Impressum

Das Impressum ist noch nicht hinterlegt. Der Betreiber muss die Angaben in den Einstellungen des Dienstes eintragen (IMPRESSUM_NAME, IMPRESSUM_EMAIL, bei öffentlichem Angebot auch IMPRESSUM_ANSCHRIFT).

Datenschutzerklärung

Stand: 26. Oktober 2026

1. Wer ist verantwortlich?

Verantwortlich im Sinne der DSGVO ist die im Impressum genannte Person. Fragen zum Datenschutz richtest du an die dort genannte E-Mail-Adresse.

2. Was ist chat-o?

chat-o ist eine Haushalts-App: ein Chat, aus dem Einkaufslisten, Termine, Aufgaben und Essenspläne entstehen. Sie wird als kommerzieller Dienst angeboten; die Preise werden derzeit kalkuliert und sind auf Anfrage erhältlich. Mit einem eigenen Konto bekommst du einen abgetrennten Bereich, den nur du und die von dir eingeladenen Familienmitglieder sehen.

3. Welche Daten werden verarbeitet?

• Konto: deine E-Mail-Adresse, ein Passwort-Hash (nie das Passwort selbst), Zeitpunkt der Anmeldung, ob die E-Mail bestätigt ist, und Sitzungs-Kennungen deiner Geräte.
• Inhalte: alles, was du und deine Familienmitglieder in der App eingebt – Nachrichten, Listen, Termine, Aufgaben, Kontakte, Notizen, Sprachnachrichten, hochgeladene Fotos von Einladungen, Fotos im Chat.
• Technisch: deine IP-Adresse (für die Bremse gegen Anmeldeversuche, kurzzeitig), Browser-Angaben für Mitteilungen, und Zähler je Konto und Monat, wie viele Anfragen dein Konto stellt, wie viele KI-Auswertungen, Sprach-Sekunden und Ortssuchen es verbraucht und wie viele Text-Bausteine (Token) die KI dabei verarbeitet hat – für die Nutzungsdeckel des Tarifs und zur Kostenkontrolle. Außerdem je Raum und Tag, wie lange die App für ihre Antworten im Chat gebraucht hat (nur die Anzahl je Zeitspanne, etwa „12 Antworten zwischen 1,5 und 1,75 Sekunden“), auch je Arbeitsschritt (bis zur Anfrage an die KI, die KI selbst, das Eintragen) und wie viele KI-Anfragen und Text-Bausteine (Token) eine Antwort im Mittel brauchte, getrennt danach, ob die Beta-Funktionen an waren – damit wir sehen, ob die Erkennung schnell genug ist. Inhalte werden dabei nicht gespeichert; die Zahlen fallen nach 30 Tagen weg.
• Mitteilungen (freiwillig): wenn du Push-Mitteilungen einschaltest, eine Abo-Adresse deines Browsers – zugeordnet deinem Zugang über dessen Kennung, damit nur du die Mitteilungen deiner Räume bekommst.
• Einladung in einen einzelnen Raum: Lädst du jemanden in einen Raum ein, speichern wir am Zugang den Namen, den du vergibst, deinen Namen als einladende Person und – falls du eines wählst – bis wann der Zugang gilt. Danach kommt die Person nicht mehr hinein; ihre Beiträge bleiben im Raum. Nimmt jemand die Einladung mit dem eigenen chato-Konto an, merken wir uns am Zugang nur, welches Konto das ist (keine E-Mail-Adresse); der Raum erscheint dann auch dort. Du siehst nichts aus deren Bereich und sie nichts aus deinem außer diesem Raum. Wird das Konto gelöscht oder tritt die Person aus, endet die Verbindung.
• Besuche der Startseite: Auf der öffentlichen Startseite (nicht in der App) wird gezählt, wie viele Aufrufe es gibt, zu welcher Stunde, von welcher Geräteklasse (Handy/Tablet/PC), über welche verweisende Website (nur deren Name, nicht die vollständige Adresse) und ob jemand die Demo gestartet oder ein Konto angelegt hat. Steht ein Werbe-Kürzel im Link (?w=… oder utm_…), wird es mitgezählt, damit erkennbar ist, welche Werbung etwas bewirkt. Dabei werden keine Cookies gesetzt, keine Kennungen vergeben und keine IP-Adressen gespeichert. Um Besucher von bloßen Aufrufen zu unterscheiden, wird aus IP-Adresse und Browserangabe zusammen mit einem täglich neu gewürfelten Zufallswert eine nicht umkehrbare Prüfsumme gebildet; der Zufallswert wird am Folgetag gelöscht, sodass sich niemand über mehrere Tage wiedererkennen lässt. Die Besucherzahl ist deshalb eine Schätzung. Rechtsgrundlage: berechtigtes Interesse an der Reichweitenmessung des eigenen Angebots (Art. 6 Abs. 1 lit. f DSGVO); da weder Cookies gesetzt noch Informationen aus deinem Gerät ausgelesen werden, ist keine Einwilligung nach § 25 TDDDG erforderlich. In der App selbst wird nichts davon erhoben.
• Probier-Haushalt (ohne Konto): Wer auf der Startseite „Die echte App ausprobieren“ wählt, bekommt einen eigenen Demo-Bereich mit erfundenen Beispieldaten. Er hängt an einer Sitzungs-Kennung im Browser und wird nach 24 Stunden samt allem, was du dort eingibst, automatisch gelöscht. Deine IP-Adresse dient dabei nur kurzzeitig der Bremse gegen massenhaftes Anlegen.
• Gäste einer Gruppe auf Zeit (zurzeit eine Beta-Funktion): Wer den Link einer Gruppe hat, liest und schreibt in ihrem Chat mit – ohne Konto. Gespeichert werden der Name, den der Gast selbst eingibt, und seine Nachrichten, im Raum der Gruppe. Besorgungen, Termine, Aufgaben und Ausgaben der Gruppe sieht ein Gast nicht. Die Gastgeber können einen Gast samt seinen Beiträgen entfernen und den Link jederzeit erneuern oder ausschalten. Endet die Gruppe nach der gewählten Laufzeit oder wird sie gelöscht, ist alles weg – auch für die Gastgeber; aus den Sicherungskopien spätestens nach 30 Tagen. Der Link lässt sich weiterleiten: Wer ihn bekommt, kann mitlesen.
• Terminumfrage per Link (zurzeit eine Beta-Funktion): Wer in einem Raum eine Terminumfrage anlegt, erzeugt einen Link. Wer ihn hat, sieht nur diese Umfrage – Titel, Ort, den Namen, unter dem die Umfrage angelegt wurde, die Terminvorschläge, die Antworten und Namen der Teilnehmenden und den Chat der Umfrage, nichts sonst aus dem Raum (kein Raumname, keine Personen, keine Listen, keine Termine) – und kann ohne Konto mitmachen. Gespeichert werden der Name, den die Person selbst eingibt, ihre Antworten (ja, vielleicht, nein), ihre Terminvorschläge und ihre Chat-Nachrichten, im Raum der Umfrage, dazu eine zufällige Kennung des Geräts, damit nur dieses Gerät unter seinem Namen weitermachen kann. Es gelten Obergrenzen (100 Teilnehmende, 200 Chat-Nachrichten, 280 Zeichen je Nachricht); wird eine überschritten, sagt die App es, statt etwas still abzuschneiden. Mitglieder des Raums stimmen in der App ab. Wer die Umfrage angelegt hat, kann Personen samt ihren Beiträgen entfernen, einzelne Chat-Nachrichten löschen, den Link erneuern und die Umfrage löschen. Eine Umfrage läuft höchstens 30 Tage und löscht sich 30 Tage nach ihrem Ende selbst (die Seite nennt das Datum); wird der Raum oder der Haushalt gelöscht, ist sie sofort weg; aus den Sicherungskopien spätestens nach 30 Tagen. Der Link lässt sich weiterleiten: Wer ihn bekommt, sieht die Umfrage. Das Verzeichnis kennt den Link nur als Prüfsumme. Ruft jemand einen Link auf, den es nicht (mehr) gibt, dient die IP-Adresse kurzzeitig der Bremse gegen das Erraten von Links. Läuft bei einer Umfrage die Funktion „Umfrage-Chat im Raumchat“ (zurzeit Beta), steht jede Chat-Nachricht der Umfrage zusätzlich im Chat des Raums, mit dem Namen, unter dem die Person in der Umfrage steht (Gäste als Gast gekennzeichnet); die Seite der Umfrage sagt das dazu. Löscht die Verwaltung eine Nachricht oder entfernt sie eine Person samt Beiträgen, verschwindet die Kopie im Raumchat mit; wird die ganze Umfrage gelöscht, bleiben die Kopien im Chat des Raums stehen, bis sie dort gelöscht werden. Gäste sehen den Chat des Raums nicht. Eine KI liest nichts davon.
• Gäste einer Feier (freiwillig): Wer über einen Einladungslink zusagt, kann eine E-Mail-Adresse und die Namen der Mitkommenden angeben. Die Adresse nutzen wir nur, um bei einer Änderung von Datum, Uhrzeit oder Ort zu schreiben, vor der Feier zu erinnern (der Gastgeber stellt ein, wie viele Tage vorher) und für Nachrichten, die der Gastgeber über die App an alle Gäste mit Adresse schickt; sie steht beim Gastgeber in der Gästeliste und lässt sich über den eigenen Link jederzeit wieder löschen. Der Gastgeber sieht, wann eine Mail an wie viele Gäste ging (Betreff und Anzahl, keine Adressen).
• Geteilte Einkaufsliste: Wer eine Einkaufsliste teilt, erzeugt einen Link. Jede Person mit diesem Link sieht die ausgewählten Punkte (Name, Variante, Menge, Laden, für welches Gericht, ob erledigt), den Namen der Person, die geteilt hat, und – falls eingetragen – für wen die Liste ist. Sie kann Punkte abhaken und zurücknehmen, ‚gab es nicht‘ vermerken und neue Punkte dazuschreiben. Ein Haken ändert auch einen damit verknüpften Checklisten-Schritt. Ausgewählt werden können auch Punkte aus anderen Räumen desselben Haushalts, die in den Besorgungen stehen (etwa die einer Feier); ein Haken über den Link gilt dann in dem Raum, zu dem der Punkt gehört. Gibt sie einen Namen an, steht er an ihren Haken und Vermerken, an Punkten, die sie dazuschreibt, und in den Mitteilungen der Familie; hat die teilende Person unter „Für wen?“ einen Namen eingetragen, gilt dieser, bis sie ihn ändert. Beenden macht den Link sofort wertlos; spätestens 7 Tage nach der letzten Nutzung über den Link endet er von selbst. Ruft jemand einen Link auf, den es nicht (mehr) gibt, dient die IP-Adresse kurzzeitig der Bremse gegen das Erraten von Links.
• E-Mail-Adressen, die du für andere einträgst: Trägst du bei einem Termin unter „Dabei“ eine E-Mail-Adresse ein, wird sie wie ein Name in diesem Termin gespeichert und ist für alle sichtbar, die den Haushalt sehen. Sie wird nicht in die Kalender-Abos übernommen, die Familienmitglieder in ihren Handykalender einbinden. Verschickt wird an sie nur dann etwas, wenn du im Termin ausdrücklich „Einladung per Mail“ auslöst; die Einladung enthält Titel, Datum, Uhrzeit, Ort, eine Notiz, falls du eine hinterlegt hast, und die übrigen Namen des Termins – keine weiteren Inhalte des Haushalts. Wer eine solche Einladung bekommt, kann darauf antworten; die Antwort geht an die im Impressum genannte Adresse, nicht in die App. Löschst du den Termin oder die Adresse daraus, ist sie weg. Rechtsgrundlage: berechtigtes Interesse an der Organisation privater Termine (Art. 6 Abs. 1 lit. f DSGVO); verantwortlich für die Auswahl der Empfänger bist du als Nutzer.
• Fehlermeldungen der App: Tritt in der Oberfläche ein Fehler auf, gehen Fehlertext, Datei und Zeile, die Seite, die zuletzt angetippten Bedienelemente (nur deren Namen) und der Browsertyp an den Betreiber – ohne Chat-Inhalte und ohne Namen.
• Rückmeldungen an den Betreiber (freiwillig): Schickst du über „Fehler melden“ oder einen Wunsch eine Rückmeldung, speichert der Betreiber deinen Text, deinen Namen und bei einem Konto dessen E-Mail-Adresse – dazu, wenn du ihn anhängst, den Export des Raums mit Chat, Listen und Terminen und, wenn du sie anhängst, bis zu drei Bildschirmfotos. Ein Bildschirmfoto zeigt alles, was in diesem Moment auf deinem Bildschirm stand, auch Namen und Nachrichten; es wird vorher in deinem Browser verkleinert. Hat der Betreiber einen Schlüssel hinterlegt, werden Text, Anhang und Bildschirmfotos in deinem Browser verschlüsselt, bevor sie gesendet werden. Eine Rückmeldung, die unverschlüsselt ankommt, liest der Betreiber zur Fehlersuche auch mit Hilfe eines KI-Assistenten (Anthropic, siehe Abschnitt 5) – deinen Text so, wie du ihn geschickt hast, ohne E-Mail-Adressen und ohne deinen Namen als Absender (was du selbst hineinschreibst oder als Wortlaut mitschickst, bleibt darin, auch Namen). Den Zusammenhang, den die App anhängt (Chat-Auszug, Termine, Listen), bekommt dieser KI-Assistent nur aus dem eigenen Haushalt des Betreibers, aus keinem anderen. Die ersten Zeilen deines Texts stehen außerdem im täglichen Statusbericht, den der Betreiber per E-Mail bekommt. Verschlüsselte Rückmeldungen und Anhänge gehen weder an den KI-Assistenten noch in den Bericht; Bildschirmfotos nie – dort steht höchstens, wie viele es sind. Hast du beim Melden die Beta-Funktionen an, merkt sich die App zusätzlich, aus welchem Raum du gemeldet hast, und ob und wann eine Reparatur begonnen hat und der Fehler behoben ist. In diesem Raum erscheint dann je eine Zeile „angekommen“ und „behoben“ – nur mit dem Datum der Meldung, ohne deinen Namen und ohne Inhalt; alle in diesem Raum sehen sie. Diese Angaben werden mit der Rückmeldung gelöscht.
• Laden-Wissen: Welche Art ein Laden ist (Supermarkt, Baumarkt …) und welche Webseite ihr dazu angegeben habt – änderbar unter ⚙️ → Haushalt (Abschnitt „Eure Läden“); welcher Kategorie ein Wort auf eurer Liste angehört, wenn die App es einschätzen ließ – es verschwindet mit dem Wort unter „Gelerntes ansehen“; und bei welchem Laden ihr einen Artikel ausdrücklich haben wolltet („Doch bei …“). Gespeichert im Haushalt wie das übrige Gelernte. Gibst du die Webseite eines Ladens an, ruft der Server sie einmal ab und liest nur Titel und Beschreibung, um die Art zu erkennen; der Text der Seite geht an keine KI.
• Tarif: welcher Tarif für dein Konto gilt (Probezeit, Familie, Großfamilie) und wann die Probezeit endet.
• Sicherungskopien: Einmal nachts wird der Stand aller Haushalte verschlüsselt (AES-256) gesichert, damit nach einem Fehler oder versehentlichen Löschen nichts verloren ist. Die Kopien liegen beim selben Anbieter in der EU (Cloudflare R2, EU-Jurisdiktion), sind nur mit einem Schlüssel des Betreibers lesbar und werden nach 30 Tagen automatisch gelöscht. Löschst du dein Konto, ist es aus der laufenden App sofort weg und aus den Sicherungskopien spätestens nach 30 Tagen.
• Zahlungsdaten: derzeit keine. Tarife werden bis auf Weiteres per E-Mail vereinbart und vom Betreiber freigeschaltet; sobald eine Bezahlung in der App möglich ist, wird diese Erklärung um Zahlungsdienstleister und Rechnungsdaten ergänzt und die Änderung angekündigt.

4. Wofür und auf welcher Grundlage?

• Bereitstellung des Kontos und der App, Anfragen zu Preisen und – künftig – Abrechnung: Erfüllung des Vertrags bzw. vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO).
• Sicherheit (Anmeldebremse, Bot-Schutz, Nutzungsdeckel, Fehlermeldungen): berechtigtes Interesse am Schutz und am zuverlässigen Betrieb des Dienstes (Art. 6 Abs. 1 lit. f DSGVO).
• Push-Mitteilungen und KI-Funktionen nutzt du freiwillig; sie lassen sich jederzeit ausschalten.
• Für Personen, die einen geteilten Link öffnen, ohne chat-o zu nutzen: berechtigtes Interesse der teilenden Familie an einer gemeinsamen Einkaufsliste (Art. 6 Abs. 1 lit. f DSGVO).
• Für Personen, die den Link einer Terminumfrage öffnen und mitmachen: Einwilligung durch die freiwillige Teilnahme (Art. 6 Abs. 1 lit. a DSGVO, Name und Antworten) und berechtigtes Interesse der einladenden Person an einer gemeinsamen Terminfindung (Art. 6 Abs. 1 lit. f DSGVO).

5. Wer hilft bei der Verarbeitung? (Auftragsverarbeiter)

• Cloudflare, Inc. (USA): betreibt die Server (Workers), speichert die Daten und wandelt Sprachnachrichten in Text um (Workers AI). Gespeichert wird ausschließlich in Rechenzentren in der EU (Cloudflare-Jurisdiktion „EU“ für Durable Objects und R2): Chats, Listen, Termine, Konten, Anmeldungen, Sprachnachrichten, Anhänge und die Sicherungskopien. Eine Anfrage bearbeitet das Cloudflare-Rechenzentrum, das dir am nächsten ist – öffnest du die App außerhalb der EU, läuft sie dort durch; gespeichert wird trotzdem nur in der EU. Die Umwandlung von Sprache in Text (Workers AI) ist nicht an die EU gebunden. Grundlage: EU-Standardvertragsklauseln / Data Privacy Framework.
• TypeSafe AI, Inc. (USA), über Cloudflare AI Gateway – nur, wenn der Betreiber dafür ein Gateway eingerichtet hat (welcher Dienst gerade einschätzt, steht in der App unter „Verarbeitete Daten“; im Probier- und Demo-Haushalt keiner; ohne Gateway übernimmt Anthropic diese Aufgabe, siehe unten): Das Modell „Jev“ schätzt ein, welche Art ein Laden ist und welcher Kategorie ein Artikel angehört, wenn die App ein Wort nicht kennt. Hin gehen nur einzelne Wörter – der Name eines Ladens oder einer Besorgung, höchstens zwei Wörter ohne Ziffern und Satzzeichen. Nie gehen hin: ein Satz aus dem Chat, der Absender, der Haushalt, eine Uhrzeit, der Text einer Webseite und Namen, die die App aus dem Haushalt kennt (Personen, Zugänge, Kontakte, Geburtstage, Gäste) – auch kein Teil davon wie ein Nachname; ist eine dieser Listen gerade nicht erreichbar, geht gar nichts hin. Ehrlich dazu: Ein einzelnes Wort kann ein Name sein, den die App nicht kennt – dann geht es ohne jeden Zusammenhang hin. Das Protokoll im Gateway ist abgeschaltet; die Antwort wird im Haushalt gespeichert, damit dasselbe Wort nie zweimal hingeht. TypeSafe nutzt die Eingaben laut eigener Angabe nicht zum Training, sagt aber keine sofortige Löschung zu; die Verarbeitung ist nicht an die EU gebunden. Grundlage: Standardvertragsklauseln.
• Anthropic, PBC (USA): stellt die KI. An die Anthropic-API geht je Funktion, was sie braucht:
  • Erkennung – bei Chat-Nachrichten, die die App nicht selbst versteht, auch beim erkannten Text von Sprachnachrichten: die letzten bis zu zehn Nachrichten mit den Namen der Absender und als Kontext die offenen Einträge des Haushalts (Einkaufsliste mit Menge und Laden, Termine mit Beteiligten, Ort, Fahrdienst und Notiz, Aufgaben mit Frist und Zuständigen, Checklisten, Essensplan der nächsten 14 Tage), die bekannten Läden, frühere Korrekturen und zuletzt gezeigte Suchergebnisse. Mit der Beta-Funktion „Erkennung neu“: die letzten bis zu acht Nachrichten, dazwischen die Zeilen der App (was sie eingetragen hat, mit einer Kennung je Eintrag), und die offenen Einträge mit ihrem Alter – nichts darüber hinaus.
  • Chat einer Gruppe auf Zeit – nur, wenn die Gastgeber „Besorgungen aus dem Gäste-Chat übernehmen“ eingeschaltet haben, höchstens 40-mal am Tag: die einzelne Nachricht eines Gastes mit dem Namen, den er selbst angegeben hat, und als Kontext die bekannten Läden des Haushalts und frühere Korrekturen in dieser Gruppe. Was die KI daraus erkennt (Besorgungen, Aufgaben), landet in der Gruppe – Gäste sehen es nicht.
  • Fotos im Chat (Beta „Bilder im Chat“) – wenn du ein Foto in den Chat schickst, liest die KI es, um Termine darauf zu finden (Aushang, Flyer, Einladung): das Foto selbst und die Unterschrift, die du dazugeschrieben hast. Kein Chat-Verlauf, keine Namen und keine Einträge des Haushalts gehen mit. Standort und andere Aufnahmedaten sind vorher schon aus dem Foto entfernt. Ohne Beta wird ein Foto im Chat nicht gelesen. Die Erkennung läuft höchstens zehnmal am Tag je Person.
  • ✨-Knopf: die letzten 15 Nachrichten mit Absendern und Uhrzeit und dazwischen die Zeilen der App (was sie eingetragen, abgehakt oder zurückgenommen hat), die letzten Antworten der KI, frühere Rückmeldungen zu ihren Vorschlägen (etwa „kam nicht gut an“), die Einkaufsliste, Aufgaben und Checklisten – offene und, seit der ältesten dieser Nachrichten, erledigte mit Zeitpunkt und wer sie abgehakt hat – sowie kommende und abgehakte Termine mit Beteiligten.
  • Fragen an die App („Wann hat die Praxis auf?“): die Frage mit dem Namen der fragenden Person und ein Auszug des Haushalts – Kontakte mit Telefon, Adresse und Öffnungszeiten, Termine und Essensplan der nächsten 14 Tage, offene Aufgaben, Einkaufsliste und Punktestände; bei Fragen nach Gesagtem zusätzlich die letzten 40 Nachrichten.
  • Einzelne Hilfen, jeweils nur ihr Gegenstand: Fotos oder Texte, die du einlesen lässt (Einladungen, Geburtstagslisten); der Text der Webseite, aus der ein Kontakt gelesen wird; Gerichte (für Zutaten und Aufwand, für einen Essensvorschlag auch Bewertungen und Zutaten, die ihr gern oder nie esst); Titel von Aufgaben und Listen mit ihren Punkten; Artikel mit den Läden des Haushalts und deren Art (etwa „Baumarkt“); bei einer Ortssuche ohne Google Suchbegriff, Ort, Terminzeit und eine Verfeinerung, falls du eine angibst; im Projekt-Raum der Chat-Ausschnitt mit Absendern, Projektname, Ideen mit Zuständigen und Fristen, Kategorien, Phasen und Regeln des Teams.
  • Helfer (zurzeit eine Beta-Funktion) – nur, wenn du ihm eine Frage stellst: deine Frage und die Liste der Einstellungen, die du in der App gerade öffnen kannst (nur ihre Namen und Wege, etwa „Haushalt › Eure Läden“). Keine Nachrichten, Listen, Termine oder Namen aus deinem Haushalt. Das Gespräch mit dem Helfer speichert nur dein Gerät (siehe Abschnitt 6), der Server legt es nicht ab.
  • Kassenbon abrechnen (zurzeit eine Beta-Funktion) – nur, wenn du einen Bon fotografierst oder einfügst: das Foto bzw. der Text des Kassenbons wird zum Lesen an Anthropic geschickt und nicht gespeichert – weder in der App noch bei Cloudflare noch in einem Protokoll. Die Einkaufsliste deines Haushalts geht dabei nicht mit; welche Zeile zu welcher Besorgung gehört, ordnet die App selbst zu. Gespeichert werden nur die Ausgaben, die du danach übernimmst (Betrag, Person, die Positionen als Notiz).
  • Wünsche und Rückmeldungen: der Wortlaut einer Nachricht, mit der die App nichts anfangen konnte (ohne Absender); eine Rückmeldung an den Betreiber, wenn er sie einschätzen lässt – und jede, die unverschlüsselt ankommt, zur Fehlersuche durch einen KI-Assistenten des Betreibers (dein Text, ohne E-Mail-Adressen und ohne deinen Namen als Absender – Namen, die im Text selbst stehen, bleiben; den angehängten Zusammenhang nur aus dem eigenen Haushalt des Betreibers; nie Bildschirmfotos).
  • Einschätzung von Läden und Wörtern – solange der Betreiber dafür kein Gateway bei TypeSafe eingerichtet hat (oben), nie im Probier- und Demo-Haushalt und nicht für Personen, für die die KI ausgeschaltet ist: nur einzelne Wörter, die die App nicht kennt – der Name eines Ladens oder einer Besorgung, höchstens zwei Wörter ohne Ziffern und Satzzeichen, nach denselben Regeln wie oben: nie ein Satz, der Absender, der Haushalt oder ein Name, den die App aus dem Haushalt kennt (auch kein Teil davon); ist eine dieser Listen gerade nicht erreichbar, geht nichts hin. Jedes Wort geht nur einmal hin; die Antwort (Art des Ladens, Kategorie des Artikels) wird im Haushalt gespeichert.
  Anthropic nutzt API-Daten laut eigener Zusage nicht zum Training. Die gleichbleibenden Anweisungen an die KI – ohne Daten aus einem Haushalt – hält Anthropic für einige Minuten nach der letzten Verwendung zwischengespeichert, damit sie nicht bei jeder Nachricht neu verarbeitet werden müssen (Prompt-Caching). Grundlage: Standardvertragsklauseln.
• Resend (USA): versendet alle E-Mails der App – Bestätigungs- und Passwort-Mails an deine Adresse, Nachrichten und Erinnerungen an Gäste einer Feier, die ihre Adresse angegeben haben, Einladungen zu einem Termin an Adressen, die im Haushalt unter „Dabei“ eingetragen wurden, sowie den täglichen Statusbericht an den Betreiber (darin die ersten Zeilen neuer, unverschlüsselter Rückmeldungen – ohne E-Mail-Adressen und ohne den Namen des Absenders, aber so, wie sie geschrieben wurden). Übermittelt werden dabei die Empfängeradresse, der Betreff und der Text der jeweiligen Mail. Grundlage: Standardvertragsklauseln.
• Google (Places API): nur, wenn du eine Ortssuche auslöst, geht der Suchbegriff an Google – dazu gehören die Vorschläge beim Tippen in ein Orts- oder Adressfeld (ab drei Zeichen geht das Getippte über den Server von chat-o an Google, ohne deinen Namen). Für die Notdienste oben in den Kontakten und das Wetter in „Heute“ (beide teilen sich dieselbe Suche) fragt der Server von chat-o außerdem einmal nach eurem Wohnort (in einer Feier: nach ihrem Ort; während einer Reise aus eurem Kalender: nach dem Ort der Reise oder der Anschrift der Unterkunft), um daraus einen Punkt zu machen, und höchstens einmal in der Woche nach Notdienstpraxen um diesen Punkt – auf zwei Nachkommastellen gerundet, also auf rund einen Kilometer; je Raum höchstens 30 Anfragen am Tag. Steht an einem Termin ein Ort ohne Anschrift (etwa „Hallenbad Nord“), schlägt der Server die Anschrift einmal nach: Dann gehen dieser Ort und derselbe gerundete Punkt eures Wohnorts an Google, und nur ein Treffer bis 20 km davon wird übernommen – ohne Wohnort (in einer Feier: ohne ihren Ort) wird nichts nachgeschlagen. Keine Angabe über dich, deinen Haushalt oder dein Gerät.
• Standort deines Geräts – nur bei den Notdiensten oben in den Kontakten und nur, wenn du dort auf „Hier“ tippst: Dann fragt die App dein Gerät nach seinem Standort (dein Gerät fragt dich dabei um Erlaubnis). Schon in der App wird er auf zwei Nachkommastellen gerundet (rund ein Kilometer); nur dieser gerundete Punkt geht an den Server von chat-o, der damit wie oben die Apothekerkammern und Google nach den Notdiensten fragt. Der Standort wird nicht gespeichert – weder im Haushalt noch auf dem Server; ohne Tipp wird er nie abgefragt.
• Apothekerkammer Nordrhein und Apothekerkammer Westfalen-Lippe – für die Apotheke im Notdienst (nur in Nordrhein-Westfalen): Der Server von chat-o fragt dort mit demselben gerundeten Punkt nach den nächstgelegenen Notdienstapotheken des Tages. Hin gehen nur der Punkt und das Datum – keine Angabe über dich, deinen Haushalt oder dein Gerät; die Anfrage stellt der Server, nicht dein Gerät. Der Raum merkt sich die Antwort und fragt höchstens alle zwei Stunden neu. Kein Auftragsverarbeiter, weil keine personenbezogenen Daten hingehen.
• OpenHolidays (openholidaysapi.org) – für die Schulferien im Kalender: Der Server von chat-o fragt dort die Schulferien eures Bundeslands ab. Hin gehen nur das Bundesland und das Jahr – keine Angabe über dich, deinen Haushalt oder dein Gerät; die Anfrage stellt der Server, nicht dein Gerät. Der Raum merkt sich die Antwort und fragt höchstens alle 30 Tage neu. Kein Auftragsverarbeiter, weil keine personenbezogenen Daten hingehen; die Ferientermine stehen dort als offene Daten (Open Database License).
• MET Norway (Meteorologisk institutt, Oslo, Norwegen; api.met.no) – für das Wetter in „Heute“ und in einer Feier: Der Server von chat-o fragt dort die Vorhersage für einen Punkt ab – euren Wohnort, den Ort einer Feier oder einer laufenden Reise aus eurem Kalender, wie oben bei Google auf zwei Nachkommastellen gerundet, also auf rund einen Kilometer. Hin gehen nur dieser Punkt und die Kennung der App (Name, Version, Adresse) – kein Name, keine Angabe über deinen Haushalt oder dein Gerät; die Anfrage stellt der Server, nicht dein Gerät, deine IP-Adresse sieht MET Norway also nicht. Der Raum merkt sich die Vorhersage je Punkt (höchstens sechs Punkte) und fragt erst wieder, wenn jemand das Wetter öffnet und die gemerkte Vorhersage älter als 30 Minuten ist. Kein Auftragsverarbeiter, weil keine personenbezogenen Daten hingehen; die Wetterdaten stehen dort als offene Daten (CC BY 4.0).
• Push-Dienste deines Browsers (Google, Apple, Mozilla, Microsoft): nur, wenn du Mitteilungen einschaltest; sie sehen nur, dass eine Mitteilung kommt, nicht deren Inhalt.

6. Cookies und lokaler Speicher

Die App setzt ausschließlich technisch notwendige Cookies: eine Sitzungs-Kennung nach dem Anmelden und eine Geräte-Kennung für Mitteilungen. Kein Tracking, keine Werbung, keine Cookies Dritter. Im Browser werden Einstellungen (etwa hell oder dunkel, ob die Beta-Funktionen auf diesem Gerät eingeschaltet sind und welche neuen Funktionen gerade für alle freigegeben sind) und ein Offline-Stand deiner Listen und Kontakte gespeichert, damit die App auch ohne Netz aufgeht (dazu die zuletzt gefundene Notdienst-Apotheke und -Praxis samt dem Ort, für den gesucht wurde) – außerdem das zuletzt geholte Wetter je Raum (Ortsname und Vorhersage, höchstens sechs Räume), mit der Beta-Funktion „Helfer“ dein Gespräch mit dem Helfer (höchstens 20 Fragen; im Helfer löschbar mit „Verlauf leeren“), mit der Beta-Funktion „Ladeseite“ der zuletzt offene Raum (Kennung, Name und Reiter, nur für deine Anmeldung; beim Abmelden gelöscht) und die Wahl für den Knopf oben links; außerdem die Kennungen der Einträge, die du selbst angelegt hast, damit die Meldung nach dem Löschen nur dort „War kein Eintrag“ anbietet, wo es passt (beim Abmelden gelöscht). Ist der Beta-Schalter an oder ist eine neue Funktion für alle freigegeben, schickt die App bei jeder Anfrage nur diesen Vermerk mit (bei Freigaben die Kurznamen der Funktionen) – ohne Bezug zu einer Person; auf dem Server legt sie ihn nicht ab, außer als Zahl in der Messung der Antwortzeiten (§3).

Auf der Seite der geteilten Einkaufsliste speichert der Browser den eingegebenen Namen sowie den letzten Stand der Liste und noch nicht gesendete Haken, damit ohne Netz nichts verloren geht. Der Stand wird gelöscht, wenn die Seite nach dem Ende des Teilens noch einmal geöffnet wird, spätestens beim nächsten Öffnen einer solchen Seite nach 14 Tagen.

7. Wie lange?

• Konto und Inhalte: bis du dein Konto löschst.
• Probier-Haushalt: 24 Stunden, dann automatisch gelöscht.
• E-Mail-Adressen von Gästen einer Feier: bis der Gast sie über seinen Link entfernt, der Gastgeber ihn aus der Gästeliste nimmt oder die Feier gelöscht wird.
• Geteilte Einkaufsliste: die Freigabe (Auswahl, ‚gab es nicht‘-Vermerke) bis zum Beenden bzw. 7 Tage nach der letzten Nutzung; der Name an einem Haken oder an einem dazugeschriebenen Punkt, solange der Punkt auf der Liste steht; die IP-Adresse nach einem Aufruf mit unbekanntem Link nur kurzzeitig im Arbeitsspeicher; verschlüsselte Sicherungen 30 Tage.
• Terminumfrage: Namen, Antworten, Vorschläge und Chat bis 30 Tage nach dem Ende der Umfrage (höchstens 30 Tage Laufzeit, danach 30 Tage Frist zum Ansehen) oder bis sie, der Raum oder der Haushalt gelöscht wird; Kopien von Chat-Nachrichten im Chat des Raums (Beta „Umfrage-Chat im Raumchat“) wie jede Chat-Nachricht des Raums, also bis sie dort gelöscht werden oder der Raum oder der Haushalt gelöscht wird; die IP-Adresse nach einem Aufruf mit unbekanntem Link nur kurzzeitig im Arbeitsspeicher; verschlüsselte Sicherungen 30 Tage.
• Gruppe auf Zeit: Chat, Namen der Gäste und alles in der Gruppe bis zum Ende der gewählten Laufzeit (höchstens 30 Tage ab der letzten Wahl) oder bis die Gruppe gelöscht wird; die IP-Adresse nach einem Aufruf mit unbekanntem Link nur kurzzeitig im Arbeitsspeicher; verschlüsselte Sicherungen 30 Tage.
• Fehlermeldungen: die jeweils letzten Einträge in einem begrenzten Puffer; ältere fallen von selbst heraus.
• Rückmeldungen an den Betreiber (samt Anhang und Bildschirmfotos): Löschst du dein Konto, werden sie sofort mit gelöscht, ebenso mit einem Probier-Haushalt. Sonst bleiben sie, bis der Betreiber sie löscht; aufbewahrt werden höchstens die letzten 500, ältere fallen von selbst heraus – jeweils mit ihren Bildschirmfotos. Für Bildschirmfotos gibt es zusätzlich einen begrenzten Speicherplatz: Ist er voll, fallen die ältesten Bildschirmfotos zuerst heraus, die Rückmeldung selbst bleibt. In den verschlüsselten Sicherungskopien stehen sie – wie alles – noch bis zu 30 Tage.
• Fotos im Chat: Sie bleiben, solange die Nachricht im Chat oder im Chat-Archiv steht – sie laufen nicht nach einer Frist ab, damit Familienfotos nicht verschwinden. Wer ein Foto entfernt, kann es 30 Tage lang zurückholen; danach wird die Datei gelöscht. Standort und andere Aufnahmedaten (Exif) werden schon beim Hochladen entfernt, nie gespeichert. Sehen können ein Foto nur die Mitglieder des Raums, in dem es steht; ein Foto-Link wirkt nur mit Anmeldung. Die Dateien liegen im selben Speicher wie Anhänge und Sprachnachrichten und sind – wie diese – nicht Teil der Sicherungskopien (der Chat-Eintrag mit dem Verweis ist es).
• Sprachnachrichten (Audio): höchstens 90 Tage, danach automatisch gelöscht.
• Sicherungskopien: 30 Tage, verschlüsselt, danach automatisch gelöscht.
• Sitzungen: 90 Tage ohne Nutzung, oder bis du dich abmeldest.
• Bestätigungs- und Reset-Links: 48 Stunden bzw. 2 Stunden.
• IP-Adressen der Anmeldebremse: wenige Minuten.
• Nutzungszähler: je Kalendermonat.
• Antwortzeiten im Chat, auch je Arbeitsschritt, mit KI-Anfragen und Token je Antwort (nur Zahlen je Tag): 30 Tage, ältere Tage fallen von selbst heraus.

8. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO) sowie auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde. Löschen kannst du selbst: Auf der Konto-Seite gibt es „Konto löschen“ – damit werden Konto und alle Inhalte deines Bereichs endgültig entfernt. Einen Export deiner Daten findest du in der App unter ⚙️ Einstellungen.

9. Kinder

Ein eigenes Konto ist für Erwachsene gedacht. Familienmitglieder, die du einlädst, brauchen kein eigenes Konto und keine E-Mail-Adresse.

10. Änderungen

Wird diese Erklärung geändert, steht das neue Datum oben. Wesentliche Änderungen werden in der App unter „Neuigkeiten“ angekündigt.