1. Verantwortlicher und Kontakt
Verantwortlich für die Datenverarbeitung in dieser App ist:
RawGuide, Florian Seeger
Schellenbergstr. 9, 82110 Germering, Deutschland
E-Mail: contact@rawguide.de
Telefon: 01774706601
2. Grundsatz: Deine Daten bleiben auf deinem Gerät
Alle Inhalte, die du erfasst – Kinder, Tagebuch, Fotos, Schlaf- und Mahlzeitzeiten, Meilensteine, Impfungen, Vorsorgetermine, Wachstumswerte, Impulse, Einkaufslisten und Notizen – werden ausschließlich lokal auf deinem Gerät gespeichert. Es gibt kein Nutzerkonto und keine Registrierung. An uns übertragen wird nichts davon, solange du keine der unten beschriebenen Funktionen aktivierst.
Weil die Daten nur auf dem Gerät liegen, gehen sie bei Verlust oder Wechsel des Geräts unwiderruflich verloren, wenn du keine Sicherung erstellst. Die Sicherung erzeugst du selbst und bestimmst, wohin sie geht.
Auch die automatische Sicherung des Betriebssystems ist für Farolino abgeschaltet: Deine Einträge werden weder in dein Google-Konto noch in deine iCloud kopiert. Nur die Sicherungsdatei, die du selbst erzeugst, verlässt das Gerät — und zwar dorthin, wohin du sie legst.
Tagebuchfotos liegen ebenfalls nur in Farolino. Du kannst im Profil einschalten, dass sie zusätzlich in der Galerie deines Telefons gespeichert werden; voreingestellt ist das ausgeschaltet. Bitte beachte: Aus der Galerie laden viele Telefone Fotos selbsttätig in einen Cloud-Dienst hoch, etwa Google Fotos oder iCloud-Fotos. Darauf haben wir keinen Einfluss.
3. Anonyme Anmeldung (Voraussetzung der Cloud-Funktionen)
Sobald du das Eltern-Team oder die Community nutzt, meldet die App dich anonym bei Firebase Authentication an. Dabei entsteht eine zufällige Kennung ohne Bezug zu Name, E-Mail-Adresse oder Telefonnummer. Ohne sie lässt sich technisch nicht zuordnen, welche verschlüsselte Ablage zu welchem Gerätepaar gehört.
Zweck: Zugriffsschutz der Cloud-Ablage. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags).
4. Eltern-Team – Ende-zu-Ende-verschlüsselt
Das Eltern-Team verbindet zwei Geräte, damit beide Eltern denselben Stand sehen. Die Funktion ist freiwillig und standardmäßig ausgeschaltet.
Kopplung: Ein Gerät erzeugt einen Code, das zweite gibt ihn ein. Darüber tauschen die Geräte öffentliche Schlüssel (X25519) aus, die kurzzeitig in einer Rendezvous-Ablage liegen und danach verfallen. Den gemeinsamen Datenschlüssel berechnet jedes Gerät für sich; er verlässt die Geräte nie. Zur Kontrolle zeigen beide Geräte denselben Sicherheits-Code zum Vergleichen.
Was übertragen wird: Der abzugleichende Stand (Kinder, Tagebuch, Schlaf und Mahlzeiten, Meilensteine, Impf- und Vorsorgestand, Impulse, Erinnerungen, Einkaufslisten sowie ein von dir gesetzter Anzeigename) wird auf deinem Gerät mit AES-256-GCM verschlüsselt und als unlesbares Paket in Cloud Firestore abgelegt. Wir können diese Inhalte nicht lesen – uns fehlt der Schlüssel.
Was im Klartext danebensteht: die anonyme Kennung des zuletzt schreibenden Geräts, Prüfsummen zur Änderungserkennung, ein Kennzeichen der Ereignisart für Benachrichtigungen (etwa „Impuls geschafft“) und ein Zeitstempel. Inhalte lassen sich daraus nicht ableiten.
Gesundheitsbezogene Angaben: Impfungen, Vorsorgeuntersuchungen und Wachstumswerte deines Kindes sind Gesundheitsdaten nach Art. 9 DSGVO. Sie werden nur übertragen, wenn du das Eltern-Team aktiv einrichtest – und auch dann ausschließlich Ende-zu-Ende-verschlüsselt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die gesundheitsbezogenen Angaben zusätzlich Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung durch das Einrichten der Funktion). Trennst du die Verbindung, wird der Datenschlüssel auf deinem Gerät gelöscht: Du selbst kannst die verschlüsselte Ablage danach nicht mehr lesen. Dein Partner hat seinen Schlüssel weiter, bis er ebenfalls trennt. Die verschlüsselte Ablage wird spätestens 365 Tage nach der letzten Änderung im Eltern-Team automatisch gelöscht.
5. Fotos im Eltern-Team (nur nach ausdrücklicher Einwilligung)
Tagebuch-Fotos werden standardmäßig nicht übertragen und bleiben auf deinem Gerät, auch bei aktivem Eltern-Team. Erst wenn du die Einstellung „Fotos mit Partner teilen“ einschaltest (Standard: aus), werden neue Fotos vor dem Hochladen auf deinem Gerät verschlüsselt (AES-256-GCM) und als verschlüsselte Datei in Firebase Storage abgelegt, damit das gekoppelte Gerät sie anzeigen kann.
Löschst du einen Eintrag oder schaltest das Teilen wieder aus, werden keine neuen Fotos hochgeladen; das verschlüsselte Foto eines gelöschten Eintrags wird entfernt.
Da es sich um Bilder eines Kindes handeln kann, prüfe vor dem Einschalten, ob du mit der Weitergabe an das gekoppelte zweite Elternteil einverstanden bist. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, jederzeit widerrufbar durch Ausschalten).
6. Benachrichtigungen
Erinnerungen (Termine, Tagesimpulse, Einkaufstag, fällige Vorsorge, Sicherung, Rückblick) plant die App auf dem Gerät. Dafür verlassen keine Daten dein Gerät.
Meldungen aus dem Eltern-Team laufen über einen Server. Dafür werden neben der verschlüsselten Ablage gespeichert: ein Push-Token deines Geräts, die eingestellte Sprache, deine Auswahl der Meldungsarten und – falls du eine Nachtruhe einstellst – deren Zeitfenster sowie der Abstand deiner Gerätezeit zur Weltzeit. Der Versand läuft über den Expo Push Service und von dort über Apple (APNs) bzw. Google (FCM). Inhalte werden dabei nicht übertragen: Die Meldung nennt nur die Art des Ereignisses, niemals den Inhalt.
Gemeldet werden ausschließlich: abgehakter Impuls, fertige Einkaufsliste, vereinbarter Impf- oder Arzttermin, als erledigt eingetragener Termin sowie das Trennen des Eltern-Teams.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung über die Systemabfrage, jederzeit in den Einstellungen abschaltbar).
7. Community (freiwillig)
Wenn du die Community nutzt, legst du einen frei wählbaren Spitznamen an. Spitzname, Freundescode und deine Erfolgs-Zahlen (Punkte, Tage in Folge, dein Rekord an Tagen in Folge, Zahl der geschafften Impulse, deine heutige Quote und deine Ø Quote der letzten 30 Tage) liegen dabei verschlüsselt in der Cloud und sind nur für die Eltern lesbar, mit denen du dich selbst verbunden hast. Dass eine Verbindung besteht, und eingehende Anfragen werden in der Cloud gespeichert, damit sie beide Seiten sehen. Zu deinem Freundescode legen wir einen daraus berechneten Wert ab, damit eine Anfrage dich erreichen kann. Wer deinen Freundescode nicht von dir hat, findet den Wert nicht. Neben dem Wert steht allerdings deine anonyme Kennung — wir selbst könnten ihn damit deinem Community-Profil zuordnen. Klarnamen, E-Mail-Adressen oder Telefonnummern verlangen wir dafür nicht. Diese Angaben sind pseudonym, nicht anonym: Über den Spitznamen und deine Kennung sind sie einer Person zuordenbar und unterliegen deshalb der DSGVO.
Wiederherstellungscode: Für einen Gerätewechsel kannst du dir freiwillig einen Wort-Code anzeigen lassen. Auf dem Server liegt davon nur ein nicht umkehrbarer Prüfwert mit Erstellungszeitpunkt und die Zuordnung zu deiner anonymen Kennung — nie der Code selbst. Wir können den Code weder lesen noch aus dem gespeicherten Wert zurückgewinnen; er bleibt allein bei dir. Damit ihn niemand errät, zählen wir die Fehlversuche je Kennung und lassen höchstens fünf je Stunde zu. Gibst du einen Code ein, den es nicht gibt, merken wir uns dazu für kurze Zeit einen aus deiner Netzwerkadresse berechneten Wert. Nur so lässt sich verhindern, dass jemand Codes durchprobiert.
Wiederherstellungspaket: Legst du einen Code fest, legen wir zusätzlich ein verschlüsseltes Paket für dich ab. Darin stehen dein Spitzname, dein Freundescode, der Community-Schlüssel deines Geräts und die Liste deiner Verbindungen. Verschlüsselt wird auf deinem Gerät, und der Schlüssel dafür wird allein aus deinem Wort-Code berechnet. Wir können das Paket nicht öffnen, weil wir den Code nicht haben. Es hat immer dieselbe Größe, damit seine Länge nichts über die Zahl deiner Verbindungen verrät. Es dient allein dazu, dir diese Angaben auf einem neuen Gerät zurückzugeben — ohne das Paket wären sie beim Gerätewechsel verloren. Wer deinen Wort-Code kennt, kann das Paket öffnen; bewahre ihn deshalb so auf wie einen Ersatzschlüssel. Legst du keinen Code fest, entsteht weder der Prüfwert noch das Paket.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch aktives Nutzen). Der Widerruf erfolgt durch Austritt; deine Community-Daten werden dabei entfernt.
8. Premium-Abonnement
Kauf und Verlängerung laufen über den jeweiligen App-Store (Apple App Store bzw. Google Play). Zahlungsdaten erhalten wir nicht. Zur Prüfung, ob ein gültiges Abonnement besteht, setzen wir RevenueCat ein; dorthin werden eine anonyme Kennung und der Kaufstatus übermittelt.
Im Eltern-Team gilt ein Abonnement für beide Elternteile. Dazu wird der eigene Premium-Status (aktiv oder nicht, Ablaufzeitpunkt, ob verlängert wird) im verschlüsselten Paket mitgeführt, damit das gekoppelte Gerät weiß, ob es noch freigeschaltet ist. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
9. Absturzberichte
Stürzt die App ab oder tritt ein schwerer Programmfehler auf, wird ein technischer Bericht an Sentry übermittelt (Anbieter: Functional Software, Inc. d/b/a Sentry, 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA). Als Speicherort haben wir die europäische Region mit Rechenzentrum in Frankfurt am Main gewählt.
Erfasst werden eine zufällige Installations-Kennung, Zeitpunkt und App-Version, Gerätemodell, Betriebssystem sowie der technische Fehlerverlauf. Ausdrücklich abgeschaltet haben wir: Bildschirmfotos, Bildschirmaufzeichnungen, das Auslesen der angezeigten Texte, Netzwerkadressen, Konsolenausgaben und die Erfassung deiner IP-Adresse. Inhalte deines Tagebuchs oder Daten deiner Kinder sind nicht enthalten. Die Berichte werden von Sentry automatisch gelöscht, spätestens 30 Tage nach der Übermittlung.
Entscheidend: Der Dienst wird erst gestartet, nachdem du zugestimmt hast. Ohne deine Zustimmung wird für Absturzberichte nichts auf deinem Gerät gespeichert oder ausgelesen, es wird nichts übertragen, und die App funktioniert vollständig. Du kannst deine Entscheidung jederzeit im Profil unter „Absturzberichte senden“ ändern; ab dem Widerruf wird der Dienst beendet und sendet nichts mehr.
Unabhängig davon stellen uns Google und Apple Absturzdaten aus ihren eigenen Systemen bereit (Google Play Console bzw. App Store Connect). Diese erhalten wir nur in zusammengefasster Form ohne Bezug zu einer Person. Ob sie erhoben werden, steuerst du in den Einstellungen deines Betriebssystems, nicht in unserer App.
Rechtsgrundlage: § 25 Abs. 1 TDDDG für das Speichern und Auslesen der Kennung auf deinem Gerät (Einwilligung) sowie Art. 6 Abs. 1 lit. a DSGVO für die anschließende Verarbeitung der Absturzdaten (Einwilligung). Die Übermittlung an den US-Anbieter stützen wir auf die EU-Standardvertragsklauseln; Sentry erklärt zusätzlich die Einhaltung des EU-U.S. Data Privacy Framework.
10. Berechtigungen auf deinem Gerät
Die App fragt Berechtigungen erst dann ab, wenn du die zugehörige Funktion nutzt. Die Daten bleiben dabei auf dem Gerät.
Jede erteilte Berechtigung kannst du jederzeit wieder zurücknehmen — nicht in der App, sondern in den Einstellungen deines Telefons: unter Android in „Einstellungen › Apps › Farolino › Berechtigungen“, unter iOS in „Einstellungen › Apps › Farolino“ (auf älteren iOS-Fassungen „Einstellungen › Farolino“). Die zugehörige Funktion steht danach nicht mehr zur Verfügung; alles Übrige arbeitet unverändert weiter.
11. Empfänger und Speicherorte
Wir setzen folgende Auftragsverarbeiter ein:
• Google Ireland Limited (Firebase): Cloud Firestore, Firebase Storage, Firebase Authentication und Cloud Functions. Die verschlüsselte Ablage des Eltern-Teams liegt im Firestore-Standort eur3 (Europa); die Cloud Functions laufen in europe-west1 (Belgien). Es gelten die Data Processing and Security Terms von Google.
• Functional Software, Inc. d/b/a Sentry (USA): Absturzberichte, gespeichert in der europäischen Region (Frankfurt am Main). Nur bei erteilter Einwilligung; Grundlage sind der Auftragsverarbeitungsvertrag von Sentry und die EU-Standardvertragsklauseln.
• Expo (650 Industries, USA): Weiterleitung der Partner-Meldungen. Übertragen wird nur das Push-Token; der Inhalt der Meldung wird nicht gespeichert, sondern nur für die Dauer der Zustellung verarbeitet.
• Apple (APNs) und Google (FCM): Zustellung der Benachrichtigungen auf das Gerät.
• RevenueCat Inc. (USA): Prüfung des Abo-Status. RevenueCat stützt die Übermittlung auf die EU-Standardvertragsklauseln; der Auftragsverarbeitungsvertrag ist Bestandteil des Nutzungsvertrags.
12. Speicherdauer
• Auf dem Gerät: bis du die Daten oder die App löschst.
• Eltern-Team: bis zum Trennen der Verbindung; danach kannst du die verschlüsselte Ablage nicht mehr lesen, dein Partner hat seinen Schlüssel weiter, bis er ebenfalls trennt. Die verschlüsselte Ablage selbst wird spätestens 365 Tage nach der letzten Änderung im Eltern-Team automatisch gelöscht.
• Kopplung des Eltern-Teams: Beim Verbinden liegen die öffentlichen Schlüssel beider Geräte kurz in einer Rendezvous-Ablage. Sie wird gelöscht, sobald die Verbindung steht oder du das Fenster schließt, spätestens jedoch 10 Minuten nach dem Erstellen des Codes.
• Geteilte Fotos: bis zum Löschen des Eintrags oder Abschalten des Teilens; spätestens zusammen mit der verschlüsselten Ablage des Eltern-Teams werden sie automatisch gelöscht.
• Push-Token: bis du die Partner-Meldungen abschaltest oder die Verbindung trennst.
• Community: bis zum Austritt.
• Wiederherstellungscode: bis du einen neuen Code festlegst oder aus der Community austrittst.
• Wiederherstellungspaket: bis du einen neuen Code festlegst oder aus der Community austrittst.
• Absturzberichte: 30 Tage.
• Aus deiner Netzwerkadresse berechneter Wert bei Fehlversuchen mit dem Wiederherstellungscode: spätestens 2 Stunden nach dem letzten Fehlversuch.
13. Deine Rechte
Dir stehen zu: Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen – in der App durch Abschalten der jeweiligen Funktion. Außerdem steht dir ein Beschwerderecht bei einer Aufsichtsbehörde zu.
Keine Profilbildung, keine automatisierte Entscheidungsfindung: Wir werten dein Verhalten in der App nicht aus, um Profile über dich oder dein Kind zu bilden. Eine automatisierte Entscheidung im Sinne des Art. 22 DSGVO, die dir gegenüber rechtliche Wirkung entfaltet oder dich in ähnlicher Weise erheblich beeinträchtigt, findet nicht statt.
14. Kinder
Die App richtet sich an Eltern, nicht an Kinder. Die erfassten Angaben betreffen jedoch Kinder – teils Gesundheitsdaten. Verantwortlich für diese Eingaben sind die Sorgeberechtigten. Vor dem Einschalten des Eltern-Teams oder des Foto-Teilens sollte geklärt sein, dass beide Sorgeberechtigten einverstanden sind.
15. Aktualisierungen der App
Damit wir Fehler zügig beheben können, kann die App Programmaktualisierungen nachladen. Die Abfrage findet erst statt, nachdem du die Einführung abgeschlossen hast — vorher nimmt die App dafür keinen Kontakt auf.
Bei der Abfrage werden an unseren Dienstleister 650 Industries, Inc. (Expo), USA übermittelt: die Fassung deiner App, dein Betriebssystem und eine zufällig erzeugte Kennung, die auf deinem Gerät gespeichert wird und die Anfragen wiedererkennbar macht. Ein Bezug zu deinem Namen besteht nicht. Tagebuch-, Kind- und Gesundheitsdaten werden dabei nicht übertragen.
Rechtsgrundlage ist unser berechtigtes Interesse an einer funktionsfähigen und fehlerfreien App (Art. 6 Abs. 1 lit. f DSGVO); die Übermittlung in die USA stützt sich auf die Standardvertragsklauseln.
Stand: 27.07.2026