Datenschutzerklärung

Stand: 20. Mai 2026

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer nationaler Datenschutzgesetze ist:

Kevin Luck · luckyCONCEPT
Odensehof 5
30457 Hannover
Deutschland

E-Mail: hello@luckyconcept.de

niduna ist eine Marke und ein Produkt von Kevin Luck / luckyCONCEPT. Für Datenschutzfragen rund um die niduna-App ist Kevin Luck verantwortlich.

Ein gesetzlich vorgeschriebener Datenschutzbeauftragter ist nicht erforderlich.

2. Allgemeines zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung unserer Webseite, der Anwendung „niduna" sowie unserer Inhalte und Leistungen erforderlich ist. Die Verarbeitung erfolgt regelmäßig nur nach Einwilligung der betroffenen Person oder auf einer anderen gesetzlichen Grundlage.

3. Erhobene Daten und Verarbeitungszwecke

3.1 Wartelisten-Formular

Wenn du dich auf unserer Warteliste einträgst, verarbeiten wir folgende Daten:

• Name (optional)
• E-Mail-Adresse (verpflichtend)
• Anzahl der Kinder (Auswahl)
• Freitext-Nachricht (optional)
• Zeitstempel der Eintragung

Zweck: Aufnahme in die Warteliste, einmalige Kontaktaufnahme, sobald ein Platz verfügbar ist.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

Speicherdauer: Wir speichern diese Daten bis zum Widerruf der Einwilligung oder spätestens 24 Monate nach Eintragung. Du kannst deine Einwilligung jederzeit formlos per E-Mail widerrufen.

3.2 Feedback-Formular

Wenn du uns über das Feedback-Formular im Eltern-Bereich oder über einen Link aus unseren E-Mails eine Rückmeldung schickst, verarbeiten wir:

• Art des Feedbacks (Trial-Feedback / Bug / Idee / Anderes)
• deine Nachricht (Freitext)
• optional: deine E-Mail-Adresse, falls du eine Rückmeldung von uns möchtest
• optional: deine Family-ID (intern, zur Zuordnung)
• Zeitstempel

Zweck: Produktverbesserung, ggf. persönliche Rückmeldung an dich.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch aktives Absenden).

Speicherdauer: Bis zum Widerruf, längstens 24 Monate.

3.3 Server-Logs

Beim Aufruf unserer Webseite erhebt unser Server automatisch Informationen, die dein Browser übermittelt. Dazu gehören:

• IP-Adresse (nach 14 Tagen gelöscht)
• Datum und Uhrzeit des Zugriffs
• aufgerufene Seite / Datei
• HTTP-Statuscode
• übertragene Datenmenge
• User-Agent (Browser- und Betriebssystem-Information)
• Referrer-URL

Zweck: Sicherstellung eines stabilen Betriebs, Schutz vor Missbrauch, Fehleranalyse.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb).

Speicherdauer: Maximal 14 Tage.

Personenbezogene Daten in Anwendungs-Logs (z. B. Owner-E-Mail, Family-IDs) werden vor dem Schreiben pseudonymisiert (SHA-256-Hash, gekürzt). Im Klartext loggen wir keine Passwörter, PINs, OpenAI-Antworten oder Stripe-Webhook-Payloads.

3.4 Verarbeitung von Kinderdaten (Art. 8 DSGVO)

Diese App speichert Daten von Kindern, die jünger als 16 Jahre sein können. Nach Art. 8 DSGVO ist hierfür die ausdrückliche Einwilligung der Erziehungsberechtigten erforderlich.

Beim erstmaligen Anlegen eines Kindes innerhalb der App muss ein Erziehungsberechtigter ausdrücklich bestätigen, dass er einwilligungsberechtigt ist und der Verarbeitung der folgenden Daten zustimmt:

• Name des Kindes (frei wählbar, Spitznamen empfohlen)
• Avatar-Auswahl, Theme-Präferenz
• Routinen-Inhalte, die Eltern für das Kind festlegen
• Fortschritt (Sterne, Streaks, Belohnungs-Guthaben)
• Selbst-Reflexionseinträge („3 gute Dinge"), wenn das Kind sie eingibt

Der Zeitpunkt der Einwilligung wird in unserer Datenbank gespeichert (Spalte children.consent_at). Die Einwilligung kann jederzeit in den Eltern-Einstellungen widerrufen werden; der Widerruf führt zur Löschung der entsprechenden Kinderdaten.

Wir empfehlen, statt des bürgerlichen Vornamens einen Spitznamen oder Initial zu verwenden — die App funktioniert mit jedem beliebigen Namen.

3.5 Daten in der App (lokaler Speicher / localStorage)

Folgende Daten werden ausschließlich lokal im Browser des Endgeräts gespeichert (localStorage / IndexedDB) und nicht an uns übertragen:

• Routinen und Schritte
• Kindname(n)
• gesammelte Sterne und Fortschritt
• Einstellungen (z. B. Eltern-PIN, Theme)
• generierte KI-Bilder
• Eingabe-Prompts für KI-Bilder

Zweck: Bereitstellung der App-Funktionalität.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Speicherdauer: Bis zum Löschen durch den Nutzer (Browser-Daten löschen, Deinstallation).

3.6 Sync-Funktion (optional)

Wenn du die optionale Sync-Funktion aktivierst, werden Routinen, Kindnamen und Einstellungen verschlüsselt an unseren in Deutschland betriebenen Server sync.niduna.de übertragen und dort gespeichert. Die Übertragung erfolgt per HTTPS, die Daten werden familienspezifisch über eine zufällig erzeugte ID getrennt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Speicherdauer: Bis zur Löschung des Familienkontos durch den Nutzer oder durch uns.

3.7 Abo- und Zahlungsdaten

Wenn du ein kostenpflichtiges Abo abschließt, verarbeiten wir Name, E-Mail, Rechnungsadresse und ggf. Steuerinformationen. Die Zahlungsabwicklung erfolgt über einen externen Zahlungsdienstleister. Wir selbst speichern keine vollständigen Zahlungsdaten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Aufbewahrungspflichten).

Speicherdauer: Bis zum Ende des Vertrags zzgl. der gesetzlichen Aufbewahrungsfristen (in der Regel 10 Jahre nach § 147 AO).

3.8 Konto-Authentifizierung

Eltern-Konto: E-Mail-Adresse und Passwort (gehasht mit bcrypt cost 12). Wir setzen ein HTTP-Only-Cookie mit 90 Tagen Laufzeit zur Sitzungserkennung; das Cookie wird ausschließlich auf unseren eigenen Domains gesendet und ist nicht durch JavaScript lesbar.

Zusätzlich existiert eine geräte-lokale PIN (4-stellig) für den schnellen Wechsel zwischen Kind-Profilen am Family-Tablet. Diese PIN wird serverseitig nur als bcrypt-Hash gespeichert und ist durch Rate-Limits und einen Lockout-Mechanismus gegen Brute-Force geschützt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

4. Empfänger und Auftragsverarbeiter

4.1 KI-Bildgenerierung (OpenAI L.L.C., USA)

Wenn du die optionale KI-Funktion nutzt, um Bilder für Routine-Schritte zu generieren, wird der von dir eingegebene Prompt-Text an OpenAI L.L.C., 3180 18th Street, San Francisco, CA 94110, USA übermittelt. Wir betreiben dafür einen Server-Proxy — der API-Schlüssel bleibt bei uns, du kommunizierst nie direkt mit OpenAI.

Datenminimierung: Vor dem Senden entfernt unser Server automatisch alle bei uns hinterlegten Kindernamen aus dem Prompt-Text (z. B. „Anna" → „ein Kind"). Account- und Family-Identifier werden nur in pseudonymisierter Form (SHA-256-Hash, gekürzt) an unsere interne Kostenmonitoring-Komponente mitgeloggt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) in Verbindung mit deiner aktiven Nutzung dieser optionalen Funktion.

Drittlandtransfer USA: OpenAI L.L.C. hat ihren Sitz in den USA, einem Land ohne automatisches angemessenes Schutzniveau im Sinne der DSGVO. Die Übermittlung erfolgt auf Grundlage der von der EU-Kommission erlassenen Standardvertragsklauseln (SCC, Durchführungsbeschluss 2021/914). Eine ergänzende Transfer Impact Assessment (TIA) ist dokumentiert und kann auf Anfrage eingesehen werden.

Verwendung deiner Eingaben durch OpenAI: OpenAI verarbeitet den Prompt-Text, um das angeforderte Bild zu generieren. Die Nicht-Verwendung der API-Daten zu Trainingszwecken ist über den mit OpenAI abgeschlossenen Auftragsverarbeitungsvertrag (DPA) sichergestellt. Details siehe OpenAI EU Privacy Policy.

Du kannst die KI-Funktion jederzeit ungenutzt lassen — der Großteil der App funktioniert komplett offline und lokal in deinem Browser.

4.2 Hosting

Unsere App (Frontend niduna.de und Sync-Server sync.niduna.de) wird auf Servern der Hostinger International Ltd. (Vilnius, Litauen) im Rechenzentrum Frankfurt am Main, Deutschland gehostet. Der konkrete physikalische Standort der Daten ist somit innerhalb der EU. Mit dem Hosting-Anbieter besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO.

4.3 Domain- und E-Mail-Dienste (ALL-INKL.COM)

Die Domain niduna.de sowie unsere Mail-Postfächer (insbesondere hallo@niduna.de und noreply@niduna.de) werden über ALL-INKL.COM – Neue Medien Münnich (Friedrichroda, Deutschland) verwaltet. Für den Versand transaktionaler E-Mails (Wartelisten-Bestätigung, Passwort-Reset, Trial-Reminder) wird der SMTP-Server desselben Anbieters genutzt. Mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.

4.4 Zahlungsabwicklung (Stripe Payments Europe, Ltd.)

Wenn du ein kostenpflichtiges Abo abschließt oder die Lifetime-Variante kaufst, wird die Zahlungsabwicklung durch Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin, Irland durchgeführt.

Übermittelte Daten: Name, E-Mail-Adresse, Zahlungs- und Rechnungsdaten. Wir speichern nur die Stripe-Customer-ID und Stripe-Subscription-ID, um Abo-Status und Stornierungen verarbeiten zu können — die eigentlichen Zahlungsdaten (Kreditkarte etc.) sehen wir nie.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Zahlungsbestätigung erhältst du per E-Mail von Stripe. Stripe nutzt teilweise Sub-Auftragsverarbeiter in den USA; Standardvertragsklauseln sind in Stripes europäischer Privacy-Policy hinterlegt: stripe.com/de/privacy.

5. Webanalyse (Umami)

Wir nutzen Umami Analytics in einer selbst-gehosteten Variante auf unserem deutschen VPS unter analytics.luckyconcept.cloud. Umami erhebt keine Cookies, erstellt keine Nutzerprofile und speichert keine personenbezogenen Daten. Erfasst werden ausschließlich pseudonymisierte Nutzungsdaten wie aufgerufene Seiten, Referrer und grobe Gerätekategorie.

Umami respektiert den Do-Not-Track-Header. Da keine personenbezogenen Daten verarbeitet werden, ist keine Einwilligung erforderlich (Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an der Verbesserung unseres Angebots).

Alle Daten verbleiben auf unserem deutschen VPS. Es findet kein Transfer an Dritte oder in Drittländer statt. Speicherdauer: 12 Monate.

6. SSL-/TLS-Verschlüsselung

Unsere Webseite und alle Datenübertragungen sind durchgängig mit SSL/TLS verschlüsselt. Du erkennst eine verschlüsselte Verbindung am Schloss-Symbol in der Adressleiste und am Präfix „https://". Zusätzlich setzen wir HSTS, eine strenge Content-Security-Policy und schützen den Eltern-Bereich vor Clickjacking via X-Frame-Options: DENY.

7. Push-Benachrichtigungen (optional, opt-in)

Du kannst in den Eltern-Einstellungen Push-Benachrichtigungen aktivieren (z. B. um benachrichtigt zu werden, wenn dein Kind in einer Routine Hilfe braucht oder die Routine abgeschlossen hat). Dafür speichert dein Browser einen kryptografischen Endpunkt-Schlüssel; wir speichern diesen ausschließlich, um die Push-Nachricht an deinen Browser ausliefern zu können (Web-Push-Standard RFC 8030). Die Auslieferung erfolgt über die Push-Infrastruktur deines Browsers (Apple/Google/Mozilla).

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (ausdrückliche Einwilligung beim Aktivieren in den Einstellungen). Widerruf: jederzeit über die Eltern-Einstellungen oder die Browser-Benachrichtigungs-Verwaltung.

8. Deine Rechte als betroffene Person

Du hast jederzeit folgende Rechte gegenüber uns:

• Auskunft über die zu deiner Person gespeicherten Daten (Art. 15 DSGVO) — du kannst in den Eltern-Einstellungen unter „Meine Daten herunterladen" jederzeit eine vollständige JSON-Datei mit all deinen Daten abrufen.
• Berichtigung unrichtiger Daten (Art. 16 DSGVO) — alle Daten lassen sich direkt in der App ändern (Kindname, Routinen, Avatar etc.).
• Löschung deiner Daten, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen (Art. 17 DSGVO) — in den Eltern-Einstellungen findest du den Button „Konto löschen". Nach 7 Tagen Bedenkzeit werden alle Daten dieser Familie endgültig vom Server entfernt. Innerhalb der 7 Tage kannst du den Vorgang abbrechen.
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit in einem maschinenlesbaren Format (Art. 20 DSGVO) — JSON-Download in den Einstellungen.
• Widerspruch gegen Verarbeitungen, die auf berechtigtem Interesse beruhen (Art. 21 DSGVO) — z. B. gegen Webanalyse via Browser-DNT-Header.
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO) — z. B. der Kinderdaten-Einwilligung; geschieht implizit durch Löschen des Kind-Eintrags in den Eltern-Einstellungen.

Wenn du Hilfe benötigst oder etwas nicht über die App selbst tun kannst, schreibe eine formlose E-Mail an hello@luckyconcept.de. Wir antworten innerhalb einer Woche.

9. Beschwerderecht bei der Aufsichtsbehörde

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist die Aufsichtsbehörde des Bundeslandes, in dem der Verantwortliche seinen Sitz hat:

Die Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5, 30159 Hannover
www.lfd.niedersachsen.de

10. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, falls sich rechtliche Rahmenbedingungen oder unsere Datenverarbeitung ändern. Die jeweils aktuelle Version ist auf dieser Seite abrufbar.

11. Kontakt für Datenschutzfragen

Bei Fragen zum Datenschutz oder zur Ausübung deiner Rechte:

Kevin Luck · luckyCONCEPT
E-Mail: hello@luckyconcept.de
Allgemeiner niduna-Kontakt: hallo@niduna.de