← Zur Startseite

Datenschutzerklärung

Stand: 11. Oktober 2026

Kira ist ein Lernbegleiter für Kinder. Deshalb gehen wir mit Daten besonders sparsam um: Wir fragen nur das Geburtsjahr statt des Geburtsdatums, nutzen einen frei wählbaren Spitznamen statt des Klarnamens, und Kinder brauchen kein eigenes Konto bei uns. Diese Erklärung zeigt, was wir verarbeiten, warum und wie lange.

1. Verantwortlicher

Cool Services GmbH (KI Schmiede Stuttgart)
Breitwiesenstraße 13, 70565 Stuttgart
E-Mail: datenschutz@ki-schmiede-stuttgart.de

2. Wer was bei Kira tut

Vertragspartner sind die Eltern bzw. Erziehungsberechtigten. Sie legen das Konto und das Profil des Kindes an und willigen in die Verarbeitung der Daten des Kindes ein. Das Kind schreibt anschließend aus seinem Messenger (Telegram, Threema oder WhatsApp) an Kira.

3. Welche Daten wir verarbeiten

3.1 Elternkonto

  • Name, E-Mail-Adresse und – bei Anmeldung mit Passwort – ein Passwort-Hash (scrypt, nicht umkehrbar).
  • Bei Anmeldung mit Google: die von Google übermittelten Angaben (Name, E-Mail).
  • Sitzungsdaten, um Sie angemeldet zu halten. Fehlversuche bei der Anmeldung zählen wir pseudonymisiert (HMAC), um Missbrauch abzuwehren.

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), Sicherheit (lit. f).

3.2 Profil des Kindes

  • Spitzname, Geburtsjahr, Geschlecht (für die richtige Anrede), Englisch-Niveau, Hobbys.
  • Geschichten-Vorlieben: Genres, Tonfall, Lieblingstitel, Heldenname, ausgeschlossene Themen.
  • Name und Figur des Begleiters, gewählter Messenger, Einstellungen zu Nachrichten von Kira.
  • Optional: Termine, damit Kira zum passenden Zeitpunkt anschreibt.

Rechtsgrundlage: Einwilligung der Erziehungsberechtigten (Art. 6 Abs. 1 lit. a, Art. 8 DSGVO) und Vertragserfüllung. Den Nachweis der Einwilligung speichern wir mit Zeitpunkt; die IP-Adresse nur als Hash.

3.3 Gespräche

Nachrichten des Kindes und Kiras Antworten (auch Sprachnachrichten als Text) werden verschlüsselt gespeichert und nach 180 Tagen gelöscht. Eltern sehen in der App Anzahlen und Aktivität, nicht den Wortlaut der Gespräche. Zusätzlich erfassen wir je Nachricht das verwendete Modell, den Tokenverbrauch und die Kosten, um das Tagesbudget einzuhalten.

Rechtsgrundlage: Vertragserfüllung und Einwilligung der Erziehungsberechtigten.

3.4 Sorgen-Signal

Deutet ein Gespräch auf eine ernste Belastung des Kindes hin, hinterlegt Kira eine Meldung für die Eltern mit einem kurzen, verschlüsselten Auszug. Quittierte Meldungen löschen wir 365 Tage nach der Quittierung; Eltern können sie jederzeit selbst löschen. Der Hinweis an das Kind stammt aus einer festen Vorlage, nicht aus dem Sprachmodell.

Rechtsgrundlage: Schutz lebenswichtiger Interessen und berechtigtes Interesse am Kinderschutz (Art. 6 Abs. 1 lit. d, f DSGVO) sowie Einwilligung.

3.5 Messenger-Verknüpfung

Zur Zuordnung speichern wir die Kennung des Kindes im gewählten Messenger (z. B. Telegram-ID oder Telefonnummer bei WhatsApp). Verknüpfungslinks gelten 30 Minuten, sind nur einmal nutzbar und werden bei uns nur als Hash gespeichert.

3.6 Rückmeldeknopf

Senden Sie Feedback oder eine Fehlermeldung, legen wir daraus ein Ticket in unserem GitLab an. Es enthält Ihren Text, technische Angaben (Browser, bereinigter Seitenpfad) und Ihre Konto-ID – nicht Ihren Namen, Ihre E-Mail oder Gesprächsinhalte. Was gesendet wird, sehen Sie vor dem Absenden.

3.7 Server-Logdateien und Cookies

Beim Aufruf der Seiten fallen technisch notwendige Serverlogs an (IP-Adresse, Zeitpunkt, aufgerufene Seite). Wir setzen ausschließlich technisch notwendige Cookies für die Anmeldung. Es gibt keine Tracking-, Analyse- oder Werbe-Cookies und keine Weitergabe an Werbenetzwerke. Schriften werden von unserem eigenen Server ausgeliefert.

4. Empfänger und Dienstleister

Mit Dienstleistern, die in unserem Auftrag Daten verarbeiten, bestehen Verträge zur Auftragsverarbeitung (Art. 28 DSGVO). Werden Daten in Länder außerhalb der EU übermittelt, stützen wir uns auf Angemessenheitsbeschlüsse oder Standardvertragsklauseln.

  • Sprachmodelle über OpenRouter: Erzeugung von Kiras Antworten und Geschichten. Übermittelt werden der Gesprächsverlauf in Auszügen und das Profil des Kindes (Spitzname, Alter, Hobbys, Vorlieben), keine E-Mail-Adressen oder Klarnamen. Wir nutzen Modelle ohne Datenspeicherung und ohne Training mit Ihren Daten.
  • OpenAI: Umwandlung von Sprachnachrichten in Text und Prüfung von Nachrichten auf unangemessene Inhalte (Moderation), jeweils vor und nach der Antwort.
  • Messenger: Telegram, Threema und WhatsApp (Meta) transportieren die Nachrichten. Für die Nutzung des Messengers durch das Kind gelten deren eigene Datenschutzbestimmungen. WhatsApp erlaubt Kira außerhalb von 24 Stunden nach der letzten Nachricht des Kindes nur vorab genehmigte Vorlagen.
  • Google: Anmeldung (nur Name und E-Mail) und – nur auf Ihren Wunsch – lesender Zugriff auf Ihren Kalender (calendar.events.readonly), um Termine für proaktive Nachrichten zu erkennen. Den Zugriff können Sie jederzeit widerrufen.
  • Zahlungsabwicklung (Stripe) und Rechnungsstellung: sobald kostenpflichtige Tarife gebucht werden. Dazu gehören Name, Anschrift und E-Mail für die Rechnung. Kinderdaten und Gesprächsinhalte gehen dabei nie an Zahlungs- oder Rechnungssysteme.
  • GitLab (von uns betrieben): Tickets aus dem Rückmeldeknopf, siehe 3.6.

Die Anwendung und ihre Datenbank werden auf von uns verwalteten Servern betrieben. Eine Weitergabe an sonstige Dritte erfolgt nur, wenn wir dazu gesetzlich verpflichtet sind.

5. Speicherdauer

  • Gespräche: 180 Tage.
  • Sorgen-Meldungen: 365 Tage nach Quittierung.
  • Verknüpfungslinks: spätestens 30 Tage.
  • Kinderprofil: bis zur Löschung durch die Eltern; dann sofort. Der Einwilligungsnachweis bleibt als Nachweis erhalten.
  • Elternkonto: bis zur Löschung durch Sie (jederzeit unter „Konto“); dann endgültig inklusive aller Kinderdaten.
  • Rechnungsdaten: so lange das Steuer- und Handelsrecht es verlangt (derzeit 8 Jahre).
  • Backups können gelöschte Daten bis zu ihrer Rotation noch kurz enthalten.

6. Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO). In der App können Sie Daten selbst exportieren (JSON), Kinderprofile und Ihr Konto löschen. Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Wenden Sie sich dazu an datenschutz@ki-schmiede-stuttgart.de.

Beschwerden richten Sie an die zuständige Aufsichtsbehörde: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, https://www.baden-wuerttemberg.datenschutz.de.

7. Künstliche Intelligenz

Kira ist ein KI-System, kein Mensch. Antworten können Fehler enthalten. Es gibt keine automatisierten Entscheidungen mit rechtlicher Wirkung (Art. 22 DSGVO). Ein Sorgen-Signal ersetzt weder Aufmerksamkeit der Eltern noch professionelle Hilfe.

8. Datensicherheit

Gespräche und Meldungsauszüge sind ruhend verschlüsselt (AES-256-GCM), Zugangstoken ebenfalls. Die Übertragung erfolgt per TLS. Zugriff auf Kinderdaten ist strikt auf das jeweilige Elternkonto begrenzt; unsere Administration sieht nur Zählwerte, keine Inhalte.

9. Änderungen

Wir passen diese Erklärung an, wenn sich Funktionen oder Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung.