Auf die Warteliste

Datenschutzerklärung

Information über die Verarbeitung personenbezogener Daten gemäß Art. 13 und Art. 14 DSGVO. Stand: 13. Oktober 2026.

1. Verantwortlicher und Kontakt

Verantwortlich im Sinne der DSGVO ist:

INVENTIO GmbH
Dammweg 1, 3163 Rohrbach an der Gölsen, Österreich
FN 519784p, Landesgericht St. Pölten
Vertretung: Dr. Markus Leopold, MBA

Kontakt für Datenschutzanfragen: datenschutz@kinverse.family (Antwort innerhalb eines Monats gemäß Art. 12 Abs. 3 DSGVO).

Allgemeiner Support: hello@kinverse.family

E-Mails an hello@kinverse.family und datenschutz@kinverse.family werden über unseren Domain-Anbieter Porkbun an ein Postfach der INVENTIO GmbH weitergeleitet.

Ein Datenschutzbeauftragter ist nicht bestellt — die gesetzliche Bestellpflicht nach Art. 37 Abs. 1 DSGVO wird laufend überprüft. Bei Eintritt wird diese Erklärung aktualisiert.

2. Im Überblick

Kinverse ist eine Plattform für gemeinsam gepflegte Familien-Stammbäume. Sie erfassen Verwandte, organisieren Beziehungen, teilen Erinnerungsstücke (Fotos, Notizen) und nutzen optional KI-Funktionen (Biografie-Generierung, Import „Familie aus Text“, Lesehilfe für Kirchenbuch-Ausschnitte). Ein wöchentlicher Abgleich, der mögliche Doppel-Einträge zwischen Familien vorschlägt, ist in der Pilotphase derzeit nicht aktiv (Punkt 4.3).

Wir verarbeiten dabei zwangsläufig auch Daten von Personen, die Kinverse nicht selbst nutzen, also Ihrer Verwandten. Für diese Personen gelten datenschutzfreundliche Voreinstellungen (Privacy by Default):

Eine genauere Beschreibung finden Sie unter Punkt 8.1.

3. Datenkategorien — Stufenmodell

Zu den Rollen: In einer Familie gibt es drei Rollen: Besitzer, Bearbeiter und Leser. Leser können nur lesen. Wir verwenden die Rollennamen wie in der App, sie gelten für alle Geschlechter.

Wir ordnen personenbezogene Daten in drei Stufen plus besondere Kategorien:

Stufe 0 — Grunddaten

Vorname, Nachname, Geburtsname, Geschlecht, Geburtsjahr, Sterbejahr, Position im Stammbaum. Sie bilden die Grundlage für jede Beziehung im Stammbaum und sind für alle Mitglieder Ihrer Familie immer sichtbar.

Stufe 1 — Weitere Angaben

Volles Geburts- und Sterbedatum (Tag und Monat), Fotos, KI-Biografie, Notizen, Titel, Spitzname, Tags, Lebensereignisse (Beruf, Wohnort, Firmung, …) samt Orten sowie Hochzeitsdatum und -ort. Besitzer und Bearbeiter der Familie sehen diese Daten immer, weil sie den Stammbaum pflegen. Für Leser gilt: bei lebenden Personen ohne übernommenen Eintrag nicht sichtbar, bei Personen mit übernommenem Eintrag nach deren Freigaben, die je Bereich auf „nur Besitzer und Bearbeiter“, „enge Familie“ oder „alle Mitglieder“ stehen (Punkt 8.1). Notizen und KI-Biografien sehen Leser nie, auch nicht bei Verstorbenen, außer beim eigenen, übernommenen Eintrag. Für Fotos von Anlässen mit mehreren Personen gilt eine strengere Regel, für Dokumente im Archiv eine eigene Freigabe (Punkt 4.7).

Stufe 2 — Kontaktdaten

E-Mail-Adresse, Telefonnummer. Besitzer und Bearbeiter der Familie sehen sie. Leser sehen sie nie, auch nicht nach einer Freigabe, außer beim eigenen, übernommenen Eintrag.

Besondere Kategorien nach Art. 9 DSGVO

Religion, Todesursache, Pflege- und Gesundheitsdaten (Care-Events), Notfall-Kontaktketten, historische Registerinfo, KI-generierte Biografien (potenziell Art. 9-Inhalte). Die Felder Religion, Todesursache, Heimatzuständigkeit, Todeserklärung und Totgeburt sowie KI-Biografien und Care-Events sind für Mitglieder, die nur lesen (Leser), ausgeblendet, außer beim eigenen, übernommenen Eintrag (Care-Events auch dort nicht); sonst sehen sie nur Besitzer und Bearbeiter der Familie. In den Prompt für KI-Biografien gehen diese Felder nicht ein (Punkt 4.6). Auch freie Notizen und Lebensereignisse (etwa Taufe oder Konfessionswechsel) können solche Angaben enthalten. Notizen sehen Leser nie, außer beim eigenen, übernommenen Eintrag. Bei den Lebensereignissen sind für Leser Konfessionswechsel und Todeserklärungen sowie die Notizen zu allen Ereignissen ausgeblendet (außer beim eigenen, übernommenen Eintrag), auf der Personenseite wie im GEDCOM-Export; die übrigen Ereignisse (etwa Taufe) sehen Leser bei Verstorbenen und, bei Lebenden, nach deren Freigabe. Notizen und diese Ereignisse gehen nicht in den Prompt für KI-Biografien ein. Beim Import „Familie aus Text“ liest Anthropic solche Angaben mit heraus, wenn sie im eingefügten Text stehen (Punkt 4.8).

Care-Events und Notfall-Kontaktketten sind in der Pilotphase derzeit nicht freigeschaltet; bereits gespeicherte Daten werden wie beschrieben behandelt. Für Kirchenbuch-Ausschnitte in der KI-Lesehilfe des Forschungsraums gilt die gesonderte Darstellung unter Punkt 4.13.

4. Verarbeitungstätigkeiten

Die nachfolgende Aufstellung beschreibt die einzelnen Verarbeitungen mit Zweck, Rechtsgrundlage und Datenkategorien.

4.1 Konto und Anmeldung

Daten: E-Mail, Vorname, Nachname, Profilbild (optional), Sprache.
Zweck: Anmeldung, Sitzungsverwaltung, Wiederherstellung des Zugangs.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung Plattformnutzung).
Auftragsverarbeiter: Clerk (EU-Region Frankfurt). Alle Konten bei Clerk werden wöchentlich in die verschlüsselte Sicherung exportiert (Punkt 5 und 6). Ihre aktuellen Kontodaten liegen bei Clerk und in einer Kopie in unserer Datenbank; im Audit-Log speichern wir zu Kontoänderungen keine E-Mail-Adresse und keinen Namen (Punkt 4.11).

4.2 Erfassung des Familien-Stammbaums

Daten: Stufe 0, 1 und 2 wie unter Punkt 3.
Zweck: Aufbau und Pflege Ihres Familien-Stammbaums mit Beziehungen, Lebensereignissen und Fotos.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für Sie selbst; Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Familienverwaltung) für Stufe 0 mitbetroffener lebender Verwandter bei aktiven datenschutzfreundlichen Voreinstellungen; Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) für die Stufen 1 und 2 nach der Übernahme des Eintrags.

4.3 Familienübergreifende Identitäts-Vorschläge

Status: Diese Funktion ist in der Pilotphase derzeit nicht aktiv. Der wöchentliche Abgleich läuft derzeit für keine Familie, auch der Abgleich gegen Wikidata nicht. Bereits gespeicherte Vorschläge bleiben gespeichert, werden aber nirgends angezeigt. Die folgende Beschreibung gilt, sobald die Funktion eingeschaltet wird.
Ablauf: Jede Woche (montags) vergleicht unser Server automatisch die verstorbenen Personen der Familien, für die die Funktion eingeschaltet ist, mit den verstorbenen Personen der anderen Familien (siehe „Nur Verstorbene“). Ist zusätzlich der Wikidata-Pool eingeschaltet, vergleicht derselbe Lauf die Personen der Familie auch mit einem Bestand öffentlicher Daten historischer Personen aus Wikidata.
Daten im Abgleich: Vorname, Nachname, Geburtsname, Geschlecht, Geburtsjahr sowie Tag und Monat der Geburt; Geburts- und Sterbejahr außerdem, um beim Vergleich zwischen Familien vorher alle Personen auszuschließen, die als lebend gelten.
Zweck: Erkennen möglicher Doppel-Einträge (dieselbe Person in zwei Stammbäumen), um gemeinsame Verwandte zu verknüpfen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verknüpfung von Stammbäumen).
Algorithmische Logik: Ein punktebasiertes Verfahren mit festen Filtern gegen Vornamen-Verwechslungen. Vorschläge zwischen Familien entstehen ab einem Wert von 3,0, Vorschläge aus dem Wikidata-Pool ab 2,3.
Nur Verstorbene: Zwischen Familien vorgeschlagen werden nur Personen, die in beiden Familien als verstorben gelten (mit eingetragenem Sterbejahr oder vor mindestens 110 Jahren geboren). Lebende Personen und Personen ohne diese Angaben sind vom Abgleich ausgeschlossen, auch wenn nur eine der beiden Seiten lebt. Ältere Vorschläge, bei denen eine der beiden Personen inzwischen als lebend gilt, werden nicht mehr angezeigt und nicht mitgezählt. Wurde eine lebende Person schon früher zwischen zwei Familien verbunden, zeigt die App dazu nur noch die beiden Einträge (von der anderen Familie nur den Vornamen), und die Verbindung lässt sich nur noch lösen oder ablehnen.
Wer den Vorschlag sieht: Besitzer und Bearbeiter beider Familien; nur sie können zustimmen oder ablehnen. Den Namen der anderen Familie zeigen wir nie, auch nicht nach der Verbindung; dort steht nur „eine andere Familie“ bzw. „eine verbundene Familie“. Von der verstorbenen Person der anderen Familie sehen sie Name, Lebensjahre und die übereinstimmenden Merkmale. Die Freigaben einer Person gelten nur in ihrer eigenen Familie, nie für andere Familien.
Keine automatisierte Entscheidung im Sinne Art. 22 DSGVO: Die Verknüpfung wird erst geschrieben, wenn auf beiden Seiten ein Besitzer oder Bearbeiter zugestimmt hat. Ebenso kann jede Seite ablehnen.
Widerspruch: In der App gibt es derzeit keine Möglichkeit, eine einzelne Person vom Abgleich auszunehmen; auch die Übernahme des Eintrags nimmt sie nicht aus. Ihren Widerspruch nach Art. 21 DSGVO richten Sie an datenschutz@kinverse.family.

4.4 Übernahme des eigenen Eintrags (Claim)

Daten: Die E-Mail-Adresse, an die die Einladung geht, Ihre Sichtbarkeits-Schalter, die Verknüpfung mit der übernommenen Person.
Einladung: Die Einladung verschickt unser Anmeldedienst Clerk. Clerk erhält dafür die E-Mail-Adresse sowie die internen IDs der Person und der Familie. Wird die E-Mail-Adresse beim Einladen neu eingegeben und hat die Person noch keine, speichern wir sie als Kontaktadresse der Person (Stufe 2). Geht eine neue Einladung an eine andere Adresse, zieht die App die noch offene Einladung an die frühere Adresse bei Clerk zurück; scheitert nach dem Versand das Speichern, zieht sie die gerade verschickte Einladung zurück.
Mitgliedschaft: Sie werden mit der Übernahme Mitglied der Familie mit der Rolle Leser und sehen den Stammbaum nach den Sichtbarkeitsregeln für Leser (Punkt 3 und 8.1), wenn die Einladung von einem Besitzer kam, diese Person beim Übernehmen noch Besitzer ist und Sie nicht nach dem Versand der Einladung aus der Familie entfernt wurden oder sie verlassen haben. Sonst, etwa bei einer Einladung durch einen Bearbeiter, übernehmen Sie nur Ihren eigenen Eintrag und werden kein Mitglied; Mitglied werden Sie, wenn ein Besitzer Sie einlädt. Darauf weist die Seite vor dem Übernehmen hin. Sind Sie schon Mitglied, bleibt Ihre Rolle unverändert. Eine neue Mitgliedschaft protokollieren wir im Audit-Log mit ihrer Herkunft (Punkt 4.11).
Zweck: Sie übernehmen die Kontrolle über Ihren Eintrag, wenn jemand Sie als Verwandte oder Verwandten in seinen Stammbaum eingetragen hat.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) ab der Übernahme des Eintrags; für die Mitgliedschaft Art. 6 Abs. 1 lit. b DSGVO (Punkt 4.16).

4.5 Care-Events und Notfall-Benachrichtigung

Status: Diese Funktion ist in der Pilotphase derzeit nicht freigeschaltet; bereits gespeicherte Daten werden wie beschrieben behandelt. Bestehende Care-Events können Besitzer und Bearbeiter der Familie in der App löschen, auch solange die Funktion ausgeschaltet ist.
Daten (Art. 9): Krankenhausaufenthalte, Reha, Pflegekontext, Angaben zu Helferinnen und Helfern, Besuchstermine.
Zweck: Koordination der Pflege in der Familie, Notfall-Benachrichtigung an Verwandte 1. Grades.
Rechtsgrundlage: Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung der betroffenen Person — entweder selbst eingetragen oder bei Anlage durch Verwandte 1. Grades mit dokumentierter Einwilligung).
Berechtigungen: Care-Events eintragen, ändern und den Notfall-Broadcast auslösen dürfen nur Besitzer und Bearbeiter der Familie, die zugleich Verwandte 1. Grades der Person (Eltern, Kinder, Geschwister, Partnerin oder Partner) oder die Person selbst sind. Löschen dürfen Besitzer und Bearbeiter auch ohne Verwandtschaft. Leser sehen Care-Events nicht.

4.6 KI-Biografie-Generierung

Auslösung: Eine Biografie entsteht nur, wenn eine berechtigte Person (Besitzer oder Bearbeiter der Familie) sie ausdrücklich per Klick anfordert: für eine einzelne Person oder mit „KI-Geschichte für alle“ für bis zu 300 Personen einer Familie auf einmal (mit Bestätigungsabfrage). Beim Import „Familie aus Text“ entstehen Biografien für neu angelegte Personen automatisch (Punkt 4.8). Leser können keine Biografie auslösen.
Daten im Prompt: Name (mit Titeln und Spitzname), Geburts- und Sterbedatum, Geburts-, Wohn- und Sterbeort, Namen und Geburtsjahre von Eltern, Geschwistern und Kindern, Namen von Partnerinnen und Partnern mit Hochzeitsjahr sowie ausgewählte Lebensstationen (Beruf, Ausbildung, Wohnsitz, Militärdienst, Aus- und Einwanderung, Volkszählung) mit Ort und Jahr.
Lebende Personen: Ist die Person, um deren Biografie es geht, lebend, wird ihr Geburtsdatum auf das Geburtsjahr gekürzt, und Orte gehen nur grob auf Ort- und Landesebene mit, ohne Straße, Hausnummer oder Postleitzahl. Lebende Verwandte erscheinen nur mit Vornamen und ihrer Rolle (Eltern, Geschwister, Partnerin oder Partner, Kinder), ohne Nachname, Geburtsjahr und Hochzeitsjahr.
Übernommene Einträge: Für Personen, die ihren Eintrag übernommen haben, wird keine Biografie erzeugt und nichts an Anthropic übermittelt, auch nicht beim Lauf „KI-Geschichte für alle“ und auch nicht als Kontext beim Import „Familie aus Text“. Ausnahme: Die Person löst die Biografie bzw. den Import als Besitzer oder Bearbeiter selbst aus. In den Biografien anderer erscheint sie als lebende Verwandte bzw. lebender Verwandter weiterhin mit Vornamen.
Nicht im Prompt: Notizen, Schlagworte, Kontaktdaten, Religion bzw. Konfession, Todesursache, Heimatzuständigkeit sowie Ereignisse wie Taufe, Firmung, Weihe, Beerdigung, Konfessionswechsel und Todeserklärung.
Anbieter: Anthropic PBC, USA — siehe Punkt 5.
Zweck: Vorschläge für Familien-Biografien. Eine einzeln angeforderte Biografie wird zunächst nur angezeigt und erst auf Klick gespeichert oder in die Notizen übernommen. Bei „KI-Geschichte für alle“ und beim Text-Import wird sie direkt gespeichert und ersetzt eine bestehende KI-Biografie.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (die Funktion wird auf ausdrücklichen Wunsch der auslösenden Person ausgeführt); für mitbetroffene lebende Verwandte Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Familiendokumentation, begrenzt auf die oben genannten Felder); Art. 44 ff. DSGVO mit Standardvertragsklauseln für den Drittlandstransfer.
Grenzen: höchstens 40 einzelne Biografien pro Stunde je Nutzerin oder Nutzer, „KI-Geschichte für alle“ höchstens dreimal pro Stunde je Nutzerin oder Nutzer und Familie, gleichzeitig höchstens ein Lauf je Familie.
Hinweis: Wer keine Daten an Anthropic übermitteln will, nutzt diese Funktion nicht; ohne Klick wird nichts übertragen. Eine gespeicherte Biografie kann jederzeit gelöscht werden.

4.7 Foto-Upload

Daten: Hochgeladene Bilddateien (JPEG, PNG, WebP, HEIC, GIF) und automatisch erzeugte Varianten (Vorschaubild, mittlere Größe).
Zweck: Darstellung des Stammbaums mit Fotos.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; bei Fotos von lebenden Verwandten zusätzlich deren Einwilligung erforderlich.
Speicherort: Cloudflare R2 (EU-Region).
EXIF-Behandlung: Originale speichern wir grundsätzlich ohne EXIF-Metadaten (also auch ohne GPS-Standort, Kameradaten und Aufnahmezeit): Kurz nach dem Upload speichern wir das Original in voller Auflösung neu, ohne diese Metadaten. HEIC-Fotos werden in JPEG umgewandelt, das HEIC-Original wird gelöscht. Die Varianten entstehen ebenfalls ohne EXIF-Metadaten. Ist ein Foto größer als 1 MB, verkleinert Ihr Browser es schon vor dem Hochladen auf höchstens 2000 Pixel und speichert es als JPEG neu; dabei fallen alle Metadaten weg, transparente Flächen werden weiß, und von einem GIF bleibt nur das erste Bild. HEIC-Dateien lädt der Browser unverändert hoch. Leser und Besucher eines Share-Links sehen ein Foto erst, wenn die verkleinerten Fassungen erzeugt sind (in der Regel wenige Minuten nach dem Hochladen); diese enthalten nie EXIF-Metadaten. Die Original-Datei in voller Auflösung (etwa beim Drucken oder bei Dokumenten) erhalten sie nur, wenn sie nachweislich bereinigt ist, sonst die mittlere Größe. Besitzer und Bearbeiter sehen das Original schon während der Verarbeitung; Fotos laden nur sie hoch. Wir empfehlen dennoch, sensible Standortdaten schon vor dem Hochladen zu entfernen.

Fotos von Anlässen (Archiv): In Familien, für die diese Funktion freigeschaltet ist (derzeit Pilotbetrieb), kann ein Foto mehrere Personen der Familie zeigen („markiert“). Dazu kommen ein Anlass (etwa Hochzeit, Taufe, Begräbnis, Familienfeier), auf Wunsch der Bezug zu einer Ehe, ein Datum (Jahr, Monat, Tag), ein Ort als Freitext und eine Beschreibung. Gespeichert wird außerdem, wer das Bild hochgeladen hat (Konto-ID) und wann; die Konto-ID entfernen wir in der Regel sofort bei der Löschung des Kontos und wenn die Person die Familie verlässt oder aus ihr entfernt wird. Die Verarbeitung ist dieselbe wie bei Personen-Fotos (Cloudflare R2 in der EU, ohne EXIF-Metadaten auch im Original, Varianten). Das Bild erscheint bei jeder markierten Person und in der Rubrik „Archiv“ und kann einer markierten Person mit eigenem Ausschnitt als Profilfoto dienen. Die Einwilligung ist für jede markierte lebende Person erforderlich.
Wer solche Bilder sieht: Besitzer und Bearbeiter sehen alle Bilder. Leser sehen ein Bild nur, wenn sie das Foto jeder markierten lebenden Person sehen dürften, also wenn jede von ihnen ihren Eintrag übernommen und Fotos für diesen Leser freigegeben hat (für die enge Familie oder für alle) oder der Leser selbst die abgebildete Person ist. Sonst ist das Bild für sie unsichtbar, ohne Platzhalter und ohne Namen; dasselbe gilt für ein Profilfoto, das aus einem solchen Bild stammt. Den Bezug zu einer Ehe sehen Leser nie. Tag, Monat und Ort sehen sie nur, wenn jede markierte lebende Person und bei einem Hochzeitsfoto auch beide Ehepartner ihre Lebensereignisse freigegeben haben oder verstorben sind; sonst nur das Jahr. Anlass und Beschreibung sind sichtbar, wenn das Bild sichtbar ist.
Bild-Links: Bilder liefern wir über zeitlich begrenzte Links aus: im Archiv und bei den Fotos von Anlässen bis zu 24 Stunden gültig, ein daraus gewähltes Profilfoto im Stammbaum und auf der Personenseite 1 Stunde, in Ansichten mit eigenem Zwischenspeicher wie bei allen Profilfotos bis zu 7 Tage. Ändert sich eine Freigabe, bleibt ein bereits ausgelieferter Link bis zu seinem Ablauf gültig.

Dokumente (Archiv): Im selben Pilotbetrieb lassen sich Dokumente als Bild ablegen (Taufschein, Geburtsurkunde, Trauschein, Heiratsurkunde, Sterbeurkunde, Ahnenpass, Meldezettel, Heimatschein, Brief, Zeugnis, sonstige Dokumente), mit den darin genannten Personen, Datum, Ort und Beschreibung; ein Bild ist eine Seite. Ein PDF (bis 20 Seiten, bis 50 MB) wandelt Ihr Browser Seite für Seite in Bilder um (höchstens 3000 Pixel); jede Seite wird ein eigenes Dokument mit denselben Angaben. Die PDF-Datei selbst wird nicht übertragen, und es ist kein weiterer Dienstleister beteiligt. Ist ein Dokument größer als 5 MB oder länger als 4000 Pixel, verkleinert Ihr Browser es auf höchstens 4000 Pixel und speichert es als JPEG neu, ohne Metadaten; gespeichert werden bis zu 5 MB (HEIC unverändert bis 10 MB), ohne EXIF-Metadaten. Ein Dokument kann als Quelle für Geburt, Tod, Heirat oder ein Lebensereignis einer genannten Person dienen.
Wer Dokumente sieht: Besitzer und Bearbeiter sehen alle Dokumente der Familie. Leser sehen ein Dokument nur, wenn jede darin genannte lebende Person es für sie freigibt: Wer seinen Eintrag nicht übernommen hat, verbirgt das Dokument; wer ihn übernommen hat, wählt auf „Meine Sichtbarkeit“ eine eigene Stufe für Dokumente (Punkt 8.1), ohne eigene Wahl gilt seine Auswahl für Fotos. Ob eine genannte Person ein Dokument selbst sieht, hängt nur von den anderen genannten lebenden Personen ab. Ein Dokument ohne genannte Person sehen nur Besitzer und Bearbeiter. Kann Kinverse die Auswahl für Dokumente nicht lesen, gilt „nur Besitzer und Bearbeiter“. Besucherinnen und Besucher eines Share-Links sehen nie Dokumente (Punkt 4.9). Vertrauliche Dokumente sehen unabhängig von jeder Freigabe nur Besitzer und Bearbeiter, auch nicht die genannte Person selbst. Nur ein Besitzer kann ein Dokument als vertraulich kennzeichnen oder das aufheben; jede Änderung steht im Audit-Log. Standardmäßig vertraulich sind jeder Ahnenpass und jedes Dokument, in dem eine Person genannt ist, die vor weniger als 10 Jahren gestorben ist. Das prüfen wir bei jedem Aufruf neu. Hebt ein Besitzer das auf, gelten die Freigaben der genannten Personen; die Aufhebung gilt nur für den Stand zu diesem Zeitpunkt: Stirbt danach eine weitere genannte Person, ist das Dokument wieder vertraulich. Löscht ein Bearbeiter ein Dokument und lädt es neu hoch, gelten wieder die Standardregeln; auch das steht im Audit-Log. Wer ein Dokument nicht sehen darf, sieht bei einer Angabe als Quelle nur „Dokument (nicht freigegeben)“, ohne Dokumentart.
Besondere Kategorien: Dokumente können Daten nach Art. 9 DSGVO enthalten, etwa die Religionszugehörigkeit auf Taufscheinen oder die Todesursache auf Sterbeurkunden; Ahnenpässe enthalten Einstufungen aus der NS-Zeit. Kinverse zeigt sie als historisches Dokument; solche Einstufungen werden nicht als Daten übernommen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; bei Fotos und Dokumenten lebender Personen zusätzlich deren Einwilligung erforderlich.

4.8 GEDCOM- und Text-Import

Daten: Genealogie-Standarddatei (.ged) oder Freitext-Beschreibung Ihrer Familie.
Zweck: Anlage vieler Personen und Beziehungen auf einmal.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f.
GEDCOM-Import: Der Inhalt der Datei wird für die Verarbeitung im Importauftrag gespeichert und nach 30 Tagen zusammen mit Fehlerliste und Rückfragen entfernt.
KI beim Text-Import: Beim Import „Familie aus Text“ geht der eingefügte Text abschnittsweise an Anthropic PBC, USA (siehe Punkt 5; für den Drittlandstransfer gelten Art. 44 ff. DSGVO mit Standardvertragsklauseln), das daraus Personen und Beziehungen herausliest, auch Angaben wie Religion oder Todesursache, wenn sie im Text stehen. Wir weisen die KI an, eine Scheidung nur zu übernehmen, wenn der Text sie ausdrücklich nennt (nicht etwa aus einer zweiten Ehe oder einer Trennung); ein Jahr allein gilt nie als Scheidung. Das ist wichtig, weil eine Scheidung den Kreis der engen Familie ändert (Punkt 8.1). Damit bereits vorhandene Personen nicht doppelt angelegt werden, gehen dabei auch interne Personen-ID, Vor- und Nachname, Geburts- und Sterbejahr von bis zu 100 vorhandenen Personen Ihrer Familie mit, dazu Name und Geburtsjahr der gewählten Bezugsperson für „ich“ und „mein“. Lebende Personen gehen nur mit, wenn ihr Vor- oder Nachname im jeweiligen Textabschnitt vorkommt. Personen, die ihren Eintrag übernommen haben, gehen dabei nicht mit, außer Sie haben diesen Eintrag selbst übernommen; ist die Bezugsperson übernommen, geht sie ohne Name und Geburtsjahr hinaus. Die erkannten Personen und Beziehungen werden direkt in den Stammbaum geschrieben. Für neu angelegte Personen entstehen anschließend automatisch KI-Biografien (Punkt 4.6). Den Import starten nur Besitzer und Bearbeiter. Der eingefügte Text wird für die Verarbeitung gespeichert; nach 30 Tagen werden der Text sowie die Fehlerliste und die Rückfragen des Importauftrags entfernt. Der Import läuft als Hintergrundauftrag bei Inngest (siehe Auftragsverarbeiter-Liste). Die Zwischenergebnisse der KI je Abschnitt (erkannte Namen, Daten, Notizen und Beziehungen) speichern wir nur in unserer Datenbank (Neon, EU) und löschen sie am Ende des Imports, spätestens nach 30 Tagen. Inngest erhält dabei nur IDs, Zähler und Fehlermeldungen ohne Inhalte aus dem Text. Bei Text-Importen vor dem 11.10.2026 enthielt das Ablaufprotokoll bei Inngest die erkannten Angaben; es wird nach den Aufbewahrungsregeln des Anbieters gelöscht.
Wichtig: Sie sind verantwortlich, dass die Daten, die Sie importieren, rechtlich verwendet werden dürfen — insbesondere für lebende mitbetroffene Personen. Von ihnen sehen Leser zunächst nur die Grunddaten der Stufe 0 (Punkt 8.1); Besitzer und Bearbeiter sehen alle Angaben.

4.9 Share-Links (öffentliche Personen-Links)

Status: Diese Funktion ist in der Pilotphase derzeit nicht freigeschaltet; bereits gespeicherte Daten werden wie beschrieben behandelt. Bereits erzeugte Links sind derzeit nicht abrufbar, können aber weiterhin widerrufen werden.
Daten: Besitzer und Bearbeiter einer Familie können für einen Eintrag einen Link erzeugen, den man ohne Anmeldung öffnen kann. Wer einen solchen Link öffnet, zählt dort nicht als Mitglied der Familie. Für ihn gilt keine Freigabe der betroffenen Person, auch nicht die Stufe „alle Mitglieder der Familie“; diese Stufe meint nur Mitglieder mit Konto in der jeweiligen Familie und ist nie öffentlich. Über einen Link abrufbar sind bei lebenden Personen nur der Vorname und der Hinweis „lebend“, ohne Nachnamen, Geburtsdaten, Fotos und Namen der Familie; bei verstorbenen Personen Name, Geburtsname, Geburts- und Sterbedatum, der Name der Familie und die eigenen Fotos der Person. Als verstorben gilt dabei nur, wer ein eingetragenes Sterbejahr hat oder vor mindestens 110 Jahren geboren ist; alle anderen, auch Personen ganz ohne Daten, werden wie Lebende behandelt. Nie abrufbar sind Kontaktdaten, Notizen, KI-Texte, besondere Kategorien nach Art. 9 DSGVO, Lebensereignisse, Verwandte, Fotos von Anlässen, Gruppenfotos sowie Inhalte des Archivs und Dokumente. Seitentitel und Vorschaubild, die etwa Messenger beim Einfügen des Links abrufen, enthalten bei lebenden Personen nur den Anfangsbuchstaben des Vornamens; das Vorschaubild geben wir mit einer Zwischenspeicher-Dauer von 5 Minuten aus. Bei lebenden Personen enthält die Adresse des Links keinen Namen, nur eine 64-stellige Zufallskennung.
Zugriffsprotokoll: IP-Adresse und User-Agent jedes Aufrufs werden zur Missbrauchserkennung 90 Tage gespeichert.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
Ihre Kontrolle: Sie können jeden Link jederzeit widerrufen. Verlässt jemand die Familie oder wird entfernt, widerrufen wir die Links, die diese Person in der Familie erzeugt hat (Punkt 4.16).

4.10 Erinnerungsmails (Jubiläen)

Daten: Ihre E-Mail, Geburtstage und Jahrestage in Ihrer Familie.
Zweck: Erinnerung an Geburtstage und Hochzeitstage.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — die Erinnerungen gehören zum Dienst für alle, die eine Familie als Besitzer oder Bearbeiter pflegen. Die Mails sind standardmäßig eingeschaltet (Mail am Vortag). Sie können sie jederzeit in Ihren Einstellungen oder über den Link in jeder Mail ausschalten oder den Zeitpunkt ändern (am Tag / Vortag / Woche vorher). Die Mails enthalten keine Werbung.
Abbestellen ohne Anmeldung: Jede Mail enthält einen persönlichen Link. Er öffnet eine Seite, auf der Sie das Abbestellen mit einem Knopf bestätigen; erst der Knopf bestellt ab. Mailprogramme, die die Kopfzeile „List-Unsubscribe“ unterstützen, bestellen auf Ihren Klick auch direkt ab. Der Link enthält keine E-Mail-Adresse, aber die interne Kennung Ihres Kontos (kodiert, nicht verschlüsselt) und eine Signatur, die gefälschte Links verhindert. Er gilt 366 Tage. Das Abbestellen protokollieren wir im Audit-Log ohne E-Mail-Adresse und ohne IP-Adresse. Zum Schutz vor Missbrauch zählen wir die Aufrufe je IP-Adresse und je Konto 10 Minuten lang im Rate-Limit-Speicher (Upstash, Frankfurt; bei einem Ausfall im Arbeitsspeicher der Server-Funktion).

4.11 Audit-Log und Aktivitäts-Feed

Daten: Nutzer-ID der handelnden Person, Aktion, betroffener Eintrag und Zeitpunkt, je nach Aktion weitere Angaben: etwa Name, Geburtsjahr und Lebend-Status der betroffenen Person, bei Kontoänderungen nur, welche Kontofelder sich geändert haben (ohne E-Mail-Adresse und Namen), bei Einladungen in die Familie und zur Übernahme eines Eintrags die E-Mail-Adresse nur teilweise geschwärzt; diese Adressen entfernen wir 6 Monate nach dem Eintrag ganz aus dem Audit-Log. Protokolliert werden Schreibvorgänge (etwa Anlegen, Bearbeiten, Löschen, Rollenänderungen, neue Mitgliedschaften mit ihrer Herkunft, Share-Links) und einzelne Lesevorgänge (Download der Sicherheitskopie, Lesungen im Forschungsraum ohne Bild und ohne Abschrift, siehe Punkt 4.13). IP-Adresse und User-Agent speichern wir im Audit-Log nicht; sie stehen nur im Zugriffsprotokoll der Share-Links (Punkt 4.9).
Aktivitäts-Feed: Alle Mitglieder der Familie, auch Leser, sehen die Einträge ihrer Familie als Feed mit dem Namen der handelnden Person und der Aktion. Namen lebender betroffener Personen und E-Mail-Adressen, auch geschwärzte, sehen Leser dort nicht.
Konto-Löschung: Ihre Einträge werden pseudonymisiert. Ein Grabstein (SHA-256-Wert Ihrer Nutzer-ID) verhindert, dass das Konto ungewollt neu angelegt wird.
Zweck: Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO, Sicherheit, Missbrauchserkennung, Überblick für die Familie.
Rechtsgrundlage: Art. 6 Abs. 1 lit. c und f DSGVO.
Speicherdauer: 12 Monate, auch für den Grabstein.

4.12 Fehlerberichte und Performance-Messung

Daten: Fehlermeldungen und Stack-Traces, Seitenpfade (Zugangs-Token entfernt), User-Agent, IP-Adresse. Dazu Performance-Messung: Für eine Stichprobe von 10 % der Seitenaufrufe und Server-Anfragen gehen Laufzeitdaten (Pfad, Dauer der einzelnen Schritte) an Sentry.
Auftragsverarbeiter: Sentry (EU-Region Frankfurt).
Zweck: Stabilität und Fehlerbehebung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
Schutzmaßnahmen: Zugangs-Token werden aus Adressen entfernt. Vor dem Senden entfernen wir außerdem E-Mail-Adressen und Datenbankparameter aus den Fehlermeldungen, im Browser wie auf dem Server. Sitzungsmitschnitte (Session Replay) zeichnen wir nicht auf.

4.13 Forschungsraum mit KI-Lesehilfe für Kirchenbücher

Status: In der Pilotphase nur für ausdrücklich freigeschaltete Familien verfügbar und nur für Besitzer und Bearbeiter. Lesen, Suchen und Speichern sind bei gesperrten Personen nicht möglich.
Recherche auf Matricula: Im Forschungsraum öffnen Sie Kirchenbücher auf Matricula (data.matricula-online.eu, ein Online-Portal für digitalisierte Kirchenbücher) in einem eigenen Browserfenster. Ihr Browser verbindet sich dabei direkt mit Matricula; der Kinverse-Server stellt keine Anfrage an Matricula. Gespeichert wird nur der Link zur Fundstelle (auf Wunsch mit Buch, Folio und Eintragsnummer) als Quelle.
KI-Lesehilfe: Auf Wunsch laden Sie einen Bildausschnitt (Screenshot) eines Kirchenbucheintrags hoch (PNG, JPEG oder WebP, höchstens 4 MB; Ihr Browser verkleinert das Bild vorher). Der Ausschnitt geht mit der optional angegebenen Buchart (Taufe, Trauung, Sterbefall) zur Lesehilfe an Anthropic PBC, USA (Claude, siehe Punkt 5). Bei der Lesehilfe gehen Name und andere Daten der Person aus Ihrem Stammbaum nicht mit (anders bei der Suchhilfe, siehe unten).
Keine Speicherung des Bildes: Kinverse speichert das Bild nicht, weder in der Datenbank noch im Dateispeicher. Es wird nur für diese eine Anfrage im Arbeitsspeicher verarbeitet. Im Audit-Log (Punkt 4.11) stehen Ihre Nutzer-ID, die Person, die Familie und der Zeitpunkt, zum Bild nur Dateigröße und Bildtyp, dazu die von der KI erkannte Buchart, das verwendete Modell und die Token-Zahlen.
Übernahme in den Stammbaum: Das Leseergebnis wird zunächst nur angezeigt, zusammen mit Vorschlägen für die Felder der Person. Vorschläge für bisher leere Felder sind vorausgewählt, wenn die KI sie nicht als unsicher einstuft; das Feld für die Abschrift ist mit dem Leseergebnis vorbefüllt. Sie können beides vor dem Speichern ändern. Übernommen wird erst, wenn Sie „Fundstelle speichern“ klicken; Werte, die von den bisherigen Angaben abweichen, nur nach Ihrer ausdrücklichen Bestätigung. Gespeichert werden dabei die Fundstelle als Quelle und, wenn die Felder nicht leer sind, die Abschrift und eine eigene Notiz in den Notizen der Person.
Zweck: Hilfe beim Lesen alter Handschriften und nachvollziehbare Quellenangabe.
Besondere Kategorien: Kirchenbuchauszüge (Taufe, Trauung, Begräbnis) können Angaben zur Religionszugehörigkeit und weitere Angaben wie Todesursachen enthalten. Für Verstorbene gilt die DSGVO nicht (ErwG 27); zu lebenden Personen sollen keine Dokumente verwendet werden. Laden Sie bitte nur Ausschnitte aus Kirchenbüchern hoch; darauf weist auch die Oberfläche hin.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Sie nutzen die Funktion auf eigenen Wunsch). Für den Drittlandstransfer gelten wie bei den anderen KI-Funktionen Art. 44 ff. DSGVO mit Standardvertragsklauseln.
Grenzen: höchstens 20 Lesungen pro Stunde und 60 in 24 Stunden je Nutzerin oder Nutzer, insgesamt höchstens 500 in 24 Stunden.

KI-Suchhilfe: Für verstorbene Personen kann die KI vorschlagen, in welchen Kirchenbüchern (Pfarre und Jahre) gesucht werden sollte („Wo soll ich suchen?“), und Bildschirmfotos von bis zu sechs Kirchenbuchseiten nach dem Eintrag dieser Person durchsuchen („Seiten durchsuchen“, je Anfrage eine Seite).
Daten an Anthropic: Dafür übermitteln wir an Anthropic PBC, USA, neben dem jeweiligen Bildschirmfoto folgende Angaben aus dem Stammbaum: zur gesuchten Person Vor-, Nach- und Geburtsname, Geschlecht, die Jahre (ohne Tag und Monat) von Geburt, Taufe, Heirat, Tod und Begräbnis sowie die Orte dieser Ereignisse und Wohnorte; zu leiblichen Eltern und Ehepartnern, nur wenn auch sie verstorben sind oder nach ihrem Alter als verstorben gelten, Name, Geburtsname, Geburts- und Sterbejahr und -ort, bei Ehepartnern Heiratsjahr und -ort. Jahr und Ort einer Heirat übermitteln wir nur, wenn auch der Ehepartner übermittelt werden darf. Orte geben wir nur als Ortsnamen weiter; Straßen, Hausnummern, Postleitzahlen und c/o-Angaben entfernen wir vorher. Für den Drittlandstransfer gelten wie bei den anderen KI-Funktionen Art. 44 ff. DSGVO mit Standardvertragsklauseln.
Nur Verstorbene: Die Suchhilfe gibt es nur, wenn die Geburt mindestens 100 Jahre oder der Tod mindestens 30 Jahre zurückliegt. Personen mit einem verknüpften Kinverse-Konto, einem übernommenen Eintrag oder einer verschickten Einladung zur Übernahme gelten immer als lebend. Über sie und alle anderen lebenden Personen wird nichts übermittelt; lässt sich das gerade nicht prüfen, ist die Funktion aus.
Nie übermittelt werden Notizen, Biografien, Kontaktdaten, Fotos aus dem Stammbaum, Spitznamen, Titel, Tags, Berufe, Kinder, Geschwister und Paten.
Keine Speicherung: Kinverse speichert weder die Vorschläge noch die Suchergebnisse noch die Bildschirmfotos; übernommen wird nur, was Sie im Forschungsraum Feld für Feld bestätigen. Im Audit-Log (Punkt 4.11) halten wir nur fest, dass die Funktion genutzt wurde (Anzahl übermittelter Angehöriger und Orte, Anzahl der Vorschläge, bei Seiten Bildgröße und -typ, Seitennummer, Treffer ja oder nein, Modell, Token-Zahlen), ohne Namen, Orte oder Texte. Matricula wird weder von Kinverse noch von der KI abgerufen. Zusammen mit den Angaben zur Person geht nur ein fester Katalog kostenloser Quellen (teils mit kostenloser Registrierung; Namen und Abdeckung, keine Personendaten) an die KI. Die Vorschläge verweisen auf diese Quellen nur mit Links aus dem Katalog; Kinverse ruft keine davon ab. Erst wenn Sie einen Link anklicken, öffnet sich die Website des jeweiligen Anbieters, und es gelten dessen Datenschutzbestimmungen. Beim Link zur Ortssuche auf Matricula steht dabei der Ortsname im Link, nie ein Personenname. Die Vorschläge können auch Gräber- und Opferdatenbanken nennen (etwa Volksbund, Arolsen Archives, DÖW, Yad Vashem). Sie werden nur der Person angezeigt, die sie anfordert, und nicht gespeichert. Anfordern können sie nur Besitzer und Bearbeiter einer eigenen Familie, für die der Forschungsraum und die KI-Lesehilfe freigeschaltet sind (derzeit Pilotbetrieb), und nur für verstorbene Personen, die nicht gesperrt sind.
Zugang und Grenzen: Die Funktion steht nur Besitzern und Bearbeitern einer Familie zur Verfügung, derzeit im Pilotbetrieb wie die Lesehilfe. „Wo soll ich suchen?“ höchstens 10-mal pro Stunde und 30-mal in 24 Stunden je Nutzerin oder Nutzer, insgesamt höchstens 200-mal in 24 Stunden; „Seiten durchsuchen“ zählt zu den Grenzen der Lesehilfe.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Sie nutzen die Funktion auf eigenen Wunsch); für Verstorbene gilt die DSGVO nicht (ErwG 27).

Mitlese-Modus (Testphase): Im Forschungsraum können Sie einen Browser-Tab mit einem Kirchenbuch auf Matricula über die Bildschirmfreigabe Ihres Browsers mit Kinverse teilen. Das Teilen des ganzen Bildschirms oder eines ganzen Fensters ist ausgeschlossen; wählen Sie es trotzdem, beendet Kinverse die Freigabe sofort, ohne etwas zu senden. Bevor etwas übermittelt wird, bestätigen Sie anhand einer Vorschau, dass der richtige Tab geteilt wird. Danach erkennt Ihr Browser Seitenwechsel und schickt je neuer Seite genau ein Bild des geteilten Tabs an Anthropic PBC, USA, höchstens 40 Bilder je Sitzung; Ton wird nie übertragen. Zusammen mit dem Bild übermitteln wir das Suchziel (Buchart und Zeitraum), die Bildnummer, kurze Angaben zu den zuvor gelesenen Seiten dieser Sitzung (Bildnummer, Seitentyp, Zeitraum, Zahl der Einträge) sowie die bei der KI-Suchhilfe beschriebenen Angaben zur gesuchten Person und zu ihren verstorbenen Eltern und Ehepartnern. Zeigt das geteilte Bild kein Kirchenbuch, hält das Mitlesen sofort an; die KI beschreibt solche Inhalte nicht, und weitere Bilder werden erst nach einer neuen Bestätigung gesendet. Ein einzelnes Bild kann übermittelt werden, wenn Sie einen falschen Tab bestätigen oder im geteilten Tab eine andere Seite öffnen; danach hält das Mitlesen an. Bilder, Lesungen und das Protokoll der Sitzung speichert Kinverse nicht; das Protokoll besteht nur in Ihrem geöffneten Browser-Tab. Im Audit-Log halten wir nur fest, dass eine Seite gelesen wurde, mit Bildgröße und -typ, Seitentyp, Treffer ja oder nein, vorgeschlagenem Schritt, Anzahl der übermittelten Angaben, Modell und Token-Zahlen, ohne Bilder, Namen oder Texte. Kinverse und die KI rufen Matricula nicht selbst ab; eine vorgeschlagene Bildnummer öffnet sich nur, wenn Sie auf den Knopf klicken. Die Teilung können Sie jederzeit über „Mitlesen beenden“ oder im Browser beenden. Es gelten dieselben Voraussetzungen wie bei der KI-Suchhilfe (nur Verstorbene, nur Besitzer und Bearbeiter, Pilotbetrieb) und eigene Grenzen: höchstens 120 Seiten pro Stunde und 300 in 24 Stunden je Nutzerin oder Nutzer, insgesamt 1000 in 24 Stunden. Drittlandstransfer und Rechtsgrundlage wie bei der KI-Suchhilfe.

Dokumente lesen lassen: Besitzer und Bearbeiter einer Familie, für die die KI-Lesehilfe freigeschaltet ist, können ein Dokument aus dem Archiv (etwa Taufschein, Urkunde, Meldezettel, Heimatschein, Ahnenpass, Brief oder Zeugnis) von der KI lesen lassen. Dafür übermitteln wir ein verkleinertes Bild der Dokumentseite (JPEG, höchstens 2400 Pixel, ohne Metadaten wie den Aufnahmeort) und, falls beim Hochladen gewählt, die Dokumentart an Anthropic PBC, USA. Angaben aus dem Stammbaum (Namen, Daten, Orte, Notizen) übermitteln wir dabei nicht. Das Bild enthält alles, was auf der Seite steht, auch Angaben zu Personen, die im Archiv nicht als genannt eingetragen sind. Ist ein Dokument vertraulich und ist darin eine lebende Person als genannt eingetragen, ist das Lesen nicht möglich. Ist eine lebende Person als genannt eingetragen oder ist das Dokument jung (eine genannte Person ist vor weniger als 50 Jahren gestorben oder ohne Sterbejahr vor weniger als 110 Jahren geboren), ist das Lesen erst nach Ihrer ausdrücklichen Bestätigung möglich. Als lebend gilt auch, wer ein verknüpftes Kinverse-Konto hat oder zur Übernahme seines Eintrags eingeladen wurde. Religion und Todesursache übernimmt Kinverse nie als Angabe; sie erscheinen höchstens in der Abschrift, die nur die lesende Person im Dialog sieht und die nicht gespeichert wird. Beim Ahnenpass wird keine Abschrift erstellt; Einstufungen aus der NS-Zeit werden weder übernommen noch gezeigt. Gespeichert wird nur, was Sie Feld für Feld bestätigen, mit dem Dokument als Quelle; auf Wunsch auch das erkannte Trauungsdatum und der erkannte Trauungsort an der Ehe (nicht bei geheimen Ehen). Eine von der KI erkannte Person können Besitzer und Bearbeiter nach Rückfrage im Dokument als genannt eintragen; danach gelten für das Dokument die Regeln zu „vertraulich“ und zu lebenden Personen neu, die Sichtbarkeit wird also strenger. Dafür geht nichts zusätzlich an die KI. Bild und KI-Antwort speichern wir nicht; im Audit-Log halten wir nur fest, dass gelesen und übernommen wurde, mit Anzahlen, Bildgröße, Modell und Token-Zahlen, ohne Dokumentart, Namen oder Text. Die Grenzen zählen gemeinsam mit der Lesehilfe. Drittlandstransfer und Rechtsgrundlage wie bei der Lesehilfe.

4.14 Orts-Suche (OpenStreetMap Nominatim)

Daten: Der Suchbegriff, den Sie in ein Ortsfeld tippen (ein Ortsname oder, im Adressmodus, eine Adresse).
Empfänger: Unser Server leitet den Suchbegriff an den Geocoding-Dienst Nominatim weiter. Betreiber ist die OpenStreetMap Foundation, Vereinigtes Königreich. Die Anfrage stellt unser Server, nicht Ihr Browser; Ihre IP-Adresse und Ihre Kontodaten werden nicht weitergegeben. Suchbegriff und Treffer werden kurzzeitig im Arbeitsspeicher des Servers zwischengespeichert, nicht dauerhaft gespeichert.
Zweck: Vorschläge und Koordinaten für Orte im Stammbaum.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Drittland: Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Die OpenStreetMap Foundation ist kein Auftragsverarbeiter, sondern verarbeitet die Anfrage nach ihren eigenen Bedingungen.

4.15 Export und Sicherheitskopie

GEDCOM-Export: Alle Mitglieder einer Familie können den Stammbaum als GEDCOM-Datei herunterladen. Die Datei ist nach Rolle gefiltert wie die Anzeige in der App: Leser erhalten nur, was sie auch sehen dürfen (Punkt 3 und 8.1).
Sicherheitskopie: Nur Besitzer können eine vollständige Sicherheitskopie der Familie als ZIP-Datei herunterladen. Sie ist nicht gefiltert und enthält alle Angaben einschließlich Notizen, Kontaktdaten und Fotos, auch die Bilder aus dem Archiv mit einer Liste, wer auf welchem Bild markiert bzw. in welchem Dokument genannt ist (mit Anlass, Datum, Ort und Beschreibung, bei Dokumenten Dokumentart und Kennzeichen „vertraulich“). Dazu kommen die interne Kennung der Familie und eine Liste der Einträge, die jemand übernommen hat (nur die Personen-Kennungen, ohne Bezug zu einem Konto), damit diese Personen nach einer Wiederherstellung weiter von KI-Funktionen ausgeschlossen bleiben (Punkt 4.19). Jeder Download wird im Audit-Log protokolliert und erscheint im Aktivitäts-Feed (Punkt 4.11).
Zweck: Datenübertragbarkeit und Sicherung durch die Familie selbst.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

4.16 Mitglieder und Einladungen

Daten: E-Mail-Adresse, Name und Rolle aller Mitglieder einer Familie sowie E-Mail-Adresse und Rolle offener Einladungen.
Wer sie sieht: E-Mail-Adressen der Mitglieder und offene Einladungen sehen nur Besitzer und Bearbeiter. Leser sehen Namen und Rollen der Mitglieder und ihre eigene E-Mail-Adresse, aber keine fremden Adressen und keine offenen Einladungen. Den Einladungslink selbst sehen nur Besitzer.
Rollen: Nimmt ein Mitglied eine Einladung in die Familie mit einer höheren Rolle an, wird seine Rolle angehoben, nie abgesenkt; auch das steht im Audit-Log. Hat ein Besitzer die Rolle der eingeladenen Person nach dem Versand der Einladung geändert oder sie aus der Familie entfernt oder hat die Person die Familie verlassen, gilt die ältere Einladung als zurückgezogen; auch das steht im Audit-Log.
Familie verlassen oder entfernt werden: Sie können eine Familie jederzeit verlassen, als Besitzer, solange ein anderer Besitzer bleibt; ein Besitzer kann Mitglieder entfernen. In beiden Fällen löschen bzw. widerrufen wir Ihre Mitgliedschaft, die offenen Einladungen in diese Familie, die Sie verschickt haben (auch Einladungen zur Übernahme eines Eintrags), Ihre Share-Links für Personen dieser Familie, Ihre persönlichen Ansichts-Einstellungen für diesen Stammbaum und die Markierung „Das bin ich“. Erinnerungsmails für diese Familie bekommen Sie nicht mehr. Inhalte, die Sie angelegt haben, bleiben in der Familie; im Audit-Log bleibt vermerkt, dass Änderungen von Ihrem Konto stammen und dass Sie die Familie verlassen haben bzw. entfernt wurden, ohne E-Mail-Adresse. Haben Sie Ihren Eintrag übernommen, bleibt er mit Ihrem Konto verknüpft, damit ihn niemand anderer übernehmen kann; alle Freigaben dazu einschließlich Dokumente stehen dann auf „nur Besitzer und Bearbeiter“, und unter „Meine Sichtbarkeit“ können Sie das weiter selbst ändern. Bei der Löschung Ihres Kontos wird die Verknüpfung aufgehoben. Zurück in die Familie kommen Sie nur mit einer neuen Einladung. Hat die gehende Person die Familie gegründet, geht die Gründerschaft an den dienstältesten anderen Besitzer.
Zweck: Zusammenarbeit in der Familie, Verwaltung der Mitgliedschaften.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

4.17 Pioneer-Codes

Daten: Beim Einlösen eines Pioneer-Codes die E-Mail-Adresse, an die die Einladung geht, die Einladung bei unserem Anmeldedienst Clerk sowie eine kurze interne Notiz zum Code, die wir beim Erzeugen anlegen (Anlass oder Verteilweg, ohne E-Mail-Adresse; im Admin-Bereich wird eine Notiz mit E-Mail-Adresse abgelehnt); am Konto bei Clerk vermerken wir den eingelösten Code als Merkmal.
Zweck: Zugang zur Pioneer-Phase und Recht zum Gründen einer Familie.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Speicherdauer: siehe Punkt 6 (Einladungen). Löscht die Person, die einen Code erzeugt hat, ihr Konto, bleibt ein bereits eingelöster Code bestehen, denn er trägt Ihr Recht zum Gründen einer Familie; wir entfernen dabei nur den Verweis auf das gelöschte Konto, in unserer Verwaltung steht als Ersteller dann „gelöscht“. Nicht eingelöste Codes dieser Person löschen wir mit ihrem Konto.

4.18 Geo-Karte (Kartenkacheln von OpenStreetMap)

Status: Diese Funktion ist derzeit nicht eingeschaltet. Wir schalten sie erst ein, wenn die unten genannten Prüfungen abgeschlossen sind; vorher ergänzen wir diese Erklärung.
Daten: Die Geo-Karte zeigt die Orte Ihres Stammbaums auf einer Hintergrundkarte. Die Kartenbilder (Kacheln) lädt Ihr Browser erst, wenn Sie die Karte öffnen, und zwar direkt von tile.openstreetmap.org, einem Dienst der OpenStreetMap Foundation (OSMF), Vereinigtes Königreich. Die OSMF erhält dabei Ihre IP-Adresse, den User-Agent Ihres Browsers, als Referrer nur die Herkunft (die Adresse von Kinverse ohne Pfad) und die angefragten Kacheln, also den angezeigten Kartenausschnitt. Namen, Daten und andere Angaben aus dem Stammbaum gehen nicht an die OSMF. Nach unseren Feststellungen liefert die OSMF die Kacheln über das Netz von Fastly, Inc., USA, aus; Fastly erhält diese Verbindungsdaten damit ebenfalls. Für die weitere Verarbeitung gilt die Datenschutzerklärung der OSMF.
Verantwortlichkeit: Wir binden mit den Kacheln fremde Inhalte ein. Nach der Rechtsprechung des EuGH (Urteil vom 29.07.2019, C-40/17, Fashion ID) können wir für das Auslösen dieser Übermittlung gemeinsam mit der OSMF verantwortlich sein, nicht aber für ihre weitere Verarbeitung durch die OSMF.Ob dafür eine Vereinbarung nach Art. 26 DSGVO nötig ist, klären wir vor dem Einschalten.
Drittland: Für das Vereinigte Königreich gilt der Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).Die Übermittlung an Fastly in die USA stützt sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO); Fastly ist nach Angaben von Fastly danach zertifiziert und sieht sich für diese Daten als Auftragsverarbeiter.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Darstellung der Orte auf einer Karte, die Sie selbst öffnen).

4.19 Wiederherstellen aus einer Sicherheitskopie

Status: Diese Funktion ist derzeit nicht eingeschaltet. Die folgende Beschreibung gilt, sobald sie eingeschaltet wird.
Zweck: Eine Sicherheitskopie (ZIP, Punkt 4.15), die Sie bei Kinverse heruntergeladen haben, können Sie wieder hochladen, etwa wenn die Familie verloren gegangen ist. Daraus legen wir immer eine neue, eigene Familie an, deren Besitzer Sie sind; bestehende Familien ändern wir dabei nie. Wiederherstellen kann, wer eine Familie gründen darf (Punkt 4.17). Gibt es die Familie aus der Kopie noch und sind Sie dort Mitglied, oder haben Sie dieselbe Kopie schon wiederhergestellt, lehnen wir ab.
Daten: Der Inhalt der Sicherheitskopie: Personen, Beziehungen, Ereignisse, Orte, Notizen, Kontaktdaten und Fotos samt Archiv. Sie enthält damit Daten Dritter, lebender wie verstorbener Angehöriger, darunter auch besondere Kategorien nach Art. 9 DSGVO, etwa Religion, Todesursache sowie Pflege- und Gesundheitsdaten. Sie sind dafür verantwortlich, dass Sie diese Daten wieder verwenden dürfen.
Ablauf und Speicherort: Die Datei geht direkt von Ihrem Browser in unseren Dateispeicher bei Cloudflare R2 (EU-Region).Dort entstehen für die Verarbeitung eine Arbeitskopie und ein Zwischenstand mit dem Stammbaum. Die Datei wird automatisch geprüft (Größe, Format, Inhalt); Fotos speichern wir wie beim normalen Hochladen ohne Metadaten neu (Punkt 4.7). Unser Hintergrunddienst Inngest erhält dabei nur Kennungen und Zahlen, keine Namen und keine Inhalte aus der Kopie.
Löschung: Hochgeladene Datei, Arbeitskopie und Zwischenstand löschen wir nach Abschluss oder bei einem Fehler sofort, sonst löscht sie ein stündlicher Aufräumlauf spätestens nach 24 Stunden.Wegen der Löschsperre unseres Dateispeichers wird die Löschung tatsächlich erst nach 7 Tagen wirksam; bis dahin werden die Dateien nicht weiter verarbeitet.
Was nicht übernommen wird: Mitgliedschaften, Einladungen, Übernahmen von Einträgen, Sichtbarkeits-Einstellungen, Pioneer- und Konto-Bezüge, die Beschreibung der Familie, die Anordnung im Stammbaum und ausgeblendete Personen, Share-Links, Verknüpfungen und Vorschläge mit anderen Familien sowie der Aktivitätsverlauf. Bei Kopien über 500 MB enthält die Kopie keine Fotos.
Lebende Personen: Weil keine Übernahmen und Freigaben mitkommen, sehen Leser von lebenden Personen danach nur die Grunddaten der Stufe 0 (Punkt 8.1).
KI-Funktionen: Personen, die in der Ursprungsfamilie ihren Eintrag übernommen hatten, bleiben von allen KI-Funktionen ausgeschlossen (KI-Biografie, Suchhilfe, Mitlese-Modus, Dokumente lesen lassen). Enthält eine ältere Kopie diese Angabe nicht, gilt der Ausschluss für alle lebenden Personen. Aufgehoben wird er nicht; wie bei jeder Übernahme kann nur die Person selbst eine KI-Biografie auslösen, wenn sie ihren Eintrag in der neuen Familie wieder übernimmt.
Protokoll und Grenzen: Im Audit-Log halten wir Zeitpunkt und Anzahlen fest, ohne Inhalte. Je Konto sind in 24 Stunden höchstens 3 Wiederherstellungen und 10 Upload-Vorgänge möglich.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Dienstes); für den Schutz vor Missbrauch (Grenzen, Protokoll ohne Inhalte) Art. 6 Abs. 1 lit. f DSGVO. Für Daten nach Art. 9 DSGVO gilt dieselbe Grundlage wie bei ihrer ursprünglichen Eingabe in Kinverse.

5. Auftragsverarbeiter und Drittlandstransfer

Wir setzen für den Betrieb der Plattform externe Dienstleister ein, die personenbezogene Daten in unserem Auftrag und auf unsere Weisung verarbeiten (Art. 28 DSGVO). Mit jedem dieser Anbieter besteht ein Auftragsverarbeitungsvertrag.

Die vollständige Liste aller Auftragsverarbeiter mit Zweck, Region und AVV-Status finden Sie unter /datenschutz/auftragsverarbeiter. Diese Liste wird laufend aktualisiert.

Drittlandstransfer: Alle Auftragsverarbeiter der Liste haben ihren Sitz oder ihre Muttergesellschaft in den USA: Clerk, Vercel, Neon, Neo4j, Cloudflare, Sentry, Inngest, Anthropic, Resend, Upstash sowie GitHub und Microsoft. Grundlage für mögliche Übermittlungen sind jeweils die EU-Standardvertragsklauseln (SCC, Beschluss 2021/914), bei Upstash zusätzlich das EU-US Data Privacy Framework. Wo möglich, wählen wir EU-Regionen für die tatsächliche Datenverarbeitung (Clerk in Frankfurt, Vercel `fra1`, Neon und Upstash in AWS Frankfurt, Neo4j Aura EU, Cloudflare R2 mit EU-Jurisdiction, Sentry `de.sentry.io`, Resend EU). Anthropic verarbeitet die KI-Funktionen in den USA; bei Inngest hängt die Region vom Konto ab.

Wöchentliche Sicherung über GitHub: Ein automatischer Ablauf bei GitHub Actions erstellt jede Woche auf einem von GitHub betriebenen Server einen vollständigen Abzug der Datenbanken (Postgres und Neo4j) sowie einen Export aller Konten bei Clerk. Der Abzug entsteht dort zunächst unverschlüsselt, wird anschließend auf demselben Server mit GPG verschlüsselt und dann in Cloudflare R2 (EU) abgelegt. Zur Prüfung entschlüsselt ein weiterer wöchentlicher Ablauf eine Sicherung auf einem solchen Server. Bei GitHub selbst wird die Sicherung nicht abgelegt.

Aufbewahrung bei Anthropic: Anthropic bewahrt Anfragen und Antworten der KI-Funktionen (Punkte 4.6, 4.8 und 4.13) nach seinen eigenen Bedingungen für kommerzielle API-Kunden auf. Eine gesonderte Vereinbarung über den Verzicht auf diese Speicherung besteht nicht.

Weitere Empfänger ohne Auftragsverarbeitung: Die Orts-Suche nutzt Nominatim der OpenStreetMap Foundation, Vereinigtes Königreich (Punkt 4.14). Matricula erhält von Kinverse keine Daten; Ihr Browser ruft das Portal im Forschungsraum selbst auf (Punkt 4.13). Die derzeit ausgeschalteten Funktionen Geo-Karte (Kartenkacheln der OpenStreetMap Foundation, Punkt 4.18) und Wikidata-Pool (Wikimedia Foundation) sind in der Liste der Auftragsverarbeiter unter „Weitere Empfänger“ genannt; vor dem Einschalten ergänzen wir diese Erklärung.

6. Speicherdauer

Wir speichern Ihre Daten nur so lange, wie es für die jeweilige Verarbeitung erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen.

7. Ihre Rechte

Als betroffene Person haben Sie gegenüber INVENTIO GmbH folgende Rechte aus der DSGVO:

Anfragen senden Sie bitte an datenschutz@kinverse.family. Wir antworten innerhalb eines Monats; bei komplexen Anfragen kann sich die Frist um zwei weitere Monate verlängern (Art. 12 Abs. 3 DSGVO).

Konto selbst löschen: Sie können Ihr Konto direkt selbst löschen unter /me/delete-account (Anmeldung erforderlich). Dabei gilt: Familien, in denen Sie das einzige Mitglied sind, werden gelöscht (Recovery-Sicherung siehe Punkt 6). Familien mit weiteren Mitgliedern bleiben bestehen; gab es dort außer Ihnen keinen Besitzer, übernimmt ein anderes Mitglied (zuerst das Mitglied mit der Rolle Bearbeiter, das am längsten dabei ist, sonst das Mitglied mit der Rolle Leser, das am längsten dabei ist). Ihre Einträge, Fotos und Texte in diesen Familien bleiben erhalten. Ein von Ihnen übernommener Eintrag wird wieder freigegeben. Ihre Einträge im Audit-Log werden pseudonymisiert; der Grabstein (Punkt 4.11) wird mit dem Audit-Log nach höchstens 12 Monaten gelöscht.

8. Besondere Hinweise

8.1 Datenschutzfreundliche Voreinstellungen für Lebende

Wenn jemand Sie als lebende verwandte Person in seinen Stammbaum einträgt, ohne dass Sie selbst Kinverse nutzen, sehen Mitglieder, die nur lesen (Leser), von Ihnen nur: Vorname, Nachname, Geburtsname, Geschlecht, Geburtsjahr (ohne Tag und Monat) und Ihre Position im Stammbaum. Fotos, Kontaktdaten und weitere Angaben der Stufe 1 bleiben für Leser unsichtbar. Besitzer und Bearbeiter der Familie sehen alle Angaben, weil sie den Stammbaum pflegen.

Als lebend gilt, wer kein Sterbejahr hat und nicht vor mindestens 110 Jahren geboren ist. Eine Person ganz ohne Daten gilt ebenfalls als lebend.

Sobald Ihnen jemand aus der Familie eine Einladung zur Übernahme Ihres Eintrags schickt und Sie diese annehmen, legen Sie für fünf Bereiche (volles Geburtsdatum; Fotos; Spitzname, Titel und Tags; Lebensereignisse und Orte samt Ehe-Details; Dokumente wie Urkunden, Taufscheine und Briefe) fest, wer sie sieht: nur Besitzer und Bearbeiter (Voreinstellung), Ihre enge Familie oder alle Mitglieder der Familie mit Konto (nie öffentlich). Für Dokumente ist „Wie bei Fotos“ vorausgewählt: Dann gilt Ihre Auswahl für Fotos. Nennt ein Dokument mehrere lebende Personen, sieht es nur, wer es nach der Auswahl jeder dieser Personen sehen darf; vertrauliche Dokumente sehen unabhängig davon nur Besitzer und Bearbeiter (Punkt 4.7). Verlassen Sie die Familie oder werden Sie entfernt, bleibt Ihr Eintrag übernommen, und alle Freigaben einschließlich Dokumente stehen wieder auf „nur Besitzer und Bearbeiter“ (Punkt 4.16). Kontaktdaten, Notizen und KI-Biografien sehen Leser nie, außer beim eigenen, übernommenen Eintrag. Die Freigaben gelten gegenüber Mitgliedern, die nur lesen; Besitzer und Bearbeiter der Familie sehen weiterhin alle Angaben. Sie können jederzeit Ihre Identität aus dem Stammbaum löschen lassen.

Enge Familie: Dazu zählt ein Leser, der seinen eigenen Eintrag im selben Stammbaum übernommen hat, wenn dieser mit Ihnen bis zum 3. Grad verwandt ist (Zählung wie im Zivilrecht: Eltern und Kinder 1. Grad; Geschwister, Großeltern und Enkel 2. Grad; Onkel, Tante, Nichte, Neffe, Urgroßeltern und Urenkel 3. Grad). Berücksichtigt werden leibliche Abstammung, Adoption und Eltern-Kind-Beziehungen ohne Angabe der Art (sie gelten als leiblich), nicht Stief- oder Pflegeverhältnisse als solche und nicht Eltern-Kind-Beziehungen, die ausdrücklich als unbekannt markiert sind. Verschwägerung zählt mit (§§ 40, 41 ABGB): Verwandte Ihres Ehepartners im selben Grad (Schwiegereltern 1., Schwager und Schwägerin 2. Grad), ebenso Ehepartner Ihrer Verwandten (Schwiegersohn oder Schwiegertochter 1., der Mann Ihrer Schwester 2. Grad). Dazu kommen Ihr Ehepartner und Ihr Lebensgefährte, solange die Ehe oder Lebensgemeinschaft besteht, und zwar nur diese Personen selbst; die Familie Ihres Lebensgefährten und die Lebensgefährten Ihrer Verwandten zählen nicht. Die Verschwägerung besteht auch nach einer Scheidung fort: Eltern, Geschwister, Großeltern, Onkel, Tanten, Nichten und Neffen Ihres früheren Ehepartners zählen weiter zur engen Familie, seine Kinder, Enkel und weiteren Nachkommen aus anderen Beziehungen und Ihr früherer Ehepartner selbst nicht mehr; gemeinsame Kinder und Enkel bleiben Ihre Verwandten. Frühere Ehepartner Ihrer Verwandten, die nicht Ihre Vorfahren sind (etwa Ihrer Kinder, Enkel, Geschwister, Onkel, Tanten, Nichten und Neffen), zählen weiter im Grad dieses Verwandten. Der frühere Ehepartner Ihrer Eltern, Großeltern oder Urgroßeltern zählt dagegen nicht für Sie. Eine geheime Ehe zählt nie.
Grundlage der Berechnung: Kinverse berechnet die enge Familie automatisch aus den Eltern-Kind-Beziehungen, Ehen und der Lebensgemeinschaft an Ihrem eigenen Eintrag, die Besitzer und Bearbeiter im Stammbaum pflegen; dabei werden nur diese Beziehungen verarbeitet, keine Namen oder weiteren Personendaten, und nichts davon wird gespeichert. Sind diese unvollständig oder falsch, kann der Kreis kleiner oder größer ausfallen als die tatsächliche Verwandtschaft. Auf „Meine Sichtbarkeit“ sehen Sie, wie viele Personen je Grad dazuzählen, ohne Namen. Wer seinen eigenen Eintrag nicht übernommen hat, gilt als nicht verwandt und sieht nur, was für alle Mitglieder freigegeben ist; die Markierung „Das bin ich“ reicht dafür nicht. Lässt sich die Verwandtschaft nicht berechnen, gilt ebenfalls nur „alle Mitglieder“. Für Besucherinnen und Besucher eines Share-Links gilt keine dieser Freigaben, auch nicht „alle Mitglieder“ (Punkt 4.9).

Ihr eigener Eintrag: Sind Sie Mitglied der Familie und haben Ihren Eintrag übernommen, sehen Sie ihn auf Ihrer Personenseite und im GEDCOM-Export vollständig, auch als Leser: einschließlich Notizen, Kontaktdaten, KI-Biografie, Religion und der anderen Art.-9-Felder. Ausgenommen sind Care-Events und vertrauliche Dokumente (Punkt 4.7). Notizen, die andere zu Ihrer Person geschrieben haben, lesen Sie damit ebenfalls; darauf weist die App am Notizfeld hin. Die Markierung „Das bin ich“ allein gibt keine zusätzlichen Rechte: Maßgeblich ist die Übernahme des Eintrags. Auf einen Eintrag, den jemand anderes übernommen hat, lässt sie sich nicht setzen, und sie wird gelöscht, wenn Sie in der Familie zum Leser herabgestuft oder aus ihr entfernt werden oder sie verlassen.

8.2 Cookies, Speicher im Browser und Reichweitenmessung

Kinverse verwendet ausschließlich technisch notwendige Cookies: die Sitzungs-Cookies unseres Anmeldedienstes Clerk, ein kurzlebiges Cookie „kv_action_error“ (60 Sekunden), das nach einer fehlgeschlagenen Aktion die Fehlermeldung zur nächsten Seite trägt, und für Administratoren das Cookie „kv_pioneer_ansicht“ (30 Tage) für die Ansicht als Pioneer-Mitglied. Wir setzen keine Tracking- oder Marketing-Cookies.

Reichweitenmessung: Vercel Web Analytics erfasst ohne Cookies die Seitenaufrufe, Vercel Speed Insights Ladezeit-Metriken. Die Adresse der Seite schwärzen wir vorher in Ihrem Browser: Zugangs-Token und IDs werden durch Platzhalter ersetzt, Suchparameter und Sprungmarken entfernt.

Daneben speichert die App Anzeige-Einstellungen (etwa Farbschema, Darstellung des Stammbaums, ausgeblendete Hinweise) im lokalen Speicher Ihres Browsers (localStorage).

8.3 Verstorbene

Verstorbene unterliegen nicht mehr der DSGVO (ErwG 27). Wir respektieren das Pietätsrecht nach § 16 ABGB. Einträge zu Verstorbenen können Besitzer und Bearbeiter der Familie bearbeiten oder entfernen, wie alle anderen Personen im Stammbaum auch; eine gesperrte Person können nur Besitzer löschen.

8.4 Kinder

Personen unter 16 Jahren benötigen für die Erstellung eines eigenen Kontos die Einwilligung der Erziehungsberechtigten (Art. 8 DSGVO). Für die Eintragung minderjähriger Verwandter in einen Stammbaum durch Erwachsene gelten die allgemeinen datenschutzfreundlichen Voreinstellungen (Stufe 0 für Leser; Stufe 1 nur für Besitzer und Bearbeiter).

9. Änderungen dieser Erklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, wenn sich die Rechtslage oder die technische Umsetzung ändert. Wesentliche Änderungen kündigen wir per E-Mail an registrierte Nutzerinnen und Nutzer an. Die jeweils aktuelle Fassung ist hier jederzeit abrufbar.

Stand: 13. Oktober 2026

Datenschutzerklärung — Kinverse