Datenschutzerklärung

Verantwortlich für die Bearbeitung der Personendaten in Beeside ist Aiconic Studio Bingesser, das Einzelunternehmen von Ramin Bingesser, Neuhusweg 4, 6205 Eich, Schweiz, eingetragen im Handelsregister des Kantons Luzern, UID CHE-429.542.672 («wir»).

Fragen zum Datenschutz und Anfragen zu den eigenen Rechten nehmen wir unter hello@getbeeside.com entgegen.

Wir bearbeiten Personendaten, um Beeside mit seinen Funktionen bereitzustellen und sicher zu betreiben. Dabei geht es um diese Daten:

• Konto: Die E-Mail-Adresse, um das Konto anzulegen und die Anmeldung mit einem sechsstelligen Code zu ermöglichen, den wir per E-Mail schicken. Im Einstieg lässt sich Beeside zunächst anonym nutzen, bis das Konto mit der E-Mail-Adresse gesichert wird.
• Familie und Personen: Name, Land, Sprache und Zeitzone der Familie; für jede Person Name, Avatar (ein Emoji), Farbe und ob sie erwachsen oder ein Kind ist. Bei Kindern der Geburtstag mit Jahr, damit Beeside das Alter kennt (etwa für passende Ämtli) und an den Geburtstag erinnert; bei Erwachsenen auf Wunsch der Geburtstag, auch ohne Jahr. Auf Wunsch schützt eine PIN ein Profil; davon speichern wir nur einen Hash.
• Inhalte der Familie: Alles, was die Familie selbst erfasst: Einkaufsartikel und Läden, To-dos, Termine, Rezepte mit Fotos, Mahlzeiten, Packlisten, Geburtstage und Geschenkideen, Abos und Verträge mit Beträgen und Fristen, Ämtli, Sterne und Sackgeld sowie Notizen. Die Mitglieder der Familie sehen diese Inhalte gemeinsam; Einträge, die als «privat» markiert sind, sieht nur die Person selbst.
• Schlüsselbund: Passwörter, WLAN-Zugänge, Codes und Notizen verschlüsseln die Geräte Ende-zu-Ende (mit der Bibliothek libsodium). Der Server speichert davon nur verschlüsselte Daten und kann sie nicht lesen.
• Geräte: Bezeichnung des Geräts, Browserkennung (User-Agent), Zeitpunkt der letzten Verbindung und das Push-Token für Mitteilungen, dazu gekoppelte Geräte von Kindern und Familien-Tablets. Damit erreichen Mitteilungen das richtige Gerät, und gekoppelte Geräte funktionieren.
• Protokolle: Der Verlauf (wer hat was geändert) während 180 Tagen und ein Mitteilungsprotokoll (welche Mitteilung an welches Profil ging) während 120 Tagen. Der Verlauf ist eine Funktion für die Familie, das Mitteilungsprotokoll dient dem Betrieb.
• Abo: Status, Ablauf, Produkt und Store des Abos, welches Profil es abgeschlossen hat, und die Kaufereignisse, die RevenueCat meldet. Damit schaltet Beeside die Familie frei.
• Nutzung des Einstiegs: Welche Schritte des Einstiegs und der Abo-Seiten angezeigt, abgeschlossen oder übersprungen werden, mit einer zufälligen Kennung der Installation, dem Zeitpunkt, der Version der App und der Plattform. Damit sehen wir, an welcher Stelle der Einstieg zu schwer ist, und machen ihn besser. Die Kennung ist keine Werbe-ID und nicht mit dem Konto oder der Familie verknüpft; wir werten selbst aus, ohne Dienst von Dritten.
• KI-Funktionen: Text, Fotos und Artikelnamen für die Schnellerfassung und den KI-Import (siehe «KI-Funktionen»).
• Verbindungsdaten: Bei jeder Verbindung zu unseren Servern bearbeiten unsere Dienstleister technisch notwendige Daten wie die IP-Adresse, um die Anfrage zu beantworten und den Dienst sicher zu betreiben.

Einige Daten bearbeitet Beeside nur auf dem Gerät; sie verlassen es nicht:

• Diktat: Die Spracherkennung läuft auf dem Gerät, die Aufnahme wird nicht übermittelt. Der erkannte Text wird wie jede andere Eingabe behandelt.
• Kalender des Geräts: Mit der Erlaubnis dazu zeigt Beeside Termine aus den Kalendern des Geräts an. Diese Termine werden nicht hochgeladen.
• Einstellungen und Entwürfe: Einstellungen wie Darstellung und Sprache sowie Entwürfe der Schnellerfassung.

Vieles ordnet Beeside ohne KI-Dienst ein: mit einem Wörterbuch auf dem Gerät, mit dem, was die Familie früher selbst zugeordnet hat, und auf iPhones mit Apple Intelligence mit Apples Modell auf dem Gerät. Was danach offen bleibt, und der KI-Import laufen über unseren Server. Dieser schickt dann Daten an Anthropic, den Anbieter des verwendeten KI-Modells:

• zum Einordnen neuer Einträge, etwa Einkaufsartikel, deren Namen und die Abteilungen, Kategorien oder Bereiche, zwischen denen gewählt wird
• für den Import den eingegebenen Text oder das gewählte Foto

Konto, E-Mail-Adresse und die Namen der Personen in der Familie schickt Beeside dafür nicht mit; übermittelt wird nur, was im Text oder auf dem Foto steht. Private Einträge ordnet Beeside nie über den Server ein, nur auf dem Gerät. Das Foto für den Import speichern wir nicht. Die Zuordnung von Artikelnamen speichern wir pro Familie während 180 Tagen zwischen, die Zählung der Nutzung pro Familie und Monat während 13 Monaten; die Nutzung ist pro Familie begrenzt. Unser Vertragspartner ist Anthropic Ireland, Limited in Dublin; bearbeitet werden die Daten auch in den USA und in weiteren Ländern. Nach seinen kommerziellen Bedingungen darf Anthropic diese Daten nicht zum Trainieren von Modellen verwenden, und es löscht Eingaben und Ergebnisse nach 30 Tagen, ausser bei einem Verstoss gegen seine Nutzungsrichtlinien.

Den Weg über den Server kann die Familie in den Einstellungen ausschalten. Dann ordnet Beeside nur noch auf dem Gerät ein, und der Import von Fotos ist nicht verfügbar.

Die KI-Funktionen schlagen Einträge vor. Automatisierte Einzelentscheidungen über Personen trifft Beeside nicht.

Beeside schickt Mitteilungen, etwa Erinnerungen, nur wenn sie auf dem Gerät oder im Browser erlaubt sind. Dafür speichern wir das Push-Token des Geräts und übergeben die Mitteilung dem Push-Dienst der Plattform: dem Apple Push Notification Service (APNs), Firebase Cloud Messaging (FCM) von Google oder dem Push-Dienst des Browsers (Web Push).

Welche Mitteilung an welches Profil ging, halten wir 120 Tage im Mitteilungsprotokoll fest. Mitteilungen lassen sich jederzeit in den Einstellungen des Geräts oder des Browsers ausschalten.

In der Web-App speichert Beeside die Anmeldedaten und den lokalen Datenstand im Browser (localStorage und IndexedDB), damit die Anmeldung bestehen bleibt und Beeside auch ohne Verbindung funktioniert. Ein Cookie namens «beeside-language» merkt sich die gewählte Sprache.

Werbe- oder Analyse-Cookies setzt Beeside keine. Die gespeicherten Daten lassen sich jederzeit über die Einstellungen des Browsers löschen.

• Einladungen: Neue Mitglieder kommen per Link, QR-Code oder Code in die Familie. Eine Einladung gilt 14 Tage. Einladungs- und Kopplungscodes speichern wir nur als Hash.
• Kalender-Abo: Auf Wunsch erzeugt Beeside einen geheimen Link, über den andere Kalender-Apps die Termine der Familie als Kalenderdatei abrufen. Wer den Link kennt, kann diese Termine lesen. Der Link lässt sich neu erzeugen; der bisherige gilt dann nicht mehr. Für die Kalender-App, in die der Link eingetragen wird, gelten deren eigene Datenschutzbestimmungen.
• Rezept-Import: Beim Import eines Rezepts von einer Webseite ruft in der Web-App unser Server diese Seite ab, in der App das Gerät selbst; übernommen werden Titel, Bild, Zutaten und Schritte.

Bis Beeside im App Store und bei Google Play ist, kann man sich auf www.getbeeside.com auf eine Warteliste setzen. Dafür speichern wir die E-Mail-Adresse, die Sprache der Seite, wo das Formular stand, den Zeitpunkt der Anmeldung und den Zeitpunkt der Bestätigung. Sonst nichts.

Nach der Anmeldung schicken wir eine E-Mail mit einem Bestätigungslink (Double Opt-in). Erst nach der Bestätigung schreiben wir, und zwar einmal, wenn Beeside erhältlich ist. Unbestätigte Adressen löschen wir, sobald ihr Bestätigungslink nach 7 Tagen abgelaufen ist.

Jede Mail enthält einen Link zum Abmelden; danach ist die Adresse sofort gelöscht. Nach der Mail zum Start löschen wir die ganze Warteliste.

Zum Schutz vor Missbrauch zählen wir Anmeldeversuche pro IP-Adresse. Dafür speichern wir einen nicht umkehrbaren Hash der IP-Adresse und löschen ihn nach 24 Stunden. Die Warteliste liegt bei Supabase, die Mails verschickt Resend (siehe Dienstleister).

Für den Betrieb setzen wir Dienstleister ein, die Personendaten in unserem Auftrag bearbeiten:

• Supabase Pte. Ltd., Singapur: Datenbank, Anmeldung, Dateien wie Fotos und Server-Funktionen. Die Daten liegen in der Region eu-central-2 in Zürich, Schweiz (Rechenzentrum von Amazon Web Services). Für Support und Betrieb kann Personal von Supabase auch aus anderen Ländern darauf zugreifen, etwa aus den USA. Protokolle mit IP-Adressen bewahrt Supabase 7 Tage auf, die täglichen Sicherungen ebenfalls 7 Tage.
• Railway Corporation, USA: Betrieb (Hosting) der Web-App unter app.getbeeside.com und der Website www.getbeeside.com auf Servern in Amsterdam, Niederlande. Protokolle der Anfragen mit IP-Adresse bewahrt Railway höchstens 30 Tage auf.
• Plus Five Five, Inc. (Resend), USA: Versand der E-Mails mit dem Anmeldecode und der Bestätigung für die Warteliste vom Absender hello@getbeeside.com. Verschickt wird aus der Region eu-west-1 in Irland; Versandprotokolle mit der E-Mail-Adresse speichert Resend 30 Tage in den USA.
• Anthropic Ireland, Limited, Irland: KI-Modell für die Schnellerfassung und den KI-Import (siehe «KI-Funktionen»).
• RevenueCat, Inc., USA: Abwicklung der Abos. RevenueCat erhält die Kaufbelege und eine Kennung der Familie, aber keine Namen, keine E-Mail-Adresse und keine Werbe-ID. Löscht eine Familie ihre Daten, löschen wir auch den Kunden bei RevenueCat.

Käufe laufen über den App Store von Apple und über Google Play. Für Kauf und Zahlung sind Apple und Google verantwortlich, und es gelten deren Datenschutzbestimmungen; Zahlungsdaten wie Kartennummern erhalten wir nicht. Mitteilungen stellen die Push-Dienste von Apple, Google (Firebase Cloud Messaging, in unserem Auftrag) und der Browserhersteller zu.

Die Datenbank von Beeside liegt in der Schweiz. Einige Dienstleister bearbeiten Daten im Ausland: Railway in den Niederlanden und den USA, Resend in Irland und den USA, Anthropic in Irland, den USA und weiteren Ländern, RevenueCat in den USA, Supabase für Support und Betrieb auch in Singapur und den USA.

Irland und die Niederlande gehören zu den Staaten, deren Datenschutz die Schweiz als angemessen anerkennt. Railway und Google sind nach dem Swiss-U.S. Data Privacy Framework zertifiziert, das die Schweiz seit dem 15. September 2024 ebenfalls als angemessen anerkennt. Für alle übrigen Übermittlungen in die USA und nach Singapur gelten die Standardvertragsklauseln der Europäischen Kommission mit den Anpassungen für die Schweiz; sie sind Teil unserer Verträge mit diesen Anbietern. Für Nutzerinnen und Nutzer in der EU stützen sich Übermittlungen in die USA auf das EU-U.S. Data Privacy Framework (Railway, Google, Resend) oder auf die Standardvertragsklauseln.

Apple und Google (App Stores und Push-Dienste) sowie die Browserhersteller bearbeiten Daten nach ihren eigenen Bestimmungen, auch ausserhalb der Schweiz und der EU.

Für Nutzerinnen und Nutzer in der EU und im EWR stützen wir die Bearbeitung auf diese Rechtsgrundlagen:

• Vertrag (Art. 6 Abs. 1 lit. b DSGVO): Konto, Familie, Inhalte, Geräte und Abgleich, Abo und KI-Funktionen, also alles, was nötig ist, um Beeside bereitzustellen.
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO): Sicherheit und Schutz vor Missbrauch, etwa die Sperre nach falschen PIN-Eingaben und die Begrenzung der KI-Funktionen, ein stabiler technischer Betrieb und die Messung des Einstiegs, um ihn zu verbessern. Ebenso Angaben über andere Personen, die die Familie selbst erfasst, etwa über Kinder oder Geburtstage im Verwandtenkreis: Das Interesse der Familie und unseres ist, ihr den bestellten Dienst zu erbringen. Die Interessen von Kindern wiegen dabei besonders; darum bearbeiten wir über sie nur, was die Eltern eintragen, und nutzen es für nichts anderes.
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Mitteilungen, die erst nach der Erlaubnis auf dem Gerät oder im Browser kommen. Diese Einwilligung lässt sich jederzeit in den Einstellungen des Geräts oder des Browsers widerrufen. Ebenso die Warteliste auf www.getbeeside.com: Sie gilt erst nach der Bestätigung per E-Mail und endet mit einem Klick auf den Abmeldelink.

Das eigene Konto lässt sich jederzeit selbst löschen: in den Einstellungen der App oder im Web unter app.getbeeside.com, auch ohne Abo. Das Konto wird sofort gelöscht. Wer die letzte Person mit Konto in der Familie ist, kann dabei auch die ganze Familie mit allen Inhalten löschen; sonst bleibt die Familie für die übrigen Mitglieder bestehen. Aus den Sicherungen verschwinden gelöschte Daten innerhalb von 7 Tagen.

Vor dem Löschen lassen sich die eigenen Daten in den Einstellungen als Datei (JSON) exportieren. Eine Löschung lässt sich auch per E-Mail an hello@getbeeside.com verlangen. Das Löschen des Kontos kündigt kein laufendes Abo; Abos werden in den Abo-Einstellungen von Apple beziehungsweise Google Play gekündigt.

Im Übrigen gilt:

• Inhalte bleiben gespeichert, bis die Familie sie löscht. Gelöschte Einträge liegen 30 Tage im Papierkorb und lassen sich wiederherstellen; danach werden sie endgültig gelöscht, auch Fotos.
• Ohne Abo bleibt Beeside gesperrt. Die Daten der Familie bleiben erhalten, damit sie mit einem neuen Abo wieder da sind. Hat sich in einer Familie ohne Abo 12 Monate lang niemand angemeldet, löschen wir die Familie mit allen Inhalten; 30 und 7 Tage vorher kündigen wir das allen Erwachsenen mit Konto per E-Mail an. Bis dahin gehen Export und Löschen jederzeit.
• Löscht eine Person ihr Konto und die Familie bleibt bestehen, gehen ihr Profil und ihre privaten Einträge in den Papierkorb und sind nach 30 Tagen endgültig gelöscht. Gemeinsame Einträge, die sie erfasst hat, bleiben der Familie.
• Verlauf: 180 Tage. Mitteilungsprotokoll: 120 Tage. Zuordnung von Artikelnamen für die KI-Funktionen: 180 Tage. Zählung der KI-Nutzung: 13 Monate. Messung des Einstiegs: 12 Monate. Protokolle mit IP-Adressen bei unseren Dienstleistern: 7 bis 30 Tage (siehe «Dienstleister»).
• Eine Einladung gilt 14 Tage; ihr Protokoll wird 90 Tage nach Gebrauch oder Ablauf gelöscht.
• Anonyme Anmeldungen ohne Familie löschen wir nach 7 Tagen. Anonyme Familien ohne Konto und ohne Abo löschen wir, wenn sich 30 Tage lang kein Gerät gemeldet hat.
• Löscht eine Familie ihre Daten, löschen wir auch ihren Kunden bei RevenueCat. Kaufdaten bei Apple und Google bewahren diese nach ihren eigenen Bestimmungen auf.

Nutzerinnen und Nutzer haben das Recht auf Auskunft über ihre Personendaten sowie auf Berichtigung, Löschung, Einschränkung der Bearbeitung, Widerspruch und Datenübertragbarkeit. Vieles davon geht direkt in Beeside:

• Export: In den Einstellungen als Datei (JSON), die sich auch zu einem anderen Dienst mitnehmen lässt.
• Berichtigung: Angaben und Einträge lassen sich in der App jederzeit ändern.
• Löschung: Einträge und das ganze Konto lassen sich in der App und im Web löschen (siehe «Aufbewahrung und Löschung»).

Für alle anderen Anliegen genügt eine E-Mail an hello@getbeeside.com. Eine Einwilligung, etwa für Mitteilungen, lässt sich jederzeit mit Wirkung für die Zukunft widerrufen.

Beschwerden sind beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) möglich, in der EU bei einer Datenschutz-Aufsichtsbehörde, etwa im Land des Wohnsitzes.

Ein Konto können nur Erwachsene anlegen, ab 18 Jahren. Kinder haben in Beeside kein eigenes Konto. Eltern legen Profile für ihre Kinder an und entscheiden, welche Angaben sie dazu erfassen.

Eltern können das Gerät eines Kindes koppeln. Es zeigt dann nur Ämtli, Sterne und Belohnungen und übermittelt nur, was das Kind dort antippt, etwa ein erledigtes Ämtli oder eine eingelöste Belohnung. Nichts davon geht an einen KI-Dienst, und für Kinder gibt es keinen Kauf in der App.

Wer Angaben über andere Personen erfasst, etwa Geburtstage im Verwandtenkreis oder Namen in Terminen, darf das nur, soweit er dazu berechtigt ist. Wir bearbeiten diese Angaben nur, um der Familie Beeside bereitzustellen. Die betroffenen Personen informieren wir nicht einzeln, weil wir sie nicht kennen und das nur mit unverhältnismässigem Aufwand ginge. Sparsam geht es auch: Geburtstage lassen sich ohne Jahr erfassen.

Zum Schutz der Daten gehören unter anderem:

• verschlüsselte Übertragung (TLS) bei jeder Verbindung
• Zeilenrechte in der Datenbank, damit jede Familie nur ihre eigenen Daten sieht
• private Einträge, die nur die Person selbst sieht
• der Ende-zu-Ende verschlüsselte Schlüsselbund
• PINs sowie Einladungs- und Kopplungscodes, die nur als Hash gespeichert werden

Wir passen diese Datenschutzerklärung an, wenn sich Beeside oder die Rechtslage ändert. Es gilt die hier veröffentlichte Fassung; das Datum oben zeigt ihren Stand. Über wesentliche Änderungen informieren wir in geeigneter Form.

Fragen zum Datenschutz und Anfragen zu den eigenen Rechten: hello@getbeeside.com. Postadresse: Aiconic Studio Bingesser, Ramin Bingesser, Neuhusweg 4, 6205 Eich, Schweiz.