Datenschutzerklärung von Pencal

§ 1 Kurzfassung

• Pencal ist ein Tagebuch für deine Behandlung mit einer Abnehmspritze. Du trägst Gesundheitsdaten ein: Spritzen, Gewicht, Nebenwirkungen, Notizen. Das sind besonders geschützte Daten.
• Du brauchst ein Konto (E-Mail-Adresse, Apple oder Google). Deine Einträge liegen auf deinem Gerät. Mit deiner ausdrücklichen Einwilligung werden sie nach der Anmeldung verschlüsselt übertragen und in deinem Konto bei Google Firebase in Frankfurt am Main (EU) gespeichert.
• Wir zeigen keine Werbung, nutzen kein Tracking und verkaufen keine Daten.
• Fehlerberichte (Sentry, Speicherung in der EU) sind eingeschaltet, bis du sie ausschaltest. Die Berichte enthalten keine Gesundheitsdaten.
• Eine Nutzungsstatistik (PostHog, EU) gibt es nur, wenn du zustimmst. Nach der Anmeldung ist sie mit der Kennung deines Kontos verknüpft, aber nie mit Gesundheitsdaten.
• Für Käufe nutzen wir den App Store beziehungsweise Google Play und den Dienst RevenueCat. Dorthin gehen Kaufdaten, aber keine Gesundheitsdaten.
• Du kannst alles in der App löschen: Einstellungen > Alle Daten löschen oder Einstellungen > Konto > Konto löschen. Ohne App geht es per E-Mail an support@glp1tracker.de.

§ 2 Verantwortlicher

Verantwortlich im Sinne der DSGVO ist:

Jan Colak, Jürgen-Töpfer-Straße 4, 22763 Hamburg, Deutschland

E-Mail: support@glp1tracker.de

Einen Datenschutzbeauftragten haben wir nicht benannt.

§ 3 Welche Daten wir verarbeiten, wozu und auf welcher Grundlage

Ohne deine Einwilligung zu den Gesundheitsdaten kann die App keine Einträge speichern. Die Statistik ist freiwillig, die Fehlerberichte kannst du ausschalten. Eine Pflicht, Daten anzugeben, gibt es sonst nur für die Kaufdaten, wenn du Plus kaufst.

§ 4 Rechtsgrundlagen und deine Einwilligung

Gesundheitsdaten sind besonders geschützt (Art. 9 DSGVO). Bevor die App Gesundheitsdaten speichert, bitten wir dich um deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO). Die Einwilligung umfasst die Speicherung auf deinem Gerät und, nach der Anmeldung, in deinem Konto in der Cloud (Google Firebase, Frankfurt am Main). Die Einwilligung wird auf jedem Gerät eingeholt, auf dem du Pencal einrichtest. Statistik und Fehlerberichte sind davon getrennt.

Ändern sich Wortlaut oder Zweck der Einwilligung, fragt die App dich erneut. Bis du zustimmst, lädt sie nichts hoch.

Du kannst jede Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen: Einstellungen > Datenschutz. Der Widerruf ist so einfach wie die Erteilung. Widerrufst du die Einwilligung zu den Gesundheitsdaten, fragt die App, ob sie deine Daten löschen soll. Ohne Einwilligung speichert sie keine Gesundheitsdaten mehr. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt.

Für dein Konto (Anmeldung, E-Mail-Adresse) ist die Rechtsgrundlage der Nutzungsvertrag (Art. 6 Abs. 1 lit. b DSGVO). Für Fehlerberichte, App-Updates und die Webseite ist es unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).

§ 5 Speicherung auf deinem Gerät und in deinem Konto

Die App speichert deine Einträge im geschützten Speicher der App auf deinem Gerät. Nach der Anmeldung und mit deiner Einwilligung überträgt sie die Einträge über eine verschlüsselte Verbindung (TLS) in dein Konto bei Google Cloud Firestore (Region europe-west3, Frankfurt am Main) und hält beide Stände abgeglichen. Ohne Internet funktioniert die App weiter; die Änderungen werden hochgeladen, sobald wieder eine Verbindung besteht.

Die Sicherheitsregeln der Datenbank erlauben jeder Person nur ihren eigenen Bereich und nur mit bestätigter E-Mail-Adresse (Apple und Google gelten als bestätigt). Als Betreiber haben wir technisch Zugriff auf die Datenbank. Eine Ende-zu-Ende-Verschlüsselung gibt es nicht. Wir lesen deine Einträge nicht für eigene Zwecke.

Nicht in die Cloud gehen: dein Einwilligungsnachweis, die Schalter für Statistik und Fehlerberichte, die Darstellung, das Fehlerprotokoll, der Kaufstatus aus dem Store und ein gemerktes Passwort für Sicherungsdateien.

Wenn du das Gerät verlierst oder die App löschst, bleiben deine Einträge in deinem Konto. Nach der Anmeldung auf einem neuen Gerät lädt die App sie wieder. Dein Gerät kann außerdem vom Betriebssystem gesichert werden (zum Beispiel iCloud-Backup oder Android-Sicherung); die Datenbank der App kann darin enthalten sein. Das richtet sich nach deinen Systemeinstellungen und den Bedingungen von Apple oder Google.

§ 6 Konto und Anmeldung

Die Anmeldung läuft über Google Firebase Authentication. Du kannst dich mit einer E-Mail-Adresse und einem Passwort anmelden oder mit Apple oder Google. Bei der E-Mail-Anmeldung musst du die Adresse bestätigen; die Mails zur Bestätigung und zum Zurücksetzen des Passworts verschickt Firebase. Das Passwort speichert Google nicht im Klartext.

Meldest du dich mit Apple oder Google an, erhält Firebase vom Anbieter die Kennung und die E-Mail-Adresse. Bei Google übernimmt Firebase außerdem Name und Adresse des Profilbilds aus deinem Google-Profil in dein Konto, auch wenn die App beides nicht anzeigt oder nutzt. Bei Apple kann es die Relay-Adresse sein, wenn du deine E-Mail-Adresse verbirgst. Für die Anmeldung selbst sind Apple und Google eigene Verantwortliche und haben eigene Datenschutzhinweise.

Technisch bedingt erhält Google bei jeder Anmeldung deine IP-Adresse. Die Kontokennung ist eine zufällige Zeichenfolge; die E-Mail-Adresse zeigt die App nur dir in den Einstellungen.

§ 7 Fehlerberichte (Sentry)

Damit wir Abstürze und Fehler finden, sendet die App bei einem Fehler einen Bericht an Sentry (Functional Software, Inc., Datenregion EU). Der Bericht enthält nur: Fehlerart, Fehlercode, die Stelle im Programm (Liste der aufgerufenen Programmteile mit Dateinamen und Zeilen), App-Version, Betriebssystem und Version, Plattform, Zeitpunkt und eine zufällige Kennung des Berichts.

Der Bericht enthält nie Gesundheitsdaten (Gewicht, Medikament, Dosis, Einträge, Notizen), keine E-Mail-Adresse, keine Kennung deines Kontos, keinen Gerätenamen und keine Bildschirminhalte. Ein Filter in der App setzt jeden Bericht vor dem Senden nur aus diesen erlaubten Angaben neu zusammen. Es gibt keine Sitzungsaufzeichnung, keine Leistungsmessung, keine Bildschirmaufzeichnung und keinen Verlauf von Bedienschritten.

Beim Senden erreicht deine IP-Adresse technisch den Server von Sentry. Wir haben bei Sentry eingestellt, dass sie nicht gespeichert wird.

Der Schalter „Fehlerberichte senden“ ist eingeschaltet, bis du ihn ausschaltest (beim ersten Start und unter Einstellungen > Datenschutz). Berichte gehen erst hinaus, nachdem du den Hinweis gesehen und in die Speicherung deiner Daten eingewilligt hast. Ausgeschaltet sendet die App keine Berichte mehr; die App funktioniert genauso.

§ 8 Nutzungsstatistik (PostHog, nur mit Zustimmung)

Wenn du beim ersten Start oder später unter Einstellungen > Datenschutz zustimmst, sendet die App neutrale Ereignisse an PostHog (PostHog, Inc., Cloud EU, Server in Frankfurt am Main). Beispiele: App geöffnet, Einrichtung abgeschlossen, erster Eintrag gespeichert, Paywall angezeigt, Kauf abgeschlossen, Sicherung erstellt, Packung gespeichert, Fehler angezeigt. Dazu kommen App-Version, Plattform, Sprache, Abo-Status und bei Fehlern der Fehlercode.

Wir senden nie: Medikament, Dosis, Datum einer Spritze, Gewicht, Nebenwirkungen, Körpermaße, Einstichstelle, Notizen oder Freitext. Aus der Art eines Ereignisses lässt sich aber erkennen, dass du die App benutzt und welche Funktionen du aufrufst. Die App zeichnet keine Bildschirme auf und nutzt keine automatische Erfassung.

Kennung: Vor der Anmeldung verwendet die App eine zufällig erzeugte Kennung. Nach der Anmeldung mit bestätigter E-Mail-Adresse ist die Statistik mit der Kennung deines Kontos verknüpft (nicht mit deiner E-Mail-Adresse), damit wir dir bei Problemen helfen können. Das ist ein personenbezogenes Datum. Ereignisse, die vor deiner Zustimmung entstehen, sendet die App nicht, auch nicht nachträglich. Wir haben bei PostHog eingestellt, dass IP-Adressen verworfen werden.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Widerruf: Einstellungen > Datenschutz, Schalter „Statistik senden“ ausschalten. Dann sendet die App nichts mehr, verwirft wartende Ereignisse und setzt die Kennung auf dem Gerät zurück. Bereits gesendete Ereignisse löschen wir auf Anfrage per E-Mail an support@glp1tracker.de von Hand im PostHog-Projekt; die App löst diese Löschung nicht selbst aus. Das gilt auch, wenn du dein Konto löschst.

§ 9 Käufe und Abo (RevenueCat, Apple, Google)

Den Kauf von Plus wickelt dein App Store (Apple) oder Google Play ab. Wir erhalten keine Zahlungsdaten wie Kartennummer oder Bankverbindung. Apple beziehungsweise Google sind dafür eigene Verantwortliche und haben eigene Datenschutzhinweise.

Damit die App weiß, ob Plus aktiv ist, nutzen wir RevenueCat, Inc. (USA). RevenueCat erhält eine zufällig erzeugte Kennung, den Beleg beziehungsweise Kauftoken von Apple oder Google, den Kaufstatus, das gekaufte Produkt und technisch bedingt deine IP-Adresse. RevenueCat erhält weder deine Einträge noch deine E-Mail-Adresse noch die Kennung deines Kontos. Rechtsgrundlage ist der Vertrag über Plus (Art. 6 Abs. 1 lit. b DSGVO). RevenueCat verarbeitet die Daten in unserem Auftrag.

Deine Kennung für Käufe findest du unter Einstellungen > Datenschutz > Meine Kennung. Damit können wir auf deine Anfrage Kaufdaten finden und löschen. Ein Abo kündigst du in den Einstellungen deines App Stores.

§ 10 App-Updates (Expo)

Die App prüft beim Start, ob es ein Update für ihren Programmteil gibt, und lädt es über den Update-Dienst von Expo (650 Industries, Inc., USA). Bei jeder Anfrage gehen Plattform, App-Version, die Kennung des installierten Updates, eine dauerhafte zufällige Installationskennung und technisch bedingt deine IP-Adresse an Expo. Die Kennung ist nicht mit deinem Konto verknüpft. Zweck ist die Auslieferung von Updates; Rechtsgrundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).

§ 11 Übermittlung in Drittländer

Google Cloud Firestore speichert deine Einträge in Frankfurt am Main (EU). Google ist Teil der Google LLC (USA); ein Zugriff aus den USA ist nicht auszuschließen. Die Fehlerberichte gehen an die EU-Datenregion von Sentry, die Statistik an PostHog Cloud EU in Frankfurt am Main. Sentry, PostHog, RevenueCat und Expo sind Unternehmen mit Sitz in den USA; RevenueCat und Expo verarbeiten Daten in den USA.

Soweit Daten in die USA übermittelt werden oder von dort zugänglich sind, stützen wir uns auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework, wenn der Empfänger zertifiziert ist, und sonst auf die Standardvertragsklauseln der EU-Kommission in den Auftragsverarbeitungsbedingungen der Anbieter.

§ 12 Mitteilungen

Erinnerungen sind lokale Mitteilungen auf deinem Gerät. Die Mitteilungen laufen nicht über unseren Server. Wenn du Mitteilungen ablehnst, funktioniert die App weiter, nur ohne Erinnerung. Standardmäßig steht in der Mitteilung kein Medikament. Du kannst unter Erinnerungen einschalten, dass sie Medikament und Dosis nennt; dann kann der Text auf dem Sperrbildschirm für andere lesbar sein.

§ 13 Sicherungsdatei, Export, Arztbericht und Fortschrittsbild

Eine Sicherungsdatei, ein CSV-Export, ein Arztbericht (PDF) und ein Fortschrittsbild enthalten Daten aus deinen Einträgen. Eine Sicherungsdatei ist mit einem Passwort verschlüsselt, das nur du kennst. CSV-Datei und Arztbericht sind nicht verschlüsselt. Du entscheidest über das Teilen-Blatt deines Geräts, wo du die Datei ablegst oder an wen du sie sendest (zum Beispiel Dateien-App, E-Mail, Arztpraxis). Ab dem Moment gelten die Bedingungen dieses Dienstes oder Empfängers. Wir haben keinen Zugriff und keine Kopie. Gib Berichte nur an Personen, die du kennst und denen du vertraust.

Wenn du es einschaltest, merkt sich die App das Passwort der Sicherungsdatei im geschützten Schlüsselbund deines Geräts. Beim Import liest die App eine Sicherungsdatei, die du auswählst. Die Datei bleibt auf deinem Gerät und wird nicht an uns gesendet.

§ 14 Webseite glp1tracker.de

Die Webseite besteht aus einfachen Seiten ohne Cookies, ohne Skripte von Dritten, ohne externe Schriften und ohne Tracking. Die Webseite wird über Firebase Hosting (Google) ausgeliefert. Dabei fallen technisch bedingt Serverprotokolle an (IP-Adresse, Zeitpunkt, aufgerufene Seite, Browserangaben). Rechtsgrundlage ist unser berechtigtes Interesse am sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

§ 15 Keine Werbung, kein Tracking, keine Weitergabe

Die App zeigt keine Werbung. Wir verwenden keine Werbe-Kennung, kein Tracking über Apps oder Websites hinweg und keine Werbenetzwerke. Wir verkaufen keine Daten und geben keine Gesundheitsdaten weiter. Außer den in dieser Erklärung genannten Dienstleistern (Google Firebase, Sentry, PostHog, RevenueCat, Expo, Apple, Google Play) erhält niemand Daten.

§ 16 Speicherdauer

• Einträge auf dem Gerät und in deinem Konto: bis du sie löschst, „Alle Daten löschen“ wählst oder dein Konto löschst.
• Einzelne gelöschte Einträge: Die App markiert sie in der Cloud als gelöscht, damit deine anderen Geräte sie entfernen. Der Datensatz behält dabei seinen bisherigen Inhalt, bis du „Alle Daten löschen“ oder „Konto löschen“ wählst.
• Konto löschen: Die App löscht zuerst alle Dokumente deines Kontos in Firestore endgültig (auch die als gelöscht markierten), dann das Konto bei Firebase und zuletzt alles auf dem Gerät. Das geschieht sofort. Google kann gelöschte Daten noch für eine begrenzte Zeit in eigenen Sicherungen seiner Infrastruktur vorhalten, bis sie überschrieben werden.
• Fehlerberichte bei Sentry und Ereignisse bei PostHog: bis zum Ablauf der Aufbewahrungsfrist, die wir im jeweiligen Projekt eingestellt haben; auf Anfrage löschen wir früher.
• Kaufdaten bei RevenueCat: solange dein Kauf besteht; auf Anfrage löschen wir sie.
• Serverprotokolle der Webseite: nur kurz, wie vom Hosting-Dienst vorgesehen.
• Support-E-Mails: bis deine Anfrage erledigt ist, danach nur, soweit eine gesetzliche Aufbewahrungspflicht besteht.

§ 17 Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO). Du kannst eine Einwilligung jederzeit widerrufen (Art. 7 Abs. 3 DSGVO). Du hast das Recht, dich bei einer Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns ist das der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit; du kannst dich auch an die Behörde an deinem Wohnort wenden.

Widerspruchsrecht: Verarbeiten wir Daten auf Grund unseres berechtigten Interesses (Fehlerberichte, App-Updates, Webseite), kannst du jederzeit aus Gründen, die sich aus deiner besonderen Situation ergeben, widersprechen (Art. 21 DSGVO). Für Fehlerberichte genügt es, den Schalter unter Einstellungen > Datenschutz auszuschalten. Sonst schreib uns an support@glp1tracker.de.

Deine Einträge kannst du in der App ansehen, als Datei exportieren und löschen. Für Daten bei RevenueCat, PostHog oder Sentry schreib uns an support@glp1tracker.de, am besten von der E-Mail-Adresse deines Kontos, und nenne deine Kennung (Einstellungen > Datenschutz > Meine Kennung).

§ 18 Löschung

• Einstellungen > Alle Daten löschen: löscht deine Einträge auf diesem Gerät und in der Cloud. Das Konto bleibt bestehen und ist danach leer. Andere Geräte, auf denen du angemeldet bist, löschen ihre Einträge beim nächsten Abgleich mit Internet. Ein Gerät, das nie wieder online geht, behält seine Daten, bis du dich dort abmeldest oder die App löschst. Ohne Internet kann die App nur das Gerät leeren.
• Einstellungen > Konto > Konto löschen: löscht alle Einträge in der Cloud, dein Konto und alles auf diesem Gerät. Du meldest dich dafür frisch an und tippst das Wort LÖSCHEN ein.
• Einstellungen > Konto > Abmelden: entfernt die Daten von diesem Gerät; die Daten in deinem Konto bleiben.
• Ohne App: Schreib eine E-Mail an support@glp1tracker.de von der Adresse deines Kontos und bitte um die Löschung. Eine Anleitung steht auf https://glp1tracker.de/konto-loeschen.

Die App löst bei PostHog, Sentry und RevenueCat keine Löschung aus. Auf Anfrage löschen wir dort die Daten, die zu deinem Konto gehören wie in den Abschnitten 7, 8, 9 und 18 steht. Ein Abo kündigst du in den Einstellungen deines App Stores.

§ 19 Kinder

Pencal richtet sich an Personen ab 16 Jahren. Wir verarbeiten wissentlich keine Daten von Personen unter 16 Jahren. Falls du glaubst, dass ein Kind die App nutzt, schreib uns, und wir helfen beim Löschen.

§ 20 Automatisierte Entscheidungen

Es gibt keine automatisierte Entscheidungsfindung und kein Profiling mit Rechtswirkung. Der geschätzte Wirkstoffverlauf ist eine reine Berechnung aus deinen Einträgen und ändert nichts an deinen Rechten. Wie die Rechnung funktioniert, erklärt die App bei der Kurve.

§ 21 Änderungen

Wir passen diese Erklärung an, wenn sich die App oder die Rechtslage ändert. Das Datum oben zeigt den Stand. Bei wesentlichen Änderungen zeigt die App einen Hinweis. Brauchen wir für einen neuen Zweck eine Einwilligung, fragen wir dich vorher.