Datenschutzerklärung

SparQuest – Digitale Wallet für Kinder · Stand: 19. April 2026

1. Verantwortlicher

Ulrich Breu
byteAgenten GmbH
Nordostpark 25
90411 Nürnberg
E-Mail: kontakt@byteagenten.de

Bei Fragen zum Datenschutz erreichst du uns jederzeit unter der genannten E-Mail-Adresse.

2. Überblick

SparQuest ist eine digitale Wallet für Kinder (7–17 Jahre). Das Geld bleibt bei dir. Die App zeigt deinem Kind, was es hat. Durch die App fließt kein echtes Geld – die Wallet ist eine rein digitale Abbildung dessen, was Eltern physisch verwahren.

Ausnahme In-App-Käufe: Im Eltern-Interface können kosmetische Themes (z. B. Pixel-Theme) per Apple App Store bzw. Google Play gekauft werden. Diese Zahlungen laufen ausschließlich über die Store-Anbieter – siehe Abschnitt 7a.

3. Welche Daten werden erhoben?

Datenkategorie	Beispiele	Zweck	Rechtsgrundlage
Vornamen / Spitznamen	Familienname, Kindername, Verwandtenname	Anzeige in der App, Zuordnung innerhalb der Familie	Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
Geburtsmonat (Kinder)	Monat + Jahr	Berechnung der Altersgruppe für altersgerechte Funktionen	Art. 6 Abs. 1 lit. b DSGVO
Geräte-Push-Token	Expo Push Token	Zustellung von Benachrichtigungen (z. B. Quest genehmigt)	Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)
Nutzungsdaten	Sparziele, Transaktionen, Badges, Streak-Zähler	Kernfunktion der App	Art. 6 Abs. 1 lit. b DSGVO
IP-Adresse	IPv4/IPv6	Nur vorübergehend zur Missbrauchsprävention (Rate Limiting bei der Anmeldung)	Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse)
Gerätekennungen	Firebase Auth UID (synthetisch), Geräte-ID	Authentifizierung, Zuordnung von Push-Benachrichtigungen	Art. 6 Abs. 1 lit. b DSGVO
Spracheinstellung	de-DE	Anzeige in der richtigen Sprache	Art. 6 Abs. 1 lit. b DSGVO
Kauf-Transaktionsdaten (nur bei In-App-Käufen)	Transaktions-ID, Original-Transaktions-ID, Produkt-ID (z. B. theme.pixel), Plattform (iOS/Android), Kauf-Quittung (JWS / Purchase Token)	Freischaltung gekaufter Themes, Verifizierung beim Store-Anbieter, Schutz vor Doppel-Freischaltung	Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

Was wir nicht erheben

• Keine E-Mail-Adressen
• Keine Passwörter (Anmeldung erfolgt über Familien-Codes)
• Keine Standortdaten
• Keine Fotos oder Mediendateien
• Keine Kontakte oder Adressbücher
• Kein Tracking, keine Analyse-Tools, keine Werbe-SDKs

4. Authentifizierung

SparQuest verwendet ein code-basiertes Anmeldesystem. Bei der Familienerstellung wird ein einmaliger Zugangscode erzeugt. Der Code wird nur als kryptografischer Hash (SHA-256 mit Salt) gespeichert – der Klartext-Code ist serverseitig nicht rekonstruierbar.

5. Speicherort und Auftragsverarbeiter

Alle Daten werden in der EU (Region europe-west1, Belgien) gespeichert.

Dienst	Anbieter	Zweck	Standort
Firebase (Auth, Firestore, Cloud Functions)	Google Ireland Ltd.	Datenbank, Authentifizierung, serverseitige Logik	EU (europe-west1)
Expo Push Notifications	Expo (650 Industries, Inc.), USA	Zustellung von Push-Benachrichtigungen an iOS/Android	USA*
Apple App Store / StoreKit	Apple Distribution International Ltd., Irland	Abwicklung von In-App-Käufen auf iOS, Verifizierung der Kauf-Quittung (JWS)	EU / USA**
Google Play Billing / Play Developer API	Google Ireland Ltd.	Abwicklung von In-App-Käufen auf Android, Verifizierung der Kauf-Quittung	EU / USA**

* Push-Token und Nachrichteninhalte werden an Expo-Server übermittelt, die diese an Apple (APNs) bzw. Google (FCM) weiterleiten. Die Übermittlung in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework.

** In-App-Käufe: Zahlungsdaten (Kreditkarte, Bankverbindung, Rechnungsadresse) werden ausschließlich vom jeweiligen Store-Anbieter (Apple bzw. Google) verarbeitet und liegen niemals bei SparQuest. Wir erhalten nur die Kauf-Quittung und die Produkt-ID zur Freischaltung (siehe Abschnitt 7a).

6. Lokale Datenspeicherung

Auf deinem Gerät werden folgende Daten gespeichert:

• iOS Keychain / Android Keystore: Verschlüsselte Zugangscodes
• AsyncStorage: Onboarding-Status, Badge-Anzeige-Status (keine personenbezogenen Daten)
• Firebase Auth Cache: Anmeldezustand für automatisches Login

7. Push-Benachrichtigungen

Die App fragt vor dem Versenden von Push-Benachrichtigungen um Erlaubnis. Du kannst diese jederzeit in den Systemeinstellungen deines Geräts deaktivieren. Ohne Erlaubnis werden keine Push-Token gespeichert oder übermittelt.

7a. In-App-Käufe (Themes)

Im Eltern-Interface können kosmetische Themes (z. B. Pixel-Theme) als In-App-Kauf freigeschaltet werden. Themes haben keinen inhaltlichen Vorteil – sie sind reine Optik und beeinflussen weder Spar-Mechanik noch XP oder Badges.

Wie der Kauf abläuft

• Der Kauf wird vollständig über Apple App Store bzw. Google Play abgewickelt.
• Zahlungsdaten (Kreditkarte, Bankverbindung, Rechnungsadresse) werden ausschließlich vom Store-Anbieter verarbeitet. Wir sehen keine Zahlungsmittel.
• Nach dem Kauf erhält die App vom Store eine Kauf-Quittung (iOS: JWS; Android: Purchase Token).
• Diese Quittung wird an unseren Server (Firebase Cloud Functions, EU) gesendet und beim Store-Anbieter verifiziert, um die Freischaltung zu sichern und doppelte/manipulierte Käufe zu verhindern.
• Nach erfolgreicher Verifizierung speichern wir einen Kaufdatensatz mit: Transaktions-ID, Produkt-ID, Plattform, Zeitstempel. Keine Zahlungsdaten.

Kinder und In-App-Käufe

Der Kauf-Flow ist ausschließlich im Eltern-Interface erreichbar und durch die Store-eigenen Apple-/Google-Kaufsicherungen (Face ID, Passcode, Kindersicherung) geschützt. Kinder können keine In-App-Käufe auslösen.

Widerruf / Erstattung

Für Widerruf und Erstattung gelten die Richtlinien des jeweiligen Store-Anbieters: Apple bzw. Google Play.

8. Kinder und Jugendliche

• Kinder-Accounts werden ausschließlich von einem Elternteil (Admin) angelegt.
• Kinder melden sich mit einem von den Eltern generierten Code an – ohne E-Mail oder Passwort.
• Es werden nur Vorname, Geburtsmonat und ein Avatar gespeichert.
• Kinderdaten sind durch Firestore-Sicherheitsregeln auf Familienmitglieder beschränkt.
• Es gibt keine öffentlichen Profile, keine Chat-Funktion und keinen Kontakt zu Fremden.
• Die Einwilligung zur Datenverarbeitung erfolgt durch die Eltern gemäß Art. 8 DSGVO.

9. Deine Rechte (DSGVO)

Du hast jederzeit das Recht auf:

• Auskunft (Art. 15 DSGVO) – Welche Daten über dich gespeichert sind
• Berichtigung (Art. 16 DSGVO) – Korrektur unrichtiger Daten
• Löschung (Art. 17 DSGVO) – Entfernung deiner Daten
• Einschränkung (Art. 18 DSGVO) – Einschränkung der Verarbeitung
• Datenübertragbarkeit (Art. 20 DSGVO) – Export deiner Daten
• Widerspruch (Art. 21 DSGVO) – Widerspruch gegen die Verarbeitung
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO) – z. B. für Push-Benachrichtigungen

Richte deine Anfrage an: kontakt@byteagenten.de

Du hast außerdem das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren.

10. Datensicherheit

• Alle Datenübertragungen erfolgen verschlüsselt (HTTPS/TLS).
• Zugangscodes werden nur als gesalzene SHA-256-Hashes gespeichert.
• Firestore-Sicherheitsregeln beschränken den Datenzugriff auf berechtigte Familienmitglieder.
• Rate-Limiting und Account-Sperrung schützen vor Brute-Force-Angriffen.
• Lokale Zugangscodes werden im iOS Keychain bzw. Android Keystore verschlüsselt gespeichert.

11. Speicherdauer

Deine Daten werden gespeichert, solange dein Familien-Account aktiv ist. Bei Löschung eines Kindes oder der gesamten Familie werden die zugehörigen Daten aus Firestore entfernt. Abgeschlossene Quests werden nach 90 Tagen automatisch archiviert und in der App ausgeblendet.

12. Keine Cookies, kein Tracking

SparQuest ist eine native App und setzt keine Cookies. Es werden keine Analyse-Tools (kein Google Analytics, kein Firebase Analytics, kein Sentry, kein Mixpanel) und keine Werbe-SDKs eingesetzt. Die iOS Privacy Manifests der App deklarieren: NSPrivacyTracking: false.

13. Änderungen

Diese Datenschutzerklärung kann bei Weiterentwicklung der App aktualisiert werden. Bei wesentlichen Änderungen wirst du in der App darauf hingewiesen. Die aktuelle Version ist immer unter sparquest.app/privacy verfügbar.