Datenschutz im privaten KidsTube-Piloten

KidsTube ist ein privates Familienprojekt auf dem eigenen Heimserver. Bei Fragen oder Löschwünschen wende dich an den Administrator dieses Heimservers. Diese Hinweise beschreiben den Pilotbetrieb; vor einer öffentlichen Bereitstellung müssen Betreiber und Kontaktangaben ergänzt und die Datenschutzhinweise geprüft werden.

Elternkonto und Sitzung

Gespeichert werden die E-Mail-Adresse, ein gesalzener Passwort-Hash und gehashte Sitzungstokens mit acht Stunden Laufzeit. Ein technisch notwendiges HttpOnly-Cookie hält die Anmeldung aufrecht. Es gibt keine Analyse- oder Werbe-Cookies von KidsTube. Die Datenbank begrenzt Anmeldeversuche mit zeitlich begrenzten Zählern; alte Zähler werden bei weiteren Anmeldeversuchen nach 24 Stunden entfernt. Konto- und Sitzungsdaten werden auf diesem Server gespeichert. Der Administrator kann dein Konto löschen; damit werden seine Sitzungen, Geräte und Kanalfreigaben entfernt.

YouTube API Services

KidsTube verwendet YouTube API Services. Wenn du einen Kanal prüfst, freigibst oder seine Video-Metadaten aktualisierst oder der stündliche automatische Abruf eines freigegebenen Kanals ansteht, sendet der Server den Handle beziehungsweise die Kanal-, Playlist- und Video-IDs an Google. Google erhält dabei die öffentliche Netzwerkadresse des Servers. Dein Elternpasswort und deine Eltern-E-Mail werden nicht an YouTube gesendet. Es werden keine Videos heruntergeladen und keine Streams extrahiert.

Gekoppelte Geräte

Zur Kopplung speichert der Server einen frei gewählten Gerätenamen, den Elternbesitz, Kopplungs-/Sperrzeitpunkt und ausschließlich Hashes der Einmalcodes und Gerätezugänge. Ein Code gilt fünf Minuten und nur einmal. Abgelaufene Codes werden beim Erzeugen neuer Codes, beim API-Start und stündlich bereinigt. Ein globaler zeitlich begrenzter Zähler schützt die Einlösung vor wiederholten Versuchen. Der Gerätezugang wird auf dem Tablet mit einem Android-KeyStore-Schlüssel verschlüsselt, von Backups ausgeschlossen und gilt bis zur Sperre oder Elternlöschung.

Die Kinder-App fragt nur den eigenen Heimserver nach dem freigegebenen Katalog und verwendet keine Elternpasswörter. Titel liegen nur im Arbeitsspeicher; es gibt keinen Offline-Katalog. Im Elternbereich kannst du Geräte sperren. „Lokal trennen“ auf dem Tablet löscht nur dessen gespeicherte Verbindung; einen verlorenen Zugang zusätzlich im Elternbereich sperren. Das Löschen des Elternkontos durch den Administrator entfernt Geräte, Codes und Freigaben. Beim Laden eines Vorschaubilds fragt der Heimserver dessen offizielle Google-Bildadresse ab. Google erhält dabei die Server-Netzwerkadresse und die angeforderte Bildadresse, keine Eltern- oder Gerätezugangsdaten. Das Tablet verbindet sich für Katalogbilder nur mit dem Heimserver.

Gespeichert werden kanonische Kanal-IDs, Titel, offizielle Kanalprofilbildadressen, Freigaben sowie öffentliche Video-Metadaten ohne feste Gesamtanzahl je Kanal (ID, Titel, Veröffentlichungszeit, Einbettungsstatus und gegebenenfalls offizielle Vorschaubildadresse). Video-Metadaten werden spätestens nach 28 Tagen plus einem stündlichen Bereinigungsintervall gelöscht. Der automatische Abruf prüft neue Uploads ungefähr stündlich. Ältere Einträge werden in Seiten von bis zu 50 Uploads eingelesen. Vollständige Durchläufe werden nach Abschluss täglich erneut eingeplant; das gemeinsame tägliche Abrufbudget kann sie verzögern. Bleibt eine Aktualisierung 28 Tage lang aus, werden auch Kanal und Freigaben nach dieser Frist gelöscht. Für die Abrufbegrenzung werden je Kanal der letzte Versuch, der letzte erfolgreiche Import, der Fortschritt mit Seitentokens und vorübergehende Arbeitssperren sowie ein gemeinsamer täglicher Versuchszähler ohne Gerätebezug gespeichert; alte Tageszähler werden beim nächsten erfolgreichen Einplanen nach zwei Tagen entfernt. Alte Daten werden ab 28 Tagen nicht mehr ausgeliefert. Datenbank-Backups auf dem Heimserver müssen durch den Administrator ebenfalls innerhalb von 28 Tagen gelöscht werden.

Du kannst eine Freigabe sofort widerrufen. Das sperrt ihren Zugriff für dein Konto; geteilte öffentliche Metadaten können noch für andere Elternfreigaben vorliegen. Für die Löschung aller zu deinem Konto gespeicherten Daten wende dich an den Heimserver-Administrator. Dies löscht keine Daten bei YouTube.

Optionale YouTube-Wiedergabe

Die reine Katalogansicht lädt Vorschaubilder über den Heimserver, aber keine YouTube-Player oder externen Schriftarten. Bilddaten werden serverseitig nicht dauerhaft gespeichert. Die App hält Bilder begrenzt im Arbeitsspeicher (höchstens 8 MiB, maximal eine Stunde je Eintrag) und leert diesen Cache beim Wechsel in den Hintergrund oder beim lokalen Trennen. Neue Kataloginhalte lädt die App beim Öffnen, manuell oder nach etwa einer Stunde im Vordergrund. Eine getrennte Prüfung fragt etwa alle 15 Sekunden beim Heimserver nur erlaubte Kanal- und Video-IDs sowie den Wiedergabestatus ab. Sie fragt keine neuen Videos bei Google ab und mischt die Ansicht nicht neu; widerrufene Einträge verschwinden bei der nächsten Prüfung. Der Player wird erst nach Betreiber-Einrichtung, ausdrücklicher Erlaubnis des Elternkontos und Auswahl eines serverseitig geprüften Videos geöffnet. Der Server fragt dabei die aktuelle Verfügbarkeit und den Made-for-Kids-Status bei YouTube ab. Ein unbekannter Status verhindert das Öffnen.

Beim Laden des offiziellen Players verbindet sich das Tablet direkt mit Google/YouTube. Dabei können Netzwerkadresse, App-Kennung, Geräte-/Browserinformationen und Playerdaten übertragen werden; beim Abspielen kommen Wiedergabedaten hinzu. KidsTube verwendet den erweiterten Datenschutzmodus und startet nicht automatisch. Dieser Modus verhindert keine vollständige Datenübertragung und ist keine Garantie für Tracking- oder Cookie-Freiheit. KidsTube zeichnet keine eigene Wiedergabehistorie und keine Player-Analysedaten auf. Die von YouTube geforderte Meldung/Einrichtung für kindergerichtete Nutzung ist vom Betreiber gesondert zu klären; der Schalter dafür ist standardmäßig aus.

Die Erlaubnis gilt für die Geräte dieses Elternkontos und kann im Elternbereich ausgeschaltet werden. Die App prüft während eines geöffneten Players ungefähr alle 15 Sekunden die eigene Freigabe erneut und schließt ihn bei Fehler oder Widerruf; dies ist keine Echtzeit-Push-Sperre. Der offizielle Player kann weitere Videos, Werbung und externe Links anbieten. Die Whitelist begrenzt ausschließlich den KidsTube-Katalog, nicht sämtliche YouTube-Player-Funktionen. Externe YouTube-Links öffnen dessen Website/App; dort gelten deren Datenschutzregeln.

Durch Nutzung der YouTube-Funktionen stimmst du den YouTube-Nutzungsbedingungen zu. Siehe auch die Google-Datenschutzerklärung.