Datenschutzerklärung von Northstar Family

Version 1, gültig ab 14. November 2026.

Über diese Erklärung

Northstar Family ist eine App, mit der die Mitglieder einer Familie ihren Standort miteinander teilen und ein verlegtes Gerät klingeln lassen können. In dieser Erklärung erfährst du, welche personenbezogenen Daten wir dafür verarbeiten, warum, wo, wie lange, wer sie sehen kann und welche Rechte du hast (Art. 13 und 14 DSGVO).

Die Erklärung gilt für den Server von Northstar Family, für die App und für die Website northstarfamily.app. Mit „unser Server“ meinen wir die Dienste von Google Firebase, die wir für Northstar Family nutzen.

Diese Erklärung beschreibt nur, was heute so funktioniert. Der Server läuft bereits. Die App ist noch nicht bei Google Play erhältlich. Was die App noch lernen muss, nehmen wir in diese Erklärung auf, bevor es in Betrieb geht, in einer neuen Version (siehe Änderungen).

Ein paar Begriffe, die wir unten verwenden:

• Eine Familie sind die Menschen, die ihren Standort miteinander teilen. Mitglieder einer Familie sehen nie eine andere Familie.
• Ein Mitglied ist eine Person in der Familie. Ein Mitglied ist Elternteil oder Kind. Das sind Rollen in der App: Sie sagen nichts über das Alter einer Person. Ein Elternteil hat alle Rechte in der Familie.
• Ein Gerät ist ein Handy oder Tablet einer Person. Ein Mitglied kann mehrere Geräte haben, und ein Gerät kann in zwei Familien sein.
• Ein Standort ist eine Position eines Geräts zu einem bestimmten Zeitpunkt. Der Verlauf eines Geräts sind seine 720 neuesten Standorte.

Wer verantwortlich ist

Verantwortlich für die Verarbeitung (Art. 4 Nr. 7 DSGVO) ist:

Nathalie Eeckhout, handelnd unter dem Namen Belle Perlette
Volkershouw 19a, 9230 Wetteren, Belgien
Unternehmensnummer 0765.341.678
USt-IdNr. BE 0765.341.678
E-Mail: privacy@northstarfamily.app

Wir haben keinen Datenschutzbeauftragten benannt. Mit jeder Frage zu deinen Daten kannst du dich an privacy@northstarfamily.app wenden.

Kurz gesagt

• Unser Server nimmt Standorte nur in Form eines verschlüsselten Pakets an. Für lesbare Koordinaten und für die Schlüssel zum Lesen hat er keinen Platz.
• Kinder geben nie eine E-Mail-Adresse an. Von Eltern speichern wir die E-Mail-Adresse ihres Google-Kontos. Die nutzen wir nie für Marketing.
• Keine Werbung. Wir verkaufen keine Daten und geben sie nicht an Werbetreibende weiter.
• Fast alles liegt in Belgien, in der Google-Region europe-west1. Zwei Dienste von Google arbeiten auch außerhalb der EU: die Anmeldung (Firebase Authentication, in den Vereinigten Staaten) und die Zustellung von Nachrichten an Geräte (Firebase Cloud Messaging, weltweit). Die Website läuft auf einem Server in London, im Vereinigten Königreich.
• Die Website setzt keine Cookies und nutzt keine Analysedienste und keine Skripte von Dritten.
• Du kannst deine Daten löschen lassen, auch ohne die App: siehe Konto löschen.

Welche Daten wir verarbeiten

Familie und Mitglieder

• der Name der Familie und wann sie erstellt wurde;
• von jedem Mitglied: der Name, das Emoji, die Rolle (Elternteil oder Kind), ob das Mitglied noch in der Familie ist und wann es beigetreten ist oder sie verlassen hat;
• von jedem Elternteil: die E-Mail-Adresse des Google-Kontos, mit dem sich dieses Elternteil anmeldet, und ein Hash der Google-ID dieses Kontos (ein Code, der aus dieser ID abgeleitet ist; die ID selbst speichern wir nicht). Außerdem wann und von welchem Gerät aus das Google-Konto verknüpft wurde. Ob Google die E-Mail-Adresse bestätigt hat, speichern wir nicht, ebenso wenig deinen Namen oder dein Foto bei Google.

Kinder geben nie eine E-Mail-Adresse an und melden sich nie mit Google an.

Geräte

• der Name (zum Beispiel „Pixel von Emma“) und das Modell (zum Beispiel „Pixel 8“);
• die Version der App;
• die Berechtigungen auf dem Gerät: Benachrichtigungen an oder aus, Standort (keiner, ungefähr oder genau), Standort im Hintergrund und Benachrichtigungen im Vollbild;
• der Pausenstatus: ob das Teilen mit dieser Familie pausiert ist, seit wann und bis wann;
• wann das Gerät beigetreten ist, wann es entfernt wurde und wann es diese Angaben zuletzt aktualisiert hat;
• technische Kennungen: eine zufällige ID pro Gerät bei Firebase Authentication, eine ID, die aus dem Schlüssel des Geräts abgeleitet ist, die öffentlichen Schlüssel des Geräts und ein FCM-Token: die Adresse, an die Google Nachrichten für das Gerät zustellt.

Jetzt suchen und Klingeln lassen

Mit Jetzt suchen bittest du ein Gerät sofort um einen neuen, genauen Standort. Mit Klingeln lassen lässt du ein Gerät laut klingeln, damit du es wiederfindest. Zu jedem Befehl speichert unser Server: welches Mitglied und welches Gerät ihn gegeben hat, an welches Gerät, welchen Befehl (Jetzt suchen, Klingeln lassen oder Klingeln stoppen), wann, ob die Nachricht zugestellt werden konnte und das Ergebnis, das das Gerät zurückmeldet (zum Beispiel „klingelt“ oder „Benachrichtigungen sind aus“). Ein Befehl enthält nie einen Standort.

Beitrittscodes

Ein Beitrittscode verbindet ein neues Gerät mit der Familie. Solange der Code gilt, speichert unser Server, für welches Mitglied er ist, mit welcher Rolle, den Namen dieses Mitglieds, welches Gerät welches Elternteils ihn erstellt hat, wann und welches Gerät ihn verwendet hat. Für den geheimen Code selbst hat unser Server keinen Platz: Er arbeitet nur mit einem daraus abgeleiteten Wert, an dem er den Code erkennt.

Abo

Von jeder Familie speichern wir den Status des Abos, für wie viele Geräte es gilt, bis wann es läuft, welches Mitglied zahlt, um welches Produkt von Google Play es sich handelt, und das Kauftoken: einen Code, mit dem unser Server bei Google Play den aktuellen Status abfragt. Google Play wickelt die Zahlung ab. Wir erhalten keine Zahlungsdaten, keine Rechnungsadresse und keine E-Mail-Adresse der Person, die zahlt. Unser Server ordnet einen Kauf nur der Familie zu, deren ID beim Kauf in Google Play hinterlegt ist.

Sicherheit und Betrieb

• Zähler gegen Missbrauch: wie oft ein Gerät, eine Familie, ein Google-Konto oder eine IP-Adresse eine Funktion unseres Servers aufgerufen hat. Sie werden unter einem Hash gespeichert, ohne die ID oder die IP-Adresse selbst;
• die Logs unserer Serverfunktionen: die IDs von Familie, Mitglied und Gerät, Gründe für eine Ablehnung oder einen Fehler und Zeitangaben. Nie Namen, E-Mail-Adressen, Tokens oder Standorte;
• die Anfrage-Logs der Plattform von Google: die IP-Adresse und der User-Agent (Angaben zur App oder zum Browser) dessen, der eine Funktion aufgerufen hat, welche Funktion, das Ergebnis und die Dauer;
• Firebase Authentication verarbeitet die IP-Adresse und den User-Agent jeder Anmeldung eines Geräts und jeder Erneuerung dieser Anmeldung;
• die Audit-Logs von Google: wer die Einstellungen unseres Projekts geändert hat. Darin stehen nur die Administratoren unseres Projekts.

Wofür unser Server keinen Platz hat

Lesbare Standorte, private Schlüssel, die Schlüssel, mit denen Standorte verschlüsselt werden, und die geheimen Beitrittscodes: Dafür hat unser Server keinen Platz, und unsere Serverfunktionen lehnen jede Anfrage ab, die ein Feld enthält, das wie eine Position, ein Schlüssel oder ein geheimer Code aussieht. Auch Zahlungsdaten erhalten wir nicht, ebenso wenig etwas auf deinem Gerät, was die App nicht braucht: Kontakte, Fotos, Nachrichten, Dateien.

Standorte

Unser Server nimmt einen Standort nur in Form eines verschlüsselten Pakets an, mit einem eigenen verpackten Schlüssel für jedes Gerät, das den Standort lesen darf. Für lesbare Koordinaten gibt es keinen Platz: Unser Server lehnt einen Standort ab, der nicht in dieser Form kommt. Auch für die Schlüssel zum Lesen von Standorten hat unser Server keinen Platz.

Was unser Server lesen kann:

• wann ein Standort erfasst wurde und wann er ankam;
• für welche Geräte er verschlüsselt ist.

Aus diesen Zeitpunkten könnte jemand mit Zugang zu unserem Server ableiten, wann ein Gerät Standorte gesendet hat.

Wer einen Standort abrufen darf, legt unser Server fest:

• den aktuellen Standort eines Geräts: jedes Gerät der Familie;
• den Verlauf eines Geräts: die Geräte der Eltern und die eigenen Geräte des Mitglieds, dem das Gerät gehört. Ein Kind kann also nur den Verlauf seiner eigenen Geräte abrufen.

Der Verlauf besteht aus den 720 neuesten Standorten eines Geräts in einer Familie, egal wie alt sie sind. Ältere Standorte werden gelöscht.

Ist das Teilen eines Geräts für eine Familie pausiert, lehnt unser Server ein Jetzt suchen von anderen Mitgliedern dieser Familie ab, ohne dem Gerät etwas zu senden. Nur die anderen Geräte desselben Mitglieds können es dann suchen. Klingeln lassen funktioniert weiter für alle in der Familie.

Wozu und auf welcher Rechtsgrundlage

Wir nutzen deine Daten für keine anderen Zwecke. Wir erstellen keine Profile, und keine Entscheidung über dich wird ausschließlich automatisiert im Sinne von Art. 22 DSGVO getroffen.

Wer die Daten sieht

Die Mitglieder deiner Familie sehen den Namen der Familie, die Namen, Emojis und Rollen der Mitglieder, den Namen, das Modell, die Berechtigungen und den Pausenstatus jedes Geräts und die Standorte, wie oben unter Standorte beschrieben. Die E-Mail-Adresse eines Elternteils sehen die anderen Mitglieder nicht. Wer einen gültigen Beitrittscode hat, sieht vor dem Beitritt den Namen der Familie, den Namen des Mitglieds und die Rolle.

Wir als Betreiber unseres Servers können sehen: den Namen der Familie, die Namen, Emojis und Rollen der Mitglieder, die Namen und Modelle der Geräte, die Zeitpunkte aller Standorte, den Pausenstatus, die Berechtigungen und die App-Version, wer welches Gerät suchen oder klingeln lassen wollte und wann (7 Tage lang), die Abodaten mit dem Kauftoken, die E-Mail-Adressen und Hashes der Google-ID von Eltern sowie technische IDs und IP-Adressen in den Logs. Von Positionen sehen wir nur das verschlüsselte Paket: Für die Schlüssel zum Lesen hat unser Server keinen Platz. Wir sehen uns diese Daten nur an, wenn das nötig ist, damit der Dienst funktioniert, um eine Frage oder Anfrage von dir zu bearbeiten oder um einen Fehler oder Missbrauch zu beheben.

Auftragsverarbeiter, die Daten in unserem Auftrag verarbeiten, auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO):

• Google (Firestore, Cloud Functions, Pub/Sub, Cloud Scheduler, Cloud Logging, Firebase Authentication, Firebase Cloud Messaging), nach dem Cloud Data Processing Addendum von Google und den Firebase Data Processing and Security Terms;
• OVHcloud (OVH B.V., Niederlande), bei dem der Server der Website steht, in einem Rechenzentrum in London (Vereinigtes Königreich), und unser Postfach privacy@northstarfamily.app, in Frankreich. Auf dem Server liegen die Logs des Webservers. Im Postfach liegen die E-Mails aus dem Löschformular, andere E-Mails an diese Adresse und unsere Antworten.

Eigenständige Verantwortliche:

• Google Play, für die Zahlung des Abos. Google Play speichert das Google-Konto der Person, die zahlt, die Zahlungsmethode und die Rechnungsadresse; wir erhalten diese nicht.
• Google, als Anbieter des Google-Kontos, mit dem sich ein Elternteil anmeldet.

Darüber hinaus geben wir Daten nur weiter, wenn das Gesetz uns dazu verpflichtet.

Wo die Daten liegen

• In Belgien (Google, Region europe-west1): die Datenbank (Firestore), unsere Serverfunktionen (Cloud Functions), die Nachrichten von Google Play über Abos (Pub/Sub), die geplanten Aufgaben und unsere Logs.
• In den Vereinigten Staaten: Firebase Authentication läuft nur aus Rechenzentren in den USA. Dort liegen die zufällige ID jedes Geräts und die Zeiten von Anmeldung und Erneuerung, und dort werden die IP-Adressen und User-Agents dieser Anmeldungen verarbeitet. Namen und E-Mail-Adressen liegen dort nicht: Die speichern wir in der Datenbank in Belgien.
• Weltweit: Firebase Cloud Messaging stellt Nachrichten an Geräte von jedem Ort aus zu, an dem Google tätig ist. Es verarbeitet das FCM-Token jedes Geräts und die Nachrichten selbst. Diese enthalten nur IDs, außer der Benachrichtigung an Eltern, dass das Teilen gestoppt ist: Darin steht der Name der Familie.
• Weltweit: die Audit-Logs von Google über Änderungen an den Einstellungen unseres Projekts. Darin stehen nur die Administratoren unseres Projekts.
• In Frankreich (OVHcloud): unser Postfach privacy@northstarfamily.app, mit den E-Mails aus dem Löschformular, anderen E-Mails an diese Adresse und unseren Antworten.
• Im Vereinigten Königreich (OVHcloud, Rechenzentrum in London): der Server der Website, mit den Logs des Webservers. Was du im Löschformular angibst, geht über diesen Server an unser Postfach in Frankreich. Der Server speichert nichts davon.

Für das Vereinigte Königreich hat die Europäische Kommission beschlossen, dass das Land personenbezogene Daten angemessen schützt (Durchführungsbeschluss (EU) 2021/1772, verlängert bis zum 27. Dezember 2031 durch Durchführungsbeschluss (EU) 2025/2574; Art. 45 DSGVO). Darauf stützen wir uns für den Server der Website.

Für das, was Google außerhalb des Europäischen Wirtschaftsraums verarbeitet, stützt sich Google auf den EU-US-Datenschutzrahmen (Durchführungsbeschluss (EU) 2023/1795 der Europäischen Kommission, Art. 45 DSGVO), dessen Einhaltung Google erklärt, und ansonsten auf die Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914, Art. 46 Abs. 2 lit. c DSGVO). Für die Zahlung stützt sich Google Play auf dieselben Standardvertragsklauseln. Eine Kopie dieser Garantien kannst du bei uns anfordern.

Wie lange wir Daten speichern

Deine Daten löschen

Wie du ein Gerät, dich selbst oder eine ganze Familie löschen lassen kannst, steht auf der Seite Konto löschen. Was dann passiert:

• Ein Gerät entfernen: Die Standorte und der Verlauf dieses Geräts werden sofort aus der Familie gelöscht. Ist es dein letztes Gerät in dieser Familie, verlässt du auch die Familie.
• Ein Mitglied, das die Familie verlässt oder entfernt wird: Der Name verschwindet sofort, und bei einem Elternteil auch die E-Mail-Adresse und die Google-Daten. Das letzte Elternteil kann die Familie nicht auf diese Weise verlassen: Es macht zuerst jemand anderen zum Elternteil oder löscht die ganze Familie.
• Eine Familie löschen kann nur ein Elternteil. Alles von der Familie wird sofort gelöscht.
• Was schon auf den Geräten anderer Mitglieder ist, können wir nicht von diesen Geräten löschen.
• Das Abo läuft weiter, bis die Person, die es bezahlt, es in Google Play kündigt, auch wenn die Familie gelöscht ist: play.google.com/store/account/subscriptions.

Was nach einer Löschung noch eine Weile bleibt (Logs, Backups von Google), steht in der Tabelle oben.

Kinder

In Northstar Family ist „Kind“ eine Rolle, kein Alter. Was für ein Mitglied mit der Rolle Kind anders ist:

• Ein Kind gibt nie eine E-Mail-Adresse an und meldet sich nie mit Google an.
• Ein Kind kann nur den Verlauf seiner eigenen Geräte abrufen. Die Geräte der Eltern können den Verlauf jedes Geräts in der Familie abrufen.
• Wird ein Elternteil zum Kind, löschen wir sofort die E-Mail-Adresse und die Google-Daten dieses Mitglieds.

Bist du jünger als 18 und hast eine Frage zu deinen Daten? Schreib uns an privacy@northstarfamily.app, allein oder zusammen mit jemandem, dem du vertraust. Du hast dieselben Rechte wie alle anderen.

Deine Rechte

Du hast das Recht,

• zu erfahren, welche Daten wir über dich haben, und eine Kopie zu erhalten (Art. 15 DSGVO);
• falsche Daten berichtigen zu lassen (Art. 16 DSGVO);
• deine Daten löschen zu lassen (Art. 17 DSGVO);
• die Verarbeitung einschränken zu lassen (Art. 18 DSGVO);
• die Daten, die du uns gegeben hast, in einem gängigen Format zu erhalten (Art. 20 DSGVO);
• einer Verarbeitung auf Grundlage unseres berechtigten Interesses zu widersprechen (Art. 21 DSGVO).

Schreib dafür an privacy@northstarfamily.app, oder nutze zum Löschen die Seite Konto löschen. Wir antworten innerhalb eines Monats. Ist eine Anfrage kompliziert, kann es zwei Monate länger dauern; das sagen wir dir dann innerhalb des ersten Monats (Art. 12 Abs. 3 DSGVO).

Northstar Family hat keine Konten mit Passwort. Deshalb prüfen wir, wer eine Anfrage stellt, anhand von Angaben, die nur du und deine Familie kennt, und anhand einer Antwort von derselben E-Mail-Adresse (Art. 12 Abs. 6 DSGVO). Auf einen Namen allein handeln wir nie. Unsere Antworten enthalten keine Daten über deine Familie, außer was mit deiner Anfrage geschehen ist.

Bist du nicht einverstanden damit, wie wir mit deinen Daten umgehen, kannst du dich bei der belgischen Datenschutzbehörde beschweren, Drukpersstraat 35, 1000 Brüssel, contact@apd-gba.be, www.datenschutzbehorde.be (Art. 77 DSGVO). Sag uns aber gern zuerst Bescheid: Dann suchen wir gemeinsam eine Lösung.

Die Website

Die Website northstarfamily.app setzt keine Cookies und nutzt keine Analysedienste, keine Werbung und keine Skripte von Dritten.

• Logs des Webservers. Der Webserver, bei OVHcloud in London (Vereinigtes Königreich), speichert bei jedem Besuch deine IP-Adresse, deinen Browser, die aufgerufene Seite (ohne das, was nach einem Fragezeichen steht), den Zeitpunkt und technische Angaben zur Anfrage und zur Antwort, etwa den Status und wie lange es gedauert hat. Von welcher Seite du kamst, speichert er nicht. Lehnt Windows eine Anfrage schon ab, bevor sie die Website erreicht, zum Beispiel weil sie ungültig ist, speichert es deine IP-Adresse, die aufgerufene Adresse, den Zeitpunkt und den Grund in einem eigenen Fehlerlog. Wir bewahren beide 7 Tage auf, um die Website zu schützen und Fehler zu beheben. Weil wir sie jede Stunde aufräumen, bleibt ein Eintrag höchstens 2 Stunden länger.
• Das Löschformular. Was du angibst, geht über den Webserver als eine E-Mail an unser Postfach bei OVHcloud, in Frankreich. Die Website speichert nichts davon. Wir löschen die E-Mail und unsere Antworten 30 Tage, nachdem deine Anfrage abgeschlossen ist. Welche Felder das Formular hat, steht auf der Seite Konto löschen.
• Die Seite für Beitrittslinks. Öffnet sich ein Beitrittslink nicht in der App, zeigt die Website eine Seite mit einer Erklärung. Der Teil des Links nach # ist der Beitrittscode: Die Seite schickt ihn nirgendwohin, auch nicht an unseren Webserver.

Sicherheit

• Der gesamte Datenverkehr zwischen der App, der Website und unserem Server ist verschlüsselt (TLS).
• Jede Familie ist von den anderen abgeschirmt: Unser Server lässt ein Gerät nur Daten der Familien lesen, in denen es ist.
• Jedes Gerät hat seine eigene Anmeldung bei unserem Server und kann einzeln entfernt werden. Ein entferntes Gerät kann danach nichts mehr lesen.
• Unsere Serverfunktionen schreiben nie Namen, E-Mail-Adressen, Tokens oder Standorte in ihre Logs.
• Geht mit personenbezogenen Daten trotzdem etwas schief, melden wir das der Datenschutzbehörde und, wenn es ein hohes Risiko für dich bedeutet, auch dir (Art. 33 und 34 DSGVO).

Änderungen

Wir passen diese Erklärung an, wenn sich die App, der Server oder die Website ändert, und bevor etwas Neues in Betrieb geht. Jede Version bekommt eine Nummer und das Datum, ab dem sie gilt, oben auf dieser Seite. Eine frühere Version kannst du bei uns anfordern.

Kontakt

Nathalie Eeckhout, handelnd unter dem Namen Belle Perlette, Volkershouw 19a, 9230 Wetteren, Belgien
E-Mail: privacy@northstarfamily.app