Stand dieser Datenschutzerklärung: 05.09.2026

1. Einleitung und Verantwortlicher

Der Schutz Ihrer personenbezogenen Daten ist uns ein wichtiges Anliegen. Mit dieser Datenschutzerklärung informieren wir Sie darüber, welche Daten wir erheben, zu welchem Zweck wir diese verarbeiten und welche Rechte Ihnen in Bezug auf Ihre Daten zustehen.

Diese Datenschutzerklärung gilt für die Nutzung der mobilen Applikation Lunaletics (nachfolgend „App“) auf Smartphones und Tablets sowie für die Website www.lunaletics.com (nachfolgend „Website“ oder „Homepage“).

Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Lunaletics GmbH

Merianstr. 31, 80637 München, Deutschland

E-Mail: info@lunaletics.com

Datenschutzkontakt

Für Fragen zum Datenschutz und zur Ausübung Ihrer Rechte als betroffene Person erreichen Sie uns unter:

Lunaletics GmbH

Merianstr. 31, 80637 München, Deutschland

E-Mail: info@lunaletics.com

Datenschutzbeauftragter

Ein Datenschutzbeauftragter im Sinne von Art. 37 DSGVO ist derzeit nicht bestellt. Bitte richten Sie alle Datenschutzanfragen an die vorstehende Kontaktadresse.

Alter und Minderjährige

App und Website richten sich ausschließlich an Personen ab 18 Jahren. Eine Nutzung durch jüngere Personen ist nicht zulässig. Wir erheben wissentlich keine personenbezogenen Daten von Minderjährigen. Stellen wir fest, dass Daten einer Person unter 18 Jahren gespeichert wurden, löschen wir diese. Das Angebot richtet sich nicht an Kinder im Sinne des COPPA (unter 13 Jahren) oder vergleichbarer Vorschriften.

1.1 Geltungsbereich für das Vereinigte Königreich (UK)

Diese Datenschutzerklärung gilt auch für Nutzer:innen aus dem Vereinigten Königreich im Rahmen der geltenden Datenschutzbestimmungen nach dem UK Data Protection Act 2018 in Verbindung mit der UK GDPR (United Kingdom General Data Protection Regulation).

Die Verantwortliche Stelle im Sinne der UK GDPR ist identisch mit der oben genannten Verantwortlichen Stelle gemäß Art. 4 Nr. 7 DSGVO.

Ein Vertreter im Vereinigten Königreich im Sinne von Art. 27 UK GDPR ist derzeit nicht bestellt. Sie können Ihre Rechte unmittelbar gegenüber der oben genannten Verantwortlichen Stelle geltend machen.

Zur Wahrnehmung Ihrer Datenschutzrechte im Vereinigten Königreich können Sie sich an die zuständige Aufsichtsbehörde wenden:

    Information Commissioner’s Office (ICO)

    Wycliffe House, Water Lane, Wilmslow, Cheshire, SK9 5AF, UK

    https://ico.org.uk

1.2 Geltungsbereich für die Schweiz

Diese Datenschutzerklärung gilt auch für Nutzer:innen mit Wohnsitz in der Schweiz und berücksichtigt die Anforderungen des Schweizer Datenschutzgesetzes (revDSG). Die Verantwortliche Stelle verarbeitet personenbezogene Daten im Einklang mit den Grundsätzen der Zweckbindung, Verhältnismäßigkeit und Datensicherheit gemäß dem revDSG.

Die Rechte betroffener Personen (insbesondere Auskunft, Berichtigung und Löschung) gelten entsprechend.

Ein Vertreter in der Schweiz im Sinne von Art. 14 revDSG ist derzeit nicht bestellt. Sie können Ihre Rechte unmittelbar gegenüber der oben genannten Verantwortlichen Stelle geltend machen.

Im Sinne des revidierten Schweizer Datenschutzgesetzes (revDSG) verwenden wir den Begriff „Personendaten“ anstelle von „personenbezogenen Daten“.

Sie haben das Recht auf Auskunft, Berichtigung, Löschung und Widerspruch gemäß Art. 25 ff. revDSG.

Zuständige Aufsichtsbehörde in der Schweiz:

    Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB)

    Feldeggweg 1, 3003 Bern, Schweiz

    https://www.edoeb.admin.ch

1.3 Geltungsbereich Kanada

Kanada (PIPEDA und Québec Bill 64)

Für Nutzerinnen in Kanada gilt ergänzend das Personal Information Protection and Electronic Documents Act (PIPEDA) sowie die verschärften Anforderungen nach dem Québec Act respecting the protection of personal information in the private sector (Bill 64).

Rechtsgrundlage und Zweck

Die Verarbeitung personenbezogener Daten erfolgt ausschließlich zu den in dieser Datenschutzerklärung genannten Zwecken und auf Basis einer Einwilligung der Nutzerin. Gesundheits- und sensible Daten werden nur verarbeitet, wenn die Nutzerin ausdrücklich zugestimmt hat.

Übermittlung außerhalb Kanadas

Daten können an unsere Auftragsverarbeiter in der Europäischen Union oder in Drittländer übermittelt werden. Dabei stellen wir sicher, dass ein angemessenes Datenschutzniveau gewahrt bleibt (z. B. durch EU-Standardvertragsklauseln).

Rechte der Nutzerinnen

Nach kanadischem Recht haben Nutzerinnen insbesondere folgende Rechte:

• Auskunft über die zu ihrer Person gespeicherten Daten

• Berichtigung unrichtiger oder unvollständiger Daten

• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft

• Löschung der Daten, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen

• Information über grenzüberschreitende Datenübermittlungen

Kontaktdaten für Kanada

Fragen oder Anliegen kanadischer Nutzerinnen können direkt an die oben genannten Kontaktdaten des Verantwortlichen gerichtet werden. Für Québec ist der Geschäftsführer David Schulten die für den Schutz personenbezogener Informationen zuständige Person (erreichbar unter denselben Kontaktdaten). Auf Wunsch stellen wir weitere Informationen zu unseren Datenschutzmaßnahmen bei Datenübermittlungen nach außerhalb Kanadas zur Verfügung.

1.4 Geltungsbereich Australien

Für Nutzerinnen in Australien gilt ergänzend der Privacy Act 1988 (Cth).

Rechtsgrundlage und Zweck

Die Verarbeitung personenbezogener Daten erfolgt ausschließlich zu den in dieser Datenschutzerklärung genannten Zwecken und nur mit Einwilligung der Nutzerin. Gesundheits- und sensible Daten werden ausschließlich nach ausdrücklicher Zustimmung verarbeitet.

Übermittlung außerhalb Australiens

Da die Datenverarbeitung auf Servern innerhalb der Europäischen Union und teilweise in Drittländern erfolgt, werden angemessene Schutzmaßnahmen ergriffen (z. B. EU-Standardvertragsklauseln), um ein dem australischen Recht entsprechendes Schutzniveau sicherzustellen.

Rechte der Nutzerinnen

Nutzerinnen in Australien haben insbesondere folgende Rechte:

• Auskunft über die zu ihrer Person gespeicherten Daten

• Berichtigung unrichtiger, unvollständiger oder veralteter Daten

• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft

• Beschwerde bei der Office of the Australian Information Commissioner (OAIC), wenn sie der Ansicht sind, dass ihre Datenschutzrechte verletzt wurden

Kontaktdaten für Australien

Anfragen australischer Nutzerinnen können direkt an die oben genannten Kontaktdaten des Verantwortlichen gerichtet werden.

1.5 Geltungsbereich Brasilien

Für Nutzerinnen in Brasilien gilt ergänzend die Lei Geral de Proteção de Dados (LGPD, Gesetz Nr. 13.709/2018).

Rechtsgrundlage und Zweck

Die Verarbeitung personenbezogener Daten erfolgt ausschließlich zu den in dieser Datenschutzerklärung genannten Zwecken. Gesundheits- und sensible Daten werden nur auf Grundlage einer ausdrücklichen Einwilligung verarbeitet.

Übermittlung außerhalb Brasiliens

Da die Datenverarbeitung auf Servern innerhalb der Europäischen Union und teilweise in Drittländern erfolgt, setzen wir angemessene Schutzmaßnahmen ein (z. B. EU-Standardvertragsklauseln), um ein dem brasilianischen Recht entsprechendes Datenschutzniveau zu gewährleisten.

Rechte der Nutzerinnen

Nach der LGPD haben Nutzerinnen insbesondere folgende Rechte:

• Bestätigung, ob personenbezogene Daten verarbeitet werden

• Zugang zu den gespeicherten personenbezogenen Daten

• Berichtigung unvollständiger, unrichtiger oder veralteter Daten

• Anonymisierung, Sperrung oder Löschung unnötiger oder übermäßiger Daten

• Übertragbarkeit der Daten zu einem anderen Dienstleister (sofern anwendbar)

• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft

• Information über Datenweitergaben und die Möglichkeit, einer Verarbeitung zu widersprechen

• Beschwerderecht bei der Autoridade Nacional de Proteção de Dados (ANPD)

Kontaktdaten für Brasilien

Fragen oder Anliegen brasilianischer Nutzerinnen können direkt an die oben genannten Kontaktdaten des Verantwortlichen gerichtet werden. Derselbe Kontakt gilt als Ansprechperson (Encarregado) für Anfragen nach der LGPD.

2. Allgemeine Hinweise zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten ausschließlich im Einklang mit den geltenden Datenschutzgesetzen, insbesondere der Datenschutz-Grundverordnung (DSGVO) sowie dem Bundesdatenschutzgesetz (BDSG). Die Verarbeitung Ihrer Daten erfolgt nur, soweit dies gesetzlich erlaubt ist oder Sie in die Datenverarbeitung eingewilligt haben.

2.1 Rechtsgrundlagen der Verarbeitung

Die Verarbeitung Ihrer personenbezogenen Daten erfolgt auf Grundlage der folgenden Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung (z. B. bei Gesundheitsdaten, Newsletter, Feedback)

• Art. 6 Abs. 1 lit. b DSGVO – Erfüllung eines Vertrags (z. B. Registrierung, Nutzung der App, Zahlungsabwicklung)

• Art. 6 Abs. 1 lit. f DSGVO – Berechtigtes Interesse. Unsere berechtigten Interessen sind insbesondere: sicherer und störungsfreier Betrieb von App und Website, Fehleranalyse und Stabilität, Bearbeitung von Kontaktanfragen, gelegentliche Nachfrage zur Qualitätsverbesserung der App per E-Mail sowie – soweit nicht bereits vertraglich erforderlich – die Auslieferung von Ihnen angeforderter Videoinhalte.

• Art. 9 Abs. 2 lit. a DSGVO – ausdrückliche Einwilligung für die Verarbeitung besonderer Kategorien personenbezogener Daten (insbesondere Gesundheitsdaten wie Menstruations- und Zyklusinformationen)

• § 25 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, früher TTDSG) – Speicherung von oder Zugriff auf Informationen in Ihrer Endeinrichtung, soweit dies für den von Ihnen ausdrücklich gewünschten Dienst unbedingt erforderlich ist oder Sie eingewilligt haben.

Die genannten Rechtsgrundlagen gelten entsprechend auch nach Maßgabe des UK GDPR und des UK Data Protection Act 2018.

2.2 Empfänger von Daten

Ihre personenbezogenen Daten werden nur dann an Dritte übermittelt, wenn dies zur Vertragserfüllung erforderlich ist, eine gesetzliche Verpflichtung besteht oder Sie ausdrücklich eingewilligt haben. Dazu zählen z. B. Zahlungsdienstleister, Hosting-Provider und Versanddienstleister.

Eine Weitergabe erfolgt insbesondere an:

• Auftragsverarbeiter gemäß Art. 28 DSGVO (z. B. Hosting durch Supabase, Website-Hosting durch Hostinger)

• Plattformbetreiber (Apple, Google)

• Zahlungsabwickler (z. B. RevenueCat)

• Support- und Feedbacktools (z. B. Sentry, Wiredash)

• E-Mail-Versanddienstleister (Brevo)

• Video-Streaming (Vimeo)

2.3 Übermittlung in Drittländer

Einige der eingesetzten Dienste verarbeiten Daten außerhalb der Europäischen Union, insbesondere in den USA, oder haben dort ihren Sitz. In diesen Fällen stellen wir durch den Abschluss von Standardvertragsklauseln der EU-Kommission (SCCs) oder andere geeignete Garantien sicher, dass ein angemessenes Datenschutzniveau gewährleistet ist. Einzelheiten finden Sie in Abschnitt 6.

2.4 Auftragsverarbeitung

Wir arbeiten mit ausgewählten Dienstleistern im Rahmen sogenannter Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO zusammen. Diese verarbeiten personenbezogene Daten ausschließlich auf unsere Weisung und unter Einhaltung strenger vertraglicher Vorgaben.

2.5 Zugriff auf Endeinrichtungen (§ 25 TDDDG)

Soweit wir Informationen auf Ihrem Endgerät speichern oder darauf zugreifen (z. B. Sitzungstoken, lokale Hilfswerte, eingebettete Vimeo-Videos, technisch notwendige Website-Logs), gilt ergänzend § 25 TDDDG.

Unbedingt erforderlich für den von Ihnen gewünschten Dienst – und daher ohne gesonderte Einwilligung nach § 25 Abs. 2 TDDDG – sind insbesondere:

• Sitzungstoken zur Anmeldung

• lokale Hilfswerte für den App-Betrieb (z. B. Abschluss des Starter-Guides)

• Abruf von Videos, die Sie in der App starten

• technisch notwendige Server-Logs der Website zur Sicherheit und Betriebsfähigkeit

Auf der Website setzen wir keine Cookies, keine Analyse- oder Marketing-Pixel und keine sonstigen nicht erforderlichen Zugriffe auf Ihr Endgerät ein. Ein Cookie-Banner ist daher derzeit nicht erforderlich. Sollte sich das ändern, holen wir zuvor Ihre Einwilligung nach § 25 Abs. 1 TDDDG ein.

2.6 Herkunft der Daten

Die meisten Daten erhalten wir direkt von Ihnen (Eingaben in App oder Website, Newsletter-Anmeldung, E-Mail-Kontakt, Feedback).

Zusätzlich erhalten wir Daten von Dritten bzw. erzeugen sie selbst:

• Apple, Google und RevenueCat übermitteln Transaktions- und Abonnementstatus zu Ihrem Nutzerkonto

• Ihr Gerät bzw. Browser übermittelt technische Daten (z. B. Sprache, Zeitzone, IP-Adresse)

• Zyklusphasen, Ovulationsdatum und Energielevel werden von uns aus Ihren Angaben abgeleitet

• Sentry und Wiredash erzeugen technische Diagnosedaten bei Fehlern bzw. Feedback

• für gelegentliche Qualitätsfragen nutzen wir die E-Mail-Adresse Ihres Benutzerkontos (siehe Abschnitt 3.11)

2.7 Erforderlichkeit der Bereitstellung

Die Angabe Ihrer E-Mail-Adresse und die Anmeldung per Einmalcode sind für den Vertragsschluss und die Nutzung der App erforderlich. Ohne diese Daten können wir kein Benutzerkonto anlegen.

Gesundheits- und Zyklusdaten sind für die Kernfunktion der App (zyklusangepasstes Training) erforderlich. Ohne Ihre ausdrückliche Einwilligung können wir die App nicht bereitstellen; eine Nutzung ohne diese Daten ist nicht möglich. Die Einwilligung erteilen Sie gesondert bei der Registrierung. Ein Widerruf erfolgt durch Löschung des Benutzerkontos, weil die App ohne diese Daten nicht funktioniert.

Newsletter, Feedback, optionale Kontaktaufnahme und die Beantwortung von Qualitätsfragen per E-Mail sind freiwillig. Die Nichtangabe bzw. ein Widerspruch gegen Qualitätsmails hat keine Auswirkungen auf die Nutzung der App.

3. Welche Daten werden erhoben?

Im Rahmen der Nutzung unserer App und Website werden folgende personenbezogene Daten verarbeitet. Die Erhebung erfolgt entweder durch Ihre aktive Eingabe, durch die Nutzung der Funktionen oder automatisiert durch das verwendete Gerät bzw. den Browser:

3.1 Registrierungs- und Anmeldedaten

Für die Erstellung und Verwaltung Ihres Benutzerkontos erfassen wir:

• E-Mail-Adresse

• Einmalcode zur Anmeldung (OTP), der an Ihre E-Mail-Adresse gesendet wird

• Nutzer-ID (automatisch vergeben)

• Sitzungs- und Aktualisierungstoken (lokal verschlüsselt auf dem Gerät gespeichert)

Ein Passwort wird nicht erhoben und nicht gespeichert. Die Authentifizierung erfolgt ausschließlich per E-Mail und Einmalcode.

3.2 Gesundheits- und Zyklusdaten (besondere Datenkategorie)

Zur Bereitstellung personalisierter Inhalte und Funktionen erfassen bzw. erzeugen wir auf Grundlage Ihrer ausdrücklichen Einwilligung:

• eingegebene Perioden-Startdaten

• Länge der Periode und des Zyklus (Schätzung und spätere Anpassungen)

• Unterscheidung zwischen bestätigten und hochgerechneten (extrapolierten) Zyklen

• abgeleitete Angaben wie Zyklusphasen, voraussichtliches Ovulationsdatum und daraus abgeleitetes Energielevel

• Fitnesslevel (Selbsteinschätzung)

• Kraftlevel je Bewegungsgruppe (z. B. Ziehen, Drücken, Beugen, Kniebeuge)

• Workout-Typen mit Gesundheitsbezug (z. B. Übungen zur Linderung von Periodenschmerzen)

Diese Informationen gelten gemäß Art. 9 DSGVO als besondere Kategorien personenbezogener Daten und werden ausschließlich mit Ihrer ausdrücklichen Einwilligung verarbeitet. Die App ersetzt keine medizinische Beratung oder Diagnose.

3.3 Trainings- und Aktivitätsdaten

Zur Dokumentation und Analyse Ihrer Trainingsaktivitäten erfassen wir:

• Workout-Typ, -Status und gewählte Video- oder Audio-Workouts

• Durchgeführte Übungen (Bewegungsgruppe, Level, Soll- und Ist-Wiederholungen bzw. -Dauer)

• Datum, Uhrzeit und Fortschritt (einschließlich Level-Änderungen)

3.4 Technische Daten

Für den Betrieb von App und Website sowie für Fehlerbehebung und Sicherheit verarbeiten wir technische Daten, soweit sie beim jeweiligen Dienst anfallen:

• Spracheinstellung und Zeitzone des Geräts

• Gerätetyp, Betriebssystem und vergleichbare technische Angaben

• IP-Adresse (insbesondere bei Website-Zugriff, Authentifizierung, Videoabruf und Fehlerberichten)

Es werden keine Standortdaten erhoben. Es findet kein eigenes Nutzungs- oder Klick-Tracking innerhalb der App statt (keine Erfassung von App-Starts, Klicks oder besuchten Screens zu Analysezwecken).

Weitere technische Daten können im Zusammenhang mit den in Abschnitt 5 genannten Diensten anfallen.

3.5 Zahlungsdaten

Für kostenpflichtige Inhalte und Abonnements werden folgende Daten verarbeitet:

• Zahlungsanbieter: RevenueCat (in Verbindung mit Apple oder Google)

• Verknüpfung Ihrer Nutzer-ID mit dem Abonnementstatus

• Transaktions-ID, Produkt-ID und Zahlungsstatus (von Apple, Google bzw. RevenueCat übermittelt, nicht von Ihnen selbst eingegeben)

• Hinweis: Es erfolgt keine Speicherung von Kreditkarten- oder Kontodaten in der App selbst.

3.6 Einwilligungsdaten

Zur Dokumentation Ihrer datenschutzrechtlichen Einwilligungen speichern wir:

• Zeitpunkt der Zustimmung zu Datenschutz und AGB

• Zeitpunkt der ausdrücklichen Zustimmung zur Verarbeitung von Gesundheitsdaten

• bei Newsletter-Anmeldung über die Website: Zeitpunkt, Inhalt der Einwilligung und die Double-Opt-in-Bestätigung

3.7 Website-Zugriffsdaten

Beim Besuch unserer Website www.lunaletics.com erfasst unser Hosting-Anbieter automatisch sogenannte Server-Logfiles. Diese beinhalten:

• IP-Adresse

• Datum und Uhrzeit des Zugriffs

• aufgerufene Seiten bzw. Dateien

• Referrer-URL (sofern übermittelt)

• verwendeter Browser und Betriebssystem

Diese Daten werden ausschließlich zur Sicherstellung eines störungsfreien Betriebs der Website, zur Fehlersuche und zur IT-Sicherheit verwendet. Eine Zusammenführung mit App-Kontodaten findet nicht statt. Der Zugriff erfolgt, soweit er für den sicheren Betrieb unbedingt erforderlich ist, auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO und § 25 Abs. 2 TDDDG. Die Logs werden in der Regel nach höchstens 14 Tagen gelöscht, sofern keine längere Aufbewahrung zur Aufklärung von Sicherheitsvorfällen erforderlich ist.

Auf der Website werden keine Cookies gesetzt und keine Analyse-, Marketing- oder Social-Media-Tools eingebunden.

Das Hosting erfolgt bei Hostinger International Ltd., Litauen. Die Server befinden sich laut Anbieter in Frankreich (EU). Es gelten die Datenschutzbestimmungen des Anbieters: https://www.hostinger.de/datenschutzrichtlinie

3.8 Newsletter

Über unsere Homepage können Sie unseren E-Mail-Newsletter abonnieren. Eine Newsletter-Anmeldung ist derzeit nicht in der App vorgesehen.

Dabei wird die E-Mail-Adresse ausschließlich zum Versand von Informationen rund um die App Lunaletics, neue Funktionen, Angebote oder gesundheitsbezogene Inhalte genutzt.

Die Anmeldung erfolgt durch eine separate, freiwillige Einwilligung (Opt-in) auf der Website und wird durch ein Double-Opt-in bestätigt: Nach der Anmeldung erhalten Sie eine E-Mail mit einem Bestätigungslink. Erst nach dem Klick auf diesen Link wird die Adresse in den Verteiler aufgenommen. Rechtsgrundlage der Verarbeitung ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Zum Nachweis speichern wir Zeitpunkt und Inhalt der Einwilligung sowie die Double-Opt-in-Bestätigung.

Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden – z. B. durch Klick auf den „Abmelden“-Link in jeder E-Mail oder durch Kontaktaufnahme unter den oben genannten Kontaktdaten.

Für den Versand des Newsletters nutzen wir den Dienst Brevo. Dabei wird Ihre E-Mail-Adresse an Brevo übermittelt und dort ausschließlich zum Zweck des Newsletter-Versands verarbeitet. Brevo setzt für unseren Newsletter kein Öffnungs- oder Klicktracking ein.

Die E-Mail-Adresse wird ausschließlich für den Versand des Newsletters verwendet und nicht an Dritte weitergegeben. Der Newsletter enthält allgemeine Informationen zur App; eine Personalisierung anhand Ihrer Zyklus- oder Gesundheitsdaten aus der App findet nicht statt.

3.9 Kontaktaufnahme

Wenn Sie per E-Mail mit uns in Kontakt treten, werden die von Ihnen übermittelten personenbezogenen Daten (z. B. E-Mail-Adresse, Name, Inhalt der Nachricht) ausschließlich zur Bearbeitung Ihrer Anfrage verarbeitet.

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen bzw. Vertragserfüllung) oder Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an effektiver Kommunikation).

Die Daten werden nicht an Dritte weitergegeben und nur so lange gespeichert, wie dies für die Bearbeitung der Anfrage erforderlich ist. Es gelten die allgemeinen Hinweise zur Löschung und Ihren Rechten als betroffene Person.

3.10 Lokale Speicherung auf dem Gerät

Auf Ihrem Gerät speichern wir lokal:

• Sitzungstoken zur Anmeldung (verschlüsselt im gesicherten Speicher)

• technische Hilfswerte, z. B. ob der Starter-Guide abgeschlossen wurde

Diese Daten verbleiben auf dem Gerät und werden bei Abmeldung bzw. Kontolöschung entfernt. Die Speicherung ist für den von Ihnen gewünschten App-Betrieb unbedingt erforderlich (§ 25 Abs. 2 TDDDG).

3.11 Qualitätsfeedback per E-Mail

Gelegentlich schreiben wir einzelne Nutzerinnen per E-Mail an, um zu fragen, was ihnen an der App gefällt. Zweck ist ausschließlich die Qualitätsverbesserung der App. Es handelt sich nicht um Werbung, Newsletter oder sonstige Direktwerbung. Es werden keine Angebote, Produktankündigungen oder werblichen Inhalte versendet.

Die Auswahl erfolgt zufällig oder anhand kürzlich aktiver Nutzung der App (z. B. Anmeldung oder Nutzung in einem bestimmten Zeitraum). Gesundheits-, Zyklus- und Trainingsdaten werden für die Auswahl nicht verwendet und nicht in der Nachricht erwähnt.

Verarbeitet werden dabei:

• die E-Mail-Adresse Ihres Benutzerkontos

• ggf. Ihre Nutzer-ID zur internen Zuordnung

• Ihre etwaige Antwort (Freitext)

Die E-Mails versenden wir selbst. Es kommt kein E-Mail-Versanddienstleister (insbesondere nicht Brevo) zum Einsatz. Eine Weitergabe an Dritte findet nicht statt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung von App und Nutzungsqualität). Die Teilnahme ist freiwillig. Sie können der Kontaktaufnahme jederzeit widersprechen – formlos durch Antwort auf die E-Mail oder Nachricht an info@lunaletics.com. Nach einem Widerspruch schreiben wir Sie zu diesem Zweck nicht erneut an.

Antworten speichern wir nur so lange, wie es für die Auswertung der Rückmeldung erforderlich ist, und löschen sie anschließend.

4. Wie werden diese Daten verwendet?

Wir verarbeiten Ihre personenbezogenen Daten ausschließlich zur Bereitstellung, Verbesserung und Sicherheit der App und Website sowie zur Erfüllung unserer vertraglichen und gesetzlichen Pflichten. Die einzelnen Datenkategorien werden zu folgenden Zwecken verwendet:

4.1 Registrierungs- und Anmeldedaten

• Erstellung und Verwaltung Ihres Benutzerkontos

• Authentifizierung per E-Mail und Einmalcode

• Aufrechterhaltung der Sitzung

• Zuordnung Ihrer persönlichen App-Daten

• gelegentliche, nicht werbliche Einzelfragen zur Qualitätsverbesserung der App (siehe Abschnitt 3.11)

4.2 Gesundheits- und Zyklusdaten

• Erstellung eines personalisierten Zyklus- und Trainingsprofils

• Anpassung von Trainingsempfehlungen auf Basis Ihres Zyklusverlaufs und der aktuellen Phase

• Darstellung von Zyklusphasen, Periodenverlauf und abgeleiteten Angaben (z. B. Energielevel)

• Anpassung der Übungsauswahl an Ihr Kraft- und Fitnesslevel

Diese Daten unterliegen besonderem Schutz gemäß Art. 9 DSGVO und werden ausschließlich mit Ihrer ausdrücklichen Einwilligung verarbeitet.

4.3 Trainings- und Aktivitätsdaten

• Aufzeichnung und Visualisierung Ihrer Trainingsaktivitäten

• Fortschrittskontrolle innerhalb der App

• Personalisierte Trainingsvorschläge

4.4 Technische Daten

• Sicherstellung der technischen Funktionalität von App und Website

• Anzeige in der richtigen Sprache und mit korrekten Datumsangaben

• Fehleranalyse und IT-Sicherheit

4.5 Zahlungsdaten

• Verwaltung von In-App-Käufen und Abonnements

• Nachweis und Zuordnung von Transaktionen zu Ihrem Nutzerkonto

• Zusammenarbeit mit dem Zahlungsdienstleister RevenueCat (inkl. Apple oder Google)

Es werden keine Kreditkarten- oder Kontodaten direkt in unserer App gespeichert.

4.6 Einwilligungsdaten

• Dokumentation Ihrer erteilten Zustimmungen zur Datenverarbeitung

• Verwaltung Ihrer Einwilligungen (z. B. Gesundheitsdaten, Newsletter)

• Nachweis der Rechtmäßigkeit gemäß DSGVO

4.7 Automatisierte Entscheidungen und Profiling

Wir treffen keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO oder der entsprechenden Bestimmungen im UK GDPR, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen würden.

Zur Bereitstellung des Dienstes werten wir Ihre Zyklus- und Trainingsangaben aus, um Inhalte und Übungsvorschläge an Ihre aktuelle Zyklusphase und Ihr Fitnesslevel anzupassen. Diese Personalisierung dient ausschließlich der Vertragserfüllung und hat keine rechtliche Wirkung.

5. Einsatz von Drittanbietern und Tools

Zur Bereitstellung und Verbesserung von App und Website greifen wir auf sorgfältig ausgewählte Dienste von Drittanbietern zurück. Diese Dienstleister verarbeiten Daten teils in unserem Auftrag und teils eigenverantwortlich. Soweit erforderlich, haben wir mit diesen Anbietern Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO abgeschlossen.

Derzeit setzen wir keine Push-Benachrichtigungen und kein Installations- oder Marketing-Tracking (z. B. Appsflyer) ein.

5.1 Supabase (Authentifizierung & Datenbank)

Für die Benutzerverwaltung (Registrierung, Anmeldung per E-Mail und Einmalcode) sowie zur Speicherung Ihrer App-Daten (einschließlich Gesundheitsdaten) nutzen wir den Dienst Supabase, bereitgestellt von:

Supabase Inc.

970 Toa Payoh North, #07-04, Singapore 318992

Supabase speichert Ihre Daten in einer PostgreSQL-Datenbank und versendet den Einmalcode an Ihre E-Mail-Adresse. Die Speicherung erfolgt auf Servern innerhalb der EU. Der Anbieter hat seinen Sitz in Singapur; ein Zugriff aus einem Drittland ist daher nicht vollständig auszuschließen. Soweit erforderlich, stützen wir uns auf Standardvertragsklauseln (SCCs).

5.2 Sentry (Fehleranalyse)

Zur Überwachung der App-Stabilität und Fehlerprotokollierung verwenden wir Sentry, betrieben von:

Functional Software, Inc. (Sentry)

45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA

Dabei können technische Daten (z. B. Gerätetyp, Betriebssystem, Fehlercode, Zeitstempel) übertragen werden. Zusätzlich kann bei einem Absturz ein Screenshot des aktuell angezeigten Bildschirms übermittelt werden. Text und Bilder in diesem Screenshot werden automatisch maskiert (unkenntlich gemacht). Gesundheits-, Zyklus- und sonstige sensible Inhalte sind daraus nicht erkennbar. Lediglich der Videoplayer kann zur Diagnose von Wiedergabefehlern unmaskiert bleiben; er zeigt keine Gesundheitsdaten.

Die Verarbeitung erfolgt auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) an der Stabilität und Sicherheit der App. Fehlerberichte werden auf Servern in der EU verarbeitet (Rechenzentrum in Frankfurt). Der Anbieter hat seinen Sitz in den USA.

5.3 Wiredash (Feedback)

Für App-internes Nutzerfeedback (z. B. Bug-Meldungen, Verbesserungsvorschläge) setzen wir Wiredash ein:

Wiredash GmbH

Balanstraße 73, 81541 München, Deutschland

Wiredash verarbeitet Ihre Freitexteingabe, technische Meta-Daten sowie – soweit vorhanden – Ihre Nutzer-ID und E-Mail-Adresse, damit wir Rückfragen zuordnen können. Die Verarbeitung erfolgt ausschließlich im Rahmen unserer Weisung (Auftragsverarbeitung). Für diese Daten gilt keine starre gesetzliche Aufbewahrungsfrist; wir speichern sie nach dem Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO) nur so lange, wie die Bearbeitung der Rückmeldung es erfordert, und löschen sie anschließend.

5.4 RevenueCat (Zahlungsabwicklung)

Für die Verwaltung von In-App-Käufen und Abonnements verwenden wir RevenueCat, angeboten von:

RevenueCat, Inc.

633 Taraval Street, Suite 101, San Francisco, CA 94116, USA

RevenueCat verarbeitet Transaktionsdaten (z. B. Produkt-ID, Zahlungsstatus, Zeitpunkt) und verknüpft diese mit Ihrer Nutzer-ID. Vollständige Zahlungsinformationen (z. B. Kreditkartendaten) werden nicht durch uns oder RevenueCat gespeichert. Die Verarbeitung erfolgt auf Basis von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

5.5 Apple App Store & Google Play Store

Für den App-Download und In-App-Käufe erfolgt die Zahlungsabwicklung über:

• Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland

• Google Ireland Limited – Gordon House, Barrow Street, Dublin 4, Irland

Beide Anbieter verarbeiten Daten eigenverantwortlich, insbesondere Zahlungsdaten und Store-Analysen. Weitere Informationen entnehmen Sie bitte den Datenschutzbestimmungen von Apple bzw. Google.

Weitere Informationen zum Datenschutz bei Apple finden Sie unter: https://www.apple.com/legal/privacy

Informationen zum Datenschutz bei Google finden Sie unter: https://policies.google.com/privacy

5.6 Vimeo (Video-Streaming)

Zur Einbindung und Bereitstellung von Video-Inhalten in unserer App nutzen wir den Dienst Vimeo, bereitgestellt von:

Vimeo Inc.

330 West 34th Street, 10th Floor, New York, New York 10001, USA

Die Videos werden in der App über eine eingebettete Webansicht (player.vimeo.com) abgerufen. Dabei können technische Informationen (z. B. IP-Adresse, Browsertyp, Gerätetyp, Zugriffszeitpunkt) sowie ggf. Interaktionen (z. B. Abspielzeitpunkt, Videoende) erfasst und an Vimeo übermittelt werden. Der Zugriff auf das Endgerät erfolgt, soweit erforderlich, zur Bereitstellung der von Ihnen angeforderten Videos und ist insoweit nach § 25 Abs. 2 TDDDG unbedingt erforderlich.

Diese Datenverarbeitung erfolgt entweder als Teil der vertraglich vereinbarten App-Nutzung (Art. 6 Abs. 1 lit. b DSGVO) oder auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) an einer funktionsfähigen Medienbereitstellung.

Die Datenverarbeitung kann eine Übermittlung in die USA umfassen. Vimeo stützt sich hierbei auf EU-Standardvertragsklauseln (SCCs) gemäß Art. 46 DSGVO zur Gewährleistung eines angemessenen Datenschutzniveaus.

Weitere Informationen zur Datenverarbeitung durch Vimeo finden Sie unter:

https://vimeo.com/privacy

5.7 Brevo (Newsletter-Versand)

Für den Versand unseres über die Homepage abonnierten Newsletters nutzen wir den Dienst Brevo, angeboten von:

Brevo SAS

106 Boulevard Haussmann

75008 Paris, Frankreich

Brevo verarbeitet personenbezogene Daten (insbesondere E-Mail-Adressen) ausschließlich in unserem Auftrag zum Zweck des Versands von E-Mail-Newslettern. Die Verarbeitung erfolgt auf Grundlage Ihrer Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO nach Double-Opt-in. Für unseren Newsletter findet kein Öffnungs- oder Klicktracking statt.

Wir haben mit Brevo einen Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO abgeschlossen. Die Datenverarbeitung erfolgt auf Servern innerhalb der Europäischen Union.

Weitere Informationen zur Datenverarbeitung durch Brevo finden Sie unter:

https://www.brevo.com/de/legal/privacypolicy/

6. Datenübermittlungen in Drittstaaten

Ein Großteil der Verarbeitung personenbezogener Daten findet innerhalb der Europäischen Union (EU) bzw. des Europäischen Wirtschaftsraums (EWR) statt. Dennoch kommen Dienste zum Einsatz, die ihren Unternehmenssitz außerhalb dieser Regionen haben oder von dort auf Daten zugreifen können.

6.1 Verarbeitung innerhalb der EU

Bei den folgenden Anbietern erfolgt die operative Datenverarbeitung auf Servern innerhalb der Europäischen Union:

• Hostinger: Website-Hosting auf Servern in Frankreich (EU)

• Wiredash: Sitz und Verarbeitung in Deutschland (EU)

• Brevo: Sitz und Verarbeitung in Frankreich (EU)

• Supabase: Speicherung von Authentifizierungs- und App-Daten auf Servern in Deutschland (EU). Der Anbieter hat seinen Sitz in Singapur; ein Zugriff aus einem Drittland ist nicht vollständig auszuschließen.

• Sentry: Fehlerberichte werden im Rechenzentrum Frankfurt (Deutschland) verarbeitet. Der Anbieter hat seinen Sitz in den USA.

6.2 Übermittlungen in Drittländer

Bei den folgenden Anbietern kann es zur Übermittlung personenbezogener Daten in Drittländer kommen bzw. ein Zugriff von dort nicht ausgeschlossen werden:

• RevenueCat Inc. (USA)

• Apple Inc. / Apple Distribution International (App Store)

• Google LLC / Google Ireland Limited (Play Store)

• Vimeo Inc. (USA, Video-Streaming)

• Functional Software, Inc. / Sentry (USA, trotz EU-Rechenzentrum)

• Supabase Inc. (Sitz Singapur, trotz EU-Servern)

Soweit für das betreffende Land kein Angemessenheitsbeschluss der EU-Kommission vorliegt (bzw. der Anbieter nicht am EU-U.S. Data Privacy Framework teilnimmt), erfolgt eine Übermittlung nur auf Basis geeigneter datenschutzrechtlicher Garantien, insbesondere:

• Abschluss von EU-Standardvertragsklauseln (SCCs)

• Zusätzliche Schutzmaßnahmen (z. B. Verschlüsselung, Zugangsbeschränkungen)

6.3 Hinweis auf Restrisiken

Trotz der getroffenen Schutzmaßnahmen kann bei Übermittlung in Drittländer – insbesondere die USA – nicht vollständig ausgeschlossen werden, dass staatliche Behörden Zugriff auf personenbezogene Daten erhalten. In diesen Fällen bestehen ggf. eingeschränkte Möglichkeiten zur Rechtsdurchsetzung für EU-Bürger:innen.

6.4 Ihre Rechte

Sie haben das Recht, Informationen über geeignete Garantien bei Drittstaatenübermittlungen zu erhalten. Auf Wunsch stellen wir Ihnen Kopien der verwendeten Standardvertragsklauseln zur Verfügung.

7. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für die in dieser Datenschutzerklärung genannten Zwecke erforderlich ist, oder bis Sie deren Löschung veranlassen – sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

7.1 Speicherung bis zur Kontolöschung

Kontodaten, Gesundheits-, Zyklus- und Trainingsdaten sowie zugehörige Einwilligungszeitpunkte werden gespeichert, solange ein aktives Nutzerkonto besteht.

Sie können Ihr Konto jederzeit in der App löschen. Mit Löschung des Kontos werden die zugeordneten App-Daten unwiderruflich gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Lokal auf dem Gerät gespeicherte Sitzungsdaten werden bei Abmeldung bzw. Kontolöschung entfernt.

7.2 Speicherdauer nach Datenkategorie

• Konto-, Gesundheits- und Trainingsdaten: bis zur Kontolöschung

• Einwilligungsnachweise: für die Dauer des Kontos und anschließend so lange, wie wir die Rechtmäßigkeit der Verarbeitung nachweisen müssen

• Newsletter-Daten: bis zum Widerruf der Einwilligung (Abmeldung)

• Kontaktanfragen: bis zum Abschluss der Bearbeitung und einer angemessenen Nachfrist

• Qualitätsfeedback per E-Mail: Anschreiben und etwaige Antworten nur so lange, wie es für die Auswertung erforderlich ist, danach Löschung; nach Widerspruch keine erneute Kontaktaufnahme zu diesem Zweck

• Website-Server-Logs: in der Regel höchstens 14 Tage, länger nur bei Sicherheitsvorfällen

• Sentry-Fehlerberichte (einschließlich maskierter Screenshots): 30 Tage

• Wiredash-Feedback: keine starre gesetzliche Aufbewahrungsfrist; Speicherung nur so lange, wie es zur Bearbeitung der Rückmeldung erforderlich ist (Grundsatz der Speicherbegrenzung, Art. 5 Abs. 1 lit. e DSGVO), danach Löschung

• Newsletter-Double-Opt-in-Nachweise: für die Dauer des Abonnements und anschließend so lange, wie wir die Einwilligung nachweisen müssen

7.3 Gesetzliche Aufbewahrungsfristen

Für Abonnement-, Vertrags- und abrechnungsrelevante Nachweise können gesetzliche Aufbewahrungspflichten nach Handels- und Steuerrecht bestehen (in Deutschland regelmäßig 6 Jahre nach HGB bzw. 10 Jahre nach AO). Soweit solche Unterlagen bei uns anfallen, löschen wir sie erst nach Ablauf der jeweiligen Frist. Die eigentliche Zahlungsabwicklung erfolgt über Apple, Google und RevenueCat.

7.4 Löschung bei Widerruf

Sofern eine Datenverarbeitung auf Ihrer Einwilligung beruht (z. B. Gesundheitsdaten, Newsletter), werden diese Daten bei Widerruf der Einwilligung unverzüglich gelöscht, soweit keine anderweitige Rechtsgrundlage oder gesetzliche Aufbewahrungspflicht besteht.

Die App kann ohne Gesundheits- und Zyklusdaten ihre Kernfunktion nicht erbringen. Ein Widerruf der Gesundheitsdaten-Einwilligung ist daher durch Löschung des Benutzerkontos in der App oder durch Nachricht an uns möglich; ein isolierter Widerruf bei fortbestehendem Konto ist technisch nicht vorgesehen.

8. Einwilligung & Widerruf

Bestimmte Datenverarbeitungen – insbesondere im Zusammenhang mit Gesundheits- und Zyklusdaten sowie dem Newsletter – erfolgen auf Grundlage Ihrer ausdrücklichen Einwilligung gemäß Art. 6 Abs. 1 lit. a und, soweit einschlägig, Art. 9 Abs. 2 lit. a DSGVO.

8.1 Erteilung der Einwilligung

Sie erteilen diese Einwilligung informiert, z. B. im Rahmen der Registrierung in der App oder bei der Newsletter-Anmeldung auf der Website. Ohne Ihre Einwilligung werden die betreffenden Daten nicht verarbeitet. Die Gesundheitsdaten-Einwilligung ist Voraussetzung für die Nutzung der App, weil die Kernfunktion ohne diese Daten nicht erbracht werden kann. Die Newsletter-Einwilligung ist freiwillig und unabhängig von der App-Nutzung.

Die Einwilligung in der App bezieht sich insbesondere auf:

• Erhebung und Speicherung von Angaben zum Menstruationszyklus

• Ableitung von Zyklusphasen, Ovulationsdatum und Energielevel

• Verarbeitung von Fitness- und Kraftlevel

• Auswertung von Aktivitäts- und Trainingsverhalten zur Zyklusanpassung

Die Einwilligung in den Newsletter erfolgt gesondert über die Website (Double-Opt-in).

8.2 Widerruf der Einwilligung

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Ein Widerruf ist möglich:

• bei Gesundheitsdaten durch Löschung des Benutzerkontos in der App (die App funktioniert ohne diese Daten nicht) oder durch Nachricht an uns

• beim Newsletter durch den Abmeldelink in jeder E-Mail

• in allen Fällen durch Nachricht an die oben genannten Kontaktdaten

Das Anpassen von Zyklusangaben in der App ändert gespeicherte Werte, ist aber kein Widerruf der Einwilligung.

Nach dem Widerruf werden die betroffenen Daten unverzüglich gelöscht, sofern keine andere Rechtsgrundlage oder gesetzliche Aufbewahrungspflicht für die Verarbeitung vorliegt.

Ein Widerruf berührt nicht die Rechtmäßigkeit der Datenverarbeitung bis zum Zeitpunkt des Widerrufs.

9. Ihre Rechte als betroffene Person

Als Nutzer:in unserer App und Website stehen Ihnen gemäß der Datenschutz-Grundverordnung (DSGVO) umfangreiche Rechte in Bezug auf Ihre personenbezogenen Daten zu. Sie können diese Rechte jederzeit geltend machen.

9.1 Recht auf Auskunft (Art. 15 DSGVO)

Sie haben das Recht, eine Bestätigung darüber zu verlangen, ob personenbezogene Daten über Sie verarbeitet werden. Ist dies der Fall, können Sie Auskunft über diese Daten sowie weitere Informationen (z. B. Verarbeitungszwecke, Empfänger, Speicherdauer) verlangen.

9.2 Recht auf Berichtigung (Art. 16 DSGVO)

Sollten Ihre Daten unvollständig oder unrichtig sein, können Sie eine unverzügliche Berichtigung oder Vervollständigung verlangen.

9.3 Recht auf Löschung (Art. 17 DSGVO)

Sie haben das Recht, die Löschung Ihrer personenbezogenen Daten zu verlangen, sofern keine gesetzliche Aufbewahrungspflicht oder andere rechtliche Grundlage der Löschung entgegensteht.

9.4 Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)

In bestimmten Fällen können Sie verlangen, dass die Verarbeitung Ihrer Daten eingeschränkt wird (z. B. wenn Sie die Richtigkeit der Daten bestreiten oder die Verarbeitung unrechtmäßig ist).

9.5 Recht auf Datenübertragbarkeit (Art. 20 DSGVO)

Sie haben das Recht, die Sie betreffenden personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten oder die Übermittlung an einen anderen Verantwortlichen zu verlangen.

9.6 Recht auf Widerspruch (Art. 21 DSGVO)

Sie können der Verarbeitung Ihrer Daten widersprechen, soweit diese auf Grundlage von berechtigten Interessen (Art. 6 Abs. 1 lit. f DSGVO) erfolgt, z. B. bei der Fehleranalyse, bei Website-Logs oder bei Qualitätsfeedback per E-Mail.

Richten Sie den Widerspruch formlos per E-Mail an info@lunaletics.com und erläutern Sie den betroffenen Vorgang. Wir prüfen dann, ob zwingende schutzwürdige Gründe überwiegen. Bei Qualitätsfeedback per E-Mail genügt eine formlose Ablehnung; wir schreiben Sie zu diesem Zweck dann nicht erneut an.

Widersprechen Sie der Verarbeitung zu Zwecken der Direktwerbung (z. B. Newsletter), benötigen Sie keinen besonderen Grund. Für den Newsletter können Sie alternativ den Abmeldelink in jeder E-Mail nutzen (Widerruf der Einwilligung). Qualitätsfeedback per E-Mail ist keine Werbung; gleichwohl können Sie dem jederzeit ohne Angabe von Gründen widersprechen.

9.7 Recht auf Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO)

Sie können eine bereits erteilte Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

9.8 Beschwerderecht bei der Aufsichtsbehörde (Art. 77 DSGVO)

Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen das Datenschutzrecht verstößt, können Sie sich bei einer Datenschutz-Aufsichtsbehörde beschweren. Zuständig ist in der Regel die Aufsichtsbehörde Ihres Wohnsitzes oder unseres Unternehmenssitzes.

Für unseren Sitz in München ist dies:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)

Promenade 18, 91522 Ansbach, Deutschland

https://www.lda.bayern.de

9.9 Zusätzliche Hinweise für Nutzer:innen im Vereinigten Königreich

Wenn Sie Ihren Wohnsitz im Vereinigten Königreich haben, stehen Ihnen dieselben Rechte zu wie nach der DSGVO, gemäß dem UK Data Protection Act 2018 in Verbindung mit der UK GDPR. Dazu gehören:

• Recht auf Auskunft,

• Recht auf Berichtigung,

• Recht auf Löschung,

• Recht auf Einschränkung der Verarbeitung,

• Recht auf Datenübertragbarkeit,

• Recht auf Widerspruch sowie

• das Recht, eine erteilte Einwilligung jederzeit zu widerrufen.

Sie können sich bei Fragen oder Beschwerden zudem an die britische Datenschutzaufsichtsbehörde wenden:

Information Commissioner’s Office (ICO)

Wycliffe House, Water Lane, Wilmslow, Cheshire, SK9 5AF, United Kingdom

https://ico.org.uk

10. Datensicherheit

Wir treffen geeignete technische und organisatorische Maßnahmen, um Ihre personenbezogenen Daten vor Verlust, Missbrauch, unbefugtem Zugriff, Offenlegung, Veränderung oder Zerstörung zu schützen. Dabei orientieren wir uns an den Vorgaben von Art. 32 DSGVO.

10.1 Technische Maßnahmen

• Datenübertragung: Alle Datenübertragungen erfolgen verschlüsselt über TLS/SSL.

• Zugriffsbeschränkung: Zugriff auf personenbezogene Daten ist nur autorisierten Personen mit entsprechenden Zugriffsrechten möglich.

• Lokale Sitzungsdaten werden verschlüsselt auf dem Gerät gespeichert.

10.2 Organisatorische Maßnahmen

• Datensparsamkeit: Es werden nur Daten erhoben, die für den jeweiligen Zweck erforderlich sind.

• Zugriffsprotokollierung: Zugriffe auf sensible Systeme werden protokolliert und regelmäßig geprüft.

• Auftragsverarbeitung: Alle externen Dienstleister sind vertraglich auf die Einhaltung der DSGVO verpflichtet.

10.3 Hosting und Infrastruktur

Unsere Backend-Systeme (z. B. Supabase) werden auf Servern innerhalb der Europäischen Union betrieben. Die Speicherung von Gesundheits- und anderen sensiblen Daten erfolgt unter Berücksichtigung besonderer Schutzmaßnahmen.

11. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen, technische Entwicklungen oder bei Einführung neuer Funktionen in der App oder auf der Website anzupassen.

11.1 Information über Änderungen

Bei wesentlichen Änderungen, insbesondere wenn sich die Zwecke der Datenverarbeitung oder die betroffenen Datenarten ändern, informieren wir Sie rechtzeitig in der App, auf der Website oder per E-Mail (sofern angegeben). Gegebenenfalls holen wir Ihre Einwilligung erneut ein, sofern dies gesetzlich erforderlich ist.

11.2 Gültigkeit der aktuellen Fassung

Die jeweils aktuelle Fassung dieser Datenschutzerklärung ist jederzeit über die App oder unsere Website abrufbar.

12. Hinweise für Nutzer:innen aus den Vereinigten Staaten von Amerika (USA)

Diese Datenschutzerklärung gilt auch für Nutzer:innen mit Wohnsitz in den Vereinigten Staaten von Amerika. Sie berücksichtigt die geltenden Datenschutzgesetze folgender US-Bundesstaaten, soweit sie für unser Angebot relevant sind: Kalifornien (CCPA/CPRA), Virginia (VCDPA), Colorado (CPA), Connecticut (CTDPA), Utah (UCPA), Texas (TDPSA), Oregon (OCPA), Montana, Delaware, Iowa und Indiana.

Wir beobachten fortlaufend die gesetzgeberische Entwicklung in weiteren US-Bundesstaaten (z. B. Florida, New Jersey, New Hampshire, Nebraska, Minnesota). Diese Datenschutzerklärung wird ggf. angepasst, sobald neue Regelungen für unser Angebot relevant werden.

Diese Erklärung berücksichtigt die Anforderungen der geltenden Datenschutzgesetze der oben genannten Bundesstaaten, insbesondere des California Consumer Privacy Act (CCPA), ergänzt durch den California Privacy Rights Act (CPRA).

12.1 Keine Weitergabe oder Verkauf personenbezogener Daten

Wir verkaufen keine personenbezogenen Daten im Sinne der Datenschutzgesetze der oben genannten Bundesstaaten. Ebenso teilen wir keine personenbezogenen Daten mit Dritten zu Werbezwecken oder zur Erstellung von Nutzerprofilen.

Gesundheits-, Zyklus- und reproduktionsbezogene Angaben behandeln wir als besonders schutzwürdige Daten (sensitive personal information). Wir nutzen sie ausschließlich zur Bereitstellung der App, nicht für Werbung und nicht zum Verkauf oder „Sharing“ im Sinne des CCPA/CPRA. Nutzer:innen aus US-Bundesstaaten mit Gesundheitsdatengesetzen (einschließlich Washington) können uns unter den oben genannten Kontaktdaten kontaktieren.

Wir bieten derzeit keine personalisierte Werbung an und verwenden Ihre personenbezogenen Daten nicht zum Zweck der Weitergabe oder des Verkaufs. Sollte sich dies ändern, stellen wir einen klar gekennzeichneten „Do Not Sell or Share My Personal Information“-Opt-out-Link bereit, wie gesetzlich gefordert.

12.2 Ihre Datenschutzrechte in den USA

Nutzer:innen aus bestimmten US-Bundesstaaten haben das Recht:

• Auskunft darüber zu verlangen, welche personenbezogenen Daten wir erheben und wie wir sie verwenden,

• eine Kopie der gespeicherten Daten zu erhalten,

• die Löschung ihrer personenbezogenen Daten zu verlangen,

• der Verarbeitung personenbezogener Daten zu widersprechen,

• und im Falle einer Weitergabe der Daten ein Opt-out zu verlangen.

Bitte beachten Sie, dass wir zur Wahrung Ihrer Rechte eine Identitätsprüfung gemäß den gesetzlichen Anforderungen durchführen können, bevor wir Ihre Anfrage bearbeiten.

Zur Ausübung dieser Rechte können Sie uns jederzeit unter der im Abschnitt „Verantwortlicher“ angegebenen Kontaktadresse erreichen.

Wir behalten uns das Recht vor, Ihre Identität zu verifizieren, bevor wir Anfragen gemäß den gesetzlichen Vorgaben beantworten.