Datenschutzerklärung

Kivaia – eine App der ClayFactor GmbH

Stand: Juni 2026

Auf einen Blick

Wir haben Kivaia konsequent privacy-first gebaut. Diese Datenschutzerklärung beschreibt, was das im Detail bedeutet.

Das Wichtigste in einem Satz: Deine Daten verlassen dein Gerät nur dann, wenn du es ausdrücklich auslöst — etwa für eine KI-Analyse oder wenn du Inhalte aktiv teilst.

Was das konkret heißt:

• Für deine Gesundheits-, Bewegungs- und Tagebuchdaten betreiben wir keine eigenen Server — sie bleiben lokal auf deinem Gerät.
• Wenn du in der App aktiv etwas teilst (Sharing-Funktionen, z.B. ein Rezept per Link), legen wir eine temporäre Kopie für 30 Tage auf unserem Server in Deutschland ab. Wer den Link kennt, kann den geteilten Inhalt ansehen und weiterleiten — Details in §3.7.
• Wir verkaufen niemals Daten an Dritte.
• Du kannst deinen Kivaia-Account jederzeit in der App löschen.

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung ist:

ClayFactor GmbH
Herderstraße 38
66292 Riegelsberg
Handelsregister: HRB 111746 (Amtsgericht Saarbrücken)
Geschäftsführer: Jens Thelemann

Kontakt für Datenschutzanfragen:
E-Mail: privacy@clayfactor.com

2. Datenminimierung als Grundprinzip

Kivaia ist eine Lifestyle-App, die dich bei einem ausgeglichenen Lebensstil und Longevity-Themen unterstützt. Sie ist so gebaut, dass sie mit minimaler Datenverarbeitung auskommt:

• Kein zentraler Server für deine Gesundheits- und Tagebuchdaten — Ausnahmen sind aktiv ausgelöste Sharing-Funktionen (siehe §3.7) und die pseudonyme Trial-Verwaltung.
• Minimale Account-Verwaltung — Sign in with Apple ist optional; für die Trial-Verwaltung speichern wir nur pseudonyme, nicht direkt rückrechenbare Kennungen und löschen aktive Account-Bindings bei Account-Löschung.
• Keine eigene Telemetrie und kein Werbe-Tracking.
• Keine Cookies, keine Drittanbieter-Skripte in der App.
• Keine Datenweitergabe an Dritte, außer an die in Abschnitt 4 genannten Auftragsverarbeiter.

3. Welche Daten werden verarbeitet?

3.1 Daten, die du selbst eingibst

Diese Daten gibst du in der App ein und sie liegen auf deinem Gerät.

Profildaten (optional):

• Vorname
• Geburtsdatum (für altersgerechte Berechnungen und Empfehlungen)
• Profilbild

Körper- und Lebensstildaten (optional):

• Größe, Gewicht
• Biologisches Geschlecht
• Fitness-Level
• Trainingsausrüstung
• Ernährungspräferenzen, Allergien, Unverträglichkeiten

Ernährungs-Tagebuch:

• Mahlzeiten (Fotos, Text-Einträge)
• Zeitpunkte, geschätzte Nährwerte
• Wasseraufnahme

Aktivitäten:

• Workouts, Übungen, Trainingspläne
• Manuelle Aktivitäts-Einträge

3.2 Daten über Apple HealthKit (optional, Art. 9 DSGVO)

Wenn du Apple HealthKit verbindest, kann Kivaia ausgewählte Werte lesend abrufen. Diese sind besonders sensibel und werden nur mit deiner ausdrücklichen Einwilligung verarbeitet.

• Vitalwerte: Herzfrequenz, HRV, Ruhepuls, Blutdruck, SpO₂, Atemfrequenz, Körpertemperatur
• Aktivität: Schritte, Strecke, aktive/Grundumsatz-Kalorien, Trainingsminuten, VO₂ Max
• Schlaf: Schlafdauer, -phasen, Achtsamkeits-Sessions
• Körperzusammensetzung: BMI, Körperfett, fettfreie Masse

Diese Daten werden lokal verarbeitet und nur dann an Google Gemini übermittelt, wenn du der KI-Datenverarbeitung separat zugestimmt hast (siehe 4.2).

3.3 Foto-Daten

• Mahlzeiten- und Aktivitäts-Fotos liegen lokal in der App-Datenbank.
• Bei der Mahlzeiten-Analyse wird das Foto temporär an Google Gemini übermittelt (siehe 4.2).
• GPS-Metadaten werden bei Mahlzeitenfotos nicht extrahiert und nicht gespeichert.

3.4 Technische Daten

• Apple-System-Crash-Reports: Sofern du in iOS-Einstellungen → Datenschutz & Sicherheit → Analyse & Verbesserungen → Mit App-Entwicklern teilen zugestimmt hast, leitet Apple anonymisierte Crash-Reports an uns weiter. Wir können daraus keine Rückschlüsse auf deine Person ziehen. Du steuerst diese Einstellung ausschließlich in iOS, nicht in Kivaia.
• Eigene Telemetrie: keine.

3.4a Testphase und optionales Sign in with Apple

Zur Verwaltung der Testphase sendet die App eine Apple-signierte AppTransaction-JWS an unseren Server. Wenn du optional Sign in with Apple nutzt, kann die App zusätzlich ein Apple Identity Token an den Server senden. Der Server prüft Apple-Signatur, App-Zugehörigkeit und Umgebung. Wir speichern daraus dauerhaft nur:

• Eine pseudonyme Kennung: HMAC(AppTransaction-ID oder Apple-Subject, Server-Geheimnis)
• Start- und Endzeitpunkt der Testphase
• Technische Metadaten zur Trial-Verwaltung, z. B. Quelle und Umgebung

Wir speichern dabei keine E-Mail-Adresse, keinen Namen, keine Apple-ID im Klartext und keine AppTransaction-ID im Klartext. Wenn du Sign in with Apple optional zur Profilvorbefüllung nutzt, kann die App die von Apple bereitgestellten Profildaten lokal in deinem Profil speichern.

Wenn du in der App Account löschen auswählst, löschen wir aktive serverseitige Trial-/Account-Bindings und widerrufen bei verknüpftem Sign in with Apple die Apple-Autorisierung serverseitig. Zur Missbrauchsprävention und zur Durchsetzung der Einmal-Testphase behalten wir nach der Löschung nur einen minimalen, nicht als Login nutzbaren Nachweis, dass bereits eine kostenlose Testphase genutzt wurde: eine pseudonyme Einweg-Kennung, den Löschstatus und den Löschzeitpunkt. Dieser Nachweis enthält keine Apple-ID, keine AppTransaction-ID, kein Binding-Token, kein Profil und keine Inhalte und ermöglicht keinen aktiven Account.

3.5 Support- und Kontaktanfragen über kivaia.app

Auf kivaia.app findest du direkte E-Mail-Links für Support- und Datenschutzanfragen. Wenn du uns kontaktierst, verarbeiten wir die Daten, die für die Bearbeitung deiner Anfrage erforderlich sind:

• E-Mail-Adresse und, falls von dir angegeben, dein Name
• Inhalt deiner Nachricht sowie freiwillig mitgesendete Anhänge
• Technische E-Mail-Metadaten wie Versandzeitpunkt und Betreff

Zweck: Wir beantworten deine Anfrage, unterstützen dich bei App-, Abo-, Datenschutz- oder Share-Link-Themen und dokumentieren die Kommunikation, soweit dies zur Nachvollziehbarkeit erforderlich ist.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage die App-Nutzung oder vorvertragliche Fragen betrifft; Art. 6 Abs. 1 lit. f DSGVO für allgemeine Support-Kommunikation und Missbrauchsschutz; Art. 6 Abs. 1 lit. c DSGVO, soweit gesetzliche Aufbewahrungspflichten greifen.

Speicherort: Support- und Datenschutzanfragen werden in unseren E-Mail-Systemen verarbeitet. Öffentlich zugängliche Website-Bereiche speichern diese Nachrichten nicht.

Speicherdauer: Wir speichern Support- und Kontaktanfragen nur so lange, wie es für die Bearbeitung und Nachvollziehbarkeit erforderlich ist. Routinemäßig löschen wir erledigte Anfragen spätestens nach 24 Monaten, sofern keine gesetzlichen Pflichten oder berechtigten Nachweisinteressen eine längere Speicherung verlangen. Du kannst die Löschung jederzeit formlos per Mail an privacy@clayfactor.com verlangen.

3.6 Server-Log-Dateien (Website kivaia.app)

Beim Zugriff auf die Website kivaia.app speichert unser Hosting-Anbieter IONOS SE technisch bedingt Server-Log-Dateien, die dein Browser automatisch übermittelt. Diese enthalten:

• Browsertyp und -version (User-Agent)
• Verwendetes Betriebssystem
• Referrer-URL
• IP-Adresse
• Uhrzeit der Serveranfrage

Die Server-Log-Dateien werden maximal 8 Wochen gespeichert und danach automatisch gelöscht. Diese Daten werden nicht mit Support- oder Kontaktanfragen aus §3.5 oder anderen Datenquellen zusammengeführt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und fehlerfreien Betrieb der Website).

Auftragsverarbeitung: Es besteht ein Auftragsverarbeitungsvertrag (Art. 28 DSGVO) mit IONOS SE.

3.7 Aktiv ausgelöste Inhalts-Freigaben (Sharing)

Kivaia bietet Funktionen, mit denen du aktiv Inhalte aus der App per Link an andere weitergeben kannst. Aktuell betrifft das Rezepte (Recipe-Sharing); künftig können weitere Inhalts-Typen wie Mahlzeiten folgen. Sensiblere Inhalts-Typen werden vor Aktivierung gesondert bewertet.

Wenn du ein Rezept aktiv teilst, legt die App dafür eine temporäre Kopie auf unserem Server in Deutschland ab und stellt sie unter einem kurzen, nicht gelisteten Link bereit. Den Link gibst du anschließend selbst an die Personen weiter, mit denen du das Rezept teilen möchtest.

Welche Daten dabei auf unserem Server abgelegt werden:

• Inhalt des geteilten Elements (Name, Daten, Anweisungen) — Umfang abhängig vom Inhaltstyp
• Bei Inhalten mit Foto: das Foto, beim Upload automatisch auf 1200×630 Pixel verkleinert und auf maximal ca. 300 KB komprimiert (JPG)
• Erstellungs- und Ablaufzeitpunkt (technisch notwendig zur Steuerung der automatischen Löschung)

Zum Schutz vor Missbrauch berechnet der Server beim Erstellen eines Shares zusätzlich einen nicht umkehrbaren SHA256-Hash deiner IP-Adresse, kombiniert mit einem nicht öffentlichen Salt-Wert. Dieser Hash wird nicht im Rezept-Record gespeichert, sondern getrennt als kurzlebiger Rate-Limit-Counter geführt und nach spätestens 24 Stunden aus dem aktiven Speicher entfernt.

Welche Daten dabei nicht verarbeitet werden:

• Kein User-Identifier, keine E-Mail-Adresse, keine Account-Daten
• Keine Klartext-IP-Adresse
• Keine Tracking-Cookies, keine Werbe- oder Analytics-Skripte
• Keine Referrer-Daten, keine Empfänger-Daten — uns ist nicht bekannt, mit wem du den Link teilst

Hinweis zum Link: Der Link enthält eine zufällige, achtstellige Kennung und ist dadurch praktisch nicht zu erraten; wir indexieren ihn nicht und schließen Suchmaschinen über robots.txt aus. Da der Inhalt aber jedem zugänglich ist, der den Link besitzt, gibt es keine Empfänger-Beschränkung. Teile deshalb nur Rezepte samt etwaiger Fotos, deren Weitergabe für dich unkritisch ist.

Speicherdauer: Inhalt und Foto werden 30 Tage nach Erstellung automatisch von unserem Webspace gelöscht. Die Löschung erfolgt einerseits opportunistisch bei jedem neuen Sharing-Vorgang (Lazy-Cleanup), andererseits zusätzlich über einen täglichen Cleanup-Job. Beide Mechanismen entfernen die Daten endgültig aus dem aktiven Speicher.

Backups: Unser Hosting-Anbieter IONOS führt für unseren Webspace standardmäßig rollierende Backups über einen Zeitraum von 14 Tagen. Recipe-Share-Daten fließen in diese Backups ein. Die längstmögliche Verweildauer einer geteilten Kopie inklusive Backup beträgt daher 44 Tage; danach sind die Daten in sämtlichen Backup-Stufen unwiederbringlich verschwunden.

Auskunft und Löschung: Da bei einem Share-Vorgang kein User-Identifier gespeichert wird, ist eine Auskunfts- oder Löschungsanfrage nur dann sinnvoll möglich, wenn du den konkreten Share-Link (oder die darin enthaltene ID) selbst bereitstellst. In diesem Fall können wir den entsprechenden Eintrag auf Wunsch vor Ablauf der 30 Tage löschen. Anfragen richtest du an privacy@clayfactor.com. Eine aktive Widerrufsmöglichkeit über die App selbst ist in dieser Version nicht vorgesehen; der automatische Ablauf nach 30 Tagen ist jedoch ohne Ausnahme garantiert.

Speicherort: Die Daten werden ausschließlich auf unserem Webspace bei IONOS SE (Elgendorfer Str. 57, 56410 Montabaur, Deutschland) gespeichert. Die genutzten Rechenzentren befinden sich in Deutschland. Es findet kein Drittland-Transfer statt; es ist kein US-Cloud-Provider beteiligt.

Rechtsgrundlage:

• Für die Bereitstellung der Sharing-Funktion und die Speicherung des geteilten Inhalts: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — die Funktion ist Teil der App-Leistung und wird ausschließlich auf dein aktives Auslösen hin erbracht).
• Für die kurzlebige Verarbeitung des IP-Hashes zum Zweck des Rate-Limitings: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz vor Missbrauch und Überlastung der Infrastruktur).

Auftragsverarbeitung: Es besteht ein Auftragsverarbeitungsvertrag (Art. 28 DSGVO) mit IONOS SE für den Hosting-Betrieb.

4. Externe Dienste und Auftragsverarbeiter

4.1 Apple HealthKit

HealthKit ist eine Apple-Komponente auf deinem Gerät. Daten aus HealthKit verlassen das Gerät nicht durch HealthKit selbst. Apple hat dafür eigene Datenschutzbestimmungen.

Du steuerst die Freigabe in iOS-Einstellungen → Datenschutz & Sicherheit → Health → Kivaia.

4.2 Google Gemini via Firebase AI Logic (KI-Analyse)

Für optionale KI-gestützte Funktionen nutzt Kivaia Google Gemini über Firebase AI Logic. Empfänger ist Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA, über Firebase AI Logic (Google/Firebase). Die Verbindung läuft über Firebase AI Logic/Firebase App Check, damit Anfragen aus der App geschützt und nicht über einen in der App gespeicherten Gemini-Schlüssel gesendet werden.

Zweck: Hauptzweck ist die Bereitstellung personalisierter Empfehlungen und KI-Unterstützung innerhalb der App, zum Beispiel für Mahlzeiten-/Fotoanalyse, Ernährungs- und Rezeptvorschläge, Planung, Companion-Antworten sowie Aktivitäts-, Schlaf- und Recovery-Hinweise.

Mögliche Kategorien: Je nach genutzter KI-Funktion können Fotos, Texte/Voice-Transkripte, Companion-Inhalte, Mahlzeiten- und Ernährungsdaten, Ziele, Ernährungsprofil, Aktivitäts-, Schlaf-, Recovery- und Körperwerte übertragen werden. Nicht jede Kategorie wird bei jeder Anfrage übertragen; Kivaia sendet nur die Daten, die für die konkrete KI-Funktion erforderlich sind.

Schutz und Speicherung: Kivaia sendet keine direkten persönlichen Kennungen wie Name, E-Mail-Adresse, Apple-ID, Trial-Kennung oder AppTransaction-ID an Gemini und führt auf eigenen Servern keine Gemini-Request- oder Response-Historie, die einem lokal gespeicherten User-Profil zugeordnet ist. Je nach Funktion können Anfragen dennoch App-Kontext wie Ziele, Ernährungsprofil, Mahlzeiten-, Aktivitäts-, Schlaf-, Recovery- oder Körperwerte enthalten. Google kann API-Anfragen und Antworten gemäß den Gemini-Logging-Regeln zeitlich begrenzt protokollieren.

Details: Die vollständigen Zwecke, Datenkategorien, Datensparsamkeitsregeln, Voice-Hinweise und Widerrufsfolgen findest du im separaten Dokument KI-Datenverarbeitung.

Optionalität und Widerruf: KI-Funktionen sind optional. Ohne Einwilligung bleiben manuelles Tracking und nicht-KI-Funktionen verfügbar; Fotoanalyse, Companion und andere KI-Funktionen bleiben deaktiviert. Du kannst die Einwilligung in den App-Einstellungen unter „KI-Datenverarbeitung" jederzeit widerrufen.

Rolle: Google ist unser Auftragsverarbeiter (Art. 28 DSGVO).

Drittlandübermittlung:

• Google ist unter dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss vom 10. Juli 2023).
• Zusätzlich: EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Hinweis: Nach offizieller Gemini-Dokumentation werden Prompts und Antworten standardmäßig nicht zur Produktverbesserung genutzt, sofern der Projektinhaber sie nicht aktiv teilt. Google kann Anfragen und KI-Antworten zeitlich begrenzt protokollieren, unter anderem zur Missbrauchserkennung und zur Erfüllung rechtlicher Pflichten.

Mehr: https://policies.google.com/privacy
Mehr zu Gemini-Logging: https://ai.google.dev/gemini-api/docs/logs-policy

4.3 Apple iCloud (optional)

Wenn du iCloud-Sync aktivierst, werden deine App-Daten in deiner privaten iCloud-Datenbank gespiegelt. Die Synchronisation wird separat über deine Apple-/iCloud-Einstellungen gesteuert:

• Standardeinstellung: deaktiviert
• Speicherort: deine private iCloud — wir haben darauf keinen Zugriff
• Verschlüsselung: bei Übertragung und Speicherung
• Zweck: Sync zwischen deinen Apple-Geräten

Apple ist hier Auftragsverarbeiter für dich, nicht für uns. Mehr: https://www.apple.com/de/legal/privacy/

4.4 Open Food Facts (optional)

Wenn du einen Lebensmittel-Barcode scannst, fragt die App nur den Barcode bei Open Food Facts ab — eine gemeinnützige, offene Datenbank. Es werden keine personenbezogenen Daten übermittelt.

https://world.openfoodfacts.org/

4.5 USDA FoodData Central (optional)

Für die Lebensmittel-Textsuche fragt die App die öffentliche US-Lebensmitteldatenbank USDA FoodData Central ab. Übermittelt werden nur der Suchbegriff und ggf. ein Markenname — keine Konto- oder Gesundheitsdaten. Die Anfrage läuft über unseren eigenen Server-Proxy auf Google-Firebase-Infrastruktur in Frankfurt (EU); dein Gerät kommuniziert nicht direkt mit USDA. Zur Missbrauchsabwehr bestätigt die App dabei ihre Integrität über Apple App Attest (Firebase App Check); das dabei verarbeitete Geräte-Attestierungs-Token erlaubt keine Rückschlüsse auf dich oder deine Inhalte.

https://fdc.nal.usda.gov/

4.6 Bundeslebensmittelschlüssel (BLS)

Die offizielle deutsche Lebensmitteldatenbank ist lokal in der App verfügbar. Es findet keine Netzwerkübertragung statt.

5. Rechtsgrundlagen

6. Speicherort und Speicherdauer

• Lokal auf deinem Gerät: so lange du die App installiert hast. Bei Deinstallation werden alle lokalen App-Daten von iOS gelöscht.
• iCloud (wenn aktiviert): in deiner privaten iCloud, gesteuert durch deine iCloud-Einstellungen.
• Google Gemini: Kivaia speichert Gemini-Request- und Response-Inhalte nicht auf eigenen Servern. Google kann API-Anfragen und Antworten gemäß den Gemini-Logging-Regeln zeitlich begrenzt protokollieren; Details stehen in der KI-Datenverarbeitung.
• Bei uns (Gesundheits-, Bewegungs- und Tagebuchdaten): wir speichern diese Daten nicht auf eigenen Servern. Für die Trial-Verwaltung speichern wir nur die oben genannte pseudonyme Kennung und Trial-Zeitpunkte; nach Account-Löschung bleibt ausschließlich dieser minimale Nachweis der bereits genutzten kostenlosen Testphase erhalten, solange die Einmal-Testphase-Regel gilt.
• Geteilte Inhalte (Sharing-Funktionen): auf unserem IONOS-Webspace in Deutschland, 30 Tage ab Erstellung, danach automatische Löschung; Backup-Verweildauer max. 44 Tage (siehe §3.7).
• Support- und Kontaktanfragen: in unseren E-Mail-Systemen, nur so lange wie zur Bearbeitung erforderlich; erledigte Anfragen routinemäßig max. 24 Monate, sofern keine Aufbewahrungspflichten oder Nachweisinteressen entgegenstehen (siehe §3.5).

Steuerlich/handelsrechtlich relevante Daten (Rechnungs- und Vertragsdaten zu Premium): Apple wickelt diese als Vertragspartner für die Zahlung ab. Wir erhalten von Apple keine personenbezogenen Daten zum Käufer.

7. Deine Rechte

7.1 Was du jederzeit selbst tun kannst

• App-Daten löschen: App deinstallieren — lokale Daten werden von iOS entfernt. iCloud-Anteile löschst du in den iOS-iCloud-Einstellungen.
• Account löschen: Einstellungen → „Datenschutz & Daten“ → „Account löschen“ entfernt deine Kivaia-Account-Verbindung, lokale Kivaia-Produktdaten aus den SwiftData-Stores, Profil, Ziele, Präferenzen, Mahlzeiten, Aktivitäten, lokal gespeicherte HealthKit-Importkopien, sensible lokale Gesundheitsdaten, KI-abgeleitete Inhalte, lokale Caches, App-Group-Nutzereinstellungen, aus Kivaia-Daten abgeleitete lokale Erinnerungen und serverseitige Binding-Tokens. Bei Sign in with Apple bestätigst du die Löschung erneut mit Apple; Kivaia widerruft die Apple-Autorisierung serverseitig. Danach startet Kivaia wieder im Onboarding.
• Was die Account-Löschung nicht löscht: Apple-Health-Quelldaten, StoreKit-Abos/Käufe/Transaktionen/Entitlements, iCloud-Kopien und bereits geteilte Rezeptlinks. Für die Einmal-Testphase bleibt nur dieser minimale Nachweis erhalten; er ist kein Account und kann keinen neuen Trial starten.
• HealthKit-Zugriff entziehen: iOS-Einstellungen → Datenschutz & Sicherheit → Health → Kivaia
• iCloud-Sync deaktivieren: App-Einstellungen
• KI-Datenverarbeitung deaktivieren: App-Einstellungen → „KI-Datenverarbeitung"

7.2 Deine Rechte nach DSGVO

• Auskunft (Art. 15): privacy@clayfactor.com
• Berichtigung (Art. 16): direkt in der App oder per E-Mail
• Löschung (Art. 17): siehe 7.1 — lokale App-Daten und aktive Account-Bindings löschst du direkt in der App; der minimale Trial-Nachweis bleibt nur soweit erforderlich zur Missbrauchsprävention erhalten. Server-seitige Kontakt-, Share- und Log-Daten löschen wir auf Anfrage, soweit keine rechtlichen oder technischen Aufbewahrungsgründe entgegenstehen.
• Einschränkung (Art. 18): privacy@clayfactor.com
• Datenübertragbarkeit (Art. 20): Deine lokalen App-Daten kannst du in der App unter Einstellungen → „Datenschutz & Daten“ als ZIP-Datei exportieren. Der Export enthält strukturierte JSON-Daten zu Profil, Ernährung, Aktivitäten, lokal importierten HealthKit-Daten, KI-abgeleiteten Inhalten und Medien, soweit diese produktiv in Kivaia geführt werden. Apple-Health-Quelldaten exportierst du direkt aus der Health-App; für serverseitige Trial-, Kontakt-, Share- und Log-Daten erhältst du Auskunft oder Löschung per E-Mail an privacy@clayfactor.com.
• Widerspruch (Art. 21): privacy@clayfactor.com
• Widerruf von Einwilligungen (Art. 7 Abs. 3): siehe 7.1, jederzeit möglich

7.3 Beschwerderecht

Du kannst dich bei einer Aufsichtsbehörde beschweren. Für uns zuständig ist:

Unabhängiges Datenschutzzentrum Saarland
Die Landesbeauftragte für Datenschutz und Informationsfreiheit
Fritz-Dobisch-Straße 12, 66111 Saarbrücken
E-Mail: poststelle@datenschutz.saarland.de
Website: https://www.datenschutz.saarland.de/

8. Mindestalter

Kivaia ist nicht für Personen unter 16 Jahren bestimmt. Das entspricht dem DSGVO-Standard für eigenständige Einwilligungen in Deutschland.

Einheitliche Altersgrenze: Das App-Store-Age-Rating von Kivaia wird bewusst auf 16+ gesetzt — deckungsgleich mit dem hier genannten DSGVO-Mindestalter. Damit beziehen sich die rechtliche Einwilligungsfähigkeit und der technische Zugang über App Store Age Rating, Bildschirmzeit und Familienfreigabe auf dieselbe Schwelle.

Wir verzichten bewusst auf eine eigene Altersabfrage. Mit der Nutzung der App bestätigst du, dass du mindestens 16 Jahre alt bist. Wenn wir konkrete Hinweise erhalten, dass eine Person unter 16 Jahren die App nutzt, sperren wir den Zugriff und löschen die zugehörigen Daten.

9. Datensicherheit

• Verschlüsselung lokal (iOS Data Protection) und bei Übertragung (TLS 1.3)
• Sichere Authentifizierung über Sign in with Apple
• Secure Enclave für sicherheitskritische Schlüssel
• Datenminimierung als Grundprinzip

Im unwahrscheinlichen Fall einer Datenschutzverletzung melden wir diese der Aufsichtsbehörde innerhalb von 72 Stunden und informieren betroffene Nutzer, sofern ein hohes Risiko besteht.

10. Änderungen dieser Datenschutzerklärung

Wir aktualisieren diese Erklärung, wenn sich App-Funktionen oder die Rechtslage ändern. Über wesentliche Änderungen informieren wir dich mindestens 30 Tage vor Inkrafttreten per In-App-Benachrichtigung. Die jeweils aktuelle Fassung findest du in den App-Einstellungen unter „Datenschutz".

11. Zusammenfassung nach Datentyp

12. Kontakt

ClayFactor GmbH
Herderstraße 38
66292 Riegelsberg
E-Mail: privacy@clayfactor.com

Wir antworten in der Regel innerhalb von 14 Tagen.

Stand: Juni 2026