Datenschutzerklärung

a) Konto- und Zugangsdaten

E-Mail-Adresse, Anzeigename, ggf. Vor- und Nachname sowie deine Rolle im Haushalt. Bei der Registrierung kannst du freiwillig einen Vornamen angeben; wir verwenden ihn für die Begrüssung und dein Haushaltsprofil. Für die Anmeldung bearbeiten wir zusätzlich:

• Passwort: ausschliesslich als nicht umkehrbarer Hash (Verfahren Argon2id). Dein Passwort selbst kennen und speichern wir nicht.
• Passkeys (sofern du einen einrichtest): nur den öffentlichen Schlüssel, eine technische Kennung, die Bezeichnung, einen Signaturzähler, technische Angaben zur Übertragungsart und ob der Passkey geräteübergreifend synchronisiert wird, sowie Zeitpunkt der Einrichtung und der letzten Nutzung. Der private Schlüssel und deine biometrischen Merkmale (z. B. Fingerabdruck, Gesicht) verlassen dein Gerät nie; wir erhalten sie nicht. Setzt du dein Passwort über einen Link per E-Mail zurück, legst es so fest oder richtest über einen solchen Link einen Passkey ein, bleiben bestätigte Passkeys erhalten; ein dabei neu eingerichteter Passkey gilt 72 Stunden als unbestätigt. Hat dein Konto keinen bestätigten Passkey, entfernen wir dabei aus Sicherheitsgründen alle bisherigen Passkeys; du kannst sie danach neu einrichten. Für unbestätigte Passkeys speichern wir zusätzlich, bis wann sie als unbestätigt gelten.
• Sitzungen: Zeitpunkt der Anmeldung und der letzten Nutzung, die Art des zweiten Faktors sowie die Stufe der Anmeldung (voll oder eingeschränkt) und den verwendeten Passkey, sowie eine gekürzte Browser- und Gerätekennung, damit du deine angemeldeten Geräte sehen und abmelden kannst.
• Einmal-Codes und Links: Bestätigungscodes und Links zum Einrichten des Logins (Passwort festlegen oder Passkey einrichten), jeweils nur als Hash.
• Login-Protokoll: sicherheitsrelevante Ereignisse (z. B. erfolgreiche und fehlgeschlagene Anmeldungen, Änderungen von Passwort oder E-Mail-Adresse, Abmeldungen) mit Zeitpunkt, IP-Adresse und gekürzter Browser- und Gerätekennung.
• Sicherheitshinweise per E-Mail: Wir benachrichtigen dich, wenn ein Passkey hinzugefügt oder entfernt, dein Passwort geändert oder deine E-Mail-Adresse geändert wird. Wurde bei einer Anmeldung dein Passwort korrekt eingegeben, der zweite Schritt aber nicht abgeschlossen, erhältst du ebenfalls einen Hinweis (höchstens einmal pro Tag). Nach einer Anmeldung ohne Passkey (Passwort und Code per E-Mail bei einem Konto mit Passkey, oder über einen Link per E-Mail mit neuem Passkey) erhältst du eine Warnung per E-Mail, und bei der nächsten vollen Anmeldung zeigt dir dehim solche Ereignisse als Hinweis in der App an. Dafür werten wir die oben genannten Sitzungs- und Protokolldaten aus.
• Zähler für Anmeldeversuche: zur Abwehr von Missbrauch zählen wir Versuche pro IP-Adresse, E-Mail-Adresse, Konto und Sitzung. Dabei speichern wir nur einen Hash, nicht die Adresse oder Kennung selbst.

b) Haushaltsprofile

Namen der Haushaltsmitglieder, Farbe, Angabe, wer kocht.

c) Haushaltsinhalte

Rezepte (Titel, Zutaten, Zubereitungsschritte, Tags, Notizen, Quelle), Menüpläne, Einkaufslisten, Vorratsartikel, Aufgaben (inkl. zugewiesener Person und Fälligkeit), Notizen, Vorlagen und Sammlungen.

d) Rezeptbilder

Bilder, die du einem Rezept zuweist oder die beim Import aus der Quelle übernommen werden, speichern wir dauerhaft beim Speicherdienst Vercel Blob. Sie sind über eine zufällig erzeugte, nicht erratbare Adresse abrufbar.

e) Kalenderinhalte

Aus verbundenen Kalendern (Apple/iCloud über CalDAV, Google Kalender, Microsoft 365/Outlook, ICS-Links, weitere CalDAV-Anbieter) synchronisierte Termine mit Titel, Beginn, Ende, Ort und Ganztags-Kennzeichen — einschliesslich darin enthaltener Angaben zu Dritten.

f) Dienstplan- und Schichtdaten

Die Zeilenkennung, mit der du im Dienstplan gefunden wirst (in der Regel dein Name), die aus dem PDF extrahierten Schichten (Datum, Zeit, Code, Bezeichnung), der Dateiname des hochgeladenen Dokuments und ein allfälliger Legendentext. Diese Daten können Angaben zu Dritten enthalten (siehe §5).

g) Integrations-Zugangsdaten

CalDAV-Benutzername und -Passwort, OAuth-Zugriffs- und Erneuerungs-Token von Microsoft 365 und Google, Zugangsdaten deines Bring!-Kontos. Diese Daten werden ausschliesslich verschlüsselt gespeichert (AES-256-GCM).

h) Treuekarten

Bezeichnung, Kartennummer bzw. Barcode-Inhalt, Barcode-Format und die Angabe, für wen die Karte sichtbar ist.

i) Ausweisdokumente (Wallet)

Bezeichnung, Dokumenttyp, Sichtbarkeitseinstellung sowie Fotos der Vorder- und ggf. Rückseite.

j) Einladungen

E-Mail-Adressen von Personen, die du in deinen Haushalt oder zum Rezept-Teilen einlädst — auch dann, wenn sich diese Personen nie registrieren.

k) Benachrichtigungen

Push-Abonnements deines Browsers (Adresse des Push-Endpunkts und die zugehörigen Schlüssel), deine Kanal-Einstellungen (In-App, E-Mail, Push), die In-App-Nachrichten selbst sowie, welche «Neu in dehim»-Meldung du zuletzt gesehen hast. Legt ein Admin fest, wer Meldungen zu welchem Kinderprofil deines Haushalts erhält, speichern wir auch diese Auswahl.

l) Nutzungs- und Kontingentdaten

Kochprotokoll (welches Rezept wann gekocht wurde), Bewertungen, daraus gelernte Präferenzen sowie Zähler über Anzahl und Umfang der KI-Aufrufe pro Haushalt und Person (Kostenschutz und Missbrauchsabwehr).

m) Abrechnungsdaten

Tarif, Abrechnungsstatus, Laufzeit, Periodenende sowie die Kunden- und Abonnement-Kennung bei Stripe. Rechnungsadresse und Zahlungsmittel liegen bei Stripe, nicht bei uns.

n) Technische Daten

Server-Protokolle und IP-Adressen, die bei jedem Zugriff anfallen und der Betriebssicherheit dienen.

o) Familie

Daten zu den Familien-Funktionen im Tarif Extra (Kinderprofile, Routinen, Sterne, Belohnungen, Fotos, Familien-Display), siehe §6a.

Welche Daten wir lesen und speichern

• Kalenderliste: Kennung (beim Hauptkalender oft deine E-Mail-Adresse), Name und dein Zugriffsrecht (nur lesen oder auch schreiben). Kalenderfarben übernehmen wir nicht von Google, du legst sie in dehim selbst fest.
• Termine: Kennung, Titel, Beginn, Ende, Ganztags-Kennzeichen und Ort, für den Zeitraum von zwei Monaten vor bis zwölf Monate nach dem laufenden Monat. Blätterst du im Kalender in einen Zeitraum ganz ausserhalb davon, rufen wir dessen Termine nur zur Anzeige direkt bei Google ab und speichern sie nicht in der Datenbank, sondern höchstens kurz im Arbeitsspeicher. Beschreibungen, Teilnehmende und Anhänge lesen wir beim Abgleich nicht.
• Nur beim Verschieben eines Termins in einen anderen Kalender lesen wir zusätzlich Beschreibung und Erinnerung, damit sie mitwandern, und prüfen, ob der Termin Teilnehmende, Anhänge oder Wiederholungen hat oder eine besondere Terminart ist (dann verschieben wir ihn nicht). Von Teilnehmenden und Anhängen werten wir nur aus, ob welche vorhanden sind; Beschreibung und Erinnerung speichern wir nicht.
• Zugriffs- und Erneuerungs-Token von Google, nur verschlüsselt gespeichert (AES-256-GCM, siehe §2 g).

Wofür wir sie verwenden

Ausschliesslich, um dir die Kalenderfunktionen von dehim bereitzustellen:

• Anzeige deiner Termine im Kalender, in der Übersicht und Tagesansicht, im Wochen- und Menüplan sowie auf dem Familien-Display (sofern der Kalender dort nicht ausgeblendet ist) — sichtbar für die Admins deines Haushalts und die Mitglieder, denen der Kalender zugewiesen ist.
• Einschätzung der Tagesauslastung für den Menüplan-Vorschlag (z. B. Arbeitskalender oder späte Termine). Das geschieht regelbasiert auf unserem Server, ohne KI.
• Anlegen, Ändern, Verschieben und Löschen von Terminen in deinem Google Kalender — nur, wenn du das in dehim ausdrücklich auslöst (auch beim Übertragen von Dienstplan-Schichten in einen Kalender).

Weitergabe

Wir verkaufen Google-Nutzerdaten nicht und geben sie nicht an Dritte weiter, ausser

• an unsere Auftragsbearbeiter für Hosting und Datenbank (Vercel, Neon, siehe §4), soweit für den Betrieb nötig;
• auf ausdrückliche Veranlassung deines Haushalts: über die persönliche Schnittstelle (ein Admin erstellt ein Zugangs-Token mit der Berechtigung „Kalender & Dienstplan lesen“ für eine eigene Anzeige, z. B. einen Infomonitor; übermittelt werden Titel, Zeit, Ort und Kalendername der nächsten Tage), über den Datenexport (§9) oder wenn du einen Termin in einen Kalender eines anderen Anbieters verschiebst;
• wenn wir gesetzlich dazu verpflichtet sind.

Google-Nutzerdaten gehen nicht an Anthropic, den Vercel AI Gateway oder andere KI-Dienste. Beim Dienstplan-Import erhält die KI nur das von dir hochgeladene PDF; die erkannten Schichten schreiben wir danach in deinen Kalender, ohne dabei Termine aus Google an die KI zu übermitteln. Termininhalte versenden wir auch nicht per Push-Benachrichtigung oder E-Mail.

Was wir nicht tun

• keine Werbung, keine Profilbildung, kein Verkauf;
• keine Verwendung zum Trainieren oder Verbessern allgemeiner KI- oder ML-Modelle;
• kein Lesen durch Menschen, ausser mit deiner ausdrücklichen Zustimmung (z. B. bei einer Support-Anfrage), wenn es für die Sicherheit nötig ist (z. B. zur Untersuchung von Missbrauch) oder wenn wir gesetzlich dazu verpflichtet sind. Unsere Protokolle enthalten keine Termintitel; Google-Kalenderkennungen erscheinen darin nur als gekürzter Hash.

Speicherung und Löschung

• Die Termine speichern wir als Kopie in unserer Datenbank (Neon, Frankfurt) und gleichen sie alle 15 Minuten mit Google ab, zusätzlich beim Öffnen der App oder des Familien-Displays bzw. beim Abruf über die Schnittstelle, wenn der letzte Abgleich länger zurückliegt. Bei Google gelöschte Termine und Termine ausserhalb des oben genannten Zeitraums entfernen wir dabei.
• Entfernst du das Google-Konto in dehim (Einstellungen → Kalender), widerrufen wir den Zugriff bei Google und löschen Token, Kalenderliste und alle gespeicherten Termine dieses Kontos. Ist Google dabei nicht erreichbar, löschen wir trotzdem alles bei uns; den Zugriff kannst du dann selbst bei Google beenden (siehe unten).
• Wird dein Haushalt gelöscht (auch automatisch nach Ablauf der Aufbewahrungsfrist, §8), widerrufen wir ebenso den Zugriff bei Google und löschen alle Google-Nutzerdaten. Ist Google dabei nicht erreichbar, wird trotzdem alles bei uns gelöscht; den Zugriff kannst du dann selbst bei Google beenden (siehe unten). Ein verbundenes Google-Konto gehört zum Haushalt: Wird ein Mitglied entfernt, bleibt es verbunden, bis ein Admin es in den Kalender-Einstellungen entfernt.
• Den Zugriff von dehim kannst du jederzeit unter myaccount.google.com/permissions widerrufen. Danach ruft dehim nichts mehr bei Google ab; bereits übernommene Termine bleiben sichtbar, bis du das Konto in dehim entfernst.

Google API Services User Data Policy

dehim's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

Auf Deutsch: Die Verwendung von Informationen, die dehim über Google-APIs erhält, und deren Übertragung an andere Apps erfolgen gemäss der Google API Services User Data Policy, einschliesslich der Anforderungen zur eingeschränkten Nutzung («Limited Use»).

Kinderprofile, Routinen und Sterne

Wir bearbeiten Name, Farbe, Emoji oder Profilfoto und das Kennzeichen „Kind” eines Profils, die Routinen des Kindes samt Erledigungen (wann welche Routine abgehakt wurde), den Sterne-Verlauf (Gutschriften und Abbuchungen mit Datum, Betrag, Anlass und handelnder Person) sowie Belohnungen, Überraschungsboxen, Sparziele und Einlösungen. Zweck ist ausschliesslich der Betrieb dieser Funktionen für deinen Haushalt. Die Daten werden nicht an Dritte weitergegeben, ausser an die in §4 genannten Auftragsbearbeiter (Hosting, Datenbank, Speicherung und — bei aktivierten Push-Benachrichtigungen — die Push-Dienste; Push-Texte enthalten den Vornamen des Kindes und den Titel der Belohnung bzw. des Sparziels), und nicht für Werbung oder Auswertungen verwendet.

Profilfotos und Fotos für den Bildermodus

Profilfotos und die Fotos, die du für den Bildermodus des Familien-Displays hochlädst (höchstens 20 pro Haushalt), liegen im privaten Speicherbereich bei Vercel Blob (§4) ohne öffentlichen Abruf. Sie sind nur nach Anmeldung bzw. über ein gekoppeltes Familien-Display abrufbar. Profilfotos und Fotos für den Bildermodus werden vor dem Hochladen in deinem Browser verkleinert und neu kodiert. Zusätzlich entfernt der Server vor dem Speichern Metadaten wie den Aufnahmeort (EXIF, XMP, IPTC und Kommentare) aus jedem Foto; Dateien, bei denen das nicht sicher möglich ist, lehnt er ab und speichert sie nicht. Entfernst du ein Foto, wird es im Speicher gelöscht; Profilfotos werden ausserdem mit dem Profil gelöscht, alle Fotos mit dem Haushalt.

Familien-Display (gemeinsames Tablet)

Ein Familien-Display wird mit einem Kopplungscode (6 Ziffern, 10 Minuten gültig) an deinen Haushalt gekoppelt und mit einer Eltern-PIN für geschützte Bereiche versehen. Dafür setzen wir auf dem Gerät technisch notwendige Cookies (nur unter der Adresse der App, für Skripte nicht lesbar, nur über verschlüsselte Verbindungen):

• __Host-dehim_display (Gerätekennung): höchstens 400 Tage; endet früher, sobald das Gerät in der App widerrufen wird.
• __Host-dehim_display_pair (Kopplung): 10 Minuten, nur während der Kopplung.
• __Host-dehim_display_elev (Entsperrung mit der Eltern-PIN): höchstens 30 Minuten.

Pro Gerät speichern wir den Gerätenamen, den Zeitpunkt der Kopplung und des letzten Abrufs, die Einstellungen des Displays (z. B. Ansicht und ausgeblendete Bereiche), die Anzahl der PIN-Fehlversuche samt allfälliger Sperre sowie Hashes: Gerätekennung und Kopplungscodes liegen nur als Hash vor, die Eltern-PIN nur als nicht umkehrbarer Hash (Argon2id). Widerrufst du ein Gerät in der App, wird seine Gerätekennung entfernt und das Gerät ist unbrauchbar; Gerätename, Einstellungen, PIN-Hash und Zeitstempel bleiben bis zur Löschung des Haushalts gespeichert. Nicht abgeschlossene Kopplungen und abgelaufene Codes werden automatisch entfernt. Mit dem Haushalt werden alle Gerätedaten gelöscht.

Hinweis: Ein gemeinsames Gerät zeigt allen Anwesenden Termine (pro Kalender ausblendbar), den Essensplan, die Einkaufsliste, die Sterne und die Fotos aller Profile des Haushalts. Stelle das Gerät daher nur dort auf, wo das gewollt ist, und blende Kalender mit privaten Terminen aus.

Löschung

Löschst du ein Kinderprofil, werden seine Routinen und Erledigungen sowie sein Profilfoto entfernt; offene Einlösungen werden geschlossen. Einlösungen und Sterne-Verlauf (ein fortlaufendes Protokoll, das nur ergänzt und nicht verändert wird) bleiben mit der internen Kennung des gelöschten Profils bis zur Löschung des Haushalts gespeichert. Diesem Kind zugeordnete Belohnungen und Sparziele bleiben ebenfalls bestehen, sind aber nicht mehr bedienbar; Belohnungen für alle Kinder bleiben nutzbar. Mit dem Haushalt (§8) werden sämtliche Familien-Daten gelöscht. Nach einem Wechsel aus dem Tarif Extra sind die Funktionen nicht mehr nutzbar, die Daten werden aber wie alle Haushaltsdaten nach §8 aufbewahrt; Fotos kannst du weiterhin ansehen und löschen.