Datenschutzerklärung

Informationen nach Art. 13 und Art. 14 DSGVO

1. Verantwortlicher

Kakaland (Anbieter-Daten siehe Impressum).
Anfragen zum Datenschutz: datenschutz@kakaland.de

2. Welche Daten wir verarbeiten

2.1 Bei Registrierung & Login

• Name, E-Mail-Adresse, Passwort (gespeichert als bcrypt-Hash, nie im Klartext)
• Zeitpunkt der Registrierung

2.2 Bei der Nutzung des Portals

• Kakabox-Geräte: Seriennummer, Lautstärke, Modus, letzte Online-Zeit
• Familien: Familien-Name, eingeladene Mitglieder, Kind-Profile (Name, Geburtstag)
• Audio-Bibliothek: eigene MP3-Uploads (nur familien-intern sichtbar)
• Wiedergabe-Verlauf: was wurde wann auf welcher Box gespielt

2.3 Login-Sicherheit

• Login-Versuche werden mit IP-Adresse, User-Agent, Status und ggf. Fehler-Grund in login_attempts protokolliert. Zweck: Erkennung von Brute-Force-Angriffen (Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse).

2.4 Server-Logs

• Standard-HTTP-Logs (IP, Zeitstempel, URL, User-Agent) für maximal 30 Tage zur Abwehr von Missbrauch (Art. 6 Abs. 1 lit. f DSGVO).

3. Empfänger / Auftragsverarbeiter

Die Plattform läuft auf einem Server in Deutschland. Wir nutzen keine Tracking-Dienste, kein Google Analytics, kein Facebook-Pixel. Externe Schriftarten und JS-Bibliotheken werden seit v1.1.45 self-hosted — keine Drittland-Übermittlung beim Seitenaufruf.

4. Speicherdauer

• Konto-Daten: bis zur Kontolöschung durch dich
• Wiedergabe-Verlauf: 12 Monate, dann automatisch anonymisiert
• Login-Attempt-Logs: 90 Tage
• Server-Logs: 30 Tage

5. Deine Rechte

Du hast nach DSGVO Anspruch auf:

• Auskunft (Art. 15) — wir schicken dir alle gespeicherten Daten
• Berichtigung (Art. 16)
• Löschung (Art. 17) — über Profil → Konto löschen, oder per Mail
• Einschränkung (Art. 18)
• Datenübertragbarkeit (Art. 20) — wir liefern dir alle Daten als JSON
• Widerspruch (Art. 21)
• Beschwerde bei der Aufsichtsbehörde (für uns: Bayerisches Landesamt für Datenschutzaufsicht)

6. Cookies

Wir setzen ausschließlich technisch notwendige Cookies (Session-Cookie für Login + CSRF-Token). Keine Tracking-Cookies, kein Cookie-Banner nötig.

7. Kinderschutz

Die Plattform richtet sich an Eltern. Kinder-Profile werden ausschließlich von den Eltern angelegt — wir speichern nur Name und Geburtstag, keine Login-Daten der Kinder. Die Box läuft offline-first; Audio-Wiedergaben werden zwar protokolliert, sind aber nur für die Eltern der jeweiligen Familie sichtbar (Family-Tenant-Isolation per Global Scope).

8. Sicherheits-Kontakt

Sicherheitslücken bitte an security@kakaland.de (Details unter /.well-known/security.txt).

---

Stand: Diese Erklärung wurde mit v1.1.45 eingeführt. Bei Änderungen wirst du beim nächsten Login darauf hingewiesen.