Datenschutzerklärung

English · Deutsch

NapPhone macht aus zwei Telefonen ein Babyphone. Diese Erklärung beschreibt, worauf die App zugreift, was Ihre Telefone verlässt, wer es erhält, wie lange es aufbewahrt wird und was Sie tun können. Stand: 14.11.2026.

In einem Satz

Ton und Bild gehen nur zwischen Ihren eigenen Telefonen, Ende-zu-Ende-verschlüsselt; niemand – auch wir nicht – kann mitsehen oder mithören, und keine Aufnahme wird außerhalb des Babytelefons gespeichert.

Verantwortlicher

Verantwortlich ist Dipl.-Ing. David Ammer, Waldstraße 6, 4642 Sattledt, Österreich. E-Mail: support@ammerbrothers.at – unter dieser Adresse erreichen Sie uns auch für alle Datenschutzanfragen.

Für wen die App gedacht ist

NapPhone richtet sich an Erwachsene, die mit ihren eigenen Telefonen auf ihr eigenes Kind achten. Das Kind und alle anderen in der Nähe des Babytelefons können von den gekoppelten Elterntelefonen gesehen und gehört werden – nur von diesen. Überwachen Sie mit der App keine Erwachsenen ohne deren Wissen.

Mikrofon und Kamera

• Die Babyeinheit nutzt während der Überwachung dauerhaft ihr Mikrofon und die Kamera nur, solange ein Elternteil sie einschaltet; ihr Bildschirm zeigt, wie viele Eltern verbunden sind und ob die Kamera läuft, und das Betriebssystem zeigt zusätzlich eigene Hinweise, wo es welche hat.
• Der Stream geht per WebRTC mit DTLS-SRTP-Verschlüsselung an Ihre gekoppelten Elterntelefone: im WLAN direkt; über das Internet direkt oder, wenn kein direkter Weg besteht, über einen Relay-Server (TURN), der die verschlüsselten Pakete weiterleitet und sie nicht entschlüsseln kann.
• Schrei-, Geräusch- und Bewegungserkennung laufen auf dem Babytelefon. Kein Ton und kein Bild wird zur Auswertung irgendwohin geschickt.
• Die Elterneinheit nutzt ihr Mikrofon nur, solange Sie „Hold to talk“ gedrückt halten, und die Kamera nur zum Scannen des Kopplungs-QR-Codes.
• Optionale Aufnahmen (5-Sekunden-Schreiclips und Schnappschüsse von Ereignissen, selbst aufgenommene Schlaflieder) bleiben im App-eigenen Speicher des Babytelefons und verlassen es nie. Clips und Schnappschüsse werden nach 7 Tagen gelöscht, Schlaflieder, wenn Sie sie löschen. Schnappschüsse, die ein Elternteil macht, landen in der Fotogalerie dieses Elterntelefons.

Im eigenen WLAN

Die App findet das andere Telefon in Ihrem WLAN (mDNS / Bonjour) und verbindet sich direkt. Beim Koppeln tauschen die Telefone einen Gerätenamen, eine zufällige Geräte-ID und ihre öffentlichen Schlüssel aus. Im selben WLAN ist gar kein Server beteiligt.

Internetmodus

Der Internetmodus ist optional und nutzt den von uns betriebenen NapPhone-Server. Jedes Telefon weist sich mit einem selbst erzeugten Schlüsselpaar aus, der Server kennt es nur unter einer zufälligen ID und dem öffentlichen Schlüssel. Push-Alarme (Schreien, schwacher Akku, Babytelefon offline) brauchen kein Konto. Zusehen, Zuhören und Sprechen über das Internet – und das Koppeln per Code aus einem anderen Netz – brauchen ein Konto auf beiden Telefonen (siehe Konto für den Internetmodus); im selben WLAN brauchen Sie nie eines.

• Der Server speichert: die zufälligen IDs und die Plattform des Telefons; für ein Babytelefon dessen Namen (die Plattform-Bezeichnung wie „Android phone“), eine grobe Region (Europa oder Amerika, nur aus der Zeitzone des Telefons abgeleitet – nie aus seinem Standort) und den Zeitpunkt des letzten Alarms; die dort registrierten Elterntelefone mit ihren Push-Token; Ihren Energiestand und dessen Verlauf; Ihren VIP-Status und die daran gebundenen Käufe.
• Die Nachrichten zum Aufbau der verschlüsselten Verbindung (Angebote, Antworten und Netzwerk-Kandidaten, die die IP-Adressen der Telefone enthalten) laufen durch den Server zum anderen Telefon und werden nie gespeichert.
• Finden die beiden Telefone keinen direkten Weg und ist kein Relay (TURN) erreichbar, sind Live-Ton und -Bild nicht möglich. Der Status und die Alarme des Babytelefons und Ihre Befehle (zum Beispiel ein Schlaflied abspielen) laufen dann stattdessen durch den Server. Sie sind zwischen den beiden Telefonen verschlüsselt: Der Server leitet sie weiter, ohne sie lesen zu können, und speichert sie nie. Ton und Bild nehmen diesen Weg nie.
• Damit Sie durch Eintippen des Codes koppeln können, den das Babytelefon anzeigt, teilt ein bei einem Konto angemeldetes Babytelefon unserem Server diesen Code mit, solange sein Bildschirm „Pair a parent“ offen ist – so findet ein angemeldetes Elterntelefon es von überall. Der Server hält ihn höchstens fünf Minuten im Arbeitsspeicher, nie in seiner Datenbank oder seinen Protokollen; das Babytelefon prüft den Code weiterhin selbst. Damit niemand Codes erraten kann, zählt der Server falsche Codes je Telefon und Netz eine Stunde lang.
• Um einen direkten Weg zu finden, fragen die Telefone einen STUN-Server nach ihrer öffentlichen Adresse; wir betreiben eigene und nutzen den öffentlichen STUN-Server von Google nur, wenn unsere nicht verfügbar sind. Die Relay-Server (TURN) sind unsere eigenen; der Server wählt einen in der Region des Babytelefons.
• Wie jeder Internetdienst sehen unsere Server Ihre IP-Adresse. Wir halten sie in kurzlebigen Sicherheitsprotokollen fest (siehe Wie lange wir Daten aufbewahren).

Konto für den Internetmodus

Sie melden sich an, um den Internetmodus zu nutzen, und damit Ihre Telefone einander ohne Scannen eines QR-Codes finden. Im selben WLAN und für Push-Alarme brauchen Sie kein Konto.

• Sie melden sich mit Google, mit Apple oder mit E-Mail-Adresse und Passwort an. Wir speichern Ihre E-Mail-Adresse, den Namen, den Sie angeben (oder den Google bzw. Apple beim ersten Mal mitteilt), einen gesalzenen Hash Ihres Passworts (nie das Passwort selbst) und bei Google oder Apple die Kennung, die sie uns für Ihre NapPhone-Anmeldung geben. Bei Apple speichern wir zusätzlich das Token, mit dem wir die Anmeldung bei Apple widerrufen, wenn Sie das Konto löschen.
• E-Mails senden wir nur, um Ihre Adresse zu bestätigen, Ihr Passwort zurückzusetzen und Sie über eine Änderung Ihrer Anmeldung oder einen Registrierungsversuch mit Ihrer Adresse zu informieren. Ein E-Mail-Dienstleister stellt sie für uns zu.
• Jedes angemeldete Telefon wird mit seinem Namen mit Ihrem Konto verknüpft. Konten können mit einem einmaligen Einladungscode eine Familie bilden: Die Telefone einer Familie sehen die Namen ihrer Mitglieder und Telefone, und die Babytelefone der Familie lassen die Elterntelefone der Familie ohne Kopplung zusehen und zuhören. Wer sich bei einem Konto Ihrer Familie anmelden kann, kann daher ihre Babytelefone sehen und hören – halten Sie Ihr Passwort geheim und entfernen Sie Telefone, die Sie nicht mehr nutzen (am Babytelefon unter „Paired parents“ oder indem Sie die Familie verlassen).
• Zum Schutz der Konten zählt der Server fehlgeschlagene Anmeldungen und falsche Einladungscodes je Netz für kurze Zeit (nur im Arbeitsspeicher).

Push-Benachrichtigungen

Ist ein Elterntelefon nicht verbunden, erreicht es ein Schrei- oder Geräuschalarm als Push-Nachricht über Google Firebase Cloud Messaging (Android) bzw. den Apple Push Notification Service (iPhone), ebenso Nachrichten über das Babytelefon selbst: ein schwacher Akku (mit Ladestand) oder dass das Babytelefon offline gegangen ist – unser Server bemerkt, wenn ein laufendes Babytelefon länger als drei Minuten verschwindet (App vom System beendet, Telefon ausgeschaltet, Netz weg), und benachrichtigt die Elterntelefone, die nicht damit verbunden waren. Der Alarm enthält seinen Titel, den Namen des Babytelefons, dessen ID, die Art des Ereignisses und die Uhrzeit – nie Ton oder Bild. Damit Eltern, die gerade zusehen, ausgenommen werden, teilt das Babytelefon unserem Server mit, welche Elterntelefone verbunden sind; der Server hält diese Liste nur im Arbeitsspeicher. Dafür meldet sich das Elterntelefon bei Google bzw. Apple an, und der Server speichert das dabei entstehende Push-Token. Ein Telefon, das nur als Babyeinheit dient, meldet sich nicht für Push an.

Werbung und Einwilligung

In der kostenlosen Stufe können Elterntelefone Belohnungsvideos von Google AdMob ansehen, um Energie zu verdienen. Das Babytelefon zeigt nie Werbung und startet die Werbesoftware nie; VIP-Telefone zeigen keine Werbung und fordern keine an.

• Im Europäischen Wirtschaftsraum, im Vereinigten Königreich und in der Schweiz fragt Googles Einwilligungsformular (User Messaging Platform) nach Ihrer Wahl, bevor Werbung angefordert wird. Sie können sie jederzeit ändern oder widerrufen: „About“, „Ad privacy choices“ (die Oberfläche der App ist englisch).
• Werbung wird als nicht personalisierte Werbung angefordert. Die App fragt nicht nach der Erlaubnis, Sie zu tracken (iOS), und nutzt Ihr Werbeverhalten nicht für ein Profil.
• Googles Werbesoftware erhält, was sie braucht, um Werbung auszuliefern, zu messen und Betrug zu verhindern: Ihre IP-Adresse (und einen daraus abgeleiteten ungefähren Standort), Geräte- und App-Informationen, die Werbe-ID bzw. App-Set-ID, soweit Ihr Telefon sie freigibt, Ihre Interaktion mit der Werbung und Ihre Einwilligungsentscheidung. Um ein angesehenes Video gutzuschreiben, übergibt die App Google einen zufälligen Code, der sich täglich ändert und den nur unser Server Ihrem Telefon zuordnen kann – nicht Ihre Server-ID. Google verarbeitet diese Daten nach seiner eigenen Datenschutzerklärung.
• Eine Ablehnung beeinträchtigt nie die Überwachung, das Mithören oder die Alarme.

Käufe

Käufe laufen über Google Play bzw. den App Store. Wir erhalten ein Kauf-Token, um den Kauf bei Google bzw. Apple zu prüfen, hängen ein pseudonymes Konto-Token an (abgeleitet aus Ihrer zufälligen Server-ID), damit der Kauf auf einem neuen Telefon wiederhergestellt werden kann, und speichern Ihren VIP-Status unter Ihrer Server-ID.

Absturzberichte (Opt-in)

Absturzberichte sind standardmäßig aus. Schalten Sie sie ein („About“, „Diagnostics“), gehen Absturzdaten (Fehler, Stacktrace, App-Version, Plattform, Betriebssystemversion und Gerätemodell) an unseren Server und werden nach 30 Tagen gelöscht. Ton, Bild oder Namen sind nicht enthalten.

Scannen des Kopplungscodes

Unter Android nutzt der QR-Scanner Googles ML Kit auf dem Gerät. Das Kamerabild verlässt das Telefon nicht; ML Kit schickt Google Nutzungs- und Leistungsstatistiken mit Geräte- und App-Informationen.

Anrufe und Nachrichten weiterleiten (optional, Android)

Schalten Sie es für das Babytelefon ein, liest die App die Anruferzeile verpasster Anrufe und den Absender von Nachrichten-Benachrichtigungen und leitet „verpasster Anruf“ bzw. „Nachricht“ mit dieser Zeile über die verschlüsselte Verbindung an Ihr verbundenes Elterntelefon weiter. Davon wird nichts gespeichert außer der Art und der Uhrzeit im Verlauf des Babytelefons, und nichts geht an unseren Server.

Die Website

napphone.at beschreibt die App und veröffentlicht diese Erklärung und die Nutzungsbedingungen. Die Website setzt keine Cookies, führt keine Skripte aus und lädt nichts von anderen Unternehmen: Schriften und Bilder kommen von unserem eigenen Server. Wie jeder Webserver sieht unserer Ihre IP-Adresse, wenn Sie eine Seite öffnen, und speichert sie in den kurzlebigen Protokollen, die unter „Wie lange wir Daten aufbewahren“ stehen. Die Store-Schaltflächen sind gewöhnliche Links; Google oder Apple erfahren von Ihrem Besuch erst, wenn Sie einem folgen.

Warum wir Ihre Daten verarbeiten dürfen

• Koppeln, Internetmodus, Weiterleiten der Verbindung, Alarme, Energie und Käufe: um den gewünschten Dienst zu erbringen (Art. 6 Abs. 1 lit. b DSGVO).
• Sicherheitsprotokolle und Sicherungen, Wahl eines nahen Relays: unser berechtigtes Interesse an einem sicheren, zuverlässigen und effizienten Dienst (Art. 6 Abs. 1 lit. f DSGVO).
• Absturzberichte sowie Werbe-Cookies bzw. -Kennungen auf Ihrem Telefon: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO und die Vorschriften über das Speichern und Auslesen von Informationen auf Endgeräten), die Sie jederzeit widerrufen können.
• Beantwortung Ihrer Anfragen und Behandlung von Sicherheitsvorfällen: unsere rechtlichen Pflichten (Art. 6 Abs. 1 lit. c DSGVO).

Wo Ihre Daten verarbeitet werden

Unsere Server stehen in der Europäischen Union. Ein Relay-Server in den USA wird nur für Babytelefone in Amerika genutzt oder für ein europäisches Babytelefon, wenn kein europäisches Relay verfügbar ist. Google und Apple können Push-, Werbe- und Kaufdaten in den USA verarbeiten; sie stützen sich auf das EU-US Data Privacy Framework und die Standardvertragsklauseln der Europäischen Kommission.

Wie lange wir Daten aufbewahren

• Live-Ton und -Bild: nie gespeichert.
• Nachrichten zum Verbindungsaufbau sowie der verschlüsselte Status, die Alarme und die Befehle, die ohne direkten Weg weitergeleitet werden: nie gespeichert.
• Server-Einträge eines Telefons: bis Sie sie löschen (siehe unten) oder automatisch nach 13 Monaten (395 Tagen), in denen das Telefon den Internetmodus nicht genutzt hat.
• Ein Konto: bis Sie es löschen; eine nie bestätigte Registrierung nach 7 Tagen; ein Konto, bei dem kein Telefon angemeldet ist, nach 13 Monaten ohne Nutzung. Bestätigungslinks und Links zum Zurücksetzen des Passworts gelten 10 Minuten, Einladungscodes der Familie 15 Minuten.
• Sicherheitsprotokolle mit IP-Adressen: wenige Tage; das Zugriffsprotokoll des Webservers höchstens 14 Tage; Relay-Protokolle wenige Tage.
• Welche Elterntelefone mit einem Babytelefon verbunden sind: nur im Arbeitsspeicher des Servers, bei jeder Änderung ersetzt.
• Absturzberichte: 30 Tage. Einträge zu angesehenen Werbevideos: 90 Tage.
• Verschlüsselte Sicherungen der Server-Datenbank: bis zu 35 Tage.
• Auf dem Babytelefon: der Verlauf 60 Tage, Schreiclips und Schnappschüsse 7 Tage.

Ihre Daten löschen

• „About“, „Delete my server data“ entfernt sofort alles, was unser Server für dieses Telefon speichert – und Ihr Konto, wenn kein anderes Telefon mehr damit angemeldet ist. Ihre Kopplungen auf den Telefonen bleiben; im selben WLAN funktioniert alles weiter. Nutzen Sie den Internetmodus später wieder, entsteht eine neue, leere Registrierung.
• Entfernen Sie ein Babytelefon oder widerrufen Sie ein Elterntelefon in der App, um diese Kopplung aufzuheben. Beides löscht auch die Registrierung und das Push-Token dieses Elterntelefons auf dem Server: der Widerruf sofort; beim Entfernen wird das Push-Token sofort gelöscht und die Registrierung, sobald das Babytelefon das nächste Mal online ist.
• „Account“, „Sign out on this phone“ trennt dieses Telefon von Ihrem Konto; „Delete account“ löscht das Konto, seine Anmeldemethoden und seine Familienzugehörigkeit sofort (Ihre Telefone behalten ihre eigene Kennung und ihre QR-Kopplungen).
• Das Deinstallieren der App entfernt alles, was auf diesem Telefon gespeichert ist (die App ist von Cloud-Sicherungen ausgenommen).
• Kein Zugriff mehr auf die App? Unter napphone.at/privacy/delete-account?lang=de steht, wie Sie ein Konto ohne die App löschen lassen.
• Gelöschte Daten können in unseren verschlüsselten Sicherungen bleiben, bis diese ablaufen (bis zu 35 Tage); sie werden nie in den Betrieb zurückgespielt.

Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung und Löschung, auf Einschränkung der Verarbeitung und Widerspruch, auf Datenübertragbarkeit und darauf, eine Einwilligung jederzeit zu widerrufen. „About“, „Export my server data“ gibt Ihnen eine Kopie von allem, was unser Server für dieses Telefon speichert, „Delete my server data“ löscht es. Für alles andere schreiben Sie uns – weil wir nicht wissen, wer Sie sind, bitten wir Sie, zu zeigen, dass Sie das betroffene Telefon in der Hand haben. Sie können sich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem Land, in dem Sie leben oder arbeiten.

Was wir nie tun

• Ton oder Bild irgendwo speichern oder auswerten – außer den optionalen Clips auf dem Babytelefon.
• Analyse- oder Tracking-Software einbauen.
• Ihre Daten verkaufen oder über die hier genannten Dienste hinaus weitergeben.

Änderungen

Wir passen diese Erklärung an, wenn die App verändert, was sie verarbeitet; das Datum oben zeigt die aktuelle Fassung, die der App beiliegt und unter napphone.at/privacy?lang=de veröffentlicht ist.

Kontakt

Schreiben Sie an support@ammerbrothers.at. Die Adresse steht auch auf dem Bildschirm „About“.