Datenschutzerklärung

Aktualisiert am 28. Oktober 2026

Diese Erklärung beschreibt, welche Daten die Soitilo-App und die Website soitilo.com verarbeiten, wofür, wo sie gespeichert werden und wie lange. Sie beruht auf Artikel 13 der Datenschutz-Grundverordnung der EU (Verordnung (EU) 2016/679, DSGVO).

1. Verantwortlicher und Kontakt

Nettiteeri Oy (Unternehmens-ID 3331525-2, Finnland)
E-Mail: tuki@soitilo.com

Für unsere Datenschutzangelegenheiten ist die oder der Datenschutzverantwortliche der Nettiteeri Oy zuständig, erreichbar unter dieser Adresse. Senden Sie Fragen und Anfragen zu Ihren Daten dorthin.

2. Welche Daten wir verarbeiten

Das Konto des Erwachsenen

• E-Mail-Adresse.
• Passwort, nur als Hash. Das Passwort selbst wird weder auf dem Server noch auf dem Gerät gespeichert.
• Wenn Sie sich mit Google anmelden: die Kennung Ihres Google-Kontos und die E-Mail-Adresse, die Google bestätigt hat. Das Anmeldetoken, das Google ausgibt, kann auch Ihren Namen und die Adresse Ihres Profilbilds enthalten, aber wir lesen und speichern sie nicht. Ein mit Google angelegtes Konto hat kein Passwort, bis Sie eines über einen Link zum Zurücksetzen des Passworts festlegen.
• Wenn Sie sich mit Apple anmelden (auf iPhone und iPad): die Kennung Ihres Apple-Accounts und die E-Mail-Adresse, die Apple angibt. Das kann Apples private Weiterleitungsadresse sein, die E-Mails an Ihre eigene Adresse weiterleitet. Wir fragen Apple nach keinem Namen. Der Server speichert außerdem verschlüsselt ein Token, das Apple für das Konto ausgibt, damit der Zugriff von Soitilo auf Ihren Apple-Account widerrufen werden kann, wenn das Konto gelöscht wird. Ein mit Apple angelegtes Konto hat kein Passwort, bis Sie eines über einen Link zum Zurücksetzen des Passworts festlegen.
• Die Sprache, in der der Dienst mit Ihnen kommuniziert (Deutsch, Englisch, Finnisch, Französisch oder Schwedisch), und wann das Konto angelegt wurde.

Familie

• Die Erwachsenen der Familie (eine Familie kann zwei Verwalter haben) und ihre Rollen.
• Eine zufällige Kennung der Familie. Sie wird nicht aus einer E-Mail-Adresse abgeleitet.

Abos

• Wenn ein Verwalter der Familie ein Abo bei Google Play oder im App Store kauft, gibt die App dem Store die zufällige Kennung der Familie, damit der Kauf der richtigen Familie zugeordnet wird. Der Server prüft den Kauf beim Store und speichert für die Familie aus der Antwort des Stores: die Kennung des Kaufs, die Bestellnummer von Google (mit der der Support ein Google-Play-Abo findet), das Produkt und den Tarif (Familie oder Einzel), den Status, wann es abläuft, ob es sich automatisch verlängert, ob es ein kostenloser Testzeitraum oder ein Testkauf ist, den Preis und die Währung, die Kennung eines früheren Kaufs, den das Abo ersetzt hat, wann die Daten geprüft und geändert wurden, wann die Erinnerung an das Ende des Testzeitraums gesendet wurde und für welche Verlängerung die Erinnerung an die Verlängerung gesendet wurde. Wenn der kostenlose Testzeitraum eines sich automatisch verlängernden Abos in etwa drei Tagen endet, senden wir an die E-Mail-Adresse der Inhaberin oder des Inhabers der Familie eine Erinnerung mit dem Endzeitpunkt, dem Preis, den der Store angegeben hat, und der Anleitung zum Kündigen des Abos. Etwa 45 Tage bevor sich ein Jahresabo automatisch verlängert, senden wir an die E-Mail-Adresse der Inhaberin oder des Inhabers der Familie eine Erinnerung mit dem Zeitpunkt der Verlängerung, dem Preis, den der Store angegeben hat, dem letzten Zeitpunkt, um die Verlängerung zu verhindern, und der Anleitung zum Kündigen des Abos. Zahlungsmittel, Name und Anschrift speichern wir nicht.
• Google und Apple benachrichtigen den Server, wenn sich ein Abo ändert (zum Beispiel wenn es sich verlängert, gekündigt wird, endet oder erstattet wird). Die Benachrichtigung von Google wird so gespeichert, wie sie ankommt: Sie enthält die Kennung des Kaufs, das Produkt, die Art des Ereignisses und seinen Zeitpunkt. Der Server vertraut nicht darauf, was die Benachrichtigung von Google sagt, sondern prüft das Abo immer bei Google. Apple signiert seine Benachrichtigung; der Server prüft die Signatur und speichert die Benachrichtigung ohne sie: die Kennungen des Kaufs und der Zahlung, das Produkt, die Art des Ereignisses und seinen Zeitpunkt, wann der bezahlte Zeitraum begann und endet, ob und zu welchem Produkt es sich verlängert, ein Zahlungsproblem oder den Grund für das Ende, ob und warum es erstattet wurde und ob es ein kostenloser Testzeitraum oder ein Testkauf ist.
• Die Administratoren des Dienstes können einer Familie Zugang ohne Kauf geben (zum Beispiel einer Prüferin oder einem Prüfer eines App-Stores oder einer Lehrkraft). Ein solcher Zugang kann bis zu einem Tag gelten oder eine dauerhafte Zahlungsbefreiung sein. Dafür speichern wir den Tarif, wann er endet (bei einer Befreiung nichts), wer ihn gegeben hat, und eine frei formulierte Notiz. Das Geben, Ändern und Entziehen eines solchen Zugangs wird außerdem im Protokoll des Servers festgehalten oder, wenn es in der Verwaltung geschieht, in deren Prüfprotokoll: bei einem Zugang bis zu einem Tag mit dem alten und neuen Tarif und dem letzten Tag; bei einer Zahlungsbefreiung nur, ob sie ein- oder ausgeschaltet wurde.

Einladungen und Lehrkräfte

Ein Verwalter der Familie kann den zweiten Verwalter der Familie oder eine Lehrkraft per E-Mail einladen. Für eine Einladung speichern wir:

• die eingeladene E-Mail-Adresse und die Rolle (Verwalter oder Lehrkraft)
• den Namen der einladenden Person, wie sie ihn geschrieben hat (höchstens 40 Zeichen), das einladende Konto und wann die Einladung erstellt wurde und wann sie endet
• bei einer Lehrkraft die Lernenden, die die Lehrkraft sehen darf.

Der Code im Einladungslink wird nur als Hash gespeichert. Die Einladungs-E-Mail enthält den Namen der einladenden Person, aber keinen Namen von Lernenden. Eine Lehrkraft hat ein eigenes Konto mit denselben Daten wie das Konto eines Erwachsenen. Für eine Lehrkraft speichern wir außerdem, welche Lernenden welcher Familie mit ihr geteilt wurden, den Namen der einladenden Person und das einladende Konto. Eine Lehrkraft ist kein Mitglied der Familie.

Eine Lehrkraft sieht die geteilten Lernenden im Browser, in der Lehrkraftansicht, nur lesend: den Namen der oder des Lernenden, den Namen der einladenden Person, das Kapitel, den letzten Übungstag, ob das Profil pausiert, die Fähigkeitsstände, die die App ermittelt hat (mit Hilfe oder selbstständig gespielt, hängt fest), und die Sterne und Abzeichen der Bibliothekslieder (im Takt, mit beiden Händen). Wenn das Gerät der Familie die letzten Übungen vielleicht noch nicht gesendet hat, sagt die Ansicht das, ohne etwas über die Geräte zu verraten. Eine Lehrkraft sieht keine Spielereignisse, keine anderen Lernenden der Familie und nichts über die Erwachsenen der Familie.

Lernende

Der Erwachsene fügt die Lernenden der Familie hinzu, in der Regel Kinder. Für Lernende speichern wir:

• einen Namen oder Spitznamen (höchstens 20 Zeichen)
• ein Profilbild, das eines der eigenen Bilder der App ist
• eine Altersgruppe (4–7, 8–17 oder erwachsen)
• Sprache, Darstellung und die anderen Einstellungen der App, außer den geistlichen Entscheidungen und dem Liederweg (unten, Auf dem Gerät)
• wann der Server die Bestätigung des Erwachsenen erhalten hat, Elternteil oder Vormund des Kindes zu sein oder ein von diesen bevollmächtigter Erwachsener (Abschnitt 11); nichts bei Lernenden, die mit einer älteren App-Version hinzugefügt wurden
• ob das Profil aktiv ist oder pausiert.

Wir fragen nicht nach einem Geburtsdatum, einem Foto oder Kontaktdaten.

Spielereignisse und Fortschritt

Für jedes Spielen von Lernenden, außer bei Kirchenliedern und Liedern Zions (unten, Auf dem Gerät), speichern wir, welches Stück und welche Aufgabe gespielt wurde, auf welche Weise (Zuhören, Üben oder Spielen), mit welcher Eingabe (das Bildschirmklavier, ein über USB-Kabel oder Bluetooth verbundenes Keyboard oder das Mikrofon), wann und in welcher Zeitzone, wie es endete, und für jeden Ton, ob er getroffen wurde und um wie viele Millisekunden das Timing abwich. Gegebene Tipps werden ebenfalls gespeichert. Wenn ein Erwachsener eine Station des Lernwegs von Hand öffnet, speichern wir, welche Station geöffnet wurde und wann. Wir speichern außerdem den Fähigkeitsstand der oder des Lernenden und den Stand der Stationen ihres oder seines Lernwegs (welche Stationen erledigt sind und welche die aktuelle ist) sowie die Bibliothekslieder, für die Sterne verdient wurden, mit ihren Namen, Sternen und Abzeichen, außer bei Kirchenliedern und Liedern Zions. Die App berechnet sie aus den Ereignissen. Wir speichern auch, welche Anmeldung welches Geräts jedes Ereignis gesendet hat.

Geräte

Jedes beim Konto angemeldete Gerät erhält ein eigenes Anmeldetoken. Sein Name ist „Soitilo Android“ oder „Soitilo iOS“, und es hält fest, wann es zuletzt benutzt wurde und mit welcher App-Version. Die App liest den Namen der Besitzerin oder des Besitzers nicht und sendet das Gerätemodell nur mit einer Rückmeldung (siehe Rückmeldungen).

Ein Erwachsener kann ein anderes Gerät der Familie, zum Beispiel das Spielhandy der Kinder, ohne eigene Zugangsdaten als Familiengerät koppeln. Die App des Erwachsenen fordert einen einmaligen sechsstelligen Code an, der 10 Minuten gültig ist. Der Server speichert nur einen Hash des Codes mit der Familie, dem Konto, das ihn angefordert hat, und dem Ablaufzeitpunkt, und löscht sie, wenn der Code verwendet oder ein neuer Code angefordert wird. Das gekoppelte Gerät erhält ein eigenes Anmeldetoken beim Konto des Erwachsenen, der den Code angefordert hat. Sein Name ist wie bei anderen Geräten, und es hält fest, wann es gekoppelt und wann es zuletzt benutzt wurde, und die App-Version. Ein Familiengerät kann spielen und die Daten der Lernenden synchronisieren, aber keine Käufe tätigen, keine Daten exportieren oder löschen und die Erwachsenen oder Geräte der Familie nicht verwalten. Die Verwalter der Familie sehen in der App die Namen, Kopplungszeitpunkte und letzten Nutzungszeitpunkte der Familiengeräte und können ein Gerät entfernen. Koppeln und Entfernen werden im Prüfprotokoll festgehalten: das Konto, die Familie, die Kennung des Tokens des Geräts und der Zeitpunkt, nie der Code.

Technische Daten

• Die App sendet bei jeder Anfrage ihre Version und Sprache.
• Protokoll des Webservers: IP-Adresse, Zeitpunkt, die angefragte Adresse (ohne den Code eines Einladungslinks oder eines Links zum Zurücksetzen des Passworts und ohne die E-Mail-Adresse darin) und die Kennung des Browsers oder der App.
• Wenn etwas schiefgeht, das Fehlerprotokoll des Servers: Einzelheiten des Fehlers und die ID-Nummer des Kontos, wenn die Anfrage von einem angemeldeten Konto kam.
• Um Missbrauch zu verhindern, zählt der Server Versuche zur Registrierung, Anmeldung und zum Zurücksetzen des Passworts nach IP-Adresse und E-Mail-Adresse, Versuche zur Bestätigung des Passworts, zur Annahme von Einladungen und für Rückmeldungen nach Konto und Einladungsversuche nach Familie.
• Die Seite zum Zurücksetzen des Passworts, die Einladungsseite und die Lehrkraftansicht starten eine Sitzung, die die IP-Adresse, die Kennung des Browsers und die Kennung des angemeldeten Kontos festhält.

Rückmeldungen

Ein angemeldeter Erwachsener kann aus der App eine Rückmeldung senden. Wir speichern die Nachricht (bis zu 2.000 Zeichen), das Konto, das sie gesendet hat, die Familie, zu der das Konto damals gehörte, wann sie gesendet wurde, und die Gerätedaten, die die App sendet: Version und Build der App, das Betriebssystem und seine Version, das Gerätemodell, die Sprache, die Bildschirmgröße und die Spielart. Die App fügt keine Daten von Lernenden hinzu; die Nachricht enthält nur, was der Erwachsene hineinschreibt. Wenn wir antworten, geht die Antwort per E-Mail an die Adresse des Kontos, und jede Antwort und ihr Zeitpunkt werden mit der Rückmeldung gespeichert.

Eine Rückmeldung kann in ein Ticket im eigenen Ticketsystem des Anbieters, Teeri-ERP, umgewandelt werden, das auf demselben Server wie der Dienst läuft. Das Ticket erhält die Nachricht, die Gerätedaten, wann sie gesendet wurde, und einen Link zur Rückmeldung in der Verwaltung des Dienstes, nicht die E-Mail-Adresse, das Konto oder die Familie der Absenderin oder des Absenders.

Kontakt mit uns

Wenn Sie uns eine E-Mail schreiben, verarbeiten wir Ihre E-Mail-Adresse, Ihren Namen, falls Sie ihn angeben, und den Inhalt Ihrer Nachricht.

Auf dem Gerät

Die App speichert die Lernenden und Spielereignisse auch auf dem Gerät, damit das Üben ohne Netzverbindung funktioniert. Die Töne, die Lernende in der Aufgabe Meine Melodie spielen (die Tasten und ihr Timing, kein Ton), werden nur auf dem Gerät gespeichert und nicht an den Server gesendet. Der Liederweg der oder des Lernenden (Kinderlieder, Lieder Zions oder Kirchenlieder) und die geistlichen Entscheidungen, also ein Interesse an geistlichen Liedern und als zusätzliche Lieder gewählte Kirchenlieder oder Lieder Zions, sowie jedes Spielen eines Kirchenlieds oder eines Lieds Zions und seine Sterne bleiben ebenfalls nur auf dem Gerät, weil sie etwas über den Glauben der Familie verraten könnten. Sie gelangen daher nicht auf die anderen Geräte der Familie, sind nicht im Export enthalten und werden von keiner Lehrkraft gesehen. All das wird gelöscht, wenn die Familie in der App gelöscht wird oder sich das Konto einer anderen Familie auf dem Gerät anmeldet, und wenn die App vom Gerät entfernt wird. Wenn ein Erwachsener ein Bluetooth-Keyboard verbindet, merkt sich die App seinen Namen und seine Bluetooth-Adresse nur auf diesem Gerät, damit sich das Keyboard wieder verbindet. Sie werden nicht an den Server oder an andere Geräte gesendet. Sie werden gelöscht, wenn der Erwachsene das Keyboard in der App entfernt oder wenn die App vom Gerät entfernt wird. Das Anmeldetoken wird im sicheren Speicher des Geräts aufbewahrt. Der Code für den Erwachsenenbereich wird auf dem Gerät nur als gesalzener Hash gespeichert.

3. Wofür die Daten verwendet werden und auf welcher Grundlage

• Bereitstellung des Dienstes. Konto, Familie, Lernende und Spielereignisse werden gebraucht, um sich anzumelden, den Fortschritt jeder und jedes Lernenden zu speichern, die Daten zwischen den Geräten der Familie zu übertragen und passende Übungen zu wählen. Links zum Zurücksetzen des Passworts werden per E-Mail gesendet. Ein Konto, das sich mit Google oder Apple anmeldet, wird an der Kennung seines Google-Kontos oder Apple-Accounts erkannt. Grundlage: der Vertrag, mit dem der Erwachsene den Dienst für sich und seine Familie in Gebrauch nimmt (Art. 6 Abs. 1 Buchst. b DSGVO). Die Daten von Lernenden werden dafür auf Grundlage des Vertrags verarbeitet, den der Elternteil oder Vormund auch im Namen des Kindes schließt, und nicht auf Grundlage einer Einwilligung.
• Abos. Mit den Daten des Abos entscheidet der Server, ob die Familie die kostenpflichtigen Inhalte erhält (Kapitel 1 ist für alle kostenlos), und die App zeigt den Status des Abos. Der Kauf wird beim Store (Google Play oder Apple) geprüft, damit der Kauf einer anderen Familie oder ein gefälschter Kauf keinen Zugang gibt. Grundlage: der Vertrag (Art. 6 Abs. 1 Buchst. b).
• Einladungen. Eine Einladung wird an die Adresse gesendet, die ein Verwalter der Familie angibt, um einen zweiten Erwachsenen oder eine Lehrkraft in die Familie zu holen. Grundlage: das berechtigte Interesse der Familie, einen zweiten Erwachsenen oder eine Lehrkraft hinzuzuholen (Art. 6 Abs. 1 Buchst. f). Das Konto einer Lehrkraft und ihr Zugang zu den mit ihr geteilten Lernenden beruhen auf dem Vertrag, mit dem die Lehrkraft den Dienst in Gebrauch nimmt (Art. 6 Abs. 1 Buchst. b).
• Betrieb und Sicherheit des Dienstes. Protokolle, das Prüfprotokoll der Verwaltung, Missbrauchsschutz und Sicherungen. Grundlage: das berechtigte Interesse, den Dienst funktionsfähig und sicher zu halten (Art. 6 Abs. 1 Buchst. f).
• Rückmeldungen. Wir lesen Ihre Rückmeldung, beantworten sie und beheben damit Fehler und entwickeln den Dienst weiter. Die Gerätedaten zeigen uns, wo ein Fehler aufgetreten ist. Grundlage: das berechtigte Interesse, den Dienst weiterzuentwickeln und Rückmeldungen zu beantworten (Art. 6 Abs. 1 Buchst. f).
• Weiterentwicklung des Dienstes. Auf dem Server berechnen wir aus den bereits gespeicherten Daten Gesamtzahlen, um die Übungen und die App weiterzuentwickeln: wie viele Familien und Lernende die App jede Woche genutzt haben, wie viele Lernende jede Station des Wegs geschafft haben oder bei einer Fähigkeit festhängen, wie viele in jeder Aufgabe einen Tipp bekommen oder ihren Umweg gespielt haben, wie viele mit jeder Spielart gespielt haben und wie viele Familien ein Gerät mit jeder App-Version haben. Eine Gesamtzahl enthält keine Zeile einer einzelnen oder eines einzelnen Lernenden oder einer einzelnen Familie, und eine Gruppe von weniger als fünf Lernenden oder Familien zeigt nur, dass es weniger als fünf sind. Dafür wird nichts zusätzlich erhoben und kein anderer Dienst genutzt. Grundlage: das berechtigte Interesse, den Dienst weiterzuentwickeln (Art. 6 Abs. 1 Buchst. f).
• Kontakt mit uns. Wir beantworten Ihre Nachricht und bearbeiten Ihr Anliegen. Um eine Supportanfrage zu bearbeiten, können wir die Daten der Familie in der Verwaltung des Dienstes ansehen (siehe Abschnitt 7). Grundlage: das berechtigte Interesse, zu antworten (Art. 6 Abs. 1 Buchst. f).

Die App berechnet den Fähigkeitsstand von Lernenden aus den Spielereignissen, um die nächsten Übungen zu wählen. Das hat keine rechtliche oder ähnlich erhebliche Wirkung (Art. 22). Die Daten werden nicht für Werbung verwendet und nicht verkauft.

Ein Konto braucht eine E-Mail-Adresse und ein Passwort, ein Google-Konto oder einen Apple-Account, und Lernende brauchen einen Namen, ein Bild und eine Altersgruppe. Ohne sie kann der Dienst nicht genutzt werden. Kein Gesetz verpflichtet Sie, die Daten anzugeben.

4. Daten von Kindern

Das Konto ist für einen Erwachsenen gedacht: Ein Erwachsener legt das Konto an und fügt Kinder als Lernende hinzu. Das Lernprofil eines Kindes ist kein eigenes Konto. Die Einstellungen und Daten der Familie sind im Erwachsenenbereich, der sich mit dem eigenen Code des Erwachsenen öffnet.

Ein Elternteil oder Vormund oder ein von diesen bevollmächtigter Erwachsener gibt den Namen oder Spitznamen und die Profileinstellungen der oder des Lernenden an. Die Übungsdaten entstehen, wenn das Kind spielt (Abschnitt 2). Der Teil „Für das Kind“ unten hilft Ihnen, das Ihrem Kind zu erklären.

Ein Verwalter kann die Lernenden, die er wählt, mit einer Lehrkraft teilen. Die Lehrkraft sieht die anderen Lernenden der Familie nicht. Der Verwalter kann jederzeit ändern, was geteilt wird, oder die Lehrkraft entfernen, und der Zugang endet sofort. Das Löschen von Lernenden beendet auch den Zugang einer Lehrkraft zu ihnen.

Der Name von Lernenden kann ein Spitzname sein. Die App kann den Namen mit der eigenen Sprachausgabe des Geräts vorlesen, die ohne Netzverbindung funktioniert. Der Name wird an keinen Online-Sprachdienst gesendet.

Für das Kind

Dieser Teil ist für dich, die oder den Lernenden. Lies ihn zusammen mit einem Erwachsenen.

• Soitilo merkt sich deinen Namen oder Spitznamen und wie dein Üben läuft.
• Wenn das Gerät online ist, wird das meiste davon auch auf dem Server von Soitilo gespeichert, damit es die anderen Geräte deiner Familie auch wissen.
• Die Erwachsenen in deiner Familie können sehen, wie es dir geht.
• Wenn ein Erwachsener deine Lehrerin oder deinen Lehrer einlädt, kann sie oder er einen Teil davon sehen, zum Beispiel deinen Namen, dein Kapitel, deine Fähigkeiten und deine Sterne.
• Wenn Soitilo dein Klavier mit dem Mikrofon hört, findet es die Töne auf diesem Gerät. Es nimmt den Klang nicht auf und schickt ihn nirgendwohin.
• Du kannst einen Erwachsenen bitten, dir zu helfen, deine Daten anzusehen oder zu löschen.

5. Mikrofon

Wenn das Mikrofon die Eingabe ist, hört die App dem Klavier zu und erkennt die Töne im Speicher des Geräts. Der Ton wird nie aufgenommen und nirgendwohin gesendet. Nur das Spielereignis geht an den Server: welche Töne getroffen wurden und wie das Timing war, genau wie beim Spielen auf dem Bildschirmklavier.

6. Keine Werbung, kein Tracking

Die App hat keine Werbung, keine Analyse, keine Fehlerberichte und keine anderen Dienste Dritter, die Daten erheben würden, außer der in Abschnitt 7 beschriebenen Protokollierung der Abrechnungsbibliothek von Google. Von Abstürzen erfahren wir nur aus den eigenen Berichten der App-Stores (Google Play und App Store), die die Stores nach ihren eigenen Richtlinien und den Einstellungen des Geräts erheben.

Die Website lädt nichts von anderen Websites und verwendet keine Tracking- oder Werbe-Cookies. Nur die Seite zum Zurücksetzen des Passworts, die Einladungsseite, die Lehrkraftansicht und die Anmeldung unserer eigenen Leute in der Verwaltung des Dienstes setzen die Sitzungs-Cookies, die ihre Formulare und die Anmeldung brauchen.

7. Wo die Daten sind und wer sie verarbeitet

• DigitalOcean, LLC stellt den Server bereit, auf dem der Dienst und seine Datenbank laufen. Der Server steht in Frankfurt, Deutschland. Einmal pro Woche wird eine Sicherung des ganzen Servers im Dienst von DigitalOcean im selben Rechenzentrum erstellt.
• Mailgun Technologies, Inc. (Sinch-Gruppe) versendet aus der EU-Region von Mailgun die E-Mails zum Zurücksetzen des Passworts, die Einladungen, die Antworten auf Rückmeldungen und die Erinnerungen an das Ende des Testzeitraums und an die Verlängerung. Mailgun erhält die E-Mail-Adresse der Empfängerin oder des Empfängers und die Nachricht.
• Dropbox International Unlimited Company (Irland) bewahrt eine verschlüsselte Sicherung der Datenbank auf. Die Sicherung wird auf dem Server verschlüsselt, bevor sie übertragen wird, und Dropbox hat den Schlüssel nicht.
• Zoho Corporation B.V. (Niederlande) stellt den E-Mail-Dienst bereit, in dem Nachrichten an uns ankommen. Zoho bewahrt die Nachrichten in seinem Rechenzentrum in der EU auf.

Diese Unternehmen verarbeiten die Daten in unserem Auftrag als Auftragsverarbeiter. Die Daten werden an niemanden sonst weitergegeben, außer an Behörden, wenn das Gesetz es verlangt.

Wenn Sie sich mit Google anmelden, identifiziert Sie Google Ireland Limited als eigener Verantwortlicher, nach seinen eigenen Bedingungen und seiner eigenen Datenschutzerklärung, und weiß, dass Sie sich bei Soitilo angemeldet haben. Wir erhalten von Google nur die in Abschnitt 2 beschriebenen Daten und senden Google keine Daten über die Lernenden.

Wenn Sie sich mit Apple anmelden, identifiziert Sie Apple Distribution International Limited als eigener Verantwortlicher, nach seinen eigenen Bedingungen und seiner eigenen Datenschutzerklärung, und weiß, dass Sie sich bei Soitilo angemeldet haben. Wir erhalten von Apple nur die in Abschnitt 2 beschriebenen Daten und senden Apple keine Daten über die Lernenden. Wenn das Konto gelöscht wird, bittet der Server Apple, das Token von Soitilo für Ihren Apple-Account zu widerrufen, wie Apple es verlangt. Wenn Sie in den Einstellungen Ihres Apple-Accounts „Mit Apple anmelden“ für Soitilo nicht mehr verwenden oder Ihren Apple-Account löschen, teilt Apple das dem Server mit, der dann die Kennung und das Token Ihres Apple-Accounts aus dem Konto entfernt; die Familie und ihre Daten bleiben.

Abos werden von Google Play verkauft und abgerechnet. Google Ireland Limited verarbeitet die Zahlung und die Daten der Käuferin oder des Käufers als eigener Verantwortlicher, nach seinen eigenen Bedingungen und seiner eigenen Datenschutzerklärung. Mit dem Kauf gibt die App Google die zufällige Kennung der Familie, und der Server sendet Google die Kennung des Kaufs und den Paketnamen der App, um den Kauf zu prüfen. Wenn eine Familie den Support bittet, ein Abo zu kündigen oder zu erstatten, sendet der Server Google die Kennung des Kaufs und die Bitte, es zu kündigen oder zu erstatten. Die Benachrichtigungen von Google über geänderte Abos erreichen den Server über Google Cloud Pub/Sub. Wenn ein Erwachsener die Abo-Ansicht öffnet, verbindet sich die App mit der Abrechnungsbibliothek von Google mit Google Play. Die Bibliothek protokolliert ihre Abrechnungsaufrufe (ob sie gelungen oder fehlgeschlagen sind) und Verbindungsprobleme; Google verwendet diese Informationen nach seiner eigenen Datenschutzerklärung, um die Bibliothek und ihre Unterstützung bei Fehlern zu verbessern.

Auf iPhone und iPad werden Abos vom App Store verkauft und abgerechnet. Apple Distribution International Limited verarbeitet die Zahlung und die Daten der Käuferin oder des Käufers als eigener Verantwortlicher, nach seinen eigenen Bedingungen und seiner eigenen Datenschutzerklärung. Mit dem Kauf gibt die App Apple die zufällige Kennung der Familie, und der Server sendet Apple die Kennung des Kaufs, um den Kauf zu prüfen. Die Benachrichtigungen von Apple über geänderte Abos kommen von Apple an den Server.

Die Verwaltung des Dienstes

Nur unsere eigenen Leute, die Inhaberin oder der Inhaber und der Support, sehen die Daten einer Familie in der Verwaltung des Dienstes, um Supportanfragen zu bearbeiten. Die Anmeldung in der Verwaltung braucht ein Passwort und eine Bestätigung in zwei Schritten oder einen Passkey, der jedes Mal nach der PIN oder den biometrischen Daten des Geräts fragt. Der Support sieht die E-Mail-Adressen, Rollen und Kontoerstellungszeitpunkte der Erwachsenen der Familie, die Namen, Nutzungszeitpunkte und App-Versionen der Anmeldetokens der Geräte und ob ein Gerät ein Familiengerät ist, die Namen, Status und Erstellungszeitpunkte der Lernenden, wann der Server zuletzt ein Spielereignis von Lernenden erhalten hat, und die Einladungen der Familie (Adresse, Rolle, Lernende, wann gesendet und bis wann gültig) und ihre Lehrkräfte (Adresse, die Lernenden, die sie sehen, wann sie beigetreten sind). Um eine Supportanfrage zu bearbeiten, kann der Support öffnen, warum sich die App an Lernende angepasst hat: welche Fähigkeit festhängt oder warum es einen Umweg gab, und die Zeitpunkte, Aufgaben, Modi, Ausgänge und Zahlen der beim ersten Mal richtigen Töne der Versuche, die dazu geführt haben, aber nicht die gespielten Töne. Die Inhaberin oder der Inhaber und der Support sehen außerdem Rückmeldungen mit der E-Mail-Adresse und den Gerätedaten der Absenderin oder des Absenders und können sie beantworten, abschließen und in ein Ticket umwandeln. Die Inhaberin oder der Inhaber kann dort eine per E-Mail eingegangene Löschanfrage ausführen. Jede Ansicht und Löschung der Daten einer Familie oder von Lernenden und jede Ansicht, Antwort, Abschließung und jedes Ticket einer Rückmeldung wird in einem Prüfprotokoll festgehalten, ebenso in der App gekoppelte und entfernte Familiengeräte: wer angesehen oder geändert hat, welche Familie, welche Lernenden oder welche Rückmeldung und wann. Das Protokoll enthält nur Kennungen, keine Namen oder anderen Daten, außer dass eine Änderung eines ohne Kauf gegebenen Zugangs bei einem Zugang bis zu einem Tag dessen alten und neuen Tarif und letzten Tag festhält und bei einer Zahlungsbefreiung, ob sie ein- oder ausgeschaltet wurde.

Die Inhaberin oder der Inhaber und der Support sehen in der Verwaltung außerdem die in Abschnitt 3 (Weiterentwicklung des Dienstes) beschriebenen Gesamtzahlen. Sie enthalten keine Namen, Kennungen oder Zeilen einer einzelnen Familie oder einzelner Lernender, deshalb wird ihre Ansicht nicht im Prüfprotokoll festgehalten.

Übermittlungen außerhalb der EU und des EWR

• DigitalOcean ist ein US-Unternehmen, auch wenn der Server in der EU steht. Soweit es Daten außerhalb der EU und des EWR verarbeitet, stützt sein Auftragsverarbeitungsvertrag die Übermittlung auf den EU-US-Datenschutzrahmen und hilfsweise auf die Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914).
• Mailgun speichert Nachrichten der EU-Region in der EU, aber Daten können auch von den US-Unternehmen der Gruppe verarbeitet werden. Diese Übermittlungen beruhen auf den Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) im Auftragsverarbeitungsvertrag von Mailgun.
• Dropbox kann die verschlüsselte Sicherung an sein US-Konzernunternehmen Dropbox, Inc. übermitteln. Die Übermittlung beruht auf der Zertifizierung von Dropbox, Inc. nach dem EU-US-Datenschutzrahmen.
• Beschäftigte des indischen Konzernunternehmens von Zoho, Zoho Corporation Private Limited, können die Nachrichten von Indien aus verarbeiten, obwohl die Nachrichten in der EU aufbewahrt werden. Das beruht auf Standardvertragsklauseln zwischen den niederländischen und indischen Unternehmen von Zoho und auf den ergänzenden Maßnahmen einer Bewertung der Übermittlungsfolgen.

8. Wie lange die Daten gespeichert werden

• Konto, Familie, Lernende und Spielereignisse werden so lange gespeichert, wie das Konto besteht. Das Löschen der Familie löscht sofort die ganze Familie (siehe Konto löschen). Wenn sich 24 Monate lang keiner der Erwachsenen der Familie in der App angemeldet, sie auf einem der Geräte der Familie genutzt oder sein Passwort geändert hat, wird die Familie mit allen ihren Daten gelöscht, wie beim Löschen der Familie. Eine gesonderte Mitteilung gibt es nicht. Eine Familie wird nicht gelöscht, solange sie ein Abo bei Google Play oder im App Store hat, das aktiv ist, in der Kulanzfrist, zurückgehalten oder pausiert, oder einen von den Administratoren gegebenen Zugang, der gilt.
• Die Daten eines Abos und von den Administratoren gegebene Zugänge werden so lange gespeichert, wie die Familie besteht, auch nachdem das Abo geendet hat, und werden mit der Familie gelöscht.
• Die Benachrichtigungen von Google und Apple über geänderte Abos werden 12 Monate ab ihrem Eingang gespeichert. Die zu den Käufen der Familie werden sofort gelöscht, wenn die Familie gelöscht wird.
• Das Anmeldetoken eines Geräts endet, wenn sich das Gerät abmeldet, wenn ein Verwalter der Familie ein Familiengerät entfernt, wenn das Passwort seines Kontos zurückgesetzt oder das Konto gelöscht wird, wenn Apple mitteilt, dass die Apple-Anmeldung des Kontos beendet ist und das Konto weder ein Passwort noch eine Google-Anmeldung hat, oder wenn es 90 Tage nicht benutzt wurde. Ein unbenutzter Kopplungscode endet nach 10 Minuten. Ein beendetes Token wird innerhalb von zwei Tagen gelöscht.
• Antworten auf Anfragen der App werden 24 Stunden gespeichert, damit eine abgebrochene Übertragung nicht doppelt gespeichert wird.
• Eine Einladung ist 14 Tage gültig. Sie wird gelöscht, wenn sie angenommen oder zurückgezogen wird, sonst 30 Tage nach ihrem Ablauf.
• Der Zugang einer Lehrkraft zu Lernenden besteht, bis ein Verwalter die Lehrkraft oder die Lernenden entfernt, die Familie gelöscht wird oder das Konto der Lehrkraft gelöscht wird. Das Konto einer Lehrkraft wird gespeichert, bis die Lehrkraft seine Löschung verlangt (siehe Konto löschen).
• Rückmeldungen und ihre Antworten werden 12 Monate ab der letzten Änderung (Senden, Antwort, Abschließen oder Ticket) gespeichert. Sie werden sofort gelöscht, wenn das Konto der Absenderin oder des Absenders gelöscht wird, auch wenn die Familie gelöscht wird. Eine in ein Ticket kopierte Rückmeldung wird nicht mit dem Konto gelöscht; sie wird so lange gespeichert, wie die Bearbeitung des Anliegens es erfordert.
• Versuchszähler verfallen innerhalb einer Stunde, der Tageszähler der Einladungsversuche innerhalb eines Tages.
• Eine Sitzung auf der Website (die Seite zum Zurücksetzen des Passworts, die Einladungsseite und die Lehrkraftansicht) verfällt, wenn sie zwei Stunden nicht benutzt wurde, und endet sofort, wenn sich die Lehrkraft abmeldet. Das Zurücksetzen des Passworts beendet alle Sitzungen des Kontos. Verfallene Sitzungen werden von Zeit zu Zeit gelöscht.
• Das Prüfprotokoll der Verwaltung wird 12 Monate gespeichert, auch nachdem die Familie oder die Lernenden gelöscht wurden.
• Die Fehlerprotokolle des Servers werden bis zu 15 Tage gespeichert.
• Die Protokolle des Webservers werden bis zu 15 Tage gespeichert.
• Nachrichten an uns werden so lange gespeichert, wie die Bearbeitung des Anliegens es erfordert.

Sicherungen

Die Datenbank wird jede Nacht gesichert. Der Server bewahrt jede Sicherung der letzten 7 Tage auf, danach eine pro Woche, bis sie 2 Monate alt ist, und danach eine pro Halbjahr, bis sie 12 Monate alt ist. Die verschlüsselte Kopie bei Dropbox wird ebenso aufbewahrt, und eine bei Dropbox gelöschte Kopie kann noch 30 Tage wiederhergestellt werden. Zusätzlich wird die wöchentliche Sicherung des ganzen Servers 4 Wochen aufbewahrt.

Aus dem Dienst gelöschte Daten können daher höchstens 12 Monate und 30 Tage in Sicherungen bleiben. Sicherungen dienen nur dazu, den Dienst nach einem Ausfall wiederherzustellen.

9. Ihre Rechte

Nach der DSGVO haben Sie das Recht,

• zu erfahren, welche Daten über Sie und die Lernenden Ihrer Familie verarbeitet werden, und eine Kopie zu erhalten (Art. 15)
• unrichtige Daten berichtigen zu lassen (Art. 16)
• die Daten löschen zu lassen (Art. 17); siehe Konto löschen
• die Verarbeitung einschränken zu lassen (Art. 18)
• die Daten in einem maschinenlesbaren Format zu erhalten (Art. 20); die Daten der Familie lassen sich im Erwachsenenbereich der App unter Daten und Konto exportieren; der Export lässt Rückmeldungen, Abo- und Zugangsdaten (einschließlich der Benachrichtigungen der Stores über geänderte Abos), Anmeldedaten der Geräte, die Kennungen des Google-Kontos und des Apple-Accounts und das Prüfprotokoll der Verwaltung weg, aber Sie erhalten sie auf Anfrage
• aus Gründen, die sich aus Ihrer besonderen Situation ergeben, einer Verarbeitung zu widersprechen, die auf berechtigtem Interesse beruht (Art. 21).

Senden Sie Ihre Anfrage von der E-Mail-Adresse Ihres Kontos an tuki@soitilo.com. Wir antworten unverzüglich und spätestens innerhalb eines Monats (Art. 12).

Wenn Sie meinen, dass die Verarbeitung Ihrer Daten gegen Datenschutzrecht verstößt, können Sie sich bei einer Aufsichtsbehörde beschweren. In Finnland ist das die Datenschutzbeauftragte (Tietosuojavaltuutettu): Office of the Data Protection Ombudsman, PL 800, 00531 Helsinki, Finnland, tietosuoja@om.fi, tietosuoja.fi. Sie können sich auch bei der Datenschutzbehörde des Landes beschweren, in dem Sie leben, zum Beispiel bei der Data Protection Commission in Irland, dem Office of the Australian Information Commissioner (OAIC), dem Privacy Commissioner in Neuseeland oder dem Office of the Privacy Commissioner of Canada (OPC).

10. Kinder in den Vereinigten Staaten (COPPA)

Dieser Abschnitt erklärt Eltern in den Vereinigten Staaten, wie wir die Daten von Kindern unter 13 Jahren nach dem Children’s Online Privacy Protection Act (COPPA) und seiner Verordnung (16 CFR Part 312) behandeln.

Betreiber: Nettiteeri Oy, Viereläntie 4 A, 90630 Oulu, Finnland, Telefon +358 44 280 9861, E-Mail tuki@soitilo.com.

Was die Nutzung durch ein Kind auf dem Server speichert. Ein Kind hat kein eigenes Konto: Ein Erwachsener legt das Konto an und fügt das Kind als Lernende oder Lernenden hinzu. Ein Kind wird nie nach einer E-Mail-Adresse, Telefonnummer, Anschrift, einem Geburtsdatum oder einem Foto gefragt. Der Server speichert den Namen oder Spitznamen, das Profilbild (eines der eigenen Bilder der App), die Altersgruppe und die Einstellungen, die der Erwachsene angibt, und aus dem Üben des Kindes die Spielereignisse (welches Lied und welche Aufgabe, auf welche Weise, wann, welche Töne getroffen wurden und wie das Timing war, die gegebenen Tipps), die Fähigkeitsstände, den Stand der Stationen des Wegs und die Sterne und Abzeichen der Bibliothekslieder (genauer in Abschnitt 2). Er speichert außerdem das Anmeldetoken des Geräts und welche Anmeldung welches Geräts jedes Ereignis gesendet hat, und das Protokoll des Webservers hält die IP-Adresse und die Kennung der App bei jeder Anfrage fest.

Wofür die Daten verwendet werden. Wir verwenden die Daten nur, um den Dienst bereitzustellen: für die Anmeldung, für die Synchronisierung der Daten zwischen den Geräten der Familie, um die Übungen an die Fähigkeiten des Kindes anzupassen und, wenn der Erwachsene es wählt, für die Lehrkraftansicht. Wir berechnen daraus außerdem Gesamtzahlen zur Weiterentwicklung des Dienstes, ohne Daten eines einzelnen Kindes darin (Abschnitt 3), und der Support kann sie ansehen, wenn er eine Supportanfrage der Familie bearbeitet (Abschnitt 7). Die Daten werden nicht für Werbung verwendet und nicht verkauft, und die App hat keine Werbung und keine Analyse durch Dritte. Die Daten sind auf dem Server und in seinen Sicherungen, die nur die in Abschnitt 7 genannten Auftragsverarbeiter in unserem Auftrag behandeln.

Die Lehrkraftansicht. Nur ein Erwachsener der Familie kann eine Lehrkraft einladen, und der Erwachsene wählt, welche Lernenden die Lehrkraft sieht. Die Lehrkraft sieht im Browser eine schreibgeschützte Übersicht der geteilten Lernenden: den Namen der oder des Lernenden, den Namen der einladenden Person, das Kapitel, den letzten Übungstag, ob das Profil pausiert, die Fähigkeitsstände (mit Hilfe oder selbstständig gespielt, hängt fest) und die Sterne und Abzeichen der Bibliothekslieder. Die Lehrkraft sieht keine Spielereignisse, keine anderen Lernenden der Familie und nichts über die Erwachsenen der Familie. Der Erwachsene kann in der App jederzeit ändern, was geteilt wird, oder die Lehrkraft entfernen, und der Zugang endet sofort.

Mikrofon. Der Ton des Mikrofons verlässt nie das Gerät: Die App erkennt die Töne im Speicher des Geräts, und der Ton wird nie aufgenommen und nirgendwohin gesendet (Abschnitt 5).

Die Rechte der Eltern. Als Elternteil können Sie jederzeit die Daten Ihres Kindes einsehen und ihre weitere Erhebung beenden:

• Der Fortschritt Ihres Kindes ist in der App zu sehen, und die Daten der Familie lassen sich im Erwachsenenbereich der App unter Daten und Konto exportieren (Abschnitt 9 sagt, was der Export weglässt).
• Wenn Sie die oder den Lernenden im Erwachsenenbereich der App löschen (Daten und Konto, Profil löschen), werden das Profil, die Spielereignisse und die Fähigkeitsstände sofort vom Server gelöscht, und der Zugang einer Lehrkraft endet. Danach werden keine Daten mehr über das Kind erhoben. Die ganze Familie lässt sich an derselben Stelle löschen (siehe Konto löschen).
• Sie können auch von der E-Mail-Adresse Ihres Kontos an tuki@soitilo.com schreiben und uns bitten, die Daten Ihres Kindes zu zeigen, zu exportieren oder zu löschen oder ihre Erhebung zu beenden. Wir antworten spätestens innerhalb eines Monats.

Speicherdauer. Die Daten eines Kindes werden gespeichert, wie Abschnitt 8 sagt: so lange, wie die oder der Lernende und die Familie bestehen, und die Familie wird gelöscht, wenn sie 24 Monate nicht genutzt wurde. Gelöschte Daten können höchstens 12 Monate und 30 Tage in Sicherungen bleiben.

11. Kanada

Dieser Abschnitt ist für Familien in Kanada, einschließlich Québec.

Verarbeitung außerhalb Kanadas. Ihre Daten werden außerhalb Kanadas verarbeitet: in der EU (der Server steht in Deutschland) und in den anderen in Abschnitt 7 beschriebenen Ländern. Gerichte und Behörden können nach den Gesetzen dieser Länder darauf zugreifen. Unsere Datenschutzverantwortlichen unter tuki@soitilo.com können Ihnen mehr über unsere Dienstleister außerhalb Kanadas sagen und darüber, wie wir die Daten schützen.

Die Einwilligung eines Elternteils oder Vormunds. Indem Sie Lernende hinzufügen, bestätigen Sie, dass Sie Elternteil oder gesetzlicher Vormund des Kindes oder ein von diesen bevollmächtigter Erwachsener sind, und Sie sind damit einverstanden, dass Soitilo den Namen oder Spitznamen, die Profileinstellungen und den Übungsfortschritt der oder des Lernenden so verwendet, wie es diese Erklärung beschreibt. Das ist die Einwilligung, die das kanadische Datenschutzrecht, einschließlich des Rechts von Québec, von einem Elternteil oder Vormund verlangt; nach der DSGVO bleibt die Grundlage der Vertrag (Abschnitt 3). Sie können sie jederzeit widerrufen, indem Sie die oder den Lernenden im Erwachsenenbereich der App löschen oder an tuki@soitilo.com schreiben. Die Nutzung des synchronisierten Dienstes durch das Kind endet dann.

Neuere App-Versionen fragen bei jedem Hinzufügen von Lernenden mit einem Kontrollkästchen nach dieser Bestätigung; ein Erwachsener, der sich selbst als Lernende oder Lernenden hinzufügt, bestätigt sie für seine eigenen Daten. Der Server speichert bei den Lernenden, wann er die Bestätigung erhalten hat (Abschnitt 2), und sie wird mit ihnen gelöscht.

12. Schweiz

Dieser Abschnitt ist für Menschen in der Schweiz.

Ihre Rechte. Nach dem Bundesgesetz über den Datenschutz (DSG) können Sie außerdem Auskunft darüber verlangen, welche Daten über Sie verarbeitet werden (Art. 25), die Daten, die Sie uns gegeben haben, in einem gängigen elektronischen Format erhalten (Art. 28) und verlangen, dass unrichtige Daten berichtigt, die Verarbeitung eingestellt oder Daten gelöscht werden (Art. 32). Senden Sie Ihre Anfrage an tuki@soitilo.com, wie Abschnitt 9 sagt.

Übermittlungen. Die Schweiz erkennt den Staaten der EU und des EWR einen angemessenen Datenschutz zu, daher brauchen der Server in Deutschland und die Auftragsverarbeiter in der EU keine andere Grundlage. Von den in Abschnitt 7 beschriebenen Übermittlungen außerhalb der EU und des EWR sind DigitalOcean, LLC und Dropbox, Inc. auch nach dem Swiss-U.S. Data Privacy Framework zertifiziert, das die Schweiz anerkennt; der Auftragsverarbeitungsvertrag von Mailgun wendet seine Standardvertragsklauseln auch auf Daten aus der Schweiz an; und die Verarbeitung durch Zoho in Indien beruht auf den in Abschnitt 7 beschriebenen Standardvertragsklauseln und ergänzenden Maßnahmen.

Aufsichtsbehörde. Wenn Sie meinen, dass die Verarbeitung Ihrer Daten gegen das schweizerische Datenschutzrecht verstößt, können Sie das dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) melden, Feldeggweg 1, 3003 Bern, Schweiz, edoeb.admin.ch.

13. Singapur

Dieser Abschnitt ist für Familien in Singapur.

Datenschutzbeauftragte. Unsere Datenschutzbeauftragten beantworten Fragen und Anfragen nach dem Personal Data Protection Act 2012 (PDPA) von Singapur unter tuki@soitilo.com.

Die Einwilligung eines Elternteils oder Vormunds. Die Bestätigung, nach der die App beim Hinzufügen von Lernenden fragt (Abschnitt 11), ist auch die Einwilligung eines Elternteils oder Vormunds, die der PDPA für die Daten eines Kindes verlangt. Sie können sie auf dieselbe Weise widerrufen.

Verarbeitung außerhalb Singapurs. Ihre Daten werden außerhalb Singapurs verarbeitet: in der EU (der Server steht in Deutschland) und in den anderen in Abschnitt 7 beschriebenen Ländern. Die dort genannten Auftragsverarbeiter sind durch Auftragsverarbeitungsverträge verpflichtet, sie zu schützen.

14. Änderungen

Wir aktualisieren diese Erklärung, wenn sich der Dienst oder die Verarbeitung von Daten ändert. Das Datum der Aktualisierung steht oben auf der Seite.

↑ Nach oben