Datenschutzerklärung

Stand: 07.10.2026 · Version 2.0

In dieser Erklärung liest du, welche Daten wir verarbeiten, wenn du die enuvia-App oder unsere Website nutzt, wofür wir sie brauchen, wer sie außer uns zu sehen bekommt und wie lange sie gespeichert bleiben. Wir beschreiben dabei, was technisch wirklich passiert.

1. Wer ist verantwortlich?

Verantwortlich für die Datenverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Melike Bartek
c/o POSTFLEX PFX-908-474
Emsdettener Straße 10
48268 Greven
Deutschland

E-Mail: kontakt@enuvia.de
Telefon: +49 173 7132582
Website: enuvia.de

Wenn wir in dieser Erklärung „wir“ oder „enuvia“ schreiben, meinen wir die Verantwortliche.

2. Ansprechpartner für Datenschutz

Für alle Fragen zum Datenschutz und zu deinen Rechten erreichst du uns unter kontakt@enuvia.de oder unter der Anschrift in Abschnitt 1.

3. Das Wichtigste in Kürze

Was	Wo gespeichert	Wer bekommt es außer uns	Wie lange
Speicherort „Nur auf diesem Gerät“ (gilt auch, solange du noch nicht gewählt hast)	alle deine Eingaben nur auf deinem Gerät; kein Konto bei uns	niemand; Ausnahmen: Abo-Abfrage bei RevenueCat beim App-Start (Abschnitt 11), Spracheingabe (Abschnitt 12)	bis du sie in der App löschst oder die App entfernst
Speicherort „Mit Konto sichern & teilen“: Konto mit E-Mail oder Gastkonto	Server von Supabase in Paris (EU)	Supabase als Dienstleister	bis zur Kontolöschung; ungenutzte Gastkonten löschen wir nach 12 Monaten (nicht bei laufendem Abo)
Kinderprofile (Name, Geburtsdatum, Farbe), Lesestatus, Tagesinhalte, Einstellungen	Gerät; mit Konto auch Supabase-Server	Supabase; deine Partnerperson nur bei geteilten Kindern	bis zur Kontolöschung
Gesundheitsdaten: Schwangerschaft mit errechnetem Entbindungstermin, Pause, Sternenkind, ausgewählte Vorsorge-/U-/Impftermine, „Erledigt“-Häkchen	Gerät; auf dem Server nur mit deiner ausdrücklichen Einwilligung	Supabase; deine Partnerperson nur, wenn du ein Profil teilst und das bestätigst; sie behält nach dem Ende der Verbindung eigene Kopien (Abschnitt 10)	bis zum Widerruf oder zur Kontolöschung
Geburtsangaben (Uhrzeit, Gewicht, Größe, bei Mehrlingen Geburtsort), Notiz zu einem als Erinnerung bewahrten Profil, Bundesland, FSME-Angabe	nur auf dem Gerät	niemand	bis Löschung auf dem Gerät
Erinnerungen	auf dem Gerät geplant; auf dem Sperrbildschirm neutral, Details nur, wenn du sie einschaltest	niemand	bis zur Erinnerung
Push-Hinweise von unserem Server (nur mit Konto und nach Aktivierung)	Push-Token bei Supabase; Hinweistexte neutral	Apple (iPhone) bzw. Google (Android) zur Zustellung	Token bis Ausschalten, Abmelden oder Kontolöschung; Versandprotokoll ohne Text 90 Tage
Protokoll deiner Einwilligungen und Hinweise	Gerät; mit Konto auch Supabase-Server	Supabase	bis zur Kontolöschung
Abo enuvia+	Apple/Google, RevenueCat (USA), Supabase	Apple, Google, RevenueCat	Kaufereignisse nach Kontolöschung nur pseudonymisiert, höchstens drei Jahre
Spracheingabe in der Suche (nur nach Tippen aufs Mikrofon)	Audio geht an die Spracherkennung von Apple bzw. Google	Apple bzw. Google	nach deren Bestimmungen
Absturzberichte – nur, wenn du sie auf diesem Gerät einschaltest (Voreinstellung: aus)	Sentry, Speicherort Frankfurt	Sentry (US-Unternehmen)	höchstens 90 Tage, nicht an dein Konto gekoppelt
Website-Besuch	Server-Logs bei All-Inkl (Deutschland)	All-Inkl	siehe Abschnitt 16.1
Vorlagen und Newsletter (Website, nach Bestätigung per E-Mail)	Brevo (Frankreich)	Brevo	bis zur Abmeldung

Was wir nicht tun: Wir zeigen keine Werbung, setzen keine Analyse- oder Tracking-Dienste ein, verkaufen keine Daten, erstellen keine Werbeprofile und fragen keinen Standort ab. Die Website setzt beim bloßen Besuch keine Cookies.

4. Gesundheitsdaten – besonders geschützt

Einige Angaben in enuvia sind Gesundheitsdaten und damit besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO. Das betrifft vor allem die Person, die schwanger ist oder war, und deine Kinder. Auf deinem Gerät nutzt die App diese Angaben, damit sie funktioniert; solange sie nur dort liegen, verarbeiten wir sie nicht auf unseren Systemen. Auf unserem Server speichern wir sie nur, wenn du „Mit Konto sichern & teilen“ nutzt und ausdrücklich eingewilligt hast.

Welche Angaben das sind

Schwangerschaft: ein Profil vom Typ „Schwangerschaft“ mit dem errechneten Entbindungstermin, aus dem die App die Schwangerschaftswoche berechnet.
Status nach der Schwangerschaft: eine Pause, der Status Sternenkind (in der App „Als Erinnerung bewahrt“) mit Gedenkdatum und ein tatsächliches Geburtsdatum, das vom eingetragenen Datum abweicht. Geburtsgewicht, -größe und -uhrzeit bleiben immer nur auf deinem Gerät.
„Begleitete Schwangerschaft“: eine Einstellung, die nach „Baby ist da“ Inhalte zum Wochenbett steuert.
Vorsorge-, U-, Impf- und Schwangerschaftstermine, die du im Kalender auswählst (mit Datum und Uhrzeit), und ob du einen solchen Termin als erledigt abgehakt hast – auch, wenn sie mit deiner Partnerperson geteilt sind (Abschnitt 10).
Versandprotokoll von Push-Hinweisen (ohne Text, Abschnitt 9.4).
Löschprotokoll-Einträge zu gelöschten Schwangerschaften (nur Kennung, Typ und Zeitpunkt, Abschnitt 6).
Mittelbar: Suchbegriffe, gesprochene Suchanfragen, gelesene Artikel, im gemeinsamen Bereich geteilte Artikel und eure gemeinsame Notiz können Gesundheitsthemen berühren, je nachdem, was du suchst, liest oder schreibst. Diese Angaben fallen nicht unter die Einwilligung: Lesestatus, geteilte Artikel und die gemeinsame Notiz speichern wir mit Konto auch ohne Einwilligung, und ein Widerruf löscht sie nicht. Überlege dir deshalb, was du in die Notiz schreibst.

Normale Kinderprofile (Name, Geburtsdatum, Farbe, Mehrlinge) behandeln wir nicht als Gesundheitsdaten; sie werden mit Konto auch ohne diese Einwilligung gesichert (Abschnitt 6).

So fragen wir dich

Wählst du beim Einrichten „Mit Konto sichern & teilen“, zeigen wir dir vor der Eingabe von Gesundheitsdaten einen eigenen Bildschirm „Deine Einwilligung zu Gesundheitsdaten“. Er nennt, welche Daten betroffen sind, wofür wir sie brauchen, wo sie liegen, wer sie sieht und wie du widerrufst. Du entscheidest mit zwei gleichwertigen Schaltflächen: „Ich willige ein“ oder „Lieber nur auf diesem Gerät“. Ohne Einwilligung bleibt enuvia auf deinem Gerät.
Meldest du dich in einem bestehenden Konto an oder hast du enuvia schon vor dieser Version mit Konto genutzt, sichern wir deine übrigen Daten weiter; deine Gesundheitsdaten bleiben auf dem Gerät, bis du entscheidest. Wir fragen dich einmal danach; entscheiden kannst du jederzeit unter Menü → „Datenschutz & Einwilligungen“.
Gesundheitsangaben aus früheren App-Versionen, die schon auf unserem Server liegen, aktualisieren wir ohne deine Einwilligung nicht mehr. Lehnst du ab oder widerrufst du, löschen wir sie.
Deine Einwilligung gilt für dein Konto, also auf allen Geräten, auf denen du angemeldet bist. Widerrufst du auf einem Gerät, gilt das auf den anderen ab dem nächsten Abgleich.
Bevor du ein Profil mit deiner Partnerperson teilst, bestätigst du das zusätzlich (Abschnitt 10).
Jede Einwilligung und jeden Widerruf protokollieren wir (Abschnitt 5.5).

Widerruf: unter Menü → „Datenschutz & Einwilligungen“ im Bereich „Gesundheitsdaten“. Dann gleichen wir diese Angaben nicht mehr ab und löschen ihre Kopie auf unserem Server: Schwangerschaftsprofile und Profile mit Pause, Sternenkind/Gedenkdatum oder abweichendem Geburtsdatum, alle ausgewählten Termine und Erledigt-Häkchen, das Versandprotokoll der Push-Hinweise, gemeinsame Termine, die du angelegt hast oder die deine Kinder betreffen, die geteilten Kopien der betroffenen Profile, Kopien von Kinderprofilen und Terminen aus beendeten Verbindungen (Abschnitt 10), Löschprotokoll-Einträge zu Schwangerschaften und die Einstellung „begleitete Schwangerschaft“. Bist du gerade offline, löschen wir, sobald du wieder online bist. Auf deinem Gerät bleibt alles erhalten, und die App funktioniert weiter. Nicht gelöscht werden normale Kinderprofile, Lesestatus, Einstellungen, die gemeinsame Notiz, geteilte Artikel und die Kopien, die deine Partnerperson nach dem Ende einer Verbindung von dem bis dahin Geteilten behält (Abschnitt 10); Kopien auf dem Gerät deiner Partnerperson verschwinden erst mit deren nächstem Abgleich. Wechselst du auf „Nur auf diesem Gerät“, gilt das ebenfalls als Widerruf (Abschnitt 5.1).

Rechtsgrundlage: deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen; die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt.

Wer die Daten erhält: unser Hosting-Dienstleister Supabase (Abschnitt 5) als Auftragsverarbeiter; deine Partnerperson, wenn du ein Kind oder eine Schwangerschaft teilst und das bestätigst (Abschnitt 10). Push-Hinweise enthalten keine Gesundheitsangaben (Abschnitt 9). An Werbe- oder Analysedienste geben wir Gesundheitsdaten nicht weiter; Absturzberichte senden wir nur mit deiner Einwilligung und filtern Eingaben aus der App heraus (Abschnitt 13).

Freiwilligkeit: Die Einwilligung ist freiwillig. Ohne sie nutzt du alle Funktionen auf deinem Gerät; es fehlen nur Sicherung, Abgleich zwischen Geräten und das Teilen mit deiner Partnerperson.

5. Speicherort, Konto und Gastkonto

5.1 Speicherort: „Nur auf diesem Gerät“ oder „Mit Konto sichern & teilen“

Beim Einrichten fragen wir dich „Wo sollen deine Daten liegen?“. Beide Möglichkeiten stehen gleichrangig nebeneinander, vorausgewählt ist keine. Solange du nicht gewählt hast, gilt „Nur auf diesem Gerät“.

Nur auf diesem Gerät: Wir legen kein Konto an, gleichen nichts mit unserem Server ab und holen kein Push-Token (Abschnitt 9.3). Erinnerungen funktionieren weiter. Das Gerät verlassen in diesem Modus nur: die Abo-Abfrage bei RevenueCat beim App-Start (Abschnitt 11), gesprochene Suchanfragen, wenn du das Mikrofon nutzt (Abschnitt 12), Seiten unserer Website, die du in der App öffnest (Abschnitt 16.1), und E-Mails, die du uns schreibst (Abschnitt 15). Löschst du die App, sind deine Daten weg. Ob Sicherungen deines Geräts (z. B. iCloud- oder Google-Backup) die App-Daten erfassen, richtet sich nach deinen Geräteeinstellungen.
Mit Konto sichern & teilen: Wir legen ein Gastkonto an (Abschnitt 5.2), oder du meldest dich mit deiner E-Mail-Adresse an (Abschnitt 5.3). Deine Angaben werden dann regelmäßig (etwa alle fünf Minuten) mit unserem Server abgeglichen; Gesundheitsdaten nur mit Einwilligung (Abschnitt 4).
Wechsel: jederzeit unter Menü → „Datenschutz & Einwilligungen“ → „Speicherort“. Wechselst du zu „Mit Konto sichern & teilen“, fragen wir zuerst nach deiner Einwilligung zu Gesundheitsdaten, legen dann das Konto an und sichern deine Angaben. Wechselst du zu „Nur auf diesem Gerät“, gleichen wir nichts mehr ab und löschen die Serverkopie deiner Gesundheitsdaten (Widerruf, Abschnitt 4). Dein Konto und die übrigen Serverdaten bleiben bestehen, bis du das Konto löschst (Abschnitt 20).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der App in der von dir gewählten Form).

5.2 Gastkonto

Was passiert: Wählst du „Mit Konto sichern & teilen“, ohne eine E-Mail-Adresse anzugeben, legt enuvia ein anonymes Konto auf unserem Server an. Es bekommt eine zufällige Kennung (ID). Unsere Datenbank legt dazu einen leeren Profil- und einen Einstellungs-Datensatz an. Dieselbe ID nutzt unser Abo-Dienstleister RevenueCat (Abschnitt 11). Die Funktion „Gemeinsam nutzen“ steht Gästen nicht zur Verfügung. Ohne diese Wahl entsteht kein Gastkonto.

Zweck: Sicherung deiner Angaben ohne Registrierung.
Daten: zufällige Konto-ID, Anmelde-Token, Zeitpunkte, technische Verbindungsdaten (IP-Adresse, Gerätetyp/Browserkennung in den Protokollen von Supabase), dazu die abgeglichenen Inhalte.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für Gesundheitsdaten Abschnitt 4.
Empfänger: Supabase (Abschnitt 17). Drittland: siehe Abschnitt 18.
Speicherdauer: bis du es löschst. Ein Gastkonto, das 12 Monate lang nicht genutzt wurde (keine Anmeldung und keine Erneuerung der Sitzung), löschen wir automatisch mitsamt seinen Daten, es sei denn, dafür läuft noch ein enuvia+-Abo. Deinstallierst du die App, ohne vorher „Gastdaten löschen“ zu wählen, bleiben die Daten bis dahin auf unserem Server; nach einer Neuinstallation kannst du das Gastkonto nicht wiederherstellen.
Löschen: in der App über Menü → Profilkarte oben → „Mein Profil“ → Abschnitt „Konto & Daten“ → „Gastdaten löschen“, oder per E-Mail mit der Konto-ID, die die App dafür in die Nachricht einsetzt (Abschnitt 20).

5.3 Konto mit E-Mail-Adresse

Du kannst ein Gastkonto jederzeit mit einer E-Mail-Adresse sichern oder dich mit einem bestehenden Konto anmelden. Die Anmeldung läuft über einen Code bzw. Link, den wir dir per E-Mail schicken; optional kannst du ein Passwort festlegen. „Mit Apple anmelden“ und die Google-Anmeldung gibt es in der App nicht; auf der Website kannst du dich zusätzlich mit Google anmelden (16.5). Meldest du dich an, gilt der Speicherort „Mit Konto sichern & teilen“; deine Gesundheitsdaten bleiben auf dem Gerät, bis du einwilligst (Abschnitt 4).

Zweck: Anmeldung, Wiederherstellung auf einem neuen Gerät, Funktion „Gemeinsam nutzen“, Kontakt in Konto-Angelegenheiten.
Daten: E-Mail-Adresse, ggf. Passwort (nur verschlüsselt/gehasht bei Supabase gespeichert), Anzeigename (wenn du ihn angibst), Anmeldezeitpunkte, Anmelde-Token, Protokolle von Anmeldevorgängen (u. a. IP-Adresse, Browser-/Gerätekennung).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; Sicherheitsprotokolle Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch).
Empfänger: Supabase; für den Versand der Anmelde-E-Mails unser Mail-Server bei ALL-INKL.COM (Absender hello@enuvia.app).
Speicherdauer: bis zur Kontolöschung; Protokolle nach den Fristen in Abschnitt 19.
Pflicht: Für ein Konto mit E-Mail ist die E-Mail-Adresse erforderlich; ohne sie kannst du enuvia auf dem Gerät oder mit Gastkonto nutzen.

Deinen Anzeigenamen nutzen wir zur persönlichen Ansprache. Wenn du eine Partnerschaft eingehst, sieht deine Partnerperson ihn in der App (Abschnitt 10); in Push-Hinweisen erscheint er nicht.

5.4 Vom Gastkonto zum Konto

Sicherst du dein Gastkonto mit einer neuen E-Mail-Adresse, bleiben alle Daten unter derselben ID erhalten.
Meldest du dich mit einem bestehenden Konto an, fragt die App, ob die Gastdaten übernommen oder verworfen werden sollen. Das alte Gastkonto löscht die App anschließend automatisch auf dem Server. Scheitert diese Löschung, bleibt das Gastkonto bestehen, bis die automatische Löschung nach 12 Monaten greift (Abschnitt 5.2). Käufe, die du als Gast getätigt hast, bleiben der Gast-ID bei RevenueCat zugeordnet.

Abmelden: Beim Abmelden endet die Sitzung auf dem Gerät, und das Push-Token wird freigegeben. Deine Daten auf dem Server bleiben erhalten.

5.5 Protokoll deiner Einwilligungen und Hinweise

Damit wir nachweisen können, wozu du wann eingewilligt hast, protokolliert die App jede Einwilligung, jeden Widerruf und die Bestätigung des Hinweises auf Nutzungsbedingungen und Datenschutzerklärung. Den Hinweis „Gut zu wissen“ beim ersten Start (keine medizinische Beratung) merkt sich nur dein Gerät (Abschnitt 14).

Wann: wenn du den Hinweis auf Nutzungsbedingungen und Datenschutzerklärung bestätigst, in Gesundheitsdaten einwilligst oder widerrufst, das Teilen eines Profils mit deiner Partnerperson bestätigst und Absturzberichte ein- oder ausschaltest.
Daten je Eintrag: Art (z. B. Nutzungsbedingungen, Hinweis Datenschutzerklärung, Gesundheitsdaten, Teilen mit Partnerperson, Absturzberichte), Dokument und Version, eine Prüfsumme (SHA-256) des genau angezeigten Textes, Sprache, „erteilt“ oder „widerrufen“, Zeitpunkt (UTC), Plattform (iOS/Android), App-Version, beim Teilen die Partnerschaft und das Profil. Name, E-Mail-Adresse, Geräte-ID und IP-Adresse stehen nicht im Eintrag. Ein Widerruf ist ein neuer Eintrag; bestehende Einträge werden nicht geändert.
Wo: immer auf deinem Gerät; mit Konto zusätzlich in deinem Konto auf unserem Server. Deinen aktuellen Stand siehst du unter Menü → „Datenschutz & Einwilligungen“.
Geltung: Die Einwilligung zu Gesundheitsdaten gilt für dein Konto und wird auf deine anderen Geräte übertragen. Die Einwilligung zu Absturzberichten gilt nur für das Gerät, auf dem du sie erteilst; ein Eintrag von einem anderen Gerät schaltet sie hier nicht ein.
Zweck: Nachweis deiner Einwilligungen (Art. 7 Abs. 1 DSGVO) und gleicher Stand auf allen deinen Geräten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. c in Verbindung mit Art. 7 Abs. 1 DSGVO.
Empfänger: Supabase. Speicherdauer: bis zur Löschung deines Kontos (auch bei der automatischen Löschung eines Gastkontos); auf dem Gerät bis zur Löschung in der App oder zur Deinstallation.

6. Kinderprofile und Schwangerschaft

Zweck: Kernfunktion – altersgerechte Inhalte, Kalender, Erinnerungen.
Daten auf dem Server (nur mit Konto): Name des Kindes, Geburtsdatum, Typ, Farbe, Reihenfolge, Mehrlingsgruppe, technische Kennungen, Änderungs- und Löschzeitpunkt. Nur mit deiner Einwilligung (Abschnitt 4): Profile vom Typ Schwangerschaft mit errechnetem Entbindungstermin und Profile mit Pause, Sternenkind/Gedenkdatum oder einem vom eingetragenen Datum abweichenden tatsächlichen Geburtsdatum.
Daten, die nur auf deinem Gerät bleiben: Geburtsgewicht, -größe, -uhrzeit und bei Mehrlingen der Geburtsort (zur Anzeige im Profil unter „Geburt“), die optionale Notiz zu einem Profil, das du als Erinnerung bewahrst (sie wird weder abgeglichen noch an die Person übertragen, mit der du enuvia gemeinsam nutzt, und beim Zurücksetzen des Status gelöscht), dein Bundesland (für Ferien und Feiertage) und die Angabe, ob du in einem FSME-Risikogebiet wohnst. Hinweis: Sicherungen deines Geräts (z. B. iCloud- oder Computer-Backup) können diese Angaben nach den Einstellungen deines Geräts mit einschließen; darauf haben wir keinen Zugriff.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag mit dir als Elternteil); für die Angaben aus Abschnitt 4 Art. 9 Abs. 2 lit. a DSGVO.
Empfänger: Supabase; deine Partnerperson, wenn du das Kind teilst (Abschnitt 10).
Speicherdauer: bis zur Kontolöschung bzw. bei Gesundheitsangaben bis zum Widerruf.

Wenn du ein Kind oder eine Schwangerschaft löschst: Das Profil verschwindet sofort aus der App. Auf dem Server wird der Datensatz als gelöscht markiert und dabei sofort geleert: Es bleiben nur Kennung, Typ und Löschzeitpunkt; Name, Geburts-, Entbindungs- und Gedenkdatum und Status werden entfernt. Nach 30 Tagen löschen wir auch diese Markierung. Zusätzlich legt die App einen Eintrag im Löschprotokoll an – nur Kennung, Typ und Zeitpunkt, ohne Namen; bei einer Schwangerschaft nur mit deiner Einwilligung. Dieses Protokoll sorgt dafür, dass du keine Erinnerungen mehr zu einem gelöschten Profil bekommst, auch wenn ein anderes Gerät es später noch einmal hochlädt – das ist uns besonders nach einem Verlust wichtig. Es bleibt bis zur Kontolöschung gespeichert; Rechtsgrundlage ist unser berechtigtes Interesse, dir keine unpassenden Hinweise zu schicken (Art. 6 Abs. 1 lit. f DSGVO). Den Namen behält nur dein Gerät.

Auf der Website kannst du deine Kinderprofile ansehen und löschen, aber nicht anlegen oder bearbeiten (Abschnitt 16.5); es handelt sich um dieselben Datensätze.

7. Kalender, Termine und „Erledigt“

Zweck: dich an Vorsorge-, U-, Impf- und Schwangerschaftstermine zu erinnern und zu sehen, was schon erledigt ist.
Daten auf dem Server (nur mit Konto und Einwilligung, Abschnitt 4):
- ausgewählte Termine aus unserem Kalender (welcher Katalog-Termin, für welches Kind bzw. welche Schwangerschaft, gewähltes Datum und Uhrzeit, Auswahlzeitpunkt);
- Erledigt-Status (welcher Termin, Datum, Kind, Zeitpunkt des Abhakens).
Daten nur auf dem Gerät: früher angelegte eigene Termine (Titel, Kind, Kategorie, Uhrzeit, Notiz); sie sind nur noch lesbar, neue eigene Termine lassen sich nicht mehr anlegen.
Geteilte Kinder: Vereinbarst du einen Termin aus unserem Kalender für ein Kind, das du mit deiner Partnerperson teilst, wird er samt Datum, Uhrzeit und Erledigt-Status automatisch geteilt und als gemeinsamer Termin auf dem Server gespeichert – nur mit deiner Einwilligung (Abschnitt 10).
Rechtsgrundlage: Art. 9 Abs. 2 lit. a in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO (Abschnitt 4).
Empfänger: Supabase; bei geteilten Kindern deine Partnerperson.
Speicherdauer: bis zum Widerruf oder zur Kontolöschung; gemeinsame Termine bis zum Ende der Partnerschaft oder bis du den Termin bzw. das Kind wieder privat machst; früher angelegte eigene Termine auf dem Gerät bis zur Löschung dort.

Wenn du einen einzelnen Termin über das Teilen-Menü deines Geräts verschickst, entscheidest du selbst, an wen; dafür gelten die Bedingungen der App, die du dafür auswählst.

8. Inhalte, Suche und Einstellungen

Tagesinhalte: welcher Tagesinhalt (z. B. Wissen, Mythos) an welchem Tag aufgedeckt wurde – mit Konto auf dem Server, damit du ihn auf jedem Gerät wiederfindest.
Lesestatus: welche Artikel du gelesen hast, wann, und wie weit du gescrollt hast – mit Konto auf dem Server. Merkliste, „Gefällt mir“ und zuletzt gelesene Artikel (30 Tage) bleiben nur auf dem Gerät.
Suche: Die Suche läuft vollständig auf deinem Gerät. Deine letzten 12 Suchbegriffe speichert die App nur dort; Suchbegriffe werden nicht an uns übertragen.
Einstellungen: z. B. Helligkeit, Stimme für das Vorlesen, Benachrichtigungs-Schalter und Ruhezeiten – mit Konto auf dem Server, damit sie auf allen Geräten gelten. Die Einstellung „begleitete Schwangerschaft“ nehmen wir nur mit deiner Einwilligung mit (Abschnitt 4), sonst entfernt die App sie vor dem Hochladen. Die Einstellungen zu Push-Aktivierung und Sperrbildschirm-Details bleiben auf dem Gerät. Unser Server liest den Hauptschalter für Benachrichtigungen, bevor er dir einen Push-Hinweis schickt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; „begleitete Schwangerschaft“ Art. 9 Abs. 2 lit. a DSGVO (Abschnitt 4).
Empfänger: Supabase. Speicherdauer: bis zur Kontolöschung (Gerätedaten bis zur Löschung dort).

9. Erinnerungen und Push-Benachrichtigungen

enuvia verschickt zwei Arten von Benachrichtigungen: Erinnerungen, die die App auf deinem Gerät plant, und Push-Hinweise von unserem Server.

9.1 Erinnerungen (auf dem Gerät geplant)

Erinnerungen an ausgewählte oder früher angelegte eigene Termine plant die App auf deinem Gerät über die Benachrichtigungsfunktion des Betriebssystems – in beiden Speicherorten. Dafür läuft nichts über Apple, Google oder unseren Server.

Inhalt auf dem Sperrbildschirm: Standardmäßig neutral, z. B. „Erinnerung von enuvia – Ein Termin steht bald an.“ Den Namen deines Kindes und den Termin zeigt die Erinnerung nur, wenn du unter Menü → „Benachrichtigungen“ die Einstellung „Details auf dem Sperrbildschirm zeigen“ einschaltest (Voreinstellung: aus). Diese Einstellung gilt nur für das Gerät, auf dem du sie setzt. Zusätzlich gelten die Vorschau-Einstellungen deines Geräts.
Verlauf: Die letzten 30 Erinnerungen mit Titel und Text speichert die App nur auf deinem Gerät. Von lokal geplanten Erinnerungen geht keine Kopie an unseren Server.
Stille bei Verlust: Bei einem Profil mit dem Status Sternenkind oder einem gelöschten Profil unterdrückt die App Erinnerungen dazu.

9.2 Push-Hinweise (von unserem Server verschickt)

Push-Hinweise von unserem Server gibt es nur mit Konto und erst, nachdem du Benachrichtigungen aktiviert hast (Abschnitt 9.3). Sie kommen vor allem aus der Funktion „Gemeinsam nutzen“ und werden über die Push-Dienste der Gerätehersteller zugestellt:

iPhone/iPad: Apple Push Notification service (APNs), Apple Inc., One Apple Park Way, Cupertino, CA 95014, USA.
Android: Firebase Cloud Messaging (FCM), Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA.

Die Hinweistexte sind immer neutral, zum Beispiel „Ein gemeinsamer Termin wurde aktualisiert.“, „Es gibt Neues in eurem gemeinsamen Bereich.“ oder „Es gibt Neues von der Person, mit der du verbunden bist.“ Sie enthalten keine Namen von Kindern oder Personen, keine Artikeltitel und keine Termininhalte; die Einstellung „Details auf dem Sperrbildschirm zeigen“ gilt für sie nicht. An Apple bzw. Google übermitteln wir das Geräte-Token, diesen neutralen Titel und Text sowie technische Daten (Hinweis-ID, Ziel innerhalb der App; bei gemeinsamen Terminen enthält das Ziel eine interne Termin-Kennung und das Datum des Termins). Eine Kopie des Textes speichern wir nicht.

Google hält nicht zugestellte Nachrichten bis zu vier Wochen vor; wir setzen keine kürzere Frist. Wie lange Apple nicht zugestellte Nachrichten vorhält, richtet sich nach Apples Bedingungen.

9.3 Aktivierung, Push-Token und Firebase-Installations-ID

Vor der Aktivierung meldet sich die App weder bei Apple noch bei Google für Push an, startet Firebase nicht und erzeugt kein Push-Token.
Aktivierung: Aktiviert sind Push-Hinweise, wenn du mit Konto (Abschnitt 5.1) Benachrichtigungen im Einrichtungsschritt erlaubst oder unter Menü → „Benachrichtigungen“ „Push aktivieren“ einschaltest und dein Betriebssystem Benachrichtigungen erlaubt. Erst dann meldet sich die App an: auf dem iPhone bei Apple, das ein Geräte-Token vergibt; auf Android startet die App die Firebase-Bibliothek von Google, dabei entsteht eine Firebase-Installations-ID, und Google erhält u. a. diese ID, die App-Version und technische Kennungen, um ein FCM-Token zu erzeugen. Das Token speichern wir zusammen mit deiner Konto-ID und der Plattform auf unserem Server. Hattest du Benachrichtigungen schon in einer früheren Version erlaubt und eingeschaltet, bleibt das aktiviert.
Nur auf diesem Gerät: Ohne Konto gibt es keine Push-Hinweise von unserem Server. Die App holt dann auch dann kein Token und startet Firebase nicht, wenn du Benachrichtigungen erlaubst; Erinnerungen (9.1) funktionieren trotzdem.
Ausschalten und Löschung: Schaltest du „Push aktivieren“ aus, löschen wir die Tokens deines Kontos auf dem Server und melden das Gerät bei Apple bzw. Google ab. Das Token wird außerdem beim Abmelden und bei der Kontolöschung gelöscht. Entziehst du die Erlaubnis in den Geräteeinstellungen, meldet die App das Gerät beim nächsten Öffnen ab. Die Firebase-Installations-ID speichert Google nach eigenen Angaben bis zu ihrer Löschung und danach bis zu 180 Tage in Sicherungen.

9.4 Versandprotokoll von Push-Hinweisen

Für jeden Push-Hinweis, den unser Server verschickt, speichern wir einen Eintrag ohne Titel und Text: Hinweis-ID, Art, Versand- bzw. geplanter Zeitpunkt und ob du den Hinweis geöffnet oder weggewischt hast. Das verhindert doppelte Zustellung und zeigt, ob ein Hinweis angekommen ist. Den Geöffnet-Status überträgt die App nur mit deiner Einwilligung zu Gesundheitsdaten (Abschnitt 4); ein Widerruf löscht alle Einträge. Wir löschen jeden Eintrag nach 90 Tagen. Lokal geplante Erinnerungen (9.1) erscheinen hier nicht.

9.5 Rechtsgrundlagen, Empfänger, Dauer

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (gewünschte Erinnerungen und Funktion „Gemeinsam nutzen“); Versandprotokoll, soweit Gesundheitsbezug, Art. 9 Abs. 2 lit. a DSGVO (Abschnitt 4). Speichern und Auslesen von Token und Installations-ID auf dem Gerät nach deiner Aktivierung: § 25 Abs. 2 Nr. 2 TDDDG.
Empfänger: Supabase (Token, Versandprotokoll), Apple bzw. Google (Zustellung).
Drittland: USA (Abschnitt 18).
Speicherdauer: Token bis Ausschalten, Abmelden oder Kontolöschung; Versandprotokoll 90 Tage; Erinnerungsverlauf auf dem Gerät die letzten 30 Einträge.
Freiwillig: Ohne Benachrichtigungen funktioniert die App weiter; du bekommst dann keine Erinnerungen und Hinweise.

10. Gemeinsam nutzen (enuvia+ Gemeinsam)

Mit der Funktion „Gemeinsam nutzen“ verbindest du dein Konto mit dem Konto einer zweiten Person, z. B. dem anderen Elternteil, und ihr könnt Kinder, Termine und Artikel gemeinsam nutzen und eine gemeinsame Notiz führen. Die Funktion setzt ein Konto mit E-Mail-Adresse voraus (Speicherort „Mit Konto sichern & teilen“). Einladen kannst du nur mit einem eigenen aktiven enuvia+ Gemeinsam; annehmen lässt sich eine Einladung nur, solange die einladende Person enuvia+ Gemeinsam hat.

Einladung

Du gibst die E-Mail-Adresse der Person ein, die du einladen möchtest. Wir erzeugen eine Einladung mit Code und Kurzcode, die 14 Tage gültig ist, und speichern sie mit deinem Anzeigenamen und der E-Mail-Adresse der eingeladenen Person. Welche Kinder du teilst, ist dabei nicht vorausgewählt.
Den Einladungslink (https://enuvia.de/join-partner?code=…) verschickst du selbst über das Teilen-Menü deines Geräts, z. B. per Messenger; wir verschicken keine Einladungs-E-Mail. Der Anbieter, den du dafür wählst, und unser Webhoster (Abschnitt 16.1) sehen dabei den Code. Annehmen kann die Einladung nur, wer mit der angegebenen E-Mail-Adresse bei enuvia angemeldet ist.
Sobald die Einladung angenommen ist, löschen wir die E-Mail-Adresse daraus; bei einer abgelaufenen Einladung ebenfalls. Die Einladung selbst löschen wir 30 Tage nach Annahme bzw. Ablauf.
Hinweis für eingeladene Personen: Wir verarbeiten deine E-Mail-Adresse, weil die einladende Person sie angegeben hat (Art. 14 DSGVO). Rechtsgrundlage ist unser berechtigtes Interesse und das der einladenden Person, die Verbindung herzustellen (Art. 6 Abs. 1 lit. f DSGVO). Wir speichern sie nur, solange die Einladung offen ist (höchstens 14 Tage), und löschen sie bei Annahme oder Ablauf.

Teilen nur nach Bestätigung

Geteilte Profile nehmen ihre Termine samt Erledigt-Status mit und haben damit Gesundheitsbezug. Bevor du ein Kind oder eine Schwangerschaft teilst, fragen wir deshalb nach deiner Einwilligung zu Gesundheitsdaten (falls noch nicht erteilt, Abschnitt 4) und zeigen dir einen eigenen Dialog: was deine Partnerperson sieht, dass es um Gesundheit geht (bei einer Schwangerschaft ausdrücklich der Entbindungstermin) und wie du das Teilen beendest. Du wählst „Ja, teilen“ oder „Abbrechen“. Wir protokollieren die Bestätigung je Profil (Abschnitt 5.5).

Was ihr beide seht, sobald die Einladung angenommen ist

die Anzeigenamen von euch beiden (nicht die E-Mail-Adresse);
die gemeinsame Notiz (Freitext, den ihr beide schreiben könnt);
Kinder, die du teilst: Name, Geburtsdatum bzw. bei einer Schwangerschaft den errechneten Entbindungstermin, Farbe;
gemeinsame Termine für geteilte Kinder: Name des Kindes, Titel, Kategorie, Datum, Uhrzeit, Notiz, Erledigt-Status, wer den Termin angelegt hat. Termine aus unserem Kalender, die du für ein geteiltes eigenes Kind vereinbarst, werden automatisch geteilt (Abschnitt 7). Ihr könnt beide Datum, Uhrzeit, Notiz und Erledigt ändern oder den Termin entfernen. Einen einzelnen Termin kannst du im Termin über „Privat machen“ wieder privat stellen;
geteilte Artikel (Titel und deine Notiz dazu);
ob du enuvia+ hast.

Was nicht geteilt wird: Kinder, die du nicht teilst, samt ihren ausgewählten Kalenderterminen (Vorsorge/U/Impfung) und deren Erledigt-Status, Lesestatus, Suche, Einstellungen, Erinnerungen.

Push-Hinweise an die andere Person: z. B. wenn du ein Kind teilst, einen gemeinsamen Termin anlegst oder einen Artikel teilst – immer mit neutralem Text, ohne deinen Namen und ohne Titel (Abschnitt 9.2), und nur, wenn sie Push-Hinweise aktiviert hat.

Beenden und Pausieren

Du kannst die Partnerschaft in der App unter Menü → „Gemeinsam nutzen“ → „Verbindung beenden“ beenden, auch während einer Pause. Die beendete Partnerschaft könnt ihr danach nicht mehr aufrufen; ihren Datensatz mit euren Anzeigenamen löschen wir 30 Tage nach dem Ende. Deine eigenen Daten und die der anderen Person bleiben erhalten.
Was beim Ende passiert (durch Beenden, Ablauf der Pause oder Kontolöschung): Bevor wir die geteilten Daten auf dem Server löschen, legen wir für jede Person eigene Kopien an – die geteilten Kinderprofile (Name, Geburtsdatum bzw. errechneter Entbindungstermin, Farbe sowie Typ, Status und Gedenkdatum des geteilten Profils), die geteilten Termine samt Erledigt-Status, die Einträge im gemeinsamen Bereich und die gemeinsame Notiz. Diese Kopien liegen im jeweiligen Konto; nur diese Person kann sie sehen und löschen. Geteilte Termine erscheinen danach als eigene Termine im Kalender, ein geteiltes Kind, das die andere Person noch nicht hat, als eigenes Kinderprofil. Danach löschen wir die geteilten Daten und leeren die gemeinsame Notiz auf dem Server; es gibt keinen gegenseitigen Zugriff mehr und keinen Abgleich.
Keine Kopien von Kinderprofilen und Terminen bekommt, wer seine Einwilligung zu Gesundheitsdaten widerrufen hat (dann nur die Einträge des gemeinsamen Bereichs und die Notiz). Wer die Verbindung durch Löschen des Kontos beendet, bekommt gar keine Kopien; Name und Kennung dieser Person entfernen wir aus den Kopien der anderen Person.
Scheitert ein Schritt beim Anlegen der Kopien, speichern wir einen technischen Vermerk ohne Inhalte (Konto-Kennung, Partnerschaft, Schritt, Fehlercode und betroffene Tabelle) und löschen ihn nach 180 Tagen.
Auf derselben Seite kannst du ein einzelnes Kind über den Schalter beim Kind wieder privat machen. Dann löschen wir die geteilte Kopie des Kindes und seine geteilten Termine.
Widerrufst du deine Einwilligung zu Gesundheitsdaten, löschen wir die gemeinsamen Termine, die du angelegt hast oder die deine Kinder betreffen, die geteilten Kopien deiner Schwangerschafts- und Status-Profile sowie die Kopien von Kinderprofilen und Terminen aus beendeten Verbindungen in deinem Konto (Abschnitt 4). Die Kopien im Konto der anderen Person bleiben davon unberührt.
Endet enuvia+ Gemeinsam bei der Person, die es bezahlt, wird die Partnerschaft für 30 Tage pausiert. Geteilte Daten bleiben für euch beide lesbar und gespeichert; Neues teilen und Freigaben ändern könnt ihr nicht. Schließt die zahlende Person innerhalb der 30 Tage wieder enuvia+ Gemeinsam ab, geht es ohne neue Einladung weiter; sonst endet die Partnerschaft danach von selbst (siehe „Was beim Ende passiert“). Beenden könnt ihr jederzeit.
Löscht eine:r von euch das Konto, endet die Partnerschaft. Die andere Person behält ihre Kopien, die löschende Person nicht (siehe „Was beim Ende passiert“).
Auf dem Gerät der anderen Person können zwischengespeicherte Kopien bis zum nächsten Abgleich sichtbar bleiben.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (von dir gewünschte Teilen-Funktion); für geteilte Profile und Termine mit Gesundheitsbezug Art. 9 Abs. 2 lit. a DSGVO (Abschnitt 4); für die Kopien nach dem Ende die Einwilligung, mit der das Profil geteilt wurde (sie umfasst, dass die andere Person das bis dahin Geteilte behält), und Art. 6 Abs. 1 lit. b DSGVO für die eigene Nutzung dieser Kopien; Einladungs-E-Mail Art. 6 Abs. 1 lit. f DSGVO.
Empfänger: die andere Person; Supabase; Apple/Google für neutrale Push-Hinweise.
Speicherdauer: geteilte Kopien auf dem Server bis zum Ende der Partnerschaft, zum Privatstellen oder zum Widerruf; eigene Kopien nach dem Ende, bis du sie löschst oder dein Konto löschst (Kinder- und Terminkopien auch beim Widerruf); gemeinsame Notiz bis zum Ende der Partnerschaft, danach als eigene Kopie je Person; technischer Vermerk zu gescheiterten Kopien 180 Tage; Partnerschafts-Datensatz bis 30 Tage nach dem Ende; E-Mail der eingeladenen Person bis zur Annahme oder zum Ablauf, die Einladung bis 30 Tage danach.
Freiwillig: Ohne Partnerschaft nutzt du enuvia allein.

11. Abo und Käufe (enuvia+)

Kauf über Apple oder Google: enuvia+ kaufst du im App Store oder bei Google Play. Vertragspartner des Kaufs und verantwortlich für Zahlung, Rechnung, Widerruf und Abo-Verwaltung ist der jeweilige Store: im App Store die Apple Distribution International Ltd. (Cork, Irland), bei Google Play die Google Commerce Limited (Dublin, Irland). Die Stores verarbeiten deine Zahlungs- und Kontodaten in eigener Verantwortung nach ihren Datenschutzerklärungen (apple.com/legal/privacy, policies.google.com/privacy). Wir erhalten keine Zahlungsdaten wie Kartennummern, sondern nur Kaufbelege und den Abo-Status.

RevenueCat: Für die Verwaltung der Abos nutzen wir RevenueCat Inc., 1032 E Brandon Blvd #3003, Brandon, FL 33511, USA, als Auftragsverarbeiter.

Beim Start der App – in jedem Speicherort: Die App startet die RevenueCat-Bibliothek und fragt deinen Abo-Status und die aktuellen Angebote ab, damit sie enuvia+ freischalten und Preise anzeigen kann. RevenueCat vergibt dafür eine zufällige, anonyme Kennung, die auf deinem Gerät gespeichert wird. Dabei erhält RevenueCat diese Kennung, die IP-Adresse beim Verbindungsaufbau und Store- und Gerätedaten, die die Bibliothek überträgt. Das geschieht auch im Speicherort „Nur auf diesem Gerät“ und bevor du etwas kaufst.
Mit Konto verknüpft die App diese Abfrage mit deiner Konto-ID bei enuvia (auch bei Gastkonten), damit dein Abo auf allen Geräten und bei deiner Partnerperson gilt. Ohne Konto gibt es diese Verknüpfung nicht.
Daten bei RevenueCat: die anonyme Kennung bzw. deine Konto-ID als pseudonyme Kennung, Kaufbelege und Transaktionen des Stores, Abo-Status und -Laufzeit, Store- und Gerätedaten und die IP-Adresse beim Verbindungsaufbau. Name oder E-Mail-Adresse übermitteln wir nicht. Die Daten sind pseudonym, nicht anonym.
Daten bei uns (nur mit Konto): dein Abo-Status (enuvia+ ja/nein, Gemeinsam ja/nein, Ablauf) und die Kaufereignisse, die RevenueCat an unseren Server meldet (Ereignis-ID, Art des Ereignisses, deine Konto-ID, eine Prüfsumme des Ereignisses).
Zweck: Anzeige von Angeboten und Preisen, Freischalten von enuvia+, Abo-Status auf allen Geräten, Wiederherstellen von Käufen, Nachweis von Käufen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung von enuvia+ und der Abo-Funktionen), soweit die Abfrage vor einer Kaufabsicht erfolgt, Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer funktionierenden Abo-Anzeige); Aufbewahrung der pseudonymisierten Kaufereignisse Art. 6 Abs. 1 lit. f DSGVO (Nachweis von Käufen, Klärung von Abrechnungsfragen). Speichern der Kennung auf dem Gerät: § 25 Abs. 2 Nr. 2 TDDDG.
Empfänger: RevenueCat (setzt eigene Unterauftragsverarbeiter ein, u. a. in den USA), Supabase; deine Partnerperson sieht, ob du enuvia+ hast.
Drittland: USA, Grundlage EU-Standardvertragsklauseln (Abschnitt 18).
Speicherdauer: Abo-Status bei uns bis zur Kontolöschung. Bei der Kontolöschung löschen wir deinen Kundendatensatz bei RevenueCat und ersetzen in unseren Kaufereignissen deine Konto-ID durch eine nicht umkehrbare Prüfsumme; so können wir sie dir nicht mehr zuordnen. Kaufereignisse löschen wir spätestens nach drei Jahren. Ereignisse, die RevenueCat erst nach der Löschung meldet, pseudonymisieren wir ebenso. Bei der automatischen Löschung eines ungenutzten Gastkontos (Abschnitt 5.2) bleibt der Kundendatensatz bei RevenueCat derzeit bestehen. Wie lange RevenueCat Datensätze zu anonymen Kennungen aufbewahrt, richtet sich nach RevenueCat.

Wenn dein Abo endet: Wir löschen dann nichts. Im kostenlosen Umfang ist ein Kinderprofil voll nutzbar, weitere sind gesperrt und bleiben gespeichert, bis enuvia+ wieder aktiv ist.

Kontolöschung kündigt kein Abo: Ein laufendes Abo kündigst du in den Abo-Einstellungen von App Store bzw. Google Play (Seite „Kündigen & Erstatten“ in der App und auf enuvia.de).

12. Spracheingabe in der Suche

In der Themensuche gibt es ein Mikrofon-Symbol. Bevor du es zum ersten Mal nutzt, zeigen wir dir einmal einen kurzen Hinweis zur Spracherkennung; erst danach fragt dein Betriebssystem (beim ersten Mal über seinen eigenen Dialog) nach Zugriff auf Mikrofon und Spracherkennung und startet die Aufnahme.

Was passiert: Die Umwandlung von Sprache in Text übernimmt die Spracherkennung deines Betriebssystems – auf dem iPhone die von Apple, auf Android in der Regel die von Google. enuvia fordert dabei keine reine Offline-Erkennung an; deine Aufnahme kann deshalb an Server von Apple bzw. Google übertragen und dort verarbeitet werden. Apple und Google handeln dabei in eigener Verantwortung nach ihren Datenschutzbestimmungen.
Was enuvia erhält: nur den erkannten Text im Suchfeld. enuvia speichert keine Audioaufnahmen. Der Text wird wie eine getippte Suche behandelt und landet im lokalen Suchverlauf (Abschnitt 8).
Gesundheitsbezug: Gesprochene Suchanfragen können Gesundheitsthemen enthalten (z. B. Symptome).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (von dir ausgelöste Funktion).
Empfänger/Drittland: Apple bzw. Google, auch in den USA.
Freiwillig: Du kannst jederzeit per Tastatur suchen und den Zugriff in den Geräteeinstellungen entziehen.

13. Absturz- und Fehlerberichte (Sentry)

Um Abstürze und Fehler zu finden, kann die App Berichte an den Dienst Sentry der Functional Software Inc. (45 Fremont Street, San Francisco, CA 94105, USA) senden – nur, wenn du das auf diesem Gerät einschaltest. Die Voreinstellung ist „aus“, auch wenn du enuvia schon vorher genutzt hast. Du entscheidest im Einrichtungsschritt „Anonyme Absturzberichte senden“ oder jederzeit unter Menü → „Datenschutz & Einwilligungen“ → „Absturzberichte“. Die Einstellung gilt nur für dieses Gerät, nicht für deine anderen Geräte. Schaltest du sie aus, sendet die App ab dann keine neuen Berichte mehr.

Was an Sentry geht: Art des Fehlers und technischer Ablauf (Stacktrace mit Funktions- und Dateinamen), Schweregrad, App-Version und -Umgebung, Gerätemodell, Betriebssystem und -version, Sprache, Zeitzone, Speicherzustand, Namen von App-Bildschirmen und Wechsel zwischen Vordergrund und Hintergrund. Leistungsdaten (z. B. Ladezeiten), Sitzungsdaten („Release Health“) und Client-Berichte senden wir nicht. Bei Abstürzen im nativen Teil der App (außerhalb von Flutter) greifen unsere Filter nicht; auch diese Berichte enthalten Geräte- und App-Angaben. Beim Senden sieht Sentry technisch die IP-Adresse deines Geräts.
Was wir vorher entfernen: Nutzerkennung, Fehlermeldungstexte, Anfrage- und Zusatzdaten, Tags und alle Protokolleinträge außer Lebenszyklus- und Bildschirmausrichtungs-Ereignissen. Wir senden keine Bildschirmfotos und keine Bildschirmaufzeichnungen und setzen keine Nutzer-ID. Die Filter sind darauf ausgelegt, dass keine Eingaben aus der App (z. B. Namen oder Gesundheitsangaben) übertragen werden. Die App selbst übergibt keine IP-Adresse.
Zweck: Stabilität und Fehlerbehebung.
Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); für das Speichern und Auslesen von Informationen auf deinem Gerät durch die Sentry-Bibliothek § 25 Abs. 1 TDDDG. Du kannst die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem du den Schalter ausschaltest.
Speicherort: Die Fehlerdaten speichert Sentry in der EU (Frankfurt). Verwaltungsdaten der Organisation (z. B. Konten, Audit-Logs) liegen bei Sentry in den USA; ein Zugriff aus den USA ist möglich.
Drittland: USA, Grundlage EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln (Abschnitt 18).
Speicherdauer: je nach Sentry-Tarif höchstens 90 Tage; die Berichte sind nicht mit deinem Konto verknüpft und werden bei der Kontolöschung nicht gelöscht.

14. Speicherung auf deinem Gerät

Damit die App funktioniert, speichert sie Daten auf deinem Gerät und liest sie wieder aus (§ 25 Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, TDDDG). Das geschieht in den geschützten App-Speicherbereichen deines Geräts; Anmelde-Token liegen im Schlüsselbund (iOS) bzw. Keystore (Android).

Was	Wozu
Gewählter Speicherort und Merker zu Hinweisen (z. B. ob der Hinweis zur Spracheingabe schon gezeigt wurde)	Speicherort einhalten, Hinweise nur einmal zeigen
Protokoll deiner Einwilligungen und Hinweise (Abschnitt 5.5)	Nachweis, Einwilligungsstand
Nur mit Konto: Anmelde-Token (Sitzung), bei Gästen zusätzlich ein Sicherungs-Token; Zuordnung der lokalen Daten zu deinem Konto; Installationsmarker	Anmeldung, Gastkonto, Schutz vor Datenvermischung bei Kontowechsel
Konto-Angaben (E-Mail, Anzeigename, Anmeldestatus)	Anzeige im Profil
Kinder- und Schwangerschaftsprofile, Status (Geburt, Sternenkind – in der App „Als Erinnerung bewahrt“ –, Mehrlinge), Geburtsangaben, Erinnerungs-Notiz, Bundesland, FSME-Angabe	Kernfunktion, Anzeige im Profil, Ferien/Feiertage, Hinweise
Ausgewählte Termine, Erledigt-Status, früher angelegte eigene Termine	Kalender und Erinnerungen
Geplante Erinnerungen (im Benachrichtigungssystem des Geräts)	Erinnerungen zum richtigen Zeitpunkt
Erinnerungsverlauf (letzte 30, mit Text)	lokaler Verlauf; geht nicht an unseren Server
Lesestatus, Merkliste, „Gefällt mir“, zuletzt gelesene Artikel (30 Tage), aufgedeckte Tagesinhalte	Weiterlesen, Feed
Suchverlauf (letzte 12)	Vorschläge in der Suche
Einstellungen (Helligkeit, Stimme, Benachrichtigungs-Schalter, Ruhezeiten); nur auf dem Gerät: Push-Aktivierung und „Details auf dem Sperrbildschirm zeigen“	Darstellung, Benachrichtigungen
Zwischenspeicher der Partnerschaft (Partnerschaft, geteilte Kinder, Termine, Artikel) und ein privater Spitzname für die andere Person (nur lokal)	Funktion „Gemeinsam nutzen“ auch offline
Abo-Status-Zwischenspeicher; Daten der RevenueCat-Bibliothek (anonyme Kennung bzw. Konto-ID, zuletzt bekannter Abo-Status) – in jedem Speicherort	enuvia+ und Angebote, auch offline (Abschnitt 11)
Warteschlange noch nicht übertragener Änderungen (nur mit Konto)	Abgleich mit dem Server
Nur nach Aktivierung mit Konto: Push-Token (iOS) bzw. Firebase-Installations-ID und FCM-Token (Android)	Zustellung von Push-Hinweisen (Abschnitt 9.3)
Nur nach deiner Einwilligung: Zwischenspeicher der Sentry-Bibliothek (noch nicht gesendete Berichte)	Absturzberichte (Abschnitt 13)
Ereignisprotokoll (z. B. App-Start, geöffneter Artikel, Reaktion auf eine Erinnerung, Themeninteresse; höchstens 1.000 Einträge, höchstens 90 Tage)	damit Feed und Erinnerungen zu deiner Nutzung passen (z. B. keine Wiederholungen)

Das Ereignisprotokoll bleibt ausschließlich auf deinem Gerät. Es wird nicht an uns oder Dritte übertragen und nach 90 Tagen automatisch bereinigt.

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG, soweit Speichern und Auslesen unbedingt erforderlich sind, damit wir dir die von dir gewünschte App-Funktion bereitstellen; die anschließende Verarbeitung Art. 6 Abs. 1 lit. b DSGVO. Für die Sentry-Bibliothek § 25 Abs. 1 TDDDG (deine Einwilligung, Abschnitt 13). Zu Push-Token und RevenueCat siehe die Abschnitte 9.3 und 11.
Löschung: Beim Löschen deines Kontos, deiner Gastdaten oder beim Zurücksetzen des Geräts löscht die App alle lokalen Daten außer dem Installationsmarker und deinen Benachrichtigungs-Einstellungen (Hauptschalter, Push-Aktivierung, Sperrbildschirm-Details); danach fragt die App wieder nach dem Speicherort. Beim Deinstallieren löscht dein Betriebssystem die App-Daten.

15. Support und Kontakt per E-Mail

Wenn du uns aus der App schreibst (Hilfe/Support, Löschanfrage) oder eine E-Mail an kontakt@enuvia.de sendest, öffnet sich deine eigene E-Mail-App; die Nachricht läuft über deinen E-Mail-Anbieter an unser Postfach bei ALL-INKL.COM (Deutschland).

Daten: E-Mail-Adresse, Name (falls angegeben), Inhalt der Nachricht, ggf. vorbereitete Angaben wie die Konto-ID bei einer Löschanfrage.
Zweck: deine Anfrage beantworten, Fehler beheben, Inhalte ergänzen, Datenschutzanfragen bearbeiten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anfragen zur Nutzung) bzw. lit. f (sonstige Anfragen); Datenschutzanfragen Art. 6 Abs. 1 lit. c DSGVO.
Empfänger: ALL-INKL.COM als Auftragsverarbeiter.
Speicherdauer: Wir löschen Support-E-Mails manuell, wenn sie erledigt sind; eine feste Frist haben wir derzeit nicht festgelegt. Nachweise zu Datenschutzanfragen bewahren wir auf, solange wir sie zur Rechenschaft benötigen.

Das Kontaktformular für Fachkräfte auf der Website ist in Abschnitt 16.4 beschrieben.

16. Website enuvia.de

16.1 Hosting und Server-Protokolle

Unsere Website liegt bei ALL-INKL.COM – Neue Medien Münnich, Inh. René Münnich, Hauptstraße 68, 02742 Friedersdorf, in Rechenzentren in Deutschland. Öffnest du in der App den Menüpunkt „Website“ oder Support-Seiten, lädt ein eingebetteter Browser diese Seiten von dort. Die Rechtstexte sind dagegen Teil der App und werden nicht nachgeladen.

Daten: Bei jedem Aufruf speichert der Server ein Protokoll mit IP-Adresse, Datum und Uhrzeit, aufgerufener Adresse einschließlich Parametern (z. B. Kampagnen-Kennzeichen von Flyer-Kurzlinks oder der Code eines Einladungslinks für „Gemeinsam nutzen“), übertragener Datenmenge, Statuscode, verweisender Seite und Browser-/Gerätekennung. Tritt beim Versand einer E-Mail über unsere Formulare ein Fehler auf, protokollieren wir nur den technischen Fehler, nicht deine E-Mail-Adresse.
Zweck: Auslieferung der Website, Sicherheit, Fehleranalyse.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sicherer und fehlerfreier Betrieb).
Empfänger: ALL-INKL.COM als Auftragsverarbeiter. Drittland: keins.
Speicherdauer: automatische Löschung nach der bei unserem Hoster eingestellten Frist.

16.2 Keine Cookies, kein Tracking

Beim Besuch unserer Website werden keine Cookies gesetzt und nichts in deinem Browser gespeichert. Es werden keine Inhalte von anderen Servern nachgeladen: Schriften liegen auf unserem eigenen Server, es gibt keine Analyse-, Werbe- oder Social-Media-Dienste, keine eingebetteten Karten oder Videos. Links zu Instagram, den App-Stores oder anderen Seiten sind einfache Verweise; erst wenn du sie anklickst, gelten die Bestimmungen der jeweiligen Seite. Einträge im Browser-Speicher entstehen nur, wenn du dich auf der Website anmeldest (16.5).

Auf den Seiten Kliniktasche, Geburtsplan und Erstausstattung kannst du eine kostenlose Vorlage („Freebie“) anfordern und dich damit für unseren Newsletter anmelden.

Was passiert: Du setzt im Formular aktiv ein Häkchen und schickst es ab. Unser Server bittet dann unseren E-Mail-Dienstleister Brevo, dir eine Bestätigungs-E-Mail zu schicken (Double-Opt-in). Erst wenn du den Link in dieser E-Mail anklickst, nehmen wir dich in unsere Newsletter-Liste auf. Danach kannst du die Vorlage herunterladen und bekommst gelegentlich E-Mails rund um Schwangerschaft, Baby und enuvia. Bestätigst du nicht, nehmen wir dich nicht in die Liste auf. Ohne eingerichtetes Double-Opt-in nimmt unser Server keine Anmeldung an.
Daten: E-Mail-Adresse (Pflicht), Vorname (freiwillig), welche Vorlage du angefordert hast, Zeitpunkt von Anmeldung und Bestätigung; bei Brevo zusätzlich Versanddaten (Zeitpunkt, technische Zustelldaten).
Zweck: Versand der Vorlage und weiterer E-Mails rund um enuvia; Nachweis deiner Einwilligung.
Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG); Nachweis der Einwilligung Art. 6 Abs. 1 lit. c in Verbindung mit Art. 7 Abs. 1 DSGVO.
Empfänger: Brevo – Sendinblue SAS, Paris, Frankreich, als Auftragsverarbeiter. Brevo speichert in der EU, setzt aber Unterauftragsverarbeiter u. a. in den USA und Indien ein (Abschnitt 18).
Speicherdauer: bis du dich abmeldest oder uns um Löschung bittest. Die Löschung deines App-Kontos löscht den Newsletter-Kontakt nicht mit.
Widerruf: jederzeit über den Abmeldelink in jeder E-Mail oder per E-Mail an kontakt@enuvia.de.
Pflicht: Ohne E-Mail-Adresse und Bestätigung können wir dir die Vorlage nicht schicken.

16.4 Kontaktformular für Fachkräfte

Auf der Startseite können Hebammen, Praxen und andere Fachkräfte uns über ein Formular schreiben. Am Formular weisen wir auf diesen Abschnitt hin.

Daten: Name (Pflicht), E-Mail-Adresse (Pflicht), Berufsrolle und Einrichtung (freiwillig).
Was passiert: Unser Server leitet die Angaben über den E-Mail-Dienst von Brevo als E-Mail an unser Postfach kontakt@enuvia.de bei ALL-INKL.COM (Deutschland) weiter; als Antwortadresse ist deine E-Mail-Adresse eingetragen.
Zweck: Beantwortung deiner Anfrage, ggf. Zusammenarbeit.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Anfrage) bzw. lit. f (Beantwortung sonstiger Anfragen).
Empfänger: Brevo und ALL-INKL.COM als Auftragsverarbeiter.
Speicherdauer: bis die Anfrage erledigt ist; eine feste Frist haben wir derzeit nicht festgelegt.

16.5 Anmeldung und Profil auf der Website

Auf enuvia.de kannst du dich mit demselben Konto wie in der App anmelden.

Anmeldewege: E-Mail und Passwort, Code oder Link per E-Mail, Registrierung (E-Mail + Passwort), Passwort zurücksetzen und „Mit Google anmelden“. Bei Google wirst du auf dessen Anmeldeseite weitergeleitet; wir erhalten von dort deine E-Mail-Adresse, deinen Namen, soweit freigegeben, und ein Anmelde-Token. Google (Google Ireland Limited, Dublin) handelt dabei in eigener Verantwortung. Vor dem Erstellen eines Kontos weisen wir auf unsere Nutzungsbedingungen und diese Datenschutzerklärung hin.
Profilseite: zeigt deine E-Mail-Adresse, deinen Anzeigenamen (änderbar) und deine Kinderliste (Name, Geburtsdatum bzw. errechneter Entbindungstermin, Typ Kind oder Schwangerschaft). Neue Kinder- oder Schwangerschaftsprofile legst du nur in der App an, weil wir dort vorher deine Einwilligung für Gesundheitsdaten einholen (Abschnitt 4); auf der Website kannst du Profile ansehen und löschen. Gelöschte Profile werden wie in der App behandelt (Abschnitt 6). Beim ersten Aufruf wird ggf. ein Einstellungs-Datensatz angelegt; du kannst ein Passwort setzen und dich abmelden.
Browser-Speicher nach Anmeldung: Anmelde-Token (bis zur Abmeldung) und ein kurzlebiger Prüfwert für den Anmeldevorgang. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG, da für die von dir gewünschte Anmeldung unbedingt erforderlich.
„Ohne Anmeldung weiter zur Website“ speichert nichts.
Konto löschen: Auf der Website direkt ist das derzeit nicht möglich. Die Profilseite verweist auf die Wege in der App und per E-Mail (Abschnitt 20, enuvia.de/konto-loeschen).
Rechtsgrundlage, Empfänger, Dauer: wie in der App (Abschnitte 4–6); Empfänger Supabase, bei der Google-Anmeldung zusätzlich Google.

16.6 Einladungslinks („Gemeinsam nutzen“) und App-Links

Öffnest du einen Einladungslink (/join-partner) oder einen Link zu einem Artikel, liest die Seite den Code bzw. die Adresse nur in deinem Browser aus und öffnet damit die App. Wir speichern dabei nichts im Browser; der Aufruf erscheint aber im Server-Protokoll (16.1).

16.7 Seite „Konto löschen“

Unter [enuvia.de/konto-loeschen/](/konto-loeschen/) beschreiben wir ohne Anmeldung, wie du dein Konto oder Gastkonto löschst, in welcher Frist wir Anfragen per E-Mail bearbeiten, welche Daten gelöscht werden und welche bleiben (Abschnitt 20).

17. Empfänger im Überblick

Empfänger	Rolle	Wofür	Welche Daten	Sitz / Verarbeitungsort
Supabase (Supabase Pte. Ltd., 65 Chulia Street, Singapur; Supabase Inc., USA)	Auftragsverarbeiter	nur mit Konto: Konto, Datenbank, Server-Funktionen (Push-Auslösung, Partnerschaft, Kontolöschung, Abo-Abgleich, Aufbewahrungsfristen), Anmelde-E-Mails	Server-Daten dieser Erklärung, Gesundheitsdaten nur mit Einwilligung; Einwilligungsprotokoll; Protokolle mit IP-Adresse	Datenbank in Paris (EU, Amazon Web Services); Protokolle und Zugriffe auch außerhalb der EU (Abschnitt 18); vorgeschaltet Cloudflare Inc. (USA)
ALL-INKL.COM – Neue Medien Münnich, Friedersdorf	Auftragsverarbeiter	Website-Hosting, Postfach kontakt@enuvia.de (auch Kontaktformular), Versand der Anmelde-E-Mails	Server-Protokolle, E-Mails, E-Mail-Adresse + Anmeldecode	Deutschland
RevenueCat Inc., Brandon, FL, USA	Auftragsverarbeiter	Abo-Verwaltung, Angebote beim App-Start (in jedem Speicherort)	anonyme Kennung bzw. Konto-ID (pseudonym), Kaufbelege, Abo-Status, IP	USA
Sentry – Functional Software Inc., San Francisco, USA	Auftragsverarbeiter	Absturz- und Fehlerberichte, nur nach Einwilligung	technische Fehler- und Gerätedaten, IP beim Senden	Speicherung Frankfurt (EU); Verwaltung USA
Brevo – Sendinblue SAS, Paris	Auftragsverarbeiter	Vorlagen/Newsletter mit Double-Opt-in, Weiterleitung Kontaktformular	E-Mail, Vorname, Vorlage, Bestätigungszeitpunkt, Kontaktanfrage, Versanddaten	EU; Unterauftragsverarbeiter u. a. USA, Indien
Apple – Apple Inc., Cupertino, USA	eigenverantwortlich (Rolle siehe 9.2)	Push-Zustellung (APNs), nur nach Aktivierung mit Konto	Push-Token, neutraler Hinweistext, Ziel-Daten	USA/weltweit
Google – Google LLC, Mountain View, USA (Firebase)	eigenverantwortlich (Rolle siehe 9.2)	Push-Zustellung auf Android (FCM), Firebase-Installation, nur nach Aktivierung mit Konto	Installations-ID, FCM-Token, App-Version, neutraler Hinweistext, Ziel-Daten	weltweit
Apple Distribution International Ltd. (Cork) / Google (Play)	eigenverantwortlich	Verkauf und Abrechnung enuvia+	Kauf- und Kontodaten beim Store	Irland/weltweit
Apple / Google (Spracherkennung)	eigenverantwortlich	Spracheingabe	Audioaufnahme, erkannter Text	USA/weltweit
Google (Anmeldung auf der Website)	eigenverantwortlich	„Mit Google anmelden“	E-Mail, Name, Anmelde-Token	Irland/USA
Deine Partnerperson	Empfänger (Nutzer:in)	Funktion „Gemeinsam nutzen“	siehe Abschnitt 10	–
Behörden	Empfänger	nur wenn wir gesetzlich dazu verpflichtet sind (Art. 6 Abs. 1 lit. c DSGVO)	im Einzelfall	–

Mit unseren Auftragsverarbeitern haben wir Verträge nach Art. 28 DSGVO geschlossen bzw. deren Datenverarbeitungsbedingungen vereinbart.

18. Übermittlungen in Länder außerhalb der EU

Einige Empfänger sitzen außerhalb der EU oder können von dort auf Daten zugreifen. Für die USA gilt der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (DPF), soweit der Empfänger zertifiziert ist; sonst nutzen wir die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie der Garantien kannst du bei uns anfordern.

Empfänger	Land	Daten	Grundlage
Supabase (Vertragspartner Singapur, Konzern USA; Unterauftragsverarbeiter u. a. Google, Cloudflare)	USA, Singapur	nur mit Konto: Zugriff für Betrieb und Support, Protokolle mit IP; ggf. Ausführung von Server-Funktionen in US-Region; potenziell alle Server-Daten	Standardvertragsklauseln (nicht DPF-zertifiziert); für Singapur gibt es keinen Angemessenheitsbeschluss
Cloudflare Inc. (vor Supabase)	USA/weltweit	IP-Adresse, Verbindungsdaten	DPF, Standardvertragsklauseln
RevenueCat Inc. und dessen Unterauftragsverarbeiter	USA	anonyme Kennung bzw. Konto-ID, Käufe, IP – auch ohne Konto	Standardvertragsklauseln (nicht DPF-zertifiziert)
Sentry (Functional Software Inc.)	USA (Verwaltung, Zugriff)	nur nach Einwilligung: Fehlerdaten, IP	DPF, ergänzend Standardvertragsklauseln
Google LLC (Firebase/FCM)	USA/weltweit	nur nach Aktivierung: Installations-ID, Token, neutrale Hinweistexte, App-Version	DPF, ergänzend Standardvertragsklauseln
Apple Inc. (APNs)	USA	nur nach Aktivierung: Token, neutrale Hinweistexte	Standardvertragsklauseln (Apple)
Apple / Google (Spracherkennung, Stores); Google (Website-Anmeldung)	USA/weltweit	Audio/Text, Kaufdaten, Anmeldedaten (nur Google)	eigene Verantwortung der Anbieter (Apple: Standardvertragsklauseln; Google: DPF)
Brevo-Unterauftragsverarbeiter	USA, Indien	Newsletter-Kontakte, Versanddaten	Standardvertragsklauseln (laut Brevo-DPA)

19. Speicherdauer im Überblick

Daten	Speicherdauer
Daten im Speicherort „Nur auf diesem Gerät“	nur auf dem Gerät, bis zur Löschung in der App oder Deinstallation
Konto, Anmeldung, Anzeigename	bis zur Kontolöschung
Gastkonto mit allen Daten	bis du „Gastdaten löschen“ wählst; automatisch nach 12 Monaten ohne Nutzung, außer ein Abo läuft noch
Kinderprofile, Tagesinhalte, Lesestatus, Einstellungen	bis zur Kontolöschung
Gesundheitsdaten auf dem Server (Schwangerschaft, Status, ausgewählte Termine, Erledigt-Status, begleitete Schwangerschaft)	bis zum Widerruf oder zur Kontolöschung
Gelöschte Kinderprofile (Markierung nur mit Kennung, Typ, Zeitpunkt)	30 Tage
Löschprotokoll (Kennung, Typ, Zeitpunkt, ohne Namen)	bis zur Kontolöschung
Einwilligungsprotokoll	bis zur Kontolöschung
Versandprotokoll von Push-Hinweisen (ohne Text)	90 Tage
Push-Token	bis Ausschalten, Abmeldung oder Kontolöschung
Firebase-Installations-ID (Android, bei Google, nur nach Aktivierung)	bis zur Löschung, danach bis zu 180 Tage in Google-Sicherungen
Nicht zugestellte Push-Hinweise bei Google	bis zu 4 Wochen
Einladungen („Gemeinsam nutzen“)	E-Mail der eingeladenen Person bis zur Annahme oder zum Ablauf (höchstens 14 Tage); die Einladung 30 Tage nach Annahme oder Ablauf
Gemeinsame Notiz	bis zum Ende der Partnerschaft; danach als eigene Kopie je Person, bis diese sie löscht oder ihr Konto löscht
Partnerschafts-Datensatz	bis 30 Tage nach dem Ende der Partnerschaft
Geteilte Kinder, Termine, Artikel	bis zum Ende der Partnerschaft, zum Privatstellen oder zum Widerruf; danach als eigene Kopien je Person (Abschnitt 10), bis diese sie löscht oder ihr Konto löscht; Kinder- und Terminkopien auch beim Widerruf
Technischer Vermerk zu gescheiterten Kopien (ohne Inhalte)	180 Tage
Abo-Status bei uns	bis zur Kontolöschung
Kaufereignisse bei uns	mit Konto-ID bis zur Kontolöschung, danach pseudonymisiert; höchstens 3 Jahre
Kundendatensatz bei RevenueCat	bis zur Kontolöschung (bei automatisch gelöschten Gastkonten und anonymen Kennungen nach den Fristen von RevenueCat)
Absturz- und Fehlerberichte (Sentry, nur nach Einwilligung)	je nach Tarif höchstens 90 Tage
Protokolle bei Supabase	höchstens 1 Tag; automatische Datensicherungen legt Supabase in unserem Tarif nicht an
Daten auf deinem Gerät	bis zur Löschung in der App oder Deinstallation; Ereignisprotokoll max. 90 Tage, zuletzt gelesene Artikel 30 Tage, Suchverlauf 12 Einträge, Erinnerungsverlauf 30 Einträge
Server-Protokolle der Website	automatische Löschung nach der beim Hoster eingestellten Frist
Vorlagen-/Newsletter-Kontakt (Brevo, nach Bestätigung)	bis zur Abmeldung bzw. Löschanfrage
Kontaktformular, Support-E-Mails	bis zur Erledigung, keine feste Frist

Die Fristen von 30 Tagen, 90 Tagen, 180 Tagen, 12 Monaten und 3 Jahren setzt ein täglicher Aufräumlauf auf unserem Server um. Gesetzliche Aufbewahrungspflichten (z. B. nach Handels- oder Steuerrecht) können im Einzelfall längere Fristen vorsehen; die Abrechnung der Abos übernehmen jedoch Apple und Google.

20. Konto löschen: was gelöscht wird und was bleibt

So löschst du dein Konto

In der App: Menü → Profilkarte oben → „Mein Profil“ → ganz unten Abschnitt „Konto & Daten“ → „Konto löschen“ (bei Gästen „Gastdaten löschen“), mit zweifacher Bestätigung („Ja, Konto löschen“ bzw. „Ja, Daten löschen“, dann „Endgültig löschen“). Die Löschung wird sofort ausgeführt und kann nicht rückgängig gemacht werden.
Per E-Mail: an kontakt@enuvia.de mit dem Betreff „Konto löschen“, möglichst von der E-Mail-Adresse deines Kontos. Bei einem Gastkonto nenne uns die Konto-ID; die App setzt sie in die vorbereitete E-Mail ein. Wir prüfen, ob die Anfrage von dir stammt, und löschen unverzüglich, spätestens innerhalb von 30 Tagen.
Auf der Website ist eine Löschung derzeit nicht direkt möglich; alle Wege stehen auf enuvia.de/konto-loeschen.

Sofort gelöscht werden auf unserem Server: dein Konto (E-Mail, Anmeldung, Anzeigename), Kinder- und Schwangerschaftsprofile einschließlich gelöschter Markierungen, ausgewählte Termine, Erledigt-Status, Lesestatus, Tagesinhalte, Einstellungen, Versandprotokoll, Push-Token, Abo-Status, Löschprotokoll, Einwilligungsprotokoll und deine Einladungen („Gemeinsam nutzen“). Eine Partnerschaft endet (Abschnitt 10): Deine Partnerperson behält ihre eigenen Daten und ihre Kopien des bis dahin Geteilten; deinen Namen und deine Kennung entfernen wir daraus. Du selbst bekommst keine Kopien, und Kopien aus früher beendeten Verbindungen in deinem Konto löschen wir mit. Deinen Kundendatensatz bei RevenueCat löschen wir, und in unseren Kaufereignissen ersetzen wir deine Konto-ID durch eine Prüfsumme. Auf deinem Gerät löscht die App alle Daten außer dem Installationsmarker und deinen Benachrichtigungs-Einstellungen; die Verbindung zu RevenueCat wird auf eine neue, anonyme Kennung zurückgesetzt.

Was bleibt

Kaufereignisse bei uns ohne Bezug zu deinem Konto (pseudonymisiert), höchstens drei Jahre (Abschnitt 11);
ein laufendes Abo bei Apple bzw. Google – bitte dort kündigen;
Absturzberichte bei Sentry (nur wenn du sie eingeschaltet hattest, ohne Bezug zu deinem Konto) bis zum Ablauf ihrer Frist;
Protokolle bei Supabase (höchstens 1 Tag) sowie Datensicherungen und Protokolle bei All-Inkl bis zum Ablauf ihrer Fristen (Abschnitt 19);
die Firebase-Installations-ID bei Google (Android, nur wenn du Push aktiviert hattest) nach Googles Fristen;
ein Newsletter-Kontakt bei Brevo – Abmeldung separat;
E-Mails, die du uns geschickt hast, bis zu ihrer Löschung.

Sonderfälle

Nicht mehr angemeldet: Ist deine Sitzung abgelaufen und lässt sie sich nicht erneuern, löscht die App nichts – weder auf dem Server noch auf dem Gerät. Sie bietet dir dann an: dich anzumelden (bei einem Konto mit E-Mail-Adresse), die Löschung per E-Mail bei uns anzufordern (mit deiner Konto-ID) oder ausdrücklich nur dein Gerät zurückzusetzen („Nur Gerät zurücksetzen“, mit doppelter Bestätigung). Im letzten Fall bleiben deine Daten bei uns bestehen, bis du sie per E-Mail löschen lässt oder ein Gastkonto nach 12 Monaten automatisch gelöscht wird.
Offline: Ohne Internetverbindung ist die Löschung nicht möglich; es bleibt alles bestehen.
Serverfehler: Schlägt die Löschung auf dem Server fehl, bleibt alles bestehen, und du kannst es erneut versuchen.
Nur auf diesem Gerät: Hattest du nie ein Konto bei uns, liegen auf unserem Server keine Daten. Der Punkt setzt dann nur die App auf deinem Gerät zurück („Ja, Gerät zurücksetzen“); dasselbe erreichst du, indem du die App löschst.
Gastkonto nach Deinstallation: Hast du die App gelöscht, ohne vorher „Gastdaten löschen“ zu wählen, bleiben die Daten auf dem Server, bis du sie per E-Mail löschen lässt oder bis zur automatischen Löschung nach 12 Monaten ohne Nutzung (Abschnitt 5.2).
Automatisch gelöschte Gastkonten: Hier bleibt der Kundendatensatz bei RevenueCat derzeit bestehen (Abschnitt 11).

21. Musst du Daten angeben?

Du bist weder gesetzlich noch vertraglich verpflichtet, uns Daten zu geben.

Ohne Angaben und ohne Konto kannst du enuvia im Speicherort „Nur auf diesem Gerät“ nutzen; dann entsteht bei uns kein Konto (Abschnitt 5.1).
E-Mail-Adresse: nötig für ein Konto, das du auf anderen Geräten nutzen oder mit einer Partnerperson verbinden willst, und für Vorlagen und Newsletter.
Kinder- und Schwangerschaftsangaben: freiwillig, aber nötig für altersgerechte Inhalte, Kalender und Erinnerungen.
Einwilligung zu Gesundheitsdaten: freiwillig; ohne sie bleiben diese Angaben auf deinem Gerät (Abschnitt 4).
Benachrichtigungen, Absturzberichte, Mikrofon, Gemeinsam nutzen, Abo: freiwillig; ohne sie fehlen nur die jeweiligen Funktionen.

22. Keine Werbung, kein Tracking, keine automatisierten Entscheidungen

enuvia zeigt keine Werbung, bindet keine Analyse-, Werbe- oder Attributionsdienste ein, nutzt keine Werbe-ID und verkauft keine Daten. Welche Inhalte du siehst, richtet sich nach festen Regeln (z. B. Schwangerschaftswoche, Alter des Kindes, bereits gelesene Inhalte). Es gibt keine automatisierte Entscheidung, die dir gegenüber rechtliche Wirkung entfaltet oder dich ähnlich erheblich beeinträchtigt (Art. 22 DSGVO). Auf deinen Standort greift enuvia nicht zu; Bundesland und FSME-Gebiet gibst du selbst an, und diese Angaben bleiben auf deinem Gerät.

Hilfsangebote anderer Stellen: Hilfsangebote anderer Stellen (z. B. Telefonseelsorge) öffnet die App in einem eingebetteten Browser; dort gelten deren Datenschutzbestimmungen, und die Seite sieht deine IP-Adresse.

23. Kinder

enuvia richtet sich an Eltern und andere Bezugspersonen, nicht an Kinder. Kinder sollen die App nicht selbst nutzen. Daten über Kinder – Name, Geburtsdatum, Termine – gibst du als Elternteil ein. Wir verarbeiten sie nur für die in dieser Erklärung genannten Zwecke und besonders sorgfältig.

24. Deine Rechte

Du hast gegenüber uns folgende Rechte:

Auskunft über die Daten, die wir über dich verarbeiten (Art. 15 DSGVO);
Berichtigung unrichtiger Daten (Art. 16 DSGVO) – die meisten Angaben kannst du direkt in der App ändern;
Löschung (Art. 17 DSGVO) – siehe Abschnitt 20;
Einschränkung der Verarbeitung (Art. 18 DSGVO);
Datenübertragbarkeit (Art. 20 DSGVO): Eine Export-Funktion gibt es in der App derzeit nicht. Schreib uns, dann schicken wir dir deine Daten in einem gängigen, maschinenlesbaren Format;
Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO): Gesundheitsdaten und Absturzberichte in der App unter Menü → „Datenschutz & Einwilligungen“ (oder per E-Mail an uns); den Newsletter über den Abmeldelink in jeder E-Mail oder per E-Mail an uns;
Widerspruch (Art. 21 DSGVO).

Widerspruchsrecht: Soweit wir Daten auf Grundlage unseres berechtigten Interesses verarbeiten (Art. 6 Abs. 1 lit. f DSGVO – z. B. Sicherheitsprotokolle, Löschprotokoll, pseudonymisierte Kaufereignisse, Einladungs-E-Mail), kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Für alle Anfragen genügt eine E-Mail an kontakt@enuvia.de. Damit wir keine Daten an Unbefugte herausgeben, bitten wir dich ggf., von der E-Mail-Adresse deines Kontos zu schreiben oder deine Identität anders zu bestätigen. Wir antworten unverzüglich, spätestens innerhalb eines Monats.

25. Beschwerde bei einer Aufsichtsbehörde

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem EU-Mitgliedstaat, in dem du wohnst oder arbeitest oder in dem der mutmaßliche Verstoß stattfand (Art. 77 DSGVO). Für uns zuständig ist:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW) Kavalleriestraße 2–4
40213 Düsseldorf
www.ldi.nrw.de

26. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich Funktionen, Dienstleister oder rechtliche Vorgaben ändern. Die aktuelle Fassung findest du in der App unter Menü → „Datenschutzerklärung“ und unter enuvia.de/datenschutz/. Wenn eine Änderung eine neue Einwilligung erfordert, fragen wir dich vorher.

Version 2.0 · Stand: 07.10.2026