Datenschutzerklärung

Diese Datenschutzerklärung informiert über die Verarbeitung personenbezogener Daten in der App Small Steps und auf dieser Website.

1. Verantwortlicher

ESBM-Solutions UG (haftungsbeschränkt) i. Gr., Ditfurthstraße 48, 33611 Bielefeld, Deutschland. E-Mail: support@esbm-solutions.com

2. Welche Daten wir verarbeiten

Konto

Beim ersten Start legt die App ein anonymes Konto mit einer zufälligen Kennung an, ohne E-Mail und ohne Passwort. Über diese Kennung sind deine Scans und Käufe deinem Gerät zugeordnet.

Profil deines Kindes

Du kannst freiwillig einen Namen und ein Geburtsdatum angeben. Diese Angaben dienen nur der Anzeige in der App (z. B. Beschriftung der Abdrücke) und werden nicht zu anderen Zwecken verwendet.

Scans und Abdruck-Bilder

Kern der App sind Aufnahmen des Fußes oder der Hand deines Babys. Diese Bilder sind besonders schützenswert. Sie werden verschlüsselt übertragen und in der EU gespeichert (Supabase, Region Frankfurt). Zugriff hat ausschließlich dein Konto; die Speicher-Buckets sind nicht öffentlich.

Käufe

Käufe laufen über Apple App Store bzw. Google Play. Wir erhalten keine Zahlungsdaten, sondern nur eine Transaktionsbestätigung zur Freischaltung deiner Downloads (Kaufabwicklung/Verifikation über RevenueCat).

Absturzberichte

Zur Stabilität der App nutzen wir Sentry (Server in der EU). Absturzberichte enthalten technische Geräteinformationen, aber keine Scans und keine Profilangaben.

Werbe-Messung mit TikTok (nur mit Einwilligung)

Wenn du in der App ausdrücklich zustimmst, übermitteln wir Ereignisdaten an TikTok (TikTok Technology Limited, Irland; Teil der ByteDance-Gruppe), um den Erfolg unserer Werbeanzeigen zu messen und zu verbessern. Übermittelt werden dabei Geräteinformationen (u. a. Werbe-IDs wie IDFA/GAID — auf iOS nur, wenn du dies zusätzlich über den App-Tracking-Dialog erlaubst), deine IP-Adresse sowie App-Ereignisse wie Installation, App-Start, abgeschlossene Registrierung, ein abgeschlossener Scan, das Ansehen der Stil-Auswahl, der Start des Kaufvorgangs und Käufe inklusive Kaufbetrag. Zusätzlich erfasst das TikTok-SDK automatisch Nutzungs- und Wiederkehr-Ereignisse. Deine Scans, Fotos und Profilangaben deines Kindes werden niemals an TikTok übermittelt.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit mit Wirkung für die Zukunft in den App-Einstellungen widerrufen. Bei der Verarbeitung durch TikTok kann es zu einer Übermittlung in Drittländer (u. a. USA und China) kommen; TikTok stützt diese nach eigenen Angaben auf EU-Standardvertragsklauseln. Weitere Informationen: TikTok-Datenschutzerklärung unter https://www.tiktok.com/legal/privacy-policy.

Attributionsmessung mit Airbridge (nur mit Einwilligung)

Mit derselben Einwilligung übermitteln wir Ereignisdaten an Airbridge, den Messdienst der AB180 Inc. (Teheran-ro 419, Gangnam-gu, Seoul, Republik Korea). Airbridge ordnet Installationen und App-Ereignisse unseren Werbekampagnen zu („Attribution"), damit wir erkennen, über welche Anzeige jemand zu Small Steps gefunden hat. Übermittelt werden Geräte- und Verbindungsinformationen (u. a. Werbe-IDs wie IDFA/GAID — auf iOS nur, wenn du dies zusätzlich über den App-Tracking-Dialog erlaubst —, IP-Adresse, Gerätemodell und Betriebssystem-Version), eine pseudonyme Kennung deines Kontos sowie App-Ereignisse: Installation und App-Start, Konto angelegt bzw. angemeldet (samt genutztem Anmeldeweg), abgeschlossenes Onboarding, abgeschlossener Scan, Ansehen der Stil-Auswahl, Start des Kaufvorgangs sowie Käufe inklusive Kaufbetrag, gewählter Stile und Transaktionsnummer. Deine Scans, deine Fotos und die Profilangaben deines Kindes werden niemals an Airbridge übermittelt.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit mit Wirkung für die Zukunft in den App-Einstellungen widerrufen; ohne Einwilligung wird das Airbridge-SDK gar nicht erst gestartet und sendet keine Daten. Mit AB180 besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Die Verarbeitung findet in der Republik Korea und in Japan statt — für beide Länder liegt ein Angemessenheitsbeschluss der EU-Kommission vor (Japan 2019, Republik Korea 2021), die Übermittlung stützt sich daher auf Art. 45 DSGVO. EU-Vertreter nach Art. 27 DSGVO ist die Maetzler Rechtsanwalts GmbH & Co KG (GDPR-Rep.eu), Schellinggasse 3/10, 1010 Wien, Österreich; Datenschutzkontakt bei AB180: compliance@ab180.co. Weitere Informationen: Airbridge-Datenschutzerklärung.

Push-Benachrichtigungen

Push-Benachrichtigungen sind optional. Wir nutzen deinen Push-Token nur, um dir Bescheid zu geben, wenn deine Stile fertig sind. Die Zustellung läuft über Expo bzw. Apple und Google.

3. Bildverarbeitung durch KI

Wir übermitteln die Aufnahmen ausschließlich als Nahaufnahme des Fußes oder der Hand. Gesichter werden nicht übertragen. Namen, Geburtsdatum und andere Profilangaben werden nicht an die KI-Dienstleister übermittelt.

OpenAI

Für die künstlerischen Stile schicken unsere Server deinen Scan an die Bild-API von OpenAI, die daraus die gewählten Stile erstellt. OpenAI verarbeitet die Bilder dabei als Auftragsverarbeiter und verwendet API-Daten nicht zum Training seiner Modelle. Mit OpenAI besteht ein Auftragsverarbeitungsvertrag (Data Processing Addendum) gemäß Art. 28 DSGVO.

4. Übermittlung in Drittländer

OpenAI hat seinen Sitz in den Vereinigten Staaten; die Bildverarbeitung findet daher außerhalb der EU statt. Grundlage der Übermittlung sind ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO sowie die Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO. Trotz dieser Garantien lässt sich nicht vollständig ausschließen, dass US-Behörden auf die übermittelten Daten zugreifen.

Nur bei erteilter Einwilligung in die Werbe-Messung kommen zwei weitere Drittländer hinzu: Airbridge (AB180 Inc.) verarbeitet die Ereignisdaten in der Republik Korea und in Japan — für beide Länder besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Bei TikTok kann es zu einer Übermittlung in die USA und nach China kommen, gestützt auf EU-Standardvertragsklauseln. Widerrufst du die Einwilligung, entfallen diese Übermittlungen.

Alle übrigen Daten — Konto, Profil, Scans, Renderings, Käufe — bleiben in der EU.

5. Hosting

• Datenbank & Speicher: Supabase, Region EU (Frankfurt)
• Backend-Server: Hetzner, Deutschland (eigene Infrastruktur, Coolify)
• Diese Website: Hetzner, Deutschland (keine Cookies, kein Tracking)

6. Rechtsgrundlagen

Die Verarbeitung erfolgt zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO: Scan, Render, Kauf, Download), auf Grundlage deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO: z. B. Push-Benachrichtigungen, Kamerazugriff) sowie aufgrund unseres berechtigten Interesses an einem stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO: Absturzberichte).

7. Speicherdauer und Löschung

Scans, Renderings und Profilangaben bleiben gespeichert, solange dein Konto besteht. Du kannst dein Konto jederzeit löschen lassen, siehe Konto löschen. Kaufbelege bewahren wir auf, soweit handels- und steuerrechtliche Pflichten das verlangen.

8. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO) sowie das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde. Wende dich dafür an support@esbm-solutions.com.

Hinweis: Dieser Text ist ein sorgfältiger Entwurf, ersetzt aber keine Rechtsberatung. Vor dem offiziellen Launch anwaltlich prüfen lassen (insbesondere: Bilder von Kindern, Drittlandübermittlung an OpenAI, TikTok und Airbridge — bei Airbridge inklusive der Frage, ob der Angemessenheitsbeschluss für die Republik Korea den konkreten Empfänger abdeckt —, Auftragsverarbeitungsverträge, Aufbewahrungsfristen sowie die Frage, ob der Einwilligungsdialog in der App die Empfänger ausreichend benennt).