Datenschutzerklärung

1. Verantwortlicher und Datenschutzbeauftragter

Verantwortlicher: KB&B - Family Marketing Experts GmbH & Co. KG, Schellerdamm 16, 21079 Hamburg · info@fact-family.de · 040 767 94 50-0

Externer Datenschutzbeauftragter: IITR Datenschutz GmbH, Dr. Sebastian Kraska, Marienplatz 2, 80331 München · email@iitr.de · www.iitr.de

2. Grundsätze

1. Wir verarbeiten personenbezogene Daten nur, soweit dies für die Plattform und die Durchführung von Umfragen erforderlich ist oder eine Einwilligung vorliegt.
2. Umfrageantworten werden ausschließlich anonymisiert und aggregiert an auftraggebende Unternehmen weitergegeben. Einzelantworten werden niemals personenbezogen an Dritte übermittelt. Eine Weitergabe aggregierter Statistiken an Forschungs­partner (z. B. Universitäten, Marktforschungs­institute, Marken) erfolgt nur mit deiner gesonderten Einwilligung und ausschließlich in Form von Gruppen­auswertungen (Gruppen ab 30 Personen, ohne direkte oder indirekte Personen­bezüge).
3. Forschungsprivileg: FACT FAMILY arbeitet ausschließlich als Markt- und Meinungsforschung (ICC/ESOMAR, ADM/BVM). Wir nutzen die Daten nicht für Direktmarketing, personalisierte Werbung oder kommerzielle Profilbildung.
4. Gestaffelte, freiwillige Einwilligung (Layered Consent): Konto-Ebene (AGB/DSE, Sorgeerklärung), Studien-Ebene (pro Umfrage) und Spezial-Ebene (gesonderte Einwilligungen für besondere Datenkategorien, Bild-/Ton-/Videoaufnahmen und KI-Auswertung). Jede Einwilligung ist einzeln und jederzeit widerrufbar.

3. Alter und Einwilligung

1. Mitmachen können Familien mit Kindern jeden Alters; Eltern legen das Konto an (Eltern-First).
2. Für Kinder unter 16 willigt der Erziehungsberechtigte ein (Art. 8 DSGVO i. V. m. § 1 Abs. 2 TDDDG - Deutschland hat die Altersgrenze auf 16 festgelegt).
3. Ab dem vollendeten 16. Lebensjahr willigt der Jugendliche datenschutzrechtlich zusätzlich selbst ein (Art. 8 DSGVO). Die elterliche Einwilligung bleibt für die vertragliche Ebene (AGB, Geschäftsfähigkeit nach §§ 106 ff. BGB) bis zur Volljährigkeit notwendig. Auf Wunsch kannst du als Jugendlicher deine eigene Datenschutz-Einwilligung jederzeit in deinem Profil bestätigen oder widerrufen.
4. Ab dem vollendeten 18. Lebensjahr bist du voll geschäftsfähig. Wir bitten dich beim nächsten Login einmalig, AGB und Datenschutzerklärung selbst zu bestätigen. Auf Wunsch lösen wir die Verknüpfung zum Elternkonto auf und überführen dein Mitglieds-Profil in ein eigenständiges Konto mit eigener E-Mail-Adresse (siehe AGB § 3).
5. Wir treffen angemessene Anstrengungen, um die elterliche Einwilligung zu verifizieren (Art. 8 Abs. 2 DSGVO): Eltern-First-Registrierung, bestätigte Sorgeerklärung und eine Bestätigungs-E-Mail mit einmaligem Link je hinzugefügtem Kind (Out-of-band). Erst nach Bestätigung wird ein Kind-Profil aktiv.

4. Welche Daten wir verarbeiten

4.1 Konto-/Stammdaten

Warum wir den Nachnamen brauchen: Wir erheben den Nachnamen des Elternteils, um Mehrfach-/Scheinkonten innerhalb einer Familie zu erkennen, Prämien zuverlässig an die richtige Familienadresse zu schicken und im Streitfall die Sorgeberechtigung belegen zu können. Der Nachname wird nicht öffentlich angezeigt und nicht an auftraggebende Unternehmen weitergegeben.

Zum vollständigen Geburtsdatum: Wir erheben das genaue Geburtsdatum, um das Alter exakt zuzuordnen (insbesondere für den Wechsel zur eigenen Einwilligung ab dem 16. Geburtstag), um Mehrfach-/Scheinkonten zu erkennen und um Befragungen jugendschutzgerecht auszusteuern. Das Datum wird zugriffsbeschränkt verarbeitet, nicht an auftraggebende Unternehmen weitergegeben und im Profil schreibgeschützt angezeigt; eine Berichtigung unrichtiger Angaben (Art. 16 DSGVO) ist über unseren Support möglich.

4.2 Profildaten (freiwillig, Progressive Profiling)

Kinderbezogene Profildaten (z. B. Schule, Klasse) halten wir datensparsam.

4.3 Umfragedaten (Einwilligung zur Marktforschung)

Besondere Datenkategorien und Aufnahmen erheben wir nur mit gesonderter, ausdrücklicher Einwilligung; bei Kindern unter 16 zusätzlich mit Eltern-Bestätigung (Out-of-band). Lehnst du eine solche Einwilligung ab, werden nur die betroffenen Fragen übersprungen - kein Ausschluss aus der Studie (kein Kopplungszwang, Art. 7 Abs. 4 DSGVO).

4.4 Nutzungsdaten / Server-Logfiles

Beim Aufruf der Website verarbeiten wir automatisch technische Daten (IP-Adresse, Datum/Uhrzeit, abgerufene Seite, Browsertyp, Betriebssystem, Referrer) zur Bereitstellung, Stabilität und Sicherheit. Rechtsgrundlage: Art. 6 Abs. 1 lit. f. Speicherdauer: 30 Tage.

5. Eingesetzte Dienste / Auftragsverarbeiter

Eine stets aktuelle und ausführliche Übersicht findest du auf der Unterseite Auftragsverarbeiter & Subprozessoren.

5.1 Übermittlung in Drittländer

Einige der oben genannten Dienste haben ihren Konzernsitz außerhalb der EU/des EWR (insbesondere USA). Wir stützen entsprechende Übermittlungen wie folgt ab:

• Cloudflare (Edge/Workers): Verarbeitung vertraglich auf EU-Regionen beschränkt; Grundlage Standardvertragsklauseln (SCC) der EU-Kommission (Beschluss 2021/914) zzgl. Transfer-Impact-Assessment.
• Web-Push (FCM/APNs): Nur bei aktiver Einwilligung; Übermittlung kann je nach Browser-Hersteller in die USA erfolgen. Grundlage Art. 49 Abs. 1 lit. a DSGVO (ausdrückliche Einwilligung).
• KI-Auswertung (Anthropic): EU-Endpunkt, SCC + TIA, ausschließlich pseudonymisierte Daten.

6. KI-gestützte Auswertung

Wir setzen KI (Claude/Gemini) ausschließlich zur aggregierten Auswertung von Befragungsdaten ein. Vor jeder KI-Verarbeitung ersetzen wir direkte Identifikatoren durch zufällige, studienspezifische Token (Pseudonymisierung); das Zuordnungs-Mapping verbleibt allein bei uns. Es finden keine automatisierten Einzelfallentscheidungen mit rechtlicher Wirkung statt (Art. 22 DSGVO); KI-Ergebnisse werden vom Forschungsteam geprüft. Wir setzen KI nicht zur Beeinflussung einzelner Kinder ein (Art. 5 EU-AI-Act; Transparenz nach Art. 50).

7. Cookies

Wir setzen ausschließlich technisch notwendige Cookies ein (Login-Session, CSRF-Schutz, Hinweis-Bestätigung). Diese sind für den Betrieb der Website erforderlich; eine Einwilligung ist hierfür nicht nötig (§ 25 Abs. 2 Nr. 2 TDDDG). Analyse- oder Marketing-Cookies sowie Tracking-Pixel von Drittanbietern setzen wir derzeit nicht ein. Sollten wir solche Dienste künftig einbinden, holen wir vorher deine Einwilligung über einen Cookie-Banner ein und ergänzen diese Erklärung entsprechend.

7.1 Übersicht der eingesetzten Cookies

8. Empfehlungen an Freunde (WhatsApp & Messenger)

Lädst du Freunde ein, versendest du die Einladung selbst über deine eigenen Kanäle (WhatsApp, Signal, iMessage, SMS, E-Mail, persönlicher Link/Code). Du teilst dabei ausschließlich deinen persönlichen Einladungslink - wir erhalten keine Telefon- oder Kontaktdaten der eingeladenen Person und versenden auch keine Werbe-Nachrichten an von dir benannte Dritte. Erst wenn die eingeladene Person den Link aufruft und sich selbst registriert, verarbeiten wir ihre Daten nach dieser Erklärung.

9. Speicherdauer

Wir speichern Daten nur solange erforderlich (siehe Tabellen). Einwilligungsnachweise bleiben aus Rechenschaftsgründen pseudonymisiert über die Kontolaufzeit hinaus erhalten.

9.1 Backups

Aus Gründen der Ausfallsicherheit (Art. 32 DSGVO) werden tägliche, verschlüsselte Datenbank-Backups angelegt und nach maximal 30 Tagen automatisch gelöscht. Wird ein Datensatz auf deinen Wunsch hin (z. B. Konto-Löschung, Art. 17 DSGVO) aus dem Live-System entfernt, verbleibt er bis zu 30 Tage in den rollierenden Backups und wird innerhalb dieses Zeitraums durch den Lösch-Zyklus endgültig überschrieben. Eine Wiederherstellung aus dem Backup erfolgt ausschließlich im Katastrophenfall; gelöschte Datensätze werden in diesem Fall unverzüglich erneut gelöscht.

10. Deine Rechte

Beschwerderecht: Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Straße 22, 20459 Hamburg. Antwortfrist max. 30 Tage (Art. 12 Abs. 3).

11. Besondere Bestimmungen für Kinder und Jugendliche

1. Daten von Kindern genießen besonderen Schutz. Für unter 16-Jährige verarbeiten wir nur mit elterlicher Einwilligung.
2. Datenminimierung: Beim Anlegen eines Kind-Profils erheben wir Spitzname/Vorname, Geburtsdatum und Avatar; weitere Daten nur bei Bedarf und mit Hinweis auf Freiwilligkeit. Eigene Wohnadressen von Kindern erheben wir nicht; Lieferadresse ist die Familienadresse der Eltern.
3. Kinder werden nicht mit Werbung angesprochen; es findet kein Werbe-Profiling statt.
4. Eltern sehen im Eltern-Dashboard alle Aktivitäten ihrer Kinder, können einzelne Einwilligungen widerrufen und das Konto löschen. Der Widerruf führt zur sofortigen Deaktivierung; Kinderdaten werden binnen 14 Tagen gelöscht. Bereits aggregierte, anonymisierte Ergebnisse bleiben unberührt (Art. 17 Abs. 3 lit. d).
5. Im Sinne von ErwG 65 DSGVO löschen wir Kinderdaten auf Wunsch besonders zügig.

12. Datensicherheit

TLS/SSL-Verschlüsselung, passwortloser Login, Rollen-/Zugriffskonzepte und Row-Level-Security, Pseudonymisierung vor KI-Auswertung, regelmäßige Updates, Backups (30 Tage).

13. Datenschutz-Folgenabschätzung

Wegen der Verarbeitung von Kinderdaten in großem Umfang, besonderer Datenkategorien und KI-Auswertung führen wir eine DSFA (Art. 35 DSGVO) unter Mitwirkung des externen DSB durch.

14. Änderungen

Wir aktualisieren diese Erklärung bei Bedarf (versioniert). Die aktuelle Fassung steht unter fact-family.de/datenschutz. Bei wesentlichen Änderungen informieren wir registrierte Nutzer.

Stand: 23.06.2026