Datenschutzerklärung

1. Verantwortlicher und Datenschutzkontakt

Bei Fragen zum Datenschutz, zur Ausübung Ihrer Rechte oder bei Widersprüchen kontaktieren Sie privacy@kinavela.com. Diese Adresse ist der Datenschutzkontakt. Ein formeller Datenschutzbeauftragter wurde nicht bestellt; die Adresse ist nicht als DSB-Kontakt zu verstehen.

2. Verarbeitete Daten

Kultur-, Herkunfts- und Sprachangaben können sensible Aspekte der Identität offenbaren. Sie werden freiwillig bereitgestellt und nur für die gewählten Familien- und Entdeckungsfunktionen verwendet. Tragen Sie Daten anderer Personen nur ein, wenn Sie dazu berechtigt sind.

• Kontodaten: E-Mail-Adresse, Authentifizierungskennung, Sprache, Zeitzone, Anzeigename, Verifizierungs- und Kontostatus.
• Familien- und Entdeckungsdaten: Familienname, Biografie, Land und Stadt, über Stadt-/Postleitzahlensuche gewählter ungefährer Standort, Radius, Sichtbarkeit, Verfügbarkeit, Interessen, Kulturen und Sprachen.
• Von Sorgeberechtigten verwaltete Kinderdaten: Spitzname, Geburtsjahr, optionaler Geburtsmonat, optionales Geschlecht, Sichtbarkeitseinstellungen und privat verwaltete Roots-Passport-Inhalte. Kinavela erstellt keine öffentlichen Kinderkonten und fragt kein genaues Geburtsdatum ab.
• Inhalts- und Sicherheitsdaten: Nachrichten, Stories, Sprachaufnahmen, Transkripte, Meldungen, Moderationsmaßnahmen, Eventteilnahme sowie Sicherheits-/Auditereignisse.
• Betriebsdaten: Einwilligungen, Benachrichtigungseinstellungen und bei ausdrücklicher Aktivierung Push-Schlüssel, eigene Produktmetriken nach Einwilligung, die getrennte Marketing-Einwilligung, die Ereignisse PageView und CompleteRegistration ohne Kinavela-Profil- oder Inhaltsparameter sowie technische Anfragemetadaten zum Schutz des Dienstes.

3. Zwecke und Rechtsgrundlagen

• Konto, Onboarding, Familienwerkzeuge, Roots, Nachrichten und Community-Funktionen: Erfüllung des angefragten Vertrags, Art. 6 Abs. 1 lit. b DSGVO.
• Sicherheit, Missbrauchsprävention, Moderation, Incident-Bearbeitung und Dienstintegrität: berechtigte Interessen, Art. 6 Abs. 1 lit. f DSGVO, sowie gegebenenfalls rechtliche Pflichten, Art. 6 Abs. 1 lit. c DSGVO.
• Optionale Produkt-E-Mails: Einwilligung, Art. 6 Abs. 1 lit. a DSGVO; jederzeit in den Einstellungen widerrufbar.
• Optionale eigene Produktmetriken und zugehöriger Browserspeicher: über die Datenschutzeinstellungen erfasste Einwilligung. Eine Ablehnung beschränkt den Dienst nicht.
• Meta Pixel für Werbemessung und Kampagnenoptimierung: ausdrückliche Einwilligung, Art. 6 Abs. 1 lit. a DSGVO. Das Pixel wird vorher nicht geladen; die Wahl kann jederzeit auf der Cookie-Seite widerrufen werden.
• Steuer-, Buchhaltungs- und sonstige gesetzliche Unterlagen: rechtliche Pflicht, Art. 6 Abs. 1 lit. c DSGVO, soweit die jeweilige Pflicht besteht.

4. Kinder und Sorgeberechtigte

Kinavela ist ein von Erwachsenen geführter Dienst. Eltern oder andere berechtigte Sorgeberechtigte müssen Kinderdaten eingeben und verwalten. Kinderprofile sind standardmäßig privat; Sichtbarkeit für Verbindungen oder Villages ist nur über von Sorgeberechtigten gesteuerte Einstellungen möglich. Veröffentlichen Sie keine genaue Adresse, direkten Kontaktdaten, genaues Geburtsdatum, Schulangaben oder sensible Medien eines Kindes. Über Kontosteuerungen oder privacy@kinavela.com können Sorgeberechtigte Berichtigung, Export oder Löschung verlangen.

5. Empfänger und in der Produktion eingesetzte Auftragsverarbeiter

OpenAI-Verarbeitung, sonstige Drittanbieter-Analytics, CAPTCHA und Web-Push-Zustellung sind in der Produktion nicht aktiviert. Das Meta Pixel ist ausschließlich nach Marketing-Einwilligung aktiviert. Stripe ist nur für die oben beschriebene Roots-Family-Abrechnung aktiv. Vor Aktivierung weiterer Auftragsverarbeiter werden diese Erklärung und der Einwilligungsablauf aktualisiert.

• Supabase für Authentifizierung, PostgreSQL-Datenbank, privaten Storage und Realtime. Es erhält die für die jeweilige Funktion erforderlichen Konto-, Familien-, Inhalts-, Sicherheits- und Betriebsdaten.
• Zoho Europe SMTP unter smtp.zoho.eu für Konto- und ausdrücklich erlaubte Benachrichtigungs-E-Mails. Es erhält Empfängeradresse und den für die Zustellung erforderlichen Mindestinhalt.
• Nominatim / OpenStreetMap für ausdrücklich serverseitig ausgeführte Stadt- oder Postleitzahlensuchen bei Onboarding und Entdeckung. Die Suchanfrage kann Land, Stadt/Postleitzahl und UI-Sprache enthalten; exaktes Geräte-GPS wird nicht verwendet.
• Stripe für gehostetes Roots-Family-Abonnement-Checkout, Kundenportal-Sitzungen und signierte Zahlungs-Webhooks. Stripe erhält die für das Abonnement nötigen Zahlungsinformationen und Abrechnungskennungen; Kinavela erhält keine vollständigen Kartendaten.
• Sentry (deutsche Region) für technische Fehler- und Leistungsüberwachung. Übermittelt werden minimierte Fehler- und Stacktrace-Daten, Routenmuster, Laufzeit-, Browser- und Geräteangaben sowie eine Stichprobe von Leistungsdaten. Während der Netzwerkzustellung kann die technische IP-Adresse verarbeitet werden. Standardmäßige personenbezogene Daten, Session Replay, Formulare, Anfrageinhalte, Nachrichten, Stories, Transkripte und Kinderdaten sind deaktiviert oder werden vor der Übermittlung gefiltert.
• Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland, für das Meta Pixel nach Marketing-Einwilligung. Kinavela sendet ausschließlich PageView auf öffentlichen Landingpages und CompleteRegistration nach bestätigter Registrierung, ohne Namen, E-Mail, Telefon oder Kinder-, Familien-, Community-, Standort-, Kultur-, Sprach- oder Inhaltswerte aus Kinavela als Parameter. Meta verarbeitet dabei technisch erforderliche Ereignis-, Browser-/Geräte-, Referrer-, Cookie-Kennungs- und Netzwerkdaten; die IP-Adresse kann bei der Übertragung verarbeitet werden.

6. Internationale Datenübermittlungen

Übermittlungen können stattfinden, wenn ein Auftragsverarbeiter oder seine Infrastruktur außerhalb des Europäischen Wirtschaftsraums liegt. Wir verwenden die nach anwendbarem Recht erforderlichen Garantien, einschließlich Angemessenheitsbeschluss, Standardvertragsklauseln oder eines anderen zulässigen Mechanismus. Diese Erklärung behauptet nicht, dass jede Produktionsverarbeitung auf den EWR beschränkt ist.

7. Aufbewahrung und Löschung

Daten werden nicht länger als für ihren Zweck erforderlich aufbewahrt. Der automatisierte Aufbewahrungsjob läuft über den Datenschutz-Cron. Bei einer Kontolöschung werden zuerst private Medien entfernt, Kind- und Story-Inhalte soweit technisch möglich gelöscht, verfasste Nachrichten anonymisiert und nur ein minimaler Sicherheits-/Integritätsmarker belassen, wenn Fremdschlüssel- oder Sicherheitsgründe eine sofortige physische Löschung verhindern.

Soweit eine gesetzliche Buchhaltungs- oder Steuerpflicht besteht, wird der notwendige Datensatz hierfür mit eingeschränktem Zugriff aufbewahrt. Stripe-Abrechnungskennungen und minimierte Webhook-Auditmetadaten bleiben für Abonnementautorisierung, Support, Buchhaltung und rechtliche Pflichten erhalten.

8. Ihre Rechte

Vorbehaltlich der gesetzlichen Voraussetzungen können Sie Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit verlangen oder der Verarbeitung widersprechen. Sie können Einwilligungen jederzeit widerrufen; dies berührt die Rechtmäßigkeit der zuvor erfolgten Verarbeitung nicht. Nutzen Sie, soweit verfügbar, die Einstellungen oder kontaktieren Sie privacy@kinavela.com. Außerdem haben Sie das Recht, sich bei der zuständigen Aufsichtsbehörde zu beschweren.

9. Aufsichtsbehörde

Die für den Sitz des Verantwortlichen zuständige Aufsichtsbehörde ist Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz (LfDI Rheinland-Pfalz), Postfach 30 40, 55020 Mainz; Besucheranschrift Hintere Bleiche 34, 55116 Mainz; Telefon +49 (0) 6131 8920-0; E-Mail poststelle@datenschutz.rlp.de; datenschutz.rlp.de.