Für die Android-App naido, die Web-App auf web.naido.app, die Seite für Betreuungspersonen auf care.naido.app und die Website naido.app. Stand: 21. Oktober 2026.
Verantwortlich ist Daniel Pommranz, Untere Haldestraße 7, 72810 Gomaringen, Deutschland, erreichbar unter info@velmun.com. „Velmun“ ist ein Markenname. Weitere Anbieterangaben findest du im Impressum auf velmun.com.
naido speichert Kinderprofile (Name, Geburtstag und, wenn du sie angibst, Geschlecht und errechneten Geburtstermin), deine Einträge und Einstellungen auf deinem Gerät. Einträge sind Schlaf, Mahlzeiten (Stillen, Fläschchen, Beikost), Abpumpen und Milchvorrat, Windeln, Medizin und deine Medikamentenliste, Temperatur, Wachstum, Vorsorge-Untersuchungen, Impfungen, neue Zutaten der Beikost (Allergene), Zähne, Meilensteine, Aktivitäten, Notizen, Ausnahmezeiten wie Urlaub und eigene Erinnerungen. Du brauchst kein naido-Konto.
Was in diesem Abschnitt beschrieben ist, geschieht ausschließlich auf deinem Gerät. Wir erhalten diese Daten nicht und verarbeiten sie nicht; wir stellen dafür nur die Software bereit. Wir beschreiben es trotzdem, damit du weißt, was die App speichert, wie lange und wie du es löschst. Daten verlassen dein Gerät nur auf den Wegen, die in den Abschnitten 3 (Abgleich, Betreuung teilen) und 4 (Premium) und unter „Berichte, Bilder, Exporte und Teilen“ beschrieben sind, und auf Wegen, die du selbst einrichtest (Android-Gerätesicherung, Sicherungsdateien).
Die Android-App enthält keine Werbung und keine Analyse- oder Absturzmelde-Dienste. Die Schlafvorhersage, Wachstumskurven und Hinweise werden auf deinem Gerät berechnet; dafür werden keine Daten übertragen. naido stellt keine Diagnosen und gibt keine Dosis- oder Behandlungsempfehlungen. Welchen Vorsorgeplan naido anzeigt (deutsches U-Heft, österreichischer Eltern-Kind-Pass, Schweizer Gesundheitsheft oder keiner), stellst du in der App ein; die Auswahl ändert nur, welche Untersuchungen die App anzeigt, und löst keine Übermittlung aus. Es finden keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO statt.
Du kannst Einträge bearbeiten, löschen und exportieren. Eine Deinstallation entfernt die lokalen App-Daten einschließlich der Fotos, aber keine Sicherungsdateien, keine Android-Gerätesicherung, keine Kopien auf anderen Geräten und keine Daten im optionalen Abgleich.
Von naido erstellte Sicherungsdateien. Du kannst Sicherungsdateien erstellen und auf Wunsch automatisch die sieben neuesten in einem Ordner aufbewahren, den du auswählst. Sie enthalten deine Einträge (auch Gesundheits-Einträge), Medikamentenliste, Erinnerungen, Milchvorrat, die Einstellungen der Familie und je Kind, die Liste deiner gekoppelten Geräte, den Sync-Code, den Premium-Nachweis und gegebenenfalls eine Spenderkennung. Nicht enthalten sind Fotos, die Daten des Lauschers, der Verlauf der Erinnerungen und die Freigaben für Betreuungspersonen. Mit Passwort sind die Dateien verschlüsselt. Ohne Passwort können Personen mit Zugriff auf die Datei deine Einträge lesen und den darin enthaltenen Sync-Code verwenden. Wir erhalten diese Dateien nicht. Liegt der Ordner bei einem Cloud-Speicher, gelten zusätzlich dessen Datenschutzinformationen.
Android-Gerätesicherung. Wenn du die Sicherung in den Android-Einstellungen eingeschaltet hast, kann Android die Datenbank und die Einstellungen von naido in deinem Google-Konto sichern. naido erlaubt diese Sicherung nur, wenn das Gerät sie Ende-zu-Ende verschlüsselt (ab Android 9; dafür muss eine Bildschirmsperre eingerichtet sein); andernfalls findet sie nicht statt. Unter Android 8 ist sie für naido ganz ausgeschaltet. Die Sicherung umfasst Einträge, den Verlauf der Erinnerungen, Einstellungen und die in den Einstellungen gespeicherten Daten des Lauschers. Nicht enthalten sind Dateien der App, also keine Fotos und keine Kopien von U-Heft-Seiten, und keine Geheimnisse: Sync-Code, Premium-Nachweis, Freigaben für Betreuungspersonen samt Schlüsseln, eine gegebenenfalls vorhandene Spenderkennung und das Passwort automatischer Sicherungen. Wie lange Google eine Sicherung aufbewahrt, richtet sich nach Google. Google ist für die Google-Sicherung eigenständig verantwortlich: Google-Datenschutzerklärung.
Direkte Übertragung auf ein neues Gerät. Überträgst du beim Einrichten eines neuen Telefons die Daten direkt vom alten Gerät, gehen Datenbank und Einstellungen mit, ab Android 12 auch die genannten Geheimnisse. Fotos und Kopien von U-Heft-Seiten gehen auch dabei nicht mit. Unter Android 8 ist auch diese Übertragung für naido ausgeschaltet.
naido unterscheidet vier Arten von Bildern:
Bis du einen Meilenstein speicherst, liegt die verkleinerte Kopie als temporäre Datei im Cache-Ordner der App; brichst du ab, wird sie gelöscht, Reste nach einem Abbruch der App spätestens bei der nächsten Fotoauswahl, sobald sie älter als einen Tag sind. Entfernst du das Foto aus dem Meilenstein, löscht naido die Kopie beim Speichern. Löschst du den Meilenstein oder das ganze Kind, löscht naido die Kopie beim nächsten Start der App, sobald die Frist zum Rückgängigmachen sicher vorbei ist: frühestens zehn Minuten nach dem Löschen, bei einem gelöschten Kind frühestens einen Tag, nachdem das Foto gespeichert wurde.
Mit „Aus Fotos übernehmen“ kannst du Angaben aus dem U-Heft, der Teilnahmekarte oder dem Impfpass übernehmen. Zum Fotografieren öffnet naido die Kamera-App deines Telefons; naido selbst hat keinen Zugriff auf die Kamera. Alternativ wählst du ein oder mehrere Bilder aus deiner Galerie; naido erhält nur Zugriff auf die Bilder, die du auswählst. Das Bild wird ausschließlich auf deinem Gerät ausgewertet, von in der App enthaltenen Modellen, die Ziffern lesen und die Seite erkennen. Es wird nicht an uns oder Dritte gesendet und nicht abgeglichen. Übernommen werden nur die Werte, die du bestätigst; sie werden zu gewöhnlichen Einträgen.
Eine Aufnahme mit der Kamera schreibt die Kamera-App in eine temporäre Datei im Cache-Ordner von naido. naido löscht diese Datei, sobald du speicherst, das Foto verwirfst oder die Seite verlässt; wird die App vorher beendet, beim nächsten Öffnen von „Aus Fotos übernehmen“. Ein Bild aus der Galerie liest naido nur in den Arbeitsspeicher. naido legt keine Kopie an, außer du behältst das Foto der Seite bei der U (siehe unten). Manche Kamera-Apps legen zusätzlich selbst eine Kopie in der Galerie ab; das richtet sich nach deiner Kamera-App und fällt nicht unter das Löschen durch naido.
Foto der Seite bei der U behalten. Beim U-Heft kannst du „Foto der Seite bei der U behalten“ einschalten; die Einstellung ist bei jedem Öffnen zunächst aus. Dann legt naido beim Speichern eine verkleinerte Kopie der Seite (längste Seite höchstens 1600 Pixel, ohne Metadaten) bei dieser Untersuchung ab. Die Kopie zeigt die ganze Seite, also auch Praxisstempel und bei der U1 Angaben zur Mutter. Sie bleibt nur auf diesem Gerät: Sie wird nicht abgeglichen und ist weder in den von naido erstellten Sicherungsdateien noch in der Android-Gerätesicherung oder einer direkten Übertragung auf ein neues Gerät enthalten. naido löscht sie sofort, wenn du sie unter „U-Heft ansehen“ mit „Foto entfernen“ entfernst. Löschst du den Eintrag der Untersuchung, löscht naido die Kopie beim nächsten Start der App, frühestens zehn Minuten nach dem Löschen.
Fotos, die du mit einer früheren Version über „Foto behalten“ aufbewahrt hast, bleiben auf deinem Gerät, bis du sie in naido unter „Aus Fotos übernehmen“ löschst oder den zugehörigen Eintrag löschst (dann wie bei Meilensteinfotos).
Eine Einladung per QR-Code liest naido auf dieselbe Weise: Die Kamera-App nimmt den Code in eine temporäre Datei von naido auf, naido liest ihn auf dem Gerät und löscht diese Datei sofort danach, auch wenn kein Code erkannt wurde. Kopien, die deine Kamera-App selbst anlegt, fallen nicht darunter.
Erinnerungen (etwa an Vitamin D oder an eine Medizin nach Abstand) stellt naido als Benachrichtigungen auf deinem Gerät. Die Einstellungen einer Erinnerung werden nur abgeglichen, wenn du den Abgleich eingeschaltet hast; dann wie deine Einträge, Erinnerungen zu Gesundheits-Einträgen über den Relay nur mit der Einwilligung für Gesundheitsdaten (Abschnitt 3). Der Verlauf, wann erinnert, nachgefragt oder verschoben wurde, bleibt auf dem Gerät; er wird nicht abgeglichen und ist nicht in Sicherungsdateien enthalten.
Benachrichtigungen und Startbildschirm-Widgets zeigen Angaben wie den Namen des Kindes, den laufenden Schlaf, die letzte Mahlzeit oder die Zeit seit der letzten Gabe. Sie können für Personen sichtbar sein, die dein Gerät sehen, je nach Einstellungen deines Telefons auch auf dem Sperrbildschirm.
Den Bericht für die Praxis (PDF), das Tagesbild, den CSV-Export, Sicherungsdateien, die Datei „An Partner senden“, die Einladung als Datei und das Lausch-Journal erzeugt naido auf deinem Gerät. Sie verlassen es nur, wenn du sie selbst teilst oder speicherst. Empfänger sind dann die Personen, die du auswählst, und die Apps oder Dienste, über die du teilst oder speicherst (etwa Mail, Messenger oder Cloud-Speicher); für deren Verarbeitung gelten deren Datenschutzinformationen. Die Datei „An Partner senden“ und der CSV-Export sind nicht verschlüsselt und enthalten deine Einträge, die Einladung als Datei enthält den Sync-Code. Medizin, Temperatur und Notizen erscheinen im Tagesbild nur, wenn du sie ankreuzt.
Zum Teilen legt naido die Datei als temporäre Datei im Cache-Ordner der App ab. Den Bericht löscht naido beim Verlassen der Berichtsseite; die übrigen Dateien ersetzt naido beim nächsten Teilen derselben Art. Android kann den Cache-Ordner jederzeit leeren.
Für den Import-Assistenten prüft naido auf dem Gerät, ob bestimmte andere Baby-Apps installiert sind, und liest Exportdateien, die du auswählst. Das geschieht nur auf dem Gerät; das Ergebnis wird nicht übertragen. Bereitet naido auf Wunsch eine E-Mail an den Anbieter einer anderen App vor, sendet sie dein Mail-Programm erst, wenn du sie abschickst.
Zweck. Der Lauscher erkennt über das Mikrofon Geräusche, die auf Wachphasen deines Kindes hindeuten können, und macht daraus Vorschläge für Einträge. Er beendet keinen Schlaf von selbst, und jeder Vorschlag wartet auf deine Antwort.
Einschalten. Der Lauscher ist ausgeschaltet, bis du ihn unter Einstellungen → Lauscher selbst einschaltest. Neben dem Schalter beschreibt die App, was er tut. Beim ersten Einschalten fragt Android nach der Mikrofon-Berechtigung; erteilst du sie nicht, bleibt der Lauscher aus.
Wann er lauscht. Eingeschaltet nutzt naido das Mikrofon, solange ein eingetragener Nachtschlaf läuft, und, wenn du es auswählst, auch bei Tagesschläfen und im vorhergesagten Schlaffenster davor; auf Wunsch nur, solange das Ladekabel steckt. Eine dauerhafte Benachrichtigung zeigt an, wenn gelauscht wird.
Ton. Der Ton wird sekundenweise nur im Arbeitsspeicher deines Geräts ausgewertet, von einem in der App enthaltenen Geräuschmodell, und sofort verworfen. Er wird nie gespeichert, nie an uns oder Dritte gesendet und nie abgeglichen. Dabei können auch Geräusche und Stimmen anderer Personen im Raum erfasst werden; sie werden ebenso nur im Arbeitsspeicher ausgewertet. Die Testaufnahme unter „Lauscher prüfen“ läuft ebenso nur im Arbeitsspeicher.
Was gespeichert wird. In den Einstellungen der App auf deinem Gerät speichert naido:
Löschen. Abschnitte und Einschlaf-Ergebnisse, die älter als 21 Tage sind, und Journal-Einträge, die älter als 14 Tage sind, löscht naido bei jedem Start der App und wenn neue hinzukommen. Bis dahin kann ein Eintrag länger gespeichert bleiben, etwa wenn du naido längere Zeit nicht öffnest. Schaltest du den Lauscher aus, nutzt naido das Mikrofon nicht mehr und löscht die gespeicherten Abschnitte samt deinen Antworten, die Einschlaf-Ergebnisse, das Lausch-Journal und die Angaben zur letzten Sitzung. Entziehst du stattdessen nur die Mikrofon-Berechtigung in den Android-Einstellungen, kann naido nicht mehr lauschen; die gespeicherten Angaben bleiben dann bis zum Ablauf ihrer Frist oder bis du den Lauscher ausschaltest. Die gesicherten Schwellen (siehe unten) löschst du mit „Anpassung zurücksetzen“; sie und deine Lauscher-Einstellungen verschwinden außerdem, wenn du die App-Daten löschst oder naido deinstallierst. Eine bereits erstellte Android-Gerätesicherung ändert sich erst mit der nächsten Sicherung.
Schwellen. Aus deinen Antworten und den Wachphasen, die du selbst einträgst, stellt naido die Schwellen für dein Kind ein. Schaltest du den Lauscher aus, sichert naido vorher je Kind nur diese eingestellten Schwellen (vier Zahlenwerte, ohne Uhrzeiten und ohne Antworten) in den Einstellungen der App auf deinem Gerät, damit sie beim Wiedereinschalten nicht neu gelernt werden müssen; sie werden nicht abgeglichen und nicht in Sicherungsdateien aufgenommen. Mit „Anpassung zurücksetzen“ unter „Lauscher prüfen“ löscht naido diese Werte, vergisst deine bisherigen Antworten für dieses Kind, und selbst eingetragene Wachphasen zählen erst ab diesem Zeitpunkt.
Weitergabe. Diese Angaben werden nicht abgeglichen und sind nicht in Sicherungsdateien enthalten; die Android-Gerätesicherung kann sie Ende-zu-Ende-verschlüsselt mitnehmen (siehe „Sicherungsdateien und Gerätewechsel“). Das Lausch-Journal (nur Zeitpunkte) kannst du selbst teilen. Übernimmst du einen Vorschlag, entsteht ein gewöhnlicher Eintrag, der wie deine anderen Einträge behandelt wird.
Rechtsgrundlage. Verarbeitet wird ausschließlich auf deinem Gerät. Der Lauscher läuft nur mit deiner Einwilligung, die du durch das Einschalten erteilst (Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit widerrufen, indem du den Lauscher ausschaltest.
Wenn du naido zusätzlich auf einer Wear-OS-Uhr installierst, tauschen Telefon und Uhr Daten über die Google-Play-Dienste aus. Die Uhr-App selbst stellt keine Internetverbindung her.
Vom Telefon zur Uhr gehen: die Vornamen deiner Kinder (höchstens neun) mit einer zufälligen Kennung je Kind, der Beginn eines laufenden Schlafs bzw. das Ende des letzten, das nächste Schlaffenster und das erwartete Aufwachen, Zeit und Kurzform der letzten Mahlzeit, ein laufendes Stillen mit Seite sowie eine Bestätigung für jeden empfangenen Eintrag der Uhr (zufällige Kennungen). Von der Uhr zum Telefon gehen nur neue Einträge: die Art (Schlaf, Stillen-Seite, Flaschenmenge, Windel-Art), für welches Kind, der Zeitpunkt des Tipps und wie lange er auf der Uhr gewartet hat, dazu eine zufällige Kennung des Eintrags. Gesundheits-Einträge (z. B. Temperatur, Medikamente) gehen nicht an die Uhr und nicht von ihr aus.
Die Übertragung übernimmt Google über die Google-Play-Dienste auf Telefon und Uhr. In der Regel läuft sie direkt per Bluetooth. Ist Bluetooth nicht verfügbar, kann Google die Daten Ende-zu-Ende-verschlüsselt über eigene Server leiten. Einträge von der Uhr schickt naido nur an ein Telefon in der Nähe. Ist keines erreichbar, behält die Uhr den Eintrag (höchstens 50, höchstens 12 Stunden) und schickt ihn, sobald das Telefon wieder in der Nähe ist; einen Eintrag, der länger als 12 Stunden gewartet hat, trägt das Telefon nicht mehr ein. Den Status veröffentlicht naido nur, wenn die App auf einer gekoppelten Uhr installiert ist.
Velmun erhält und speichert dabei keine Daten. Auf der Uhr liegen nur der zuletzt empfangene Status und Einträge, die das Telefon noch nicht zeigt, bis du die Uhr-App deinstallierst. Die Android-Gerätesicherung ist für die Uhr-App ausgeschaltet.
Rechtsgrundlage. Die Uhr nutzt du als Teil von naido auf deinen eigenen Geräten; die Verarbeitung dient der Bereitstellung dieser Funktion (Art. 6 Abs. 1 lit. b DSGVO). Für die Google-Play-Dienste ist Google eigenständig verantwortlich: Google-Datenschutzerklärung.
Mit Premium tauschen gekoppelte Geräte im selben WLAN Daten direkt und verschlüsselt aus. Dabei gelangen keine Daten an unseren Relay. Andere Teilnehmer des lokalen Netzes können die Geräteankündigung und die zur Zuordnung verwendete Briefkasten-Adresse erkennen, aber die Einträge nicht entschlüsseln.
Außerdem kannst du mit Premium den Abgleich über unseren Relay einschalten. Er speichert deine Einträge als Ende-zu-Ende-verschlüsseltes Paket in einem „Briefkasten“. Nur deine gekoppelten Geräte können den Inhalt entschlüsseln. Wir verarbeiten dazu die Briefkasten-Adresse, einen Nachweis der Schreibberechtigung, Versions- und Zeitangaben, die Größe der verschlüsselten Pakete sowie gegebenenfalls den Premium-Nachweis. Solange der Abgleich auf einem Gerät läuft, hält es eine Verbindung zum Relay offen; darüber meldet der Relay nur, dass ein neuer Stand vorliegt, keine Inhalte. Über persönlich vergebene Freischaltcodes können wir einzelne Briefkästen Personen zuordnen; die Inhalte bleiben für uns unlesbar.
Nicht abgeglichen werden Fotos, die Daten des Lauschers, der Verlauf der Erinnerungen und deine Wahl zu Gesundheitsdaten, die je Gerät gilt. Für Gesundheits-Einträge gilt der Abschnitt „Gesundheitsdaten im Abgleich“.
Die Einträge können Gesundheitsdaten deines Kindes enthalten. Deshalb benötigen wir vor dem Abgleich über den Relay die ausdrückliche Einwilligung einer sorgeberechtigten Person für die im Dialog genannten Kinderprofile. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO. Bei zusätzlichen Kindern fragt die App erneut. Die Einwilligung gilt für den Abgleich über alle gekoppelten Geräte.
Du kannst sie in den Sync-Einstellungen widerrufen. Die App stoppt den Abgleich sofort; sobald der Widerruf den Relay erreicht, löscht dieser den Briefkasten und sperrt weitere Ablagen ohne neue Einwilligung. Bei fehlender Verbindung zeigt die App den ausstehenden Widerruf an. Alternativ kannst du uns per E-Mail mit Briefkasten-Adresse und dem in der App angezeigten Widerrufs-Code kontaktieren. Dein Premium-Abo wird dadurch nicht gekündigt; das erledigst du gesondert in Google Play.
Zur Bereitstellung des Dienstes verarbeiten wir die Verwaltungsangaben auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Die Einwilligung dokumentieren wir mit Briefkasten-Adresse, einem Hashwert des Schreibnachweises, Zeitpunkt und Textfassung, den Zeitpunkten der letzten Ablage beziehungsweise Löschung, gegebenenfalls dem Widerrufszeitpunkt und der Zahl der bisherigen Widerrufe.
Medizin, deine Medikamentenliste, Temperatur, Wachstum, Vorsorge-Untersuchungen, Impfungen und neue Zutaten der Beikost (Allergene) sind Gesundheitsdaten, ebenso Erinnerungen zu diesen Einträgen. Bevor die Android-App sie über den Relay abgleicht, fragt sie gesondert nach deiner ausdrücklichen Einwilligung, sobald der Abgleich über den Relay eingeschaltet ist und es solche Einträge gibt. Der Dialog nennt, welche Einträge gemeint sind, den Empfänger (unseren Relay bei Cloudflare), den Speicherort (EU), die Speicherdauer (bis 30 Tage nach der letzten Änderung), dass nur deine Geräte die Daten lesen können, und wo du die Wahl änderst.
Wählst du „Ich bin sorgeberechtigt und willige ein“, werden diese Einträge wie deine übrigen Einträge Ende-zu-Ende-verschlüsselt abgeglichen. Wählst du „Nur auf diesem Gerät“, sendet dieses Gerät sie gar nicht, auch nicht über WLAN und nicht in der Datei „An Partner senden“; in deinen eigenen Sicherungsdateien bleiben sie enthalten. Solange du nicht entschieden hast, gehen sie nicht über den Relay, wohl aber wie bisher über WLAN an deine gekoppelten Geräte.
Die Wahl gilt für das jeweilige Gerät und bestimmt, was dieses Gerät sendet; Gesundheits-Einträge, die ein anderes deiner Geräte mit Einwilligung abgleicht, kommen auch hier an. Dokumentiert werden Wahl, Zeitpunkt und Textfassung auf dem Gerät, nicht beim Relay. Du kannst die Wahl unter Einstellungen → Gesundheit jederzeit ändern. Schaltest du den Abgleich der Gesundheitsdaten aus, schreibt dieses Gerät beim nächsten Abgleich seinen Stand ohne Gesundheitsdaten in den Briefkasten. Gleicht ein anderes deiner Geräte oder die Web-App sie weiter ab, bleiben sie im Briefkasten; sicher entfernt werden sie mit dem Widerruf der Einwilligung in den Relay-Abgleich, der den Briefkasten löscht. Rechtsgrundlage ist deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO).
In der Web-App gibt es diese gesonderte Abfrage nicht. Einträge, die du dort anlegst, auch Medizin und Temperatur, legt die Web-App auf Grundlage deiner Einwilligung in den Relay-Abgleich im Briefkasten ab.
Der Briefkasten wird 30 Tage nach der letzten Ablage oder auf deinen Befehl gelöscht. Ohne Widerruf können weiterhin synchronisierende Geräte ihn erneut anlegen.
Nach einem Widerruf speichern wir beim Briefkasten einen Vermerk mit der laufenden Nummer des Widerrufs und dem Zeitpunkt, zu dem der widerrufene Einwilligungsnachweis angelegt wurde. Er sorgt dafür, dass eine vor dem Widerruf begonnene Übertragung den Briefkasten nicht neu anlegt, und dient ebenfalls dem Nachweis der Einwilligung. Der Vermerk bleibt auch nach Löschung des Briefkastens und wird drei Jahre nach dem letzten Widerruf gelöscht.
Nach dem Löschen oder Ablauf eines Briefkastens bewahren wir drei Jahre lang allein einen Hashwert seines Schreibnachweises auf, damit niemand anderes unter derselben Adresse einen neuen Briefkasten anlegen kann. Inhalte, Zeiten und Zähler behalten wir dabei nicht. Legen deine Geräte den Briefkasten wieder an, entfällt dieser Vermerk.
Den Einwilligungsnachweis speichern wir während der Nutzung und danach in der Regel drei Jahre ab Löschung des Briefkastens beziehungsweise ab Widerruf. Er dient dem Nachweis der Einwilligung und der Durchsetzung eines Widerrufs. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. c in Verbindung mit Art. 7 Abs. 1 sowie Art. 6 Abs. 1 lit. f DSGVO. Anträge auf frühere Löschung prüfen wir im Einzelfall unter Berücksichtigung der gesetzlichen Ausnahmen.
Bei der Anmeldung der Web-App per QR-Code speichern wir den Sync-Code nur verschlüsselt in einem Einmal-Briefkasten. Dieser wird beim Abruf, spätestens nach zehn Minuten, gelöscht.
Mit Premium kannst du für ein Kind eine Betreuungsperson, etwa Großeltern, Babysitter oder eine Kita, für bestimmte Zeiten einladen. Voraussetzung ist der Abgleich über den Relay für dieses Kind. Die Betreuung öffnet einen Link auf care.naido.app im Browser, ohne App und ohne Konto, und trägt in den freigegebenen Zeiten ein, was du freigibst: Schlaf, Fläschchen, Beikost oder Windel, kein Stillen.
Was beim Relay liegt. Je Freigabe legen deine Geräte beim Relay zwei Fächer an, gespeichert in der EU: eines von dir zur Betreuung und eines von der Betreuung zu dir, je höchstens 96 KiB und nur Ende-zu-Ende-verschlüsselt. Den Schlüssel erzeugt dein Gerät zufällig. Er steht im Link hinter dem #-Zeichen, das der Browser nicht an den Server sendet, und reist zu deinen anderen Geräten nur im verschlüsselten Abgleich; wir können die Inhalte nicht lesen. Außerdem speichert der Relay je Freigabe Hashwerte zweier Zugangsschlüssel (deiner Geräte und der Betreuung), den Zeitpunkt der Anlage, das Ende der Freigabe, das Ende der Premium-Berechtigung deiner Familie und den Zeitpunkt, zu dem ihr Nachweis ausgestellt wurde (ohne Briefkasten-Adresse), sowie je Fach eine Versionsnummer und den Zeitpunkt der letzten Ablage. Um zu prüfen, ob Premium noch gilt, liest der Relay bei Anfragen deiner Geräte den Premium-Stand deines Briefkastens; dazu verarbeitet er kurzzeitig dessen Adresse, speichert sie aber nicht bei der Freigabe. Solange die Seite der Betreuung oder eines deiner Geräte eine Freigabe geöffnet hat, hält der Relay eine Live-Verbindung offen. Darüber meldet er nur, dass sich ein Fach geändert hat (Versionsnummer), keine Inhalte. Es entstehen nur die Verbindungsdaten nach Abschnitt 5.
Was die Betreuung sieht. Nur in den freigegebenen Zeiten: Name und Alter des Kindes in Monaten, die Vorhersage der nächsten Schläfe mit üblichen Wachzeiten und Schlafdauern (Kennzahlen, kein Verlauf), ob ein von euch begonnener Schlaf läuft und wann das Aufwachen erwartet wird, eure Schlafzeiten des laufenden Tages und, wenn sie höchstens 24 Stunden zurückliegen, seit wann das Kind wach ist und die letzte Mahlzeit (Art, Uhrzeit und gegebenenfalls Menge, Seite, Inhalt der Flasche oder Lebensmittel) sowie ihre eigenen Einträge der letzten 7 Tage mit dem Hinweis, ob ihr sie übernommen, geändert oder nicht übernommen habt. Keine anderen Einträge, keine Notizen, keine Gesundheitsangaben von euch. Außerhalb der Zeiten sieht sie nur den Namen des Kindes, den Namen der Freigabe, was sie eintragen darf, und die Zeiten.
Was zu dir kommt. Die Einträge der Betreuung (Art, Zeiten, gegebenenfalls Menge; bei Windeln auch Menge, Konsistenz und Farbe des Stuhls, beim Fläschchen der Inhalt, bei Beikost Lebensmittel und Menge) holt eines deiner Geräte ab, prüft sie und übernimmt sie mit dem Namen der Freigabe in dein Protokoll. Danach werden sie wie deine übrigen Einträge behandelt.
Im Browser der Betreuung. Die Seite läuft unter eigener Adresse (care.naido.app) und teilt keinen Browser-Speicher mit der Web-App. Die Seite speichert den Schlüssel aus dem Link, den zuletzt abgerufenen Stand und die eigenen Einträge der letzten 14 Tage im Speicher des Browsers (localStorage) sowie Dateien für die Offline-Nutzung, ohne Cookies und ohne Konto. Das bleibt auch nach Ende der Freigabe, bis die Betreuung die Freigabe in der Seite entfernt oder die Website-Daten löscht. Für die Verbindungen gelten die Angaben in Abschnitt 5. Wer den Link hat, kann in den freigegebenen Zeiten eintragen; gib ihn nur der Betreuungsperson.
Ende und Widerruf. Jede Freigabe hat ein Ende; eine einmalige dauert höchstens 14 Tage, eine wöchentliche höchstens ein Jahr. Zum Ende löscht der Relay alles, was zur Freigabe gespeichert ist. Widerrufst du eine Freigabe in der App, löscht der Relay beide Fächer sofort und der Link funktioniert nicht mehr. Ein Vermerk (Hashwert deines Zugangsschlüssels, geplantes Ende, Zeitpunkt des Widerrufs) bleibt bis zum geplanten Ende, mindestens einen Tag, damit ein noch nicht abgeglichenes Gerät die Freigabe nicht neu anlegt. Ist der Relay beim Widerruf nicht erreichbar, wiederholt die App ihn. Löschst du das Kind, widerruft naido auch dessen Freigaben. Was die Betreuung schon gesehen oder in ihrem Browser gespeichert hat, kann niemand zurückholen; übernommene Einträge bleiben in deinem Protokoll. Ist Premium deiner Familie abgelaufen, nimmt der Relay keine neuen Inhalte für die Freigabe an, bis Premium wieder aktiv ist. Auf deinen Geräten verschwinden beendete oder widerrufene Freigaben 90 Tage später aus der Liste. Die Prüfung der Premium-Berechtigung dient der Erfüllung des Abos (Art. 6 Abs. 1 lit. b DSGVO) und der Verhinderung von Missbrauch (Art. 6 Abs. 1 lit. f DSGVO).
Empfänger und Rechtsgrundlage. Empfänger sind die Betreuungsperson, der du den Link gibst, und unser Relay bei Cloudflare als Auftragsverarbeiter. Rechtsgrundlage für die Weitergabe an die von dir gewählte Betreuung ist deine Einwilligung, die du mit dem Anlegen und Teilen der Freigabe erteilst (Art. 6 Abs. 1 lit. a und, soweit Gesundheitsdaten betroffen sind, Art. 9 Abs. 2 lit. a DSGVO); du widerrufst sie, indem du die Freigabe widerrufst. Die Verbindungsdaten der Betreuungsperson verarbeiten wir zur Bereitstellung der Seite nach Art. 6 Abs. 1 lit. f DSGVO.
Premium wird über ein Google-Play-Abo oder einen Freischaltcode aktiviert. Bei einem Abo erhält unser Relay den Kaufbeleg und die Briefkasten-Adresse und prüft den Abostatus bei Google. Wir speichern einen Hashwert des Kaufbelegs, die Zuordnung zum Briefkasten, Tarif, Berechtigungsende und letzten Prüfzeitpunkt. Karten- oder Kontonummern erhalten wir nicht.
Wird eine Berechtigung vorzeitig beendet oder verkürzt, etwa nach einer Erstattung, einer Kündigung oder wenn ein Kaufbeleg einer anderen Familie zugeordnet wird, speichern wir beim Briefkasten zusätzlich den Zeitpunkt, ab dem ausgestellte Nachweise noch gelten. So lässt sich ein älterer Nachweis nicht erneut verwenden. Dieser Vermerk bleibt auch nach Löschung des Briefkastens, bis die vorherige Berechtigung ohnehin geendet hätte, mindestens 24 Stunden und, wenn keine vorherige Berechtigung gespeichert war, 400 Tage. Eine bereits längere Frist eines früheren Vermerks bleibt bestehen. Wechselt ein Kaufbeleg zu einem anderen Briefkasten, merkt sich der bisherige Briefkasten bis zum von Google gemeldeten Laufzeitende, mindestens 24 Stunden und höchstens 400 Tage, eine Zuordnungsnummer zusammen mit einer Kurzkennung des Kaufbelegs (einem Teil seines Hashwerts), damit ein Abo nur für einen Briefkasten gilt und ein anderer Kauf derselben Familie gültig bleibt.
Google informiert uns über Aboänderungen über Google Cloud Pub/Sub. Die Nachrichten enthalten Kauf- und Ereigniskennungen, bei bestimmten Erstattungen auch eine Bestellnummer. Sie bleiben bis zu sieben Tage, bei Zustellproblemen gegebenenfalls weitere sieben Tage in einer Fehlerwarteschlange gespeichert. Zur Vermeidung doppelter Verarbeitung speichern wir Nachrichtenkennungen sieben Tage.
Bei Freischaltcodes speichern wir Codekennung, Briefkasten-Adresse, Einlösezeitpunkt und Berechtigungsende. Persönlich vergebene Codes dokumentieren wir zusätzlich mit Empfänger und Vergabedatum. Die daraus entstehende Berechtigung wird als signierter Nachweis auf deinen Geräten und beim Relay gespeichert. Wer die Briefkasten-Adresse kennt, kann dort Tarif und Gültigkeitsangaben abrufen.
Gegen massenhaftes Ausprobieren zählt der Relay Einlöseversuche für Codes und Prüfungen von Kaufbelegen je Absender, solange sie laufen und, wenn sie fehlschlagen, eine Minute lang. Dazu bildet er aus der IP-Adresse (bei IPv6 aus dem Netzbereich des Anschlusses) mit einem geheimen Schlüssel einen Hashwert. Die Zähler liegen nur im flüchtigen Arbeitsspeicher, werden nicht dauerhaft gespeichert und kurz nach Ablauf der Minute verworfen.
Rechtsgrundlage für diese Vermerke und Zähler sowie für die Vermerke nach Abschnitt 3: Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist, den Widerruf einer Einwilligung durchzusetzen, den Briefkasten einer Familie vor Übernahme durch Dritte zu bewahren, Premium nur im bezahlten Umfang zu gewähren und das Erraten von Codes zu verhindern. Für den Widerrufsvermerk zusätzlich Art. 6 Abs. 1 lit. c in Verbindung mit Art. 7 Abs. 1 DSGVO (Nachweis), wie beim Einwilligungsnachweis.
Kauf- und Codezuordnungen löschen wir 90 Tage nach Berechtigungsende. Dann entfernen wir auch den Empfänger aus der Vergabeliste; bei nicht eingelösten Codes nach zwölf Monaten. Die Kennung eingelöster Codes bleibt zur Verhinderung erneuter Einlösung erhalten.
In der Play Console können wir Bestelldaten einschließlich Preis, Steuern und regionaler Käuferangaben einsehen und Bestellungen anhand der Konto-E-Mail-Adresse suchen. Wir nutzen diese Informationen für Support, Erstattungen und Buchhaltung, ohne sie mit dem Briefkasten zu verknüpfen. Für die Verfügbarkeit in der Play Console gelten Googles Fristen; heruntergeladene Buchhaltungsunterlagen bewahren wir entsprechend steuerrechtlicher Pflichten auf.
Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO für die Vertragserfüllung, lit. c für steuerrechtliche Pflichten und lit. f für die Verhinderung von Missbrauch und Doppelvergaben.
Unsere Website, die Web-App und die Seite für Betreuungspersonen werden über Cloudflare bereitgestellt. Bei Aufrufen und Relay-Verbindungen verarbeitet Cloudflare technische Angaben wie IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browserkennung, Statuscode und gegebenenfalls Referrer. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist die sichere und zuverlässige Bereitstellung.
Eigene Anwendungsprotokolle sind ausgeschaltet. Sicherheitsereignisse speichert Cloudflare in unserem Tarif bis zu 24 Stunden. Daneben entstehen zusammengefasste Statistiken und Infrastruktur- beziehungsweise Abrechnungsdaten, darunter Briefkastenkennungen. Für diese übrigen Verbindungs- und Infrastrukturdaten richtet sich die Speicherdauer nach den Vorgaben von Cloudflare; eine feste Frist nennt Cloudflare dafür nicht.
Cloudflare verarbeitet Daten in unserem Auftrag und bestimmte Verbindungsdaten eigenverantwortlich zur Netzsicherheit. Für Letztere beschreibt Cloudflare eine zweck- und pflichtenabhängige Aufbewahrung: Cloudflare-Datenschutzerklärung.
Die Website enthält keine Analysewerkzeuge oder externen Einbettungen. Bei Sicherheitsprüfungen kann Cloudflare ein Skript ausführen und das technisch notwendige Cookie cf_clearance mit einer eingestellten Laufzeit von 30 Minuten setzen. Das ist für die sichere Bereitstellung unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).
Die Web-App speichert im Browser Sync-Code, entschlüsselte Einträge, ausstehende Änderungen, Premium-Nachweis, Versionsstand, Gerätekennung, das ausgewählte Kinderprofil, Anzeige- und Spracheinstellungen, den Stand deiner Einwilligung und Zeitpunkt und Ergebnis des letzten Abgleichs sowie App-Dateien für die Offline-Nutzung. Was die Seite für Betreuungspersonen im Browser speichert, steht in Abschnitt 3 unter „Betreuung teilen“. Diese Speicherung ist für die gewünschte Funktion erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Die Daten bleiben bis zum Löschen der Website-Daten bestehen; der Browser kann sie früher entfernen. Auf geteilten Geräten können andere Personen mit Browserzugriff darauf zugreifen. Das Löschen im Browser entfernt keine Kopien im Briefkasten oder auf anderen Geräten.
| Anbieter | Aufgabe und Rolle | Verarbeitung außerhalb der EU |
|---|---|---|
| Cloudflare, Inc. | Hosting und Relay (Briefkästen, Betreuung teilen) als Auftragsverarbeiter; eigene Verantwortung für bestimmte Sicherheitsverarbeitungen | Briefkästen, Freigaben für Betreuungspersonen und Einwilligungsnachweise in der EU; Infrastruktur- und Verbindungsdaten auch außerhalb, insbesondere USA |
| Google Cloud | Pub/Sub als Auftragsverarbeiter | Weltweite Verarbeitung, auch USA |
| Play, Kaufprüfung und Android-Sicherung in eigener Verantwortung | Auch USA | |
| IT-Dienstleister für den Mailbetrieb | Mailserver als Auftragsverarbeiter | Server in Deutschland |
Für erfasste Übermittlungen an die zertifizierten US-Unternehmen Cloudflare und Google LLC wird das EU-US Data Privacy Framework genutzt (Art. 45 DSGVO). Für Cloudflare und Google Cloud bestehen zusätzlich beziehungsweise hilfsweise Standardvertragsklauseln (Art. 46 DSGVO).
Bei Nachrichten an info@velmun.com, info@naido.app oder info@alama.school verarbeiten wir Absenderadresse, gegebenenfalls Namen, Betreff, Inhalt und Zeitpunkt zur Bearbeitung. Die Postfächer liegen auf einem Mailserver in Deutschland, den ein IT-Dienstleister in unserem Auftrag betreibt. E-Mails sind nicht Ende-zu-Ende verschlüsselt. Technische Protokolle des Mailservers (Zustellung, Spamprüfung) werden automatisch gelöscht, sobald sie für den sicheren Betrieb nicht mehr benötigt werden.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei Vertragsanfragen, lit. f bei sonstigen Anfragen und lit. c in Verbindung mit Art. 12 bis 22 bei Betroffenenanfragen. Unser berechtigtes Interesse ist die Bearbeitung deiner Anliegen.
Korrespondenz löschen wir nach Erledigung, spätestens zwölf Monate nach dem letzten Kontakt. Betroffenenanfragen und Antworten bewahren wir zum Nachweis drei Jahre nach Ende des Erledigungsjahres auf. Gesetzliche Aufbewahrungspflichten bleiben unberührt.
naido richtet sich an Eltern und Betreuungspersonen. Teile Sync-Code, Einladungen, unverschlüsselte Sicherungsdateien und Exporte nur mit berechtigten Personen und den Link einer Freigabe nur mit der Betreuungsperson; gekoppelte Geräte haben Zugriff auf die Einträge.
Die vorbereitete Datenspende ist deaktiviert. Es werden keine Spenden übertragen oder beim Relay gespeichert. Eine gegebenenfalls aus Tests vorhandene Spenderkennung wird wie die übrigen Einträge gespeichert, gesichert und verschlüsselt synchronisiert. Vor einer Aktivierung informieren wir gesondert und holen die erforderliche ausdrückliche Einwilligung ein.
Du hast nach den gesetzlichen Voraussetzungen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit sowie auf Widerruf einer Einwilligung. Der Widerruf berührt nicht die Rechtmäßigkeit der bisherigen Verarbeitung.
Bei einer Verarbeitung auf Grundlage berechtigter Interessen kannst du aus Gründen deiner besonderen Situation widersprechen.
Schreibe an info@velmun.com. Zur Zuordnung können wir etwa deine Briefkasten-Adresse oder einen Freischaltcode benötigen. Bei begründeten Zweifeln prüfen wir deine Berechtigung; deinen Sync-Code verlangen wir nicht. Daten, die nur auf deinem Gerät liegen, haben wir nicht; du kannst sie in der App einsehen, exportieren und löschen.
Die Bereitstellung ist freiwillig. Ohne technisch notwendige Verbindungsdaten können wir die Online-Dienste nicht bereitstellen, ohne Kaufnachweis oder Code kein Premium und ohne Einwilligung keinen Relay-Abgleich und kein Teilen mit einer Betreuung. Die lokale Android-Nutzung bleibt möglich, mit Premium auch der WLAN-Abgleich.
Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere beim LfDI Baden-Württemberg, Heilbronner Straße 35, 70191 Stuttgart, Kontakt und Beschwerden.
Bei geänderten Verarbeitungen aktualisieren wir diese Erklärung, bevor eine App-Fassung mit der geänderten Verarbeitung verteilt wird, auch für Testfassungen mit echten Daten, und informieren, soweit erforderlich, vorab in der App. Erforderliche Einwilligungen holen wir vor Beginn der Verarbeitung ein.