Datenschutzerklärung

Stand: 12. August 2026

1. Wer verarbeitet deine Daten

Orchivia
1039 Coffeen Avenue, Suite 1200
Sheridan, WY 82801, USA
[email protected]

Orchivia wird aus den USA betrieben. Wo immer du die App nutzt: Deine Daten werden von uns verarbeitet und können in den USA gespeichert werden. Fragen zum Datenschutz gehen an [email protected].

2. Welche Daten wir verarbeiten

Alles, was hier steht, hast entweder du eingetragen oder es entsteht beim Betrieb:

Wir verkaufen keine Daten und schalten keine Werbung. Es gibt in Orchivia kein Werbenetzwerk, kein Tracking über fremde Seiten hinweg und keinen Datenhandel. Das ist keine Absichtserklärung, sondern das Geschäftsmodell: Orchivia verdient an Abos.

3. Chats sind verschlüsselt

Nachrichten und Anhänge werden verschlüsselt gespeichert (AES-GCM); der Schlüssel wird nur an Mitglieder deiner Familie ausgeliefert. Der Betreiber liest deine Chats nicht.

Ehrlich dazu: Eine technische Restzugriffsmöglichkeit über die Datenbank besteht, solange kein clientseitiger Schlüsselaustausch umgesetzt ist. Wir benennen das, statt „Zero Knowledge“ zu versprechen.

4. Standortdaten

Standortfreigaben — Familienkarte, Standort im Chat, Ortungsgeräte — sind ausdrücklich opt-in, pro Person abschaltbar und nur innerhalb deiner Familie sichtbar.

Bei einem aktiven Weg (Schulweg, Heimweg, Abholung) überträgt die Android-App den Standort auch bei ausgeschaltetem Bildschirm — aber nur, solange der Weg läuft: Er wird ausdrücklich gestartet, endet spätestens zum angegebenen Zeitpunkt und ist jederzeit abbrechbar. Eine Streckenhistorie wird nicht gespeichert, sondern nur die jeweils letzte Position für die Familienkarte; sie verliert nach wenigen Minuten ihre Gültigkeit.

Auf dem Gerät eines Kindes zeigt die App während eines Weges zusätzlich eine Restweg-Karte („noch 400 m“). Die Position dafür bleibt auf diesem Gerät: Sie wird weder übertragen noch gespeichert. Eltern sehen unverändert nur, dass ein Weg läuft und wann er endet — keine Route.

Wetter-, Orts- und Wegzeitsuchen laufen über unsere eigenen Server, sodass die dahinterliegenden Anbieter weder deine IP-Adresse noch dein Endgerät sehen; Koordinaten werden dabei gerundet. Eine Ausnahme, die wir offen benennen: Die Kartenkacheln lädt dein Gerät unmittelbar von OpenStreetMap. Dabei erfährt OpenStreetMap deine IP-Adresse und aus dem Ausschnitt die ungefähre Gegend, die du dir ansiehst.

5. Fotospeicher und Gesichter

Der Fotospeicher sichert Fotos verschlüsselt: Verkleinern, Vorschaubild und Verschlüsselung passieren auf deinem Gerät, unser Speicher enthält ausschließlich Chiffren. Es gilt dieselbe Einschränkung wie bei den Chats (Abschnitt 3): Der Schlüssel gehört deiner Familie, liegt aber in unserer Datenbank, damit du ihn beim Gerätewechsel nicht verlierst — eine technische Restzugriffsmöglichkeit besteht also, solange kein clientseitiger Schlüsselaustausch umgesetzt ist. Gesichert wird zunächst nur für dich („privat“); für die eigene Familie sichtbar wird ein Foto erst, wenn du es freigibst.

Teilst du ein Foto mit einer verbundenen Familie, entsteht auf deinem Gerät eine eigene Kopie, die auf den gemeinsamen Schlüssel dieser beiden Familien umgeschlüsselt wird. Deinen Familienschlüssel bekommt die andere Familie nicht. Nimmst du die Freigabe zurück, wird die Kopie gelöscht.

Die Gesichtserkennung ist abschaltbar und standardmäßig aus. Ist sie an, läuft sie ausschließlich auf deinem Gerät: Die App erkennt dort Gesichter und errechnet je Gesicht einen Zahlenwert, der uns nur verschlüsselt erreicht — wir können daraus weder ein Gesicht rekonstruieren noch zwei Gesichter vergleichen. Auch der Name, den du einem Gesicht gibst, liegt verschlüsselt. Nichts davon wird für das Training von KI verwendet, weder von uns noch von Dritten. Gesichter ohne Zuordnung — Personen, die du nicht benennst — werden nach 30 Tagen gelöscht; schaltest du die Funktion aus, werden alle Gesichtsdaten sofort gelöscht.

6. Künstliche Intelligenz

Für Ausflugs- und Kursvorschläge, Textbausteine und den Assistenten nutzen wir ein Sprachmodell, angebunden über unser eigenes Gateway.

Was übertragen wird: pseudonymisierte Profilangaben — Alter, Betreuungsstufe, Interessen, der Ort in gerundeter Form. Was nicht übertragen wird: Namen, E-Mail- Adressen, Fotos, Chatinhalte, genaue Adressen, Positionsverläufe.

Die Anbieter der Modelle verarbeiten diese Anfragen in unserem Auftrag und dürfen sie vertraglich nicht zum Training verwenden. Abschaltbar unter „Daten & Freigaben“ — dann entfallen die Vorschläge, alles andere bleibt.

Spracheingabe: Wenn du den Orbi-Knopf hältst und sprichst, erkennt möglichst dein Gerät selbst — dann verlässt die Aufnahme es nicht. Kann es das nicht, hast du zwei Möglichkeiten, und beide bedeuten, dass die Aufnahme übertragen wird: im Browser an dessen Spracherkennung (bei Chrome an Google), in der App an unser eigenes Gateway, das sie zu Text macht und danach verwirft. Wir speichern keine Sprachaufnahmen. Wer das nicht möchte, tippt — der Knopf ist ein Angebot, kein Weg.

Was ein Sprachmodell ausgibt, kann falsch, veraltet oder frei erfunden sein. Es ist keine pädagogische, medizinische oder rechtliche Beratung und keine Zusage über die Eignung oder Sicherheit eines Angebots für dein Kind. Prüfe nach, worauf es ankommt.

7. Dienste, die wir einsetzen

Mitteilungen tragen nie Inhalte. Kein Nachrichtentext, keine Adresse, keine Koordinate — nur die Art des Ereignisses und ein Vorname aus deiner eigenen Familie. Eine Mitteilung landet auf einem gesperrten Bildschirm und ist für jeden lesbar, der ihn sieht.

8. Wie lange wir Daten behalten

Daten bleiben gespeichert, solange dein Konto besteht. Nach einer Löschanfrage werden Konto und Familiendaten innerhalb von 30 Tagen entfernt; Sicherungskopien werden nach höchstens 35 Tagen überschrieben. Rechnungsunterlagen bewahrt der Zahlungsdienstleister nach den für ihn geltenden Vorschriften auf; sie enthalten keine Inhalte aus der App.

9. Was du tun kannst

In den Einstellungen: „Daten exportieren“ lädt alle Daten deiner Familie als JSON herunter. „Account schließen“ stellt eine protokollierte Löschanfrage. Einzelne Bereiche — Standortverlauf, Alben, ein Kinderprofil — kannst du auch getrennt löschen, ohne das Konto aufzugeben.

Ohne Zugang zum Konto geht es per E-Mail; wie, steht unter Konto löschen. Bewohnerinnen und Bewohner von Kalifornien haben zusätzliche Rechte nach dem CCPA/CPRA — Auskunft, Löschung, Berichtigung und der Widerspruch gegen einen Verkauf ihrer Daten. Da wir keine Daten verkaufen, geht der Widerspruch ins Leere; die übrigen Rechte übst du über dieselben Wege aus.

10. Kinder

Kinder haben in Orchivia kein eigenes Konto. Kinderprofile legen ausschließlich die Sorgeberechtigten an, und die Angaben darin stammen von ihnen. Wir erheben von Kindern keine Daten unmittelbar und richten die App nicht an Kinder unter 13 Jahren als eigenständige Nutzer.

Kinderfotos sind optional und nur für die eigene Familie und ausdrücklich verbundene Familien sichtbar. Erfährt ein Sorgeberechtigter, dass ein Kind ohne seine Zustimmung eingetragen wurde, löschen wir die Angaben nach einer Nachricht an [email protected].

11. Sicherheit

Übertragung ausschließlich verschlüsselt (TLS), Zugriff auf Familiendaten datenbankseitig auf die eigene Familie beschränkt, Passwörter nur als Hashwert, Chats zusätzlich verschlüsselt. Vollständigen Schutz kann niemand zusagen — wer das tut, sagt die Unwahrheit.

12. Änderungen

Wir dürfen diese Erklärung ändern. Wesentliche Änderungen kündigen wir mindestens 30 Tage vorher in der App oder per E-Mail an. Das Datum oben sagt, welche Fassung gilt.

13. Maßgebliche Sprachfassung

Verbindlich ist ausschließlich die englische Fassung unter /privacy; diese deutsche Fassung ist eine Übersetzung und dient dem Verständnis. Es gilt das Recht des Staates Wyoming, USA — siehe Nutzungsbedingungen.

NutzungsbedingungenDatenschutzAnbieterErstattungenKonto löschenEnglish

Datenschutzerklärung – Orchivia