Datenschutzerklärung für Mëso Shqip

Version 1.0 · Entwurf vom 10. August 2026 · Gilt für App-Version 3.15.0 und später

⚠️ Dies ist ein Entwurf, der vor der Veröffentlichung von einer qualifizierten Juristin oder einem qualifizierten Juristen geprüft werden muss. Er wurde von einer Person ohne juristische Ausbildung geschrieben, gestützt auf das, was der Code tatsächlich tut. Offene Fragen und Abweichungen zwischen diesem Text und dem heutigen Code stehen in docs/juridisk/00-LES-FORST.md. Bei Widersprüchen gilt die norwegische Fassung.

---

Die kurze Antwort

Wenn Sie die App kostenlos nutzen, senden wir nichts irgendwohin. Es gibt kein Konto, keine Anmeldung und keinen Server, an den etwas gesendet werden könnte. Alles, was Ihr Kind tut — jedes Wort, jede Medaille, jede Serie — bleibt auf dem Gerät. Wir können es nicht sehen, weil wir es nie bekommen.

Das ist kein Zufall und kein Übergangszustand. Es ist die wichtigste Entwurfsentscheidung der gesamten App, und sie wurde getroffen, weil die App von Kindern zwischen drei und zwölf Jahren benutzt wird. Ein Kind unter 16 Jahren kann in Deutschland nicht selbst einwilligen, und der einfachste Weg, personenbezogene Daten eines Kindes richtig zu behandeln, ist, keine zu haben.

Wenn Sie die Vollversion kaufen, legen Sie ein Konto an — Ihres, nicht das Ihres Kindes. Wir brauchen Ihre E-Mail-Adresse, um den Kauf Ihnen zuzuordnen und den Lernfortschritt zwischen den Geräten der Familie zu synchronisieren. Das Kind hat weiterhin nur einen Spitznamen, den Sie selbst wählen. Wir fragen nie nach dem vollständigen Namen, dem Geburtsdatum, dem Alter, der E-Mail-Adresse oder dem Standort eines Kindes.

Der Rest dieses Dokuments sind die Einzelheiten.

---

1. Wer verantwortlich ist

Schreiben Sie uns zu allem, was in diesem Dokument steht. Wir antworten auf Norwegisch, Deutsch, Englisch und Albanisch — bei gewöhnlichen Fragen innerhalb eines Werktags, bei förmlichen Anträgen nach Kapitel III DSGVO spätestens innerhalb von 30 Tagen.

---

2. Die kostenlose Version: keine personenbezogenen Daten verlassen das Gerät

Ohne Kauf führt die App überhaupt keine Netzwerkaufrufe zu uns aus — nicht beim Start, nicht während der Nutzung, nicht im Hintergrund.

Alle Inhalte — 999 Wörter, 186 Sätze, 36 Buchstaben, 1 216 Tonaufnahmen und 999 Bilder — sind in der App enthalten. Nichts wird nachgeladen. Die App ist im Flugmodus vollständig.

Folgendes wird lokal auf dem Gerät gespeichert, im localStorage des Browsers und — in der App-Fassung — zusätzlich im Schlüsselspeicher des Betriebssystems, damit der Fortschritt erhalten bleibt, wenn das System Speicherplatz freigibt:

Wir sind für diese Daten nicht verantwortlich im Sinne der DSGVO, weil wir weder Zugriff darauf haben noch darüber bestimmen. Sie gehören Ihnen, auf Ihrem Gerät, so wie ein Foto, das Sie gemacht haben. Deinstallieren Sie die App, sind sie weg.

Die vierstellige PIN verlässt das Gerät nie, auch nicht, wenn Sie die Vollversion kaufen. Siehe Abschnitt 5.

---

3. Beim Kauf: ein Konto, und es gehört Ihnen

Das Konto erscheint an einer einzigen Stelle, ein einziges Mal: nachdem eine erwachsene Person die Rechenaufgabe im Elternbereich gelöst und sich zum Kauf entschieden hat. Es gibt keine Anmeldeschaltfläche auf dem Startbildschirm, kein „Registrieren" und nichts über Konten oder Preise irgendwo in der Oberfläche des Kindes.

Die Anmeldung erfolgt per Magic Link. Sie geben Ihre E-Mail-Adresse an, erhalten einen Link, tippen darauf. Keine Passwörter. Kein „Anmelden mit Google", „mit Facebook" oder „mit Apple" — wir haben überhaupt keine Anmeldung über Dritte und teilen deshalb nichts mit einem Identitätsanbieter.

3.1 Was wir verarbeiten, warum, und auf welcher Grundlage

3.2 Keine automatisierten Entscheidungen, kein Profiling im Rechtssinne

Die App passt sich dem Kind an: Wörter, die sitzen, kommen seltener, Wörter, die nicht sitzen, öfter, und das Tagesziel bewegt sich ein wenig nach oben oder unten, je nachdem, wie viel das Kind schafft. Diese gesamte Berechnung läuft auf dem Gerät, in engine/srs.js und engine/mastery.js, aus Zahlen, die im Profil liegen. Wir verwenden kein zentrales Modell, keinen Vergleich zwischen Kindern und keine Daten aus anderen Quellen. Es entsteht keine Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne des Art. 22 DSGVO.

---

4. Was wir nie erheben

Das ist keine Höflichkeitsfloskel. Jede Zeile ist ein Feld, das es in der Datenbank nicht gibt, und die App zeigt Ihnen dieselbe Liste im Elternbereich.

• Die PIN des Kindes. Siehe Abschnitt 5.
• Geburtsdatum oder Alter. Nirgends im Schema.
• Den vollständigen Namen des Kindes. Wir fragen nach einem Spitznamen und sagen das im Klartext, wenn das Profil angelegt wird. Das Feld ist Freitext und höchstens 14 Zeichen lang; wir können niemanden daran hindern, etwas anderes einzutippen, aber wir fragen nicht danach und brauchen es nicht.
• Die E-Mail-Adresse des Kindes. Kinder haben hier kein Konto.
• Standort. Die App fragt nie nach Ortungsdiensten. Die Webfassung blockiert es zusätzlich mit Permissions-Policy: geolocation=().
• Mikrofon, Kamera, Fotos oder Kontakte. Der Modus „Sag es laut" fordert das Kind zum Sprechen auf — aber die App hört nicht zu. Es gibt keine Aufnahme und keine Spracherkennung. Das Kind sagt das Wort in den Raum; die App hört nichts.
• Werbe-IDs (IDFA/AAID) oder App-übergreifendes Tracking. Wir fragen nie nach der App-Tracking-Transparenz-Erlaubnis, weil wir nichts hätten, wofür.
• Analysewerkzeuge Dritter. Kein Firebase Analytics, Google Analytics, Mixpanel, Amplitude, PostHog, Segment und kein Attributions-SDK. Kein Absturzbericht an Dritte.
• Werbung. Kein Werbe-SDK, keine Anzeigen, niemals.
• Tracking-Cookies. Die App setzt keine. Die Content-Security-Policy der Webfassung verwendet connect-src 'self', was Aufrufe an Dritte praktisch unmöglich macht, selbst wenn es jemand versuchte.

---

5. Die PIN wird bei uns nie gespeichert — auch nicht als Hash

Sie können einem Kinderprofil eine vierstellige PIN geben. Sie schützt vor einer Sache: dass die große Schwester das iPad nimmt und im Profil der Kleinen herumspielt. Die Bedrohung ist im Raum, und sie wird dadurch gelöst, dass das Gerät den Code kennt.

Deshalb speichern wir ihn nicht. Weder im Klartext noch als Hash. Der Server weiß nur, dass eine PIN existiert, damit die App auf einem neuen Gerät darauf hinweisen kann, dass dort auch eine gesetzt werden sollte.

Warum nicht einfach hashen: der Schlüsselraum umfasst 10 000 Möglichkeiten. Ein Hash verschafft Verzögerung gegenüber einem Angreifer, der die Datenbank bereits hat — keine Sicherheit — und er müsste jedes Mal laufen, wenn ein Kind sich vertippt und es noch einmal versucht. Den Code zu speichern hieße, eine Angriffsfläche auf Kinderdaten zu schaffen, ohne das zu verbessern, wofür er da ist. Art. 5 Abs. 1 lit. c DSGVO (Datenminimierung) weist in dieselbe Richtung.

Durchgesetzt wird das in vier Schichten, nicht in einer: der Client lässt das Feld weg, wenn er das Profil aufteilt; die Speicherfunktion auf dem Server entfernt es; ein Datenbank-Trigger weist jede Zeile zurück, die pin, pinHash oder pin_hash enthält — auch von unserer eigenen Administratorrolle; und der Import aus dem alten System nimmt sie nicht mit. Automatisierte Tests prüfen, dass das Wort in keiner Zeile der Datenbank vorkommt.

Der ehrliche Preis: ein neues iPad zeigt das Profil unverschlossen, bis eine erwachsene Person dort eine PIN setzt. Wir halten das für den richtigen Tausch.

---

6. Wo die Daten liegen und wer sie verarbeitet

Alle Daten werden in der EU gespeichert — Frankfurt am Main, Deutschland (eu-central-1). Die Region wird bei der Erstellung des Projekts festgelegt und kann nicht geändert werden, ohne alles von Hand umzuziehen. Die App zeigt Ihnen die Region im Elternbereich an, direkt vom Server gelesen, damit kein veralteter Text stehen bleiben kann.

Auftragsverarbeiter — namentlich

Die jeweils gültige Liste der Unterauftragsverarbeiter von Supabase ist Bestandteil deren Auftragsverarbeitungsvertrag. supabase.com/legal/customer-resources/subprocessor-list — sist oppdatert av Supabase 1. juni 2026, kontrollert av oss 11. august 2026 Wir prüfen sie bei jeder Neuveröffentlichung dieser Erklärung.

6.1 Apple und Google sind der Verkäufer, nicht wir

Kaufen Sie über den App Store oder Google Play, ist Apple oder Google der Verkäufer (merchant of record). Sie nehmen die Zahlung entgegen, erheben und führen die Umsatzsteuer ab und halten die Abrechnungsbeziehung.

Wir erhalten nie Ihre Kartennummer, Ihre Bankverbindung oder Ihre Rechnungsanschrift. Wir erhalten einen Beleg mit einer Transaktions-ID, einem Produktnamen und einem Ablaufdatum.

Wie Apple und Google Ihre Daten als Verkäufer behandeln, liegt in deren Verantwortung und richtet sich nach deren eigenen Datenschutzerklärungen.

6.2 Microsoft ist für uns kein Auftragsverarbeiter

Die Tonaufnahmen in der App wurden im Voraus mit Microsoft Azure AI Speech erzeugt, bevor die App veröffentlicht wurde. An Microsoft gesendet wurde die albanische Wortliste — keine Nutzerdaten, weil es noch keine Nutzer gab.

Die App enthält keinen Sprachdienst und ruft Microsoft während der Nutzung nicht auf. Die Aufnahmen liegen als Dateien in der App.

Die Erzählstimme ist synthetische Sprache, kein Mensch. Wir sagen das, weil Microsofts Bedingungen diese Offenlegung verlangen — und weil Microsoft ausdrücklich darum bittet, sie gegenüber Eltern zu geben, wenn sich das Produkt an Kinder richtet, damit Sie stellvertretend eine informierte Entscheidung treffen können. Die Stimme ist deutlich, freundlich und maschinell erzeugt.

---

7. Übermittlung außerhalb des EWR

Die Daten liegen in der EU. Zwei unserer Anbieter sind jedoch US-amerikanische Unternehmen, und deren Personal kann im Supportfall auf Daten zugreifen, die in Frankfurt liegen. Das gilt als Übermittlung.

Die Übermittlung stützt sich auf EUs standard personvernbestemmelser (SCC), modul to og tre, slik de er inntatt i Supabase sin databehandleravtale versjon 1 av 1. august 2026 Wir haben außerdem den Bedarf an zusätzlichen Maßnahmen geprüft; die getroffenen Maßnahmen stehen in docs/juridisk/07-informasjonssikkerhet.md.

Sie können bei uns eine Kopie der Garantien anfordern.

---

8. Wie lange wir speichern

Art. 5 Abs. 1 lit. e DSGVO und die 2025 geänderte US-amerikanische COPPA-Verordnung verlangen beide konkrete Fristen. „So lange wie erforderlich" ist keine Antwort. Hier sind die Zahlen.

---

9. Was passiert, wenn das Abo ausläuft

Nichts von dem, was das Kind erreicht hat, verschwindet.

Es gibt in der Datenbank keine Verbindung von der Berechtigung zum Fortschritt — eine bewusste Trennung, kein Zufall. Ein auslaufendes Abo schließt eine Tür; es stiehlt nicht.

• Medaillen, XP, Serie, Wiederholung und Beherrschungsstufen bleiben, wie sie sind.
• Die kostenlosen Kategorien funktionieren unbegrenzt weiter.
• Kategorien außerhalb der kostenlosen Stufe werden unzugänglich. Sie werden in der Oberfläche des Kindes nicht mit einem Schloss angezeigt — sie sind einfach nicht da, weil das norwegische Marketingkontrollgesetz § 20 Kaufaufforderungen an Kinder verbietet.
• Ihr Konto bleibt bestehen, damit ein neuer Kauf den Zugang sofort wiederherstellt und die Synchronisierung weiter funktioniert.
• Nach 730 Tagen ohne Anmeldung wird das Konto automatisch gelöscht, wie in Abschnitt 8 beschrieben. Sie können es jederzeit vorher selbst löschen.

Die App hat zusätzlich ein Kulanzfenster von 14 Tagen für Geräte, die uns nicht erreichen können — Flugmodus, Berge, die Fahrt nach Kosovo ohne Empfang. Dann glaubt die App der letzten Antwort, die sie erhalten hat. Ein Nein vom Server gilt dagegen sofort.

---

10. Ihre Rechte, und wie Sie sie tatsächlich nutzen

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (16), Löschung (17), Einschränkung (18), Datenübertragbarkeit (20) und Widerspruch (21). Wo wir uns auf berechtigte Interessen stützen — Zeilen 6, 7, 8 und 10 der obigen Tabelle — können Sie widersprechen, und wir müssen dann zwingende schutzwürdige Gründe nachweisen.

Sie üben die Rechte im Namen Ihres Kindes aus, soweit sie das Kind betreffen.

So geht es in der App

1. Tippen Sie auf dem Startbildschirm auf For foreldre (Für Eltern).
2. Lösen Sie die Rechenaufgabe. (Die Schranke existiert, damit ein Kind das nicht kann. Sie wird jedes Mal neu erzeugt, und die Lösung steht nie im Bildschirminhalt.)
3. Tippen Sie auf 🔐 Deine Daten. Der Bildschirm zeigt zwei Dinge, und er trennt sie:

• Das liegt auf diesem Gerät — und zwar unabhängig davon, ob Sie ein Konto haben: Spitzname und Tier jedes Kindes, wie viele Wörter und Sätze geübt wurden, XP und Medaillen, ob das Kind einen vierstelligen Code hat, die Einstellungen des Geräts, und wie viele Kilobyte das zusammen belegt.
• Ihr Konto, falls vorhanden: Ihre E-Mail-Adresse, wann das Konto angelegt wurde, Spitzname und Tier jedes Kindes, wann das Profil zuletzt geändert wurde, wie viele Bytes der Fortschritt belegt, welches Abo Sie haben, in welcher Region die Daten liegen, und die Liste des Servers darüber, was er nicht speichert.

Die Schaltflächen, mit dem Namen, den sie auf dem Bildschirm tatsächlich haben:

• ⬇️ Daten herunterladen liefert eine Datei mit allem, was die App auf dem Gerät gespeichert hat, und — falls Sie ein Konto haben — der Kopie des Servers daneben. Das Format ist dasselbe, das die App selbst verwendet, die Datei dient also auch als Sicherungskopie. Die vierstelligen Codes der Kinder sind nicht enthalten.
• 🗑️ Alles auf diesem Gerät löschen entfernt jede einzelne Sache, die die App hier gespeichert hat, und startet die App wie eine frische Installation. Haben Sie kein Konto — und in der Gratisstufe haben Sie keins — ist das die Löschung, die für Sie gilt, und sie ist vollständig: es gibt nirgends sonst eine Kopie.
• 🗑️ Konto und alles darin löschen erscheint nur, wenn Sie angemeldet sind. Damit werden Konto, alle Kinderprofile, der gesamte Fortschritt, Berechtigung und Belege in einem Vorgang entfernt, auf allen Geräten. Die Anmeldung verschwindet innerhalb von 30 Tagen. Das lässt sich nicht rückgängig machen.

Beide Löschungen verlangen, dass Sie das Wort LÖSCHEN in ein Feld eintippen. Eine Schaltfläche lässt sich versehentlich drücken, und «sind Sie sicher?» mit zwei Knöpfen ist genau der Dialog, den man ungelesen wegklickt.

Derselbe Bildschirm enthält die Datenschutzerklärung als Text in der App (📄 Datenschutzerklärung) und den Datenschutzhinweis für das Kind (🧒 Für das Kind: was die App über dich weiß). Beides funktioniert ohne Netz.

⚠️ Hinweis zum Entwurf, vor Veröffentlichung entfernen: der Bildschirm ist gebaut (js/minedata.js), und beide Zustände sind in Betrieb. Ohne Konto — das ist die kostenlose Stufe — zeigt er, was auf dem Gerät liegt, und bietet Export und lokale Löschung an, ohne einen einzigen Netzwerkaufruf. Mit Konto stellt er dieselben Fragen über js/sky.js an den Server: konto_innsyn, konto_eksport, konto_slett. Die Kontolöschung ist gegen das echte Projekt nachgewiesen — siehe backend/README.md § 13.

So geht es per E-Mail

Schreiben Sie an personvern@mesoshqip.eu von der Adresse, auf die das Konto lautet. Wir antworten innerhalb von 30 Tagen. Ist der Antrag komplex, können wir um zwei Monate verlängern und sagen Ihnen das innerhalb des ersten Monats. Können wir nicht bestätigen, dass Sie es sind, müssen wir mehr fragen — von einem Kind verlangen wir nie einen Ausweis.

Sind Sie mit unserem Umgang unzufrieden, können Sie sich beschweren:

Norwegen — Datatilsynet Postboks 458 Sentrum, 0105 Oslo postkasse@datatilsynet.no · +47 22 39 69 00 · datatilsynet.no

Deutschland — die Datenschutzaufsichtsbehörde Ihres Bundeslandes. Österreich — Datenschutzbehörde, Barichgasse 40-42, 1030 Wien. Vereinigtes Königreich — Information Commissioner's Office (ICO), Wycliffe House, Water Lane, Wilmslow, Cheshire SK9 5AF, ico.org.uk.

---

11. Sicherheit

Kurzfassung. Das vollständige, schriftliche Sicherheitsprogramm steht in docs/juridisk/07-informasjonssikkerhet.md.

• Kein Anwendungsserver zwischen App und Datenbank. Der Zugriff wird durch Row-Level-Security in der Datenbank gesteuert: ein angemeldeter Elternteil sieht das eigene Konto und sonst nichts. Die Regeln sind einmal geschrieben und werden von einer Testdatei geprüft, die wie ein Angreifer geschrieben ist — rohes SQL, geratene IDs, Aufrufe auf fremde Kinder, eine völlig unangemeldete Sitzung. 43 Behauptungen, und jede einzelne ist ein Versuch, der fehlschlagen muss.
• Niemand kann seine eigene Berechtigung schreiben. Alles, was Zahlung betrifft, läuft über den Server.
• Ratenbegrenzung je Konto, auch beim Lesen.
• Alles über HTTPS. Die Webfassung hat eine strenge Content-Security-Policy, die Aufrufe an Dritte vollständig blockiert.
• PINs existieren auf dem Server nicht. Siehe Abschnitt 5.
• Sicherungskopien ingen sikkerhetskopi på gjeldende plan.

Kommt es dennoch zu einer Verletzung, die voraussichtlich ein Risiko für die Rechte des Kindes mit sich bringt, melden wir sie der Aufsichtsbehörde innerhalb von 72 Stunden und Ihnen unmittelbar, wenn das Risiko hoch ist.

---

12. Kinder und Einwilligung

Die App ist für Kinder von etwa drei bis zwölf Jahren gemacht und wird an Eltern verkauft.

Das Alter, ab dem ein Kind selbst in einen digitalen Dienst einwilligen kann, liegt in Deutschland bei 16 Jahren, in Österreich bei 14 und in Norwegen bei 13. Jedes Kind, das diese App benutzt, liegt in seinem Land unter der Schwelle.

Wir bauen deshalb so, dass eine Einwilligung des Kindes nie nötig ist. Das Konto gehört dem Elternteil, der Vertrag besteht mit dem Elternteil, und das Einzige, was das Kind beisteuert, ist ein von der Familie gewählter Spitzname und Fortschritt in einer Übungs-App. Unsere Grundlage ist der Vertrag mit dem Elternteil, nicht die Einwilligung des Kindes, im Einklang mit Art. 8 DSGVO.

Wir haben eine eigene Datenschutzinformation für das Kind geschrieben, in kurzen Sätzen mit Bildern, die vorgelesen werden kann. Sie ist keine Zusammenfassung dieses Dokuments — sie ist für eine andere Leserin geschrieben. Der britische Age Appropriate Design Code verlangt genau das.

Und: in der Oberfläche des Kindes gibt es nichts, was mit Geld zu tun hat. Keine Preise, keine Schlösser mit einem Preis dahinter, kein „frag die Mama". Inhalte außerhalb der kostenlosen Stufe sind nicht versteckt — sie sind nicht da.

---

13. Drucken, Papier und der Tagesauftrag

Der Fortschrittsbericht, die Wortkarten, die Wortliste und die Urkunde werden im Browser auf Ihrem eigenen Gerät erzeugt, aus Daten, die dort schon liegen. Nichts wird an einen Server gesendet, und wir benutzen keinen PDF-Dienst. Drucken Sie eine Urkunde mit dem Spitznamen Ihres Kindes, bekommt Ihr Drucker sie, nicht wir.

Der Tagesauftrag — „sag der Oma ein Wort" — wird vom Gerät aus dem Datum und den bereits getroffenen Wörtern gewählt. Niemand kontrolliert das Häkchen, und es wird nirgendwohin gesendet.

---

14. Änderungen dieser Erklärung

Ändern wir etwas Wesentliches, erhöhen wir die Versionsnummer oben und weisen in der App darauf hin, wenn Sie den Elternbereich das nächste Mal öffnen. Erfordert eine Änderung Ihre Einwilligung, fragen wir, bevor sie wirksam wird. Frühere Fassungen erhalten Sie auf Anfrage.

---

Anhang: die Rechte im Code, mit technischen Namen

Das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 steht in docs/juridisk/06-ropa.md, die Datenschutz-Folgenabschätzung nach Art. 35 in docs/juridisk/03-dpia.md. Beide werden der Aufsichtsbehörde auf Anfrage vorgelegt.