Datenschutzerklärung

Diese Datenschutzerklärung beschreibt, wie Calmika — betrieben von Dávid Kovács, Einzelunternehmer (Ungarn) — personenbezogene Daten auf der Website calmika.com und in der mobilen Calmika-App verarbeitet.

Daten werden nur verarbeitet, um App und Website zu betreiben, Abonnements zu verwalten, Support zu leisten, Sicherheit zu gewährleisten und von Eltern gesondert genehmigte therapeutische/institutionelle Verbindungen zu ermöglichen. Wir verkaufen keine Daten und nutzen keine zielgerichteten Werbesysteme.

Wir sammeln minimale Daten. Konkret:

• E-Mail-Adresse — nur wenn du sie selbst angibst (z. B. Beta-Anmeldung, Kontaktformular)
• Technische Geräte- und Website-Nutzungsdaten — für Sicherheit, Fehlerdiagnose, den notwendigen Betrieb und, nach Zustimmung, aggregierte Google-Analytics-Webanalyse.

Wir verkaufen keine Daten, erstellen keine Werbeprofile für Kinder und verwenden in der Kinderoberfläche keine verhaltensbasierte Werbung oder Drittanbieter-Tracking.

Kindprofile, Präferenzen und App-Nutzungsdaten funktionieren primär lokal auf dem Gerät. Eine therapeutische/institutionelle Verbindung gewährt keinen automatischen Zugriff auf Rohdaten.

Bei genehmigter Verbindung sieht die Fachperson nur DSGVO-sichere, aggregierte und zweckgebundene Zusammenfassungen, z. B. Altersgruppe, Kinder-Spitzname oder von Eltern genehmigte Bezeichnung, Modulnutzungs-Summen und Entwicklungs-Trends. Sie sieht keine Rohereignislogs, Zahlungsdaten, Eltern-Kontaktdaten oder Gesundheitsdiagnosen.

Die Website nutzt zwei Kategorien: notwendige Technologien und optionale Analytik.

• Notwendiger Betrieb — Spracheinstellung, Speichern deiner Cookie-/Analytik-Entscheidung, Sicherheit und technischer Betrieb.
• Optionales Google Analytics — wird nur geladen, wenn du Analytik akzeptierst; mit IP-Anonymisierung für aggregierte Besuchsmessung.
• Keine Werbe- oder Remarketing-Cookies, keine Meta/TikTok/Google-Ads-Pixel und kein Profiling von Kindern.

Wir können folgende Anbieter einsetzen, um App, Website, Abos, E-Mail-Versand und Therapeut:innen-Dashboard zu betreiben:

• Vercel — Website-Hosting, Performance- und Sicherheitslogs.
• RevenueCat und Google Play Billing — Abo- und Kaufverwaltung; Kartendaten verarbeiten wir nicht selbst.
• Supabase — Anmeldung, Therapeut:innen-Dashboard, Einladungscodes, elterliche Zustimmung, Audit-Logs und aggregierte professionelle Zusammenfassungen.
• Resend — transaktionale E-Mails, z. B. Therapeut:innen-Einladungscodes und Systemnachrichten.
• Google Analytics — optionale, zustimmungsbasierte aggregierte Webanalyse; wir nutzen sie nicht für Werbezielgruppen oder Kinderprofiling.

Diese Anbieter handeln nur in der erforderlichen technischen Rolle bzw. als Auftragsverarbeiter und dürfen Daten nicht für eigene Werbezwecke nutzen.

Ein therapeutischer oder institutioneller Einladungscode kann nur über den Zustimmungsprozess in der Elternzone eingelöst werden. Eltern sehen eine Vorschau der Fachperson/Institution, die Zugriffsdauer und die Datenkategorien, die geteilt werden können.

Die Verbindung wird erst nach ausdrücklicher Zustimmung aktiv. Wir speichern Version, Zeitpunkt, Snapshot des angezeigten Zustimmungstextes und den Freigabeumfang. Eltern können die Verbindung jederzeit in der App widerrufen; danach erhält die Fachperson keine weiteren Familienzusammenfassungen.

Zugriffe von Fachpersonen werden auditierbar protokolliert: Wir speichern, welche berechtigte Fachperson wann eine Familien-/Kind-Zusammenfassung geöffnet hat. Das Dashboard erhält keine Einladungscode-Hashes, Rohereignislogs, Zahlungsdaten oder Kontaktdaten der Eltern.

Wir bewahren Daten nur so lange auf, wie es für den jeweiligen Zweck notwendig ist oder aus rechtlichen/Sicherheitsgründen gerechtfertigt ist. Für therapeutische Funktionen gelten folgende Grundsätze:

• Aktive Therapeut-Familie-Verbindung: für die Dauer der Verbindung oder bis zum Widerruf durch die Eltern.
• Widerrufene Verbindung und Zugriffsaudit: bis zu 24 Monate für Streitfälle, Sicherheit und Compliance.
• Abgelaufene oder ungenutzte Einladungscode-Metadaten: bis zu 12 Monate zur Missbrauchsprävention und Sicherheit.
• Alte Klartext-Therapeutencodes sind nicht Teil des Produktionsprozesses; öffentlicher Zugriff ist deaktiviert und verbleibende Legacy-Daten wurden gelöscht.

Bei therapeutischer oder institutioneller Nutzung darf die Fachperson/Institution nur minimale, zweckgebundene Zusammenfassungen für Familien verwenden, die die Verbindung genehmigt haben. Die Daten dürfen nicht für Profiling, automatisierte Entscheidungen oder Weitergabe an Dritte ohne separate Elternzustimmung genutzt werden.

Für institutionelle/B2B-Nutzung regeln separate Auftragsverarbeitungsbedingungen (DPA) Rollen, Zugriffe, Vorfallmeldung, Löschung und Unterauftragsverarbeiter. Wichtige technische Unterauftragsverarbeiter können Supabase, Vercel, Resend, RevenueCat und Google Play sein.

Du kannst Zugriff, Berichtigung, Löschung, Einschränkung verlangen oder der Verarbeitung gespeicherter personenbezogener Daten widersprechen. Eine therapeutische Verbindung kannst du auch in der App widerrufen.

Für Datenschutzanfragen kontaktiere uns:

info@calmika.com

Bei Datenschutzfragen, Löschanfragen oder Elternrechten erreichst du uns unter:

info@calmika.com

Wenn wir diesen Hinweis wesentlich ändern, aktualisieren wir das Datum „Zuletzt aktualisiert“ und informieren, soweit angemessen, separat. Die Version des therapeutischen Freigabetextes wird im Moment der Zustimmung als Snapshot gespeichert.