Datenschutz

Datenschutz

Stand: 28.10.2026, Version 2.7

Dieses Dokument beschreibt, wo welche Daten liegen, wie lange, wer darauf zugreifen kann und wie sie gelöscht werden. Es ist die technische Grundlage für Datenschutzerklärung, Auftragsverarbeitungsverträge und das Datenschutz-Label im App Store.

Das Wichtigste in Kürze

• Ohne Mappe Plus verlässt keine Angabe das iPhone. Es gibt kein Konto, keinen Server, keine Analytik.
• Texterkennung (Medikationsplan, Versichertenkarte) läuft auf dem iPhone mit Apples Vision-Framework. Fotos werden ohne Ort und Kameradaten gespeichert.
• Mit Mappe Plus liegen Inhalte als Ende-zu-Ende-verschlüsselte Chiffrate auf einem Server in Frankfurt. Der Betreiber kann sie nicht lesen. Er sieht E-Mail-Adresse, Abo-Status und Metadaten wie Zeitpunkte und Dateigrößen.
• Die Dienstleister für Server und E-Mails (Supabase, Resend) sind US-Unternehmen; beide verarbeiten in der EU. Die Inhalte der Mappe können auch sie nicht entschlüsseln.
• Pflegeagenturen sehen nur, was eine Familie ihnen freigibt: eine Mappe, in einem Recht. Für ihre Pflegedokumentation und ihr Archiv ist die Agentur selbst verantwortlich; der Betreiber verarbeitet sie in ihrem Auftrag und kann sie nicht lesen.
• Lädt eine Agentur eine Familie per Mail zu Mappe ein (0015, Abschnitt 2), liegt die Mailadresse der Angehörigen beim Betreiber, bis die Familie ihre Mappe freigibt, längstens 30 Tage nach der letzten Mail. Den Namen der betreuten Person kann er nicht lesen, er steht auch nicht in der Mail.
• Bereitet eine Agentur die Mappe für die Familie vor (0016, Abschnitt 2), liegen ihre Angaben beim Betreiber nur verschlüsselt, bis die Familie die Mappe übernimmt und freigibt, längstens 30 Tage nach der letzten Mail. Der Schlüssel ist ein Startcode, den die Agentur der Familie persönlich sagt. Er steht nie in der Mail, und der Betreiber kann ihn nicht lesen.
• Löschen wirkt hart: in der App, auf dem Server, für das Konto. Auch ohne Abo. Was eine verbundene Agentur als Archiv behält, bleibt dort für ihre Aufbewahrungsfrist.

1. Rollen

2. Speicherorte

iPhone (immer)

• Alle Mappen samt Fotos und Abgleich-Zustand liegen im Dokumentenordner der App, verschlüsselt mit AES-256-GCM. Der Schlüssel liegt im iOS-Schlüsselbund (nur bei entsperrtem Gerät zugänglich), zusätzlich gilt iOS Data Protection „Complete“. Seit 09.10.2026 liegt der Schlüssel im iCloud-Schlüsselbund: Apple verschlüsselt ihn Ende-zu-Ende und kann ihn nicht lesen; so kommt er bei einem Gerätewechsel mit. Wer den iCloud-Schlüsselbund ausgeschaltet hat, behält ihn nur auf dem Gerät. Die Anmeldung am Server bleibt auf dem Gerät und kommt in kein Backup; nach einem Gerätewechsel meldest du dich einmal mit dem E-Mail-Code an. Ein Backup enthält die Mappen nur als Chiffrat. Fehlt der Schlüssel trotzdem, zeigt die App „Mappe gefunden, Schlüssel fehlt“ mit den Wegen zurück: Umzugs-Code vom alten Gerät, Sicherung wiederherstellen oder neu einladen lassen.
• iPhone verloren oder gestohlen: Gesperrt gibt es nichts preis, der Schlüssel ist nur bei entsperrtem Gerät lesbar. Unter Einstellungen → Konto → Geräte & Vorsorge → „Ein iPhone ist weg“ beendet „Andere Geräte abmelden“ auf dem Server alle anderen Sitzungen deines Kontos; die Inhaberin verteilt danach mit „Schlüssel erneuern“ neue Schlüssel an alle, ein abgemeldetes Gerät bekommt sie nicht mehr. Der erste Schritt bleibt Apples „Wo ist?“ → iPhone löschen.
• Widget: eine Kurzfassung der Notfallkarte je Mappe in der App-Gruppe, nur wenn „Notfalldaten für Widgets bereitstellen“ eingeschaltet ist. Sie liegt im Klartext, weil das Widget ohne Entsperren lesen muss; der Inhalt entspricht der Karte. Mit derselben Einstellung liegt dort auch der Stand für das Widget auf dem Home-Bildschirm: Rolle, die Kurzfassung der Karte je Mappe und der Alltag von heute (Lebenszeichen, Gaben, Termine und Notizen, je Kopie nur im eigenen Recht), ebenfalls im Klartext, lesbar ab der ersten Entsperrung nach einem Neustart; dazu ein „Mir geht's gut“ aus dem Widget (Mappe, Zeitpunkt), bis die App es eingetragen hat. Auf dem Sperrbildschirm stehen je nach Rolle nur Lebenszeichen und Gaben-Stand, im Eltern-Modus Lebenszeichen mit Allergie und Blutverdünner; Notizen und Termine erscheinen dort nicht.
• Apple Watch (Mappe Plus): Das iPhone schickt der gekoppelten Watch über Apples verschlüsselte Verbindung zwischen iPhone und Watch, nie über einen Server von Mappe, dieselbe Kurzfassung der Notfallkarte wie dem Widget, für jede Mappe, dazu welche Mappe der Eltern-Modus zeigt und das letzte „Mir geht's gut“ je Mappe. Die Watch speichert das im Klartext, damit die Komplikation ohne Entsperren lesen kann. Ohne Plus oder nach dessen Ablauf schickt das iPhone einen leeren Stand, und die Watch löscht ihre Kopie. Zurück zum iPhone geht nur das „Mir geht's gut“ (Mappe, Zeitpunkt). Die verschlüsselte Mappe, Fotos und Schlüssel erreichen die Watch nie. Notruf SOS ist eine Funktion von watchOS; davon erhält Mappe keine Daten.
• Sturzerkennung der Apple Watch (nur mit Apples Freigabe für Mappe und dem Schalter auf der Watch): Erkennt die Watch einen Sturz, meldet die Watch-App Zeitpunkt und Ergebnis (bestätigt, abgewinkt, kein Sturz, keine Reaktion) an die Mappe. Der Eintrag liegt wie „Mir geht's gut“ im Recht Notfall und erreicht alle Mitglieder verschlüsselt. Jedes iPhone entscheidet mit „Bei Sturz benachrichtigen“ (ab Werk an), ob es einen schweren Sturz als Mitteilung zeigt.
• Fotos werden vor dem Speichern neu gerendert (kein EXIF, GPS, Kameramodell) und nach Verwendungszweck verkleinert. In die Fotos-Mediathek legt Mappe nur dann eine Kopie, wenn du in den Einstellungen „Scans auch in Fotos sichern“ einschaltest. Das ist ab Werk aus. Die Kopie liegt dort unverschlüsselt wie jedes andere Foto; mit iCloud-Fotos geht sie auch zu Apple. Mappe darf dafür nur Fotos hinzufügen, die Mediathek lesen kann sie nicht. Löschen in der Mappe löscht die Kopie in Fotos nicht.
• Entschlüsselte Zwischendateien (PDF, Sicherung, Fotos zum Teilen) entstehen nur in einem temporären Ordner und werden beim nächsten Start gelöscht.
• Apple Health (Mappe Plus): Nur wenn du in den Einstellungen unter Eltern-Modus „Werte aus Apple Health übernehmen“ einschaltest, liest Mappe Blutdruck, Gewicht, Blutzucker und Ruhepuls aus Health und trägt neue Werte in die Mappe ein. Mappe liest nur und schreibt nie in Health. Ab dann sind es Werte der Mappe: verschlüsselt auf dem iPhone, und mit dem Abgleich als Chiffrat bei den Angehörigen. Der Schalter steht bei Eltern-Modus und füllt die Mappe der Person, der das iPhone gehört – Health enthält ihre Werte. Neue Werte holt Mappe auch im Hintergrund, aber nur bei entsperrtem iPhone. Mit „Bewegung als Lebenszeichen“ (ab Werk aus) liest Mappe zusätzlich die Schritte seit Tagesbeginn und trägt nur „Bewegung erkannt“ mit Zeitpunkt ein; die Schrittzahl kommt erst mit dem zweiten Schalter „Schritte als Wert übernehmen“ in die Mappe, als ein Wert je Tag. Health-Daten werden nie für Werbung verwendet oder weitergegeben.
• iOS-Kalender (Mappe Plus): Nur wenn du „Termine mit dem iOS-Kalender abgleichen“ einschaltest, legt Mappe den Kalender „Mappe · Vorname“ an, trägt die Termine der Mappe dort ein (Titel, Zeitpunkt, Ort, Notiz) und übernimmt, was du dort einträgst, wenn du Schreibrecht hast. Diese Einträge liegen unverschlüsselt im iOS-Kalender und, bei einem iCloud-Kalender, bei Apple – sichtbar für alle, mit denen du diesen Kalender teilst. Mappe liest nur diesen einen Kalender. Löschst du dort, bleibt der Termin in der Mappe; löschst du in der Mappe, verschwindet der Eintrag. Jede Person entscheidet das für ihr eigenes iPhone.

Server (nur mit Anmeldung und eingeschaltetem Abgleich, Opt-in)

Supabase-Projekt in der EU (Frankfurt) mit Tabellen für Familien, Abos, Mappen, Mitgliedschaften, Einladungen und Datensätze sowie einem privaten Speicher für Fotos. Für Organisationen (Pflegeagenturen) kommen Tabellen für Organisationen, Mitglieder, Verträge, Profile, Freigaben, Zuweisungen, Anfragen, Archive und Einladungen von Familien (0015) samt vorbereiteter Start-Mappen (0016) dazu, ein privater Speicher für Archiv-Fotos und für das Portal der Schlüsselbund. Supabase ist ein US-Unternehmen; die Daten liegen in Frankfurt.

Der Server sieht: E-Mail-Adresse, Konto-ID, Abo-Status (Produkt, Ablauf, Original-Transaktions-ID), Familien- und Mappen-IDs, Zonen, Datensatz-Namen (Art plus Kennung, etwa „medication/6F9B…“), Zeitpunkte (bei abgehakten Gaben der Zeitpunkt des Abhakens, ebenso bei „Mir geht's gut“ und bei Notizen zum Tag; der Text der Notiz ist verschlüsselt), Größen der Chiffrate, Mitgliedschaften und Rechte (mit E-Mail der Mitglieder), Einladungs-Prüfsummen, je Familie den Zeitpunkt, zu dem ein Gerät der Inhaberin zuletzt abgeglichen hat (für die Stellvertretung, unten), bei einem Wiederherstellungs-Passwort den Hinweis dazu im Klartext (unten) sowie in den Zugriffsprotokollen IP-Adresse, Zeitpunkt und aufgerufene Schnittstelle, ohne Inhalt.

Der Server sieht nicht: Namen, Geburtsdaten, Diagnosen, Medikamente, Allergien, Kontakte, Notizen, Fotos, Vollmachten. Diese Inhalte liegen nur als AES-256-GCM-Chiffrat vor. Die Schlüssel reisen im Fragment des Einladungslinks zwischen den Geräten oder, bei der Einladung per Mail und bei Freigaben an eine Agentur, als Umschlag, versiegelt an den Schlüssel der eingeladenen Person: Der Server trägt den Umschlag, kann ihn nicht öffnen und löscht nicht abgeholte nach 30 Tagen. Im Portal liegt der Schlüsselbund zusätzlich auf dem Server, versiegelt mit dem Portal-Passwort (unten). Für ein zweites eigenes Gerät oder den Umzug zeigt die App einen Umzugs-Code (QR) mit den Schlüsseln: Er erscheint nur am Bildschirm oder wird bewusst geteilt, erreicht keinen Server und ist ohne das eigene Konto wertlos, weil der Server die Chiffrate nur Mitgliedern herausgibt.

Stellvertretung: Die Inhaberin kann eine verbundene Person zur Stellvertretung ernennen. Der Server gibt ihr alle Zonen aller Mappen mit Schreibrecht und lässt sie einladen, Rechte ändern und Zugänge beenden; die Schlüssel bekommt sie wie beim Umzugs-Code über einen Link, den die Inhaberin selbst verschickt, der Server hält weiterhin keinen Schlüssel. Damit die Stellvertretung übernehmen kann, wenn der Inhaberin etwas zustößt, speichert der Server den Zeitpunkt, zu dem ein Gerät der Inhaberin zuletzt abgeglichen hat (höchstens stündlich geschrieben). Übernehmen erlaubt er nur, wenn das Abo abgelaufen ist oder dieser Zeitpunkt älter als 60 Tage ist; die Inhaberin kann auch jederzeit selbst übergeben. Dabei tauschen die Rollen, die Wiederherstellungs-Pakete der bisherigen Inhaberin werden gelöscht. Löscht eine Inhaberin mit Stellvertretung ihr Konto, gehen die Mappen an die Stellvertretung über, statt gelöscht zu werden.

Wiederherstellung: Ein Gerät der Inhaberin legt ein Paket mit den Kennungen und Vornamen der Mappen und ihren Schlüsseln in den iCloud-Schlüsselbund (Ende-zu-Ende bei Apple), damit die Mappe auch auf ein leer eingerichtetes iPhone kommt. Setzt die Inhaberin zusätzlich ein Wiederherstellungs-Passwort, liegt dasselbe Paket damit verschlüsselt auf dem Server (PBKDF2 mit 600 000 Runden, AES-GCM), dazu ein zweites Paket, verschlüsselt mit einem Papier-Code für den Notfallordner, falls das Passwort vergessen wird. Neben den Chiffraten speichert der Server einen Hinweis zum Passwort im Klartext, den die Inhaberin selbst tippt; Hinweise, die das Passwort enthalten, lehnt die App ab. Passwort und Papier-Code kennt der Betreiber nicht, zurücksetzen kann er nichts. Wer Passwort oder Code und das Konto hat, kann die Mappe lesen; deshalb rät die App zu einem eigenen Satz und zum Zettel im Notfallordner. Zugriff hat nur die Inhaberin, mit dem Konto wird das Paket gelöscht.

Konto ohne E-Mail (nur für die Person selbst): Lädt die Familie die Person über „Das ist … selbst“ ein, kann sie die Einladung ohne Adresse und Code annehmen. Der Server legt dann ein anonymes Konto an (Nutzer-ID, Zeitpunkte, Mitgliedschaften, kein Name, keine Adresse), gebunden an dieses iPhone. Geht das iPhone verloren oder wird es gewechselt, lädt die Familie neu ein; „Konto löschen“ löscht es wie jedes andere. Die Inhaberin braucht eine Adresse, weil nur sie die Mappen wiederherstellen kann.

Bekannte Grenze: Beim Entfernen eines Zugangs wird der neue Schlüssel mit dem alten verschlüsselt. Das entfernte Mitglied kennt den alten Schlüssel; ausgesperrt wird es durch die Zugriffsregel des Servers, nicht kryptografisch. Der Betreiber allein kann trotzdem nichts entschlüsseln.

Pflegeagenturen (Organisationen)

Was hier mit „0014“, „0015“ oder „0016“ markiert ist, kam mit Erweiterungen des Servers. 0014 und 0015 sind im Live-Projekt eingespielt (geprüft 28.10.2026); 0016, die vorbereitete Mappe einer Agentur, ist seit 29.10.2026 eingespielt.

Eine Familie kann einer geprüften Agentur eine Mappe freigeben, nur über eine Anfrage aus der App, die die Agentur annimmt. Ihr Gerät versiegelt dabei die Schlüssel des gewählten Rechts an den öffentlichen Schlüssel der Agentur (das Recht Notfall nur lesend); den privaten Schlüssel halten nur die Admins der Agentur. Admins lesen die freigegebene Mappe und schreiben nie. Betreuerinnen bekommen Zugang je Turnus, über eine Mitgliedschaft mit Ablauf (höchstens 183 Tage). Ab dem Turnus-Ende sperrt der Server sofort; kryptografisch abgeschlossen ist es erst nach dem nächsten Schlüsselwechsel, den der Server anfordert und ein Gerät der Inhaberin oder der Stellvertretung beim nächsten Abgleich ausführt. Bis dahin kann die Betreuerin lesen, was sie schon geladen hat, aber nichts Neues vom Server holen. Die Familie sieht die Betreuerin unter den Mitgliedern der Mappe und kann sie entfernen; das beendet die Zuweisung.

Entzieht die Familie die Freigabe, löscht sie die Mappe oder ihr Konto oder endet der Vertrag der Agentur (nach 30 Tagen Nachfrist oder zum ausdrücklichen Vertragsende), behält die Agentur den Stand bis dahin als Archiv: eine Kopie der Chiffrate und Fotos, die nur sie öffnen kann, befristet auf ihre Aufbewahrungsfrist (7 bis 30 Jahre, Standard 10). Das ist ihre gesetzliche Dokumentation (Art. 17 Abs. 3 lit. b DSGVO); die App sagt es vor dem Entziehen und vor dem Löschen. Jeden Zugriff auf ein Archiv hält der Server in einem Zugriffsprotokoll fest (Konto, Zeitpunkt, Art; Lesen und Fotos ein Eintrag je Admin, Archiv, Art und Stunde, Export und Druck ein Eintrag je Vorgang). Seit 0014 lesen die Admins der Agentur dieses Protokoll selbst. Eine gesperrte Agentur liest nichts, ihre Betreuerinnen auch nicht.

Der Server sieht dazu: je Organisation Name, Art, GISA- oder Firmenbuchnummer, Kontaktadresse, öffentlichen Schlüssel, Prüfzeitpunkt und Beginn einer Sperre, Aufbewahrungsfrist, ob sie Mails zu Anfragen will (0014), den Vertrag (Art, Preise, Laufzeit) und, öffentlich ohne Anmeldung, nur mit veröffentlichtem Profil, Name, Art, Registernummer, Schlüssel und Verzeichnis-Profil; Mitglieder mit Konto und Rolle; bis zur Anmeldung, längstens 30 Tage, die eingetragene Adresse einer Mitarbeiterin; je Freigabe Mappe, Organisation, Recht, Zeitpunkte und einen Umschlag, den er nicht öffnen kann; je Zuweisung Mappe, Konto der Betreuerin und Turnus von–bis; je Anfrage Organisation, anfragendes Konto, gegebenenfalls die Mappe, Reichweite (Prüfen oder Verbinden), Zustand, Zeitpunkte, Größen und Zahl der Nachrichten; je neuer Anfrage und je Antwort auf eine Rückfrage einen Eintrag in der Mail-Warteschlange (0014; nur Organisation, Art, Kennung und die Zeitpunkte von Eintrag und Mail, keine Inhalte, keine Adressen); Archive als Kopie der Chiffrate und Fotos mit Grund, Frist und Zugriffsprotokoll.

Der Server sieht nicht: das Bedarfsprofil, die Kontaktangaben und die Einwilligung einer Anfrage, Rückfragen und Antworten, Namen von Betreuerinnen in Einträgen („Anzeigename · Agentur“ steht im Chiffrat). Das alles liegt nur versiegelt an den Schlüssel der Agentur oder der Familie.

Bekannte Grenzen: Auch der Schlüssel einer Agentur kommt über den Server (Verzeichnis); ein bösartiger Betreiber könnte einen eigenen unterschieben. Ebenso könnte er dem Portal eines Admins einen falschen Kontoschlüssel melden, an den das Portal den Schlüssel der Agentur ohne Rückfrage neu versiegelt. Ein vergleichbarer Fingerabdruck in Portal und App ist vor dem ersten Pilot geplant. Ein Admin, der die Agentur verlässt, kennt deren privaten Schlüssel weiter; einen Wechsel dieses Schlüssels gibt es noch nicht, der Server gibt ihm aber nichts mehr heraus. Bei Fotos hält das Zugriffsprotokoll die Freigabe für eine Stunde fest, nicht jeden Abruf. Fotos, die ein Gerät vor dem Löschen einer verbundenen Mappe selbst löscht, ohne vorher zu entziehen, fehlen im Archiv, die Einträge nicht. Eine Familie mit Schreibrecht kann Einträge der Betreuerin löschen, solange die Agentur verbunden ist; das Archiv hält den Stand beim Entzug, nicht jeden Zwischenstand.

Einladung einer Familie durch eine Agentur (0015)

Ein Admin einer geprüften Agentur mit Dokumentationsvertrag trägt im Portal die Mailadresse von Angehörigen und den Namen der betreuten Person ein. Den Namen versiegelt das Portal an den Schlüssel der Agentur; der Server kann ihn nicht lesen, und er steht nicht in der Mail. Der Server erzeugt einen Einladungscode, speichert davon nur eine Prüfsumme und schickt über Resend eine Mail mit dem Weg zur App und dem Link https://mappe.family/a/<Code>. Die Angehörige ist dann meist noch keine Nutzerin: Ihre Mailadresse liegt beim Betreiber, bis die Familie ihre Mappe an die Agentur freigibt, längstens 30 Tage nach der letzten Mail. Danach gilt der Link nicht mehr; gelöscht wird die Einladung im folgenden Nachtlauf (Abschnitt 3). Trägt die Agentur dieselbe Adresse noch einmal ein, geht die Mail erneut hinaus, frühestens 24 Stunden nach der letzten, mit neuem Link und wieder 30 Tagen; der frühere Link gilt dann nicht mehr.

Die Familie meldet sich in der App mit einer bestätigten Mailadresse an, öffnet den Link und sieht Name und Art der Agentur. Erst wenn sie das Verbinden bestätigt, merkt sich der Server ihre Familie, trägt die Agentur dort als bereitstellende Organisation ein und gibt ihr 30 Tage Mappe Plus, solange der Vertrag der Agentur samt Nachfrist trägt. Zugang zu Inhalten bekommt die Agentur erst mit der Freigabe durch die Inhaberin oder die Stellvertretung, solange der Link gilt: wie jede Freigabe eine Mappe in einem Recht, versiegelt an den Schlüssel der Agentur, das Recht Notfall nur lesend. Mit der Freigabe leert der Server Mailadresse und Namen der Einladung. Die Agentur kann eine Einladung jederzeit zurückziehen; der Link ist dann ungültig, eine schon bestehende Freigabe bleibt.

Der Server sieht dazu: je Einladung Agentur, Mailadresse der Angehörigen, einladenden Admin, Zeitpunkte (eingetragen, gemailt, gültig bis, angenommen, zurückgezogen) und die Prüfsumme des Codes, nach dem Verbinden die Familie und nach der Freigabe deren Kennung; bei der Familie das Ende der 30 Tage Mappe Plus und die bereitstellende Agentur; je Mail einen Eintrag im Mail-Zähler (Admin, Einladung, Zeitpunkt; 24 Stunden). Den Code selbst erzeugt er und gibt ihn nur an die Mail weiter. Der Server sieht nicht: den Namen der betreuten Person, der nur versiegelt vorliegt. Die Agentur sieht im Portal Mailadresse, Namen, Zeitpunkte und den Stand (offen, angenommen, verbunden, zurückgezogen), bis zur Freigabe weder Konto noch Mappe der Familie. Die Familie sieht vor dem Bestätigen nur Name, Art, Schlüssel und Prüfzeitpunkt der Agentur, keine Mailadresse und keinen Namen.

Bekannte Grenzen: Der Server prüft nicht, ob das Konto, das den Link annimmt, die eingeladene Mailadresse hat. Wer den Link hat, kann damit nur die eigene Mappe mit dieser Agentur verbinden und bekommt höchstens 30 Tage Mappe Plus über die Agentur; die eingeladene Familie bekommt danach „schon angenommen“ und braucht eine neue Einladung. Laufen die 30 Tage ohne Freigabe ab, stellt die Agentur nichts mehr bereit: Die Einladung einer anderen Agentur nimmt der Server dann an, und in der folgenden Nacht trägt er die Agentur bei der Familie aus (bis dahin nennt er sie noch, ohne Plus). Solange die 30 Tage oder eine Freigabe an sie laufen, bleibt sie eingetragen.

Vorbereitete Mappe einer Agentur (0016)

Statt nur einzuladen, kann ein Admin die betreute Person im Portal als Kundin oder Kunden anlegen und ihre Angaben schon eintragen: Person, Wohnen, Angehörige, Hausarzt und Apotheke, Körper (etwa Allergien, Blutverdünner, Diagnosen), Medikamente und Hinweise zur Pflege. Der Teil auf dem Server ist seit 29.10.2026 eingespielt; Portal und App sind dafür gebaut. Das Portal macht daraus im Browser eine Start-Mappe im Format einer Sicherung, ohne Fotos, Dokumente, Gaben und Verlauf, und verschlüsselt sie wie eine Sicherung mit Passwort (PBKDF2 mit 600 000 Runden, AES-256-GCM). Das Passwort ist ein Startcode aus acht Zeichen, den das Portal im Browser erzeugt. Lesbar erreicht er den Server nie, und er steht nie in der Mail: Die Agentur sagt ihn der Familie persönlich, am Telefon oder beim Erstgespräch. Damit andere Admins der Agentur ihn später nachsehen können, liegt er zusätzlich beim Server, versiegelt an den Schlüssel der Agentur wie der Name der betreuten Person; öffnen kann ihn nur die Agentur. Start-Mappe und versiegelter Startcode gehen mit der Einladung an den Server, dazu der Vorschlag der Agentur, welches Recht sie bekommen soll (voreingestellt Alltag mit Ändern, Notfall nur lesend). Einen Startcode im Klartext nimmt der Server nicht an. Die Mail ist dieselbe wie bei der Einladung, mit einem Satz mehr (unten, „E-Mail“).

Nach dem Verbinden holt die App die Start-Mappe. Abrufen darf sie nur die Inhaberin der Familie, die die Einladung angenommen hat, solange die Einladung gilt und noch keine Freigabe besteht; andere Familien, eine Stellvertretung und die Admins der Agentur bekommen sie nicht. Die App öffnet sie mit dem Startcode und übernimmt sie als eigene Mappe. Das Recht der Agentur wählt die Familie, der Vorschlag ist nur voreingestellt. Mit der Freigabe löscht der Server Start-Mappe und versiegelten Startcode. Ohne Freigabe ist die Start-Mappe höchstens 30 Tage nach der letzten Mail abrufbar und wird im folgenden Nachtlauf gelöscht (Abschnitt 3). Verantwortlich für die eingetragenen Angaben ist die Agentur; die Familie prüft und bestätigt sie, und ab der Übernahme ist es ihre Mappe wie jede andere. Jede vorbereitete Angabe trägt im verschlüsselten Datensatz den Stempel der Agentur. Die App zeigt vor dem Übernehmen und einmal danach, dass die Agentur die Mappe vorbereitet hat, und bittet, die Angaben zu prüfen; einzeln markiert sie die Angaben der Agentur in der Ansicht nicht.

Der Server sieht dazu: je Einladung, ob eine Start-Mappe vorliegt, wie groß sie ist (höchstens 262 144 Byte; daraus lässt sich der Umfang grob schätzen), den Vorschlag für das Recht und den versiegelten Startcode, den er nicht öffnen kann; Zeitpunkte wie bei der Einladung. Der Server sieht nicht: den Inhalt der Start-Mappe (Name, Geburtsdatum, Adresse, Angehörige, Hausarzt, Medikamente, Hinweise) und den Startcode. Die Agentur sieht im Portal, ob eine Start-Mappe liegt, den Vorschlag und, mit ihrem Schlüssel geöffnet, den Startcode; die Start-Mappe selbst gibt ihr der Server nicht zurück. Die Familie sieht vor dem Bestätigen nichts von der Start-Mappe. Resend erhält nur den Satz zum Startcode, nie den Code.

Bekannte Grenzen: Die Start-Mappe ist nur so gut geschützt wie der Startcode, und der ist viel kürzer als die Schlüssel einer Mappe: acht Zeichen aus 30, also rund 6,6 · 10¹¹ Möglichkeiten, gebremst durch die 600 000 Runden. Eine Kopie der verschlüsselten Start-Mappe bekommt, wer die Einladung mit einer fremden Mail annimmt, und nach einem Einbruch in die Datenbank der Einbrecher, dann für jede gerade liegende Start-Mappe. Damit ließe sich der Code mit großem Rechenaufwand raten: mit einer aktuellen Grafikkarte im Mittel rund achteinhalb Monate, mit hundert davon rund zweieinhalb Tage (eigene Hochrechnung aus dem veröffentlichten hashcat-Benchmark einer Nvidia RTX 4090 für PBKDF2-HMAC-SHA256, abgerufen am 28.10.2026). Deshalb liegt sie nur bis zur Freigabe beim Server, und deshalb geht der Code nie lesbar über Mail oder Server. Wer Mail und Startcode hat und die Einladung zuerst annimmt, kann die Start-Mappe öffnen; die eingeladene Familie bekommt dann „schon angenommen“, die Agentur sieht „angenommen“. Zieht die Agentur die Einladung zurück, ist die Start-Mappe sofort nicht mehr abrufbar; gelöscht wird sie im Nachtlauf einen Tag danach. Ändern kann die Agentur ihre Angaben nur, indem sie die Mail erneut sendet: mit neuem Link, frühestens 24 Stunden nach der letzten Mail, und die Start-Mappe liegt dann bis zu 30 Tage ab dieser Mail.

Portal im Browser (portal.mappe.family)

Angehörige mit Konto sowie Admins und Betreuerinnen einer Agentur arbeiten im Browser. Die Seiten sind statisch (Hostinger, Zugriffsprotokolle wie bei der Website), ohne Analytik, externe Schriften oder Skripte; der Browser spricht direkt mit dem Server. Schlüssel, Sitzung und entschlüsselter Stand liegen nur verschlüsselt im Speicher des Browsers (IndexedDB), mit einem Schlüssel aus dem Portal-Passwort (PBKDF2 mit 600 000 Runden, AES-GCM); ohne Passwort kommt nichts in den Browser. Nach 15 Minuten ohne Eingabe sperrt das Portal. „Abmelden“ beendet nur die Sitzung, der Tresor bleibt verschlüsselt im Browser; „Diesen Browser vergessen“ löscht alles Lokale.

Damit dasselbe Konto in einem zweiten Browser weiterarbeitet, liegt der Schlüsselbund des Tresors (Schlüssel je Mappe, Schlüsselpaar des Kontos, bei Admins der private Schlüssel der Agentur, Anzeigename) seit 24.10.2026 zusätzlich auf dem Server, versiegelt mit dem Portal-Passwort. Der Server sieht nur den Blob, seinen Zeitpunkt und als Hinweis den Browser, in dem das Passwort festgelegt wurde (etwa „Safari · macOS“); öffnen kann er ihn nicht, ein Passwort zurücksetzen auch nicht. „Passwort vergessen?“ löscht ihn endgültig, mit dem Konto verschwindet er ebenso.

Arbeitsbereich einer Betreuerin: Bis die Betreuerinnen-App fertig ist, und danach als zweiter Zugang, arbeitet eine Betreuerin im Portal mit ihrem eigenen Konto. Das Portal holt ihre Zuweisungen, öffnet den Umschlag der Agentur und legt die Schlüssel in den Tresor und in den Schlüsselbund auf dem Server, dort nur versiegelt mit ihrem Portal-Passwort. Die Arbeits-Mappe steht getrennt von privaten Mappen unter „Arbeit · Agentur“; ihre Einträge tragen im Chiffrat „Anzeigename · Agentur“. Den Zugang gibt der Server ab der Zuweisung, der Turnus beginnt höchstens einen Tag danach. Zur Vorbereitung zeigt das Portal die Mappe schon vor dem Beginn, bis dahin nur lesend. Den Beginn selbst prüft der Server nicht; mit Schreibrecht nähme er auch vorher schon Einträge an. Am Turnus-Ende (Zuweisung beendet oder abgelaufen, Freigabe entzogen, Vertrag aus) verlassen Schlüssel, Stand und Fotos dieser Mappe den Tresor jedes Browsers, sobald er das Portal öffnet oder abgleicht, und den Schlüsselbund auf dem Server beim nächsten Abgleich. Grenzen: Ein Browser, der nicht mehr geöffnet wird, behält seinen Tresor, verschlüsselt mit dem Portal-Passwort und ohne Zugang zum Server; gedruckte oder als PDF gesicherte Übergabe-Blätter bleiben, wo sie sind. Der Server sieht durch den Arbeitsbereich nichts Neues.

Website und Einladungslinks

mappe.family liegt bei Hostinger. Beim Aufruf einer Seite speichert der Webserver übliche Zugriffsprotokolle: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browserkennung. Die Website setzt keine Cookies und lädt keine externen Schriften, Skripte oder Tracker.

Einladungslinks haben die Form https://mappe.family/i#…. Einladung (Vorname, Name und Telefonnummer der einladenden Person, Einladungscode) und Schlüssel stehen hinter dem Zeichen #; diesen Teil überträgt kein Browser und keine Linkvorschau. Der Webserver sieht deshalb nur, dass die Einladungsseite aufgerufen wurde.

Einladungslinks einer Agentur (0015) haben die Form https://mappe.family/a/<Code>. Hier steht der Code im Pfad, nicht hinter #: Wird ein solcher Link im Browser geöffnet, steht der Code wie jede aufgerufene Adresse im Zugriffsprotokoll. Ist Mappe auf dem iPhone installiert, öffnet iOS den Link direkt in der App, ohne Browser. Der Code gilt höchstens 30 Tage und verbindet nur die Mappe dessen, der ihn annimmt, mit dieser Agentur (oben, „Einladung einer Familie durch eine Agentur“). Die Seite unter dem Link zeigt nichts von der Einladung an und reicht den Code nur an die App weiter. Den Startcode einer vorbereiteten Mappe (0016) trägt der Link nie.

E-Mail

Anmelde-Codes verschickt Resend, ein US-Unternehmen, über seine EU-Region von no-reply@mappe.family. Übertragen werden E-Mail-Adresse und Code, sonst nichts.

Mails an Agenturen, ihre Mitarbeiterinnen und die von einer Agentur eingeladenen Familien gehen ebenfalls über Resend von no-reply@mappe.family, nie mit Inhalten einer Mappe, die an Agenturen und Mitarbeiterinnen auch ohne Angaben über Familien; die Server-Funktionen protokollieren keine Adressen.

• Eintrag einer Mitarbeiterin: an ihre Adresse, mit Name der Agentur, einer Antwortadresse der Agentur und den Schritten zur Anmeldung; kein Link mit Code. Höchstens 20 je Admin und Tag (mit 0015 gemeinsam mit den Einladungen von Familien gezählt), eine je Adresse und Tag.
• Einladung einer Familie (0015): an die Mailadresse, die die Agentur eingetragen hat, Betreff „Einladung von [Name der Agentur] zu Mappe“. Inhalt: Name der Agentur, ein Satz, was Mappe ist, die Schritte in der Reihenfolge der App, der Link, „Mappe Plus übernimmt“ die Agentur, bis wann der Link gilt, und dass nichts geschieht, wenn man nichts tut; Antwortadresse der Agentur. Kein Name der betreuten Person, keine Gesundheitsdaten. Resend erhält dafür Mailadresse, Name und Antwortadresse der Agentur und den Link. Höchstens 20 je Admin und Tag, gemeinsam mit den Mails an Mitarbeiterinnen; dieselbe Einladung frühestens 24 Stunden nach der letzten Mail erneut. Die Schritte: App laden; mit einem Startcode der Agentur keine eigene Mappe anlegen, sonst zuerst die Mappe anlegen; auf dem iPhone den Link öffnen; in der Einladung mit dieser Adresse anmelden (Anmelde-Code per Mail); dann den Startcode eingeben oder das Verbinden bestätigen. Seit 0016 sagt jede Einladungsmail nach den Schritten, dass es zwei Codes gibt: den Anmelde-Code schickt Mappe per Mail, den Startcode für eine vorbereitete Mappe bekommt man nur persönlich von der Agentur, nie in einer Mail. Den Code selbst, die Start-Mappe oder den versiegelten Code enthält sie nie, und das Protokoll der Server-Funktion nennt sie auch nicht.
• Warnung vor dem Ende des Dokumentationsvertrags, höchstens wöchentlich: an die Kontaktadresse der Agentur, fehlt sie, an ihre Admins, falls eingerichtet in Blindkopie an den Betreiber; Inhalt Name der Agentur, Vertragsdaten, Zahl der freigegebenen Mappen.
• Neue Anfragen und Antworten (0014): an die Kontaktadresse und die Admins der Agentur, nie an Betreuerinnen; höchstens eine Mail je Stunde, nur an geprüfte, nicht gesperrte Agenturen. Inhalt nur der Name der Agentur, die Zahl neuer Anfragen und Antworten auf Rückfragen und der Link zum Portal, keine Namen. Ab Werk an; Admins schalten sie im Portal ab. Dahinter steht eine Warteschlange mit Kennungen und Zeitpunkten, gelöscht nach 30 Tagen.

Die ersten beiden verschickt der Server sofort. Die Warnung und die Mail zu Anfragen schicken zeitgesteuerte Läufe, die seit 28.10.2026 im Live-Projekt eingerichtet sind (Abschnitt 3).

Anfragen an hallo@mappe.family liegen in einem Postfach bei Microsoft 365. Bitte schicke dort keine Gesundheitsdaten; für Hilfe brauchen wir sie nicht. „Problem melden“ (Einstellungen → Hilfe → Verbindung prüfen) öffnet eine Mail dorthin, die du selbst siehst und abschickst: App- und iOS-Version, Gerätemodell und die Zeilen der Prüfung (angemeldet ja oder nein, Server erreichbar, Zeitpunkt des Abgleichs, fehlende Schlüssel, Berechtigungen, Watch, Widget). Nie Inhalte der Mappe; Namen nur als Vornamen der Mappen in den Zeilen zu Abgleich und Schlüsseln, die du vor dem Senden siehst. Ohne Mail-Konto geht der Text über das Teilen-Blatt.

Übermittlung in die USA

Supabase, Resend und Microsoft sind US-Unternehmen. Auch wenn sie in der EU verarbeiten, ist ein Zugriff aus den USA rechtlich nicht auszuschließen. Die Übermittlung stützt sich auf das EU-US Data Privacy Framework oder die Standardvertragsklauseln der Auftragsverarbeitungsverträge. Die Inhalte der Mappe sind davon nicht berührt: Sie liegen dort nur als Chiffrat, dessen Schlüssel kein Anbieter hat.

Apple

Das Abo wird über den App Store abgewickelt. Die App sendet den signierten Beleg an den Server; gespeichert werden Produkt, Ablauf, Original-Transaktions-ID und Umgebung.

3. Fristen

* Den nächtlichen Lauf und das Aufräumen alle 10 Minuten übernimmt eine Server-Funktion für Agenturen. Seit 28.10.2026 ist dieser Lauf im Live-Projekt eingerichtet, ebenso der Lauf für die Mail zu neuen Anfragen (0014); damit gelten die Fristen oben auch dort, für Einladungen von Familien (0015) ebenso. Vorher sperrte der Server den Zugriff zur Frist (jeder Aufruf prüft den Ablauf von Zugang und Anfrage, den Vertrag und eine Sperre), löschte aber nicht; was in dieser Zeit liegen blieb, holen die ersten Läufe nach. Eingetragene Adressen von Mitarbeiterinnen sind seit 0015 nach 30 Tagen nicht mehr annehmbar; der Server prüft das Alter selbst.

4. Löschwege (alle wirken hart)

• Foto oder Seite entfernen: lokale Datei weg, beim nächsten Abgleich auch das Objekt auf dem Server.
• Unterlage oder Mappe löschen: lokal weg; der Abgleich sendet Lösch-Markierungen, Fotos werden auf dem Server gelöscht.
• „Vom Server entfernen“: alle Fotos der Mappe, dann die Mappe selbst mit Datensätzen und Mitgliedschaften.
• „Zugang entfernen“ (Widerruf): Mitgliedschaft weg, Schlüssel rotiert, Datensätze und Fotos neu verschlüsselt, alte Objekte gelöscht. Bereits geladene Kopien beim ehemaligen Mitglied bleiben, wie bei einer verschickten Datei.
• „Konto und alle Serverdaten löschen“: deine Mappen samt Datensätzen, Fotos, Mitgliedschaften, Abo-Eintrag, Wiederherstellungs-Paket und Konto. Geht immer, auch ohne Abo (Art. 17 DSGVO). Hat die Inhaberin eine Stellvertretung, gehen die Mappen an sie über, statt gelöscht zu werden: Sie gehören der Familie, nicht dem Konto.
• App löschen: alle lokalen Daten und der Schlüssel im Schlüsselbund sind weg. Serverdaten laufen über den Ablauf-Job aus oder werden per Konto-Löschung entfernt.
• „Freigabe entziehen“ (Agentur): Die Agentur behält den Stand bis dahin als Archiv, danach werden die Schlüssel des Rechts gewechselt.
• Einladung einer Familie zurückziehen (Portal, Admins, 0015): Der Link ist sofort ungültig und eine vorbereitete Start-Mappe (0016) nicht mehr abrufbar; die Einladung samt Mailadresse, versiegeltem Namen, Start-Mappe und versiegeltem Startcode ist im Nachtlauf nach einem Tag weg. Eine schon bestehende Freigabe bleibt; sie wird wie jede Freigabe entzogen.
• Freigabe aus einer Einladung (0015): Mailadresse, versiegelter Name, Start-Mappe und versiegelter Startcode (0016) der Einladung sind sofort leer. Eine übernommene Start-Mappe ist ab dann eine Mappe der Familie wie jede andere.
• Mappe oder Konto löschen bei verbundener Agentur: Die Freigabe geht vorher ins Archiv der Agentur, das bleibt (Aufbewahrungspflicht); alles andere wie oben.
• Turnus-Ende: Der Zugang der Betreuerin ist sofort unwirksam, der Schlüsselwechsel angefordert: beim Beenden durch die Agentur oder Entfernen durch die Familie sofort, beim Ablauf mit dem Aufräumen alle 10 Minuten (Abschnitt 3). Im Portal verlassen Schlüssel und Stand der Arbeits-Mappe Browser und Schlüsselbund.
• Konto einer Betreuerin löschen: Zuweisungen und Mitgliedschaft in der Agentur sind weg, laufende Zuweisungen fordern den Schlüsselwechsel an; ihre Einträge bleiben Teil der Mappe und, wenn archiviert, des Archivs der Agentur.
• „Mail bei neuen Anfragen und Antworten“ abschalten (Portal, Admins, 0014): ungesendete Einträge der Warteschlange sofort weg, keine neuen.
• Agentur löschen: nur auf Wunsch der Agentur durch den Betreiber, nach ihrem Export; Mitglieder, Profil, Vertrag, Anfragen, Einladungen von Familien, Mail-Warteschlange und Archive gehen mit, Freigaben verschwinden dabei ohne Schlüsselwechsel.
• Portal: „Passwort vergessen?“ löscht den Schlüsselbund auf dem Server endgültig, „Diesen Browser vergessen“ alles Lokale des Portals in diesem Browser.

5. Datensparsamkeit

• Weitergabe an Personen: ohne Plus nur die Notfallkarte als PDF (eine Seite, Stand, Empfänger und Absender in der Fußzeile, Vermerk im Protokoll); mit Plus die Ende-zu-Ende-verschlüsselte Live-Verbindung. Eine Mappe-Datei für Angehörige gibt es nicht.
• Sicherungen erzeugt nur das Original, optional passwortgeschützt. Kopien können weder sichern noch Dateien weitergeben.
• Rechte begrenzen, was jede Person erhält. Das Recht Notfall enthält keine Bildseiten, keine vertraulichen Unterlagen und psychische Notizen nur nach bewusster Freigabe. Vertrauliche Seiten liegen physisch nur im Recht „Vertraulich“. Das Lebenszeichen („Mir geht's gut“: Zeitpunkt und Vorname) liegt bewusst im Recht Notfall: Wer die Karte sieht, sieht auch, wann sich die Person zuletzt gemeldet hat.
• Anfragen an Agenturen: Das Blatt zeigt jede Zeile des Bedarfsprofils, die Familie wählt ab, was nicht hinaus soll; nie Dokumente, Fotos, Versichertennummer oder die vollständige Medikamentenliste. Eine Agentur bekommt nur ein Recht. Mails an Agenturen nennen nur ihren Namen und Zahlen.
• Einladungen durch Agenturen (0015): Der Name der betreuten Person reist nur versiegelt an den Schlüssel der Agentur, nie in der Mail. Die Familie erfährt vor dem Bestätigen nur, welche Agentur einlädt. Mit der Freigabe leert der Server Mailadresse und Namen.
• Vorbereitete Mappe einer Agentur (0016): nur Felder, die es in der Mappe schon gibt, ohne Fotos, Dokumente, Gaben und Verlauf; beim Server nur verschlüsselt und nur bis zur Freigabe. Der Startcode erreicht den Server nie lesbar und steht nie in einer Mail.
• Keine Analytik, kein Absturz-Dienst, keine Werbe-IDs, keine Push-Token. Anfragen werden serverseitig ohne Inhalt protokolliert.
• Erinnerungen an offene Gaben gibt es nur, wenn du sie in den Einstellungen einschaltest. Sie entstehen auf deinem iPhone, ohne Server und ohne Push-Token; der Text nennt Vorname und Medikament und erscheint je nach iOS-Einstellung auf dem Sperrbildschirm. Ebenso „Lebenszeichen erwarten“ (ab Werk aus): eine Mitteilung auf diesem iPhone, wenn bis zur eingestellten Uhrzeit kein „Mir geht's gut“ in der Mappe steht.
• Apple Health und der iOS-Kalender bleiben aus, bis du sie einschaltest. Beides fragt iOS vorher um Erlaubnis, und beides lässt sich jederzeit wieder ausschalten.
• Netzwerk nur nach Anmeldung und Einschalten des Abgleichs. Ein automatischer Test stellt sicher, dass die App ohne diese Zustimmung keinen Server kontaktiert.

6. Offene Punkte vor der Veröffentlichung

• Datenschutzerklärung und Nutzungsbedingungen anwaltlich fertigstellen.
• Auftragsverarbeitungsverträge mit Supabase, Resend, Hostinger und Microsoft ablegen; Grundlage der US-Übermittlung (Data Privacy Framework oder Standardvertragsklauseln) je Anbieter festhalten.
• Rechenzentrum der Website und Aufbewahrung der Zugriffsprotokolle bei Hostinger und Supabase eintragen.
• Datenschutz-Label im App Store: „E-Mail-Adresse“, „Kaufhistorie“, „Nutzer-ID“ (mit Konto verknüpft). Gesundheitsdaten erreichen den Betreiber nur verschlüsselt; die Einordnung wird geprüft.
• Hinweis in der App für Pflegedienste als Angehörige: Sie sind für ihre Kopie selbst verantwortlich.
• Quantencomputer: Die Inhalte liegen unter AES-256, das als quantensicher gilt; der Schlüsseltausch im Umschlag (X25519) nicht. Die Umstellung der Umschläge auf ein hybrides Verfahren ist geplant vor dem Start mit Agenturen und ihren dauerhaften Freigaben, spätestens vor 2030. Den Cyber Resilience Act (Pflichten ab 11.12.2027) auf Anwendbarkeit prüfen lassen.
• Für Agenturen vor dem ersten Live-Gang: Vorlage des Auftragsverarbeitungsvertrags, Einwilligungstext der Anfrage, Rechtsgrundlage und Frist des Archivs prüfen lassen; Fingerabdruck des Agentur-Schlüssels in Portal und App; Löschfristen nach Vertragsende, für beendete Zuweisungen und entzogene Freigaben festlegen; Aufbewahrung der Versandprotokolle bei Resend eintragen.
• Einladung von Familien durch Agenturen (0015, seit 28.10.2026 im Live-Projekt): Rolle und Rechtsgrundlage für die Mailadresse einer Angehörigen, die noch nicht Nutzerin ist, prüfen lassen (Betreiber verantwortlich oder Auftragsverarbeiter der Agentur; berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO oder der Betreuungsvertrag der Agentur) und die Agentur im Auftragsverarbeitungsvertrag verpflichten, nur Adressen mit Einverständnis der Familie einzutragen; entscheiden, ob das Verbinden die eingeladene Mailadresse verlangt.
• Vorbereitete Mappe einer Agentur (0016, seit 29.10.2026 im Live-Projekt): prüfen lassen, auf welcher Grundlage die Agentur Gesundheitsdaten der betreuten Person an Angehörige weitergibt (etwa Einwilligung der betreuten Person oder ihrer Vertretung nach Art. 9 Abs. 2 lit. a DSGVO) und dass der Betreiber die Start-Mappe als Auftragsverarbeiter der Agentur hält; die Agentur im Auftragsverarbeitungsvertrag verpflichten, den Startcode nur persönlich weiterzugeben; die Länge des Startcodes festlegen und entscheiden, ob Zurückziehen die Start-Mappe sofort löscht.