Kein Konto, keine Anmeldung

No account, no sign-in

Lottami Travel begleitet Kinder auf dem Schulweg und hält Eltern über Ankunft und Verspätungen auf dem Laufenden. Es gibt keine Benutzerkonten: keinen Namen der Eltern, keine Anmeldung. Die Familie wird ausschließlich über eure private iCloud und zufällig erzeugte Kennungen zusammengehalten. Was ihr selbst eintragt, liegt nur in der iCloud eurer Familie: die Apple-ID des Kindes (E-Mail-Adresse oder Telefonnummer) für die Einladung, die Notfallnummer (meist eine Nummer der Eltern), optional die Nummer des Kindgeräts, Kontakte an gemerkten Orten (zum Beispiel Oma, mit Name) die wartende Person an einer Strecke (zum Beispiel die Hort-Betreuerin, mit Name), eine angesagte Abholung (wer abholt, mit Name, und das Zeitfenster) sowie kurze Nachrichten des Kindes aus einer festen Auswahl (zum Beispiel „Ich komme später“).

Lottami Travel accompanies children on their school commute and keeps parents informed about arrival and delays. There are no user accounts: no parent name, no sign-in. The family is held together solely through your own private iCloud and randomly generated identifiers. What you enter yourself lives only in your family's iCloud: the child's Apple ID (email address or phone number) for the invitation, the emergency number (usually a parent's number), optionally the number of the child's device, contacts at saved places (for example grandma, with a name), the waiting person on a route (for example the after-school carer, with a name), an announced pick-up (who picks up, with a name, and the time window), and short messages from the child chosen from a fixed list (for example “I’ll be late”).

Was wir verarbeiten

What we process

Name und Kennung des Kindes; geplante Strecken mit Checkpoints (in aller Regel Wohnadresse, Schule und Vereinsadresse), Wochentagen und Ankunftszeiten; Fahrt-Ereignisse (erreicht/verspätet/verpasst) mit Zeitstempel während einer laufenden Fahrt; der Einwilligungsnachweis für die Kopplung von Eltern- und Kindgerät. Optional, nur wenn ein Elternteil es für ein Kind ausdrücklich einschaltet: der genaue Standort während einer laufenden Fahrt.

The child's name and identifier; planned routes with checkpoints (typically home, school, and club addresses), weekdays, and arrival times; trip events (reached/delayed/missed) with timestamps during an active trip; the consent record for pairing the parent and child devices. Optional, only if a parent explicitly turns it on for a child: the precise location during an active trip.

Es gibt keine Werbung, kein Analytics und kein Tracking-SDK. Daten gehen nur an Apple (iCloud, Mitteilungen, Karten) und für Abfahrtszeiten an Verkehrsdienste: Suchanfragen und Abfahrten laufen über unseren eigenen Auskunftsdienst bei Cloudflare (Haltestellenkennung, Zeitpunkt, getippter Suchtext und eine zufällige, je Installation erzeugte Kennung gegen Missbrauch — keine Namen, nur Haltestelle und Zeitpunkt). Für Echtzeit-Abfahrten in Norwegen (Entur), Deutschland (DELFI/gtfs.de), Schweden (Trafiklab) und Großbritannien (BODS) ruft das Gerät den jeweiligen Dienst direkt ab; dabei sehen diese Dienste die IP-Adresse und den Zeitpunkt des Abrufs. Das Wetter am Start und Ziel holt unser Auskunftsdienst bei Cloudflare von GeoSphere Austria und MET Norway; dorthin geht nur ein auf etwa einen Kilometer gerundeter Ort mit dem Zeitpunkt, nie der genaue Punkt von Wohnung oder Schule, und die Anbieter sehen nur unseren Dienst, nicht dein Gerät. Nur wenn unser Dienst kein Wetter liefert, fragt die App ersatzweise Apple WeatherKit, mit demselben gerundeten Ort. Außerdem hält der Dienst die Push-Tokens der Geräte, eine aus einem zufälligen Geheimnis abgeleitete Beobachtungs-Kennung, die Uhrzeiten der „noch nicht losgegangen“-Fristen (mit einer zufälligen Strecken-Kennung, ohne Namen oder Orte) und den Zeitpunkt der letzten Antwort des Kindgeräts, um den Eltern zu dieser Zeit eine Push zu schicken, auch wenn die App nicht läuft. Dazu schickt er 30 Minuten vor der Abfahrt eine stille Prüf-Mitteilung an das Kindgerät; bleibt die Antwort aus, warnt er die Eltern. Die Hinweise zu Übergängen und gefährlichen Stellen stammen aus einem Auszug von OpenStreetMap (© OpenStreetMap-Mitwirkende, ODbL), der als Paket auf das Gerät geladen wird — dabei wird nichts über euch oder euer Kind übertragen. Standort, Namen und Strecken des Kindes gehen an keinen dieser Dienste.

There is no advertising, no analytics, and no tracking SDK. Data goes only to Apple (iCloud, notifications, maps) and, for departure times, to transit services: searches and departures go through our own lookup service at Cloudflare (stop identifier, time, typed search text, and a random per-installation identifier against abuse — no names, only stop and time). For real-time departures in Norway (Entur), Germany (DELFI/gtfs.de), Sweden (Trafiklab), and the United Kingdom (BODS), the device queries the respective service directly; these services see the IP address and the time of the request. Our lookup service at Cloudflare fetches the weather at start and destination from GeoSphere Austria and MET Norway; only a location rounded to about one kilometre and the time are sent, never the exact point of home or school, and the providers see only our service, not your device. Only if our service delivers no weather does the app ask Apple WeatherKit instead, with the same rounded location. The service also holds the push tokens of the devices, an observation identifier derived from a random secret, the times of the “not yet set off” deadlines (with a random route identifier, without names or places) and the time of the child device's last reply, so that it can send the parents a push at that time even if the app is not running. For this it sends a silent check notification to the child device 30 minutes before departure; if there is no reply, it warns the parents. The notes about crossings and hazardous spots come from an OpenStreetMap extract (© OpenStreetMap contributors, ODbL) that is downloaded to the device as a package — nothing about you or your child is transmitted. The child's location, names, and routes are not sent to any of these services.

Unser Auskunftsdienst bei Cloudflare sieht die IP-Adresse des Geräts und führt technische Protokolle (Anfrage-Metadaten, keine Namen); eine Abfrage verrät die Haltestelle und den Zeitpunkt und läuft von dort weiter zur Verbundlinie. Für die Planung (Adressen, Fußwege) und bei einer Abweichung von der Strecke fragt die App Apples Kartendienst mit genauen Punkten ab.

Our lookup service at Cloudflare sees the device's IP address and keeps technical logs (request metadata, no names); a request reveals the stop and the time and is passed on from there to the transit authority. For planning (addresses, walking routes) and when the child leaves the route, the app asks Apple's map service with precise points.

Verknüpfte Familien: Wenn ihr Familien verknüpft („Gemeinsam gehen“, Treffpunkte), sehen die anderen Familien den Vornamen des Kindes, ob es angekommen ist, die ungefähre Restzeit und die Namen der beteiligten iCloud-Konten — keinen Standort. Diese Angaben liegen in einer eigenen iCloud-Zone und werden mit „Alle Daten löschen“ entfernt.

Linked families: if you link families ("Walking together", meeting points), the other families see the child's first name, whether it has arrived, the approximate remaining time and the names of the iCloud accounts involved — no location. These details live in a separate iCloud zone and are removed by "Delete All Data".

Gesundheitsangabe: Das optionale Mobilitätsprofil des Kindes (zum Beispiel Rollstuhl oder Gehhilfe) ist eine Angabe zur Gesundheit. Sie liegt wie die übrigen Daten in eurer iCloud und wird nur für die Wegplanung genutzt. Außerdem speichern die Eltern auf Wunsch eine angesagte Abholung (wer abholt, Zeitfenster) und das Kind kann kurze Nachrichten aus einer festen Auswahl schicken.

Health information: the child's optional mobility profile (for example wheelchair or walking aid) is health information. It lives in your iCloud like the other data and is used only for route planning. Parents can also store an announced pick-up (who picks up, time window), and the child can send short messages chosen from a fixed list.

Standort im Einzelnen

Location in detail

Auf dem Kindgerät löst eine Geofence-Wache an den Checkpoints der Fahrt aus, damit die App Fortschritt erkennt und eine Fahrt von selbst beginnen kann — diese Wache speichert nichts, sie löst nur eine Prüfung aus. An Tagen mit einer geplanten Strecke weckt iOS die App außerdem bei deutlichen Ortsänderungen (etwa 500 m), damit der Schulweg von selbst starten kann; auch das speichert nichts. Im Zeitfenster einer geplanten Strecke (ab dem Vorlauf vor dem Losgehen bis zum Ende der Strecke) läuft die Ortung auf dem Kindgerät durch, damit iOS die App nicht anhält; iOS zeigt dabei den blauen Hinweis auf Standortzugriff. Auch das speichert nichts. Ein Standort wird nur gespeichert, wenn ein Elternteil „Standort während der Fahrt teilen" für dieses Kind einschaltet (Voreinstellung: aus). Ist das eingeschaltet, entsteht höchstens ein gespeicherter Standortpunkt pro Minute, ausschließlich während einer laufenden Fahrt, und wird nach 7 Tagen automatisch gelöscht (beim Start der Eltern-App); die Eltern sehen damit den gegangenen Weg und können ihn jederzeit löschen. Zwei Ausnahmen gelten unabhängig vom Schalter: Drückt das Kind „Ich brauche Hilfe“, geht ein einzelner Standortpunkt an die Eltern — auch ohne laufende Fahrt. Und solange ein Alarm „unbekanntes Fahrzeug“ offen ist, geht etwa alle 20 Sekunden ein Standortpunkt an die Eltern, bis sie ihn bestätigen. Fordern die Eltern ausdrücklich eine vorübergehende Standortfreigabe an, wird für diese Zeit ebenfalls aufgezeichnet. Auch diese Punkte werden nach 7 Tagen gelöscht. Auf dem Elterngerät wird der eigene Standort nur für eine einzelne Haltestellen- oder Adresssuche abgefragt und nicht gespeichert.

On the child's device, a geofence watch triggers at the trip's checkpoints so the app can detect progress and start a trip on its own — this watch stores nothing, it only triggers a check. On days with a planned route, iOS also wakes the app on significant location changes (about 500 m) so the way to school can start on its own; this stores nothing either. During the time window of a planned route (from the lead time before leaving until the route ends), location runs continuously on the child's device so that iOS does not suspend the app; iOS shows the blue location indicator for this. This stores nothing either. A location is stored only if a parent turns on "Share location during the trip" for that child (default: off). When on, at most one stored location point is created per minute, only during an active trip, and it is deleted automatically after 7 days (when the parent app starts); parents see the walked path from it and can delete it at any time. Two exceptions apply regardless of the switch: when the child presses "I need help", a single location point goes to the parents — even without a running trip. And as long as an "unknown vehicle" alarm is open, a location point goes to the parents about every 20 seconds until they confirm it. If the parents explicitly request a temporary location share, recording also runs for that time. These points, too, are deleted after 7 days. On the parent's device, their own location is queried only for a single stop or address search and is not stored.

Wo die Daten liegen

Where the data lives

Alle personenbezogenen Daten liegen in der privaten iCloud der Eltern, in einer eigenen Zone. Diese Zone wird als Ganzes mit dem Kindgerät geteilt (und, falls eingerichtet, mit einem zweiten Elterngerät) — Apple verschlüsselt Übertragung und Speicherung. Ohne iCloud-Anmeldung läuft die App rein im Arbeitsspeicher des Geräts; nichts wird gespeichert und nichts geteilt. Fahrplandaten (Haltestellen, Linien, Abfahrten) enthalten keine Personendaten und liegen teils lokal, teils in einer öffentlichen, nur lesbaren iCloud-Datenbank.

All personal data lives in the parents' private iCloud, in a dedicated zone. This zone is shared as a whole with the child's device (and, if set up, a second parent device) — Apple encrypts transmission and storage. Without iCloud sign-in, the app runs entirely in the device's memory; nothing is stored and nothing is shared. Timetable data (stops, lines, departures) contains no personal data and lives partly on-device, partly in a public, read-only iCloud database.

Aufbewahrung

Retention

Strecken, Kind- und Familiendaten sowie der Einwilligungsnachweis bleiben ohne feste Frist bestehen, solange die App genutzt wird — sie lassen sich jederzeit vollständig löschen (siehe „Deine Rechte").

Routes, child and family data, and the consent record remain without a fixed limit for as long as the app is used — they can be fully deleted at any time (see "Your rights").

Einwilligung

Consent

Für jede Kopplung eines Kindgeräts ist eine eigenständige Einwilligung Pflicht; ohne sie verweigert die App den Vorgang. Der vollständige Einwilligungstext steht in der App selbst, aufklappbar im Kopplungs-Bildschirm. Die Einwilligung lässt sich jederzeit widerrufen — durch „Zugang entziehen" in der Teilnehmerliste oder durch „Alle Daten löschen" in den Einstellungen. Beim Entziehen des Zugangs bleibt der Nachweis der Einwilligung erhalten; „Alle Daten löschen" entfernt ihn.

Pairing a child's device requires a standalone consent; without it, the app refuses to proceed. The full consent text is available in the app itself, expandable on the pairing screen. Consent can be withdrawn at any time — by "Remove access" in the participant list, or via "Delete All Data" in Settings. The consent record is kept when access is removed; "Delete All Data" deletes it.

Kinder

Children

Zielgruppe und Entscheider ist das Elternteil, nicht das Kind als App-Store-Nutzer — vergleichbar mit anderen Familien-Sicherheits-Apps. Der Rollenwechsel in die Elternansicht ist durch eine einfache Rechenaufgabe geschützt.

The target audience and decision-maker is the parent, not the child as an App Store user — comparable to other family-safety apps. Switching to the parent view is protected by a simple math challenge.

Deine Rechte

Your rights

In der App unter Einstellungen → „Meine Daten": „Daten exportieren" liefert Familie, Kind, Einwilligungsnachweis, Strecken, Fahrten der letzten zwei Jahre und noch vorhandene Standortpunkte als Datei zum Teilen (Auskunft/Datenübertragbarkeit). „Alle Daten löschen" entfernt die gesamte geteilte Zone samt allem darin — auf allen Geräten der Familie (Löschung). Für Fragen oder wenn etwas davon nicht funktioniert, schreib uns an die Adresse unten.

In the app under Settings → "My Data": "Export Data" produces family, child, consent record, routes, the last two years of trips, and any remaining location points as a file to share (access/data portability). "Delete All Data" removes the entire shared zone and everything in it — on all family devices (erasure). For questions, or if anything here doesn't work as described, write to us at the address below.