Datenschutz – Oriveli (Deutsch)

1. Verantwortlicher

Christian Hermann & Martina Hermann GbR, An Rainen 3, 72525 Münsingen, Deutschland; E-Mail: privacy@oriveli.app.

2. Welche Daten verarbeitet werden

Alle Tagebuchdaten bleiben auf dem Gerät. Einträge, Symptome, Messwerte, Medikamente, Mahlzeiten, Notizen, Episoden, Profil, Entwürfe, Erinnerungen und Einstellungen werden mit AES-256-GCM verschlüsselt lokal gespeichert. Der Schlüssel liegt im Schlüsselspeicher des Geräts (Android-Keystore beziehungsweise iOS-Schlüsselbund, gebunden an dieses Gerät) und verlässt das Gerät nicht. Es gibt kein Konto, keine Registrierung und keine Synchronisierung in eine Cloud. Die einzige Ausnahme ist die optionale Cloud-Sicherung mit Plus: Richtest du sie ein, liegt zusätzlich eine Ende-zu-Ende-verschlüsselte Kopie auf unserem Server, die wir nicht lesen können (Abschnitt 12). Die Android-Systemsicherung und die Geräteübertragung sind für Oriveli abgeschaltet; unter iOS sind die App-Dateien von der Gerätesicherung ausgenommen.

Zwei kleine Ablagen liegen außerhalb dieser Verschlüsselung, weil das Betriebssystem sie ohne geöffnete App lesen muss. Die Warteschlange für Einnahme-Bestätigungen aus einer Mitteilung enthält nur Erinnerungskennung, geplante Zeit und Tippzeitpunkt – weder Medikamentenname noch Symptom, Wert oder Notiz. Der Speicher des Homescreen-Widgets enthält im Auslieferungszustand nur, an welchen der letzten Tage du etwas erfasst hast, und die Beschriftungen des Widgets. Schaltest du „Werte im Widget zeigen“ ein, kommen dein wichtigster Wert von heute und die Tageswerte dieses einen Feldes der letzten Woche hinzu; diese Werte sind dann auf dem Startbildschirm für alle sichtbar, die ihn sehen, auf dem Sperrbildschirm nie. Ausschalten oder „Alle Daten löschen“ entfernt sie wieder.

Wenn du die Übernahme aus Health Connect (Android) oder Apple Health (iOS) einschaltest, liest Oriveli ausschließlich die Datenarten, die du einzeln freigibst: Schlafdauer, Ruhepuls, Schritte, Gewicht, Blutdruck und Sauerstoffsättigung. Die Freigabe wird je Datenart einzeln beim Betriebssystem angefragt und ist im Auslieferungszustand aus. Oriveli liest nur und schreibt nichts zurück; gelesen werden höchstens die letzten 30 Tage. Die Werte werden wie eigene Einträge verschlüsselt auf dem Gerät gespeichert; wir empfangen sie nicht; nur wenn du eine KI-Analyse startest, können Kennzahlen daraus in die Zusammenfassung eingehen (siehe unten). Du kannst die Übernahme in der App ausschalten und die Berechtigung in Health Connect beziehungsweise in den iOS-Einstellungen unter Health entziehen. Bereits übernommene Einträge bleiben, bis du sie im Verlauf löschst.

Wetter und Pollen sind ausgeschaltet, solange du sie nicht einschaltest. Den Ort wählst du selbst aus einer Liste, die im App-Paket liegt; diese Suche läuft vollständig auf dem Gerät und sendet nichts. Eine Standortberechtigung fragt Oriveli nicht ab. Ist die Funktion eingeschaltet, geht höchstens einmal am Tag der auf 0,1 Grad – etwa 10 Kilometer – gerundete Ort an MET Norway in Norwegen, zusammen mit einer Kennzeichnung der App aus Name, Version und Kontaktadresse, wie es die Nutzungsbedingungen dieses Dienstes verlangen. Die Pollendatei des Deutschen Wetterdienstes wird als Ganzes und ohne jede Ortsangabe geladen; die Pollenregion bestimmt das Gerät selbst, und Pollenwerte gibt es nur für Regionen in Deutschland. Wie bei jedem Abruf im Netz ist beiden Stellen technisch deine IP-Adresse bekannt. Gesundheitsangaben und Kennungen werden nicht übertragen. Schaltest du die Funktion aus, wird nichts mehr gesendet und der gespeicherte Ort vergessen.

Für Kauf, Wiederherstellung und das Kontingent der KI-Analysen erzeugt die App eine zufällige Gastkennung und speichert sie im Schlüsselspeicher des Geräts. Sie enthält weder Namen noch E-Mail-Adresse und ist keine Werbe- oder Hersteller-Gerätekennung, ist aber ein pseudonymes Kennzeichen im Sinne der DSGVO, weil unser Server damit Kauf und Zähler deinem Gerät zuordnet. Zusammen mit Store-Plattform, Produktkennung und dem Store-Kaufbeleg wird sie an unser AppCore-Backend übertragen, damit dort das Abo geprüft und die Berechtigung gespeichert werden kann. Die Gastkennung bleibt für die Kaufprüfung und die Wiederherstellung bestehen; auf Anfrage an privacy@oriveli.app löschen wir sie. Die Zähler der KI-Analysen löschen wir mit „Alle Daten löschen“ sofort auf unserem Server, sonst nach 13 Monaten.

Nur wenn du der Nutzungsstatistik ohne Kennung zugestimmt hast (Abschnitt 13), sendet die App im Kauf- und Wiederherstellungsablauf zusätzlich feste technische Ereignisse an dasselbe Backend: Ereignisname, Ablaufschritt, fester Fehlergrund, Plattform, App-Version und Produktkennung. Sie helfen uns, abgebrochene oder fehlgeschlagene Käufe zu erkennen. Gesundheitsangaben sind darin nicht enthalten. Mit derselben Zustimmung zählt die Nutzungsstatistik (Abschnitt 13), dass du den Kaufknopf angetippt oder einen Kauf abgeschlossen hast, dort mit dem Installationsweg. Ohne Zustimmung gehen diese Ereignisse nicht hinaus; die Prüfung des Belegs und die Gastsitzung für den Kauf selbst bleiben davon unberührt.

Eine KI-Analyse überträgt nur dann Daten, wenn du zuvor ausdrücklich eingewilligt hast und den einzelnen Auftrag nach einer Vorschau bestätigst. Die Vorschau zeigt den Inhalt der Aussagen, die gesendet werden; zusätzlich gehen technische Angaben mit, die die Vorschau nicht anzeigt: laufende Eintragsnummern und Bezeichnungen. Stimmt das Paket nicht mit der bestätigten Vorschau überein, bricht die App ab. An unser AppCore-Backend gehen: Zeitraum, ausgewählte Bereiche und Feldbezeichnungen, die auf deinem Gerät gebildeten Faktensätze, Hilfetexte, Eintragskennungen und je Eintrag der Kalendertag (nur dort geprüft). An Anthropic gehen davon die Bezeichnungen, die vollständigen Faktensätze, die Hilfetexte und laufende Eintragsnummern; die Kalendertage der Einträge entfernt unser Server vorher. Die Faktensätze enthalten Zeitraum, Namen von Feldern und Bereichen (auch Erkrankungen), Anzahlen von Werten und Tagen, Tage ohne Eintrag, Herkunftsangaben wie „Health Connect“, Einheiten und beim Vergleich „Zusammenhänge“ je Gruppe Anzahl der Tage, Mittelwert, Median, niedrigsten und höchsten Wert (echte Messwerte von dir), den Unterschied und die Länge des Vergleichszeitraums. Notiztexte, Fotos, eigene Felder, Name, E-Mail-Adresse, Ort und Kaufdaten werden nicht gesendet. Medikamente, Mahlzeiten, Notizen und sensible Bereiche sind standardmäßig ausgeschlossen; schließt du sie ein, gehen Name und Anzahl der Einträge mit; bei eingeschlossenen Zahlenfeldern (auch sensiblen, etwa Schmerzen beim Sex) zusätzlich Name des Feldes, Anzahl, Mittelwert, Median, kleinster und größter Wert sowie die Vergleichsgruppen, nie der Text einer Notiz. Der Vergleich selbst wird auf dem Gerät berechnet; das Modell wählt nur aus den fertigen Sätzen aus, und die App zeigt ausschließlich diese Sätze.

Erinnerungen und Medikamenten-Erinnerungen plant ausschließlich das Betriebssystem auf dem Gerät. Dabei wird nichts an einen Server gesendet. Der Text nennt im Auslieferungszustand weder Erkrankung noch Medikament, weil er auf dem Sperrbildschirm sichtbar sein kann; Medikamentennamen erscheinen nur, wenn du das ausdrücklich einschaltest. Tippst du in der Mitteilung auf „Genommen“, entsteht daraus ein Eintrag im verschlüsselten Tagebuch. Das Homescreen-Widget zeigt im Auslieferungszustand nur, ob und an wie vielen Tagen du erfasst hast, und keinen Gesundheitswert; Werte zeigt es nur, wenn du das ausdrücklich einschaltest. Mit „Wie gestern“ in der Mitteilung oder im Widget übernimmst du den gestrigen Tagescheck auf dem Gerät, ohne dass etwas gesendet wird. Auch die automatischen Einblicke „Was Oriveli bisher sieht“ berechnet die App vollständig auf dem Gerät. Die Vorschlagskarten auf „Heute“ entstehen vollständig auf dem Gerät, indem feste Stichwortlisten mit deinen eigenen Notizen verglichen werden; dabei wird nichts gesendet.

Arztbericht als PDF, CSV- und Textexport sowie die Sicherung entstehen auf dem Gerät; ein Server ist daran nicht beteiligt. Du entscheidest über das Teilen-Menü, wohin die Datei geht. Die Sicherung ist mit deiner eigenen Passphrase verschlüsselt (PBKDF2-HMAC-SHA256 mit 600.000 Iterationen, AES-256-GCM); ohne die Passphrase kann sie niemand öffnen, auch wir nicht. Bericht und CSV-Export sind bewusst unverschlüsselt, damit eine Praxis sie lesen kann – behandle sie wie ein Gesundheitsdokument. Übernommene Werte aus Health Connect oder Apple Health sowie gespeicherte Wetter- und Pollenwerte sind gewöhnliche Einträge und deshalb enthalten, soweit sie im gewählten Zeitraum und Bereich liegen. Der PDF-Bericht enthält den Hinweis, dass Oriveli kein Medizinprodukt ist, der Bericht keine Diagnose stellt und eine ärztliche Beurteilung nicht ersetzt; die Fußzeile nennt ihn „selbst erfasst, keine Diagnose“. Die optionale Cloud-Sicherung mit Plus beschreibt Abschnitt 12.

Die App enthält keine Werbung, keine Tracking- oder Analyse-SDKs Dritter, kein Werbe-Tracking und kein Nutzungsprofil. Eine Nutzungsstatistik ohne Kennung läuft nur nach deiner Zustimmung und ausschließlich über unser eigenes Backend, ohne Konto-, Gast- oder Gerätekennung und ohne Gesundheitsangaben (Abschnitt 13). Wir erstellen keine Profile über dich, verkaufen keine personenbezogenen Daten und geben keine Gesundheitsangaben an Werbenetzwerke oder Datenbroker weiter.

3. Zwecke und Rechtsgrundlagen

Die Tagebuchfunktionen laufen auf dem Gerät; dabei verarbeiten wir keine Daten für dich. Das gilt auch für Werte aus Health Connect oder Apple Health: Sie werden allein von deinem Gerät gelesen und gespeichert. Kauf, Wiederherstellung und Abo-Berechtigung verarbeiten wir zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Die Gastsitzung mit pseudonymer Kennung und die Kontingentzählung dienen der Sicherheit, dem Missbrauchsschutz und dem fehlerfreien Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Die Cloud-Sicherung speichern wir nur, wenn du sie mit Plus einrichtest und dabei ausdrücklich einwilligst, weil sie Gesundheitsangaben (verschlüsselt) enthält (Art. 9 Abs. 2 lit. a in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO); die Einwilligung kannst du jederzeit unter Einstellungen › Daten › Cloud-Sicherung widerrufen, wahlweise mit oder ohne Löschen der Sicherung. Die Nutzungsstatistik ohne Kennung und die festen Kaufereignisse (Ablaufschritt, Fehlergrund) senden wir nur mit deiner Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO), die du bei der Frage in der Einführung oder in den Einstellungen erteilst und jederzeit mit Wirkung für die Zukunft widerrufen kannst (Einzelheiten in Abschnitt 13). Wetter und Pollen ruft die App nur ab, wenn du die Funktion einschaltest; Grundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du durch Ausschalten jederzeit widerrufen kannst. Die KI-Analyse verarbeitet Gesundheitsangaben und erfolgt ausschließlich auf Grundlage deiner ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO), die du vor der ersten Analyse erteilst und jederzeit für die Zukunft unter Einstellungen › Datenschutz › KI-Analyse widerrufen kannst; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt. Der Kauf von Plus hängt nicht von dieser Einwilligung ab. Ohne diese Einwilligungen bleiben alle übrigen Funktionen nutzbar.

4. Empfänger und Dienstleister

Wir nutzen Cloudflare für unser AppCore-Backend in der EU. Dort laufen die Gastsitzung mit pseudonymer Kennung, die Prüfung des Store-Belegs, das Kontingent der KI-Analysen und die Weiterleitung einer bestätigten Analyse. Für die Auswahl der Sätze setzen wir Claude (Modell Claude Sonnet 5.5) von Anthropic ein; Empfänger ist Anthropic Ireland, Limited (Irland) als Auftragsverarbeiter, die Verarbeitung erfolgt je nach Auslastung in verschiedenen Ländern weltweit, auch in den USA und damit außerhalb des EWR. Schaltest du Wetter und Pollen ein, ruft die App das Meteorologische Institut Norwegens (MET Norway, api.met.no) und den Deutschen Wetterdienst (opendata.dwd.de) ab; MET Norway erhält dabei den gerundeten Ort, der DWD keinerlei Ortsangabe, und beide keine Gesundheitsangaben. Apple und Google wickeln Kauf und Zahlung als eigenständige Anbieter ab. Health Connect und Apple Health sind Dienste deines Betriebssystems; die dort gelesenen Werte bleiben auf dem Gerät und erreichen uns nicht – außer als Kennzahlen in einer KI-Analyse, die du selbst startest. Bei Cloudflare liegen außerdem, nur nach deiner Zustimmung, die Zählereignisse der Nutzungsstatistik ohne Kennung und, wenn du sie einrichtest, die Ende-zu-Ende-verschlüsselte Cloud-Sicherung (Speicher Cloudflare R2 mit Speicherort EU); Cloudflare verarbeitet diese Daten als unser Auftragsverarbeiter und kann die Sicherung ebenso wenig lesen wie wir. Werbenetzwerke, Datenbroker und Analysedienste Dritter setzen wir nicht ein.

5. Drittlandübermittlung

Unser Backend läuft bei Cloudflare in der EU; die Cloud-Sicherung liegt in einem Cloudflare-R2-Speicher mit Speicherort EU. MET Norway sitzt in Norwegen und der Deutsche Wetterdienst in Deutschland; beide liegen im Europäischen Wirtschaftsraum, eine Drittlandübermittlung findet dabei nicht statt. Nur die von dir bestätigte KI-Zusammenfassung wird an Anthropic übermittelt, und zwar an Anthropic Ireland, Limited als unseren Auftragsverarbeiter (Art. 28 DSGVO; Auftragsverarbeitungsvertrag als Teil der Commercial Terms von Anthropic). Die Verarbeitung erfolgt je nach Auslastung und gewünschter Geschwindigkeit in verschiedenen Ländern weltweit, auch in den USA und damit außerhalb des EWR, durch Anthropic, PBC und deren Unterauftragsverarbeiter (Liste: trust.anthropic.com/subprocessors). Anthropic ist nicht nach dem EU-US Data Privacy Framework zertifiziert. Wir stützen die Übermittlung deshalb auf die EU-Standardvertragsklauseln, die nach dem Auftragsverarbeitungsvertrag von Anthropic soweit erforderlich gelten, und zusätzlich auf deine ausdrückliche Einwilligung. Eine Kopie der Klauseln und des Vertrags erhältst du auf Anfrage an privacy@oriveli.app; der Vertragstext steht auch unter anthropic.com/legal/data-processing-addendum. In diesen Ländern, auch in den USA, besteht kein dem EU-Recht gleichwertiges Schutzniveau; Behörden können unter Umständen auf Daten zugreifen. Anthropic verwendet die Daten nicht zum Training. Ohne Einwilligung findet keine Übermittlung in ein Drittland statt.

6. Werbung und Tracking

Die App enthält keine Werbung, keine Tracking- oder Analyse-SDKs Dritter und kein Werbe-Tracking. Eine Nutzungsstatistik ohne Kennung läuft nur nach deiner Zustimmung und ausschließlich über unser eigenes Backend, ohne Konto-, Gast- oder Gerätekennung und ohne Gesundheitsangaben; Empfänger ist Cloudflare als unser Auftragsverarbeiter (EU), und deine IP-Adresse wird dabei technisch verarbeitet, aber nicht gespeichert (Abschnitt 13). Wir erstellen keine Werbeprofile, verkaufen keine personenbezogenen Daten und geben keine Gesundheitsangaben an Werbenetzwerke oder Datenbroker weiter.

7. Speicherdauer und Sicherheit

Lokale Daten bleiben auf dem Gerät, bis du sie in der App oder über die Systemfunktionen löschst. Zwischengespeicherte Wetterdaten älter als 48 Stunden verwirft die App selbst. Unser Server speichert KI-Pakete, Fragen und Ergebnisse nicht und schreibt sie in kein Protokoll; gezählt werden nur Nutzung und Kosten ohne Inhalte. Anthropic löscht Ein- und Ausgaben der KI-Analyse automatisch innerhalb von 30 Tagen; stuft Anthropics automatische Sicherheitsprüfung eine Anfrage als möglichen Verstoß gegen die Nutzungsregeln ein, kann die Speicherung bis zu 2 Jahre dauern (Einstufungsergebnisse bis zu 7 Jahre), bei gesetzlichen Pflichten auch länger. Die Tageszähler der KI-Analysen löschen wir bei „Alle Daten löschen“ sofort, sonst nach 13 Monaten. Die Gastkennung und die Abo-Berechtigung speichern wir, solange sie für Kaufprüfung, Wiederherstellung, Missbrauchsschutz und gesetzliche Nachweise erforderlich sind; auf Anfrage löschen wir sie. Alle Übertragungen sind transportverschlüsselt, lokale Tagebuchdaten mit AES-256-GCM. Eine Cloud-Sicherung speichern wir als neuesten Stand und eine Vorversion, bis du sie löschst, spätestens bis 18 Monate nach ihrer letzten Aktualisierung. Einzelne Zählereignisse der Nutzungsstatistik und die festen Kaufereignisse löschen wir nach 7 Tagen, daraus gebildete Tageszählungen nach höchstens 120 Tagen.

8. Daten und Konto löschen

„Alle Daten löschen“ in den Einstellungen entfernt Einträge, Profil, Entwürfe, Erinnerungen, Einstellungen, die Sicherungs- und Exportdateien in der App sowie den Schlüssel auf dem Gerät; danach ist auch ein verbleibender Rest nicht mehr lesbar. Geplante Erinnerungen werden abgebrochen, die Warteschlange der Einnahme-Bestätigungen geleert und das Homescreen-Widget vergisst den Tag der letzten Erfassung. „Alle Daten löschen“ löscht zusätzlich die KI-Zähler auf unserem Server sofort (ohne Verbindung wiederholt die App die Löschung beim nächsten Start). Die pseudonyme Gastkennung bleibt für die Kaufprüfung bestehen; auf Anfrage an privacy@oriveli.app löschen wir sie. Bei Anthropic liegende Analysen löscht Anthropic nach der genannten Frist automatisch. Ein Konto, das gelöscht werden müsste, gibt es nicht. Bereits geteilte Dateien bleiben dort, wo du sie gespeichert hast. Für Anfragen zur Gastsitzung mit pseudonymer Kennung oder zur Abo-Berechtigung schreib uns an privacy@oriveli.app; nenne dazu die Plattform und den ungefähren Kaufzeitpunkt, damit wir den Eintrag zuordnen können. Das Abo selbst verwaltest du bei Apple oder Google. „Alle Daten löschen“ löscht auch eine eingerichtete Cloud-Sicherung samt Vorversion auf dem Server. Gelingt das mangels Verbindung nicht, kannst du sie später mit deinem Wiederherstellungscode löschen; sonst löschen wir sie nach 18 Monaten automatisch. Weil wir eine Cloud-Sicherung nur über die aus dem Code abgeleitete Kennung finden, suchen wir ohne Code nicht von uns aus nach ihr; lösche sie in der App mit „Cloud-Sicherung löschen“ (das geht ohne Code) oder schreib uns an privacy@oriveli.app mit Plattform und ungefährem Zeitpunkt der letzten Sicherung, und sende uns nie Code oder Passphrase per E-Mail (Abschnitt 12). Die Zählereignisse der Nutzungsstatistik tragen keine Kennung und lassen sich deshalb keiner Person zuordnen (Abschnitt 13).

9. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Beschwerde bei einer Aufsichtsbehörde, z. B. beim Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg. Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen: KI-Analysen unter Einstellungen › Datenschutz › KI-Analyse, die Cloud-Sicherung unter Einstellungen › Daten › Cloud-Sicherung (mit oder ohne Löschen der Sicherung), die Nutzungsstatistik mit dem Schalter in den Einstellungen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage berechtigter Interessen verarbeiten (Art. 6 Abs. 1 lit. f DSGVO), kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen. Schreib dazu an privacy@oriveli.app.

10. Health Connect und Apple Health

Oriveli verwendet Werte aus Health Connect und Apple Health ausschließlich für die Funktionen, die du selbst eingeschaltet hast: das Festhalten, Anzeigen und Auswerten deiner Werte in deinem eigenen Tagebuch auf diesem Gerät. Wir halten uns dabei an die Anforderungen an die eingeschränkte Nutzung (Limited Use) der Health-Connect-Berechtigungen von Google Play und an die Vorgaben von Apple für HealthKit.

Das heißt konkret: Wir übertragen diese Werte nicht an unsere Server und nicht an Dritte – mit einer Ausnahme: Startest du nach deiner Einwilligung eine KI-Analyse, kann die Zusammenfassung Anzahlen und bei Vergleichen Kennzahlen (Mittelwert, Median, niedrigster und höchster Wert) solcher Werte enthalten (Abschnitt 2). Wir verwenden sie nicht für Werbung, Marketing oder Weiterverkauf, nie zum Training von KI-Modellen, und geben sie nicht an Datenbroker, Informationsdienste, Versicherungen oder Arbeitgeber weiter. Einzelne Werte liest bei uns niemand; sie sind uns technisch nicht zugänglich. Oriveli liest nur und schreibt nichts nach Health Connect oder Apple Health zurück.

Werden übernommene Werte Teil einer KI-Analyse, geschieht das nur, wenn du diese Analyse einzeln bestätigst, und es werden ausschließlich die in Abschnitt 2 beschriebenen zusammengefassten Angaben übertragen. Die Freigabe kannst du jederzeit je Datenart zurücknehmen: in der App über den jeweiligen Schalter und im System über Health Connect beziehungsweise die iOS-Einstellungen unter Health.

11. Quellen und Lizenzen

Wetter: basierend auf Daten von MET Norway (CC BY 4.0), zu Tagesmitteln zusammengefasst. Pollenflug-Gefahrenindex und Pollenfluggebiete: Quelle: Deutscher Wetterdienst (CC BY 4.0). Ortsliste: GeoNames (CC BY 4.0).

Diese Angaben dienen deiner eigenen Beobachtung. Sie sind Vorhersage- und Indexwerte für eine Region, keine Messung an deinem Aufenthaltsort, und wir prüfen ihre Richtigkeit nicht.

12. Cloud-Sicherung (Plus)

Die Cloud-Sicherung ist ausgeschaltet, bis du sie mit Oriveli Plus unter Einstellungen › Daten › Cloud-Sicherung einrichtest. Dabei wählst du eine Passphrase und erhältst einen Wiederherstellungscode aus 128 Bit Zufall, den nur du kennst. Aus beidem leitet dein Gerät den Schlüssel ab (PBKDF2-HMAC-SHA256 mit 600.000 Iterationen und HKDF-SHA256) und verschlüsselt dein Tagebuch mit AES-256-GCM, bevor es das Gerät verlässt. Passphrase, Code und Schlüssel werden nie an uns übertragen. Danach sichert die App höchstens einmal am Tag automatisch, wenn sich etwas geändert hat.

Auf unserem Server (AppCore bei Cloudflare, Ablage in Cloudflare R2 mit Speicherort EU) liegen nur das verschlüsselte Sicherungsdokument, die SHA-256-Hashwerte der aus dem Code abgeleiteten Sicherungskennung und des Upload-Geheimnisses sowie Größe und Zeitpunkte der Sicherung. Bei jeder Übertragung verarbeitet der Server technisch deine IP-Adresse und deine Gastsitzung (Missbrauchsschutz, Prüfung, ob Plus aktiv ist). Die IP-Adresse dient nur kurzzeitig und gepfeffert gehasht der Begrenzung der Anfragen und wird nicht mit der Sicherung gespeichert. Zum Schutz vor Missbrauch zählen wir außerdem, wie viele neue Sicherungen eine Gastsitzung oder IP-Adresse anlegt (jeweils nur als gepfefferter Hashwert); dieser Zähler ist keiner Sicherung zugeordnet und wird nach 30 Tagen gelöscht. Den Inhalt der Sicherung können wir nicht lesen.

Gespeichert werden der neueste Stand und eine Vorversion. Du kannst die Sicherung jederzeit in der App löschen, auch mit dem Code von einem anderen Gerät aus; sie und ihre Vorversion werden dann sofort vom Server entfernt. „Alle Daten löschen“ löscht sie mit. Endet Plus, werden keine neuen Stände mehr gesichert; die vorhandene Sicherung bleibt abrufbar und löschbar. Eine Sicherung, die 18 Monate lang nicht aktualisiert wurde, löschen wir automatisch. Widerrufst du die Einwilligung ohne zu löschen, sichert dieses Gerät nichts mehr; die Kopie auf dem Server bleibt, bis du sie löschst, und wird spätestens 18 Monate nach der letzten Aktualisierung automatisch gelöscht.

Deine Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit gelten auch hier. In der App siehst du unter Einstellungen › Daten › Cloud-Sicherung, ob und wann zuletzt gesichert wurde, und löschst die Sicherung dort mit „Cloud-Sicherung löschen“ sofort und kostenlos; das ist der einfachste Weg zu Auskunft und Löschung und kommt ohne Code aus. Weil wir eine Sicherung nur über die aus dem Wiederherstellungscode abgeleitete Kennung finden, können wir ohne den Code nicht von uns aus danach suchen (Art. 11 DSGVO). Du kannst uns trotzdem unter privacy@oriveli.app schreiben und die Plattform sowie den ungefähren Zeitpunkt der letzten Sicherung nennen; wir prüfen dann, ob wir die Sicherung anhand dieser Angaben zuordnen können. Sende uns nie den Wiederherstellungscode oder die Passphrase per E-Mail; wer sie kennt, kann die Sicherung lesen. Gehen Code oder Passphrase verloren, kann niemand die Sicherung wiederherstellen, auch wir nicht.

Rechtsgrundlage ist deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO), weil die verschlüsselte Sicherung Gesundheitsangaben enthält. Du erteilst sie beim Einrichten der Cloud-Sicherung in einem eigenen Dialog („Einwilligung für die Cloud-Sicherung“); ohne sie entsteht keine Sicherung, und alle übrigen Funktionen bleiben nutzbar, auch Plus. Die Sicherung entsteht nur, wenn du sie selbst einrichtest. Du kannst die Einwilligung jederzeit mit Wirkung für die Zukunft unter Einstellungen › Daten › Cloud-Sicherung mit „Einwilligung widerrufen“ widerrufen und wählst dann „Nur widerrufen“ (dieses Gerät sichert nichts mehr; die Kopie auf dem Server bleibt, bis du sie löschst, spätestens 18 Monate nach der letzten Aktualisierung) oder „Widerrufen und Sicherung löschen“ (die Kopie und ihre Vorversion werden zugleich vom Server gelöscht, immer kostenlos). Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

13. Nutzungsstatistik ohne Kennung

Damit wir erkennen, welche Schritte in Oriveli funktionieren und wo es hakt, sendet die App feste Zählereignisse an unser eigenes AppCore-Backend bei Cloudflare in der EU (Cloudflare ist dabei unser Auftragsverarbeiter). Tracking- oder Analyse-SDKs Dritter sind nicht beteiligt. Die Statistik ist im Auslieferungszustand ausgeschaltet. Sie läuft nur, wenn du bei der Frage in der Einführung „Ja, zählen“ wählst oder sie unter Einstellungen › Datenschutz › „Nutzungsstatistik ohne Kennung“ selbst einschaltest. Dort schaltest du sie jederzeit wieder aus; danach sendet die App keines dieser Ereignisse mehr und zählt auch auf dem Gerät nicht weiter. Ohne deine Zustimmung geht auch der Installationsweg nicht hinaus. Der Schalter gilt ebenso für die festen technischen Kaufereignisse aus Abschnitt 2; die Prüfung des Belegs und die Gastsitzung für den Kauf selbst bleiben davon unberührt.

Gezählt wird nur, dass ein Schritt stattgefunden hat: Einführung begonnen und abgeschlossen, an einem ersten, zweiten und dritten Tag etwas gespeichert, die App an einem späteren Tag beziehungsweise ab dem siebten Tag geöffnet, Plus-Einladung gezeigt, Plus-Seite geöffnet, Kaufknopf angetippt und Kauf abgeschlossen (jeweils mit dem Ort, von dem aus die Plus-Seite geöffnet wurde, etwa der Einführung; die Wiederherstellung zählt nicht dazu), Bericht geteilt, Cloud-Sicherung eingerichtet, Tageserinnerung ein- oder ausgeschaltet, der Ausgang einer Bewertungsanfrage und die Startzeit der App in groben Stufen. Mitgesendet werden Plattform, App-Version, Sprache, ob es sich um einen Entwicklungs-Build handelt, und der Installationsweg als ein einziges festes Wort (store, sandbox, testflight, sideload, prelaunch, debug oder unknown). Dafür liest die App lokal, welches Paket sie installiert hat (Android) beziehungsweise welche Art Beleg vorliegt (iOS); nur das Wort verlässt das Gerät, keine Gerätekennung. So halten wir Testläufe von Google und Apple, Entwicklungs-Builds und Testkäufe aus den Zahlen echter Nutzung heraus.

Nie gesendet werden Einträge, Werte, Ziele, Beschwerden, Erkrankungen, Module, Medikamente oder Notizen und auch keine Konto-, Gast- oder Gerätekennung. Deine IP-Adresse wird beim Verbindungsaufbau technisch verarbeitet, aber nicht gespeichert; sie wird nur kurzzeitig gepfeffert gehasht, um die Zahl der Anfragen zu begrenzen. Einzelne Ereignisse löschen wir nach 7 Tagen, zusammengefasste Tageszählungen nach höchstens 120 Tagen. Weil die Ereignisse keine Kennung tragen, können wir sie keiner Person zuordnen; Auskunft über einzelne Ereignisse oder deren gezielte Löschung ist deshalb nicht möglich (Art. 11 DSGVO).

Rechtsgrundlage ist deine Einwilligung (§ 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO). Du erteilst sie freiwillig mit „Ja, zählen“ oder mit dem Schalter in den Einstellungen und kannst sie dort jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt, und der Widerruf ist so einfach wie die Erteilung. Mit „Nein, danke“ oder ohne Antwort bleibt die Statistik aus, und alle Funktionen der App stehen dir unverändert zur Verfügung.

Datenschutz beim Besuch dieser Website

Diese ergänzenden Hinweise gelten für oriveli.app; die übrigen Abschnitte beschreiben die App. Verantwortlich ist die oben genannte Christian Hermann & Martina Hermann GbR (privacy@oriveli.app).

Für Hosting und Schutz der Website nutzen wir Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA. Beim Abruf von Seiten und Medien verarbeitet Cloudflare insbesondere IP-Adresse, Zeitpunkt, angeforderte URL, HTTP-Status sowie Browser- und Geräteinformationen. Zweck ist die Auslieferung der Inhalte, Fehleranalyse und Abwehr von Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein sicherer und verlässlicher Betrieb der Website.

Für die Reichweitenmessung setzen wir Umami ein. Die Software läuft ausschließlich auf einem von uns betriebenen Server in Frankfurt am Main (analytics.bitbeans.de); die Daten werden nicht an Dritte weitergegeben und nicht websiteübergreifend zusammengeführt. Verarbeitet werden die aufgerufene Seite, die Verweisquelle, das Herkunftsland, Gerätetyp, Bildschirmgröße, Browser und Betriebssystem. Zusätzlich zählen wir Klicks auf die Knöpfe zum App Store und zu Google Play; übermittelt werden dabei nur der Store und die betreffende App, keine Angaben zu Ihrer Person. Umami setzt keine Cookies und legt keine Kennung auf Ihrem Endgerät ab; zur Unterscheidung von Besuchen dient ein täglich wechselnder, nicht rückrechenbarer Hashwert, die IP-Adresse selbst wird nicht gespeichert. Es entstehen keine Nutzerprofile und keine Verknüpfung mit Konten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die statistische Auswertung der Websitenutzung zur Verbesserung unseres Angebots. Sie können dieser Verarbeitung jederzeit unter privacy@oriveli.app widersprechen. Die Messdaten werden nach 14 Monaten gelöscht.

Der Analyse-Server wird in einem Rechenzentrum unseres Hosters OVHcloud in Frankfurt am Main betrieben. OVHcloud handelt dabei als Auftragsverarbeiter und ausschließlich innerhalb der EU; eine Übermittlung der Messdaten in Drittländer findet nicht statt. Sendet Ihr Browser das Signal „Do Not Track“, wird der Besuch nicht gemessen. Unabhängig davon können Sie der Reichweitenmessung jederzeit formlos unter privacy@oriveli.app widersprechen. Die Messung ist für die Nutzung der Website nicht erforderlich; sie hat keinen Einfluss auf Inhalte oder Funktionen.

Links zu App Stores und sozialen Netzwerken stellen erst beim Öffnen eine Verbindung zum jeweiligen Anbieter her. Cloudflare kann abhängig von der Sicherheitsprüfung technisch notwendige Cookies zur Abwehr von Bots und Angriffen einsetzen. Für den hierfür unbedingt erforderlichen Zugriff auf das Endgerät gilt § 25 Abs. 2 Nr. 2 TDDDG.

Technische Zugriffsdaten werden nur so lange verarbeitet, wie dies für Auslieferung, Fehleranalyse und Sicherheit erforderlich ist, und anschließend gelöscht oder anonymisiert, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Eine Verarbeitung durch Cloudflare in den USA ist möglich. Informationen zu Cloudflare, internationalen Übermittlungen und den Datenschutzrechten stehen in den übrigen Abschnitten und den unten verlinkten Anbieterinformationen.

Cloudflare: Privacy Policy · Data Processing Addendum