Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website/App ist:

Vitalli, Inhaber Mirco Stege
Höllenberg 12
21441 Garstedt
Deutschland
E-Mail: hello@vitalli.app
Kontaktformular: vitalli.app/legal/contact

2. Welche Daten wir erheben

Bei der Nutzung von Vitalli werden folgende personenbezogene Daten verarbeitet:

2.1 Kontodaten

• E-Mail-Adresse
• Anzeigename
• Profilbild (optional)

2.2 Nutzungsdaten

• Anmeldezeitpunkte
• Verbundene Anwendungen und Dienste
• Protokoll von Zugriffen auf deine Daten und Änderungen daran
• Nutzungsereignisse für die Nutzungsanalyse, ohne Einwilligung nur die technisch notwendigen: Anmeldungen, technische Fehler, das Anlegen und Löschen deines Kontos sowie Seitenaufrufe (auf Seiten mit Gesundheitsbezug ohne den Pfad, also nur als Zählung), dazu Browser, Betriebssystem, Gerätetyp, Sprache und Herkunftsseite (nur die Domain), jeweils mit deiner pseudonymen Vitalli-Kennung
• Nur mit deiner Einwilligung zusätzlich Ereignisse mit Gesundheitsbezug: dass du ein Wearable verbunden oder getrennt hast, Notion verbunden hast, einen Behandler oder eine Organisation angelegt oder eine Freigabe geändert hast. Erfasst wird, dass und wann es passiert ist, nie der Inhalt

2.3 Gesundheitsdaten

• Gesundheitsprofil: Geburtsdatum, biologisches Geschlecht, Größe, Gewicht, Körperzusammensetzung, Blutgruppe, Aktivitätsniveau und Energiebedarf
• Daten verbundener Wearables und Waagen: Tageswerte wie Schlaf, Ruhepuls, Herzratenvariabilität, Sauerstoffsättigung und Aktivität, je nach Dienst und deiner Freigabe außerdem Herzfrequenz-Verläufe, Trainings, Meditationen und Atemübungen, deine Markierungen etwa zu Alkohol oder Koffein, Stress und Resilienz, VO₂max, kardiovaskuläres Alter sowie Körpermessungen wie Gewicht, Körperzusammensetzung und Blutdruck (Einzelheiten unter „Verbundene Dienste“)
• Werte aus Notion-Tabellen, die du freigibst, insbesondere Laborwerte, Einnahmen von Präparaten und Lebensmittel mit Menge, jeweils mit Datum und Einheit
• Longevity-Score, berechnet aus deinen Daten in Vitalli, Vora, Still und Stackwell
• Freigabe-Links, die du erstellst, und dein öffentliches Profil, falls du es aktivierst
• Freigaben an Fachkräfte (Begleitung): Fachkraft und Organisation, gewählte Bereiche, Zeitraum, der Wortlaut deiner Einwilligung und das Protokoll der Abrufe

3. Rechtsgrundlagen

Die Verarbeitung erfolgt auf Basis folgender Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO: Vertragserfüllung (Bereitstellung der App-Funktionen)
• Art. 6 Abs. 1 lit. f DSGVO: Berechtigtes Interesse (Verbesserung der App)
• Art. 9 Abs. 2 lit. a DSGVO in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO: deine ausdrückliche Einwilligung für Gesundheitsdaten im Hub. Du erteilst sie auf einer eigenen Seite (vitalli.app/account/einwilligung), bevor du dein Gesundheitsprofil im Hub bearbeitest, einen Dienst verbindest, Notion importierst, den Longevity-Score aufrufst oder ein öffentliches Profil anlegst. Vorher speichert der Hub keine Gesundheitsdaten, die du dort eingibst, und ruft bei keinem Dienst etwas ab. Wir speichern die Fassung der Einwilligung, ihren Wortlaut und den Zeitpunkt als Nachweis. Die Einwilligung ist freiwillig; ohne sie nutzt du dein Konto, die Übersicht deiner Apps und den Datenexport weiter. Auch ohne Einwilligung kannst du verbundene Dienste im Konto trennen und die im Hub gespeicherten Gesundheitsdaten löschen, etwa solche aus der Zeit vor der Einwilligung. Du kannst sie jederzeit ohne Begründung im Konto unter „Gesundheitsdaten“ mit Wirkung für die Zukunft widerrufen. Dann trennt der Hub alle verbundenen Dienste, meldet Withings, Polar und Oura dort ab und löscht Gesundheitsprofil, Gewichtsverlauf, Wearable-Daten, die Kopie der Notion-Werte und dein öffentliches Profil. Dein KI-Assistent liest und ändert dein Profil im Hub erst nach einer neuen Einwilligung wieder. Trägst du später in Stackwell oder Programs wieder Werte wie dein Gewicht ein, übergeben diese Apps sie wieder an das gemeinsame Profil im Hub. Werte, die der Hub schon an Vora, Stackwell oder Joiva übergeben hat, bleiben dort und sind dort löschbar.
• Schreiben oder lesen andere Vitalli-Apps (Vora, Joiva, Still, Stackwell, Programs) Werte deines Gesundheitsprofils über die Schnittstelle des Hubs, etwa wenn du dort dein Gewicht einträgst, gilt dafür die Einwilligung, die du in der jeweiligen App erteilst. Der Hub speichert diese Werte für die App, die sie geschrieben hat. Schreibt dagegen dein KI-Assistent über mcp.vitalli.app in dein Gesundheitsprofil oder deinen Gewichtsverlauf, braucht das deine Einwilligung im Hub; ohne sie lehnt der Hub den Schreibzugriff ab.
• Art. 9 Abs. 2 lit. a DSGVO: deine ausdrückliche Einwilligung, wenn du einer Fachkraft Bereiche freigibst (siehe Abschnitt „Begleitung durch Fachkräfte“). Du erteilst sie je Fachkraft und kannst sie jederzeit unter Konto → Begleitung widerrufen.
• Art. 9 Abs. 2 lit. a DSGVO: deine gesonderte, ausdrückliche Einwilligung für die Auswertung gesundheitsbezogener Nutzungsereignisse (siehe Abschnitt „Nutzungsanalyse“). Sie ist freiwillig und nicht an die Nutzung gekoppelt: Ohne sie kannst du alle Apps genauso nutzen. Du verwaltest sie in den Einstellungen deines Vitalli-Kontos unter auth.vitalli.app/account und kannst sie dort jederzeit ohne Begründung widerrufen — mit Wirkung für die Zukunft; das bereits Erfasste bleibt bis zum Ablauf der Speicherfrist.

4. Verbundene Dienste

Nur wenn du einen Dienst ausdrücklich verbindest, ruft Vitalli in deinem Auftrag Daten von dort ab. Der Anbieter verarbeitet deine Daten bei sich in eigener Verantwortung nach seiner Datenschutzerklärung. Trennst du die Verbindung, löscht Vitalli den Zugang und ruft nichts mehr ab. Die bis dahin abgerufenen Werte bleiben in deinem Konto, bis du es löschst oder deine Einwilligung für Gesundheitsdaten widerrufst. Beim Trennen kannst du sie gleich mit löschen lassen, und auf Wunsch per E-Mail an die oben genannte Adresse löschen wir sie auch vorher.

Welche Daten Vitalli erhält, entscheidest du beim Verbinden auf der Zustimmungsseite des Anbieters. Bei Oura erteilst du dort jede Freigabe einzeln und kannst jede abwählen; Vitalli erklärt vorher auf der Karte im Konto, wofür es jede einzelne braucht, und zeigt später, welche fehlen. Was du freigibst, ruft Vitalli samt der beim Anbieter vorhandenen Historie ab und speichert es in deinem Konto, auch Werte, die heute noch in keine Auswertung einfließen.

Der Zweck ist festgelegt: Vitalli führt deine Messwerte aus allen verbundenen Quellen an einem Ort als dein persönliches Gesundheitsarchiv, zeigt sie dir als Verlauf in Vitalli und Vora, berechnet daraus den Longevity-Score und die Auswertungen, die dir die Vitalli-Apps anzeigen, und gibt sie an die Vitalli-Apps weiter, wie unter „Weitergabe innerhalb von Vitalli“ beschrieben. Dass wir auch noch nicht ausgewertete Werte speichern, hat zwei Gründe: Manche Anbieter geben Daten nur einmal heraus, und ohne die Historie müsstest du für jede neue Auswertung neu verbinden und finge bei null an. Kommt eine neue Auswertung hinzu, bleibt sie in diesem Zweck, dient dir selbst und wird unter „Was ist neu“ angekündigt. Für andere Zwecke, etwa Forschung, die Weitergabe an Dritte oder Werbung, verwenden wir diese Daten nicht; dafür bräuchte es deine gesonderte Einwilligung.

• Withings (Withings SA, Frankreich): Gewicht und Körperzusammensetzung (unter anderem Fett-, Muskel-, Knochen- und Wasseranteil, viszerales Fett), Blutdruck, Puls, Temperatur, Sauerstoffsättigung und Pulswellengeschwindigkeit, soweit dein Gerät sie misst, sowie Aktivität und Schlaf als Tageswerte.
• Oura (Oura Health Oy, Finnland), je nach deinen Freigaben: Tageswerte zu Schlaf, Readiness und Aktivität (unter anderem Schritte, Ruhepuls, Herzratenvariabilität, Atemfrequenz und Temperaturabweichung) und deine einzelnen Schlafperioden; Sauerstoffsättigung im Schlaf; Herzfrequenz über den Tag als Zeitreihe; Trainingseinheiten mit Dauer und Intensität; Meditationen und Atemübungen; deine Markierungen (Tags), etwa zu Alkohol, Koffein oder spätem Essen; Tagesstress und Resilienz; VO₂max und kardiovaskuläres Alter; Zeiten im Ruhemodus; Ringmodell und Firmware (Ring-Konfiguration); persönliche Angaben aus deinem Oura-Konto (Alter, Größe, Gewicht, Geschlecht) und dessen E-Mail-Adresse, mit der Vitalli die Verbindung deinem Konto zuordnet.
• Polar (Polar Electro Oy, Finnland): Schlaf, nächtliche Erholung (Nightly Recharge, mit Ruhepuls und Herzratenvariabilität) und Tagesaktivität, sobald die Anbindung für dein Konto verfügbar ist. Polar fragt eine einzige Freigabe für alle Daten ab und gibt Tagesaktivität nur einmal heraus.
• Garmin (Garmin Würzburg GmbH, Deutschland): alles, was deine Uhr oder Waage an Garmin Connect™ überträgt und du beim Verbinden freigibst, sobald die Anbindung für dein Konto verfügbar ist: Tageswerte zu Schritten, Kalorien, Ruhepuls, Stress und Body Battery, Schlaf mit Schlafphasen, Herzratenvariabilität, Sauerstoffsättigung, Atemfrequenz, Hauttemperatur, VO₂max und Fitnessalter, Blutdruck, Gewicht und Körperzusammensetzung, deine Aktivitäten mit Details sowie Zyklusdaten, wenn du sie in Garmin Connect erfasst. Garmin schickt neue Werte, sobald dein Gerät synchronisiert, und frühere Werte, soweit Garmin sie für Vitalli herausgibt. Entfernst du Vitalli in Garmin Connect, löscht Vitalli den Zugang.
• Notion (Notion Labs, Inc., USA): Vitalli liest nur die Seiten und Datenbanken, die du in Notion freigibst, und nur lesend. Die Werte werden einmal vollständig übernommen und danach täglich abgeglichen. Der Zugang wird verschlüsselt gespeichert. Was in welcher Spalte steht, schlägt Vitalli nach festen Regeln vor oder, nur mit deiner gesonderten Einwilligung, eine KI (siehe Auftragsverarbeiter, Anthropic); übergeben wird erst, wenn du die Zuordnung gespeichert hast. Beim Trennen löscht Vitalli den Zugang, die Zuordnungen und die im Hub gespeicherte Kopie; bereits an Vora, Stackwell oder Joiva übergebene Werte bleiben dort und sind dort löschbar.

5. Weitergabe innerhalb von Vitalli

Vitalli besteht aus mehreren Apps mit demselben Verantwortlichen: Vitalli Hub, Vora, Joiva, Still, Stackwell und Programs. Damit die Apps zusammenarbeiten, tauschen sie Daten aus, die du in einer von ihnen erfasst hast:

• An Vora gehen Gewicht, Körperzusammensetzung, Wearable-Tageswerte sowie Laborwerte aus Notion, damit sie dort im Verlauf mit Referenzbereichen erscheinen.
• Aus Notion gehen, je nach deiner Zuordnung, Einnahmen von Präparaten (Präparat, Dosis, Zeitpunkt) an Stackwell und Lebensmittel mit Menge und Zeitpunkt an Joiva. Findet Stackwell oder Joiva einen Eintrag nicht eindeutig, wird dort nichts gespeichert und der Hub zeigt ihn als „ungeklärt“.
• Joiva, Still und Stackwell lesen Werte aus deinem Gesundheitsprofil, etwa Gewicht und Energiebedarf.
• Der Hub liest Werte aus Vora, Still und Stackwell für den Longevity-Score.
• Umgekehrt können die anderen Apps des Verbunds bei uns abrufen: die Werte deines Gesundheitsprofils, den Longevity-Score samt den Teilwerten, aus denen er berechnet ist, und deine Kontakte und Einrichtungen — also Anrede, Name, Titel, Rolle, E-Mail-Adresse und Telefonnummern der Behandler und Praxen, die du eingetragen hast. Jeder solche Abruf wird im Zugriffsprotokoll festgehalten.
• Verbindest du einen KI-Assistenten wie Claude oder ChatGPT über den Vitalli-MCP-Server (mcp.vitalli.app), erhält der Assistent die Daten, die du im Chat abfragst — und er kann sie auf deine Anweisung auch ändern: Kontakte und Einrichtungen lassen sich über die Schnittstelle anlegen, bearbeiten und löschen. Jeder dieser Schreibzugriffe wird im Zugriffsprotokoll festgehalten. Welche Apps dein Assistent erreichen darf, legst du im Vitalli-Konto fest und kannst es dort jederzeit widerrufen. Diese Übermittlung veranlasst du selbst: Der Anbieter des Assistenten ist dabei nicht unser Auftragsverarbeiter, sondern eigener Verantwortlicher, und für seine Verarbeitung gilt dessen Datenschutzerklärung. Wir haben mit dem Anbieter keinen Vertrag und können es nicht beschränken; es richtet sich allein nach seinen Bedingungen — auch, ob er die Inhalte deines Chats zum Training seiner Modelle weiterverwendet. Bei Privatkonten von KI-Anbietern ist das häufig voreingestellt. Prüfe das in den Einstellungen deines Assistenten, bevor du Gesundheitsdaten dorthin holst.

6. Freigaben an andere Personen

Du kannst einzelne Daten per Link teilen, etwa den Verlauf eines Blutwerts in Vora oder einen Ernährungstag in Joiva. Ein Link kann befristet werden und ist jederzeit widerrufbar. Wer den Link kennt, sieht die geteilten Daten; gib ihn deshalb nur an Personen weiter, denen du vertraust. Ein öffentliches Profil ist standardmäßig ausgeschaltet und zeigt nur die Bereiche, die du dafür auswählst.

Vitalli verkauft keine Gesundheitsdaten und gibt sie nicht zu Werbezwecken weiter.

7. Begleitung durch Fachkräfte

Unter Konto → Begleitung kannst du einer Fachkraft — etwa deinem Arzt, Trainer oder Therapeuten — gezielt Bereiche deiner Daten freigeben, damit sie dich begleiten kann. Die Fachkraft nutzt dafür vitalli pro (pro.vitalli.app) und lädt dich mit einem Link ein. Erst wenn du die Bereiche gewählt und ausdrücklich eingewilligt hast, sieht sie etwas.

Wählbar sind: Profil (Alter, nicht das Geburtsdatum; Geschlecht, Größe, Gewicht, Energiebedarf, Aktivitätsfaktor), Gewichtsverlauf, Wearable-Tageswerte, Fasten aus Still, Supplements aus Stackwell und Laborwerte aus Vora. Du kannst einen Zeitraum festlegen: ab welchem Datum die Fachkraft Verläufe (Gewicht, Wearables, Laborwerte) sieht (ohne Angabe die letzten 90 Tage) und wann die Freigabe endet. Profil, Supplements und die Fasten-Zusammenfassung zeigen immer den aktuellen Stand.

Empfänger ist die Fachkraft, die dich eingeladen hat — ein bestimmter Mensch, nicht ihre ganze Praxis oder Organisation. Sie sieht die Daten live: Bei jedem Aufruf liest vitalli pro sie über eine gesicherte Schnittstelle aus Vitalli, und Vitalli prüft dabei jedes Mal, ob deine Freigabe noch gilt und den Bereich umfasst. vitalli pro speichert keine Gesundheitswerte, sondern nur deinen Namen, deine E-Mail-Adresse und den Umfang der Freigabe, damit die Fachkraft dich in ihrer Liste findet. Still, Stackwell und Vora erhalten für die Abfrage deine E-Mail-Adresse.

Jeder Abruf wird protokolliert (wann, welcher Bereich, welche Fachkraft); das Protokoll siehst du unter Konto → Begleitung. Rechtsgrundlage ist deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO, zusammen mit Art. 6 Abs. 1 lit. a DSGVO). Ihren Wortlaut speichern wir mit der Freigabe als Nachweis.

Du kannst eine Freigabe jederzeit ändern oder mit einem Klick widerrufen (Art. 7 Abs. 3 DSGVO). Der Widerruf wirkt sofort: Ab dem nächsten Abruf sieht die Fachkraft nichts mehr, und vitalli pro entfernt dich aus ihrer Liste. Was die Fachkraft bis dahin gesehen oder selbst notiert hat, liegt in ihrer eigenen Verantwortung; dafür gelten ihre Pflichten als Behandelnde oder Betreuende, nicht diese Erklärung. Freigaben und Protokoll bleiben als Nachweis gespeichert, bis du dein Konto löschst; das Protokoll unterliegt außerdem der allgemeinen Speicherfrist für Zugriffsprotokolle. Löscht die Fachkraft ihr Vitalli-Konto, enden deine Freigaben an sie automatisch.

8. Nutzungsanalyse

Um zu verstehen, wie die Vitalli-Apps genutzt werden und wo Fehler oder Hürden auftreten, zeichnen wir Nutzungsereignisse auf. Das gilt für den Hub und für die Vitalli-Apps, die auf diese Erklärung verweisen. Die Ereignisse werden ausschließlich auf unseren Servern erzeugt und an unseren Analysedienst Uptik übermittelt. Es werden dafür keine Cookies gesetzt, nichts auf deinem Gerät gespeichert und kein Analyse-Skript in deinem Browser ausgeführt. Erfasst wird immer nur, dass und wann etwas passiert ist — nie der Inhalt, keine Freitexte, nicht deine IP-Adresse; den Browser erfassen wir nur als Typ, Betriebssystem und Gerätetyp.

Ohne deine Einwilligung erfassen wir nur das technisch Notwendige: Anmeldungen, technische Fehler, das Anlegen und Löschen deines Kontos sowie Seitenaufrufe. Auf Seiten mit Gesundheitsbezug — dein Gesundheitsprofil, der Notion-Import, deine Freigaben, der Longevity-Score, das Verzeichnis deiner Behandelnden und geteilte Profile — zählen wir den Aufruf nur, ohne festzuhalten, welche Seite es war. Rechtsgrundlage dafür ist unser berechtigtes Interesse an einem stabilen, nutzbaren Angebot (Art. 6 Abs. 1 lit. f DSGVO); du kannst dagegen jederzeit per E-Mail an die oben genannte Adresse Widerspruch einlegen.

Mit deiner Einwilligung werten wir zusätzlich Ereignisse mit Gesundheitsbezug aus — zum Beispiel, dass du ein Wearable verbunden, Notion verbunden, einen Behandler angelegt oder eine Freigabe geändert hast. Solche Ereignisse sind Gesundheitsdaten, auch wenn wir den Inhalt nicht auswerten; Rechtsgrundlage ist deshalb deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), zusammen mit Art. 6 Abs. 1 lit. a DSGVO. Die Einwilligung ist freiwillig und nicht an die Nutzung gekoppelt: Ohne sie nutzt du alle Apps genauso. Du erteilst und widerrufst sie in den Einstellungen deines Vitalli-Kontos unter auth.vitalli.app/account, jederzeit und ohne Begründung. Ein Widerruf wirkt für die Zukunft; das bereits Erfasste bleibt bis zum Ablauf der Speicherfrist. Liegt keine Einwilligung vor oder können wir sie nicht abrufen, senden die Apps diese Ereignisse nicht. Umgekehrt holt der Hub diese Auswertung für dich auch wieder ab: Auf der Seite „Deine Apps“ zeigt er je App, ob du dich schon angemeldet und ob du dort schon etwas erfasst hast, mit dem Zeitpunkt des ersten Mals und dem letzten Zugriff. Diese Angaben liest er je Person bei Uptik, damit du siehst, wo du stehst.

Jedes Ereignis trägt deine pseudonyme Vitalli-Kennung, damit wir die Nutzung über die Apps hinweg zusammenführen können. Deine E-Mail-Adresse wird bei der Registrierung, bei der Kontoanlage und bei der Anmeldung mitgeschickt — sonst nie —, damit wir Rückmeldungen von Testerinnen und Testern zuordnen können.

Analyse-Ereignisse speichern wir zwei Jahre. Löschst du dein Vitalli-Konto, werden die Ereignisse anonymisiert: Die Verbindung zu dir wird in allen Feldern gelöscht und lässt sich nicht wiederherstellen. Es bleibt eine Zählung ohne Personenbezug. Auf Wunsch löschen wir die Ereignisse auch vorher.

9. Verzeichnis deiner Behandelnden

Unter Kontakte führst du ein eigenes Verzeichnis der Menschen und Einrichtungen, die dich behandeln oder begleiten. Gespeichert werden Stammdaten: bei Personen Anrede, Titel, Vor- und Nachname, Rolle oder Fachrichtung, E-Mail-Adresse und Telefonnummern; bei Einrichtungen Art (etwa Praxis, Klinik, Labor, Apotheke), Name, Anschrift, Website, Telefon und E-Mail-Adresse; dazu, wer zu welcher Einrichtung gehört, sowie Schlagworte und Notizen, die du selbst einträgst.

Das sind Angaben über Praxen und Behandelnde, keine Gesundheitsdaten über dich, solange du in Notizen oder Schlagworten nichts über deine Gesundheit schreibst, etwa eine Diagnose oder einen Behandlungsanlass. Trag dort deshalb keine Gesundheitsangaben ein. Für das Verzeichnis brauchst du keine Einwilligung in die Verarbeitung von Gesundheitsdaten. Rechtsgrundlage ist die Bereitstellung des Verzeichnisses, das du nutzt (Art. 6 Abs. 1 lit. b DSGVO); für die Angaben über die eingetragenen Behandelnden unser berechtigtes Interesse, dir ein solches Verzeichnis anzubieten (Art. 6 Abs. 1 lit. f DSGVO). Dass du eine bestimmte Praxis eingetragen hast, kann trotzdem Rückschlüsse zulassen; deshalb zählt die Nutzungsanalyse das Anlegen eines Kontakts nur mit deiner Einwilligung (siehe „Nutzungsanalyse“).

Andere Vitalli-Apps können das Verzeichnis lesen, etwa Vora, um eine Mail an eine Praxis vorzubereiten (siehe „Weitergabe innerhalb von Vitalli“). Du löschst Einträge jederzeit selbst; mit deinem Konto wird das ganze Verzeichnis gelöscht.

10. Ortsbestimmung von Einrichtungen

Trägst du bei einer Einrichtung in deinem Verzeichnis eine Anschrift ein, ermittelt der Hub dazu einmal die Koordinaten. Dafür schickt unser Server nur Straße, Postleitzahl, Ort und Land, ohne Namen und ohne Bezug zu deinem Konto, an Nominatim (OpenStreetMap Foundation, Vereinigtes Königreich). Findet Nominatim nichts, fragt er Mapbox (Mapbox, Inc., USA). Beide Dienste sehen dabei die IP-Adresse unseres Servers, nicht deine. Das Ergebnis speichert der Hub zur Anschrift, damit dieselbe Adresse nicht erneut abgefragt wird.

11. Auftragsverarbeiter

Für den Betrieb setzen wir Dienstleister ein, die Daten nur nach unserer Weisung verarbeiten. Soweit dabei Daten in die USA gelangen können, erfolgt das auf Grundlage des EU-US Data Privacy Framework oder der Standardvertragsklauseln der EU-Kommission (Art. 45 und 46 DSGVO).

• Railway Corporation, USA: Hosting von Anwendung und Datenbank in einem Rechenzentrum in der EU.
• Cloudflare, Inc., USA: Reverse Proxy und Content Delivery Network für vitalli.app. Jeder Aufruf der Website läuft über Cloudflare; dabei verarbeitet Cloudflare deine IP-Adresse und technische Verbindungsdaten wie Browser-Kennung und aufgerufene Adresse, um die Seiten auszuliefern und vor Angriffen zu schützen. Außerdem Domainverwaltung und Weiterleitung von E-Mails an vitalli.app.
• Resend, Inc., USA: Versand von E-Mails aus dem Hub, etwa Einladungen mit Einladungscode und die Nachricht, dass die Vitalli-Apps für dich bereitstehen.
• Uptik (eigener Dienst desselben Verantwortlichen, Vitalli, Inhaber Mirco Stege; gehostet bei Railway in der EU, Amsterdam): Nutzungsanalyse wie im Abschnitt „Nutzungsanalyse“ beschrieben, server-seitig, mit pseudonymer Kennung und ohne Cookies.
• IdeaQ (eigener Dienst desselben Verantwortlichen, Vitalli, Inhaber Mirco Stege; Anwendung und Datenbank gehostet bei Railway in der EU, angehängte Bilder bei Cloudflare R2 ohne Bindung an einen EU-Standort): Feedback-Werkzeug. Du schreibst deine Meldung im Feedback-Fenster von Vitalli, und unser Server legt daraus ein Ticket bei IdeaQ an; in deinem Browser wird dafür nichts gespeichert. Im Feedback-Fenster kannst du einen Screenshot der aktuellen Seite anhängen. Das ist standardmäßig aus: Ein Bild wird nur aufgenommen, wenn du „Screenshot anhängen“ selbst auswählst, und es kann Gesundheitsdaten zeigen. Ob Screenshots gerade angenommen werden, zeigt das Feedback-Fenster an. Erst wenn du eine Meldung absendest, erhält IdeaQ den Meldungstext, einen angehängten Screenshot, technische Fehlerinformationen (Konsolenfehler) und Browserdaten wie Nutzer-Agent und Seitenpfad. Bist du angemeldet, trägt das Ticket außerdem eine pseudonyme Kennung, die aus deinem Konto berechnet wird, keinen Namen und keine E-Mail-Adresse. Über sie zeigen wir dir unter „Meine Meldungen“ den Stand deiner Meldungen und einmal einen Hinweis, wenn ein Punkt behoben ist; dass du ihn gesehen hast, wird am Ticket vermerkt. Meldungstext und Screenshot gehen zur Einordnung weiter an Anthropic (siehe nächster Punkt). Feedback-Meldungen und Screenshots werden nicht automatisch gelöscht; sie bleiben gespeichert, bis wir sie löschen. Die Rechtsgrundlagen sind nach Vorgang getrennt: für den Meldungstext, die technischen Fehlerinformationen und die pseudonyme Kennung unser berechtigtes Interesse an der Fehlerbehebung und daran, dir den Stand deiner Meldungen zu zeigen (Art. 6 Abs. 1 lit. f DSGVO); für einen Screenshot deine Einwilligung, indem du ihn selbst anhängst (Art. 6 Abs. 1 lit. a DSGVO) und, soweit ein Bild Gesundheitsdaten zeigt, deine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO.
• Anthropic (Anthropic, PBC, USA): Die KI Claude wird für zwei Zwecke eingesetzt. Beim Notion-Import schlägt sie vor, welche Tabelle oder Spalte Laborwerte, Einnahmen oder Lebensmittel enthält, aber nur, wenn du dem auf der Notion-Seite deines Kontos eigens zugestimmt hast. Dafür gehen je Tabelle die Spaltennamen (Personennamen darin ersetzt), Datentypen, Einheiten und bis zu fünf maskierte Beispielzeilen an Anthropic. Die Beispielzeilen zeigen nur die Form eines Werts, etwa die Größenordnung einer Zahl oder dass es ein Datum ist, keine Messwerte und kein konkretes Datum; als Text gehen nur kurze Bezeichnungen wie Marker-, Präparat- oder Lebensmittelnamen und Einheiten mit. Personennamen, E-Mail-Adressen, Telefonnummern, Notizen und längere Texte werden vorher technisch entfernt, der Tabellentitel wird nicht übermittelt. Anonym sind diese Angaben trotzdem nicht: Die Bezeichnungen können Gesundheitsbezug haben und werden für dein Konto angefragt. Rechtsgrundlage ist deshalb deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO, zusammen mit Art. 6 Abs. 1 lit. a DSGVO). Sie ist freiwillig und getrennt von der Einwilligung in den Import; ohne sie schlägt Vitalli die Zuordnung nach festen Regeln vor, und du kannst jede Zuordnung selbst wählen. Du widerrufst sie jederzeit auf derselben Seite (vitalli.app/account/notion), ohne die Verbindung zu trennen; der Widerruf wirkt für die Zukunft. Außerdem ordnet sie eingehende Feedback-Meldungen ein; dabei wird der Meldungstext an Anthropic übermittelt, und wenn du einen Screenshot angehängt hast, wird auch dieses Bild an Anthropic übermittelt. Anthropic verarbeitet diese Daten als unser Auftragsverarbeiter nach Art. 28 DSGVO, in den USA, und darf sie nur zur Erledigung unserer Anfrage verwenden und nicht zum Training eigener Modelle. Laut seinen kommerziellen Bedingungen speichert Anthropic Eingaben und Ausgaben bis zu 30 Tage. Die Übermittlung in die USA erfolgt auf Grundlage der Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

12. Cookies und Sitzungsdaten

Vitalli verwendet Cookies für drei Zwecke: damit der Betrieb funktioniert (Anmeldung, Schutz vor Fremdzugriff, Zwischenschritte beim Verbinden eines Dienstes), damit eine Einstellung erhalten bleibt, die du selbst getroffen hast, und damit festgehalten ist, über welchen Weg du zu uns gekommen bist. Werbe-Cookies und Cookies, die dich über fremde Seiten verfolgen, gibt es nicht.

• __Secure-authjs.session-token: hält dich angemeldet (JWT, 30 Tage)
• __Host-authjs.csrf-token: schützt Formulare vor Fremdzugriff (Sitzungsdauer)
• __Secure-authjs.callback-url: merkt sich, wohin du nach der Anmeldung zurückkommst (Sitzungsdauer)
• __Secure-authjs.state und __Secure-authjs.pkce.code_verifier: Zwischenschritte der Anmeldung, nach wenigen Minuten verfallen
• vitalli_locale: merkt sich deine Sprachwahl für ein Jahr — nur, wenn du die Sprache aktiv umstellst
• vitalli_origin: hält bis zum Schließen des Browsers fest, über welchen Link du zu uns gekommen bist
• notion_oauth_state, withings_oauth_state, oura_oauth_state, polar_oauth_state, garmin_oauth_state: je 15 Minuten beim Verbinden des jeweiligen Dienstes, damit die Rückleitung zu dir gehört

Wir verwenden keine Tracking-, Werbe- oder Analyse-Cookies und keine Drittanbieter-Cookies. Die Nutzungsanalyse läuft ohne Cookies und ohne Speicherung auf deinem Gerät ausschließlich auf unseren Servern (siehe Abschnitt Nutzungsanalyse).

13. Datenspeicherung

Deine Daten werden auf Servern innerhalb der EU gespeichert, solange dein Konto besteht. Löschst du dein Konto, werden deine Daten in allen Vitalli-Apps gelöscht. Davon ausgenommen sind Feedback-Meldungen samt angehängtem Screenshot: sie werden nicht automatisch gelöscht, bleiben gespeichert, bis wir sie löschen, und die Bilder liegen bei Cloudflare R2 außerhalb der EU-Bindung. Das Zugriffsprotokoll wird nach 365 Tagen gelöscht. Für die Analyse-Ereignisse gilt der Abschnitt „Nutzungsanalyse“: Sie werden bei der Kontolöschung anonymisiert, sodass keine Verbindung zu dir zurückbleibt.

14. Deine Rechte

Du hast folgende Rechte bezüglich deiner Daten:

• Auskunft: Welche Daten über dich gespeichert sind
• Berichtigung: Korrektur unrichtiger Daten
• Löschung: Löschung deiner Daten ("Recht auf Vergessenwerden")
• Einschränkung: Einschränkung der Verarbeitung
• Datenübertragbarkeit: Export deiner Daten
• Widerspruch: Gegen bestimmte Verarbeitungen

Zur Ausübung deiner Rechte kontaktiere uns unter der oben genannten E-Mail-Adresse.

15. Beschwerderecht

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren — bei der Behörde deines Wohnorts oder bei der für uns zuständigen: Die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover.

16. Datensicherheit

Wir setzen technische und organisatorische Maßnahmen ein:

• Verschlüsselte Übertragung (HTTPS/TLS)
• Passwörter werden nur als Hash gespeichert (bcrypt)
• Regelmäßige Sicherheitsupdates

17. Mindestalter

Vitalli ist für Erwachsene. Du musst mindestens 18 Jahre alt sein, um ein Vitalli-Konto anzulegen; das bestätigst du bei der Registrierung. Ein Geburtsdatum erheben wir dafür nicht.

18. Änderungen

Diese Datenschutzerklärung kann aktualisiert werden. Die aktuelle Version ist stets auf dieser Seite verfügbar.