf Looly besser zu werden" abschalten; danach senden unsere Server für dein Konto keine solchen Ereignisse mehr. Rechtsgrundlage: berechtigtes Interesse an der Produktverbesserung (Art. 6 Abs. 1 lit. f DSGVO) mit beachtetem Opt-out.

Kampagnen-Attribution und Registrierungsmessung

Mit Analyse-Einwilligung speichern wir Kampagnenparameter im sessionStorage für den Browser-Tab und ordnen sie nach der Anmeldung deinem Konto zu. Werbe-Klickkennungen erfordern zusätzlich Werbe-Einwilligung. Eine zufällige Vor-Registrierungskennung wird nur mit Analyse-Einwilligung gespeichert und nach der Verifizierung entfernt. Einen von dir angeforderten Aktionscode können wir unabhängig von Analyse für diesen Checkout merken. Kontoverknüpfte Ereignisse sind pseudonyme personenbezogene Daten, keine anonymen Daten. Serverseitige Produktmessung umfasst Onboarding, Öffnen der Suche und Rewind-Aktionen in Web und iOS, niemals Suchtexte oder Kindernamen. Konto-Attribution wird mit dem Konto gelöscht; zur Löschung zugehöriger Analyse-Anbieterdaten kontaktiere uns. Ein Widerruf stoppt die künftige optionale Erhebung.

11. Werbemessung — nur mit Einwilligung

Auf unseren öffentlichen Marketing-Seiten (nie in der App) fragen wir ggf. über den Einwilligungs-Banner, ob wir Werbung messen dürfen: Google-Tags (Consent Mode v2, Enhanced Conversions) und das Meta-Pixel mit einem passenden serverseitigen Conversion-Ereignis. Stimmst du zu, können diese Tools Werbe-Cookies setzen und Klick-Kennungen sowie eine SHA-256-gehashte (pseudonymisierte, weiterhin personenbezogene) Version deiner E-Mail-Adresse zum Conversion-Abgleich erhalten; Google und Meta verarbeiten ggf. außerhalb der EU unter eigenen Garantien. Lehnst du ab — oder entscheidest dich einfach nie — lädt nichts davon und nichts wird geteilt: kein Werbe-Skript, kein Werbe-Cookie, kein serverseitiges Werbe-Ereignis. Ablehnen ist genauso einfach wie Zustimmen, und du kannst deine Entscheidung jederzeit über Privacy choices im Footer ändern. Rechtsgrundlagen: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Ist eine Werbe-Integration in Produktion nicht aktiviert, lädt auch bei Zustimmung nichts.

12. Sicherheit, Missbrauchsschutz und Logs

• Turnstile (Cloudflare) schützt Anmeldung und Einladungsannahme; es verarbeitet IP-Adresse und Browser-Signale, um Menschen von Bots zu unterscheiden.
• Rate-Limiting nutzt deine IP-Adresse vorübergehend (kurzlebige Zähler), um Missbrauch der Anmelde-Endpunkte zu verhindern.
• Wir minimieren Daten in Anwendungs-Logs: unsere strukturierten Logs vermeiden Query-Strings, Tokens, E-Mail-Adressen oder Nachrichteninhalte; Fehler-Logs nur Fehlernamen. Betriebs-Logs liegen im kurzlebigen Workers-Logging von Cloudflare.

Rechtsgrundlage: berechtigtes Interesse an einem sicheren, missbrauchsfreien Dienst (Art. 6 Abs. 1 lit. f DSGVO).

13. Cookies und Speicher auf deinem Gerät

Anmeldung, Sicherheit, Einstellungen und angeforderte App-Funktionen verwenden erforderlichen Speicher (§ 25 Abs. 2 TDDDG). Optionale Analyse- und Werbespeicherung erfordern die oben beschriebenen Entscheidungen; First-Party-Speicher ist nicht automatisch einwilligungsfrei. Die folgende Übersicht nennt die wesentlichen Zwecke. iOS verwendet außerdem Keychain für Zugangsdaten, UserDefaults für Einstellungen, GRDB/SQLite für Offline-Metadaten und Dateicaches für Fotos und ausstehende Uploads. Widgets und Share Extension tauschen App-Daten über die App-Gruppe aus. Absichtlich heruntergeladene oder exportierte Dateien bleiben auf deinem Gerät, bis du sie entfernst.

14. Speicherdauer

15. Auftragsverarbeiter und Empfänger

Mit niemandem sonst teilen wir Daten. Wir verkaufen keine personenbezogenen Daten, und im Produkt gibt es keine Werbung.

16. Drittlandübermittlungen

EU-Speicherung der Originale schließt internationale Übermittlungen nicht aus (Abschnitt 2). Soweit die US-Muttergesellschaft eines Anbieters beteiligt ist, stützen sich Übermittlungen auf das EU–US Data Privacy Framework und/oder EU-Standardvertragsklauseln (siehe Tabelle oben). Werbeanbieter nach Abschnitt 11 verarbeiten unter eigenen Transfer-Garantien — und nur nach deiner Einwilligung.

17. Deine Rechte

Dir stehen die Rechte auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Basis berechtigter Interessen (Art. 21) zu. Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Kontakt: support@looly.app. Du kannst dich außerdem bei einer Aufsichtsbehörde beschweren — für uns ist das die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf, oder jede Aufsichtsbehörde deines gewöhnlichen Aufenthalts in der EU.

Praktische Selbstbedienungs-Varianten dieser Rechte sind eingebaut: Löschung je Foto und je Kreis, Papierkorb-Wiederherstellung, Kreis-Export (Originale + Metadaten), Abschalten von Benachrichtigungen und Analytik, Medien-Upload-Einstellungen, Sitzungs-Widerruf und vollständige Kontolöschung in den Einstellungen.

FamilyAlbum-Import, Support und Vertragserklärungen

Bei einem von dir angeforderten Import kontaktieren wir FamilyAlbum (MIXI) mit dem angegebenen Albumlink und Passwort und rufen Medien, Bildunterschriften, Kommentare, Daten und Mitgliedsnamen des ausgewählten Albums ab. Link und Passwort liegen während des Auftrags verschlüsselt in unserer Datenbank und werden bei Abschluss, Fehler, Abbruch oder Ablauf entfernt. Eine unbestätigte Vorschau läuft nach 24 Stunden ab. Fortschritt und importierte Mitgliederzuordnungen dienen der Duplikatvermeidung und Kontrolle; importierte Inhalte unterliegen danach den normalen Medienfristen. Der Import löscht das Quellalbum nicht. Die Verarbeitung erfüllt deinen Auftrag (Art. 6 Abs. 1 lit. b DSGVO); Rechte anderer abgebildeter Personen bleiben bestehen.

Supportanfragen, Kündigungen und Widerrufe enthalten Kontaktdaten, Vertragsreferenz, Nachricht und Eingangszeitpunkt. Wir bewahren auf, was zur Bearbeitung, zum Nachweis gesetzlicher Pflichten und zur Rechtsverteidigung erforderlich ist, gegebenenfalls auch nach Kontolöschung (Art. 6 Abs. 1 lit. b, c und f DSGVO). Erforderliche Kontodaten werden zur Bereitstellung des Dienstes benötigt; optionale Fotos, Profilfelder und Messentscheidungen sind freiwillig. Wir verwenden keine automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung nach Art. 22 DSGVO. Informationen und Kopien zu anwendbaren Übermittlungsgarantien kannst du über unsere Kontaktadresse anfordern.

18. Änderungen dieser Erklärung

Wir aktualisieren diese Erklärung, wenn sich die Datenflüsse des Produkts ändern, und passen das Datum oben an. Wesentliche Änderungen kündigen wir im Produkt oder per E-Mail an.