Datenschutzerklärung
Stand: 30. September 2026
1. Verantwortlicher
Daniel Schmidt-Richert, Virginia Str. 4, 35510 Butzbach, Deutschland
E-Mail: hallo@heldenpunkte.de
2. Was Heldenpunkte ist
Heldenpunkte ist eine Web-App für Familien: Aufgaben, Punkte und Belohnungen. Jede Familie hat einen eigenen, getrennten Datenbestand. Eltern legen die Familie an und verwalten die Konten der Mitglieder.
3. Hosting und Server-Protokolle
Die App läuft auf einem von uns betriebenen Server bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, in einem Rechenzentrum in Deutschland. Beim Aufruf werden technisch notwendige Verbindungsdaten verarbeitet (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser-Kennung). Sie dienen dem sicheren Betrieb und der Abwehr von Angriffen und werden nach kurzer Zeit gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem stabilen, sicheren Betrieb).
4. Registrierung und Nutzung
Beim Anlegen einer Familie und bei der Nutzung verarbeiten wir:
- Familienname und den gewählten Namen des Eltern-Kontos,
- E-Mail-Adresse des Eltern-Kontos (Bestätigung, Anmeldung, Passwort-Reset),
- Passwort, ausschließlich als Hash (Argon2id) gespeichert,
- Inhalte, die die Familie selbst anlegt: Aufgaben, Erledigungen, Belohnungen, Punktebuchungen und ein Protokoll der Änderungen innerhalb der Familie.
Die Verarbeitung ist zur Bereitstellung des Dienstes erforderlich (Art. 6 Abs. 1 lit. b DSGVO). Die Daten bleiben, bis die Familie gelöscht wird.
5. Konten von Kindern
Kinder-Konten werden von den Eltern angelegt oder über eine Einladung der Eltern erstellt. Für Kinder speichern wir nur einen frei gewählten Namen oder Spitznamen, ein Passwort als Hash und die Punkte und Aufgaben innerhalb der Familie. Es werden weder E-Mail-Adresse noch Geburtsdatum erfasst. Die Verantwortung für die Nutzung durch Kinder liegt bei den Eltern der Familie.
6. Cookies und lokale Speicherung
Wir setzen nur technisch notwendige Cookies (§ 25 Abs. 2 TDDDG):
- session: hält die Anmeldung (30 Tage, wird bei Nutzung verlängert).
- family_code: merkt sich den Familien-Code für das Anmeldeformular auf diesem Gerät (1 Jahr).
- Im lokalen Speicher des Browsers merken wir uns, ob der Hinweis zur App-Installation ausgeblendet wurde.
7. Reichweitenmessung
Auf den öffentlichen Seiten (Startseite, Anmeldung, Rechtstexte) nutzen wir die selbst gehostete Software Matomo, um zu sehen, wie die Seiten genutzt werden. Innerhalb der Familien-App wird nichts gemessen. Matomo läuft auf unserem eigenen Server, es werden keine Daten an Dritte übertragen. Die Messung ist cookielos, IP-Adressen werden gekürzt gespeichert, und die Einstellung „Do Not Track“ Ihres Browsers wird respektiert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung des Angebots).
8. E-Mails
Wir verschicken ausschließlich Transaktionsmails über unseren eigenen Mailserver: zur Bestätigung der Adresse, zum Zurücksetzen des Passworts und zur Bestätigung einer Familienlöschung. Es gibt keinen Newsletter und keine Werbemails.
9. Push-Benachrichtigungen
Auf Wunsch schicken wir Push-Benachrichtigungen, etwa wenn eine Aufgabe gemeldet oder freigegeben wurde. Dafür wird ein Abonnement im Browser angelegt, das Sie im Profil jederzeit beenden können. Die Zustellung läuft über den Push-Dienst des jeweiligen Browser-Anbieters (z. B. Apple, Google, Mozilla), der dabei die Nachricht in verschlüsselter Form erhält. Dabei kann eine Übermittlung in die USA stattfinden; die Anbieter sind nach dem EU-US Data Privacy Framework zertifiziert. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).
10. Fehlerberichte
Tritt in der App ein Fehler auf, speichern wir einen technischen Bericht auf unserem eigenen Server, um den Fehler zu beheben. Er kann Browser-Kennung, aufgerufene Adresse und technische Angaben zum Fehler enthalten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.
11. Datenexport und Löschung
Eltern können in den Familien-Einstellungen jederzeit alle Daten der Familie exportieren (Art. 20 DSGVO) und die Familie löschen. Die Löschung wird per E-Mail bestätigt und nach einer Frist von sieben Tagen endgültig ausgeführt; bis dahin lässt sie sich abbrechen. Danach sind alle Daten der Familie gelöscht, in Sicherungskopien innerhalb von 30 Tagen.
12. Ihre Rechte
Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen. Wenden Sie sich dafür an die oben genannte Adresse. Außerdem können Sie sich bei einer Datenschutz-Aufsichtsbehörde beschweren, zuständig ist für uns der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Wiesbaden.
13. Änderungen
Wir passen diese Erklärung an, wenn sich der Dienst ändert. Es gilt die jeweils hier veröffentlichte Fassung.