Datenschutzerklärung MindBright

1. Datenschutz auf einen Blick

Allgemeine Hinweise

Die folgenden Hinweise geben einen einfachen Überblick darüber, was mit personenbezogenen Daten passiert, wenn die Web-App "MindBright" besucht oder genutzt wird. Personenbezogene Daten sind alle Daten, mit denen eine Person identifiziert werden kann.

Datenerfassung in der App

Wer ist verantwortlich für die Datenerfassung? Die Datenverarbeitung erfolgt durch den App-Betreiber (Verantwortlicher).

Ein Datenschutzbeauftragter ist nicht bestellt, da keine gesetzliche Verpflichtung besteht.

Wie werden die Daten erhoben? Daten werden zum einen dadurch erhoben, dass sie direkt mitgeteilt werden (z. B. bei der Registrierung: E-Mail, Passwort; im Onboarding: Vorname; oder beim Erstellen von persönlichen Einträgen). Andere Daten werden automatisch durch die IT-Systeme erfasst (z. B. technische Daten wie Browser, Betriebssystem, IP-Adresse, Login-Status).

Wofür werden die Daten genutzt? Ein Teil der Daten wird erhoben, um die fehlerfreie Bereitstellung der App zu gewährleisten (Hosting, Datenbank, Sicherheit). Andere Daten werden genutzt, um die Funktionen der App bereitzustellen (Speicherung von Einträgen, AI-Feedback, Personalisierung der Ansprache) sowie – bei vorliegender Einwilligung – für Informationen per E-Mail.

2. Hosting und Infrastruktur (Auftragsverarbeitung)

Für den Betrieb der App werden externe Dienstleister eingesetzt. Mit Dienstleistern, die im Auftrag des Verantwortlichen personenbezogene Daten verarbeiten, werden die erforderlichen Verträge zur Auftragsverarbeitung (AVV) abgeschlossen. Dies stellt sicher, dass die Daten nur nach Weisung und unter Einhaltung der DSGVO verarbeitet werden.

Anwendungs-Hosting (Render)

Die Anwendung läuft auf der Plattform von Render Services, Inc. (USA), Rechenzentrumsregion Frankfurt am Main, Deutschland. Daten: Render verarbeitet technische Metadaten, Logfiles und temporäre Daten, um den Code der App auszuführen. Drittlandtransfer: Die Verarbeitung erfolgt in Deutschland. Ein Zugriff durch die US-Muttergesellschaft ist nicht ausgeschlossen und wird durch Standardvertragsklauseln (SCC) sowie die Zertifizierung nach dem EU-US Data Privacy Framework abgesichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. f DSGVO (Sicherheit und Effizienz).

Datenbank (Neon)

Nutzerdaten und Einträge werden in einer PostgreSQL-Datenbank von Neon, Inc. (USA) gespeichert, Rechenzentrumsregion Frankfurt am Main, Deutschland. Persönliche Einträge werden dort verschlüsselt gespeichert. Drittlandtransfer: Die Speicherung erfolgt in Deutschland. Ein Zugriff durch die US-Muttergesellschaft ist nicht ausgeschlossen und wird durch Standardvertragsklauseln (SCC) sowie die Zertifizierung nach dem EU-US Data Privacy Framework abgesichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Sicherungskopien (Hetzner)

Verschlüsselte Sicherungskopien der Datenbank werden bei der Hetzner Online GmbH (Gunzenhausen, Deutschland) im Rechenzentrum Falkenstein, Deutschland, abgelegt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Datensicherheit).

Auslieferung und Schutz (Cloudflare)

Für DNS, Auslieferung und den Schutz vor Angriffen wird Cloudflare, Inc. (USA) eingesetzt. Cloudflare verarbeitet dabei Verbindungsdaten wie IP-Adresse und angefragte URL. Drittlandtransfer: möglich, abgesichert durch Standardvertragsklauseln (SCC). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Sicherheit und Verfügbarkeit).

Anmeldung mit Google (Sign in with Google)

Für den optionalen Login mit Google wird der Anmeldedienst von Google Ireland Limited (Irland) genutzt. Daten & Zweck: Bei der Anmeldung mit Google erfolgt eine Weiterleitung zu Google; nach der dortigen Zustimmung werden die E-Mail-Adresse und der Name von Google übermittelt, um das Nutzerkonto anzulegen oder zuzuordnen. Tagebuchinhalte werden dabei zu keinem Zeitpunkt an Google übermittelt. Drittlandtransfer: Google kann Daten an Server in den USA übertragen. Dies wird durch Standardvertragsklauseln (SCC) abgesichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

3. Betroffenenrechte

Hinsichtlich der verarbeiteten personenbezogenen Daten bestehen jederzeit folgende Rechte:

• Recht auf Auskunft (Art. 15 DSGVO): Es kann jederzeit Auskunft über die gespeicherten Daten verlangt werden.
• Recht auf Berichtigung (Art. 16 DSGVO): Die Korrektur falscher Daten kann verlangt werden.
• Recht auf Löschung (Art. 17 DSGVO): Das Konto und alle Daten können jederzeit direkt in den Profileinstellungen der App gelöscht oder der Verantwortliche kontaktiert werden.
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO).
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Automatisiert verarbeitete Daten können in einem übertragbaren Format angefordert werden.
• Widerrufsrecht (Art. 7 Abs. 3 DSGVO): Erteilte Einwilligungen können jederzeit widerrufen werden.
• Recht auf Widerspruch (Art. 21 DSGVO): Gegen die Verarbeitung der Daten (insb. Logs zur Sicherheit) kann Widerspruch eingelegt werden, soweit diese auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO erfolgt.
• Beschwerderecht: Es besteht das Recht, sich bei einer Aufsichtsbehörde zu beschweren.

4. Datenerfassung bei Nutzung der App

Registrierung und Anmeldung

Für die Nutzung von MindBright ist eine Registrierung erforderlich. Die dabei eingegebenen Daten (E-Mail-Adresse, Passwort) werden ausschließlich für die Bereitstellung des Dienstes verwendet. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Social Login: Bei der Anmeldung über Google oder Apple werden von diesen Anbietern Authentifizierungsdaten übermittelt (z. B. eine ID, E-Mail-Adresse, ggf. Name). Diese Daten werden gespeichert, um das Konto zu erstellen.

Personalisierung (Vorname/Spitzname)

Ein Vorname oder Spitzname kann freiwillig angegeben werden. Zweck: Persönliche Ansprache in der App. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Der Name kann jederzeit geändert oder gelöscht werden.

Persönliche Einträge und Sensible Daten (Art. 9 DSGVO)

Die Kernfunktion der App ist das Schreiben von Tagebucheinträgen. Dabei können auch Informationen eingegeben werden, die unter "besondere Kategorien personenbezogener Daten" fallen (z. B. Gesundheitsdaten, politische Meinungen etc.). Freiwilligkeit: Die Eingabe solcher sensiblen Daten ist für die Nutzung der App nicht zwingend erforderlich (es kann auch über neutrale Themen geschrieben werden). Rechtsgrundlage: Werden solche Daten eingegeben und gespeichert, erfolgt die Verarbeitung ausschließlich zur Bereitstellung der App-Funktionen (Speicherung, Anzeige, AI-Feedback). Durch die freiwillige Eingabe wird in die Verarbeitung zu diesem Zweck eingewilligt (Art. 9 Abs. 2 lit. a DSGVO). Vertraulichkeit: Im regulären Betrieb erfolgt kein manueller Zugriff auf diese Inhalte.

Log-Dateien und Cookies

Die App nutzt technisch notwendige Cookies oder den lokalen Speicher (Local Storage) des Browsers, um den Login-Status zu speichern. Cookies zur Analyse werden auf der Website nur nach Einwilligung gesetzt (siehe Abschnitt 9). Werbe-Cookies werden nicht eingesetzt. Logs: Die Server erfassen automatisch Informationen in Log-Dateien (z. B. IP-Adresse, Browser, Zeitstempel). Zweck: Erkennung und Abwehr von Missbrauch sowie Fehleranalyse. Speicherdauer: Logs werden für maximal 14 Tage gespeichert und danach gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse an der Sicherheit).

5. Einsatz von AI-Diensten

Zur Generierung von Feedback, Impulsen und Auswertungen zu Einträgen sowie für Sprachfunktionen werden AI-Dienste externer Anbieter genutzt. Anbieter: Anthropic Ireland, Limited (Dublin, Irland) für Feedback, Impulse und Auswertungen; OpenAI Ireland Limited (Dublin, Irland) für die Umwandlung von Sprache in Text (Diktat) und von Text in Sprache (Vorlesen). Datenübermittlung: Beim Speichern eines Eintrags wird dessen Text an Anthropic übermittelt. Bei Nutzung des Diktats wird die Sprachaufnahme an OpenAI übermittelt; bei Nutzung der Vorlesefunktion der vorzulesende Text (etwa Feedback oder MindLights). Zweck: Bereitstellung der jeweiligen Funktion. Training: Nach Angaben beider Anbieter werden über die API eingereichte Inhalte nicht zum Training der Modelle verwendet. Drittlandtransfer: Eine Verarbeitung in den USA ist möglich und wird durch Standardvertragsklauseln (SCC) sowie die Zertifizierung nach dem EU-US Data Privacy Framework abgesichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); für sensible Inhalte Art. 9 Abs. 2 lit. a DSGVO (Einwilligung durch freiwillige Eingabe).

6. Newsletter und Marketing-E-Mails

Unterscheidung

Es wird zwischen System-E-Mails (notwendig für die App, z. B. Passwort vergessen) und Marketing-E-Mails (Tipps, Updates) unterschieden.

Marketing-Daten & Brevo

Bei einem Newsletter-/Update-Abonnement ("Opt-in") werden die E-Mail-Adresse und der Vorname für den Versand genutzt. Dienstleister: Der Versand erfolgt über Brevo (Sendinblue GmbH, Berlin, Deutschland). Die Daten werden auf Servern in Deutschland gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Datenübermittlung: Erst bei aktiviertem Versand und bestehendem Opt-In werden Kontaktdaten an Brevo übertragen. Solange kein Versand stattfindet, verbleiben die Daten ausschließlich im System des Verantwortlichen. Widerruf: Die Einwilligung kann jederzeit in den Kontoeinstellungen ("E-Mail Updates") oder über den Abmeldelink in jeder Mail widerrufen werden.

Kostenloser E-Mail-Kurs "5 Tage Klarheit unter Druck"

Für die Teilnahme am kostenlosen E-Mail-Kurs wird ausschließlich die E-Mail-Adresse benötigt. Die Anmeldung erfolgt im Double-Opt-in-Verfahren: Nach der Eintragung wird eine Bestätigungsmail versandt, der Kurs beginnt erst nach Bestätigung des darin enthaltenen Links. Gespeichert werden die E-Mail-Adresse, Zeitpunkt der Anmeldung und der Bestätigung, der Kursfortschritt, die Seite, über die die Anmeldung erfolgte, sowie gegebenenfalls Kampagnenparameter aus dem aufgerufenen Link. Die Daten werden in der Datenbank der App (Neon, Rechenzentrumsregion Frankfurt am Main, Deutschland) gespeichert. Der Versand der fünf Kurs-Mails erfolgt über Brevo (Sendinblue GmbH, Berlin, Deutschland). Brevo kann dabei technisch erfassen, ob eine Mail zugestellt, geöffnet oder ein Link darin angeklickt wurde. Die Kurs-Mails enthalten keine Werbung für Dritte. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Widerruf: Die Einwilligung kann jederzeit über den Abmeldelink in jeder Kurs-Mail mit Wirkung für die Zukunft widerrufen werden. Wird bei der Anmeldung zusätzlich eingewilligt, gelegentlich weitere Inhalte von MindBright zu erhalten, gilt dafür der vorstehende Abschnitt zu Marketing-E-Mails.

Bei aktivierten E-Mail-Benachrichtigungen werden Erinnerungen sowie Hinweise zu MindLights und MindPrint per E-Mail versendet; dies kann jederzeit in den Kontoeinstellungen oder über den Abmeldelink beendet werden.

7. Speicherdauer

Daten werden nur so lange gespeichert, wie es für die beschriebenen Zwecke erforderlich ist:

• Accountdaten & Einträge: Bis zur Löschung des Kontos (in den Einstellungen) oder durch den Verantwortlichen.
• System-Logs des Hostings: Max. 14 Tage. Technisches Ereignisprotokoll der Anwendung (ohne Inhalte aus Einträgen): Max. 90 Tage.
• E-Mail-Kurs: Nicht bestätigte Anmeldungen werden nach 30 Tagen gelöscht, alle übrigen Kursdaten 90 Tage nach Kursende oder Abmeldung. Der Nachweis der Einwilligung bleibt nach der vorstehenden Regel erhalten.
• Einwilligungen (Consent-Log): Werden zu Nachweiszwecken (Art. 7 Abs. 1 DSGVO) bis zum Ablauf der Verjährungsfristen (i.d.R. 3 Jahre) aufbewahrt.

8. Nutzung der iOS-App

Neben der Nutzung im Browser steht MindBright als App für das iPhone zur Verfügung. Für die iOS-App gelten alle Abschnitte dieser Datenschutzerklärung. Ergänzend gilt Folgendes.

Bezug der App

Die App wird über den App Store beziehungsweise TestFlight von Apple bezogen. Anbieter für Nutzer in der Europäischen Union ist die Apple Distribution International Limited (Irland). Beim Laden und Aktualisieren der App verarbeitet Apple Daten in eigener Verantwortung, etwa das Apple-Konto und Gerätedaten. Der Verantwortliche erhält von Apple keine Kontodaten, sondern lediglich zusammengefasste Angaben zu Installationen und Abstürzen, soweit die Freigabe solcher Angaben auf dem Gerät aktiviert ist.

Anmeldung mit Apple

Für den optionalen Login mit Apple wird der Anmeldedienst von Apple genutzt. Dabei übermittelt Apple eine Kennung des Apple-Kontos, eine E-Mail-Adresse (auf Wunsch eine von Apple bereitgestellte Weiterleitungsadresse) und gegebenenfalls den Namen. Diese Daten werden verwendet, um das Nutzerkonto anzulegen oder zuzuordnen. Inhalte aus Einträgen werden nicht an Apple übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Mitteilungen (Push-Benachrichtigungen)

Mitteilungen werden nur versendet, wenn sie auf dem Gerät erlaubt wurden. In diesem Fall wird eine von Apple vergebene Gerätekennung gespeichert und dem Nutzerkonto zugeordnet. Der Versand erfolgt über den Apple Push Notification service der Apple Inc. (USA). An Apple werden dabei die Gerätekennung sowie Titel und Text der Mitteilung übermittelt. Die Mitteilungen enthalten keine Inhalte aus Einträgen, sondern allgemeine Hinweise, etwa auf eine noch offene Frage des Tages oder ein neues MindLight. Wer Mitteilungen erhält, erhält keine Erinnerungen per E-Mail. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Widerruf: Mitteilungen können jederzeit in den Kontoeinstellungen der App oder in den Einstellungen von iOS abgeschaltet werden; die Gerätekennung wird dann nicht weiter verwendet. Drittlandtransfer: Eine Verarbeitung in den USA ist möglich und wird durch Standardvertragsklauseln (SCC) abgesichert.

App-Sperre mit Face ID oder Touch ID

Die App kann auf Wunsch mit Face ID oder Touch ID gesperrt werden. Die Prüfung erfolgt ausschließlich auf dem Gerät durch iOS. Der Verantwortliche erhält und speichert keine biometrischen Daten; die App erfährt lediglich, ob die Prüfung erfolgreich war. Die Einstellung zur Sperre wird nur auf dem Gerät gespeichert.

Mikrofon

Der Zugriff auf das Mikrofon erfolgt nur nach Erlaubnis auf dem Gerät und nur während einer Sprachaufnahme für das Diktat. Die Aufnahme wird zur Umwandlung in Text verarbeitet, wie in Abschnitt 5 beschrieben, und nach der Umwandlung nicht gespeichert.

Einwilligung in die Verarbeitung durch AI-Dienste

Vor der ersten Nutzung der iOS-App wird die ausdrückliche Einwilligung in die in Abschnitt 5 beschriebene Verarbeitung durch AI-Dienste eingeholt. Zeitpunkt und Fassung der Einwilligung werden zu Nachweiszwecken gespeichert. Ohne diese Einwilligung kann die App nicht genutzt werden. Ein Widerruf ist jederzeit durch Mitteilung an den Verantwortlichen oder durch Löschung des Kontos möglich.

Keine Webanalyse in der iOS-App

In der iOS-App werden keine Analyse- oder Werbedienste Dritter eingesetzt.

9. Einwilligungsverwaltung und Webanalyse auf der Website

Einwilligungsverwaltung (CookieYes)

Auf der Website mindbright.one wird ein Dienst zur Verwaltung von Einwilligungen eingesetzt (CookieYes Limited, Vereinigtes Königreich). Der Dienst zeigt das Einwilligungsbanner an und speichert die getroffene Entscheidung in einem Cookie, damit sie bei weiteren Besuchen berücksichtigt wird. Dabei werden technische Verbindungsdaten wie die IP-Adresse verarbeitet. Rechtsgrundlage: Art. 6 Abs. 1 lit. c und lit. f DSGVO (Nachweis und Verwaltung von Einwilligungen). Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der Europäischen Kommission.

Google Tag Manager

Das Einwilligungsbanner wird über den Google Tag Manager der Google Ireland Limited (Irland) eingebunden. Der Tag Manager setzt selbst keine Cookies zur Analyse; beim Abruf werden technische Verbindungsdaten wie die IP-Adresse an Google übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Bereitstellung der Einwilligungsverwaltung).

Google Analytics 4

Zur Auswertung der Nutzung der Website wird Google Analytics 4 der Google Ireland Limited (Irland) eingesetzt, jedoch ausschließlich nach ausdrücklicher Einwilligung in die Kategorie Analyse im Einwilligungsbanner. Ohne diese Einwilligung wird Google Analytics nicht geladen. Daten: Mit Einwilligung werden Cookies gesetzt und Angaben zur Nutzung der Website verarbeitet, etwa aufgerufene Seiten, Verweildauer, ungefährer Standort, Geräte- und Browserdaten sowie eine pseudonyme Kennung. Inhalte aus Einträgen werden nicht an Google Analytics übermittelt. Speicherdauer: nach den in Google Analytics eingestellten Fristen, höchstens 14 Monate. Drittlandtransfer: Eine Verarbeitung in den USA ist möglich; Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert, ergänzend gelten Standardvertragsklauseln (SCC). Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG (Einwilligung). Widerruf: Die Einwilligung kann jederzeit über die Cookie-Einstellungen der Website mit Wirkung für die Zukunft widerrufen werden.

In der iOS-App werden weder das Einwilligungsbanner noch Google Tag Manager oder Google Analytics geladen.