Datenschutzerklärung
Stand: September 2026
1. Überblick
Diese Erklärung beschreibt, was mit personenbezogenen Daten geschieht, wenn Sie diese Website oder die Monte-App nutzen. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können.
Für die Website und für die App gelten unterschiedliche Verantwortlichkeiten. Für die Website ist LuminousApps verantwortlich (Abschnitt 2). Für die Daten innerhalb einer Kita-Instanz der App ist die jeweilige Einrichtung verantwortlich; LuminousApps handelt dort ausschließlich als Auftragsverarbeiter (Abschnitt 4).
2. Verantwortliche Stelle für diese Website
LuminousApps — Patrick Kass, Wiltbergstraße 90, Haus 37, 13125 Berlin, contact@luminousapps.de
3. Datenerfassung auf dieser Website
Hosting: Diese Website wird bei Cloudflare Pages gehostet. Cloudflare erfasst beim Aufruf technisch bedingt Daten wie IP-Adresse, Browsertyp und Zugriffszeit. Rechtsgrundlage ist unser berechtigtes Interesse am sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).
Kontaktaufnahme: Wenn Sie uns schreiben oder das Kontaktformular nutzen, speichern wir Ihre Angaben zur Bearbeitung der Anfrage und für Anschlussfragen (Art. 6 Abs. 1 lit. b und lit. f DSGVO).
Demo-Instanz: Wenn Sie über das Formular eine unverbindliche Demo anlegen, verarbeiten wir die dabei angegebenen Daten zur Bereitstellung der Instanz. Demo-Instanzen werden automatisch wieder gelöscht.
4. Monte-App: Wer ist wofür verantwortlich?
Für die Verarbeitung innerhalb jeder Kita-Instanz ist die jeweilige Kindertageseinrichtung Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Sie entscheidet über Zwecke und Mittel und ist Ihre erste Anlaufstelle für Auskunft, Berichtigung und Löschung.
LuminousApps stellt die Software bereit und handelt dabei als Auftragsverarbeiter nach Art. 28 DSGVO — ausschließlich auf Weisung der Einrichtung und ohne eigene Zwecke. Zwischen jeder Einrichtung und LuminousApps besteht ein Auftragsverarbeitungsvertrag.
5. Welche Daten in der App verarbeitet werden
| Bereich | Daten |
|---|---|
| Konto | Name, E-Mail-Adresse, Passwort (nur als kryptografischer Hashwert), Rolle, Spracheinstellung, optionales Profilbild |
| Kinder | Alle für die Erfüllung des Betreuungsauftrags erforderlichen Angaben, insbesondere Name, Geburtsdatum, Gruppe, Betreuungszeiten, hinterlegte Einwilligungen, Notfallkontakte und Vollmachten |
| Gesundheitsangaben | Allergien und Unverträglichkeiten sowie der Grund einer Abwesenheitsmeldung. Es handelt sich um besondere Kategorien nach Art. 9 DSGVO; sie werden nur auf Grundlage einer ausdrücklichen Einwilligung in der App geführt |
| Anwesenheit | Tägliche Anwesenheit, Bring- und Abholzeiten mit Zeitstempel, Mittagskind-Status |
| Abwesenheiten | Zeitraum, Grund, freiwillige Hinweise, Namen abholberechtigter Personen |
| Kommunikation | News-Beiträge, Schwarzes Brett, Gruppenchat der Eltern, Teamchat, Kommentare und Reaktionen |
| Beteiligung | Einträge in Mitbringlisten, Elterndienste und Abstimmungen |
| Dokumentation | Hochgeladene Bilder und Dateien, Gruppenbucheinträge, Aufzeichnungen zum Entwicklungs- und Lernstand |
| Personalplanung | Bei aktivierter Teamplanung: vereinbarte Arbeitszeiten, erfasste Abwesenheiten, Ein- und Ausstempeln, Korrekturen |
| Technische Daten | Sitzungsdaten, Push-Token des Geräts, Protokolle sicherheitsrelevanter Vorgänge (Audit-Log) |
Biometrie: Die Anmeldung per Fingerabdruck oder Gesichtserkennung wird ausschließlich vom Betriebssystem des Geräts geprüft. Biometrische Merkmale werden weder an die App noch an die Einrichtung oder an LuminousApps übermittelt oder dort gespeichert.
6. Zwecke und Rechtsgrundlagen
| Verarbeitung | Rechtsgrundlage |
|---|---|
| Betreuung und Verwaltung: Stammdaten, Gruppe, Betreuungszeiten, Anwesenheit, Abwesenheiten | Art. 6 Abs. 1 lit. b DSGVO (Betreuungsvertrag), ergänzend lit. c und lit. e (gesetzliche Aufgaben) |
| Dokumentation des Entwicklungs- und Lernstands als pädagogischer Auftrag | Art. 6 Abs. 1 lit. c und lit. e DSGVO in Verbindung mit dem jeweiligen Landesrecht |
| Versand wesentlicher Mitteilungen per E-Mail, Sicherheit der Plattform, Missbrauchsabwehr, Audit-Log | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) |
| Elternkonto, Fotos in der App, Einsicht in die Entwicklungsdokumentation, Push-Benachrichtigungen, Inhaltsübersetzung | Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) |
| Gesundheitsangaben in der App | Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung) |
Die Einwilligungen holt die Einrichtung ein. Sie können jede Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, ohne dass Ihnen daraus ein Nachteil entsteht. Die bis zum Widerruf erfolgte Verarbeitung bleibt rechtmäßig.
7. Eingesetzte Dienstleister
Zur technischen Erbringung setzt LuminousApps die folgenden Unterauftragnehmer ein. Eingerückte Einträge sind Unterauftragnehmer des jeweils darüberstehenden Anbieters.
| Anbieter | Zweck | Standort | Einsatz |
|---|---|---|---|
| Elestio Ltd., Dublin | Betrieb und Verwaltung der Server-Instanz, Sicherung | Irland (EU) | Standard |
| → Hetzner Online GmbH | Rechenzentrum der Produktivumgebung (Datenbank, Dateien) | Falkenstein, Deutschland | über Elestio |
| → BorgBase | Verschlüsselter Backup-Speicher. Die Verschlüsselung erfolgt vorher auf unserem Server; der Speicheranbieter kann die Inhalte nicht lesen | Helsinki, Finnland (EU) | über Elestio |
| → Amazon Web Services | Ausschließlich Verwaltungsebene des Hosting-Anbieters (Dashboard, Monitoring, Protokolle). Keine Datenbankinhalte, Dateien oder Backups | Irland (EU) | über Elestio |
| Cloudflare | Auslieferung, DNS, Schutz vor Angriffen | EU / global | Standard |
| Brevo (Sendinblue GmbH, Berlin) | Versand von Benachrichtigungs-E-Mails | EU / Frankreich | Standard |
| Google Firebase | Zustellung von Push-Nachrichten | USA | nur nach ausdrücklicher Aktivierung |
| Microsoft Azure | Übersetzung von Inhalten | EU-Endpunkt | nur nach ausdrücklicher Aktivierung |
Übermittlung in Drittländer: Personenbezogene Daten verlassen die EU nur, wenn die Einrichtung Push-Benachrichtigungen aktiviert hat — dann wird eine Gerätekennung an Google Firebase in den USA übermittelt. Grundlage sind die EU-Standardvertragsklauseln und das EU-US Data Privacy Framework. Ohne diese Aktivierung fließen keine Daten an Anbieter außerhalb der EU. Die Übersetzungsfunktion nutzt einen EU-Endpunkt.
8. Speicherdauer
| Daten | Löschung |
|---|---|
| News-Beiträge und Schwarzes Brett | 6 Monate |
| Speiseplan | 4 Wochen |
| Chat-Nachrichten | 1 Jahr |
| Abwesenheitsmeldungen | 3 Jahre |
| Gruppenbuch und Anwesenheitszeiten | 5 Jahre |
| Audit-Log | 2 Jahre |
| Konto- und Kinderdaten nach Ende der Betreuung | spätestens 30 Tage; Sicherungskopien spätestens nach 90 Tagen |
Gesetzliche Aufbewahrungspflichten bleiben unberührt. Einzelne Anbieter halten technische Restbestände länger vor, die keine Kinder-, Eltern- oder Personaldaten enthalten: Versandprotokolle beim E-Mail-Dienst bis zu drei Monate, Zustelldaten beim Push-Dienst bis zu 180 Tage.
9. Ihre Rechte
- Auskunft über die zu Ihnen gespeicherten Daten (Art. 15 DSGVO)
- Berichtigung unrichtiger Daten (Art. 16 DSGVO)
- Löschung (Art. 17 DSGVO)
- Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Datenübertragbarkeit (Art. 20 DSGVO)
- Widerspruch gegen Verarbeitungen auf Grundlage eines berechtigten Interesses (Art. 21 DSGVO)
- Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
- Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO)
Für Daten innerhalb einer Kita-Instanz wenden Sie sich bitte an Ihre Einrichtung — sie ist dort Verantwortlicher. Bei Fragen zur Website oder zur Technik erreichen Sie uns unter contact@luminousapps.de.
Es findet keine automatisierte Entscheidungsfindung und kein Profiling im Sinne von Art. 22 DSGVO statt.
10. Datensicherheit
- Verschlüsselte Übertragung (TLS) und verschlüsselte Speicherung
- Serverseitige Mandantentrennung: Jede Datenbankabfrage wird auf Einrichtungs- und Benutzerebene gefiltert, sodass eine Einrichtung ausschließlich eigene Daten sieht
- Rollenbasierte Zugriffskontrolle (Eltern, Team, Leitung)
- Optionale Zwei-Faktor-Authentifizierung und Gerätebindung
- Protokollierung sicherheitsrelevanter Vorgänge
- Verschlüsselte, täglich erstellte Sicherungen
Fragen zu dieser Erklärung beantworten wir unter contact@luminousapps.de.