Datenschutzerklärung
Datenschutzerklärung — Silverfriend GmbH
Stand: 5. Oktober 2026 · Version: 2.6
Diese Datenschutzerklärung gilt für die Website und die SilverFriend-App; Abschnitt 6.1 und Anhang A betreffen nur die Website.
1. Geltungsbereich und Adressaten dieser Erklärung
Diese Datenschutzerklärung gilt für die Verarbeitung personenbezogener Daten durch die Silverfriend GmbH (im Folgenden „SilverFriend", „wir") im Rahmen von SilverFriend, unserem KI-Begleiter am Telefon für ältere Menschen. Sie richtet sich an zwei Personenkreise:
- Subscriber (Angehörige, die das Abonnement abschließen) — sie nutzen die Subscriber-App auf iOS oder Android und/oder besuchen die Website silverfriend.de.
- End-User (ältere Personen, die wir telefonisch begleiten) — sie haben keinen App- oder Online-Zugang zu SilverFriend; ihr Kontakt zu uns erfolgt ausschließlich per Telefon (Festnetz oder Mobilfunk). Ältere Personen erhalten diese Erklärung zusammen mit der Willkommens-Broschüre — per Post oder, nach Wahl des Subscribers, per E-Mail.
Datenhaltung in Deutschland. Alle personenbezogenen Daten, die wir speichern — Kontodaten, Profile, Gesprächsprotokolle, Erinnerungs-Notizen, Nachweise —, liegen auf Servern in Deutschland, auch bei unserem Cloud-Anbieter. Verarbeitung und Kerndienste finden in der Europäischen Union statt und unterliegen der DSGVO. Einzelne Auftragsverarbeiter haben ihren Sitz außerhalb der EU (Abschnitte 9 und 10); gespeichert werden Ihre Daten ausschließlich in Deutschland.
Beide Personenkreise haben unterschiedliche Einwilligungswege und unterschiedliche Datenbestände; wir trennen sie an den relevanten Stellen dieser Erklärung. Für den Sprachdienst am Telefon spielt zusätzlich die mündliche Information im Anruf eine Rolle, deren Wortlaut in Anhang C wiedergegeben ist.
2. Verantwortlicher (Art. 4 Nr. 7 DSGVO)
Verantwortlicher für die im Folgenden beschriebenen Verarbeitungen ist:
Silverfriend GmbH
Döringstraße 6, 10245 Berlin
Handelsregister: Amtsgericht Charlottenburg, HRB 277280 B · USt-IdNr.: DE457343045
E-Mail: datenschutz@silverfriend.de · Telefon: +49 15678 616839
Geschäftsführer: Feras Alsamawi
3. Datenschutzbeauftragter und Datenschutz-Kontaktstelle
Wir haben einen externen Datenschutzbeauftragten bestellt (Art. 37 DSGVO, § 38 BDSG). Sie können sich mit allen Fragen zum Datenschutz und zur Ausübung Ihrer Rechte jederzeit direkt an ihn wenden:
IITR Datenschutz GmbH, Herr Dr. Sebastian Kraska · Marienplatz 2, 80331 München · Telefon: 089 18917360 · E-Mail: email@iitr.de
Für sämtliche sonstigen Datenschutz-Anliegen erreichen Sie uns zentral unter datenschutz@silverfriend.de oder per Post an Silverfriend GmbH, Datenschutz-Anfragen, Döringstraße 6, 10245 Berlin.
4. Zuständige Aufsichtsbehörde
Zuständige Datenschutz-Aufsichtsbehörde der Silverfriend GmbH ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59-61, 10555 Berlin, https://www.datenschutz-berlin.de. Sie haben jederzeit das Recht, sich mit einer Beschwerde an diese oder eine andere zuständige Aufsichtsbehörde zu wenden (Art. 77 DSGVO).
5. Die zwei Datensubjekt-Rollen — Übersicht
SilverFriend ist eine Konstellation, in der eine Person (der Subscriber) einen Dienst bucht, von dem eine andere Person (der End-User) profitiert. Die Datenschutz-Architektur bildet diese Zweiheit konsequent ab.
| Rolle | Wer | Kontaktmedium | Wesentliche Datenverarbeitungen | Rechtsgrundlage |
|---|---|---|---|---|
| Subscriber (Angehöriger) | Erwachsene Person, die das Abonnement abschließt | App; Website nur zur Information und für die Warteliste | Konto, Profil-Pflege, Abrechnung, Tagesprotokoll, Push-Benachrichtigungen, optionale Nutzungsanalyse, Support-Anfragen | Art. 6 Abs. 1 lit. b DSGVO (Vertrag); für Nutzungsanalyse und Marketing Art. 6 Abs. 1 lit. a |
| End-User (ältere Person) | Ältere Person, die telefonisch begleitet wird | Telefon (kein App-Zugang) | Sprach-Verarbeitung in Echtzeit (ohne Tonaufnahme), schriftliches Gesprächsprotokoll, Erinnerungs-Notizen, Lebens-Chronik, Hinweis-Benachrichtigung | Art. 6 Abs. 1 lit. a + Art. 9 Abs. 2 lit. a DSGVO; im Gefahrenfall Art. 6 Abs. 1 lit. d + Art. 9 Abs. 2 lit. c |
Die Einwilligung des End-Users wird niemals über einen App-Klick des Subscribers eingeholt, sondern direkt bei der älteren Person selbst — auf einem der drei in Abschnitt 7.4 beschriebenen Wege. Der End-User kann jederzeit „nicht mehr anrufen" sagen; die Anrufe werden eingestellt, sobald der Wunsch nach dem Gespräch geprüft ist — in der Regel noch am selben Werktag. Anrufe finden ausschließlich innerhalb unserer Anrufzeiten statt: täglich, auch an Wochenenden und Feiertagen, von 7:00 bis 20:00 Uhr deutscher Zeit; der letzte Anruf beginnt spätestens um 19:45 Uhr, ein begonnenes Gespräch darf über 20:00 Uhr hinausgehen. Auffälligkeiten prüft unser Team innerhalb der Servicezeiten, täglich von 9:00 bis 20:00 Uhr (Abschnitt 8).
6. Welche Daten wir verarbeiten — Subscriber-bezogen
6.1 Beim Besuch der Website silverfriend.de
| Datenkategorie | Zweck | Rechtsgrundlage | Speicherdauer |
|---|---|---|---|
| IP-Adresse, Browser-User-Agent, Datum/Uhrzeit der Anfrage | Bereitstellung der Website, Sicherheitsprotokollierung | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: Betrieb und Sicherheit) | 14 Tage in Zugriffslogs, anschließend gelöscht oder pseudonymisiert |
| Pseudonyme Nutzungsdaten der Website (Google Analytics 4, nur mit Einwilligung in „Statistik"; Einzelheiten unten) | Reichweitenmessung | Art. 6 Abs. 1 lit. a DSGVO + § 25 Abs. 1 TDDDG | Ereignisdaten bei Google 2 Monate; Cookies 13 Monate |
| Ihre Auswahl im Cookie-Banner und der Nachweis Ihrer Entscheidung (Version und Prüfsumme des angezeigten Banner-Textes, gewählte Kategorien, Zeitpunkt, zufällige Kennung; keine IP-Adresse) | Ihre Auswahl beachten; Nachweis der Einwilligung | § 25 Abs. 2 Nr. 2 TDDDG (Speicherung der Auswahl im Browser); Art. 6 Abs. 1 lit. c i. V. m. Art. 7 Abs. 1 DSGVO (Nachweis) | Im Browser 12 Monate; Nachweis bei uns 13 Monate + 3 Jahre ab der Entscheidung; ein noch nicht übermittelter Nachweis wartet höchstens 7 Tage im Browser |
| Inhalte aus Kontaktformularen | Antwort auf Anfrage | Art. 6 Abs. 1 lit. b DSGVO (vorvertraglich) | bis Erledigung + 6 Monate |
| Newsletter-Anmeldung | Versand der angefragten Inhalte | Art. 6 Abs. 1 lit. a DSGVO + § 7 Abs. 2 Nr. 3 UWG | bis Widerruf |
Cookies und ähnliche Speichertechnologien beschreiben wir in den folgenden Absätzen dieser Erklärung.
Meta Pixel (Facebook/Instagram). Auf dieser Webseite ist das Meta Pixel mit der ID 1748447405861991 eingebunden. Das Pixel wird erst nach Ihrer aktiven Einwilligung in der Kategorie "Marketing" geladen — vor der Einwilligung erfolgt keinerlei Übertragung an Meta. Nach Einwilligung ermöglicht das Pixel, die Wirksamkeit unserer Werbeanzeigen auf Facebook und Instagram zu messen und Conversion-Ereignisse (z. B. Seitenaufrufe) Meta zur Verfügung zu stellen. Dabei werden Cookies (_fbp, _fbc) gesetzt und Daten an die Meta Platforms Ireland Ltd. (4 Grand Canal Square, Dublin 2, Irland) übermittelt; konzernintern werden Daten an die Muttergesellschaft Meta Platforms, Inc. (USA) weitergegeben. Meta erhält dabei die Adresse der aufgerufenen Seite. Unsere Seitenadressen enthalten keine persönlichen Angaben, sondern höchstens Filter- und Kampagnenkennungen (z. B. utm_campaign oder die Klick-Kennung von Meta); auf Seiten, deren Adresse persönliche Angaben enthalten könnte, wird das Pixel nicht geladen. Die Übermittlung in die USA stützt sich auf das EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission) sowie auf die von Meta gestellten EU-Standardvertragsklauseln. Rechtsgrundlage der Verarbeitung: Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG. Sie können Ihre Einwilligung jederzeit über den Cookie-Einstellungs-Button im Footer widerrufen.
HubSpot-Website-Tracking. Erst nach Ihrer Einwilligung in der Kategorie „Marketing" laden wir den Tracking-Code von HubSpot (HubSpot Ireland Limited, Datenresidenz EU). Er setzt die Cookies hubspotutk, __hstc, __hssc und __hssrc und übermittelt Seitenaufrufe über das HubSpot-Tracking-Pixel (track-eu1.hubspot.com). Bei Ablehnung oder Widerruf werden diese Cookies gelöscht; nach einem Widerruf setzt HubSpot das Cookie __hs_do_not_track, das allein Ihren Widerspruch speichert (§ 25 Abs. 2 Nr. 2 TDDDG). Rechtsgrundlage des Trackings: Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG.
Kartenansicht auf den Veranstaltungsseiten. Wenn Sie auf „Karte anzeigen" klicken, lädt Ihr Browser Kartenkacheln von Servern der OpenStreetMap Foundation (Vereinigtes Königreich); dabei wird Ihre IP-Adresse an diese Server übermittelt. Vorher wird keine Verbindung aufgebaut, und es werden keine Cookies gesetzt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der von Ihnen angeforderten Kartendarstellung); für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).
6.2 Beim Anlegen eines Abonnement-Kontos in der Subscriber-App
| Datenkategorie | Zweck | Rechtsgrundlage | Speicherdauer |
|---|---|---|---|
| Vorname, Nachname, E-Mail-Adresse, eigene Telefonnummer, Postleitzahl | Vertragsdurchführung, Profilpflege | Art. 6 Abs. 1 lit. b DSGVO | Laufzeit Abonnement + 30 Tage |
| Authentifizierungsdaten (gehashtes Passwort, pseudonymer Benutzeridentifikator, Anmelde-Tokens, Geräte-Kennung, Anmelde-Zeitstempel, Anmelde-IP) | Anmeldung am Konto, Sitzungsverwaltung | Art. 6 Abs. 1 lit. b DSGVO | Sitzungs-Tokens: bis 30 Tage; inaktive Sitzungs-Bereinigung nach 180 Tagen |
| Zahlungsdaten (Abonnement-Status, Kaufquittungen, Geräte-Identifikator, pseudonymer App-User-Identifikator beim Abo-Verwalter) | Vertragsabwicklung, Abrechnung, Buchführung | Art. 6 Abs. 1 lit. b und lit. c DSGVO (§ 147 AO) | Abonnement-Historie: 3 Jahre nach Kündigung; steuerrelevante Aufzeichnungen: 10 Jahre |
| Einwilligungs-Nachweise (App-Bestätigungen, Bestellprozess-Haken) | Rechenschaftspflicht nach Art. 7 Abs. 1 DSGVO | Art. 6 Abs. 1 lit. c DSGVO | 3 Jahre nach Widerruf bzw. Vertragsende |
| Support-Anfragen (Thema, Nachricht, optionale Rückrufnummer, Vorgangsnummer, App-Version) | Bearbeitung Ihrer Anfrage | Art. 6 Abs. 1 lit. b DSGVO | 2 Jahre nach Abschluss der Anfrage |
6.3 Profilpflege der älteren Person durch den Subscriber
Der Subscriber hinterlegt im Onboarding und in der laufenden Profilpflege Daten über die ältere Person, die er begleiten lassen möchte:
| Datenkategorie | Zweck | Rechtsgrundlage |
|---|---|---|
| Vorname der älteren Person, Telefonnummer, Geburtstag, Sprache, Lebenssituation | Anlegen des Anruf-Profils | Art. 6 Abs. 1 lit. b DSGVO (Vertrag mit dem Subscriber); für die Sprachverarbeitung selbst zusätzlich die eigene Einwilligung der älteren Person (Abschnitt 7.4) |
| Postleitzahl und Wohnort (erforderlich); Straße und Hausnummer (freiwillig) | PLZ/Ort: Personalisierung der Gespräche (Veranstaltungen, Wetter in der Nähe). Straße/Hausnummer: Postversand der Willkommens-Broschüre; im Fall einer bestätigten akuten Gefahr (Abschnitt 8) Weitergabe an den Notruf | Art. 6 Abs. 1 lit. b DSGVO; im Gefahrenfall Art. 6 Abs. 1 lit. d DSGVO |
| Interessensschwerpunkte und Lieblingsthemen | Personalisierung der Anrufe | wie oben |
| Wunsch-Anrufzeiten (innerhalb der Anrufzeiten, täglich 7:00 bis 20:00 Uhr) | Anruf-Planung | wie oben |
| Kontaktdaten für Hinweis-Benachrichtigungen, optional ein zweiter Kontakt (Name, E-Mail und/oder Telefonnummer) | Erreichbarkeit im Fall einer bestätigten Auffälligkeit (Abschnitt 8) | Art. 6 Abs. 1 lit. b DSGVO; im Benachrichtigungsfall Art. 6 Abs. 1 lit. d DSGVO |
Die regelmäßige Anruf-Verarbeitung beginnt erst, wenn die ältere Person ihre Einwilligung auf einem der drei Wege aus Abschnitt 7.4 erteilt hat.
6.4 Push-Benachrichtigungen in der Subscriber-App
| Datenkategorie | Zweck | Rechtsgrundlage | Speicherdauer |
|---|---|---|---|
| Push-Token (Geräte-Identifikator) | Zustellung von Benachrichtigungen | Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG | Bis Widerruf, Kontolöschung, App-Deinstallation oder 90 Tage Inaktivität |
| Benachrichtigungs-Typ (z. B. „neues Tagesprotokoll verfügbar", „Hinweis-Benachrichtigung") | Steuerung der App-Anzeige | wie oben | wie oben |
| Inhalt der Push-Nachricht | nicht im Payload — die App ruft Details über eine authentifizierte Schnittstelle ab | — | — |
Wir versenden in Push-Nachrichten keine Namen, keine Anruf-Inhalte und keine personenbezogenen Auszüge.
6.5 Nutzungsanalyse und Absturzberichte in der Subscriber-App (nur mit Einwilligung)
Zur Verbesserung der App werten wir — ausschließlich nach Ihrer ausdrücklichen In-App-Einwilligung (Opt-in, standardmäßig deaktiviert, jederzeit in den Einstellungen widerrufbar) — pseudonyme Nutzungsdaten und Absturzberichte aus. Ohne Einwilligung werden die entsprechenden Software-Bausteine nicht initialisiert; es findet keinerlei Erfassung statt.
| Datenkategorie | Dienstleister | Zweck | Rechtsgrundlage | Speicherdauer |
|---|---|---|---|---|
| Pseudonyme Nutzungs-/Ereignisdaten (aufgerufene Bereiche und Funktionen, geschlossene Ereignis-Liste; pseudonymer Benutzeridentifikator; keine Namen, E-Mail-Adressen, Telefonnummern, Freitexte oder Gesprächsinhalte) | PostHog (EU-Cloud, Deutschland) | Produkt-/Nutzungsanalyse zur App-Verbesserung | Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG | 90 Tage roh, 24 Monate aggregiert |
| Absturz- und Diagnoseberichte (technische Fehlerdaten, Geräte-/OS-Version; nur Release-Builds) | Google Firebase Crashlytics | Stabilität und Fehlerbehebung der App | Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG | 90 Tage |
Diese Auswertung betrifft ausschließlich die Nutzung der Subscriber-App durch den Subscriber. Sie hat keinerlei Berührung mit den Telefongesprächen, Gesprächsinhalten oder Daten der älteren Person.
6.6 Marketing-Kommunikation und Newsletter (nur mit ausdrücklicher Einwilligung)
| Datenkategorie | Zweck | Rechtsgrundlage | Speicherdauer |
|---|---|---|---|
| Name, E-Mail-Adresse, Einwilligungs-Aufzeichnung | Versand von Produkt-Updates und Newsletter | Art. 6 Abs. 1 lit. a DSGVO + § 7 Abs. 2 Nr. 3 UWG (Double-Opt-in) | Bis Widerruf; Suppression-Liste 3 Jahre |
| Open- und Click-Events (sofern separat zugestimmt) | Erfolgsmessung der Kampagnen | Art. 6 Abs. 1 lit. a DSGVO | 18 Monate |
6.7 Sicherheits-Logging und Missbrauchs-Abwehr
| Datenkategorie | Zweck | Rechtsgrundlage | Speicherdauer |
|---|---|---|---|
| IP-Adresse, User-Agent, pseudonymer Benutzeridentifikator (sofern angemeldet), Firewall-Ereignisse, Zugriffsprotokolle der Schnittstellen | Erkennung und Aufklärung von Missbrauch und Sicherheitsvorfällen | Art. 6 Abs. 1 lit. f DSGVO (Erwägungsgrund 49) | 30 Tage Vollform, 12 Monate aggregiert |
6.8 KI-Begleiter für Veranstaltungen auf silverfriend.de/events
Auf der Seite silverfriend.de/events („Veranstaltungen für Senioren") können Sie eine Frage zum Veranstaltungskalender in ein Textfeld eingeben — zum Beispiel „Was gibt es am Wochenende in Heidelberg?". Diese Funktion nennen wir den KI-Begleiter für Veranstaltungen. Die Antworten formuliert ein Sprachmodell (künstliche Intelligenz), kein Mensch; darauf weisen wir direkt neben dem Eingabefeld hin.
Was übertragen wird. Erst wenn Sie eine Frage aktiv absenden, wird Ihr Text (höchstens 300 Zeichen) zusammen mit dem auf der Seite gewählten Ort, Zeitraum und den gewählten Kategorien, den Kennnummern von bis zu zehn gerade angezeigten Veranstaltungen, der Sprache der Seite und dem Datenstand des Kalenders an unsere Server übertragen. Eingaben, die die Seite selbst als Filter versteht (zum Beispiel „Tanz Heidelberg Wochenende"), werden in Ihrem Browser ausgewertet und verlassen ihn nicht. Es werden kein Name, keine E-Mail-Adresse, kein Konto und keine Cookies übermittelt. Bitte geben Sie in das Feld keine personenbezogenen Daten ein — weder Ihre eigenen noch die eines Familienmitglieds; für die Suche werden sie nicht benötigt.
Wo verarbeitet wird. Die Anfrage geht über eine Schnittstelle von Amazon Web Services in Frankfurt am Main (Region eu-central-1) an eine von uns betriebene Funktion, die passende Einträge aus unserem Kalender heraussucht und die Antwort mit einem Sprachmodell der Plattform Amazon Bedrock formuliert. Das Sprachmodell läuft in Rechenzentren von Amazon innerhalb der Europäischen Union; Amazon kann die Anfrage dabei zwischen seinen EU-Regionen verteilen (sogenannte EU-Inferenzprofile). Außerhalb der Europäischen Union findet keine Verarbeitung statt. Ein weiterer KI-Anbieter ist nicht beteiligt. Amazon verwendet Ihre Eingaben nicht, um Modelle zu trainieren (Abschnitt 9).
Was gespeichert wird. Ihre Frage und die Antwort werden nicht gespeichert; sie werden nach der Beantwortung verworfen. In den technischen Protokollen unserer Funktion bleiben für 90 Tage: der erkannte Suchwunsch (Ort, Zeitraum, Kategorie und einzelne aus der Frage abgeleitete Suchbegriffe), die Zahl der gefundenen Veranstaltungen, Fehlermeldungen und — nur wenn die Anfragegrenze überschritten wurde — Ihre IP-Adresse. Der Wortlaut Ihrer Frage wird nicht protokolliert. Die Plattform Amazon Bedrock protokolliert ausschließlich technische Metadaten (Zeitpunkt, Modell, Umfang), keine Inhalte. Für die Zugriffsprotokolle der Schnittstelle (IP-Adresse, Zeitpunkt) gilt Abschnitt 6.7.
Schutz vor Missbrauch. Wir begrenzen die Zahl der Anfragen je Browser-Sitzung (zehn; der Zähler liegt im Sitzungsspeicher Ihres Browsers und wird beim Schließen gelöscht) und je IP-Adresse (zehn pro Minute; weitere Grenzen setzt unsere Firewall). Die IP-Adresse wird dafür nur kurzzeitig im Arbeitsspeicher verwendet.
Keine automatisierte Entscheidung. Die Antworten sind Hinweise auf Kalendereinträge. Sie haben keine rechtliche Wirkung und beruhen nicht auf einer Bewertung Ihrer Person (Abschnitt 13). Die Angaben zu Datum, Uhrzeit und Ort stammen von den Veranstaltern und Städten; wir bitten Sie, sie auf der jeweils genannten Quellseite zu prüfen.
| Datenkategorie | Zweck | Rechtsgrundlage | Speicherdauer |
|---|---|---|---|
| Frage-Text (Freitext, höchstens 300 Zeichen), Filterzustand der Seite (Ort, Zeitraum, Kategorien, „nur kostenlos"), Kennnummern von bis zu zehn angezeigten Veranstaltungen, Sprache, Datenstand des Kalenders | Beantwortung Ihrer Frage zum Veranstaltungskalender | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: Bereitstellung einer von Ihnen selbst ausgelösten Suchhilfe; jede Übertragung erfolgt nur auf Ihre Eingabe hin) | Nicht gespeichert; Verarbeitung nur für die Dauer der Beantwortung (Sekunden) |
| Technisches Protokoll (erkannter Suchwunsch, Trefferzahl, Fehler, Zeitpunkt) | Betrieb, Fehlersuche, Kostenkontrolle | Art. 6 Abs. 1 lit. f DSGVO | 90 Tage |
| IP-Adresse (Anfragegrenze, Firewall, Zugriffsprotokoll der Schnittstelle) | Missbrauchs-Abwehr | Art. 6 Abs. 1 lit. f DSGVO (Erwägungsgrund 49) | Arbeitsspeicher: Minuten; Protokolle: Abschnitt 6.7 |
7. Welche Daten wir verarbeiten — End-User-bezogen (Telefon-Anruf)
7.1 Vor dem ersten Anruf
Bevor der erste reguläre Anruf stattfindet, geschehen zwei Dinge:
- Einwilligung. Die ältere Person erteilt ihre Einwilligung auf einem der drei Wege aus Abschnitt 7.4 — im persönlichen Einwilligungs-Anruf mit einer Mitarbeiterin oder einem Mitarbeiter von SilverFriend oder per E-Mail-/SMS-Bestätigung. Ohne diese Einwilligung findet kein regulärer Anruf statt.
- Willkommens-Broschüre. Die ältere Person erhält vor dem ersten Anruf eine Willkommens-Broschüre — per Post oder, nach Wahl des Subscribers, per E-Mail —, die in altersgerechter Sprache erläutert, was SilverFriend ist, von welcher Telefonnummer sie angerufen wird, zu welchen Zeiten Anrufe möglich sind, welche Themen sie ansprechen kann, was SilverFriend tut und was nicht, und wie sie den Dienst jederzeit stoppen kann. Diese Datenschutzerklärung liegt der Broschüre bei — damit erreichen die vollständigen Pflichtinformationen nach Art. 13 DSGVO die ältere Person selbst.
Zu Beginn des ersten Anrufs durch das Sprach-Modell („Erst-Anruf") erhält die ältere Person zusätzlich eine mündliche Erstinformation (Anhang C). Zu Beginn jedes Anrufs legt SilverFriend offen, dass eine Sprach-KI spricht.
7.2 Während und nach dem Anruf
| Datenkategorie | Zweck | Rechtsgrundlage | Speicherdauer |
|---|---|---|---|
| Sprachsignal während des Gesprächs | Echtzeit-Verarbeitung durch das Sprach-Modell (Verstehen und Antworten) | Art. 6 Abs. 1 lit. a + Art. 9 Abs. 2 lit. a DSGVO | nur im Moment der Verarbeitung — es wird keine Tonaufnahme erstellt oder gespeichert |
| Schriftliches Gesprächsprotokoll | Erinnerungs-Extraktion und Gesprächskontinuität; Grundlage der Prüfung durch unser Team (Abschnitt 8) | Art. 6 Abs. 1 lit. a + Art. 9 Abs. 2 lit. a DSGVO | 14 Tage; bei bestätigter Eskalation bis zum Ablauf des dritten Kalenderjahres, das auf den Vorfall folgt (Abschnitt 8); verlängert nach Abschnitt 11, wenn ein Rechtsanspruch geltend gemacht wird |
| Aufzeichnung des Einwilligungs-Anrufs (Abschnitt 7.4, Weg 1) | Nachweis der Einwilligung (Art. 7 Abs. 1 DSGVO) | Art. 6 Abs. 1 lit. c DSGVO; für den Gesprächsteil vor Erteilung der Aufzeichnungs-Zustimmung Art. 6 Abs. 1 lit. f DSGVO | Dauer des Vertrages zuzüglich 3 Jahre; die Aufnahme ist gegen nachträgliche Veränderung technisch schreibgeschützt, wodurch die endgültige Löschung bis zu sieben Jahre nach der Aufnahme erfolgen kann |
| Strukturierte Erinnerungs-Notizen (z. B. „mag norddeutsche Naturdokumentationen", „Hochzeitstag am 14. Mai") | Personalisierung zukünftiger Gespräche | wie Gesprächsprotokoll | bis zu 2 Jahre gleitend, ältere Notizen nach Relevanz beschnitten |
| Lebens-Chronik (langfristige biografische Eckpunkte) | Langfristige Kontinuität | wie Gesprächsprotokoll | Laufzeit Abonnement + 30 Tage |
| Anruf-Metadaten (Beginn, Ende, Dauer, Ergebnis des Anrufs, Modell- und Textversion) | Diensterbringung, Nachweisbarkeit | Art. 6 Abs. 1 lit. b und lit. f DSGVO | 12 Monate |
| Prüfprotokoll der Hinweis-Prüfung (Fall-Kennung, Stufe, durchgeführte Schritte, Zeitpunkte, Kürzel der prüfenden Person — ohne Gesprächs-Wortlaut, pseudonymisiert) | Nachweis des ordnungsgemäßen Vorgehens, Verteidigung gegen Rechtsansprüche | Art. 6 Abs. 1 lit. f DSGVO | 10 Jahre |
Beiläufige Inhalte besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) — etwa Erwähnungen zur Gesundheit, zu religiösen Themen, zu politischen Meinungen — werden vom System nicht aktiv erfragt, können aber im Verlauf eines Gesprächs auftreten und werden im Gesprächsprotokoll gespeichert, soweit für die Gesprächskontinuität relevant. Die Rechtsgrundlage hierfür ist die ausdrückliche Einwilligung gemäß Art. 9 Abs. 2 lit. a DSGVO, die auf einem der drei Wege aus Abschnitt 7.4 eingeholt wird und diesen Fall ausdrücklich benennt. Biometrische Merkmale der Stimme werden weder erhoben noch zur Wiedererkennung verwendet.
7.3 Nach dem Anruf — Tagesprotokoll für den Subscriber
Aus jedem Anruf wird für den Subscriber eine knappe, bewusst minimalistische Anruf-Übersicht erzeugt — keine Inhalte, keine Zusammenfassung des Gesprächs, keine Stimmungsbewertung. Sie enthält ausschließlich: ob der Anruf zustande gekommen ist (Anwesenheit), die Dauer des Gesprächs, die Anzahl der gesprochenen Wörter und die Top-Themen des Gesprächs in einer kurzen Stichwort-Liste (z. B. „Garten, Wetter, Familie, Erinnerung an Hochzeitstag").
Wir erstellen und kommunizieren keine Stimmungs-Bewertung, keinen Sentiment-Score, keine Gesundheits-Inferenz und keine emotionale Einschätzung. Diese ausdrückliche Selbst-Beschränkung ist sowohl in unserer System-Gestaltung (kein Modell-Output zur Stimmung) als auch in einer Filter-Stufe vor der Anzeige in der Subscriber-App verankert. Eine ausführlichere Erläuterung finden Sie in unseren KI-Informationen.
7.4 Wie wir die Einwilligung des End-Users einholen
Wir bieten drei gleichberechtigte Wege an, auf denen die ältere Person ihre datenschutzrechtliche Einwilligung in die Sprachverarbeitung erteilt. Auf allen drei Wegen gilt: Die Einwilligung wird von der älteren Person selbst erklärt — niemals durch einen App-Klick oder eine Erklärung des Subscribers. Eine Einwilligung durch Vertreter (etwa auf Grundlage einer Vorsorgevollmacht oder Betreuung) ist nicht vorgesehen; SilverFriend nimmt keine Prüfung solcher Dokumente vor. Der vollständige Wortlaut des Einwilligungstextes ist auf allen drei Wegen inhaltsgleich, benennt ausdrücklich, dass auch von der älteren Person selbst erwähnte Gesundheitsangaben von der Einwilligung umfasst sind (Art. 9 Abs. 2 lit. a DSGVO), und wird versioniert protokolliert.
Weg 1 — Einwilligungs-Anruf (persönlicher Anruf durch unser Team). Eine Mitarbeiterin oder ein Mitarbeiter von SilverFriend ruft die ältere Person zu einem mit dem Subscriber abgestimmten Termin an, erklärt den Dienst in einfacher Sprache und holt die Einwilligung mündlich ein. Dieser Anruf wird aufgezeichnet — jedoch erst, nachdem die ältere Person der Aufzeichnung ausdrücklich zugestimmt hat; diese Zustimmung wird nach Beginn der Aufzeichnung noch einmal bestätigt. Rechtsgrundlage für den kurzen Gesprächsteil vor der Aufzeichnungs-Zustimmung ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Nachweisführung). Der Mitschnitt dient ausschließlich als Einwilligungsnachweis und wird für die Dauer des Vertrages zuzüglich drei Jahren aufbewahrt (Abschnitt 7.2). Die späteren Anrufe des Sprach-Modells werden nicht aufgezeichnet.
Weg 2 — E-Mail-Bestätigung. Die ältere Person erhält an ihre eigene E-Mail-Adresse eine Einladung mit einem nur einmal verwendbaren, 72 Stunden gültigen Link zu einer Bestätigungsseite in einfacher Sprache und großer Schrift. Die Bestätigung erfolgt in zwei Schritten: Schritt 1 bestätigt, dass die ältere Person diese Nachricht selbst erhalten hat; Schritt 2 enthält den vollständigen Einwilligungstext und die Einwilligung. Alle Informationen sind ohne weiteren Klick sichtbar, und diese Datenschutzerklärung ist vor der Einwilligung verlinkt. Die Bestätigung wird revisionssicher protokolliert (Zeitstempel, Version des Einwilligungstextes, Konto-Zuordnung, technische Nachweise in gehashter Form, fehlgeschlagene Versuche).
Weg 3 — SMS-Bestätigung. Wie Weg 2, jedoch per SMS an die eigene Mobilfunknummer der älteren Person.
Auch eine Ablehnung („Nein") wird gespeichert — nur die Tatsache und der Zeitpunkt —, damit kein weiterer Kontakt erfolgt.
Widerruf. Die ältere Person kann ihre Einwilligung jederzeit und formlos widerrufen — am einfachsten, indem sie im Anruf „nicht mehr anrufen" sagt. Der Widerruf wirkt ab dem Zeitpunkt der Äußerung; die Anrufe werden eingestellt, sobald der Wunsch nach dem Gespräch geprüft ist — in der Regel noch am selben Werktag. Die Sichtung durch eine Mitarbeiterin oder einen Mitarbeiter geht der Einstellung voraus und dient allein dem Ausschluss von Missverständnissen; sie ist kein Genehmigungsvorbehalt. Ein Widerruf über den Abmeldelink oder gegenüber dem Team wird unmittelbar umgesetzt, weil dort nichts zu deuten ist. Mit dem Widerruf entfällt die Rechtsgrundlage für die weitere Speicherung des Gesprächsprotokolls, der Erinnerungs-Notizen, der Lebens-Chronik und der Profilangaben der älteren Person (Interessen, Anrufzeiten, Lebenssituation); wir löschen diese Daten sieben Tage nach der Bestätigung des Widerrufs. Die Telefonnummer bleibt lediglich als Sperrvermerk gespeichert, damit kein weiterer Anruf erfolgt. Aufbewahrt bleiben nur die Nachweise der Einwilligung und des Widerrufs (Abschnitt 6.2, 7.2) sowie dokumentierte Sicherheits-Ereignisse und das Prüfprotokoll (Abschnitt 8). Wir informieren den Subscriber darüber, dass die ältere Person keine Anrufe mehr wünscht — ohne Gesprächsinhalte — und weisen ihn dabei auf sein Kündigungsrecht hin. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt (Art. 7 Abs. 3 DSGVO).
8. Hinweis-Benachrichtigung (Auffälligkeitsbeobachtung mit menschlicher Prüfung)
Nach Abschluss eines jeden Anrufs prüft unser System das schriftliche Gesprächsprotokoll automatisiert auf ausdrückliche Äußerungen und Gesprächsereignisse, die auf eine akute Gefahr der älteren Person hindeuten können — eine ausdrückliche Aussage zu Selbstverletzung oder Suizidgedanken, eine geschilderte medizinische Notlage, einen Hinweis auf laufende Misshandlung. Eine Stimmungs-, Sentiment- oder Gesundheits-Analyse findet dabei nicht statt (Abschnitt 7.3). Eine Tonaufnahme existiert nicht; die Prüfung stützt sich ausschließlich auf das Gesprächsprotokoll.
Jede erkannte Auffälligkeit wird anschließend von einer Mitarbeiterin oder einem Mitarbeiter von SilverFriend persönlich geprüft. Die Prüfung erfolgt bei Hinweisen auf eine akute Gefahr für Leib oder Leben innerhalb der Servicezeiten unverzüglich, im Übrigen in der Regel innerhalb von 48 Stunden nach dem Anruf. Die Servicezeiten sind täglich — auch an Wochenenden und Feiertagen — von 9:00 bis 20:00 Uhr deutscher Zeit; außerhalb der Servicezeiten findet keine Prüfung statt; Anrufe, die vor 9:00 Uhr stattfinden, werden ab 9:00 Uhr geprüft. Eine bestimmte Bearbeitungs- oder Zustellzeit wird nicht zugesagt.
Was nach der Prüfung geschieht — in drei Stufen:
- Stufe 1 — Rückruf (nur bei Hinweisen auf eine akute Gefahr für Leib oder Leben). Eine Mitarbeiterin oder ein Mitarbeiter ruft die ältere Person zunächst selbst zurück, um die Lage zu klären, und rät ihr, bei Bedarf selbst den Notruf zu wählen.
- Stufe 2 — Kontakte bitten, sich zu melden. Wir bitten die im Subscriber-Profil hinterlegten Kontakte — zunächst den ersten, bei Nichterreichbarkeit den optional hinterlegten zweiten Kontakt —, sich bei der älteren Person zu melden. Bei einer bestätigten Auffälligkeit ohne akute Gefahr ist dies der einzige Schritt; bei akuter Gefahr geschieht es parallel zum Rückruf. Diese Bitte enthält keine Inhalte aus dem Gespräch, keine Diagnose, keine Bewertung — sie sagt sinngemäß nur: „Bitte melden Sie sich bei Ihrer oder Ihrem Angehörigen."
- Stufe 3 — Notruf. Bleibt bei akuter Gefahr eine Reaktion aus oder bestätigt sich die Gefahr, kann SilverFriend den Notruf (112; bei Gefahr durch andere Personen auch die Polizei 110) verständigen und dabei Name, Telefonnummer, Wohnort und — soweit hinterlegt — die Anschrift der älteren Person weitergeben. Ein Notruf durch SilverFriend kommt nur für Telefonanschlüsse in Deutschland in Betracht.
Ein automatischer Notruf durch das System findet nicht statt; ob und wann ein Notruf abgesetzt wird, entscheidet in jedem Einzelfall ein Mensch. Eine Benachrichtigung noch während des laufenden Anrufs erfolgt nicht. Die Funktion ist kein Hausnotruf, kein Medizinprodukt und ersetzt nicht den Notruf 112; im Gespräch selbst nennt das Sprach-Modell der älteren Person bei Bedarf die Notrufnummer 112. Die Verantwortung dafür, in einer selbst erkannten Notlage den Notruf zu wählen, verbleibt bei der älteren Person und ihren Angehörigen.
Rechtsgrundlagen. Für die automatisierte Erkennung und die menschliche Prüfung: Art. 6 Abs. 1 lit. d DSGVO und Art. 9 Abs. 2 lit. c DSGVO (lebenswichtige Interessen einer im akuten Moment möglicherweise nicht einwilligungsfähigen Person). Für die Benachrichtigung der Kontakte: Art. 6 Abs. 1 lit. d DSGVO; die Benachrichtigung enthält keine besonderen Kategorien personenbezogener Daten. Für die Weitergabe an den Notruf (112) bzw. die Polizei (110): Art. 6 Abs. 1 lit. d und Art. 9 Abs. 2 lit. c DSGVO.
Aufbewahrung im Eskalationsfall. Bestätigt die menschliche Prüfung eine Eskalation, bewahren wir das Gesprächsprotokoll des betroffenen Anrufs und das zugehörige Sicherheits-Ereignis bis zum Ablauf des dritten Kalenderjahres, das auf den Vorfall folgt, auf. Zweck dieser verlängerten Aufbewahrung ist die Nachvollziehbarkeit des Vorfalls und die Verteidigung gegen mögliche Rechtsansprüche; Rechtsgrundlage ist Art. 9 Abs. 2 lit. f bzw. Art. 6 Abs. 1 lit. f DSGVO. Wird ein Rechtsanspruch geltend gemacht oder angekündigt oder ist ein Rechtsstreit anhängig, verlängert sich die Aufbewahrung bis zu dessen rechtskräftigem Abschluss (Abschnitt 11). Das Prüfprotokoll — ohne Gesprächs-Wortlaut, pseudonymisiert — bewahren wir 10 Jahre auf; Sicherheits-Ereignisse ohne bestätigte Eskalation 3 Jahre; die Versand-Logs der Benachrichtigungen 90 Tage.
9. Empfänger und Auftragsverarbeiter (Subprocessoren)
Eine vollständige, fortlaufend aktualisierte Liste finden Sie auf silverfriend.de/datenschutz/subprocessors. Die wesentlichen Empfänger sind:
| Empfänger | Rolle | Vertragsgrundlage | Sitz |
|---|---|---|---|
| Amazon Web Services EMEA SARL | Auftragsverarbeiter (Hosting, Datenbank, Sprach-Modell in Echtzeit, Sprachmodell des KI-Begleiters für Veranstaltungen auf der Website, Schlüssel-Verwaltung, E-Mail-Versand) | Art. 28 DSGVO + EU-Standardvertragsklauseln Modul 2 + vertragliche Zusage: kein Modell-Training mit unseren Inhalten | Luxemburg / EU; Speicherort aller Daten: Deutschland; AWS Inc. (USA) als Unterauftragsverarbeiter |
| Twilio Ireland Limited | Auftragsverarbeiter (Telefon-Routing, SMS-Zustellung) | Art. 28 DSGVO + Standardvertragsklauseln Modul 2 | Dublin (Irland); Twilio Inc. (USA) als Konzernmutter |
| Google Ireland Limited (Firebase Cloud Messaging) | Auftragsverarbeiter (Push-Benachrichtigungen) | Art. 28 DSGVO + Standardvertragsklauseln Modul 2 | Dublin (Irland); Google LLC (USA) als Konzernmutter |
| PostHog | Auftragsverarbeiter (Nutzungsanalyse der Subscriber-App — nur nach Opt-in, pseudonym, keine End-User-Daten) | Art. 28 DSGVO + Standardvertragsklauseln Modul 2 | EU-Cloud, Deutschland; PostHog Inc. (USA) als Konzernmutter |
| Google (Firebase Crashlytics) | Auftragsverarbeiter (Absturzberichte der Subscriber-App — nur nach Opt-in, keine End-User-Daten) | Art. 28 DSGVO + Standardvertragsklauseln Modul 2 | Dublin (Irland); Google LLC (USA) als Konzernmutter |
| HubSpot Ireland Limited | Auftragsverarbeiter (Blog-Auslieferung, Warteliste, Subscriber-CRM, E-Mail-Kommunikation sowie Website-Tracking (Tracking-Code und Tracking-Pixel) nur nach Marketing-Einwilligung — ausschließlich Subscriber-Daten, keine End-User-Daten; die Website selbst wird nicht über HubSpot ausgeliefert) | Art. 28 DSGVO + Standardvertragsklauseln Modul 2 | Dublin (Irland), Datenresidenz EU (Deutschland); HubSpot Inc. (USA) als Konzernmutter |
| Google Ireland Limited (Google Analytics 4, Google Tag Manager) | Auftragsverarbeiter (Reichweiten-Messung der Website — nur nach Einwilligung im Cookie-Banner, Abschnitt 6.1) | Art. 28 DSGVO + Standardvertragsklauseln Modul 2 | Dublin (Irland); Google LLC (USA) als Konzernmutter |
| Meta Platforms Ireland Ltd. (Meta Pixel) | Auftragsverarbeiter (Erfolgsmessung von Werbeanzeigen auf Facebook/Instagram — nur nach Marketing-Einwilligung, Abschnitt 6.1) | Art. 28 DSGVO + Standardvertragsklauseln Modul 2 | Dublin (Irland); Meta Platforms, Inc. (USA) als Konzernmutter |
| RevenueCat Inc. | Auftragsverarbeiter (Abonnement- und Berechtigungs-Verwaltung im App-Store-Umfeld) | Art. 28 DSGVO + Standardvertragsklauseln Modul 2 | USA |
| Apple Inc. / Apple Distribution International | Gemeinsam Verantwortlicher für App-Store-Transaktionen | App-Store-Vertrag | Cork (Irland) / USA |
| Google LLC / Google Commerce Limited | Gemeinsam Verantwortlicher für Play-Store-Transaktionen | Play-Store-Vertrag | Dublin / USA |
| Steuerberater | Auftragsverarbeiter (Buchhaltung, Steuererklärung) | Art. 28 DSGVO | Deutschland |
| Druck-Dienstleister für die Willkommens-Broschüre | Auftragsverarbeiter (Postversand) | Art. 28 DSGVO | Deutschland |
| Rettungsleitstelle (112) bzw. Polizei (110) | Eigenständig verantwortlicher Empfänger — nur im bestätigten akuten Gefahrenfall (Abschnitt 8, Stufe 3): Name, Telefonnummer, Wohnort, soweit hinterlegt Anschrift | Art. 6 Abs. 1 lit. d, Art. 9 Abs. 2 lit. c DSGVO | Deutschland |
Zusätzlich nutzen wir intern folgende Anbieter, die keine personenbezogenen Daten unserer Subscriber oder End-User verarbeiten:
| Anbieter | Zweck | Datenschutz-Position |
|---|---|---|
| OpenRouter (USA) | Sprachmodell-Zugang für interne Themen-Recherche | Es werden keine personenbezogenen Daten übertragen; technisch ausgeschlossen |
| Firecrawl (USA) | Abruf öffentlicher Web-Inhalte (TV-Programme, Veranstaltungs-Listings) | Es werden keine personenbezogenen Daten übertragen; Eingaben sind ausschließlich kuratierte Internet-Adressen |
10. Übermittlungen in Drittländer
Alle Server stehen in der Europäischen Union; alle Daten werden ausschließlich in Deutschland gespeichert (nur in Deutschland und den nordischen Ländern kommen von SilverFriend betriebene Dienste mit Kundendaten in Berührung). Kein Kundendatum wird außerhalb Deutschlands gespeichert. In bestimmten Fällen erfolgen Übermittlungen in die Vereinigten Staaten:
- Konzern-Steuerungsebene der EU-Töchter unserer US-Anbieter (AWS, Twilio, Google, HubSpot, PostHog, Meta) — keine produktiven Inhalte; Steuerungs- und Support-Operationen.
- RevenueCat als US-basierter Abo-Verwalter — verarbeitet einen pseudonymen App-User-Identifikator und Abonnement-Daten.
Für jede dieser Übermittlungen liegt vor: (1) EU-Standardvertragsklauseln Modul 2 nach Beschluss (EU) 2021/914, (2) — soweit der jeweilige Anbieter zertifiziert ist — das EU-US Data Privacy Framework (DPF) als Angemessenheits-Grundlage (Art. 45 DSGVO), (3) ergänzende technische und organisatorische Maßnahmen: Verschlüsselung gespeicherter Daten mit eigenen Schlüsseln, verschlüsselte Übertragung, Datenhaltung auf europäischer Ebene, Datenminimierung (z. B. nur Token und Typ-Code in Push-Nachrichten, ausschließlich Subscriber-Daten bei HubSpot, Pseudonymisierung bei RevenueCat und PostHog).
Eine Übermittlungs-Folgenabschätzung liegt unserer Datenschutz-Kontaktstelle vor und kann auf Anforderung in zusammengefasster Form bereitgestellt werden.
11. Speicherdauer
Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Verarbeitungszwecke erforderlich ist oder eine gesetzliche Aufbewahrungspflicht besteht. Die konkreten Speicherfristen sind in den Daten-Tabellen (Abschnitte 6 und 7) je Datenkategorie genannt. Unser Löschkonzept folgt DIN 66398:2016 und ist intern dokumentiert.
Allgemeiner Hinweis: Wird ein Rechtsanspruch geltend gemacht oder angekündigt oder ist ein Rechtsstreit anhängig, verlängert sich die Aufbewahrung der hierfür erforderlichen Daten bis zu dessen rechtskräftigem Abschluss. Sicherungskopien unserer Datenbank werden spätestens nach 30 Tagen überschrieben; gelöschte Daten werden nicht aus Sicherungskopien wiederhergestellt.
Zusammenfassende Übersicht:
| Datenbereich | Speicherdauer |
|---|---|
| Subscriber-Konto (allgemein) | Laufzeit Abonnement + 30 Tage Karenz, danach Löschung; Kontolöschung in der App ist innerhalb von 30 Tagen abgeschlossen |
| Steuerrelevante Aufzeichnungen | 10 Jahre (§ 147 AO, § 257 HGB) |
| Tonaufnahme der Anrufe des Sprach-Modells | keine — es wird keine Tonaufnahme erstellt |
| Aufzeichnung des Einwilligungs-Anrufs | Vertragsdauer + 3 Jahre (technischer Schreibschutz, endgültige Löschung bis zu 7 Jahre nach Aufnahme) |
| Gesprächsprotokolle | 14 Tage; bei bestätigter Eskalation bis zum Ablauf des dritten Kalenderjahres nach dem Vorfall; verlängert bei Rechtsansprüchen |
| Erinnerungs-Notizen | bis zu 2 Jahre gleitend, ältere nach Relevanz beschnitten |
| Lebens-Chronik | Laufzeit Abonnement + 30 Tage |
| Daten der älteren Person nach Widerruf („nicht mehr anrufen") — Gesprächsprotokolle, Erinnerungs-Notizen, Lebens-Chronik, Profilangaben | Löschung 7 Tage nach Bestätigung des Widerrufs; Telefonnummer nur als Sperrvermerk; Nachweise und Sicherheits-Ereignisse bleiben nach ihren Fristen |
| Sicherheits-Ereignisse (Auffälligkeiten) | 3 Jahre; bei bestätigter Eskalation wie Gesprächsprotokoll |
| Prüfprotokoll der Hinweis-Prüfung (ohne Wortlaut, pseudonymisiert) | 10 Jahre |
| Versand-Logs der Hinweis-Benachrichtigungen | 90 Tage |
| Sicherheits-Logs | 30 Tage Vollform, 12 Monate aggregiert |
| Einwilligungs-Nachweise (Protokolle, auch „Nein") | 3 Jahre nach Widerruf bzw. Vertragsende |
| Support-Anfragen | 2 Jahre nach Abschluss |
| Nutzungsanalyse-Daten (PostHog) | 90 Tage roh, 24 Monate aggregiert |
| Absturzberichte (Crashlytics) | 90 Tage |
| Server-Logs der Website | 7 Tage Vollform, 30 Tage trunkiert |
| Fragen an den KI-Begleiter für Veranstaltungen (Website) | keine — Frage und Antwort werden nach der Beantwortung verworfen |
| Technisches Protokoll des KI-Begleiters für Veranstaltungen (ohne Wortlaut) | 90 Tage |
12. Ihre Rechte
Sie haben jederzeit folgende Rechte gegenüber SilverFriend: Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21), Widerruf einer Einwilligung jederzeit mit Wirkung für die Zukunft (Art. 7 Abs. 3) sowie Beschwerde bei der zuständigen Aufsichtsbehörde (Art. 77).
Bitte richten Sie Ihre Anfrage formlos an datenschutz@silverfriend.de. Wir antworten innerhalb eines Monats ab Eingang; in komplexen Fällen können wir die Frist gemäß Art. 12 Abs. 3 DSGVO um zwei weitere Monate verlängern und informieren Sie hierüber binnen der ersten Monatsfrist.
Identitätsprüfung: Für Subscriber erfolgt die Identitätsprüfung über das Subscriber-App-Konto oder über einen Bestätigungs-Code an die im Konto hinterlegte E-Mail-Adresse oder Telefonnummer. Für ältere Personen erfolgt sie über einen Rückruf an die im Profil hinterlegte Telefonnummer mit gesprochener Bestätigung.
Rechte im Anruf ausüben: Die ältere Person kann ihre Rechte auch direkt im Anruf ausüben. Die Aussage „nicht mehr anrufen" führt dazu, dass die Anrufe eingestellt werden, sobald der Wunsch nach dem Gespräch geprüft ist — in der Regel noch am selben Werktag (Abschnitt 7.4); die Aussage „bitte alle meine Daten löschen" wird als formeller Löschantrag aufgenommen. Beide Erklärungen werden von einer Mitarbeiterin oder einem Mitarbeiter gesichtet und dauerhaft umgesetzt; ab der Sichtung bleiben die Anrufe ausgesetzt.
Aufsichtsbehörde für Beschwerden: Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59-61, 10555 Berlin, https://www.datenschutz-berlin.de.
13. Automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO
Eine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO findet im Rahmen des SilverFriend-Dienstes nicht statt. Insbesondere:
- Es werden keine Bonitäts-, Persönlichkeits-, Gesundheits- oder Stimmungs-Profile erstellt.
- Der KI-Begleiter für Veranstaltungen auf der Website (Abschnitt 6.8) gibt Hinweise auf Kalendereinträge; er trifft keine Entscheidung mit rechtlicher Wirkung und bewertet nicht Ihre Person.
- Es werden keine rechtlich erheblichen oder ähnlich beeinträchtigenden Einzelentscheidungen automatisiert getroffen.
- Die Sprach-KI führt das Gespräch in einem festgelegten Verhaltens-Rahmen, gibt jedoch keine bewertende Entscheidung über die ältere Person ab.
Die einzige modellgestützte Erkennung mit Außenwirkung ist die Erkennung von Anzeichen für eine Gefahr (Abschnitt 8) — und gerade dort entscheidet immer ein Mensch: Ohne die persönliche Prüfung durch eine Mitarbeiterin oder einen Mitarbeiter wird weder eine Benachrichtigung versendet noch ein Notruf abgesetzt.
14. Sicherheit (Art. 32 DSGVO)
Wir setzen u. a. folgende technische und organisatorische Maßnahmen ein:
- Datenhaltung ausschließlich auf Servern in Deutschland (Abschnitt 10).
- Verschlüsselung gespeicherter Daten mit eigenen, regelmäßig gewechselten Schlüsseln; der Einwilligungs-Nachweis-Speicher ist zusätzlich technisch gegen Veränderung und vorzeitige Löschung geschützt.
- Verschlüsselte Übertragung auf allen Übertragungswegen; verschlüsselte Sprach-Medienströme, soweit der Telekommunikations-Anbieter dies unterstützt.
- Rollenbasierte Zugriffssteuerung mit strikt getrennten Rollen für Anwendung, Auswertung und Wartung; Einwilligungs-Datensätze sind gegen Löschung und nachträgliche Veränderung geschützt (nur Anfügen, kein Überschreiben).
- Verwaltung von Zugangsdaten ausschließlich über einen zentralen Geheimnisspeicher; keine Klartext-Geheimnisse in Programmcode, Konfigurationsdateien oder Protokollen.
- Web Application Firewall vor allen öffentlichen Schnittstellen.
- Strukturierte Sicherheits-Protokolle ohne Klartext-Personendaten; Speicherung verschlüsselt.
- Datenschutz-Folgenabschätzungen für die Sprach-Verarbeitung und für die Subscriber-App, intern dokumentiert und der Aufsicht auf Anforderung vorlegbar.
- Regelmäßige Sicherheits-Reviews und Übungen zu Datenschutz-Vorfällen.
15. Cookies und ähnliche Speichertechnologien
Auf der Website silverfriend.de setzen wir Cookies und vergleichbare Technologien nur ein, soweit dies für den Betrieb der Website erforderlich ist (technisch notwendige Cookies, § 25 Abs. 2 TDDDG) oder Sie zuvor in nicht-essenzielle Cookies eingewilligt haben (§ 25 Abs. 1 TDDDG). Die Einwilligung wird über ein Consent-Banner eingeholt und kann jederzeit über „Cookie-Einstellungen" im Footer widerrufen werden. In der Subscriber-App gilt Entsprechendes für die einwilligungsbasierte Nutzungsanalyse und Absturzberichte (Abschnitt 6.5). Einzelheiten zu den eingesetzten Diensten finden Sie in Abschnitt 6.1. Auf der Veranstaltungsseite speichert Ihr Browser auf Ihren Wunsch („Ort merken") den gewählten Ort lokal, damit er beim nächsten Besuch vorausgewählt ist; diese Speicherung ist für die von Ihnen gewünschte Funktion erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG), bleibt in Ihrem Browser und wird über „Vergessen" wieder entfernt.
16. Änderungen dieser Datenschutzerklärung
Wir aktualisieren diese Erklärung bei wesentlichen Änderungen unserer Verarbeitungen und informieren aktive Subscriber hierüber über die Subscriber-App und per E-Mail. Für die ältere Person legen wir bei wesentlichen Änderungen eine aktualisierte Fassung dem Versand bei bzw. informieren im Anruf. Eine Änderungshistorie führen wir am Ende dieser Erklärung. (Vertragliche Sonderkündigungsrechte bei Leistungsänderungen richten sich nach den Nutzungsbedingungen, § 13.)
17. Änderungshistorie
| Datum | Version | Wesentliche Änderungen |
|---|---|---|
| 2026-04-13 | 1.0 | Erstveröffentlichung (Pre-Launch) |
| 2026-04-17 | 1.1 | Auftragsverarbeiter namentlich benannt (AWS, Twilio, FCM, RevenueCat, HubSpot); Rechenzentrum Frankfurt konkretisiert; App-spezifische Datenschutzhinweise und Datenschutzkennzeichnung (Apple/Google) hinzugefügt; Abschnitt zu Kindern und Minderjährigen ergänzt; Kontakttelefonnummer eingefügt; Sprachumschalter hinzugefügt |
| 2026-05-08 | 1.2 | Meta Pixel (Facebook/Instagram) als Auftragsverarbeiter aufgenommen; Pixel feuert ausschließlich nach Marketing-Einwilligung (TTDSG § 25 Abs. 1, DSGVO Art. 6 Abs. 1 lit. a); EU-US Data Privacy Framework als Übermittlungsgrundlage ergänzt |
| 2026-08-24 | 1.3 | Neuer Abschnitt 5.7 (Nutzungsanalyse und Absturzberichte in der Mobile-App: PostHog und Google Firebase Crashlytics, beide Opt-in); Abschnitt 5.5 korrigiert — die frühere Aussage, die App gebe keine Daten an Analysedrittanbieter weiter, traf seit Juli 2026 nicht mehr zu; Datenschutzkennzeichnung (5.6) um Produktinteraktions- und Diagnosedaten ergänzt; Abschnitt 7 um Google Ireland Limited (Analytics 4 / Tag Manager sowie Crashlytics), Meta Platforms Ireland Ltd. und PostHog, Inc. erweitert; Abschnitt 8 um den Drittlandhinweis zu PostHog ergänzt; Hinweis-Benachrichtigung als Bezeichnung der Sicherheitsfunktion übernommen und die menschliche Prüfung vor jeder Benachrichtigung in Abschnitt 11 klargestellt |
| 2026-09-05 | 1.4 | Widerruf im Gespräch berichtigt: Die Anrufe werden eingestellt, sobald wir den Wunsch „nicht mehr anrufen" nach dem Gespräch erkannt haben — keine Zusage mehr, dass dies sofort geschieht (Abschnitt 10); Verweis auf ein internes Dokument in Abschnitt 9 entfernt |
| 2026-09-05 | 1.5 | Abschnitt 7 an die Subprozessoren-Liste v1.3 angeglichen: Sprachverarbeitung bei AWS in Echtzeit, keine gespeicherte Tonaufnahme der regelmäßigen Anrufe, schriftliches Gesprächsprotokoll (14 Tage); Rolle von HubSpot präzisiert (Blog-Auslieferung, Warteliste, Subscriber-CRM, E-Mail-Kommunikation sowie einwilligungspflichtiges Website-Tracking); die Website selbst wird nicht über HubSpot ausgeliefert. Abschnitt 5.3 um das schriftliche Gesprächsprotokoll (14 Tage) und die Aufnahme des einmaligen Zustimmungs-Anrufs (Vertragsdauer + 3 Jahre) ergänzt. Speicherort einheitlich beschrieben: Server in der Europäischen Union, Speicherung ausschließlich in Deutschland |
| 2026-09-06 | 2.0 | Vollständige Neufassung: drei gleichberechtigte Einwilligungswege der älteren Person (kein Vertreter-Weg); keine Tonaufnahme der Anrufe des Sprach-Modells, schriftliches Gesprächsprotokoll 14 Tage; Anrufzeiten (täglich 7–20 Uhr) und Servicezeiten (täglich 9–20 Uhr) als getrennte Fenster; Hinweis-Benachrichtigung als Stufenmodell mit Rückruf und Notruf durch Mitarbeitende; Widerruf im Gespräch mit Löschung sieben Tage nach Bestätigung; Aufbewahrung im Eskalationsfall bis zum Ende des dritten Kalenderjahres; Prüfprotokoll 10 Jahre; Anschrift der älteren Person freiwillig mit Notfall-Zweck; Speicherort: Server in der EU, Speicherung ausschließlich in Deutschland; Website-Analyse (Abschnitt 6.1) unverändert übernommen |
| 2026-09-07 | 2.1 | Datenhaltung in Deutschland ausdrücklich benannt (Abschnitt 1, Abschnitt 9 AWS-Zeile, Abschnitt 10, Abschnitt 14); Telefonnummer des Verantwortlichen in Abschnitt 2 ergänzt; Satz zur Versionszählung von Website und App im Kopf ergänzt; Anhang C.2: „kurze Übersicht“ statt „kurze Zusammenfassung“ |
| 2026-09-08 | 2.2 | Externer Datenschutzbeauftragter benannt (IITR Datenschutz GmbH) |
| 2026-09-10 | 2.3 | KI-Begleiter für Veranstaltungen auf der Website beschrieben (neuer Abschnitt 6.8: Übertragung nur auf aktives Absenden, Verarbeitung bei AWS in der EU, keine Speicherung von Frage und Antwort, Protokoll 90 Tage); Übersicht in Abschnitt 11, Art.-22-Hinweis, „Ort merken" (Abschnitt 15) und Teilen-Funktionen (Anhang A) ergänzt |
| 2026-09-10 | 2.4 | Gesprochener Widerruf: Die Anrufe werden eingestellt, sobald der Wunsch nach dem Gespräch von einem Menschen geprüft ist — in der Regel noch am selben Werktag; die Sichtung geht der Einstellung voraus (Abschnitt 7.4, Widerruf, Rechte im Anruf, Anhang B). Ein Widerruf über den Abmeldelink oder gegenüber dem Team wird weiterhin unmittelbar umgesetzt. |
| 2026-10-05 | 2.6 | Erste Fassung aus der zentralen Quelle (REPATHGEN): Angaben zu den Seitenadressen, die Meta erhält (keine persönlichen Angaben; kein Pixel auf Seiten, deren Adresse solche enthalten könnte); Rechtsgrundlage der US-Übermittlung zu Meta ohne Modulangabe; Nachweis der Cookie-Auswahl beschrieben; veraltete Zeile zur Reichweitenanalyse ersetzt; Satz zur Inhaltsgleichheit mit der App-Fassung durch eine Geltungsbereichs-Angabe ersetzt; Bezeichnung „KI-Begleiter am Telefon". |
| 2026-10-05 | 2.5 | Abschnitt 6.1 an die Website angeglichen: Google Analytics 4 und Google Tag Manager werden erst nach Einwilligung geladen (vorher keine Übertragung an Google), Werbe-Signale bleiben abgelehnt, Google-Signale deaktiviert, Cookie-Laufzeit 13 Monate; HubSpot-Website-Tracking mit Tracking-Pixel und Cookies benannt; Kartenansicht (OpenStreetMap) ergänzt; „TTDSG" durch „TDDDG" ersetzt. |
Anhang A — Web-spezifische Ergänzungen
Website-Hosting. silverfriend.de wird auf europäischer Cloud-Infrastruktur mit einem Auslieferungsnetz betrieben; Blog-Inhalte und die Warteliste werden über HubSpot mit Datenresidenz in der EU (Deutschland) bereitgestellt. Server-Logs werden 14 Tage vorgehalten und anschließend gelöscht oder pseudonymisiert (Abschnitt 6.1).
Reichweiten-Messung. Reichweiten-Messung und Werbe-Erfolgsmessung erfolgen nur nach Ihrer Einwilligung im Cookie-Banner; die eingesetzten Dienste, ihre Rechtsgrundlage und die Übermittlung in die USA beschreibt Abschnitt 6.1.
Kontaktformulare und Warteliste. Eingaben gehen in unsere Bearbeitungs-Postfächer bzw. in die Warteliste. Wir bewahren sie 90 Tage auf; bei Lead-Konversion bis Vertragsende + 30 Tage.
Eingebettete Inhalte. Wir vermeiden Drittanbieter-Komponenten, die Ihre Daten ohne Ihre Einwilligung an externe Server senden würden. Video-Einbettungen werden, soweit überhaupt eingesetzt, ausschließlich im datensparsamen Modus eingebunden.
KI-Begleiter für Veranstaltungen. Fragen, die Sie auf silverfriend.de/events aktiv absenden, beantwortet ein Sprachmodell auf Amazon Bedrock in EU-Rechenzentren von Amazon; Frage und Antwort werden nicht gespeichert, das technische Protokoll (ohne Wortlaut) 90 Tage. Einzelheiten in Abschnitt 6.8.
Teilen-Funktionen. Die Schaltflächen „Teilen", „WhatsApp", „E-Mail" und „In Kalender" auf der Veranstaltungsseite erzeugen lediglich einen Link oder Text, der in Ihrer eigenen App geöffnet wird. Wir binden keine Software dieser Anbieter ein und erfahren nicht, ob und an wen Sie etwas weitergeben.
Anhang B — Subscriber-App-spezifische Ergänzungen
App-Anmeldung und Authentifizierung. Sie melden sich mit E-Mail-Adresse und Passwort an. Sitzungs-Tokens werden im sicheren Geräte-Schlüsselbund (iOS Keychain, Android Keystore) abgelegt; sie verlassen das Gerät nicht.
Berechtigungen. Die App fragt ausschließlich Berechtigungen ab, die für die jeweilige Funktion erforderlich sind: Push-Benachrichtigungen (mit Einwilligung). Die App fragt keinen Mikrofon-, Kamera-, Standort- oder Kontaktzugriff an.
Nutzungsanalyse und Absturzberichte (Opt-in). Beim ersten Start nach der Registrierung fragen wir Sie, ob wir pseudonymisierte Nutzungsdaten und Absturzberichte erheben dürfen (Abschnitt 6.5). Ohne Ihre Zustimmung bleiben die Analyse-Bausteine (PostHog, Firebase Crashlytics) vollständig deaktiviert. Sie können Ihre Entscheidung jederzeit in den Einstellungen ändern; beim Widerruf werden die lokalen Analyse-Kennungen auf dem Gerät verworfen.
Support-Anfragen. Sie erreichen unseren Support per E-Mail an support@silverfriend.de. Wir verarbeiten dabei Ihre Nachricht, Ihre Konto-E-Mail und die technischen Angaben, die Sie uns mitteilen. Gesprächsinhalte werden nie übermittelt.
Pausieren, Beenden, Todesfall. Beim Pausieren der Anrufe oder beim Löschen des Kontos können Sie uns freiwillig einen Grund mitteilen — per E-Mail an support@silverfriend.de. Die Mitteilung „verstorben" beendet die Anrufe sofort und dauerhaft; die Daten der älteren Person werden nach den Fristen in Abschnitt 11 gelöscht. Wir verlangen dafür keinen Nachweis.
In-App-Kontolöschung. Die App stellt einen Bildschirm „Konto löschen" bereit. Die Löschung wird nach Identitätsprüfung sofort angestoßen, innerhalb von 30 Tagen abgeschlossen und im Audit-Log nachvollzogen. Die Kontolöschung beendet ein im App-Store abgeschlossenes Abonnement nicht; dieses kündigen Sie im jeweiligen Store.
Push-Benachrichtigungen. Die App empfängt Push-Nachrichten ausschließlich nach Ihrer Einwilligung. Die Nachrichten enthalten ausschließlich einen Typ-Code und einen Zeitstempel — keine Namen, keine Inhalte.
iOS-Privacy-Manifest. Die iOS-Version der App enthält die nach Apple-Vorgabe erforderliche Datenschutz-Manifestdatei, sodass Sie im App-Store das Datenschutz-Etikett einsehen können.
Plattform-Fußzeile (Apple, Google). Bestimmte Daten — etwa Geräte-Identifikatoren und Diagnostik-Daten — werden auf Plattform-Ebene durch Apple bzw. Google verarbeitet. Diese Verarbeitungen unterliegen der jeweiligen Plattform-Datenschutzerklärung und nicht direkt unserer Verantwortlichkeit.
Anhang C — Mündliche Information im Anruf
C.1 — KI-Offenlegung in jedem Anruf. Jeder Anruf des Sprach-Modells beginnt mit einer Offenlegung der KI-Natur im ersten Satz:
„Hallo {Vorname}, hier ist SilverFriend, Ihr KI-Begleiter. {Begrüßungsfrage}"
Dieser Wortlaut ist fester Bestandteil jedes Anrufs.
C.2 — Erstinformation im ersten Anruf des Sprach-Modells. Der erste Anruf setzt die bereits erteilte Einwilligung (Abschnitt 7.4) voraus und beginnt zusätzlich mit folgender Erstinformation in altersgerechter Sprache:
„Hallo {Vorname}, hier ist SilverFriend, Ihr KI-Begleiter. Sie haben ja bereits zugestimmt, dass ich Sie regelmäßig anrufe — vielen Dank dafür. Ich bin keine echte Person, sondern eine Sprach-Software. Ich rufe Sie regelmäßig an, immer zwischen 7 und 20 Uhr, um mit Ihnen zu plaudern — über Ihren Tag, Ihre Erinnerungen und Dinge, die Sie interessieren. Ich merke mir dafür einige Notizen aus unseren Gesprächen. Ich gebe keine medizinischen Ratschläge, ich frage nie nach Bankdaten, und ich werde nie behaupten, ich sei Ihre Tochter oder Ihr Sohn.
Unser Gespräch wird nicht aufgezeichnet. Es entsteht nur ein schriftliches Protokoll, das nach 14 Tagen gelöscht wird. Ihre Familie sieht später nur eine kurze Übersicht: wie lange wir gesprochen haben und welche Themen wir hatten — keine Bewertungen, keine Inhalte.
Wenn nach einem Gespräch etwas darauf hindeutet, dass es Ihnen nicht gut geht, schaut sich das ein Mensch von SilverFriend an, und wir bitten dann Ihre Familie, sich bei Ihnen zu melden. Dabei sagen wir Ihrer Familie nichts vom Inhalt unseres Gesprächs. In einem Notfall rufen Sie bitte immer selbst die 112 an — dafür bin ich nicht gemacht.
Sie können jederzeit sagen ‚nicht mehr anrufen', dann rufe ich Sie nicht mehr an. Sie können auch sagen ‚alle meine Daten löschen', dann geben wir das an unsere Datenschutz-Stelle weiter. Möchten Sie heute mit mir sprechen?"
Eine Verneinung („nein", „nicht mehr anrufen") führt dazu, dass der Anruf freundlich beendet wird; die weiteren Anrufe werden eingestellt, sobald der Wunsch nach dem Gespräch geprüft ist — in der Regel noch am selben Werktag (Abschnitt 7.4, Widerruf).
