Datenschutzerklärung zu Lumi und der Lumi-App

Verantwortlicher

Daniel Alisch, Zum Weizenring 1, 14469 Potsdam, E-Mail: daniel.alisch@me.com

Kurzfassung

Die Lumi-App hat kein Benutzerkonto, keine Werbung und keine Analyse- oder Tracking-Werkzeuge. Sie spricht mit deinem Lumi im eigenen WLAN, verschlüsselt per TLS, oder per Bluetooth. Ins Internet geht die App nur für die Ortssuche beim Wetter (über Apple), für die Liste und das Laden gemeinfreier Hörgeschichten von unserem Server (nur, wenn du im Elternbereich „Geschichten“ öffnest oder eine Geschichte lädst) und für Käufe im App Store (nur, wenn du ein Abo abschließt oder Minuten für Lumi Plus nachkaufst). Die App nutzt keine Kamera. Das Mikrofon des iPhones nutzt sie nur mit deiner Zustimmung und Erlaubnis, und nur zum Aufnehmen eigener Geschichten im Elternbereich. Was Lumi speichert, bleibt auf Lumi, und was die App speichert, bleibt auf deinem iPhone, auch eigene Aufnahmen und Geschichten.

Ins Internet geht Lumi für Gespräche (nur nach Tastendruck) über den Sprachagenten unseres Kontos bei ElevenLabs oder, beim Prototyp Lumi Plus, über unseren eigenen Server, für das Wetter bei Open-Meteo (nur, wenn du einen Ort eingestellt hast) und für die Uhrzeit. Lumi Plus ist ab Werk aus und lässt sich nur mit Einwilligung der Eltern einschalten. Personenbezogene Daten verarbeiten wir bei Gesprächen (über ElevenLabs bzw. bei Lumi Plus über unseren Server und die dort genannten KI-Dienste; unser Server speichert über dein Lumi nur Zahlen und Kennungen, keinen Ton und keine Worte deines Kindes), bei Abo und Käufen und wenn du dich freiwillig für die Lumi-Warteliste einträgst (siehe unten).

Verbindung zwischen App und Lumi

Im WLAN sucht die App Lumi über Bonjour (Dienst „_lumi._tcp“); iOS fragt dafür einmal nach der Erlaubnis „Lokales Netzwerk“. Lumi nennt dabei im Heimnetz seine Gerätekennung, damit die App ihren Lumi erkennt. Ohne WLAN verbindet sie sich per Bluetooth (siehe nächster Abschnitt). Gekoppelt wird mit einem sechsstelligen Code, den Lumi auf seinem Display zeigt. Er gilt zwei Minuten und für höchstens drei Versuche, danach verfällt er. Jeder Code, der nicht zu einer Kopplung führt, verlängert die Wartezeit bis zum nächsten (10 Sekunden, 1, 5 und 15 Minuten, 1 und 4 Stunden, danach 12 Stunden). Diese Sperre übersteht Tiefschlaf und Updates; sie endet mit der nächsten gelungenen Kopplung, einer angenommenen Einladung oder wenn jemand Lumi von Hand aus- und wieder einschaltet.

Nach der Kopplung erhält die App einen Zugangsschlüssel, den sie in der iOS-Schlüsselbundverwaltung (Keychain) ablegt, nur auf diesem iPhone und ohne Abgleich über die iCloud. Jede Anfrage an Lumi trägt diesen Schlüssel, ohne ihn lehnt Lumi ab. Ausnahme ist nur die Einrichtung eines WLANs ohne App (siehe nächster Abschnitt).

Seit Firmware 1.29 und App 1.19 ist die Verbindung im WLAN mit TLS 1.2 verschlüsselt. Lumi erzeugt dafür beim ersten Start einen eigenen Schlüssel und ein selbst signiertes Zertifikat. Beim Koppeln merkt sich die App einen Prüfwert seines öffentlichen Schlüssels (SHA-256, „Pin“) in ihren App-Daten auf dem iPhone und nimmt danach nur noch genau diesen Schlüssel an; ein anderer Schlüssel führt nicht zur Verbindung, sondern zum Hinweis, Lumi neu zu koppeln. Am sichersten ist das erste Koppeln per Bluetooth; beim allerersten Koppeln im WLAN vertraut die App dem Schlüssel, den Lumi in derselben verschlüsselten Verbindung zeigt. Unverschlüsselt antwortet Lumi nur noch, bis gekoppelte iPhones nach dem Update auf TLS umgestiegen sind, oder wenn die Eltern das für eine ältere App ausdrücklich erlauben. Die Verbindung bleibt in deinem Heimnetz.

Updates für Lumi liegen der App bei und werden in Stücken direkt im WLAN übertragen, ohne Download-Server. Die Firmware ist digital signiert: Lumi nimmt nur Firmware mit passender Signatur und keine ältere Version an; sein Sprachpaket prüft er mit einer Prüfsumme. „Von Lumi entkoppeln“ in den Einstellungen löscht Schlüssel, Pin, Adresse und Gerätekennung von Lumi aus der App.

Bluetooth und Einrichtung

Findet Lumi kein bekanntes WLAN (etwa im Auto oder im Urlaub) oder wird er zum ersten Mal eingerichtet, schaltet er Bluetooth ein; WLAN und Bluetooth laufen bei ihm nie gleichzeitig. Dabei macht er sich nur mit seinem Namen „Lumi-XXXX“ und einer Dienstkennung bemerkbar. Die App nutzt Bluetooth, um Lumi ohne WLAN zu erreichen und ihm bei der Einrichtung dein WLAN zu geben; iOS fragt dafür einmal nach der Erlaubnis „Bluetooth“.

Über Bluetooth laufen dieselben Anfragen wie im WLAN, mit demselben Zugangsschlüssel; Updates gibt es nur im WLAN, und Gespräche brauchen eine Internetverbindung über WLAN. Die Bluetooth-Verbindung ist verschlüsselt und bestätigt (Bluetooth LE Secure Connections mit Code): Beim ersten Mal zeigt Lumi einen sechsstelligen Bluetooth-Code, den du in die Abfrage des iPhones eingibst. Lumi merkt sich diese Kopplung für bis zu vier iPhones; eine Kopplung ohne Code nimmt er nicht an. Zugangsschlüssel, WLAN-Passwörter und der ElevenLabs-Schlüssel gehen also nicht im Klartext durch die Luft.

Im Wechsel mit Bluetooth öffnet Lumi bei der Einrichtung und unterwegs für jeweils etwa 90 Sekunden ein eigenes Einrichtungs-WLAN „Lumi-XXXX“; Name und Passwort stehen dann auf seinem Display. Ohne Zugangsschlüssel lässt sich, über die Einrichtungsseite oder per Bluetooth, nur ein neues WLAN hinzufügen, und nur, solange Lumi in keinem WLAN ist und entweder noch ganz neu ist (in den ersten 10 Minuten nach dem Einschalten) oder jemand in den letzten 10 Minuten an Lumi die Ein/Aus-Taste 3 Sekunden gehalten hat. Ein bekanntes WLAN bekommt so kein neues Passwort, und die Kennung des Sprachagenten lässt sich ohne Schlüssel nicht ändern. Lumi merkt sich bis zu drei WLANs. WLAN-Passwörter speichert er nur bei sich und gibt sie nie heraus; die App sieht nur die Namen der WLANs.

Weitere iPhones und Familie

Ein gekoppeltes iPhone kann im Elternbereich unter „Zweites Elternteil“ weitere iPhones einladen, insgesamt bis zu vier. Die Einladung ist ein einmaliger Zufallscode, der 10 Minuten gilt und nach fünf falschen Versuchen verfällt. Die App zeigt ihn als QR-Code oder du schickst ihn als Link; er enthält nur diesen Code, Lumis Gerätekennung und seine Adresse im Heimnetz beziehungsweise seinen Bluetooth-Namen, keine Passwörter. Verschickst du den Link, läuft er über den Dienst, den du dafür wählst. Zum Annehmen eines Links liest die App die Zwischenablage nur, wenn du auf „Einfügen“ tippst.

Jedes iPhone bekommt seinen eigenen Zugangsschlüssel und lässt sich einzeln wieder entfernen (nur nicht von sich selbst aus). Lumi speichert dazu je iPhone den Schlüssel, eine zufällige Nummer, einen Namen und, außer beim ersten iPhone, den Zeitpunkt der Kopplung. Als Namen schickt die App den Gerätenamen, den iOS ihr gibt (meist nur „iPhone“), mit höchstens 24 Zeichen; beim Annehmen einer Einladung kannst du ihn selbst eintragen. Alle gekoppelten iPhones sehen dieselben Daten und können dieselben Einstellungen ändern.

Unter „Gruß an dein Kind“ schickst du Lumi einen Gruß: von wem (Mama, Papa, Oma, Opa oder Freund) und einen vorgegebenen Text wie „Gute Nacht“ oder einen eigenen Text mit höchstens 40 Zeichen. Der Gruß geht direkt von der App an Lumi, im WLAN oder per Bluetooth, nicht über das Internet. Lumi behält bis zu drei Grüße, zeigt sie beim nächsten Kontakt mit dem Kind als Karte auf dem Display (einen eigenen Text liest er nicht vor) und löscht sie danach.

„Diese Woche“ zeigt einen Wochenrückblick mit Gesprächsanlässen. Lumi zählt dafür je Tag Gesprächsminuten, Routinen, erledigte Aufgaben, Schul-Übungen, zu Ende gespielte eigene Spiele und angekommene Grüße (für diese Woche, von der Vorwoche bleiben die Summen) und nimmt Zahnputz-Tage und Gefühls-Check dazu. Die App zählt selbst, welche Handy-Spiele wie lange offen waren und welche Vorschul-Stationen neu geschafft wurden. Ohne gültige Uhrzeit zählt Lumi nichts. Auf Wunsch erinnert die App sonntags um 18:30 Uhr mit einer Mitteilung auf dem iPhone; dafür fragt iOS nach der Erlaubnis „Mitteilungen“.

Unter „Geburtstage“ trägst du Vorname, Tag und Monat ein. Sie liegen auf Lumi, zusammen mit Geburtstagen, die Lumi sich im Gespräch gemerkt hat (zusammen höchstens acht), und lassen sich in der App ändern und löschen. Welche Türchen des Adventskalenders schon offen sind, merkt sich Lumi.

Was auf Lumi gespeichert wird

Lumi speichert in seinem eigenen Speicher: die Einstellungen (zum Beispiel Lautstärke und Lautstärke-Obergrenze, Helligkeit, Ruhezeit, Gesprächslimit, Wecker mit Wochentagen und ob er sich am Gerät stellen lässt, Routinen, Lernzeit, Augenfarbe, Kostüm, Wetter-Ort, Sprache, ob ältere Apps unverschlüsselt verbinden dürfen), bis zu drei WLAN-Zugänge, das Passwort seines Einrichtungs-WLANs, die Kennung des Sprachagenten, Zugangsschlüssel, Nummern und Namen der gekoppelten iPhones, die Bluetooth-Kopplungen, den Zähler der Kopplungssperre, gegebenenfalls den ElevenLabs-Schlüssel, die Zahnputz-Woche (an welchen Tagen geputzt wurde, dazu die Zahl der Putztage), Sticker, Spiel-Rekorde (auch die Bestzeit beim Anziehen), die Gesprächsminuten des Tages, die Zähler des Wochenrückblicks, den Lernstand je Reise und die Übungen des Tages, wartende Grüße, geöffnete Adventstürchen, die Antworten des Gefühls-Checks der letzten 30 Tage, die Aufsteh-Ampel (Aufstehzeit und Tage), ob er andere Lumis begrüßt und wie empfindlich, welche Tricks er schon gelernt hat und die Zähler dafür (gemeinsames Zähneputzen, Übungen, Spiele, Routinen) sowie für Lumi Plus die Adresse des Servers, eine Gerätekennung, gegebenenfalls das Gerätetoken, ob Lumi Plus pausiert ist und die Einwilligung der Eltern (siehe „Einwilligung für Lumi Plus“).

Dazu kommen zwei eigene Schlüssel, die Lumi beim ersten Start erzeugt und nie herausgibt (einer für die verschlüsselte Verbindung im Heimnetz, einer für die Anmeldung bei Lumi Plus), bei Geräten aus der Serienfertigung ein Gerätezertifikat, und Lumis Gedächtnis: Vornamen von Kindern, kurze Notizen, die sich Lumi im Gespräch merkt, und Geburtstage (Vorname, Tag und Monat). Außerdem technische Angaben wie Lumis eigene Laune (mit dem Tag seiner ersten Inbetriebnahme und dem Zeitpunkt des letzten Kontakts), den Stand seiner Einführung, welche Szenen schon kamen, einen kurzen Fehlerbericht nach einem Absturz und, bis Lumi ganz ausgeschaltet wird, Zahlen zum letzten abgebrochenen Gespräch (siehe „Diagnose nach Gesprächsabbrüchen“).

Die App zeigt einen Teil davon an (zum Beispiel Akku, Zahnputz-Woche, Sticker, Gesprächsminuten, Gefühle der Woche). Diese Daten liegen weder beim Anbieter noch in einer Cloud. Die Sätze, die die App für Spiele und Schule an Lumi schickt, sind fertig vertonte Sätze aus dem App-Paket, keine Aufnahmen; Lumi hält sie nur im Arbeitsspeicher.

Steckt eine Speicherkarte mit Musik in Lumi, liest Lumi die MP3-Dateien nur selbst und spielt sie ab; Ordner- und Titelnamen zeigt er auf dem Display und gibt sie an die gekoppelte App weiter, damit du die Musik dort steuern kannst. Die Dateien werden weder hochgeladen noch kopiert.

Was die App auf deinem iPhone speichert

Die App speichert in ihren eigenen App-Daten auf deinem iPhone: Lumis Adresse im WLAN, seine Gerätekennung und seinen Bluetooth-Namen, den Pin seines TLS-Schlüssels, Lumis zuletzt bekannte Ruhezeit (damit die App nachts weiß, dass er schläft), den Namen des Kindes für die Übung „Mein Name“ (nur, wenn du ihn im Elternbereich einträgst), den Lernstand der Schule je Kind (Stationen und Sterne je Reise, was ein Kind schon kann, wiederholen soll und gern übt) und die Ergebnisse der letzten Nachhilfe-Stunden in Stichpunkten, den Wochenrückblick der App für diese und die letzte Woche (welche Handy-Spiele wie oft und wie lange gespielt wurden, Schul-Übungen und neue Stationen), Spielstände der Handy-Spiele (Rekorde je Spiel und Stufe, Fangbuch, Koch- und Backbuch, Lager von Küche und Restaurant, Stand von Baustelle und Lieferfahrt), Spiel-Einstellungen, welche Spiel-Erklärungen schon gezeigt wurden, die Lautstärke am iPhone, von wem dein letzter Gruß kam, ob die Sonntags-Erinnerung an ist, welche vertonten Sätze in welchem Spiel gebraucht werden (damit die App sie vorab an Lumi schickt), bei „Gefühle mit Lumi“ welche Einheit an welchem Tag ausprobiert wurde, den Einschlaf-Timer für Geschichten, die zuletzt geladene Liste der Hörgeschichten und die Hörgeschichten selbst (siehe „Hörgeschichten“).

Für Einwilligungen und Abo kommen hinzu: der Nachweis deiner Einwilligungen (siehe „Einwilligungen im Elternbereich“) mit einer zufälligen Kennung dieser App-Installation, für Lumi Plus eine zufällige Abo-Kennung je Lumi (appAccountToken, siehe „Abo und Minuten“), welche Käufe schon an Lumi übergeben wurden und ob ein Löschauftrag an den Server noch nachzuholen ist.

Der Name des Kindes bleibt in der App und geht nicht an Lumi; nur wenn du ihn unter „Geburtstage“ übernimmst und speicherst, kennt Lumi ihn für den Geburtstag. Die geschafften Übungen meldet die App an Lumi, damit er die Lernzeit kennt. Für Lumis Lernspiel gibt die App ihm einen kleinen Spielplan (welche Stationen dran sind), und Lumi meldet je Runde zurück, ob der erste Tipp stimmte, ohne Namen, nur im Arbeitsspeicher, höchstens 24 Stunden. Der Lernstand der Schule bleibt auf deinem iPhone, im Kinderprofil, und wird nie gesendet. An Lumi geht höchstens ein kurzer Hinweis in Worten ohne Namen (zum Beispiel „übt gerade Plus bis 20“); Lumi hält ihn nur im Arbeitsspeicher, höchstens 24 Stunden, schreibt ihn nicht ins Protokoll und gibt ihn zu Beginn eines Gesprächs an Lumi Plus weiter, der Server speichert ihn nicht. Du kannst den Hinweis je Kind abschalten. Bei „Mit Lumi üben“ schickt die App Lumi den Plan der Stunde und holt danach die Ergebnisse ab; die Stunde wird nicht mitgeschnitten. Den Lernstand löschst du im Kinderprofil. Den Zugangsschlüssel zu Lumi und den Elternschutz legt die App im Schlüsselbund ab (siehe oben und unten). Nichts davon geht an den Anbieter oder in eine Cloud des Anbieters; wie alle App-Daten können diese Angaben in deinem eigenen iPhone-Backup enthalten sein, die Hörgeschichten und ihre Liste ausdrücklich nicht. „Lernstand zurücksetzen“ löscht den Vorschul-Stand (auch auf Lumi), und wenn du die App löschst, entfernt iOS ihre App-Daten.

Elternbereich: PIN und Face ID

Die App ist in einen Kinderbereich (Spiele, Schule, Gefühle, Geschichten, Musik, Sticker) und einen Elternbereich mit allen Einstellungen geteilt. Den Elternbereich öffnest du mit Face ID (beziehungsweise Touch ID) oder mit einer PIN aus 4 bis 6 Ziffern. Face ID prüft das iPhone selbst; die App erfährt nur, ob es geklappt hat, und bekommt keine Gesichtsdaten. iOS fragt dafür einmal nach der Erlaubnis „Face ID“.

Die PIN selbst wird nie gespeichert. Im Schlüsselbund liegen nur ein daraus abgeleiteter Prüfwert (PBKDF2-SHA256 mit Zufallswert) und ein Zähler der Fehlversuche, beide nur auf diesem iPhone, nur bei entsperrtem iPhone lesbar und ohne Abgleich über die iCloud. Nach fünf falschen PINs ist die Eingabe kurz gesperrt (30 Sekunden, bei weiteren Fehlversuchen länger, bis zu 5 Minuten). „PIN vergessen?“ setzt den Elternschutz nur zurück, wenn sich der Besitzer des iPhones mit dem Gerätecode oder mit Face ID beziehungsweise Touch ID des iPhones ausweist.

Einwilligungen im Elternbereich

Für Lumi Plus und für das Aufnehmen eigener Geschichten fragt die App im Elternbereich zuerst nach deiner Zustimmung, bevor sie die Funktion einschaltet beziehungsweise bevor iOS nach dem Mikrofon fragt. Die Hinweise kommen aus einem festen Text mit Fassungsnummer; nichts ist vorausgewählt, und „Nicht jetzt“ ist so leicht erreichbar wie „Zustimmen“. Unter Hilfe → Einwilligungen siehst du, was du erlaubt hast, und kannst es widerrufen.

Auf dem iPhone hält die App jedes Ereignis (erteilt, pausiert, widerrufen) als Nachweis in ihren App-Daten fest: welche Einwilligung, Fassung und Sprache des Textes, einen Prüfwert über den gezeigten Wortlaut (SHA-256), die angehakten Bestätigungen, den Zeitpunkt, Lumis Gerätekennung, eine zufällige Kennung dieser App-Installation und ob der Elternbereich mit Face ID oder PIN geöffnet war. Der Nachweis bleibt, bis du die App löschst, und kann wie alle App-Daten in deinem iPhone-Backup enthalten sein. Ändert sich der Text wesentlich (neue Hauptfassung, etwa bei einem neuen Dienst), fragt die App erneut, und Lumi Plus bleibt bis dahin pausiert. Bei einer Korrektur ohne neuen Dienst, neue Datenart oder neuen Zweck (neue Nebenfassung, derzeit 1.1.0) zeigt die App nur einen Hinweis und fragt nicht erneut.

Widerrufst du die Zustimmung zu eigenen Aufnahmen, löscht die App alle selbst aufgenommenen Geschichten auf diesem iPhone. Die Erlaubnis für das Mikrofon nimmst du zusätzlich in den iPhone-Einstellungen unter „Lumi“ zurück.

Einwilligung für Lumi Plus

Lumi Plus ist ab Werk aus. Einschalten lässt es sich nur im Elternbereich nach deiner Einwilligung in die Verarbeitung von Sprache und Äußerungen deines Kindes und von Lumis Gedächtnis durch die genannten KI-Dienste in den USA, mit einer eigenen, ausdrücklichen Bestätigung für Angaben zu Gesundheit, Religion oder Familie, die dein Kind von sich aus erzählt, und der Bestätigung, dass du sorgeberechtigt bist oder mit Zustimmung der sorgeberechtigten Person handelst. Die App schickt die Einwilligung an Lumi. Lumi speichert Fassung, Umfang, den Prüfwert des Textes und den Zeitpunkt und schaltet Lumi Plus nur mit gespeicherter Einwilligung ein; ein zweites Elternteil kann Lumi Plus mit derselben Einwilligung wieder einschalten.

An unseren Server gibt Lumi nur die Fassung und den Umfang der Einwilligung weiter, bei der Anmeldung oder vor dem nächsten Gespräch. Der Server speichert dazu den Zeitpunkt des Eingangs beim Gerät, bis du die Daten auf dem Server löschst; danach liegt dort kein Nachweis mehr. Der Prüfwert des Textes und dein Zeitpunkt bleiben auf Lumi und auf dem iPhone. Die verlangte Mindestfassung ist 1.0.0. Derzeit prüft Lumi selbst, dass eine Einwilligung vorliegt; die zusätzliche Prüfung auf dem Server, die Gespräche ohne passende Einwilligung ablehnt, ist noch nicht eingeschaltet. Lumis, die vor Firmware 1.29 schon bei Lumi Plus angemeldet waren, sprechen bis zur ersten Einwilligung aus der App weiter wie bisher; die App weist dann darauf hin, dass die Zustimmung auf diesem iPhone fehlt.

Ausschalten im Elternbereich lässt dir die Wahl: „Nur pausieren“ schaltet Lumi Plus aus, der Server bekommt dann nichts mehr von Lumi, die Zahlen auf dem Server bleiben bis zu ihren Löschfristen, und du kannst ohne neue Zustimmung wieder einschalten. „Zustimmung widerrufen und Daten löschen“ schaltet Lumi Plus aus, löscht die Einwilligung auf Lumi und alle Daten zu deinem Lumi auf dem Server (Gerät samt Einwilligung, Gespräche, Monatssummen); zum Wiedereinschalten musst du erneut zustimmen. Erreicht Lumi den Server gerade nicht, holt die App das Löschen beim nächsten Öffnen von „Lumi Plus“ nach. Ein Abo kündigst du getrennt davon in den Einstellungen deines iPhones. Was bis zum Widerruf geschehen ist, bleibt rechtmäßig.

Hörgeschichten

Im Elternbereich unter „Geschichten“ kannst du gemeinfreie Hörgeschichten laden, Geschichten selbst aufnehmen und Audiodateien (MP3, M4A oder WAV) aus der Dateien-App importieren. Die Liste und die Dateien der gemeinfreien Geschichten lädt die App von unserem Server (lumi.daniel-alisch.site), ohne Konto, ohne Cookies und ohne Gerätekennung. Der Server holt die Aufnahmen, derzeit zwölf Märchen der Brüder Grimm von LibriVox, selbst bei archive.org, prüft ihre Lizenz (gemeinfrei oder eine freie Lizenz mit Namensnennung, die die App dann anzeigt) und liefert sie mit Prüfsumme aus; die App fragt archive.org nicht direkt. Unser Server sieht dabei wie bei jedem Abruf die IP-Adresse deines Internetanschlusses; er zählt Abrufe je IP-Adresse nur im Arbeitsspeicher, um Missbrauch zu begrenzen, und sein Zugriffsprotokoll enthält keine IP-Adressen und wird nach 7 Tagen gelöscht.

Zum Aufnehmen nutzt die App das Mikrofon des iPhones, nur auf der Seite „Geschichte aufnehmen“ im Elternbereich und nur zwischen „Aufnehmen“ und „Stopp“; vor der ersten Aufnahme fragt die App nach deiner Zustimmung (siehe „Einwilligungen im Elternbereich“), danach iOS nach der Erlaubnis „Mikrofon“. Eine Aufnahme dauert höchstens 30 Minuten. Eine importierte Datei kopiert die App, das Original bleibt, wo es ist. Aufnahmen, importierte und geladene Geschichten liegen mit Titel und Länge nur in den App-Daten auf diesem iPhone, nicht in der iCloud und nicht im Backup; wenn du die App löschst, sind sie weg. Kürzen, Umbenennen und Löschen geht im Elternbereich.

Zum Abspielen rechnet die App die Geschichte auf dem iPhone um und schickt den Ton Stück für Stück im Heim-WLAN an Lumi, verschlüsselt und mit demselben Zugangsschlüssel wie alle Anfragen; per Bluetooth geht das nicht. Lumi bekommt dazu den Titel und zeigt ihn klein auf seinem Display. Er hält immer nur die nächsten Sekunden im Arbeitsspeicher und speichert weder Ton noch Titel. Im Kinderbereich kann dein Kind die Geschichten auf dem iPhone nur abspielen, nicht laden, aufnehmen oder löschen.

Keine Kamera

Die Lumi-App nutzt die Kamera des iPhones nicht. Sie fragt nie nach der Erlaubnis „Kamera“, macht keine Fotos und liest keine QR-Codes. Lumi selbst hat ebenfalls keine Kamera.

Gespräche über ElevenLabs

Mit Lumi sprechen kann man nur, nachdem jemand Lumis Taste gedrückt oder in seinem Menü auf „Sprechen“ getippt hat; ein Aktivierungswort gibt es nicht. Ohne Gespräch misst das Mikrofon nur die Lautstärke auf dem Gerät (etwa für Klatsch-Spiele), es wird nichts gesendet. Ohne Lumi Plus (siehe unten) geht die Sprache während eines Gesprächs direkt von Lumi zum Sprachagenten unseres Kontos beim Sprachdienst ElevenLabs (Eleven Labs Inc., USA) und die Antwort zurück; ElevenLabs verarbeitet sie dabei als unser Dienstleister. Zu Beginn jedes Gesprächs erhält der Sprachagent Lumis Gedächtnis (Vornamen, Notizen, Geburtstage) als Hintergrund, damit Lumi die Kinder wiedererkennt, dazu Wochentag und Uhrzeit, den Beginn von Lumis Schlafenszeit, den Akkustand, Lumis eigene Laune und gegebenenfalls, wer heute Geburtstag hat.

Ein Gespräch endet nach etwa 20 bis 25 Sekunden Stille, wenn sich das Kind verabschiedet, und spätestens nach 10 Minuten. Ist das Tageslimit erreicht, beginnt Lumi kein neues Gespräch mehr; ein laufendes Gespräch endet wie oben beschrieben. Das Tageslimit stellen die Eltern in der App ein: Standard sind 30 Minuten am Tag, möglich sind 0 bis 240 Minuten, wobei 0 „kein Limit“ bedeutet; ohne gültige Uhrzeit kann Lumi das Limit nicht zählen. Solange ein Gespräch läuft, zeigt Lumi klein „KI“ am Rand seines Displays; das gilt auch für Lumi Plus.

Für Gespräche über den Sprachagenten braucht Lumi einen ElevenLabs-Schlüssel, den die Eltern in der App eintragen. Die App reicht ihn nur an Lumi weiter und behält ihn nicht; Lumi gibt ihn nie wieder heraus, die App sieht nur die letzten vier Zeichen. Vor jedem Gespräch holt Lumi damit bei ElevenLabs eine kurz gültige Freigabe; ohne sie nimmt der Sprachagent kein Gespräch an. Wir legen den Sprachagenten mit den Einstellungen an, dass keine Tonaufnahmen der Gespräche gespeichert und die Gesprächsdaten (Abschrift) nach einem Tag gelöscht werden. ElevenLabs kann Daten nach seinen Bedingungen darüber hinaus zeitweise aufbewahren, etwa zur Missbrauchsprüfung, und nutzt Daten aus Konten wie unserem nach seinen Bedingungen auch zur Verbesserung seiner Modelle, solange dies im Konto nicht abgeschaltet ist. Siehe auch „Dienstleister und Übermittlung in die USA“.

Die App zeigt keine Mitschnitte oder Abschriften von Gesprächen an und speichert keine; sie zeigt nur die Gesprächsminuten. Der Sprachagent ist angewiesen, Kinder nie nach Nachnamen, Adresse, Schule, Telefonnummer oder Passwörtern zu fragen und solche Angaben nicht zu speichern. Rechtsgrundlage ist die Einwilligung der Eltern (Art. 6 Abs. 1 lit. a, Art. 8 DSGVO), die sie mit dem Eintragen des Schlüssels geben; eine eigene Einwilligungsabfrage wie bei Lumi Plus gibt es für den Sprachagenten in der App nicht.

Lumi Plus (Prototyp): Gespräche über unseren Server

Lumi Plus ist ein Prototyp, bei dem Lumi freie Gespräche über einen eigenen Server des Anbieters führt statt über den Sprachagenten von ElevenLabs. Lumi nutzt ihn nur, wenn eine Einwilligung der Eltern gespeichert ist oder er ein Bestandsgerät ist (siehe „Einwilligung für Lumi Plus“), Lumi Plus nicht pausiert ist und Lumi ein Gerätetoken dieses Servers hat; sonst laufen Gespräche wie im vorigen Abschnitt beschrieben, sofern ein ElevenLabs-Schlüssel eingetragen ist. Ein Gerätetoken bekommt Lumi, wenn du in der App ein Abo abschließt (siehe „Abo und Minuten“), oder bei Geräten aus der Serienfertigung mit einem Gerätezertifikat. Die Firmware, die die App mitbringt, enthält keinen gemeinsamen Anmeldeschlüssel. Das Token speichert nur Lumi, er gibt es nie heraus; die App sieht nur die letzten vier Zeichen. Der Server steht in Deutschland (Hosting bei STRATO), die Verbindung von Lumi zum Server ist per TLS verschlüsselt.

Beim Anmelden nennt Lumi eine Gerätekennung: eine Zufallszahl, die er selbst erzeugt hat, oder bei Geräten mit Gerätezertifikat einen Prüfwert, der aus der Hardware-Kennung des Chips abgeleitet ist. In diesem Fall speichert der Server zusätzlich die Seriennummer des Zertifikats und, damit Startminuten je Gerät nur einmal vergeben werden, den Prüfwert der Hardware-Kennung; dieser Eintrag bleibt auch nach dem Löschen ohne Bezug zu deinen übrigen Daten bestehen.

Im Gespräch geht die Sprache deines Kindes von Lumi an unseren Server und wird dort nur im Arbeitsspeicher verarbeitet: Der Ton geht zur Spracherkennung an ElevenLabs (Eleven Labs Inc., USA). Die erkannte Abschrift geht zusammen mit denselben Hintergrundangaben wie beim Sprachagenten (Lumis Gedächtnis, Wochentag und Uhrzeit, Akkustand, Laune und gegebenenfalls ein Geburtstag) als Text an ein Sprachmodell von OpenAI (USA), und Lumis Antwort geht zur Vertonung an ElevenLabs. An diese Dienste schickt der Server keine Gerätekennung und kein Token. OpenAI kann Anfragen nach seinen Regeln bis zu 30 Tage zur Missbrauchserkennung aufbewahren, ElevenLabs nach seinen eigenen Regeln. Der Gesprächsverlauf liegt auf dem Server nur während des Gesprächs im Arbeitsspeicher und wird beim Auflegen verworfen. Lumis Antworten werden vor der Vertonung gegen eine Wortliste geprüft. Beim Auflegen nennt Lumi dem Server den Grund (Stille, Zeitlimit oder Taste). Wechseln wir den Anbieter des Sprachmodells, passen wir diese Erklärung an und fragen dich erneut um Zustimmung.

Über dein Lumi speichert der Server keine Inhalte, sondern nur Zahlen und Kennungen: das Gerät (eine Bezeichnung wie „Lumi 1“, kein Name; die Gerätekennung; das Token nur als Prüfwert; Tarif, Art des Zugangs, seit wann Lumi angemeldet ist, wann er zuletzt verbunden war und bis wann der Zugang gilt; die Fassung der Einwilligung mit Zeitpunkt; bei einem Abo die Kennungen aus „Abo und Minuten“), je Gespräch Zeitpunkt, Dauer, Zahl der Wechsel, Sekunden der Spracherkennung, Umfang der Antwort, Zeichen der Vertonung, Treffer im Antwort-Speicher, Wartezeiten, Kosten, Grund des Endes und die Sekunden seit Lumis letztem Ton und seit der letzten Äußerung des Kindes beim Ende, außerdem Monatssummen. Für das Tagesbudget des Dienstes und die Auswertung zählt der Server Tagessummen und Wartezeiten ohne Bezug zu einem Gerät, darunter, wie oft die Wortliste angeschlagen hat. Nicht gespeichert werden der Ton deines Kindes, was dein Kind sagt (Abschriften), Namen, IP-Adressen und persönliche Antworten von Lumi.

Fehlversuche bei der Anmeldung zählt der Server je IP-Adresse nur im Arbeitsspeicher; das Protokoll des Webservers enthält keine IP-Adressen und wird nach 7 Tagen gelöscht. Das Anwendungsprotokoll des Servers enthält keine Inhalte und keine IP-Adressen, wohl aber die interne Nummer deines Geräts bei Ereignissen wie dem Beginn eines Gesprächs oder einer Diagnose (siehe unten). Für dieses Anwendungsprotokoll ist noch keine feste Löschfrist eingerichtet; es wird verworfen, wenn wir einen neuen Stand des Servers einspielen.

Dazu kommen zwei gemeinsame Speicher, damit Lumi schneller antwortet: Einige allgemeine Antworten von Lumi, zum Beispiel warum der Himmel blau ist, bewahrt der Server mit einer neutral formulierten allgemeinen Frage als Ton und Text auf (Antwort-Speicher), kurze allgemeine Sätze wie „Super Idee!“ als Ton und Text (Satz-Speicher). Was dein Kind gesagt hat, kommt dort nie hinein, ebenso wenig Namen, Ziffern, Inhalte aus Lumis Gedächtnis oder persönliche Antworten, und der Antwort-Speicher hat keinen Bezug zu einem Lumi. Ein neuer Satz im Satz-Speicher gilt zunächst nur für das Lumi, bei dem er entstand, und ist so lange über die interne Nummer dieses Lumis zugeordnet; erst wenn ein zweites Lumi denselben Satz selbst erzeugt, gilt er für alle und der Bezug wird gelöscht. Sätze, die kein zweites Lumi sagt, löscht der Server nach 30 Tagen. Sind mehrere Lumis aktiv, werden neue Einträge im Antwort-Speicher erst nach einer Sichtung durch uns verwendet.

Bevor etwas in diese Speicher kommt, prüfen Regeln und das Sprachmodell von OpenAI, ob es allgemein ist (dafür gehen Frage und Antwort als Text an OpenAI); zusätzlich bewertet ein kleines Sprachmodell auf einem weiteren eigenen Server, ob ein Satz im Zusammenhang etwas Persönliches verrät. Dafür gehen Lumis Satz, die Äußerung deines Kindes und Lumis Gedächtnis als Text über eine verschlüsselte Verbindung (SSH) dorthin; das Modell verarbeitet sie nur im Arbeitsspeicher, speichert nichts und schreibt kein Protokoll. Im Zweifel wird nichts gespeichert.

Einzelne Gespräche löscht der Server nach 90 Tagen, Monats- und Tagessummen nach 400 Tagen, jeweils automatisch; das Gerät bleibt gespeichert, bis du die Daten löschst, auch nach dem Ende eines Abos (eine automatische Löschung nach Abo-Ende gibt es derzeit nicht). Im Elternbereich unter „Lumi Plus“ siehst du, was über dein Lumi gespeichert ist; die App fragt dafür über Lumi beim Server nach und kennt das Token selbst nicht. „Alle Daten auf dem Server löschen“ (oder „Zustimmung widerrufen und Daten löschen“) löscht Gerät, Einwilligung, Gespräche, Monatssummen und noch nicht geteilte Sätze deines Lumis; danach vergisst Lumi Token und Gerätekennung, und Lumi Plus bleibt pausiert, bis du es wieder einschaltest. Die geteilten Einträge der gemeinsamen Speicher gehören zu keinem Lumi und bleiben bestehen.

Rechtsgrundlage für die Verarbeitung von Stimme und Gesprächsinhalten ist die Einwilligung der Eltern (Art. 6 Abs. 1 lit. a, Art. 8 DSGVO), für beiläufig genannte besondere Kategorien personenbezogener Daten deren ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO). Gerät, Tarif, Abo, Kontingent und Abrechnung verarbeiten wir zur Erfüllung des Vertrags mit den Eltern (Art. 6 Abs. 1 lit. b DSGVO), die Drosselung von Fehlversuchen, das Tagesbudget, die gemeinsamen Speicher und die Diagnose aus unserem berechtigten Interesse an einem sicheren, bezahlbaren und funktionierenden Dienst (Art. 6 Abs. 1 lit. f DSGVO). Bei Spracherkennung, Vertonung und Sprachmodell werden Daten in die USA übermittelt (ElevenLabs, OpenAI), siehe „Dienstleister und Übermittlung in die USA“.

Abo und Minuten über den App Store

Ein Abo für Lumi Plus schließt du im Elternbereich ab, nie im Kinderbereich; Lumi selbst bietet nie etwas zum Kaufen an. Kauf, Zahlung und Kündigung laufen über Apples App Store nach dessen Bedingungen und Datenschutzbestimmungen; Zahlungsdaten, Apple-ID, Name oder E-Mail-Adresse erhalten wir nicht. Beim Kauf gibt die App Apple eine zufällige Abo-Kennung je Lumi mit (appAccountToken, eine UUID, die nur auf deinem iPhone gespeichert ist). Danach schickt die App die von Apple signierte Transaktion (unter anderem Transaktionsnummer, ursprüngliche Transaktionsnummer, Produkt, Zeitpunkte, Ablauf und diese Abo-Kennung) über die verschlüsselte Verbindung an Lumi, und Lumi meldet das Abo mit seiner Gerätekennung und, wenn du eingewilligt hast, der Fassung deiner Einwilligung bei unserem Server an. Das Abo allein schaltet Lumi Plus nicht ein; dafür braucht es deine Einwilligung.

Der Server prüft die Signatur von Apple und speichert beim Gerät die ursprüngliche Transaktionsnummer, die Abo-Kennung, den Tarif und das Ablaufdatum. Ein Abo gehört zu einem Lumi; auf ein anderes Lumi zieht es nur mit derselben Abo-Kennung um. Apple kann unserem Server Verlängerungen, Kündigungen, Erstattungen und Tarifwechsel direkt melden (App Store Server Notifications); der Server speichert von jeder Meldung nur deren Kennung, Art und Eingangszeit ohne Bezug zu einem Gerät, damit sie nicht doppelt zählt. Ist ein Abo beim Verbindungsaufbau abgelaufen, kann der Server den Stand mit der ursprünglichen Transaktionsnummer bei Apple abfragen. Die Angaben zum Abo bleiben beim Gerät gespeichert, bis du die Daten auf dem Server löschst.

Reichen die Gesprächsminuten nicht, kannst du im Elternbereich Minuten nachkaufen. Die App schickt den signierten Kaufbeleg ebenso über Lumi an den Server; war Lumi nicht erreichbar, schickt die App ihn beim nächsten Öffnen von „Lumi Plus“ erneut. Der Server prüft die Signatur von Apple und speichert Transaktionsnummer, Minuten, Monat, Quelle und Zeitpunkt der Gutschrift. Löschst du die Daten auf dem Server, bleibt nur die Transaktionsnummer ohne Bezug zu deinem Lumi stehen, damit ein Beleg nicht zweimal zählt.

Für eine Android-App mit Kauf über Google Play gilt dasselbe: Statt der Apple-Transaktion geht das Kauf-Token von Google Play mit Produkt, Paketname und einer zufälligen Konto-Kennung über Lumi an den Server. Der Server fragt den Stand des Kaufs bei Google ab, bestätigt ihn dort und speichert Kauf-Token, Konto-Kennung, Tarif und Ablauf beim Gerät; Meldungen von Google speichert er nur mit ihrer Kennung. Rechtsgrundlage für Abo und Käufe ist die Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO). Apple und Google verarbeiten Kauf und Zahlung als eigene Verantwortliche.

Diagnose nach Gesprächsabbrüchen

Reißt ein Gespräch ohne ordentliches Ende ab, merkt sich Lumi dazu nur Zahlen: Zeitpunkt, Sekunden seit Beginn des Gesprächs, die Art des Abbruchs, Fehlercodes der Verbindung (TLS, Netzwerk), den freien internen Speicher, die WLAN-Signalstärke und ob das Gespräch über Lumi Plus lief. Er hält sie in einem Speicher, der Neustarts übersteht, aber nicht das vollständige Ausschalten, und meldet sie der gekoppelten App in seinem Status.

Beim nächsten Gespräch über Lumi Plus schickt Lumi diese Zahlen einmal an unseren Server („client_diag“). Der Server übernimmt nur diese Felder als Zahlen und schreibt sie mit der internen Nummer deines Geräts in sein Anwendungsprotokoll, nicht in die Datenbank; zur Aufbewahrung siehe oben unter Lumi Plus. Inhalte, Ton oder Abschriften enthält die Diagnose nicht. Wir nutzen sie nur, um Abbrüche zu finden und zu beheben (Art. 6 Abs. 1 lit. f DSGVO). Ohne Lumi Plus verlässt die Diagnose dein Heimnetz nicht.

Wetter und Standort

Wenn du in den Einstellungen unter „Wetter“ einen Ort wählst, bekommt Lumi den Ortsnamen und die Lage, gerundet auf zwei Nachkommastellen (gut ein Kilometer). Damit fragt Lumi etwa alle drei Stunden bei Open-Meteo (open-meteo.com) die Vorhersage für heute und morgen ab. Einen Ort zu setzen ist freiwillig; „Ort entfernen“ löscht ihn wieder auf Lumi.

Zur Ortssuche nutzt die App die Ortssuche von Apple (Geocoding); die Verarbeitung erfolgt durch Apple nach deren Datenschutzbestimmungen (https://www.apple.com/legal/privacy/). Deinen Standort verwendet die App nur, wenn du „Mein Standort“ antippst, und nur mit der Erlaubnis „Beim Verwenden der App“; er wird einmal grob (auf einen Kilometer) bestimmt, zur Ermittlung des Ortsnamens ebenfalls an die Ortssuche von Apple gegeben, nur für das Wetter verwendet und nicht in der App gespeichert.

Begegnung mit anderen Lumis

Stehen zwei Lumis im selben WLAN nah beieinander, erkennen sie sich und spielen zusammen eine kurze Szene. Dafür sendet Lumi, solange er wach und frei ist, etwa alle 10 bis 13 Sekunden einen kurzen Gruß von 18 Byte per ESP-NOW direkt über sein WLAN-Funkteil, unverschlüsselt an alle Geräte in Funkreichweite. Der Gruß enthält nur eine Lumi-Kennung, Version, Art, Merker und laufende Nummer der Nachricht, eine Zufallszahl, einen Zufallswert, der jeden Tag wechselt, und bei einer Begegnung die gewählte Szene, den Tageswert des anderen Lumis und die Startzeit; keine Namen, keine Geräte-ID und nichts über dein Kind. Wie bei jedem WLAN-Funkrahmen steht im Kopf Lumis WLAN-Adresse (MAC-Adresse) als Absender.

Lumi wertet nur Grüße anderer Lumis aus. Er merkt sich höchstens vier gehörte Tageswerte mit ihrer Signalstärke (35 Sekunden lang) und vier Begegnungen (Tageswert und Uhrzeit, bis zum nächsten Tag). Die Begegnung ist ab Werk eingeschaltet; unter Lumi einstellen → „Andere Lumis begrüßen“ schaltest du sie aus, dann sendet Lumi nichts und wertet nichts aus. Unterwegs per Bluetooth gibt es keine Begegnung.

Weitere Verbindungen von Lumi

Lumi holt die Uhrzeit über das öffentliche Zeitsignal pool.ntp.org; ohne Internet übernimmt er sie von der App. Wie bei jedem Abruf im Internet sehen ElevenLabs, bei Lumi Plus und beim Laden von Hörgeschichten unser Server, Open-Meteo und der Zeitdienst dabei die IP-Adresse deines Internetanschlusses. Die Links zu Handbuch und Datenschutzerklärung in der App öffnen diese Website in deinem Browser, der Link „Nutzungsbedingungen“ beim Abo Apples Standard-Nutzungsbedingungen.

Berechtigungen und Kennungen

Die App fragt nach „Lokales Netzwerk“ (um Lumi im WLAN zu finden), „Bluetooth“ (um Lumi ohne WLAN zu erreichen und sein WLAN einzurichten), „Face ID“ (nur, wenn du den Elternbereich damit öffnest), „Mitteilungen“ (nur, wenn du die Sonntags-Erinnerung einschaltest), „Mikrofon“ (nur, wenn du im Elternbereich eine Geschichte aufnimmst) und, nur bei „Mein Standort“, nach dem Standort beim Verwenden der App. Im Handy-Spiel Rennen kann das Kind auf Wunsch durch Kippen des iPhones lenken; die Bewegungsdaten dienen nur dem Spiel und werden nicht gespeichert. Dateien sieht die App nur, wenn du sie unter „Datei importieren“ selbst auswählst. Die App nutzt keine Kontakte und keine Fotos, keine Werbe-Kennung und kein Tracking im Sinne von Apples App Tracking Transparency.

Lumi selbst hat keine Kamera, und die App nutzt die Kamera des iPhones ebenfalls nicht. Für Handbuch-Bilder und Tests kann ein Gerät mit Zugangsschlüssel ein Bild von Lumis Display abrufen (höchstens alle zwei Sekunden); Lumi zeigt danach kurz ein Kamera-Symbol, damit Kind und Eltern es sehen. Das ist ein Bild des Bildschirms, keine Aufnahme der Umgebung; die App nutzt diese Funktion nicht.

Absturzberichte durch Apple

Die App wird über TestFlight verteilt. Wenn du in iOS das Teilen von Analysedaten mit Entwicklern erlaubt hast oder über TestFlight Feedback sendest, kann Apple Absturzberichte und dein Feedback an uns weitergeben. Diese Berichte stammen von Apple, nicht von der App.

Dienstleister und Übermittlung in die USA

Für Gespräche setzen wir ElevenLabs (Eleven Labs Inc., USA; Spracherkennung, Vertonung und Sprachagent) und OpenAI (USA; Sprachmodell bei Lumi Plus) als Auftragsverarbeiter ein, für den Server von Lumi Plus STRATO in Deutschland. Die Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO mit ElevenLabs und OpenAI schließen wir derzeit ab; bei STRATO ist die Auftragsverarbeitung Bestandteil des Vertrags. Ob ElevenLabs und OpenAI unter dem EU-US Data Privacy Framework zertifiziert sind, prüfen wir im Register; wo das nicht zutrifft, stützen wir die Übermittlung in die USA auf die EU-Standardvertragsklauseln dieser Verträge. In den USA gilt ein anderes Datenschutzrecht als in der EU, und US-Behörden können unter bestimmten Voraussetzungen auf Daten zugreifen.

Eine Aufbewahrung ohne Speicherung beim Anbieter („Zero Data Retention“) ist bei OpenAI und ElevenLabs derzeit nicht vereinbart. Unser Server bittet ElevenLabs bei jeder Anfrage, nichts aufzubewahren; die Spracherkennung lehnt das für Konten ohne Enterprise-Vertrag ab, dann arbeitet der Server ohne diese Einstellung weiter. Anfragen an OpenAI stellt der Server so, dass OpenAI die Antworten nicht als abrufbare Einträge speichert. Apple (App Store, TestFlight, Ortssuche) und gegebenenfalls Google (Google Play) handeln als eigene Verantwortliche.

Kinder

Die App ist für Eltern gedacht, Lumi für Kinder. Im Kinderbereich der App gibt es Spiele, Schule, Gefühle, Geschichten (nur zum Abspielen), Musik und Sticker; alle Einstellungen, Einwilligungen, Aufnahmen, Downloads, Abos und Käufe liegen im geschützten Elternbereich. Ob Lumi Gespräche führen kann, entscheiden die Eltern mit dem ElevenLabs-Schlüssel beziehungsweise mit ihrer Einwilligung und dem Schalter „Lumi Plus verwenden“ und mit dem Tageslimit. Geburtstage lassen sich in der App ändern und löschen. Lumis übriges Gedächtnis (Vornamen und Notizen) lässt sich je Kind oder ganz löschen; das geht derzeit nur über die Wartungsschnittstelle von Lumi (USB), wende dich dafür bei Bedarf an uns.

Lumi-Warteliste / Newsletter über Brevo

Auf der Lumi-Seite kannst du dich mit deiner E-Mail-Adresse für die Lumi-Warteliste eintragen. Zweck: Wir informieren dich per E-Mail ausschließlich über Neuigkeiten zu Lumi, zum Beispiel den Start einer Kickstarter-Kampagne. Verarbeitet werden deine E-Mail-Adresse, die gewählte Sprache der Seite (Deutsch oder Englisch) sowie Zeitpunkt und IP-Adresse von Anmeldung und Bestätigung.

Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Wir nutzen das Double-Opt-in-Verfahren: Nach dem Eintragen erhältst du eine E-Mail mit einem Bestätigungslink. Erst wenn du ihn anklickst, wirst du in die Liste aufgenommen. Anmeldung und Bestätigung werden mit Zeitpunkt und IP-Adresse protokolliert, damit wir die Einwilligung nachweisen können. Ohne Bestätigung wird die Adresse nicht in die Warteliste übernommen.

Für Anmeldung und Versand setzen wir den Dienst Brevo der Brevo GmbH (früher Sendinblue GmbH), Köpenicker Straße 126, 10179 Berlin, als Auftragsverarbeiter nach Art. 28 DSGVO ein. Brevo speichert die Daten nach eigenen Angaben auf Servern in der Europäischen Union. Näheres in der Datenschutzerklärung von Brevo: brevo.com/de/legal/privacypolicy. Unsere Website leitet deine Adresse nur an Brevo weiter und speichert sie nicht selbst; zum Schutz vor Missbrauch wird die Zahl der Anmeldeversuche je IP-Adresse für zehn Minuten im Arbeitsspeicher gezählt und danach verworfen.

Speicherdauer: Deine Daten bleiben gespeichert, bis du dich abmeldest oder die Warteliste endet. Widerruf: Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, über den Abmeldelink in jeder E-Mail oder per Nachricht an daniel.alisch@me.com. Danach löschen wir deine Adresse; einen Sperrvermerk behalten wir nur, soweit er nötig ist, damit du nicht erneut angeschrieben wirst und wir die frühere Einwilligung nachweisen können.

Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist derzeit noch nicht benannt. Wir benennen ihn, bevor Lumi Plus über den Testbetrieb hinaus angeboten wird, und tragen seine Kontaktdaten dann hier ein. Bis dahin wende dich mit allen Fragen zum Datenschutz direkt an daniel.alisch@me.com.

Deine Rechte

Was die App und Lumi lokal speichern, erreicht uns nicht. Bei uns gespeichert ist nur, was du für die Lumi-Warteliste angibst, und bei Lumi Plus, was unser Server über dein Lumi speichert, samt Einwilligung, Abo-Angaben und Diagnose im Protokoll (siehe oben). Dir stehen die Rechte nach der Datenschutz-Grundverordnung zu (Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit, Widerspruch, Widerruf einer Einwilligung mit Wirkung für die Zukunft sowie Beschwerde bei einer Aufsichtsbehörde, zum Beispiel der Landesbeauftragten für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg). Die Daten von Lumi Plus kannst du in der App jederzeit selbst ansehen und löschen, oder du schreibst uns; das gilt auch für Gespräche über unseren Sprachagenten bei ElevenLabs. Für Daten, die Apple oder Google als eigene Verantwortliche verarbeiten, wende dich bitte an diese Anbieter.

Änderungen

Wir passen diese Erklärung an, wenn sich Lumi oder die App ändern, zum Beispiel durch neue Funktionen oder Dienste. Diese Fassung gilt für Firmware 1.29 und App 1.19. Die aktuelle Fassung steht unter dieser Adresse.

Kontakt

E-Mail: daniel.alisch@me.com