Warum die Daten deines Babys in der EU bleiben

Wenn dein Baby einen Monat alt ist, können in einer Tracking-App schon mehrere hundert Einträge über einen Menschen stehen, der vier Wochen alt ist: was hineinging, was herauskam, wie lange es geschlafen hat, welche Temperatur es um 2 Uhr nachts hatte. Es ist eine der detailliertesten Aufzeichnungen, die je über dein Kind geführt werden — und es hatte bei nichts davon ein Mitspracherecht.

Darüber denke ich mehr nach als über jeden anderen Teil davon, Bunavi zu bauen. Also hier das ganze Bild — was in diesen Aufzeichnungen steht, wo ich sie aufbewahre, was ich niemals damit tun werde und wo das Versprechen Grenzen hat.

Was in diesen Aufzeichnungen wirklich steht

Man stellt sich einen Baby-Tracker leicht als Liste von Mahlzeiten mit Uhrzeit vor. Das ist er nicht. Leg ein paar Wochen an Einträgen nebeneinander, und du hast:

• Den Namen deines Kindes — oder den Kosenamen, den du benutzt —, dazu das Geburtsdatum, manchmal das Geschlecht, manchmal ein Foto.
• Gesundheitseinträge: Wachstumsmessungen, Temperaturen, Symptome, Medikamente, Impfungen.
• Muster bei Mahlzeiten und Schlaf, die zugleich eine Karte davon sind, wann die Erwachsenen im Haus wach sind und wie lange sie schon auf sind.
• Windel-Details, über die die meisten Menschen außerhalb einer Kinderarztpraxis nicht sprechen würden.

Das Ende dieser Liste mit Temperaturen und Medikamenten sind Gesundheitsdaten, und die ordnet Artikel 9 der DSGVO den besonderen Kategorien zu, die die Verordnung am strengsten schützt. Erwägungsgrund 38 derselben Verordnung sagt, Kinder „verdienen bei ihren personenbezogenen Daten besonderen Schutz“, und nennt Marketing und Profilbildung als die Risiken, auf die es ankommt. Das Gesetz stimmt damit etwas zu, das die meisten Eltern spüren, wenn sie zum ersten Mal den Namen ihres Kindes in ein Formular tippen.

Dein Kind wird eines Tages erwachsen sein, und nichts davon war seine Entscheidung.

Warum die Server in Frankfurt stehen

Das Profil deines Babys und jeder Eintrag dazu liegen in einer Datenbank innerhalb der Europäischen Union, gehostet von Supabase in der Region, die Amazon als Europe (Frankfurt) führt — eu-central-1. Das ist keine Deko auf einer Marketingseite. Daraus folgen drei praktische Dinge.

• Die DSGVO gilt, nicht als Gefallen. Ich bin ein unabhängiger Entwickler mit Sitz in Bulgarien, und Artikel 3 lässt die Verordnung für jede Verarbeitung gelten, die im Rahmen der Tätigkeiten einer Niederlassung in der Union stattfindet. Das ist keine Richtlinie, die ich in einem künftigen Update still aufweichen kann.
• Deine Rechte sind durchsetzbar. Artikel 20 gibt dir eine Kopie deiner Daten in einem strukturierten, gängigen und maschinenlesbaren Format. Artikel 17 gibt dir die Löschung. Und wenn ich dich je im Stich lasse, gibt dir Artikel 77 das Recht, dich bei einer Aufsichtsbehörde zu beschweren — in meinem Fall bei der bulgarischen Kommission für den Schutz personenbezogener Daten oder bei der Behörde in deinem eigenen Land.
• Am anderen Ende steht eine Person mit Namen. Der Verantwortliche bin ich, namentlich, mit Land und funktionierender E-Mail-Adresse in der Datenschutzerklärung. Eine Beschwerde hat eine Adresse.

Jetzt der ehrliche Teil: Der Hosting-Standort ist kein Schutzschild. Ein nachlässig betriebener Server in Frankfurt schützt deine Familie weniger als ein ordentlich betriebener Server irgendwo sonst. Die Geografie entscheidet nur darüber, welche Regeln gegen mich durchgesetzt werden können. Was die Daten deines Kindes wirklich schützt, ist das, was die Software jeden Tag tut.

Worauf ich mich festgelegt habe

• Der Datenverkehr zwischen deinem Handy und dem Server ist mit TLS verschlüsselt.
• Der Zugriff wird in der Datenbank Zeile für Zeile durchgesetzt, sodass ein Konto immer nur Einträge für die Babys lesen oder schreiben kann, die ihm gehören oder zu denen es eingeladen wurde. Die Zeilen einer Familie sind aus dem Konto einer anderen Familie nicht erreichbar, und diese Regel lebt in der Datenbank und nicht in den Bildschirmen der App.
• Keine Werbung. Keine Werbe-IDs. Nichts wird verkauft, vermietet oder mit Werbetreibenden geteilt. Kein Werbe- oder Tracking-Profil von dir oder deinem Kind.
• Das Teilen ist aus, bis du es einschaltest. Ein Einladungscode ist einmalig nutzbar, läuft nach 7 Tagen ab, und der Zugriff kann in den Einstellungen sofort entzogen werden — gut zu wissen, bevor du deinem Partner oder einem Großelternteil den Code gibst.
• Die App ist offline-first und behält deshalb eine kleine Kopie der letzten Einträge auf deinem eigenen Gerät, damit sie um 3 Uhr nachts auch ohne Empfang funktioniert. Diese Kopie wird gelöscht, wenn du dich abmeldest.
• Deine Daten herauszuholen und sie löschen zu lassen, sind beides Schaltflächen in den Einstellungen — keine Anfragen, die du mir schicken musst.

Den Punkt „standardmäßig aus“ würde ich am härtesten verteidigen. Artikel 25 der DSGVO verlangt Datenschutz durch Voreinstellungen — personenbezogene Daten sollen ohne dein eigenes Zutun nicht für eine unbestimmte Zahl von Personen zugänglich werden. Bei der Gesundheitsakte eines Kindes ist eine Voreinstellung, die Daten nach außen lässt, kein kleiner Designfehler.

Wo das Bild nicht rein europäisch ist

Eine Ein-Personen-App hängt trotzdem von anderen Unternehmen ab, und etwas anderes zu behaupten wäre genau die Art von Aussage, der du misstrauen solltest. Apple rechnet die Abos ab, und ich sehe deine Karte nie. RevenueCat, in den USA, verwaltet, was dein Tarif freischaltet, und bekommt eine Konto-Kennung plus Kaufereignisse. Resend stellt E-Mails zu — ein Passwort-Reset, eine Quittung — und bekommt deine Adresse und die Nachricht; es ist ein US-Unternehmen, auch wenn seine Versandinfrastruktur in Irland läuft. Sentry bekommt technische Absturzdetails — Gerätemodell, Betriebssystemversion, Stack Trace — aus Builds, in denen die Absturzberichte aktiviert sind. Wo personenbezogene Daten außerhalb der EU verarbeitet werden, ist das durch die Standardvertragsklauseln der Europäischen Kommission abgedeckt, und jedes dieser Unternehmen ist in der Datenschutzerklärung namentlich genannt.

Was keines von ihnen bekommt, sind die Aufzeichnungen über dein Baby. Die Mahlzeiten, die Nickerchen, die Wachstumsmessungen, die Temperaturen, der Name und das Geburtsdatum bleiben in der EU-Datenbank.

Der wahre Test ist das Löschen

Jede App kann einen warmen Absatz über Privatsphäre schreiben. Das Versprechen bedeutet nur dann etwas, wenn das Gehen auch wirklich funktioniert — und wenn es drei E-Mails und eine Support-Warteschlange braucht, um die Gesundheitsakte eines Kindes zu löschen, war das Versprechen Dekoration.

Also: Einstellungen → Konto löschen entfernt dein Konto sofort, zusammen mit jedem Baby, das dir gehört und zu dem niemand sonst eingeladen war, und mit allen zugehörigen Einträgen. Wenn du es lieber nicht in der App machst, schreib von deiner Konto-Adresse an [email protected], dann ist alles innerhalb von 30 Tagen gelöscht, meist deutlich früher. Das ist das Recht auf Löschung aus Artikel 17, verdrahtet an eine Schaltfläche statt an ein Formular.

Woran du jede Baby-App messen solltest

Du musst mir nichts davon glauben, und du solltest es auch nicht. Vier Prüfungen, jede etwa eine Minute lang, sagen dir mehr über eine App als ihre Startseite.

Das ist der Maßstab, den ich an mich selbst angelegt haben will, und der, den ich an alle anderen anlegen würde, die das erste Jahr deines Babys aufbewahren wollen. Du führst diese Aufzeichnungen stellvertretend für jemanden, der noch nicht mitreden kann — das Mindeste, was die Software tun kann, ist, sie auch so zu behandeln. Wenn du die längere Fassung davon willst, wie ich arbeite, steht sie in der Datenschutzerklärung und auf der Seite über mich, beide zum Lesen geschrieben und nicht zum Überstehen.

Was Eltern oft fragen

Wo werden die Daten meines Babys gespeichert?

In der Europäischen Union — in einer Supabase-Datenbank in der Amazon-Region Europe (Frankfurt), eu-central-1. Der Datenverkehr ist mit TLS verschlüsselt, die Daten sind im Ruhezustand verschlüsselt, und der Zugriff wird Zeile für Zeile durchgesetzt, sodass die Daten einer Familie aus dem Konto einer anderen Familie nicht erreichbar sind.

Kann ich wirklich alles selbst löschen?

Ja. Einstellungen, dann „Konto löschen“ entfernt dein Konto, jedes Babyprofil, das dir gehört, und alle zugehörigen Einträge sofort. Du kannst auch von deiner Konto-Adresse an [email protected] schreiben. Kopien in verschlüsselten Backups verschwinden mit der normalen Rotation, innerhalb von 30 Tagen.

Heißt EU-Hosting, dass nie etwas die EU verlässt?

Nein, und etwas anderes zu behaupten wäre irreführend. Apple rechnet die Abos ab, RevenueCat verwaltet die Freischaltungen, Resend stellt E-Mails zu, und Sentry bekommt Absturzdetails. Diese Dienste erhalten Kennungen, E-Mail-Adressen oder technische Daten auf Basis von Standardvertragsklauseln — niemals die Mahlzeiten, den Schlaf, das Wachstum oder die Gesundheitsdaten deines Babys.

Werden Daten meiner Familie für Werbung genutzt?

Nein. Es gibt keine Werbung und keine Werbe-IDs, und nichts wird verkauft, vermietet oder an Werbetreibende weitergegeben. Es wird kein Werbe- oder Tracking-Profil von dir oder deinem Kind erstellt, und deine Einträge werden nie zum Training von KI-Modellen verwendet.