familluZur StartseitefamilluZur StartseiteStand: 15. Oktober 2026
Diese Erklärung beschreibt die Datenverarbeitung der Famillu-Webanwendung und der nativen Android-App. Einzelne Angaben zu Dienstleistern, Verträgen, Serverstandorten, Drittlandtransfers und Einwilligungsnachweisen werden derzeit noch geprüft. Bis zur Klärung werden keine unbestätigten Angaben gemacht.
Verantwortlicher: Rene Schreich, Sophie-Scholl-Straße 42, 04316 Leipzig; siehe Impressum. Datenschutzanfragen sind über support@famillu.de oder das Kontaktformular möglich. Ob ein Datenschutzbeauftragter zu benennen ist und gegebenenfalls seine Kontaktdaten: NOCH ZU KLÄREN.
Die Webanwendung und ihre SQLite-Datenbank laufen auf dem vom Betreiber bereitgestellten Server. Hosting-Anbieter: STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin. Eine Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO (Version 3.6) wurde am 10. August 2026 abgeschlossen. Die Vereinbarung gilt für die Verarbeitung im Rahmen der unter der Kundennummer geschlossenen Verträge. Der konkrete Rechenzentrumsstandort ist damit noch nicht nachgewiesen. Der technische Servername allein bezeichnet keinen bestätigten Vertragspartner.
Beim Aufruf verarbeitet der Webserver IP-Adresse, Abrufzeit, angeforderte Adresse, HTTP-Status und Browserinformationen zur Bereitstellung und Fehlerabwehr. Zweckbezogen kommen Art. 6 Abs. 1 lit. b bzw. f DSGVO in Betracht; das berechtigte Interesse ist der sichere Betrieb. Die geprüfte Serverkonfiguration rotiert Weblogs wöchentlich und behält vier Archive. Das entspricht ungefähr vier bis fünf Wochen und ist keine tagegenaue garantierte Löschfrist. Infrastruktur-Backups und mögliche abweichende Fehlerprotokolle sind vom Betreiber noch zu bestätigen.
| Bereich | Daten und Zweck | Vorgesehene Rechtsgrundlage |
|---|---|---|
| Konto und Anmeldung | E-Mail, Mitgliedsname, Familienzuordnung, Rolle, Passworthash mit Salt, Anmeldezeit, Session-/CSRF-Token, Bestätigungs- und Wiederherstellungstokens. Anmeldung, Zugangskontrolle und Kontosicherheit. | Art. 6 Abs. 1 lit. b DSGVO; notwendige Sicherheitsprotokolle lit. f. |
| Familienorganisation | Mitglieder, Einladungen, Avatare, Kalender und Teilnehmer, Aufgaben, Routinen, Geburtstage, Essensplan, Rezepte, Vorräte und Einkäufe sowie Familiennachrichten mit Nachrichtentext, Autor und Zeitpunkt. Gemeinsame Organisation im berechtigten Familienbereich. | Art. 6 Abs. 1 lit. b; bei Daten anderer Personen müssen Eingabeberechtigung und Rechtsgrundlage geklärt sein. |
| Schule und Dokumente | Zuordnung zum Kind, Schule/Klasse, Fächer, Stundenplan, Hausaufgaben, Schultermine und hochgeladene Dokumente. Schulorganisation und berechtigter Zugriff. | Art. 6 Abs. 1 lit. b bzw. a, abhängig von der betroffenen Person und ihrer wirksamen Freigabe. |
| Finanzen und Einkauf | Einnahmen, Ausgaben, Budgets, Fixkosten, Kredite, Sparziele, manuell importierte Bankumsätze, Einkaufshistorie und Belege. Privates Haushaltsbuch und Planung. | Art. 6 Abs. 1 lit. b. Keine Zahlungsauslösung durch Famillu. |
| Standort und Sicherheit | Freiwillig freigegebene Koordinaten, Genauigkeit, Messzeit, gegebenenfalls Akku-/Gerätestatus, Empfänger, Orte, Ankunftserwartungen, Wege, Abholwünsche, SOS und Freigabeprotokolle. | Freiwillige Standortverarbeitung: Art. 6 Abs. 1 lit. a. Angeforderte Sicherheitsfunktionen: lit. b; Missbrauchsabwehr/Protokollierung lit. f. Keine pauschale Berufung auf lebenswichtige Interessen. |
| Notfallkarten und Gesundheitsdaten | Bewusst hinterlegte medizinische Angaben, Notfallkontakte und Abholberechtigungen. Diese Angaben sind besonders sensibel. | Gesundheitsangaben nur auf Grundlage ausdrücklicher wirksamer Einwilligung, Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO; keine Pflicht zur Eingabe. |
| Support | Kontakt-E-Mail, Anliegen, Ticketverlauf und Antworten. Bearbeitung angeforderter Hilfe und Datenschutzanfragen. | Art. 6 Abs. 1 lit. b bzw. f; gesetzliche Betroffenenanfragen gegebenenfalls lit. c. |
Passwörter werden nicht im Klartext gespeichert. TOTP-Geheimnisse, Notfallkarten, Schuldateien sowie die Dateiinhalte hochgeladener Kreditdokumente und Kassenbons werden serverseitig mit AES-256-GCM verschlüsselt; Wiederherstellungscodes werden gehasht. Die Verschlüsselung ist keine Ende-zu-Ende-Verschlüsselung. Dateinamen, Dateitypen, Zuordnungen und eingegebene strukturierte Finanzdaten bleiben für die berechtigte Verarbeitung in der Datenbank lesbar.
Famillu enthält Kinderprofile, schulische Angaben und optional Sicherheitsdaten. Familienrollen begrenzen Zugriffe; ein Kind erhält keinen allgemeinen Zugriff auf Finanzdaten und keine automatische Standortleseberechtigung. Ein Familien-Owner ist nicht allein durch seine technische Rolle nachweislich sorgeberechtigt. Namen, Rollen und Einladungen sind kein rechtlicher Nachweis einer elterlichen Einwilligung.
Soweit ein direkt angebotenes Onlinedienst-Angebot gegenüber Kindern auf Einwilligung beruht, verlangt Art. 8 DSGVO in Deutschland bei unter 16-Jährigen die wirksame Zustimmung der Träger elterlicher Verantwortung. Der technische Nachweis dieser Zustimmung sowie altersgerechte Hinweise sind NOCH ZU KLÄREN. Gesundheits- und Standortangaben dürfen nur durch berechtigte Personen und auf tragfähiger Grundlage eingegeben werden. Eine Ablehnung optionaler Standort-/Gesundheitsangaben verhindert die übrige Organisation nicht.
Eine Standortfreigabe beginnt bewusst, gilt für ausgewählte berechtigte Empfänger und kann pausiert oder beendet werden. Ohne aktive Berechtigung liefert die Anwendung keine geschützten Koordinaten aus. Sie hält grundsätzlich die letzte Position statt einer vollständigen Bewegungsroute vor. Wege und erwartete Ankünfte können auch ohne Standortfreigabe eine sachliche Überfälligkeitswarnung auslösen.
Eltern-/Erwachsenenrollen erhalten kritische Ankunfts- und Wegwarnungen. Bisher berechtigte Empfänger werden über das Beenden oder Einschränken einer Freigabe informiert, ohne Koordinaten mitzuteilen. Kritische Sicherheitswarnungen lassen sich nicht über gewöhnliche Mitteilungseinstellungen abschalten. Du kannst zugrunde liegende freiwillige Freigaben oder Erwartungen beenden. Hinweise beweisen weder eine Gefahr noch einen Gerätestandort und ersetzen keinen Notruf. Weitere Einzelheiten: Sicherheitsfunktionen.
Innerhalb einer Familie erhalten nur die für die jeweilige Funktion berechtigten Mitglieder Zugriff. Der konfigurierte globale Administrator erhält einen gesondert geschützten, protokollierten Verwaltungszugang für Betrieb und Support. Technische Administratoren können für Wartung Zugriff haben; das Berechtigungs- und Vertragskonzept ist vom Betreiber zu bestätigen.
photon.komoot.io weitergereicht. Suchtext und optional bewusst freigegebene Suchposition werden verarbeitet; keine Familienkonto-ID ist für die Suche erforderlich.PDF-Textverarbeitung und Foto-OCR laufen auf dem eigenen Server. Dokumente werden dafür nicht an einen externen KI-Dienst geschickt. Der PDF-Worker hat Größen-, Zeit-, Parallelitäts-, Speicher- und CPU-Grenzen. Externe Dienste können unter eigenen Bedingungen verarbeiten; eine belastbare Angabe zu Drittlandübermittlungen und Garantien nach Art. 44 ff. DSGVO erfordert die noch fehlenden Vertragsinformationen.
Das notwendige Anmeldecookie family_session ist HttpOnly, Secure und SameSite=Lax. Sitzungen werden bei Aktivität verlängert, laufen regelmäßig nach 30 Tagen Inaktivität aus und haben eine maximale Laufzeit von 180 Tagen. Abmeldung, E-Mail-Wechsel, Passwort-Reset und Sicherheitsänderungen können Sitzungen früher widerrufen.
Lokaler Speicher hält Darstellungs-, Navigations- und bewusst gewählte Kartenpräferenzen sowie gegebenenfalls eine ausstehende Beendigung der Standortfreigabe. Ein Service Worker speichert die öffentlich ausgelieferten Programmdateien für die Weboberfläche. Zugangsgeschützte API-Antworten werden nicht im öffentlichen Shell-Cache abgelegt. Notwendige Endgerätezugriffe werden nach § 25 Abs. 2 TDDDG eingeordnet; optionale Zugriffe bedürfen gegebenenfalls vorheriger Zustimmung. Es wurden keine Werbe- oder Analyse-Tracker in der Weboberfläche festgestellt.
Die native Android-App speichert ihre Sitzung und technische Freigabe-/Quittierungsdaten verschlüsselt mit AES-GCM und einem Schlüssel im Android Keystore. Das Passwort wird nicht lokal gespeichert. Android-Backups dieser Sitzungsdaten sind deaktiviert. Benachrichtigungs- und Standortberechtigungen werden über Android erteilt; laufende Standortfreigaben verwenden einen Vordergrunddienst mit Systembenachrichtigung.
„Mein Konto“ bietet Datenexport, Verlaufsfristen und kontrollierte Löschung. Eine Kontolöschung entfernt eigenes Profil, Anmeldung und Gerätezugänge; gemeinsame Familieninhalte können ohne persönliche Zuordnung erhalten bleiben. Der alleinige angemeldete Owner kann zusätzlich nach Passwort- und gesonderter Textbestätigung die gesamte Familie mit ihren Konten und Daten löschen. Andere Familien sind nicht betroffen. Benötigte Daten sind vor Löschung zu exportieren.
Famillu ist ein privates Planungswerkzeug; aus der Speicherung privater Finanzdaten wird keine pauschale gesetzliche Aufbewahrungspflicht des Betreibers abgeleitet. Falls eine konkrete Pflicht oder notwendige Rechtsverteidigung besteht, sind Umfang, Rechtsgrundlage und Frist gesondert festzulegen und Betroffene darüber zu informieren. Backups können Daten bis zum Ende ihrer eigenen Frist enthalten. Backup-Laufzeiten, Offsite-Sicherung und der Umgang mit Löschungen nach Wiederherstellung: NOCH ZU BESTÄTIGEN. Historische Backups werden nicht ungeprüft gelöscht.
HTTPS, sichere Sessioncookies, CSRF-/Origin-Prüfungen, Rechteprüfung und Familienisolation schützen Zugriffe. Passwörter werden mit scrypt gehasht. TOTP-Geheimnisse werden mit AES-256-GCM und getrenntem Schlüssel gespeichert; Wiederherstellungscodes sind gehasht und einmalig. Globale Administrationszugriffe verlangen aktivierte 2FA und eine mit zweitem Faktor bestätigte Sitzung; Familien-Owner können den Schutz aktivieren. Rate-Limits, ablaufende Challenges und transaktionale Tokenverwendung begrenzen Angriffe. Passwort-Reset umgeht aktivierte 2FA nicht.
E-Mail-Wechsel verlangen Passwort, bei aktivierter 2FA einen weiteren Code und Bestätigung der neuen Adresse. Die bisherige Adresse erhält Sicherheitsinformationen. Nach Erfolg werden alte Sessions, Challenges und Gerätezugänge widerrufen; eine neue Anmeldung ist erforderlich. Famillu garantiert keine störungsfreie Pushzustellung oder absolute Sicherheit.
Du kannst Auskunft, Berichtigung, Löschung, Einschränkung und – bei Vorliegen der Voraussetzungen – Datenübertragbarkeit verlangen. Eine Einwilligung kannst du für die Zukunft widerrufen. Bei Verarbeitung aufgrund berechtigter Interessen besteht unter den gesetzlichen Voraussetzungen ein Widerspruchsrecht. Anfragen: support@famillu.de. Für die Antwort kann eine angemessene Identitätsprüfung erforderlich sein; unnötige Identitätsdokumente sollen nicht eingesandt werden.
Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren. Bei einem Sitz des Verantwortlichen in Leipzig ist regelmäßig die Sächsische Datenschutz- und Transparenzbeauftragte zuständig. Gesetzliche Betroffenenanfragen werden grundsätzlich innerhalb eines Monats beantwortet; mögliche Verlängerungen sind zu begründen. Aus den geprüften Funktionen ergibt sich keine automatisierte Entscheidung mit rechtlicher oder vergleichbar erheblicher Wirkung und kein Werbeprofiling.
E-Mail, Passwort und Familienzuordnung sind für ein Login erforderlich. Viele Profil-, Finanz-, Schul-, Standort- und Gesundheitsangaben sind freiwillig. Daten stammen aus eigener Eingabe, berechtigten Eingaben von Familienmitgliedern, bewusstem Import und – bei aktivierter Freigabe – Gerätemeldungen. Angaben über andere Personen sollen diesen zugänglich gemacht und nur berechtigt erfasst werden. Bei geänderter Technik wird dieser Text aktualisiert. Die offenen Betreiber-/Vertragsangaben sind vor einer Behauptung vollständiger rechtlicher Fertigstellung zu ergänzen.
Rechtsquellen: DSGVO/BDSG bei der BfDI, § 25 TDDDG, Betroffenenrechte der Europäischen Kommission.
Die optional aktivierte Sturzerkennung verarbeitet Bewegungsmessungen auf dem Gerät. Nach einem möglichen Sturz und ohne Abbruch des 30-Sekunden-Countdowns wird ein Sturz-SOS an die berechtigte Familie übermittelt. Standortdaten stammen dafür ausschließlich aus einer bestehenden aktiven Freigabe. Die Überwachung lässt sich in der App ausschalten.
Der Online-Status bezeichnet aktive App-Nutzung; Hintergrunddienste gelten nicht als online. Bei eingeschalteter Freigabe können Familienmitglieder Status und Verlauf der letzten sieben Tage sehen. Die Online-Freigabe ist für alle Konten einschließlich Kinderkonten standardmäßig aus. Sie beginnt erst nach ausdrücklichem Einschalten in den App-Einstellungen. Ausschalten entfernt den gespeicherten Online-Verlauf. Bisherige automatische Freigaben wurden bei der Umstellung zurückgesetzt; eine erneute bewusste Aktivierung ist erforderlich.
Android-Widgets zeigen auf Wunsch Familieninhalte auf dem Geräte-Startbildschirm. Inhalte können in der App verborgen werden und werden beim Abmelden entfernt. Zugang und Widget-Cache werden auf dem Gerät verschlüsselt gespeichert.
Das öffentliche Kontaktformular speichert Name, E-Mail-Adresse, Kategorie, Betreff, Nachricht und Bearbeitungsstatus zur Bearbeitung der Anfrage. Angaben werden nur dem berechtigten Administrator bereitgestellt. Eine endgültige Fristenregelung für Supportverläufe ist wie oben angegeben noch zu bestätigen. Bitte keine Passwörter oder unnötigen sensiblen Familiendaten eingeben.
Die native Android-Familienkarte verwendet MapLibre. Kartenkacheln von OpenStreetMap werden vom Famillu-Server abgerufen und für sieben Tage zwischengespeichert; der Cache ist auf 256 MiB und 10.000 Dateien begrenzt. Neue Abrufe sind zusätzlich pro Konto und serverweit begrenzt; bei ausgeschöpften Grenzen kann die Karte zeitweise eingeschränkt sein. Es gibt keine Funktion zum massenhaften Vorabladen oder Offline-Herunterladen von Karten. Der Kartenanbieter erhält die Server-IP und die angefragten Kacheln, keine Famillukontonamen. Für ungefähre Adressen kann der Server freigegebene Koordinaten an Photon (Komoot, OpenStreetMap-Daten) übermitteln. Namen und Profilbilder werden dafür nicht übermittelt. Adresszuordnungen werden bis zu sieben Tage familienbezogen zwischengespeichert. Freigaben lassen sich jederzeit beenden; Standortberechtigungen werden weiterhin auf dem Server geprüft. OpenStreetMap-Datenschutz
Originalbelege und Kreditdokumente sind nur für berechtigte Finanzmitglieder der jeweiligen Familie erreichbar. Die Texterkennung von Kassenzetteln findet auf dem Famillu-Server statt. Erkannte Daten werden erst nach manueller Bestätigung gespeichert. Der Online-Verlauf erscheint nicht mehr im nativen Mitgliedsprofil. Für aktive Hintergrundortung bleibt die von Android vorgeschriebene Systembenachrichtigung erhalten.
Zum Schutz vor Angriffen verarbeitet Famillu die Quell-IP, Datum und Uhrzeit, HTTP-Methode, den angefragten Pfad ohne Abfrageparameter, den technischen Erkennungsgrund und die Abweisung einer Anfrage. Passwörter, Nachrichten, Haushaltsdaten und Standortinhalte werden dafür nicht protokolliert. Sicherheitsereignisse und zugehörige technische Logdateien werden nach spätestens 14 Tagen gelöscht. IP-Adressen erfolgreicher Anmeldungen werden 30 Tage für einen möglichen technischen Abgleich aufbewahrt; Sicherheitsvorfälle und ihre Bewertung höchstens 90 Tage.
Der Zugriff ist auf die ausdrücklich freigeschaltete Administration mit Zwei-Faktor-Anmeldung beschränkt und wird protokolliert. Eine gemeinsame IP ist kein Nachweis einer verantwortlichen Person: Familien, Mobilfunknetze und VPNs können dieselbe Adresse nutzen. Wiederholte Angriffssignale können eine vorübergehende IP-Sperre auslösen.