Datenschutzerklärung

Stand: 19. Oktober 2026

1. Verantwortlicher

Leon Mons, Ziegeleistr. 1, 49086 Osnabrück. E-Mail: pflegegrad@fruhji.com

2. Deine Pflegedaten bleiben auf deinem Gerät

Pflegeprofile, Pflegetagebuch, Notizen und selbst eingetragene Werte der Leistungsübersicht werden lokal auf deinem Gerät gespeichert. Eine optionale Monatserinnerung wird nur auf dem Gerät geplant und enthält weder Profilnamen, Pflegegrad noch Geldbeträge. Wir betreiben keine Nutzerkonten. Solange du ein Profil nicht als Familienakte teilst (Abschnitt 3), liegen diese Daten auf keinem unserer Server. Wenn du eine verschlüsselte Sicherungsdatei erstellst, wählst du den Speicherort über den Systemdialog selbst; die App lädt diese Datei nicht zu Fruhji hoch.

3. Familienakte (freiwillig, Ende-zu-Ende verschlüsselt)

Teilst du ein Pflegeprofil als Familienakte, gleichen die Geräte der eingeladenen Personen dieses Profil über unseren Server ab: Pflegetagebuch, Punkterechner, Begutachtungstermin, Checkliste, Widerspruchsvorbereitung, Leistungsübersicht, Zuständigkeiten, den Stand des Höherstufungs-Hinweises und die Namen, die sich die Mitglieder selbst geben. KI-Auswertungen und deine anderen Pflegeprofile bleiben auf deinem Gerät. Vor dem ersten Teilen fragt die App, ob die gepflegte Person einverstanden ist oder du sie rechtlich vertrittst; die Antwort steht mit Datum in der Akte.

Alle Inhalte werden auf dem Gerät Ende-zu-Ende verschlüsselt (XChaCha20-Poly1305) und vom Gerät der schreibenden Person signiert. Die Schlüssel liegen nur auf den Geräten der Mitglieder; unser Server kann die Inhalte nicht lesen. Es gibt kein Konto und keine E-Mail-Adresse: jedes Gerät hat für jede Akte einen eigenen Schlüssel.

Der Server läuft bei Amazon Web Services in Frankfurt am Main (Region eu-central-1); Amazon Web Services EMEA SARL, Luxemburg, verarbeitet die Daten als Auftragsverarbeiter. Sichtbar sind für den Server nur Metadaten: Kennung der Akte, öffentliche Geräteschlüssel, Zahl der Geräte, Zeitpunkte sowie Größe und Reihenfolge der verschlüsselten Änderungen. Die IP-Adresse wird für Missbrauchsgrenzen verarbeitet; diese Zähler laufen nach zwei Minuten bzw. am Ende des Tages ab und werden danach automatisch gelöscht, in der Regel innerhalb weniger Tage. Fehlerprotokolle ohne Inhaltsdaten werden 30 Tage aufbewahrt.

Eine Einladung gilt sieben Tage und nur einmal. Ihr Schlüssel steht im Teil des Links nach dem „#“, den kein Browser und keine App an einen Server überträgt; der Server speichert nur einen Prüfwert.

Austreten entfernt dein Gerät aus der Akte. Beendet die verwaltende Person die Akte, löscht der Server alle Inhalte, Geräte und Einladungen; nur eine geschlossene Kopfzeile ohne Inhalt (Kennung, Zähler, Größe, Zeitpunkt) bleibt 90 Tage, damit jedes Gerät erfährt, dass die Akte beendet ist. Jedes Gerät behält seine Kopie als normales Profil; was auf den Geräten anderer Mitglieder liegt, können wir nicht löschen. Ein verschlüsseltes Backup enthält den Zugang zur Akte nur, wenn du „Familienakte mitsichern“ einschaltest.

Rechtsgrundlage sind Art. 6 Abs. 1 lit. b DSGVO und für die Gesundheitsangaben die Einwilligung der gepflegten Person bzw. die Entscheidung ihrer rechtlichen Vertretung nach Art. 9 Abs. 2 lit. a DSGVO.

4. KI-Auswertung (Premium-Funktion)

Erst wenn du unmittelbar vor einer KI-Auswertung ausdrücklich einwilligst, übermittelt die App ausschließlich strukturierte Angaben: Alter, Beziehung, Ziel sowie Datum, Begutachtungsmodul, eine vordefinierte Alltagssituation, Unterstützungsgrad, Dauer und Häufigkeit. Individuelle Beschreibungen und Freitext-Notizen werden nicht übertragen. Namen und Geräte-Kennungen sind nicht Teil des KI-Payloads.

Technisch begleitet die Anfrage eine pseudonyme Kauf-Kennung zur Prüfung deines Abos (siehe Abschnitt 5), die nicht an den KI-Dienst weitergereicht wird. App-Versionen vor 3.5.4 senden zusätzlich eine beim ersten Start erzeugte Installations-Kennung samt Echtheitsnachweis über Apple App Attest bzw. Google Play Integrity; aktuelle Versionen senden das nicht mehr, unser Server prüft solche Nachweise nur noch, solange ältere Installationen sie schicken. Die Kennungen enthalten keinen Klarnamen, unterscheiden aber eine App-Installation und können deshalb nicht als anonym bezeichnet werden. Unser Analyse-Server verknüpft sie nicht mit dem strukturierten KI-Inhalt.

Für Tagesgrenzen gegen Missbrauch und übermäßige Modellkosten zählt der Server Auswertungen je pseudonymer Kauf-Kennung und Tag; eine IP-Adresse wird dafür nicht gespeichert. Geräteintegritätsdaten älterer Installationen werden nur so lange gespeichert, wie sie zur Prüfung der Installation erforderlich sind.

Die Angaben werden verschlüsselt an unseren Server bei Amazon Web Services in Frankfurt am Main (Auftragsverarbeiter wie in Abschnitt 3; ältere App-Versionen erreichen ihn über eine Weiterleitung bei Cloudflare) und von dort an den KI-Dienst Anthropic, PBC in den USA („Claude“) übermittelt. Anthropic verarbeitet die Angaben als Auftragsverarbeiter nach seinen Commercial Terms und dem Data Processing Addendum, die einen dieser Erklärung gleichwertigen Schutz verlangen. Rechtsgrundlage sind Art. 6 Abs. 1 lit. b DSGVO und deine Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO. Unser Server speichert und protokolliert keine Inhaltsdaten. Nach Anthropics aktueller API-Richtlinie werden Ein- und Ausgaben standardmäßig innerhalb von 30 Tagen gelöscht; die dort genannten Ausnahmen, etwa zur Rechts- oder Nutzungsrichtlinien-Durchsetzung, bleiben möglich. API-Daten werden standardmäßig nicht zum Modelltraining verwendet. Deine Einwilligung gilt nur für die jeweils gestartete Auswertung; ohne erneute Einwilligung findet keine weitere Übermittlung statt.

5. Kauf-/Abo-Abwicklung (RevenueCat)

Zur Verwaltung von In-App-Käufen wird eine pseudonyme, zufällige App-User-ID über RevenueCat verarbeitet. RevenueCat erhält außerdem Produkt-, Transaktions- und grundlegende technische Gerätedaten. Es werden keine Klarnamen oder Pflegedaten übermittelt. Die Zahlung erfolgt über den jeweiligen App-Store; Fruhji erhält keine Zahlungsdaten.

6. Keine Nutzungsstatistik

Die App erfasst keine Nutzungsstatistik. Versionen bis 4.0.9 senden pseudonyme Ereignis-Metadaten (z. B. „Auswertung gestartet“) sowie vom SDK bereitgestellten technischen App-, Betriebssystem- und Gerätekontext an PostHog (Hosting in der EU), bis sie aktualisiert werden — niemals Inhalte des Pflegetagebuchs, Namen oder strukturierte Pflegedaten. Rechtsgrundlage dafür: Art. 6 Abs. 1 lit. f DSGVO.

7. Lokale Texterkennung auf Android (Google ML Kit)

Wenn du auf Android freiwillig ein Foto eines Bescheids auswählst, verarbeitet Google ML Kit das Bild und den erkannten Text auf deinem Gerät. Bild, erkannter Text und Erkennungsergebnis werden nicht an Google übertragen. Das ML-Kit-SDK kann jedoch technische Geräte- und App-Informationen, eine installationsbezogene Kennung, Leistungs- und Nutzungsmetriken sowie Fehlercodes verschlüsselt an Google senden, damit Google das SDK diagnostiziert, wartet und verbessert. Google gibt an, diese Diagnosedaten nicht an Dritte weiterzugeben. Rechtsgrundlage für unsere Einbindung ist Art. 6 Abs. 1 lit. f DSGVO. Weitere Einzelheiten beschreibt Google unter ML Kit Terms & Privacy.

8. Deine Rechte

Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO). Deine lokal gespeicherten Daten kannst du in der App jederzeit exportieren oder vollständig löschen. Extern abgelegte Sicherungsdateien musst du am gewählten Speicherort selbst löschen. Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Es besteht ein Beschwerderecht bei einer Aufsichtsbehörde.

9. Keine Pflege-/Rechtsberatung

Die App liefert eine unverbindliche Orientierungshilfe und ersetzt keine Beratung. Über den Pflegegrad entscheidet allein die Pflegekasse auf Basis der Begutachtung durch den Medizinischen Dienst.

Impressum