Balance — Länderanhang Europäische Union und Europäischer Wirtschaftsraum

Effective date: 28 June 2026 Last updated: 28 June 2026

Eigentümer: , Director, BabaYaga Program, TOO — fungiert auch als Datenschutzbeauftragter und benannter Kinderschutzbeauftragter für alle von diesem Anhang erfassten Einwohner der EU/des EWR. Geprüft: mindestens einmal jährlich, bis zum 9. Juni. Wird sofort wieder aufgenommen bei (a) jeder Änderung der Datenschutz-Grundverordnung der EU (Verordnung (EU) 2016/679) oder eines unmittelbar geltenden EU-Nachfolgeinstruments, (b) jeder Leitlinie, Stellungnahme oder verbindlichen Entscheidung des Europäischen Datenschutzausschusses ("EDPB"), die die Anwendung der DSGVO auf einen Kinderschutzdienst wesentlich verändert, (c) jeder Änderung einer nationalen Ausnahmeregelung eines Mitgliedstaats von Artikel 8(1) DSGVO (das "Alter der digitalen Mündigkeit"), (d) jedem Prozessergebnis des Gerichtshofs der Europäischen Union ("EuGH"), das die Gültigkeit des EU-US-Datenschutzrahmens oder der EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914 der Kommission) wesentlich ändert, (e) jedem Durchführungsrechtsakt oder einer Leitlinie der Kommission zum Gesetz über digitale Dienste (Verordnung (EU) 2022/2065), der die Definitionen von "Hosting-Dienst" / "Online-Plattform" der DSA so ändert, dass Balance in den Geltungsbereich fällt, (f) jeder Änderung des Europäischen Kodex für die elektronische Kommunikation (Richtlinie (EU) 2018/1972) oder der ePrivacy-Richtlinie (Richtlinie 2002/58/EG, geändert durch die Richtlinie 2009/136/EG) (oder der voraussichtlichen ePrivacy-Verordnung, die sie ersetzt), (g) jeder Änderung des Mandats des EU-Repräsentanten von Prighter oder (h) jeder Änderung der EU/EWR-Datenverarbeitungspraxis eines Unterauftragsverarbeiters gemäß our sub-processor register. Klassifizierung: Öffentlicher rechtlicher Anhang. Dieses Dokument wird unter Privacy Policy neben der globalen Datenschutzerklärung (H1) und unter Children's Privacy Notice neben dem Datenschutzhinweis für Kinder (H2) veröffentlicht und ist in beide integriert. Es ist einer der Länderanhänge, die die globalen Dokumente unter der in our internal compliance plan § 6.3 dokumentierten Architektur "globale Richtlinie + länderspezifischer Anhang" begleiten. Dieser Anhang erfüllt die Verpflichtungen für Länderanhänge, auf die verwiesen wird in: Privacy Policy § 18 (Länderanhänge — Zeile EU/EWR). Children's Privacy Notice § 14 (Länderanhänge — Zeile EU/EWR). Child Safety Standards § 13 (Länderanhänge — Zeile EU/EWR). Terms of Service § 19 (EU-Verbraucherschutz-Ausnahmeregelung gemäß der Richtlinie 2011/83/EU über Verbraucherrechte, der Richtlinie 93/13/EWG über missbräuchliche Klauseln in Verbraucherverträgen und der Richtlinie (EU) 2019/770 über digitale Inhalte und digitale Dienste) und § 23 (EU-Repräsentant-Kontaktblock). Subscription Terms § 20 (Verbraucherrechterichtlinie 2011/83/EU — 14-tägiges Widerrufsrecht für Fernabsatzverträge; Richtlinie (EU) 2019/2161 zur besseren Durchsetzung und Modernisierung der EU-Verbraucherschutzvorschriften — Offenlegung der automatischen Verlängerung). Data Retention & Deletion Policy § 14 (Beschwerdeweg pro Mitgliedstaat). our breach-notification runbook § 9.1 (EU/EWR-Meldeweg für Datenschutzverletzungen des Verantwortlichen über Prighter an jede zuständige Aufsichtsbehörde innerhalb der 72-Stunden-Frist). our international-transfer pack (EU-Standardvertragsklauseln + EU-US-Datenschutzrahmen + Transfer Impact Assessment als EU/EWR-Teil des Übermittlungspakets). Dieser Anhang ist die kanonische Erweiterung der globalen Datenschutzerklärung und des Datenschutzhinweises für Kinder für Einwohner der EU/des EWR. Wenn dieser Anhang einem Einwohner der EU/des EWR ein Recht einräumt, das die globale Richtlinie nicht gewährt, gilt dieser Anhang. Wenn die globale Richtlinie einem Einwohner der EU/des EWR ein Recht einräumt, das dieser Anhang nicht gewährt, gilt die globale Richtlinie. Beide sind zusammen zu lesen.

1. Geltungsbereich und Anwendbarkeit

Dieser Anhang gilt für jeden Balance-Nutzer (Elternteil oder Kind), dessen Wohnsitzland einer der unten aufgeführten Mitgliedstaaten der Europäischen Union oder einer der nicht zur EU gehörenden Mitgliedstaaten des Europäischen Wirtschaftsraums ist.

1.1 EU-Mitgliedstaaten im Geltungsbereich (27)

Österreich, Belgien, Bulgarien, Kroatien, Zypern, Tschechien, Dänemark, Estland, Finnland, Frankreich, Deutschland, Griechenland, Ungarn, Irland, Italien, Lettland, Litauen, Luxemburg, Malta, Niederlande, Polen, Portugal, Rumänien, Slowakei, Slowenien, Spanien, Schweden.

1.2 Nicht zur EU gehörende EWR-Mitgliedstaaten im Geltungsbereich (3)

Island, Liechtenstein, Norwegen. Die EU-DSGVO wurde durch den Beschluss des Gemeinsamen EWR-Ausschusses Nr. 154/2018 vom 6. Juli 2018, durch den die Verordnung (EU) 2016/679 in Anhang XI des EWR-Abkommens aufgenommen wurde, auf die drei nicht zur EU gehörenden EWR-Mitgliedstaaten anwendbar gemacht. Die materielle Haltung von Balance ist daher für Einwohner der EU-27 und der EWR-3 identisch.

1.3 Was nicht in den Geltungsbereich dieses Anhangs fällt

Vereinigtes Königreich. Abgedeckt durch United Kingdom annex. Das UK hat die EU am 31. Januar 2020 verlassen, und die EU-DSGVO gilt im UK nicht mehr; stattdessen gilt der Rahmen des UK-GDPR + Data Protection Act 2018. Schweiz. Die Schweiz ist kein EWR-Mitgliedstaat. Das Schweizer Bundesgesetz über den Datenschutz ("DSG" / "revDSG" vom 1. September 2023) ist das maßgebliche Gesetz und Gegenstand eines separaten, zukünftigen Länderanhangs für die Schweiz (geplant in our internal compliance plan Phase 1.x — Anhang Schweiz). Bis zur Veröffentlichung des Schweiz-Länderanhangs werden Schweizer Einwohner durch die globale Datenschutzerklärung und den Datenschutzhinweis für Kinder auf der Grundlage des strengsten gemeinsamen Nenners bedient (in der Praxis die materielle Haltung dieses Anhangs, wobei der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte ("EDÖB") unter https://www.edoeb.admin.ch/ als Aufsichtsbehörde eingesetzt wird). Mikroststaaten innerhalb des europäischen geografischen Rahmens. Andorra (eigenes Datenschutzgesetz; Andorranische Datenschutzbehörde APDA), Monaco (eigenes Gesetz; Commission de Contrôle des Informations Nominatives CCIN), San Marino (eigenes Gesetz), Vatikanstadt (eigenes kanonisches Rechtsrahmenwerk). Diese werden in dem geplanten Mikroststaaten-Anhang behandelt, der in our internal compliance plan vorgesehen ist. Gebiete in äußerster Randlage der EU und Überseeische Länder und Hoheitsgebiete (ÜLG). Wenn ein ÜLG (z. B. Grönland in Bezug auf Dänemark; die französischen Übersee-Départements wie Réunion, Martinique, Guadeloupe, Französisch-Guayana, Mayotte) die DSGVO über den Rahmen seines Mutter-Mitgliedstaats erbt, gilt die Zeile des Mutter-Mitgliedstaats in § 4. Die anderen ÜLG (z. B. Französisch-Polynesien, Neukaledonien, Aruba, Curaçao, Sint Maarten) folgen, soweit anwendbar, dem Rechtsrahmen ihres Mutter-Mitgliedstaats und ansonsten der globalen Richtlinie auf der Grundlage des strengsten gemeinsamen Nenners, bis ein spezieller Anhang veröffentlicht wird.

1.4 Wie wir den Wohnsitz bestimmen

Wir bestimmen das Wohnsitzland zum Zeitpunkt der Installation/Registrierung durch (a) das Land und die Region, die der Elternteil im Onboarding-Flow der App selbst angibt, (b) die bei der Registrierung gelesene IP-Geolokalisierung (die wir unmittelbar nach der Wohnsitzentscheidung verwerfen — our internal data-flow map § 2.1 speichert keine IP nach dem Schließen der Authentifizierungsanfrage) und (c) das Play Store-Konto-Gebietsschema, das uns von Google Play bei der Installation übermittelt wird. Die Wohnsitzbestimmung kann vom Elternteil jederzeit unter Einstellungen → Konto → Region überprüft werden. Wenn die drei Signale voneinander abweichen, wird die für die betroffene Person günstigste Auslegung gewählt, gemäß our internal compliance plan § 6.3.

2. Gesetzlicher Rahmen — was gilt

Das EU/EWR-Datenschutz- und Online-Sicherheitsregime befindet sich an der Schnittstelle einer Verordnung und mehrerer Richtlinien sowie nationaler Umsetzungsgesetze der Mitgliedstaaten. Die nachstehende Tabelle ist die kanonische Zuordnung aufseiten von Balance.

(Das EU-KI-Gesetz — Verordnung (EU) 2024/1689 — wird in diesem Anhang absichtlich weggelassen, nach dem Grundsatz, dass dieser Anhang keine affirmative oder negative Aussage darüber trifft, ob Balance personenbezogene Daten mit Techniken verarbeitet, die in den Geltungsbereich dieser Verordnung fallen. Die materielle Produkthaltung von Balance wird an anderer Stelle im Richtlinienbündel beschrieben und ist die maßgebliche Referenz; das Schweigen dieses Anhangs zum KI-Gesetz ist absichtlich und ist nicht als implizite Aussage in die eine oder andere Richtung zu lesen.)

3. EU/EWR-Aufsichtsbehörden — kein One-Stop-Shop

3.1 Keine federführende Aufsichtsbehörde

Artikel 56(1) DSGVO schafft einen "One-Stop-Shop"-Mechanismus, durch den ein Verantwortlicher oder Auftragsverarbeiter, der eine "Hauptniederlassung" oder eine "einzige Niederlassung" in der EU hat, von einer einzigen federführenden Aufsichtsbehörde für die grenzüberschreitende Verarbeitung bearbeitet wird. Der One-Stop-Shop steht nur Verantwortlichen oder Auftragsverarbeitern zur Verfügung, die mindestens eine Niederlassung in der EU haben. BabaYaga Program, TOO hat seinen Sitz in Kasachstan und keine Niederlassung innerhalb der EU. Dementsprechend gilt Artikel 56 nicht für Balance, und es gibt keine federführende Aufsichtsbehörde. Jede Aufsichtsbehörde des Mitgliedstaats ist gemäß Artikel 55(1) DSGVO für die Daten der Einwohner dieses Mitgliedstaats voll zuständig. Die praktische Konsequenz ist, dass ein Einwohner der EU/des EWR sich bei der Aufsichtsbehörde des Mitgliedstaats beschweren kann, in dem die betroffene Person ihren gewöhnlichen Aufenthalt hat, in dem sie arbeitet oder in dem der mutmaßliche Verstoß stattgefunden hat (DSGVO Art. 77(1)). Jede dieser Behörden wird die Beschwerde in ihrer eigenen Zuständigkeit bearbeiten; die Kooperations- und Kohärenzmechanismen in Kapitel VII DSGVO werden nicht aktiviert, da es keine federführende Aufsichtsbehörde gibt, mit der koordiniert werden muss.

3.2 EU-Repräsentant gemäß Artikel 27 als Anlaufstelle vor Ort

Um das Fehlen einer EU-Niederlassung auszugleichen, verlangt Artikel 27 DSGVO von uns, einen EU-Repräsentanten zu benennen, wenn wir Waren oder Dienste für EU-Betroffene anbieten. Wir haben benannt: EU-Repräsentant: Prighter Group GmbH (handelnd als Prighter) Adresse: Schellinggasse 3, 1010 Wien, Österreich Kapazität: Repräsentant gemäß GDPR Artikel 27 für die EU/EWR Mandat: Balance / BabaYaga Program, TOO — von den Parteien zu Beginn von Phase 2.1 von our internal compliance plan unterzeichnet Öffentliche Auflistung: privacy.html § 19 Anlaufstelle: https://app.prighter.com/portal/12736305032 — EU/EWR-Betroffene können Prighter kontaktieren, um eine DSGVO-Anfrage, Beschwerde oder ein Auskunftsersuchen einzureichen; Prighter leitet die Angelegenheit innerhalb eines Werktags an uns weiter. Die Benennung eines Repräsentanten gemäß Artikel 27 überträgt die Verantwortlichkeit nicht von BabaYaga Program, TOO auf Prighter — wir bleiben der Verantwortliche; Prighter ist der Kontaktpunkt vor Ort für EU/EWR-Betroffene und EU/EWR-Aufsichtsbehörden. Ein EU/EWR-Betroffener kann uns jederzeit direkt unter kontaktieren; der Prighter-Weg wird als EU/EWR-freundliche Alternative in der Sprache des Mitgliedstaats der betroffenen Person bereitgestellt.

3.3 Europäischer Datenschutzausschuss (EDPB)

Der EDPB (https://edpb.europa.eu/) ist das EU-Gremium, das sich aus den Leitern einer Aufsichtsbehörde jedes Mitgliedstaats und dem Europäischen Datenschutzbeauftragten ("EDSB") zusammensetzt. Er gibt Leitlinien, Empfehlungen, Stellungnahmen und (unter definierten Umständen gemäß Art. 65 DSGVO) verbindliche Entscheidungen heraus. Der EDPB ist keine Beschwerdebehörde; Beschwerden gehen an die jeweilige DPA des Mitgliedstaats gemäß § 4 unten.

3.4 Europäischer Datenschutzbeauftragter (EDSB)

Der EDSB (https://edps.europa.eu/) ist die Aufsichtsbehörde für die Organe, Einrichtungen und sonstigen Stellen der EU. Der EDSB ist keine zuständige Behörde für Balance; ein EU/EWR-Bewohner beschwert sich nicht beim EDSB.

4. Tabelle der Mitgliedstaaten — DPA + Alter der digitalen Mündigkeit + Gebietsschema

Die nachstehende Tabelle ist die kanonische Zuordnung aufseiten von Balance für jeden EU/EWR-Mitgliedstaat zu (a) seiner zuständigen Aufsichtsbehörde gemäß DSGVO Art. 51, (b) der nationalen Ausnahmeregelung gemäß DSGVO Art. 8(1) (Alter, unter dem die Einwilligung eines Kindes in Dienste der Informationsgesellschaft der Überprüfung durch den Träger der elterlichen Verantwortung bedarf), (c) dem In-App-Rechtsgebietsschema, das Balance zum oben genannten Wirksamkeitsdatum ausliefert.

4.1 Wie Balance die Abweichung des Alters der digitalen Mündigkeit anwendet

Balance ist ein Kinderschutzdienst, bei dem der Elternteil — d. h. der Träger der elterlichen Verantwortung nach dem geltenden familienrechtlichen Rahmen des Mitgliedstaats — das Konto einrichtet, das Kinderprofil konfiguriert und das Gerät des Kindes koppelt. Die überprüfbare elterliche Einwilligung wird beim Onboarding des Kindes vom Elternteil eingeholt (Querverweis: Children's Privacy Notice § 5; United States annex § 5), unabhängig vom Alter des Kindes. Die Abweichung des Mitgliedstaats bei der Schwelle von Artikel 8(1) eröffnet daher keinen Selbstbedienungs-Einwilligungspfad für Kinder innerhalb von Balance — der Elternteil stimmt immer im Namen des Kindes zu. Die Abweichung hat dennoch zwei operative Konsequenzen: Wortlaut des Datenschutzhinweises für Kinder. Die Zeile der Länderanhänge in H2 § 14 wird zusammen mit der Tabelle in § 4 dieses Anhangs gelesen, damit der Elternteil in jedem Mitgliedstaat in klarer Sprache das genaue Alter sieht, unter dem sein nationaler Gesetzgeber die elterliche Überprüfung vorgeschrieben hat. Rollout der Phase-2-In-App-Gebietsschemata. Die anfänglich unterstützten Gebietsschemata (ab 2026-06-09) sind Englisch (en-IE für Irland + Malta), Spanisch (es-ES), Französisch (fr-FR), Deutsch (de-DE), Italienisch (it-IT) und Niederländisch (nl-NL) — sechs Gebietsschemata, die die sechs größten EU-Einwohnerpopulationen abdecken, die Balance derzeit erwartet. Die verbleibenden Gebietsschemata in der obigen Tabelle sind für Phase 2 vorgesehen (ohne Verpflichtung zu einem bestimmten Datum, bis die Prüfung jedes Gebietsschema-Textes durch Anwälte gemäß the internal counsel-review record vorliegt).

5. Gesetz über digitale Dienste (DSA) — Anwendbarkeitsanalyse

Die DSA (Verordnung (EU) 2022/2065) schafft ein abgestuftes Set von Pflichten für drei Klassen von Anbietern: Vermittlungsdienste (Art. 3(g)): bloße Durchleitung, Caching, Hosting. Online-Plattformen (Art. 3(i)): ein Hosting-Dienst, der auf Anfrage eines Nutzers des Dienstes Informationen speichert und an die Öffentlichkeit verbreitet. Sehr große Online-Plattformen (VLOPs, Art. 33) und Sehr große Online-Suchmaschinen (VLOSEs, Art. 33): Online-Plattformen / Suchmaschinen, die von der Europäischen Kommission als solche benannt wurden, die eine durchschnittliche Anzahl von monatlich aktiven Nutzern in der Union gleich oder höher als 45 Millionen haben.

5.1 Warum Balance kein Hosting-Dienst gemäß Art. 3(g)(iii) ist

Artikel 3(g)(iii) definiert einen "Hosting"-Dienst als einen Dienst, der "in der Speicherung von Informationen besteht, die von einem Nutzer des Dienstes bereitgestellt und auf dessen Anfrage gespeichert werden". Die Nachweismedien-Architektur von Balance erfüllt diese Definition nicht. Die Nachweisdatei wird: auf dem Gerät des Kindes durch die eigene Aktion des Kindes generiert (Kamera/Video/Audio-Aufnahme als Antwort auf eine deterministische, vom Elternteil definierte Aufgabe); vor jedem Netzwerkaufruf auf dem Gerät des Kindes mit einem frischen, dateispezifischen Verschlüsselungsschlüssel verschlüsselt, der an den X25519 öffentlichen Schlüssel jedes autorisierten Elterngeräts gebunden wird (Querverweis: our encryption-posture record § 2; Child Safety Standards § 5.3); als undurchsichtiger Chiffretext über eine vom Backend geprägte, 5 Minuten gültige V4-signierte URL direkt zu Google Cloud Storage hochgeladen; innerhalb des Haushalts vom/von den gekoppelten Elterngerät(en) des Kindes konsumiert und unterliegt dann der 30-tägigen Aufbewahrungsregel nach Abschluss der Aufgabe in Data Retention & Deletion Policy. Das Kind "fordert keine Speicherung" im autonomen Sinne von Art. 3(g)(iii) an — das Kind erfüllt eine vom Elternteil zugewiesene Aufgabe innerhalb eines deterministischen Kinderschutz-Workflows, und der Elternteil (als Träger der elterlichen Verantwortung und der Verantwortliche, unter dessen Anweisung der Workflow läuft) ist der Empfänger und Anforderer. Es gibt keinen Drittempfänger. Es gibt keine öffentliche Verbreitung. Die Chiffre-Nutzlast ist undurchsichtig für Balance, undurchsichtig für Google Cloud Storage und undurchsichtig für jeden Unterauftragsverarbeiter von Balance. Selbst bei der alternativen Auslegung, dass Nachweismedien im Sinne von Art. 3(g)(iii) "gespeichert" werden, ist die weitere Bedingung in Art. 3(i) — dass die Informationen "an die Öffentlichkeit verbreitet" werden — nicht erfüllt. Art. 3(k) definiert "Verbreitung an die Öffentlichkeit" als "Zugänglichmachung von Informationen auf Anfrage des Nutzers des Dienstes, der die Informationen bereitgestellt hat, für eine potenziell unbegrenzte Anzahl von Dritten". Balance verbreitet nichts an "eine unbegrenzte Anzahl von Dritten"; der Nachweis ist Ende-zu-Ende-verschlüsselt für das/die gekoppelte(n) Elterngerät(e) desselben Haushalts und für keinen anderen Empfänger.

5.2 Warum Balance keine Online-Plattform gemäß Art. 3(i) ist

Unabhängig von § 5.1 hat Balance keine "Online-Plattform"-Oberfläche im Sinne von Art. 3(i). Speziell: Kein Chat (Kind-zu-Kind, Kind-zu-Elternteil-außerhalb-des-Haushalts, Elternteil-zu-Elternteil oder sonstiger); Kein öffentliches Profil; Keine Freundesliste; Kein Posten; Keine Kommentare; Keine DMs; Keine Gruppenräume; Keine öffentliche Galerie; Kein Discovery-Feed; Keine Empfehlung; Keine Suche nach Nutzern oder Inhalten; Kein Marktplatz; Keine Reaktionen, Follows, Herzen, Sterne, öffentlich sichtbare Abzeichen oder sonstiges soziales Signalisieren zwischen Nutzern. Querverweise: the Play Console Data Safety form § 2 (Enthält Werbung: Nein; An Dritte weitergegeben: Nein in jeder Zeile); the Play Console Child Safety Standards declaration § 3 ATTESTATION-A (keine Multi-User-Oberfläche), ATTESTATION-D (keine Werbung), ATTESTATION-G (keine Weitergabe an Dritte); the Play Console Target Audience form § 3 M7-A5 (keine Multi-User-Oberfläche in der App).

5.3 Warum Balance kein VLOP/VLOSE ist

Die VLOP- und VLOSE-Benennung gemäß DSA Art. 33 erfordert durchschnittlich 45 Millionen monatlich aktive Nutzer in der Union und einen formellen Benennungsbeschluss der Kommission. Die aktuelle Nutzerbasis von Balance liegt materiell unter dieser Schwelle. Sollte Balance jemals die Schwelle überschreiten und formell benannt werden, greifen die verschärften Pflichten von Abschnitt 5 von Kapitel III und diese Zeile wird in einer außerplanmäßigen Überprüfung neu bewertet.

5.4 DSA-Kinderschutzpflichten — freiwillige Einhaltung nach besten Kräften

DSA Art. 14(3) verlangt, dass Anbieter von Vermittlungsdiensten, die wahrscheinlich von Minderjährigen genutzt werden, in ihren Bedingungen eine klare und unmissverständliche Erklärung aller Einschränkungen aufnehmen, die in Bezug auf die Nutzung des Dienstes auferlegt werden. DSA Art. 28 verlangt, dass Anbieter von Online-Plattformen, die für Minderjährige zugänglich sind, "angemessene und verhältnismäßige Maßnahmen treffen, um ein hohes Niveau an Privatsphäre, Sicherheit und Schutz von Minderjährigen auf ihrem Dienst zu gewährleisten". DSA Art. 35(1)(j) verlangt von VLOPs/VLOSEs, im Rahmen ihrer jährlichen Risikobewertung systemische Risiken für den Schutz Minderjähriger zu bewerten und zu mindern. Obwohl Balance nicht als Vermittlungsdienst, Online-Plattform oder VLOP/VLOSE im Geltungsbereich ist (gemäß § 5.1–§ 5.3), ehrt Balance freiwillig die Substanz dieser Bestimmungen: Unsere Nutzungsbedingungen (Terms of Service) und der Datenschutzhinweis für Kinder (Children's Privacy Notice) bieten eine klare, verständliche Erklärung jeder Einschränkung und jeder Datenverarbeitungsentscheidung. Die architektonische Haltung in Child Safety Standards ist die operative Umsetzung eines "angemessenen und verhältnismäßigen" Maßnahmenpakets zur Gewährleistung eines hohen Niveaus an Privatsphäre, Sicherheit und Schutz Minderjähriger. Die DSFA in our Data Protection Impact Assessment (H8) führt eine Art-35-analoge systemische Risikobewertung durch, obwohl sie für Balance als Nicht-VLOP rechtlich nicht vorgeschrieben ist.

5.5 Falls Balance jemals eine in den Geltungsbereich fallende Oberfläche einführt

Sollte Balance jemals eine Oberfläche einführen, die es in den Geltungsbereich als Hosting-Dienst oder Online-Plattform bringt — beispielsweise eine soziale Oberfläche zwischen Kindern oder Familien, ein öffentliches Profil, einen Discovery-Feed oder einen Marktplatz — würden die DSA-Pflichten greifen und ein vollständiges Compliance-Programm für den DSC-Track wäre erforderlich (Notice-and-Action, internes Beschwerdeverfahren, Transparenzberichterstattung, Zusammenarbeit mit Trusted Flaggers, Benennung eines einzigen Ansprechpartners, Begründungspflichten). Dieser Anhang würde sofort neu validiert und veröffentlicht. Der Punkt für die jährliche Überprüfung in § 19 unten prüft ausdrücklich auf jede Einführung einer in den Geltungsbereich fallenden Oberfläche.

6. DSGVO-Rechte — die Rechte, die Fristen und wie sie ausgeübt werden

6.1 Der Rechtekatalog

Ein Einwohner der EU/des EWR hat die folgenden Rechte gemäß der DSGVO. Recht auf Information (Art. 13–14). Geehrt durch H1 + H2 + diesen Anhang. Auskunftsrecht (Art. 15). Geehrt unter (oder über die Prighter-Anlaufstelle unter https://app.prighter.com/portal/12736305032) und in der App unter Einstellungen → Familie → [Name des Kindes] → "Daten dieses Kindes exportieren". Recht auf Berichtigung (Art. 16). Geehrt in der App und unter / Prighter-Anlaufstelle. Recht auf Löschung ("Recht auf Vergessenwerden" — Art. 17). Geehrt über Einstellungen → "Mein Konto löschen" / "Dieses Kind löschen"; unter Delete-account page; unter ; oder über die Prighter-Anlaufstelle. Kaskadierung gemäß Data Retention & Deletion Policy § 7. Recht auf Einschränkung der Verarbeitung (Art. 18). Geehrt unter / Prighter-Anlaufstelle. Recht auf Datenübertragbarkeit (Art. 20). Der Export gemäß Artikel 15 erfolgt in JSON; das JSON-Archiv ist auf jeden anderen Dienst übertragbar, der JSON akzeptiert. Widerspruchsrecht (Art. 21). Geehrt unter / Prighter-Anlaufstelle. Balance verarbeitet nicht für Direktmarketingzwecke, daher wird das absolute Widerspruchsrecht nach Art. 21(2) gegen Marketing vakuant erfüllt. Rechte bei automatisierter Entscheidungsfindung und Profiling (Art. 22). Balance betreibt keine ausschließlich automatisierte Entscheidungsfindung, die rechtliche oder ähnlich erhebliche Auswirkungen auf die betroffene Person hat. Das Earned-Time-Ledger ist deterministisch und kann vom Elternteil jederzeit eingesehen werden; es stellt keine automatisierte Entscheidungsfindung gemäß Art. 22 dar. Recht auf Widerruf der Einwilligung (Art. 7(3)). Wenn die Einwilligung die Rechtsgrundlage ist (z. B. das Marketing-Opt-in des Elternteils, falls und wenn wir jemals einen Marketingkanal einführen — was wir zum Wirksamkeitsdatum nicht haben), wird der Widerruf auf denselben Kanälen wie die anderen Rechte geehrt und ist so einfach zu widerrufen wie zu erteilen. Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77 — siehe § 14 unten). Recht auf wirksamen gerichtlichen Rechtsbehelf gegen einen Verantwortlichen oder Auftragsverarbeiter (Art. 79). Ein EU/EWR-Bewohner kann gegen Balance vor den Gerichten des Mitgliedstaats klagen, in dem Balance eine Niederlassung hat, oder in dem die betroffene Person ihren gewöhnlichen Aufenthalt hat. Da Balance keine Niederlassung in der EU/dem EWR hat, ist der Mitgliedstaat des gewöhnlichen Aufenthalts das praktische Forum (Art. 79(2) DSGVO; Verbrauchergerichtsstandsregeln der Brüssel I-a Verordnung (EU) 1215/2012, wenn die betroffene Person ein Verbraucher ist). Recht auf Schadensersatz (Art. 82). Materieller und immaterieller Schaden.

6.2 Frist

Standardfenster: ein Monat ab Eingang des Antrags (DSGVO Art. 12(3)). Verlängerung: zusätzliche zwei Monate, wo erforderlich, unter Berücksichtigung der Komplexität und Anzahl der Anträge; die betroffene Person wird innerhalb eines Monats über die Verlängerung informiert, zusammen mit den Gründen für die Verzögerung. Wenn der Antrag offensichtlich unbegründet oder exzessiv ist (insbesondere wegen seines wiederholten Charakters), kann Balance eine angemessene Gebühr auf Grundlage der Verwaltungskosten verlangen oder sich weigern, den Antrag zu bearbeiten; der betroffenen Person wird der Grund genannt und sie wird über das Recht auf Beschwerde bei einer Aufsichtsbehörde und die Suche nach einem gerichtlichen Rechtsbehelf informiert. Die Last des Nachweises des offensichtlich unbegründeten oder exzessiven Charakters des Antrags liegt auf Balance (Art. 12(5)).

6.3 Identitätsüberprüfung

Wenn begründete Zweifel an der Identität der natürlichen Person bestehen, die den Antrag stellt, kann Balance die Bereitstellung zusätzlicher Informationen verlangen, die zur Bestätigung der Identität erforderlich sind (Art. 12(6)). Das Identitätsüberprüfungsprotokoll verwendet die bestehende Authentifizierungsanmeldeinformation des Elternteils (E-Mail + Passwort + die Token-Abwehr bei Geräteabweichung — Querverweis: our internal data-flow map § 2.1, § 2.17). Eine außerbandliche Identitätsüberprüfung (z. B. eine Kopie eines von der Regierung ausgestellten Ausweisdokuments) wird nur als letztes Mittel und nur für den Elternteil angefordert, und nur für Kategorien personenbezogener Informationen, die eine höhere Identitätssicherheit erfordern.

6.4 Keine Kosten

Die Ausübung eines DSGVO-Rechts ist kostenlos (Art. 12(5)).

6.5 Sprache

Ein Antrag kann in jedem der anfänglich unterstützten Gebietsschemata in § 4 oben (Englisch, Spanisch, Französisch, Deutsch, Italienisch, Niederländisch) eingereicht werden; Anträge in anderen EU/EWR-Sprachen werden akzeptiert und Balance wird nach besten Kräften einen professionellen Übersetzungsdienst nutzen, um in der Sprache des Antrags zu antworten. Querverweis: Privacy Policy § 16.

7. Daten von Kindern — DSGVO Artikel 8 + Ausnahmeregelungen der Mitgliedstaaten

DSGVO Artikel 8(1) setzt das Standardalter der digitalen Mündigkeit auf 16 Jahre fest, vorbehaltlich einer Ausnahmeregelung des Mitgliedstaats, die es auf ein Alter zwischen 13 und 16 Jahren senken kann. Die Ausnahmeregelungen pro Mitgliedstaat sind in § 4 oben tabellarisch aufgeführt. Balance verlässt sich nicht auf einen Selbstbedienungs-Artikel-8-Einwilligungspfad für Kinder. Die überprüfbare elterliche Einwilligung wird beim Onboarding des Kindes vom Elternteil in jedem Mitgliedstaat eingeholt, unabhängig vom Alter des Kindes. Die Ausnahmeregelung von Artikel 8(1) ist daher nur informativ — sie informiert den Elternteil über die bevorzugte Schwelle des Gesetzgebers und rahmt den Wortlaut des Datenschutzhinweises für Kinder (H2 § 14) im Gebietsschema jedes Mitgliedstaats. DSGVO Artikel 8(2) verlangt, dass der Verantwortliche angemessene Anstrengungen unternimmt, um in solchen Fällen zu überprüfen, dass die Einwilligung vom Träger der elterlichen Verantwortung über das Kind erteilt oder autorisiert wird, unter Berücksichtigung der verfügbaren Technologie. Der Erstellungsprozess des Elternkontos + die Erfassung der Zahlungsmethode + der In-App-Koppelungsprozess ist der Mechanismus zur überprüfbaren elterlichen Einwilligung für diesen Zweck; der Mechanismus ist identisch mit dem VPC-Mechanismus, der in United States annex § 5 beschrieben ist, und ist in our internal data-flow map § 2.7 dokumentiert. DSGVO Artikel 6(1)(f) — die Rechtsgrundlage der berechtigten Interessen — wird nur für die engen operativen Kategorien herangezogen, die in our Data Protection Impact Assessment § 7 (LIA) aufgeführt sind, und niemals als Rechtsgrundlage für die Verarbeitung personenbezogener Daten eines Kindes; die Verarbeitung auf Seiten des Kindes basiert auf der elterlichen Einwilligung gemäß Artikel 6(1)(a) und auf der Erfüllung des Vertrags, den der Elternteil mit Balance gemäß Artikel 6(1)(b) eingegangen ist.

8. Internationale Datenübermittlungen aus der EU/dem EWR

Der Verantwortliche (BabaYaga Program, TOO) hat seinen Sitz in Kasachstan. Das Backend (Emergent Labs Inc.) wird in den Vereinigten Staaten gehostet. Der Speicher für Nachweismedien (Google Cloud Storage) befindet sich in den Vereinigten Staaten. Push (Firebase Cloud Messaging), Anmeldung (Google Sign-In) und Abrechnung (Google Play Billing) werden von Google LLC betrieben und von den Vereinigten Staaten aus versandt. Transaktionale E-Mails (Resend) werden von den Vereinigten Staaten aus versandt. Dementsprechend verlassen die Daten jedes EU/EWR-Bewohners an dem Punkt, an dem sie zum Balance-Backend hochgeladen werden, die EU/den EWR.

8.1 Übermittlungsmechanismus — die EU-US-Achse (Emergent + Google + Resend)

Kapitel V der DSGVO regelt internationale Übermittlungen. Balance verlässt sich auf den folgenden Stack, um Kapitel V für die EU-US-Achse zu erfüllen: EU-US-Datenschutzrahmen ("DPF") (Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023, Durchführungsbeschluss (EU) 2023/1795). Wenn der US-Importeur selbst für den DPF zertifiziert ist, erfolgt die Übermittlung auf Grundlage des Angemessenheitsbeschlusses und es ist keine separate Übermittlungstool-Ebene erforderlich. Wir überprüfen den DPF-Selbstzertifizierungsstatus jedes US-Importeurs unter https://www.dataprivacyframework.gov/list zum Zeitpunkt des Onboardings des Unterauftragsverarbeiters und bei jeder jährlichen Überprüfung. EU-Standardvertragsklauseln ("EU SCCs", Durchführungsbeschluss (EU) 2021/914 der Kommission). Für US-Importeure, die nicht für den DPF selbstzertifiziert sind, werden die SCCs Modul 2 (Verantwortlicher-zu-Auftragsverarbeiter) unterzeichnet. Das vollständige SCC-Paket befindet sich in our international-transfer pack. Transfer Impact Assessment ("TIA"). EDPB-Empfehlungen 01/2020 verlangen, dass der Verantwortliche vor jeder nicht auf Angemessenheit basierenden Übermittlung ein TIA durchführt; das TIA ist in our international-transfer pack § 6 dokumentiert. Ergänzende Maßnahmen — am wichtigsten die Ende-zu-Ende-Verschlüsselung von Nachweismedien, dokumentiert in our encryption-posture record. Die E2EE ist die wichtigste ergänzende Maßnahme, die die Schrems II (EuGH C-311/18) Herausforderung der wesentlichen Gleichwertigkeit in Bezug auf die einzige Nutzlast von Nachweismedien widerlegt: Selbst wenn eine US-Behörde die Herausgabe von Emergent Labs, Google oder einem anderen US-Unterauftragsverarbeiter verlangen würde, würde die Herausgabe nur undurchsichtigen Chiffretext ergeben, keine Klartextmedien. Die ergänzende Maßnahme ist unabhängig vom DPF — d. h. Nachweismedien sind Ende-zu-Ende-verschlüsselt, unabhängig davon, ob der Importeur für den DPF selbstzertifiziert ist oder nicht. Einschränkungen der Weiterübermittlung — jede DPA des Unterauftragsverarbeiters verbietet die Weiterübermittlung von Daten von EU/EWR-Bewohnern an ein Drittland außerhalb des DSGVO-Kapitel-V-Rahmens ohne die vorherige schriftliche Genehmigung des Verantwortlichen.

8.2 Übermittlungsmechanismus — die EU-KZ-Achse (administrativer Zugriff des Verantwortlichen)

Das Personal des Verantwortlichen in Kasachstan hat zu operativen Zwecken (Incident Response, Überprüfung der Kontolöschung, Support-Eskalationen) administrativen Zugriff auf das in den USA gehostete Backend. Da Kasachstan ein Drittland ist und Kasachstan nicht Gegenstand eines EU-Angemessenheitsbeschlusses ist, wird der Verantwortlichen-Teil des Datenflusses durch EU SCCs Modul 4 (Auftragsverarbeiter-zu-Verantwortlicher) in umgekehrter Richtung abgedeckt, wobei Emergent Labs als Datenexporteur und BabaYaga Program, TOO als Datenimporteur in Bezug auf den operativen Zugriff behandelt wird. Das kasachische Regime zum Schutz personenbezogener Daten (Закон Республики Казахстан "О персональных данных и их защите" № 94-V от 21 мая 2013 года, in der geänderten Fassung) ist die materielle Überlagerung; das TIA für den KZ-Teil befindet sich in our international-transfer pack § 7.

8.3 Keine Schrems II Herausforderung der wesentlichen Gleichwertigkeit für Nachweismedien

Die Nutzlast der Nachweismedien — das Foto / Video / Audio-Nachweis des Kindes, dass eine Aufgabe erledigt wurde — erreicht niemals das Balance-Backend oder einen Unterauftragsverarbeiter im Klartext. Die Architektur ist in our encryption-posture record § 2 dokumentiert: Die Nachweisdatei wird auf dem Gerät des Kindes mit einem frischen, dateispezifischen Verschlüsselungsschlüssel (XChaCha20-Poly1305) verschlüsselt, der an den X25519 öffentlichen Schlüssel jedes autorisierten Elterngeräts gebunden ist, vor jedem Netzwerkaufruf; der Chiffretext wird direkt zu Google Cloud Storage über eine vom Backend geprägte, 5 Minuten gültige V4-signierte URL hochgeladen; das Backend selbst sieht zu keinem Zeitpunkt Klartext-Bytes. Dementsprechend hat die Schrems II Herausforderung der wesentlichen Gleichwertigkeit keinen Angriffspunkt auf Nachweismedien als Kategorie personenbezogener Daten von EU/EWR-Bewohnern, die in die USA übermittelt werden: Es gibt keinen Klartext, der abgefangen werden könnte, keinen Klartext, der unter 50 U.S.C. § 1881a (s 702 FISA) verlangt werden könnte, keinen Klartext, der der Exekutivanordnung 12333 unterliegt, keinen Klartext, der einem National Security Letter unterliegt, keinen Klartext, der dem U.S. CLOUD Act unterliegt. Die ergänzende Maßnahme ist voll wirksam. Für die Restkategorien von Daten, die im Klartext übermittelt werden (die E-Mail des Elternteils; der Anzeigename des Kindes; die deterministischen aggregierten Nutzungsprotokolle pro Kind; die Authentifizierungstoken des Elternteils), erfüllen der DPF + SCCs + das TIA + die Tabelle der technischen und organisatorischen Maßnahmen in our Records of Processing Activities (Article 30) § 7 gemeinsam Kapitel V der DSGVO.

8.4 Ausnahmeregelungen gemäß Artikel 49 — wird nicht herangezogen

Wir verlassen uns nicht auf die Ausnahmeregelungen gemäß Artikel 49 (Einwilligung, Vertragserforderlichkeit, wichtige Gründe des öffentlichen Interesses usw.) als Grundlage für unsere routinemäßigen EU-US-Datenflüsse. Ausnahmeregelungen gemäß Artikel 49 sind für nicht routinemäßige, ad-hoc Übermittlungen vorbehalten; die Flüsse von Balance sind routinemäßig, strukturell und erfordern ein Übermittlungstool gemäß Kapitel V.

9. Datenresidenz für EU/EWR-Bewohner

Die Entscheidung, sich auf ein reines US-Backend zu zentralisieren (anstatt den Speicher nach Regionen aufzuteilen), ist in our internal compliance plan § 6 (Datenresidenzrichtlinie) dokumentiert. Das Übermittlungspaket (our international-transfer pack) ist das materielle Instrument, das die Richtlinie gemäß Kapitel V der DSGVO rechtmäßig macht; die Ende-zu-Ende-Verschlüsselung von Nachweismedien ist die wichtigste ergänzende Maßnahme, die die Verteidigung gegen die Schrems II-artige Herausforderung der wesentlichen Gleichwertigkeit für Nachweismedien ermöglicht.

10. Unterauftragsverarbeiter, die Daten von EU/EWR-Bewohnern berühren

Jeder Unterauftragsverarbeiter ist durch eine schriftliche Datenverarbeitungsvereinbarung gebunden, die die Verarbeitung jeglicher von uns übermittelter Daten für andere Zwecke als die Erbringung des Dienstes, für den wir sie engagiert haben, verbietet und die Sicherheits- und Vertraulichkeitskontrollen in our Records of Processing Activities (Article 30) § 7 integriert. Die vollständige Liste der Unterauftragsverarbeiter, mit dem DPA-Status jeder Zeile und dem Verifizierungsdatum der DPF-Selbstzertifizierung, befindet sich unter our sub-processor register.

11. Verzeichnis von Verarbeitungstätigkeiten gemäß Artikel 30

DSGVO Artikel 30 verlangt, dass der Verantwortliche ein Verzeichnis von Verarbeitungstätigkeiten führt. Das Verzeichnis von Verarbeitungstätigkeiten von Balance gemäß Artikel 30 befindet sich unter our Records of Processing Activities (Article 30) (H7, klassifiziert als Intern). Es listet jede Verarbeitungstätigkeit (PA-*) Zeile mit den Kategorien der betroffenen Personen, Kategorien personenbezogener Daten, Zwecken der Verarbeitung, Rechtsgrundlage, Aufbewahrungsfrist, Empfängern, Übermittlungen und technischen und organisatorischen Maßnahmen auf. Eine Aufsichtsbehörde der EU/des EWR hat das Recht, auf Anfrage eine Kopie des Artikels-30-Verzeichnisses anzufordern (Art. 30(4)); wir werden eine Kopie promptly nach Eingang einer gültigen Anfrage bereitstellen, die über Prighter als unseren EU-Repräsentanten geleitet wird.

12. ePrivacy-Richtlinie — Cookies und elektronische Direktwerbung

Die ePrivacy-Richtlinie (Richtlinie 2002/58/EG, geändert durch die Richtlinie 2009/136/EG) regelt das Speichern von Informationen oder das Zugreifen auf bereits gespeicherte Informationen in den Endgeräten eines Teilnehmers oder Nutzers (Art. 5(3)) und die elektronische Direktwerbung (Art. 13). Die Richtlinie wird durch das nationale Recht jedes Mitgliedstaats umgesetzt.

12.1 In-App — nur streng notwendiger Speicher

Die Balance-App (Elternteil und Kind) setzt keinen Cookie-äquivalenten Speicher ein, der nicht streng notwendig für den Dienst ist. Der streng notwendige Speicher, den Balance verwendet (Authentifizierungstoken im Android SecureStore; der Geräte-Pairing-Schlüssel-Wrap; der Earned-Time-Cache der Kinder-App), ist von der Einwilligungspflicht nach Art. 5(3) ausgenommen unter der Ausnahmeregelung für streng notwendige Zwecke (Erwägungsgrund 66 der Richtlinie 2009/136/EG + EDPB-Leitlinien 02/2023 zum technischen Geltungsbereich von Art. 5(3)).

12.2 Öffentliche Rechtsdokumente-Website — keine Analysen, keine Werbung, kein Tracking

Die öffentliche Rechtsdokumente-Website (balance.babayagaprogram.com) verwendet nur streng notwendige Cookies; keine Analyse-Cookies; keine Werbe-Cookies; keine Third-Party-Tracker; kein Fingerprinting; keine eingebetteten sozialen Plugins, die Third-Party-State setzen. Ein kurzer Art. 5(3)-Hinweis wird im Footer der Website veröffentlicht. Die Website ist daher eine One-Click-No-Consent-Banner-erforderlich-Website, nach der Lesart der EDPB-Leitlinien 02/2023.

12.3 Elektronische Direktwerbung — wird nicht versandt

Balance versendet keine elektronische Direktwerbung. Die einzige E-Mail, die Balance an EU/EWR-Elternnutzer sendet, ist transaktional — Kontoerstellung, Passwort-Zurücksetzung, Abonnement-Belege, Sicherheitswarnungen und Eltern-Aktionsbenachrichtigungen (z. B. "Ihr Kind hat eine Aufgabe erledigt"). Transaktionale E-Mails fallen außerhalb der "Marketing"-Definition von Artikel 13. Wenn wir jemals einen Marketingkanal einführen, werden wir eine Opt-in-Einwilligung (Art. 13(1)) einholen und in jeder Nachricht eine Abmeldemöglichkeit bereitstellen; wir werden auch die spezifische Umsetzung jedes Mitgliedstaats erfüllen (z. B. die CNIL-Richtlinien in Frankreich; Deutschlands UWG § 7).

13. Meldung von Datenschutzverletzungen — DSGVO Artikel 33/34

Die interne SLA für die Entscheidung über Datenschutzverletzungen befindet sich in our breach-notification runbook § 5.4 + § 9.1: vorläufige Klassifizierung innerhalb eines Werktags, umfassendere Bewertung innerhalb von sieben Tagen, Benachrichtigung der Aufsichtsbehörde innerhalb der gesetzlichen 72-Stunden-Frist, Benachrichtigung der betroffenen Personen gemäß dem Art. 34-Auslöser.

14. Beschwerdewege (Zusammenfassung)

Ein EU/EWR-Bewohner, der mit der Bearbeitung einer Datenschutzanfrage oder eines Kinderschutzanliegens durch Balance unzufrieden ist, kann sich bei einer der folgenden Behörden beschweren. Der Erstweg ist die eigene DPA des Mitgliedstaats des Bewohners (gemäß § 4 oben); die anderen Wege sind als alternative oder ergänzende Foren verfügbar.

Ein EU/EWR-Bewohner kann die Angelegenheit jederzeit zuerst bei uns unter (DSAR; namentlich genannte Person: ) oder über die EU-Anlaufstelle von Prighter unter https://app.prighter.com/portal/12736305032 ansprechen. Wir werden innerhalb der DSGVO Art. 12(3) Frist in § 6.2 oben antworten. Die Angelegenheit zuerst bei uns anzusprechen, ist keine Voraussetzung für die Beschwerde bei einer Aufsichtsbehörde; jede DPA eines Mitgliedstaats nimmt Beschwerden direkt entgegen (Art. 77(1) DSGVO).

15. CSAE-Meldewege — EU/EWR

Ein EU/EWR-Bewohner (Elternteil, Kind oder Dritte), der ein CSAE-Anliegen bezüglich Balance, bezüglich eines Dritten, dem er außerhalb von Balance begegnet ist, oder bezüglich eines Balance-Nutzers melden möchte, kann einen der folgenden Wege nutzen: Benannter Kinderschutzbeauftragter von Balance: (namentlich genannte Person: ). Bestätigung innerhalb eines Werktags. Querverweis: Child Safety Standards § 2; the Play Console Child Safety Standards declaration § 3 M6-Q3. Nationales INHOPE-Hotline des Mitgliedstaats des Bewohners — INHOPE ist die internationale Vereinigung von Internet-Hotlines; jeder EU/EWR-Mitgliedstaat hat ein nationales INHOPE-Mitglied (z. B. Point de Contact in Frankreich; Internet-beschwerdestelle in Deutschland; STOP IT NOW! in den Niederlanden; INFOBALT für Litauen; Telefono Arcobaleno in Italien; CIBERMÉDICO für einige spanischsprachige Kontexte; usw.). Die vollständige INHOPE-Liste befindet sich unter https://www.inhope.org/EN/our-members. Die Meldung kann anonym erfolgen. Strafverfolgungsbehörde des Mitgliedstaats — jeder Mitgliedstaat hat eine nationale Polizei mit einer Cybercrime-Einheit (z. B. das EC3 von Europol unter https://www.europol.europa.eu/about-europol/european-cybercrime-centre-ec3 für grenzüberschreitende Koordination; OCLCTIC in Frankreich; BKA Cybercrime in Deutschland; CNAIPIC in Italien; usw.). Europol für grenzüberschreitende oder Multi-Mitgliedstaat-Überweisungen: https://www.europol.europa.eu/report-a-crime/report-cybercrime-online. EU INHOPE / Europäisches Zentrum für vermisste Kinder "Missing Children Europe" als EU-weiter Hotline-Koordinator: https://missingchildreneurope.eu/. Die vollständige CSAE-Länderroutentabelle befindet sich in Child Safety Standards § 8.6.

16. Verbraucherrechte — die EU-Verbraucherrechte-Überlagerung

Wenn der Elternteil als "Verbraucher" im Sinne der Richtlinie 2011/83/EU Art. 2(1) handelt — d. h. jede natürliche Person, die zu Zwecken handelt, die nicht ihrer gewerblichen oder selbständigen beruflichen Tätigkeit zugerechnet werden können — gelten die folgenden Überlagerungen des Verbraucherrechts für den Abonnement-Kaufprozess und die Nutzungsbedingungen.

16.1 Vorvertragliche Informationen und 14-tägiges Widerrufsrecht

Richtlinie 2011/83/EU Art. 6 verlangt, dass dem Elternteil vor Abschluss eines Fernabsatzvertrags obligatorische vorvertragliche Informationen gegeben werden. Richtlinie 2011/83/EU Art. 9–14 gewähren dem Elternteil ein 14-tägiges Widerrufsrecht vom Vertrag, berechnet ab dem Tag des Vertragsabschlusses für einen Dienstleistungsvertrag oder ab dem Tag, an dem der Elternteil physischen Besitz der Waren für einen Warenvertrag erlangt. Das Abonnement von Balance ist ein digitaler Dienst. Wenn der Elternteil zum Zeitpunkt des Abonnements ausdrücklich der sofortigen Erfüllung des Vertrags zustimmt und anerkennt, dass die Einwilligung zum Verlust des Widerrufsrechts führt, sobald der Vertrag vollständig erfüllt ist (Art. 16(m) der Verbraucherrechterichtlinie), wird das Widerrufsrecht für den Zeitraum nach Beginn der sofortigen Erfüllung aufgegeben. Der Schritt der ausdrücklichen Einwilligung + Anerkennung wird auf dem Bildschirm zum Abonnementkauf implementiert und ist in Subscription Terms § 20 dokumentiert.

16.2 Missbräuchliche Vertragsklauseln

Richtlinie 93/13/EWG verlangt, dass Vertragsklauseln, die nicht individuell ausgehandelt wurden, für den Verbraucher nicht bindend sind, wenn sie entgegen den Geboten von Treu und Glauben ein erhebliches und ungerechtfertigtes Missverhältnis der vertraglichen Rechte und Pflichten zum Nachteil des Verbrauchers verursachen. Die nicht erschöpfende Liste im Anhang der Richtlinie wird bei der Ausarbeitung von Terms of Service beachtet.

16.3 Digitale Inhalte und Dienste — Richtlinie (EU) 2019/770

Richtlinie (EU) 2019/770 verlangt, dass digitale Inhalte und digitale Dienste, die Verbrauchern geliefert werden, vertragsgemäß geliefert werden, dass der Lieferer jegliche mangelnde Konformität behebt und dass der Lieferer die zur Aufrechterhaltung der Konformität notwendigen Updates für den vernünftigerweise erwarteten Zeitraum bereitstellt. Behandlung in Subscription Terms.

16.4 Richtlinie über unlautere Geschäftspraktiken

Richtlinie 2005/29/EG verbietet unlautere Geschäftspraktiken bei Business-to-Consumer-Transaktionen. Jede öffentliche Aussage von Balance wird gegen das Wahrheitsprüfungsprotokoll verifiziert, das in our internal compliance tracker und im redaktionellen Protokoll beschrieben ist, das jeden neuen Entwurf regiert. Von Balance wird keine irreführende Geschäftspraktik durchgeführt.

17. Querverweise

Globale Datenschutzerklärung: Privacy Policy (H1). Datenschutzhinweis für Kinder: Children's Privacy Notice (H2). Nutzungsbedingungen: Terms of Service (H3). Abonnementbedingungen: Subscription Terms (H4). Kinderschutzstandards: Child Safety Standards (H5). Aufbewahrungsrichtlinie: Data Retention & Deletion Policy (H6). Verzeichnis von Verarbeitungstätigkeiten: our Records of Processing Activities (Article 30) (H7). DSFA + LIA: our Data Protection Impact Assessment (H8). Incident-Runbook: our breach-notification runbook (M1). Übermittlungspaket: our international-transfer pack (M2) — EU SCCs + EU-US DPF + TIA abgelegt. JIT-Berechtigungsoffenlegungen: the just-in-time permission disclosures (M3). Play Console Berechtigungserklärungen: the Play Console permission declarations (M4). Play Console Datensicherheit: the Play Console Data Safety form (M5). Play Console Kinderschutzstandards-Erklärung: the Play Console Child Safety Standards declaration (M6). Play Console Zielgruppe + IARC: the Play Console Target Audience form (M7). US-Länderanhang: United States annex (A-US). UK-Länderanhang: United Kingdom annex (A-UK). App-Klassifizierung: our country classification table. Liste der Unterauftragsverarbeiter: our sub-processor register. Android-Berechtigungsregister: our permissions register. Verschlüsselungshaltung: our encryption-posture record. Datenfluss- / Inventar-Map: our internal data-flow map. Phase-2 Platzhalter-Tracker: our internal compliance tracker. Compliance-Plan: our internal compliance plan.

18. Versionskontrolle und Überprüfung

Dieser Anhang folgt demselben strengen Versionskontrollprotokoll wie der Rest des Phase-1-Bündels: Jede Änderung einer materiellen Zeile in §§ 2–16 erhöht das Datum der letzten Aktualisierung oben in dieser Datei und löst eine Neuveröffentlichung unter Privacy Policy und Children's Privacy Notice aus. Eine materielle Änderung der DSGVO löst eine außerplanmäßige Aktualisierung von § 2 + § 6 + § 13 aus. Eine neue verbindliche Entscheidung des EDPB gemäß Art. 65 DSGVO, die Balance wesentlich betrifft, löst eine außerplanmäßige Aktualisierung von § 2, § 3 und den relevanten operativen Abschnitten aus. Eine neue Ausnahmeregelung eines Mitgliedstaats gemäß Art. 8(1) DSGVO löst eine außerplanmäßige Aktualisierung von § 4 aus. Ein EuGH-Urteil, das die Gültigkeit des EU-US DPF oder der EU SCCs wesentlich betrifft, löst eine außerplanmäßige Aktualisierung von § 8 + § 10 aus. Ein Durchführungsrechtsakt oder eine Leitlinie der Kommission zur DSA, der die Definitionen von "Hosting-Dienst" / "Online-Plattform" neu fasst, löst eine außerplanmäßige Aktualisierung von § 5 aus. Eine ePrivacy-Verordnung (die die Richtlinie ersetzt) löst eine außerplanmäßige Aktualisierung von § 12 + eine vollständige Neuvalidierung des Cookie-Verhaltens in der App und auf der Website aus. Eine Änderung des Prighter-EU-Mandats löst eine außerplanmäßige Aktualisierung von § 3.2 + dem Platzhalter-Tracker unter our internal compliance tracker aus. Eine materielle Änderung des DPF-Selbstzertifizierungsstatus eines Unterauftragsverarbeiters löst eine außerplanmäßige Aktualisierung von § 8 + § 10 + our sub-processor register aus. Die jährliche Überprüfung erfolgt bis zum 9. Juni. Der Datenschutzbeauftragte unterzeichnet die Überprüfung ab; der benannte Kinderschutzbeauftragte unterzeichnet jede Änderung an § 5 (DSA) oder § 15 (CSAE-Routen) mit. Dieser Anhang wird neben H1 und H2 auf der öffentlichen Rechtsdokumente-Website (Privacy Policy und Children's Privacy Notice) neu veröffentlicht und ist durch Bezugnahme integriert.

Ende des Länderanhangs Europäische Union und Europäischer Wirtschaftsraum.