für die Web-App „Cockpit“ · Stand: 3. November 2026
Cockpit speichert Angaben, die Nutzer selbst eintragen oder über die Sprachfunktion erfassen, etwa Befinden, Termine, Aufgaben, Medikamenten-Rückmeldungen, Notizen sowie Angaben in Notfallblatt und Pflegetagebuch.
Viele dieser Angaben sind Gesundheitsdaten. Sie werden nur verarbeitet, wenn eine ausdrückliche Einwilligung vorliegt und nur für die in dieser Erklärung beschriebenen Zwecke.
Einträge sind grundsätzlich nur für berechtigte Mitglieder desselben Familienbereichs sichtbar. Cockpit ist kein Notruf, keine Medikamentenkontrolle und nimmt keine medizinische oder pflegefachliche Bewertung vor.
Die Anwendungsdaten werden bei Supabase in Frankfurt gespeichert. Die App wird über Cloudflare Pages ausgeliefert, E-Mails werden über Brevo versandt und die Spracherkennung erfolgt über einen Server von Hetzner in Nürnberg.
Es gibt keine Werbung und kein nutzerübergreifendes Werbe-Tracking. Freiwillige Auswertungen zur Weiterentwicklung oder zum Nutzennachweis werden nur nach gesonderter Einwilligung durchgeführt.
Nutzer können Daten exportieren, ihr eigenes Konto löschen oder einen Familienbereich vollständig löschen. Für einzelne Daten gelten die nachfolgend beschriebenen Löschfristen.
Jan-Niklas Stansler, Fröbelstr. 6, 25421 Pinneberg, Deutschland
E-Mail: [email protected] · Telefon: 0172 5794096
Cockpit ist eine installierbare Web-App (Progressive Web App, PWA), die im Browser auf Smartphones, Tablets und Computern genutzt werden kann.
Die App wird über Cloudflare Pages (Cloudflare, Inc.) ausgeliefert. Beim Aufruf verarbeitet Cloudflare technisch notwendige Verbindungsdaten, insbesondere IP-Adresse, Zeitpunkt, aufgerufene Datei, Browser- und Geräteinformationen sowie Sicherheitsereignisse, um die App bereitzustellen, Angriffe abzuwehren und Fehler zu analysieren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung zur Bereitstellung der App erforderlich ist, im Übrigen Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt im sicheren und stabilen Betrieb.
Mit Cloudflare besteht ein Vertrag zur Auftragsverarbeitung. Soweit Daten in die USA übermittelt werden, erfolgt dies auf Grundlage eines Angemessenheitsbeschlusses nach Art. 45 DSGVO für zertifizierte Empfänger im EU-US Data Privacy Framework oder, soweit erforderlich, auf Grundlage von Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.
Zur Registrierung und Anmeldung verarbeiten wir E-Mail-Adresse, Anzeigename, interne Nutzer-ID, Familienzuordnung, Rolle im Familienbereich sowie technische Anmelde- und Sitzungsdaten. Die Anmeldung erfolgt passwortlos über einen Link oder Code. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
Für Datenbank, Authentifizierung und Speicherung nutzen wir Supabase in der Region Frankfurt. Für den Versand von Anmelde- und System-E-Mails nutzen wir Brevo. Mit beiden Dienstleistern bestehen Verträge zur Auftragsverarbeitung.
Nutzer können freiwillig einen zweiten Anmeldefaktor über eine Authenticator-App einrichten. Hierfür verarbeitet Supabase ein technisches Geheimnis und die zur Prüfung des Einmalcodes erforderlichen Daten. Die Verarbeitung dient der Kontosicherheit und erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt im Schutz besonders sensibler Familien- und Gesundheitsdaten.
Eine Sitzung endet nach 30 Tagen ohne Nutzung automatisch. Nutzer können sich auf dem aktuell verwendeten Gerät oder über die Funktion „Auf allen Geräten abmelden“ geräteübergreifend abmelden.
Eine Person kann einen Familienbereich anlegen und weitere Personen als umsorgte Person oder Angehörige einladen. Hierfür verarbeiten wir E-Mail-Adresse beziehungsweise Einladungskennung, Rolle, Familienzuordnung, Einladungsstatus sowie Zeitpunkt der Einladung und Annahme. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
Inhalte eines Familienbereichs sind grundsätzlich nur für dessen berechtigte Mitglieder sichtbar. Die technische Trennung erfolgt durch Zugriffsregeln in der Datenbank (Row Level Security). Familienmitglieder können, abhängig von ihrer Rolle und den freigeschalteten Funktionen, Einträge anlegen, einsehen, ändern oder löschen.
Abgelaufene oder eingelöste Einladungen werden grundsätzlich 30 Tage nach Ablauf oder Einlösung gelöscht.
Im Familienbereich verarbeiten wir je nach freigeschaltetem Funktionsumfang die von Nutzern eingegebenen Daten zur Organisation von Pflege und Betreuung. Dazu gehören insbesondere Befinden und Tagesrückblicke, Termine, Aufgaben, Notizen, Vorhaben, Zuständigkeiten, Gesprächszeiten, optionale Telefonnummern, Medikamentenpläne und Medikamenten-Rückmeldungen, Einträge zu Übungstagen und zur sicheren Gestaltung der Wohnung sowie freie Angaben im Pflegetagebuch.
Diese Angaben können Gesundheitsdaten im Sinne von Art. 9 Abs. 1 DSGVO enthalten. Die Verarbeitung erfolgt zur Bereitstellung der gewünschten App-Funktionen auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO und, soweit Gesundheitsdaten betroffen sind, zusätzlich auf Grundlage der ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO.
Die Einwilligung wird bei Gründung oder Beitritt aktiv eingeholt. Wir dokumentieren Zeitpunkt und Fassung des Einwilligungstextes. Eine Einwilligung kann jederzeit mit Wirkung für die Zukunft in der App oder per E-Mail widerrufen werden. Soweit die Verarbeitung von Gesundheitsdaten für eine Funktion zwingend erforderlich ist, kann diese Funktion nach einem Widerruf nicht weiter genutzt werden. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt.
Eine Medikamenten-Rückmeldung wird nur durch eine bewusste Nutzerhandlung erfasst. Aus gesprochenen Sätzen wird keine Einnahmebestätigung abgeleitet. Eine Rückmeldung ist keine Kontrolle der tatsächlichen Einnahme und wird von Cockpit nicht medizinisch bewertet.
Nutzer können Angaben über andere Personen, insbesondere die umsorgte Person, eingeben. Die eintragende Person muss sicherstellen, dass sie hierzu berechtigt ist und dass die betroffene Person die erforderlichen Datenschutzinformationen erhält.
Soweit Gesundheitsdaten einer anderen Person verarbeitet werden, ist grundsätzlich die ausdrückliche Einwilligung dieser betroffenen Person erforderlich. Ist sie nicht einwilligungsfähig, muss die Einwilligung durch eine hierzu rechtlich befugte Person erklärt werden. Eine bloße familiäre Beziehung oder die Einwilligung des eintragenden Angehörigen ersetzt die Einwilligung der betroffenen Person nicht.
Die Einwilligung muss sich auf die konkret betroffenen Daten und Zwecke beziehen. Ohne eine ausreichende Berechtigung dürfen keine Daten über Dritte eingestellt werden.
Nutzer können freiwillig ein Notfallblatt anlegen. Verarbeitet werden können insbesondere Geburtsdatum, Pflegegrad, Krankenkasse, Diagnosen, Allergien, Medikamente, Hausarzt, Notfallkontakte und freie Hinweise. Das Notfallblatt dient der eigenen Organisation und kann für Rettungsdienst oder Krankenhaus ausgegeben werden.
Das Pflegetagebuch dient der Vorbereitung auf eine Pflegebegutachtung. Nutzer können den Alltag in den Bereichen Mobilität, kognitive und kommunikative Fähigkeiten, Verhaltensweisen und psychische Problemlagen, Selbstversorgung, Umgang mit krankheits- oder therapiebedingten Anforderungen und Gestaltung des Alltagslebens beschreiben. Cockpit nimmt keine Bewertung vor und errechnet keinen Pflegegrad.
Der Pflege-Verlauf stellt ausgewählte vorhandene Einträge für einen bestimmten Zeitraum zusammen. Ausdrucke und PDF-Dateien werden im Browser auf dem Gerät des Nutzers erzeugt. Nach Speicherung, Ausdruck oder Weitergabe liegen diese Dateien außerhalb der von Cockpit kontrollierten Umgebung. Nutzer müssen sie daher eigenständig gegen unbefugten Zugriff schützen.
Für die Umwandlung gesprochener Eingaben in Text nutzt Cockpit eine eigene Spracherkennung auf einem Server der Hetzner Online GmbH im Rechenzentrum Nürnberg. Die Audioaufnahme wird verschlüsselt übertragen, dort nur vorübergehend im Arbeitsspeicher in Text umgewandelt und anschließend verworfen. Audio und Text werden auf diesem Server nicht dauerhaft gespeichert. Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung.
Der erkannte Text wird anschließend wie ein sonstiger Eintrag im Familienbereich gespeichert. Die Sprachfunktion ist freiwillig; Einträge können auch ohne sie erstellt werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO und bei Gesundheitsdaten zusätzlich Art. 9 Abs. 2 lit. a DSGVO. Die Einwilligung wird durch das aktive Starten der Aufnahme erteilt und kann für zukünftige Aufnahmen jederzeit widerrufen werden.
Geplante Sprachnachrichten mit der vertrauten Stimme eines Familienmitglieds werden erst verarbeitet, wenn die Funktion aktiviert ist und die sprechende Person der Aufnahme und Speicherung zugestimmt hat. Ohne Sprechererkennung wird die Stimme nicht zu Identifizierungszwecken biometrisch ausgewertet. Enthält die Nachricht Gesundheitsdaten über eine andere Person, ist zusätzlich eine geeignete Rechtsgrundlage für diese Daten erforderlich. Aktivierte Audiodateien sollen 30 Tage nach ihrer Erstellung gelöscht werden.
Die in diesem Abschnitt beschriebene Anruffunktion ist derzeit noch nicht freigeschaltet. Die Regelung gilt erst, sobald die Funktion bereitgestellt wird. Familien können eine regelmäßige Gesprächszeit und optional Telefonnummern der anrufenden und der umsorgten Person hinterlegen. Diese Daten werden verwendet, um an das Gespräch zu erinnern und einen Anruf über die Telefonfunktion des Endgeräts zu starten. Cockpit führt den Anruf nicht selbst durch, zeichnet Gespräche nicht auf und verarbeitet weder Gesprächsinhalte noch Gesprächsdauer.
Wenn ein Nutzer in Cockpit auf „Anrufen“ tippt, kann als Nutzungsereignis gespeichert werden, dass ein Anruf gestartet wurde, einschließlich Zeitpunkt, Familien- und Nutzerkennung. Ob das Gespräch zustande kam, wird nicht erfasst. Die Bereitstellung der Anruffunktion erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Eine Auswertung für den wissenschaftlichen Nutzennachweis erfolgt nur nach gesonderter Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und, soweit Gesundheitsbezüge entstehen, Art. 9 Abs. 2 lit. a DSGVO.
Auf Wunsch senden wir Erinnerungen und Familien-Updates als Push-Benachrichtigung. Hierfür verarbeiten wir die technische Push-Kennung, Geräte- und Browserinformationen sowie den Versandstatus. Die Zustimmung wird im Browser beziehungsweise Betriebssystem abgefragt und kann dort jederzeit widerrufen werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO.
Die Zustellung erfolgt über die Push-Dienste des jeweiligen Browser- oder Geräteherstellers, insbesondere Google, Apple oder Mozilla. Dabei kann der jeweilige Anbieter technische Verbindungsdaten verarbeiten. Soweit diese Anbieter Server außerhalb des Europäischen Wirtschaftsraums betreiben, erfolgt die Übermittlung auf Grundlage eines Angemessenheitsbeschlusses nach Art. 45 DSGVO oder, soweit erforderlich, auf Grundlage von Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO; soweit die Übermittlung für die Zustellung erforderlich ist und keine gleichwertige Grundlage besteht, beruht sie auf Art. 49 Abs. 1 lit. a DSGVO in Verbindung mit der bei der Zustimmung erteilten Einwilligung. Benachrichtigungen sollen keine Gesundheitsinhalte enthalten, können jedoch auf dem Sperrbildschirm oder in einer Systemvorschau sichtbar werden.
Cockpit speichert technisch notwendige Daten, insbesondere Anmeldestatus, Sitzungsinformationen und zwischengespeicherte Inhalte, im lokalen Speicher des Endgeräts. Dies dient der Anmeldung, der sicheren Bereitstellung und einer stabilen Nutzung bei schwankender Verbindung. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG und für die anschließende Verarbeitung Art. 6 Abs. 1 lit. b DSGVO.
Cockpit setzt keine Werbe- oder Tracking-Cookies ein und nutzt keine nutzerübergreifenden Werbeprofile.
Cockpit kann gesonderte, freiwillige Einwilligungen für die pseudonymisierte Auswertung von App-Angaben zur Weiterentwicklung sowie für die Auswertung der Nutzung zum wissenschaftlichen Nutzennachweis vorsehen. Diese Einwilligungen sind voneinander und von der für die Kernfunktionen erforderlichen Einwilligung in Gesundheitsdaten getrennt, nicht vorausgewählt und keine Voraussetzung für die allgemeine Nutzung.
Auswertungen erfolgen erst, wenn Zweck, Datenumfang, Auswertungsverfahren und Speicherdauer feststehen und die jeweilige Einwilligung freigeschaltet wurde. Sie werden nur durch den Anbieter oder weisungsgebundene Auftragsverarbeiter durchgeführt. Daten werden hierfür nicht an unabhängige Dritte weitergegeben. Ergebnisse zum Nutzennachweis werden nur aggregiert ausgegeben; bei weniger als fünf teilnehmenden Personen werden keine Kennzahlen ausgegeben.
Jede Erteilung und jeder Widerruf wird mit Zeitpunkt und Fassungsnummer dokumentiert. Ein Widerruf ist jederzeit in der App möglich und berührt die Nutzung der Kernfunktionen nicht.
Sobald das kostenpflichtige Abonnement aktiviert wird, soll die Zahlungsabwicklung über Stripe erfolgen. Hierfür werden insbesondere E-Mail-Adresse, interne Familien-ID, Preis, Abrechnungszeitraum, Zahlungsstatus und die für die gewählte Zahlungsmethode erforderlichen Zahlungsdaten verarbeitet. Ein Familienname soll nicht an Stripe übermittelt werden.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Soweit gesetzliche Aufbewahrungs- und Nachweispflichten bestehen, erfolgt die Verarbeitung zusätzlich nach Art. 6 Abs. 1 lit. c DSGVO. Stripe wird erst in die laufende Verarbeitung einbezogen, wenn die Bezahlfunktion aktiviert ist. Vorher findet keine Zahlungsdatenverarbeitung über Stripe statt.
Zur Nachweisführung und Absicherung protokolliert Cockpit bestimmte Ereignisse, insbesondere Beitritt oder Entfernung eines Mitglieds, Erstellung einer Einladung, Datenexport sowie Löschung eines Kontos oder Familienbereichs. Gespeichert werden Ereignisart, Zeitpunkt sowie interne Familien-, auslösende Nutzer- und betroffene Nutzerkennung. Inhalte, Namen, E-Mail-Adressen und Gesundheitsdaten werden nicht in das Ereignisprotokoll aufgenommen.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den datenschutzrechtlichen Rechenschafts- und Sicherheitsanforderungen, soweit eine rechtliche Nachweispflicht besteht, im Übrigen Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt im Sicherheitsnachweis, der Missbrauchsaufklärung und dem Nachweis von Löschvorgängen. Das Protokoll wird grundsätzlich 24 Monate gespeichert und kann die Löschung eines Kontos oder Familienbereichs überdauern. Nach Wegfall der Zuordnungstabellen sind die internen Kennungen nicht mehr unmittelbar einer Person zuordenbar.
Einträge im Familien-Feed werden grundsätzlich 24 Monate nach ihrer Anlage automatisch gelöscht. Dies betrifft insbesondere Befinden, Termine, Aufgaben, Notizen, textbasierte Sprachbeiträge und vergleichbare Verlaufsdaten. Für einzelne Funktionen können kürzere Fristen gelten.
Medikamentenplan, Notfallblatt und Pflegetagebuch bleiben gespeichert, bis sie geändert oder der Familienbereich gelöscht wird. Der Familienkalender „Wer ist heute zuständig?“ wird grundsätzlich 30 Tage gespeichert. Aktivierte Audiodateien für vertraute Sprachnachrichten sollen nach 30 Tagen gelöscht werden. Für Inhalte eines Lebensbuchs oder vergleichbare dauerhaft angelegte Erinnerungsinhalte gilt eine längere Speicherung nur, wenn Nutzer dies ausdrücklich wünschen und die Funktion entsprechend ausgestaltet ist.
Nutzer können einen maschinenlesbaren Datenexport und einen menschenlesbaren Gesamtausdruck anfordern beziehungsweise über die App erzeugen. Der Export kann Kontodaten, Einträge, Medikationspläne, Notfallblatt, Pflegetagebuch, Zuständigkeiten, Einladungen, Push-Geräte ohne geheime Schlüssel und Einwilligungsnachweise umfassen. Soweit einzelne Nutzungsereignisse technisch nicht im Selbstbedienungsexport enthalten sind, können sie im Rahmen eines Auskunftsersuchens bereitgestellt werden.
Bei Löschung eines einzelnen Kontos werden Anmeldung, E-Mail-Adresse, Mitgliedschaft, Push-Zuordnungen und personenbezogene Einwilligungszuordnungen gelöscht. Bereits im gemeinsamen Familien-Feed veröffentlichte Beiträge und Medikationspläne können für den Familienbereich bis zum Ablauf der jeweiligen Frist verbleiben; die direkte Kontozuordnung wird entfernt. Der im Beitrag sichtbare Vorname kann als Teil des Eintragstextes verbleiben. Wer diese Inhalte vollständig entfernen möchte, soll sie vor der Kontolöschung löschen oder uns kontaktieren.
Bei Löschung eines Familienbereichs werden dessen aktive Inhaltsdaten gelöscht. Das Ereignisprotokoll kann aus den in Abschnitt 14 genannten Gründen bis zu 24 Monate fortbestehen. Tägliche Datenbanksicherungen werden, sobald der entsprechende Supabase-Tarif aktiviert ist, für sieben Tage aufbewahrt. Gelöschte Daten werden daher spätestens nach Ablauf dieses Sicherungszyklus aus den Backups entfernt, soweit keine gesetzliche Pflicht zur längeren Aufbewahrung besteht.
Empfänger personenbezogener Daten können, abhängig von der genutzten Funktion, insbesondere sein: Supabase für Datenbank, Authentifizierung und Speicherung in Frankfurt; Cloudflare für Auslieferung und Absicherung der Web-App; Brevo für den E-Mail-Versand; Hetzner für die Spracherkennung in Nürnberg; Browser- und Gerätehersteller für Push-Benachrichtigungen; sowie künftig Stripe für die Zahlungsabwicklung.
Dienstleister werden nur im erforderlichen Umfang und auf Grundlage datenschutzrechtlicher Verträge eingesetzt. Eine Offenlegung an Behörden oder sonstige Dritte erfolgt nur, wenn eine gesetzliche Verpflichtung besteht, dies zur Rechtsverteidigung erforderlich ist oder eine wirksame Einwilligung vorliegt.
Eine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO einschließlich Profiling findet nicht statt.
Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO) und Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. e oder f DSGVO (Art. 21 DSGVO).
Erteilte Einwilligungen können jederzeit mit Wirkung für die Zukunft widerrufen werden. Zur Ausübung der Rechte genügt eine Nachricht an [email protected]. Zur Vermeidung einer unbefugten Offenlegung können wir einen angemessenen Identitätsnachweis verlangen.
Betroffene Personen können sich bei einer Datenschutzaufsichtsbehörde beschweren. Für den Verantwortlichen ist grundsätzlich das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein, Holstenstraße 98, 24103 Kiel, zuständig.
Wir aktualisieren diese Datenschutzerklärung, wenn sich Funktionen, eingesetzte Dienstleister, Datenverarbeitungen oder die Rechtslage ändern. Die jeweils aktuelle Fassung wird in Cockpit bereitgestellt. Bei wesentlichen Änderungen, insbesondere bei neuen Zwecken oder einer erforderlichen neuen Einwilligung, informieren wir die betroffenen Nutzer vorab in geeigneter Form. Soweit eine neue Einwilligung erforderlich ist, wird die betreffende Verarbeitung erst nach deren Erteilung durchgeführt.