1. Verantwortlicher und Geltungsbereich

Mika Spang
Am Weidenpesch 17
50858 Köln
Deutschland
E-Mail: legal@myhealthykids.app
Impressum: myhealthykids.app/imprint

Ein Datenschutzbeauftragter ist nicht bestellt, weil hierfür keine gesetzliche Pflicht besteht. Diese Erklärung gilt, soweit wir über Zwecke und Mittel einer Verarbeitung entscheiden. Für Verarbeitungen, die Apple, Cloudflare, Instagram oder TikTok in eigener Verantwortung vornehmen, gelten ergänzend deren Datenschutzhinweise.

2. App-Daten auf Gerät und iCloud

In MyHealthyKids können Eltern und andere Sorgeberechtigte Informationen zur Entwicklung und Gesundheit von Kindern dokumentieren. Dazu können insbesondere Namen oder Bezeichnungen, Geburtsdaten, Größe, Gewicht, Kopfumfang, Zahnentwicklung, Impfungen, Vorsorgeuntersuchungen sowie Angaben zu Stillen, Schlaf und Windeln gehören. Ein Teil dieser Angaben sind Gesundheitsdaten und damit besonders geschützte Daten.

Diese Inhalte werden lokal auf dem verwendeten Gerät gespeichert. Ist iCloud für MyHealthyKids aktiviert, werden sie innerhalb der persönlichen iCloud-Umgebung des Apple-Accounts gespeichert und zwischen verbundenen Geräten synchronisiert. Wir betreiben weder einen App-Account noch einen eigenen Server für diese Inhalte. Wir erhalten keinen regulären Zugriff auf Ihre Einträge, die Daten Ihrer Kinder oder die in iCloud gespeicherten Inhalte.

Die App greift nicht auf HealthKit oder sonstige externe Datenquellen zu. Die Eingabe ist freiwillig. Ohne bestimmte Angaben stehen lediglich die davon abhängigen Dokumentationsfunktionen nicht zur Verfügung. Soweit die lokale App-Verarbeitung datenschutzrechtlich uns zuzurechnen ist, dient sie der Bereitstellung der von Ihnen angeforderten App-Funktionen. Besonders geschützte Angaben werden nur aufgrund Ihrer bewussten Entscheidung verarbeitet, sie in den dafür vorgesehenen Feldern einzutragen.

MyHealthyKids richtet sich an Erwachsene, insbesondere Eltern und Sorgeberechtigte, und nicht an Kinder zur selbstständigen Nutzung. Tragen Sie Daten eines Kindes nur ein, wenn Sie dazu berechtigt sind. Schutz des Geräts, Gerätesperre, Apple-Account und iCloud-Einstellungen liegen in Ihrem Einflussbereich.

3. iCloud-Sharing mit ausgewählten Personen

Sie können App-Inhalte über Apples iCloud-Sharing gezielt mit einzelnen Personen teilen. Die Freigabe wird von Ihnen gestartet; Sie wählen die eingeladenen Personen und können eine Freigabe über die von Apple bereitgestellten Funktionen verwalten oder beenden. Dabei verarbeitet Apple insbesondere die freigegebenen Inhalte, Apple-Account- und Einladungsinformationen sowie technische Verbindungsdaten.

Wir erfahren grundsätzlich nicht, wen Sie einladen, und erhalten durch die Freigabe keinen Zugriff auf die geteilten Inhalte. Eingeladene Personen können die freigegebenen Daten entsprechend den von Apple und der App vorgesehenen Berechtigungen sehen oder bearbeiten. Teilen Sie Kinder- und Gesundheitsdaten nur mit vertrauenswürdigen, hierzu berechtigten Personen. Beim Ende einer Freigabe können bereits anderweitig gespeicherte Kopien bei Empfängern fortbestehen.

4. Datenschutzfreundliche Analyse mit TelemetryDeck

Wir verwenden TelemetryDeck in der App und auf der Website, um zu verstehen, welche allgemeinen Funktionen genutzt werden, Fehler zu erkennen und MyHealthyKids zuverlässig weiterzuentwickeln. Anbieter ist die TelemetryDeck GmbH, Von-der-Tann-Str. 54, 86159 Augsburg, Deutschland.

Welche Angaben werden übermittelt?

• eine automatisch erzeugte und nach Anbieterangaben nicht rückverfolgbare anonyme Kennung je App-Installation beziehungsweise Web-Nutzung; wir übermitteln keine eigene Benutzerkennung,
• allgemeine Ereignisse wie App-Starts, die Nutzung einer Funktion oder Seitenaufrufe,
• ein auf die volle Stunde gerundeter Zeitstempel,
• technische Angaben wie App- oder Browserversion, Betriebssystem, Build und Gerätetyp,
• bei der Website eine aus den ersten drei Blöcken der eingehenden IP-Adresse abgeleitete ungefähre Länderzuordnung.

Wir senden keine Namen, E-Mail-Adressen, Gesundheitsdaten, Angaben über Kinder, App-Inhalte oder sonstige frei eingegebene Inhalte an TelemetryDeck. Nach Angaben von TelemetryDeck wird die Kennung bereits auf dem Gerät gesalzen und gehasht und auf dem Server ein zweites Mal gesalzen und gehasht. IP-Adressen werden weder in Datenbanken noch in Logfiles gespeichert. TelemetryDeck verwendet keine Cookies und nach eigenen Angaben keine Identifikatoren, die auf eine Person zurückgeführt werden können.

TelemetryDeck erklärt die so verarbeiteten Angaben als vollständig anonym und daher nicht als personenbezogene Daten im Sinne von DSGVO oder CCPA. Soweit bei der technischen Übertragung dennoch kurzfristig personenbezogene Netzwerkdaten anfallen, stützen wir die Verarbeitung auf unser berechtigtes Interesse an einer datensparsamen, aussagekräftigen und sicheren Produktanalyse (Art. 6 Abs. 1 lit. f DSGVO). Die Server befinden sich nach Anbieterangaben bei Microsoft Azure in Amsterdam, AWS in Frankfurt sowie Hetzner in Falkenstein und Nürnberg.

Wir bieten bewusst keine Abschaltmöglichkeit an, weil keine personenbezogenen Profile erstellt werden und eine konsistente anonyme Datengrundlage für belastbare Auswertungen erforderlich ist. TelemetryDeck wird gleichwohl aus Transparenzgründen ausdrücklich genannt.

Weitere Informationen: Privacy FAQ, Datenschutz bei TelemetryDeck und offener Quellcode der SDKs.

5. Website, Hosting und Server-Logs

Beim Aufruf der Website sind technische Verbindungsdaten erforderlich: insbesondere IP-Adresse, Zeitpunkt, angeforderte Datei, übertragene Datenmenge, Referrer, Browser, Betriebssystem und Zugriffsstatus. Sie werden zur Auslieferung der Website, zur Stabilität und zur Abwehr von Missbrauch in Server-Logs verarbeitet.

Hosting- und E-Mail-Dienstleister ist die helloly GmbH, Rainerstraße 25, 4020 Linz, Österreich. Nach den Datenschutzhinweisen des Anbieters werden Logfile-Informationen höchstens 30 Tage gespeichert und anschließend gelöscht oder anonymisiert; bei einem konkreten Sicherheitsvorfall können relevante Daten bis zur Klärung beziehungsweise Beweissicherung länger gesperrt bleiben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (sicherer und verfügbarer Betrieb).

Anbieterhinweise: helloly Datenschutzerklärung.

6. Support, Kontaktformular und Cloudflare Turnstile

Kontaktaufnahme

Bei einer Anfrage über das Formular oder per E-Mail verarbeiten wir Name, E-Mail-Adresse, Nachrichteninhalt, Versandzeitpunkt und technisch erforderliche Metadaten, um das Anliegen zu bearbeiten und zu beantworten. Das Formular ermöglicht keine Datei-Uploads. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anliegen, sonst Art. 6 Abs. 1 lit. f DSGVO an effizienter Supportkommunikation.

Bitte senden Sie keine Kinder- oder Gesundheitsdaten, soweit sie für die Anfrage nicht unbedingt erforderlich sind. Enthält Ihre Nachricht freiwillig Gesundheitsdaten, verarbeitet MyHealthyKids diese ausschließlich zur Bearbeitung der Anfrage auf Grundlage Ihrer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO). Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der vorherigen Verarbeitung bleibt unberührt.

Lokaler Formularentwurf

Während Sie das Formular ausfüllen, speichert die Website Name, E-Mail-Adresse, Nachricht und den Status der Datenschutzhinweis-Checkbox im lokalen Speicher Ihres Browsers. Dadurch bleibt ein angefangener Entwurf beim Neuladen erhalten. Vor dem Absenden werden diese Inhalte nicht an uns übertragen. Nach erfolgreichem Versand löscht die Website den Entwurf; außerdem können Sie ihn jederzeit durch Löschen der Website-Daten im Browser entfernen. Die Speicherung dient der von Ihnen aufgerufenen Formularfunktion (§ 25 Abs. 2 Nr. 2 TDDDG).

Missbrauchsschutz

Auf der Supportseite verwenden wir Cloudflare Turnstile, um automatisierte und missbräuchliche Übermittlungen zu erkennen. Beim Laden der Supportseite wird hierfür Code von Cloudflare geladen; die Sicherheitsprüfung wird beim Absendeversuch ausgeführt. Dabei kann Cloudflare insbesondere IP-Adresse, Browser- und Geräteinformationen, Referrer, Zeit- und Interaktionssignale sowie das Ergebnis der Prüfung verarbeiten. Der von Cloudflare erzeugte Token wird mit dem Formular an unseren Server übermittelt und serverseitig bei Cloudflare überprüft.

Anbieter ist Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO und, soweit ein Zugriff auf das Endgerät erfolgt, § 25 Abs. 2 Nr. 2 TDDDG. Unser berechtigtes Interesse liegt im Schutz des Formulars, unserer Mail-Infrastruktur und anderer Nutzer. Cloudflare kann Daten in den USA und anderen Ländern verarbeiten und nennt hierfür insbesondere das EU-US Data Privacy Framework sowie Standardvertragsklauseln.

Anbieterhinweise: Cloudflare Privacy Policy und Turnstile Privacy Addendum.

7. Apple, App Store und iCloud

Apple verarbeitet Daten in eigener Verantwortung, wenn Sie den App Store, Ihren Apple-Account, Käufe, Downloads, Updates, Bewertungen, iCloud oder iCloud-Sharing verwenden. Dazu können Account-, Geräte-, Zahlungs-, Kauf-, Nutzungs- und Diagnosedaten sowie die in iCloud gespeicherten beziehungsweise geteilten Inhalte gehören. Die Auswahl der iCloud- und Datenschutzoptionen erfolgt in Ihren Apple-Einstellungen.

Wir erhalten von Apple vor allem aggregierte Vertriebs-, Download-, Nutzungs- und Diagnosedaten sowie öffentlich abgegebene Bewertungen. Vollständige Zahlungsdaten erhalten wir nicht. Soweit Apple ausnahmsweise personenbezogene Informationen an uns übermittelt, nutzen wir sie nur für Bereitstellung, Support, Abrechnung, Betrugsprävention oder gesetzliche Nachweise.

Apple-Datenschutz: apple.com/legal/privacy.

8. Instagram und TikTok

Wir unterhalten offizielle Profile bei Instagram und TikTok. Wenn Sie ein Profil besuchen, Beiträge ansehen, kommentieren, uns folgen oder eine Nachricht senden, verarbeiten wir die sichtbaren Profil- und Interaktionsdaten zur Öffentlichkeitsarbeit und Kommunikation. Grundlage ist Art. 6 Abs. 1 lit. f DSGVO, bei vertragsbezogenen Nachrichten zusätzlich Art. 6 Abs. 1 lit. b DSGVO.

Die Plattformbetreiber verarbeiten daneben Daten in eigener Verantwortung, etwa für Sicherheit, Reichweitenmessung, Personalisierung und Werbung, und können Daten außerhalb der EU bzw. des EWR verarbeiten. Soweit uns lediglich aggregierte Seitenstatistiken bereitgestellt werden, verwenden wir sie zur Verbesserung unserer Inhalte. Auf der MyHealthyKids-Website sind keine Social-Media- Plugins eingebettet; eine Übertragung an die Plattform beginnt erst, wenn Sie einem externen Link folgen.

• Instagram/Meta: Datenschutzrichtlinie
• TikTok: Datenschutzrichtlinie für den EWR

9. Empfänger und internationale Übermittlungen

Wir geben Daten nicht zu Werbezwecken weiter. Abhängig von der genutzten Funktion kommen folgende Empfänger in Betracht:

• helloly GmbH für Hosting und E-Mail in Österreich,
• Apple für App Store, iCloud und iCloud-Sharing,
• Cloudflare für den Schutz des Supportformulars,
• TelemetryDeck für die nach Anbieterangaben anonyme Analyse,
• von Ihnen ausgewählte Personen beim iCloud-Sharing,
• Instagram/Meta und TikTok, wenn Sie unsere Profile nutzen,
• Behörden, Gerichte oder Berater, wenn dies gesetzlich erforderlich ist oder Rechtsansprüche geschützt werden müssen.

Bei Dienstleistern innerhalb der EU bzw. des EWR erfolgt die Verarbeitung grundsätzlich auf Basis eines Auftragsverarbeitungsvertrags, soweit sie als unsere Auftragsverarbeiter tätig sind. Bei eigenständig Verantwortlichen richtet sich die Verarbeitung zusätzlich nach deren Bedingungen.

Daten können insbesondere durch Apple, Cloudflare, Meta und TikTok in Staaten außerhalb von EU und EWR verarbeitet werden. Übermittlungen erfolgen, soweit erforderlich, auf Grundlage eines Angemessenheitsbeschlusses, einer gültigen Zertifizierung nach dem EU-US Data Privacy Framework, EU-Standardvertragsklauseln und gegebenenfalls ergänzender Schutzmaßnahmen. Ein Drittland kann dennoch ein von der EU abweichendes Datenschutzniveau und behördliche Zugriffsbefugnisse vorsehen.

10. Speicherdauer und Löschung

Ist eine Löschung wegen gesetzlicher Pflichten oder laufender Ansprüche vorübergehend nicht möglich, wird die Verarbeitung auf diesen Zweck beschränkt. Sicherungskopien werden im Rahmen der üblichen Überschreibzyklen gelöscht.

11. Rechtsgrundlagen nach deutschem und europäischem Recht

• Art. 6 Abs. 1 lit. b DSGVO: App-Bereitstellung und vertragsbezogener Support.
• Art. 6 Abs. 1 lit. c DSGVO: gesetzliche Nachweis-, Steuer- oder Aufbewahrungspflichten.
• Art. 6 Abs. 1 lit. f DSGVO: sicherer Websitebetrieb, allgemeiner Support, Missbrauchsschutz, datensparsame Produktanalyse, Rechtsverteidigung und Öffentlichkeitsarbeit.
• Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO: Einwilligung, insbesondere bei freiwillig an den Support übermittelten Gesundheitsdaten.
• § 25 Abs. 2 Nr. 2 TDDDG: technisch erforderliche Endgerätezugriffe für ausdrücklich angeforderte Funktionen. Nicht erforderliche Werbe- oder Tracking-Cookies setzen wir nicht ein.

Bei Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO liegen unsere Interessen in den jeweils genannten Zwecken. Dem stehen wegen des begrenzten Datenumfangs, der Sicherheitsmaßnahmen und der fehlenden Werbeprofilbildung regelmäßig keine überwiegenden Interessen der betroffenen Personen entgegen.

12. Ihre Datenschutzrechte

Unter den gesetzlichen Voraussetzungen haben Sie insbesondere das Recht auf:

• Auskunft und eine Kopie Ihrer von uns verarbeiteten Daten,
• Berichtigung unrichtiger Daten,
• Löschung oder Einschränkung der Verarbeitung,
• Datenübertragbarkeit,
• Widerruf einer Einwilligung für die Zukunft,
• Widerspruch gegen eine Verarbeitung nach Art. 6 Abs. 1 lit. e oder f DSGVO aus Gründen Ihrer besonderen Situation sowie jederzeit gegen Direktwerbung.

Zur Ausübung genügt eine E-Mail an legal@myhealthykids.app. Wir können Informationen zur Identitätsprüfung anfordern. Bei ausschließlich auf Ihrem Gerät oder in Ihrer iCloud gespeicherten Daten können wir mangels Zugriff keine Auskunft oder Löschung durchführen; diese Daten verwalten Sie direkt in der App beziehungsweise über Apple.

Sie können sich außerdem bei einer Datenschutzaufsichtsbehörde beschweren. Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen: ldi.nrw.de/kontakt.

13. Ergänzende internationale Hinweise

Vereinigtes Königreich

Personen im Vereinigten Königreich haben nach UK GDPR und Data Protection Act grundsätzlich vergleichbare Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch und Widerruf. Beschwerden können an das Information Commissioner's Office gerichtet werden.

Schweiz

Für Personen in der Schweiz gelten ergänzend die Rechte nach dem schweizerischen Datenschutzgesetz, insbesondere auf Auskunft, Berichtigung, Löschung oder Herausgabe, soweit die gesetzlichen Voraussetzungen vorliegen. Zuständige Aufsicht ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte.

USA und Kalifornien

Wir verkaufen personenbezogene Daten nicht und geben sie nicht für kontextübergreifende verhaltensbezogene Werbung weiter. Wir verwenden sensible Informationen nicht, um Eigenschaften einer Person abzuleiten. Soweit Ihnen ein anwendbares US-Bundesstaatsrecht Rechte auf Kenntnis, Zugriff, Berichtigung, Löschung, Kopie oder Widerspruch gegen Verkauf, Weitergabe oder bestimmte Profilbildung gewährt, können Sie diese über unsere Kontaktadresse geltend machen. Wir benachteiligen niemanden wegen der Ausübung gesetzlicher Datenschutzrechte.

Kinder

Das Angebot richtet sich an Erwachsene und erhebt nicht wissentlich unmittelbar personenbezogene Daten von Kindern unter 13 Jahren oder dem jeweils geltenden Mindestalter. Kinder sollen weder das Supportformular noch unsere Social-Media-Profile selbstständig nutzen. Wenn Sie annehmen, dass ein Kind uns unmittelbar Daten übermittelt hat, kontaktieren Sie uns bitte, damit wir die Anfrage prüfen und die Daten gegebenenfalls löschen können.

Diese Hinweise erweitern die Transparenz für internationale Nutzer. Sie begründen keine Rechte, die nach dem jeweils anwendbaren Recht nicht bestehen, und beschränken keine zwingenden Rechte.

14. Sicherheit, automatisierte Entscheidungen und Aktualisierungen

Wir setzen angemessene technische und organisatorische Maßnahmen ein, insbesondere TLS/HTTPS, zugriffsbeschränkte Supportpostfächer, datensparsame Voreinstellungen, lokale beziehungsweise persönliche iCloud-Speicherung und Missbrauchsschutz. Vollständige Sicherheit kann bei elektronischer Verarbeitung dennoch nicht garantiert werden.

Wir treffen keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung und führen kein Profiling zu solchen Zwecken durch. Es gibt keine personalisierte Werbung, keinen Newsletter und keine Datenbroker-Weitergabe.

Wir aktualisieren diese Erklärung, wenn sich Funktionen, Dienstleister oder Rechtslage wesentlich ändern. Die aktuelle Fassung ist stets unter myhealthykids.app/privacy-policy abrufbar. Wenn eine Änderung Ihre Mitwirkung erfordert, informieren wir Sie in geeigneter Weise.

1. Controller and scope

Mika Spang
Am Weidenpesch 17
50858 Cologne
Germany
Email: legal@myhealthykids.app
Legal notice: myhealthykids.app/imprint

No data protection officer has been appointed because there is no legal requirement to do so. This Policy applies where we determine the purposes and means of processing. Where Apple, Cloudflare, Instagram, or TikTok process data under their own responsibility, their privacy notices also apply.

2. App data on your device and in iCloud

MyHealthyKids enables parents and other legal guardians to document information about children's development and health. This may include names or labels, dates of birth, height, weight, head circumference, dental development, vaccinations, check-ups, breastfeeding, sleep, and diapers. Some of this information is health data and therefore sensitive data.

This content is stored locally on the device in use. If iCloud is enabled for MyHealthyKids, it is stored within the personal iCloud environment of the Apple Account and synchronized between connected devices. We do not provide an app account or operate a server for this content. We do not have routine access to your entries, your children's data, or content stored in iCloud.

The app does not access HealthKit or other external data sources. Providing information is voluntary; without certain information, only the related documentation features are unavailable. To the extent local processing by the app is legally attributable to us, it serves to provide the app features you requested. Sensitive information is processed only because you consciously choose to enter it into the designated fields.

MyHealthyKids is intended for adults, particularly parents and guardians, and not for independent use by children. Enter a child's data only if you are authorized to do so. Device security, device locks, your Apple Account, and iCloud settings are within your control.

3. iCloud sharing with selected people

You can use Apple's iCloud sharing to share app content with selected individuals. You initiate sharing, select the invitees, and can manage or stop sharing through the features provided by Apple. Apple processes the shared content, Apple Account and invitation information, and technical connection data for this purpose.

As a rule, we do not learn whom you invite and sharing does not give us access to the content. Invitees may view or edit shared data according to the permissions provided by Apple and the app. Share children's and health data only with trusted, authorized people. Copies an invitee has stored elsewhere may remain after sharing ends.

4. Privacy-friendly analytics with TelemetryDeck

We use TelemetryDeck in the app and on the website to understand which general features are used, identify errors, and reliably improve MyHealthyKids. The provider is TelemetryDeck GmbH, Von-der-Tann-Str. 54, 86159 Augsburg, Germany.

What is transmitted?

• an automatically generated identifier that, according to the provider, is anonymous and untraceable for each app installation or web use; we do not provide a custom user identifier,
• general events such as app launches, use of a feature, or page views,
• a timestamp rounded to the nearest hour,
• technical details such as app or browser version, operating system, build, and device type,
• for the website, an approximate country derived from the first three blocks of the incoming IP address.

We do not send names, email addresses, health data, information about children, app content, or other free-form content to TelemetryDeck. TelemetryDeck states that the identifier is salted and hashed on the device and salted and hashed a second time on the server. IP addresses are not stored in databases or logs. TelemetryDeck does not use cookies and states that it does not use identifiers that can be traced back to an individual.

TelemetryDeck describes the resulting data as fully anonymous and therefore outside the scope of personal data under the GDPR or CCPA. To the extent personal network data is nevertheless processed briefly during transmission, we rely on our legitimate interest in privacy-preserving, meaningful, and secure product analytics (Article 6(1)(f) GDPR). According to the provider, servers are located at Microsoft Azure in Amsterdam, AWS in Frankfurt, and Hetzner in Falkenstein and Nuremberg.

We intentionally do not provide an opt-out because no personal profiles are created and a consistent anonymous data set is needed for reliable analysis. We nevertheless name TelemetryDeck expressly in the interest of transparency.

Further information: Privacy FAQ, TelemetryDeck Privacy, and the open-source SDKs.

5. Website, hosting, and server logs

Technical connection data is required when the website is accessed, particularly the IP address, time, requested file, transferred data volume, referrer, browser, operating system, and access status. It is processed in server logs to deliver the website, maintain stability, and prevent abuse.

Our hosting and email provider is helloly GmbH, Rainerstraße 25, 4020 Linz, Austria. According to its privacy notice, log information is stored for no more than 30 days and then deleted or anonymized. Relevant data may be restricted and retained longer to investigate or preserve evidence of a specific security incident. The legal basis is Article 6(1)(f) GDPR (secure and available operation).

Provider notice: helloly Privacy Policy.

6. Support, contact form, and Cloudflare Turnstile

Contacting us

When you contact us through the form or by email, we process your name, email address, message, time of transmission, and technically required metadata to handle and answer the request. The form does not support file uploads. The legal basis is Article 6(1)(b) GDPR for contract-related requests and otherwise Article 6(1)(f) GDPR for efficient support communications.

Do not send children's or health data unless strictly necessary for your request. If your message voluntarily includes health data, MyHealthyKids processes it solely to handle the request based on your explicit consent (Article 9(2)(a) GDPR). You may withdraw consent at any time with future effect. This does not affect the lawfulness of earlier processing.

Local form draft

While you complete the form, the website stores your name, email address, message, and the status of the privacy notice checkbox in your browser's local storage so that a draft survives a page reload. The content is not sent to us before submission. After successful transmission the website deletes the draft; you can also remove it by clearing website data in your browser. This storage serves the form feature you requested (Section 25(2)(2) TDDDG).

Abuse prevention

We use Cloudflare Turnstile on the support page to identify automated and abusive submissions. Cloudflare code is loaded when the support page opens, and the security check runs when you attempt to submit the form. Cloudflare may process the IP address, browser and device information, referrer, timing and interaction signals, and the result of the check. A token generated by Cloudflare is submitted to our server with the form and verified with Cloudflare server-side.

The provider is Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA. The legal basis is Article 6(1)(f) GDPR and, where information on the device is accessed, Section 25(2)(2) TDDDG. Our legitimate interest is protecting the form, our email infrastructure, and other users. Cloudflare may process data in the United States and other countries and refers in particular to the EU-U.S. Data Privacy Framework and Standard Contractual Clauses for such transfers.

Provider notice: Cloudflare Privacy Policy and Turnstile Privacy Addendum.

7. Apple, App Store, and iCloud

Apple processes data under its own responsibility when you use the App Store, your Apple Account, purchases, downloads, updates, reviews, iCloud, or iCloud sharing. This may include account, device, payment, purchase, usage, and diagnostic data as well as content stored or shared in iCloud. You select iCloud and privacy options in your Apple settings.

We primarily receive aggregated sales, download, usage, and diagnostic information and public reviews from Apple. We do not receive complete payment details. If Apple exceptionally provides personal information to us, we use it only for delivery, support, accounting, fraud prevention, or legally required records.

Apple Privacy: apple.com/legal/privacy.

8. Instagram and TikTok

We maintain official Instagram and TikTok profiles. If you visit a profile, view or comment on posts, follow us, or send a message, we process visible profile and interaction data for public relations and communication. The legal basis is Article 6(1)(f) GDPR and, for contract-related messages, also Article 6(1)(b) GDPR.

Platform operators also process data under their own responsibility, including for security, audience measurement, personalization, and advertising, and may process it outside the EU or EEA. Where we only receive aggregated page statistics, we use them to improve our content. No social media plugins are embedded on the MyHealthyKids website; transfer to a platform only begins when you follow an external link.

• Instagram/Meta: Privacy Policy
• TikTok: EEA Privacy Policy

9. Recipients and international transfers

We do not disclose data for advertising purposes. Depending on the feature used, recipients may include:

• helloly GmbH for hosting and email in Austria,
• Apple for the App Store, iCloud, and iCloud sharing,
• Cloudflare to protect the support form,
• TelemetryDeck for analytics that the provider describes as anonymous,
• people selected by you when using iCloud sharing,
• Instagram/Meta and TikTok when you use our profiles,
• public authorities, courts, or advisers where legally required or necessary to protect legal claims.

Service providers in the EU or EEA process data under a data processing agreement where they act as our processors. Where a recipient is an independent controller, its terms and notices also apply.

Apple, Cloudflare, Meta, and TikTok in particular may process data in countries outside the EU and EEA. Where required, transfers rely on an adequacy decision, valid EU-U.S. Data Privacy Framework certification, EU Standard Contractual Clauses, and additional safeguards where appropriate. A third country may nevertheless provide a different level of protection and permit government access under its laws.

10. Retention and deletion

Where deletion is temporarily prevented by legal obligations or pending claims, processing is restricted to that purpose. Backups are deleted through ordinary overwrite cycles.

11. Legal bases under German and European law

• Article 6(1)(b) GDPR: app delivery and contract-related support.
• Article 6(1)(c) GDPR: legally required tax, recordkeeping, or other evidence.
• Article 6(1)(f) GDPR: secure website operation, general support, abuse prevention, privacy-preserving product analytics, legal defense, and public relations.
• Articles 6(1)(a) and 9(2)(a) GDPR: consent, particularly for health data voluntarily sent to support.
• Section 25(2)(2) TDDDG: device access strictly required for features expressly requested by the user. We do not use non-essential advertising or tracking cookies.

For processing based on Article 6(1)(f) GDPR, our interests are the purposes stated above. Given the limited data, safeguards, and absence of advertising profiles, these interests are generally not overridden by the interests of affected individuals.

12. Your privacy rights

Subject to applicable conditions, your rights include:

• access to and a copy of personal data we process,
• correction of inaccurate data,
• deletion or restriction of processing,
• data portability,
• withdrawal of consent with future effect,
• objection to processing under Article 6(1)(e) or (f) GDPR based on your particular situation, and an unconditional right to object to direct marketing.

Email legal@myhealthykids.app to exercise a right. We may request information to verify your identity. Because we cannot access data stored only on your device or in your iCloud, we cannot retrieve or delete it for you; manage it directly in the app or through Apple.

You may also complain to a data protection authority. Our lead local authority is the State Commissioner for Data Protection and Freedom of Information of North Rhine-Westphalia: ldi.nrw.de.

13. Additional international notices

United Kingdom

Individuals in the United Kingdom generally have comparable rights under the UK GDPR and Data Protection Act, including access, correction, deletion, restriction, portability, objection, and withdrawal. Complaints may be submitted to the Information Commissioner's Office.

Switzerland

Individuals in Switzerland also have rights under the Swiss Data Protection Act, including access, correction, deletion, or disclosure where legal conditions are met. The supervisory authority is the Federal Data Protection and Information Commissioner.

United States and California

We do not sell personal information or share it for cross-context behavioral advertising. We do not use sensitive information to infer characteristics about an individual. Where an applicable U.S. state privacy law grants you rights to know, access, correct, delete, obtain a copy, or opt out of sale, sharing, or certain profiling, you may submit a request through our contact address. We do not discriminate against anyone for exercising a statutory privacy right.

Children

The service is intended for adults and does not knowingly collect personal information directly from children under 13 or the applicable minimum age. Children should not independently use the support form or our social media profiles. If you believe a child has submitted information directly to us, contact us so that we can investigate and delete it where appropriate.

These notices provide additional transparency for international users. They do not create rights that do not exist under applicable law and do not restrict mandatory rights.

14. Security, automated decisions, and updates

We use appropriate technical and organizational measures, including TLS/HTTPS, access-restricted support mailboxes, privacy-preserving defaults, local or personal iCloud storage, and abuse prevention. Complete security cannot be guaranteed for electronic processing.

We do not make solely automated decisions with legal or similarly significant effects and do not profile individuals for such purposes. There is no personalized advertising, newsletter, or data broker disclosure.

We update this Policy when features, providers, or legal requirements materially change. The current version is always available at myhealthykids.app/privacy-policy. If a change requires action from you, we will notify you in an appropriate manner.