Eltern-App (iOS, Android, Web)
997 Ventures UG (haftungsbeschränkt) · Version 3.7 - Stand: Oktober 2026
Diese Erklärung gilt für die Bienenstock Eltern-App auf dem Handy. Sie gilt nicht für die Personal-App, das Check-in-Terminal oder die Verwaltungs-Web-App.
997 Ventures UG (haftungsbeschränkt)
Sonnenhof 13
67677 Enkenbach-Alsenborn
E-Mail: info@bienenstock-kita.de
Verantwortlich im Sinne der DSGVO ist der Träger Ihrer Einrichtung. Die 997 Ventures UG verarbeitet die Daten als Auftragsverarbeiter (Art. 28 DSGVO) ausschließlich in dessen Auftrag. Anfragen zu Ihren Rechten richten Sie an Ihre Einrichtung.
Die Daten gehören Ihrer Einrichtung. Alle Daten, die Sie über die App übermitteln oder die Ihnen darin angezeigt werden, gehören Ihrer Einrichtung bzw. deren Träger. Der Träger ist Verantwortlicher im Sinne der DSGVO und entscheidet über Zweck, Speicherdauer und Löschung. Die 997 Ventures UG (haftungsbeschränkt) stellt die App bereit und verarbeitet die Daten ausschließlich im Auftrag und nach Weisung des Trägers (Art. 28 DSGVO). Sie nutzt die Daten nicht für eigene Zwecke, nicht für Werbung und nicht zum Training von KI-Modellen.
Die App funktioniert ohne Nutzerkonto; Eltern geben keine Namen oder Kontaktdaten ein. Die Anmeldung erfolgt mit dem Zugang der Einrichtung und dem Kind-Code, die Kamera dient nur dem Scannen dieses Codes. Die App erstellt keinen neuen Eintrag, sondern nutzt die in der Kita vorhandene Kind-ID. Über die App können übermittelt werden: Abmeldungen mit Grund (der Grund „krank“ ist ein Gesundheitsdatum nach Art. 9 DSGVO), Essensabsagen, Abholmeldungen mit optionaler Notiz und Umfrage-Stimmen. Angezeigt werden Nachrichten der Einrichtung, Einträge im Kindertagebuch zum eigenen Kind und Gruppenreporte. Diese Inhalte sind mit der Kind-ID verknüpft, also pseudonymisiert; pseudonyme Daten bleiben personenbezogene Daten. Datensparsamkeit: keine Standortdaten, kein Zugriff auf Fotos, Kontakte oder Mikrofon, keine Analyse- oder Tracking-Werkzeuge. Die Web-Ansicht zeigt nur die Ampel, Nachrichten der Einrichtung und den Kita-Status; die Anmeldung erfolgt mit dem Eltern-Passwort der Einrichtung. Kind-Codes, Meldungen und Wallet-Karten gibt es dort nicht. Sie wird von der Anwendung selbst bereitgestellt (Vercel, Frankfurt).
Sofern der Nutzer Push-Benachrichtigungen aktiviert, wird ein pseudonymes Geräte-Token vom Betriebssystem (iOS) bzw. Firebase-SDK (Android) erzeugt und in Cloudflare KV (EU) gespeichert, zusammen mit den gewählten Gruppen, um Benachrichtigungen zuzustellen. Es ist nicht mit Namen oder Kind-Code verknüpft und wird bei der Abmeldung in der App gelöscht.
Verarbeitung des Tokens bei den Push-Diensten: Damit Push-Benachrichtigungen technisch zugestellt werden können, wird das Geräte-Token zusätzlich bei folgenden Diensten für die Dauer der Token-Gültigkeit verarbeitet und gespeichert:
Diese Token-Speicherung ist Bestandteil der von Apple (iOS) und Google (Android) bereitgestellten Plattform-Infrastruktur und auf Anwendungsebene weder konfigurierbar noch abschaltbar. Eine EU-ausschließliche oder anbieterunabhängige Push-Infrastruktur existiert nicht. Push-Benachrichtigungen setzen eine ausdrückliche, manuelle Aktivierung der Push-Berechtigung durch den Nutzer im Betriebssystem voraus (Opt-In) - wird die Berechtigung abgelehnt, entfällt jede Token-Erzeugung und -Übermittlung. Die Übermittlung in die USA ist bei Google (FCM) und Expo durch das EU-U.S. Data Privacy Framework, soweit zertifiziert, und ergänzend durch Standardvertragsklauseln (SCCs) abgesichert. Für APNs bietet Apple keinen Auftragsverarbeitungsvertrag und keine APNs-spezifischen SCCs; es gilt das Apple Developer Program License Agreement, Attachment 1, und die DPF-Zertifizierung von Apple Inc.
Inhalte der Push-Nachrichten: Die Eltern-App kann zwei der drei Push-Typen erhalten. Gruppen-Nachrichten: Titel und Text, wie sie das Personal verfasst; dem Titel wird der Name der Einrichtung vorangestellt. Ampel-Statuswechsel: nur bei Gelb („Kita nah am Limit") oder Rot („Kita Voll Belegt"), mit diesen festen Texten; bei Grün erfolgt kein Push, an Schließtagen und außerhalb der Öffnungszeit ebenfalls nicht. Das Personal muss darauf achten, in Freitexten keine kindbezogenen Sensibldaten aufzunehmen; eine technische Filterung findet nicht statt. Die Nachrichteninhalte werden bei keinem der genannten Push-Dienste dauerhaft gespeichert (nur Transit der Zustellung). Die Fachdaten bleiben in der EU-Datenbank (Supabase, Frankfurt). Ohne den Transit über APNs, FCM und Expo ist eine Zustellung auf iOS und Android nicht möglich. Push-Inhalte können auf dem Sperrbildschirm erscheinen; die Vorschau lässt sich in den Geräteeinstellungen abschalten.
Die App bietet die Möglichkeit, eine digitale Karte für Apple Wallet oder Google Wallet zu erstellen. Dabei werden Kind-Code, Gruppenname, Einrichtungsname, Adresse der Einrichtung und - soweit hinterlegt - der Kindname an den Push-Worker übermittelt. Der fertige Pass liegt bis zu 5 Minuten in Cloudflare KV (EU-Datenresidenz). Bei Apple Wallet wird die Karte als Datei erzeugt, bei Google Wallet wird ein signierter Link über Google-Dienste erstellt; Google erhält dabei die Inhalte der Karte.
Wird in den Einstellungen ein Spitzname für ein Kind vergeben, erscheint dieser auf der Wallet-Karte. Der Spitzname wird ausschließlich lokal auf dem Gerät gespeichert und nur bei der Erstellung der Karte einmalig an den Kartendienst übermittelt.
Alle über die App übermittelten Informationen werden in Datenbanken in Deutschland gespeichert und unterliegen vollständig der Datenschutz-Grundverordnung (DSGVO) der Europäischen Union.
Ausnahme: Für die Zustellung von Push-Benachrichtigungen und die Erstellung von Wallet-Karten werden Geräte-Tokens an technisch notwendige Drittdienste übermittelt (siehe Abschnitt 6). In Cloudflare KV (EU) liegen dauerhaft Eltern-Passwort der Einrichtung, Name der Einrichtung, Push-Tokens und Geräte-IDs mit Gruppenzuordnung; Wallet-Pässe mit Kindname bis zu 5 Minuten. Diese Verarbeitung erfolgt auf Grundlage der Einwilligung des Nutzers (Art. 6 Abs. 1 lit. a DSGVO) bei Push und Wallet sowie des Vertrags mit der Einrichtung.
Für die Zustellung von Push-Benachrichtigungen und die Erstellung von Wallet-Karten werden folgende technisch notwendige Drittdienste eingesetzt:
APNs, FCM und Expo erhalten Push-Tokens sowie Titel und Text der Nachricht, wie sie das Personal verfasst (Personal muss darauf achten, keine Namen aufzunehmen). Cloudflare KV speichert zusätzlich Eltern-Passwort der Einrichtung, Name der Einrichtung, Push-Tokens und Geräte-IDs mit Gruppenzuordnung und kurzzeitig Wallet-Pässe mit Kindname. Die Nutzung erfolgt auf Grundlage der Einwilligung des Nutzers (Art. 6 Abs. 1 lit. a DSGVO) bei Push-Benachrichtigungen sowie des berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) bei technisch notwendigen Vorgängen.
Es werden keine Analyse-, Tracking- oder Werbetools eingesetzt.
Für die Übertragung von Daten zwischen der App und der Kita-Datenbank (Supabase) werden Cloudflare Workers eingesetzt. API-Anfragen werden an die Datenbank in der EU (Frankfurt) weitergeleitet. Cloudflare hat keinen Zugriff auf die Supabase-Datenbank. Zusätzlich speichert der Push-Worker in Cloudflare KV (EU-Datenresidenz) dauerhaft je Einrichtung Eltern-Passwort der Einrichtung, Name der Einrichtung, Push-Tokens und Geräte-IDs mit Gruppenzuordnung. Wallet-Pässe (können den Kindnamen enthalten) liegen bis zu 5 Minuten im KV.
Über Cloudflare Workers verarbeitete Daten:
Nicht über Cloudflare verarbeitet: Check-in-/Check-out-Zeiten von Kindern. Diese werden ausschließlich am Terminal in der Kita erfasst und direkt in der EU-Datenbank gespeichert. Zeitmeldungen des Personals laufen nicht über die Eltern-App, sondern über die Personal-App (direkt an die Anwendung in Frankfurt).
Das Routing der Cloudflare Workers und die KV-Speicherung sind auf die EU beschränkt (Cloudflare Regional Services, Frankfurt, EU-Datenresidenz). Cloudflare Inc. hat ihren Sitz in den USA - potenzielle Zugriffsmöglichkeiten der US-Muttergesellschaft sind durch Standardvertragsklauseln (SCCs) und den Angemessenheitsbeschluss EU-U.S. Data Privacy Framework abgesichert.
Auf dem Gerät speichert die App nur den Zugang zur Einrichtung (im geschützten Gerätespeicher), die Kind-Codes, Spitznamen, Einstellungen und die eigenen Rückmeldungen. Inhalte der Kita werden nicht auf dem Gerät gespeichert, sondern bei jedem Aufruf geladen. Der Zugang wird nur zur Anmeldung und bei der Registrierung für Push übermittelt, der Spitzname nur bei der freiwilligen Erstellung einer Wallet-Karte (siehe Abschnitt 4).
Keine Bildschirmfotos, keine Weitergabe. Bildschirmfotos, Bildschirmaufnahmen und das Abfotografieren von Inhalten der App sind nicht gestattet, ebenso die Weitergabe von Inhalten an Dritte oder in andere Apps wie Messenger oder soziale Netzwerke. Das gilt besonders für Nachrichten, Tagebucheinträge, Dienstpläne und Angaben zu anderen Personen.
QR-Code sicher aufbewahren. Der QR-Code ist ein Schlüssel zu Ihrem Zugang. Bewahren Sie ihn sicher auf und zeigen Sie ihn niemandem, der ihn nicht haben soll. Ist er verloren gegangen oder in falsche Hände geraten, informieren Sie umgehend Ihre Einrichtung; sie stellt Ihnen einen neuen Code aus.
Die Erfassung der Bring- und Abholzeiten erfolgt ausschließlich am Check-in-/Check-out-Terminal in der Kita - nicht über diese App.
Warum ist das verpflichtend? Kindertageseinrichtungen benötigen eine Betriebserlaubnis nach § 45 SGB VIII. Diese legt unter anderem die maximal zulässige Anzahl gleichzeitig betreuter Kinder fest. Um nachzuweisen, dass diese Kapazitätsgrenze eingehalten wird, muss die Einrichtung jederzeit dokumentieren können, welche Kinder sich aktuell in der Einrichtung befinden. Darüber hinaus ist der Kita-Träger nach § 47 Abs. 2 SGB VIII verpflichtet, Aufzeichnungen über den Betrieb der Einrichtung zu führen und mindestens fünf Jahre aufzubewahren. Dazu gehören auch die Anwesenheitszeiten der Kinder. Zusätzlich ergibt sich aus der Aufsichtspflicht (§§ 1631, 832 BGB) die Notwendigkeit, den Übergang der Verantwortung zwischen Eltern und Einrichtung lückenlos zu dokumentieren - also wann ein Kind übergeben und wann es abgeholt wurde.
Das Check-in-/Check-out-Terminal ist das technische Mittel, mit dem die Kita diese gesetzlichen Pflichten erfüllt. Die Nutzung des Terminals ist daher Bestandteil des Betreuungsvertrags. Eine Abwahl (Opt-out) ist nicht möglich, da die Dokumentation nicht im Ermessen der Einrichtung liegt, sondern gesetzlich vorgeschrieben ist.
Das Gesetz verpflichtet die Kita zur Dokumentation, schreibt aber nicht vor, mit welcher Software dies geschieht. Der Kita-Träger wählt den Dienstleister eigenständig - vorausgesetzt, ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO besteht. Vergleichbar mit einem Arbeitgeber, der die Bürosoftware für seine Mitarbeiter bestimmt, liegt die Entscheidung über das eingesetzte System beim Träger. Ihr Recht als Eltern erstreckt sich auf den Schutz Ihrer Daten nach der DSGVO, nicht auf die Wahl des technischen Systems.
Alle über diese App übermittelten Informationen - z. B. Essensabmeldungen, Abholbenachrichtigungen oder sonstige Mitteilungen - sind freiwillig. Die App dient ausschließlich der optionalen Kommunikation zwischen Eltern und Kita. Es besteht keine Pflicht zur Nutzung der App.
Als Nutzer - und als Erziehungsberechtigter im Namen Ihres Kindes - stehen Ihnen folgende Rechte gemäß der DSGVO zu:
Sie können jederzeit Auskunft darüber verlangen, welche Daten über Sie oder Ihr Kind gespeichert sind. Wenden Sie sich hierfür an Ihre Kita.
Sind gespeicherte Daten zu Ihnen oder Ihrem Kind unrichtig oder unvollständig, können Sie deren Korrektur verlangen. Lokal gespeicherte Daten (z. B. Spitznamen) können Sie direkt in der App ändern.
Lokal gespeicherte Daten löschen Sie jederzeit über „App zurücksetzen" in den Einstellungen. Freiwillig über die App übermittelte Daten werden nach Eingang bei der Kita Bestandteil der betrieblichen Aufzeichnungen des Kita-Trägers. Der Träger ist nach § 47 Abs. 2 SGB VIII gesetzlich verpflichtet, diese Aufzeichnungen mindestens fünf Jahre aufzubewahren. Solange gesetzliche Aufbewahrungsfristen laufen, wird die Verarbeitung eingeschränkt statt gelöscht (Art. 17 Abs. 3 lit. b DSGVO). Nach Ablauf der Fristen werden die Daten gelöscht. Pflichtdaten (Bring-/Abholzeiten) unterliegen derselben gesetzlichen Aufbewahrungspflicht und können nicht vorzeitig gelöscht werden.
Sie können verlangen, dass die Verarbeitung Ihrer Daten eingeschränkt wird - etwa wenn Sie die Richtigkeit der Daten bestreiten oder die Verarbeitung für unrechtmäßig halten.
Sie haben das Recht, die von Ihnen bereitgestellten Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten. Wenden Sie sich hierfür an Ihre Kita.
Sie können der Verarbeitung Ihrer freiwillig übermittelten Daten jederzeit widersprechen. Für Pflichtdaten (Bring-/Abholzeiten) besteht kein Widerspruchsrecht, da die Verarbeitung auf einer gesetzlichen Verpflichtung beruht (Art. 6 Abs. 1 lit. c DSGVO).
Verantwortlich für die Datenverarbeitung ist der jeweilige Kita-Träger (Verantwortlicher im Sinne der DSGVO). Die 997 Ventures UG (haftungsbeschränkt) verarbeitet die Daten als technischer Dienstleister (Auftragsverarbeiter) ausschließlich im Auftrag und auf Weisung der Kita. Anfragen zu Ihren Rechten richten Sie an Ihre Kita.
Wir bieten optional Support über WhatsApp an. WhatsApp ist ein Dienst der Meta Platforms Inc. mit Sitz in den USA. Wenn Sie diesen Kanal nutzen, gilt Folgendes:
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch aktive Nutzung des Kanals). Für datenschutzkonforme Kommunikation mit personenbezogenen Daten nutzen Sie bitte E-Mail an info@bienenstock-kita.de.
Wir behalten uns vor, diese Datenschutzerklärung bei Bedarf anzupassen. Die aktuelle Version ist jederzeit in der App einsehbar.
Bei Fragen zum Datenschutz wenden Sie sich bitte an:
info@bienenstock-kita.de