Datenschutzerklärung

• contact@joinin.space

Manuelle Kontofreigabe: Dein Elternkonto hat einen eigenen Prüfstatus. Eine Anmeldung oder bestätigte E-Mail-Adresse und eine geprüfte Verbindung mit einem Kind sind keine manuelle Kontofreigabe. Solange dein Konto nicht geprüft ist, kannst du keine neue Verbindung mit einem Kind herstellen. Unser Team kann das Konto manuell freigeben und die Freigabe wieder entziehen. Wir speichern Prüfstatus und Entscheidungen mit geprüfter Altersgruppe, Methode, Begründung, Zeitpunkt und zuständiger Person. Die Kennzeichnung „geprüft“ beschreibt diese Freigabe, keine automatische Identitätsprüfung durch einen externen Anbieter.

Bei der Registrierung verarbeiten wir deine E-Mail-Adresse, deinen Namen und – freiwillig – deine Telefonnummer. Diese Daten brauchen wir, um dein Konto zu führen, dich anzumelden und dich bei wichtigen Ereignissen (z. B. einem SOS-Alarm) erreichen zu können.

Profilbild

Du kannst in der App ein Profilbild festlegen, es jederzeit ändern oder wieder entfernen. Das ist freiwillig; ohne Profilbild zeigt die App deine Initialen. Du wählst dafür ein Foto aus deiner Galerie oder machst eines mit der Kamera und schneidest es in der App quadratisch zu. Deine Originaldatei speichern wir nicht: Unser Server erstellt aus dem Ausschnitt ein neues, quadratisches Bild von höchstens 512 × 512 Pixeln und entfernt dabei alle Zusatzangaben der Datei – etwa Aufnahmeort (GPS), Aufnahmezeit und Kameramodell. Wir prüfen dein Profilbild nicht und werten es nicht aus: keine automatische Prüfung, keine KI-Analyse, keine Gesichtserkennung.

Wer dein Profilbild sieht. Du selbst; deine verbundenen Eltern-Kontakte und die Mitglieder von Gruppen, in denen ihr beide Mitglied seid (Abschnitte 14 und 15) – solange eure Verbindung oder Mitgliedschaft besteht und keiner von euch den anderen blockiert hat; deine Kinder, mit denen du verbunden bist, in ihrer JoinIn-App (Abschnitt 3) – nicht während einer Anfrage und nicht, solange eine Verknüpfung vorübergehend gesperrt oder dauerhaft getrennt ist; und unser Admin-Team. Sonst niemand: keine anderen Kinder, nicht die Schule oder der Verein deines Kindes und keine anderen Partner. Jeder Abruf wird einzeln geprüft, eine öffentliche Adresse gibt es nicht, und die Apps speichern das Bild nicht dauerhaft auf dem Gerät. Weil auch andere Erwachsene dein Profilbild sehen, wähle bitte ein Bild von dir – kein Foto deines Kindes.

Melden und entfernen. Verstößt ein Profilbild gegen Recht oder die Nutzungsbedingungen, kann ein Eltern-Kontakt es mit einer Meldung einreichen (Abschnitt 14). Unser Team kann ein Profilbild entfernen; die App zeigt dann wieder deine Initialen. Eine eigene Benachrichtigung darüber schicken wir nicht. Wir speichern, welches Bild wann, von wem aus unserem Team und – falls es eine gab – zu welcher Meldung entfernt wurde, nicht das Bild selbst (Abschnitt 11).

Speicherung und Löschung. Dein Profilbild liegt auf unseren Servern in der EU (Abschnitt 12) und wird verschlüsselt übertragen. Änderst oder entfernst du es, löschen wir das bisherige Bild sofort; mit deinem Konto löschen wir es ebenso. Reste in unseren Datenbank-Sicherungen, die wir auf dem Server 7 Tage und in einem externen Sicherungsspeicher in der EU bis zu 30 Tage aufbewahren, verschwinden spätestens 30 Tage nach dem Löschen. Hat eine Meldung dein Profilbild übernommen, gehört diese Kopie zur Meldung und wird wie Meldungen aufbewahrt (Abschnitt 11). Unter Meine Daten anfordern (Abschnitt 13) erhältst du dein Profilbild und die Zeitpunkte, zu denen unser Team eines entfernt hat.

Dein Online-Status

Die App zeigt in deinen Chats, ob du gerade online bist – also JoinIn Eltern auf deinem Handy geöffnet hast – und sonst, wann du zuletzt online warst. Das sehen deine Kinder, mit denen du verbunden bist, deine verbundenen Eltern-Kontakte und die Mitglieder von Gruppen, in denen ihr beide Mitglied seid (Abschnitte 14 und 15) – nicht während einer Anfrage, nicht, solange eine Verknüpfung vorübergehend gesperrt ist, und nie über eine Blockierung hinweg. Anderen Eltern zeigen wir ihn nicht, solange dein Zugang zu Eltern-Kontakte pausiert ist.

Du entscheidest. Unter Profil → Online-Status stellst du ein, ob andere sehen, dass du online bist, und ob sie sehen, wann du zuletzt online warst – beides ist am Anfang an. Hast du JoinIn Eltern schon vor dem 6. Oktober 2026 genutzt und war „zuletzt online“ bei dir aus, haben wir es an diesem Tag eingeschaltet – außer du hattest deinen Online-Status ganz ausgeschaltet. Die App weist dich einmal darauf hin, und du kannst es dort direkt wieder ausschalten. Im Chat über „⋯“ – in Gruppen beim einzelnen Mitglied – verbirgst du deinen Online-Status vor einer einzelnen Person, auch vor deinem eigenen Kind. Es gilt gegenseitig: Wem du deinen Online-Status nicht zeigst, dessen Online-Status siehst du auch nicht – mit einer Ausnahme: Dein Kind siehst du immer (Abschnitt 5).

Was wir speichern. Deine beiden Einstellungen und wann du sie zuletzt geändert hast, wann du „zuletzt online“ zuletzt selbst ein- oder ausgeschaltet hast und ob und wann wir es am 6. Oktober 2026 für dich eingeschaltet haben, vor wem du deinen Online-Status einzeln verbirgst und seit wann, und nur einen einzigen „zuletzt online“-Zeitpunkt, den wir jedes Mal überschreiben – keinen Verlauf, keine Dauer, keinen Ort und kein Gerät. Andere sehen den Zeitpunkt nur auf die Minute genau. Für die Missbrauchsprüfung sieht unser Team in seiner Verwaltungsansicht von Eltern-Kontakte, wann du JoinIn Eltern zuletzt geöffnet hattest – auch wenn du „zuletzt online“ ausgeschaltet hast (Abschnitt 14).

Du verbindest dich mit deinem Kind, indem du mit JoinIn Eltern den QR-Code scannst, den dein Kind in seiner JoinIn-App öffnet. Der Code gilt nur kurz und wechselt ständig – ein Foto oder eine weitergeleitete Kopie davon ist deshalb schnell ungültig. Dein Elternkonto muss zuvor manuell freigegeben sein; die Bestätigung dieser einzelnen Kind-Verbindung ist davon getrennt. Wie die Verbindung nach dem Scannen zustande kommt, legen wir zum Schutz der Kinder fest – auf eine dieser beiden Arten:

• Bestätigung durch dein Kind: Dein Kind sieht auf seinem eigenen Handy, wer sich verbinden möchte und in welcher Rolle (z. B. Mutter). Erst wenn dein Kind die Verbindung dort selbst bestätigt, seid ihr verbunden; lehnt es ab, entsteht keine Verbindung, und unser Team erhält einen Sicherheitshinweis. Je nach unserer Einstellung zeigen dabei beide Handys eine Zahl, und dein Kind kann prüfen, ob beide Zahlen übereinstimmen; eine solche Anfrage verfällt, wenn dein Kind sie nicht innerhalb von zwei Minuten bestätigt. Je nach unserer Einstellung könnt ihr nach der Bestätigung durch dein Kind zunächst 48 Stunden lang nur Nachrichten austauschen, und du erhältst die SOS-Alarme deines Kindes; den Standort sehen und anrufen kannst du erst danach – oder früher, wenn unser Team die Verbindung schon vorher prüft.
• Sofortige Verbindung: Ihr seid direkt mit dem Scannen verbunden, und dein Kind erfährt sofort, wer sich mit ihm verbunden hat.

Deine Bestätigung beim Verbinden: Bevor du dich verbindest, bestätigst du in der App: „Ich bin für dieses Kind sorgeberechtigt oder handle mit Zustimmung der Sorgeberechtigten und willige in die Verarbeitung gemäß Datenschutzerklärung ein.“ Wir speichern, wann du das bestätigt hast und welche Fassung dieser Datenschutzerklärung dabei galt; im Geräte- und IP-Protokoll (Abschnitt 8) halten wir außerdem IP-Adresse und Gerät fest. So können wir nachweisen, dass die Einwilligung für dein Kind von einer sorgeberechtigten Person stammt. Hast du dich mit einer älteren Version der App verbunden, die diese Bestätigung noch nicht abgefragt hat, ist keine Bestätigung gespeichert – unser Team sieht das in seiner Übersicht (Abschnitt 7). Deine Bestätigung ist Teil der Kopie, die du unter Meine Daten anfordern erhältst.

Wir speichern die Verknüpfung zwischen deinem Konto und dem Konto deines Kindes sowie ihre Berechtigungen (Standort sehen, Nachrichten, Anrufe). Sobald ihr verbunden seid, sind Nachrichten und Anrufe eingeschaltet. Ist dein Kind nach seiner Altersangabe sicher unter 16 Jahren, ist auch die Standort-Freigabe eingeschaltet – weder du noch dein Kind müsst sie extra bestätigen. Kann dein Kind schon 16 Jahre alt sein, ist die Standort-Freigabe zunächst aus, bis dein Kind sie selbst einschaltet (Abschnitt 4). Dein Kind sieht in seiner App jederzeit, mit wem es verknüpft ist und ob du seinen Standort sehen kannst; hast du ein Profilbild festgelegt, sieht es auch dieses (Abschnitt 2).

Das Notfall-Klingeln und den dringenden Anruf an dein Kind schaltest du für jedes Kind eigens ein; wer dabei entscheidet und was dafür gilt, steht in Abschnitt 6.

Wer die Verknüpfung ändern kann: Das hängt vom Alter deines Kindes ab. Maßgeblich ist das bei seiner Anmeldung angegebene Alter zuzüglich der seitdem vollendeten Jahre; wurde nur eine Altersgruppe angegeben, zählt deren untere Grenze. Ist beides nicht bekannt, gilt dasselbe wie für Kinder unter 16 Jahren. Für diese Einstellungen gehen wir also vom jüngsten Alter aus, das dein Kind haben kann; ob dein Kind beim Standort selbst gefragt wird, richtet sich dagegen nach dem ältesten Alter, das es haben kann (Abschnitt 4).

• Kinder unter 16 Jahren: Die Verknüpfung und ihre Berechtigungen beruhen auf deiner Einwilligung als Elternteil (Art. 8 DSGVO) – die Standort-Freigabe nur, wenn wir dein Kind nicht selbst fragen (Abschnitt 4). Dein Kind kann sie nicht ausschalten und dich nicht blockieren oder entfernen. Nur eine Standort-Freigabe, die dein Kind selbst eingeschaltet hat, kann es jederzeit selbst wieder ausschalten (Art. 7 Abs. 3 DSGVO); du bekommst dann eine Benachrichtigung. Beenden kannst die Verknüpfung du – oder unser Team nach einer Meldung deines Kindes.
• Jugendliche mit 16 oder 17 Jahren: Dein Kind entscheidet selbst. Die Standort-Freigabe ist zunächst aus; dein Kind kann sie für dich einschalten – beim Bestätigen der Verbindung oder später in seiner App. Es kann die Standort-Freigabe, Nachrichten und Anrufe für dich ausschalten oder die Verknüpfung beenden – jederzeit (Art. 7 Abs. 3 DSGVO). Du bekommst dann eine Benachrichtigung, zum Beispiel, dass dein Kind die Standort-Freigabe ausgeschaltet hat.

Du selbst kannst die Verknüpfung in jedem Alter deines Kindes jederzeit beenden.

Meldung durch dein Kind: In jedem Alter kann dein Kind eine Verknüpfung an unser Team melden – etwa, wenn es die verbundene Person nicht als Elternteil erkennt oder sich unwohl fühlt. Die Meldung geht an unser Admin-Team, das sich um den Kinderschutz kümmert. Es prüft die Verknüpfung und kann sie vorübergehend sperren oder dauerhaft trennen; bis zu dieser Entscheidung bleibt die Verknüpfung bestehen. Während einer vorübergehenden Sperre hast du über JoinIn keinen Zugriff auf dein Kind und kannst dich nicht neu mit ihm verbinden; hebt unser Team die Sperre auf, gilt die Verknüpfung wieder wie vorher. Wir speichern dazu, welche Verknüpfung (mit deinem Namen und deiner Rolle) wann und – falls angegeben – aus welchem Grund gemeldet wurde, sowie die Entscheidungen unseres Teams (etwa eine vorübergehende Sperre und ihre Aufhebung). Löschst du dein Konto, während unser Team eine deiner Verknüpfungen vorübergehend gesperrt oder dauerhaft getrennt hat, oder wird in dieser Zeit das Konto deines Kindes gelöscht, halten wir eine Einschränkung für Eltern-Kontakte fest – auch wenn du Eltern-Kontakte nie genutzt hast (Abschnitt 14). Zu seinem Schutz zeigt die App deinem Kind außerdem die Nummer gegen Kummer (116 111, kostenlos und anonym).

Bei der sofortigen Verbindung und – je nach unserer Einstellung – auch nach der Bestätigung durch dein Kind benachrichtigen wir dein Kind, sobald ihr verbunden seid. Ist dein Kind bereits mit weiteren Eltern oder Sorgeberechtigten verbunden, erfahren dann auch diese, dass du dich verbunden hast – mit deinem Namen und deiner Rolle.

Erinnerungen ans Verbinden: Solange du mit keinem Kind verbunden bist und Eltern-Kontakte nicht nutzt, erinnern wir dich per Push-Benachrichtigung daran – 1, 3 und 7 Tage nach deiner Registrierung, danach alle 14 Tage, insgesamt höchstens sechsmal. Sobald eine Verbindung besteht oder du für Eltern-Kontakte bestätigt hast, dass du volljährig bist (Abschnitt 14), hören die Erinnerungen auf. Dafür speichern wir, wie oft und wann wir dich zuletzt erinnert haben.

Ist dein Kind nach seiner Altersangabe sicher unter 16 Jahren, ist seine Standort-Freigabe für dich eingeschaltet, sobald ihr verbunden seid – ohne weitere Eingabe oder Bestätigung. Kann dein Kind schon 16 Jahre alt sein, bleibt sie ausgeschaltet, bis dein Kind sie selbst einschaltet – beim Bestätigen der Verbindung oder später in seiner App. Die App zeigt dir dann den Live-Standort deines Kindes und einen Standort-Verlauf der letzten 90 Tage. Je nach unserer Einstellung kann das bis zu 48 Stunden nach der Bestätigung durch dein Kind dauern (siehe Abschnitt 3). Ältere Verlaufsdaten werden serverseitig automatisch gelöscht. Zweck ist der Schutz deines Kindes – etwa, damit du es im Notfall findest.

Wann wir dein Kind selbst fragen: Immer dann, wenn es 16 oder 17 Jahre alt ist oder wenn wir nicht ausschließen können, dass es schon 16 ist – etwa weil bei der Anmeldung 15 Jahre oder die Altersgruppe 14–15 angegeben wurde oder weil sein Alter nicht bekannt ist. Dafür nehmen wir das höchste Alter, das dein Kind nach seiner Angabe haben kann: das bei der Anmeldung angegebene Alter (bei einer Altersgruppe deren obere Grenze) zuzüglich eines Jahres, weil dein Kind kurz nach der Anmeldung Geburtstag gehabt haben kann, und zuzüglich der seitdem vollendeten Jahre. Ergibt das 16 oder mehr, fragt die App dein Kind selbst; der Schalter dafür ist nie vorausgewählt. Was dein Kind selbst eingeschaltet hat, kann es jederzeit selbst wieder ausschalten – auch wenn es noch nicht 16 ist; du wirst dann benachrichtigt. Wir speichern, wann dein Kind die Standort-Freigabe zuletzt ein- und wieder ausgeschaltet hat, und halten jedes Ein- und Ausschalten im Geräte- und IP-Protokoll deines Kindes fest, damit wir seine Einwilligung nachweisen können.

Die Standort-Erlaubnis auf dem Handy deines Kindes kann JoinIn nicht umgehen: Sobald die Standort-Freigabe eingeschaltet ist, erklärt die Kinder-App deinem Kind, dass du seinen Standort sehen kannst, und fragt die Erlaubnis ab. Erteilt dein Kind sie nicht, zeigt dir die App einen Hinweis statt eines Standorts. Dafür speichern wir, ob das Handy deines Kindes JoinIn den Standort erlaubt (oder die Ortung ausgeschaltet ist), ob es ihn auch „Immer“ – also bei geschlossener App – erlaubt und wann es uns das zuletzt gemeldet hat – sichtbar nur für Eltern, die den Standort gerade sehen dürfen. Dein Kind sieht in seiner App immer, ob du seinen Standort sehen kannst – eine heimliche Ortung gibt es nicht.

Live-Ansicht. Solange du die Karte deines Kindes in der App geöffnet hast, läuft eine Live-Ansicht: Die Kinder-App sendet den Standort dann je nach Akku alle 5 bis 45 Sekunden statt etwa alle 90 Sekunden, und du siehst jede neue Position sofort. Das geht nur, solange JoinIn auf dem Handy deines Kindes geöffnet ist; sonst zeigt dir die App den zuletzt gesendeten Standort mit Uhrzeit. Ist der Akku deines Kindes bei 10 % oder weniger und lädt nicht, sendet die Kinder-App nicht öfter. Ist dein Kind jünger als 16 Jahre und hast du die genaue Ansicht noch nicht gesondert freigegeben, zeigt dir die App den Standort – auch live – ungefähr, auf etwa einen Kilometer gerundet. Nach deiner ausdrücklichen Freigabe erhältst du den vom Handy gemeldeten Standort ohne diese zusätzliche Rundung; für SOS gilt weiterhin Abschnitt 6. Für die Live-Ansicht speichern wir, bis wann du gerade zuschaust – höchstens drei Minuten im Voraus; die App verlängert das jede Minute, solange die Karte offen ist –, und im Standort-Verlauf höchstens einen Ort pro Minute. Dein Kind sieht in seiner App, dass gerade jemand live zuschaut, aber nicht, wer.

Genaue Standortansicht. Auch bei einem Kind unter 16 Jahren kannst du für deine eigene Verknüpfung gesondert freigeben, dass du die vom Handy gemeldeten Positionen ohne zusätzliche Rundung siehst – bei aktuellen Orten, Live-Standorten und gespeicherten Verläufen. Zuvor zeigt dir die App den vollständigen Hinweis; du bestätigst ausdrücklich mit einem anfangs leeren Kästchen, dass du sorgeberechtigt bist und der genauen Ansicht zustimmst. Du kannst sie unter „Live-Standort → Einstellen → Standortgenauigkeit“ jederzeit ausschalten. Andere verbundene Erwachsene bekommen dadurch keine genauere Ansicht. Dein Kind sieht in JoinIn pro verbundener Person, ob deren Ansicht ungefähr oder ohne zusätzliche Rundung ist. Entscheidet dein Kind selbst über seine Standort-Freigabe, bleibt seine eigene Zustimmung erforderlich. Eine erneute Kopplung übernimmt keine frühere Genauigkeitsfreigabe.

Genauigkeit und Aktualität. Eine Freigabe macht aus einem ungenauen oder alten Messwert keinen genauen oder aktuellen Standort. Empfang, Standort-Erlaubnisse und die Einstellungen des Handys bestimmen, was tatsächlich verfügbar ist. Die App zeigt weiterhin die gemeldete Genauigkeit und den Zeitpunkt. Die bestehenden Zeitgrenzen, Speicherfristen und Schutzfunktionen bleiben bestehen; genaues GPS kann mehr Akku benötigen.

Akkustand deines Kindes. Wo du den Standort deines Kindes sehen darfst, siehst du auch, wie voll der Akku seines Handys ist, ob es gerade lädt und wann das zuletzt gemeldet wurde. Der Akkustand gehört zur Standort-Freigabe: Ist sie für dich aus oder entscheidet dein Kind gerade selbst darüber (Abschnitt 3), siehst du ihn nicht; darf niemand den Standort deines Kindes sehen, speichern wir auch keinen Akkustand. Die Kinder-App meldet ihn, wenn sie offen ist, und auch im Hintergrund – auf Android etwa alle 15 Minuten, auf dem iPhone, wann iOS es zulässt, und nachdem dein Kind JoinIn auf dem iPhone weggewischt hat, erst wieder, wenn es die App öffnet. Wir speichern nur den letzten Stand, keinen Verlauf.

Hinweis bei fast leerem Akku. Sinkt der Akku deines Kindes auf 15 % und auf 5 %, bekommst du eine Benachrichtigung – je Stufe einmal, bis das Handy wieder auf mindestens 25 % geladen wurde (dann frühestens zwei Stunden nach der letzten Benachrichtigung), und nie, während es lädt. Darin steht, wann der Standort deines Kindes zuletzt gesendet wurde; tippst du darauf, siehst du ihn auf der Karte. Den Standort selbst schreiben wir nicht in die Benachrichtigung, damit er nicht über die Zustelldienste von Apple und Google läuft (Abschnitt 9). Ist JoinIn auf dem Handy deines Kindes in dem Moment offen, sendet es noch einmal seinen Standort. Zwischen 22 und 6 Uhr kommt die Benachrichtigung ohne Ton. Du kannst den Hinweis bei jedem Kind einzeln ausschalten; anfangs ist er an. Wir speichern dazu deine Einstellung und, damit du nicht mehrfach benachrichtigt wirst, welche Stufe wir zuletzt gemeldet haben und wann.

Live-Standort auch bei geschlossener App. Du kannst vorübergehend einschalten, dass das Handy deines Kindes seinen Standort auch sendet, wenn JoinIn dort geschlossen ist: für 15 Minuten, 30 Minuten, 1 Stunde oder 2 Stunden, bis zu einer Uhrzeit oder bis dein Kind an einem gespeicherten Ort ankommt (höchstens 2 Stunden), und zu festen Zeiten, die du einrichtest (zum Beispiel „Schulweg Mo–Fr 07:15–08:00“, deutsche Zeit). Einschalten, verlängern und beenden kann jedes Elternteil, das den Standort deines Kindes sehen darf; es läuft immer nur eines zugleich, und alle diese Eltern sehen es. Zusammen läuft es höchstens 4 Stunden am Tag und lässt sich höchstens 12-mal am Tag von Hand starten; danach endet es von selbst – auf unserem Server und auf dem Handy deines Kindes. Du wählst, wie genau und wie oft das Handy misst („Akkuschonend“, „Ausgewogen“ oder „Genau“); bei wenig Akku misst es von selbst seltener. Ohne Bestätigung, aber nie heimlich. Ist dein Kind nach seiner Altersangabe sicher jünger als 16 Jahre, startet der Live-Standort, ohne dass dein Kind ihn bestätigen oder antippen muss – soweit das Handy deines Kindes das erlaubt. Dein Kind sieht dabei immer, dass er läuft: Solange er läuft, zeigt sein Handy den Hinweis „Deine Eltern sehen gerade deinen Standort“ mit deinem Namen und seit wann (Android als feste Mitteilung, die wiederkommt, wenn es sie wegwischt; iPhone als Live-Aktivität auf dem Sperrbildschirm, sonst als Mitteilung). Der Hinweis endet mit dem Live-Standort. Kann das Handy deines Kindes den Hinweis nicht zeigen (etwa weil Mitteilungen für JoinIn aus sind), startet der Live-Standort erst, wenn dein Kind JoinIn öffnet. Außerdem bekommt dein Kind bei jedem Start und jeder Verlängerung eine Mitteilung mit deinem Namen und der Endzeit, über feste Zeiten, wenn du sie einrichtest, änderst oder löschst und wenn sie zum ersten Mal beginnen, und seine App zeigt es an. Ab 16 entscheidet dein Kind selbst: Ist dein Kind 16 oder kann es schon 16 sein, siehst du seinen Standort nur, wenn es die Freigabe selbst einschaltet, und es kann einen laufenden Live-Standort jederzeit beenden; du bekommst dann eine Benachrichtigung. Jüngere Kinder können ihn nicht beenden.

Was das Handy deines Kindes dafür braucht. Ob der Live-Standort ohne Tipp startet, hängt vom Handy ab: Es braucht die Standort-Erlaubnis „Immer“; auf Android dürfen Mitteilungen und Akku-Einstellungen JoinIn nicht blockieren, auf dem iPhone braucht es die Hintergrundaktualisierung. Auf dem iPhone weckt Apple JoinIn nicht, wenn dein Kind JoinIn zuvor ganz geschlossen (weggewischt) hat – dann startet er beim nächsten Öffnen oder Antippen. Die App zeigt dir pro Kind, ob der Live-Standort bereit ist oder was fehlt, und du kannst dein Kind mit „Anfrage zum Einrichten senden“ bitten, es einzurichten. Dafür meldet das Handy deines Kindes, was es erlaubt (Standort „Immer“ und genau, Mitteilungen, Energiesparen und – auf Android – ob dein Kind den Autostart bestätigt hat, auf dem iPhone Hintergrundaktualisierung und Live-Aktivitäten, die JoinIn-Version) – ohne Ort. Stellt sich auf dem Handy später etwas um, siehst du einen Hinweis in der App und bekommst höchstens einmal pro Tag und Kind eine Benachrichtigung dazu. Ein ausgeschaltetes Handy, eines ohne Internet oder eines, auf dem die Ortung abgeschaltet wurde, sendet nichts; du siehst dann, seit wann keine neue Position kam. Auch die Spur richtet sich nach deiner gesonderten Freigabe zur Genauigkeit: Ohne diese bleibt sie bei einem Kind unter 16 Jahren ungefähr, auf etwa einen Kilometer gerundet; mit ihr erhältst du die vom Handy gemeldeten Positionen ohne zusätzliche Rundung. Dass dein Kind am gewählten Ort angekommen ist, erkennen wir unabhängig davon genau und benachrichtigen dich. Die Spur einer Sitzung speichern wir bis 24 Stunden nach ihrem Ende, im Standort-Verlauf höchstens einen Ort alle 10 Minuten. Außerdem speichern wir, wann eine Sitzung lief, wer sie gestartet, verlängert oder beendet hat und warum sie endete, deine festen Zeiten und die Standard-Genauigkeit, und in einem Protokoll, wer wann was eingeschaltet oder eingerichtet hat – jeweils ohne Orte.

Ortsangaben statt Koordinaten. Wo die App dir sagt, wo dein Kind ist, zeigt sie keine Koordinaten, sondern den Namen des sicheren Ortes, an dem es gerade ist (etwa „Zuhause“), sonst eine kurze Ortsangabe wie „Kaiserstraße, Karlsruhe“ – ohne Hausnummer. Ob dein Kind in einem seiner sicheren Orte ist, prüfen wir auf unserem Server anhand seines genauen Standorts, bevor wir ihn für deine jeweilige Ansicht gegebenenfalls runden. Die Bezeichnung nennt nur den sicheren Ort; ob die Karte zusätzlich die vom Handy gemeldete Position ohne Rundung zeigt, richtet sich nach deiner gesonderten Freigabe. So siehst du „Zuhause“ auch bei einem jüngeren Kind. Ist dein Kind in keinem sicheren Ort und zeigt die App seinen Standort nur ungefähr, nennt sie nur Ortsteil und Ort, nie eine Straße. Die Ortsangabe ermittelt dein Handy selbst: JoinIn Eltern fragt dafür den Ortsdienst seines Betriebssystems – auf dem iPhone den von Apple, auf Android den Ortsdienst deines Geräts, meist den von Google – nach der Adresse eines Punktes, der höchstens etwa 50 Meter neben dem angezeigten Standort liegt. Die Anfrage enthält weder den Namen deines Kindes noch dein Konto; wir selbst senden dafür nichts an Apple oder Google und erfahren die Ortsangabe nicht. Dein Handy behält sie höchstens 24 Stunden im Arbeitsspeicher und speichert sie nicht dauerhaft. Rechtsgrundlage ist dieselbe wie für den Standort.

Wichtig – deine eigene Verantwortung als Elternteil: Du entscheidest, wann und wie du den Standort deines Kindes einsiehst. Geh mit diesen Daten verantwortungsvoll um, sprich mit deinem Kind offen über die Begleitung und nutze sie ausschließlich zum Schutz deines Kindes. Die Standortdaten sind allein für dich bestimmt – gib sie nicht an Dritte weiter.

Der Chat zwischen dir und deinem Kind (Texte, Fotos, Sprach- und Videonachrichten, Dateien) wird auf unseren Servern gespeichert und verschlüsselt übertragen. Grundsätzlich prüfen wir ihn nicht – weder Texte noch Fotos, Sprachnachrichten, Videos oder Dateien, in keine Richtung.

Prüfung bei Verdacht. Nur solange unser Sicherheits-Team dich oder dein Kind als verdächtig markiert hat, prüfen wir euren Chat – in beide Richtungen und nur Nachrichten, die ab dann geschickt werden; frühere Nachrichten prüfen wir nicht nachträglich. Eine Markierung setzt unser Team selbst, oder sie entsteht automatisch, wenn dein Kind dich meldet oder unser Team einen Sicherheitshinweis zu deinem Konto erhält, etwa weil dein Kind eine Verbindungsanfrage abgelehnt hat (Abschnitt 3); jede automatische Markierung prüft unser Team und hebt sie auf, wenn sich der Verdacht nicht bestätigt. Solange sie besteht, prüfen wir Texte vor dem Zustellen – mit festen Regeln und mit dem KI-Dienst Gemini der Google Ireland Ltd. / Google LLC, der dafür auch die letzten (höchstens 6) Nachrichten eures Chats seit Beginn der Prüfung gekürzt erhält –, und Fotos und Sprachnachrichten sowie das Vorschaubild einer Videonachricht automatisch auf verletzende oder gefährliche Inhalte (Jugendschutz). Dafür senden wir den Text oder die Datei – ohne Namen oder andere Angaben zu euren Konten – an Gemini; dabei können sie in die USA übermittelt werden (Abschnitt 12). Was die Prüfung als verletzend oder gefährlich einstuft, stellen wir nicht zu; wer es geschickt hat, sieht dann einen Hinweis. Über eine Markierung benachrichtigen wir nicht. Wir speichern dazu, wer wann und warum markiert wurde, wer aus unserem Team die Markierung bestätigt oder aufgehoben hat und warum, und zu jeder nicht zugestellten Nachricht nur Zeitpunkt, Art, Richtung und Grund – nie den Inhalt (Abschnitt 11).

Wer Anhänge sieht. Anhänge sind nie über öffentliche Links abrufbar, sondern nur für dich und dein Kind. Solange euer Chat wegen einer Markierung geprüft wird, sieht sich zum Schutz deines Kindes unser Sicherheits-Team einzelne Inhalte daraus an, nämlich Videos und Dateien sowie Fotos, Sprachnachrichten und Texte, bei denen unsere automatische Prüfung unsicher ist oder nicht möglich war.

GIFs und Bilder aus der Tastatur. GIFs oder Bilder, die du über die Tastatur deines Handys einfügst, kommen von deiner Tastatur (z. B. Gboard) – JoinIn bekommt nur das Bild und sendet es wie ein Foto. Die Suche nach dem GIF läuft über deine Tastatur und deren Einstellungen, nicht über JoinIn. JoinIn schickt dabei keine Daten an den Anbieter der Tastatur oder der GIFs.

Gruppenchats deines Kindes. Sobald Gruppenchats freigeschaltet sind, kann dein Kind ab 12 Jahren mit Kindern und Jugendlichen seiner Schule oder seines Vereins in Gruppen schreiben: höchstens 32 Personen; neben Text auch GIFs, Sticker, Fotos, Sprach- und Videonachrichten. Fotos, Sprach- und Videonachrichten kann dein Kind in einer Gruppe nur schicken, wenn du sie ihm für alle anderen Kinder der Gruppe erlaubt hast (für alle Kontakte oder pro Kind). Einladen kann es nur Kontakte, mit denen es schon gegenseitig geschrieben hat, und in eine Gruppe kommt es nur, wenn es eine Einladung selbst annimmt. Nachrichten in diesen Gruppen prüft keine KI – nur den Gruppennamen; ist ein Mitglied als verdächtig markiert, prüfen wir die Gruppe wieder vor dem Zustellen, auch Fotos und Sprachnachrichten; dein Kind kann melden, blockieren und die Gruppe jederzeit verlassen. Wie bei seinen Einzelchats siehst du von diesen Gruppen nichts – keine Inhalte, keine Namen, keine Mitglieder.

Gruppen mit Kindern und Erwachsenen. Sobald sie freigeschaltet sind, kannst du mit deinem Kind und anderen Familien in einer Gruppe schreiben. Du kannst nur Mitglied sein, solange mindestens eines deiner Kinder, mit dem du verbunden bist, in der Gruppe ist; verlässt dein letztes Kind die Gruppe, endet deine Mitgliedschaft. Einladen kannst du deine eigenen Kinder und Eltern, mit denen du in Eltern-Kontakte verbunden bist; fremde Kinder nur, indem du deren Eltern fragst – sie entscheiden.

Zustimmung: Ist dein Kind in einer Gruppe mit einem Erwachsenen, der nicht sein Elternteil ist, fragen wir dich (oder eine andere mit deinem Kind verbundene, bestätigte erwachsene Person; eine Entscheidung genügt). Bis zur Zustimmung sieht dein Kind keine Nachrichten der Gruppe, und die Erwachsenen sehen dein Kind nicht. Lehnst du ab oder antwortest du nicht innerhalb von 14 Tagen, ist dein Kind nicht mehr in der Gruppe. Deine Zustimmung gilt nur, solange deine Verbindung zu deinem Kind besteht. Unter „Gruppen deines Kindes“ siehst du jederzeit, in welchen solchen Gruppen dein Kind ist und wer drin ist, und kannst es herausnehmen.

Was andere über dich sehen: deinen Namen, deine Rolle und deine Nachrichten. Namen fremder Kinder siehst du erst, wenn deren Eltern zugestimmt haben.

Strenge Prüfung deiner Nachrichten: Ist in der Gruppe ein Kind, das nicht deines ist, prüfen wir jede deiner Nachrichten vor dem Zustellen – mit festen Regeln und mit dem KI-Dienst Gemini der Google Ireland Ltd. / Google LLC, der dafür die Gruppe so erhält, wie du sie sehen kannst, ohne Namen (pseudonymisiert), ältere Nachrichten gekürzt; dabei können Daten in die USA übermittelt werden (Abschnitt 12). Ist die Prüfung gerade nicht möglich, wird die Nachricht nicht zugestellt – du kannst es erneut versuchen. Videonachrichten kannst du in solchen Gruppen nicht schicken, Fotos und Sprachnachrichten prüfen wir ebenfalls. Was nicht durchkommt, stellen wir nicht zu, zeigen dir einen Hinweis und legen den Text unserem Team zur Prüfung vor (90 Tage). Bist du nur mit deinen eigenen Kindern in einer Gruppe, prüfen wir nicht (außer bei einer Markierung, wie im Chat mit deinem Kind).

Schutz der Kinder: Ein Kind kann dich melden oder blockieren. Meldet es dich, erhält unser Team einen Sicherheitshinweis, und du wirst bis zur Prüfung in Gruppen mit fremden Kindern ausgesetzt. Bist du als verdächtig markiert, ruht deine Mitgliedschaft in Gruppen mit fremden Kindern, ohne dass du den Grund erfährst. Unser Team sieht zu jeder solchen Gruppe nur Metadaten (Mitglieder, Rollen, Zustimmungen); Inhalte nur über Meldungen und nicht zugestellte Nachrichten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (die Gruppe, der du beitrittst), für die Zustimmung als Erziehungsberechtigte Art. 6 Abs. 1 lit. b i. V. m. Art. 8 DSGVO, für Prüfung, Sicherheitshinweise und Markierungen Art. 6 Abs. 1 lit. f DSGVO (Schutz von Kindern). Speicherdauer: wie Gruppen; Zustimmungen und Anfragen 30 Tage nach der Entscheidung, nicht zugestellte Texte 90 Tage, erledigte Meldungen ein Jahr.

Online-Status deines Kindes. In der Kinderliste und im Chat mit deinem Kind zeigt dir die App, ob dein Kind gerade online ist – also JoinIn auf seinem Handy geöffnet hat – und sonst, wann es zuletzt online war. Das siehst du bei jedem Kind, mit dem du verbunden bist, unabhängig von seinem Alter – nicht während einer Anfrage und nicht, solange eine Verknüpfung vorübergehend gesperrt ist. Dein Kind erfährt in seiner JoinIn-App, dass du das sehen kannst, und kann seinen Online-Status vor dir nicht verbergen. Dafür speichern wir zu deinem Kind nur einen einzigen Zeitpunkt, auf die Minute genau, den wir jedes Mal überschreiben – keinen Verlauf, keine Dauer, keinen Ort und kein Gerät. Seinen Online-Status sehen außerdem alle, mit denen dein Kind chattet – in Einzelchats, in Team-Chats, auch Kinder und Jugendliche anderer Schulen oder Vereine, und in Gruppenchats – nicht aber in Gruppen mit Erwachsenen –, und dein Kind kann ihn dort für alle oder für einzelne Personen ausschalten; das ändert nichts daran, was du siehst. Dein Kind sieht umgekehrt auch deinen Online-Status – außer du verbirgst ihn (Abschnitt 2); auch dann siehst du dein Kind weiterhin. Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. b DSGVO (die Begleitung deines Kindes, für die ihr euch verbunden habt) und Art. 6 Abs. 1 lit. f DSGVO (Schutz deines Kindes).

„Immer laut“. Im Menü eines Kindes, mit dem du verbunden bist, kannst du „Immer laut“ einschalten – ebenso bei jedem Eltern-Kontakt (Abschnitt 14). Dafür speichern wir zu deinem Konto bei jeder Verknüpfung mit einem Kind und bei jedem Eltern-Kontakt, ob „Immer laut“ eingeschaltet ist; anfangs ist es aus. Wir speichern das auf unserem Server, damit all deine Geräte es kennen – auch wenn die App geschlossen ist. Ruft dich eine Person an, bei der „Immer laut“ eingeschaltet ist, kennzeichnen wir die Anruf-Benachrichtigung an deine Geräte. Dein Android-Handy klingelt dann mit der Wecker-Lautstärke – auch wenn es lautlos ist oder nur vibriert, und bei „Bitte nicht stören“, wenn dort Wecker erlaubt sind oder JoinIn „Nicht stören“-Zugriff hat. Während es klingelt, stellt es die Wecker-Lautstärke auf mindestens 80 % und danach wieder zurück; das gehört zum Schalter „Notruf mit voller Lautstärke“, mit dem du es auch ausschalten kannst. Auf einem iPhone, auf dem du „Kritische Hinweise“ erlaubt hast – das geht erst, wenn Apple sie JoinIn Eltern gewährt –, schicken wir zusätzlich einen kritischen Hinweis, der auch bei Stummschaltung und Fokus klingelt. Sonst klingelt auf einem iPhone mit iOS 26, auf dem du JoinIn Eltern „Wecker & Timer“ erlaubt hast, neben dem Anruf ein Wecker-Alarm von JoinIn, auch bei Stummschaltung; mit „Stumm“ beendest du nur den Alarm, mit „Annehmen“ nimmst du den Anruf an. Die App entfernt den Hinweis und den Alarm, sobald der Anruf angenommen wird oder endet. Ob ihre App-Version „Immer laut“ und den Wecker-Alarm unterstützt, melden uns deine Geräte selbst (Abschnitt 9). Dein Kind erfährt nicht, dass du „Immer laut“ eingeschaltet hast, und kann es nicht sehen; in der Kopie seiner Daten steht es nicht, in deiner Kopie unter Meine Daten anfordern schon (Abschnitt 13). Endet eure Verknüpfung oder verbindest du dich neu mit deinem Kind, ist „Immer laut“ wieder aus. Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. b DSGVO (eine Funktion, die du selbst einschaltest).

Dringender Anruf deines Kindes. Ruft dein Kind dich an, kann es den Anruf als „Dringender Anruf“ kennzeichnen. Dann klingelt er auf deinen Handys so laut wie ein Anruf, bei dem du „Immer laut“ eingeschaltet hast – auch wenn „Immer laut“ bei deinem Kind aus ist –, und du siehst „Dringender Anruf von“ und den Namen deines Kindes. Verpasst du ihn, schicken wir dir die Benachrichtigung „Verpasster dringender Anruf“. Bevor dein Kind anruft, zeigt ihm JoinIn, ob deine Handys laut klingeln können – nicht, ob du „Immer laut“ eingeschaltet hast. Dafür speichern wir zu jedem dringenden Anruf, wann dein Kind dich angerufen hat und ob deine Geräte laut klingeln konnten – nie, was ihr sprecht –, und im Gesprächsverlauf mit deinem Kind, dass der Anruf dringend war. Eine Höchstzahl gibt es nicht: Dein Kind kann dich jederzeit dringend anrufen – auch nachdem du einen dringenden Anruf abgelehnt hast. Auch die bisherige Pause von 5 Sekunden entfällt. Derselbe Anruf wird nicht doppelt gestartet; ein bereits laufender Anruf bleibt geschützt. Ausschalten kannst du dringende Anrufe deines Kindes nicht, damit es dich erreichen kann, ohne gleich einen SOS-Alarm auszulösen; die Einstellungen deines Handys gelten weiter. Für Notfälle bleibt der SOS-Alarm (Abschnitt 6). Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. b DSGVO (eine Funktion eurer Verknüpfung).

Verlauf leeren. Im Menü „⋯“ eines Chats kannst du den Verlauf leeren. Er verschwindet dann nur bei dir, auf all deinen Geräten; dein Kind sieht ihn weiterhin, und wir löschen dabei keine Nachricht. Wir speichern dafür nur den Zeitpunkt, zu dem du geleert hast – mit deinem Konto und deiner Verbindung zu deinem Kind. Er steht in der Kopie deiner Daten.

Suche. Wenn du in „Chats“ suchst, durchsucht unser Server nur deine eigenen Chats – mit deinen Kindern, mit anderen Eltern und in deinen Gruppen – und nur, was du dort selbst lesen kannst. Deine Suchwörter speichern und protokollieren wir nicht; es wird keine KI genutzt, und nichts geht an andere. Was du zuletzt gesucht hast, bleibt nur auf deinem Handy und wird gelöscht, wenn du dich abmeldest.

Löst dein Kind einen SOS-Alarm aus, verarbeiten wir den Zeitpunkt, den Standort des Kindes zum Alarmzeitpunkt und den Bearbeitungsstatus (gesehen, gelöst). Diese Daten sind für die Schutzfunktion zwingend erforderlich und werden dir sofort zugestellt – auch per Push-Benachrichtigung.

Notfall-Klingeln

Ist eure Verknüpfung bestätigt, kannst du das Handy deines Kindes im Notfall laut klingeln lassen – auch wenn es lautlos ist oder nur vibriert, soweit das Handy es erlaubt. Das Notfall-Klingeln ist kein Anruf: Es macht nur einen Ton, schaltet nie Mikrofon oder Kamera ein, schickt keinen Standort mit und ändert nie „Bitte nicht stören“ auf dem Handy deines Kindes. Es klingelt, bis dein Kind reagiert, höchstens aber 2 Minuten; diese Dauer können wir zwischen 1 und 5 Minuten einstellen. Du kannst einen von drei festen Gründen mitschicken („Bitte ruf mich an.“, „Bitte melde dich kurz.“ oder „Ich mache mir Sorgen.“); einen eigenen Text gibt es nicht, und auf dem Sperrbildschirm deines Kindes steht nur, wer klingeln lässt. Es ersetzt keinen Notruf: Bei akuter Gefahr wähle 110 oder 112.

Einschalten und Einwilligung. Das Notfall-Klingeln ist für jedes Kind eine eigene Berechtigung. Es gehört nicht zu den Berechtigungen, die mit dem Verbinden entstehen (Abschnitt 3), und ist aus, bis du es für dein Kind selbst einschaltest – mit einem Häkchen, das nie vorausgewählt ist. Ist dein Kind nach seiner Altersangabe sicher unter 16 Jahren, beruht es auf deiner Einwilligung als Elternteil; dein Kind bekommt dann eine Nachricht. Ausschalten kann dein Kind es nicht, aber jedes Klingeln sofort stoppen und die Verknüpfung melden. Kann dein Kind schon 16 Jahre alt sein – dafür gehen wir wie beim Standort vom ältesten Alter aus, das es haben kann (Abschnitt 4) –, entscheidet es selbst: Schaltest du das Notfall-Klingeln ein, fragen wir dein Kind; nichts ist vorausgewählt, und es klingelt erst, wenn dein Kind zustimmt. Dein Kind kann seine Zustimmung jederzeit zurücknehmen; du bekommst dann eine Benachrichtigung, und ein laufendes Klingeln endet. Hat dein Kind noch nicht entschieden, kannst du es nach 24 Stunden erneut fragen, nach einer Ablehnung nach 7 Tagen. Kann dein Kind später schon 16 sein, entscheidet es ab dann selbst; wir benachrichtigen euch beide. Du kannst das Notfall-Klingeln jederzeit ausschalten; dein Kind bekommt dann eine Nachricht, und ein laufendes Klingeln endet. Wieder einschalten kannst du es frühestens 10 Minuten später. Verbindet ihr euch nach einer Trennung neu, ist es wieder aus. Wir speichern, wann du eingewilligt hast und welche Fassung dieser Erklärung dabei galt, wann du es ausgeschaltet hast und wann wir dein Kind gefragt haben und es zugestimmt, abgelehnt oder seine Zustimmung zurückgenommen hat; jede dieser Erklärungen halten wir außerdem im Geräte- und IP-Protokoll fest (Abschnitt 8). Ändern wir diesen Abschnitt wesentlich, bestätigst du das Notfall-Klingeln neu; bis dahin klingelt es nicht.

Wie laut es klingelt. Das hängt vom Handy deines Kindes ab. Auf Android stellt JoinIn für die Dauer des Klingelns die Wecker-Lautstärke auf das Maximum und danach wieder zurück – außer dein Kind hat sie in der Zeit selbst verstellt –, und das Klingeln erscheint auf dem ganzen Bildschirm; zuerst vibriert das Handy 2 Sekunden lang, dann wird der Ton schnell lauter. Bei „Bitte nicht stören“ klingelt es, wenn dort Wecker erlaubt sind oder dein Kind JoinIn das erlaubt hat, bei „völliger Ruhe“ nie. Auf einem iPhone mit iOS 26 klingelt es wie ein Wecker, wenn dein Kind JoinIn „Wecker & Timer“ erlaubt hat; ist JoinIn gerade geöffnet, spielt die App selbst einen Alarmton. Sonst zeigt ein stummgeschaltetes iPhone nur eine Mitteilung. Kritische Hinweise, die auch bei Stummschaltung und Fokus klingeln, nutzen wir erst, wenn Apple sie der Kinder-App gewährt und dein Kind sie erlaubt. Hat dein Kind Mitteilungen von JoinIn oder den Kanal „Notfall-Klingeln von Eltern“ ausgeschaltet, klingelt es nicht laut – das respektieren wir. Eine ältere JoinIn-Version zeigt nur eine einfache Mitteilung. Wir können nicht garantieren, dass das Handy laut klingelt – das hängt vom Handy, seinen Einstellungen und Erlaubnissen ab und davon, ob es eingeschaltet und online ist.

Was die Handys deines Kindes melden. Damit du vorher weißt, ob das Handy deines Kindes laut klingeln kann, melden uns seine Handys, welche der dafür nötigen Erlaubnisse JoinIn hat (etwa Mitteilungen, „Wecker & Timer“, Kritische Hinweise oder der Kanal „Notfall-Klingeln von Eltern“), Betriebssystem- und App-Version und wann der letzte Klingel-Test deines Kindes geklappt hat – nur solange das Notfall-Klingeln für dein Kind eingeschaltet ist. Du siehst davon nur eine Zusammenfassung: ob das Handy auch bei lautlos laut klingeln kann, welche Einstellung dafür noch fehlt und wann der letzte Klingel-Test geklappt hat – nie, ob dein Kind gerade telefoniert, wie laut sein Handy steht oder wie es ein Klingeln beendet hat.

Wer was sieht. Dein Kind sieht bei jedem Klingeln, dass du es bist. Es kann das Klingeln sofort stoppen – auch ohne sein Handy zu entsperren –, dir mit einem Tipp antworten („Mir geht's gut“ oder „Ich rufe zurück“), einen SOS-Alarm auslösen oder die Verknüpfung direkt melden. Jedes Notfall-Klingeln steht 90 Tage lang im Verlauf in der App deines Kindes und in seinen Mitteilungen. Du siehst, ob dein Klingeln angekommen ist, ob es laut klingelt – das zeigen wir nur, wenn das Handy deines Kindes es selbst bestätigt hat –, ob dein Kind geantwortet hat und wie es endete, etwa „Am Handy gestoppt“; deine eigenen Notfall-Klingeln siehst du 90 Tage lang in deinem Verlauf. Ist dein Kind mit weiteren Eltern verbunden, erfahren diese bei jedem Notfall-Klingeln, dass du gerade klingeln lässt – auch wenn sie es selbst nicht eingeschaltet haben –, und umgekehrt erfährst du es, wenn ein anderes Elternteil klingeln lässt – jeweils nur Eltern, deren Verknüpfung bestätigt ist und weder gesperrt noch gemeldet ist. Unser Team sieht zu jedem Klingeln Zeitpunkt und Ergebnis (Abschnitt 7) – nie den Grund und nie Inhalte.

Grenzen und Schutz vor Missbrauch. Bei einem Kind klingelt immer nur ein Elternteil gleichzeitig. Nach jedem Klingeln gibt es eine Pause von mindestens 30 Sekunden – nach „Mir geht's gut“ 15 Minuten, nach „Ich rufe zurück“ 10 Minuten; hat dein Kind gestoppt, 5 Minuten, beim zweiten Mal innerhalb einer Stunde 30 Minuten und ab dem dritten Mal innerhalb von 24 Stunden 2 Stunden. Du kannst das Handy deines Kindes höchstens 4-mal pro Stunde und 8-mal am Tag klingeln lassen, alle Eltern zusammen ein Kind höchstens 12-mal am Tag und du all deine Kinder zusammen höchstens 20-mal am Tag; ein Klingeln, das nicht angekommen ist, zählt nicht mit. Hat dein Kind gerade einen SOS-Alarm ausgelöst, weisen wir dich darauf hin, dass lautes Klingeln es verraten kann, und es klingelt erst nach deiner zweiten Bestätigung. Klingelt es auffällig oft – auch nachts – oder während eines laufenden Kinderschutz-Falls, oder stoppt dein Kind es oft, bekommt unser Team einen Sicherheitshinweis – nur mit Zahlen. Unser Team kann das Notfall-Klingeln für eine Verknüpfung sperren, ohne euren Chat zu sperren; dein Kind erfährt von der Sperre und ihrer Aufhebung. Meldet dein Kind die Verknüpfung, ist das Notfall-Klingeln pausiert, bis unser Team die Meldung geprüft hat. Bei einer Sperre oder Pause siehst du nur, dass das Notfall-Klingeln gerade nicht verfügbar ist. Ein laufendes Klingeln endet sofort, wenn die Verknüpfung gemeldet, gesperrt, getrennt oder ein Konto gelöscht wird.

Was wir speichern. Zu jedem Notfall-Klingeln: wer es wann ausgelöst hat, den gewählten Grund, auf wie vielen Geräten deines Kindes es wann ankam, ob und wie schnell es laut klingelte, ob und wie dein Kind geantwortet hat, wie und warum es endete, ob es nachts (22 bis 6 Uhr) oder während eines SOS-Alarms war, und auf welche Einwilligung es sich stützte. Wie lange, steht in Abschnitt 11.

Dringender Anruf an dein Kind

Rufst du dein Kind an, wählst du zuerst „Normaler Anruf“ (vorausgewählt) oder „Dringender Anruf“. Ein normaler Anruf richtet sich nach dem Handy deines Kindes: Lautlos bleibt lautlos. Ein dringender Anruf klingelt laut, auch wenn das Handy deines Kindes lautlos ist oder nur vibriert – soweit das Handy es erlaubt –, und dein Kind sieht „Dringender Anruf von“ und deinen Namen. Dafür muss das Notfall-Klingeln für dein Kind eingeschaltet sein: Es gilt dieselbe Einwilligung. Die bestätigte Verbindung, eine Pause nach einer Meldung, eine Sperre durch unser Team und die Erlaubnisse am Handy deines Kindes gelten auch hier; die Häufigkeitsgrenzen und Wartezeiten des eigenständigen Notfall-Klingelns gelten für dringende Anrufe nicht. Auf Android klingelt der Anruf über den Kanal „Notfall-Klingeln von Eltern“ mit der Wecker-Lautstärke und auf dem ganzen Bildschirm. Auf einem iPhone mit iOS 26, auf dem dein Kind JoinIn „Wecker & Timer“ erlaubt hat, klingelt neben dem Anruf ein Wecker-Alarm von JoinIn; mit „Stumm“ beendet dein Kind nur den Alarm, mit „Annehmen“ nimmt es den Anruf an. Einen kritischen Hinweis schicken wir erst, wenn Apple ihn der Kinder-App gewährt und dein Kind ihn erlaubt. Bevor du anrufst, zeigt dir die App, ob das Handy deines Kindes laut klingeln kann. Geht „dringend“ nicht – das Handy kann es nicht, das Notfall-Klingeln ist nicht eingerichtet oder es klingelt gerade –, rufen wir trotzdem an, als normalen Anruf, und du siehst, warum. Hat dein Kind gerade einen SOS-Alarm ausgelöst, warnen wir dich wie beim Notfall-Klingeln und fragen ein zweites Mal.

Keine Höchstzahl für dringende Anrufe. Du kannst dein Kind so oft dringend anrufen, wie es nötig ist. Es gibt keine Stunden- oder Tagesgrenze, keinen Mindestabstand und keine Wartezeit nach einem abgelehnten Anruf. Dringende Anrufe und eigenständiges Notfall-Klingeln teilen sich keine Höchstzahl. Derselbe Anruf wird nicht doppelt gestartet; ein laufender Anruf und ein aktives Notfall-Klingeln bleiben geschützt. Die bestätigte Verbindung, die Freigabe für lautes Klingeln, die Erlaubnisse am Handy deines Kindes, Pausen nach einer Meldung und Sperren durch unser Team gelten weiterhin. Die oben beschriebenen Grenzen des eigenständigen Notfall-Klingelns bleiben unverändert. Auffälliges Notfall-Klingeln – etwa sehr oft, oft gestoppt oder nachts – meldet unser System unserem Team als Sicherheitshinweis, nur mit Zahlen. Dringende Anrufe melden wir unserem Team nicht.

Einmal neu bestätigen. Diese Änderung gehört zur Fassung 2026-10-23.1. Hattest du das laute Klingeln schon eingerichtet, bitten wir dich um eine neue Bestätigung. Bis dahin bleiben das Notfall-Klingeln und laute dringende Anrufe an dein Kind pausiert; normale Anrufe sind weiter möglich. Bisher gespeicherte Nachweise werden durch diese Umstellung nicht gelöscht. Die Erlaubnisse am Handy deines Kindes und seine eigene Entscheidung über die Freigabe ändern sich dadurch nicht.

Wer was sieht und was wir speichern. Dein Kind bekommt zu jedem dringenden Anruf einen Eintrag in seinen Mitteilungen, über den es ihn melden kann. Andere Eltern erfahren von einem dringenden Anruf nichts. Wir speichern zu jedem dringenden Anruf, wann du angerufen hast, auf wie vielen Geräten deines Kindes er laut klingeln konnte, ob er nachts oder während eines SOS-Alarms war und auf welche Einwilligung er sich stützte, und im Gesprächsverlauf mit deinem Kind, dass der Anruf dringend war – nie, was ihr sprecht. Wie lange, steht in Abschnitt 11.

Zum Schutz der Kinder und um Missbrauch zu verhindern – etwa, dass sich jemand unberechtigt als Elternteil ausgibt –, sieht unser Admin- und Support-Team (nicht die Schule oder der Verein deines Kindes) neben deinen Kontodaten (Name, E-Mail-Adresse, Telefonnummer, Profilbild) zu deiner Verknüpfung mit deinem Kind ausschließlich Metadaten:

• wann und wie die Verknüpfung erstellt und bestätigt wurde oder seit wann sie geprüft wird, ihren Status, die erteilten Berechtigungen und deine Rolle (z. B. Mutter) sowie Zeitpunkt und Status zugehöriger Kopplungscodes und Freigabe-Anfragen,
• wann du beim Verbinden bestätigt hast, sorgeberechtigt zu sein, und welche Fassung dieser Erklärung dabei galt – oder dass diese Bestätigung fehlt, weil du dich mit einer älteren App-Version verbunden hast,
• ob und seit wann unser Team die Verknüpfung vorübergehend gesperrt hat,
• wann ihr euch zuletzt geschrieben oder angerufen habt und einen Verlauf der letzten 90 Tage: zu jedem Anruf Zeitpunkt, Richtung, Art (Audio/Video), Dauer und Ergebnis (z. B. angenommen, verpasst), zu Nachrichten nur die Anzahl pro Tag und Richtung – immer ohne Inhalte,
• wann du zuletzt den Standort deines Kindes aufgerufen hast – nur den Zeitpunkt, nicht den Standort,
• wie voll der Akku deines Kindes zuletzt war – nur die Zahl, nicht den Standort,
• wann dein Kind einen von dir angelegten sicheren Ort betreten oder verlassen hat – ohne Namen und Lage des Ortes,
• wann dein Kind dich gebeten hat, deinen eigenen Standort mit ihm zu teilen, und wie du entschieden hast (Status und Dauer der Freigabe) – nicht den Standort selbst,
• zum Notfall-Klingeln, ob es eingeschaltet ist, wann und mit welcher Fassung dieser Erklärung du eingewilligt hast, ob dein Kind selbst entscheidet und wie, ob unser Team es gesperrt hat, und zu jedem Klingeln Zeitpunkt, Antwort und Ende, ob es laut klingelte und wie schnell, ob es nachts oder während eines SOS-Alarms war – nie den Grund,
• Sicherheitshinweise zu deiner Verknüpfung – automatische und Meldungen deines Kindes (Art, Zeitpunkt und Bearbeitungsstatus),
• wann du dich registriert und die App zuletzt genutzt hast und mit welchem Gerät (Modell, Betriebssystem, App-Version),
• die Einträge des Geräte- und IP-Protokolls (Abschnitt 8) – deine und die deines Kindes, auch mit dem Hinweis, ob beide Seiten dieselbe IP-Adresse genutzt haben.

In dieser Übersicht sieht unser Team keine Nachrichten, Anhänge, Gesprächsinhalte und keine Standorte.

Speicherdauer: solange die Verknüpfung besteht. Wird sie getrennt, bleiben diese Angaben zum Schutz des Kindes gespeichert, bis dein Konto oder das Konto deines Kindes gelöscht wird. Ereignisse zu sicheren Orten werden nach spätestens 90 Tagen automatisch gelöscht. Für das Geräte- und IP-Protokoll gelten die Fristen aus Abschnitt 8.

Zur Absicherung deines Kontos verarbeiten wir Geräte-Kennungen (Gerätemodell, Betriebssystem, App-Version, eine stabile Geräte-ID) und IP-Adressen deiner Anmeldungen. Damit erkennen wir verdächtige Anmeldungen, verhindern, dass Kinder- und Eltern-Konto auf demselben Gerät betrieben werden, und können Geräte bei Missbrauch sperren.

Zusätzlich führen wir ein Geräte- und IP-Protokoll: Bei deiner Registrierung, jeder Anmeldung, beim Zurücksetzen deines Passworts, bei jedem Schritt der Kopplung mit deinem Kind und wenn du das Notfall-Klingeln ein- oder ausschaltest (Abschnitt 6) speichern wir die IP-Adresse und die Gerätedaten (Geräte-ID, Gerätemodell, Betriebssystem, App-Version) mit Zeitpunkt. Beim Koppeln halten wir so fest, welche Geräte beteiligt waren: das Gerät deines Kindes beim Erstellen des QR-Codes und dein Gerät beim Scannen. Darüber hinaus speichern wir einen Eintrag nur, wenn sich die IP-Adresse deines Geräts ändert – bei gleichbleibender Adresse höchstens einmal am Tag.

Zweck ist, nachweisen zu können, wer sich wann mit welchem Kind verbunden hat, und Missbrauch zu verhindern – etwa, dass sich jemand unberechtigt als Elternteil ausgibt. Dazu kann unser Admin-Team auch vergleichen, ob dein Gerät und das Gerät deines Kindes dieselbe IP-Adresse genutzt haben. Das Protokoll sieht ausschließlich unser Admin-Team – nicht dein Kind, keine anderen Eltern und nicht die Schule oder der Verein deines Kindes. Deine Einträge sind Teil der Kopie, die du unter Meine Daten anfordern erhältst.

Speicherdauer des Geräte- und IP-Protokolls: 180 Tage, danach automatische Löschung. Die Einträge zur Kopplung mit deinem Kind und zum Notfall-Klingeln bleiben gespeichert, solange die Verknüpfung besteht; nach einer Trennung werden sie gelöscht, sobald sie älter als 180 Tage sind. Löschst du dein Konto, werden deine Einträge sofort mitgelöscht.

Fehlerberichte und technische Ereignisse

Damit wir Fehler finden und beheben können und JoinIn Eltern – vor allem SOS-Alarme, Anrufe und das Notfall-Klingeln – zuverlässig funktioniert, hält die App technische Fehler- und Absturzberichte fest: wenn ein Fehler auftritt, die App abstürzt oder hängt, das Betriebssystem sie ungewöhnlich beendet oder ein Anruf fehlschlägt. Zusätzlich hält sie technische Ereignisse fest, an denen wir erkennen, was vor einem Fehler geschah: wann die App startet, in den Hintergrund geht und wieder öffnet und wie lange das dauert; welcher Bildschirm geöffnet ist (nur sein Name, etwa „Kind-Details“); zu jeder Anfrage an unseren Server nur, welche Schnittstelle es war (ohne Kennungen), ob sie gelang, ihr Statuscode und wie lange sie dauerte; Verbindungsaufbau und -abbrüche, die Art des Netzes (WLAN, mobile Daten, keins); ob eine Benachrichtigung ankam und verarbeitet wurde (nur ihre Art); die technischen Schritte eines Anrufs, eines SOS-Alarms, des Notfall-Klingelns und der Standortfreigabe (nur Zustände wie „verbunden“ oder „fehlgeschlagen“, nie ein Standort); ob eine Nachricht oder ein Anhang gesendet werden konnte (nur Ergebnis, Art und Größe in Kilobyte); welche Berechtigungen die App hat und welche Einstellungen du änderst (nur welche Einstellung und ihr neuer Wert, etwa „an“ oder „aus“). Die App schickt Berichte und Ereignisse an unseren Server, sobald sie das kann; bis dahin warten sie verschlüsselt auf deinem Handy – Fehlerberichte und Ereignisse zu Anrufen, SOS und Notfall-Klingeln höchstens 30 Tage, andere Ereignisse höchstens 7 Tage, Detail-Ereignisse höchstens einen Tag; danach löscht die App sie auch dort.

Was ein Bericht oder Ereignis enthält: welche App in welcher Version und welchem Build, ob iPhone oder Android, die Version des Betriebssystems und das Gerätemodell; eine zufällige Installationsnummer, die die App selbst erzeugt – keine Kennung deines Geräts; eine zufällige Nummer für jeden Start der App und die Reihenfolge der Ereignisse darin; Zeitpunkte. Ein Fehlerbericht enthält außerdem die Art des Problems, die Art des Fehlers, eine gekürzte technische Fehlermeldung und die Stellen im Programmcode, an denen er auftrat; ein Ereignis nur seinen Namen und festgelegte technische Angaben (Codes, Zahlen, Ja/Nein, Bildschirm- und Schnittstellennamen ohne Kennungen). Zu einem Anruf kommen seine technische Kennung und die Phase oder der Fehlercode hinzu. Von der Fehlermeldung behalten wir nur die erste Zeile mit höchstens 300 Zeichen und entfernen daraus – schon auf deinem Handy und noch einmal auf unserem Server – Text in Anführungszeichen, lange Zahlen, E-Mail-Adressen, Telefonnummern, IP-Adressen, Koordinaten und Zugangsschlüssel. Damit wir einen gemeldeten Fehler auf einem bestimmten Handy finden, können wir für eine Installationsnummer oder ein Konto-Pseudonym vorübergehend genauere technische Ereignisse einschalten – jeweils höchstens 72 Stunden; jedes Ein- und Ausschalten halten wir in unseren Server-Protokollen fest. Der Inhalt bleibt derselbe.

Was nie darin steht: Inhalte von Nachrichten oder Chats, Namen, E-Mail-Adressen, ein genauer oder ungefährer Standort – deiner oder der deines Kindes –, Fotos, Sprachaufnahmen, Kontakte, Passwörter, Zugangsschlüssel, was du eintippst, Adressen von Webseiten und Kennungen anderer Personen.

Nur mit Pseudonym: Bist du angemeldet, verbinden wir einen Bericht mit deinem Konto nur über ein Pseudonym – eine Zeichenfolge, die unser Server mit einem geheimen Schlüssel aus der Kennung deines Kontos berechnet; den Schlüssel gibt es nur auf unserem Server. Name und E-Mail-Adresse gehören nicht dazu. Ein Bericht vom Anmeldebildschirm kommt ohne Bezug zu einem Konto. Die IP-Adresse, von der ein Bericht kommt, nutzt unser Server nur kurz in seinem Arbeitsspeicher, um Missbrauch zu begrenzen – höchstens eine Stunde –, und speichert sie nie mit dem Bericht.

Protokolle unserer Server: In demselben System sammeln wir die Fehler- und Betriebsprotokolle unserer eigenen Server – der Schnittstelle, mit der die Apps sprechen, der Website und Verwaltungskonsole, des Vermittlungs-Servers für Anrufe, des Medien-Servers und der Datenbank. Konto- und andere Kennungen darin ersetzen wir durch dieselben Pseudonyme; E-Mail-Adressen, IP-Adressen, Koordinaten, Telefonnummern und Zugangsschlüssel entfernen wir, bevor wir sie speichern.

Wo, wer, wie lange: Berichte und Protokolle liegen in einem Programm zur Auswertung von Protokollen (OpenObserve, quelloffene Software), das wir selbst auf unserem eigenen Server der OVH GmbH im Rechenzentrum von OVHcloud in Limburg (Deutschland) betreiben, auf dem auch JoinIn läuft (Abschnitt 12). Kein anderes Unternehmen wertet sie aus, keine Analyse- und keine Werbefirma bekommt sie, und sie verlassen die EU nicht. Einsehen kann sie nur das technische Personal unseres Admin-Teams, mit eigener Anmeldung und über eine verschlüsselte Verbindung. Nach 30 Tagen werden sie automatisch gelöscht. Benachrichtigt das System unser Team per E-Mail über unseren E-Mail-Dienst Resend (Abschnitt 10), enthält die E-Mail nur den Namen der Warnung und Zahlen, nie Inhalte eines Berichts.

Nur für Fehlersuche und Schutzfunktionen: Wir nutzen Fehlerberichte und technische Ereignisse ausschließlich, um Fehler zu finden und zu beheben und um SOS-Alarme, Anrufe, das Notfall-Klingeln und die Standortfreigabe funktionsfähig zu halten. Wir werten sie nicht für Nutzungsstatistiken oder Produktanalysen aus, bilden daraus keine Profile und verknüpfen sie nicht mit Moderations- oder Sicherheitsentscheidungen – weder über dich noch über dein Kind. In der App deines Kindes bleiben allgemeine technische Ereignisse auf seinem Handy und werden nur mit einem Fehlerbericht gesendet (die letzten 15 Minuten davor); laufend gesendet werden dort nur die Schritte von SOS, Anrufen, Notfall-Klingeln und Standortfreigabe (siehe die Datenschutzerklärung der Kinder-App).

Ausschalten und widersprechen: In den Einstellungen der App kannst du „Fehlerberichte senden“ ausschalten; anfangs ist es eingeschaltet. Dann hält die App keine Berichte mehr fest, schickt keine mehr und löscht die Berichte, die noch auf deinem Handy warten. Der Schalter gilt für Fehlerberichte und technische Ereignisse gleichermaßen. Die Protokolle unserer Server betrifft der Schalter nicht. Darüber hinaus kannst du der Verarbeitung jederzeit widersprechen (Art. 21 DSGVO) – schreib uns dazu an die Adresse in Abschnitt 1.

Auskunft: Die Berichte und Protokolle liegen nicht bei den Daten deines Kontos und sind deshalb nicht Teil der Kopie unter Meine Daten anfordern. Fragst du uns danach, suchen wir die Einträge unter dem Pseudonym deines Kontos heraus und geben sie dir mit.

Für Benachrichtigungen (z. B. SOS-Alarme, Nachrichten, Anfragen deines Kindes) speichern wir die Push-Token deines Geräts. Die Zustellung erfolgt über die Dienste der Plattformanbieter (Apple Push Notification Service bzw. Firebase Cloud Messaging der Google Ireland Ltd.); dabei erhalten diese Anbieter technisch notwendige Zustelldaten. Du kannst Benachrichtigungen in den Systemeinstellungen deines Geräts jederzeit deaktivieren – SOS-Alarme empfehlen wir dringend aktiviert zu lassen.

Endet ein Live-Standort bei geschlossener App, weil dein Kind ihn beendet hat, weil es am gewählten Ort angekommen ist oder weil die 4 Stunden für den Tag erreicht sind, bekommst du eine Benachrichtigung – ohne Standort (Abschnitt 4).

Deine Geräte melden uns außerdem, ob ihre App-Version „Immer laut“ und den Wecker-Alarm zu einem Anruf unterstützt, ob du dort „Kritische Hinweise“ erlaubt hast und ob JoinIn Eltern „Wecker & Timer“ nutzen darf. Danach richten wir aus, ob ein Gerät zu einem Anruf zusätzlich einen kritischen Hinweis oder einen Wecker-Alarm bekommt (Abschnitt 5).

Zum Notfall-Klingeln bekommst du Benachrichtigungen über sein Ergebnis und eine Benachrichtigung, wenn ein anderes Elternteil das Handy deines Kindes klingeln lässt. Für das Notfall-Klingeln und den dringenden Anruf schicken wir den Handys deines Kindes Benachrichtigungen über die Zustelldienste von Apple und Google, die sagen, wer es erreichen möchte (Abschnitt 6).

Hast du dein Passwort vergessen, kannst du es auf zwei Wegen zurücksetzen. Auf beiden bekommst du einen Einmal-Code, mit dem du dein neues Passwort auf unserer Webseite selbst festlegst – niemand bei JoinIn wählt oder sieht dein Passwort.

• Per E-Mail: Du gibst in der App oder auf unserer Webseite die E-Mail-Adresse deines Eltern-Kontos ein. Wir schicken den Code ausschließlich an die E-Mail-Adresse, die in deinem Konto hinterlegt ist. Er gilt 60 Minuten und nur einmal. Gehört die eingegebene Adresse zu keinem Eltern-Konto, schicken wir nichts. Die App und die Webseite antworten in beiden Fällen gleich, damit sich über das Zurücksetzen des Passworts nicht herausfinden lässt, ob zu einer Adresse ein Konto besteht.
• Über den Support: Du schreibst unserem Support. Unser Team erstellt dir einen Code und schickt ihn dir ausschließlich an die E-Mail-Adresse, die in deinem Konto hinterlegt ist – oder liest ihn dir vor: bei einem Rückruf an die Telefonnummer in deinem Konto oder persönlich. Per E-Mail, Chat oder SMS gibt unser Team einen Code nie selbst weiter. Liest unser Team dir einen Code vor, bekommst du sofort einen Hinweis an die E-Mail-Adresse deines Kontos – ohne den Code – und eine Benachrichtigung auf deine Geräte. Dieser Code gilt 24 Stunden und nur einmal.

Ein neuer Code per E-Mail macht einen älteren, noch nicht eingelösten Code per E-Mail ungültig; einen Code vom Support lässt er bestehen. Ein neuer Code vom Support macht jeden älteren, noch nicht eingelösten Code ungültig. Sobald du dein Passwort mit einem Code geändert hast, gilt kein anderer Code mehr. Nach fünf falschen Eingaben ist ein Code gesperrt; jede falsche Eingabe zählt dabei für alle deine noch gültigen Codes. In unserem System speichern wir einen Code nur als nicht umkehrbaren Hashwert, nie im Klartext.

Dabei verarbeiten wir:

• die E-Mail-Adresse, die du eingibst – wir speichern sie nicht zusätzlich; gehört sie zu keinem Eltern-Konto, verwerfen wir sie,
• den Weg der Anforderung (per E-Mail) bzw. die Art der Prüfung durch unseren Support, gegebenenfalls mit einer kurzen internen Notiz, sowie wer im Support den Code erstellt hat,
• Zeitpunkte der Ausstellung, des Ablaufs und der Einlösung des Codes sowie die Zahl fehlgeschlagener Eingaben,
• bei einem Code per E-Mail den Versandstatus der E-Mail und die Kennung, unter der Resend die E-Mail führt; lässt sich die E-Mail nicht verschicken, machen wir den Code sofort ungültig,
• den Einmal-Code – bei uns nur als Hashwert,
• zum Schutz vor massenhaften Anfragen die IP-Adresse deiner Anfrage und einen nicht umkehrbaren Hashwert der eingegebenen E-Mail-Adresse – nur im Arbeitsspeicher unseres Servers und höchstens 24 Stunden.

Nach der Änderung wirst du aus Sicherheitsgründen auf allen Geräten abgemeldet; bis du dich dort wieder anmeldest, bekommen diese Geräte keine Benachrichtigungen mehr – auch keine SOS-Alarme deines Kindes. Zuvor bekommen sie eine letzte Benachrichtigung und die Adresse deines Kontos eine E-Mail, dass dein Passwort geändert wurde – so merkst du es sofort, falls jemand anderes das war.

Zweck ist die Wiederherstellung des Zugangs zu deinem Konto und der Schutz vor Kontoübernahmen – ein Elternkonto hat Zugriff auf Standort, SOS-Alarme und Chat deines Kindes. Weg der Anforderung bzw. Art der Prüfung sowie Ausstellungs-, Ablauf- und Einlösezeitpunkt sind Teil der Kopie, die du unter Meine Daten anfordern erhältst.

Anmelde-E-Mail ändern. Die E-Mail-Adresse, mit der du dich anmeldest, kann nur unser Support ändern – nachdem unser Team dich persönlich mit Ausweis oder bei einem Rückruf an die Telefonnummer in deinem Konto geprüft hat. Eine E-Mail an uns mit einer „neuen Adresse“ reicht dafür nicht. Die neue Adresse wird erst 72 Stunden später wirksam. Sofort schicken wir einen Hinweis an deine bisherige Adresse – mit einem Link, über den du die Änderung bis dahin abbrechen kannst – und einen Hinweis an die neue Adresse; außerdem bekommst du eine Benachrichtigung auf deine Geräte. Der Link gilt bis zu dem Zeitpunkt, an dem die Änderung wirksam würde, und stoppt bis dahin auch jede neuere Änderung, die unser Support für deine bisherige Adresse einträgt; in unserem System speichern wir ihn nur als nicht umkehrbaren Hashwert. Wird die Änderung wirksam, wirst du auf allen Geräten abgemeldet – bis du dich dort mit der neuen Adresse wieder anmeldest, bekommen sie keine Benachrichtigungen mehr –, und jeder noch gültige Code zum Zurücksetzen des Passworts wird ungültig.

Dabei speichern wir die neue Adresse, deine bisherige Adresse nur als nicht umkehrbaren Hashwert, wie und von wem im Support du geprüft wurdest samt einer kurzen internen Notiz, die Zeitpunkte des Eintragens, des Wirksamwerdens oder des Abbrechens und wodurch abgebrochen wurde sowie den Versandstatus der beiden Hinweise und die Kennungen, unter denen Resend sie führt. Neue Adresse, Art der Prüfung, Zeitpunkte und Versand der Hinweise sind Teil der Kopie unter Meine Daten anfordern.

Telefonnummer ändern. Nach deiner Registrierung kann nur unser Support die Telefonnummer in deinem Konto ändern oder entfernen. Weil unser Team dich bei einem Rückruf über diese Nummer prüft, bekommst du bei jeder Änderung sofort einen Hinweis an die E-Mail-Adresse deines Kontos – mit nur den letzten beiden Ziffern der neuen Nummer – und eine Benachrichtigung auf deine Geräte. Ein Rückruf an eine neue Nummer zählt erst 72 Stunden später als Prüfung.

Aufzeichnungen zur Kontosicherheit. In einer eigenen Aufzeichnung halten wir zusätzlich fest: jede Änderung deiner Anmelde-E-Mail – wann sie eingetragen, abgebrochen (auch über deinen Link) oder wirksam wurde und wodurch sie abgebrochen wurde –, jede Änderung deiner Telefonnummer durch unseren Support und jeden Code, den unser Support dir zum Vorlesen erstellt hat. Dazu speichern wir den Zeitpunkt, die Person im Support, die gehandelt hat – bei einem Abbruch über deinen Link oder durch unser System und beim Wirksamwerden gibt es keine –, und beim Eintragen einer neuen Anmelde-E-Mail und beim Code zum Vorlesen die Art der Prüfung. Adressen und Nummern stehen darin nur als nicht umkehrbare Hashwerte, die interne Notiz gar nicht. Diese Aufzeichnung bewahren wir ein Jahr lang auf, auch wenn dein Konto vorher gelöscht wird: So lässt sich eine Übernahme deines Kontos auch dann noch aufklären, wenn jemand anderes das Konto danach gelöscht hat. Die Einträge sind ohne die Person im Support und ohne die Hashwerte Teil der Kopie unter Meine Daten anfordern.

Unser E-Mail-Dienst Resend. Die E-Mails mit einem Code – ob du ihn selbst anforderst oder unser Support ihn dir schickt –, die E-Mail nach einer Passwortänderung, die Hinweise zu einer Änderung deiner Anmelde-E-Mail oder deiner Telefonnummer und den Hinweis auf einen Code zum Vorlesen verschicken wir über Resend: Plus Five Five, Inc. (Resend), 2261 Market Street #5039, San Francisco, CA 94114, USA. Resend ist unser Auftragsverarbeiter nach Art. 28 DSGVO; Grundlage ist der Vertrag zur Auftragsverarbeitung von Resend. Die E-Mails werden über die EU-Region von Resend (Irland) verschickt. Resend speichert die E-Mails – Empfängeradresse, Betreff und Inhalt samt Code oder Link – und die Versanddaten jedoch in den USA. Grundlage dieser Übermittlung sind das EU-US Data Privacy Framework, an dem Resend teilnimmt, und die EU-Standardvertragsklauseln. Resend löscht die E-Mails und Versanddaten nach 30 Tagen; in Sicherungskopien von Resend können sie bis zu 7 weitere Tage liegen. Ein Code oder Link darin ist dann längst ungültig – ein Code gilt höchstens 24 Stunden und nur einmal, ein Link zum Abbrechen einer Änderung höchstens 72 Stunden. Öffnungs- oder Klickverfolgung nutzen wir nicht, und wir verschicken über Resend weder Newsletter noch Werbung.

Speicherdauer: bei uns 90 Tage nach Ausstellung des Codes, danach automatische Löschung; eine Änderung der Anmelde-E-Mail ein Jahr, nachdem sie wirksam oder abgebrochen wurde; die Aufzeichnungen zur Kontosicherheit ein Jahr – auch wenn dein Konto vorher gelöscht wird; bei Resend 30 Tage, Sicherungskopien bis zu 7 weitere Tage.

• Kontodaten (E-Mail, Name, Telefonnummer): bis zur Löschung deines Kontos.
• Manuelle Kontoprüfung: Prüfstatus und Entscheidungen bleiben bis zur Löschung des geprüften Elternkontos gespeichert; mit dessen Prüfeintrag werden die Entscheidungen gelöscht. Wird nur das Konto einer entscheidenden Person aus unserem Team gelöscht, entfällt ihr Kontobezug, nicht die Entscheidung über dein Konto.
• Profilbild: bis du es änderst oder entfernst, unser Team es entfernt oder dein Konto gelöscht wird (Abschnitt 2).
• Standort-Verlauf des Kindes: 90 Tage, danach automatische Löschung.
• Bestätigungen zur genauen Standortansicht (Zeitpunkt, Ein- oder Ausschalten, Fassung des gezeigten Hinweises, Bestätigung der Sorgeberechtigung und die zugehörigen Kopplungszeitpunkte; ohne Orte): solange die zugehörige Verknüpfung gespeichert ist; spätestens mit der Löschung deines Kontos, des Kindkontos oder der Verknüpfung werden diese Bestätigungen gelöscht.
• Standort-Erlaubnis auf dem Handy deines Kindes (erlaubt oder nicht, ob „Immer“ erlaubt ist, und Zeitpunkt der letzten Meldung): nur der aktuelle Stand, bis zur Löschung des Kontos deines Kindes.
• Akkustand deines Kindes (Ladestand, ob es lädt, Zeitpunkt der Meldung und die zuletzt gemeldete Stufe des Hinweises bei fast leerem Akku, Abschnitt 4): nur der letzte Stand, jedes Mal überschrieben; gelöscht, sobald niemand mehr den Standort deines Kindes sehen darf, spätestens 30 Tage nach der letzten Meldung.
• Live-Ansicht (bis wann du gerade zuschaust, Abschnitt 4): gelöscht, sobald du die Karte verlässt, sonst in der Nacht nach ihrem Ablauf.
• Deine Einstellung „Hinweis bei fast leerem Akku“ (Abschnitt 4): solange die Verknüpfung besteht.
• Live-Standort bei geschlossener App (Abschnitt 4): die Spur einer Sitzung bis 24 Stunden nach ihrem Ende; wann eine Sitzung lief, wer sie gestartet, verlängert oder beendet hat und warum sie endete: 90 Tage; das Protokoll, wer wann was eingeschaltet oder eingerichtet hat: 180 Tage; feste Zeiten und die Standard-Genauigkeit, bis sie gelöscht werden oder niemand mehr den Standort deines Kindes sehen darf.
• Ob das Handy deines Kindes für den Live-Standort bereit ist (Erlaubnisse, keine Orte) und seit wann sich das geändert hat: nur der neueste Stand, bis niemand mehr den Standort deines Kindes sehen darf oder sein Konto gelöscht wird; wann wir dich zuletzt deswegen benachrichtigt haben, ebenso lange.
• Online-Status deines Kindes („zuletzt online“, Abschnitt 5): nur der letzte Zeitpunkt, bei jedem Mal überschrieben, bis zur Löschung des Kontos deines Kindes.
• Dein Online-Status (Abschnitt 2): deine beiden Einstellungen, vor wem du ihn verbirgst, und nur der letzte „zuletzt online“-Zeitpunkt, bei jedem Mal überschrieben – bis zur Löschung deines Kontos; dass du ihn vor einer Person verbirgst, löschen wir auch, wenn deren Konto gelöscht wird.
• „Immer laut“ (bei welchem Kind und welchem Eltern-Kontakt du es eingeschaltet hast, Abschnitte 5 und 14): solange die Verknüpfung oder der Eltern-Kontakt besteht – danach ist es aus –, gelöscht mit der Verknüpfung, dem Kontakt oder deinem Konto.
• Dringende Anrufe deines Kindes (wann dein Kind dich dringend angerufen hat und ob deine Geräte laut klingeln konnten, Abschnitt 5): 90 Tage, danach automatische Löschung – länger nur, solange unser Team eure Verknüpfung prüft, höchstens ein Jahr. Dass ein Anruf dringend war, steht im Gesprächsverlauf, solange dieser gespeichert ist.
• Notfall-Klingeln (wer wann klingeln ließ, der Grund, die Zustellung, ob es laut klingelte, die Antwort und das Ende, Abschnitt 6): 90 Tage, danach automatische Löschung – länger nur, solange unser Team eine Meldung deines Kindes oder auffällig häufiges Klingeln prüft, höchstens ein Jahr. Das gilt auch, wenn du dein Konto in dieser Zeit löschst: Dann bewahren wir die geprüften Klingeln mit deinem Namen bis zum Ende der Prüfung auf und löschen alle anderen sofort. Mit dem Konto deines Kindes löschen wir sie sofort.
• Dringende Anrufe an dein Kind (wann du dringend angerufen hast und ob das Handy deines Kindes laut klingeln konnte, Abschnitt 6): 90 Tage, danach automatische Löschung – länger nur, solange unser Team eure Verknüpfung prüft, höchstens ein Jahr; mit deinem Konto oder dem Konto deines Kindes sofort. Dass ein Anruf dringend war, steht im Gesprächsverlauf, solange dieser gespeichert ist.
• Einwilligungen zum Notfall-Klingeln (deine und die deines Kindes: Zeitpunkte und Fassung dieser Erklärung, Abschnitt 6): solange die Verknüpfung besteht; nach einer Trennung bis zur Löschung deines Kontos oder des Kontos deines Kindes.
• Geräte-Angaben zum Notfall-Klingeln (Erlaubnisse, Versionen und letzter Klingel-Test auf den Handys deines Kindes, Abschnitt 6): nur der letzte Stand und nur, solange das Notfall-Klingeln für dein Kind eingeschaltet ist.
• Nachrichten und Anhänge: bis zur Löschung des Chats oder eines der beteiligten Konten.
• „Verlauf leeren“ im Chat mit deinem Kind (nur der Zeitpunkt): bis die Verbindung zu deinem Kind gelöscht wird, spätestens mit deinem Konto oder dem Konto deines Kindes.
• Verdachtsmarkierungen (wer wann und warum markiert wurde, ob automatisch, wer aus unserem Team die Markierung bestätigt oder aufgehoben hat und warum, Abschnitt 5): solange die Markierung besteht; nach dem Aufheben ein Jahr. Mit dem Konto, das markiert ist, wird auch die Markierung gelöscht.
• Nicht zugestellte Nachrichten im geprüften Chat (nur Zeitpunkt, Art, Richtung und Grund – nie der Inhalt, Abschnitt 5): 90 Tage, und mit deinem Konto oder dem Konto deines Kindes.
• SOS-Alarme: bis zur Löschung der beteiligten Konten.
• Geräte- und Anmeldedaten: solange sie für die Kontosicherheit erforderlich sind.
• Refresh-Token (Anmeldesitzungen): werden bei Abmeldung widerrufen.
• Passwort-Zurücksetzen (Weg der Anforderung bzw. Art der Prüfung, Zeitpunkte, Versandstatus der E-Mail, Code als Hashwert): 90 Tage.
• Änderung der Anmelde-E-Mail (neue Adresse, bisherige Adresse als Hashwert, Art der Prüfung mit Notiz, Zeitpunkte, Versandstatus der Hinweise – Abschnitt 10): ein Jahr, nachdem sie wirksam oder abgebrochen wurde.
• Aufzeichnungen zur Kontosicherheit (jede Änderung deiner Anmelde-E-Mail – eingetragen, abgebrochen oder wirksam geworden –, jede Änderung deiner Telefonnummer durch unseren Support und jeder Code zum Vorlesen, mit Zeitpunkt, der Person im Support, falls sie gehandelt hat, und der Art der Prüfung, falls es eine gab; Adressen und Nummern nur als Hashwert – Abschnitt 10): ein Jahr, auch wenn dein Konto vorher gelöscht wird.
• Entfernen eines Profilbilds durch unser Team (welches Bild wann, von wem aus unserem Team und zu welcher Meldung entfernt wurde – ohne das Bild, Abschnitt 2): ein Jahr, auch wenn dein Konto vorher gelöscht wird.
• E-Mails über Resend (Empfängeradresse, Betreff, Inhalt samt Code oder Link, Versanddaten – Abschnitt 10): bei Resend 30 Tage, Sicherungskopien bis zu 7 weitere Tage.
• Einblick unseres Teams in die Verknüpfung (Zeitpunkte, Status und Berechtigungen der Verknüpfung, Kontakt-Verlauf, Zeitpunkt deines letzten Standort-Aufrufs – ohne Inhalte und ohne Standorte): solange die Verknüpfung besteht; nach einer Trennung bis zur Löschung deines Kontos oder des Kontos deines Kindes. Ereignisse zu sicheren Orten: höchstens 90 Tage.
• Deine Bestätigung beim Verbinden (Zeitpunkt und Fassung dieser Erklärung): solange die Verknüpfung besteht; nach einer Trennung bis zur Löschung deines Kontos oder des Kontos deines Kindes.
• Einwilligung deines Kindes in die Standort-Freigabe (wann es sie zuletzt selbst ein- und wieder ausgeschaltet hat): solange die Verknüpfung besteht; nach einer Trennung bis zur Löschung deines Kontos oder des Kontos deines Kindes.
• Geräte- und IP-Protokoll (IP-Adressen und Gerätedaten bei Registrierung, Anmeldung, Passwort-Zurücksetzung, Kopplung, Notfall-Klingeln-Einwilligung und IP-Wechsel): 180 Tage; Einträge zur Kopplung und zum Notfall-Klingeln, solange die Verknüpfung besteht.
• Fehler- und Absturzberichte, technische Ereignisse und Protokolle unserer Server (Abschnitt 8): 30 Tage, danach automatische Löschung; was davon noch auf deinem Handy wartet, dort Fehlerberichte und Ereignisse zu Anrufen, SOS und Notfall-Klingeln höchstens 30 Tage, andere Ereignisse höchstens 7 Tage, Detail-Ereignisse höchstens einen Tag.
• Erinnerungen ans Verbinden (Anzahl und Zeitpunkt der letzten Erinnerung): bis zur Löschung deines Kontos.
• Meldungen deines Kindes zu einer Verknüpfung (Zeitpunkt, Bearbeitungsstatus und Entscheidung unseres Teams): bis zur Löschung des Kontos deines Kindes; löschst du dein Konto, wird der Bezug zu dir entfernt.
• Eltern-Kontakte – deine Bestätigung („Ich bin volljährig“, Zeitpunkt und Fassung der Nutzungsregeln, Abschnitt 14): bis zur Löschung deines Kontos.
• Eltern-Kontakte – Nachrichten und Anhänge: bis sie für beide Seiten gelöscht werden – eine einzelne Nachricht innerhalb von 60 Minuten, der ganze Chatverlauf mit „Für mich und <Name> löschen“, solange ihr verbunden seid (dann gilt der nächste Eintrag) –, längstens bis zur Löschung eines der beteiligten Konten. „Nur für mich löschen“ blendet den Verlauf nur in deiner Ansicht aus und löscht nichts; gespeichert wird dafür nur der Zeitpunkt, zu dem du gelöscht hast – bis die Unterhaltung oder dein Konto gelöscht wird. Der Hinweis auf eine gelöschte Nachricht verschwindet nach 30 Tagen; eine Unterhaltung, aus der beide Seiten ausgestiegen sind, nach 30 Tagen. Unvollständige Uploads: 24 Stunden.
• Eltern-Kontakte – versiegelter Chatverlauf (nach „Für mich und <Name> löschen“: Nachrichten samt Hinweisen auf gelöschte Nachrichten und Anhänge bis zu diesem Zeitpunkt): 30 Tage, nur für eine Meldung der anderen Person; die endgültige Löschung geschieht automatisch innerhalb von 24 Stunden nach Ablauf der 30 Tage. Mit einem der beteiligten Konten sofort – auch mit dem Konto der Person, die gelöscht hat. Reste in unseren Datenbank-Sicherungen, die wir auf dem Server 7 Tage und in einem externen Sicherungsspeicher in der EU bis zu 30 Tage aufbewahren, verschwinden spätestens 30 Tage nach der endgültigen Löschung. Was eine Meldung daraus übernommen hat, gehört zur Meldung und wird wie Meldungen aufbewahrt. Die Anruf-Einträge dieser Zeit bleiben ausgeblendet gespeichert und werden nach 12 Monaten gelöscht.
• Eltern-Kontakte – Anruf-Einträge (Beteiligte, Zeitpunkt, Dauer, Audio/Video, Ergebnis – nie Inhalte): 12 Monate.
• Eltern-Kontakte – Einladungen (Code und Link nur als Hashwert, Bezeichnung, wer sie eingelöst hat, Zeitpunkte): 7 Tage nach Ablauf, Widerruf oder Einlösung; eine unbeantwortete Anfrage über einen Link (Abschnitt 14): 7 Tage.
• Eltern-Kontakte – Meldungen samt der vom Meldenden eingereichten Nachweise: 6 Monate nach der Entscheidung, unbearbeitete Meldungen längstens 12 Monate.
• Eltern-Kontakte – Einschränkungen (Begründung, Zeitpunkte, Hashwerte zur Wiedererkennung): 12 Monate nach Aufhebung. Das gilt auch für eine Einschränkung, die wir beim Löschen deines Kontos oder des Kontos deines Kindes festhalten (Abschnitt 14).
• Eltern-Kontakte – Gruppen (Gruppenname, Mitgliedschaften mit Rolle und den Zeitpunkten von Beitritt, Austritt und Entfernung, wer wen eingeladen hat, Stummschaltung, Gruppenereignisse, Nachrichten und Anhänge): solange die Gruppe besteht – spätestens 30 Tage, nachdem das letzte Mitglied sie verlassen hat, löschen wir sie mit allem. Eine einzelne Nachricht vorher, wenn du sie innerhalb von 60 Minuten für alle löschst oder unser Team sie nach einer Meldung entfernt (der Hinweis darauf verschwindet nach 30 Tagen); deine Nachrichten spätestens mit deinem Konto. „Nur für mich löschen“ speichert nur den Zeitpunkt. Eine Gruppe, die du verlassen hast, liest du, bis du sie aus deiner Liste löschst oder die Gruppe gelöscht wird.
• Eltern-Kontakte – Gruppeneinladungen: eine offene Einladung 7 Tage; eine abgelehnte 30 Tage und eine zurückgezogene einen Tag, jeweils als Sperrfrist gegen erneute Einladungen. „Keine Einladungen mehr von <Name>“: bis du es aufhebst oder eines der beiden Konten gelöscht wird.
• Eltern-Kontakte – Blockierungen (wen du seit wann blockiert hast): bis du die Blockierung aufhebst oder eines der beiden Konten gelöscht wird.
• Eltern-Kontakte – „Inhalt entfernen“ (welche gemeldete Gruppennachricht unser Team zu welcher Meldung wann entfernt hat und wer): 12 Monate.

Deine Daten werden auf Servern in der EU verarbeitet – auf einem Server der OVH GmbH (Oskar-Jäger-Str. 173/K6, 50825 Köln) im Rechenzentrum von OVHcloud in Limburg (Deutschland); Kopien unserer Datenbank-Sicherungen liegen zusätzlich im Sicherungsspeicher von OVHcloud in Roubaix (Frankreich), den die Muttergesellschaft OVH SAS (2 rue Kellermann, 59100 Roubaix, Frankreich) betreibt. Die OVH GmbH ist dafür unser Auftragsverarbeiter nach Art. 28 DSGVO, die OVH SAS ihr Unterauftragsverarbeiter. Eine Übermittlung an Drittländer findet nur statt, soweit Push-Dienste der Plattformanbieter dies technisch erfordern, für die Ortsangaben, die dein Handy beim Ortsdienst von Apple oder Google erfragt (Abschnitt 4), für die Prüfung des Chats mit deinem Kind bei Verdacht (Texte, Fotos und Sprachnachrichten) durch den KI-Dienst Gemini der Google Ireland Ltd. / Google LLC (Abschnitt 5) und für die E-Mails zum Zurücksetzen deines Passworts und zu Änderungen deiner Anmelde-E-Mail oder Telefonnummer, die unser E-Mail-Dienst Resend in den USA speichert (Abschnitt 10); dabei kommen die Garantien der Anbieter (EU-Standardvertragsklauseln, EU-US Data Privacy Framework) zum Tragen. Es findet kein Verkauf und keine werbliche Nutzung deiner Daten statt.

Kontoprüfung in deiner Datenkopie: Der automatische Export enthält den aktuellen Prüfstatus deines Elternkontos, seine Revision, die geprüfte Altersgruppe und den Zeitpunkt einer Freigabe, sofern ein Prüfeintrag besteht. Fehlt dieser Eintrag, zeigt die Kopie das Fehlen an. Der vollständige Verlauf interner Prüfentscheidungen ist derzeit nicht Teil dieses automatischen Exports; deine allgemeinen Auskunftsrechte bleiben davon unberührt.

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO). Eine Einwilligung – etwa in die Standort-Freigabe deines Kindes, wenn es sicher unter 16 Jahren ist – kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO), indem du die Verknüpfung beendest. Deine Einwilligung ins Notfall-Klingeln widerrufst du, indem du es ausschaltest (Abschnitt 6).

Direkt in der App unter Profil:

• Meine Daten anfordern – zeigt dir die automatisch bereitgestellte Kopie deiner Kontodaten; Nachrichten deines Kontakts aus einem versiegelten Chatverlauf nur als Metadaten (Abschnitt 14). Aus einer Gruppe enthält sie die Nachrichten, die dich erreicht haben (Abschnitt 15). Sie enthält auch, bei welchen Kindern und Eltern-Kontakten du „Immer laut“ eingeschaltet hast (Abschnitt 5). Sie enthält auch die dringenden Anrufe deiner Kinder an dich (Abschnitt 5). Sie enthält auch deine Einwilligungen zum Notfall-Klingeln, die Notfall-Klingeln, die du ausgelöst hast, und in deiner Anrufliste, welche deiner Anrufe dringend waren (Abschnitt 6). Sie enthält auch, ob du bei deinen Kindern den Hinweis bei fast leerem Akku eingeschaltet hast, und eine gerade laufende Live-Ansicht (Abschnitt 4). Sie enthält auch deine Bestätigungen und Widerrufe zur genauen Standortansicht, ohne zusätzliche Ortsdaten in diesen Bestätigungen (Abschnitt 4). Sie enthält auch die Live-Standort-Sitzungen, die du gestartet oder beendet hast, die festen Zeiten, die du eingerichtet oder geändert hast, und deine Einträge im Protokoll dazu (Abschnitt 4). Sie enthält auch, welche deiner Nachrichten an dein Kind wir in einem geprüften Chat nicht zugestellt haben – nur Zeitpunkt, Art und Grund (Abschnitt 5).
• Konto löschen – löscht dein Elternkonto dauerhaft. Die Verknüpfungen zu deinen Kindern und euer gemeinsamer Chat werden entfernt; die eigenen Konten deiner Kinder bleiben bestehen. Ist dabei eine deiner Verknüpfungen mit einem Kind vorübergehend gesperrt oder dauerhaft getrennt, halten wir eine Einschränkung für Eltern-Kontakte fest (Abschnitte 3 und 14). Die Aufzeichnungen zur Kontosicherheit (Abschnitt 10) und den Vermerk, wann unser Team ein Profilbild von dir entfernt hat (Abschnitt 2), bewahren wir danach noch bis zu einem Jahr auf.

Fehler- und Absturzberichte und technische Ereignisse (Abschnitt 8): Widersprechen kannst du ihnen, indem du in den Einstellungen der App „Fehlerberichte senden“ ausschaltest, und darüber hinaus über die Adresse in Abschnitt 1. Sie sind nicht Teil der Kopie unter Meine Daten anfordern; auf Anfrage suchen wir sie und die Protokolle unserer Server unter dem Pseudonym deines Kontos heraus.

Außerdem hast du das Recht auf Beschwerde bei der für den Anbieter örtlich zuständigen Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO).

Eltern-Kontakte ist ein Bereich für Erwachsene: Du kannst dich mit anderen Erwachsenen verbinden, die JoinIn Eltern nutzen, mit ihnen schreiben und ohne Zeitbegrenzung telefonieren oder Videoanrufe führen. Der Bereich gehört allein zu JoinIn Eltern: Kinderkonten in JoinIn haben zu diesem Bereich keinen Zugang und sehen weder deine Eltern-Kontakte noch etwas aus diesen Gesprächen. Umgekehrt fließen keine Daten deines Kindes in diesen Bereich. Die Zugangserklärung für Eltern-Kontakte und die manuelle Freigabe deines gesamten Elternkontos sind getrennt; keine von beiden ist eine automatische Identitätsgarantie. Wie der Zugang entsteht und was wir zum Schutz vor Missbrauch tun, steht gleich im nächsten Absatz.

Wann du den Bereich nutzen kannst. Du brauchst dafür nur deine einmalige Bestätigung „Ich bin volljährig“ zusammen mit den Nutzungsregeln für Eltern-Kontakte. Wir speichern dazu den Zeitpunkt und die Fassung der Regeln (Abschnitt 11), damit feststeht, was du bestätigt hast. Eine Verknüpfung mit einem Kind ist dafür nicht nötig. Solange eine deiner Verknüpfungen mit einem Kind vorübergehend gesperrt oder von unserem Team dauerhaft getrennt ist (Abschnitt 3), ist dein Zugang pausiert; bestehende Unterhaltungen kannst du dann nur noch lesen.

Deine Volljährigkeitserklärung und der Kontoprüfstatus. Für den Zugang zu Eltern-Kontakte erklärst du selbst, dass du volljährig bist. Diese Erklärung ist kein unabhängiger Alters- oder Identitätsnachweis. Daneben gibt es die manuelle Kontofreigabe durch unser Team (Abschnitt 2); sie ist von deiner Zugangserklärung und der Prüfung einer Kind-Verbindung getrennt. Für Eltern-Kontakte greift außerdem eine Missbrauchsprüfung im Nachhinein: Unser Team sieht in seiner Verwaltungsansicht ausschließlich Metadaten – ob das Konto mit einem Kind verknüpft ist und ob unser Team eine solche Verknüpfung selbst bestätigt hat, ob sein Zugang gerade freigeschaltet oder pausiert ist, Kontoname und E-Mail-Adresse, den Zeitpunkt der Volljährigkeits-Bestätigung, die Zahl der aktiven Kind-Verknüpfungen und wie sie bestätigt wurden, die Zahl der Kontakte, wann das Konto zuletzt in JoinIn Eltern aktiv war, und die Zahl offener Meldungen gegen das Konto – und kann ein Konto für Eltern-Kontakte einschränken. Nachrichten, Anhänge und Anrufe sieht und hört es dabei nicht.

Wie eine Verbindung entsteht. Persönlich vor Ort über einen QR-Code oder kurzen Zahlencode, der nur wenige Minuten gültig ist, regelmäßig wechselt und bei uns ausschließlich als nicht umkehrbarer Hashwert liegt – ein Scan verbindet sofort. Oder über einen Einladungslink, den du selbst weitergibst: Sein Geheimnis steht hinter dem `#` der Adresse – diesen Teil sendet ein Browser nicht mit, er steht deshalb weder in den Protokollen unseres Web-Servers noch in einem Verweis (Referer). Zum Einlösen überträgt die App ihn einmal über eine verschlüsselte Verbindung an unseren Server, der ihn nur mit einem gespeicherten Hashwert vergleicht – lesbar speichern wir ihn nie. Der Link ist einmal verwendbar und gilt 24 Stunden. Wer ihn öffnet, sieht in der App zuerst deinen Namen und ist mit einem Tipp auf „Verbinden“ sofort mit dir verbunden – eine Anfrage, die du erst bestätigen müsstest, gibt es nicht. Verbindet sich jemand über deinen Link mit dir, benachrichtigen wir dich mit einer Push-Benachrichtigung, die keinen Namen nennt; wer dazugekommen ist, zeigt dir die App, und du kannst die Verbindung jederzeit entfernen oder blockieren. Nur wenn du diese Person früher selbst aus deinen Eltern-Kontakten entfernt hast – oder den Link mit einer älteren Version der App erstellt hast, die dir noch eine Bestätigung angekündigt hat –, verbindet er nicht von allein: Dann bekommst du eine Anfrage, die du bestätigst oder ablehnst; unbeantwortet löschen wir sie nach 7 Tagen (Abschnitt 11). Auch über eine Anfrage benachrichtigen wir dich mit einer Push-Benachrichtigung, die keinen Namen nennt. Solange wir die eingelöste Einladung aufbewahren (7 Tage, Abschnitt 11), zeigt dir die App im Chat außerdem, dass die Person über deinen Link dazugekommen ist, samt der Bezeichnung, die du dem Link gegeben hast – die Bezeichnung siehst nur du. Verfällt ein Link oder widerrufst du ihn, löschen wir ihn (Abschnitt 11).

Einladung über die Zwischenablage. Öffnest du einen Einladungslink auf einem Handy, auf dem JoinIn Eltern noch nicht installiert ist, landest du auf unserer Webseite. Tippst du dort auf „JoinIn Eltern laden“, legt die Seite den Einladungslink in die Zwischenablage deines Handys – nur nach diesem Tipp, und ohne ihn irgendwohin zu senden. Nach der Installation und deiner Anmeldung fragt dich die App höchstens einmal, ob sie die Einladung von dort übernehmen darf – und nur, solange du noch keine Eltern-Kontakte hast und in der Zwischenablage etwas liegt, das eine Internetadresse sein könnte. Das prüft sie, ohne den Inhalt zu lesen: Was darin steht, verrät ihr dein Handy dabei nicht. Auf Android bis Version 11 – und wenn Android einen Text nicht einordnen kann – erfährt die App dabei nur, ob dort überhaupt Text liegt; dann fragt sie auch, wenn es keine Internetadresse ist. Erst wenn du zustimmst, liest die App die Zwischenablage ein einziges Mal. Findet sie darin einen Einladungslink, übernimmt sie nur diesen, leert die Zwischenablage und zeigt dir wie oben zuerst, mit wem du dich verbindest. Alles andere darin lässt sie unbeachtet, und nichts davon geht an uns – an unseren Server geht nur die Einladung selbst, wenn du sie wie oben einlöst. Lehnst du ab, sieht die App nicht nach. Bis dahin liegt der Link in deiner Zwischenablage wie jeder andere kopierte Text; kopierst du inzwischen etwas anderes, ist er dort nicht mehr.

Inhalte. Deine Nachrichten, Anhänge (Fotos, Videos, Sprachnachrichten, Dateien) und Anruf-Einträge liegen auf unseren Servern in der EU (Deutschland) und werden verschlüsselt übertragen; abrufbar sind sie nur für dich und deinen Kontakt – nie über öffentliche Links. Wir prüfen diese Inhalte nicht: keine automatische Inhaltsprüfung, keine KI-Analyse, keine Moderation, und es gibt keine Grenze für Länge oder Anzahl deiner Nachrichten. Es gelten nur die technischen Dateigrößen unseres Speichers, die die App dir nennt. Unser Team sieht Inhalte ausschließlich dann, wenn du oder dein Kontakt sie mit einer Meldung selbst einreicht (siehe unten).

Bearbeiten und löschen. Eigene Nachrichten kannst du 15 Minuten lang bearbeiten und 60 Minuten lang für beide Seiten löschen. Diese Fristen dienen dem Schutz vor Missbrauch (niemand soll ein Gespräch nachträglich umschreiben) – sie sind keine Inhaltskontrolle. Nach 60 Minuten lässt sich eine einzelne Nachricht nicht mehr für beide Seiten löschen.

Chatverlauf löschen. Den ganzen Verlauf eines Chats mit einem Eltern-Kontakt kannst du dagegen jederzeit löschen – über „Chatverlauf löschen“ in der Kontaktinfo; „Verlauf leeren“ (nur für dich) findest du im Menü „⋯“ des Chats. Du hast zwei Möglichkeiten:

• „Nur für mich löschen“ geht jederzeit – auch wenn dein Kontakt dich entfernt oder blockiert hat oder du Eltern-Kontakte nur noch lesen kannst. Der gesamte bisherige Verlauf dieses Chats – Nachrichten, Anhänge, Links und Anruf-Einträge – verschwindet nur aus deiner Ansicht. Dein Kontakt behält seine Kopie unverändert und erfährt davon nichts. Wir speichern dafür nur den Zeitpunkt, zu dem du gelöscht hast. Die Nachrichten selbst löschen wir dadurch nicht: Sie bleiben gespeichert, bis sie nach den übrigen Regeln gelöscht werden – etwa nach einem Löschen für euch beide (siehe „Die versiegelte Kopie“), 30 Tage nachdem ihr beide den Kontakt entfernt habt oder mit einem der beteiligten Konten (Abschnitt 11).
• „Für mich und <Name> löschen“ (mit dem Namen deines Kontakts) geht nur, solange ihr verbunden seid – keiner von euch hat den anderen entfernt oder blockiert – und dein Zugang zu Eltern-Kontakte besteht. Sonst bleibt dir nur „Nur für mich löschen“; seid ihr nicht mehr verbunden, sagt dir die App: „Für beide löschen geht nicht mehr, weil ihr nicht mehr verbunden seid. Für dich allein kannst du den Verlauf löschen.“ Zum Schutz vor Missbrauch geht „Für mich und <Name> löschen“ höchstens 10-mal innerhalb von 24 Stunden – über alle deine Chats zusammen. Der gesamte bisherige Verlauf – Nachrichten samt Hinweisen auf gelöschte Nachrichten, Anhänge, Links und Anruf-Einträge – verschwindet sofort für euch beide. Dein Kontakt sieht im Chat den Hinweis „<Name> hat den Chatverlauf gelöscht“ mit deinem Namen und dem Datum und erhält wie bei einer neuen Nachricht eine Push-Benachrichtigung, außer er hat dich stummgeschaltet; hat er die Textvorschau in Push-Benachrichtigungen ausgeschaltet, steht darin nur „Neue Nachricht“. Gibt es nichts mehr zu löschen, geschieht nichts: kein Hinweis, keine Benachrichtigung, und es zählt nicht zur Höchstzahl. Jedes Löschen für euch beide versiegelt seinen eigenen Verlauf (siehe „Die versiegelte Kopie“); im Chat ersetzt ein neuerer Hinweis den älteren.

„Verlauf leeren“ im Menü „⋯“ entspricht „Nur für mich löschen“: Die andere Person bzw. die anderen Mitglieder sehen den Verlauf weiterhin.

Die versiegelte Kopie. Nach „Für mich und <Name> löschen“ bewahren wir den gelöschten Verlauf 30 Tage lang versiegelt auf – ausschließlich, damit die andere Person, also die, die nicht gelöscht hat, ihn in eine Meldung nach Art. 16 DSA aufnehmen kann, die sie in diesen 30 Tagen einreicht. Wer den Verlauf gelöscht hat, kann ihn nie in eine Meldung aufnehmen. Aufgenommen wird er nur, wenn die meldende Person „Gelöschten Verlauf in die Meldung aufnehmen“ ausdrücklich einschaltet (siehe „Blockieren, entfernen, melden“). So kann ein Löschen nach einem Streit keine Beweise vernichten. Sonst liest niemand die versiegelte Kopie – weder unser Team noch einer von euch in der App; was die Kopie deiner Daten daraus enthält, steht unter „Auskunft“. Innerhalb von 24 Stunden nach Ablauf der 30 Tage löschen wir sie automatisch und endgültig, mit allen Nachrichten und Anhängen. Unsere Datenbank-Sicherungen bewahren wir auf dem Server 7 Tage und in einem externen Sicherungsspeicher in der EU bis zu 30 Tage auf; Reste darin verschwinden spätestens 30 Tage nach der endgültigen Löschung. Die Anruf-Einträge dieser Zeit (Beteiligte, Zeitpunkt, Dauer, Audio/Video und Ergebnis – nie Inhalte) bleiben – für euch beide ausgeblendet – gespeichert, bis sie nach 12 Monaten gelöscht werden (Abschnitt 11); ein Anruf, der beim Löschen noch lief, bleibt sichtbar. Was eine Meldung aus dem versiegelten Verlauf übernommen hat, gehört zur Meldung und wird wie sie aufbewahrt (Abschnitt 11). Der Hinweis „<Name> hat den Chatverlauf gelöscht“ bleibt im Chat stehen, bis ein neuerer Hinweis ihn ersetzt.

Auskunft. Unter Meine Daten anfordern (Abschnitt 13) führen wir alles auf, was zu deinen Unterhaltungen noch gespeichert ist – auch Nachrichten, die du nur für dich gelöscht hast (mit Inhalt, als solche gekennzeichnet). Aus einem versiegelten Verlauf erhältst du deine eigenen Nachrichten mit Inhalt und dem Vermerk „versiegelt bis <Datum>“, die Nachrichten deines Kontakts dagegen nur als Metadaten – Art, Zeitpunkt und „versiegelt bis <Datum>“ –, ohne Inhalt und ohne Anhänge.

Unabhängig davon kannst du einen Kontakt jederzeit entfernen oder blockieren; damit endet dein Zugang zu dieser Unterhaltung, die Kopie deines Kontakts bleibt jedoch bestehen. Haben beide Seiten den Kontakt entfernt, löschen wir die Unterhaltung mit allen Nachrichten und Anhängen nach 30 Tagen (Abschnitt 11); mit deinem Elternkonto löschen wir sie in jedem Fall mit (siehe unten).

Anrufe. Ton und Bild laufen möglichst direkt zwischen den Geräten; klappt das wegen des Netzes nicht, vermittelt ein Relay-Server (TURN) in der EU den verschlüsselten Datenstrom, ohne ihn zu speichern. Wir zeichnen keine Anrufe auf. Gespeichert wird nur der Eintrag im Gesprächsverlauf: Beteiligte, Zeitpunkt, Dauer, ob Audio oder Video und wie der Anruf endete (angenommen, abgelehnt, verpasst).

„Immer laut“. Auch bei einem Eltern-Kontakt kannst du im Menü „Immer laut“ einschalten: Ruft dich diese Person an, klingelt der Anruf auf deinen Handys so laut, wie es dein Handy erlaubt – was wir dafür speichern und an deine Geräte senden, steht in Abschnitt 5. Dein Kontakt erfährt davon nichts und kann es nicht sehen, auch nicht in der Kopie seiner Daten. Hast du ihn stummgeschaltet, hat die Stummschaltung Vorrang: Seine Anrufe klingeln dann gar nicht. Entfernst oder blockierst du den Kontakt oder verbindet ihr euch neu, ist „Immer laut“ wieder aus.

Sichtbarkeit. Dein Profilbild sehen deine verbundenen Kontakte (Abschnitt 2). Ob du gerade online bist, sehen deine verbundenen Kontakte standardmäßig; „zuletzt online“ ist standardmäßig ebenfalls an (Abschnitt 2). Beides stellst du unter Profil → Online-Status für alle deine Chats ein, und im Chat kannst du es vor einzelnen Kontakten verbergen (Abschnitt 2). Ob eine Push-Benachrichtigung eine Vorschau des Textes zeigt, entscheidest du ebenfalls selbst. Diese Schalter gelten für deine Kontakte: Für die Missbrauchsprüfung sieht unser Team, wann du JoinIn Eltern zuletzt geöffnet hattest, auch dann in seiner Verwaltungsansicht, wenn du „zuletzt online“ ausgeschaltet hast.

Blockieren, entfernen, melden. Du kannst einen Kontakt jederzeit entfernen oder blockieren. Verstößt jemand gegen Recht oder die Nutzungsregeln, kannst du ihn nach Art. 16 DSA melden. Mit einer Meldung reichst du selbst ein, was unser Team sehen soll: den Grund, deine Beschreibung, bis zu 20 von dir ausgewählte Nachrichten samt ihrer Anhänge und, wenn du es auswählst, das Profilbild der gemeldeten Person – so, wie du es gerade siehst. Hat die Person, die du meldest, euren Chatverlauf in den letzten 30 Tagen mit „Für mich und <Name> löschen“ gelöscht, kannst du zusätzlich „Gelöschten Verlauf in die Meldung aufnehmen“ einschalten. Dieser Schalter ist aus; vorausgewählt ist er nur, wenn du die Meldung über „Melden“ am Hinweis „<Name> hat den Chatverlauf gelöscht“ öffnest, und auch dann kannst du ihn ausschalten. Ohne diese ausdrückliche Auswahl bleibt der versiegelte Verlauf außen vor. Mit ihr nehmen wir alle Verläufe auf, die die gemeldete Person in den letzten 30 Tagen für euch beide gelöscht hat, den neuesten zuerst – insgesamt höchstens 300 Nachrichten, zuerst die der gemeldeten Person, danach deine eigenen als Zusammenhang; Anhänge nur aus Nachrichten der gemeldeten Person und nur, soweit die Größengrenzen für Nachweise es zulassen. Hattest du für die Meldung Nachrichten ausgewählt, die die gemeldete Person inzwischen für euch beide gelöscht hat, übernehmen wir sie aus der versiegelten Kopie. Einen Verlauf, den du selbst für euch beide gelöscht hast, kannst du nicht aufnehmen. Diese Auswahl wird zum Meldezeitpunkt in einen eigenen Nachweis-Datensatz kopiert, damit sie für die Prüfung erhalten bleibt, auch wenn das Original später gelöscht wird – Nachrichten aus einem versiegelten Verlauf also auch über dessen 30 Tage hinaus, solange die Meldung aufbewahrt wird (Abschnitt 11). Zusätzlich frieren wir zum Meldezeitpunkt Hashwerte der E-Mail-Adresse und Gerätekennungen des gemeldeten Kontos ein (nie lesbare Angaben), damit eine Einschränkung nicht durch das Löschen und Neuanlegen eines Kontos umgangen wird. Über die Entscheidung informieren wir dich.

Einschränkungen. Unser Team kann ein Konto für Eltern-Kontakte einschränken. Du erfährst, dass und mit welcher kurzen Begründung das geschehen ist; alle anderen Funktionen von JoinIn Eltern bleiben davon unberührt. Löschst du dein Konto, solange eine deiner Verknüpfungen mit einem Kind vorübergehend gesperrt oder von unserem Team dauerhaft getrennt ist, halten wir eine Einschränkung für Eltern-Kontakte fest – gebunden an nicht umkehrbare Hashwerte deiner E-Mail-Adresse und deiner Gerätekennungen, nicht an deinen Namen –, bis unser Team sie aufhebt (Abschnitt 11). Das gilt auch, wenn du Eltern-Kontakte nie genutzt hast. Ebenso halten wir die Pause als Einschränkung deines Kontos fest, wenn in dieser Zeit das Konto deines Kindes gelöscht wird. Diese Einschränkungen halten wir automatisch fest; als Begründung nennen wir nur, dass für deine E-Mail-Adresse eine Einschränkung besteht. In einem Elternkonto, das auf einem Gerät eröffnet wird, auf dem zuletzt ein Konto mit einer solchen Verknüpfung angemeldet war, lässt sich Eltern-Kontakte nicht einrichten; dafür gleichen wir die Gerätekennungen der Konten ab (Abschnitt 8). Konten, die es auf dem Gerät vorher schon gab, betrifft das nicht. So lässt sich die Pause weder durch ein neues Konto noch durch das Löschen eines Kontos umgehen.

Löschung. Löschst du dein Elternkonto, löschen wir deine Eltern-Kontakte, eure Unterhaltungen, Nachrichten, Anhänge und Anruf-Einträge mit. Das gilt auch für jeden versiegelten Chatverlauf darin: Wir löschen ihn zusammen mit der Unterhaltung, ohne das Ende der 30 Tage abzuwarten – auch einen, den du selbst für euch beide gelöscht hast. Dann kann die andere Person ihn nicht mehr in eine Meldung aufnehmen. Umgekehrt gilt dasselbe: Löscht dein Kontakt sein Konto, nachdem er euren Verlauf für euch beide gelöscht hat, kannst du diesen Verlauf nicht mehr in eine Meldung aufnehmen. Erhalten bleiben nur Meldungen (samt dem, was sie aus einem gelöschten Verlauf übernommen haben) und Einschränkungen, solange sie für die Rechtsverfolgung oder den Schutz anderer erforderlich sind (Abschnitt 11) – ohne Bezug zu dir, soweit wir ihn entfernen können.

Was eine Gruppe ist. In Eltern-Kontakte kannst du eine Gruppe mit einem Namen gründen – auch aus einem Chat heraus – und darin mit bis zu 63 weiteren Personen schreiben. Eine Gruppe ist eine eigene Unterhaltung: Der bisherige Verlauf eines Chats zu zweit wird nicht in die Gruppe übernommen. Für Gruppen gilt alles aus Abschnitt 14, soweit hier nichts anderes steht – insbesondere prüfen wir auch Gruppennachrichten nicht: keine automatische Inhaltsprüfung, keine KI-Analyse, keine Moderation.

Einladen und beitreten. Einladen können nur Admins der Gruppe, und nur Personen, mit denen sie in Eltern-Kontakte verbunden sind. Niemand wird ohne eigenes Zutun Mitglied: Vor dem Beitritt sieht die eingeladene Person nur, wer sie eingeladen hat, den Gruppennamen und die Zahl der Mitglieder – keine Namen der Mitglieder und keine Nachrichten – und entscheidet mit „Beitreten“ oder „Ablehnen“. Mit „Keine Einladungen mehr von <Name>“ stellt sie weitere Einladungen dieser Person ab, bis sie das wieder aufhebt. Eine Ablehnung und diese Einstellung erfährt niemand; die Admins sehen nur, dass die Einladung nicht mehr offen ist. Eine Einladung verfällt nach 7 Tagen. Nach einer Ablehnung, einem Austritt oder einer Entfernung kann dieselbe Gruppe dich 30 Tage lang nicht erneut einladen. Eine Gruppe hat höchstens 64 Mitglieder, offene Einladungen mitgezählt. Zum Schutz vor Missbrauch begrenzen wir, wie viele Gruppen du gründen und wie viele Einladungen du in kurzer Zeit verschicken kannst.

Welche Daten wir dazu speichern. Zu jeder Gruppe speichern wir den Gruppennamen, wer sie gegründet hat, die Mitgliedschaften mit Rolle (Inhaber:in, Admin, Mitglied) und dem Zeitpunkt des Beitritts, des Austritts oder der Entfernung, wer wen eingeladen hat, die offenen Einladungen, abgelehnte und zurückgezogene Einladungen (für die Sperrfrist), deine Einstellungen „Keine Einladungen mehr von <Name>“, eine Stummschaltung der Gruppe und die Gruppenereignisse im Verlauf – etwa „<Name> ist beigetreten“, „<Name> hat die Gruppe verlassen“, „<Name> hat <Name> entfernt“, „<Name> hat den Gruppennamen geändert“ oder „<Name> ist jetzt Admin“. Dazu kommen die Nachrichten, Anhänge und Reaktionen der Gruppe wie in Abschnitt 14.

Wer was sieht. Alle Mitglieder sehen den Gruppennamen, die Mitglieder mit ihren Rollen, deinen Namen, dein Profilbild (Abschnitt 2) und deine Nachrichten und Anhänge – jeweils ab dem Zeitpunkt, zu dem sie selbst beigetreten sind: Wer später dazukommt, sieht nichts, was vorher geschrieben wurde. Mitglieder, mit denen du nicht als Kontakt verbunden bist, sehen dich also mit Namen und Nachrichten in der Gruppe und – soweit du es zulässt – ob du online bist und wann zuletzt (Abschnitt 2), aber nicht, ob du gerade schreibst oder eine Sprachnachricht aufnimmst, und nicht, ob du eine bestimmte Nachricht gelesen hast. Das sehen – wie in Abschnitt 14 und soweit du es freigibst – nur deine verbundenen Kontakte. Bei deinen eigenen Nachrichten zeigt dir die App, ob alle Mitglieder sie erhalten oder gelesen haben; mit Namen nur für Mitglieder, die deine Kontakte sind. Wer ein Mitglied eingeladen hat, sehen nur die Admins und die eingeladene Person selbst; offene Einladungen sehen nur die Admins. Eine Push-Benachrichtigung zu einer Gruppennachricht zeigt den Gruppennamen, den Namen der Person, die schreibt, und eine Vorschau; hast du die Textvorschau ausgeschaltet, steht darin nur „Neue Nachricht in einer Gruppe“. Eine Gruppe kannst du stummschalten.

Was unser Team sieht. In seiner Verwaltungsansicht (Abschnitt 14) sieht unser Team zu deinem Konto zusätzlich, in wie vielen Gruppen du Mitglied bist und wie viele davon du als Inhaberin oder Inhaber führst – keine Gruppennamen, keine Mitglieder und keine Nachrichten. Gruppeninhalte sieht es nur, wenn sie mit einer Meldung eingereicht werden (siehe „Melden“).

Rollen. Wer eine Gruppe gründet, ist ihre Inhaberin oder ihr Inhaber, kann Mitglieder zu Admins machen oder ihnen diese Rolle wieder nehmen und die eigene Rolle an ein anderes Mitglied übergeben. Nur Admins können einladen, Mitglieder entfernen und den Gruppennamen ändern; Admins entfernen kann nur die Inhaberin oder der Inhaber. Verlässt sie oder er die Gruppe, geht die Rolle auf das Admin-Mitglied über, das am längsten dabei ist, sonst auf das Mitglied, das am längsten dabei ist.

Verlassen und entfernt werden. Du kannst eine Gruppe jederzeit verlassen. Den Verlauf bis zu deinem Austritt oder deiner Entfernung kannst du weiter lesen, bis du die Gruppe aus deiner Liste löschst; schreiben kannst du nicht mehr, und was danach geschrieben wird, siehst du nicht. Die Mitglieder sehen, dass du gegangen bist oder entfernt wurdest; deine bisherigen Nachrichten bleiben für sie sichtbar. Wird dein Zugang zu Eltern-Kontakte eingeschränkt oder endet er (Abschnitt 14), bleibst du Mitglied, kannst aber nicht mehr schreiben und siehst nichts mehr, was danach geschrieben wird; die anderen Mitglieder erfahren davon nichts.

Blockieren. Du kannst jedes Mitglied blockieren – auch eines, das nicht dein Kontakt ist. Dann siehst du seine Nachrichten und Reaktionen in keiner Gruppe mehr, und es erreicht dich nicht mehr; die blockierte Person erfährt davon nichts und sieht deine Nachrichten weiter. Eure Profilbilder seht ihr dann gegenseitig nicht mehr (Abschnitt 2). Wir speichern, wen du seit wann blockiert hast; unter „Blockiert“ siehst du die Liste und kannst eine Blockierung aufheben.

Chatverlauf löschen. In einer Gruppe gibt es nur „Nur für mich löschen“ (in der Gruppeninfo, jederzeit – auch nach deinem Austritt; auch im Menü „⋯“ als „Verlauf leeren“): Der bisherige Verlauf – Nachrichten, Anhänge, Links und Gruppenereignisse – verschwindet nur aus deiner Ansicht; alle anderen Mitglieder behalten ihn unverändert und erfahren davon nichts. Wir speichern dafür nur den Zeitpunkt, zu dem du gelöscht hast. Ein Löschen für alle gibt es in Gruppen nicht: Niemand kann die Nachrichten der anderen Erwachsenen löschen, und es entsteht auch keine versiegelte Kopie. Eigene Nachrichten kannst du wie in Abschnitt 14 bis zu 60 Minuten nach dem Senden einzeln für alle löschen.

Anrufe. Gruppenanrufe gibt es nicht. Anrufen kannst du wie bisher nur einzelne Kontakte (Abschnitt 14).

Melden. Du kannst ein Mitglied – auch eines, das nicht dein Kontakt ist oder die Gruppe schon verlassen hat – oder die Gruppe als Ganzes nach Art. 16 DSA melden, solange du die Gruppe lesen kannst. Wie in Abschnitt 14 reichst du selbst ein, was unser Team sehen soll; auswählen kannst du nur Nachrichten, die dich erreicht haben und die du nicht nur für dich gelöscht hast, und bei der Meldung eines Mitglieds nur dessen Nachrichten. Damit unser Team sie einordnen kann, fügen wir der Meldung eines Mitglieds bis zu 5 umliegende Nachrichten anderer Mitglieder hinzu – nur deren Text, ohne Namen (die Personen erscheinen als „Mitglied 1“, „Mitglied 2“ usw.), ohne Dateinamen und ohne Anhänge. Außerdem gehen der Gruppenname und die Zahl der Mitglieder in die Meldung ein. Meldest du die Gruppe als Ganzes, kopieren wir die Anhänge der von dir ausgewählten Nachrichten ohne Dateinamen; die Personen erscheinen auch dann nur als „Mitglied 1“ usw., deine eigenen Nachrichten als „Meldende Person“. Die ausgewählten Inhalte kopieren wir wie jede Meldung in einen eigenen Nachweis-Datensatz; bei der Meldung eines Mitglieds frieren wir außerdem wie in Abschnitt 14 Hashwerte seines Kontos ein.

Inhalt entfernen. Stellt unser Team bei der Prüfung einer Meldung fest, dass eine gemeldete Gruppennachricht rechtswidrig ist oder gegen die Nutzungsbedingungen verstößt, kann es sie für alle Mitglieder entfernen; an ihrer Stelle steht dann „Von JoinIn entfernt“. Vorher kopieren wir sie in den Nachweis-Datensatz der Meldung, damit die Prüfung nachvollziehbar bleibt. Entfernen kann unser Team nur Nachrichten, die die meldende Person selbst eingereicht hat – nie die umliegenden Nachrichten anderer. Wir speichern, welche Nachricht zu welcher Meldung wann und von wem aus unserem Team entfernt wurde (Abschnitt 11).

Auskunft. Unter Meine Daten anfordern (Abschnitt 13) erhältst du deine Gruppen (Gruppenname, deine Rolle, Beitritt, Austritt, Stummschaltung), die Einladungen, die du bekommen hast, deine Einstellungen „Keine Einladungen mehr von <Name>“, deine Blockierungen und aus jeder Gruppe die Nachrichten, die dich erreicht haben – ab deinem Beitritt bis zu deinem Austritt, ohne die von Personen, die du blockiert hast; was du nur für dich gelöscht hast, ist gekennzeichnet. In den Nachrichten erscheinen andere Mitglieder ohne Namen und ohne Kennung.

Speicherdauer und Löschung. Eine Gruppe besteht, solange sie mindestens ein Mitglied hat. Spätestens 30 Tage, nachdem das letzte Mitglied sie verlassen hat, löschen wir sie mit allen Nachrichten, Anhängen, Ereignissen und Einladungen – früher, sobald alle, die sie noch lesen konnten, sie aus ihrer Liste gelöscht haben (Abschnitt 11). Löschst du dein Elternkonto, verlässt du alle Gruppen – die Mitglieder sehen dann, dass ein gelöschtes Konto die Gruppe verlassen hat –, eine Rolle als Inhaberin oder Inhaber geht weiter, und deine Nachrichten und Anhänge in den Gruppen löschen wir mit deinem Konto; eine Gruppe, in der dann niemand mehr ist, löschen wir sofort. Meldungen bleiben wie in Abschnitt 14 erhalten.

Die allgemeine Erklärung hat jetzt die Kennung 2026-10-24.1. Neu erläutert werden die manuelle Freigabe deines Elternkontos, der davon getrennte Status einer Kind-Verbindung sowie die gespeicherten Prüfentscheidungen und ihre Datenkopie. Diese Kontoänderung ändert die Freigabe zum Notfall-Klingeln nicht: Für den unveränderten Klingel-Hinweis und dessen Bestätigung gilt weiterhin die Fassung 2026-10-23.1. Eine bereits für diese Klingel-Fassung erfasste Bestätigung wird durch die neue allgemeine Erklärung nicht ersetzt oder erneut verlangt. Die Zugangserklärung und Nutzungsregeln für Eltern-Kontakte bleiben getrennt.

Wir passen diese Erklärung an, wenn sich die App oder die Rechtslage ändert. Über wesentliche Änderungen informieren wir dich in der App.

Ergänzung „Gruppenchats deines Kindes“ (Entwurf vom 7. Oktober 2026, Abschnitt 5): gilt, sobald Gruppenchats freigeschaltet sind; die Kennung dieser Fassung ändert sich mit der Freigabe.

Die vorherige Fassung hatte die Kennung 2026-10-23.1. Dringende Anrufe an dein Kind haben keine Höchstzahlen, Mindestabstände oder Wartezeiten nach dem Ablehnen mehr. Auch die bisherige Pause von 5 Sekunden zwischen dringenden Anrufen deines Kindes entfällt (Abschnitte 5 und 6). Deshalb braucht deine bestehende Einrichtung für lautes Klingeln einmal eine neue Bestätigung: Bis dahin sind das Notfall-Klingeln und laute dringende Anrufe an dein Kind pausiert; normale Anrufe bleiben möglich. Bisher gespeicherte Nachweise werden durch diese Umstellung nicht gelöscht. Die Grenzen des eigenständigen Notfall-Klingelns, die Erlaubnisse am Handy deines Kindes und seine eigene Entscheidung über die Freigabe bleiben unverändert. Die Nutzungsregeln für Eltern-Kontakte ändern sich nicht. Die Fassung 2026-10-21.1 hatte die gesonderte, widerrufbare genaue Standortansicht pro Elternteil, den Hinweis für dein Kind sowie Speicherung und Datenkopie der Bestätigungen ergänzt (Abschnitte 4, 11 und 13). Die Nutzungsregeln für Eltern-Kontakte bleiben unverändert. Die Fassung 2026-10-19.7 hatte gegenüber der Fassung 2026-10-19.6 ergänzt, dass du den Live-Standort eines Kindes unter 16 ohne seine Bestätigung starten kannst, dass dein Kind dabei immer den Hinweis „Deine Eltern sehen gerade deinen Standort“ sieht, dass ab 16 dein Kind selbst entscheidet, und welche Angaben das Handy deines Kindes dafür meldet (ohne Ort). Den Abschnitt 6 zum Notfall-Klingeln und zum dringenden Anruf an dein Kind ändert sie nicht; hast du das Notfall-Klingeln bestätigt, bleibt deine Bestätigung gültig. Die Nutzungsregeln für Eltern-Kontakte ändert sie nicht. Die Fassung 2026-10-19.6 hatte gegenüber der Fassung 2026-10-19.5 die Gruppenchats deines Kindes und die Gruppen mit Kindern und Erwachsenen: dass dein Kind in seinen Gruppen neben Text auch GIFs, Sticker, Fotos, Sprach- und Videonachrichten schicken kann – Fotos, Sprach- und Videonachrichten nur, wenn du sie ihm für alle anderen Kinder der Gruppe erlaubt hast –, dass es Gruppen gibt, in denen Kinder und Erwachsene zusammen schreiben, dass wir dich fragen, bevor dein Kind mit einem Erwachsenen in einer Gruppe ist, der nicht sein Elternteil ist, dass wir die Nachrichten eines Erwachsenen vor dem Zustellen streng prüfen, sobald ein Kind in der Gruppe ist, das nicht seines ist, und was wir dafür wie lange speichern (Abschnitt 5). Den Abschnitt 6 hatte sie nicht geändert. Die Nutzungsregeln für Eltern-Kontakte hatte sie geändert: Sie gelten seitdem auch für Gruppen mit Kindern, und dort prüfen wir deine Nachrichten automatisch vor dem Zustellen (Ziffer 6 der Nutzungsbedingungen, „Gruppen mit Kindern“). Deshalb bitten wir dich, die Regeln neu zu bestätigen. Die Fassung 2026-10-19.5 hatte gegenüber der Fassung 2026-10-19.4 GIFs und Bilder aus der Tastatur ergänzt: dass GIFs oder Bilder, die du über die Tastatur deines Handys einfügst, von deiner Tastatur kommen, dass JoinIn nur das Bild bekommt und es wie ein Foto sendet, dass die Suche nach dem GIF über deine Tastatur und deren Einstellungen läuft und dass JoinIn dabei keine Daten an den Anbieter der Tastatur oder der GIFs schickt (Abschnitt 5). Den Abschnitt 6 und die Nutzungsregeln hatte sie nicht geändert. Die Fassung 2026-10-19.4 hatte gegenüber der Fassung 2026-10-19.3 die Prüfung der Gruppenchats deines Kindes geändert: Nachrichten in Gruppen prüft keine KI mehr – nur den Gruppennamen; ist ein Mitglied als verdächtig markiert, prüfen wir die Gruppe wieder vor dem Zustellen (Abschnitt 5). Außerdem verglich sie die Prüfung des Chats mit deinem Kind bei Verdacht nicht mehr mit den Chats der Kinder untereinander; was wir dann prüfen, blieb gleich (Abschnitt 5). Den Abschnitt 6 und die Nutzungsregeln hatte sie nicht geändert. Die Fassung 2026-10-19.3 hatte gegenüber der Fassung 2026-10-19.2 die Suche in Chats und Nachrichten und „Verlauf leeren“ im Chat mit deinem Kind ergänzt (Abschnitte 5, 11, 14 und 15). Den Abschnitt 6 und die Nutzungsregeln hatte sie nicht geändert. Die Fassung 2026-10-19.2 hatte gegenüber der Fassung 2026-10-19.1 die Zweckbindung ergänzt: dass wir Fehlerberichte und technische Ereignisse nur nutzen, um Fehler zu finden und zu beheben und um SOS-Alarme, Anrufe, das Notfall-Klingeln und die Standortfreigabe funktionsfähig zu halten – nie für Nutzungsstatistiken, Produktanalysen, Profile oder Moderations- und Sicherheitsentscheidungen –, dass in der App deines Kindes allgemeine technische Ereignisse auf seinem Handy bleiben und nur mit einem Fehlerbericht gesendet werden und dass wir genauere Ereignisse für ein Handy jeweils höchstens 72 Stunden einschalten und das festhalten (Abschnitt 8). Den Abschnitt 6 und die Nutzungsregeln hatte sie nicht geändert. Die Fassung 2026-10-19.1 hatte gegenüber der Fassung 2026-10-18.2 die technischen Ereignisse ergänzt: dass die App neben Fehlerberichten auch technische Ereignisse festhält – etwa Starts, geöffnete Bildschirme, Anfragen an unseren Server, Verbindungen und die Schritte von Anrufen, SOS-Alarmen, Notfall-Klingeln und Standortfreigabe –, ohne Inhalte, Namen und Standort und nur mit einem Pseudonym deines Kontos, dass sie wie die Fehlerberichte auf unserem eigenen Server in Deutschland liegen und nach 30 Tagen gelöscht werden, dass wir für einen gemeldeten Fehler vorübergehend genauere Ereignisse einschalten können und dass „Fehlerberichte senden“ in den Einstellungen beides ausschaltet (Abschnitte 8, 11 und 13). Den Abschnitt 6 und die Nutzungsregeln hatte sie nicht geändert. Die Fassung 2026-10-18.2 hatte gegenüber der Fassung 2026-10-18.1 den dringenden Anruf an dein Kind geändert: Seitdem melden wir dringende Anrufe unserem Team nicht mehr als Sicherheitshinweis; nur auffälliges Notfall-Klingeln meldet unser System unserem Team weiterhin, nur mit Zahlen (Abschnitt 6). Weil sie damit nur eine Meldung an unser Team strich, musstest du das Notfall-Klingeln nicht neu bestätigen. Die Nutzungsregeln hatte sie nicht geändert. Die Fassung 2026-10-18.1 hatte gegenüber der Fassung 2026-10-12.3 die Fehler- und Absturzberichte ergänzt: dass die App bei Fehlern, Abstürzen und fehlgeschlagenen Anrufen einen technischen Bericht – ohne Inhalte, Namen und Standort, nur mit einem Pseudonym deines Kontos – an unseren Server schickt, dass wir auch die Protokolle unserer Server pseudonymisiert sammeln, dass beides auf unserem eigenen Server in Deutschland liegt und nach 30 Tagen gelöscht wird und dass du die Berichte in den Einstellungen ausschalten kannst (Abschnitte 8, 11 und 13). Den Abschnitt 6 und die Nutzungsregeln hatte sie nicht geändert. Die Fassung 2026-10-12.3 hatte gegenüber der Fassung 2026-10-12.2 die Ortsangaben statt Koordinaten ergänzt: dass die App statt Koordinaten den Namen eines sicheren Ortes – auch bei einem Kind unter 16 Jahren, geprüft auf unserem Server, ohne dass der genaue Standort zu dir gelangt – oder eine kurze Ortsangabe zeigt und dass dein Handy diese Ortsangabe beim Ortsdienst von Apple oder Google erfragt (Abschnitte 4 und 12). Den Abschnitt 6 und die Nutzungsregeln hatte sie nicht geändert. Die Fassung 2026-10-12.2 hatte gegenüber der Fassung 2026-10-12.1 den dringenden Anruf deines Kindes geändert: Seitdem gibt es keine Höchstzahl mehr und keine Pause, nachdem du einen dringenden Anruf abgelehnt hast – dein Kind kann dich jederzeit dringend anrufen; nur zwischen zwei dringenden Anrufen an dich liegen 5 Sekunden, damit ein versehentliches doppeltes Tippen nicht zweimal laut klingelt (Abschnitt 5). Den Abschnitt 6 und die Nutzungsregeln hatte sie nicht geändert. Die Fassung 2026-10-12.1 hatte gegenüber der Fassung 2026-10-11.1 das Notfall-Klingeln und den dringenden Anruf an dein Kind ergänzt: wofür sie da sind, wie laut sie auf welchem Handy klingeln, wer einwilligt und entscheidet, welche Grenzen gelten, wer was sieht, wie dein Kind sie stoppen, melden oder ablehnen kann und was wir dafür wie lange speichern (Abschnitte 3, 6, 7, 8, 9, 11 und 13). Außerdem nannte sie, was frühere Fassungen nicht nannten: Ein Anruf, bei dem du „Immer laut“ eingeschaltet hast, klingelt auf einem iPhone mit iOS 26 auch mit einem Wecker-Alarm von JoinIn (Abschnitte 5 und 9). Ändern wir die Teile zum Notfall-Klingeln später wesentlich, bitten wir dich, es neu zu bestätigen. Die Nutzungsregeln hatte sie nicht geändert. Die Fassung 2026-10-11.1 hatte gegenüber der Fassung 2026-10-06.2 die Prüfung des Chats mit deinem Kind geändert: Seitdem prüfen wir ihn grundsätzlich nicht mehr – auch Fotos und Sprachnachrichten nicht, und unser Sicherheits-Team sieht sich keine Anhänge daraus mehr an. Nur solange du oder dein Kind von unserem Team als verdächtig markiert seid, prüfen wir Texte und Anhänge in beide Richtungen; dazu, wie eine Markierung entsteht, was wir dafür speichern und wie lange (Abschnitte 5, 11, 12 und 13). Die Nutzungsregeln hatte sie nicht geändert. Die Fassung 2026-10-06.2 hatte gegenüber der Fassung 2026-10-06.1 den Live-Standort auch bei geschlossener App ergänzt: dass du ihn für dein Kind vorübergehend oder zu festen Zeiten einschalten kannst, welche Grenzen gelten, wie dein Kind davon erfährt und wer ihn beenden kann, was er auf dem Handy deines Kindes braucht, wann wir dich benachrichtigen und was wir dafür wie lange speichern (Abschnitte 4, 9, 11 und 13). Die Nutzungsregeln hatte sie nicht geändert. Die Fassung 2026-10-06.1 hatte gegenüber der Fassung 2026-10-05.3 deinen eigenen Online-Status ergänzt: dass deine Kinder, deine Eltern-Kontakte und die Mitglieder deiner Gruppen sehen, ob du online bist und wann zuletzt, dass deine beiden Einstellungen jetzt für alle deine Chats gelten, dass „zuletzt online“ jetzt am Anfang an ist und wir es für Eltern, bei denen es aus war, eingeschaltet haben – mit einem Hinweis in der App –, dass du ihn vor einzelnen Personen – auch vor deinem Kind – verbergen kannst und was wir dafür speichern; dass dein Kind seinen Online-Status jetzt allen zeigt, mit denen es chattet, und ihn vor dir nicht verbergen kann; dass Gruppenmitglieder, die keine Kontakte sind, deinen Online-Status sehen; und dass unser Team bei Eltern-Kontakte sieht, wann du JoinIn Eltern zuletzt geöffnet hattest (Abschnitte 2, 5, 11, 14 und 15). Ebenso hatte sie die Live-Ansicht, den Akkustand deines Kindes und den Hinweis bei fast leerem Akku ergänzt: wann der Standort deines Kindes live übertragen wird und wann nicht, was du über seinen Akku siehst, wann wir dich benachrichtigen, was wir dafür wie lange speichern und dass unser Team den zuletzt gemeldeten Akkustand sieht (Abschnitte 4, 7, 11 und 13). Außerdem nannte sie, was frühere Fassungen nicht nannten: Ist dein Kind jünger als 16 Jahre, zeigt dir die App seinen Standort nur ungefähr (Abschnitt 4). Die Nutzungsregeln hatte sie nicht geändert. Die Fassung 2026-10-05.3 hatte gegenüber der Fassung 2026-10-05.2 den dringenden Anruf deines Kindes ergänzt: dass dein Kind einen Anruf an dich als dringend kennzeichnen kann, wie er dann auf deinen Handys klingelt, was dein Kind vorher darüber erfährt, welche Grenzen gelten und was wir dafür wie lange speichern (Abschnitte 5, 11 und 13). Die Nutzungsregeln hatte sie nicht geändert. Die Fassung 2026-10-05.2 hatte gegenüber der Fassung 2026-10-05.1 „Immer laut“ ergänzt: dass du es bei deinen Kindern und Eltern-Kontakten einschalten kannst, damit ihre Anrufe auf deinen Handys so laut wie möglich klingeln, was wir dafür speichern und an deine Geräte senden, was deine Geräte uns dazu melden, dass die andere Person davon nichts erfährt und wann es wieder aus ist (Abschnitte 5, 9, 11, 13 und 14). Die Nutzungsregeln hatte sie nicht geändert. Die Fassung 2026-10-05.1 hatte gegenüber der Fassung 2026-09-28.1 den Online-Status deines Kindes ergänzt: dass du bei jedem verbundenen Kind siehst, ob es gerade online ist und wann es zuletzt online war, dass wir dafür nur einen einzigen, jedes Mal überschriebenen Zeitpunkt speichern und dass dein Kind in seiner App davon erfährt (Abschnitte 5 und 11). Die Nutzungsregeln hatte sie nicht geändert. Die Fassung 2026-09-28.1 hatte gegenüber der Fassung 2026-09-24.2 dein Profilbild ergänzt: dass du eines festlegen kannst, wer es sieht, dass wir es nicht prüfen, wie es in eine Meldung kommt, dass unser Team es entfernen kann und was wir dazu wie lange speichern (Abschnitte 2, 3, 7, 11, 13, 14 und 15). Außerdem hatte sie eine Angabe früherer Fassungen berichtigt: Anhänge aus dem Chat mit deinem Kind sind nicht nur für dich und dein Kind abrufbar – einzelne davon sieht sich zum Schutz deines Kindes unser Sicherheits-Team an (Abschnitt 5). Ebenso nannte sie, was frühere Fassungen nicht nannten: Fotos und Sprachnachrichten aus dem Chat mit deinem Kind prüft vor dem Zustellen der KI-Dienst Gemini von Google, und dabei können sie in die USA übermittelt werden (Abschnitte 5 und 12). Die Nutzungsregeln hatte sie nicht geändert. Die Fassung 2026-09-24.2 hatte gegenüber der Fassung 2026-09-24.1 die Änderung deiner Anmelde-E-Mail über unseren Support ergänzt – mit Prüfung, 72 Stunden Wartezeit und Hinweisen an deine bisherige und deine neue Adresse –, die E-Mail mit einem Code vom Support über Resend, die Hinweise, wenn unser Support deine Telefonnummer ändert oder dir einen Code zum Vorlesen erstellt, und die Aufzeichnungen zur Kontosicherheit, die wir ein Jahr lang aufbewahren – auch wenn dein Konto vorher gelöscht wird (Abschnitte 10, 11, 12 und 13). Neu war auch: Nach einer Änderung deines Passworts oder deiner Anmelde-E-Mail bekommen deine Geräte keine Benachrichtigungen mehr – auch keine SOS-Alarme deines Kindes –, bis du dich dort wieder anmeldest (Abschnitt 10). Die Nutzungsregeln hatte sie nicht geändert. Außerdem nannte sie unseren neuen Serverstandort: Am 24. September 2026 sind unsere Server von der Hetzner Online GmbH in Helsinki (Finnland) zur OVH GmbH in ein Rechenzentrum in Limburg (Deutschland) umgezogen; die Kopien unserer Datenbank-Sicherungen liegen seitdem im Sicherungsspeicher von OVHcloud in Roubaix (Frankreich), und unsere Daten bei der Hetzner Online GmbH haben wir gelöscht (Abschnitte 12 und 14). Die Fassung 2026-09-24.1 hatte gegenüber der Fassung 2026-09-23.2 geändert, wie eine Verbindung über einen Einladungslink entsteht: Wer deinen Link öffnet, ist sofort mit dir verbunden, ohne dass du eine Anfrage bestätigst – außer du hattest die Person früher entfernt oder den Link mit einer älteren Version der App erstellt; wir benachrichtigen dich, und du kannst die Verbindung jederzeit entfernen oder blockieren (Abschnitte 11 und 14). Neu beschrieben hatte sie auch, wie eine Einladung über die Zwischenablage deines Handys in die App kommt, wenn JoinIn Eltern dort noch nicht installiert ist (Abschnitt 14). Die Fassung 2026-09-23.2 hatte gegenüber 2026-09-23.1 das Zurücksetzen des Passworts per E-Mail und unseren E-Mail-Dienst Resend ergänzt (Abschnitte 10, 11 und 12); die Nutzungsregeln hatte sie nicht geändert. Die Fassung 2026-09-23.1 hatte gegenüber 2026-09-22.1 den Zugang zu Eltern-Kontakte geändert: Eine Verknüpfung mit einem Kind ist dafür nicht mehr nötig (Abschnitt 14). Außerdem enden seitdem die Erinnerungen ans Verbinden, sobald du für Eltern-Kontakte bestätigt hast, dass du volljährig bist (Abschnitt 3); unser Team sieht in seiner Verwaltungsansicht auch, ob dein Zugang gerade freigeschaltet oder pausiert ist (Abschnitt 14); und wird dein Konto oder das Konto deines Kindes gelöscht, solange eine deiner Verknüpfungen mit einem Kind vorübergehend gesperrt oder von unserem Team dauerhaft getrennt ist, halten wir eine Einschränkung für Eltern-Kontakte fest (Abschnitte 3, 11, 13 und 14). Zudem hat die Fassung 2026-09-23.1 zwei Angaben früherer Fassungen berichtigt: den damaligen Standort unserer Server (Abschnitte 12 und 14) und die Aufbewahrung unserer Datenbank-Sicherungen – nicht nur 7 Tage auf dem Server, sondern bis zu 30 Tage in einem externen Sicherungsspeicher in der EU (Abschnitte 11, 12 und 14). Die Fassung 2026-09-22.1 hatte gegenüber 2026-09-21.1 die Gruppen in Eltern-Kontakte ergänzt (Abschnitte 11, 13 und 15), die Fassung 2026-09-21.1 gegenüber 2026-09-19.3 das Löschen des Chatverlaufs (Abschnitte 11 und 14). Wir speichern die Kennung mit deiner Bestätigung beim Verbinden (Abschnitt 3), damit feststeht, welchem Text du zugestimmt hast. Mit deiner Bestätigung für Eltern-Kontakte (Abschnitt 14) speichern wir dagegen die Fassung der Nutzungsregeln, die du angenommen hast. Bestätigst du sie jetzt, speichern wir die Fassung 2026-10-19.6. Hast du die Regeln in einer früheren Fassung bestätigt (2026-09-24.1, 2026-09-23.1, 2026-09-22.1, 2026-09-21.1 oder 2026-09-19.3), gilt diese Bestätigung wegen der Änderung in der Fassung 2026-10-19.6 nicht mehr: Bevor du in Eltern-Kontakte wieder schreibst oder anrufst, bitten wir dich, die Regeln neu zu bestätigen. Deine Bestätigung, dass du volljährig bist, bleibt gespeichert.