LILI · EIN PRODUKT DER PUZZLE CARE GMBH

Datenschutzerklärung

Lili ist ein digitales Produkt der Puzzle Care GmbH.

Stand: 13. September 2026

1. Verantwortlicher

Puzzle Care GmbH

Feilitzschstr. 7

80802 München

Deutschland

Geschäftsführer: Dr. Cihat Cengiz

Datenschutzanfragen: cengiz@lilistories.de

2. Welche Daten Lili verarbeitet

Konto

E-Mail-Adresse, Anzeigename und technische Konto-/Login-Informationen.

Zeitpunkte wie Registrierung, E-Mail-Verifizierung und Beginn/Ende der Discover-Testphase.

Zahlung und Abonnement

Stripe-Kundennummer, Abonnement-ID, gebuchter Tarif, Abonnementstatus, Abrechnungszeitraum, geplanter Tarifwechsel bzw. Kündigung sowie Status und Zeitpunkt der letzten Zahlung.

Für den Checkout übermitteln wir insbesondere die E-Mail-Adresse des Elternkontos, eine Lili-Kontokennung, den gewählten Tarif und die für die Transaktion erforderlichen Abrechnungsinformationen an Stripe.

Stripe verarbeitet je nach gewählter Zahlungsmethode zusätzliche Zahlungsdaten, etwa Karten-, Bankkonto- oder Rechnungsadressdaten. Vollständige Karten- oder Bankdaten werden nicht in der Lili-Anwendungsdatenbank gespeichert.

Kinderprofil

Name oder Spitzname des Kindes.

Geburtsmonat bzw. Altersinformation für altersgerechte Inhalte.

Sprachen, Lernfokus und freiwillig ausgewählte Interessen.

Stories und freiwillige Prompts

Texte, Stichwörter und Erlebnisse, die Eltern freiwillig für eine Story eingeben.

Generierte Stories, Storybooks und – soweit genutzt – Audio-/Videoinhalte.

Technische Metadaten, die nötig sind, um diese Inhalte zu erzeugen und in der Bibliothek bereitzustellen.

Bitte keine unnötigen persönlichen Daten in Prompts eingeben. Insbesondere bitten wir darum, keine vollständigen Namen, Adressen, exakten Wohn-/Aufenthaltsorte, Kontaktdaten, Gesundheitsdaten oder andere sensible Informationen zu nennen. Darauf weisen wir Eltern auch in der Produktkommunikation hin.

Lili nutzt zusätzlich automatisierte Inhalts- und Qualitätsprüfungen, die Prompts vor der Weiterverarbeitung auf ungeeignete oder sensible Inhalte (z. B. Gesundheitsdaten, exakte Adressen) prüfen. Als sensibel erkannte Eingaben werden abgelehnt und nicht zur Story-Erstellung weiterverarbeitet. Sollten sensible Daten dennoch unerkannt in eine erzeugte Story oder ein Profil gelangen, können Eltern deren Löschung jederzeit über die in Ziffer 8 genannten Kontaktmöglichkeiten verlangen. Diese Prüfungen reduzieren Risiken, ersetzen aber nicht die Verantwortung der Eltern, nur notwendige Informationen einzugeben.

Lernmemory und Games

Wörter und Sprachkonzepte aus den erzeugten Stories.

Ein einfacher Lern-/Wiederholungsstatus, damit Inhalte später sinnvoll wieder aufgegriffen werden können.

Spielbezogene Fortschrittsinformationen, soweit sie für die Memory-/Lernfunktion erforderlich sind.

3. Wofür wir diese Daten verwenden

um das Lili-Konto und die 7-tägige Discover-Testphase bereitzustellen;

um personalisierte Stories, Storybooks, Games und Lernmemory zu erstellen;

um bereits erzeugte Inhalte in der Bibliothek bereitzustellen;

um kostenpflichtige Abonnements abzuschließen und Zahlungen, Verlängerungen, Tarifwechsel, Kündigungen und Zahlungsausfälle zu verwalten;

um Missbrauch zu verhindern, Fehler zu beheben und den Dienst sicher und zuverlässig zu betreiben;

um gesetzliche Pflichten zu erfüllen, soweit solche bestehen.

Rechtsgrundlage ist für die Nutzung durch den registrierten Elternteil einschließlich Konto, kostenpflichtigem Abonnement und Zahlungsabwicklung grundsätzlich Art. 6 Abs. 1 lit. b DSGVO. Soweit wir Abrechnungs- oder Transaktionsdaten aufgrund gesetzlicher handels- oder steuerrechtlicher Vorgaben aufbewahren müssen, erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO.

Da Kinder bei Lili kein eigenes Konto haben, aber ebenfalls personenbezogene Daten verarbeitet werden (z. B. Kinderprofil, Stories, Lernmemory), bestätigt die registrierende Person bei der Kontoerstellung, dass sie personensorgeberechtigt für das jeweilige Kind ist, und willigt in die Verarbeitung der Daten des Kindes im Rahmen der Lili-Nutzung ein. Rechtsgrundlage für die Verarbeitung der Daten des Kindes ist entsprechend Art. 6 Abs. 1 lit. b DSGVO (Vertrag zugunsten des Kindes) in Verbindung mit dieser Einwilligung der personensorgeberechtigten Person, hilfsweise Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der vertragsgemäßen Bereitstellung der Lili-Funktionen für das Kind).

Für technisch notwendige Sicherheits- und Betriebsmaßnahmen stützen wir uns, soweit einschlägig, auf Art. 6 Abs. 1 lit. f DSGVO.

Die Angabe der für die Kontoerstellung erforderlichen Daten (insbesondere E-Mail-Adresse) ist notwendig, um den Lili-Dienst bereitstellen zu können; ohne diese Angaben können wir kein Konto einrichten. Weitergehende Angaben, insbesondere Story-Prompts und optionale Profildaten, erfolgen freiwillig; ohne sie stehen bestimmte Funktionen wie personalisierte Stories nicht oder nur eingeschränkt zur Verfügung.

Automatisierte Entscheidungen im Sinne von Art. 22 DSGVO, die rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen, treffen wir nicht. Die automatisierten Inhalts- und Qualitätsprüfungen (siehe Ziffer 2) sowie der automatisch ermittelte Lern-/Wiederholungsstatus dienen ausschließlich der Bereitstellung und Personalisierung des Dienstes.

Einwilligungspflichtige optionale Tracking- oder Marketingfunktionen würden nur nach vorheriger Einwilligung eingesetzt.

4. KI-, Cloud- und Zahlungsdienstleister

Damit Lili Inhalte erzeugen, technisch betreiben und kostenpflichtige Abonnements abwickeln kann, nutzen wir ausgewählte Dienstleister. Dabei übermitteln wir nur die Informationen, die für den jeweiligen Verarbeitungsschritt erforderlich sind.

Google Cloud / Firebase für Authentifizierung, Datenbank, Hosting, Cloud Functions, Dateispeicherung und technische Protokolle.

OpenAI für Teile der Text-, Qualitäts- und Bildverarbeitung.

Google Gemini / Veo für bestimmte Audio- und Videofunktionen.

Stripe, insbesondere Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland, für Checkout, Abonnementverwaltung, Zahlungsabwicklung, Zahlungsstatus, Rechnungs-/Steuerinformationen und Betrugsprävention. Für bestimmte regulierte Zahlungsdienste können weitere Stripe-Gesellschaften eingebunden sein.

Stripe verarbeitet Zahlungs- und Transaktionsdaten je nach Verarbeitungsvorgang teilweise als Auftragsverarbeiter in unserem Auftrag und teilweise in eigener datenschutzrechtlicher Verantwortlichkeit, insbesondere für regulatorische Pflichten, Betrugsprävention und Sicherheit. Je nach gewählter Zahlungsmethode kann Stripe Daten an den jeweiligen Zahlungsanbieter, beteiligte Banken oder Kartennetzwerke weitergeben. Weitere Informationen finden Sie in der Stripe-Datenschutzerklärung unter https://stripe.com/de/privacy.

Die von uns genutzten KI-Anbieter sind so konfiguriert, dass die über die jeweilige API übermittelten Inhalte standardmäßig nicht zum Training ihrer KI-Modelle verwendet werden (Trainings-Opt-out bzw. „training = false" in den jeweiligen API-Einstellungen).

Soweit Anbieter Daten in unserem Auftrag verarbeiten, schließen wir die hierfür erforderlichen Auftragsverarbeitungsverträge nach Art. 28 DSGVO. Bei notwendigen Übermittlungen personenbezogener Daten in Länder außerhalb des Europäischen Wirtschaftsraums, etwa im Rahmen von Unterauftragsverhältnissen bei OpenAI, Google oder Stripe, stützen wir uns auf die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) und/oder - soweit der jeweilige Anbieter zertifiziert ist - auf das EU-US Data Privacy Framework. Eine Kopie der jeweils einschlägigen Garantien kann bei uns unter den in Ziffer 1 genannten Kontaktdaten angefordert werden.

5. Speicherdauer und Löschung

Konto, Kinderprofil, Bibliotheksinhalte und Lernmemory bleiben grundsätzlich gespeichert, solange das Konto besteht und die Daten für Lili benötigt werden.

Technische Generation-Requests/-Traces sind grundsätzlich auf etwa 30 Tage begrenzt.

Interne Observability-/Betriebsereignisse sind grundsätzlich auf etwa 90 Tage begrenzt.

Bei einer vollständigen Kontolöschung werden die zugehörigen Lili-Anwendungsdaten grundsätzlich gelöscht; in Sicherungskopien (Backups) enthaltene Daten werden im Rahmen der üblichen Backup-Zyklen in der Regel innerhalb von 30 Tagen überschrieben. Gesetzlich zwingend aufzubewahrende Nachweise bleiben nur so lange erhalten, wie dies vorgeschrieben ist.

Abrechnungs-, Zahlungs- und steuerrechtlich relevante Nachweise werden nach Vertragsende oder Kontolöschung nur so lange aufbewahrt, wie gesetzliche Aufbewahrungspflichten oder erforderliche Nachweiszwecke dies verlangen. Stripe kann Transaktionsdaten im Rahmen eigener gesetzlicher Pflichten nach Maßgabe seiner Datenschutzerklärung separat aufbewahren.

6. Cookies und Tracking

Aktuell setzen wir keine Analyse-, Tracking- oder Marketingtools (z. B. Firebase Analytics) ein. Lili verwendet ausschließlich die technisch notwendigen Speicher- und Sitzungsmechanismen für Login, Sicherheit und die Nutzung des Dienstes. Verhaltensbasierte Werbung auf Grundlage von Kinderprofildaten verwenden wir nicht. Sollten künftig nicht notwendige Analyse- oder Marketingtechnologien eingesetzt werden, geschieht dies – soweit gesetzlich erforderlich – erst nach vorheriger Einwilligung, und diese Datenschutzerklärung wird entsprechend aktualisiert.

7. Sicherheit und Datensparsamkeit

Unsere Lösung folgt dem Grundsatz: so wenig Daten wie möglich, nur so viel wie für die Funktion nötig. Dazu gehören insbesondere kontobasierte Zugriffe, verschlüsselte Übertragung, begrenzte Aufbewahrungsfristen und die bewusste Beschränkung des Kinderprofils auf wenige Angaben.

Lili ist kein medizinischer, therapeutischer oder diagnostischer Dienst. Eltern sollen keine sensiblen Gesundheits- oder sonstigen besonders geschützten Daten für die Story-Erstellung eingeben.

8. Ihre Rechte

Sie haben nach Maßgabe der gesetzlichen Voraussetzungen insbesondere das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Erteilte Einwilligungen können für die Zukunft widerrufen werden.

Kontakt: cengiz@lilistories.de

9. Beschwerderecht

Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren. Für die Puzzle Care GmbH ist als nicht-öffentliche Stelle in Bayern insbesondere das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) zuständig: Promenade 18, 91522 Ansbach, www.lda.bayern.de.

10. Änderungen

Wenn wir Lili wesentlich erweitern - zum Beispiel um weitere Dienstleister, neue Analysefunktionen oder zusätzliche Datenarten - aktualisieren wir diese Datenschutzerklärung. Die jeweils aktuelle Fassung stellen wir auf der Lili-Website bzw. in der Webanwendung bereit.